Kapittel 4Styring og kontroll i virksomheten

Overordnet vurdering av styring og kontroll

Helsedirektoratets styres gjennom instruks, årlige tildelingsbrev og faste møter med etatsstyrer. Direktoratets totale oppgaveportefølje består av både faste oppgaver, tidsavgrensede oppgaver og spesielle oppdrag i tillegg til direktoratets egeninitierte oppgaver. Tildelingsbrevet for 2023 besto av 83 spesielle oppdrag og 78 tilleggsoppdrag ble mottatt gjennom året. I tillegg har direktoratet hatt en rekke oppdrag fra tidligere år med varighet inn i 2023 som er videreført. Helsedirektøren har tydeliggjort sine føringer, ansvar og myndighet i mål- og disponeringsskriv til divisjonsdirektørene. Virksomhetsstyringsverktøyet PULS er Helsedirektoratets sentrale verktøy for planlegging, budsjettering, styring og rapportering, og brukes som utgangspunkt for all oppfølging av Helsedirektoratets virksomhetsplan. Disse styrende dokumenter og styringsverktøy gir direktoratet et godt rammeverk for styring og kontroll av egen virksomhet.

Gjennom 2023 ble det er avholdt to Etatsstyringsmøter og to Styringsmøter med HOD. Dette oppleves som en god arena for samhandling. 

Regjeringsbeslutningen om endringer i helseforvaltningen i revidert nasjonalbudsjett (RNB) 2023, preget store deler av 2. halvår. Direktoratet for e-helse slås sammen med Helsedirektoratet gjennom en virksomhetsoverdragelse. I tillegg ble det vedtatt at ansatte skulle overføres fra Folkehelseinstituttet til det nye Helsedirektoratet i tilknytning til regelversfortolkning og formelle myndighetsoppgaver innenfor smittevern og miljømedisin. Det samme gjaldt myndighetsfunksjoner, gjennomføringsfunksjoner og ansvar både for registeranalyser og statistikk innen helse- og omsorgstjenestefeltet, samt innen det brede folkehelsefeltet. Tilsvarende ble helseregisterområdet i Helsedirektoratet og helseregisterområdet inkludert Helsedataservice i Direktoratet for e-helse flyttet til Folkehelseinstituttet for å samle alle tre virksomheters arbeid med registerforvaltning og tilgang til registerdata. Innen området blod, celler og vev ble grensesnittet mot Statens legemiddelverk (SLV) tydeliggjort. 

Med bakgrunn i denne beslutningen ble det våren 2023 etablert et omstillingsprosjekt som skulle omfatte aktiviteter det var nødvendig å gjennomføre før ikrafttredelsestidspunktet for endringer i Helseforvaltningen skulle tre i kraft, dvs. 1. januar 2024. Programmet ble gjennomført med til sammen 9 prosjekter og en gjennomgående aktivitet (kommunikasjon).

Alle prosjektene leverte i tråd med mandatene fram mot 1.1.24, og omstillingsprogrammet har lagt et godt fundament for ikrafttredelse av ny organisering (nytt organisasjonskart) fra 1.4.24.

Nærmere omtale av vesentlige forhold

Direktoratet har i 2023produksjonssatt kvalitetsstyringssystemet Kompass. Hensikten er å ha et verktøy som bidrar til at Helsedirektoratet sikrer etterlevelse av økonomireglementet innen internkontrollarbeidet. Formålet med kvalitetsstyring er tredelt:

• Det skal være enkelt for direktoratets ansatte å finne ut hvordan vi gjør ting hos oss
• Internkontrollarbeidet profesjonaliseres i alle ledd; utvikling, implementering og forvaltning
• Ledelsen settes i bedre stand til kvalitetsstyring på sine ansvarsområder

Dette blir et viktig verktøy for utvikling og etterlevelse av rammeverk for internkontroll i Helsedirektoratet. 

Det har gjennom året vært jobbet med å utvikle prosesser og verktøy for å forbedre oppdragshåndtering i direktoratet. Hensikten har vært å oppfylle organisasjonen ønske om bedre samlet oversikt over oppdrag, bedre grunnlag for analyse og prioriteringer, økt forståelse for oppdragenes livsløp, mv.  Det vil inn i 2024 bli jobbet videre med å implementere verktøystøtte og prosesser, samt utvikling av styrende dokumenter i tilknytning til dette. 

 Det ble gjennom 2023 også jobbet med forbedringstiltak i den interne plan og budsjettprosessen. Det er levert prosesser og verktøy for:

• Tydelig kommunikasjon om en tidsplan
• Tidligere få frem handlingsrommet, slik at ledelsen kan prioritere
• Opplæringspakker i statsbudsjettprosessen
• Tydeliggjøring av roller og ansvar
• Bedre struktur på Helsedirektoratets møtearenaer innen plan- og budsjettområdet

Erfaringer gjennom plan- og budsjettprosessen så langt for året 2024 viser at tiltakene har hatt god effekt.

Internkontroll

Internkontroll er en kontinuerlig prosess, som skal bidra til Helsedirektoratet oppnår ønskede resultater, sikre effektiv ressursbruk, at vi overholder lover og regler, herunder god forvaltningsskikk, habilitet og etisk adferd, og at vi rapporterer pålitelig. Vi ser på internkontroll som et helhetlig arbeid som innebærer alle direktoratets prosesser, inkludert sikkerhet, personvern og HMS.

Administrerende direktør har det overordnede ansvaret for at Helsedirektoratet har et tilfredsstillende internkontrollsystem.  Internkontroll er et lederansvar som følger linjen, og er en nødvendig forutsetning for god styring.

I perioden 2021-2023 har Helsedirektoratet jobbet med å etablere et digitalt rammeverk for internkontroll, som legger til rette for å ivareta alle aspekter av kvalitetsarbeidet. Utvikling, tilgjengeliggjøring, forvaltning, avvik og forbedringsforslag er satt i system. Systemet vil støtte linjeledelsen i arbeidet med å digitalisere eksisterende internkontroll, og vil lette arbeidet med å utvikle internkontroll der det er behov.

Helsedirektoratet er godt fornøyde med det nye systemet som er etablert, og legger til rette for at hele organisasjonen tar løsningen i bruk i løpet av 2024. Systemet er tilgjengeliggjort for Helsedirektoratet, Pasient- og brukerombudene, Senter for aldersvennlig Norge, og deler av innholdet for Helfo.

Anskaffelsen av kvalitetsstyringssystemet er et resultat av et samarbeid i helseforvaltningen, ledet av NHN, som har ført til at vi har en felles rammeavtale om kvalitetsstyringssystem med Datakvalitet AS. Virksomhetene som gjør avrop på avtalen tilbys å delta i nettverket Kvalitetsstyring i helseforvaltningen. Her drøfter vi problemstillinger, presenterer god praksis, og løfter den generelle kompetansen om kvalitetsstyring hos fagpersoner som deltar.

Internrevisjon

Internrevisjonen er en uavhengig objektiv bekreftelses- og rådgivningsfunksjon for Helsedirektoratet, direkte underlagt Helsedirektør. Internrevisjonen inngår som en del av direktoratets system for styring og kontroll. Internrevisjonens ansvarsområder omfatter Helsedirektoratet, Helfo, Pasient og brukerombudene, og har revisjonsrett ovenfor NHN og andre leverandører i henhold til avtale.

Gjennom en systematisk og strukturert metode gjennomfører internrevisjonen revisjoner om ulike områder knyttet til virksomhetsstyring, risikostyring, internkontroll ut i fra en risikobasert tilnærming.

Internrevisjonen består av et internt årsverk og har en fast samarbeidsavtale med ekstern leverandør for bistand til internrevisjonsfunksjonen.

Internrevisjonen leverer både ordinære revisjonsoppdrag, samt bistandsoppdrag/rådgivningsoppdrag. Hensikten er å identifisere forbedringsområder og styrke styring og kontroll i direktoratet. 

I 2023 har internrevisjonen levert revisjonsrapporter knyttet til følgende temaer: 1. Leverandørrevisjon - informasjonssikkerhet i Norsk Helsenett, 2. Anskaffelser i Hdir 3. Innsidetrulser del 1 - helserefusjoner. I tillegg har internrevisjonen levert bistandsoppdrag om analyse av tidsbruk i Helfo, kartlegging av lederstøtte i Helfo og bistått med gjennomføring av en kontrollaktivitet innen personvern. 

Internrevisjonen har oppsummert aktiviteten siden opprettelse 2018 i en 5-årsrapport, inkludert en vurdering av Helsedirektoratets systematikk for oppfølging av internrevisjonens anbefalinger. I tillegg har internrevisjonen utarbeidet en vurdering av risiko knyttet til ulike prosesser i Hdir relatert til styring og kontroll. Dette som ledd i arbeidet med utarbeidelse av årlige plan for internrevisjonens arbeid.

Riksrevisjonen

Resultater fra Riksrevisjonens finansielle kontroll for 2023 foreligger ikke på tidspunktet årsrapporten for 2023 utarbeides. Revisjonsberetningen for 2023 blir offentliggjort på www.helsedir.no når den er mottatt.

Revisjonsberetningen for 2022 konkluderer med at Helsedirektoratets årsregnskap ga et dekkende bilde av virksomhetens disponible bevilgninger, inntekter, utgifter for 2022, i samsvar med regelverket for økonomistyring i staten. 

I 2023 gjennomførte Riksrevisjonen en etterlevelsesrevisjon som berørte Helsedirektoratet:

Informasjonssikkerhet og tilgjengeliggjøring av person- og helseopplysninger i helseregistre. 

Revisjonen viste at person- og helseopplysninger i helseregistre ikke i tilstrekkelig grad blir behandlet i henhold til kravene i informasjonssikkerhet og personvern i helseregisterloven. Etter omstrukturering av helseforvaltningen har helseregistrene som før 1. januar 2024 var under Helsedirektoratet, blitt overført til Folkehelseinstituttet – FHI, som dermed overtar oppfølging av revisjonen.

Helsedirektoratet jobber systematisk med oppfølging av Riksrevisjonens rapporter, for å tilbakeføre verdifull informasjon fra Riksrevisjonens undersøkelser i vårt arbeid. Rapporter i et oppfølgingsløp per 31.12.2023 er følgende:

Helsedirektoratets etterkontroll av helserefusjoner

Porteføljestyring

Helsedirektoratet har siden 2016 hatt ett eget regime for digitaliseringsprosjekter gjennom ett eget porteføljestyre, prosjektene er en delmengde av den totale oppdrag- og oppgaveporteføljen til helsedirektoratet og består av både oppdrag via tildelingsbrev og egeninitierte oppgaver. Porteføljestyret ledes av assisterende helsedirektør, etter delegering fra helsedirektøren, og styrets medlemmer er divisjonsdirektørene samt direktør i Helfo. Styret har en porteføljeansvarlig og en porteføljefunksjon som ligger organisert under divisjon virksomhetsstyring og avdeling plan og styring. 

Porteføljen besto i 2023 av 38 prosjekter, der flere er flerårige, og hadde en total årlig investering på ca. 360 millioner kroner (som dekker da både interne og eksterne kostnader samt på noen områder og tilskudd ut mot helsesektoren). Ett subsett av disse prosjektene igjen er og en del av den Nasjonale porteføljen forvaltet av Direktoratet for eHelse.

Tilskuddsforvaltning og evalueringer av tilskuddsordninger

Tilskudd er et sentralt virkemiddel for regjeringens helsepolitiske mål. I 2023 hadde Helsedirektoratet ansvar for forvaltningen av 157 tilskuddsordninger. Dette er en nedgang fra 175 ordninger i 2022. Ni av ordningene var delegert til andre tilskuddsforvaltere: seks tilskuddsordninger ble forvaltet av statsforvalterne, to ordninger av Aldring og helse (nasjonalt kompetansesenter), en ordning av fylkeskommunene. Nedgangen skyldes blant annet avvikling av ordninger relatert til covid-19 og en reduksjon i statsbudsjettet i antall tilskudd til navngitte tilskuddsmottagere.  Flere av covid-19 tilskuddsordningene var delegert til statsforvalterne. 

Det samlede budsjettet for tilskuddsordningene var på 18,7 mrd. kroner. Sammenlignet med 2022 var dette en nedgang fra 19,2 mrd. kroner eller ca. tre prosent.

Tilskuddsordningen "Særlig ressurskrevende helse- og sosiale tjenester" stod for 63 prosent av tilskuddsbudsjettet for 2023 med 11,7 mrd. kroner. Ordningen finansieres over KDDs kapittel 0575. Andre kapitler med betydelig andel av budsjettet var "Psykisk helse og rusarbeid" med 13 prosent, "Omsorgstjenester" med 10 prosent og "Primærhelsetjenester" med 8 prosent. Målt i prosent, er fordelingen mellom kapitlene så å si uendret fra 2022. 

Kommunene inklusive interkommunale selskap mottok langt den største andelen av tilskuddsmidlene: ca. 48 prosent ikke medregnet "Særlig ressurskrevende helse- og sosiale tjenester", se Figur 4‑1 Tilskudd fordelt på type mottakere. Dette er en svak endring fra 2022 da andelen var 50 prosent. Frivillige og ideelle organisasjoner, herunder stiftelser mottok ca. 31 prosent av tilskuddsmidlene. Deretter følger tilskudd til fylkeskommuner med 7 prosent (uendret fra 2022) og universiteter og høyskoler samt helseforetak/regionale helseforetak som mottok 5 prosent hver. De resterende midlene, om lag 4 prosent er tildelt statlige eide foretak, bedrifter og privatpersoner.

Om lag 57 prosent av tilskuddsordningene var i 2023 øremerket navngitte mottakere eller grupper av mottakere i St.prp. 1(S), mens slike ordninger utgjorde ca. 9 prosent av tilskuddsbudsjettet. Dette er en ventet nedgang fra henholdsvis 61 prosent og 12 prosent. Årsaken er politiske føringer i Prop. 1S (2022-2023) inklusive avvikling av en rekke enkeltstående (øremerkete) tilskudd.

Tilskuddordninger der tilskudd ble tildelt etter åpen konkurranse hadde et samlet budsjett for 2022 på cirka 1,9 mrd. kroner. Av dette utgjorde i underkant av halvparten tildeling til åpne konkurranser forbeholdt frivillige og ideelle organisasjoner. 

Helsedirektoratet hadde i 2023 fortsatt høy oppmerksomhet på styrket internkontroll. Vi har særlig vektlagt arbeidet med varslinger og mislighold, og klagesaksbehandling. Begge disse områdene innen internkontrollen fikk nye prosedyrer i løpet av 2023. Helsedirektoratet mottok i 2023 i underkant av 130 klager på vedtak om tilskudd, der Helsedirektoratets vedtak i rundt 70 prosent av klagesakene ble stadfestet av Helse- og omsorgsdepartementet. 

Det ble gjennomført riskonanalyser av samtlige tilskuddsordninger. Risikoanalysene er del av grunnlaget for både kontroller og evalueringer. Arbeidet med bedret kontroll av innsendt rapportering på forbruk og måloppnåelse ble videreført. 

Helsedirektoratet gjennomfører evaluering av tilskuddsordninger basert på en vurdering av vesentlighet og risiko, måloppnåelse, årstall for regelverket, om ordningen er evaluert tidligere, politisk og samfunnsmessig aktualitet, potensiale for vurdering på tvers av ordninger (klyngeevaluering) og overføringsverdi. Tilgjengelige budsjettmidler på aktuelt kapittel sett opp mot estimert omfang av evalueringene, setter rammene for hvor mange evalueringer som kan gjennomføres per år.

Evalueringer 

I løpet av de siste 5 årene (2019-2023) er det utført 20 evalueringer av 22 tilskuddsordninger. Med unntak av 2012, da det bare ble utført en evaluering og en større kartlegging, er det per år gjort mellom 4 og 6 evalueringer. Det i samme periode også gjennomført 18 følgeevalueringer av ulike satsinger og handlingsplaner, der en eller flere tilskuddsordninger inngår.

Sikkerhet og beredskap i helsedirektoratet

I 2023 har avdeling sikkerhet jobbet videre med å styrke sikkerhetsstyringen i Helsedirektoratet, Helfo og POBO. Innleid avdelingsdirektør fungerte ut mars, og ny avdelingsdirektør tiltrådde i stillingen 1.mai. Det har også vært noe utskiftning i avdelingen for øvrig, men ved utgangen av året fremstår avdelingen som robust til å ivareta avdelingens mandat, med 4,5 årsverk. 

I 2023 er det etablert en verdivurdering i Helsedirektoratet. Verdivurderingen beskriver de viktigste funksjonene i Helsedirektoratet, med understøttende ressurser, som må være tilgjengelig for at direktoratet skal kunne utøve sine virksomhetsoppgaver og samfunnsoppdrag. Verdivurderingen består av 9 verdier som det rapporteres risiko på til ledergruppen hvert tertial.

Trusselbildet og den geopolitiske situasjonen i 2023 har gjort det nødvendig å starte et arbeid med å forebygge innsidetrusselen i Helsedirektoratet. Avdeling sikkerhet har startet med å utforske mulighetsrommet for hvilke tiltak som kan iverksettes i Helsedirektoratet med å forebygge en slik trussel, gjennom ansettelsesprosessen, underveis i arbeidsforholdet og ved avslutning av arbeidsforholdet. Dette arbeidet vil fortsette i 2024. 

Det digitale trusselbildet er høyt og var høyt gjennom 2023. Hdir har i 2023 gjennomført en IKT-beredskapsøvelse og har som et ledd i evaluering og læring etter øvelsen oppdatert sitt IKT-beredskapsplanverk.  Det er igjennom 2023 også gjennomført en rekke sikkerhetstester av infrastruktur og IKT-tjenester. Funn fra sikkerhetstestene følges opp og utbedres basert på alvorlighetsgrad. Helsedirektoratet har inngått avtale med et eksternt sikkerhetsselskap som gjennomfører sikkerhetstestene.

Egenberedskap har vært et fokus i 2023, både fra HOD sin side, og internt i Hdir. Som et ledd i dette har Hdir inngått formell avtale med andre offentlige aktører om erstatningslokaler dersom våre bygg skulle bli utilgjengelige. 

Beslutningen som ble tatt i 2022 om at lederne skal overta autorisasjonsansvaret ble operasjonalisert i 2023. Oppfølgingen av dette ble en litt annen enn opprinnelig vedtak, og avdeling sikkerhet skal bistå lederne noe mer enn opprinnelig tenkt og kommunisert. Dette er forankret i ledergruppen, og vil videreutvikles i 2024.

Det var generelt høy aktivitet gjennom 2023, og økende mot slutten av året, da avdelingen hadde mer kapasitet. Sikkerhetsmåneden i oktober ble tydelig markert med en rekke aktiviteter, foredrag, kurs og artikler, og virker å ha nådd godt ut i organisasjonen. Avdelingen vil fortsette i 2024 med å jobbe helhetlig og styrke et felles rammeverk for hele sikkerhetsområdet. Det dokumenterte rammeverket er også lett tilgjengelig gjennom det nye kvalitetssystemet Kompass. 

Direktoratet har bistått både Helfo og Pobo med deres systematiske sikkerhetsarbeid gjennom året, og vil fortsette med dette også i 2024. Samtidig som vi er godt i gang med å bli kjent med sikkerhetsressursene fra direktoratet for e-helse og finner ut hvordan vi skal samhandle best mulig i det nye Helsedirektoratet.

Personvern

Personvern er viktig å ivareta i direktoratets prosesser og systemer for å sikre tillit i befolkningen. Personvern er et linjeansvar og ivaretas i praksis av alle ansatte, men støttes av personvernombud og ressurspersoner i et tverrfaglig team (lag for personvern). Noen miljøer har dedikerte personer som jobber med personvernspørsmål i det daglige som ledd i oppgaveutførelsen. Personvernombud er også ombud for Helfo og Pobo, og det er tett dialog om aktiviteter og problemstillinger med Pobo og Helfo. 

I 2023 har direktoratet etablert et helhetlig internkontrollsystem for hele organisasjonen. Styrende dokumenter på personvernområdet er videreutviklet i løpet av året, og tatt inn i det nye systemet (Kompass). 

I 2023 har organisasjonen fulgt opp internrevisjonsrapporter som har hatt anbefalinger på personvernområdet. Nytt i 2023 er at personvernombudet har gjennomført en egen verifiseringsaktivitet på etterlevelse av krav og føringer innen et avgrenset området. Dette opplevdes nyttig, og ga innspill til forbedring i organisasjonen. Slike verifiseringsaktiviteter vil bli videreført som fast aktivitet fremover. 

Direktoratet arbeider kontinuerlig med å sikre tilstrekkelig kompetanse på personvern i organisasjonen. I 2023 har etablerte opplæringstiltak blitt videreført, som f.eks. digital opplæring for alle nyansatte (nanokurs) og tilgjengelig skriftlig informasjon om personvern for alle ansatte. I tillegg har det blitt videreutviklet og holdt flere kurs sammen med Norsk Helsenett (NHN), f.eks. heldags grunnkurs i personvern og eget kurs i personvernkonsekvensvurdering (DPIA). Ledere har også mottatt digitalt kurs tilpasset deres rolle (nanokurs). Kompetansehevingsaktiviteter vil bli videreført og videreutviklet i 2024.

Som følge av omorganiseringen av helseforvaltningen ble det høsten 2023 startet dialog om sammenslåing av aktiviteter og rammeverk på personvernområde. I 2024 planlegges det konsolideringsaktiviterer for å sikre at det nye Helsedirektoratet har gode rammer for å fortsatt kunne ivareta den enkeltes personvern.