Zarządzenie nr OR.3.2022 Burmistrza Miasta Redy z dnia 10 stycznia 2022 r. w sprawie polityki zarządzania ryzykiem w Urzędzie Miasta w Redzie.

na podstawie art. 69 ust. 1 pkt 3 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (t.j. Dz. U. z 2021 r. poz. 305 późn. zm.), art. 24 ust.1 i  art. 32 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.) oraz art. 20 ust. 2 pkt 3 rozporządzenia Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (t.j. Dz. U. z 2017 r. poz. 2247).

Burmistrz Miasta Redy

zarządza, co następuje:

§ 1

Dla zapewnienia adekwatności, skuteczności i efektywności kontroli zarządczej wprowadza się zasady zarządzania ryzykiem w Urzędzie Miasta w Redzie mające przyczynić się do poprawy wszystkich obszarów zarządzania oraz ograniczania do akceptowalnego poziomu ewentualnych negatywnych skutków zaistniałych zdarzeń, w szczególności w zakresie efektywnego zarządzania zasobami, zapewnienia ochrony majątku i efektywności finansowej oraz ochrony wizerunku Urzędu Miasta w Redzie.

§ 2

Zasady zarządzania ryzykiem określają:

1. zakres odpowiedzialności osób zaangażowanych w proces zarządzania ryzykiem;
2. sposób identyfikowania i analizy ryzyka;
3. sposób postępowania ze zidentyfikowanym ryzykiem;
4. sposób interpretacji i dokumentowania wyników analizy ryzyka.

§ 3

Przez użyte w  niniejszej procedurze określenia rozumie się:

1. Urząd – Urząd Miasta w Redzie;
2. Burmistrz – Burmistrz Miasta Redy;
3. Kierownik komórki organizacyjnej – kierownicy referatów oraz pracownicy zatrudnieni na samodzielnych stanowiskach pracy;
4. Pracownicy – pracownicy Urzędu Miasta w Redzie;
5. Ryzyko – zdarzenia (pozytywne lub negatywne), które mogą mieć wpływ na osiągnięcie zamierzonych celów i zadań;
6. Mechanizmy kontrolne – regulaminy, procedury wewnętrzne, instrukcje, wytyczne i inne dokumenty, narzędzia wewnętrzne oraz działania podejmowane w celu zmniejszenia prawdopodobieństwa i/lub siły oddziaływania ryzyka;
7. Ocena ryzyka – oszacowanie poziomu ryzyka w odniesieniu do skutków jego oddziaływania, jeśli ryzyko wystąpi oraz prawdopodobieństwa wystąpienia tego ryzyka;
8. Prawdopodobieństwo zaistnienia ryzyka – miara przewidywalności wystąpienia ryzyka;
9. Skutki ryzyka – efekt materializacji ryzyka;
10. Akceptowalny poziom ryzyka – poziom ryzyka, którego pojawienie się nie spowoduje istotnego zagrożenia niewykonania zadań lub celów;
11. Właściciel ryzyka – osoba odpowiedzialna za dane ryzyko w Urzędzie, która zarządza ryzykiem występującym w danym obszarze;
12. Rejestr ryzyka – zbiorcze zestawienie wyników identyfikacji, analizy i odpowiedzi na ryzyko oraz mechanizmów kontroli obowiązujących w Urzędzie;
13. Zespół – zespół ds. zarządzania ryzykiem powołany odrębnym zarządzeniem Burmistrza Miasta Redy;
14. Miernik – określenie stopnia realizacji zaplanowanych celów i działań,  poprzez pomiar ich efektywności. Charakteryzuje się następującymi cechami: przydatność, użyteczność, teraźniejszość, adekwatność, istotność, precyzyjność, stosowność, bezideowość, spójność, kompletność, obiektywność, prawdziwość, systematyczność i szybkość realizacji. Jest to liczba zadań przewidywana do zrealizowania w komórce organizacyjnej w rocznej perspektywie np. liczba wydawanych decyzji, liczba projektów, liczba zamówień publicznych w trybie ustawy itp).

§ 4

Odpowiedzialność za przebieg procesu zarządzania ryzykiem ponosi/-szą:

1. Burmistrz poprzez weryfikację istotnych celów, zadań i zagadnień dotyczących zarządzania ryzykiem, na które Urząd jest narażony, w szczególności za:
   1. ocenę sposobu identyfikacji i zarządzania ryzykiem sporządzoną przez kierowników komórek organizacyjnych;
   2. wybór sposobu postępowania ze zidentyfikowanym ryzykiem z uwzględnieniem realizowanych celów i zadań.
2. Zespół ds. zarządzania ryzykiem w zakresie:
   1. wspierania kierowników komórek organizacyjnych w analizie i ocenie ryzyka;
   2. uszeregowania i analizy ryzyk zgłoszonych przez kierowników komórek organizacyjnych pod kątem ich wpływu na działalność całego Urzędu;
   3. opracowania propozycji mechanizmów kontrolnych i monitoring ryzyka, które ma średni, duży lub krytyczny  wpływ na działalność Urzędu;
   4. informowania Burmistrza o każdym przypadku zmaterializowania się ryzyka, które wpływa na ciągłość działalności Urzędu.
3. Kierownicy komórek organizacyjnych, w tym w szczególności za:
   1. ustalenie celów i zadań do realizacji oraz mierników umożliwiających ich monitorowanie;
   2. identyfikację i analizę ryzyk, mających istotny wpływ na realizację celów i zadań;
   3. ocenę zidentyfikowanego ryzyka;
   4. opracowanie i wdrożenie mechanizmów kontrolnych;
   5. bieżąca aktualizacja rejestru zidentyfikowanych ryzyk;
   6. przygotowanie okresowych informacji na temat realizowanych celów i zadań;
   7. informowanie przewodniczącego Zespołu ds. zarządzania ryzykiem o każdym przypadku zmaterializowania się ryzyka, które wpływa na ciągłość działalności komórki organizacyjnej.
4. Pracownicy w zakresie realizowanych celów i zadań oraz ich monitorowania, w tym:
   1. zgłaszanie Kierownikowi komórki organizacyjnej informacji o pojawiających się ryzykach lub innych istotnych problemach w realizacji zadań;
   2. zgłaszanie Kierownikowi komórki organizacyjnej wszelkich odstępstw od obowiązujących procedur.

§ 5

1. Cele i zadania powinny uwzględniać Strategię Rozwoju Miasta Redy, uchwałę budżetową Miasta Redy, Regulamin Organizacyjny, zakres czynności oraz obowiązujące przepisy prawa. Muszą być jasne i określone w co najmniej rocznej perspektywie. Ponadto cele powinny być:

1. istotne – dotyczyć najważniejszych obszarów działalności Urzędu i jednocześnie odnosić się do istotnych potrzeb społeczno-gospodarczych zawartych m.in. w aktualnych dokumentach strategicznych i programowych,
2. precyzyjne i konkretne – sformułowane jednoznacznie i nie pozostawiające miejsca na swobodną interpretację.
3. mierzalne – umożliwiające liczbowo/wartościowo wyrazić stopień ich realizacji lub przynajmniej umożliwić jednoznaczną „sprawdzalność” jego realizacji,
4. osiągalne i realistyczne – powinny oscylować wokół spodziewanych pozytywnych wyników możliwych do wykonania,
5. określone w czasie – powinien być określony w co najmniej rocznej perspektywie.

2. Celem zarządzania ryzykiem w Urzędzie Miasta w Redzie jest:

1. usprawnienie procesu planowania;
2. zwiększenie prawdopodobieństwa realizacji zadań i osiągania celów;
3. uzyskanie bezpieczeństwa informacji, w tym danych osobowych;
4. zapewnienie odpowiednich mechanizmów kontroli;
5. zapewnienie kierownictwu Urzędu wczesnej informacji o zagrożeniach dla realizacji wyznaczonych celów i zadań.

§ 6

Identyfikacja i analiza ryzyka polega na wykonaniu następujących kolejno po sobie czynnościach:

0. 1. 1. identyfikacja ryzyka do każdego celu i zadania;
      2. analiza zidentyfikowanego ryzyka poprzez określenie:
1. prawdopodobieństwa jego wystąpienia – ocena punktowa w skali od 1 do 5,
2. skutku, jaki będzie miało ewentualne wystąpienie ryzyka – ocena punktowa w skali od 1 do 5;
   1. 3. ocena ryzyka, w tym określenie poziomu akceptowalnego ryzyka, poprzez dokonanie oceny prawdopodobieństwa wystąpienia danego ryzyka oraz jego możliwych skutków;
      4. zbadanie, czy istniejące mechanizmy kontrolne są wystarczające dla zminimalizowania zidentyfikowanego ryzyka. Jeśli są niewystarczające wdrożenie odpowiednich mechanizmów kontrolnych w stosunku do każdego zidentyfikowanego ryzyka;
      5. określenie sposobu postępowania w odniesieniu do zidentyfikowanych ryzyk poprzez określenie:

1. reakcji na ryzyko,
2. działań, jakie należy podjąć w odniesieniu do zidentyfikowanego ryzyka,
3. wskazanie osób odpowiedzialnych za podjęcie działań zaradczych oraz ustalenie terminu, do którego działania należy podjąć.

§ 7

Prawdopodobieństwo wystąpienia ryzyka oceniane jest w skali od 1 do 5, gdzie:

§ 8

Wpływ (skutek) wystąpienia ryzyka oceniany jest w skali od 1 do 5, gdzie:

§ 9

Macierz ryzyka na którą składa się:

• Oś pionowa – ocena prawdopodobieństwa (w skali od 1 do 5)
• Oś pozioma – siła oddziaływania (w skali od 1 do 5)

§ 10

Ocena ryzyka jest iloczynem prawdopodobieństwa wystąpienia i siły oddziaływania (wpływu skutków) wskazanego ryzyka:

0. 1. 1. Wartość ryzyka = prawdopodobieństwo x siła oddziaływania;
      2. Wartość iloczynu decyduje o istotności ryzyka w następujący sposób:
1. Ryzyko kluczowe – przedział <15;25> co oznacza brak realizacji kluczowych celów określonych dla Urzędu;
2. Ryzyko średnie – przedział <5;12> oznacza zakłócenia w działalności Urzędu;
3. Ryzyko niskie – przedział <1;4> oznacza zakłócenia, które nie mają istotnego wpływu na działalność Urzędu.

§ 11

Mechanizmy kontrolne (zabezpieczenia) należy wskazać biorąc pod uwagę następujące przesłanki:

1. czy istnieją określone mechanizmy kontrolne (procedury, czynności),
2. czy zidentyfikowane mechanizmy pozwalają skutecznie zarządzać ryzykiem,
3. czy mechanizmy są realizowane prawidłowo, czy procedury są stosowane zgodnie z założeniami,
4. czy koszty wdrożenia mechanizmów są współmierne do skuteczności procedur w zarządzaniu ryzykiem,
5. czy istnieją możliwości poprawy skuteczności zarządzania ryzykiem.

§ 12

Przy określaniu reakcji na ryzyko należy uwzględnić:

1. wpływ potencjalnych reakcji na prawdopodobieństwo wystąpienia ryzyka i jego skutek,
2. poziom akceptowanego ryzyka,
3. relacje kosztów wdrożenia działań, które stanowiłyby odpowiedź na ryzyko oraz korzyści uzyskanych z tych działań, gdyż koszty podejmowanych działań nie powinny być wyższe niż spodziewane korzyści z podjętych działań.

§ 13

Reakcja na ryzyko polega na:

1. akceptacji ryzyka (tolerowane) – nie jest wymagane podejmowanie działań wpływających na ryzyko,
2. przeniesieniu ryzyka - przeniesienie skutków jego wystąpienia na inny podmiot np. na towarzystwo ubezpieczeniowe,
3. ograniczeniu (redukcji) ryzyka – podjęcie działań w kierunku zmniejszenia prawdopodobieństwa lub siły oddziaływania ryzyka. Wdrożenie nowych mechanizmów kontrolnych,
4. działaniu – podjęcie działań ograniczających prawdopodobieństwo lub skutki zdarzeń negatywnych lub działań zmierzających do pozytywnego wykorzystania pojawiających się pożądanych okoliczności,
5. unikaniu ryzyka  - rezygnacja z działań związanych z ryzykiem.

§ 14

1. Propozycję postępowania w odniesieniu do zidentyfikowanego ryzyka przygotowuje:
   1. 1. Kierownik komórki organizacyjnej w odniesieniu do wszystkich ryzyk zidentyfikowanych
         w kierowanej przez siebie komórce organizacyjnej;
      2. Zespół ds. zarządzania ryzykiem w odniesieniu do ryzyk, które po skumulowaniu wszystkich ryzyk zidentyfikowanych w całym Urzędzie, mogą mieć średni, duże lub krytyczny wpływ na działalność Urzędu.
2. Decyzję o sposobie postępowania w odniesieniu do zidentyfikowanych ryzyk podejmuje:
   1. 1. Kierownik komórki organizacyjnej w stosunku do ryzyk, które mają nieznaczny lub mały wpływ na realizację celów i zadań;
      2. Burmistrz w stosunku do pozostałych ryzyk.
3. Kierownicy komórek organizacyjnych mają obowiązek dokonywania co najmniej raz w roku przeglądu ryzyka wyznaczonego dla ustalonych celów i zadań, tak aby uzyskać informację czy:
   1. 1. ryzyko nadal występuje;
      2. pojawiło się nowe ryzyko;
      3. prawdopodobieństwo i wpływ ryzyka zmieniło się;
      4. stosowane mechanizmy kontrolne są efektywne.

§ 15

Dokumentowanie wyników analizy ryzyka:

1. wyniki analizy ryzyka – rejestry ryzyka, kierownicy komórek organizacyjnych zobowiązani są przekazać osobie odpowiedzialnej za przeprowadzenie kontroli wewnętrznej w terminie do 10 lutego danego roku, zgodnie z załącznikiem do niniejszego Zarządzenia;
2. cel i zadania jednostki związane z zapewnieniem bezpieczeństwa informacji przetwarzanych w systemach informatycznych ze szczególnym uwzględnieniem danych osobowych w Urzędzie, stanowią integralny punk każdego arkusza rejestru ryzyka, o którym mowa w punkcie 1;
3. osoba odpowiedzialna za przeprowadzenie kontroli wewnętrznej przekazuje Sekretarzowi, który jest przewodniczącym zespołu ds. zarządzania ryzykiem, zbiorczą informację w zakresie zarządzania ryzykiem wraz z wynikami ich analizy ryzyka, w terminie 14 dni od dnia określonego w ust. 1;
4. Zespół ds. zarządzania ryzykiem przedkłada Burmistrzowi w terminie do 28 lutego w formie pisemnej wyniki analizy ryzyka, w tym ze szczególnym uwzględnieniem ryzyk, które po skumulowaniu wszystkich ryzyk zidentyfikowanych w całym Urzędzie, mogą mieć średni,  duży lub  krytyczny wpływ na działalność Urzędu;
5. dokumentacja dotycząca procesu zarządzania ryzykiem jest przechowywana i archiwizowana przez osobę odpowiedzialną za przeprowadzenie kontroli wewnętrznej.

§ 16

Wykonanie Zarządzenia powierza się kierownikom komórek organizacyjnych i pracownikom.

§ 17

Traci moc Zarządzenie NR.OR.3.2021 Burmistrza Miasta w Redzie z dnia 10 stycznia 2014 r.
w sprawie polityki zarządzania ryzykiem w Urzędzie Miasta w Redzie.

§ 18

Zarządzenie wchodzi w życie z dniem podpisania.

Załączniki do pobrania

Metadane - wyciąg z rejestru zmian