§ 7 ANALIZA RYZYKA I OCENA RYZYKA

Analiza zidentyfikowanych ryzyk dostarcza informacji, jaki jest wpływ tych ryzyk na działalność Uczelni oraz jej jednostek organizacyjnych.

Analiza ryzyka polega na określeniu możliwych skutków zaistnienia danego czynnika ryzyka i określeniu wartości prawdopodobieństwa jego wystąpienia, co pozwala na określenie poziomu ryzyka, a następnie ustaleniu jego istotności według zasad określonych w ust. 3 niniejszego paragrafu.

Do oceny wykorzystuje się pięciostopniową skalę (od 1 do 5) zarówno dla prawdopodobieństwa, jak i dla skutku, przy czym ocena 1 oznacza najmniejszą, a ocena 5 największą wartość prawdopodobieństwa lub skutku dla każdego ryzyka.

Ustala się następujące poziomy ryzyka:

poziom 1 - minimalne (kolor niebieski) – niewymagające podejmowania działań;

poziom 2 - małe (kolor zielony) – osiągające wartość akceptowalną przy monitorowaniu ryzyka;

poziom 3 - średnie (kolor żółty) – wymagające wdrożenia reakcji na ryzyko i nadzoru nad jej wykonaniem;

poziom 4 - duże (kolor pomarańczowy) – dla którego obowiązkowe jest pilne wdrożenie planu awaryjnego;

poziom 5 znaczące (kolor czerwony) – niezbędne jest przekazanie zagadnienia na wyższy poziom decyzyjny.

Kryteria oceny poziomu ryzyka zawarte są w załączniku nr 3.

Ocenę skutku materializacji ryzyka dokonuje się w aspekcie skutku finansowego i niefinansowego, takiego jak: utrata reputacji, obniżenie jakości świadczonych usług, konsekwencji prawnych, w tym karno-skarbowych, utratę szans, opóźnienia. W ocenie skutku materializacji i prawdopodobieństwa ziszczenia się ryzyka można się posłużyć wskazówkami zawartymi w załączniku nr 4.

Etap analizy i oceny ryzyka kończy się wprowadzeniem przez właścicieli ryzyka oceny ryzyka do aplikacji informatycznej w ramach kwartalnej oceny ryzyka, najpóźniej do 10 dnia kolejnego miesiąca przypadającego po zakończeniu kwartału, z tym że ocena ryzyka na poziomie strategicznym dokonywana jest nie rzadziej niż raz w roku. PRO/DRS analizuje wprowadzone oceny a następnie zatwierdza je w aplikacji informatycznej, do końca miesiąca przypadającego po zakończeniu kwartału.

W przypadku, gdy w wyniku dokonanej analizy PRO/DRS dojdzie do wniosku, że ocena ryzyka dokonana przez właściciela jest zaniżona lub zawyżona, przedstawia swoją opinię właścicielowi ryzyka. W sytuacji, gdy właściciel ryzyka pozostaje przy swojej ocenie, PRO/DRS przedstawia w kwartalnym sprawozdaniu również własną ocenę danego ryzyka. Wówczas sprawozdanie zawiera dwie oceny ryzyka, dokonaną przez właściciela ryzyka oraz przez PRO/DRS. Ostateczną decyzję co do oceny poziomu ryzyka podejmuje Rektor.

§ 8 OKREŚLENIE SPOSOBU POSTĘPOWANIA

W stosunku do każdego zidentyfikowanego zagrożenia w sytuacji wystąpienia prawdopodobieństwa przekroczenia akceptowalnego przez Uczelnię poziomu ryzyka powinna być podjęta adekwatna do poziomu zagrożenia reakcja wyprzedzająca.

Poziom akceptowalnego ryzyka ustalany jest z uwzględnieniem przepisów prawa, standardów kontroli zarządczej, najlepszych praktyk zarządzania ryzykiem i oczekiwań Senatu.

Ryzykiem akceptowanym jest ryzyko minimalne (poziom ryzyka oceniony na 1 punkt, oznaczony kolorem niebieskim). Akceptowanie ryzyka oznacza niepodejmowanie żadnych działań w sytuacji, gdy akceptujemy skutki materializacji zagrożenia.

W przypadku, gdy ryzyko zostało ocenione jako małe (poziom ryzyka oceniony na 2 do 4 punktów, oznaczony kolorem zielonym) wymagane jest monitorowanie jego poziomu.

Jeżeli ryzyko przekracza poziom akceptowalny (poziom ryzyka oceniony na 5 punktów lub więcej, oznaczony kolorem żółtym, pomarańczowym i czerwonym), należy podjąć działania zapobiegawcze mające na celu obniżenie poziomu ryzyka do wartości akceptowalnych (poniżej 5 punktów). Sposobami reakcji na ryzyko w takim przypadku jest:

unikanie ryzyka lub przesunięcie w czasie - jest równoznaczne z czasowym lub stałym zaniechaniem podejmowania działań; w takim wypadku należy jednak brać pod uwagę osiągnięcie celu działania i wagę tego celu;

kontrolowanie ryzyka - oddziaływanie na: prawdopodobieństwo (przyczyny, mechanizmy prowadzące do materializacji ryzyka), skutek materializacji ryzyka (zmniejszanie jego maksymalnej wartości), poprzez rozpraszanie, kompensację ryzyka, podejmowanie działań ograniczających ryzyko do akceptowalnego poziomu;

transfer ryzyka, tj. przeniesienie skutków materializacji na inny podmiot np. ubezpieczyciela (wymaga zgody na wydatkowanie środków finansowych według procedur wewnętrznych).

Rodzaj reakcji na ryzyko zależy od:

wpływu potencjalnych reakcji na prawdopodobieństwo wystąpienia ryzyka i jego skutek;

akceptowalnego poziomu ryzyka;

relacji kosztów wdrożenia działań, które stanowiłyby odpowiedź na ryzyko oraz korzyści uzyskanych z tych działań.

W celu określenia metody przeciwdziałania ryzyku należy przeanalizować:

przyczyny (źródła) ryzyka i możliwe scenariusze rozwoju wydarzeń;

istniejące mechanizmy kontroli, stosowane w celu ograniczenia lub uniknięcia tego ryzyka;

skuteczność istniejących mechanizmów kontroli, tj. zakres, w jakim przeciwdziałania ryzyku, a poprzez to ułatwiają lub utrudniają realizacje ustalonych celów i zadań.

Po przekroczeniu wartości poziomu akceptowalnego ryzyka właściciele ryzyk zobowiązani są do wskazania konkretnych działań zaradczych, ograniczających wystąpienie ryzyka i jego skutki. W przypadku braku wskazania konkretnych działań przez właścicieli ryzyka, PRO/DRS samodzielnie proponuje sugerowane do podjęcia działania, które zamieszcza w sprawozdaniu po uzyskaniu akceptacji Rektora.

W odniesieniu do szans, należy podjąć wszelkie działania eliminujące możliwość zaistnienia sytuacji niepowodzenia przedsięwzięcia.

Etap określenia sposobu postępowania kończy się wydaniem rekomendacji ujętych w kwartalnych sprawozdaniach z oceny ryzyka w Politechnice Wrocławskiej.

§ 9 MONITORING I SPRAWOZDAWCZOŚĆ

Prorektor ds. Organizacji i Rozwoju przy współudziale PRO/DRS przedstawia Rektorowi oraz po akceptacji Rektora do wiadomości Prorektorów, Audytu Wewnętrznego, Kanclerza, Pełnomocnika Rektora ds. zmian strukturalno-organizacyjnych, Dyrektora Działu ds. Strategii Uczelni, pisemne sprawozdanie o stanie zagrożenia i poziomie kształtowania się poszczególnych ryzyk w Uczelni.

W sprawozdaniu powinny być zawarte informacje, dotyczące podjętych w ostatnim czasie działań ograniczających ryzyko, skutków tych działań oraz propozycje działań do podjęcia w celu zminimalizowania ryzyka do akceptowalnych poziomów. Sprawozdanie powinno również przekazywać aktualne informacje na temat zidentyfikowanych nowych zagrożeń, oraz w sposób przejrzysty przedstawiać poziom ryzyka w prowadzonych projektach.

Wszyscy pracownicy Uczelni są zobowiązani do przestrzegania procedur zawartych w niniejszej Polityce Zarządzania Ryzykiem.

§ 10 AKTUALIZACJA POLITYKI ZARZĄDZANIA RYZYKIEM

Polityka Zarządzania Ryzykiem podlega corocznemu przeglądowi.

Za przegląd Polityki Zarządzania Ryzykiem odpowiada PRO/DRS

§ 11 REAKCJA NA RYZYKO

W przypadku ryzyk, które wystąpiły/zmaterializowały się w jednostkach Uczelni, PRO/DRS, gromadzi informacje na temat wdrożonych scenariuszy działań mających na celu przeciwdziałanie podobnym zagrożeniom w przyszłości. Jeżeli zaistnieje analogiczne ryzyko w innej jednostce Uczelni PRO/DRS proponuje właścicielowi ryzyka do wykorzystania możliwy scenariusz działania, opracowany na podstawie doświadczeń innej jednostki w Uczelni. Właściciel ryzyka wdraża zaproponowany scenariusz lub opracowuje własny plan awaryjny do wdrożenia w przypadku ponownego zaistnienia ryzyka wymagającego reakcji.

8