GP-OR ZARZĄDZENIE nr 828/2015 PREZYDENTA MIASTA STOŁECZNEGO WARSZAWY z dnia 10 czerwca 2015 r.

Transkrypt

1 GP-OR ZARZĄDZENIE nr 828/2015 PREZYDENTA MIASTA STOŁECZNEGO WARSZAWY z dnia 10 czerwca 2015 r. w sprawie systemu zarządzania ryzykiem w m.st. Warszawie Na podstawie art. 33 ust. 1 i 3 w związku z art. 11a ust. 3 ustawy z dnia 8 marca 1990 r. o samorządzie gminnym (Dz. U. z 2013 r. poz. 594, z późn. zm. 1) ) oraz art. 69 ust. 1 pkt 2, w związku z art. 68 ust. 2 pkt 7 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2013 r. poz. 885, z późn. zm. 2) ) zarządza się, co następuje: Tytuł I Postanowienia ogólne Zarządzenie określa: 1) politykę zarządzania ryzykiem w m.st. Warszawie; 2) zakres, zasady i sposób funkcjonowania systemu zarządzania ryzykiem, elementu kontroli zarządczej w m.st. Warszawie, w szczególności: a) rolę, zakres zadań i obowiązków uczestników systemu, b) zasady dokonywania oceny ryzyka (identyfikacji, analizy i ewaluacji), c) zasady określania reakcji na ryzyko, d) zasady identyfikowania i raportowania incydentów, e) zakres i sposób monitorowania oraz raportowania ryzyka. 2. Ilekroć w niniejszym zarządzeniu jest mowa o: 1) biurze, burmistrzu, dyrektorze biura, jednostce organizacyjnej m.st. Warszawy, Urzędzie, urzędzie dzielnicy, zarządzie dzielnicy należy przez to rozumieć pojęcia zdefiniowane w regulaminie organizacyjnym Urzędu; 2) analizie ryzyka należy przez to rozumieć proces dążący do poznania charakteru i poziomu ryzyka poprzez oszacowanie siły oddziaływania i prawdopodobieństwa wystąpienia przy uwzględnieniu skuteczności istniejących mechanizmów kontrolnych, służący wypracowaniu decyzji co do dalszego postępowania z ryzykiem; 3) celu należy przez to rozumieć zamierzony rezultat działalności, który ma być osiągnięty w określonym czasie, poprzez realizację programów, projektów, zadań, podzadań, np.: cele określone są w części zadaniowej budżetu m.st. Warszawy lub też wskazane przez dyrektora biura, burmistrza lub kierownika jednostki; 4) ewaluacji ryzyka należy przez to rozumieć proces porównywania wyników analizy ryzyka, jego poziomu, z ustalonymi kryteriami oceny ryzyka oraz poziomami istotności ryzyka, w celu stwierdzenia czy ryzyko i jego poziom są akceptowalne; 5) identyfikacji ryzyka należy przez to rozumieć proces wyszukiwania, rozpoznawania i opisywania ryzyka, w wyniku którego powstaje wyczerpująca lista ryzyk; 6) incydencie należy przez to rozumieć niepożądane zdarzenie o skutkach negatywnych; 1) Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2013 r. poz. 645 i 1318 oraz z 2014 r. poz. 379 i ) Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2013 r. poz. 938 i 1646, z 2014 r. poz. 379, 911, 1146, 1626 i 1877 oraz z 2015 r. poz. 238 i 532.

2 7) jednostce należy przez to rozumieć jednostki organizacyjne m.st. Warszawy oraz jednostki sektora finansów publicznych nadzorowane przez Prezydenta, posiadające osobowość prawną i działające w oparciu o odrębne przepisy; 8) kierowniku jednostki należy przez to rozumieć kierownika jednostki, o której mowa w pkt 7; 9) koordynatorze ds. ryzyka należy przez to rozumieć pracownika wyznaczonego przez dyrektora biura/burmistrza do wspomagania ich w wykonywaniu zadań związanych z zarządzaniem ryzykiem w biurze lub urzędzie dzielnicy; 10) kryteriach oceny ryzyka należy przez to rozumieć poziomy odniesienia, względem których określa się ważność ryzyka dla realizacji celów i zadań; mogą pochodzić z przepisów prawa, norm, innych regulacji i wymogów; wspólny zestaw kryteriów oceny ryzyka dla biur, urzędów dzielnic i jednostek stanowi załącznik nr 1 do zarządzenia; 11) mechanizmach kontrolnych należy przez to rozumieć polityki, zarządzenia, procedury, instrukcje, praktyki, fizyczne i techniczne środki zabezpieczeń, systemy, zaprojektowane i wdrożone w celu ograniczenia prawdopodobieństwa wystąpienia i/lub siły oddziaływania ryzyka; podstawowy zestaw mechanizmów kontrolnych, nie stanowiący katalogu zamkniętego, zawiera załącznik nr 2 do zarządzenia; 12) mierniku realizacji celu należy przez to rozumieć wartościowe lub ilościowe określenie planowanego i wykonanego poziomu efektów z poniesionych nakładów; 13) monitorowaniu ryzyka należy przez to rozumieć obserwowanie ocenionych ryzyk pod kątem zmiany siły oddziaływania i prawdopodobieństwa wystąpienia, adekwatności przyjętej reakcji na ryzyko oraz skuteczności funkcjonujących mechanizmów kontrolnych; 14) ocenie ryzyka należy przez to rozumieć całościowy proces identyfikacji, analizy oraz ewaluacji ryzyka; ocena wspomaga podejmowanie decyzji i ustalanie priorytetów wdrażania postępowania z ryzykiem; 15) odporności należy przez to rozumieć siłę oddziaływania mechanizmów kontrolnych na zidentyfikowane ryzyka; 16) opisie ryzyka należy przez to rozumieć wskazanie źródeł i przyczyn powodujących powstanie ryzyka, zdarzeń i okoliczności jego wystąpienia lub zmiany oraz skutków i następstw wystąpienia ryzyka; 17) Pełnomocniku ds. ryzyka należy przez to rozumieć Pełnomocnika Prezydenta m.st. Warszawy ds. ryzyka powołanego odrębnym zarządzeniem Prezydenta m.st. Warszawy; 18) Planie należy przez to rozumieć Plan postępowania z ryzykiem bardzo wysokim, który obowiązkowo należy sporządzić dla ryzyk oszacowanych na poziomie bardzo wysokim; wzór stanowi załącznik nr 5 do zarządzenia; 19) poziomie ryzyka należy przez to rozumieć wielkość ryzyka oszacowaną jako iloczyn siły oddziaływania i prawdopodobieństwa wystąpienia ryzyka; 20) półrocznej aktualizacji Rejestru ryzyka należy przez to rozumieć zestawienie zawierające informacje o wyniku przeprowadzonej oceny ryzyka, a także zaproponowanej reakcji na ryzyko wg stanu na 30 czerwca; 21) półrocznej aktualizacji Rejestru ryzyka m.st. Warszawy należy przez to rozumieć zestawienie zawierające informacje o wyniku przeprowadzonej oceny ryzyka, a także zaproponowanej reakcji na ryzyko wg stanu na 30 czerwca w zakresie przekazywanym do Pełnomocnika ds. ryzyka; 22) procesie przekrojowym należy przez to rozumieć ciąg czynności wykonywanych przez wiele komórek organizacyjnych i/lub jednostek w sposób zaprojektowany i nadzorowany przez właściciela procesu przekrojowego; 2

3 23) Raporcie ryzyka należy przez to rozumieć roczną informację na temat wpływu ryzyk na realizację celów i zadań biura, urzędu dzielnicy lub jednostki; wzór stanowi załącznik nr 7 do zarządzenia; 24) Raporcie ryzyka m.st. Warszawy należy przez to rozumieć roczną informację na temat wpływu ryzyk na realizację celów i zadań m.st. Warszawy w zakresie przekazywanym do Pełnomocnika ds. ryzyka; 25) raportowaniu ryzyka należy przez to rozumieć przekazywanie właściwym osobom informacji o aktualnym stanie ryzyka i sposobie zarządzania ryzykiem; 26) Rejestrze ryzyka należy przez to rozumieć zestawienie biura, urzędu dzielnicy lub jednostki, zawierające informacje o wyniku przeprowadzonej oceny ryzyka w stosunku do zaplanowanych do realizacji celów i zadań, a także wybranej reakcji na ryzyko; aktualizowany jest w ramach potrzeb wynikających ze zmian w środowisku zewnętrznym i wewnętrznym; wzór zawierający podstawowy zakres gromadzonych informacji stanowi załącznik nr 4 do zarządzenia; 27) Rejestrze ryzyka m.st. Warszawy należy przez to rozumieć zbiorcze zestawienie zawierające informacje o wyniku przeprowadzonej oceny ryzyka w stosunku do zaplanowanych do realizacji celów i zadań, a także wybranej reakcji na ryzyko w zakresie przekazywanym do Pełnomocnika ds. ryzyka; podlega półrocznej aktualizacji; 28) ryzyku należy przez to rozumieć niepewność związaną ze zdarzeniem, działaniem lub zaniechaniem, które może wpłynąć na zdolność biura, urzędu dzielnicy lub jednostki do realizacji celów jej działalności; 29) ryzyku strategicznym należy przez to rozumieć niepewność związaną ze zdarzeniem, działaniem lub zaniechaniem, które może wpłynąć na zdolność m.st. Warszawy do realizacji celów strategicznych; 30) systemie zarządzania ryzykiem należy przez to rozumieć zestaw elementów oraz skoordynowanych działań określonych w politykach, zarządzeniach, procedurach m.st. Warszawy, podejmowanych systematycznie w procesie kierowania i nadzoru nad realizacją celów; 31) właścicielu celu należy przez to rozumieć podmiot odpowiedzialny za realizację danego celu; 32) właścicielu ryzyka należy przez to rozumieć podmiot odpowiedzialny za zarządzanie ryzykiem w ramach posiadanych uprawnień do podejmowania decyzji zarządczych; właścicielem ryzyka w m.st. Warszawie jest dyrektor biura, burmistrz, kierownik jednostki odpowiedzialny za realizację celu, do którego odnosi się ryzyko, oraz właściciel procesu przekrojowego; 33) właścicielu procesu przekrojowego należy przez to rozumieć dyrektora biura odpowiedzialnego za nadzór i monitorowanie ryzyk zarządzanych na poziomie Urzędu lub m.st. Warszawy w zakresie posiadanych uprawnień wynikających z regulaminu organizacyjnego Urzędu lub wewnętrznych regulaminów organizacyjnych; lista właścicieli procesów przekrojowych stanowi załącznik nr 8 do zarządzenia; 34) zarządzaniu ryzykiem należy przez to rozumieć działania polegające na ocenie ryzyka, określeniu reakcji na ryzyko oraz monitorowaniu skuteczności podjętych decyzji dla zwiększenia prawdopodobieństwa realizacji celów. 3

4 Tytuł II Polityka zarządzania ryzykiem w m.st. Warszawie Zarządzanie ryzykiem stanowi istotny element systemu kontroli zarządczej m.st. Warszawy, którego wdrożenie oparto na istniejących źródłach informacji w Mieście. 2. System zarządzania ryzykiem jest dostosowany do specyfiki m.st. Warszawy, złożoności struktury organizacyjnej, zakresu delegowanych uprawnień i pełnomocnictw oraz realizowanych celów i zadań. 3. Poziom szczegółowości gromadzonych w systemie informacji jest dostosowany do złożoności struktury organizacyjnej i zapotrzebowania kierownictwa na poszczególnych poziomach zarządzania. 4. Proces zarządzania ryzykiem polega na systematycznym stosowaniu polityk, instrukcji i procedur opisujących ciąg zaplanowanych, wykonywanych i monitorowanych działań udokumentowanych w sposób określony w niniejszym zarządzeniu. 5. Prezydent, Zastępcy Prezydenta, Skarbnik oraz Sekretarz m.st. Warszawy deklarują osobiste zaangażowanie w rozwój systemu zarządzania ryzykiem poprzez: 1) wspieranie strategii, weryfikowanie założeń, projektów i zadań wspierających monitorowanie i doskonalenie funkcjonowania systemu zarządzania ryzykiem w m.st. Warszawie; 2) wzmacnianie odporności m.st. Warszawy na pojawiające się zagrożenia, podejmowanie działań wyprzedzających, umożliwiających optymalne wykorzystanie zasobów oraz możliwości rozwoju Miasta. 6. W ramach systemu zarządzania ryzykiem działalność m.st. Warszawy ukierunkowana jest przede wszystkim na: 1) realizację misji m.st. Warszawy, o której mowa w Strategii Rozwoju m.st. Warszawy; 2) wykonywanie wyznaczonych celów, ujętych w Strategii Rozwoju m.st. Warszawy, strategiach branżowych, Wieloletniej Prognozie Finansowej m.st. Warszawy, budżecie m.st. Warszawy części zadaniowej, w planach finansowych i planach działalności jednostek m.st. Warszawy w sposób oszczędny, efektywny i skuteczny; 3) monitorowanie i ocenę stopnia realizacji celów w oparciu o mierniki realizacji zadań dla biur, urzędów dzielnic i jednostek m.st. Warszawy; 4) identyfikowanie, szacowanie poziomu ryzyka, analizę kluczowych wskaźników ryzyka i określenie reakcji na ryzyko, które może zakłócić lub uniemożliwić realizację celów; 5) dokumentowanie czynności służących realizacji celów; 6) zgodność z obowiązującymi regulacjami prawnymi; 7) optymalizowanie realizowanych procesów oraz zarządzanie potencjalnymi szansami; 8) kształtowanie pozytywnego wizerunku m.st. Warszawy. 7. Dyrektorzy biur, burmistrzowie, kierownicy jednostek oraz wszyscy pozostali pracownicy jednostki samorządu terytorialnego m.st. Warszawy: 1) są uczestnikami procesu zarządzania ryzykiem z dookreśloną w ramach opisów stanowisk pracy rolą oraz zakresem odpowiedzialności w systemie zarządzania ryzykiem; 2) przekazują informacje na właściwy poziom zarządzania o ryzykach występujących i zagrażających realizacji wyznaczonych celów i zadań; 3) są odpowiedzialni za realizację celów i zadań w sposób oszczędny, efektywny, skuteczny; 4) stale podnoszą swoje kwalifikacje w zakresie zarządzania ryzykiem. 4

5 8. System zarządzania ryzykiem podlega monitorowaniu, rocznym przeglądom oraz doskonaleniu. 9. Raportowanie ryzyka jest zintegrowane ze strukturą organizacyjną m.st. Warszawy, w tym zakresem sprawowanego przez biura i urzędy dzielnic nadzoru nad jednostkami oraz z procesami systemu zarządzania jakością w Urzędzie m.st. Warszawy. Tytuł III System zarządzania ryzykiem Rozdział I Cel zarządzania ryzykiem Celem funkcjonowania systemu zarządzania ryzykiem jest zwiększenie prawdopodobieństwa osiągnięcia wyznaczonych celów i zadań w sposób oszczędny i efektywny poprzez ograniczanie zagrożeń i wykorzystywanie szans, a także poprawa standardów zarządzania w m.st. Warszawie. 2. Działania podejmowane w ramach systemu zarządzania ryzykiem są dokumentowane. 3. Uczestnikami systemu zarządzania ryzykiem są wszyscy pracownicy biur, urzędów dzielnic i jednostek według posiadanych uprawnień i zakresu wykonywanych obowiązków. 4. System zarządzania ryzykiem w m.st. Warszawie realizowany jest na trzech poziomach: 1) zarządzania strategicznego Prezydent m.st. Warszawy przy współudziale Zastępców Prezydenta m.st. Warszawy, Sekretarza m.st. Warszawy, Skarbnika m.st. Warszawy i współpracy Pełnomocnika ds. ryzyka, 2) zarządzania operacyjnego dyrektorzy biur, burmistrzowie i kierownicy jednostek, 3) koordynowania systemu zarządzania ryzykiem Pełnomocnik ds. ryzyka oraz właściciele procesów przekrojowych. Rozdział II Zakres zadań i obowiązków 5. Do kompetencji Prezydenta m.st. Warszawy w zakresie zarządzania ryzykiem należy w szczególności: 1) zatwierdzanie strategii zarządzania ryzykiem w m.st. Warszawie; 2) zarządzanie ryzykiem strategicznym; 3) zatwierdzanie Rejestru ryzyka strategicznego m.st. Warszawy; 4) podejmowanie decyzji, dokonywanie wyborów, ustalanie priorytetów działań z uwzględnieniem informacji otrzymywanych w ramach systemu raportowania; 5) ocena skuteczności systemu zarządzania ryzykiem; 6) zatwierdzanie Raportu ryzyka m.st. Warszawy, Rejestru ryzyka m.st. Warszawy oraz jego półrocznej aktualizacji; 7) wprowadzanie zmian w zasadach i trybie funkcjonowania systemu zarządzania ryzykiem w m.st. Warszawie Do zadań Pełnomocnika ds. ryzyka należy w szczególności: 1) koordynowanie poprawności funkcjonowania systemu zarządzania ryzykiem w m.st. Warszawie; 2) rekomendowanie Prezydentowi m.st. Warszawy kierunków rozwoju systemu zarządzania ryzykiem w m.st. Warszawie i projektowanych zmian; 3) zapewnienie niezbędnej spójności w systemie zarządzania ryzykiem w m. st. Warszawie; 5

6 4) upowszechnianie wiedzy, doskonalenie umiejętności i wspieranie działań na rzecz zwiększenia świadomości w zakresie zarządzania ryzykiem wśród uczestników systemu; 5) dokonywanie przeglądu skuteczności funkcjonowania systemu zarządzania ryzykiem w m.st. Warszawie i projektowanie zmian; 6) organizowanie bieżącej współpracy z koordynatorami ds. ryzyka i właścicielami ryzyka; 7) organizowanie współpracy, w tym wnioskowanie w uzgodnieniu z dyrektorami biur, burmistrzami oraz kierownikami jednostek do Prezydenta m.st. Warszawy o powołanie stałych lub zadaniowych zespołów w celu wypracowania i testowania zasad, procedur i narzędzi w systemie zarządzania ryzykiem; 8) prowadzenie bazy istotnych incydentów, analizowanie przyczyn i skutków ich zaistnienia, monitorowanie sposobu usuwania skutków i wprowadzania zmian zapobiegających występowaniu incydentów; 9) zapewnienie funkcjonowania określonego w niniejszym zarządzeniu systemu raportowania; 10) prowadzenie Rejestru ryzyka strategicznego m.st. Warszawy; 11) opracowanie Rejestru ryzyka m.st. Warszawy na rok bieżący i jego półrocznej aktualizacji; 12) opracowanie Raportu ryzyka m.st. Warszawy za rok ubiegły. 2. Pełnomocnik ds. ryzyka wykonuje swoje zadania przy pomocy Wydziału Ryzyka Gabinetu Prezydenta Urzędu m.st. Warszawy. 3. Pełnomocnik ds. ryzyka współpracuje z Biurem Audytu Wewnętrznego oraz Biurem Kontroli w zakresie przepływu informacji dotyczących oceny istotnych ryzyk i incydentów oraz ich wpływu na realizację celów i zadań Dyrektorzy biur oraz burmistrzowie sprawują nadzór w zakresie zarządzania ryzykiem w nadzorowanych jednostkach. 2. Właściciele procesów przekrojowych sprawują, według posiadanych uprawnień wynikających z regulaminu organizacyjnego Urzędu lub wewnętrznych regulaminów organizacyjnych, nadzór nad przestrzeganiem polityk, zarządzeń i wytycznych w obszarze ich działalności. 8. Do zadań właścicieli ryzyka należy w szczególności: 1) ocena ryzyk związanych z realizacją celów, za które odpowiadają w zakresie prowadzonej działalności; 2) określenie reakcji w odniesieniu do poszczególnych ryzyk i zaistniałych incydentów; 3) wdrażanie działań zaradczych w stosunku do zidentyfikowanych ryzyk; 4) wypełnianie określonych w zarządzeniu obowiązków w zakresie raportowania, 5) bieżąca współpraca z Pełnomocnikiem ds. ryzyka, w tym realizacja otrzymywanych rekomendacji; 6) gromadzenie i analiza informacji o incydentach oraz raportowanie informacji o istotnych incydentach; 7) identyfikowanie i wykorzystywanie szans na efektywną realizację celów i zadań. 9. Koordynatorzy ds. ryzyka odpowiedzialni są za: 1) wspomaganie dyrektorów biur/burmistrzów w wykonywaniu zadań, o których mowa w niniejszym zarządzeniu; 6

7 2) koordynowanie działań w zakresie oceny i określania reakcji na ryzyko w obrębie biura lub urzędu dzielnicy; 3) wypełnianie określonych w zarządzeniu obowiązków w zakresie raportowania; 4) stałe podnoszenie wiedzy w zakresie zarządzania ryzykiem Pracownicy wskazani w Rejestrze ryzyka są obowiązani do bieżącego monitorowania poziomu ryzyk ujętych w Rejestrze ryzyka w zakresie, w jakim występują one w działaniach pracownika oraz informowania bezpośrednich przełożonych o: 1) zmaterializowaniu się ryzyka; 2) potencjalnych nowych ryzykach lub istotnych zmianach poziomu ryzyk zidentyfikowanych w Rejestrze ryzyka; 3) zdarzeniach, które mogą negatywnie wpływać na realizację celów; 4) pojawiających się możliwościach wykorzystania szans. 2. Wszyscy pracownicy biur, urzędów dzielnic i jednostek są obowiązani do informowania przełożonych o nieprawidłowościach i nadużyciach, które mogą stanowić naruszenie prawa lub negatywnie oddziaływać na realizację celów i zadań biura, urzędu dzielnicy lub jednostki oraz postrzeganie m.st. Warszawy przez mieszkańców. 3. O ile okoliczności, o których mowa w ust. 2, dotyczą bezpośredniego przełożonego, pracownik powiadamia, z pominięciem ustalonej drogi służbowej, stosownie do okoliczności: kierownika jednostki / burmistrza / dyrektora biura / Sekretarza m.st. Warszawy / Prezydenta m.st. Warszawy. Rozdział III Wyznaczanie celów W terminie do 31 stycznia dyrektorzy biur, członkowie zarządów dzielnic i kierownicy jednostek dokonują w określonej przez siebie formie wyboru celów do realizacji na dany rok, które w dalszej perspektywie stanowić będą odniesienie do identyfikacji ryzyka. 2. W terminie do 31 stycznia kierownicy jednostek przekazują informację o najważniejszych celach do nadzorujących te jednostki dyrektorów biur/burmistrzów, przy czym liczba raportowanych celów nie powinna być większa niż trzy. Do przekazywania informacji o najważniejszych celach jednostek służy Rejestr ryzyka. 3. W ramach sprawowanego nadzoru dyrektorzy biur oraz burmistrzowie mogą wskazać kierownikom jednostek krótszy termin na przekazanie informacji, o których mowa w ust W ramach sprawowanego nadzoru dyrektorzy biur oraz członkowie zarządów dzielnic dokonują w porozumieniu z kierownikami jednostek weryfikacji celów jednostek. 5. Dysponenci zadań określonych w części zadaniowej budżetu na dany rok przyjmują cele określone w budżecie m.st. Warszawy. 6. Przy określaniu celów bierze się pod uwagę przede wszystkim: 1) przepisy powszechnie obowiązującego prawa oraz akty prawa miejscowego; 2) zalecenia Prezydenta m.st. Warszawy, zastępców Prezydenta m.st. Warszawy, Sekretarza m.st. Warszawy, Skarbnika m.st. Warszawy oraz dyrektorów biur/burmistrzów; 3) budżet m.st. Warszawy (część zadaniowa); 4) Wieloletnią Prognozę Finansową m.st. Warszawy; 5) Strategię Rozwoju m.st. Warszawy; 6) strategie i polityki branżowe; 7) statut m.st. Warszawy, regulamin organizacyjny Urzędu, statuty i/lub wewnętrzne regulaminy organizacyjne biur, urzędów dzielnic oraz jednostek; 7

8 8) realizowane programy i projekty, w tym współfinansowane ze środków Unii Europejskiej. 7. Określane cele powinny być: 1) konkretne precyzyjnie określające rezultat (efekt, wynik), który chce się osiągnąć, sformułowane w sposób zwięzły i jednoznaczny; 2) mierzalne oparte na liczbach ilość, jakość, koszt, czas; 3) osiągalne oparte na obiektywnej ocenie własnych możliwości oraz zaakceptowane przez zainteresowane strony; 4) realistyczne oparte wyłącznie na dostępnych zasobach, potrzebne i możliwe do zrealizowania; 5) określone w czasie precyzyjnie określające terminy wykonania, cel powinien odnosić się do wartości planowanej w określonej perspektywie czasowej w odniesieniu do wartości bazowej. 8. Dyrektorzy biur, burmistrzowie i kierownicy jednostek ustanawiają mierniki realizacji celów, a także zasady monitorowania stopnia realizacji celów. 9. Przyjmując cele określone w budżecie m.st. Warszawy, jako mierniki wykonania poszczególnych celów do realizacji na dany rok należy przyjąć mierniki określone w budżecie m.st. Warszawy. 10. W przypadku wystąpienia istotnego zagrożenia dotyczącego realizacji celów, osoba odpowiedzialna za ich realizację zobowiązana jest do niezwłocznego przekazania informacji na ten temat do bezpośredniego przełożonego. Rozdział IV Ocena ryzyka W terminie do 31 stycznia kierownicy jednostek dokonują oceny ryzyka, w odniesieniu do wszystkich przypisanych w budżecie m.st. Warszawy celów oraz do innych celów wybranych do realizacji w danym roku. 2. W terminie do 15 lutego dyrektorzy biur i burmistrzowie, uwzględniając działalność nadzorowanych jednostek, dokonują oceny ryzyka w odniesieniu do wszystkich przypisanych w budżecie m.st. Warszawy celów oraz do innych celów wybranych do realizacji w danym roku. 3. W przypadku korekty budżetu m.st. Warszawy lub zmiany celów, ich właściciele podejmują decyzję co do zasadności ponownej oceny ryzyka. 4. W przypadku istotnej zmiany warunków, w których funkcjonuje właściciel ryzyka, dokonuje się ponownej oceny ryzyka. 5. W biurach, urzędach dzielnic oraz jednostkach każde zidentyfikowane ryzyko dotyczące realizowanych celów ujmowane jest w Rejestrze ryzyka W terminie do 31 marca Prezydent m.st. Warszawy przy współudziale Zastępców Prezydenta m.st. Warszawy, Sekretarza m.st. Warszawy, Skarbnika m.st. Warszawy i we współpracy z Pełnomocnikiem ds. ryzyka dokonuje oceny ryzyk strategicznych. Każde zidentyfikowane ryzyko strategiczne ujmowane jest w Rejestrze ryzyka strategicznego m.st. Warszawy prowadzonym przez Pełnomocnika ds. ryzyka. 2. Ocena ryzyka strategicznego dokonywana jest również w przypadku istotnej zmiany warunków, w których funkcjonuje m.st. Warszawa. 3. W ocenie ryzyk strategicznych m.st. Warszawy dyrektorzy biur stanowią wsparcie merytoryczne Prezydenta m.st. Warszawy, Zastępców Prezydenta m.st. Warszawy, Sekretarza m.st. Warszawy oraz Skarbnika m.st. Warszawy. 8

9 Celem identyfikacji ryzyka jest stworzenie pełnej listy ryzyk opartych na zdarzeniach, które mogą przyśpieszać lub opóźniać osiągnięcie celów. 2. W ramach identyfikacji ryzyka wykorzystuje się między innymi: 1) wyniki monitorowania realizacji wyznaczonych celów; 2) sposób organizacji i zarządzania biurem, urzędem dzielnicy, jednostką; 3) jakość wewnętrznych i zewnętrznych regulacji prawnych; 4) uwarunkowania makroekonomiczne; 5) uwarunkowania społeczno polityczne; 6) informacje o incydentach; 7) ustalenia z przeprowadzonych audytów i kontroli. 3. W ramach identyfikacji ryzyka rozważane są czynniki ryzyka, tj. zdarzenia, działania lub zaniechania, które mogą spowodować wystąpienie ryzyka lub też jego zwiększenie/zmniejszenie, wynikające ze źródeł zewnętrznych i wewnętrznych. 4. Wynik ustaleń, o których mowa w ust. 2 i 3, zawiera się w formie opisu ryzyka Celem analizy ryzyka jest poznanie charakteru ryzyka oraz oszacowanie jego poziomu. 2. Analizie podlega lista zidentyfikowanych ryzyk. 3. Analiza ryzyka wymaga określenia zakresu: 1) siły oddziaływania ryzyka z uwzględnieniem kryterium: legalności, skuteczności, odporności, reputacji, bezpieczeństwa, finansowego; 2) prawdopodobieństwa wystąpienia ryzyka z uwzględnieniem kryterium: częstotliwości, liczby uczestników, stabilności, wpływu na zasady realizacji Każde zidentyfikowane ryzyko podlega oszacowaniu z uwzględnieniem jego znaczenia dla osiągnięcia założonych celów. 2. Każde ryzyko szacowane jest z uwzględnieniem siły oddziaływania i prawdopodobieństwa jego wystąpienia przy uwzględnieniu adekwatności, skuteczności i efektywności istniejących mechanizmów kontrolnych. 3. Wielkość oszacowania ryzyka wskazuje na poziom ryzyka. Wyniki analizy ryzyka ujmowane są w Rejestrze ryzyka. 4. Oszacowanie siły oddziaływania ryzyka polega na przypisaniu każdemu z ryzyk punktacji od 1 do 5, gdzie: 1) 1 oznacza oddziaływanie nieznaczne; 2) 2 oznacza oddziaływanie małe; 3) 3 oznacza oddziaływanie średnie; 4) 4 oznacza oddziaływanie poważne; 5) 5 oznacza oddziaływanie katastrofalne dla wyznaczonych celów. 5. Oszacowanie prawdopodobieństwa wystąpienia ryzyka polega na przypisaniu każdemu z ryzyk punktacji od 1 do 5, gdzie: 1) 1 oznacza prawdopodobieństwo znikome; 2) 2 oznacza prawdopodobieństwo niskie; 3) 3 oznacza prawdopodobieństwo średnie; 4) 4 oznacza prawdopodobieństwo wysokie; 5) 5 oznacza prawdopodobieństwo bardzo wysokie. 6. Podstawowe zasady punktacji stosowanej do oszacowania siły oddziaływania i prawdopodobieństwa wystąpienia ryzyka zostały zawarte w załączniku nr 1 do zarządzenia. Przy szacowaniu siły oddziaływania i prawdopodobieństwa wystąpienia ryzyka, właściciele ryzyka biorą pod uwagę również istniejącą dokumentację dotyczącą zarządzania ryzykiem oraz swoje dotychczasowe doświadczenia. 9

10 7. Na podstawie przeprowadzonej oceny ryzyk należy dokonać hierarchizacji ryzyk, tj. uporządkowania ryzyk według kryterium ich znaczenia dla osiągnięcia założonych celów, na potrzeby ustalenia ich ważności dla realizowanych celów i zadań Matryca ryzyka jest graficzną prezentacją wyników szacowania ryzyka i służy do ustalenia hierarchii ewentualnych działań mających na celu zmniejszenie wielkości ryzyka. 2. W celu przedstawienia istotności ryzyka ustalono 4 poziomy ryzyka: 1) poziom niski kolor zielony akceptowalny poziom ryzyka, zaplanowanie i wdrożenie działań zaradczych zależy od decyzji właściciela ryzyka; 2) poziom średni kolor żółty akceptowalny poziom ryzyka, konieczność stałego monitorowania poziomu ryzyka; 3) poziom wysoki kolor pomarańczowy akceptowalny poziom ryzyka, wymóg stałego monitorowania poziomu ryzyka oraz konieczność zaplanowania działań zaradczych do ewentualnego wdrożenia; 4) poziom bardzo wysoki kolor czerwony nieakceptowalny poziom ryzyka, konieczność opracowania i wdrożenia w terminie uzgodnionym z bezpośrednim przełożonym Planu postępowania z ryzykiem bardzo wysokim. 3. Przyjmuje się, że ryzyka nieakceptowalne (bardzo wysokie) można zaakceptować w przypadku, gdy zastosowano wszystkie możliwe i dostępne mechanizmy kontrolne i brak jest możliwości sprowadzenia ryzyka do akceptowalnego poziomu. 4. Właściciel ryzyka ze względu na charakter ryzyka może obniżyć poziom ryzyka akceptowalnego. 5. Matryca ryzyka stanowi załącznik nr 3 do zarządzenia. 18. Należy dokonać ewaluacji ryzyka, tj. porównania wyników analizy ryzyka z kryteriami oceny ryzyka oraz poziomami istotności ryzyka w celu stwierdzenia czy ryzyko, jego charakter i wielkość, są akceptowalne. Ewaluacja ryzyka wspomaga podejmowanie decyzji o sposobie reakcji na ryzyko. Rozdział V Reakcja na ryzyko Dla każdego zidentyfikowanego, poddanego analizie i ewaluacji ryzyka, jego właściciel wskazuje jedną z poniższych reakcji: 1) akceptacja oznacza, że nie podejmuje się żadnych działań zaradczych, ale rozumie ewentualne skutki zdarzenia i świadomie godzi się na nie (np.: możliwość przeciwdziałania jest ograniczona lub koszt przeciwdziałania przewyższa potencjalne korzyści); 2) dzielenie się częściowe lub całkowite przeniesienie ryzyka na inny podmiot; 3) unikanie niepodejmowanie lub zaprzestanie działania narażającego na ryzyko; 4) ograniczanie podjęcie działań zaradczych, które doprowadzić mają do likwidacji lub ograniczenia ryzyka. 2. Decyzja odnośnie reakcji na ryzyko powinna być podejmowana z uwzględnieniem potencjalnych kosztów, które wiążą się z jego ograniczaniem, oraz potencjalnych korzyści, które wynikają z tego działania. 3. Przy wskazaniu reakcji na ryzyko należy uwzględnić określony w niniejszym zarządzeniu akceptowalny poziom ryzyka. 4. Właściciel ryzyka zobowiązany jest do monitorowania poziomu ryzyka i skuteczności decyzji dotyczących sposobu postępowania z ryzykiem. Jeżeli wyniki monitorowania wskazują na słabą skuteczność mechanizmów kontrolnych należy dokonać ich ponownego 10

11 wyboru. Monitorowanie dotyczy również zmian czynników zewnętrznych i wewnętrznych, które mogą generować nowe ryzyka i zmieniać charakter istniejących. 5. W stosunku do ryzyka oszacowanego na poziomie bardzo wysokim należy przeprowadzić szczegółową analizę, sporządzić Plan postępowania z ryzykiem bardzo wysokim i podjąć jedną z pięciu decyzji: 1) rezygnacja z realizacji celu wycofanie się z działań zagrożonych ryzykiem; 2) przesunięcie w czasie realizacji celu wskazanie nowej daty osiągnięcia zakładanych rezultatów; 3) realizacja celu w ograniczonym zakresie zmniejszenie zaplanowanych rezultatów działań; 4) wdrożenie działań sprowadzających ryzyko do akceptowalnego poziomu wraz ze wskazaniem osoby odpowiedzialnej za realizację opisanych działań; 5) realizacja celu przy akceptacji ryzyka o poziomie bardzo wysokim brak dodatkowych działań zmniejszających ryzyko. 6. Plan sporządza właściciel ryzyka niezwłocznie po zidentyfikowaniu ryzyka bardzo wysokiego. Plan wymaga zatwierdzenia przez bezpośredniego przełożonego. Kopia Planu przekazywana jest do Pełnomocnika ds. ryzyka. Pełnomocnik ds. ryzyka do 30 marca i 30 września sporządza Prezydentowi m.st. Warszawy, Zastępcom Prezydenta m.st. Warszawy, Sekretarzowi m.st. Warszawy oraz Skarbnikowi m.st. Warszawy zbiorczą informację na temat sposobu postępowania z ryzykiem o poziomie bardzo wysokim w m.st. Warszawie. Rozdział VI Raportowanie o ryzykach W terminie wyznaczonym przez sprawującego nadzór dyrektora biura lub burmistrza, nie później niż do 31 stycznia kierownicy jednostek przekazują nadzorującym dyrektorom biur i burmistrzom Rejestr ryzyka, zawierający informacje o: 1) ryzykach związanych z realizacją najważniejszych celów, przy czym liczba tych celów nie powinna być większa niż trzy; 2) wszystkich ryzykach wysokich i bardzo wysokich, czyli takich, których iloczyn siły oddziaływania ryzyka i prawdopodobieństwa jest równy lub większy niż W terminie do 15 lutego dyrektorzy biur i burmistrzowie, uwzględniając działalność nadzorowanych jednostek, przekazują Pełnomocnikowi ds. ryzyka Rejestr ryzyka, zawierający informacje o ryzykach wysokich i bardzo wysokich, dla: 1) biura/urzędu dzielnicy; 2) jednostek. 3. Rejestr ryzyka urzędu dzielnicy, o którym mowa w ust. 2, wymaga uzyskania akceptacji członków zarządu W terminie wyznaczonym przez sprawującego nadzór dyrektora biura lub burmistrza, nie później niż do 31 lipca kierownicy jednostek przekazują nadzorującym dyrektorom biur i burmistrzom półroczną aktualizację Rejestru ryzyka wg stanu na 30 czerwca. 2. W terminie do 15 sierpnia dyrektorzy biur i burmistrzowie, uwzględniając działalność nadzorowanych jednostek, przekazują Pełnomocnikowi ds. ryzyka półroczną aktualizację Rejestru ryzyka dla: 1) biura/urzędu dzielnicy; 2) jednostek. 11

12 3. Półroczna aktualizacja Rejestru ryzyka urzędu dzielnicy, o której mowa w ust. 2, wymaga uzyskania akceptacji członków zarządu. 4. W ramach półrocznej aktualizacji Rejestru ryzyka dyrektorzy biur, burmistrzowie oraz kierownicy jednostek, zobowiązani są do przeprowadzenia ponownej oceny ryzyk zidentyfikowanych w odniesieniu do wszystkich przypisanych im w budżecie m.st. Warszawy celów, a także innych celów realizowanych w danym roku oraz przekazania informacji o: 1) celach realizowanych przy ryzykach wysokich i bardzo wysokich po przeprowadzonej półrocznej aktualizacji Rejestru ryzyka; 2) celach zagrożonych, tj. celach, dla których osiągnięta wartość miernika wskazuje, że realizacja na zaplanowanym poziomie może być niemożliwa do osiągnięcia w bieżącym roku; 3) wskazaniu konsekwencji niezrealizowania celów, o których mowa w pkt 2; 4) stopniu realizacji celów, o których mowa w pkt 1 i 2, poprzez wykazanie wartości wykonanego miernika wg stanu na 30 czerwca. 22. Pełnomocnikowi ds. ryzyka przekazuje się zaktualizowany Rejestr ryzyka również w przypadkach określonych w 12 ust. 3 i 4, jeżeli iloczyn siły oddziaływania i prawdopodobieństwa ryzyka jest równy lub większy niż W terminie wyznaczonym przez sprawującego nadzór dyrektora biura lub burmistrza, nie później niż do 31 stycznia kierownicy jednostek przekazują nadzorującym dyrektorom biur i burmistrzom Raport ryzyka za rok ubiegły. 2. W terminie do 15 lutego dyrektorzy biur i burmistrzowie, uwzględniając działalność nadzorowanych jednostek przekazują Pełnomocnikowi ds. ryzyka Raport ryzyka za rok ubiegły dla: 1) biura/urzędu dzielnicy; 2) jednostek. 3. Raport ryzyka urzędu dzielnicy, o którym mowa w ust. 2, wymaga uzyskania akceptacji członków zarządu. 4. W Raporcie ryzyka za rok ubiegły dyrektorzy biur, burmistrzowie oraz kierownicy jednostek przekazują także informację o pozostałych celach, które nie były obarczone ryzykiem wysokim i bardzo wysokim i nie zostały zrealizowane na zaplanowanym poziomie. Dodatkowo należy wskazać przyczyny i konsekwencje braku realizacji tych celów W przypadku utworzenia, połączenia lub podziału jednostek, ich kierownicy: 1) w terminie 30 dni od utworzenia, połączenia lub podziału, sporządzają Rejestr ryzyka, w którym dokonują wyboru celów realizowanych do końca bieżącego roku, oceny ryzyk w odniesieniu do celów, wraz ze wskazaniem reakcji na ryzyko; 2) przekazują nadzorującym dyrektorom biur lub burmistrzom informację o ryzykach, które osiągnęły poziom wysoki i bardzo wysoki. 2. W ostatnim dniu funkcjonowania likwidowanej jednostki, kierownik jednostki przekazuje nadzorującemu dyrektorowi biura lub burmistrzowi Raport ryzyka wg stanu na dzień likwidacji. 3. Informacje z jednostek, o których mowa w ust. 1, dyrektorzy biur i burmistrzowie uwzględniają w raportach sporządzanych w trybie 20 ust. 2, 21 ust. 2 oraz 23 ust W przypadku utworzenia, połączenia lub podziału biur dyrektorzy biur w terminie 30 dni od utworzenia, połączenia lub podziału: 1) powołują koordynatora ds. ryzyka; 12

13 2) sporządzają Rejestr ryzyka, w którym dokonują wyboru celów realizowanych do końca bieżącego roku, oceny ryzyk w odniesieniu do celów, wraz ze wskazaniem reakcji na ryzyko. 2. W ostatnim dniu funkcjonowania likwidowanego biura dyrektor biura przekazuje Pełnomocnikowi ds. ryzyka Raport ryzyka wg stanu na dzień likwidacji W oparciu o otrzymane informacje Pełnomocnik ds. ryzyka sporządza Prezydentowi m.st. Warszawy oraz Zastępcom Prezydenta m.st. Warszawy, Sekretarzowi m.st. Warszawy oraz Skarbnikowi m.st. Warszawy: 1) do 31 marca Raport ryzyka m.st. Warszawy za rok ubiegły oraz Rejestr ryzyka m.st. Warszawy na rok bieżący; 2) do 30 września półroczną aktualizację Rejestru ryzyka m.st. Warszawy na rok bieżący. 2. Dokumenty, o których mowa w ust. 1, są: 1) sporządzane z uwzględnieniem I i II poziomu kontroli zarządczej; 2) przedmiotem obrad Prezydenta m.st. Warszawy, Zastępców Prezydenta m.st. Warszawy, Sekretarza m.st. Warszawy oraz Skarbnika m.st. Warszawy Wszystkie informacje i raporty w ramach systemu zarządzania ryzykiem przekazywane są w formie papierowej i elektronicznej. 2. Rejestr ryzyka, jego półroczna aktualizacja, Raport ryzyka oraz informacja o istotnych incydentach przekazywane do Pełnomocnika ds. ryzyka w formie elektronicznej, stanowią pliki w formacie programu MS Excel (*.xls), które należy przesyłać na adres ryzyko@um.warszawa.pl. 3. Raportowanie ryzyka odbywa się w oparciu o procesy, obszary i funkcje określone Systemem Zarządzania Jakością Urzędu, wprowadzonym odrębnym zarządzeniem Prezydenta m.st. Warszawy. 4. Schemat przepływu informacji w systemie zarządzania ryzykiem w m.st. Warszawie określa załącznik nr 9 do zarządzenia. Rozdział VII Kluczowe wskaźniki ryzyka Kluczowe wskaźniki ryzyka to zestaw miar, które wskazują mierzalny stan ryzyka i tendencje oraz pozwalają na ich interpretacje. 2. Liczone i monitorowane cyklicznie wskaźniki stanowią system ostrzegania, pozwalają na wczesne wykrycie zagrożeń i wypracowanie optymalnych rozwiązań. 29. Właściciele procesów przekrojowych: 1) opracowują katalog kluczowych wskaźników ryzyka dla nadzorowanego obszaru działalności w oparciu o dostępne źródła informacji; 2) monitorują trendy oraz wskazują potrzeby podejmowania decyzji zarządczych w sytuacji, gdy trendy mogą negatywnie wpływać na realizację celów przez Urząd i/lub m.st. Warszawę. 30. W terminach do 15 marca (wg stanu na 31 grudnia poprzedniego roku) oraz do 15 września (wg stanu na 30 czerwca bieżącego roku), właściciele procesów przekrojowych, za wyjątkiem Dyrektora Biura Prawnego, przekazują do Pełnomocnika ds. ryzyka wartości kluczowych wskaźników ryzyka dla nadzorowanego obszaru działalności. Dyrektor Biura Prawnego w terminie do 25 marca przekazuje do Pełnomocnika ds. ryzyka wartości kluczowych wskaźników ryzyka wg stanu na 31 grudnia poprzedniego roku. 13

14 Rozdział VIII Incydenty 31. Dyrektorzy biur, burmistrzowie, kierownicy jednostek zobowiązani są do gromadzenia informacji o incydentach, a także do oceny ich wpływu na poziom realizacji założonych celów Informacje o istotnych incydentach, które w znaczący sposób wpływają na realizację założonych celów, przekazywane są niezwłocznie, nie później niż do 10 dnia po zakończeniu miesiąca: 1) w zakresie funkcjonowania jednostki przez kierowników jednostek do nadzorujących dyrektorów biur i burmistrzów, a także do Pełnomocnika ds. ryzyka; 2) w zakresie funkcjonowania biura lub urzędu dzielnicy przez dyrektorów biur, burmistrzów do Pełnomocnika ds. ryzyka. 2. W oparciu o otrzymane informacje, Pełnomocnik ds. ryzyka przekazuje niezwłocznie, nie później niż do 20 dnia po zakończeniu miesiąca, Prezydentowi m.st. Warszawy, Zastępcom Prezydenta m.st. Warszawy, Sekretarzowi m.st. Warszawy, Skarbnikowi m.st. Warszawy, Dyrektorowi Biura Audytu Wewnętrznego oraz Dyrektorowi Biura Kontroli informacje o istotnych incydentach. Wzór Informacji o incydentach, stanowi załącznik nr 6 do zarządzenia. 3. Zbiorcze zestawienie informacji o istotnych incydentach, które w znaczący sposób wpłynęły na realizację założonych celów, przekazywane jest w rocznym Raporcie ryzyka, zgodnie z trybem opisanym w 23 i Za istotny incydent, podlegający obowiązkowi raportowania, uważa się incydent który: 1) stanowi zagrożenie życia lub zdrowia; 2) uniemożliwia realizację założonych celów; 3) stanowi naruszenie przepisów prawa. Rozdział IX Postanowienia końcowe Dyrektorzy biur i burmistrzowie wyznaczają koordynatorów ds. ryzyka. 2. O wyznaczeniu lub zmianie na stanowisku koordynatora ds. ryzyka, dyrektorzy biur i burmistrzowie nie później niż w terminie 14 dni informują Pełnomocnika ds. ryzyka Działania podejmowane w ramach systemu zarządzania ryzykiem są uwzględniane w wewnętrznych regulaminach organizacyjnych biur, urzędów dzielnic i regulaminach organizacyjnych lub statutach jednostek. 2. Regulacje, o których mowa w ust. 1, w biurach i urzędach dzielnic powinny zawierać co najmniej wskazanie: 1) koordynatora ds. ryzyka; 2) zadań z zakresu zarządzania ryzykiem wraz z ich przypisaniem do wewnętrznych komórek organizacyjnych i osób pełniących określone funkcje oraz zakresu odpowiedzialności za bieżące zarządzanie ryzykiem; 3) procedury dotyczącej przepływu informacji do koordynatora ds. ryzyka, zarządu dzielnicy i do właściciela ryzyka (wewnętrzny system raportowania); 4) obowiązek rejestrowania ryzyka, jego oceny, dokumentowania, raportowania i monitorowania. 14

15 3. Zakres regulacji, o których mowa w ust. 1 i 2, w jednostkach dostosowuje się do struktury organizacyjnej i systemu zarządzania jednostką. 35. Wytyczne do zarządzania ryzykiem zawiera Podręcznik zarządzania ryzykiem w m.st. Warszawie, udostępniony wszystkim uczestnikom systemu. 36. Wykonanie zarządzenia powierza się dyrektorom biur, zarządom dzielnic oraz kierownikom jednostek. 37. Nadzór nad wykonaniem zarządzenia powierza się Pełnomocnikowi ds. ryzyka. 38. Traci moc zarządzenie Prezydenta Miasta Stołecznego Warszawy: 1) nr 3666/2012 z dnia 18 grudnia 2012 r. w sprawie systemu zarządzania ryzykiem w m.st. Warszawie, zmienione zarządzeniem Prezydenta m.st. Warszawy nr 3944/2013 z dnia 26 lutego 2013 r.; 2) nr 3943/2013 z dnia 26 lutego 2013 r. w sprawie wprowadzenia polityki zarządzania ryzykiem w m.st. Warszawie oraz powołania Pełnomocnika Prezydenta m.st. Warszawy ds. ryzyka Zarządzenie podlega publikacji w Biuletynie Informacji Publicznej Miasta Stołecznego Warszawy. 2. Zarządzenie wchodzi w życie z dniem podpisania. Prezydent Miasta Stołecznego Warszawy /-/ Hanna Gronkiewicz-Waltz 15