Procedura Zarządzania Ryzykiem I. PODSTAWOWE POJĘCIA

Transkrypt

1 Załącznik do zarządzenia Nr 1229/KZ/2013 Prezydenta Miasta Kędzierzyn-Koźle z dnia r. w sprawie ustalenia i wprowadzenia obowiązku stosowania procedury zarządzania ryzykiem w Urzędzie Miasta Kędzierzyn-Koźle. I. PODSTAWOWE POJĘCIA Procedura Zarządzania Ryzykiem 1. Zarządzanie ryzykiem - logiczna i systematyczna metoda ustalania zakresu, identyfikacji, analizy, oceny, działania, nadzoru oraz informowania o ryzyku w sposób, który umożliwia prawidłową i efektywną realizację zadań Urzędu Miasta Kędzierzyn-Koźle, z ograniczeniem do minimum występowania czynników negatywnie wpływających na prawidłowość i efektywność ich wykonania. 2. Procedura zarządzania ryzykiem - zespół reguł określających : 1) zasady zarządzania ryzykiem w Urzędzie Miasta Kędzierzyn-Koźle ; 2) zadania komórek organizacyjnych, w tym samodzielnych stanowisk wyodrębnionych strukturze organizacyjnej Urzędu Miasta Kędzierzyn-Koźle w procesie zarządzania ryzykiem. 3. Zadania procesy wykonywania zadan publicznych Gminy Kędzierzyn-Koźle, realizowane przez komórki organizacyjne, w tym samodzielne stanowiska wyodrębnione w strukturze organizacyjnej Urzędu Miasta Kędzierzyn-Koźle. 4. Ryzyko - możliwość zaistnienia niepożądanego zdarzenia, stanowiącego zagrożenie dla realizacji zadania. 5. Właściciel zadania (właściciel ryzyka) kierownik komórki organizacyjnej lub osoba zatrudniona na samodzielnym stanowisku, albo inna upoważniona osoba odpowiedzialna w Urzędzie Miasta Kędzierzyn-Koźle za realizację danego zadania i skuteczność zarządzania ryzykiem związanym z tym zadaniem. 6. Miernik ryzyka wskaźnik procesu realizacji zadania służący do monitorowania ryzyka.

2 II. CEL ORAZ SKŁADNIKI PROCEDURY ZARZĄDZANIE RYZYKIEM 1. Celem stosowania w Urzędzie Miasta Kędzierzyn-Koźle procedury zarządzania ryzykiem, stanowiącej element kontroli zarządczej, jest zapewnienie: 1) zgodności z prawem, efektywności, oszczędności i terminowości: a) procesów realizacji wykonywanych przez Urząd Miasta Kędzierzyn-Koźle zadań publicznych Gminy Kędzierzyn-Koźle, w tym nadzoru realizacji usług świadczonych na rzecz mieszkańców; b) zarządzania zasobami, w tym majątkiem nieruchomym i ruchomym oraz środkami finansowymi; 2) przeciwdziałanie potencjalnym zagrożeniom dla procesów realizacji wykonywanych przez Urząd Miasta Kędzierzyn-Koźle zadań publicznych Gminy Kędzierzyn-Koźle, w tym ograniczenia do akceptowanego poziomu negatywnych skutków prawnych, finansowych oraz faktycznych zaistniałych zdarzeń, stanowiących zagrożenie dla wykonywanych przez Urząd Miasta Kędzierzyn-Koźle zadań publicznych Gminy Kędzierzyn-Koźle. 2. W skład procedury zarządzania ryzykiem wchodzą następujące etapy : 1) ustanowienie zakresu zarządzania ryzykiem, 2) szacowanie ryzyka, w tym : - identyfikacja ryzyka, - ocena ryzyka, 3) akceptowanie ryzyka, 4) postępowanie z ryzykiem, 5) monitorowanie i przegląd ryzyka, 6) informowanie o ryzyku. 3. Procedura zarządzania ryzykiem wskazuje metodykę i zakres czynności realizowanych w ramach każdego z etapów zarządzania ryzykiem, z zastrzeżeniem ust Czynności przewidziane w procedurze zarządzania ryzykiem dokonywane są, stosownie do zakresu uprawnień i obowiązków komórek organizacyjnych, w tym samodzielnych stanowisk wyodrębnionych strukturze organizacyjnej Urzędu Miasta Kędzierzyn-Koźle, z zastosowaniem informatycznego narżędzia zarządzania ryzykiem, udostępnionego za pośrednictwem sieci Intranet, zwanego dalej IZR. III. ZAKRES ZADAŃ ORAZ MIERNIKÓW ICH WYKONANIA OBJĘTYCH ZARZĄDZANIA RYZYKIEM 1. Procedurą zarządzania ryzykiem objęte są procesy wykonywania zadań publicznych Gminy Kędzierzyn-Koźle, realizowane przez komórki organizacyjne, w tym samodzielne stanowiska, wyodrębnione w strukturze organizacyjnej Urzędu Miasta Kędzierzyn-Koźle, określonych na podstawie :

3 1) powszechnie obowiązujących przepisów prawa; 2) Regulaminu Organizacyjnego Urzędu Miasta Kędzierzyn-Koźle; 3) rocznego planu finansowego Urzędu Miasta Kędzierzyn-Koźle ; 4) tabel procesów, nadzorowanych w ramach Systemu Zarządzania Jakością, w tym załączonych do nich wykazu usług realizowanych na rzecz klientów przez Urząd Miasta Kędzierzyn-Koźle, 2. Wykaz zadań ( procesów realizacji zadań publicznych) oraz mierników i wskaźników ich wykonania, objętych zarządzaniem ryzykiem określa załącznik do niniejszej procedury zarządania ryzykiem. IV. SZACOWANIE RYZYKA A. Identyfikacja Ryzyka 1. Identyfikacja ryzyka w Urzędzie Miasta Kędzierzyn- Koźle dokonywana jest przez właścicieli zadań, dla każdego z zadań objętych wykazem określonym w załączniku do niniejszej procedury zarządania ryzykiem 2. Każdemu z wyznaczonych zadań właściciel zadania i ryzyka zobowiązany jest przypisać odpowiadającą danemu zadaniu jedną z następujących kategorii ryzyka: 1) finansowego związanego z zagrożeniem zasad planowania, wydatkowania i kontroli środków publicznych, w tym skutkujących odpowiedzialnością za naruszenie dyscypliny finansów publicznych, 2) prawno organizacyjnego związanego z zagrożeniem naruszenia przepisów prawa, w tym naruszenia obowiązujących procedur, z wyłączeniem przypadków objętych kategorią ryzyka finansowego, 3) bezpieczeństwa zasobów związanego z zagrożeniem bezpieczeństwa : a) zasobów ludzkich ( np. wystąpienia wypadków ), b) zasobów majątkowych ( np. pożaru, powodzi i innych zdarzeń losowych), c) zasobów technologicznych lub informacyjnych (np. bezpieczeństwa systemów informatycznych), d) środowiska naturalnego ( np. klęski ekologicznej ); 4) komunikacyjnego związanego z zagrożeniem opublikowania niepożądanej informacji lub zakłóceniem udostępniania informacji publicznej, z zastrzeżeniem ust. 3 i Opis zidentyfikowanego ryzyka dokonywany jest przez właściciela ryzyka na Karcie ryzyka, sporządzonej zgodnie z załączonym do procedury zarządzania ryzykiem wzorem nr 1, która jest udostępniana w postaci formularza IZR Specjaliście ds. kontroli zarządczej, celem zaopiniowania, a następnie wprowadzenia do rejestru

4 ryzyka, prowadzonego w IZR zgodnie z załączonym do procedury zarządzania ryzykiem wzorem nr Rejestr ryzyka prowadzony przez Specjalistę ds. kontroli zarządczej podlega zatwierdzeniu przez Prezydenta Miasta Kędzierzyn-Koźle. B. Ocena ryzyka. 1. Ocena ryzyka przeprowadzana jest co najmniej raz w roku przez właściciela ryzyka przy pomocy IZR. 2.Oceny ryzyka dokonuje się na podstawie określenia prawdopodobieństwa oraz skutków określonych zdarzeń dla zadań ( procesów wykonywania zadań pubicznych), realizowanych przez Urząd Miasta Kędzierzyn-Koźle, poprzez określenie dla każdego zidentyfikowanego ryzyka: 1) prawdopodobieństwa wystąpienia ryzyka, 2) skutku wystąpienia ryzyka. 3.Prawdopodobieństwo wystąpienia ryzyka określane jest zgodnie ze skalą przedstawioną w poniższej tabeli: Punktacja Opis Prawdopodobieństwo Rzadkie Mało prawdopodobne Średnie Prawdopodobne Prawie pewne 0-20% 21-40% 41-60% 61-80% % 4. Skutek wystąpienia ryzyka rozpatrywany jest w aspektach powiązanych z wyróżnionymi kategoriami ryzyka, a mianowicie : wpływ w zakresie finansowym ( kryterium finansowe), wpływ w zakresie prawno organizacyjnym ( kryterium prawnoorganizacyjne), wpływ w zakresie bezpieczeństwa zasobów ( kryterium bezpieczeństwa zasobów ), wpływ w zakresie skuteczności komunikacji ( kryterium komunikacyjne), zgodnie ze skalą przedstawioną w poniższej tabeli: Kryteria Punkt Opis skutku Prawno- Bezpieczeńst acja Finansowe Komunikacyjne organizacyjne wa zasobów 5 Krytyczny Strata Brak realizacji Utrata życia / Ciągłe negatywne

5 finansowa > PLN strategicznych zadań publicznych majątku lub praw majątkowych bardzo dużej wartości informacje medialne /zakłócenia w udostępnianiu informacji publicznej o zasięgu ogólnokrajowym 4 Poważny Strata finansowa < PLN Brak realizacji istotnych zadań publicznych Poważne obrażenia/ utrata majątku lub praw majątkowych dużej wartości Okresowe negatywne informacje medialne /zakłócenia w udostępnianiu informacji publicznej o zasięgu ogólnokrajowym 3 Umiarkowany 2 Niewielki 1 Nieznaczny Strata finansowa < PLN Strata finansowa 100 < PLN Strata finansowa < 100 PLN Zakłócenia w bieżącej działalności Niewielkie zakłócenia w bieżącej działalności i Krótkotrwałe zakłócenia w bieżącej działalności Pewne obrażenia/ utrata majątku lub praw majątkowych znacznej wartości Niewielkie obrażenia/ utrata majątku lub praw majątkowych nieznacznej wartości Niewielkie obrażenia/ utrata majątku lub praw majątkowych niewielkiej wartości Okresowe negatywne informacje medialne /zakłócenia w udostępnianiu informacji publicznej o zasięgu regionalnym Ograniczone negatywne informacje medialne /zakłócenia w udostępnianiu informacji publicznej o zasięgu lokalnym Incydentalne negatywne informacje medialne /zakłócenia w udostępnianiu informacji publicznej o zasięgu lokalnym 5.Ostateczna wartość skutków danego ryzyka ustalana jest na podstawie najwyższej wartości okreslonej dla jednego, dominującego w danym zadaniu kryterium. Właściciel ryzyka po określeniu prawdopodobieństwa oraz skutków ryzyka ustala przy pomocy IZR wartość ryzyka zgodnie z wzorem: R=P x S gdzie: R ryzyko, P prawdopodobieństwo, S skutek.

6 Skutek Krytyczny Poważny Umiarkowany Niewielki Nieznaczny Rzadkie Mało prawdopo dobne Średnie Prawdopo dobne Prawie pewne Prawdopod obieństwo umieszczając tą wartość na karcie ryzyka udostepnianej w postaci formularza IZR Specjaliście ds. kontroli zarządczej, która w terminie 7 dni od udostępnienia karty ryzyka w IZR weryfikuje wartości poszczególnych ryzyk i wprowadza wartości poszczególnych ryzyk i generuje rejestr ryzyka zgodnie z wzorem nr 3 załączonym do procedury zarządzania ryzykiem. W zależności od wartości ryzyka właściciel ryzyka rekomenduje za pośrednictwem IZR decyzję dotyczącą akceptacji ryzyka, zgodnie z zasadami określonymi w rozdziale V. V. AKCEPTOWANIE RYZYKA 1. Decyzje o akceptacji lub zapobieganiu ryzyku powinny być podejmowane z uwzględnieniem poziomu akceptowalności ryzyka wyznaczonego w Urzędzie Miasta Kędzierzyn- Koźle. 2. Poziom akceptowalności ryzyka, stanowiący wielkość ryzyka, jakie Urząd Miasta Kędzierzyn - Koźle może podjąć w celu realizacji zadań publicznych, wyznacza się w przedziale wartości od 1 do 12, z zastrzeżeniem ust Na podstawie punktowej oceny ryzyka określonej w rozdziale IV, Specjalista ds. kontroli zarządczej dokonuje przy pomocy IZR uporządkowania rodzajów ryzyka wg ich wagi oraz kryteriów matrycy punktowej oceny ryzyka, hierarchizując oraz inicjując działania podejmowane w celu zmniejszenia ryzyka w następujący sposób : 1) w przypadku ryzyka wysokiego o wartości pkt. niezwłocznie zawiadamia Prezydenta Miasta Kędzierzyn-Koźle, jego zastępców lub członków kierownictwa urzędu - w celu objęcia ryzyka w tym obszarze szczególnym nadzorem i podjąć działania, które ograniczą prawdopodobieństwo wystąpienia ryzyka do akceptowalnego poziomu.;

7 2) w przypadku ryzyka średniego o wartości 4-12 pkt. zawiadamia członków kierownictwa urzędu o konieczności monitorowania ryzyka w tym obszarze oraz rozważenia możliwości wprowadzenia lub modyfikacji przez jego właściciela mechanizmów kontrolnych; 3) w przypadku ryzyka niskiego o wartości 1-3 pkt rekomenduje akceptację ryzyka w tym obszarze. 4. Na podstawie czynności określonych w ust.1-3 Specjalista ds. kontroli zarządczej dokonuje przy pomocy IZR podziału ryzyk na ryzyka akceptowalne i nieakceptowalne. VI. POSTĘPOWANIE Z RYZYKIEM 1. W wyniku szacowania ryzyka Specjalista ds. kontroli zarządczej formułuje, w terminie 14 dni od daty zakończenia szacowania ryzyka rekomendacje dotyczące dalszego postępowania z ryzykiem poprzez: - akceptowanie ryzyka; - zapobieganie ryzyku ( jeżeli poziom ryzyka przekracza wyznaczony poziom akceptowalności ryzyka); które przedstawia do zatwierdzenia Prezydentowi Miasta Kędzierzyn-Koźle. 2. Na podstawie danych uzyskanych we wcześniejszych etapach, zgromadzonych przy pomocy IZR, Specjalista ds. kontroli zarządczej sporządza ranking ryzyk względem określonego wcześniej poziomu akceptowalności ryzyka, grupując wszystkie oszacowane ryzyka, ze wskazaniem, które z nich są najbardziej, a które najmniej istotne dla Urzędu Miasta Kędzierzyn-Koźle. 3. Ranking o którym mowa w ust.2. jest udostępniany przy pomocy IZR właścicielom ryzyk, celem podjęcia właściwych czynności określonych w ust Dla ryzyka nieakceptowalnego właściciel ryzyka tworzy, we własciwym polu tekstowym w IZR, Kartę postępowania z ryzykiem, zgodnie z załączonym do procedury zarządzania ryzykiem wzorem nr 2, w której wskazuje właściwy, optymalny sposób postępowania z ryzykiem, poprzez wybór jednego z następujących wariantów: 1) przeciwdziałanie ryzyku (redukowanie ryzyka) - podejmowanie działań pozwalających na ograniczenie ryzyka do akceptowalnego poziomu, np. dzięki wzmocnieniu mechanizmów kontroli wewnętrznej (procedur, wytycznych, zasad, nadzoru, itd.) wbudowanych w realizowane procesy; 2) przeniesienie (transfer) ryzyka na inną instytucję, np. poprzez ubezpieczenie majątku; 3) przesunięcie w czasie (unikanie) ryzyka - zawieszenie działań skutkujących zbyt dużym ryzykiem; 4) tolerowanie (akceptacja) ryzyka - w przypadku, gdy koszty przeciwdziałania ryzyku jest wyższy niż koszt wystąpienia skutków związanych z ryzykiem.

8 5. Właściciele ryzyk realizują w ramach własnego zakresu działania i odpowiedzialności warianty sposobów postępowania z ryzykiem wskazane w trybie określonym w ust. 4. W razie wystąpienia ważnych zmian w ocenie ryzyka lub ujawnieniu zagrożeń w wyniku monitorowania, właściciel ryzyka winien niezwłocznie poinformować o zaistniałym fakcie Prezydenta Miasta za pośrednictwem Specjalisty ds. kontroli zarządczej i do czasu otrzymania od Specjalisty ds. kontroli zarządczej wskazania jednego z wariantów postępowania z ryzykiem, o których mowa w ust. 4., przeciwdziałać ryzyku ( redukować ryzyko). VII. MONITOROWANIE RYZYKA 1. Audytor wewnętrzny prowadzi obiektywną i niezależną ocenę funkcjonowania procedury zarządzania ryzykiem jako jednego z działań w ramach kontroli zarządczej poprzez proces monitorowania ryzyka. 2. Proces monitorowania powinien obejmować wszystkie aspekty procesu zarządzania ryzykiem, w celu : 1) określenia stopnia efektywności zabezpieczenia ( mechanizmu kontroli) procesu realizacji zadań wpływające na ryzyko, 2) identyfikacji nagłych zagrożeń dla procesu realizacji zadania, 3) określenia stopnia zgodności działań podejmowanych w ramach zarządzania ryzykiem z udokumentowanymi w IZR kartami postępowania z ryzykiem. 3. Audytor wewnętrzny okresowo, nie rzadziej niż raz w roku dokonuje oceny stopnia efektywności zabezpieczenia( mechanizmu kontroli) procesu realizacji poszczególnych zadań w ramach systemu zarządzania ryzykiem. Stopień efektywności zabezpieczenia ( mechanizmu kontroli) procesu realizacji danego zadania w ramach systemu zarządzania ryzykiem oceniany jest przy pomocy wzoru: Ez = Sz x SwZ gdzie: Ez - oznacza efektywność wdrożonego zabezpieczenia( mechanizmu kontroli) Sz - oznacza ocenę skuteczności zabezpieczenia ( mechanizmu kontroli) zgodnie z poniższą skalą:

9 Ocena skuteczności wdrożonego zabezpieczenia ( mechanizmu kontroli) 1 pkt Zabezpieczenie organizacyjne (proceduralne) 2 pkt Zabezpieczenie techniczne obsługiwane manualnie 3 pkt Zabezpieczenie techniczne, działające w sposób zautomatyzowany SwZ - oznacza ocenę stopnia wdrożenia zabezpieczenia zgodnie z poniższą skalą: Ocena stopnia wdrożenia zabezpieczenia ( mechanizmu kontroli) 1 pkt Zabezpieczenie funkcjonuje nieformalnie 2 pkt Zabezpieczenie wprowadzono formalnie, lecz nie jest doskonalone 3 pkt Zabezpieczenie wprowadzono formalnie i istnieją zapisy potwierdzające jego doskonalenie 4.Audytor wewnętrzny okresowo, nie rzadziej niż raz w roku, dokonuje oceny zgodności działań wykonywanych w toku zarządzania ryzykiem przez właścicieli ryzyk z udostępnionymi w IZR kartami postępowania z ryzykiem i czy przynoszą oczekiwane rezultaty. 5.W przypadku stwierdzenia niewystarczającego stopnia efektywności wdrożonego zabezpieczenia procesu realizacji danego zadania lub zidentyfikowania odstępstw od ustaleń dokonanych w udostępnionej w IZR karcie postępowania z ryzykiem, Audytor Wewnętrzny zawiadamia Właściciela ryzyka o stwierdzonych zagrożeniach i konieczności : 1) wdrożenia mechanizmu kontroli właściwie zabezpieczającego proces realizacji danego zadania; 2) aktualizacji karty postępowania z ryzykiem, 3) skorygowania sposobu realizacji zadań względem założeń zdefiniowanych w karcie postępowania z ryzykiem; powiadamiając o powyższych ustaleniach Specjalistę ds. kontroli zarządczej. 6. Właściciel ryzyka zobowiązany jest do podjęcia we współpracy ze Specjalistą ds. kontroli zarządczej, przy pomocy IZR, działań o których mowa w ust.5., w terminie 14 dni od daty otrzymania zawiadomienia. VIII. INFORMOWANIE O RYZYKU 1.Specjalista ds. kontroli zarządczej oraz właściciele ryzyk zobowiązani są zapewnić funkcjonowanie systemu informowania o ryzyku zapewniającego, że: 1) właściwi pracownicy zatrudnieni w poszczególnych komórkach organizacyjnych Urzędu Miasta Kędzierzyn- Koźle posiadają, za pośrednictwem IZR, stosownie do

10 posiadanych uprawnień, dostęp do dokumentów i danych określających ich rolę w procesie zarządzania ryzykiem, rejestru ryzyka, właściwych kart ryzyka i kart postępowania z ryzykiem; 2) rozstrzygnięcia Prezydenta Miasta Kędzierzyn- Koźle określone niniejszą procedurą są gromadzone i udostępniane, stosownie do posiadanych uprawnień wszystkim uczestnikom procesu zarządzania ryzykiem za pośrednictwem IZR. 2. Właściciele ryzyk dokonują przeglądu wszystkich działań z zakresu zarządzania ryzykiem występujących w komórce organizacyjnej, a następnie sporządzają i przekazują Prezydentowi Miasta Kędzierzyn- Koźle, za pośrednictwem Specjalisty ds. kontroli zarządczej IZR, nie rzadziej niż raz w roku oświadczenie o stanie zarządzania ryzykiem w zakresie ich właściwości. 3. Specjalista ds. kontroli zarządczej sporządza i przedkłada Prezydentowi Miasta Kędzierzyn-Koźle co najmniej raz w roku wyciągi z rejestru ryzyka w Urzędzie Miasta Kędzierzyn-Koźle.