Sisäisen valvonnan arviointi- ja vahvistuslausuma

Kunkin aluehallintoviraston johto vastaa valtion talousarviosta annetun lain 24 b §:n mukaisesti siitä, että virastossa toteutetaan sen talouden ja toiminnan laajuuteen ja sisältöön sekä niihin liittyviin riskeihin nähden asianmukaiset menettelyt, jotka varmistavat viraston talouden ja toiminnan laillisuuden ja tuloksellisuuden, viraston hallinnassa olevien varojen ja omaisuuden turvaamisen sekä viraston johtamisen ja ulkoisen ohjauksen edellyttämät oikeat ja riittävät tiedot viraston taloudesta ja toiminnasta.

Sisäisen valvonnan tilaa arvioitiin kaikissa aluehallintovirastoissa soveltaen COSO ERM – viitekehykseen perustuvaa sisäisen valvonnan arviointikehikkoa. Tämä toteutettiin suuntaamalla virastojen ylijohtajille ja vastuualueiden johtajille sisäisen valvonnan tilaa koskeva kysely. Aluehallintovirastojen toimintakenttä on heterogeeninen, joten keskiarvojen mukaan oli vaikea tehdä johtopäätöksiä.

Aluehallintovirastojen hallinto- ja kehittämispalvelut hoidetaan pääosin keskitetysti Etelä-Suomen aluehallintovirastoon sijoitetulla hallinto- ja kehittämispalvelut -vastuualueella (HAKE). Työnjako ja prosessit HAKEn ja virastojen välillä olivat pitkälti vakiintuneet, mutta osin vielä vaativat kehittämistä. Toimintavuonna päivitettiin ja uudistettiin aluehallintovirastojen yhteisiä ohjeita ja suosituksia.

Virastojen toimintaympäristöön vaikutti edelleen vahvasti käynnissä oleva aluehallintouudistus. Virastot osallistuivat aktiivisesti Valtion lupa- ja valvontaviraston toimeenpanohankkeeseen (Luova-hanke) sekä maakuntiin ja muihin virastoihin siirtyvien tehtävien toimeenpanohankkeisiin. Virastoissa tehtiin konkreettista valmisteluyhteistyötä uuden viraston osalta sekä suunniteltiin myös valtakunnallisesti yhtenäisiä toimintatapoja, joita voitaisiin ottaa käyttöön jo nykyisissä virastoissa.

Arvioinnin numeeriset arvot ilmenevät alla olevasta taulukosta. (Taulukko 1.8.1.)

Taulukko 1.8.1. Arvioinnin numeeriset arvot

Arvioinnin tulokset ja johtopäätökset

Virastojen johdolle suunnatun kyselyn tulokset osoittivat sisäisen valvonnan tilan hieman heikentyneen useilla osa-alueilla. Ainoastaan kontrolleissa ja toimintakulttuurissa arvioitiin tilanteen olevan liki ennallaan. Muutokset eivät olleet kuitenkaan kovin suuria. Kokonaisuudessaan sisäisen valvonnan tila oli edelleen melko hyvä, arvioinnin kokonaiskeskiarvo oli 2,96 (asteikolla 1–4).

Arvio aluehallintovirastojen toimintakulttuurista pysyi samalla tasolla edelliseen vuoteen verrattuna. Tätä tukivat myös virastojen työtyytyväisyyskyselyn tulokset. Organisaatiorakenne on selkeä ja toimiva, ja tehtävänkuvat on dokumentoitu selkeästi. Osa-alueen sisäinen valvonta arvioitiin hyväksi ja järjestelmälliseksi. Tehtävien edellyttämä määrä henkilöstöä ja/tai ulkoistettuja palveluita arvioitiin positiivisemmaksi kuin edellisvuonna, mutta henkilöstöresurssin ei koettu olevan kaikilta osin riittävää mm. eläköitymisten, pitkien poissaolojen ja muun vaihtuvuuden vuoksi. Henkilöstövajetta pystyttiin hieman parantamaan vuoden aikana lisäresurssoinnilla. Myös Luova-hanke vei paljon työaikaa sekä asiantuntijoilta että johdoilta.

Tietojärjestelmiin liittyvät häiriötilanteet vaikeuttivat edelleen virastojen toimintaan ja toisaalta tietojärjestelmien kehittämisen todettiin olevan liian hidasta. Vireillä olevat kehittämishankkeet voivat viedä vuosia ja ne työllistävät erittäin paljon substanssivirkamiehiä. Myös laitteiden hallinnan tuessa ja häiriöilmoitusten käsittelyssä oli kehitettävää. Viraston toiminnan kannalta kriittisten laatupoikkeamien välttäminen sekä HAKEn tuottamissa että ulkoistetuissa palveluissa edellyttää tehokasta ja reaktiivista laadun valvontaa sekä vastuiden selkiyttämistä. 

Aluehallintovirastoilla ja elinkeino-, liikenne- ja ympäristökeskuksilla on yhteinen strategia-asiakirja vuosille 2016–2019. Tulossopimus vuodelle 2018 oli selkeä ja tavoitteellinen sekä painopisteajatteluun perustuva. Arvioinnissa ilmeni, että toiminta oli suunnitelmallista, koordinoitua ja tavoitteet viestitettiin hyvin organisaatiolle.

Riskejä tunnistettiin, priorisoitiin ja hallittiin, mutta ilman systemaattista työkalua ja kokonaisvaltaista dokumentointia. Riskienhallintaa koskevan osa-alueen arviointi laski kohtuulliselle tasolle. Arviointituloksen negatiivisen kehityksen taustatekijäksi arvioitiin se, että riskienhallinta on ollut pitkään kehittämiskohteena aluehallintovirastoissa, mutta vuoden 2018 aikana ei kuitenkaan edetty asiassa niin nopeasti kuin odotettiin. Riskienhallintapolitiikan ja -mallin käyttöönotto ja riskien tunnistaminen käynnistyivät HAKEn tietoyksikön johdolla valtakunnallisesti joulukuussa 2018 ja työ jatkuu vuonna 2019, jonka aikana aluehallintovirastojen riskit ja niiden hallintamenettelyt dokumentoidaan ja riskienhallintatyö saadaan vihdoin säännölliseksi osaksi johtamista ja sisäistä valvontaa. Työhön osallistuu vastuualueiden edustajista kootut valtakunnalliset riskienhallintaryhmät ja virastojen riskienhallintakoordinaattorit.

Arvion mukaan kontrollit olivat sisäisen valvonnan parhaiten suunniteltuja ja toteutettuja kohteita. Erityisesti toiminnan ja talouden seuranta arvioitiin hyväksi ja järjestelmälliseksi. Aluehallintovirastoissa käytettiin tietojohtamisen työvälinettä (Tableau) toiminnan, talouden- ja henkilöstötiedon raportointiin. Kehittämiskohteena esiin nousi toimintaan liittyvän poikkeamaseurannan ylläpito. Virastojen häiriöttömän toiminnan kannalta tulee kirjaamis- ja asianhallintaprosesseja sekä toimintatapoja parantaa sisäisen asiakaspalvelun laadun säilyttämiseksi.

Arviointikehikon tiedonkulku ja informaation käytettävyys osa-alueen tulos laski hieman, mutta se arvioitiin kokonaisuudessaan melko hyväksi ja myös VMBarossa vuorovaikutus ja viestintä saivat hyvän arvion. Kehittämiskohteena on edelleen johdon järjestelmällinen ja oikea-aikainen tiedonsaanti. Alhaisimmat arviot saivat sisäisessä tiedonkulussa poikkeustilanteiden viestinnän nopeat ja kattavat menettelyt sekä ulkoisen viestinnän suunnitelmat poikkeustilanteiden viestinnän toteuttamisesta. Samoin kehittämistarpeita nähtiin järjestelmällisessä tavassa raportoida ja tiedottaa viraston toiminnasta suurelle yleisölle ja erityisille kohderyhmille sekä toimintaympäristön muutoksista tarvittavien tietojen hankkimisessa.

Seuranta -osa-alueen arviointi laski toiseksi eniten, mutta oli kuitenkin melko hyvällä tasolla. Kehittämiskohteeksi nousi johdon säännöllinen tiedonsaanti poikkeamaseurannasta. Viraston omaan sisäisen valvonnan ja riskienhallinnan toimivuuden arviointiin tulee myös kiinnittää huomiota. Tähän tuo parannusta jo edelläkin mainittu aluehallintovirastojen yhteisen riskienhallinnan käyttöönotto. Sisäisen valvonnan toimivuutta seurataan säännönmukaisesti tilinpäätökseen liittyvässä sisäisen valvonnan arviointimenettelyssä.

EU:n tietosuoja-asetuksen soveltaminen alkoi kansallisessa lainsäädännössä 25.5.2018, jonka jälkeen asiakkailla/rekisteröidyillä oli aiempaa laajemmat oikeudet tarkastaa ja korjata itsestään viranomaisten rekistereihin talletettuja tietoja. Tietosuojalaki tuli voimaan 1.1.2019. Aluehallintovirastojen ja Valviran yhteinen tietosuojapäällikkö aloitti kesällä 2018. Henkilöstön tietosuojan ja tietoturvan osaamista parannettiin koulutuksien ja infojen kautta. Aluehallintovirastot olivat yksi yhteinen rekisterinpitäjä, joten henkilörekisterikokonaisuuksille nimettiin vastuu- ja yhteyshenkilöt. Tietosuojaan liittyvien prosessien yhdenmukaistamista jatketaan kuluvana vuonna.

Valtiontalouden tarkastusviraston ja sisäisen tarkastuksen tarkastuskertomukset saatetaan johdon (johtoryhmien) tietoon, ja niissä esitettyjen toimenpiteiden ja suositusten toteutumista seurataan.

Vahvistuslausuma

Arviointien perusteella aluehallintovirastojen sisäiset valvonnat ja niihin kuuluvat riskienhallinnat täyttivät valtion talousarviosta annetun asetuksen 69 §:n vaatimukset.

Sisäisen valvonnan ja siihen sisältyvillä riskienhallinnan menettelyillä kyettiin riittävän hyvin varmistamaan virastojen toiminnan laillisuus, tuloksellisuus ja omaisuuden turvaaminen sekä raportoinnin oikeellisuus ja riittävyys johtamisen ja ulkoisen ohjauksen tarpeet huomioiden.