Styring og kontroll i virksomheten

Overordnet vurdering av styring og kontroll

Helsedirektoratets styres gjennom instruks, årlige tildelingsbrev, samt tilleggsoppdrag gjennom året og faste møter med etatsstyrer. Direktoratets totale oppgaveportefølje består av både faste oppgaver, tidsavgrensede oppgaver og spesielle oppdrag i tillegg til direktoratets egeninitierte oppgaver.

Gjennom 2024 ble det avholdt to Etatsstyringsmøter mellom Helse- og omsorgsdepartementet og Helsedirektoratet. Dette oppleves som en god arena for samhandling, avklaringer og prioriteringer.

Direktoratet har i sitt tildelingsbrev 14 overordnede mål for virksomheten. Direktoratet har utviklet et sett vurderingskriterier, nøkkeltall og styringsindikatorer for å kunne følge opp og vurdere om mål og resultatkrav nås. Det rapporteres på måloppnåelse i årsrapportens del III. Direktoratet vil videreutvikle prosesser og metoder for mål- og resultatstyring i 2025.

Nærmere omtale av vesentlige forhold

Tildelingsbrevet for 2024 besto av 92 spesielle oppdrag og 67 tilleggsoppdrag ble mottatt gjennom året. I tillegg har direktoratet hatt oppdrag fra tidligere år med varighet inn i 2024 som er gjennomført. Helsedirektøren har tydeliggjort sine føringer, ansvar og myndighet i mål- og disponeringsskriv til divisjonsdirektørene. Virksomhetsstyringsverktøyet PULS er Helsedirektoratets sentrale verktøy for planlegging, budsjettering, styring og rapportering, og brukes som utgangspunkt for all oppfølging av Helsedirektoratets virksomhetsplan. Disse styrende dokumenter og styringsverktøy gir direktoratet et godt rammeverk for styring og kontroll og effektiv forvaltning i egen virksomhet.

Styring, oppfølging, kontroll og forvaltning må tilpasses virksomhetens egenart, samt vurdering av risiko og vesentlighet. Dette innebærer at Helsedirektoratets virksomhetsstyring skal være basert på risikovurderinger, for å avdekke områder som kan ha konsekvenser for måloppnåelsen, og for å sikre at internkontrollen er hensiktsmessig tilpasset. I 2024 ble det gjennomført en strategisk risikovurdering basert på direktoratets 14 overordnede mål, samt utviklingsområder i direktoratets egen strategi. Dette gir direktoratet et bilde av aktuelle hendelser og tilstander som kan påvirke måloppnåelse for direktoratets bruker- og samfunnsmål negativ, og hvilke nødvendige tiltak som bør gjennomføres for å unngå dette. 

Høsten 2024 vedtok direktoratet Policy for virksomhetsstyring. Denne gir hensiktsmessige føringer for utøvelse av virksomhetsstyring, styringsprinsipper/-prosesser, felles begrepsbruk, samt felles praksis i direktoratet for fastsetting av mål og prioriteringer mv.

Fram til ny organisasjon trådte i kraft 1. april 2024 ble det utviklet nødvendige styringsdokumenter og – prosesser for sammenslått organisasjon. Dette sikret at det nye Helsedirektoratet hadde nødvendige rammer for videre arbeid. Det at de to tidligere etatene har hatt ulike finansieringsmodeller har bidradd til at det har vært utfordrende å etablere en felles økonomimodell for den nye organisasjonen.

Internkontroll

Internkontroll skal gi en rimelig sikkerhet for målrettet og effektiv drift, pålitelig rapportering og etterlevelse av lover og regler. God internkontroll bidrar til kvalitet og effektivitet i virksomhetens produkt- og tjenesteleveranser, og bidrar dermed også til at samfunnsoppdraget oppfylles på en god måte. Internkontroll skal være integrert i virksomhetens styringsprosesser.

1. desember 2023 publiserte Helsedirektoratet sitt første kvalitetsstyringssystem, Kompass, for hele virksomheten. Det ble besluttet policy for kvalitetsstyring som fastsetter prinsipper, samt roller og ansvar for kvalitetsstyring og internkontroll i virksomheten. Det ble også etablert en ny rolle, fagansvarlig for kvalitetsstyring. Funksjonen skal sikre systematisk tilnærming til internkontroll og kvalitetsstyring i direktoratet.

I 2024 har vi jobbet med å innføre Kompass slik at alle ansatte tar det i bruk. Alle etablerte interne krav og standarder er bestrebet overført til Kompass. Dette gjør det enklere for direktoratets personell å finne gyldig informasjon om hvordan ting skal gjøres hos oss.

Direktoratet gjennomførte i 2024 en overordnet vurdering av strategiske risikoer. Vi jobber videre med å profesjonalisere internkontrollarbeidet og styrke kvalitets- og risikostyring i 2025.

Internrevisjon

Internrevisjonen er en uavhengig, objektiv bekreftelses- og rådgivningsfunksjon for Helsedirektoratet, direkte underlagt Helsedirektør. Internrevisjonen inngår som en del av direktoratets system for styring og kontroll. Internrevisjonens ansvarsområder omfatter Helsedirektoratet, Helfo, Pasient og brukerombudene, og har revisjonsrett ovenfor NHN og andre leverandører i henhold til avtale.

Gjennom en systematisk og strukturert metode gjennomfører internrevisjonen revisjoner om ulike områder knyttet til virksomhetsstyring, risikostyring, internkontroll ut fra en vurdering av risiko og vesentlighet.

Internrevisjonen består av et internt årsverk og har en fast samarbeidsavtale med ekstern leverandør for bistand til internrevisjonsfunksjonen.

Internrevisjonen leverer både ordinære revisjonsoppdrag, samt bistandsoppdrag/rådgivningsoppdrag. Hensikten er å undersøke hvordan styring og kontroll er satt i system, identifisere forbedringsområder og styrke styring og kontroll i direktoratet.

I 2024 har internrevisjonen levert revisjonsrapporter knyttet til følgende temaer: 1. Innsidetrusler del 2 – pengetransaksjoner og misligheter. 2. Kontrollregime for eksternt finansierte prosjekter. 3. Internkontroll og effektivisering av prosessen for autorisasjon av helsepersonell. 4. Sikkerhet i helsepersonellregisteret (HPR). I I tillegg har internrevisjonen levert flere bistandsoppdrag/rådgivningsoppdrag, der hensikten er å styrke linjens internkontroll og bistå med relevant kompetanse.

Internrevisjonen har oppsummert aktiviteten i årlig årsrapport, som også inkluderer status for virksomhetens oppføling av internrevisjonsrapporter. I tillegg gjør internrevisjonen en vurdering av risiko knyttet til ulike prosesser i Hdir relatert til styring og kontroll. I 2024 har dette arbeidet blitt videreutviklet, og det vil bli ytterligere forsterket i 2025. Dette som ledd i arbeidet med utarbeidelse av årlige plan for internrevisjonens arbeid.

Riksrevisjonen

Resultater fra Riksrevisjonens finansielle kontroll for 2024 foreligger ikke på tidspunktet årsrapporten for 2024 utarbeides. Revisjonsberetningen for 2024 blir offentliggjort på https://www.helsedirektoratet.no/ når den er mottatt.

For 2023 fikk Helsedirektoratet en revisjonsberetning med forbehold, fordi eksternfinansierte prosjekter var feilført, og fordi årsregnskapet ikke ga et dekkende bilde av utestående fordringer og gjeld. Vi har innført tiltak som hindrer at denne typen feilføring skjer igjen.

Riksrevisjonens undersøkelse av Tilskudd til ressurskrevende helse- og omsorgstjenester, publisert i oktober 2024, viser at Helsedirektoratet ikke har hatt tilstrekkelig system for kontroll for å forebygge, avdekke og korrigere feil i kommunenes refusjonskrav, og har ikke gjort nok for å sikre lik praksis og forståelse av regelverk for ordningen. Vi jobber systematisk med å rette opp svakhetene i tilskuddsforvaltningen.

Helsedirektoratet bestreber seg på å være en god samarbeidspartner for Riksrevisjonen, gjennom å gi faglig oppdatert informasjon innen våre ansvarsområder hvor revisjonen gjør undersøkelser. Riksrevisjonens rapporter som berører Helsedirektoratets fagområder, blir fulgt opp systematisk gjennom direktoratets styringssystem Puls, for å sikre at vi lukker avvik, forbedrer prosesser, og tilfører ny kunnskap fra revisjonens analyser tilbake til de ulike fagområdene.

Porteføljestyring

Helsedirektoratet har siden 2016 hatt en portefølje bestående av digitaliseringsprosjekter. Porteføljen er en delmengde av alle oppgavene i direktoratet. Ved utgangen av året bestod porteføljen av 32 prosjekter.

Etter sammenslåingen jobbes det nå med å se på hvordan porteføljestyringen i direktoratet fremover kan bli mer strategisk. Dette innebærer blant annet en bedre prioritering blant større utrednings- og utviklingstiltak, med tydeligere beslutningspunkter.

Tilskuddsforvaltning og evalueringer av tilskuddsordninger

Tilskudd er et sentralt virkemiddel for å nå regjeringens helsepolitiske mål. I 2024 hadde Helsedirektoratet ansvar for forvaltningen av 157 tilskuddsordninger. Dette er samme antall som for 2023, men noen ordninger er avviklet og noen nye har kommet til.  Ni av ordningene er delegert til andre: seks tilskuddsordninger ble forvaltet av statsforvalterne, to ordninger av Aldring og helse (nasjonalt kompetansesenter) og en ordning av fylkeskommunene. 

Det samlede budsjettet for 2024 for tilskuddsordningene var 20,2 mrd. kroner. Sammenlignet med 2023 er dette en økning fra 18,7 mrd. kroner eller ca. 8 prosent. Helsedirektoratet betalte ut nær 19,5 mrd. kroner av budsjettet.

Tilskuddsordningen "Særlig ressurskrevende helse- og omsorgstjenester" hadde i 2024 et budsjett på 13,1 mrd. kroner og stod for 65 prosent av tilskuddsbudsjettet. Dette er en økning fra 11,7 mrd. kroner i 2023. Andre kapitler med en betydelig andel av budsjettet er "Psykisk helse, rus og vold " med 12 prosent, "Omsorgstjenester" med 9 prosent og "Primærhelsetjenester" med 9 prosent. Målt i prosent, utgjør dette mindre endringer fra 2023. Se Figur 5 Tilskudd etter fagområde.

Også i 2024 var kommunesektoren den langt største mottakeren av tilskuddsmidler fra Helsedirektoratet. Kommunene mottok nær 17 mrd. kroner, eller 84 prosent av tilskuddsbudsjettet. Vi ser også stor søkning til tilskudd som er rettet mot ideell og frivillig sektor. I 2024 ble det utbetalt 1,5 mrd. kroner til sektoren, mens det ble søkt om nesten 2,2 mrd. kroner. Dette er på nivå med 2023.

Om lag 58 prosent av tilskuddsordningene var i 2024 øremerket navngitte mottakere eller grupper av mottakere i statsbudsjettet, mens budsjettet for disse utgjorde ca. 9 prosent av tilskuddsbudsjettet.  I alt mottok Helsedirektoratet 4322 søknader fra 1670 unike søkere i alle mottakergrupper i 2024. 

Tilskuddsforvaltning og kontroll

Helsedirektoratet arbeidet aktivt for å forbedre våre rutiner for internkontroll og forvaltning av tilskudd for å redusere risiko og avdekke mulige mislighold. 2024 har vært preget av innføring av ny tilskuddsportal for Helsedirektoratet. Hensikten med den nye portalen er forbedret informasjon og forenklede søknads- og rapporteringsprosesser for søkerne, samtidig som den bidrar til styrket internkontroll og mer enhetlig praksis hos Helsedirektoratet som tilskuddsforvalter.

Samtlige tilskuddsordninger ble risikovurdert høsten 2023 med en mindre oppdatering i 2024. Risikoanalysene er del av grunnlaget for både kontroller og evalueringer. Det gjennomføres jevnlig stedlige kontroller, enten som stikkprøvekontroller eller etter varsel. Det ble gjennomført stedlig kontroll hos elleve kommuner av tilskuddsordningen "Særlig ressurskrevende helse- og omsorgstjenester" i 2024. Det gjøres også etterkontroll av egen forvaltning. I 2024 la vi i større grad vekt på informasjon til søkerne gjennom seminarer og informasjon på nett.

Tilskuddsforvaltningen innebærer at vi sitter på store mengder data knyttet til søkerne, og at vi må sikre at disse lagres på en trygg måte. Vi har også oppmerksomhet rundt mulige nye trusler, som kriminell infiltrering av søkerne, blant annet gjennom informasjonsdeling med andre tilskuddsforvaltere og økt kontroll av nye søkere. 

Evalueringer 

Helsedirektoratet gjennomfører evaluering av tilskuddsordninger basert på en vurdering av vesentlighet og risiko, måloppnåelse, årstall for regelverket, om ordningen er evaluert tidligere, politisk og samfunnsmessig aktualitet, potensiale for vurdering på tvers av ordninger (klyngeevaluering) og overføringsverdi.

I løpet av de siste 5 årene (2019-2023) er det utført 19 evalueringer av 17 tilskuddsordninger. Det er i samme periode også gjennomført 18 følgeevalueringer av ulike satsinger og handlingsplaner, der en eller flere tilskuddsordninger inngår. Over tid, har det i snitt blitt gjort mellom fire og seks evalueringer per år. I de senere årene er dette redusert til tre til fire evalueringer. Hovedårsaken til dette ligger i omfanget av evalueringene, eksempelvis at det har vært behov for å intervjue flere personer per evaluering enn tidligere. Kostnadene per evaluering har også økt.

Sikkerhet og beredskap i helsedirektoratet

Gitt den geopolitiske situasjonen er det viktig at Helsedirektoratet følger med og tilpasser sikkerhetstiltakene til det til enhver tid gjeldende trusselbilde. Sikkerhetsavdelingen overvåker stadig trusselbildet, og følger opp og rapporterer til ledelsen. Helsedirektoratet har ansvaret for sikkerhetsarbeidet i POBO og for informasjonssikkerhetsområdet i Helfo, i tillegg til å ha ansvaret for sikkerhet i egen virksomhet.

I 2024 ble det gjennomført et større arbeid, organisert som et prosjekt, der verdivurderingen til Helsedirektoratet ble revidert og oppdatert. I det samme prosjektet ble også Helsedirektoratets risikobilde og beredskaps- og kontinuitetsplaner revidert og oppdatert. Dette har bidratt til å gjøre Helsedirektoratet bedre i stand til å styre på risiko, og være forberedt på en krisesituasjon. Prosjektet vil fortsette i 2025.

Videre har arbeidet med å redusere innsiderisikoen fortsatt gjennom 2024, og en rekke tiltak er iverksatt for å redusere risikoen. Dette arbeidet har blant annet bestått av rådgivning, opplæring og bevisstgjøring hos ledere, samt ansvarliggjøring av ledere knyttet til autorisasjonsansvaret de har. Arbeidet med å redusere innsiderisikoen vil fortsette også i 2025.

Det digitale trusselbildet er vedvarende høyt. For å ivareta sikkerheten i ikt-porteføljen gjennomfører Helsedirektoratet sikkerhetstester av ikt-løsninger og infrastruktur. Sikkerhetstester blir utført av en ekstern samarbeidspartner, og blir gjennomført der det vurderes at risiko og skadepotensialet er størst. Alle funn fra sikkerhetstester blir dokumentert og følges opp ut fra alvorlighetsgrad. Gjennom å ha jobbet planmessig med sikkerhetstesting over flere år, er erfaringen at det avdekkes færre alvorlige sikkerhetsavvik under testing i dag enn tidligere.

Sikkerhetsmåneden i oktober ble også i 2024 tydelig markert med en rekke aktiviteter, foredrag, kurs og artikler. Responsen fra organisasjonen har også i år vært god, og det virker å være en økt sikkerhetsbevissthet i organisasjonen. Bevissthet rundt sikkerhet er imidlertid noe det må jobbes kontinuering med, også utenom sikkerhetsmåneden.

Personvern

Personvern er viktig å ivareta i direktoratets prosesser og systemer for å sikre tillit i befolkningen. Personvern er et linjeansvar og ivaretas i praksis av alle ansatte, men støttes av personvernombud og ressurspersoner i et tverrfaglig team (lag for personvern). Noen miljøer har dedikerte personer som jobber med personvernspørsmål i det daglige som ledd i oppgaveutførelsen. Personvernombud er også ombud for Helfo og POBO, og det er tett dialog om aktiviteter og problemstillinger med POBO og Helfo.

Direktoratet arbeider kontinuerlig med å sikre tilstrekkelig kompetanse på personvern i organisasjonen. I 2024 har etablerte opplæringstiltak blitt videreført, som f.eks. digital opplæring for alle nyansatte (nanokurs) og tilgjengelig skriftlig informasjon om personvern for alle ansatte. I tillegg har det blitt videreutviklet og holdt flere kurs sammen med Norsk Helsenett (NHN), f.eks. heldags grunnkurs i personvern og eget kurs i personvernkonsekvensvurdering (DPIA). Ledere har også mottatt digitalt kurs tilpasset deres rolle (nanokurs). Kompetansehevingsaktiviteter vil bli videreført og videreutviklet i 2025.

I 2024 har helseforvaltningen hatt noen større endringer ved overføring av dataansvaret for kjernejournal og reseptformidleren fra NHN, sammenslåing av direktoratene og overføring av fagområder og dataansvar mellom FHI og Helsedirektoratet. Dette har medført et behov for konsolideringsaktiviteter for virksomheten. Det er gjennomgått styrende dokumenter på personvernområdet som er tilgjengelig internt.

I 2025 vil det fortsatt være viktig å fortsette dialog om aktiviteter og rammeverk på personvernområde både internt og med Norsk Helsenett. Konsolideringsaktiviteter videreføres for å sikre at det nye Helsedirektoratet har gode rammer for å fortsatt kunne ivareta den enkeltes personvern.