Lausunto: Sisäisen valvonnan toimintaohje sekä arviointikehikko

Valtiovarainministeriö on pyytänyt Valtiontalouden tarkastusvirastolta lausuntoa sisäisen valvonnan toimintaohjeesta ja arviointikehikosta. Tarkastusvirasto kiittää tästä mahdollisuudesta.

Lausunto

Tarkastusvirasto pitää ehdotettua toimintaohjeen, ohjemallin ja arviointikehikon muodostamaa kokonaisuutta toimivana ja merkittävänä parannuksena aikaisempaan ohjeistukseen verrattuna. Ohjeistuksessa käytetty viitekehys soveltuu hyvin tähän tarkoitukseen, vaikkakin se on eri lähtöinen kuin riskienhallinnan ohjeistuksessa käytetty ISO31000 -standardi. Erityisen hyvää on se, että kokonaisuudessa avataan sitä, mitä sisäinen valvonta käytännössä valtion virastoissa ja laitoksissa tarkoittaa. Myös kytkentä hyvään hallintoon on toimiva ja se edesauttaa ohjeistuksen ymmärtämistä, koska hyvä hallinto ymmärretään hallinnossa sisällöltään yleisesti selvästi paremmin kuin sisäinen valvonta. Ohjeistus tulee parantamaan sisäisen valvonnan ymmärrystä hallinnossa. Korruptio ja kyberturvallisuus ovat asioita, jotka on perustellusti lisätty ohjeistukseen.

Tarkastusvirasto kiinnittää kuitenkin huomiota ohjekokonaisuuden selkeyteen ja muutamiin yksittäisiin rajauksiin. Koska kyse on nimenomaan sisäisen valvonnan ja siihen kuuluva riskienhallinnan ohjeistuksesta, olisi ohjeistus tarkastusviraston näkemyksen mukaan hyvä rajata sellaisiin konkreettisiin sisäisen valvonnan asioihin, joita sisäisen valvonnan yhteydessä tyypillisesti käsitellään. Tällöin ohjeistusta olisi käytännössä helpompi soveltaa eikä esimerkiksi sisäisen valvonnan tilaa arvioitaessa keskityttäisi asioihin, jotka ennemmin liittyvät muuhun johtamiseen. Etenkin vastuullisuutta on käsitelty kokonaisuudessa paljon. Se on sisällöltään laaja ja soveltamiseltaan epämääräinen. Tarkastusvirasto esittää, että vastuullisuus jätettäisiin ohjeistuksesta pois. Ohjekokonaisuus olisi muutoinkin hyvä vielä käydä läpi edellä esitetystä lähtökohdasta.

Lausuttavana olevien ohjeiden (3) kokonaisuus ja niiden keskinäinen suhde jää luonnoksessa hieman epäselväksi, vaikkakin arviointikehikon rooli sellaisenaan on selkeä. Yksi vaihtoehto olisi korostaa toimintaohjeen asemaa tässä lausuttavassa kokonaisuudessa. Lisäksi ohjeiden suhde Valtiokonttorin määräykseen Taloussäännön laatiminen ja päivittäminen VK/75616/00.00.00.01/2023 olisi hyvä määritellä.

Lisäksi, kun otetaan huomioon tästä kokonaisuudesta erillinen riskienhallinnan ohjeistus sekä se, että molemmat kokonaisuudet ovat jo varsin laajoja ja yksityiskohtaisia, olisi suositeltavaa, että valtiovarainministeriö selventäisi sisäisen valvonnan ja siihen kuuluvan riskienhallinnan ja toisaalta riskienhallinnan (ISO 31000) ohjeistusten soveltamista virastojen ja laitosten johtamisessa. Toimiva vaihe tälle olisi vuoden 2024 loppupuolella, kun OECD:n hankkeen tuloksia arvioidaan.

Sisäisen valvonnan toimintaohjeen osalta tarkastusvirasto katsoo, että ohjeen sisältö on toimiva ja kaikki pääluvut ovat tarpeellisia. Ohjeen esimerkit ovat hyviä ja sisältöä konkreettisesti avaavia. Luku 4, jossa sisäistä valvontaa tarkastellaan prosessinäkökulmasta on hyödyllinen apu sisäisen valvonnan parempaan ymmärtämiseen ja kunkin toimijan oman osuuden jäsentämiseen. Tarkastusvirasto esittää harkittavaksi luvun 5 jäsentämistä ensin muutamaan alalukuun, esimerkiksi 5.1-5.4, ja luonnoksessa olevien lukujen esittämistä näiden kokonaisuuksien yhteydessä. Priorisointia parantaisi, jos luku 5.1. Vastuullisuus jätettäisiin kokonaan pois tai se käsiteltäisiin luonnoksessa esitettyä suppeammin myöhemmässä vaiheessa. Alalukujen tiivistäminen saattaisi parantaa luvun luettavuutta.

Ohjemallin osalta olennaista on se, että siinä käytetään mahdollisten muutosten jälkeenkin samaa rakennetta ja terminologiaa kuin toimintaohjeessa.

Arviointikehikon osalta tarkastusvirasto pitää hyvänä, että kehikon rakennetta ei ole muutettu vaan ainoastaan tekstikohtia. Kehikkoa käytetään varsin paljon ja tällä ratkaisulla soveltamisen jatkuvuus onnistuu hyvin. Tarkastusvirasto on myös itse käyttänyt arviointikehikkoa omassa sisäisen valvonnan ja riskienhallinnan arvioinnissa ja pitää sitä toimivana.

Tarkastusvirasto katsoo, edellä esitetyn lisäksi, että kehikon teksteissä on useita hyviä täydennyksiä, etenkin valvontatoimenpide -osioissa ja riskienhallinta -osioissa. Myös tiedolla johtaminen asiana on hyvä täydennys. Sen sijaan ohjausympäristö -osiota olisi hyvä supistaa ja kiinnittää erityistä huomiota siihen, mitkä asiat ovat olennaisia sisäisen valvonnan ohjeistuksessa. Myös sisäiseen tarkastukseen liittyviä kohtia olisi hyvä harkita vähentää. Tältä osin jokin yleisempi toteamus toimintaohjeessa tai arviointikehikon soveltamisessa voisi riittää. Useilla virastoilla ja laitoksella ei ole sisäistä tarkastusta. Tarkastusvirasto esittää resilienssi -termin sisältävän kohdan poistamista kohdasta 4.2, samasta syystä kuin vastuullisuuteen liittyvien asiakohtien poistamista.