Valtiontalouden tarkastusviraston (VTV) tarkastussuunnitelmaan 2017-2021 (15.12.2016) sisältyi
sisäistä valvontaa, riskienhallintaa ja jatkuvuuden turvaamista koskeva tarkastusteema.
Teemaan liittyvästä tarkastuksesta annettava tarkastuskertomus
oli tarkoitus esittää VTV:n erityiskertomuksena eduskunnalle [--1--].
Aiheesta ei ollut tehty riski-/ongelma-analyysia kuten normaalisti [--2--].
Tarkastus
Tarkastuksen tavoitteeksi (pääkysymys) tuli: onko valtion riskienhallinnassa ja jatkuvuuden varmistamisessa
varauduttu riittävästi toiminnan turvaamiseen normaaliolojen poikkeustilanteissa?
Pääkysymys jakautui kolmeen osakysymykseen [--3--],
joita tarkensi 12 kysymystä, joita 20 kysymystä niin, että vastattavia tarkastuskysymyksiä oli yhteensä 24.
Tarkastukseen osallistui viisi tarkastajaa, joista kolme osallistui tarkastuksen esiselvitykseen.
Esiselvitykseen [25.8.2017-3.10.2017] oli osoitettu 30 henkilötyöpäivää (htp; osuuteni 0 htp) ja
varsinaiseen tarkastukseen 385 hpt (40 htp).
Varsinainen tarkastus tehtiin 4.10.2017 - 26.11.2018.
Esiselvitykseen meni 53 htp (0 htp) ja tarkastukseen 769 htp
(74 htp) eli yhteensä 822 htp (74 htp) [--4--].
Tarkastuskertomuksen kannanotoissa esitetyt suositukset kaikille virastoille koskivat riskienhallintapolitiikan laatimista ja toteuttamista
sekä virastojen johdon vastuuta toiminnan jatkuvuuden varmistamisesta.
Valtiovarainministeriölle (VM) osoitetut suositukset koskivat Valtoriin keskitettyjen palveluiden jatkuvuuden varmistamista
ja riskien- ja jatkuvuudenhallinnan laajentamista hallinnonala- tai valtioneuvostotasoiseksi.
Tarkastuksen vaikutukset
Eduskunnan tarkastusvaliokunta edellytti (20.2.2019)
TrVM 10/2018 vp, että "hallituksen tulee selvittää valtioneuvostotasoiseen, hallinnonalatasoiseen ja virastotasoiseen riskienhallintaan
yhteensopivat ja toimivat menettelytavat sekä määrittää vastuutahot ja vastuusuhteet" [--5--].
VTV arvioi (12.9.2019) vuosikertomuksessaan eduskunnalle
2019 (s. 42),
että tarkastuksella vaikutettiin kokonaisuutena valtionhallinnon riskienhallinnan parantamiseen [--6--].
Valtiovarainministeriö (VM) asetti 21.4.2020 työryhmän
edistämään toimenpiteitä VTV:n antamien suositusten johdosta [--7--].
Tätä sivua kirjoitettaessa (2.5.2023) ja päivitettäessä (8.7.2023) valtioneuvostotasoisen riskienhallinnan toteutus oli kesken.
VTV katsoi jälkiseurantaraportissaan
(15.6.2023),
että VTV:n antamat suositukset ovat toteutuneet riittävästi eikä jälkiseurantaa ole tarpeen jatkaa.
VTV perusteli päätöstään kolmella asialla.
VM:n oli saanut aikaan luonnoksen riskienhallinnan käsikirjaksi valtionhallinnon toimijoille,
kesällä 2019 tehdyn kyselytutkimuksen
mukaan virastojen riskienhallinnan ohjeistus oli melko hyvällä tasolla ja VM:n tulossopimusohjeessa
(2.5.2023; VN/13288/2023) kiinnitetään riittävästi huomiota riskienhallintaan.
Omat kommentit
Tarkastus oli ylimitoitettu suhteessa resursseihin ja aikatauluun, eikä tarkastuksen toteutustapa parantanut tilannetta.
Tiedot haastatteluista jäivät osittain hyödyntämättä.
Tarkastuskertomus rakentui pitkälti virastokyselyyn saatujen vastausten varaan.
Vastaukset eivät olleet yksiselitteisiä [--8--].
VTV lopetti jälkiseurannan liian aikaisin ja kevyin perustein.
Eduskunnan tarkastusvaliokunta oli edellyttänyt (20.2.2019) selvää ja konkreettista parannusta
valtioneuvostotasoiseen, hallinnonalatasoiseen ja virastotasoiseen riskienhallintaan.
On vaikea pitää tähän kannanottoon asianmukaisena vastauksena sitä, että
VM valmistelee virastorajat ylittävän integroidun riskienhallintajärjestelmän sijasta
riskienhallinnan käsikirjan virastoille ja laitoksille [--9--].
Pyynnöstä huolimatta en saanut tässä kerrotun tarkastuksen johtamistehtävää,
vaikka ilmaisin siihen vahvaa kiinnostusta ja olin hyvin perehtynyt kohdealueeseen [--10--].
------
[--1--]
Ks. VTV:n
2017-2021 tarkastussuunnitelma 2017-2021, s.20-21.
Suunnitelmasta poiketen tarkastuskertomusta ei annettu erityiskertomuksena eduskunnalle vaan normaalina tuloksellisuustarkastuskertomuksena.
[--2--]
Tarkastusta ei siten käynnistetty VTV:n normaalin suunnitteluprosessin mukaisesti,
jota kuvataan toisella sivulla.
[--3--]
Tarkastuksen osakysymykset:
* 1 Onko valtion virastojen johdon ohjauksella riittävästi varmistettu viraston olennaisen toiminnan jatkuvuus?
* 2 Onko hallinnonalan ja sen läpileikkaavien, poikkihallinnollisten ja muiden laajojen toiminto- tai toimitusketjujen jatkuvuudenhallinta olennaisilta osin riittävää?
* 3 Onko valtion jatkuvuuden- ja riskienhallinta toteutettu siten, että se tuottaa riittävän kuvan valtioneuvostotason päätöksentekoon
[--4--]
Työpäiväylitystä (34 htp) osaltani selitti (1) se, että tarkastuksessa pidettiin ainakin 23 tiimipalaveria,
jotka eivät edistäneet vastaavassa suhteessa osakseni tullutta tehtävää ja
(2) vaikeudet saada tarkastukseen käyttökelpoista dataa Palkeista.
[--5--]
Valiokunta palasi asiaan mietinnössään 11.11.2020
TrVM 6/2020 vp ja totesi merkittäväksi puutteeksi,
että yksittäisen viraston keinot ja virastopohjainen, kapea tilannekuva eivät riitä vastaamaan
muuttuvan toimintaympäristön monimutkaistuviin riskeihin ja siihen,
ettei valtiokokonaisuuden kattavaa riskienhallintaa ole, eikä vastuutahoa ole nimetty.
[--6--]
Vajaa puoli vuotta myöhemmin, maaliskuussa 2020, Covid-19 -epidemia alkoi levitä Suomessa.
Epidemia testasi valtionhallinnon todellista riskienhallintakyvykkyyttä.
[--7--]
Työryhmän raportin
(VM julkaisu 2021:28; 31.5.2021) mukaan kokonaisvaltaisen valtioneuvostotasoisen riskienhallinnan keskeisimmät tavoitteet
koskevat (1) valtioneuvoston johtamista ja päätöksentekoa,
(2) yhteensovitettua tilannekuvaa riskeistä ja ilmiöistä,
(3) riskienhallinnan vastuiden määrittelyä ja
(4) rakenteita ja menettelytapoja hallinnon kaikilla tasoilla olennaisen riskeihin liittyvän tiedon hyödyntämisessä.
☆ Jatkotoimenpiteenä työryhmä esitti, että sisäisen valvonnan ja riskienhallinnan neuvottelukunnan alaisuuteen perustetaan jaosto,
jolla on työryhmäraportissa (s. 41) mainitut tehtävät.
Jaosto asetettiin 14.2.2022.
[--8--]
Esimerkiksi kysymykseen "Missä asiakirjassa virastonne jatkuvuudenhallinnan periaatteet on määritelty?" tuli vastauksia
(mm. "työjärjestys", "työsuojelun toimintaohjelma", "henkilöstösuunnitelma"),
joista saattoi päätellä, että kysymystä ei oltu ymmärretty oikein.
Kysely tehtiin kaikille (yhteensä 182) valtionhallinnon tulosohjatuille virastoille ja laitoksille.
Haastatteluja tehtiin lähes 60. Tekemissäni haastetteluissa kävin myös läpi kyselyyn annetut vastaukset.
[--9--]
Sisäisen valvonnan ja riskienhallinnan neuvottelukunnan
ja sen riskienhallinnan jaoston työ on keskittynyt
virastotasoisten riskienhallintaohjeiden laatimiseen ilman yhteyttä järjestelmälliseen valtiotasoiseen riskienhallintaan.
Jaostolle oli epäselvää (vielä kokouksessa 15.3.2023), miten ratkaistaan valtioneuvoston yhteisten toimintojen ja riskienhallinnan integrointi.
[--10--]
Perehtymistä osoittivat suorittamani ammattitutkinnot (CIA
ja CISA),
tehtäväni sisäisen tarkastuksen päällikkönä
maa- ja metsätalousministeriössä ja Tekesissä sekä
osallistumisessa kohdealueen ja siihen liittyvien työryhmien toimintaan.
☆
Olin valmistellut muistion (8.1.2016) valtionhallinnon riskienhallinnan kehittämisestä
ja blogeja ja artikkeleita.
Muistiota ei lähetetty, mikä saattoi johtua VTV:llä meneillään olleista kohdealueen tarkastuksista
(12.9.2017)
ja tällä sivulla käsitelty tarkastus
(10.12.2018).
Laatimania blogeja ja artikkeleita olivat:
–
Voisiko valtiolla olla yhtenäinen näkymä toiminnan ja talouden riskeihin? (Marraskuu 2017, julkaistu 16.2.2018)
– Tässä käsitellyn tarkastuksen aikana tulin skeptisemmäksi
(ks.
blogi 26.2.2018).
– Vajaat 10 kuukautta myöhemmin vieläkin skeptisemmäksi
(ks.
blogi 15.12.2018).
– Asiakasnäkökulma toiminnan jatkuvuuden hallintaan (27.9.2019)
| 