Bent Høie (Høyre), 2019-02-05:
Riksrevisjonen har i revisjonen av 2017 vært opptatt av informasjonssikkerhet i statlige virksomheter. Det er pekt på vesentlige mangler i styringen av informasjonssikkerhet og sikringen av IKT-systemer. Aktører som ønsker å angripe statlige virksomheter, tar i bruk stadig mer avanserte metoder. Det er, ifølge Riksrevisjonen, ofte vanskelig å se sammenhengen mellom identifiserte risikoer og risikoreduserende tiltak. Selv om ingen av de gjennomførte revisjoner omtalt i Dokument 1 retter seg mot Helse- og omsorgsdepartementets område, vil jeg likevel kommentere enkelte forhold knyttet til hva som er gjort på mitt ansvarsområde. Jeg vil også be, og har bedt, Stortinget om en anledning til å redegjøre om IKT-arbeidet i Helse Sør-Øst, i tråd med Riksrevisjonens anbefaling. Jeg har også – i foretaksmøtet i januar – stilt krav om at helseregionene må lære av hverandre på dette området. Riksrevisjonen har gjennom sin selskapskontroll for 2017 foretatt revisjoner i spesialisthelsetjenesten med fokus på informasjonssikkerhet. Riksrevisjonens kontroll omtaler to saker i Helse Sør-Øst spesielt. Den ene er arbeidet med Digital fornying, den tidligere samlede planen for arbeid på IKT-området. Den andre er regionens innføring av nytt røntgensystem. Riksrevisjonen uttaler at målene som ble satt for Digital fornying, ikke er nådd. Det er for så vidt korrekt, men Helse Sør-Øst har forlatt strategien bak dette programmet. De har iverksatt flere tiltak: ny organisering, som skal gi tydeligere roller og ansvar, å sikre bedre involvering av helseforetakene og bedre forankringen av beslutninger i både helseforetakene og i ledelsen i det regionale helseforetaket. Styret i Helse Sør-Øst får rapportering på gjennomføringen av de enkelte prosjektene i IKT-porteføljen og blir bedre i stand til å følge opp vedtatte prosjekter. Det fokuseres på avviksrapportering og tiltak for å lukke disse. Riksrevisjonen mener at arbeidet med felles radiologiløsning kunne gi grunn til bekymring for pasientsikkerheten. Helse Sør-Øst påpeker imidlertid at det er viktig å skille mellom uønskede hendelser og brudd på pasientsikkerheten. De har lagt vekt på bl.a. supplerende manuelle tiltak for å sikre kvaliteten i pasientbehandlingen. Saken har ført til viktige endringer i måten anskaffelser gjennomføres på. En digitalisert helse- og omsorgstjeneste stiller andre krav til informasjonssikkerhet og behandling av helseopplysninger. Pasientjournalloven fra 2014 var viktig, og med EUs personvernforordning går vi et skritt videre. Helseregionene har lagt ned mye arbeid med å implementere personvernforordningen. Styringssystemet er gjennomgått og oppdatert, og helseforetakene har etablert personvernombud. Men arbeidet for bedre kvalitet i pasientbehandlingen, personvern og informasjonssikkerhet er kontinuerlige prosesser som aldri kan avsluttes. Riksrevisjonen har bl.a. sett på hvordan departementet og Helsedirektoratet forvalter de ulike tilskuddsordningene. I 2017 forvaltet Helsedirektoratet 160 tilskuddsordninger med en samlet bevilgning på 14 mrd. kr. Revisjonen for 2017 omfatter seks tilskuddsordninger med en ramme på om lag 750 mill. kr og 18 tilskuddsmottakere med utbetalinger på totalt 48 mill. kr i 2016. Riksrevisjonen har valgt ut ordningene basert på en vurdering av risiko og vesentlighet. Revisjonen viste at Helsedirektoratet ikke har dokumentert kontrollen av at tilskuddsmidler er brukt i tråd med Stortingets vedtak og forutsetninger. Videre fant Riksrevisjonen at rapporteringen om tilskuddsordningene som er undersøkt, i begrenset grad omhandlet oppnådde resultater. Revisjonen viser imidlertid at Helse- og omsorgsdepartementet har fastsatt regelverk for hver av tilskuddsordningene og gitt styringssignaler for tilskuddsforvaltningen. Riksrevisjonen mener det er kritikkverdig at Helsedirektoratet ikke i tilstrekkelig grad har dokumentert om målet med det enkelte tilskudd er nådd, og at de ikke har innhentet regnskapsutskrifter fra de fleste av de undersøkte tilskuddsmottakerne. Jeg er enig i denne kritikken. Departementet har i etatsstyringsdialogen med Helsedirektoratet, herunder i tildelingsbrevet for 2019, presisert at virksomheten må forbedre sine kontrollrutiner basert på en vurdering av risiko og vesentlighet. Jeg deler også Riksrevisjonens vurdering om at rapporteringen til Stortinget i større grad bør omtale oppnådde resultater, og at departementet kunne fulgt bedre opp at direktoratet utfører tilskuddsforvaltningen i tråd med regelverket. Departementet og direktoratet vil gjennomgå tilskuddsordningene og ta stilling til for hvilke ordninger det er størst behov for å forbedre rapporteringen til Stortinget gjennom omtalen i budsjettproposisjonen.