Administracja publiczna i samorząd - INFOR.PL

Tym, co odróżnia zarządzanie ryzykiem od audytu wewnętrznego, jest jego umocowanie prawne. Minister finansów w komunikacie nr 13 z 30 czerwca 2006 r. określił standardy kontroli finansowej w jednostkach sektora finansów publicznych (Dz. Urz. Min. Fin. nr 7, poz. 58). Jak zapisano w samych standardach oraz komunikacie, nie stanowią one przepisów prawa powszechnego, są jedynie wytycznymi do tworzenia procedur kontroli finansowej. Ponadto w art. 47 pkt 3 ustawy o finansach publicznych zapisano polecenie tworzenia wspomnianych wyżej procedur z uwzględnieniem standardów kontroli finansowej. Bez wątpienia zarządzanie ryzykiem może być solidnym filarem codziennej pracy komórek organizacyjnych. Sektor prywatny, będący wzorem do naśladowania pod względem efektywności procesów zarządzania, korzysta z zalet tego procesu od dawna, co dowodzi, że mimo braku bezpośredniego polecenia warto wdrożyć zarządzanie ryzykiem w sektorze publicznym.

Standardy kontroli w punktach dotyczących ryzyka (pkt 6-9) wskazują, przy większości czynności, kierownika jednostki oraz upoważnionych przez niego pracowników jako odpowiedzialnych za przebieg tego procesu. Dlatego też kierownik powinien mieć wiedzę i zatwierdzać kluczowe czynności związane z analizą ryzyka oraz działaniami zaradczymi.

Realizacja celów

Istota ryzyka związana jest z realizacją celu oraz przeszkodami w jego osiągnięciu. Analizę ryzyka należy zawsze rozpocząć od przeglądu celów, przed jakimi stoi jednostka - zapisanymi w ustawie bądź w strategii. Warto wspomnieć, że realizacja punktu 6 standardów kontroli finansowej - w jednostce sporządza się co najmniej roczny plan pracy jednostki określający poszczególne cele i zadania jednostki, mierzalne wskaźniki lub kryteria ich realizacji, komórki organizacyjne odpowiedzialne za ich realizację oraz zasoby, w szczególności osobowe, finansowe, rzeczowe, przeznaczone do ich realizacji - wiąże się z wprowadzeniem budżetu zadaniowego, który najpełniej oddaje ideę tego zapisu. Istotne jest uświadomienie sobie, że każdy aspekt funkcjonowania danej jednostki związany jest z ryzykiem niepowodzenia, a świadome przeciwdziałanie ryzyku jest skuteczniejsze niż jego ignorowanie (do czasu aż się zmaterializuje).

Proces zarządzania ryzykiem można podzielić na etapy. Najważniejsze elementy wymienione w standardach to: identyfikacja ryzyka, analiza ryzyka, reakcja na ryzyko i działania zaradcze.

Zgodnie ze standardami identyfikację przeprowadzać należy systematycznie, co najmniej raz w roku. Proces identyfikacji jest niezwykle istotny - wystąpienie błędu na tym etapie rzutuje na całość procesu. Możliwym błędem może być pominięcie istotnego ryzyka lub zidentyfikowanie nieistniejącego w rzeczywistości ryzyka. O ile to drugie da się skorygować w kolejnych etapach, pominięcie kluczowego ryzyka będzie miało poważne skutki. Identyfikacji nie należy lekceważyć. Konkretny sposób jej realizacji zależny jest od danej jednostki organizacyjnej. Należy pamiętać o zaangażowaniu w proces pracowników mających największą wiedzę na temat funkcjonowania danej komórki organizacyjnej, procesu czy projektu. Wspominany wcześniej podręcznik wdrożenia systemu zarządzania ryzykiem w administracji publicznej w Polsce zawiera zalecane listy kontrolne, których stosowanie zapewni metodyczny przegląd danego obszaru, tj. zminimalizuje prawdopodobieństwo pominięcia jakiegoś ryzyka.

Dla dobrej identyfikacji warto wcześniej pogrupować czynniki ryzyka dotyczące systemów informatycznych, w szczególności czynniki wynikające ze źródeł zewnętrznych, o charakterze finansowym, wynikające ze specyfiki prowadzonej działalności, związane z zarządzaniem.

Skala ryzyka

Zidentyfikowane ryzyka należy poddać analizie. Sam opis ryzyk, na jakie narażona jest jednostka, nie daje pełnej informacji niezbędnej do zarządzania nim. Analizę wykonuje się w dwóch wymiarach - oceniając prawdopodobieństwo materializacji się ryzyka oraz jego wpływu na funkcjonowanie jednostki/komórki. Zarówno dla prawdopodobieństwa jak i skutku należy zdefiniować skalę i jej znaczenie. Przykładowa skala prawdopodobieństwa od 1 do 5 powinna być uzupełniona o wartości procentowe (szansa wystąpienia). Podobnie opisuje się stopnie oddziaływania - można posługiwać się potencjalnymi stratami (w jednostkach pieniężnych) oraz oddziaływaniem na bieżące lub strategiczne funkcjonowanie jednostki. Wartościowanie zidentyfikowanych wcześniej rodzajów ryzyka powinno mieć formę pisemną, by dokumentacja tego procesu służyła pomocą przy kolejnych wartościowaniach oraz umożliwiała nadzór nad poszczególnymi etapami.

Ostatnim etapem zarządzania ryzykiem jest reagowanie. Dokonane wcześniej opisy i wartościowanie mają sens tylko wtedy, gdy na ich podstawie kierownictwo podejmie zdecydowane działania mające na celu ograniczenie narażenia jednostki na niepowodzenie. Kierownicy komórek organizacyjnych bądź osoby odpowiedzialne za dane rodzaje ryzyka (na etapie identyfikacji każdemu ryzyku należy przypisać osobę odpowiedzialną za prawidłowe funkcjonowanie danego obszaru) powinni zaproponować działania zaradcze oraz opisać, w jaki sposób dotychczas reagowali na ryzyko i z jakim skutkiem. Reakcje na ryzyko ująć można w cztery podstawowe grupy:

• tolerowanie ryzyka - kierownictwo świadomie decyduje się podjąć ryzyko, innymi słowy nie podejmuje się żadnych dodatkowych działań,