Jednostki samorządu terytorialnego powinny już dawno temu powinny mieć wdrożone i funkcjonujące Standardy Kontroli Zarządczej i zarządzać ryzykami[2]. Z doświadczenia COMPER i współpracujących ekspertów wynika, że z Systemami Kontroli Zarządczej, a więc i zarządzaniem ryzykami w jednostkach samorządu terytorialnego bywa niestety różnie.
Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach
Zarządzanie ryzykiem to bardzo szerokie zagadnienie i nie da się omówić wszystkich jego aspektów w jednym artykule. Można jednak wskazać na podstawowe uwarunkowania z nim związane. Kluczowe jest wyjaśnienie dlaczego warto zajmować się tym tematem w kontekście nowych wymogów zarządzania danymi osobowymi. Warto również określić, czy zarządzanie ryzykiem można wykorzystać do innych celów biznesowych. Na gruncie RODO, zarządzanie ryzykiem to fundament ochrony osób fizycznych w związku z przetwarzaniem danych osobowych. Bez zarządzania ryzykiem nie da się wdrożyć adekwatnych środków technicznych i organizacyjnych, aby zapewnić właściwy stopień bezpieczeństwa. Ryzyko naruszenia ochrony danych osobowych jest tylko kwestią czasu. W przypadku naruszenia ochrony danych osobowych grożą sankcje w wysokości do 20 milionów euro lub 4% całkowitego rocznego światowego obrotu. Jednocześnie należy pamiętać, że przy podejmowaniu decyzji o nałożeniu kary pieniężnej oraz ustalając jej wysokość, organ nadzoru będzie zwracał uwagę m.in. na to, czy wdrożone były procesy zarządzania ryzykiem, czy były one właściwie wykorzystywane oraz, czy podjęte zostały adekwatne środki techniczne i organizacyjne by zminimalizować te ryzyka (ryzyka bowiem nigdy nie da się usunąć).[3] W związku z tym kluczowym pytaniem nie powinno być „czy zarządzać ryzykiem, tylko „jak zarządzać ryzykiem?”. Należy zdać sobie sprawę, że zarządzanie ryzykiem jest czynnikiem warunkującym sprawne wdrożenie RODO i pozwala uniknąć odpowiedzialności, w tym odpowiedzialności finansowej.
Zobacz: Rozwój i promocja
Jak nim zarządzać? Biznes wypracował standardy i praktyki zarządzania ryzykiem. Najbardziej znane metodyki to PN-ISO 31000:2012, COSO II/III, ALARM/IRM, FERMA. We wdrożeniu optymalnych dla danego podmiotu rozwiązań, pomóc mogą specjaliści od zarządzania ryzykiem, którzy doradzą i pomogą zbudować i wdrożyć zintegrowany system zarządzania ryzykiem.
Podsumowując, w celu efektywnego wprowadzenia RODO, w pierwszej kolejności wskazane jest zastosowanie metodyki służącej do zarządzania ryzykiem, a następnie przystosowanie systemu tak, aby możliwe było wykorzystanie posiadanych informacji do realnych procesów biznesowych.
[1] Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
[2] Art. 68 i art. 69 ustawy o finansach publicznych (tj. Dz. U. z 2017 r. poz. 2077) i Komunikat Nr 23 Ministra Finansów w sprawie standardów kontroli zarządczej dla sektora finansów publicznych z dnia 16 grudnia 2009 r. (Dz. Urz. MF Nr 15, poz. 84)
[3] Art. 83 ust 2 RODO