Załącznik nr 1 do zarządzenia Nr 0161/14/2010 Dyrektora MZGLiA w Knurowie PROCEDURA Zarządzania ryzykiem w Miejskim Zespole Gospodarki Lokalowej i Administracji w Knurowie Rozdział I Postanowienia ogólne 1 1. Ustala się zasady zarządzania ryzykiem w Miejskim Zespole Gospodarki Lokalowej i Administracji, zwanym dalej MZGLiA, mające przyczynić się do poprawy wszystkich obszarów zarządzania w MZGLiA oraz ograniczenia ewentualnych negatywnych skutków zdarzeń do akceptowalnego poziomu, w szczególności w zakresie efektywnego zarządzania zasobami, zapewnienia ochrony majątku i efektywności finansowej oraz ochrony wizerunku MZGLiA. 2 2. Zasady zarządzania ryzykiem w MZGLiA określają: 1) zakres odpowiedzialności osób zaangażowanych w proces zarządzania ryzykiem; 2) sposób postępowania przy identyfikowaniu i analizie ryzyka; 3) sposób postępowania ze zidentyfikowanym ryzykiem; 4) zakres przeglądu ryzyka i sprawozdawczość; 5) sposób oceny procesu zarządzania ryzykiem. 3 3. Ilekroć w zarządzeniu jest mowa o: 1) ryzyku należy przez to rozumieć możliwość zaistnienia zdarzenia, które będzie miało wpływ na realizację założonych celów; 2) czynnikach ryzyka należy przez to rozumieć cechy charakterystyczne dla danego procesu, które wskazują na możliwość wystąpienia zdarzenia, mogącego niekorzystnie wpłynąć na osiągnięcie określonego celu; 3) ryzyku nieodłącznym należy przez to rozumieć ryzyko występujące bez jakichkolwiek mechanizmów kontrolnych, które wpływają na to ryzyko; 4) ryzyku rezydualnym należy przez to rozumieć ryzyko występujące po wprowadzeniu mechanizmów kontrolnych; 5) mechanizmach kontrolnych należy przez to rozumieć metody, procedury, 1
instrukcje, standardy itp. których celem jest powstrzymanie lub minimalizacja negatywnych skutków ryzyka. Koszt mechanizmu kontrolnego jest odpowiedni do zidentyfikowanego ryzyka i/lub potencjalnego ryzyka; 6) właścicielu ryzyka należy przez to rozumieć osobę odpowiedzialną za dane ryzyko w MZGLiA, która jest rozliczana ze skuteczności zarządzania tym ryzykiem; 7) prawdopodobieństwie wystąpienia ryzyka należy przez to rozumieć szacowane prawdopodobieństwo lub możliwość wystąpienia zdarzenia lub działania, które wpłynie na zdolność MZGLiA do realizacji celów jego działalności; 8) wpływie ryzyka należy przez to rozumieć oddziaływanie zdarzenia lub działania, na zdolność do realizacji celów; 9) punktowej ocenie ryzyka należy przez to rozumieć wynik z połączenia skutków wystąpienia ryzyka i prawdopodobieństwa jego wystąpienia; 10)procesie zarządzania ryzykiem należy przez to rozumieć wykonywanie czynności w oparciu o przyjętą metodę, dzięki której pracownicy MZGLiA określają, analizują i kontrolują ryzyko działalności; 11)poziomie ryzyka należy przez to rozumieć poziom ryzyka odzwierciedlający wagę ryzyka, jego nasilenie i prawdopodobieństwo wystąpienia; 12)akceptowalnym poziomie ryzyka należy przez to rozumieć poziom ryzyka możliwy do zaakceptowania; 13)działowym rejestrze ryzyka należy przez to rozumieć dokument zawierający wszystkie informacje o ryzyku, stanowiące podstawę zarządzania ryzykiem w wydziale; 14)zespołowym rejestrze ryzyka należy przez to rozumieć dokument zawierający wszystkie informacje o ryzykach działowych, stanowiące podstawę zarządzania ryzykiem w MZGLiA. Rozdział II Odpowiedzialność za zarządzanie ryzykiem 1. Odpowiedzialnymi za prawidłowy przebieg procesu zarządzania ryzykiem jest: 4 1) Dyrektor za weryfikację istotnych zagadnień dotyczących zarządzania ryzykiem na poziomie strategicznym i organizacyjnym, na które MZGLiA jest narażony, w szczególności za: a) ocenę sposobu identyfikacji i zarządzanie ryzykiem przez kierowników działów, b) wybór działań kontrolujących ryzyko (tolerowanie, przeniesienie, wycofanie się, działanie). 2) Kierownicy Działów, Pracownicy na stanowiskach samodzielnych, za zapewnienie zgodności działań z zakresem zarządzenia w sprawie zasad zarządzania ryzykiem, w szczególności za: a) określenie listy zadań/celów do realizacji w zarządzanym dziale; na samodzielnym stanowisku pracy oraz za uszeregowanie celów według ich ważności, b) identyfikację ryzyka w dziale; na samodzielnym stanowisku, c) analizę ryzyka zidentyfikowanego w dziale; na samodzielnym stanowisku, 2
d) przeprowadzenie oceny ryzyka zidentyfikowanego w dziale; na samodzielnym stanowisku, e) opracowywanie i wdrażanie mechanizmów kontrolnych, f) utworzenie i aktualizację działowych rejestrów ryzyka, g) zapewnienie, by pracownicy byli świadomi wagi procesu zarządzania ryzykiem; h) zapewnienie wszystkim podległym pracownikom możliwości formalnego zgłaszania zmian w zakresie identyfikowanego przez nich ryzyka lub innych istotnych problemów. 4) Pracownicy MZGLiA za zgłaszanie przełożonym informacji o pojawiających się ryzykach lub innych istotnych problemach. 2. Przykłady ryzyka występującego na różnych obszarach określa załącznik nr 1 do niniejszej Procedury. Rozdział III Identyfikacja i analiza ryzyka 5 1. Postępowanie przy identyfikowaniu i analizie ryzyka polega na wykonaniu następujących kolejno po sobie czynności: 1) ustaleniu listy zadań/celów do realizacji w działach MZGLiA oraz samodzielnych stanowiskach pracy; 2) określeniu ryzyka do każdego celu określonego dla działu MZGLiA oraz samodzielnych stanowisk pracy; 3) określeniu przyczyn i skutków zidentyfikowanego ryzyka; 4) przeanalizowaniu każdego zidentyfikowanego ryzyka, w celu oszacowania ryzyka nieodłącznego poprzez określenie: a) prawdopodobieństwa jego wystąpienia ocena punktowa w skali od 1 do 5, b) wpływu jaki będzie miało ewentualne wystąpienie ryzyka ocena punktowa w skali od 1 do 5; 5) określeniu występujących mechanizmów kontrolnych dla zidentyfikowanego ryzyka; 6) określeniu koniecznych do wprowadzenia mechanizmów kontrolnych w celu zminimalizowania zidentyfikowanego ryzyka; 7) przeanalizowaniu każdego zidentyfikowanego ryzyka, w celu oszacowania ryzyka rezydualnego poprzez określenie: a) prawdopodobieństwa jego wystąpienia ocena punktowa w skali od 1 do 5, b) wpływu jaki będzie miało ewentualne wystąpienie ryzyka ocena punktowa w skali od 1 do 5; 3
8) określeniu punktowej oceny zidentyfikowanego ryzyka. 6 1. Stopień określenia prawdopodobieństwa wystąpienia ryzyka określa się poprzez następujące wartości punktowe: 1) 1 - rzadkie prawdopodobieństwo - do 20 % szans, że ryzyko wystąpi w nadchodzącym roku, o ile nie zostanie zmniejszone (lub: ryzyko będzie się krystalizować rzadko; jego przypadki będą pojedyncze); 2) 2 - małe prawdopodobieństwo od 21 do 40 % szans, że ryzyko wystąpi w nadchodzącym roku, o ile nie zostanie zmniejszone (lub: mało prawdopodobne będzie, że ryzyko się będzie krystalizować; jego przypadki będą pojedyncze lub będzie ich kilka); 3) 3 - średnie prawdopodobieństwo - od 41 do 60 % szans, że ryzyko wystąpi w nadchodzącym roku, o ile nie zostanie zmniejszone (lub: ryzyko będzie się krystalizować okazjonalnie bądź w wyniku zbiegu niezwykłych okoliczności); 4) 4 wysokie prawdopodobieństwo od 61 do 80 % szans, że ryzyko wystąpi w nadchodzącym roku, o ile nie zostanie zmniejszone (lub: ryzyko będzie się krystalizować dość często bądź w wyniku równoczesnego występowania różnych problemów i okoliczności); 5) 5 najwyższe prawdopodobieństwo od 81 do 100 % szans, że ryzyko wystąpi w nadchodzącym roku, o ile nie zostanie zmniejszone (lub: ryzyko będzie systematycznie narastać); 7 1. Stopień określenia wpływu wystąpienia ryzyka określa się poprzez następujące wartości punktowe: 1) 1 niewielki wpływ ryzyka rozwiązanie problemu będzie wymagało pewnego nakładu czasu/zasobów, lecz problem nie spowoduje trwałej szkody i wywrze minimalny wpływ na wyniki finansowe. Nie stanie się wydarzeniem publicznym. Może spowodować krótkotrwałe zakłócenia w działalności; 2) 2 mały wpływ ryzyka - rozwiązanie problemu będzie wymagało pewnego nakładu czasu/zasobów, lecz problem nie spowoduje trwałej szkody i wywrze mały wpływ na wyniki finansowe. Stanie się wydarzeniem o ograniczonej informacji w mediach lokalnych. Może spowodować niewielkie zakłócenia w działalności; 3) 3 średni wpływ ryzyka rozwiązanie problemu będzie wymagało umiarkowanego nakładu czasu/zasobów. Usunięcie skutków będzie wymagało czasu. Wywrze wpływ na wyniki finansowe, których ranga będzie wymagała ujawnienia. Może stać się wydarzeniem publicznym gdyż pewne informacje pojawią się w mediach lokalnych lub regionalnych. Może spowodować zakłócenia w działalności; 4) 4 poważny wpływ ryzyka - rozwiązanie problemu będzie wymagało dużego nakładu czasu i zasobów oraz będzie wymagało podjęcia decyzji o sposobie rozwiązania problemu przez kierownictwa wyższego szczebla. Usunięcie skutków będzie bardzo trudne. Wywrze 4
poważny wpływ na wyniki finansowe i stanie się ważnym wydarzenie publicznym pewne informacje pojawią się w mediach lokalnych i regionalnych. Może nastąpić brak realizacji kluczowego celu; 5) 5 krytyczny wpływ ryzyka rozwiązanie problemu będzie wymagało dużego nakładu czasu i zasobów oraz będzie wymagało podjęcia decyzji dotyczących strategicznego poziomu rozwiązań. Skutki ryzyka będą nieodwracalne. Wywrze istotny wpływ na wyniki finansowe i stanie się ważnym wydarzenie publicznym doniesienia w mediach całego kraju. Spowoduje brak realizacji kluczowych celów; Rozdział IV Dokumentowanie wyników analizy ryzyka 8 1. Kierownicy działów MZGLiA są zobowiązani udokumentować przeprowadzoną w podległym dziale analizę ryzyka, w szczególności poprzez utworzenie Działowego rejestru ryzyka, którego wzór stanowi załącznik nr 2 do procedury. 2. Wyniki analizy ryzyka rejestry ryzyka, Kierownicy działów MZGLiA zobowiązani są przekazać St. Specjaliście ds. Organizacyjnych, Kadr i Płac w terminie do 1 grudnia każdego roku. 3. W oparciu o Działowe rejestry ryzyka St. Specjalista ds. Organizacyjnych, Kadr i Płac sporządza Zespołowy rejestr ryzyka którego wzór stanowi załącznik nr 3, Zespołowy rejestr ryzyka jest przedstawiany do akceptacji Dyrektorowi MZGLiA. Rozdział V Postępowanie z zidentyfikowanym ryzykiem 9 1. O sposobie postępowania w odniesieniu do zidentyfikowanego ryzyka: 1) którego wpływ jest niewielki lub mały decyzję podejmują pracownicy działów; 2) którego wpływ jest średni decyzję podejmuje Kierownik działu; 3) którego wpływ jest poważny lub krytyczny decyzję podejmuje Dyrektor. 2. W stosunku do każdego zidentyfikowanego w wydziale ryzyka Kierownik działu MZGLiA jest zobowiązany planować i wdrażać odpowiednie mechanizmy kontrolne. 3. Kierownicy działów MZGLiA mają obowiązek dokonywania corocznych przeglądów samego ryzyka w celu uzyskania informacji czy: 1) ryzyko nadal występuje, 2) pojawiło się nowe ryzyko, 3) prawdopodobieństwo i wpływ ryzyka zmieniło się, 4) stosowane mechanizmy kontrolne są efektywne. 5
4. Kierownicy Działów MZGLiA mają obowiązek dokonywania przeglądu wszystkich działań z zakresu zarządzania ryzykiem występującym w wydziale w celu monitorowania mechanizmów kontrolnych. 5. Dyrektor MZGLiA, w zależności od potrzeb, poleca Kierownikom Działów wdrożenie zaproponowanych mechanizmów kontrolnych związanych z identyfikowanym ryzykiem, które zagraża realizacji celów, planów i zadań MZGLiA. 6. Kierownicy Działów, Pracownicy na stanowiskach samodzielnych zobowiązani są do samooceny ryzyka. Rozdział VI Postanowienia końcowe 10 W 2011 roku Kierownicy Działów zobowiązani są do utworzenia po raz pierwszy Działowego rejestru ryzyka w terminie do 28 lutego i przekazania go St. Specjaliście ds. Organizacyjnych, Kadr i Płac. 6
Załącznik Nr 1 do Procedury zarządzania ryzykiem w MZGLiA w Knurowie Przykładowe czynniki ryzyka 1 1. Czynniki ryzyka dotyczące systemów informatycznych, w szczególności związane z: 1) utrzymaniem ciągłości pracy systemów informatycznych, np.: zatrzymanie pracy systemów informatycznych, brak przepływu informacji o błędach w systemach informatycznych, 2) dostępem do zasobów informatycznych jednostki, np.: wypływ danych z systemów, włamania do systemów, 3) wykorzystywaniem infrastruktury informatycznej, np.: awaria sprzętu, niedopasowanie systemów do bazy sprzętowej, wykorzystywanie nielegalnego oprogramowania, 4) rozwojem i wdrożeniem nowych systemów informatycznych, np. nieuprawnione wdrożenie zmian w oprogramowaniu i bazach danych. 2. Czynniki ryzyka o charakterze finansowym związane z: 1) wielkością środków finansowych jednostki, np.: zmiany wysokości dochodów, przychodów, wydatków, rozchodów, 2) płynnością finansową, 3) inwestycjami, np.: niewłaściwe decyzje inwestycyjne, wzrost kosztów inwestycji, brak źródeł finansowania, opóźnienia w realizacji, 4) nieproduktywną stratą środków, np.: oszustwo, kradzież, kary umowne, grzywny, 5) sprawozdawczością finansową, np.: niedawne zmiany w systemie księgowania, częste zmiany pracowników odpowiedzialnych za sprawozdania. 3. Czynniki ryzyka wynikające z charakteru prowadzonej działalności związane z: 1) działalnością podstawową jednostki, np.: stopień skomplikowania działalności, niewystarczające kompetencje pracowników, niedawne zmiany kluczowych pracowników, brak motywacji u pracowników, 1 Opracowano na podstawie Wytycznych do samooceny kontroli finansowej w jednostkach sektora finansów publicznych, Ministerstwo Finansów, Departament Koordynacji Kontroli Finansowej i Audytu Wewnętrznego, Warszawa, maj 2007. 7
2) przetwarzaniem informacji, np.: nieadekwatność informacji, na podstawie których podejmuje się decyzje, utrata informacji, naruszenie poufności informacji, 3) stabilnością działalności jednostki lub zatrudnienia, np.: ograniczenie lub znaczny wzrost zadań jednostki, zmiany procesów operacyjnych, decentralizacja działalności, 4) technologią, np.: zakłócenia w działaniu systemów informatycznych, powstanie nowych technologii, wdrażanie nowych technologii 5) projektami prowadzonymi przez jednostkę, np.: niewłaściwe planowanie projektu, wzrost kosztów realizacji projektu, opóźnienia w realizacji projektu, brak środków na realizację projektu, niepowodzenie projektu, 6) nowymi zadaniami i programami, np.: brak odpowiednich zasobów (środków finansowych, pracowników, wyposażenia, informacji), krótki termin realizacji, konieczność współpracy z innymi podmiotami, 7) innowacyjnością, np.: opór pracowników, brak skłonności do zmian, wdrażanie niesprawdzonych rozwiązań, 8) reputacją jednostki, np.: spadek reputacji na skutek niewłaściwego działania lub zaniedbań pracowników, niewłaściwej realizacji zadań przez jednostkę, złego zarządzania. 4. Czynniki sprzyjające wystąpieniu ryzyka związanego z zarządzaniem: 1) jakość zespołu zarządzającego, np.: niewystarczające kwalifikacje kierownictwa, częste zmiany na stanowiskach kierowniczych, zbyt mała liczba osób na stanowiskach kierowniczych, 2) organizacja jednostki, np.: nieadekwatna struktura organizacyjna, brak zakresów obowiązków kierownictwa i pracowników, nieefektywny system przepływu informacji, znaczne zmiany w zakresie odpowiedzialności kierownictwa, 3) zarządzanie zasobami ludzkimi, np.: niesprawiedliwa praktyka wynagradzania, niskie wynagrodzenia, brak działań motywujących pracowników, nie zapewnienie odpowiednich szkoleń, niewystarczające możliwości rozwoju zawodowego pracowników, nieefektywna rekrutacja, wysoka rotacja pracowników; brak pracowników posiadających odpowiednie kwalifikacje, umiejętności lub doświadczenia. 5. Inne czynniki, mogące zwiększyć ryzyko: 1) niepowodzenia w osiąganiu celów w przeszłości, np.: niezrealizowanie projektu lub programu, przekroczenie planowanych wydatków, naruszenie lub obejście procedur kontrolnych, naruszenie prawa lub regulacji wewnętrznych, 8
2) czynniki ryzyka wrodzonego (wewnętrznego), np.: charakter działalności, wielkość jednostki, liczba pracowników, wielkość majątku trwałego, liczba transakcji, wielkość budżetu. 6. Czynniki zewnętrzne związane z: 1) infrastrukturą tj.: zakłócenia w dostawach energii, przerwy w łączności telefonicznej, przerwy w dostępie do Internetu i poczty elektronicznej, 2) zewnętrznymi warunkami ekonomicznymi tj.: zmiany stóp procentowych, kursów walut, inflacji, długu publicznego, 3) zmianami politycznymi tj.: zmiany na stanowiskach istotnych dla funkcjonowania jednostki, 4) środowiskiem prawnym, tj.: nowe przepisy prawa, zmiana przepisów, brak regulacji prawnej w danym zakresie, skomplikowane lub niejasne przepisy, 5) środowiskiem naturalnym, tj.: zanieczyszczenie środowiska, katastrofa ekologiczna, protesty społeczne, 6) siłą wyższą, tj.: pożar, powódź, huragan, 7) innymi zagrożeniami i naciskami zewnętrznymi, tj.: działania przestępcze, terroryzm, presja polityczna, społeczna, naciski grup interesu, działalność lobbingowa, 8) dostawcami i usługodawcami, tj.: niestabilni dostawcy, monopolistyczna pozycja dostawców. 9