Tym, co odróżnia zarządzanie ryzykiem od audytu wewnętrznego, jest jego umocowanie prawne. Minister finansów w komunikacie nr 13 z 30 czerwca 2006 r. określił standardy kontroli finansowej w jednostkach sektora finansów publicznych (Dz. Urz. Min. Fin. nr 7, poz. 58). Jak zapisano w samych standardach oraz komunikacie, nie stanowią one przepisów prawa powszechnego, są jedynie wytycznymi do tworzenia procedur kontroli finansowej. Ponadto w art. 47 pkt 3 ustawy o finansach publicznych zapisano polecenie tworzenia wspomnianych wyżej procedur z uwzględnieniem standardów kontroli finansowej. Bez wątpienia zarządzanie ryzykiem może być solidnym filarem codziennej pracy komórek organizacyjnych. Sektor prywatny, będący wzorem do naśladowania pod względem efektywności procesów zarządzania, korzysta z zalet tego procesu od dawna, co dowodzi, że mimo braku bezpośredniego polecenia warto wdrożyć zarządzanie ryzykiem w sektorze publicznym.
Standardy kontroli w punktach dotyczących ryzyka (pkt 6-9) wskazują, przy większości czynności, kierownika jednostki oraz upoważnionych przez niego pracowników jako odpowiedzialnych za przebieg tego procesu. Dlatego też kierownik powinien mieć wiedzę i zatwierdzać kluczowe czynności związane z analizą ryzyka oraz działaniami zaradczymi.
Realizacja celów
Istota ryzyka związana jest z realizacją celu oraz przeszkodami w jego osiągnięciu. Analizę ryzyka należy zawsze rozpocząć od przeglądu celów, przed jakimi stoi jednostka - zapisanymi w ustawie bądź w strategii. Warto wspomnieć, że realizacja punktu 6 standardów kontroli finansowej - w jednostce sporządza się co najmniej roczny plan pracy jednostki określający poszczególne cele i zadania jednostki, mierzalne wskaźniki lub kryteria ich realizacji, komórki organizacyjne odpowiedzialne za ich realizację oraz zasoby, w szczególności osobowe, finansowe, rzeczowe, przeznaczone do ich realizacji - wiąże się z wprowadzeniem budżetu zadaniowego, który najpełniej oddaje ideę tego zapisu. Istotne jest uświadomienie sobie, że każdy aspekt funkcjonowania danej jednostki związany jest z ryzykiem niepowodzenia, a świadome przeciwdziałanie ryzyku jest skuteczniejsze niż jego ignorowanie (do czasu aż się zmaterializuje).
Proces zarządzania ryzykiem można podzielić na etapy. Najważniejsze elementy wymienione w standardach to: identyfikacja ryzyka, analiza ryzyka, reakcja na ryzyko i działania zaradcze.
Zgodnie ze standardami identyfikację przeprowadzać należy systematycznie, co najmniej raz w roku. Proces identyfikacji jest niezwykle istotny - wystąpienie błędu na tym etapie rzutuje na całość procesu. Możliwym błędem może być pominięcie istotnego ryzyka lub zidentyfikowanie nieistniejącego w rzeczywistości ryzyka. O ile to drugie da się skorygować w kolejnych etapach, pominięcie kluczowego ryzyka będzie miało poważne skutki. Identyfikacji nie należy lekceważyć. Konkretny sposób jej realizacji zależny jest od danej jednostki organizacyjnej. Należy pamiętać o zaangażowaniu w proces pracowników mających największą wiedzę na temat funkcjonowania danej komórki organizacyjnej, procesu czy projektu. Wspominany wcześniej podręcznik wdrożenia systemu zarządzania ryzykiem w administracji publicznej w Polsce zawiera zalecane listy kontrolne, których stosowanie zapewni metodyczny przegląd danego obszaru, tj. zminimalizuje prawdopodobieństwo pominięcia jakiegoś ryzyka.
Dla dobrej identyfikacji warto wcześniej pogrupować czynniki ryzyka dotyczące systemów informatycznych, w szczególności czynniki wynikające ze źródeł zewnętrznych, o charakterze finansowym, wynikające ze specyfiki prowadzonej działalności, związane z zarządzaniem.
Skala ryzyka
Zidentyfikowane ryzyka należy poddać analizie. Sam opis ryzyk, na jakie narażona jest jednostka, nie daje pełnej informacji niezbędnej do zarządzania nim. Analizę wykonuje się w dwóch wymiarach - oceniając prawdopodobieństwo materializacji się ryzyka oraz jego wpływu na funkcjonowanie jednostki/komórki. Zarówno dla prawdopodobieństwa jak i skutku należy zdefiniować skalę i jej znaczenie. Przykładowa skala prawdopodobieństwa od 1 do 5 powinna być uzupełniona o wartości procentowe (szansa wystąpienia). Podobnie opisuje się stopnie oddziaływania - można posługiwać się potencjalnymi stratami (w jednostkach pieniężnych) oraz oddziaływaniem na bieżące lub strategiczne funkcjonowanie jednostki. Wartościowanie zidentyfikowanych wcześniej rodzajów ryzyka powinno mieć formę pisemną, by dokumentacja tego procesu służyła pomocą przy kolejnych wartościowaniach oraz umożliwiała nadzór nad poszczególnymi etapami.
Ostatnim etapem zarządzania ryzykiem jest reagowanie. Dokonane wcześniej opisy i wartościowanie mają sens tylko wtedy, gdy na ich podstawie kierownictwo podejmie zdecydowane działania mające na celu ograniczenie narażenia jednostki na niepowodzenie. Kierownicy komórek organizacyjnych bądź osoby odpowiedzialne za dane rodzaje ryzyka (na etapie identyfikacji każdemu ryzyku należy przypisać osobę odpowiedzialną za prawidłowe funkcjonowanie danego obszaru) powinni zaproponować działania zaradcze oraz opisać, w jaki sposób dotychczas reagowali na ryzyko i z jakim skutkiem. Reakcje na ryzyko ująć można w cztery podstawowe grupy:
• tolerowanie ryzyka - kierownictwo świadomie decyduje się podjąć ryzyko, innymi słowy nie podejmuje się żadnych dodatkowych działań,
• transfer ryzyka - przeniesienie ryzyka na podmiot zewnętrzny. Przykładem jest ubezpieczenie mienia. Najczęściej łączy się z dodatkowymi kosztami,
• podjęcie działań zmniejszających ryzyko - jest to najczęstsza reakcja. Przykład to wprowadzanie dodatkowych procedur kontrolnych w danym procesie,
• zakończenie działań obarczonych danym ryzykiem. W przypadku jednostek sektora finansów publicznych taka reakcja jest najmniej prawdopodobna.
Opracowanie metodyki
Proces zarządzania ryzykiem powinien być powtarzalny. Kierownictwo jednostki powinno opracować metodykę, dostosowując wymienione wcześniej elementy do swojej jednostki. Zaleca się, by ten wewnętrzny akt prawny precyzował odpowiedzialność za zarządzanie ryzykiem, sposób identyfikacji i analizy, terminy przesyłania dokumentów oraz ich wzory. Istotną sprawą jest wyznaczenie komórki organizacyjnej, do której spływają zbiorcze dane na temat ryzyka. Komórka ta dokonywałaby ponownej analizy przesłanego materiału i tworzyła na jego podstawie roczny raport na temat ryzyka. Raport zawierałby listę zidentyfikowanych i opisanych rodzajów ryzyka wraz z działaniami zaradczymi. Rolą kierownika jednostki byłoby zatwierdzenie raportu oraz określenie akceptowalnego poziomu ryzyka.
Czytaj także: System zarządzania jakością w jednostkach samorządu terytorialnego>>
Idea akceptowalnego poziomu ryzyka wynika z faktu, iż ograniczenie prawdopodobieństwa wystąpienia zdarzeń negatywnych do zera jest niemożliwe. Należy określić, do osiągnięcia jakiego poziomu bezpieczeństwa dążymy. Raport roczny wraz z dodatkową sprawozdawczością dotyczącą skuteczności działań ograniczających ryzyko stanowi duży wkład w usprawnienie działania jednostki.
7 KROKÓW ANALIZY RYZYKA
1 Opracowanie metodologii zarządzania ryzykiem w danej jednostce.
2 Przeprowadzenie cyklu wewnętrznych szkoleń z zakresu identyfikacji i pomiaru ryzyka.
3 Przeprowadzenie identyfikacji ryzyka oraz jego opis.
4 Wartościowanie ryzyka - wyskalowanie jego prawdopodobieństwa oraz skutku.
5 Opracowanie działań zaradczych - reagowanie.
6 Bieżące monitorowanie kluczowych ryzyk.
7 Kolejna identyfikacja (co najmniej raz w roku).
Marcin Dublaszewski
audytor wewnętrzny Komendy Wojewódzkiej Policji w Olsztynie, posiada kwalifikacje CIA oraz CGAP
go@infor.pl
PODSTAWA PRAWNA
• Ustawa z 30 czerwca 2005 r. o finansach publicznych (Dz.U. nr 249, poz. 2104 ze zm.).