Tarkastusvaliokunta on mietinnössä keskittynyt käsittelemään riskienhallintaa ja sitä, miten valtion virastot, laitokset ja ministeriöt ovat varautuneet turvaamaan oman toimintansa jatkuvuuden normaaliolojen häiriötilanteissa. Riskienhallinnan tavoitteena on normaalin toiminnan turvaaminen kaikissa oloissa, ja yksi keskeisistä haasteista on erilaisten, toiminnan jatkuvuutta uhkaavien riskien tunnistaminen. Tällaisia häiriötilanteita, jotka voivat estää tai vaikeuttaa viranomaisia hoitamasta tehtäviään, voivat olla esim. toimitilaan tai työaineistojen käytettävyyteen liittyvä sähköhäiriö, tulipalo, vesivahinko, tahallinen haitanteko ja terrorismi. ICT-järjestelmien toimimattomuus voi itsessään aiheuttaa vielä lisähäiriöitä. Henkilöstöön liittyviä häiriöitä ovat esimerkiksi yksittäiset sairaustapaukset, laajemmat epidemiat, joukkoliikenteen toimimattomuus ja lakot.  

Valtionhallinnossa sisäinen valvonta ja siihen liittyvä riskienhallinta ovat vakiintuneet osaksi johtamisprosesseja. Ministeriöiden ja virastojen on sisällytettävä tilinpäätökseensä arviointi sisäisen valvonnan ja riskienhallinnan asianmukaisuudesta, riittävyydestä ja kehittämistarpeista. Riskienhallinnan järjestäminen on viraston johdon vastuulla, ja johto päättää riskienhallinnan tavoitetason. Virastojen panostus riskienhallintaan vaihtelee suuresti, ja siihen vaikuttaa myös hallinnonala sekä organisaation luonne. Monet sisä- ja puolustusministeriön hallinnonaloihin kuuluvat toimijat ovat jo lähtökohtaisesti riskienhallintaorganisaatioita, jotka varautuvat turvaamaan yhteiskunnan toiminnan häiriötilanteissa.  

Tarkastusviraston vuosikertomuksen havainnot perustuvat aiemmin tehtyihin riskienhallintaan liittyviin tarkastuksiin sekä uusimpaan tarkastukseen (Valtionhallinnon riskienhallinta ja toiminnan jatkuvuus 20/2018). Tämän tarkastuksen kohteena olivat kaikki valtionhallinnon 180 tulosohjattua virastoa ja laitosta, mukaan lukien ministeriöt. Puolella näistä oli riskienhallinta- ja/tai jatkuvuussuunnitelma. Joillakin oli muun nimisiä asiakirjoja, joissa oli käsitelty ao. asioita. Kolmanneksella tarkastetuista ei ollut suunnitelmia valmiina. Tarkastuksessa selvitettiin myös valtionhallinnon toimintojen keskittämisen, poikkihallinnollisten hankkeiden sekä laajojen toimintoketjujen riskien- ja jatkuvuudenhallinnan järjestämistä sekä sitä, välittyykö siitä riittävä kuva valtioneuvoston päätöksentekoon. Tarkastusviraston tavoitteena oli varmistua siitä, että valtion viranomaiset ovat varmistaneet toimintavarmuutensa ja palvelukykynsä. 

Valtionhallinnossa tunnistetaan helposti merkittäviin poikkeusoloihin liittyvät uhat. Myös tietojärjestelmiin liittyvät riskit tunnistetaan yleisesti, niitä analysoidaan ja niihin varaudutaan. Normaaliolojen muut häiriötilanteet tai toiminnan jatkuvuutta haittaavat tekijät jäävät tarkastusviraston mukaan helposti tunnistamatta. 

Valtionhallinnon riskien- ja jatkuvuudenhallinnan järjestämisessä korostuu tarkastuksen mukaan yksittäisten virastojen vastuu, vaikka yhteiskunnan ja valtionhallinnon toimintatavat ja ongelmat ovat monimutkaistuneet ja monialaistuneet. Tarkastusviraston mukaan ongelmana on, että yksittäisen viraston keinot ja virastopohjainen, kapea tilannekuva eivät riitä vastaamaan muuttuvan toimintaympäristön monimutkaistuviin riskeihin. Yhdeksi tulevaisuuden uhaksi ja jo osin realisoituneeksi riskiksi VTV näkee säädösten lisääntymisen, monimutkaistumisen ja valmisteluajan lyhentymisen suhteessa käytettävissä oleviin valmisteluresursseihin. Ei-toivottuna tuloksena voi olla huonoa lainsäädäntöä, joka lisäksi on myöhässä.  

Valtiokokonaisuuden kattavaa riskienhallintaa ei VTV:n mukaan ole, eikä vastuutahoa ole nimetty. Valiokunta pitää tätä merkittävänä puutteena, jonka korjaamistoimiin tulee ryhtyä välittömästi. Monet valtionhallinnon nykyiset toimintatavat edellyttävät aiempaa kokonaisvaltaisempaa riskien- ja jatkuvuudenhallintaa. Useissa jatkuvuuden kannalta tärkeissä toiminnoissa on viraston oman työn sijaan siirrytty ostamaan palvelut valtakunnallisilta palveluntuottajilta. ICT-, taloushallinto- ja tilapalvelut on keskitetty. Lisäksi monet ongelmat koskevat tarkastusviraston mukaan yhä enemmän pitkiä toiminta- ja vuorovaikutusketjuja, koko hallinnonalaa tai poikkihallinnollisia kysymyksiä. Monet riskit ovat sellaisia, että yksittäisen viraston ei ole mahdollista eikä taloudellisesti tarkoituksenmukaista niitä hallita. Tarkastusviraston mukaan virastokohtaista järjestelmää tulisi laajentaa hallinnonalatasoiseen ja valtioneuvostotasoiseen riskien- ja jatkuvuudenhallinnan järjestämiseen.  

Tarkastusvaliokunta pitää tärkeänä, että asiassa edetään kohti kokonaisvaltaista, valtiotasoista riskienhallintaa. Vastuun yhteiskunnan toiminnan varmistamisesta normaaliolojen häiriötilanteissa tulee olla yhdellä ministeriötason toimijalla. Poikkihallinnollisten riskien havaitseminen ja hallitseminen edellyttävät valiokunnan mukaan myös nykyistä laajempaa yhteistyötä valtionhallinnossa. Valiokunta edellyttää, että hallituksen tulee selvittää valtioneuvostotasoiseen, hallinnon-alatasoiseen ja virastotasoiseen riskienhallintaan yhteensopivat ja toimivat menettelytavat sekä määrittää vastuutahot ja vastuusuhteet. Selvitystyön aikana niiden ministeriöiden, laitoksien ja virastojen, joissa ei vielä ole riittäviä riskienhallintapolitiikkaa koskevia asiakirjoja tms. suunnitelmia, tulee johdon vastuulla saattaa työ loppuun oman toimintavarmuutensa turvaamiseksi.