Ledelsens gjennomgang – Fra formelt krav til reelt styringsverktøy

Hva er ledelsens gjennomgang – og hvorfor er den kritisk?

Ledelsens gjennomgang – eller ledelsens gjennomgåelse, som det heter i de norske ISO-standardene – er en formell, planlagt og dokumentert gjennomgang der toppledelsen vurderer styringssystemets status, resultater og egnethet. Formålet er å avgjøre om systemet faktisk leverer det det skal: måloppnåelse, etterlevelse av krav, risiko innenfor rammene og kontinuerlig forbedring.

Gjennomgangen er ikke en statusrapport. Den er et beslutningsforum der ledelsen tar stilling til om styringssystemet er egnet, tilstrekkelig og virkningsfullt, om ressursene er riktig fordelt, og om kursen må justeres. ISO-standardene bruker fire ord om dette: systemet skal være egnet, tilstrekkelig, virkningsfullt og i samsvar med virksomhetens strategiske retning.

Forskjellen mellom ledermøte og ledelsens gjennomgang

	Ledermøte	Ledelsens gjennomgang
Tema	Drift, personale, budsjett, prosjekter	Om selve styringssystemet virker
Spørsmål	Hva gjør vi?	Hvordan styrer vi – og virker det?
Grunnlag	Løpende saker	Fast underlag: bevisstatus, avvik, risiko, mål, revisjonsfunn
Resultat	Operative beslutninger	Beslutninger om forbedring, ressurser og endringer i systemet
Mottaker	Ledergruppen	Styret, som egen sak

Spørsmålet er ikke om, men hvordan

For virksomheter med sertifiserte styringssystemer er spørsmålet ikke om ledelsens gjennomgang gjennomføres. Det reelle spørsmålet er:

• Hvilket beslutningsgrunnlag bygger gjennomgangen på?
• Fører den til reelle beslutninger – eller bare til dokumentasjon av at den er gjennomført?
• Utøver ledelsen faktisk styring, eller registreres status passivt?

Fra skjønnmaling til bevis

I mange virksomheter er ledelsens gjennomgang en skjønnmaling. Den bygger på synsing om hva virksomheten gjør, hva den skal gjøre og hva som fungerer – ikke på hva som faktisk er gjort, målt, dokumentert, avviksregistrert og overvåket. Det som ikke virker, eller som virker med redusert kraft, blir borte i generelle formuleringer. Protokollen sier at «systemet fungerer tilfredsstillende», mens avvikene, kontrollene og nøkkeltallene forteller en annen historie.

Kjennetegn på skjønnmaling

• Alt er grønt – år etter år
• Vurderingene er skrevet som påstander, uten kilde: «rutinene følges», «opplæringen er god», «vi har god kontroll»
• Planer og intensjoner presenteres som resultater: «vi skal», «vi er i gang med», «det er planlagt»
• Avvik legges fram som antall, ikke som hva de forteller om systemet
• Det som ikke virker, nevnes ikke – eller forklares bort som enkelthendelser
• Ingen beslutninger er nødvendige, fordi ingenting er galt

Synsing eller bevis

Synsing	Bevis
«Vi gjør dette»	Det er gjort – og det kan vises: kontroll gjennomført, signert, arkivert
«Vi skal gjøre dette»	Det er besluttet, med ansvarlig og frist – og status er kjent
«Det fungerer»	Det er målt – med nøkkeltall over tid, mot mål og grenser
«Vi har rutiner for det»	Det er dokumentert i en instruks – og etterlevelsen er kontrollert
«Det har ikke vært problemer»	Det er avviksregistrert – og avvikene er analysert for mønstre og rotårsaker
«Vi har oversikt»	Det er overvåket – med kontroller, risikoindikatorer og revisjon
«Det går stort sett bra»	Det er tydelig hva som ikke virker, og hva som virker med redusert kraft

Bevisprinsippet

En god ledelsens gjennomgang følger én enkel regel: ingen påstand uten kilde. Hver vurdering i underlaget skal kunne føres tilbake til noe som er gjort, målt, dokumentert, avviksregistrert eller overvåket. Det gir tre krav til underlaget:

• Grønt må bevises. At noe virker, skal dokumenteres med kontroller og målinger – ikke antas fordi ingen har klaget.
• Det som ikke virker, kommer først. Instrukser som ikke etterleves, kontroller som ikke er gjennomført, tiltak som ikke er innført og barrierer som har sviktet, skal stå øverst i underlaget.
• Redusert kraft skal fram. Mye svikter ikke helt, men virker dårligere enn forutsatt: kontroller som gjøres sjeldnere enn bestemt, opplæring som ikke når alle, tiltak som er innført, men ikke har gitt effekt. Dette er ofte det viktigste signalet, fordi det kommer før de alvorlige hendelsene.

I IS-modellen™ er dette bygget inn gjennom bevisstatus på instruksene: Status settes ut fra kontrollert etterlevelse, ikke ut fra hva noen mener. Bevisstatusen er derfor et av de viktigste underlagene i gjennomgangen.

Hvorfor en standard for dette er god, viktig og riktig

	Hvorfor
God	En fast standard gir det samme underlaget, de samme spørsmålene og de samme målene hvert år. Da kan utviklingen sammenlignes over tid, og trender blir synlige før de blir problemer. Det gjør også gjennomgangen raskere og mindre avhengig av enkeltpersoner.
Viktig	Styret har ansvar for at virksomheten er forsvarlig organisert, og skal føre tilsyn. Det kan styret bare gjøre hvis bildet det får, er sant. En skjønnmalt gjennomgang gjør at styret tar beslutninger – om risiko, ressurser og ledelse – på feil grunnlag.
Riktig	Det er det standardene og regelverket faktisk krever. ISO-standardene krever at gjennomgangen bygger på informasjon om resultater, avvik, overvåking, måling og revisjon. Internkontrollforskriften krever at internkontrollen overvåkes og gjennomgås for å sikre at den fungerer som forutsatt. COSO bygger på at overvåking skal avdekke svakheter og rapportere dem til dem som kan rette dem. Og grunnregelen i de tre linjene er at ingen vurderer sitt eget arbeid uten kontroll.

Hva virksomheten mister uten den

• Styret styrer i blinde. Beslutninger om strategi, risikoappetitt, ressurser og ledelse bygger på et bilde som ikke stemmer.
• Svikt oppdages for sent – og av andre. Av tilsynet, av kunden, av revisor eller gjennom en ulykke, i stedet for av virksomheten selv.
• Ressursene settes inn feil sted. Det som allerede virker, får oppmerksomhet; det som ikke virker, får ingenting.
• Læringen stopper opp. De samme avvikene kommer igjen, fordi ingen har sett at de henger sammen.
• Dokumentasjonen svekker virksomheten. En protokoll som sier at alt fungerer, mens avviksregisteret viser noe annet, er et dårlig bevis ved tilsyn, revisjon og tvist – den viser at ledelsen visste, eller burde ha visst.
• Kulturen tar skade. Når dårlige nyheter ikke kommer fram på toppen, slutter folk å melde fra lenger ned.
• Sertifiseringen kommer i fare. Revisorer ser etter sammenhengen mellom underlag, vurdering og beslutning. Mangler den, blir det avvik.

Hvem gjør hva?

Ledelsens gjennomgang blandes ofte sammen med styrets egen behandling og med revisjon. De er tre ulike ting:

Aktivitet	Hvem	Hva den gjør
Ledelsens gjennomgang	Daglig leder leder. Ledergruppen deltar. Internkontrollansvarlig forbereder underlaget	Vurderer om styringssystemet virker, og beslutter forbedringer innenfor ledelsens myndighet
Styrets behandling	Styret	Mottar resultatet som egen sak, vurderer risikoprofilen mot risikoappetitten, og beslutter det som ligger utenfor ledelsens myndighet
Internrevisjon	Tredje linje, uavhengig av driften	Gir en uavhengig vurdering av om styringen virker – et av underlagene til gjennomgangen
Ekstern revisjon og tilsyn	Revisor, sertifiseringsorgan, tilsynsmyndighet	Eksterne kontroller. Funnene deres er underlag til gjennomgangen

Daglig leder kan ikke delegere bort ledelsen av gjennomgangen. Internkontrollansvarlig eller kvalitetsansvarlig kan – og bør – forberede underlaget, men beslutningene tas av toppledelsen.

Krav og forankring

Aksjeloven

Aksjeloven krever at styret sørger for forsvarlig organisering av virksomheten og fører tilsyn med daglig ledelse og virksomheten for øvrig. Det kan styret bare gjøre med et systematisk grunnlag. Loven sier ikke «ledelsens gjennomgang» med så mange ord, men en dokumentert årlig gjennomgang av styringssystemet er den mest naturlige måten å gi styret det grunnlaget på.

Internkontrollforskriften

Internkontrollforskriften krever at virksomheten utøver systematisk overvåking og gjennomgang av internkontrollen for å sikre at den fungerer som forutsatt. For HMS er ledelsens gjennomgang derfor ikke bare god praksis, men en del av den lovpålagte internkontrollen. Se internkontroll.

ISO-standardene

Alle ISO-standarder for ledelsessystemer har samme oppbygging, og stiller krav om ledelsens gjennomgang i punkt 9.3:

• ISO 9001 – kvalitet
• ISO 14001 – miljø
• ISO 45001 – arbeidsmiljø, med særlige krav til medvirkning og konsultasjon
• ISO 27001 – informasjonssikkerhet
• ISO 50001 – energi

Virksomheter med flere sertifiseringer kan holde én samlet gjennomgang, så lenge alle standardenes krav dekkes.

Krav i enkelte sektorer

Sektor	Krav
Helse- og omsorgstjenesten	Forskrift om ledelse og kvalitetsforbedring krever at styringssystemet gjennomgås systematisk minst én gang i året
Finansforetak	Krav om jevnlig vurdering av risikostyring og internkontroll, med rapportering til styret
Kommuner	Kommunedirektøren skal rapportere om internkontrollen til kommunestyret
Personvern	Personvernforordningen krever regelmessig testing og vurdering av om tiltakene for informasjonssikkerhet virker

ISO 9001 punkt 9.3 – hva kreves konkret?

Punkt 9.3 deler kravet i tre: generelt krav, hva som skal vurderes (input) og hva gjennomgangen skal føre til (resultat).

Generelt krav (9.3.1)

Toppledelsen skal gjennomgå styringssystemet med planlagte intervaller. Standarden sier ikke hvor ofte. I praksis forventes minst én samlet gjennomgang i året.

Hva som skal vurderes (9.3.2)

Punkt	Input	Spørsmålet ledelsen stiller
a	Status for tiltak fra forrige gjennomgang	Er det vi besluttet sist, gjennomført – og virket det?
b	Endringer i eksterne og interne forhold	Hva har endret seg i marked, krav, teknologi og organisasjon?
c	Informasjon om resultater og virkning: kundetilfredshet og tilbakemeldinger, måloppnåelse, prosessytelse og samsvar, avvik og korrigerende tiltak, resultater av overvåking og måling, revisjonsresultater, og eksterne leverandørers ytelse	Virker systemet – og hvor svikter det?
d	Om ressursene er tilstrekkelige	Har vi nok folk, kompetanse, utstyr og penger?
e	Virkningen av tiltak mot risiko og muligheter	Har risikotiltakene virket, og holder barrierene?
f	Muligheter for forbedring	Hva kan gjøres bedre?

Hva gjennomgangen skal føre til (9.3.3)

Gjennomgangen skal gi dokumenterte beslutninger og tiltak om muligheter for forbedring, behov for endringer i styringssystemet og ressursbehov. Uten dokumenterte beslutninger har gjennomgangen ingen virkning.

ISO-rammens styrke og begrensning

ISO skaper struktur, forutsigbarhet og tydelig ansvar. Men standarden sier hva som skal vurderes, ikke hvordan styringsinformasjonen bør struktureres, og ingenting om hvordan avvik skal tolkes i et styringsperspektiv. Resultatet er at mange sertifiserte virksomheter har en gjennomgang som bygger på sammendratt og filtrert informasjon, fokuserer på hva som er gjort – ikke hva som virker – og tilfredsstiller revisor, men gir lite styring. Det tomrommet fyller IS-modellen™ og AvvikStandard™.

Ledelsens gjennomgang i IS-modellen™ og IS-syklusen

IS-modellen™ tar utgangspunkt i at ledelsens gjennomgang først og fremst er et styringsmøte, ikke et systemkrav. Spørsmålene er ikke «har vi gjennomført dette?», men:

• Har ledelsen tilstrekkelig grunnlag til å styre?
• Er ansvar, beslutninger og konsekvenser tydelige?
• Avdekker gjennomgangen reell risiko – eller bare avvik på papir?
• Blir instruksene etterlevd i første linje, eller lever de bare i dokumentene?

Plassen i IS-syklusen

IS-syklusen har fire faser som går igjen år etter år:

Fase	Hva skjer	Hva ledelsens gjennomgang vurderer
1. Aktivitetsidentifisering	Prosesser, aktiviteter og krav kartlegges	Er kravoversikten oppdatert? Er nye krav fanget opp?
2. Prosess- og risikovurdering	Risikoen vurderes, og tiltak besluttes	Ligger risikoprofilen innenfor appetitten? Er tiltakene gjennomført?
3. Aktivitetsorganisering	Tiltakene blir bindende instrukser	Dekker instruksene kravene og risikoen? Er de oppdatert?
4. Kontroll og overvåking	Etterlevelsen kontrolleres, avvik behandles, og systemet gjennomgås	Her skjer ledelsens gjennomgang

Ledelsens gjennomgang er kjernen i fase 4. Den lukker styringssløyfen: Beslutningene fra gjennomgangen går tilbake til fase 1, 2 og 3 – nye krav, ny risikovurdering, endrede instrukser. Bevisstatus på instruksene gir ledelsen og styret dokumentasjon på hva som faktisk virker.

De tre linjene

I gjennomgangen vurderer ledelsen om alle tre linjene virker. Grunnregelen er at ingen kontrollerer sitt eget arbeid:

• Første linje – driften. Har lederne og de ansatte instruksene de trenger, og blir de etterlevd?
• Andre linje – kontroll og overvåking. Har funksjoner som internkontroll, kvalitet, HMS og etterlevelse gjennomført kontrollene sine, og hva fant de?
• Tredje linje – internrevisjon. Hva sier den uavhengige vurderingen om styringen?

Regnskapsrevisor, sertifiseringsorgan og tilsyn er eksterne kontroller, ikke tredje linje. Verneombudet er arbeidstakernes representant, ikke en kontrollfunksjon – men verneombudets erfaringer er et viktig underlag. Se COSO og de tre linjene.

Spørsmålet ledelsen stiller er ikke «har vi hatt ulykker?», men «har instruksene våre forhindret ulykker, og har kontrollene fanget opp manglende etterlevelse?»

Kontinuerlig, ikke bare årlig

I IS-modellen™ er ledelsens gjennomgang ikke bare ett møte i året. Ledelsen vurderer løpende risikobildet, ser mønstre i avvikene, tar stilling til om styringen er tilstrekkelig og oppdaterer instrukser som ikke virker. Den årlige gjennomgangen samler dette til én helhetlig vurdering og ett dokumentert vedtak.

Koblingen til risikostyringen

Ledelsens gjennomgang er stedet der risikostyringen og internkontrollen møtes. Her vurderer ledelsen om virksomheten faktisk holder seg innenfor rammene styret har satt:

• Risikoprofilen mot risikoappetitten – per risikopilar: krav, mål, effektivitet, liv og helse, og misligheter.
• Risikoindikatorene – hvilke er grønne, gule og røde, og hva er trenden?
• Akseptert restrisiko – er tiltakene innført, og stemmer vurderingen nå som de har virket en tid?
• Akseptkriteriene – er de fortsatt riktige?
• Nye og framvoksende risikoer – hva er ikke i registeret ennå?

Resultatet gir styret grunnlaget for den årlige gjennomgangen av risikoappetitten. Les mer om risikoappetitt, risikoprofil og akseptkriterier på risikostyring, og om metoden på kartlegging av risiko.

AvvikStandard™ – kvaliteten på beslutningsgrunnlaget

Problemet

I mange virksomheter er avvik definert ulikt i ulike avdelinger, blandet sammen med forbedringsforslag og bagateller, og lukket lokalt uten læring. Når avvik legges fram som rå tall, mister ledelsen evnen til å skille systemsvikt fra enkelthendelser, og mønstre fra tilfeldigheter.

Et felles språk

AvvikStandard™ gir virksomheten et felles språk:

• Avvik er manglende oppfyllelse av krav. Det er enten et etterlevelsesavvik – instruksen finnes, men er brutt – eller et systemavvik – instruksen eller systemet mangler eller er feil.
• Fravik er et forhåndsgodkjent unntak fra en intern instruks. Fravik fra myndighetskrav er aldri tillatt.
• Varsler sorteres ut først og følger egen varslingsinstruks. I gjennomgangen inngår bare anonymisert status for varslingsordningen.
• Kritikaliteten – grønn, gul, rød eller svart – avgjør hvem som varsles og hvor raskt.

For ledelsens gjennomgang er skillet mellom etterlevelsesavvik og systemavvik det viktigste. Systemavvik peker mot mangler i styringen: instrukser som mangler, er uklare eller ikke virker. Det er ledelsens og styrets ansvar. Etterlevelsesavvik peker mot opplæring, oppfølging og ledelse i første linje. Mange etterlevelsesavvik på samme instruks kan likevel være et tegn på systemsvikt.

Rotårsak og effektkontroll

Alvorlige avvik analyseres med MTO-analyse – menneske, teknologi og organisasjon – med dokumentert rotårsak og tiltak. Effekten av tiltakene kontrolleres etter 1, 3 og 6 måneder. Dette blir input til ledelsens gjennomgang – ikke som rå tall, men som analysert trendinformasjon. Se Årsaksfinneren™ PRO.

Spørsmålene ledelsen kan besvare

• Avdekker tilsyn eller interne kontroller den samme typen systemavvik igjen og igjen?
• Har tiltakene fra forrige gjennomgang redusert antallet systemavvik?
• Er det områder der etterlevelsesavvikene øker – og hva sier det om kultur og ledelse?
• Hvor har risikovurderingene truffet, og hvor har de undervurdert risikoen?
• Hvor mange røde og svarte avvik har vi hatt, og ble de håndtert innen fristene?

Syntesen: tre lag som virker sammen

ISO gir rammen og kravet. IS-modellen™ gir styringslogikken. AvvikStandard™ gir kvaliteten på beslutningsgrunnlaget. ISO uten styringslogikk blir formalisme. Styringsmodeller uten struktur blir personavhengige. Avvik uten et felles språk blir støy.

Underlaget – hva skal ligge på bordet?

En god gjennomgang står og faller på underlaget. Det skal bygge på det som er gjort, målt, dokumentert, avviksregistrert og overvåket – med kilde for hver vurdering. Det bør sendes ut minst en uke før møtet, slik at møtet brukes til vurdering og beslutning – ikke til gjennomlesing.

Underlag	Kilde	Ansvarlig for å levere
Status for beslutninger fra forrige gjennomgang	Forrige protokoll	Internkontrollansvarlig
Bevisstatus på instruksene	Kontroller i fase 4	Instruksansvarlige
Avvik, trender og rotårsaker	Avviksregisteret, MTO-analyser	Internkontrollansvarlig
Risikoprofilen mot risikoappetitten	Risikoregisteret, risikoindikatorer	Prosesseiere
Måloppnåelse	Mål og nøkkeltall	Ledergruppen
Endringer i krav	Kravoversikten	Den som eier kravoversikten
Revisjonsfunn og tilsyn	Internrevisjon, ekstern revisjon, tilsynsrapporter	Daglig leder
Kunder og leverandører	Tilbakemeldinger, klager, leverandøroppfølging	Prosesseiere
Arbeidsmiljø og medvirkning	AMU, verneombud, sykefravær, undersøkelser	HMS-ansvarlig
Ressurser og kompetanse	Bemanning, opplæring, budsjett	Daglig leder
Varslingsordningen	Anonymisert status	Den som mottar varsler

Verktøyet Avviksregistrering og Styrets Risikomonitor™ gir mye av dette underlaget ferdig strukturert.

Anbefalt agenda i tre deler

Del A: Etterlevelse – bakoverblikk

Her legges bevisene fram. Har vi gjort det vi selv har bestemt? Start med det som ikke virker, eller som virker med redusert kraft.

• Instrukser, kontroller og tiltak som ikke virker eller virker med redusert kraft
• Status for beslutninger fra forrige gjennomgang
• Bevisstatus på instruksene: hva virker, hva virker ikke
• Avvik etter AvvikStandard™: systemavvik, etterlevelsesavvik, trender og rotårsaker
• Resultater fra interne kontroller, vernerunder og revisjoner
• Etterlevelse av myndighetskrav, pålegg fra tilsyn

Del B: Egnethet – nåtid

Er dagens instrukser, prosesser og ressurser fortsatt riktige for å nå målene?

• Måloppnåelse og nøkkeltall
• Risikoprofilen mot risikoappetitten, og akseptert restrisiko
• Endringer i krav, marked, organisasjon og teknologi
• Ressurser og kompetanse sett mot risikoen
• Kommunikasjon og medvirkning: når informasjonen fram, og blir de ansatte hørt?

Del C: Beslutninger – framoverblikk

Dette er det viktigste. Gjennomgangen skal alltid ende i konkrete, dokumenterte beslutninger:

• Endringer i instrukser og styringsdokumenter
• Nye ressurser eller endret ansvar
• Nye eller justerte mål
• Forbedringstiltak med ansvarlig og frist
• Saker som må legges fram for styret – for eksempel risiko over risikoappetitten

Hvem deltar, og hvor ofte?

Skal delta: daglig leder (leder gjennomgangen), ledere med ansvar for sentrale prosesser, og internkontroll- eller kvalitetsansvarlig.

Bør delta: verneombud og tillitsvalgte (særlig for arbeidsmiljø), personvernombud (personvern), økonomiansvarlig (ressurser).

Skal motta resultatet: styret, som egen sak.

Type	Hyppighet	Innhold
Samlet gjennomgang	Minst årlig	Alle input, full vurdering, vedtak
Delgjennomganger	Kvartalsvis	Status på tiltak, nye avvik, endringer i risikobildet
Ekstraordinær gjennomgang	Ved behov	Etter røde og svarte avvik, tilsyn, større omorganisering eller nye krav

Slik gjennomfører du ledelsens gjennomgang – steg for steg

1. Planlegg. Sett dato i årshjulet, gjerne slik at resultatet kan behandles av styret før strategi- og budsjettarbeidet.
2. Samle underlaget. Hver ansvarlig leverer sitt underlag i fast mal, se tabellen over.
3. Analyser. Internkontrollansvarlig sammenstiller, ser etter mønstre og foreslår saker til beslutning.
4. Send ut i forkant. Underlaget sendes deltakerne minst en uke før møtet.
5. Gjennomfør møtet. Følg agendaen: etterlevelse, egnethet, beslutninger. Bruk tiden på vurdering, ikke presentasjon.
6. Beslutt. Hver beslutning får ansvarlig og frist.
7. Skriv protokoll. Protokollen godkjennes av daglig leder og arkiveres sporbart.
8. Rapporter til styret. Et kort sammendrag legges fram som egen sak.
9. Følg opp. Beslutningene inn i tiltaksoversikten, og status til neste gjennomgang.

Protokoll og sporbarhet

Hvorfor dokumentasjonen er avgjørende

Ved tilsyn fra for eksempel Arbeidstilsynet eller Datatilsynet, ved sertifiseringsrevisjon og ved en eventuell tvist er protokollen fra ledelsens gjennomgang et av de viktigste bevisene på at ledelsen styrer aktivt, og at styret har hatt grunnlag for å føre tilsyn.

Krav til protokollen

1. Dato, deltakere og møteleder
2. Gjennomgang av alle input
3. Drøftinger og vurderinger
4. Beslutninger med ansvarlig og frist
5. Behov for endringer i styringssystemet
6. Vurdering av og beslutninger om ressurser
7. Saker som legges fram for styret
8. Dato for neste gjennomgang

Ubrutt sporbarhet

Protokollen må kunne kobles tilbake til de avvikene som ble analysert, de risikovurderingene som ble gjennomgått, instruksene som ble endret, og oppfølgingen i neste gjennomgang. Det gir en ubrutt kjede fra hendelse via analyse og beslutning til endret praksis. Uten den sporbarheten mister gjennomgangen mye av sin styringsmessige og bevismessige verdi.

Rapporten til styret

Styret trenger ikke hele protokollen. Det trenger et kort sammendrag som gjør det mulig å føre tilsyn og ta stilling. Sammendraget bør vise:

• Om styringssystemet samlet sett virker – og hvor det ikke gjør det
• Risikoprofilen mot risikoappetitten, per pilar
• De viktigste systemavvikene og hva som gjøres med dem
• Status for beslutningene fra forrige gjennomgang
• Ressursbehov som krever styrets beslutning
• Forslag til vedtak der styret må ta stilling

Styrets rolle

Styret har det overordnede ansvaret for at virksomheten er forsvarlig organisert og har betryggende kontroll. Ansvaret kan ikke delegeres bort. Resultatet fra ledelsens gjennomgang er derfor en av styrets viktigste kilder til hvordan styringen faktisk virker.

Hva styret bør kreve

• Resultatet fra ledelsens gjennomgang som egen sak, minst én gang i året
• En rapport som kan forstås uten fagsjargong
• Et tydelig skille mellom systemets tilstand og enkelthendelser
• Risikoprofilen vurdert mot risikoappetitten
• Ressursvurderinger som grunnlag for budsjett
• Konkrete forslag til vedtak

Når styret må gripe inn

Viser gjennomgangen gjentatte systemavvik, manglende etterlevelse av sentrale instrukser, risiko over risikoappetitten, eller at tiltak fra tidligere gjennomganger ikke gjennomføres, må styret følge opp. Det kan bety krav om tiltaksplan, flere ressurser, ekstern gjennomgang eller endrede ansvarslinjer.

Styret bør også bruke gjennomgangen til sin egen evaluering. Se Styrets egenevaluering og styrets ansvar.

Hvordan måle om ledelsens gjennomgang virker

Indikator	God praksis
Beslutninger med ansvarlig og frist	Alle
Beslutninger gjennomført innen frist	Over 90 %
Underlag sendt ut i forkant	Minst en uke før
Saker til styret	Alle saker over ledelsens myndighet er lagt fram
Systemavvik over tid	Synkende trend
Instrukser endret som følge av gjennomgangen	Sporbart til beslutning i protokollen

Ledelsens gjennomgang i små virksomheter

I en liten virksomhet trenger ikke ledelsens gjennomgang være stor, men den må være ekte. Det holder ofte med ett møte i året på to timer, der daglig leder – gjerne sammen med en eller to nøkkelpersoner og verneombudet – går gjennom en fast liste:

• Gjorde vi det vi bestemte sist?
• Hvilke avvik og nestenulykker har vi hatt, og hva lærte vi?
• Har det kommet nye krav, kunder, oppdrag eller ansatte som endrer risikoen?
• Virker instruksene våre – og er de fulgt?
• Når vi målene?
• Hva skal vi gjøre annerledes neste år, hvem gjør det, og når?

Skriv en kort protokoll med beslutningene, og legg den fram for styret. Er daglig leder også eneste styremedlem, er protokollen likevel viktig: Den dokumenterer at virksomheten er forsvarlig organisert.

Én samlet gjennomgang for flere standarder

Virksomheter med flere sertifiseringer bør holde én samlet gjennomgang, i stedet for én per standard. Grunnstrukturen er den samme, men hver standard har noen egne input som må være med:

Standard	Egne input i tillegg til fellesdelen
ISO 9001 – kvalitet	Kundetilfredshet, produkt- og tjenestesamsvar, eksterne leverandørers ytelse
ISO 14001 – miljø	Vesentlige miljøaspekter, endringer i forpliktelser, henvendelser fra interessenter
ISO 45001 – arbeidsmiljø	Hendelser og skader, resultater av konsultasjon og medvirkning, etterlevelse av lovkrav
ISO 27001 – informasjonssikkerhet	Resultater av risikovurderingen og status for planen for risikobehandling, tilbakemeldinger fra interessenter
ISO 50001 – energi	Energiytelse og energiindikatorer

En samlet gjennomgang gir ledelsen ett helhetlig bilde, sparer tid og gjør det lettere å se sammenhenger – for eksempel mellom arbeidsmiljø, kvalitet og informasjonssikkerhet.

Ledelsens gjennomgang i årshjulet

Gjennomgangen gir mest verdi når den er plassert riktig i året – slik at resultatet kan brukes i styrets arbeid med strategi, risikoappetitt og budsjett:

Når	Hva
Løpende	Kontroller, avviksbehandling og oppfølging av tiltak i fase 4
Hvert kvartal	Delgjennomgang: status på tiltak, nye avvik, risikoindikatorer
Seks uker før	Ansvarlige leverer underlag
Én uke før	Underlag sendes til deltakerne
Samlet gjennomgang	Gjerne tidlig høst, før strategi- og budsjettarbeidet
Neste styremøte	Styret behandler sammendraget og vurderer risikoappetitten
Etterpå	Beslutningene følges opp og inngår i neste gjennomgang

Vanlige feil

• Skjønnmaling og synsing. Vurderingene bygger på hva man mener, ikke på hva som er gjort, målt og kontrollert. Alt er grønt.
• Statusrapport i stedet for beslutningsmøte. Møtet består av presentasjoner, og ingen beslutninger tas.
• Underlaget kommer i møtet. Deltakerne leser i stedet for å vurdere.
• Rå avvikstall. Ingen skiller systemavvik fra etterlevelsesavvik, og ingen ser trender.
• Bare HMS. Krav, mål, effektivitet og misligheter er ikke med.
• Risikoen er ikke med. Risikoprofilen vurderes ikke mot risikoappetitten.
• Beslutninger uten eier. Ingen ansvarlig, ingen frist, ingen oppfølging.
• Styret får ikke vite. Resultatet blir liggende hos ledelsen.
• Delegert bort. Kvalitetsansvarlig gjennomfører alene, og ledelsen godkjenner protokollen uten å ha deltatt.

Sjekkliste for ledelsens gjennomgang

• 1. Er gjennomgangen planlagt i årshjulet, og ledes den av daglig leder?
• 2. Er underlaget sendt ut minst en uke før?
• 3. Er status for forrige gjennomgangs beslutninger med?
• 4. Er bevisstatus på instruksene vurdert – og har hver vurdering i underlaget en kilde?
• 5. Står det som ikke virker, eller virker med redusert kraft, først i underlaget?
• 6. Er avvikene analysert etter type, kritikalitet, rotårsak og trend?
• 7. Er risikoprofilen vurdert mot risikoappetitten?
• 8. Er måloppnåelse, ressurser og endringer i krav vurdert?
• 9. Er revisjonsfunn, tilsyn og tilbakemeldinger fra kunder og ansatte med?
• 10. Har hver beslutning ansvarlig og frist?
• 11. Er saker over ledelsens myndighet lagt fram for styret?
• 12. Er protokollen sporbar til avvik, risiko og instrukser?
• 13. Er beslutningene fulgt opp til neste gjennomgang?

Fordeler, utfordringer og ærlige forbehold

Fordeler med ISO + IS-modellen™ + AvvikStandard™

• Reell styring, ikke bare formell etterlevelse
• Tydelig kobling mellom avvik, risiko og beslutninger
• Kortere avstand mellom drift og ledelse
• Bedre egnet for kontinuerlig forbedring enn årlig rapportering
• Sterk dokumentasjon ved tilsyn og revisjon

Ærlige utfordringer

• Krever aktiv ledelse. Hvis toppledelsen ikke engasjerer seg, virker det ikke.
• Mindre kjent enn ISO alene. Må forklares for eksterne revisorer og sertifiseringsorganer.
• Avdekker styringssvikt tydeligere, og det kan oppleves krevende.
• Stiller høyere krav til instruksbasert dokumentasjon enn tradisjonell praksis.

Dette er ikke svakheter. Det er konsekvenser av reell styring.

Ledelsens gjennomgang som konkurransefortrinn

• Tidlig varsling om problemer som ellers ville vokst seg store
• Prioriteringsstøtte for investeringer og ressursbruk
• Troverdighet overfor kunder, banker, tilsyn og offentlige oppdragsgivere
• Tilsynsberedskap – dokumentasjonen ligger klar
• Et styringsgrunnlag som styret faktisk kan bruke
• Læring – organisasjonen forbedrer seg i stedet for å gjenta de samme feilene

Mer på Internkontrollportalen

Avsluttende vurdering

Ledelsens gjennomgang har størst verdi når den bygger på presis informasjon, setter ledelsen i stand til å ta faktiske beslutninger, og fører til forbedring – ikke bare dokumentasjon. ISO gir et nødvendig rammeverk. IS-modellen™ gir styringslogikken. AvvikStandard™ gir kvalitet i beslutningsgrunnlaget.

Det handler ikke om å unngå alle feil. Det handler om et system som er så robust at feil blir fanget opp, analysert og brukt til å forbedre instruksene som styrer virksomheten. Det er kjernen i god virksomhetsstyring.