Załącznik nr do zarządzenia nr 156 Rektora UMK z 15 listopada 011r. Polityka zarządzania ryzykiem w Uniwersytecie Mikołaja Kopernika w Toruniu 1 1. Polityka zarządzania ryzykiem, zwana dalej Polityką, określa narzędzia i czynności realizacji Systemu zarządzania ryzykiem.. W ramach Polityki właściciel zobowiązany jest do: 1) identyfikacji, istotnego dla osiągnięcia celów w odniesieniu do zdefiniowanych obszarów, ) analizy i oceny, 3) określania sposobu postępowania wobec, 4) monitorowania, 5) stosowania mechanizmów kontrolnych w sposób adekwatny i efektywny, 6) zapewnienia wiarygodności sprawozdawczości wewnętrznej i zewnętrznej, 7) zapewnienia szkolenia i komunikacji, dotyczącej zagadnień związanych z Systemem zarządzania ryzykiem, 8) dokumentowania procesu zarządzania ryzykiem. Delegowanie 1. Właściciel może powołać co najmniej jednego subwłaściciela. Powołanie wymaga formy pisemnej.. Właściciel wyznacza subwłaścicielowi zakres zadań w taki sposób, aby istniała możliwość skutecznej realizacji obowiązków dot. kontroli zarządczej w jednostce, ze szczególnym uwzględnieniem zadań, wynikających z funkcjonowania Systemu zarządzania ryzykiem. 3. Akt powołania subwłaściciela oraz zakres jego obowiązków przekazywany jest do Działu Organizacji UMK. 4. Właściciel zobowiązany jest zapoznać podległych pracowników z zasadami Systemu zarządzania ryzykiem oraz zobowiązać do ich przestrzegania. Identyfikacja 3 1. Identyfikacji dokonuje się na każdym poziomie struktury organizacyjnej w odniesieniu do celów jednostki.. Identyfikacja dla projektu jest dokonywana na etapie wniosku o akceptację projektu oraz w trakcie realizacji projektu. 3. Proces identyfikacji powinien obejmować zarówno ryzyko istniejące, jak i ryzyko potencjalne, wynikające z perspektywicznego myślenia o realizowanych celach i zadaniach. 4. W procesie identyfikacji uczestniczą wszyscy pracownicy. 5. Proces identyfikacji podlega dokumentowaniu w rejestrze. Wzór rejestru stanowi załącznik nr 1 do Polityki zarządzania ryzykiem. 6. Określenie akceptowalnego na poszczególnych poziomach zarządzania należy do wyłącznej kompetencji właściciela. 7. Poziom akceptowalnego powinien być ustalany z uwzględnieniem przepisów prawa, standardów kontroli zarządczej, najlepszych praktyk zarządczych i oczekiwań społeczności akademickiej. 1
Analiza i ocena 4 Analiza i ocena obejmuje następujące etapy: 1. kategoryzację przypisanie do jednej z kategorii: strategiczne, finansowe, operacyjne, reputacji,. ocenę istotności poprzez ocenę prawdopodobieństwa wystąpienia i wpływu na realizowane zadania, 3. uszeregowanie malejąco, w poszczególnych kategoriach, 4. określenie średniej wielkości dla każdej kategorii, 5. sporządzenie mapy dla jednostki wg. kategorii, 6. zdefiniowanie poziomu akceptowalnego dla poszczególnych kategorii. 5 1. Ocena wpływu polega na określeniu jego siły oddziaływania w sytuacji, jeśli takie ryzyko by wystąpiło. W ocenie należy zastosować skalę punktową od 1 do 4, gdzie: 1 oznacza oddziaływanie najmniejsze a 4 największe (1 niskie, średnie, 3 - wysokie, 4 - bardzo wysokie). Przy określaniu siły oddziaływania należy uwzględniać potencjalne skutki materializacji zarówno skutki finansowe, jak i niefinansowe, np. utrata reputacji, konsekwencje prawne, opóźnienia, naruszenie dyscypliny finansów publicznych.. Ocena prawdopodobieństwa wystąpienia jest dokonywana również w skali czteropunktowej, gdzie 1 oznacza najniższe prawdopodobieństwo wystąpienia, a 4 najwyższe, graniczące z pewnością (1 mało prawdopodobne, możliwe, 3 prawdopodobne, 4 prawie pewne). 3. Przy ocenie należy brać pod uwagę istniejące mechanizmy kontrolne, ich skuteczność oraz aktualny stan wdrożenia. 6 1. Iloczyn punktowej oceny wpływu i punktowej oceny prawdopodobieństwa wystąpienia daje w wyniku ocenę istotności, która zawiera się w przedziale od 1 do.. Przyjmuje się następującą skalę istotności : 1) ryzyko niskie istotność zawierająca się przedziale od 1 do 4, ) ryzyko średnie istotność zawierająca się w przedziale od 4 do 8, 3) ryzyko wysokie istotność zawierająca się w przedziale od 8 do 1, 4) ryzyko bardzo wysokie istotność zawierająca się w przedziale od 1 do. 3. Wizualizacji dokonanej oceny istotności służy mapa. Mapa jest odzwierciedleniem istotności w jednostce lub całym UMK w stosunku do obszarów działalności, funkcji lub procesów, wykonywanych zadań lub kategorii. Postępowanie z ryzykiem 7 W stosunku do każdego, przekraczającego poziom akceptowalny podejmowane są następujące działania zaradcze: 1. przeciwdziałanie podjęcie działań ograniczających ryzyko do poziomu akceptowalnego, np. poprzez zastosowanie nowych mechanizmów kontrolnych lub wzmocnienie już istniejących zabezpieczeń,. transfer przeniesienie na inny podmiot, np. poprzez ubezpieczenie, 3. przesunięcie w czasie zaniechanie w danym momencie działań, rodzących zbyt wysokie ryzyko,
4. tolerowanie w przypadku, gdy istnieją określone trudności w przeciwdziałaniu ryzyku a także, gdy koszty podjętych działań mogą przekroczyć przewidywane korzyści. 8 1. W zależności od poziomu proponuje się następujące zasady postępowania: 1) ryzyko niskie może być akceptowane, ) ryzyko średnie, mogące wywierać wpływ na działalność, należy monitorować i rozważyć potrzebę wprowadzenia dodatkowych mechanizmów kontrolnych, mając na uwadze koszty ich wprowadzenia, 3) ryzyko wysokie, które może wpłynąć na realizowane działania, wymaga wzmocnienia kontroli wewnętrznej i procesu jego monitorowania, 4) ryzyko krytyczne stanowi poważne zagrożenie dla kluczowej działalności jednostki/projektu i osiągnięcia założonych celów; nie może być akceptowane, potrzebne jest natychmiastowe działanie poprzez wprowadzenie silnych mechanizmów kontrolnych i ciągły monitoring.. Przed podjęciem działań zaradczych należy rozważyć: 1) istotność nieakceptowalnego, ) istotność możliwą do osiągnięcia po podjęciu działań zaradczych, 3) możliwość i celowość zastosowania jednego lub kilku działań zaradczych. 3. Podejmując przeciwdziałanie jako metodę postępowania z ryzykiem należy: 1) ocenić skuteczność istniejących mechanizmów kontrolnych, ) rozważyć możliwość i koszty wprowadzenia dodatkowych mechanizmów kontrolnych, ograniczających ryzyko, 3) monitorować skuteczność podjętych działań i reagować adekwatnie do pozyskiwanych informacji. 4) w odniesieniu do wynikającego z odstępstw od zasad i procedur, działania zaradcze podejmowane są na bieżąco. 4. Spektrum podejmowanych działań zaradczych zależy od apetytu na ryzyko. Monitorowanie 9 1. Proces monitorowania jest procesem ciągłym, realizowanym na każdym poziomie zarządzania. Proces monitorowania pozwala na podejmowanie optymalnych decyzji z uwzględnieniem czynników.. Ryzyka zidentyfikowane lub ujawnione w procesie monitorowania podlegają analizie przyczyn ich powstania oraz ich istotności dla realizowanych celów i zadań. 3. Proces monitorowania Systemu zarządzania ryzykiem powinien być poddawany regularnym przeglądom przynajmniej raz w roku. 4. Proces monitorowania Systemu zarządzania ryzykiem może być dokonywany w trybie samooceny. Skuteczność i kształt Systemu zarządzania ryzykiem jest przedmiotem oceny przez audytora wewnętrznego. Wykaz załączników: Nr 1 Rejestr Nr Mapa (przykład) Nr 3 Wykaz obszarów 3
Załącznik nr 1 do Polityki zarządzania ryzykiem Rejestr (wzór) Jednostka/projekt Obszar Zidentyfikowane ryzyko Kategoria 1 Prawdopodobieństwo (P) Wpływ (W) Istotność (PxW) Właściciel Mechanizmy ograniczające ryzyko 1 Kategorie : 1/ strategiczne, / finansowe, 3/ operacyjne/ 4 reputacji 4
Wzór mapy (przykład dla Wydziałów) Załącznik nr do Polityki zarządzania ryzykiem Wydział H Mapa Wydział A 14 1 10 Wydział B 9 8 6 4 Wydział G 1 0 9 Wydział C 6 Wydział F Wydział D Wydział E 1 5