Erfaringer etter revisjoner og inspeksjoner

– Utfordringer i virksomhetene

Gjennom ulike tilsynsaktiviteter har tilsynet erfart at flere av virksomhetene ”sliter” med interne revisjoner og at vanskene både omhandler etterlevelse av krav så vel som utnyttelse av interne revisjoner som et effektivt og hensiktsmessig verktøy for virksomheten selv. Eksempler på noen av de gjentagende problemstillingene vi støter på er:

• Omfanget av eget sikkerhetsstyringssystem er ikke kartlagt/kjent eller beskrevet – verken for interne aktiviteter eller for aktiviteter der leverandører benyttes.
  àDette medfører at virksomheten ikke har oversikt over hvilke områder som faktisk skal revideres og det blir vanskelig å kunne si noe om hvor ofte eller hvor omfattende det er nødvendig at revisjoner gjennomføres.
  
  
• Ledelsens gjennomgang regnes som en intern revisjon og øvrige interne revisjoner gjennomføres ikke.
  àInterne revisjoner er et verktøy for å overvåke og kontrollere sikkerhetsstyringssystemet (et ”måleapparat”). Slik skal de skaffe grunnlag og informasjon slik at ledelsen i ledelsens gjennomgang kan vurdere og sikre at det samme systemet er tilfredsstillende implementert, vedlikeholdt og tilfredsstiller krav gjennom eksempelvis iverksettelse av tiltak. Ledelsens gjennomgang er således ikke en intern revisjon. Ved å gjennomføre ledelsens gjennomgang uten informasjon om resultater fra interne revisjoner svekkes også det vurderingsgrunnlaget ledelsen har for å prioritere og sikre gjennomføring av riktige tiltak.
  
  
• Programmer for interne revisjoner styres ikke sentralt og benyttes ikke som et verktøy for virksomhetens ledelse.
  àProgrammene for revisjoner skal samlet ivareta en overvåking av hele sikkerhetsstyringssystemet. Når programmene ikke har en sentral styring vil evnen til å gi et helhetsbilde fort svekkes.
  
  
• Revisjonene dekker over tid ikke hele sikkerhetsstyringssystemet.
  àRevisjonene gjennomføres for å overvåke hele sikkerhetsstyringssystemet. Dersom enkelte områder, aktiviteter eller funksjoner utelates eller ”glemmes” (uten at det er gjort bevisst ut ifra en vurdering av at overvåkingen ivaretas på andre måter) vil ikke denne hensikten oppnås.
  
  
• Virksomheten har ikke vurdert nødvendig hyppighet av interne revisjoner eller leverandørrevisjoner – ofte er dette i sammenheng med at der ikke er et bevisst forhold til hva som faktisk inngår i systemet.
  à Når interne revisjoner benyttes uten at det er vurdert hva slags omfang som trengs for å få nødvendig informasjon og kontroll taper verktøyet mye av sin verdi. I noen tilfeller investeres kanskje mye ressurser i å gjennomføre interne revisjoner uten at hensikten – å overvåke sikkerhetsstyringssystemet og ha kontroll med systemets effektivitet – oppnås.
  
  
• Hyppigheten for intern-/leverandørrevisjoner er ikke sikkerhetsmessig begrunnet.
  àDe interne revisjonene skal gi virksomheten informasjon om systemene som er etablerte for å ivareta og forbedre sikkerheten virker etter hensikten. En vurdering av hvor omfattende/hyppige revisjoner som trengs på ulike områder for å gi nok informasjon for å bedømme om sikkerheten ivaretas er derfor nødvendig for at bruken skal være hensiktsmessig. I noen tilfeller har virksomhetene begrunnet hyppigheten ut ifra praktiske hensyn (ressurser etc.) uten at det er vurdert om revisjonsprogrammet da oppfyller sin hensikt sikkerhetsmessig.
  
  
• Revisjonsprogrammene (som ofte er årlige) ivaretar ikke den hyppigheten som er definert av virksomheten.
  àNoen ganger har virksomheten vurdert hvilken hyppighet som er nødvendig og begrunnet dette sikkerhetsmessig. Likevel benyttes ikke alltid denne vurderingen i planleggingen av revisjonsprogrammer. Når programmene så over tid ikke ivaretar den forhåndsvurderte hyppigheten ivaretar heller ikke virksomheten den revisjonsaktiviteten de har sagt er sikkerhetsmessig nødvendig.
  
  
• Avvik fra revisjonsprogrammet behandles ikke og avvik kompenseres ikke.
  àRevisjonsprogrammene inneholder den revisjonsaktiviteten som virksomheten har sagt er sikkerhetsmessig nødvendig. På linje med andre bestemmelser som ivaretar sikkerheten må derfor avvik fra denne håndteres. Dersom programmet avvikes (eksempelvis ved at enkelte revisjoner kuttes ut eller flyttes)uten at det kan vises til vurderinger og/eller at eventuelt andre tiltak settes inn, kan det ikke lenger sies at revisjonsprogrammet ivaretar den sikkerhetsmessige hensikten.
  
  
• Funn fra revisjonene følges ikke tilstrekkelig opp med korrektive tiltak og det er uklarheter rundt ansvaret for oppfølgingen.
  àRevisjoner avdekker både avvik fra krav og forbedringsmuligheter. Når korrigerende tiltak (fjerning av årsak) ikke gjennomføres eller det ikke verifiseres om tiltakene fungerer etter hensikten, vil ofte avvikene oppstå på nytt eller i en annen form. Informasjonen fra interne revisjoner brukes da ikke til å påse at sikkerheten ivaretas og forbedres.
  
  
• Resultatet av revisjonene vurderes ikke som helhet og benyttes ikke som underlag i ledelsens gjennomgang.
  àNår hver enkelt revisjon bare ses på isolert vil fremdeles enheter og områder få avdekket avvik og forbedringsmuligheter. Virksomheten mister imidlertid effekten av den samlede vurderingen som sier om systemet som helhet er tilfredsstillende implementert, vedlikeholdt og tilfredsstiller krav. Informasjonen bidrar da ikke til å gi ledelsen et godt grunnlag for å sikre og forbedre systemene når de skal prioritere og iverksette tiltak.