5.3.1 Identifisere aktuelle tiltak

Utforming av nye tiltak og oppdatering av eksisterende tiltak vil bli utført på ulike nivåer i virksomheten avhengig av hvor det er hensiktsmessig å håndtere risikoen, og hvem som er risikoeier. Generelt og uavhengig av hvor i virksomheten håndteringen av risiko skjer, vil arbeidet med utforming og oppdatering av tiltak i større eller mindre grad skje i tre trinn:

1. Identifisere aktuelle tiltak for å håndtere risikoen
2. Vurdere, prioritere og beslutte tiltak
3. Utforme og dokumentere besluttede tiltak

Identifisere tiltak på virksomhetsnivå 

Virksomhetsledelsen har i forlengelsen av risikovurderingen på virksomhetsnivå umiddelbart identifisert fire tiltak på virksomhetsnivå.

Siden både egenevalueringen av internkontrollen og risikovurderingen på virksomhetsnivå har avdekket et behov for å tydeliggjøre roller og ansvar på ulike områder og formalisere dette ansvaret, har ledelsen identifisert tiltak knyttet til dette behovet. I tillegg har det blitt besluttet tiltak om reforhandling av driftsavtale med leverandør for å løse problemene knyttet til nedetid.

Ledelsen er opptatt av å ikke beslutte forhastede tiltak, da de bakenforliggende årsakene til problemene ofte bør utredes før tiltak besluttes. For problemene som er omtalt over, er det imidlertid ikke behov for noen nærmere rotårsaksanalyse, da årsakssammenhengene er klare og har vært kjent over lengre tid.

Følgende tiltak kan dermed utformes på virksomhetsnivå uten å identifisere ulike alternativer og vurdere/prioritere mellom disse:

• R4: Operasjonalisere etiske retningslinjer for statstjenesten gjennom dilemmatrening og praktiske caser med spesiell vekt på problemstillinger knyttet til habilitet og misligheter. Virksomhetsledelsen oppfatter at det er usikkerhet knyttet til i hvor stor grad de etiske retningslinjene er kjent blant de ansatte. Etiske problemstillinger knyttet til tilskuddssaker har medført store medieoppslag i den senere tid, og ledelsen vurderer at dette er et område det er nødvendig å øke oppmerksomheten på i FYSetat.
• R5: Oppdatere policy for tilskuddsforvaltningen for å tydeliggjøre rolle- og ansvarsfordelingen mellom tilskudds-, økonomi- og IKT-avdelingen. Det eksisterer en policy på området fra tidligere, men denne er ikke oppdatert på lang tid og omtaler ikke dette grensesnittet særskilt.
• R10: Utarbeide en policy for internkontroll siden ansvarsdelingen mellom den nyopprettede funksjonen og linjeledere knyttet til oppfølgingen av internkontroll er uklar. Virksomhetsledelsen vil forsikre seg om at linjen forstår og følger opp sitt ansvar for internkontroll, selv om virksomheten har opprettet en slik rolle/funksjon.
• R11: Reforhandle driftsavtalen med leverandøren av saksbehandlingsløsningen for å redusere risikoen for at nedetid og ustabilitet i saksbehandlingsløsningen forsinker saksbehandlingen.

Det er besluttet å opprette en tverrfaglig arbeidsgruppe satt sammen av representanter fra tilskudds-, administrasjons- og IKT-avdelingen som skal bistå fagansvarlig internkontroll i arbeidet med å forbedre formaliseringen knyttet til roller og ansvar i grensesnittet mellom linjen og fag- ansvarlig internkontroll (R10). Fagansvarlig internkontroll leder denne arbeidsgruppen.

Identifisere tiltak på lavere nivåer

Kartleggingen av prosessen for søknadsbehandling tilskudd viste at det var et behov for forbedringer for å håndtere risiko r2 Mangelfulle søknader gir uhensiktsmessig tidsbruk i saksbehandlingen og risiko r5 Mangelfull oversikt over inngåtte forpliktelser (tilsagn), jf. figur 30. Risiko r5 er en konkretisering av risiko R3 i risikovurderingen på virksomhetsnivå.

I arbeidet med å få på plass hensiktsmessige og gode tiltak ser prosesseier et behov for å identifisere hva som kan være aktuelle tiltak, og vurdere hvilke av disse alternative tiltakene som vil være mest hensiktsmessige og effektive med tanke på å håndtere risikoen. Prosesseiers vurdering av hva som vil være aktuelle tiltak, er listet opp i tabellen i figur 33.

Figur 33: Oversikt over ulike mulige tiltak i prosessen søknadsbehandling tilskudd.

I vurderingen av mulige tiltak har prosesseier forsøkt å identifisere kontroller som er forebyggende og automatiske, slik at kontrollene i størst mulig grad er «bygget inn» i prosesser og systemer.

5.3.2 Vurdere, prioritere og beslutte tiltak

Vurdere, prioritere og beslutte tiltak på virksomhetsnivå

Som nevnt har ledelsen i FYSetat i forbindelse med risikovurderingen på virksomhetsnivå konkludert med at de har tilstrekkelig grunnlag til både å identifisere og å beslutte tiltak på virksomhetsnivå.

Vurdere, prioritere og beslutte tiltak på lavere nivåer

Basert på listen over aktuelle tiltak beslutter prosesseier for søknadsbehandling tilskudd at tiltak A Innføre fullstendighetssjekk av søknader før søknaden går til behandling jf. figur 33, er det tiltaket som ønskes prioritert for å håndtere risiko r2. I vurderingen er det vektlagt at dette er et tiltak som har lav kostnad, kan igangsettes raskt, krever lite forberedelse og vil gi en rask bedring i saksbehandlingskapasiteten.

Når det gjelder beslutning knyttet til hvilket tiltak som skal velges for å håndtere r5, er vurderingen mer kompleks. De ulike tiltakene har et svært ulikt kostnadsestimat, og for ett av tiltakene vil det være nødvendig å involvere IKT-avdelingen, siden tiltaket innebærer en endring i saksbehandlingssystemet som IKT-avdelingen har ansvar for å drifte. 

Utvikling av ny modul vil også kreve utviklings- ressurser fra IKT-avdelingen i tillegg til ressurser som må avsettes fra tilskuddsavdelingen. Prosess- eier for søknadsbehandling tilskudd ser det derfor som hensiktsmessig å gjøre en kost–nytte- analyse av ulike mulige tiltak og vurdere disse opp mot hverandre.

Kost–nytte-vurderingen er illustrert i figur 34. I figuren vil tiltakene som kommer best ut med hensyn til verdi¹ og realiserbarhet², bli prioritert.

Prosesseier ønsker å prioritere tiltak B Det opprettes et tilsagnsregister som ny modul i saks- behandlingssystemet. Valget begrunnes med at tiltaket har klart høyest verdi. Tiltak B er samtidig det tiltaket som på kort sikt er mest kostnadskrevende i form av utviklingskostnader. En ny modul vil imidlertid gi automatisert kontroll, slik at tiltaket vil generere minimale kostnader på lengre sikt.

Tiltakene A og C har høy realiserbarhet, siden de medfører begrensede kostnader. De prioriteres likevel etter tiltak B, siden verdien vurderes vesentlig lavere, noe som blant annet begrunnes med at kontrollene vil være manuelle og prosedyren vil være sårbar, fordi den baseres på at alle saksbehandlere registrerer inn i et åpent regneark. Dette tiltaket vil også kreve saksbehandlerressurser til gjennomføring og oppfølging.

5.3.3 Utforme og dokumentere besluttede tiltak

FYSetat har nå besluttet hvilke tiltak som skal velges for å håndtere de ulike risikoene på ulike nivåer i virksomheten. Neste steg er å utforme de spesifikke tiltakene som er besluttet. Den enkelte risikoeier må avgjøre hvem som skal utforme tiltakene, og hvordan utformingen skal skje.

Utforme og forbedre på virksomhetsnivå

På virksomhetsnivå betyr dette at avdelingsleder for administrasjonsavdelingen er tildelt et ansvar for å utforme opplegget for dilemmatrening knyttet til etiske retningslinjer. Fagansvarlig internkontroll utarbeider et utkast til policy for internkontroll som skal godkjennes av virksomhetsleder. 

Avdelingsleder for tilskuddsavdelingen er tildelt ansvar for å gjennomgå eksisterende policy for tilskuddsforvaltning og gjøre oppdateringer slik at grensesnitt, herunder roller og ansvar mellom økonomi- og IKT-avdelingen, blir ivaretatt på en god måte. Fagansvarlig internkontroll vil bistå avdelingsleder for tilskuddsavdelingen i dette arbeidet. Avdelingsleder for IKT-avdelingen har støttet seg på juridisk ekspertise i arbeidet med å forberede reforhandling av driftsavtalen for saksbehandlingsløsningen.

Fagansvarlig internkontroll i FYSetat vil ta utgangspunkt i mal for policy for internkontroll utarbeidet av DFØ når policy for internkontroll skal utarbeides. Avdelingsleder for tilskuddsavdelingen vil også ta utgangspunkt i FYSetats felles mal for policyer når policy for tilskuddsforvaltning skal oppdateres. Dette for å sikre at innholdet i hver enkelt policy følger en fast mal og at de tydelig angir hvor ansvaret for ulike oppgaver skal ligge.

Utforme og forbedre på lavere nivåer

Prosesseier har, som nevnt i kapittel 5.3.2, besluttet at to nye tiltak skal utformes i prosessen for søknadsbehandling tilskudd. Disse tiltakene er følgende:

1. innføre fullstendighetssjekk av søknader før søknaden går til behandling
2. opprette et tilsagnsregister som ny modul i saksbehandlingssystemet

Etter at de to tiltakene er utformet, har prosesseier oppdatert prosesskartet slik at det viser oppdatert arbeidsflyt. I tillegg til å innarbeide de to nye tiltakene er prosessen oppdatert slik at overlappende kontroller som ble identifisert i kapittel 5.2.3 Vurdere behov for tiltak og/eller behov for oppfølging, er tatt bort.

I figur 35 vises hvordan FYSetat har valgt å dokumentere besluttede tiltak gjennom et nytt og oppdatert prosesskart for prosessen søknadsbehandling tilskudd med tilhørende prosedyrebeskrivelse. De to overlappende kontrollene, henholdsvis k7 og k8, er korrigert slik at k7 og k8 nå kun gjennomføres en gang, samt at nye tiltak (ny k2 og ny k10) knyttet til r2 og r5 er innarbeidet.

I tabellen i figur 36 vises et utdrag fra prosedyrebeskrivelsen for prosedyren for søknadsbehandling i FYSetat. Her gis en nærmere beskrivelse av aktivitetene som inngår i prosessen søknadsbehandling tilskudd.

Figur 36: Utdrag fra prosedyre for søknadsbehandling.

¹Verdi og nytte anses i denne sammenheng som synonymer. 
²Kostnaden er ett av elementene i vurderingen av hvor realiserbare tiltakene er (dersom kostnaden er høy, bidrar det til å redusere realiserbarheten). Andre elementer kan være kompetanse, kapasitet, tid, tekniske begrensninger, mv.