Część I. Różnice i podobieństwa analizy ryzyka na potrzeby zarządzania ryzykiem oraz rocznego planowania audytu i programowania zadań audytowych

Transkrypt

1 Praktyczne aspekty określania wskaźników ryzyka w systemie zarządzania ryzykiem i ich wykorzystanie w procesie rocznego planowania audytu i programowania zadań audytowych Zofia Szynkowska

2 Część I Różnice i podobieństwa analizy ryzyka na potrzeby zarządzania ryzykiem oraz rocznego planowania audytu i programowania zadań audytowych

3 Zarządzanie ryzykiem: - identyfikacja ryzyka na wszystkich poziomach, - analiza (określenie prawdopodobieństwa wystąpienia ryzyka i możliwych skutków) - określenie akceptowanego poziomu ryzyka, - mapowanie ryzyka (skutek x prawdopodobieństwo) - określenie reakcji na ryzyko

4 Roczny plan audytu - analiza procesów, - informacji dostępnych o jednostce, - własnego osądu - wewnętrznych relacji, - wyników kontroli, - doświadczenia audytora, - potrzeb kierownictwa.

5 Analiza ryzyka na potrzeby zadania: - wstępny przegląd, - istniejące bazy danych historycznych, - nietypowe zdarzenia, - wyniki innych kontroli - bieżące informacje.

6 Różnice w analizie ryzyka w poszczególnych procesach wynikają z: - poziomu szczegółowości analiz, - subiektywności spojrzenia, - znajomości jednostki, - istotności celów i złożoności zadań realizowanych przez komórki i jednostki organizacyjne, - sposobu zbierania danych, - uczestnictwa różnych osób dokonujących identyfikacji ryzyk.

7 Podobieństwa analizy ryzyka w poszczególnych procesach dotyczą: Celu jakim jest zapewnienie realizacji zadań jednostki. Wspólnego wyboru lub akceptacji zastosowanej już np. przez komórkę AW metodyki.

8 Dlaczego wspólna metodyka? Wybór wspólnej metody zapewnia porównywalność oceny istotności ryzyka i uwiarygodnia jego występowanie. Przyjęcie różnych skal skutku i prawdopodobieństwa wystąpienia ryzyka wymaga dodatkowego nakładu pracy w zakresie porównywalności uzyskanych danych.

9 Część II Metodyka opisu wskaźników ryzyka

10 Wytyczne w zakresie analizy zidentyfikowanych ryzyk obejmują: Przyjęcie przez jednostkę kryteriów analizy ryzyka (przykładowe skale oceny skutków i prawdopodobieństwa wystąpienia ryzyka załącznik nr 2). Wskazuje iż analiza ryzyka umożliwia poznanie zakresu w jakim ryzyka mogą mieć wpływ na osiągnięcie celu. Ryzyko nieodłączne i ryzyko rezydualne (COSO). Określenie akceptowanego poziomu ryzyka. Graficzne przedstawienie analizy ryzyka. A czego nie?

11 Wytyczne w zakresie analizy zidentyfikowanych ryzyk nie obejmują: Określenia wpływu poszczególnych czynników ryzyka na zmaterializowanie się ryzyka. Poznanie przybliżonego trendu wpływu ryzyka (wzrost, spadek, utrzymanie się tendencji). Możliwości określenia utrzymywania się (życia) głównych czynników ryzyka, które mają znaczny wpływ na jego istotność oraz fluktuacji czynników ryzyka.

12 Dlaczego szukałam zmiany? Głównie z dwóch powodów: Po pierwsze kierownicy jednostek bez analizy potrafili wskazać obszary gdzie wystąpią ryzyka duże, średnie czy niskie. Po drugie zadawali pytanie co moim zdaniem powoduje (czy wręcz przesądza), o tym że ryzyko jest wysokie lub niskie.

13 Co przyczyniło się do znalezienia odpowiedzi? Przyjęcie definicji/określenia ryzyka z uwzględnieniem podstawowej działalności jednostki. Nawiązanie ryzyk inherentnego, (nieodłącznego, wewnętrznego) oraz ryzyka rezydualnego (kontrolowanego) do COSO i do wytycznych. Powiązanie ryzyka operacyjnego z realizacją celów. Planowanie działalności przez Kierowników Jednostek na poziomie strategii i transformowanie jej na poziom operacyjny.

14 Przyjęta struktura ryzyk: - Ryzyko strategiczne - Ryzyko operacyjne - Ryzyko rezydualne - Ryzyko reputacji

15 Jak rozumiemy ryzyko? Wytyczne postrzegają je jako punktową wartość wyrażoną iloczynem prawdopodobieństwa i skutku w przyjętych skalach. Zazwyczaj nie odnosimy się do spojrzenia na ryzyko w zakresie wpływu jakie wywołują poszczególne czynniki ryzyka.

16 Jak rozumiemy ryzyko? Ryzyko operacyjne - to jest ryzyko poniesienia straty wynikającej z niedostosowania lub zawodności ludzi, procesów wewnętrznych i systemów lub ze zdarzeń zewnętrznych. Jest związane z prowadzeniem działalności samej w sobie.

17 Co to jest wskaźnik ryzyka? W znaczeniu analizy to liczbowe przedstawienie rozpatrywanej wielkości: - na przyjętej umownie skali - procentowo do przyjętej wartości odniesienia, - w inny sposób pozwalający na interpretację stanu lub tendencji.

18 Co to jest wskaźnik ryzyka? Wskaźnik można porównać do zakodowanej informacji, która bez potrzeby dodatkowych analiz sugeruje konieczność podjęcia działania zaradczego. Wskaźnik ryzyka mówi w jakim stopniu, wyrażonym w procentach, może być zagrożona realizacja celu (zadania). Wzorzec pełnej realizacji = 0% ryzyka, a każde odchylenie jest miarą ryzyka.

19 Warunki umożliwiające wprowadzenie wskaźników ryzyka 1. Zapotrzebowanie na opracowanie wskaźnika. 2. Określenie jakie elementy wskaźnik ma uwzględniać, np.: uwzględnienie strat finansowych, kwota ekspozycji na ryzyko, okres trwania ekspozycji na ryzyko, 3. Na własne potrzeby można je określić każdy. 4. Określenie czy wskaźnik będzie używany na wewnętrzne potrzeby czy w celach zewnętrznych. 5. Opracowany przez jedną komórkę czy pracownika może być stosowany przez pozostałych pracowników i komórki wewnętrzne. 6. Opracowanie wskaźnika na podstawie potrzeb różnych komórek wskaźnik powinien spełniać przyjęte i obowiązujące standardy oraz uwzględniać przeszłe doświadczenia

20 Przykłady praktyczne Informacje do prezentowanych przykładów zostały zaczerpnięte z doświadczenia zawodowego w różnych instytucjach na przestrzeni 10 lat praktyki.

21 Przykład analizy poszczególnych czynników, które mogą wywołać ryzyko w obszarze zamówienia publiczne zadanie: przeprowadzenie zamówienia zgodnie z obowiązującym prawem zamówień publicznych i dyrektyw unijnych. Wyodrębnia się cztery główne czynniki ryzyka operacyjnego: - Ludzie, - Procesy i Systemy, - Zdarzenia zewnętrzne, - Czynności zlecane na zewnątrz.

22 Czynnik ryzyka - Ludzie Osoby prowadzące postępowania nie posiadają specjalistycznego przeszkolenia. Co najmniej raz na dwa lata dochodzi do rotacji pracowników (zmiana komórki, rezygnacja z pracy, zmiana zakresu czynności). Czynności decyzyjne związane z przygotowaniem i przeprowadzeniem postępowania a następnie jego realizacja znajdują się w gestii jednej osoby kierującej komórką merytoryczną, bądź jednostką organizacyjną. Członkowie Komisji Przetargowej nie są odpowiednio przygotowani do pełnienia powierzonych ról. Niewystarczająca obsługa prawna.

23 Czynnik ryzyka - Procesy i systemy Nie ma dobrej praktyki związanej z protokołowaniem spotkań Komisji Przetargowej. Protokołowane są tylko spotkania związane z otwarciem ofert. Komisja powoływana jest przed otwarciem ofert, bywa, że w dzień ich otwarcia. Brak odpowiednich wewnętrznych regulaminów uszczegóławiających ogólne ustawowe zapisy. Niewłaściwe przechowywanie zabezpieczeń i gwarancji bankowych. Nie terminowe zwroty gwarancji i zabezpieczeń bankowych. Różnice w definiowaniu pojęć w prawie krajowym i unijnym.

24 Czynnik ryzyka - Zdarzenia zewnętrzne Niestabilność cen. Bankructwo wykonawcy. Zmiana przepisów.

25 Czynnik ryzyka - Czynności zlecane na zewnątrz Zlecenie opisu przedmiotu zamówienia lub przygotowanie SIWZ. Zlecenie przygotowania i przeprowadzenia postępowania przez osoby trzecie. Ochrona danych przekazanych na zewnątrz. Brak osób odpowiedzialnych za nadzorowanie i monitorowanie postępu prac oraz zakresu danych i sposobu ich przekazania. Niepełny zakres informacji dot. przedmiotu opisu zamówienia. Zawarta umowa na wykonanie czynności zlecanej nie posiada zapisów odnośnie skutków nie wykonania lub wadliwego wykonania przedmiotu umowy.

26 Wpływ czynników na wskaźnik ryzyka Pierwszy rok 100% 50 Ludzie 50% 45 Procesy i systemy 30% 40 Zdarzenia zewnętrzne 15% 35 Czynności zlecane na 30 zewnątrz 5% 25 Drugi rok 75% Ludzie 30% 20 Procesy i systemy 25% 15 Zdarzenia zewnętrzne 15% 10 Czynności zlecane na zewnątrz 10%. 5 0 rok 2 rok ludzie procesy i sytemy zdarzeni a zewnętrz ne czynnoś

27 Przykład analizy poszczególnych czynników, które mogą wywołać ryzyko w obszarze organizacji imprez zadanie: Przeprowadzenie imprez masowych Główne czynniki ryzyka operacyjnego: - Ludzie, - Procesy i Systemy, - Zdarzenia zewnętrzne, - Czynności zlecane na zewnątrz.

28 Czynnik ryzyka - Ludzie Doświadczenie w organizacji i obsłudze imprez. Przygotowanie obiektu pod względem ustanowienia i przestrzegania procedur dokumentacja w tym zakresie. Analiza uprawnień do podejmowania decyzji w sytuacji kryzysowej z uwzględnieniem standardów i uprawnień a także przywilejów innych organizacji. Współpraca i współdziałanie osób z różnych instytucji i organizacji. Przeprowadzenia analizy zdarzeń losowych, oraz symulacji warunków brzegowych z uwzględnieniem wykorzystania dostępnych technologii.

29 Czynnik ryzyka - Procesy i systemy Posługiwanie się zakresami odpowiedzialności narzuconymi przez inne organizacje. Rozpiętość parametrów technicznych obowiązujących dla tego typu imprez. Nie przekazanie, organizacjom odpowiedzialnym za przeprowadzenie imprezy wszystkich informacji dotyczących zastosowanych rozwiązań oraz norm i parametrów. Brak planu zastępczego, kontynuacji działania w przypadku ponad naturalnych zdarzeń.

30 Czynnik ryzyka - Zdarzenia zewnętrzne Występowanie nietypowych zjawisk zewnętrznych. Niewłaściwa współpraca pomiędzy organizacjami i instytucjami odpowiedzialnymi za realizację poszczególnych zadań (zgodnie z właściwością) w ramach przygotowania imprezy. Brak umiejętności wykorzystania nowoczesnych technologii. Przekazanie odpowiedzialności za całe przedsięwzięcie na organizację o najmniejszym znaczeniu.

31 Czynnik ryzyka - Czynności zlecone na zewnątrz Ekspertyzy

32 Wpływ czynników na wskaźnik ryzyka Pierwszy rok 100% Ludzie 15% Procesy i systemy 15% Zdarzenia zewnętrzne 50% Czynności zlecane 5 na zewnątrz 20% 0 1 rok ludzie procesy i systemy zdarzeni a zewnętzr ne czynnoś ci zlecone

33 Charakterystyka wskaźnika Odzwierciedla cele pomiaru. Uwzględnia czynniki ryzyka. Obejmuje określoną jednostkę czasu. Może być porównywalny. Pozwala na obserwację czynnika w określonej jednostce czasu. Pozwalają w konkretnych czynnikach i przedziałach czasowych określić potencjalne straty i korzyści. Pozwala badać trendy ryzyka.

34 Wskaźniki oraz ich charakterystyka odnoszą się do mierników celu/zadań. Kierownicy znają ryzyka Punktowe określenie istotności wskazuje ryzyka którymi należy zarządzać. Natomiast wskaźnik uwzględniający czynniki determinujące istotność ryzyka wyznacza kierunki działań do podjęcia przez kierownictwo wobec ludzi, procesów, czynności zlecanych na zewnątrz. Następna analiza dokonana przez audytora/koordynatora ryzyka pozwoli poinformować kierownika o tendencjach spadkowych lub wzrostowych w obrębie czynników, skuteczności podjętych działań lub pojawieniu się nowych czynników ryzyka.

35 Mierniki stosowane w wytycznych Posiadają wartość liczbową, która odnosi się do zrealizowania celu operacyjnego. Miernik wynika z potrzeb jakie zostały zidentyfikowane do osiągnięcia celu.

36 Powiązanie mierników ze wskaźnikami Miernik jest ilościowym ujęciem realizacji celu. Wskaźnik jest procentowym odchyleniem istotnych czynników które mogą zagrozić realizacji celu.

37 Powiązanie wskaźników z efektywnością działania Minimalizacja zagrożenia w obrębie czynników najbardziej zagrażających zrealizowaniu przyjętego celu zwiększa skuteczność działania. Obserwacja ustalonego na własne potrzeby wskaźnika wraz z oceną zmienności poszczególnych czynników, w określonej jednostce czasu, przy założeniu że nie pojawią się nowe również istotne czynniki wzrostu ryzyka, pozwoli na ograniczenie ryzyka do akceptowanego poziomu.

38 Część III Wykorzystanie wskaźników ryzyka do planowania audytu i programowania zadań audytowych

39 Co audytor może wykorzystać? Co i w jakim zakresie może audytor wykorzystać z systemu zarządzania ryzykiem w jednostce do: planowania rocznego, planowania zadania audytowego?

40 Zadaniem audytu w stosunku do systemu zarządzania ryzykiem jest Ocena systemów zarządzania ryzykiem operacyjnym oraz jego regularne przeglądy.

41 Ocena systemu zarządzania ryzykiem obejmuje badanie: Zgodności opracowanych procedur z realizacją celów jednostki oraz ich przestrzeganie. Adekwatności i różnorodności stosowanych metod identyfikacji ryzyka. Terminowości aktualizacji rejestru. Długości utrzymywania się tych samych ryzyk analiza braku reakcji na ryzyko. Czy analizowana jest istotność ryzyk i na podstawie zmian istotności organizacja bada kierunek trendu? Czy organizacja wyciąga wnioski z zarządzania ryzykiem i jest świadoma istniejących ryzyk?

42 Istotne informacje które mogą być użyteczne dla opracowania rocznego planu audytu po przeglądzie rejestru ryzyk to analiza: skali zidentyfikowanych zdarzeń szczegółowości poszczególnych ryzyk aktualności zapisów i ich zgodność z ogólnym stanem realizacji zadań zmienności istnienia ryzyk powodu ciągłego występowania ryzyk pomimo zastosowanej reakcji skuteczności zastosowanych reakcji oporu ryzyk na zastosowaną reakcję monitoringu ryzyk od chwili rozpoczęcia zarządzania ryzykiem czyli obserwacja zdarzeń przeszłych do projekcji zdarzeń przyszłych.

43 Istotne zagadnienia dla opracowania programu zadania audytowego to: Wszystkie informacje dotyczące zmienności czynników mających wpływ na zdefiniowane ryzyko. Procentowy wskaźnik wpływu czynników ryzyka na ograniczenie ryzyka w odniesieniu do pierwszego roku określenia wskaźnika. Zmienność zidentyfikowanych ryzyk. Możliwość porównania wskaźników obszaru objętego zadaniem audytowym w określonych odstępach czasu w odniesieniu do roku bazowego. Weryfikacja szczegółowości zadania audytowego w odniesieniu do szczegółowości ryzyk ujętych w rejestrze.

44 Wykorzystanie wskaźników w audycie efektywności Audyt efektywności wskazuje ryzyka oraz szanse ich minimalizacji. Jest związany z zarządzaniem strategicznym w jednostce oraz celem systemu kontroli zarządczej. Wskaźnik ryzyka weryfikowany w określonych jednostkach czasu wskazuje jego trend w odniesieniu do celów operacyjnych. Odniesienie wyników audytu efektywności do monitorowanych wskaźników pozwala na ocenę skuteczności działań operacyjnych. Analiza czynników ryzyka tj. ludzi, procesów i systemów, zdarzeń zewnętrznych oraz czynności zlecanych na zewnątrz ułatwia znalezienie ryzyk, które są oporne na reakcje.

45 Dziękuję za uwagę