Hei. Vi skal snakke om
internkontroll i kommunen og
fylkeskommunen. Mitt navn er Lena Ott, og
jeg jobber på seksjon Barnehage- og skolemiljø.
Jeg heter Vibeke Norheim Holm og jobber
i seksjonen Kompetanse og kvalitet.
Vi skal snakke om
internkontrollbestemmelsen idag
og den finner vi i
kommuneloven § 25-1.
Bestemmelsen lovfester det
som er nødvendig i et lovkrav om internkontroll.
Bestemmelsen viderefører i stor grad
mange av elementene som man tidligere
kunne finne i internkontrollbestemmelser
med kommuneplikter i særlovgivningen,
men som nå er opphevet eller endret
som en del av særlovgjennomgangen som ble
gjennomført for å følge opp ny
internkontrollbestemmelse i kommuneloven.
Hensikten med å endre denne bestemmelsen
var å forenkle og tydeliggjøre
kravet om internkontroll.
Internkontrollen skulle bli bedre,
mer målrettet, effektiv og
helhetlig som følge av endringen.
I bestemmelsens første ledd som er
markert ut her,
er det slik at første ledd gir kommunen
en plikt til å ha internkontroll.
Alle kommuner skal ha internkontroll, og
den skal som et minimum oppfylle de
kravene som er stilt i denne bestemmelsen.
Bestemmelsen konstaterer at
det er kommunedirektøren
som har ansvaret for internkontrollen
i kommunen og fylkeskommunen,
og dermed er
internkontroll et ledelsesansvar.
Selv om § 25-1 legger
ansvaret for internkontrollen
til kommunedirektøren, så er det
ikke meningen at direktøren alene skal
utføre det konkrete internkontrollarbeidet.
De ulike tjenesteområdene i kommunen må
involveres i dette arbeidet som skal
gjøres etter også andre og tredje ledd,
som for eksempel ved utarbeidelse av
risikovurderinger, tilpasninger og
innretning på internkontrollen og
formalisering av rutiner.
Internkontrollen skal være med
administrasjonens virksomhet.
Det innebærer at internkontrollen omfatter
all virksomhet som er innenfor
ansvarsområdet til kommunedirektøren.
Det omfatter både den sentrale administrasjonen
og ulike sektorer i kommunen.
Bestemmelsen slår fast hva som er målet
med internkontrollen etter kommuneloven,
som er å sikre regeletterlevelse.
Det gjelder for alle lovpålagte
plikter kommunen har, for eksempel
innenfor skole- og barnehageområdet.
Vi skal ta dere litt igjennom
de ulike kravene som stilles i bestemmelsen.
Her har vi markert ut
andre og
tredje ledd som utfyller det som
følger av første ledd.
Innholdet i bestemmelsens tredje ledd
som er markert i lilla, utfyller
det mer generelle kravet som følge av
første og andre ledd.
Det følger av bestemmelsens andre
ledd at internkontrollen skal være
systematisk, og den skal tilpasses
virksomhetens størrelse, egenart
aktiviteter og risikoforhold.
Tredje ledd i bestemmelsen oppstiller en
rekke mer konkrete krav til
internkontrollen.
Kommunedirektøren skal
utarbeide en beskrivelse av
virksomhetens hovedoppgaver, mål
og organisering. Man skal
ha nødvendige rutiner og prosedyrer.
Man skal avdekke og følge opp avvik
og risiko for avvik.
Internkontroll må også dokumenteres i
den formen, og det omfanget som er nødvendig.
Og det skal evaluere
og ved behov forbedre skriftlige prosedyrer
og andre tiltak for internkontrollen.
Disse konkrete kravene
må sees i sammenheng med
både det at det skal være systematisk
og tilpasses virksomheten,
i tillegg til at selve formålet med
internkontrollen er å sikre regeletterlevelse.
Litt om kravet til
innretning og omfang.
Internkontrollen skal være egnet
til å sikre etterlevelse av
lover og forskrifter i kommunen.
Det er ikke satt noen formkrav til
hvordan internkontrollen skal se ut.
Det er opp til kommunen selv å vurdere
hva slags internkontroll kommunen skal ha.
Den kan dermed være ulik for kommunen samlet sett
og for ulike områder innenfor kommunen.
Internkontrollen må være systematisk,
og med det så menes det at arbeidet med
internkontrollen ikke skal være tilfeldig,
hendelsesbasert eller spontan.
Det må følges opp jevnlig og ved behov,
slik at det er et fungerende system.
Videre må internkontrollen tilpasses virksomheten.
Det betyr at internkontroll ikke er det samme i
alle kommuner. Det skal gjøres konkrete
vurderinger, både samlet sett for hele
kommunen, og for den aktuelle
virksomhet eller aktivitet innad i kommunen.
Behovet for tilpasset internkontroll er
veldig ulikt i forskjellige kommuner.
For eksempel så vil kommunen Drammen
og kommunen Flå ha ulike behov
for hvilken type internkontroll man behøver.
De er ulike i størrelsen.
De har et ulikt antall enheter
og også et ulikt antall
ansatte å følge opp.
Kommunene har ulike
utfordringer som kan ha betydning for hva
som er en tilpasset internkontroll for
den kommunen.
Videre må internkontrollen også
tilpasses risikoforhold.
Det betyr at det må tas en konkret
analyse og vurdering av
sannsynligheten for at lover og
forskrifter ikke følges, og hvilke
konsekvenser dette eventuelt kan få.
På noen områder vil konsekvensene
vurderes å være større enn på andre områder,
og det er viktig
med internkontroll der det er høy risiko
for at det skal skje noe feil og der
konsekvensene av slike feil er store.
Disse vurderingene danner et
grunnlag for å tilpasse omfang og
innretning på internkontrollen.
Risikovurderinger vil også gjøre
internkontrollarbeidet mer målrettet
mot der risikoen og behovet er størst.
I denne presentasjonen har vi
fortløpende lagt opp noen spørsmål
som kan brukes til vurdering og
drøfting internt som dere kan ta med dere.
Vi går ikke mer igjennom de
her i presentasjonen utover å lese de opp.
Diskuter gjerne dette videre internt.
Her lurer vi på:
På hvilken måte har kommunen
sikret at internkontrollen er
systematisk og tilpasset kommunens
størrelse, egenart, aktiviteter
og risikoforhold?
Ett spørsmål til som man kan ta
til drøfting: Innenfor hvilke
områder gjennomfører kommunen risiko- og
sårbarhetsanalyser og på hvilke områder
vurderer dere at det er høy risiko for at
det skal skje feil og at konsekvensene av
feil er store?
Vi skal gå nærmere inn i
internkontrollbestemmelsens tredje ledd.
Denne delen inneholder en opplisting
av konkrete krav til hva
internkontroll skal inneholde.
Kravene som kommer fram i bokstav a) til
e) må sees i sammenheng med de mer
generelle kravene i bestemmelsens første
ledd og andre ledd.
Det betyr at alle tiltak som iverksettes
etter tredje ledd må tilpasses
virksomhetens størrelse,
egenart, aktiviteter
og risikoforhold. De må være
egnet til å nå formålet med
internkontroll, nemlig å sikre
regeletterlevelse i virksomheten.
Nå skal vi se nærmere på hva
kommunedirektøren må påse at
internkontrollen skal ha, etter
tredje ledd. Vi begynner med
bokstav a).
I tredje ledd bokstav a) stilles det
krav om at det utarbeides en
beskrivelse av virksomhetens
hovedoppgaver, mål og organisering.
Beskrivelsen skal gi overordnet
informasjon om den kommunale virksomheten
som ligger innenfor kommunedirektørens ansvar.
Videre, så vil det
være viktig for å klargjøre
ansvar og rapporteringslinjer, både på
overordnet nivå, men også innenfor de
ulike tjenesteområdene i kommunen,
som for eksempel barnehage- og skoleområdet.
Ifølge forarbeidene inngår det her
krav om å beskrive hvordan
ansvar, oppgaver og myndighet
er fordelt innad i kommunen.
Både på sentralt nivå, men også
innenfor de ulike tjenesteområdene.
Det kan for eksempel gjøres med å lage
oversikter over lederstrukturen.
Det kan være funksjonsbeskrivelser,
styrings- og rapporteringslinjer,
og også delegeringsreglement.
Kommunen bestemmer selv hvordan en
slik beskrivelse skal se ut,
og hvor detaljert den skal være.
Men det må altså være tilpasset kommunens
størrelse, egenart,
aktiviteter og risikoforhold.
Den må også være egnet til å sikre
at virksomheten etterlever
de reglene som er.
Her har vi stilt noen spørsmål som
kommunen kan arbeide med internt
når man har anledning til det.
Jeg leser disse opp.
Hvordan har kommunen organisert og delegert ansvar og
oppgaver knyttet til internkontroll og
kommunens virksomhet?
Hvilke rapporteringskrav har
kommunen på regeletterlevelse?
Hvilke rapporteringslinjer har
kommunen for dette?
Da går vi videre til bokstav b).
Rutiner og prosedyrer er viktig for å
sikre regeletterlevelse i kommunen.
I bokstav b) stilles det krav om at
kommunedirektøren skal ha
nødvendige rutiner og prosedyrer.
Poenget med rutiner og prosedyrer er at
det skal hjelpe ledelsen og de
ansatte i kommunen til å utføre jobben sin,
og eventuelle situasjoner som de møter.
Rutinene beskriver hvordan ledelsen og de ansatte
skal utføre oppgavene og
løse den daglige driften,
altså de oppgavene som er planlagt.
Prosedyrer skal beskrive hvordan vi
møter ulike situasjoner og hendelser som
vi vet kan oppstå,
men som det ikke alltid er planlagt for.
Med felles strukturer og maler og
standarder, vil det være enklere å
planlegge, gjennomføre og følge opp og
rapportere for ledelsen og
ansatte i en kommune.
Så hvilke rutiner og prosedyrer skal
egentlig kommunen da ha?
Loven sier at kommunedirektøren skal
ha rutiner og prosedyrer som er nødvendig.
Hvilke og hvor mange rutiner og
prosedyrer som trengs,
hvor detaljert disse skal være og
hvor omfangsrikt de skal være,
det må vurderes konkret.
Behovet må ses i sammenheng med
kommunens egenart, og det
området rutinene og prosedyrene
skal fungere for.
Her vil det blant annet være helt sentralt å
vurdere risiko for avvik.
På områder der det er stor sannsynlighet for
at loven ikke følges,
og hvor manglende regeletterlevelse får
store konsekvenser, vil det være et
større behov for mer detaljerte
rutiner og prosedyrer enn på andre områder.
I praksis kan rutinene og prosedyrene
både være muntlig og skriftlig,
men de fleste viktige rutinene blir gjerne
fastsatt skriftlig.
Det er ikke noe lovkrav om at enhver
rutine eller en prosedyre skal være
skriftlig, men ut ifra en helhetlig
tolkning av internkontrollkravet
i loven, så vil skriftlighet ofte
være nødvendig. Krav om
rutiner og prosedyrer i bokstav b)
må sees i sammenheng med
dokumentasjonskravet i bokstav d),
som vi skal komme tilbake til senere.
Men, så er det et viktig "men":
Det holder ikke å lage rutiner og
deretter legge de i en skuff.
I forarbeidet til loven går det frem at det
av kravet om å ha rutiner,
følger det indirekte at disse
både må gjelde for virksomheten,
de må også gjøres kjent og de må
være tilgjengelige.
Rutinene skal altså gjelde for
virksomheten i praksis.
De må gjøres kjent og tilgjengelig for de
menneskene de skal gjelde for.
Hvem disse er, må vurderes konkret,
ut ifra blant annet hva slags rutiner og
hvilken del av rutinene i
virksomheten det er snakk om.
Her har vi også laget noen spørsmål
som dere kan bruke til vurdering og
drøfting internt i egen kommune.
Hvilke vurderinger har kommunen gjort for
å sikre at kommunen har utarbeidet
nødvendige rutiner og prosedyrer?
Hvordan sikrer kommunen at
rutiner og prosedyrer blir fulgt?
Videre har vi bokstav c)
i bestemmelsen som omhandler
å avdekke avvik og følge opp avvik
og risiko for avvik.
Dette er et sentralt element i
arbeidet med internkontroll,
både det å avdekke og følge opp
konkrete avvik, men også det å
avdekke og følge opp risiko for avvik.
Arbeidet med dette må være
systematisk og tilpasset
virksomheten. Tiltak som
eventuelt iverksettes må være egnet til å
nå målet om å sikre regeletterlevelse.
Kommunen må skaffe oversikt over
områder i kommunen der det er fare for
manglende etterlevelse av lover og
forskrifter. Internkontrollen
skal sikre at avvik avdekkes og at
risiko for avvik avdekkes. Dette vil
si at kommunen både skal avdekke og
følge opp konkrete avvik som allerede har skjedd,
men også avdekke og følge opp
risiko for at avvik skal skje.
Dette er et forebyggende arbeid.
Dette krever et system for å innhente
informasjon som kan avdekke avvik,
og dette systemet må være
systematisk og kan ikke bare være
hendelsesbasert.
Det å få avdekket konkrete avvik eller
feil er helt sentralt for å kunne gjøre
korrigeringer eller forbedringer i
kommunens virksomhet. Både i den
konkrete situasjonen som har oppstått,
men også for fremtiden.
Videre skal man også avdekke og
følge opp risiko for at avvik kan skje.
Dette er en sentral del
av det forebyggende arbeidet.
Det innebærer blant annet at
kommunedirektøren må skaffe oversikt
over områder i kommunen der det er
fare for manglende etterlevelse av
lover og forskrifter, og må der sette inn
relevante forebyggende og
risikoreduserende tiltak for å hindre og
forebygge brudd på lover og forskrifter.
Dette er et arbeid som
må gjøres både ut fra et
kortsiktig og et langsiktig perspektiv.
Spørsmål i den forbindelse er:
Hvilket system har kommunen for
innhenting av informasjon?
Hvilken informasjon innhenter kommunen
for å få oversikt over
regeletterlevelsen i virksomheten?
Hva bruker kommunen
informasjonen til?
Avvik som man har avdekket,
skal følges opp eller korrigeres
på en egnet måte. Hva som er en
egnet måte, må vurderes konkret ut fra hva
slags avvik det er snakk om og hvordan
dette skal følges opp. Målet er
at konsekvensene ved avvik rettes opp,
eller at de reduseres.
Der man har avdekket risiko for avvik,
må det settes inn relevante
forebyggende og risikoreduserende tiltak
for å hindre og forebygge brudd på lover
og forskrifter. Hvordan dette
følges opp må vurderes konkret
ut fra hva slags risiko for avvik det
dreier seg om. Det sentrale her
er at avvik og risiko for avvik
faktisk blir identifisert og fulgt opp.
Dette arbeidet må være systematisk og
tilpasset virksomheten det er snakk om.
Spørsmål til vurdering og drøfting i den
forbindelse er: Hvordan følger kommunen
opp manglende regeletterlevelse i
virksomheten?
Hvilke tiltak setter kommunen inn når man
oppdager manglende regeletterlevelse?
Å dokumentere internkontrollen er et
viktig virkemiddel for at
internkontrollen skal fungere som forutsatt.
Samtidig er det
viktig å huske at det er ikke noe mål for
virksomheten å ha mest mulig dokumentasjon.
Dokumentasjon må ha en funksjon,
og den må ha ønsket effekt.
Lovens krav i bokstav d) er å
dokumentere internkontrollen i den form
og det omfang som er nødvendig
i virksomheten. Det er opp til
kommunedirektøren å avgjøre hva som er
nødvendig å dokumentere.
Men dokumentasjonskravet gjelder for
internkontrollen som system,
rutiner og prosedyrer,
og for gjennomføring av kontroller
og aktiviteter.
Det er viktig å dokumentere de
vurderingene og aktivitetene som kommunen
faktisk utfører,
og sikre at disse er tilgjengelige.
I hvilken form og omfang det er nødvendig
med dokumentasjon, må sees i sammenheng
med de andre kravene for internkontroll.
Målet er å sikre regeletterlevelse.
Kravet til hva som er nødvendig
dokumentasjon må sees i lys av
virksomhetens egenart,
størrelse, aktiviteter og risikoforhold.
Er det for eksempel
høy risiko for avvik på ett område,
så vil det trolig være mer nødvendig med
dokumentasjon her enn på andre områder.
I forarbeidene står det at de viktigste
delene av internkontrollen må
dokumenteres. Det er derfor
ikke nødvendig at hver minste ting
dokumenteres. Grensene og
omfanget må vurderes ut ifra forholdet
i den enkelte kommunen, og den
enkelte delen av kommunen.
For å vurdere dette, er det viktig å
huske at hensynet bak dokumentasjonskravet
er at det skal
bidra til å sikre at
internkontrollen fungerer som forutsatt.
Et dokumentasjonskrav vil bidra til både
å øke tilliten til kommunal forvaltning,
og til å bevisstgjøre kommunen med hensyn
til hvordan den
interne kontrollen skal planlegges,
gjennomføres og følges opp.
Evaluering og forbedring er viktig for å
sikre oppfølging og utvikling av
internkontrollen, slik at den til enhver
tid er tilpasset kommunens virksomhet.
Bokstav e) stiller krav om at
kommunen må evaluere,
og ved behov forbedre,
skriftlig prosedyre og andre tiltak for internkontroll.
Dette kravet er knyttet til selve
internkontrollarbeidet og betyr at
skriftlige prosedyrer og andre tiltak for
internkontroll skal evalueres.
Det er ikke noe krav om hvordan
evalueringen skal gjøres.
Men det skal være en evaluering av hvordan den
aktuelle virksomheten jobber med internkontroll.
Videre er det et krav
om at dersom det er behov for det,
skal skriftlige prosedyrer og andre
tiltak for internkontroll forbedres.
Det betyr at dersom kommunen finner
ut at de tiltakene som de har satt i
verk, ikke fungerer,
så skal disse justeres,
forbedres eller det kan hende at de
må skrinlegges, eller så må det
settes inn nye og andre typer tiltak.
Hvor ofte det skal evalueres og ved behov
forbedres, går ikke direkte frem
av lovkravet.
Men det skal gjøres ved behov.
For å kunne gjøre forbedringer når det er
et behov, må man naturlig nok
gjøre det når det
er behov for det. Det betyr at det
må gjøres jevnlig.
Men kommunen vil her ha et handlingsrom.
Her har vi laget noen spørsmål til
drøfting i kommunen. Hvilke rutiner
har kommunen for å evaluere prosedyrer og
andre tiltak som skal redusere
risikoen for manglende regeletterlevelse?
Hvilke prosedyrer og tiltak
fungerer og hvilke må
forbedres for å sikre
regeletterlevelsen i kommunen?
Til sist skal vi ha en kort
oppsummering av kommunelovens § 25-1.
Det er viktig å huske på at formålet med
internkontroll er å sikre
regeletterlevelse i virksomheten.
Kommunen må derfor arbeide
systematisk med internkontrollen.
Arbeidet med kvalitetsforbedring
er en kontinuerlig prosess der
vurderinger må gjøres.
Det må følges opp og det må justeres.
Man må legge inn nye mål
om det er behov for det.
Arbeidet med forbedring og justering,
også innenfor regeletterlevelse,
må sees på som en sammenhengende og
gjentagende prosess som
kan illustreres gjennom Demings sirkel.
Kommunen må ut fra sin egenart og
risikoforhold planlegge hvordan
oppgavene i virksomheten skal utføres i
tråd med regelverket.
Deretter må ledelsen og de
ansatte utføre oppgavene sine i tråd
med regelverket.
Kommunen må også kontrollere og
evaluere om oppgavene blir utført i
tråd med regelverket. Og på bakgrunn av
dette korrigere ved for eksempel
å endre rutinene
og måten å utføre arbeidsoppgavene på.
Slik at man igjen
kan sikre regeletterlevelse i kommunen.
Dette er altså et
evigvarende arbeid og en evigvarende
prosess, fordi rammene og
forutsetningene til kommunen endres hele tiden.
Her har vi også laget noen
overordnede spørsmål som kommunen kan ta
med seg videre og drøfte internt.
På hvilke måter er kommunens
internkontroll egnet til å oppdage
manglende regeletterlevelse?
Hva må kommunen forbedre for å få
en egnet internkontroll?
Vi har laget en kildehenvisning.
Her nevner vi selvfølgelig
kommunelovens § 25-1,
som kommunen må ha godt kjennskap til
og jobbe etter.
Vi nevner også forarbeidene
som også forklarer litt av hensikten
med internkontroll. Det kan være lurt
å sette seg inn i de.
Vi vil også nevne veiledningen
til KMD, som forklarer
hvordan kommuneloven skal forstås.
Og til sist har vi også lagt ved KS
sin veiledning "Orden i eget hus".
Den gir eksempler på hvordan
kommunen i praksis kan arbeide
med internkontroll.
Da gjenstår det bare å
si takk for oss.
Dersom dere har noen spørsmål,
så svarer vi gjerne på disse nå.
Hvis man ikke kommer på
spørsmål som man ønsker å stille her og nå,
så kan man ta kontakt med oss
ved en senere anledning.
Dere ser i kontaktinformasjonen til meg
og Lena på dette siste lysbildet.
Takk for nå.