Zarządzenie Nr 90/11 Rektora Uniwersytetu Medycznego im. Karola Marcinkowskiego w Poznaniu z dnia 22 grudnia 2011 roku

Uniwersytet Medyczny im. Karola Marcinkowskiego w Poznaniu DOP-184/11 Zarządzenie Nr 90/11 Rektora Uniwersytetu Medycznego im. Karola Marcinkowskiego w Poznaniu z dnia 22 grudnia 2011 roku w sprawie ustalenia Polityki zarządzania ryzykiem w Uniwersytecie Medycznym im. Karola Marcinkowskiego w Poznaniu i Procedury systemu kontroli zarządczej w Uniwersytecie Medycznym im. Karola Marcinkowskiego w Poznaniu Na podstawie 43 ust. 2 Statutu Uniwersytetu Medycznego im. Karola Marcinkowskiego w Poznaniu w związku z art. 69 ust. 1 pkt 3 ustawy z dnia 27 sierpnia 2009 roku o finansach publicznych (Dz.U. Nr 157, poz. 1240 z poźn. zm.) zarządza się, co następuje: 1 Ustala się Politykę zarządzania ryzykiem w Uniwersytecie Medycznym im. Karola Marcinkowskiego w Poznaniu, która stanowi załącznik nr 1 do niniejszego zarządzenia. 2 Ustala się Procedury systemu kontroli zarządczej w Uniwersytecie Medycznym im. Karola Marcinkowskiego w Poznaniu, które stanowią załącznik nr 2 do niniejszego zarządzenia. 3 Wykonanie zarządzenia powierza się Rektorowi i Głównemu Specjaliście ds. Kontroli Zarządczej. 3 Zarządzenie wchodzi w życie z dniem podpisania. Rektor prof. dr hab. Jacek Wysocki

załącznik nr 1 do zarządzenia nr 90/11 z dnia 22 grudnia 2011 r. POLITYKA ZARZĄDZANIA RYZYKIEM W UNIWERSZTECIE MEDYCZNYM IM. KAROLA MARCINKOWSKIEGO W POZNANIU Rozdział I Definicje 1 Użyte w Polityce zarządzania ryzykiem w Uniwersytecie Medycznym w Poznaniu określenia oznaczają: 1) ryzyko według Glosariusza Międzynarodowych Standardów Profesjonalnej Praktyki Audytu Wewnętrznego, możliwość zaistnienia zdarzenia, które będzie miało wpływ na realizację celów jednostki, 2) zarządzanie ryzykiem logiczną i systematyczną metodę identyfikacji, analizy, oceny, działania, nadzoru oraz informowania o ryzyku w sposób, który umożliwi jednostce minimalizację start i maksymalizację możliwości, 3) identyfikacja ryzyka wskazanie wszystkich zagrożeń związanych z realizacją celów jednostki, 4) analiza ryzyka określenie prawdopodobieństwa wystąpienia danego ryzyka i możliwych jego skutków, 5) apetyt na ryzyko inaczej akceptowalny poziom ryzyka - wartość ryzyka, jaką dana jednostka jest w stanie zaakceptować przy realizacji danego celu, 6) właściciel ryzyka jednostka organizacyjna lub osoba, która odpowiada w Uniwersytecie Medycznym za realizację danego celu oraz zarządzanie ryzykiem, 7) reakcja na ryzyko wskazanie działań, które należy podjąć w celu zmniejszenia danego ryzyka do akceptowalnego poziomu (tolerowanie, przeniesienie, wycofanie się, działanie). Rozdział II Cel zarządzania ryzykiem 2 1. Celem zarządzania ryzykiem jest maksymalne ograniczanie ryzyka oraz zabezpieczanie Uniwersytetu Medycznego przed jego negatywnymi skutkami a także działania zwiększające prawdopodobieństwo osiągnięcia zakładanych celów.

2. Wdrożenie procedur zarządzania ryzykiem ma na celu: 1) zapewnienie ram systemowych, dzięki którym działalność będzie prowadzona w sposób spójny i kontrolowany, 2) usprawnienie procesu podejmowania decyzji, planowania i określania priorytetów, 3) efektywniejsze wykorzystanie zasobów Uniwersytetu Medycznego, 4) ochronę i budowanie wizerunku Uniwersytetu Medycznego, 5) rozwój potencjału wiedzy, 6) poprawę efektywności działania, 7) poprawę jakości świadczenia usług, 8) skuteczne zarządzanie projektami, 9) zapewnienie mechanizmów kontroli proporcjonalnie do ryzyka, 10) propagowanie etycznych zachowań w bieżącej pracy, 11) zapewnienie zasad rzetelności i gospodarności zapobiegającym oszustwom i marnotrawstwu mienia. 3 1. Ograniczenie ryzyka prowadzone jest poprzez zaprojektowanie i wdrożenie odpowiednich mechanizmów kontrolnych na podstawie wyników monitoringu poziomu ryzyka oraz jego oceny, jak i podjęcie działań zmniejszających skutki zaistniałych negatywnych zdarzeń, tzw. planów awaryjnych. 2. Polityka zarządzania ryzykiem stanowi narzędzie zarządzania dla kadry kierowniczej Uniwersytetu Medycznego oraz wytyczne dla wszystkich pracowników. Rozdział III Główne cele Uniwersytetu Medycznego 4 1. Uniwersytet Medyczny im. Karola Marcinkowskiego w Poznaniu jest uczelnią publiczną. 2. Do podstawowych zadań Uniwersytetu Medycznego należy: 1) kształcenie studentów w celu zdobywania i uzupełniania wiedzy oraz umiejętności niezbędnych w pracy zawodowej, 2) wychowywanie studentów w poczuciu odpowiedzialności za państwo polskie, za umacnianie zasad demokracji i poszanowania praw człowieka, 3) prowadzenie badań naukowych i prac rozwojowych oraz świadczenie usług badawczych, 4) kształcenie i promowanie kadr naukowych,

5) upowszechnienie i pomnażanie osiągnięć nauki, kultury narodowej i techniki, w tym poprzez gromadzenie i udostępnianie zbiorów bibliotecznych i informacyjnych, 6) prowadzenie studiów podyplomowych, kursów i szkoleń w celu kształcenia nowych umiejętności niezbędnych na rynku pracy w systemie uczenia się przez całe życie, 7) stworzenie warunków do rozwoju kultury fizycznej studentów, 8) działalność na rzecz społeczności lokalnych i regionalnych, 9) stwarzanie osobom niepełnosprawnym warunków do pełnego udziału w procesie kształcenia i w badaniach naukowych, 9) uczestniczenie w sprawowaniu opieki zdrowotnej w ramach systemu ochrony zdrowia. Rozdział IV Zakres procedur zarządzania ryzykiem 5 Polityka zarządzania ryzykiem odnosi się do jednostek organizacyjnych Uniwersytetu Medycznego oraz do pracowników zatrudnionych w Uniwersytecie. 6 Zarządzania ryzykiem dokonywane jest na poziomie : 1) strategicznym, 2) operacyjnym, 3) projektu. 7 Podstawę zarządzania ryzykiem na poziomie strategicznym stanowi roczna identyfikacja i analiza ryzyka.(załącznik nr 1). 8 Zarządzanie ryzykiem na poziomie operacyjnym i projektu dotyczy bieżącej identyfikacji, oceny ryzyka i podejmowania działań zaradczych. 9 1. Analiza ryzyka na każdym z poziomów zawiera następujące etapy: 1) identyfikację ryzyka, które może oddziaływać na realizację celów Uniwersytetu Medycznego, 2) ocenę istniejących środków wykorzystywanych do utrzymania ryzyka pod kontrolą, 3) analizę i hierarchizację ryzyka wg oddziaływania i prawdopodobieństwa wystąpienia ryzyka, 4) zdefiniowanie działań wymaganych do postępowania z ryzykiem nie akceptowalnym,

5) wskazanie osób z kierownictwa, odpowiedzialnych za podjęcie działań zaradczych oraz wyznaczenie terminu podjęcia działań, 6) monitorowanie i raportowanie o podjętych działań. 2. Zarządzenie ryzykiem przebiega w dwóch etapach: 1) na poziomie strategicznym odnosi się do rocznej identyfikacji i analizy ryzyka; 2) na poziomie operacyjnym odnosi się do bieżącej identyfikacji, oceny ryzyka i podejmowana działań zaradczych. Zarządzanie ryzykiem 10 1. Senat Uniwersytetu Medycznego ustala strategię rozwoju, która podlega uszczegółowieniu w rocznych planach działalności. 2. Odpowiedzialność za zarządzanie ryzykiem na poziomie strategicznym ponosi Rektor poprzez: 1) kształtowanie i wdrażanie polityki zarządzania ryzykiem oraz nadzór nad nią, 2) identyfikację czynników ryzyka i ocenę ryzyka na poziomie strategicznym, 3) określenie poziomu akceptowalnego ryzyka, 4) ogłaszanie i wdrażanie procedur zarządzania ryzykiem, w tym monitorowanie skuteczności mechanizmów kontroli, 5) wyznaczanie właścicieli ryzyka, w fazie strategicznego zarządzenia ryzykiem. 3. W procesie identyfikacji i oceny ryzyka na poziomie strategicznym uczestniczą Prorektorzy, Kanclerz, zastępcy Kanclerza w tym Kwestor. 4. Rektor może powołać Zespół ds. oceny ryzyka. 5. Rektor może przypisać odpowiedzialność za zarządzanie kluczowym ryzykiem - dotyczącym głównych celów Uniwersytetu Medycznego - właściwemu merytorycznie Prorektorowi, Kanclerzowi, Zastępcom Kanclerza w tym Kwestorowi Uniwersytetu. 11 1. Na poziomie operacyjnym za zarządzanie ryzykiem odpowiadają Dziekani Wydziałów, Kierownicy Jednostek Międzywydziałowych i Ogólnouczelnianych, Dyrektor Biblioteki, Kierownicy komórek administracyjnych poprzez: 1) identyfikację i udokumentowanie czynników ryzyka istotnych dla osiągnięcia celów operacyjnych,

2) ocenę istotności czynników ryzyka w odniesieniu do realizowanych celów, z uwzględnieniem prawdopodobieństwa oraz potencjalnych skutków ryzyka wywołanego tymi czynnikami, 3) monitoring poziomu ryzyka operacyjnego, w tym funkcjonowania mechanizmów kontrolnych pod kątem ich adekwatności i skuteczności, a także wszelkich odstępstw od istniejących procedur, 4) prowadzenie rejestru odstępstw od obowiązujących zasad i procedur w odniesieniu do polityki zarządzania ryzykiem oraz ich analizę (Załącznik nr 3), 5) projektowanie działań zaradczych w zakresie swojego obszaru działalności lub zgłaszanie bezpośredniemu przełożonemu pisemnych propozycji rozwiązań, które przyczynią się do ograniczenia ryzyka do poziomu akceptowalnego. 2. Dziekani Wydziałów w ramach swoich uprawnień mogą zobowiązać Kierowników wydziałowych jednostek organizacyjnych do zarządzania i monitorowania ryzyka w obszarze im podległym, wg zasad opisanych w polityce zarządzania ryzykiem. 12 Na poziomie projektu za zarządzanie ryzykiem odpowiada Kierownik projektu poprzez: 1) identyfikację czynników ryzyka związanego z projektem, 2) zdefiniowanie ryzyka i ocenę jego prawdopodobieństwa zaistnienia oraz skutków, przy uwzględnieniu istniejących mechanizmów kontrolnych, 3) zaprojektowanie mechanizmów kontrolnych, które ograniczą poziom ryzyka w odniesieniu do ryzyka nieakceptowanego, 4) zgłaszanie bezpośredniemu przełożonemu istotnych przeszkód w realizacji celu projektu. Rozdział VI Identyfikacja i analiza czynników ryzyka 13 Identyfikacji ryzyka w Uniwersytecie Medycznym dokonuje się co najmniej raz do roku, po opracowaniu planu działalności Uniwersytetu. 14 Identyfikacji ryzyka dokonuje się w odniesieniu do celów i zadań Uniwersytetu Medycznego, określonych w planie działalności. 15 Identyfikacji ryzyka dokonuje się na poziomie strategicznym i operacyjnym.

16 Identyfikacji ryzyka na poziomie projektu dokonuje się na etapie wnioskowania. 17 Ustala się następujące kategorie/czynniki ryzyka dla Uniwersytetu Medycznego, według których należy dokonać identyfikacji ryzyka: 1) czynniki zewnętrzne (zmiany przepisów prawa, klienci, dostawcy, infrastruktura, presja społeczna, zmiany demograficzne, zapotrzebowanie społeczne na określone kierunki kształcenia), 2) czynniki finansowe (dysponowanie środkami pochodzącymi z budżetu UE, wielkość dotacji, budżet zadaniowy, wzrost kosztów działalności zmiana parametrów ustalania wielkości dotacji), 3) czynniki operacyjne (wielkość jednostki, skomplikowanie realizowanych zadań, etyka pracowników, przepływ informacji, rotacja kadry, profesjonalizm pracowników, informatyzacja, ochrona i zabezpieczenie danych), 4) czynniki związane z zarządzaniem (zmiany organizacyjne, kompetencje kadry zarządzającej, szkolenia i rozwój zawodowy, system motywacyjny, delegowanie uprawnień, nadzór i kontrola ). 18 Właścicielami zidentyfikowanego ryzyka w poszczególnych kategoriach na poziomie operacyjnym są Dziekani Wydziałów, Kierownicy Jednostek Międzywydziałowych i Ogólnouczelnianych, Dyrektor Biblioteki, Kierownicy komórek administracyjnych. 19 Właścicielem zidentyfikowanego ryzyka w poszczególnych kategoriach na poziomie strategicznym jest Rektor Uniwersytetu. 20 Zidentyfikowane ryzyka należy poddać analizie, mającej na celu określenie prawdopodobieństwa wystąpienia danego ryzyka i określenia jego skutków. 21 Dla określenia prawdopodobieństwa wystąpienia ryzyka przyjmuje się następującą skalę: 1) 1 ryzyko minimalne lub nie występuje (0-20%), 2) 2 ryzyko mało prawdopodobne (21-40%),

3) 3 średnie ryzyko wystąpienia (41-60%), 4) 4 ryzyko prawdopodobne (61-80%), 5) 5 wystąpienie ryzyka pewne (81-100%). 22 Dla określenia skutków ryzyka przyjmuje się następującą skalę: 1) 1 nieznaczne krótkotrwałe zakłócenia w działalności, 2) 2 małe niewielkie zakłócenia w działalności, 3) 3 średnie zakłócenia w działalności, 4) 4 poważne brak realizacji kluczowego celu, 5) 5 katastrofalne brak realizacji kluczowych celów. 23 1. Poziom akceptowalnego ryzyka dla zidentyfikowanego i poddanego analizie ryzyka w Uniwersytecie Medycznym określa Rektor. 2. Po przekroczeniu wartości poziomu akceptowalnego ryzyka Dziekani Wydziałów, Kierownicy Jednostek Międzywydziałowych i Ogólnouczelnianych, Dyrektor Biblioteki, Kierownicy komórek administracyjnych zobowiązani są do natychmiastowego zgłoszenia tego faktu Rektorowi, właściwemu merytorycznie Prorektorowi, Kanclerzowi lub Kwestorowi Uniwersytetu oraz wskazania konkretnych działań zaradczych, ograniczających wystąpienie ryzyka i jego skutki. Celem podjęcia działań zaradczych lub akceptacji poziomu ryzyka. 3. Decyzję o akceptacji każdego poziomu ryzyka i nie podejmowaniu działań zaradczych może podjąć Rektor. Rozdział VII Raportowanie 24 1. Po dokonaniu identyfikacji i analizy ryzyka Dziekani Wydziałów, Kierownicy Jednostek Międzywydziałowych i Ogólnouczelnianych, Dyrektor Biblioteki, Kierownicy komórek administracyjnych zobowiązani są do sporządzenia zestawienia ryzyka (według wzoru określonego w załączniku Nr 2) i przekazania tego dokumentu do zatwierdzenia Rektorowi Uniwersytetu w terminie do końca pierwszego kwartału roku, którego dotyczy.

2. Po zatwierdzeniu dokumentu, o którym mowa w ust. 1 jeden egzemplarz przekazywany jest Głównemu Specjaliście ds. Kontroli Zarządczej, a drugi Audytorowi Wewnętrznemu. 3. W przypadku zwiększenia się prawdopodobieństwa zaistnienia ryzyka w projekcie do poziomu zagrażającego realizacji projektu, kierownik projektu niezwłocznie zgłasza ten fakt w formie pisemnej, do bezpośredniego przełożonego wraz z propozycją działań zaradczych. Rozdział VIII Monitorowanie ryzyka 25 1. Proces monitorowania ryzyka ma charakter ciągły i winien być wykonywany na każdym szczeblu zarządzania w ramach sprawowania kontroli zarządczej. 2. Pracownicy Uniwersytetu Medycznego mają prawo i obowiązek zgłaszania przełożonym istniejące ryzyka na ich stanowisku pracy a kadra kierownicza wspiera działania pracowników zmierzające do zminimalizowania potencjalnego ryzyka. 3. W trakcie trwania projektu, kierownik projektu monitoruje zidentyfikowane czynniki ryzyka oraz mechanizmy kontrolne pod kątem ich efektywności dokonując na bieżąco oceny prawdopodobieństwa wystąpienia ryzyka i jego skutków. 4. Oceny sposobu zarządzania ryzykiem dokonuje audytor wewnętrzny podczas realizacji zadań audytowych. 5. Na pracownikach Uniwersytetu Medycznego ciąży obowiązek przestrzegania procedur zawartych w Polityce Zarządzania Ryzykiem. Rozdział IX Postanowienia końcowe 26 1. W sytuacji zmiany przepisów prawnych, zmian organizacyjnych, nałożenia dodatkowych zadań oraz zaistnieniu innych ważnych okoliczności w trakcie roku, Dziekani Wydziałów, Kierownicy Jednostek Międzywydziałowych i Ogólnouczelnianych, Dyrektor Biblioteki, Kierownicy komórek administracyjnych zobowiązani są do natychmiastowego podjęcia działań w celu identyfikacji i analizy ryzyka oraz złożenia raportu Rektorowi Uniwersytetu. 2. Polityka Zarządzania Ryzykiem jest weryfikowania i aktualizowana przez Rektora raz do roku w terminie do 15 czerwca danego roku. 3. Zmiany w polityce i procedurze zarządzania ryzykiem zatwierdzane są przez Rektora.

Załącznik nr 1 do Polityki zarządzenia ryzykiem w UMP Wzór raportu z identyfikacji i analizy ryzyka w UMP Lp. Zidentyfikowane ryzyko według kategorii I. Czynniki zewnętrzne 1. 2. 3. 4. 5. II. Czynniki finansowe 1. 2. 3. 4. 5. III. Czynniki operacyjne (P) Skutek (S) Prawdopodobieństwo Akceptowalny poziom w stosunku do prawdopodobieństwa Wynik (PxS) Właściciel ryzyka Mechanizmy ograniczające ryzyko 1. 2. 3. 4. 5. IV. Czynniki związane z zarządzaniem

Załącznik nr 2do Polityki zarządzenia ryzykiem w UMP Rejestr czynników ryzyka i ryzyka do projektu Nazwa projektu: Nazwa jednostki organizacyjnej: Lp. Obszar działania 1. Czynnik ryzyka Ryzyko Prawdopodobieństwo Skutek Uwagi 2. 3. 4. 5. Data i podpis kierownika projektu Data i podpis przełożonego

Załącznik nr 3 do Polityki zarządzenia ryzykiem w UMP Rejestr odstępstw od zasad i procedur Nazwa komórki organizacyjnej: Lp. Rodzaj odstępstwa, naruszona zasada, procedura Data ujawnienia Stanowisko, osoba zgłaszająca Komórka, której ujawniono odstępstwo w Skutki Przyczyny odstępstwa

załącznik nr 2 do zarządzenia nr 90/11 z dnia 22 grudnia 2011 roku PROCEDURY SYSTEMU KONTROLI ZARZĄDCZEJ W UNIWERSYTECIE MEDYCZNYM IM. KAROLA MARCINKOWSKIEGO W POZNANIU Poznań 2011

Rozdział I PRZEPISY OGÓLNE 1 1. Kontrola zarządcza w Uniwersytecie Medycznym im. Karola Marcinkowskiego w Poznaniu, zwanym dalej Uczelnią, stanowi ogół działań podejmowanych przez Rektora, Prorektorów, Kanclerza i jego zastępców, Dziekanów Wydziałów, Kierowników Jednostek Międzywydziałowych i Ogólnouczelnianych, Kierowników jednostek organizacyjnych, a także pozostałych pracowników dla zapewnienia realizacji celów i zadań w sposób zgodny z prawem, efektywny, oszczędny i terminowy. 2. Cele i zadania realizowane są w sposób zgodny z obowiązującymi przepisami prawa, Uchwałami Senatu, Zarządzeniami i decyzjami Rektora i Kanclerza. 3. Kontrola zarządcza stwarza podstawy efektywnego zarządzania, dostarcza niezbędne informacje do podejmowania decyzji, sygnalizuje naruszenie prawa, zaniedbania i nieprawidłowości a także ewentualne nadużycia i inne uchybienia. 2 1. Celem kontroli zarządczej jest zapewnienie w Uczelni: 1) zgodności działań z przepisami prawa oraz procedurami wewnętrznymi; 2) skuteczności i efektywności działania w realizacji zadań poprzez oszczędne i efektywne wykorzystanie zasobów osobowych, majątkowych i rzeczowych; 3) wiarygodności sprawozdań, 4) ochrony zasobów poprzez zabezpieczenie majątku przed zniszczeniem, utratą i defraudacją oraz danych osobowych i informacji niejawnych, 5) przestrzegania i promowania zasad etycznego postępowania, 6) efektywności i skuteczności przepływu informacji niezbędnych do wykonywania obowiązków służbowych oraz skutecznej komunikacji wewnętrznej i zewnętrznej, 7) zarządzania ryzykiem dla zwiększenia prawdopodobieństwa osiągnięcia celów i realizacji zadań poprzez zapobieganie niekorzystnym zjawiskom w działalności Uczelni, wskazanie sposobu i środków zapobiegających powstaniu nieprawidłowości oraz ich likwidacji.

3 1. Odpowiedzialnym za zapewnienie funkcjonowania adekwatnej, skutecznej i efektywnej kontroli zarządczej jest Rektor. 2. Odpowiedzialność za funkcjonowanie właściwego systemu kontroli zarządczej w zakresie posiadanych kompetencji oraz realizowanych zadań ponoszą także Prorektorzy, Kanclerz i jego zastępcy Dziekani Wydziałów, Kierownicy Jednostek Międzywydziałowych i Ogólnouczelnianych, Kierownicy jednostek organizacyjnych i Kierownicy Projektów. 3. Ocenę systemu kontroli zarządczej dokonuje Audytor Wewnętrzny podczas realizacji zadań audytowych. 4 Kontrola zarządcza wykonywana jest z uwzględnieniem przestrzegania podstawowych zasad prowadzenia gospodarki finansowej, na podstawie następujących kryteriów: 1) zgodność z prawem w ramach którego pracownicy Uczelni zobowiązani są do zapewnienia zgodności wszelkich działań z obowiązującymi w danym czasie przepisami prawa, 2) rzetelności w ramach którego realizowane są obowiązki przez pracowników Uczelni z należytą starannością, sumiennie i terminowo z dokumentowaniem określonych działań zgodnie ze stanem rzeczywistym, 3) celowości w ramach którego pracownicy badają, czy działalność Uczelni jest zgodna z celami i zadaniami określonymi w statucie i przyjętymi planami działalności, 4) gospodarności - w ramach którego pracownicy optymalizują metody i sposoby oszczędnego i efektywnego wydatkowania oraz gospodarowania majątkiem Uczelni, a ponadto realizują działania zapobiegające wystąpieniu szkód i ich ograniczeniu, 5) przejrzystości w ramach którego klasyfikuje się dochody i wydatki publiczne, sporządza sprawozdania finansowe, stosuje zasady rachunkowości, zgodnie z obowiązującymi przepisami prawa, a ponadto sprawdza się czy opis dokumentów księgowych umożliwia identyfikację zrealizowanego zadania, 6) jawności w ramach którego Uczelnia posiada Biuletyn Informacji Publicznej i udostępnia materiały zgodnie z ustawą z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz. U. Nr 112, poz. 1198 ze zm). 5 Kontrola zarządcza w Uczelni prowadzona jest poprzez: 1) samokontrolę kontrolę prawidłowości wykonywania własnej pracy przez wszystkich pracowników, zgodnie z zakresami obowiązków,

2) kontrolę funkcjonalną kontrolę sprawowaną w ramach obowiązku nadzoru przez pracowników na stanowiskach kierowniczych, 3) kontrolę wstępną kontrolę przeprowadzaną przed podjęciem operacji gospodarczych, 4) kontrolę następczą kontrolę przeprowadzaną po zaistnieniu zdarzenia rzeczywistego, mającą na celu wykrycie nieprawidłowości. 6 W Uczelni wdraża się standardy kontroli zarządczej w następujących obszarach: 1) środowisko wewnętrzne, 2) cele i zarządzanie ryzykiem, 3) mechanizmy kontroli, 4) informacja i komunikacja, 5) monitorowanie i ocena. ROZDZIAŁ II STANDARD A ŚRODOWISKO WEWNĘTRZNE 7 1. Odpowiednie warunki wewnętrzne w Uczelni wyrażać się mają w: 1) przestrzeganiu ustalonych wartości etycznych, 2) posiadaniu odpowiednich kompetencji zawodowych przez pracowników, 3) istnieniu odpowiedniej struktury organizacyjnej, 4) właściwym delegowaniu obowiązków. 8 Przestrzeganie wartości etycznych Osoby zarządzające i pracownicy powinni być świadomi wartości etycznych przyjętych w Uczelni i przestrzegać ich przy wykonywaniu powierzonych zadań. Kierownictwo Uczelni powinno swoim postępowaniem podejmowanymi decyzjami wspierać i promować przestrzeganie wartości etycznych. 9 Kompetencje zawodowe i struktura organizacyjna 1. Organizacja i zadania Uczelni zostały uregulowane w Statucie, Uchwałach Senatu, Zarządzeniach i Decyzjach Rektora i Kanclerza Uczelni.

2. Rejestr aktów wewnętrznych, o których mowa w ust 1 prowadzi Dział Organizacyjny UMP. 3. Zapewnieniu właściwego środowiska wewnętrznego w Uczelni służą w szczególności procedury wewnętrzne, wprowadzone w drodze Uchwał Senatu, Zarządzeń Rektora i Kanclerza, dotyczące: 1) organizacji i funkcjonowania Uczelni, 2) zasad naboru na wolne stanowiska nauczycieli akademickich, 3) podnoszenia kwalifikacji zawodowych, 4) prowadzenia oceny pracowników 4. Aktualny zakres obowiązków, uprawnień i odpowiedzialności powinien być określony dla każdego pracownika w sposób adekwatny do wagi podejmowanych decyzji. 5. Proces zatrudniania powinien być prowadzony w sposób zapewniający wybór najlepszego kandydata na dane stanowisko pracy. Należy zapewnić także rozwój kompetencji zawodowych pracowników Uczelni. 10 Delegowanie obowiązków 1. W Uczelni zakres zadań, uprawnień i odpowiedzialności powierza się w formie pisemnej. 2. Uprawnienia deleguje się w zakresie adekwatnym do wagi podejmowanych decyzji, stopnia ich skomplikowania i ryzyka z nimi związanego. 3. Przyjęcie delegowanych uprawnień potwierdza się podpisem. 4. Rejestr wydanych upoważnień i udzielonych pełnomocnictw prowadzi Dział Organizacyjny UMP. 5. W Uczelni prowadzony jest rejestr pełnomocnictw i upoważnień, którego wzór stanowi załącznik nr 1 do Procedur Systemu Kontroli Zarządczej. ROZDZIAŁ III STANDARD B CELE I ZARZĄDZANIE RYZYKIEM 11 1. Szczegółowy podział zadań pomiędzy jednostki organizacyjne Uczelni zapisany jest w Statucie i Regulaminie Organizacyjnym UMP 2. Weryfikacja realizacji zadań następuje przez Senat.

3. Dla zapewnienia realizacji zadań w sposób zgodny z prawem, efektywny, oszczędny i terminowy, a także zgodny z celami Uczelni wyznacza się: 1) działania priorytetowe wyznaczone na dany rok, 2) cele ogólne, 3) cele operacyjne określone dla realizacji poszczególnych zadań, 4) cele jakościowe. 4. Zarządzanie ryzykiem służyć ma zwiększeniu prawdopodobieństwa osiągnięcia celów Uczelni. 5. W ramach zarządzania ryzykiem należy: 1) określić misję Uczelni, 2) określić cele i zadania Uczelni, 3) monitorować i oceniać realizację zadań, 4) dokonywać identyfikacji ryzyka (przynajmniej raz w roku), 5) analizować ryzyko, 6) określać reakcję na ryzyko i działania zaradcze. 6. Zarządzanie ryzykiem polega na właściwym zarządzaniu zasobami, ochronie, pracowników, dbaniu o majątek oraz utrzymaniu reputacji Uczelni. 7. Nie rzadziej niż raz w roku, należy dokonywać identyfikacji ryzyka związanego z realizacją przyjętych celów, dotyczących zarówno działalności całej Uczelni jak i realizowanych przez komórki organizacyjne określonych zadań. 8. Zidentyfikowane ryzyko należy poddawać analizie mającej na celu określenie możliwych skutków i prawdopodobieństwa wystąpienia danego ryzyka. Rektor powinien określić akceptowany poziom ryzyka. 9. W wyniku identyfikacji ryzyka określa się rodzaj reakcji w stosunku do każdego istotnego ryzyka. Podjęta reakcja może polegać na tolerowaniu, przeniesieniu, wycofaniu się lub podjęcia określonych działań. ROZDZIAŁ IV STANDARD C MECHANIZMY KONTROLI 12 Dokumentowanie systemu kontroli zarządczej 1. Jednym z elementów kontroli zarządczej jest system wprowadzonych mechanizmów kontroli, na który składają się procedury wewnętrzne, instrukcje, zarządzenia, dokumenty

określające zakresy obowiązków, uprawnień i odpowiedzialności pracowników oraz inne dokumenty wewnętrzne stanowiące dokumentację systemu kontroli zarządczej. Wprowadzane dokumenty powinny być przejrzyste, spójne i dostępne dla wszystkich pracowników dla których są niezbędne w pracy. 2. Dla pełnej dokumentacji w Uczelni tworzy się wykaz aktów prawnych dotyczących kontroli zarządczej. Prowadzony jest on przez głównego specjalistę ds. kontroli zarządczej. Wzór wykazu stanowi on załącznik nr 2. 3. W Uczelni funkcjonuje także rejestr uchwał Senatu oraz zarządzeń Rektora i Kanclerza prowadzony przez Dział Organizacji a dostępny w formie BIP na stronach internetowych. 13 Nadzór 1. Każde postępowanie kontrolne jest czynnością powtarzalną odbywającą się według określonych kryteriów w zależności od rodzaju kontroli. 2. Podczas realizacji czynności kontrolnych należy zwrócić uwagę na przestrzeganie zasad legalności, gospodarności, celowości, rzetelności i zgodności z planem i harmonogramem realizowanych zadań. 3. Nadzór kierowniczy obejmuje w szczególności jasne komunikowanie obowiązków, zadań i odpowiedzialności każdemu pracownikowi oraz prowadzenie systematycznej oceny ich pracy. 14 Ciągłość działalności 1. Utrzymanie w każdym czasie i okolicznościach ciągłości działalności, w szczególności operacji finansowych i gospodarczych uzyskuje się dzięki delegowaniu uprawnień do podejmowania decyzji, zwłaszcza dotyczących bieżącej działalności jednostki. 2. Pracownicy udający się na urlop wskazują na wniosku urlopowym osobę, która będzie ich zastępowała podczas nieobecności. 3. Pracownicy pozostający na zwolnieniach lekarskich lub z powodu innych długotrwałych nieobecności zastępowani są przez osoby wyznaczone przez właściwego kierownika jednostki.

15 Ochrona zasobów 1. W celu ochrony zasobów Uczelni następuje określenie dostępu do zasobów jednostki wyłącznie dla upoważnionych osób a powierzenie mienia pracownikowi potwierdzane jest własnoręcznym podpisem. 2. Pracownicy są zobowiązani do dochowania tajemnicy ustawowo chronionej, w szczególności w zakresie dostępu do informacji publicznej i ochrony danych osobowych. 3. W Uczelni prowadzone są okresowe porównania stanu zasobów z zapasami w rejestrach środków trwałych i wartości niematerialnych i prawnych, zgodnie z obowiązującymi zasadami przeprowadzania inwentaryzacji. 4. Uczelnia dysponuje Archiwum, w którym zgodnie z instrukcją archiwalną i jednolitym rzeczowym wykazem akt, przechowywane są dokumenty wytworzone i otrzymane. 5. Budynki Uczelni są odpowiednio zabezpieczone, a także chronione przez ochronę fizyczną. 16 Mechanizmy kontroli dotyczące operacji finansowych i gospodarczych 1. Przedmiotem kontroli zarządczej są w szczególności: 1) procesy związane z pobieraniem i gromadzeniem środków publicznych, 2) zaciąganiem zobowiązań finansowych i dokonywaniem wydatków ze środków publicznych oraz zwrotem środków publicznych, 3) działania polegające na przygotowaniu i realizacji operacji gospodarczych dotyczących pobierania i wydatkowania środków, ich ewidencji i sprawozdawczości. 2. Wprowadzenie określonych mechanizmów kontrolnych dotyczących operacji finansowych i gospodarczych ma za zadanie: 1) rzetelne i pełne dokumentowanie i rejestrowanie operacji finansowych i gospodarczych, 2) zatwierdzanie operacji finansowych przez Rektora lub osoby przez niego upoważnione, 3) podział kluczowych obowiązków, 4) weryfikacja operacji finansowych i gospodarczych przed i po realizacji.

17 Mechanizmy kontroli dotyczące systemów informatycznych W Uczelni wprowadza się mechanizmy kontroli dotyczące systemów informatycznych (kontrola dostępu do zasobów informatycznych, sprzętu, systemu, aplikacji, danych) mające na celu ochronę przed nieautoryzowanym dostępem i zmianami. ROZDZIAŁ V STANDARD D INFORMACJA I KOMUNIKACJA 18 Bieżąca informacja 1. W Uczelni zapewnia się kierownictwu wyższego szczebla i pozostałym pracownikom dostęp do informacji niezbędnych do prawidłowego wykonywania przez nich obowiązków poprzez: internet, system informacji prawnej LEX, elektroniczną pocztę pracowniczą. 19 Komunikacja wewnętrzna 1. W Uczelni funkcjonuje elektroniczny i papierowy obieg informacji i dokumentów. 2. System komunikacji powinien umożliwiać przepływ niezbędnych informacji wewnątrz Uczelni, zarówno w kierunku pionowym jak i poziomym. 3. Przekaz informacji następuje poprzez BIP, pocztę elektroniczną i drogą papierową. 4. Za upowszechnianie procedur wewnętrznych odpowiada Dział Organizacji. 20 Komunikacja zewnętrzna 1. Informacje dotyczące obowiązujących procedur przy załatwianiu spraw zamieszczono na stronach internetowych Uczelni. 2. Uczelnia wydaje materiały promocyjne i informacyjne, organizuje drzwi otwarte, konferencje, szkolenia. 3. We wszystkich siedzibach uczelni znajdują się tablice informacyjne.

ROZDZIAŁ VI STANDARD E MONITOROWANIE I OCENA 21 1. Rektor a także pracownicy pełniący funkcje kierownicze odpowiedzialni są za dokonywanie oceny funkcjonowania systemu kontroli zarządczej, w zakresie realizowanych zadań i posiadanych kompetencji. 2. W Uczelni prowadzona jest samoocena systemu kontroli zarządczej oraz kontrola we wszystkich fazach działalności w formie kontroli wstępnej, bieżącej i następczej. 3. Dokumentowanie poprawności realizacji zadań wykonywanych przez poszczególne jednostki organizacyjne Uczelni prowadzi Dział Kontroli Wewnętrznej. 4. Oceny funkcjonowania systemu kontroli wewnętrznej dokonuje Audytor Wewnętrzny. 5. Źródłem zapewnienia o stanie kontroli zarządczej w Uczelni są następujące informacje: 1) wyniki kontroli i audytów zewnętrznych, 2) wyniki kontroli i audytów wewnętrznych, 3) wyniki kontroli instytucjonalnej Uczelni, 4) monitorowanie i samoocena 5) informacje pochodzące z zewnątrz Uczelni, 6) informacje pochodzące z organów nadrzędnych i Ministerstwa. 6. Rektor corocznie potwierdza uzyskanie zapewnienia o stanie kontroli zarządczej w formie oświadczenia o stanie kontroli zarządczej za poprzedni rok. 7. Wzór Kwestionariusza do Samooceny w Uczelni stanowi załącznik nr 3. 22 Wykonanie powyższych zapisów powierza się do realizacji Głównego Specjalisty ds. Kontroli Zarządczej.

Załącznik Nr 1 Rejestr pełnomocnictw i upoważnień Lp. Zakres pełnomocnictwa/upoważnienia wydanego przez Rektora UMP Data Podpis osoby przyjmującej pełnomocnictwo/ upoważnienie

Załącznik Nr 2 WYKAZ AKTÓW PRAWNYCH DOTYCZĄCYCH KONTROLI ZARZĄDCZEJ Lp. STANDARDY KONTROLI Lp. RODZAJ DOKUMENTU ZARZĄDCZEJ I. ŚRODOWISKO WEWNĘTRZNE 1. Przestrzeganie wartości etycznych 2. Kompetencje zawodowe 3. Struktura organizacyjna 4. Delegowanie uprawnień II. CELE I ZARZĄDZANIE RYZYKIEM 1. Misja 2. Określanie celów i zadań, określenie i ocena ich realizacji 3. Identyfikacja ryzyka 4. Analiza ryzyka 5. Reakcja na ryzyko III. MECHANIZMY KONTROLI 1. Dokumentowanie systemu kontroli zarządczej 2. Nadzór 3. Ciągłość działalności 4. Ochrona zasobów 5. Mechanizmy kontroli dotyczące operacji finansowych i gospodarczych

IV. 6. Mechanizmy kontroli dotyczące systemów informatycznych INFORMACJA I KOMUNIKACJA 1. Bieżąca informacja V. 2. Komunikacja wewnętrzna 3. Komunikacja zewnętrzna MONITOROWANIE I OCENA 1. Monitorowanie systemu kontroli zarządczej 1. 2. 2. 3. Samoocena Audyt wewnętrzny 1. 2. 4. Uzyskane zapewnienie o stanie kontroli zarządczej

KWESTIONARIUSZ SAMOOCENY Załącznik Nr 3 Lp. Standardy kontroli zarządczej TAK NIE NIE W PEŁNI UWAGI/DODAT KOWE INFORMACJE ODNIESIENIE DO DOKUMENTÓW, PROCEDUR, REGULACJI wewn. 1. 2. 3. 4. 5. 6. 7. I. ŚRODOWISKO WEWNĘTRZNE standardy: Przestrzeganie wartości etycznych Kompetencje zawodowe Struktura organizacyjna Delegowanie uprawnień 1. Czy i jakie wartości etyczne stosowane / przestrzegane / przyjęte są w jednostce 2. Czy osoby zarządzające jednostką posiadają odpowiednią wiedzę i doświadczenie pozwalające efektywnie realizować zadania? 3. Czy pracownicy jednostki są odpowiednio przygotowani do realizacji powierzonych zadań? o ocenie kierownictw, bezpośrednich przełożonych? 4. Czy pracownicy jednostki uczestniczą w szkoleniach podwyższających kompetencje i umiejętności? 5. Czy w jednostce istnieje plan szkoleń? 6. Czy w procesie kierowania na szkolenia uwzględniane są preferencje pracowników związane z realizowanymi na danym stanowisku zadaniami?

7. Czy kadra zarządzająca uczestniczy w szkoleniach podnoszących kwalifikacje? 8. Czy w jednostce istnieje sformalizowany proces naboru pracowników? 9. Czy proces naboru pracowników stosowany w jednostce pozwala na wybór najlepszego kandydata? 10. Czy struktura jednostki jest dostosowana do jej celów i zadań? 11. Czy jednostka posiada wewnętrzny regulamin organizacyjny określający zakres uprawnień i odpowiedzialności poszczególnych komórek organizacyjnych? 12. Czy pracownicy jednostki posiadają, określony w formie pisemnej, zakres zadań i obowiązków? 13. Czy zakres obowiązków pracowników jednostki jest aktualny? 14. Czy zakres obowiązków pracowników jest określony w formie pisemnej? 15. Czy zostały w sposób precyzyjny określone uprawnienia, które są delegowane osobom zarządzającym na różnych szczeblach? 16. Czy delegowanie uprawnień w jednostce jest potwierdzane podpisem osób przyjmujących delegowane uprawnienia? II. CELE I ZARZĄDZANIE RYZYKIEM Standardy: Misja Określanie celów i zadań, monitorowanie i

ocena ich realizacji Identyfikacja ryzyka Analiza ryzyka Reakcja na ryzyko 1. Czy jednostka ma określoną / opisaną misję / cel istnienia jednostki? 2. Czy cele i zadania jednostki zostały określone? 3. Czy cele i zadania zostały określone w rocznej perspektywie? 4. Czy cele i zadania są znane pracownikom jednostki? 5. Czy dla poszczególnych celów i zadań zostały określone komórki organizacyjne / osoby odpowiedzialne za ich realizację? 6. Czy w jednostce dokonywana jest identyfikacja ryzyk? 7. Jak często dokonywana jest identyfikacja ryzyk w jednostce? 8. Czy zidentyfikowane ryzyka są poddawane analizie? 9. Czy proces związany z identyfikacją i analiza ryzyka jest dokumentowany? 10. Czy w przypadku istotnych zidentyfikowanych ryzyk jednostka podejmuje działania celem zmniejszenia danego ryzyka? 11. Czy w jednostce podejmowane były działania związane z wdrożeniem procesu zarządzania ryzykiem? 12. Czy zarządzanie ryzykiem było przedmiotem szkoleń / warsztatów / kursów w których uczestniczyła kadra zarządzająca / pracownicy

jednostki? 13. Czy w Państwa ocenie istnieje potrzeba szkolenia z zakresu zarządzania ryzykiem? III. MECHANIZMY KONTROLI Standardy: Dokumentowanie systemu kontroli zarządczej Nadzór Ciągłość działalności Ochrona zasobów Szczegółowe mechanizmy kontroli dotyczące operacji finansowych i gospodarczych Mechanizmy kontroli dotyczące systemów informatycznych 1. Czy jednostka posiada wewnętrzne procedury, instrukcje, wytyczne, inne dokumenty regulujące działalności jednostki i realizację zadań? 2. Czy wdrożone w jednostce procedury, instrukcje, itp. zostały zakomunikowane pracownikom jednostki w sposób umożliwiający im zapoznanie się? 3. Czy ww. procedury, itp. są dostępne dla wszystkich pracowników jednostki? 4. Czy kadra kierownicza różnego szczebla zapewnia odpowiedni nadzór nad realizacja zadań przez pracowników? 5. Czy w jednostce wprowadzony został system zastępstw zapewniający

ciągłość realizacji zadań? 6. Czy jednostka posiada plany awaryjne na wypadek wystąpienia sytuacji nadzwyczajnych? 7. Czy system zastępstw określony został w sposób formalny i ma odzwierciedlenie w opisach stanowisk, zakresach czynności, innych dokumentach? 8. Czy zasoby jednostki są chronione przed dostępem osób nieuprawnionych? 9. Czy dokumentacja jednostki jest w odpowiedni sposób zabezpieczona? 10. Czy w jednostce są rejestrowane i dokumentowane operacje finansowe i gospodarcze? 11. Czy istnieją mechanizmy zapewniające, iż operacje finansowe są zatwierdzane przez kierownika jednostki lub osobę upoważnioną? 12. Czy w jednostce zapewniony jest podział kluczowych obowiązków pomiędzy różne osoby? 13. Czy zapewniona jest w jednostce weryfikacja operacji finansowych przed i po ich realizacji? 14. Czy istnieją w jednostce procedury służące zapewnieniu bezpieczeństwa danych i systemów informatycznych?

IV. INFORMACJA I KOMUNIKACJA Standardy: Bieżąca informacja Komunikacja wewnętrzna Komunikacja zewnętrzna 1. Czy istniejący w jednostce system przekazywania informacji zapewnia osobom zarządzającym i pracownikom otrzymywanie informacji w odpowiedniej formie i czasie? 2. Czy w Państwa ocenie system komunikacji istniejący w jednostce jest efektywny? 3. Czy w jednostce istnieją mechanizmy które zapewniają przekazywanie ważnych informacji wewnątrz jednostki? 4. Czy w Państwa ocenie system wymiany informacji z podmiotami zewnętrznymi jest efektywny? 5. Czy w Państwa ocenie system komunikacji z jednostką nadrzędną jest efektywny i sprawny? 6. Czy wymiana informacji z podmiotami zewnętrznymi ma wpływ na osiąganie celów i realizację zadań w jednostce? 7. Czy pracownicy mają możliwość swobodnego zgłaszania sugestii w zakresie usprawnienia kontroli zarządczej? 8. Czy w ramach jednostki / komórki organizacyjne organizowane są spotkania kadry kierowniczej z pracownikami, podczas których omawiane są istotne problemy, ryzyka, słabości

kontroli zarządczej? V. MONITOROWANIE I OCENA Standardy: Monitorowanie systemu kontroli zarządczej Samoocena Audyt wewnętrzny Uzyskanie zapewnienia o stanie kontroli zarządczej 1. Czy w jednostce dokonywana była analiza systemu kontroli zarządczej w formie samooceny? 2. Czy proces samooceny (w przypadku, gdy był przeprowadzany) był dokumentowany? 3. Czy prowadzony był / jest w jednostce proces bieżącego monitorowania realizacji zadań? 4. Czy wyniki audytu wewnętrznego są wykorzystywane przez kadrę zarządzającą jednostki w procesie usprawniania? 5. Czy zalecenia audytu wewnętrznego są przez kierownictwo jednostki wdrażane? 6. Czy w jednostce analizowane są wyniki kontroli zewnętrznych? 7. Czy w jednostce znane są Standardy kontroli zarządczej? 8. Czy w jednostce podejmowane były / są działania mające na celu wdrożenie standardów kontroli zarządczej?