5.1.1 Innledning

Samlet utgiftsbevilgning til Fornyings-, administrasjons- og kirkedepartementet i 2010 utgjorde 7 831 mill kroner. Inntektsbevilgningen i 2010 utgjorde 1 282 mill kroner. Departementet har ansvaret for 42 virksomheter, fire fond og ett særlovsselskap.

5.1.2 Riksrevisjonen uttaler

Riksrevisjonen har avgitt 42 avsluttende revisjonsbrev uten merknad og to avsluttende revisjonsbrev med merknad til Departementenes servicesenter og Opplysningsvesenets fond.

5.1.2.1 Risikostyring ved fylkesmanns-embetene

Statlige virksomheter ble pålagt å innføre risiko-styring i 2003. Revisjonen av fylkesmannsembetenes regnskaper for 2010 viser at flere embeter ikke har etablert risikostyring som en integrert del av mål- og resultatstyringen. Konsekvensen av manglende risikostyring kan være økt risiko for redusert måloppnåelse i forhold til Stortingets forutsetninger og lite effektiv bruk av statlige midler, samt brudd på lover og regler.

Fornyings-, administrasjons- og kirkedepartementet viser til at det har et særlig ansvar for blant annet å påse at fylkesmannsembetene etablerer et system for risikostyring, og for at bestemmelsene i økonomireglementet blir fulgt. Departementet har videre ansvar for å følge opp risikostyring av felles virksomhetskritiske faktorer, men det er fagdepartementenes ansvar å følge opp innenfor sine respektive fagområder. I tildelingsbrevet for 2011 har departementet stilt krav om at fylkesmannsembetene jevnlig foretar risiko- og sårbarhetsanalyser, og at de avgir konkret rapportering av risikostyringen. Departementet opplyser at risikostyring er tatt opp i ledersamtaler i 2011. Hvis dette ikke følges opp på en tilfredsstillende måte vil departementet iverksette ytterligere tiltak. Hvert år siden 2005 har Riksrevisjonen i den årlige rapporteringen til Stortinget påpekt svakheter ved styringen av fylkesmannsembetene. Kontroll- og konstitusjonskomiteen har uttalt at den har merket seg svakhetene som Riksrevisjonen har påpekt.

Riksrevisjonen finner det kritikkverdig at For-nyings-, administrasjons- og kirkedepartementet ennå ikke har sikret at alle fylkesmannsembetene har etablert risikostyring som en integrert del av mål- og resultatstyringen. Riksrevisjonen forutsetter at departementet følger opp de tiltak som er skissert, og at det sikrer at innføring av risikostyring blir prioritert ved alle fylkesmannsembeter.

5.1.2.2 Departementenes servicesenter

Anskaffelser

Departementenes servicesenter (DSS) har foretatt innkjøp av varer og tjenester som overstiger kr 500 000 per leverandør uten at det er gjennomført konkurranse, og for flere av disse anskaffelsene foreligger heller ikke skriftlig avtale. Riksrevisjonen har merket seg at DSS har iverksatt tiltak for å få bedre kontroll med anskaffelsene og sikre bedre kontraktsforvaltning. Riksrevisjonen har videre merket seg at Fornyings-, administrasjons- og kirkedepartementet påpeker viktigheten av god intern kontroll, og at organisatoriske tiltak for å styrke den interne kontrollfunksjon vil bli vurdert i samråd med DSS.

Riksrevisjonen er kritisk til at DSS ikke overholder anskaffelsesregelverket, og forutsetter at For-nyings-, administrasjons- og kirkedepartementet påser at etablerte tiltak får ønsket effekt.

Informasjonssikkerhet

DSS er et administrativt serviceorgan som leverer tjenester til departementene og Statsministerens kontor, blant annet all ikt-drift i 13 departementer. DSS har for 2010 fortsatt vesentlige mangler på informasjonssikkerhetsområdet, til tross for påpekninger fra Riksrevisjonen i Dokument 1 (2010–2011). Fornyings-, administrasjons- og kirkedepartementet har også konkludert med at det i 2010 ikke er skjedd vesentlige forbedringer av informasjonssikkerheten i DSS. Departementet har imidlertid ikke besvart Riksrevisjonens spørsmål om hvordan nasjonale sikkerhetsinteresser er ivaretatt inntil DSS får på plass tilfredsstillende sikkerhet.

Riksrevisjonen har merket seg at DSS i 2010 har planlagt hvordan påviste svakheter skal utbedres, og at Fornyings-, administrasjons- og kirkedepartementet har stilt krav til DSS om å utbedre alle påviste forhold i løpet av 2011. Riksrevisjonen har registrert at Fornyings-, administrasjons- og kirkedepartementet har sett behov for å styrke egen kompetanse på ikt-området, og at departementet har engasjert et eksternt konsulentfirma for å bistå i oppfølgingen av DSS.

Riksrevisjonen er sterkt kritisk til at DSS fortsatt har vesentlige mangler på informasjonssikkerhetsområdet, og forutsetter at alle påviste svakheter blir utbedret. Videre ser Riksrevisjonen alvorlig på at Fornyings-, administrasjons- og kirkedepartementet ikke har sikret at infrastrukturen som departementene benytter har tilfredsstillende sikkerhet, og understreker departementets ansvar.

5.1.2.3 Opplysningsvesenets fond

Risikostyring, styring og oppfølging av datterselskaper

Opplysningsvesenets fond (Ovf) forvalter fast eiendom og finanskapital som skal komme Den norske kirke til gode. Eiendomsforvaltning skjer blant annet gjennom datterselskaper.

Risikostyring

Fornyings-, administrasjons- og kirkedepartementet satte for 2009 krav til Ovf om å etablere et gjennomgående system for risikostyring. Revisjonen har vist at Ovf fortsatt ikke har etablert et helhetlig system for risikostyring som tar hensyn til kompleksiteten og totalaktiviteten i Ovf og datterselskapene. Dette har blant annet medført at kapitalintensive prosjekter er blitt godkjent uten at det er foretatt vurdering av Ovfs totale risikoeksponering og økonomiske bæreevne. Manglende risikostyring er også tatt opp tidligere, og Fornyings-, administrasjons- og kirkedepartementet har opplyst at et gjennomgående system for risikostyring nå er under utarbeidelse.

Riksrevisjonen ser alvorlig på at Ovf fortsatt ikke har etablert et helhetlig system for risikostyring og forutsetter at arbeidet gis nødvendig prioritet.

Styring og oppfølging av datterselskaper

Ved utgangen av 2010 hadde Ovf 16 datterselskaper. Investeringsaktiviteten i datterselskapene er økende, uten at det er gitt nødvendige retningslinjer. Dette medfører at styring av datterselskapene framstår som uklar, spesielt knyttet til ansvarsforhold, roller, kontroll og oppfølging. Manglende føringer for styring og oppfølging av datterselskapene er tatt opp tidligere, og kontroll- og konstitusjonskomiteen merket seg at Fornyings-, administrasjons- og kirkedepartementet ville gjennomgå og vurdere Ovfs rammeverk og overordende instruksverk.

Fornyings-, administrasjons- og kirkedepartementet har opplyst at det pågår en gjennomgang av Ovfs instruksverk, rammebetingelser og organisering, hvor også styring og kontroll av datterselskaper inngår. Departementet har opplyst at dette arbeidet vil ta noe tid, og at det derfor vil ha en særskilt gjennomgang av instruksbestemmelser knyttet til roller og ansvar. Denne gjennomgangen vil blant annet omfatte forholdet mellom departementet og styret i Ovf, regulering av datterselskaper og retningslinjer for aktiviteten i datterselskapene.

Riksrevisjonen har merket seg at Fornyings-, administrasjons- og kirkedepartementet skal gjennomgå Ovfs rammebetingelser. Riksrevisjonen finner det kritikkverdig at Ovf, i påvente av denne gjennomgangen, ikke har etablert prinsipper, policyer og interne retningslinjer knyttet til aktiviteten i datterselskaper.

Departementets styring og oppfølging

Riksrevisjonen registrerer at styret etter departementets oppfatning er ansvarlig for risikostyring og fastsettelse av instruksverk i Ovf og datterselskaper. Riksrevisjonen er enig i at Ovf har et selvstendig ansvar, men påpeker at Fornyings-, administrasjons- og kirkedepartementet har et overordnet ansvar for styring og oppfølging av underliggende virksomheter.

Riksrevisjonen er kritisk til at Fornyings-, administrasjons- og kirkedepartementet, gjennom styringen av Ovf, ikke har påsett at et helhetlig system for risikostyring er etablert og at nødvendige retningslinjer for aktiviteten i datterselskapene foreligger. Riksrevisjonen finner det videre kritikkverdig at departementets varslede gjennomgang av rammeverket fortsatt ikke er ferdigstilt. Riksrevisjonen forutsetter at departementet følger opp at Ovf implementerer et helhetlig system for risikostyring og sikrer at føringer knyttet til styring og oppfølging av datterselskapene blir avklart.

Forvaltning av ikt

Ovf drifter dataløsninger for egen organisasjon, og er pålagt ansvar for driften av dataløsninger til sentrale og regionale kirkelige organer. På ikt-området er Ovf avhengig av eksterne konsulenter, og det foreligger avtaler om kjøp av konsulenttjenester. Riksrevisjonen finner det kritikkverdig at Ovf ikke etterlever anskaffelsesregelverket ved kjøp av konsulenttjenester. Mangler på dette området er også tatt opp tidligere, og kontroll- og konstitusjonskomiteen har forutsatt at departementet følger opp etterlevelsen av regelverket i Ovf. I 2009 ble det avklart at Ovf er omfattet av anskaffelsesregelverket, og Riksrevisjonen ser alvorlig på at departementet ikke har sett grunn til å etterprøve om Ovf faktisk forholder seg korrekt på dette området.

Riksrevisjonen er videre kritisk til at Ovf ikke har etablert et tilfredsstillende styringssystem for ikt og at det er svakheter i sikkerheten til det nettverket som Ovf drifter. Riksrevisjonen har merket seg at departementet vil ha en nær oppfølging av Ovf på ikt-området, og at det skal foretas en helhetlig gjennomgang. Riksrevisjonen forutsetter at de tiltak som iverksettes fører til bedre forvaltning av ikt i Ovf, og understreker departementets ansvar for å påse at tiltakene gir ønsket effekt.

Internkontroll

Mangler ved internkontrollen i Ovf er tatt opp i Dokument 1 flere ganger tidligere. Riksrevisjonen ser alvorlig på at Ovf fortsatt har svakheter knyttet til internkontroll og dokumentasjon av regnskapsopplysninger, til tross for at tiltak er iverksatt. Riksrevisjonen har merket seg at Fornyings-, administrasjons- og kirkedepartementet nå vil påse at tiltak for å bedre internkontrollen får nødvendig prioritet.

Riksrevisjonen understreker viktigheten av at internkontrollen innrettes slik at feil og svakheter korrigeres. Riksrevisjonen ser alvorlig på at For-nyings-, administrasjons- og kirkedepartementet gjennom styringen av Ovf ikke har påsett at internkontrollen er tilfredsstillende, og forutsetter at departementet følger opp at nødvendige tiltak blir iverksatt.

5.1.2.4 Oppfølging av tidligere rapporterte forhold

Av tidligere rapporterte forhold er følgende saker avsluttet:

• Brukerorientering

Følgende saker vil bli fulgt opp i den løpende revisjonen:

• Departementets samordnings- og sektoransvar for informasjonssikkerhet

• Manglende måloppnåelse for offentlig elektronisk postjournal

• Retningslinjer for finansforvaltningen og oppfølging av datterselskaper i Ovf

• Informasjonssikkerhet i DSS