Fra instruks til læring – slik sikrer og dokumenterer du etterlevelse

1. Hva etterlevelse er

Etterlevelse betyr at virksomheten faktisk oppfyller kravene som gjelder for den. Det gjelder både myndighetskravene og virksomhetskravene, altså lov og forskrift og det virksomheten selv har fastsatt eller påtatt seg i avtaler og sertifiseringer.

Kravene binder virksomheten. Alle i virksomheten – ansatte, ledere, daglig leder og styret for sine styringsoppgaver – etterlever dem ved å følge instruksene som gjør kravene bindende. Etterlevelse handler derfor i praksis om tre spørsmål:

1. Følges instruksene? Det er etterlevelsen i snever forstand.
2. Virker instruksene? Altså: reduserer de risikoen slik det var forutsatt?
3. Dekker instruksene alle kravene? Eller finnes det krav som ikke er fanget opp?

De tre spørsmålene krever ulike kontroller, og de gir ulike funn.

Hvorfor etterlevelse svikter

Etterlevelse svikter sjelden fordi virksomheten mangler krav. Den svikter fordi kravene ikke er omsatt til konkrete instrukser, fordi ingen kontrollerer at instruksene følges, eller fordi funnene ikke fører til endring. Fase 1–3 i serien handler om det første. Fase 4 handler om de to siste.

2. Hva fase 4 tar imot – og hva den gir tilbake

Fase 4 tar imot:

• instruksregisteret fra fase 3: hvilke instrukser som gjelder, for hvem, i hvilken versjon. Nye instrukser kommer inn som uverifiserte, til de er kontrollert.
• sporingstabellen fra fase 3: hvilken instruks som dekker hver bestemmelse i kravene og hvert risikotiltak.
• risikoregisteret og beslutningsloggen fra fase 2: hvor risikoen er størst, og hvilken restrisiko som er fastsatt.
• kravoversikten fra fase 1: alle kravene som gjelder.

Fase 4 gir tilbake funn, avvik og læring: til fase 1 når krav eller aktiviteter har endret seg, til fase 2 når risikoen er annerledes enn antatt, til fase 3 når en instruks mangler eller ikke virker, og til navet når ansvaret er uklart. Da starter neste runde i IS-syklusen.

3. Hvem gjør hva

Rollene følger modellen for tre linjer:

• 1. linje – linjeledere og medarbeidere – utfører arbeidet og kvalitetssikrer det. Ansvaret for etterlevelse ligger her og kan ikke flyttes.
• Internkontrollansvarlig (2. linje) utarbeider verifiseringsplanen ut fra instruksregisteret og risikoregisteret, gjennomfører verifiseringer og samsvarsvurderinger, og lager rapporten om etterlevelse. Internkontrollansvarlig overtar ikke ansvaret fra 1. linje.
• Daglig leder fastsetter verifiseringsplanen, behandler funnene, beslutter tiltak og legger rapporten fram for styret.
• Instruksansvarlig involveres i alle avvik på sin instruks.
• Den som har ansvaret for aktiviteten, får funnene til uttalelse før rapporten går videre.
• 3. linje – internrevisjon, med egne folk, kjøpt fra eksterne eller en kombinasjon – verifiserer både 1. og 2. linje. Den etableres når styret vedtar det.
• Styret behandler rapporten og sørger for at instruksene for daglig leder og styrets egne oppgaver blir verifisert av 3. linje eller av en annen styret utpeker. Internkontrollansvarlig kan ikke uavhengig verifisere sin egen leder.

I en liten virksomhet kan daglig leder ivareta 2. linje. Der daglig leder selv utfører arbeidet, verifiseres det av styret eller av en annen som styret utpeker. Navet beskriver rollene nærmere, og temasiden om roller og ansvar går i dybden.

4. Før du starter

Gi fasen et mandat. Daglig leder gir internkontrollansvarlig ansvaret for verifiseringen og fastsetter hvor ofte styret skal få rapport om etterlevelse.

Sjekk at grunnlaget er på plass. Instruksregisteret og sporingstabellen fra fase 3, og risikoregisteret fra fase 2. Uten dem vet ingen hva som skal kontrolleres.

Prioriter. Ta først instruksene som bærer myndighetskrav, instruksene som har overtatt strakstiltak fra fase 2, og instruksene der risikoen er størst.

Sørg for at instruksene for avvik og fravik er på plass. De ble fastsatt først i fase 3. Uten dem kan ikke funnene behandles.

5. Tre ledd i etterlevelse: kvalitetssikring, verifisering og samsvarsvurdering

Kvalitetssikring sikrer etterlevelse, men verifiserer den ikke. Den som har gjort arbeidet, kan ikke bekrefte at det er riktig gjort. Verifisering viser etterlevelse. Samsvarsvurdering viser dekning. Alle tre trengs.

6. Slik verifiserer du etterlevelsen

Planen

Verifisering skal være planlagt, ikke tilfeldig. Internkontrollansvarlig lager planen ut fra instruksregisteret, og daglig leder fastsetter den. Planen sier for hver instruks:

• hva som skal kontrolleres
• hvilken metode som brukes
• hvor stort utvalget er
• hvor ofte det skal gjøres
• hvem som gjør det
• hvor lenge en verifisering gjelder før den må gjøres på nytt

Virksomheten fastsetter dette selv, ut fra størrelse, risiko, kompleksitet og hvilke avvik det har vært. Det finnes ingen fast regel om årlig eller halvårlig kontroll. Det viktige er at valget er begrunnet, at planen følges, og at forhold som bærer myndighetskrav, kommer først.

Metodene

Kombiner gjerne metodene. En sjekkliste som er krysset av, viser at noen har krysset av. En befaring viser om arbeidet faktisk ble gjort slik.

Beviset

En verifisering er bare så god som beviset den bygger på. Dokumenter hver gang hva som ble kontrollert og når, metoden og utvalget, hva som ble funnet, konklusjonen – følges instruksen, og virker den? – og hvem som gjorde kontrollen.

Verifisering gir rimelig sikkerhet, ikke fullstendig kontroll. Den sier at instruksen ble funnet fulgt i utvalget, innenfor den tiden verifiseringen gjelder.

3. linje kontrollerer 2. linje

Har styret vedtatt en 3. linje, kontrollerer den også om 2. linjes verifiseringer holder: om metode, utvalg og dokumentasjon er i orden, og om beviset viser det som er registrert som verifisert. Holder ikke 2. linjes verifisering, registreres det som avvik.

7. Samsvarsvurderingen – mangler vi noe?

Verifiseringen kontrollerer instruksene som finnes. Den finner ikke kravene som mangler instruks. Det gjør samsvarsvurderingen.

Slik gjør du det: Sammenlign kravoversikten fra fase 1 med sporingstabellen fra fase 3. Gjelder hvert krav fortsatt? Har det kommet nye krav? Har hver bestemmelse en instruks? Har et identifisert krav ingen instruks, er det et systemavvik, og en instruks lages i fase 3. Finner du et krav som ikke var identifisert, er det et ukjent udekket krav. Det registreres som avvik og føres inn i kravoversikten i fase 1.

Virksomheten fastsetter omfang og hyppighet. Funn som tilsyn eller andre eksterne gjør, og som en samsvarsvurdering burde ha fanget, er et tegn på at samsvarsvurderingene ikke virker godt nok.

8. Når etterlevelsen svikter – avvik etter AvvikStandard™

Hva et avvik er

Et avvik er manglende oppfyllelse av et krav. Det finnes to typer:

• Etterlevelsesavvik: en instruks er brutt.
• Systemavvik: instruks eller system for etterlevelse av et identifisert krav mangler.

Skillet bestemmer hvor forbedringen må skje. Et etterlevelsesavvik kan skyldes uklar instruks, manglende opplæring eller tidspress, og årsaken må finnes. Et systemavvik er alltid svikt i selve styringssystemet, og systemet må rettes. Alle avvik registreres, får årsak og tiltak og inngår i statistikken.

Hva som ikke er avvik

• Varsel om kritikkverdige forhold behandles etter virksomhetens instruks for varsling (se under).
• Fravik er et unntak fra en instruks som er godkjent skriftlig på forhånd. Fra et myndighetskrav kan virksomheten aldri selv gi fravik.
• Hendelse er en uønsket situasjon uten brudd på en norm. Gjentar den seg, behandles den som avvik.
• Observasjon er et forbedringspunkt uten brudd.

Kunne situasjonen ført til skade ved en liten endring, merkes saken også som nesten-uhell.

Varsling – en viktig og positiv kanal

Et varsel om kritikkverdige forhold er noe av det mest verdifulle en virksomhet kan få. Den som varsler, peker på brudd på lov, interne regler eller etiske normer som ellers kunne fått fortsette. Alle bør være takknemlige for at noen sier fra.

Arbeidstakerne har rett til å varsle, og virksomheter med minst fem ansatte skal ha rutiner for intern varsling. Den som varsler forsvarlig, er vernet mot gjengjeldelse (arbeidsmiljøloven).

Varsler behandles etter virksomhetens egen instruks for varsling, ikke som avvik. Instruksen fastsettes i fase 3, sammen med instruksene for avvik og fravik. Den sier hvem som tar imot varsler, hvordan varsleren får tilbakemelding, og hvordan varsleren beskyttes. Det skal være mulig å varsle anonymt.

Avdekker et varsel brudd på krav eller instrukser, behandles bruddet som avvik etter AvvikStandard™, og funnene går inn i læringen. Varsleren skal aldri bli den saken handler om.

Styret bør få jevnlig oversikt over antall varsler og hvordan de er fulgt opp, uten opplysninger om hvem som har varslet. Få varsler er ikke nødvendigvis et godt tegn.

Les mer på temasiden om varsling av kritikkverdige forhold.

Kritikalitet

Svikt i etterlevelsen av et myndighetskrav er aldri akseptabelt og minst rødt til det er rettet. Systemavvik krever alltid A-tiltak og at instruksansvarlig involveres, uansett farge. Fargen avgjør frister og eskalering, ikke om systemet skal rettes.

De sju fasene i AvvikStandard™

Hvem gjør hva ved avvik

• Den som melder, gjør det med lav terskel. Det skal være mulig å melde anonymt.
• Linjeleder klassifiserer og driver normalt saken.
• Internkontrollansvarlig leder rotårsaksanalysen.
• Instruksansvarlig involveres alltid ved A-tiltak.
• Daglig leder godkjenner lukkingen, etter effektkontroll der den kreves.
• Den som behandler saken, kan aldri godkjenne den, og ingen behandler en sak der de selv er part. Saker der daglig leder er part, går til styreleder.

Fra avvik til læring

Funn fra rotårsaksanalysen speiles alltid i risikoregisteret (speil-prinsippet). Instruksen revideres ved fem avvik med samme rotårsak, eller fem like fravik. Gjentatte avvik er et signal om at instruksen, opplæringen eller kontrollen må endres.

Frister, eskalering, analysemetoder og indikatorer står i AvvikStandard™ og på temasiden om avviksbehandling.