1.1 Innledning

Formålet med risikostyring er å gi rimelig sikkerhet for at virksomhetens mål nås. Risikostyring er ett av flere virkemidler som skal bidra til at de regionale helseforetakene og helseforetakene skal kunne nå helsepolitiske mål.

Risikostyring skal hjelpe foretakene til å tenke proaktivt, prioritere og ta bedre beslutninger. Det handler om at ledelsen både skal kjenne til og aktivt håndtere forhold som kan true måloppnåelsen, blant annet ved å identifisere og forebygge områder der svikt kan oppstå.

Sentrale helsepolitiske mål er nedfelt i helselovgivningen, og de er i all hovedsak knyttet til ulike aspekter ved å sikre kvaliteten i pasientbehandlingen. De regionale helseforetakene har et sørge for-ansvar for spesialisthelsetjenestene i sin region. Ansvaret innebærer at befolkningen i helseregionen skal tilbys forsvarlige spesialisthelsetjenester. De regionale helseforetakene eier helseforetakene, som skal yte gode og likeverdige spesialisthelsetjenester til alle som trenger det, når de trenger det.

De norske helsetjenestene holder høyt nivå internasjonalt. Likevel har helseforetakene manglende måloppnåelse innen flere områder som gjelder kvalitet i pasientbehandlingen. Blant annet er målet om å redusere omfanget av pasientskader ikke nådd. Videre har det over mange år vært for lange ventetider til behandling ved helseforetakene. Når det gjelder målet om et likeverdig tjenestetilbud, foreligger det mye kunnskap som viser at det er uønskede variasjoner mellom helseforetakene i kvaliteten på og forbruket av spesialisthelsetjenester på en rekke fagområder.

Riksrevisjonen har gjennomført mange undersøkelser som viser at det er svakheter i viktige faktorer som har betydning for foretakenes evne til å levere tjenester i tråd med de helsepolitiske målene. Flere av disse viser at det er svakheter i helseforetakenes og de regionale helseforetakenes arbeid med risikostyring. Også undersøkelser som er gjennomført av internrevisjonene i de regionale helseforetakene viser at det er svakheter på området.

Risikostyring er en sentral del av styringssystemet og skal være integrert i virksomhetsstyringen. Selv om det er mange faktorer som påvirker de regionale helseforetakenes og helseforetakenes måloppnåelse, vil svakheter i risikostyringen ha betydning for virksomhetsstyringen og dermed få konsekvenser for hvordan foretakene prioriterer ressurser, følger opp resultater og bruker informasjon til læring og forbedring. Svak risikostyring kan få direkte konsekvenser for den enkelte pasients liv og helse og har derfor høy viktighet.

Målet med Riksrevisjonens undersøkelse har vært å vurdere om de regionale helseforetakene og helseforetakene bruker risikostyring i samsvar med gjeldende krav og anbefalinger som virkemiddel for å støtte opp om helsepolitiske mål.

Et sentralt premiss for undersøkelsen er at god risikostyring bidrar til målrettet innretning av virksomheten. Den direkte årsakssammenhengen mellom risikostyring og måloppnåelse er ikke kartlagt.

Undersøkelsen er særskilt rettet mot risikostyring av mål om kvalitet i pasientbehandlingen og omfatter både foretaksnivå og operativt nivå. På det operative nivået er undersøkelsen avgrenset til risikostyringen som foregår i fødeavdelingene. Undersøkelsen omfatter i hovedsak perioden 2019–2022.

Risikostyring på områder som ikke berører kvaliteten i pasientbehandlingen direkte, som blant annet bygging av nye sykehus og innføring av nye IKT-systemer, er i mindre grad belyst.

Rapporten ble forelagt Helse- og omsorgsdepartementet i brev 22. november 2023. Departementet har i brev 20. desember 2023 gitt kommentarer til Riksrevisjonen. Kommentarene er i hovedsak innarbeidet i rapporten og i dette dokumentet.

Rapporten, riksrevisorkollegiets oversendelsesbrev til departementet 26. januar 2024 og statsrådens svar 8. februar 2024 følger som vedlegg til Riksrevisjonens dokument.

1.2 Utdyping av konklusjoner

Undersøkelsen viser at mange av foretakene ikke arbeider systematisk med risikostyring. Dette kan føre til at viktige utfordringer ikke blir identifisert, eller at nødvendige korrigerende tiltak ikke blir gjennomført og fulgt opp. Foretakenes evne til å systematisk innrette virksomheten på en måte som bidrar til måloppnåelse, blir dermed redusert. Dette mener Riksrevisjonen er kritikkverdig.

Noen foretak har god praksis i deler av risikostyringen. Det er derfor grunnlag for læring på tvers av foretakene.

1.2.1 De regionale helseforetakene og helseforetakene har kjente utfordringer som i varierende grad gjenspeiles i risikostyringen

Ledelsen i de regionale helseforetakene og ledere på ulike nivåer i helseforetakene skal ha oversikt over områder i virksomheten hvor det er risiko for svikt eller mangel på etterlevelse av myndighetskrav, og områder hvor det er behov for vesentlig forbedring av kvaliteten på tjenestene. Risikostyring skal bidra til at foretakene med utgangspunkt i sin egenart retter oppmerksomheten mot områder som i særlig grad kan true måloppnåelsen.

1.2.1.1 Det er kjente områder med manglende måloppnåelse som i mange tilfeller ikke inngår i de prioriterte risikoene som legges fram for styrene

Styrene i de regionale helseforetakene og helseforetakene får informasjon om svakheter på ulike måter. Dette skjer dels gjennom den løpende virksomhetsstyringen, der styrene får informasjon om resultater i driften som berører status for arbeidet med å nå viktige mål og utfordringer, for eksempel ventetider.

Risikostyring handler om at foretakene identifiserer risikoer som det er nødvendig å rette særskilt oppmerksomhet mot. Slike saker blir styrene informert om i egne saker om prioriterte risikoer eller i andre særskilte saker. Særskilte saker kan for eksempel være økonomiske langtidsplaner og større bygge- eller IKT-prosjekter.

Alle de fire regionale helseforetakene og alle helseforetakene, unntatt to, legger fram prioriterte risikoer for styrene flere ganger i året.

Risikostyring er en dynamisk prosess. Det vil si at det kan være utskiftinger i de prioriterte risikoene over tid. I undersøkelsen er det kartlagt hvilke risikoer som ble prioritert av de regionale helseforetakene og helseforetakene høsten 2022. De prioriterte risikoene gjaldt ulike områder som blant annet kvaliteten i pasientbehandlingen, bemanningsutfordringer, økonomi, IKT og informasjonssikkerhet, og investeringer.

Både de regionale helseforetakene og helseforetakene har flest prioriterte risikoer på området kvalitet i pasientbehandlingen. Alle de regionale helseforetakene og alle helseforetakene som har prioriterte risikoer, la fram én eller flere risikoer på dette området for styrene i 2022. Dette området dekker spesialisthelsetjenestenes formål om å bidra til å sikre

• tjenestetilbudets kvalitet

• et likeverdig tjenestetilbud

• at tjenestetilbudet blir tilgjengelig for pasientene.

Samlet sett har helseforetakene prioritert 54 risikoer mellom de tre formålene innenfor området kvalitet i pasientbehandlingen.

Alle de fire regionale helseforetakene og de fleste helseforetakene har prioritert risikoer knyttet til tjenestetilbudets kvalitet. Videre har tre av de fire regionale helseforetakene og nesten halvparten av helseforetakene prioritert risikoer knyttet til målet om at tjenestene skal være tilgjengelige for pasientene.

Imidlertid har få foretak prioritert risikoer knyttet til målet om et likeverdig tjenestetilbud. I tillegg til foretakene i Helse Vest, er det bare to helseforetak som har prioritert risikoer knyttet til dette målet. Flere rapporter fra Senter for klinisk dokumentasjon og evaluering har vist at det er store variasjoner mellom helseforetakene i kvaliteten på og forbruket av spesialisthelsetjenester på en rekke fagområder. Med bakgrunn i det ovennevnte er det etter Riksrevisjonens vurdering få foretak som har prioriterte risikoer knyttet til målet om et likeverdig tjenestetilbud.

Også på flere andre områder har foretakene hatt manglende måloppnåelse over tid. I undersøkelsen er ikke det enkelte helseforetakets prioriteringer vurdert, men samlet sett mener Riksrevisjonen at relativt få foretak har valgt å legge fram prioriterte risikoer for styrene i 2022 på følgende områder:

• Psykiske plager og lidelser er en av de store helse- og samfunnsutfordringene, og Stortinget har gjennom flere år sluttet seg til at bedre behandling innenfor psykisk helse og rus er et sentralt mål. Undersøkelsen viser at tre av de regionale helseforetakene har psykisk helsevern som en prioritert risiko, mens dette bare gjelder sju av helseforetakene.

• Det er bare to helseforetak som har lagt fram prioriterte risikoer der samhandling mellom helseforetakene og kommunene er hovedtema. En rekke tidligere undersøkelser fra både Riksrevisjonen og andre viser at det er utfordringer med å få til helhetlige pasientforløp og god samhandling mellom kommunene og helseforetakene, og at det ofte oppstår svikt i overgangene mellom dem. I Veileder til forskrift om ledelse og kvalitetsforbedring i helse- og omsorgstjenesten står det at lederen bør ha særskilt oppmerksomhet på risikofaktorer som er forbundet med samhandling internt og eksternt.

Foretakenes måloppnåelse påvirkes også av ytre omgivelser, slik som juridiske, teknologiske, økonomiske og miljømessige faktorer. Bare tre helseforetak og ett av de regionale helseforetakene har eksterne forhold som prioriterte risikoer. Risiko for svikt i leveranser av kritisk utstyr og legemidler og utbrudd av smittsom sykdom som utfordrer sykehusenes kapasitet, er to av disse risikoene.

Innenfor rammene av de overordnede målene og øvrige rammer som Stortinget fastsetter, gir Helse- og omsorgsdepartementet krav og føringer til de regionale helseforetakene i de årlige foretaksmøtene og oppdragsdokumentene. Det er vanlig praksis at de regionale helseforetakene videreformidler disse til helseforetakene i regionen.

Mål og krav i oppdragsdokumentene følges opp i den løpende virksomhetsstyringen. Undersøkelsen viser at alle de fire regionale helseforetakene risikovurderer styringskravene knyttet til mål om kvalitet i pasientbehandlingen som gis i oppdragsdokumentene, mens bare om lag halvparten av helseforetakene har gjort tilsvarende. Etter Riksrevisjonens vurdering er det uheldig at mange helseforetak ikke risikovurderer oppdragsdokumentet, ettersom dette dokumentet inneholder sentrale mål og krav om kvalitet i pasientbehandlingen som er gitt av Helse- og omsorgsdepartementet, og som omfatter nasjonale mål og føringer vedtatt av Stortinget.

Ved identifisering av prioriterte risikoer tar flere helseforetak bare utgangspunkt i særskilte risikoer i egen virksomhet, mens andre kun tar utgangspunkt i mål og krav i oppdragsdokumentet. Videre er det få helseforetak som har endringer i ytre omgivelser blant sine prioriterte risikoer. Etter Riksrevisjonens vurdering bruker mange helseforetak ikke et tilstrekkelig bredt grunnlag for å få en samlet oversikt over risikobildet ved identifiseringen av prioriterte risikoer.

1.2.1.2 De fleste fødeavdelingene i helseforetakene gjennomfører få risikovurderinger

For å fange opp risiko som kan svekke måloppnåelsen, er det nødvendig at risikovurderinger også gjennomføres på lavere nivåer i foretakene. Det kan være risiko knyttet til den løpende driften, for eksempel gjentatte uønskede hendelser og bemanningsutfordringer, eller risiko som kan oppstå i forbindelse med planlagte endringer. Eksempler på det sistnevnte er omorganiseringer eller innføring av ny teknologi.

I et flertall av helseforetakenes retningslinjer for risikostyring står det at risikostyring bør gjennomføres også på operativt nivå. I 11 av 19 helseforetak har fødeavdelingene i perioden 2019–2022 gjennomført risikovurderinger av mål på området kvalitet i pasientbehandlingen. Disse kan være omfattende, som risikovurdering av fødetilbudet, eller gjelde mer avgrensede områder, som for eksempel overflytting av pasienter eller sommerbemanning.

De fleste helseforetakene gjør få risikovurderinger. I bare fire helseforetak har fødeavdelingene gjennomført fem eller flere risikovurderinger i disse fire årene.

I åtte helseforetak har ikke fødeavdelingene gjennomført risikovurderinger av kvalitet i pasientbehandlingen i perioden. Fire av disse har imidlertid – i likhet med mange av de andre helseforetakene – oversendt risikovurderinger på områdene arbeidsmiljø/HMS og bemanningsutfordringer i fødeavdelingene. Dette er områder som indirekte påvirker kvaliteten i pasientbehandlingen. De fire øvrige helseforetakene har ikke oversendt noen risikovurderinger som er gjennomført i fødeavdelingene i perioden.

Helse- og omsorgsdepartementet viser til at fødselsomsorgen i Norge holder høy kvalitet i internasjonal sammenheng. Senter for klinisk dokumentasjon og evaluering sin rapport om fødselshjelp viser også at gravide kvinner generelt får tett og god oppfølging gjennom svangerskap og fødsel. Departementet framholder at Helsedirektoratets veileder Et trygt fødetilbud – Kvalitetskrav til fødselsomsorgen gir et faglig grunnlag for utviklingen av fødselsomsorgen. Undersøkelsen viser at fødeavdelingene i helseforetakene bruker flere typer verktøy for å unngå feil og pasientskader.

Samtidig viser ulike kilder at fødeavdelingene har utfordringer knyttet til

• å rekruttere og beholde fagpersonell (inkludert jordmødre)

• variasjon i kvalitetsindikatorer

• uberettiget geografisk variasjon i behandlingspraksis, det vil si i bruk av blant annet keisersnitt, tang og vakuum, klipping og epidural

• relativt mange uønskede hendelser.

Uønskede hendelser er hendelser som har ført til, eller som kunne ha ført til, pasientskade og i verste fall død. Det varierer mellom helseforetakene hvor stor andelen av uønskede hendelser utgjør av antall fødsler. Denne variasjonen kan påvirkes av ulik meldekultur mellom helseforetakene. God meldekultur fører til et høyere antall meldte hendelser, noe som kan være positivt i lys av arbeidet med pasientsikkerheten.

Det ble meldt inn uønskede hendelser i omtrent 5 pst. av alle fødsler i perioden 2019–2021. I absolutte tall utgjør dette 8 544 uønskede hendelser. De ulike hendelsene er kategorisert i et eget klassifikasjonssystem for uønskede pasienthendelser. Et flertall av de uønskede hendelsene hadde mindre alvorlige eller ingen konsekvenser. 1 570 av de uønskede hendelsene hadde moderate konsekvenser, som innebærer at de krevde behandlingstiltak eller oppfølging. Videre hadde 392 hendelser betydelige konsekvenser, det vil si skade som krevde en betydelig økt utrednings- eller behandlingsintensitet, varig funksjonstap eller lidelse. 50 tilfeller ble meldt inn som død, som kan ha årsak i behandling eller mangel på behandling.

Helseforetakene kan følge opp uønskede hendelser på ulike måter, for eksempel gjennom hendelsesanalyser. Samtidig som det gjennomføres få risikovurderinger i fødeavdelingene, viser undersøkelsen at det også, med unntak av noen få helseforetak, gjennomføres relativt få eller ingen hendelsesanalyser av uønskede hendelser i fødeavdelingene.

Sykehusene er i sin natur virksomheter hvor en ikke kan gardere seg mot uønskede hendelser. Utfordringene på området tilsier imidlertid at det etter Riksrevisjonens vurdering gjennomføres få dokumenterte risikovurderinger med det formål å identifisere områder der svikt kan inntreffe, og å forebygge svikt i fødeavdelingene.

1.2.2 Det er manglende systematikk i måten risikostyringen gjennomføres på

For å sikre at de vesentlige risikoene blir identifisert og fulgt opp, bør risikostyringen være en systematisk prosess. Resultatene av den bør dokumenteres for at styret og ledere på ulike nivåer i foretakene skal kunne ivareta sine ansvarsområder.

1.2.2.1 Mål om kvalitet i pasientbehandlingen blir ofte ikke operasjonalisert

Målene er et viktig utgangspunkt for risikovurderinger. Tydelige mål er avgjørende for at risikostyringen skal gi verdi. Hvis målene er uklare, blir det vanskelig å identifisere tilhørende risikoer og tiltak som kan bidra til å øke sannsynligheten for måloppnåelse. Operasjonalisering av mål vil gjøre dem tydeligere.

Mange av styringsmålene i oppdragsdokumentet fra Helse- og omsorgsdepartementet er operasjonalisert i indikatorer som er konkrete, målbare og tidsbestemte. Tre av fire regionale helseforetak og over halvparten av helseforetakene har ikke på foretaksnivå operasjonalisert mål om kvalitet i pasientbehandlingen utover styringskravene i det årlige oppdragsdokumentet. Dette kan etter Riksrevisjonens vurdering redusere mulighetene til å identifisere andre risikoer som tar utgangspunkt i egenarten til det enkelte foretak.

Ledere i helseforetakene bør operasjonalisere målene til relevant nivå i virksomheten. Akershus universitetssykehus HF er et av helseforetakene som har operasjonalisert mål utover mål i oppdragsdokumentet. Her brukes en prosedyre som skal sikre en god prosess i behandlingen og operasjonaliseringen av målene til klinikkene. Helseforetaket legger opp til at alle enhetene i klinikkene skal sette egne mål for kvaliteten i pasientbehandlingen.

Undersøkelsen viser at nesten halvparten av helseforetakene ikke har operasjonalisert mål om kvalitet i pasientbehandlingen i fødeavdelingene. Etter Riksrevisjonens vurdering svekker dette fødeavdelingenes grunnlag for å integrere risikostyringen i virksomhetsstyringen og å identifisere risikoer som kan true måloppnåelsen.

1.2.2.2 Mange av risikovurderingene gir et dårlig grunnlag for å vurdere om risikoen bør følges opp med tiltak

En risikovurdering skal gi grunnlag for å beslutte om risikoen bør håndteres, og eventuelt hvordan. Undersøkelsen viser at det er svakheter i kvaliteten på mange av de gjennomførte risikovurderingene når det gjelder å dokumentere risikonivå, planlagte tiltak og kunnskapsgrunnlaget vurderingene bygger på.

Risikonivået er en kombinasjon av sannsynligheten for at risikoen oppstår og mulige konsekvenser. Risikonivået skal gi grunnlag for beslutninger om hvorvidt det er nødvendig å iverksette risikoreduserende tiltak. Når dette ikke er dokumentert, er det vanskelig å vurdere om det er nødvendig å gjennomføre tiltak for å redusere risikoen til et akseptabelt nivå.

Risikonivået kan visualiseres i en risikomatrise. Risikomatrisen som en foretaksgruppe i Helse Midt-Norge skal bruke, viser ulike kombinasjoner av sannsynlighet og konsekvens, som gir henholdsvis lavt, moderat, høyt eller svært høyt risikonivå.

Undersøkelsen viser følgende:

• Hver tredje risikovurdering på operativt nivå i fødeavdelingene inneholder ikke en vurdering av sannsynlighet, konsekvens og risikonivå.

• Kun 12 av 19 helseforetak har dokumentert sannsynlighet, konsekvens og risikonivå i risikoer som er behandlet av styret.

• Av de regionale helseforetakene, er det bare Helse Midt-Norge RHF og Helse Sør-Øst RHF som overfor styret har dokumentert både sannsynlighet, konsekvens og risikonivå. De to andre regionale helseforetakene har ikke dokumentert tilsvarende.

I retningslinjene for risikostyring for foretaksgruppene til både Helse Vest og Helse Midt-Norge går det fram kriterier for om det bør iverksettes tiltak for de ulike risikoene (risikoakseptkriterier).

En risikovurdering har begrenset nytte hvis den ikke følges opp med tiltak. Undersøkelsen viser at i nesten halvparten av risikovurderingene som er utført i fødeavdelingene, er ikke planlagte risikoreduserende tiltak dokumentert, selv om risikonivået tilsier at det burde ha vært iverksatt tiltak i tråd med risikoakseptkriterier. På foretaksnivå gjelder dette fem av helse-foretakene, det vil si at de ikke har dokumentert planlagte tiltak, mens alle de regionale helseforetakene har gjort dette.

Både på foretaksnivå og i fødeavdelingene i helseforetakene inneholder risikovurderingene begrenset dokumentasjon av hvilket kunnskapsgrunnlag de bygger på. For eksempel er det i liten grad dokumentert hvem som har vært involvert i utarbeidelsen av risikovurderingene, hvilke data som er brukt (for eksempel data om uønskede hendelser eller nasjonale kvalitetsindikatorer), eller om viktige interessenter (berørte avdelinger, pasienter, brukerorganisasjoner og kommuner) har vært involvert. Dette er etter Riksrevisjonens vurdering informasjon som er viktig for å støtte beslutningstakere i den videre prosessen med å håndtere risiko.

1.2.2.3 Det er mangelfull dokumentasjon av om risikoreduserende tiltak blir fulgt opp

Undersøkelsen viser at det finnes lite dokumentasjon av at risikoreduserende tiltak etter risikovurderinger blir fulgt opp. Dette gjelder både fødeavdelingene og på foretaksnivå i helseforetakene og i de regionale helseforetakene.

Det er bare fødeavdelinger i tre helseforetak som har dokumentert eksempler på at planlagte tiltak for å håndtere risiko er gjennomført og evaluert. Flertallet av helseforetakene kan derfor ikke dokumentere at risikoreduserende tiltak blir gjennomført i fødeavdelingene, eller at effekten av tiltakene blir vurdert. Flertallet kan heller ikke dokumentere at relevant risiko er rapportert til overordnet nivå. Samtidig er det få helseforetak som har skriftlige rutiner for hvordan planlagte tiltak skal følges opp og rapporteres.

Når det gjelder foretaksnivå i helseforetakene, kan bare halvparten av foretakene dokumentere at gjennomføringen av tiltak blir rapportert til styret i virksomhets- og tertialrapporteringen. Sørlandet sykehus HF er et av foretakene som skiller seg ut. Foretaket har dokumentert eksempel på tiltak og forventet effekt på risiko etter tiltak i tertialrapportering til styret.

Undersøkelsen viser også at mange av risikovurderingene som er utført både på foretaksnivå og i fødeavdelingene, ikke inkluderer informasjon om hvem som er ansvarlig for gjennomføringen av tiltak, eller fristen for gjennomføringen av tiltak. Dette er trolig sentrale årsaker til at det heller ikke kan dokumenteres at tiltak er gjennomført og fulgt opp.

Også når det gjelder risikovurderinger de regionale helseforetakene har utført, er det lite dokumentasjon på gjennomførte tiltak, og det er i liten grad dokumentert om tiltak har hatt effekt på risikoene. Flere av de regionale helseforetakene opplyser at oppfølging av tiltak og rapportering av risiko i helseforetakene skjer løpende i møter, uten at oppfølgingen blir dokumentert.

Manglende dokumentasjon på oppfølging av tiltak og rapportering av risiko viser etter Riksrevisjonens vurdering at risikostyringssystemet ikke er fullstendig innført i foretakene. Manglende dokumentasjon kan føre til at ledere ikke enkelt får oversikt over risikobildet på sitt ansvarsområde og hvordan risikoer eventuelt håndteres. Dermed begrenses mulighetene de har til å systematisk innrette og følge opp virksomheten på en måte som kan bidra til måloppnåelse og til å identifisere områder der det er mulig å gjøre kvalitetsforbedringer.

Foretakene rapporterer regelmessig resultater på sentrale deler av driften til styrer og eiere. Ledere på ulike nivåer i foretakene vil i forbindelse med måneds- og tertialrapporteringen blant annet kunne følge utviklingen i kvalitetsindikatorer og dermed kunne avdekke risikoer for manglende måloppnåelse. Videre viser departementet til at de regionale helseforetakene tar opp sider ved driften med særlig risiko og områder som krever oppmerksomhet, i oppfølgingsmøter med helseforetakene.

Etter Riksrevisjonens oppfatning er tiltak som besluttes og gjennomføres som oppfølging av resultatavvik i virksomhetsrapporteringen, en del av den løpende resultatoppfølgingen. Slik oppfølging kan være relevant for å identifisere områder som bør følges særskilt i risikoarbeidet. Dette kan betraktes som god virksomhetsstyring og forbedringsarbeid, noe som fører til bedre måloppnåelse. Dette er en reaktiv tilnærming til allerede oppståtte problemer. Det er imidlertid etter Riksrevisjonens vurdering også viktig å ha en proaktiv risikotilnærming – der formålet er å forebygge og unngå negative resultater.

1.2.3 Mange av retningslinjene for risikostyring er ikke i tråd med god praksis

Helse- og omsorgsdepartementet presiserte kravene til risikostyring allerede i foretaksmøtet i 2008 og har gjentatt dette i flere foretaksmøter siden. Departementet stilte krav om at styrene i de regionale helseforetakene skulle påse at foretakene hadde etablert systemer for risikostyring. Dette kravet omfattet både det regionale helseforetaket og foretaksgruppen.

God praksis for risikostyring tilsier at foretakene har retningslinjer som beskriver sentrale elementer som skal bidra til å sikre systematikk i risikostyringen. Disse elementene omfatter blant annet kriterier for å vurdere sannsynlighet, konsekvens og risikonivå, hvordan risikovurderinger bør gjennomføres, og hvordan risikoer bør håndteres og følges opp.

Felles retningslinjer er et viktig hjelpemiddel for å sikre sammenlignbar praksis i foretaksgruppene. Med unntak av Helse Sør-Øst RHF har de regionale helseforetakene utarbeidet retningslinjer for risikostyring for sine egne foretaksgrupper. Helse Sør-Øst RHF har et rammeverk for virksomhetsstyring for foretaksgruppen der risikostyring er begrenset omtalt.

De tre andre regionale helseforetakene har etter 2020 revidert retningslinjene for risikostyring. En av grunnene til dette var at det var behov for å ha lik metodikk i foretaksgruppene.

De reviderte retningslinjene for risikostyring til foretaksgruppene i Helse Vest og Helse Midt-Norge inneholder krav til sentrale elementer i risikostyringen. De reviderte retningslinjene til Helse Nord RHF gir begrenset informasjon om de sentrale elementene, men viser til at metodikken skal utvikles i samarbeid med helseforetakene.

Det er bare Helse Midt-Norge RHF og Helse Vest RHF som i retningslinjene for foretaksgruppene har definert felles kriterier for å vurdere sannsynlighet og konsekvens, hvilket risikonivå som kan aksepteres, og hvilke handlinger som kreves ved ulike risikonivåer. Dette er etter Riksrevisjonens vurdering viktig for å kunne vurdere og sammenligne risiko på tvers av og mellom nivåer i foretaksgruppen. Ulik praksis mellom helseforetakene i foretaksgruppen svekker etter Riksrevisjonens vurdering det regionale helseforetakets grunnlag for å kunne vurdere det samlede risikobildet i foretaksgruppen.

De nye retningslinjene for foretaksgruppene i Helse Vest, Helse Nord og Helse Midt-Norge presiserer at de enkelte helseforetakene bør utarbeide egne retningslinjer for risikostyring. Det pekes på at helseforetakene har et selvstendig ansvar for at styringssystemene er tilpasset foretakets egenart og særskilte risikoforhold.

Nesten alle helseforetakene har egne retningslinjer for risikostyring. De varierer imidlertid med hensyn til hvordan de dekker de ulike delene av risikostyringen.

Helseforetakenes retningslinjer er gjennomgående mangelfulle i beskrivelsen av hvordan planlagte risikoreduserende tiltak skal følges opp, og hvordan risiko skal rapporteres mellom nivåene i helseforetaket. De felles retningslinjene til foretaksgruppene omtaler også dette i liten grad. Dette er trolig en forklaring på hvorfor helseforetakene i så begrenset grad kan dokumentere at risikoreduserende tiltak faktisk er gjennomført og har hatt effekt.

Mange av retningslinjene til helseforetakene omhandler prosessen med å vurdere og håndtere risiko, men mangler omtale av faktorer som er viktige for å tilrettelegge risikostyringen i virksomheten. For eksempel mangler retningslinjene ofte en beskrivelse av hvem som har systemansvaret for risikostyringen, hvordan interne og eksterne interessenter skal ivaretas og hvordan selve systemet skal evalueres og forbedres.

Etter Riksrevisjonens vurdering er mange av retningslinjene for risikostyring ikke i tråd med god praksis. Når sentrale elementer i risikostyringen ikke inngår eller er tydeliggjort i retningslinjene, påvirker dette kvaliteten på gjennomføringen av risikostyringen.

1.2.4 Mange styrer får begrenset informasjon om risikostyringssystemet fungerer etter hensikten

Styrene i foretakene skal minst en gang årlig gjennomgå og vurdere foretakets styringssystem. Formålet er å vurdere om det fungerer etter hensikten og bidrar til kontinuerlig forbedring av virksomheten. Denne gjennomgangen kalles ledelsens gjennomgang.

De regionale helseforetakene fikk allerede i foretaksmøtet i 2008 krav om en slik gjennomgang, som også skulle omfatte tilstanden i foretaksgruppen. De regionale helseforetakene og et flertall av helseforetakene har opplyst at evalueringen av risikostyringen skal inngå i ledelsens gjennomgang.

Alle de regionale helseforetakene gjennomfører ledelsens gjennomgang i tråd med hensikten, som er å evaluere og forbedre styringssystemene.

De regionale helseforetakene har imidlertid ulik praksis med hensyn til om ledelsens gjennomgang omfatter styringssystemene til hele foretaksgruppen. Det er bare gjennomgangen til Helse Midt-Norge RHF som omfatter de felles styringssystemene for foretaksgruppen. Gjennomgangen til Helse Sør-Øst RHF og Helse Vest RHF omfatter kun styringssystemene i det regionale helseforetaket, mens gjennomgangen til Helse Nord RHF i hovedsak gjelder internt i det regionale helseforetaket.

Undersøkelsen viser at de regionale helseforetakene, med unntak av Helse Sør-Øst RHF, omtaler risikostyringssystemet eksplisitt i ledelsens gjennomgang for årene 2021 og 2022. De tre regionale helseforetakene har også besluttet tiltak for å forbedre systemet for risikostyring både i de regionale helseforetakene og i foretaksgruppene.

Helse Sør-Øst RHF opplyser at det har gjennomgått risikostyringssystemet på administrativt nivå, men har valgt å ikke omtale risikostyringssystemet i de to ledelsens gjennomganger som er forelagt styret i 2021 og 2022.

Alle helseforetakene gjennomfører også ledelsens gjennomgang. Imidlertid viser undersøkelsen at nesten halvparten av dem i hovedsak bruker denne gjennomgangen til å rapportere resultater og aktiviteter og i liten grad til å gi en vurdering av styringssystemene. Disse helseforetakene bruker dermed ikke ledelsens gjennomgang i tråd med formålet.

Styrene i de regionale helseforetakene og helseforetakene skal aktivt følge med på om foretakene har et forsvarlig styringssystem gjennom sin kontrollfunksjon. Når undersøkelsen viser at ledelsens gjennomgang i mange helseforetak inneholder lite omtale av kvaliteten på risiko-styringssystemet, betyr det at styrene i disse foretakene får begrenset kunnskap når de skal vurdere om risikostyringssystemet fungerer etter intensjonen.

Undersøkelsen viser at uavhengig av om styrene har fått lite eller mye informasjon om kvaliteten på risikostyringssystemet, tar et flertall av styrene gjennomgangen til orientering i behandlingen av ledelsens gjennomgang.

Samtidig viser undersøkelsen at styrene – både i de regionale helseforetakene og helseforetakene – er kjent med at internrevisjonene har avdekket svakheter i risikostyringen i foretaksgruppene. Styrene i Helse Midt-Norge RHF, Helse Nord RHF og Helse Vest RHF har vedtatt endringer i foretaksgruppenes retningslinjer for risikostyring for å fjerne disse svakhetene.

Internrevisjonene i de regionale helseforetakene er et virkemiddel som styrene kan bruke til å få kunnskap om styringssystemene i foretakene. Etter Riksrevisjonens vurdering er det imidlertid viktig at styrene i foretakene også bruker ledelsens gjennomgang til å vurdere styringssystemene, slik at dette blir gjort regelmessig og i tråd med kravene gitt i foretaksmøtet i 2008.

1.2.5 De regionale helseforetakene har ulik forståelse av hvilket ansvar de har for risikostyringssystemet i foretaksgruppen

Undersøkelsen viser at de regionale helseforetakene har ulik tilnærming til hvordan tilstanden til systemene i foretaksgruppene følges opp. Det er ulik praksis både med hensyn til om foretaksgruppen har felles retningslinjer for risikostyring, og med hensyn til om ledelsens gjennomgang omfatter hele foretaksgruppen. Helse Midt-Norge RHF og Helse Sør-Øst RHF er ytterpunktene her.

I motsetning til Helse Sør-Øst RHF har Helse Midt-Norge RHF felles retningslinjer for risikostyring i sin foretaksgruppe, og foretaksgruppen inkluderes også i den årlige gjennomgang av styringssystemet, det vil si ledelsens gjennomgang. Helse Midt-Norge RHF begrunner innretningen av ledelsens gjennomgang med sitt sørge for- og tilsynsansvar. Det regionale helseforetaket legger i tilsynsansvaret at det har ansvar for å kontrollere de delene av styringssystemet som er felles for hele foretaksgruppen.

Helse Sør-Øst RHF på sin side begrunner sin praksis med at helseforetakene er selvstendige rettssubjekter og har et selvstendig ansvar for å innrette virksomheten i tråd med kravene i lov og forskrift.

Riksrevisjonen er enig i at styret og ledelsen i det enkelte helseforetak har en selvstendig plikt til å sørge for at foretaket har et forsvarlig styringssystem. Samtidig har de regionale helseforetakene etter Riksrevisjonens vurdering ansvar for at det etableres styringssystemer i de helseforetakene det eier. De regionale helseforetakene har også ansvar for å ha oversikt over tilstanden til felles styringssystemer i foretaksgruppen.

Etter Riksrevisjonens vurdering er det ikke tilfredsstillende at de regionale helseforetakene ikke i tilstrekkelig grad har fulgt opp om helseforetakene har fungerende risikostyringssystemer. Det er spesielt viktig å følge opp helseforetak som over tid ikke har oppnådd tilfredsstillende kvalitet på risikostyringen.

Selv om det er mange faktorer som har betydning for om målene i helseforetakene nås, kan svak risikostyring ha konsekvenser for måloppnåelsen i det enkelte helseforetaket. Dette vil kunne påvirke også det regionale helseforetakets evne til å ivareta sitt sørge for-ansvar.

For at de regionale helseforetakene skal få oversikt over risikoene til foretaksgruppen, er de avhengige av at helseforetakene har systemer som gir en oversikt over egne risikoer. For at oversikten skal være systematisk, er det viktig at rapporteringen av risiko fra helseforetakene er sammenlignbar. Dette er etter Riksrevisjonens vurdering nødvendig for at de regionale helseforetakene skal kunne ha tilstrekkelig oversikt over de samlede risikoene i foretaksgruppen og dermed kunne iverksette tiltak som sikrer en kontinuerlig forbedring.

1.3 Anbefalinger

Riksrevisjonen anbefaler at Helse- og omsorgsdepartementet sørger for at de regionale helseforetakene iverksetter tiltak slik at risikostyring blir brukt som et aktivt virkemiddel for å nå de helsepolitiske målene.

Dette innebærer at de regionale helseforetakene:

• Sørger for en praksis for risikostyring i sine foretaksgrupper som innebærer at vesentlig risiko systematisk blir identifisert og vurdert, og at nødvendige tiltak for å redusere risiko blir gjennomført og fulgt opp. Det er også viktig å følge opp at risikostyringen er helhetlig og integrert i virksomhetsstyringen.

• Sikrer at foretaksgruppene inkluderer risikostyringssystemet i sine årlige gjennomganger av styringssystemene, det vil si i ledelsens gjennomgang, for å vurdere om det fungerer som forutsatt og bidrar til forbedring av virksomhetene.

• Følger opp helseforetak som over tid ikke har tilfredsstillende kvalitet på risikostyringen.

1.4 Statsrådens svar

Dokument 3:13 (2023–2024) Risikostyring i de regionale helseforetakene og helseforetakene ble oversendt statsråden i Helse- og omsorgsdepartementet til uttalelse. Svaret fra statsråden følger i sin helhet som vedlegg til Riksrevisjonens dokument.

1.5 Riksrevisjonens uttalelse til statsrådens svar

Riksrevisjonen merker seg at statsråden mener rapporten gir en nyttig oversikt over risikostyringen på tvers av regioner og nivåer med utgangspunkt i standarder for beste praksis og gir grunnlag for læring.

Statsråden viser til Riksrevisjonens konklusjon om at de regionale helseforetakene og helseforetakene har kjente utfordringer som i varierende grad gjenspeiles i risikostyringen. Statsråden påpeker at denne konklusjonen gir et tidsavgrenset innblikk fordi det bygger på en kartlegging av hvilke risikoområder som ble prioritert av styrene i foretakene høsten 2022.

Undersøkelsen legger til grunn at de prioriterte risikoene er områder som styrene ønsker å rette særskilt oppmerksomhet mot. Relativt få foretak har lagt fram prioriterte risikoer for sine styrer på områder der mange helseforetak har hatt utfordringer over lang tid. Riksrevisjonen vil videre presisere at konklusjonen ikke kun er avgrenset til 2022, men også bygger på omfanget av risikovurderinger gjort i fødeavdelingene i perioden 2019 til 2022.

Statsråden mener at det er en utfordring at undersøkelsen er avgrenset til risikostyring og dermed ikke fanger opp helheten og kompleksiteten i det samlede styringssystemet i de regionale helseforetakene. Operasjonalisering av risikostyring i foretaksgruppen skjer gjennom ulike prosesser og aktiviteter etablert som en del av styringssystemet og styringsdialogen i helseforetaksgruppene. Riksrevisjonen er kjent med at de regionale helseforetakene er oppmerksomme på risiko i den løpende virksomhetsstyringen. Imidlertid er undersøkelsen rettet mot det systematiske risikoarbeidet.