Стратегия за управление на риска
в Икономически университет – Варна
І. Общи положения
Тази стратегия има за задача да отрази основните цели и приоритети в дейността на Икономически университет – Варна по управление на риска и обхваща периода 2021-2023 година.
Управление на риска е процесът по идентифициране, оценяване и мониторинг на рисковете, които могат да повлияят върху постигане целите на Икономически университет – Варна и въвеждането на необходимите контролни дейности, с цел ограничаване на рисковете до приемливо равнище.
Стратегическите цели на Икономически университет – Варна са дефинирани в Мандатната програма за развитие на университета за периода 2019-2023 г. и Политиката за развитие на Икономически университет – Варна, утвърдена със Заповед № РД09-1409/03.07.2020 г. на министъра на образованието и науката. Дефинираните цели от своя страна съответстват на изискванията на Закона за висшето образование; Правилника за дейността на Икономически университет – Варна; Стратегия “Европа 2020”; Стратегия за развитие на висшето образование в Република България за периода 2021-2030 година; Национална стратегия за учене през целия живот; Закон за развитието на академичния състав в Република България; Национална стратегия за развитие на научните изследвания в Република България 2017-2030 година.
Съгласно чл. 12, ал. 1 от Закона за финансовото управление и контрол в публичния сектор ръководителите на организациите от публичния сектор отговарят за осъществяване на процеса по управление на рисковете, който включва: определяне на рисковете, оценяване вероятността от настъпването им и тяхното влияние и предприемане на мерки и контролни дейности с цел ограничаване на рисковете до едно разумно ниво. От важно значение за ефективността на този процес е той да се възприеме като задача от всеки служител в университета.
Управлението на риска е неразделна част от управленския процес като цяло и увеличава вероятността за успех и едновременно намалява вероятността за неуспех и несигурността по отношение постигане на стратегическите и оперативни цели на университета. Управлението на риска е динамичен процес, който се осъществява на всички йерархични нива.
Качественото управление на риска изисква разработване на добра стратегия за управление, включваща разработване на процедури за идентифициране на рисковете, въвеждане на система за контрол и докладване на значимите рискове на съответните нива.
Като част от процеса на идентифициране и оценка на рисковете, следва да се идентифицират възможности да се случи събитие, което може да повлияе положително на постигането на целите. Тези възможности са важни и е добре да бъдат идентифицирани и по възможност използвани, като за целта се определят нужните оперативни цели и се приложат процедури и контроли.
В процеса на управлението на риска трябва да се идентифицират промени, които биха могли да повлияят значително на системата за вътрешен контрол и да се предприемат действия, ако е необходимо. Управлението на промените включва разработване на подходи и мерки за идентифициране на значителни промени във всеки аспект на дейността на университета.
Процесът на Управлението на риска включва следните стъпки, определени въз основа на Закона за финансовото управление и контрол в публичния сектор, изискванията на Интегрираната рамка COSO[1] 2013 и Указанията на МФ за управление на риска в организациите от публичния сектор:
- създаване на условия за управление на риска;
- идентифициране и оценка на риска;
- определяне на риск-апетита;
- реакция на риска;
- мониторинг на риска.
Процесът по управление на риска трябва да се изпълнява като комбинация от периодични (поне веднъж в годината) и текущи (при промяна на риск средата или друга необходимост) мерки и дейности.
В настоящата стратегия се използват следните термини, в съответствие с Указанията за управление на риска в организациите от публичния сектор на МФ и добрите практики:
- Риск – събитие, което ще повлияе върху постигане на целите на организацията. Рискът се измерва с неговия ефект и с вероятността от настъпването му;
- Разумна увереност – задоволително ниво на увереност, което изисква разходите за вътрешен контрол да не надхвърлят очакваните ползи от него. Концепцията за разумна увереност е признание, че не е възможно да се твърди абсолютно и със сигурност, че дадено неблагоприятно събитие няма да се случи въпреки взетите мерки и предприетите действия. Никой не може да постигне абсолютна (100%) увереност поради многобройни фактори, произтичащи от ограничените финансови и други ресурси, ограниченията на източниците на информация, човешките грешки и т.н.;
- Идентифициране на риска – идентифициране на вътрешни и външни събития, които могат да застрашат постигането на целите на организацията;
- Оценка на риска – процес, състоящ се от определяне на степен на вероятност от сбъдването на идентифицирания риск и определяне на степен на влияние (ефект) върху целите на организацията при неговото настъпване;
- Вероятност – представлява възможността дадено събитие да се случи или, с други думи, колко е вероятно дадено събитие да се прояви;
- Ефект (влияние) – представлява описание и оценка на това какви биха могли да бъдат последствията/въздействието от настъпило събитие. Ефектът може да бъде както отрицателен, така и положителен;
- Присъщ риск – рискът, свързан с естеството на дейността на организацията при липса на каквито и да е действия (контроли) за смекчаване на вероятността или на ефекта от неговото проявление;
- Остатъчен риск – нивото на влияние и вероятност от риск, което остава след реакцията (контрола) на ръководството към риска. След предприемане на конкретни действия (реакция на риска) продължава да съществува риск, който се нарича остатъчен риск, и по същество изразява факта, че рискът не може да бъде премахнат изцяло. Отговорност на ръководителя е да реши дали равнището на остатъчния риск е приемливо за организацията или е необходимо да бъдат предприети допълнителни действия за неговото намаляване;
- Реакция на риска – мерки/действия за приемане, ограничаване, прехвърляне или прекратяване на риска;
- Риск апетит – нивото на риск, което организацията е склонна да приеме при изпълнение на своята мисия, без да бъде застрашено постигането на целите;
- Собственик на риска – всеки ръководител на структурно звено.
ІІ. Роли и отговорности при управлението на риска
Дейността по управление на риска обхваща всички функции, дейности, процеси и структури в ИУ – Варна.
1. Участници в процеса по управлението на риска:
- Ректорът на ИУ – Варна;
- Заместник-ректорите на ИУ – Варна;
- Помощник-ректорът;
- Главният секретар;
- Лицето, отговорно за счетоводните записвания, осъществяващо контрола за двоен подпис;
- Деканите на факултети и техните заместници;
- Директорите на основни звена (институт, колеж);
- Ръководителите на катедри и техните заместници;
- Ръководителите на обслужващи звена;
- Финансовият контрольор;
- Служителите на ИУ – Варна.
2. Роли и отговорности
2.1. Ректор на ИУ – Варна
Ректорът на ИУ – Варна е отговорен за:
- Утвърждаване на стратегия за управление на риска;
- Утвърждаване на оперативния план на ИУ – Варна, риск-регистъра на ИУ – Варна, доклада за изпълнение на действията по риск-регистъра на ИУ – Варна и отчета за изпълнение на оперативните цели на ИУ – Варна;
- Определяне на Риск-мениджмънт, както и ясно разпределение на отговорностите по управление на риска сред останалите участници в процеса по управление на риска;
- Вземане на решения относно съществените рискове;
- Анализиране и актуализиране веднъж годишно на контролните дейности, целящи намаляването на риска;
- Даване на стратегически насоки и осигуряване на финансови и организационни ресурси, необходими за реализиране на процеса по управление на риска във ИУ – Варна;
- Одобряване на риск апетита на ИУ – Варна, одобряване и осигуряване на прилагането на реакциите на риска, определени в резултат от управлението на риска, за да се намали влиянието и вероятността от настъпването на тези рискове (реакция на риска) до приемливо ниво (т.е. остатъчния риск);
- Предприемане на коригиращи действия на база на информацията от мониторинга на риска.
За изпълнение на посочените отговорности ректорът на ИУ – Варна възлага на ръководителите на структурни звена и на другите служители на ИУ – Варна да участват в процеса по управление на риска в рамките на своите компетенции.
2.2. Заместник-ректорите на ИУ – Варна
Заместник-ректорите на ИУ – Варна, като ръководители на определени направления в дейността на университета, отговарят за:
- Определяне на оперативни цели и съставяне на оперативни планове на ръководеното от тях направление на базата на стратегическите цели, ценностите, визията и мисията на ИУ – Варна.
- Идентифициране, анализиране, оценяване, групиране, приоритизиране на рисковете, застрашаващи оперативните цели.
- Избиране на варианти за действия – реакция на приоритетните рисковете.
- Определяне на срок за извършване на действията.
- Определяне на отговорник или изпълнител на действието.
2.3. Помощник-ректор
Помощник-ректорът подпомага ректора по въпроси, свързани с административното и финансовото управление, както и управлението на имуществото на ИУ –Варна. Изпълнявайки тази функция помощник-ректорът подпомага процеса по управление на риска, като участва при планирането и отчитането на изпълнението на оперативни цели, докладване на нововъзникнали рискове и иницииране на предприемането на коригиращи действия при необходимост.
2.4. Главен секретар
Главният секретар предприема действия, за да изпълнява изискванията, произтичащи от вътрешни унивеситетски актове във връзка с управлението на входяща и изходяща кореспонденция. В рамките на възложените му дейности, главният секретар участва при планиране и отчитане на стратегическите и оперативни цели на ИУ – Варна, както и при идентифирицане, оценяване и анализиране на рисковете. Главният секретар разпорежда предприемане на коригиращи действия по отношение на констатирани несъответствия от вътрешни и външни одити, както и на сигнали за несъответствия от страна на служители на ИУ – Варна в посока непрекъснато подобряване.
2.5. Ръководители на структурни звена
Ръководителят на структурно звено отговаря за:
- Определяне на оперативните цели на ръководеното структурно звено, дейностите, сроковете и очакваните резултати.
- Определяне на рисковите области, идентифициране на съществените рискове, оценяване и приоритизиране на рисковете, които ще управляват, предлагане на варианти за действия-реакция, както и срокове и отговорници.
- Изготвяне на риск-регистър на ръководеното структурно звено.
- Мониторинг и оценка в процеса на изпълнение на действията, заложени в риск-регистрите на ръководеното структурно звено.
2.6. Лицето, отговорно за счетоводните записвания, осъществяващо контрола за двоен подпис
- Дава информация на ръководителите на основни звена относно заложените политики при изготвянето на проекта на бюджет за следващата година.
- Извършва мониторинг и оценка на ефективността на процедурите за управление на риска в оперативната дейност и дава предложения за промени в случай на необходимост.
2.7. Финансов контрольор
Финансовият контрольор на ИУ – Варна:
- Подпомага процеса по управление на риска във ИУ – Варна с даване на мнение и съвет.
- Подпомага ръководителите при:
• идентифициране, анализиране, оценяване, групиране, приоритизиране на рисковете за изпълнение на оперативните цели;
• избиране на варианти за допълнителни действия – реакция на приоритетните рискове.
2.8. Служителите на ИУ – Варна
Служителите на ИУ – Варна участват в процеса по управление на риска като:
- Изпълняват планираните действия – реакция на приоритизираните рискове, включени в риск-регистъра.
- Докладват на прекия си ръководител за всички въпроси, които могат да имат отношение към управлението на риска в оперативната дейност.
- Изпълняват задачи във връзка с управлението на риска, възложени им от прекия ръководител.
- Сигнализират и предлагат решение за идентифицирани от тях проблеми, застрашаващи изпълнението на функционалните задължения в оперативната дейност, чрез запознаване на прекия ръководител с проблема;
- Докладват на прекия ръководител за потенциални възможности за подобрение на системата за вътрешен контрол.
3. Комитет по управление на риска, риск-ръководител (риск мениджмънт)
В ИУ – Варна функционира Комитет по управление на риска. Комитетът периодично разглежда функциите и дейностите в университета във връзка с целите му и идентифицира свързаните с тях рискове. Председателят на Комитета по управление на риска изпълнява функциите и на риск-ръководител и отговаря за:
- Създаване на организация за разработване на Стратегията за управление на риска, съответно нейната актуализация;
- Координиране, организиране и информационно обезпечаване на дейностите по идентифициране и оценка на риска и определяне на реакции на риска;
- Осигуряване отразяването на рисковете и тяхната оценка, на резултатите от извършените по управление на риска действия, сроковете, в които действията ще бъдат предприети и отговорните лица, в специален документ – риск-регистър, както и да се подсигури неговото редовно актуализиране;
- Подпомагане ръководството на университета при определяне на риск-апетита и даване на мнение относно приемливите нива на риск;
- Методическо подпомагане и консултиране на собствениците на риска;
- Консултиране, организиране и провеждане на обучения по теми, свързани с управлението на риска;
- Организиране осъществяването на мониторинг на управлението на риска;
- Докладване на ръководителя на организацията на обобщена информация по отношение управлението на риска. При необходимост от предприемане на коригиращи действия, в резултат от мониторинга, риск-ръководителят докладва на ректора и организира и координира тяхното разработване, в съответствие със Стратегията за управление на риска.
Председателят на Комитета по управление на риска разпределя задачите във връзка с дейността на комитета между останалите негови членове, като следи за тяхното навременно и точно изпълнение.
Заседанията на Комитета по управление на риска се състоят, както следва:
- Среща в началото на годината (м. януари), на която се потвърждават целите на отделните структурни звена и се стартира процесът по идентифициране и оценка на рисковете за организацията като цяло и в отделните дирекции/отдели/сектори;
- Среща при внезапно възникнала необходимост в случай на непредвидени обстоятелства или внезапен развой на събитията и т.н.;
- Среща в края на годината за отчитане на резултатите (м. декември), на която Комитетът по управление на риска подготвя Годишен доклад до ректора на ИУ – Варна, в който отчита дейностите по управление на риска през годината, както и постигнати цели.
III. Етапи и процедури при управлението на риска
1. Създаване на условия за управление на риска
Създаването на условия за управление на риска е отговорност на ректора на ИУ – Варна. За да създаде условия за ефективно управление на риска, ректорът:
- Утвърждава Мандатна програма и Политика за развитие на университета;
- Утвърждава Стратегия за управление на риска;
- Определя Риск-мениджмънта и отговорностите по управление на риска;
- Определя Риск-апетита на университета;
- Отговаря за осигуряване на ресурси във връзка с изпълнение на задълженията по управление на риска;
- Отговаря за осигуряване на ефективно комуникиране на стратегическите документи и всяка относима информация, като целта е информацията да достигне до всеки служител.
2. Идентифициране и оценка на риска
2.1. Идентифициране на риска
На този етап се идентифицират събитията, застрашаващи постигането на целите на организацията или изпълнението на конкретната дейност/процес, свързана с тези цели. Идентифицирането на присъщите рискове е отговорност на риск-собствениците (ръководители на структурни звена в университета).
Създадената стабилна система за вътрешен контрол осигурява прозрачна и ясна процедура за идентифициране на целите, прилагане на критерии за оценка на изпълнението и докладване на резултатите.
Идентифицирането на рисковете следва да бъде във връзка с целите на университета, възможно най-изчерпателно и отчитащо влиянието на външни и вътрешни фактори. Стратегическият подход към оценката на риска зависи от идентифицирането на рисковете за ключовите цели на университета. След това рисковете, свързани с тези цели, се разглеждат и оценяват, като в резултат на това се стига до малко на брой ключови рискове. Идентифицирането на ключовите рискове е важно не само за идентифицирането на най– Важните области, към които трябва да се насочи оценката на риска, но и за разпределяне на отговорностите за управление на тези рискове.
Важно е да се имат предвид промените в профила на риска, възникнали в резултат на промените в икономическата и законовата среда, вътрешните и външни условия за дейността и въвеждането на нови цели.
Извършва се текущо и периодично (годишно) идентифициране на рисковете.
За целите на текущото идентифициране на рисковете, застрашаващи целите на организацията, всеки служител, който счита, че е идентифицирал нов риск или промяна във вероятността или влиянието на съществуващ риск, трябва да информира ръководителя на структурното звено, в което работи (риск-собственика). Риск-собственикът преценява дали има основания да информира риск-ръководителя (председателя на Комитета по управление на риска). Също така всеки служител може, ако има нова информация за рисковете, да информира директно риск-ръководителя, ако обективни причини му пречат да информира и обсъди въпроса с ръководителя на структурното звено.
При периодичното (годишно) идентифициране, по инициатива на председателя на Комитета по управление на риска, се провеждат работни срещи с риск-собствениците относно идентифицирането и оценката на риска. Започва се с подробен анализ и обсъждане на стратегическите и оперативните цели на университета и свързаните с тях дейности и процеси.
Идентифицирането на рисковете трябва да се извърши по отношение на всяка стратегическа или оперативна цел. Риск-собствениците трябва да идентифицират присъщите рискове, които биха могли да повлияят на постигането на всяка отделна оперативна цел от списъка на целите. При идентифицирането на рисковете, застрашаващи постигането на поставените цели, е от ключово значение да се обхванат всички аспекти на средата, в която функционира ИУ – Варна, както и всички аспекти на дейността на университета.
Използва се предварително установена класификация на рисковете, като риск-собствениците работят по всички категории, с цел идентифициране на съществуващите рискове от различни категории.
Рисковете основно се подразделят на външни и вътрешни. Външни са рискове, свързани с външни обстоятелства, като например: политически събития, законодателни промени, промени в икономиката, природни явления, външни организации – партньори, контрагенти, медии и др. Вътрешни са рискове, свързани с правно-организационната форма, спецификата на дейността и процеса на работа на организацията, като например: рискове, свързани със системата за обмен на данни, проблеми, свързани с човешките ресурси, промени в работните задачи, неефикасно управление и др.
Рисковите области в дейността на Икономически университет се определят както следва:
- Управленска философия, стил на работа, управленски методи и механизми;
- Човешки ресурси и трудова дисциплина;
- Външни регулаторни фактори и обстоятелства;
- Финансови ресурси;
- Обществени поръчки;
- Надеждност, сигурност на информацията и компютърни системи;
- Образователна и научна дейност.
В рамките на посочените по-горе рискови области биха могли да се проявят конкретни рискове. Процесът на идентифициране на рисковете следва да позволи на всеки риск-собственик да изрази своето виждане за възможните рискове, преди да се пристъпи към обсъждане и финално формулиране на идентифицираните рискове.
В ИУ – Варна се прилагат следните техники за идентифициране и в последствие за оценка на риска: техниката на номиналната група, техниката на брейнсторминг (метод на мозъчната атака) и други адекватни методи, в съответствие с тяхната характеристика в Указанията на управление на риска в организациите от публичния сектор на МФ.
Всеки собственик на риска изготвя риск-регистър за своите рискове и на тази база се изготвя риск-регистър на университета. Идентифицираните рискове се документират от риск-ръководителя в риск-регистъра.
2.2. Оценка на риска
Основната задача на този етап е рисковете да бъдат анализирани и оценени, за да могат да бъдат определени съществените рискове и да се вземе решение как да се контролират и какво въздействие трябва да бъде оказано върху тях – каква трябва да бъде реакцията на риска. Рисковете се оценяват по два показателя – вероятност и влияние.
Една от ключовите цели на оценката на риска е да информира ръководството за областите на риск, в които трябва да се предприемат действия, както и за относителния им приоритет.
Важно е броят на категориите рискове да се сведе до минимум, тъй като прекалената сложност може да доведе до заблуждаващо разделение на равнища, които в действителност не могат да се разделят ясно.
Оценката дава възможност рисковете да се подредят по важност, за да се определи приоритетността им и да се предостави информация за управленски решения във връзка с рисковете, на които трябва да се обърне повече внимание.
Самият процес на оценяване на рисковото ниво е свързан с определяне на елементите на риска – вероятност от настъпване на събитието – тежест и ефекта му (на събитието) върху елементите на системата. Оценката на риска се формира от произведението на двата елемента.
В ИУ – Варна се използват качествени методи за оценка на рисковете. При използването на качествени методи, вероятността и ефектът на рисковете се оценяват чрез качествени показатели. В ИУ – Варна нивата на риска се определят в следната скала: нисък, среден и висок.
При оценката на всеки риск по двата показателя – вероятност и влияние – се използва тристепенната скала, като възможните произведения между тях са шест: 1, 2, 3, 4, 6 и 9. След определяне на единичните стойности се прави обща оценка, като произведение от вероятността и влиянието, разделено на броя обхванати елементи от структурата на ИУ – Варна. Полученият резултат се включва в следните условни граници:
- от 1 до 3 – нисък риск;
- от 4 до 6 – среден риск;
- от 7 до 9 – висок риск.
След идентифицирането и оценката на риска се анализира и установява допустимостта на съответния риск и необходимостта от прилагане на мерки за неговото ограничаване, прехвърляне или прекратяване. Определят се приоритетни зони за интервенция, като се отчитат установените рискове, причини, алтернативните решения, тяхната изпълнимост и необходимите разходи.
Както и при идентифицирането на рисковете, оценката на рисковете се извършва от риск-собствениците. В оценката на рисковете трябва да бъдат ангажирани всички риск-собственици. Първоначално се оценяват идентифицираните присъщи рискове и след това се пристъпва към оценка на остатъчните рискове.
Идентифицираните рискове за всяко структурно звено (и съответно за Университета като цяло) се оценяват по показателите „Влияние” и „Вероятност”.
Оценяват се потенциалното влияние и вероятност на присъщия риск, т.е. оценява се влиянието на риска при липсата на какъвто и да е контрол или други мерки за управлението му.
Влияние: Ако този риск възникне, какво ще бъде въздействието му върху постигането на целите?
Таблица 1
Оценки за измерване на влиянието
|
Оценка
|
Описание
|
|
1
|
Несъществено влияние
|
|
2
|
Умерено влияние
|
|
3
|
Съществено влияние
|
Всеки риск трябва да бъде оценен от гледна точка на вероятността рискът да се сбъдне.
Вероятност: До каква степен този риск може да се прояви в настоящето или в обозримо бъдеще (2-3 години)?
Таблица 2
Оценки за измерване на вероятността
|
Оценка
|
Описание
|
|
1
|
Не е вероятно (Може да се прояви случайно)
|
|
2
|
Малко вероятно (Може да се прояви рядко)
|
|
3
|
Вероятно (Може да се прояви често)
|
Таблица № 3
Оценка на присъщия риск
| Вероятност |
3 |
Вероятно |
3 |
6 |
9 |
| 2 |
Малко вероятно |
2 |
4 |
6 |
| 1 |
Не е вероятно |
1 |
2 |
3 |
| Влияние |
1 |
2 |
3 |
| Несъществено |
Умерено |
Съществено |
Легенда: зелена зона – нисък риск, жълта зона – среден риск, червена зона – висок риск
- Оценка на остатъчния риск (определяне на ефективността и адекватността на контрола)
Като част от процеса по управление на риска се определят съществуващите механизми за контрол, които могат да ограничават идентифицираните рискове.
Оценката на ефективността на контрола по същество представлява оценка и на остатъчния риск, който се дефинира като: „рискът, който остава след реакцията на риска от страна на ръководството”, т.е. вземат се предвид съществуването или липсата на контроли или други дейности по управлението му.
Риск-собствениците, под методологическата организация на риск-ръководителя, трябва да анализират дали съществуващите контроли са адекватни и ефективни за управление на идентифицираните присъщи рискове. За тази цел те трябва да идентифицират съществуващите контроли, които оказват влияние върху вероятността и влиянието на идентифицираните присъщи рискове.
Идентифицираните контроли се попълват в работен документ с оценените присъщи рискове. За постигане на унифициран подход в описанието на съществуващите контроли може да се направи позоваване на съответния вътрешен акт, процедура или правило. Когато няколко контроли влияят на даден риск, всички те трябва да бъдат описани към съответния риск.
Преоценката на влиянието и ефекта на остатъчните рискове, след като са оценени контролите, се извършва по същия ред, както оценката на присъщите рискове.
Риск-регистърът на ИУ – Варна е еднакъв за всяко едно структурно звено и за Университета като цяло[2]. Риск-регистрите на всяко структурно звено се представят от съответния ръководител пред Комитета по управление на риска поне веднъж годишно (в началото на годината), заедно с представянето на целите, описани в годишния оперативен план на структурата. На базата на риск-регистрите на отделните структурни звена и чрез провеждането на работни срещи, Комитетът по управление на риска създава риск-регистъра на цялата организацията, в който идентифицира рисковете, застрашаващи постигането на целите като цяло.
3. Определяне на риск-апетита
След като рисковете бъдат идентифицирани и оценени е необходимо да се реши кои рискове изискват незабавни действия и какъв тип коригиращи действия трябва да се приложат – да се определи реакцията на риска. Реакцията на риска е в пряка зависимост от риск-апетита на университета. Риск-апетитът трябва да бъде определен преди да се пристъпи към приоритизация и определяне на реакции към риска и е необходимо условие за ефективно управление на риска. Отговорност на ректора е да определи риск-апетита. За да подпомогне ректора при определяне на риск-апетита, риск-ръководителят може чрез работни срещи и консултации с риск-собствениците да дефинира възможни варианти на риск- апетит.
Дефинирането на риск-апетита включва както определяне на стойностите на вероятност и влияние, под които рисковете попадат в прага на търпимост, така и реакциите по отношение на рисковете.
Модел на определяне на риск-апетита по отношение на реакциите към риска:
- Критични рискове: рисковете, при които и вероятността и ефектът са високи. Те изискват незабавното внимание и подробно разглеждане на дейностите, свързани с управление на риска;
- Рискове с високо влияние (ефект) и ниска до средна вероятност. Тези рискове трябва да бъдат контролирани веднага, след като се вземат мерки по отношение на критичните рискове, тъй като въздействието им може да бъде значително, въпреки че вероятността да се случат е по-малка отколкото при критичните рискове;
- Рискове с висока вероятност и сравнително ниско влияние (ефект). За такива рискове обикновено не се взимат предпазни мерки. По-скоро трябва да се имат предвид и да се следи ефектът на натрупването, който може да повиши ефекта (например поредица от малки проблеми, които придобиват голямо влияние при натрупване или системно нарушение);
- Неотносими рискове: Тук се отнасят рисковете, при които и двата фактора – вероятност и влияние, са ниски. Те трябва да бъдат наблюдавани, но не изискват мерки. Третирането им зависи от наличните ресурси и от изискванията на заинтересованите страни.
Нивото на риск-апетита се записва в риск-регистъра (като коментар или бележка).
4. Реакция (отговор) на риска
След като рисковете са били идентифицирани и са оценени вероятността и влиянието им, ръководството на ИУ – Варна трябва да обмисли подходяща реакция. Предприемането на мерки и действия за реакция или отговор на идентифицираните и оценени рискове представлява съществен етап от управлението на риска като цяло.
Видове реакция
Реакциите на риска се разглеждат в четири категории:
- Ограничаване на риска – този вариант на реакция на риска следва да се прилага в повече от случаите, защото не е възможно рискът изцяло да бъде избегнат. Изградените контроли предоставят разумна увереност за ограничаване на риска в приемливи параметри, в зависимост от значимостта на риска и разходите за въвеждане на контролите. Рисковете, обект на тази реакция, се наблюдават периодично.
- Прехвърляне на риска – ръководството на университета може да прецени, че рискът е твърде висок и да го „прехвърли” към друга организация. Класическият начин за прехвърляне на риск е застраховането. По този начин се намалява показателят „влияние на риска” въпреки допълнителните разходи по застраховането. Друг способ е сключване на споразумение с друга организация, по силата на което се прехвърля дейност.
- Толериране (приемане) на риска – такава реакция е допустима само, ако определени рискове имат ограничено (незначително) влияние върху постигане на целите или разходите за предприемане на действия са непропорционални на потенциалните ползи. Тези рискове трябва да бъдат постоянно наблюдавани, за да не преминат в по– Висока категория.
- Прекратяване на риска – ограничаване на риска чрез прекратяване на дейността.
Дефиниране на реакции по отношение на рисковете
Към един и същи риск могат да бъдат предприети действия, включващи комбинация от горепосочените реакции на риска, като при последващ преглед на риск-регистъра определената реакция към даден риск може да се наложи да бъде променена. Дейностите и методите, които са необходими за намаляването на съответните рискове, се дефинират чрез работно заседание на риск-собствениците под координацията на риск-ръководителя.
Дефинирането на мерки за реакция включва и преценка доколко съществуващите контролни процедури са подходящи за управление на идентифицираните рискове. При необходимост се дефинират нови мерки за реакция на риска. При оценката на съществуващите контролни механизми и при разработването на нови, трябва да се разбира, че ниво на остатъчен риск винаги ще съществува.
IV. Мониторинг и проследяване процеса по управление на риска
Осигуряването на ефективност на процеса по управление на рисковете изисква текущо наблюдение (мониторинг) на всеки негов етап и периодично докладване на идентифицираните рискове и предприетите действия за тяхното намаляване (реакции). За осъществяване на систематично наблюдение риск-ръководителят и риск-собствениците преглеждат веднъж годишно целия риск-регистър.
Определени рискове могат да бъдат преглеждани по-често, в зависимост от тяхната специфика или особена значимост. Някои съществени рискове могат да изискват и ежедневен преглед. При възникване на внезапни събития риск-регистърът може да се разглежда извънредно без да се чака редовния преглед. Прегледът на рисковете следва да се документира.
Целта на процеса по мониторинг и докладване е да наблюдава дали рисковият профил (вероятността и влиянието на идентифицираните рискове) се променя и да дава увереност на ръководството на университета, че процесът по управление на риска остава ефективен във времето и са предприети необходимите действия за намаляване на риска до приемливо за университета ниво.
Един от важните инструменти за мониторинг върху изменението на рисковия профил са ключовите риск-индикатори (КРИ). КРИ служат за регистрирането на ранни сигнали за промени в риск експозицията. При дефиниране на тези индикатори трябва да се формулират мярка, цел, честота на измерване и източник на информация. За КРИ служат тези събития, които са първопричина за проявата на даден риск. В тази връзка, дефинирането на КРИ започва с анализ и идентифициране на причините, които водят до нарастване на вероятността или влиянието на рисковете. Дефинирането на КРИ включва анализ на историческите данни в университета, за рискове, които са се проявили в миналото и причините за тяхното проявление. Отговорни за дефинирането на КРИ са риск-собствениците, но утвърждаването им е отговорност на ректора. Цялостната координация на процеса е отговорност на риск мениджмънта.
За успешното наблюдение и оценяване на процеса по управление на рисковете в университета е необходимо:
- Комуникация и обмен на информация между всички нива и служители в организацията относно идентифицираните рискове;
- Ръководителите на структурни звена съобразно компетентностите им трябва да извършват постоянно наблюдение на рисковите фактори и своевременно да докладват на ректора за състоянието им.
- Отговорността по наблюдението и информиране относно състоянието на рисковите фактори е елемент от преките задължения на ръководителите на структурни звена.
- Ректорът на ИУ – Варна или ресорен заместник-ректор, предприемат превантивни и последващи действия на основание информацията от тези доклади.
При изпълнението на дейностите по управление на риска ректорът на университета определя служител на ръководна длъжност в университета, който координира процеса по управление на рисковете.Този служител председателства Комитета по управление на риска.
Комитетът докладва на ректора на ИУ – Варна за констатираните и оценени като най-съществени рискове в стратегически аспект. Въз основа на докладваното, ректорът предприема действия за намаляване на рисковете чрез:
- Издаване на заповеди;
- Създаване на комисии за действие;
- Въвеждане на строг режим на наблюдение на проблема и други.
V. Документиране на управлението на рисковете и комуникация
5.1. Документи за финализиране на етапите в процеса на управление на риска
Етапите в процеса по управление на риска добиват завършеност след изготвяне и утвърждаване на съответния документ:
- Мандатна програма и Политика за развитие;
- Оперативни планове на ИУ – Варна, както и на структурните звена, с оперативни цели за постигане на стратегическите цели;
- Отчети за достигнато ниво на оперативните цели на ИУ – Варна, както и на структурните звена;
- Риск-регистри на структурните звена;
- Обобщен риск-регистър на ИУ – Варна;
- Доклад за изпълнението на дейностите, заложени в риск-регистрите.
Докладите за изпълнение на дейностите, заложени в риск-регистрите и отчетите за достигнато ниво на оперативните цели, се изготвят годишно.
Документите за финализиране на отделните етапи в процеса по управление на риска се съставят така, че да е осигурена проследимост и съпоставимост на резултатите във времето и да позволява формулирането на изводи.
5.2. Вътрешна комуникация
На различните нива в управлението на Университета се предоставя съответната информация за процеса на управление на риска:
1. Ректорът, зам.-ректорите, помощник-ректорът, главният секретар, лицето отговорно за счетоводните записвания, осъществяващо контрола за двоен подпис, финансовият контрольор и ръководителите на структурни звена трябва да:
- Получават и имат информация за най– Важните рискове за университета.
- Получават и имат информация за възможните загуби на бюджетни средства и възможните пропуски в събирането на приходи.
- Координират информацията за процеса на управление на риска в структурните звена.
- Познават плана за действие на организацията при кризи.
- Ценят важността на доверието на всички заинтересовани страни в успеха на университета.
- Бъдат убедени, че процесът на управление на риска е ефективен.
- Водят разбираема политика за управление на риска, която включва философията за управление на риска и поетите отговорности.
2. Структурните единици на Университета трябва да:
- Познават рисковете, които попадат в тяхната сфера на отговорност, взаимовръзката на тези рискове с други области, както и последствията за дейността на тяхната единица от произтичащи процеси в свързани области.
- Имат достъп до основни показатели за представянето на организацията с цел наблюдение на ключовите финансови и оперативни дейности, изпълнението на целите, а също и за откриване на онези области, в които е необходима намеса (напр.бюджети и икономически прогнози и др.)
- Разполагат със системи, които да следят отклоненията от бюджета и плановете и да бъдат информирани достатъчно често с оглед своевременното прилагане на мерки.
- Докладват систематично и своевременно на ръководството при разпознаване на нови рискове или при неефективност на предприетите мерки.
3. Отделните служители трябва да:
- Осъзнават своята роля при управлението на всеки риск.
- Разбират как със своите действия могат да допринесат в подобряване на процеса на управление на риска и предоставят правилна обратна връзка.
- Разбират, че познаването и управлението на риска са ключови елементи на организационната култура.
- Докладват систематично и своевременно на ръководството при разпознаване на нови рискове или при неефективност на предприетите мерки.
5.3. Външна комуникация
Икономически университет – Варна предоставя периодично информация на всички заинтересовани страни, като очертава ясно своите политики по отношение на управление на риска и ефективността на постигане на целите.
Настоящата Стратегията за управление на риска е изготвена на основание чл. 7, ал.1, т.2, и утвърдена на основание чл. 12, ал.3 от Закона за финансово управление и контрол в публичния сектор. Стратегията е разработена в съответствие с т.2 от раздел IV на Методически насоки по елементите на финансовото управление и контрол на Министерство на финансите и Указания за управление на риска в организациите от публичния сектор на МФ.
Стратегията за управление на риска, е приета от Академичен съвет-Решение № 2 от Протокол № 29/ 25.11. 2021 г. Тя е неразделна част от Системите за финансово управление и контрол и подлежи на периодичен преглед и актуализиране при възникнала необходимост.
[1] The Committee of Sponsoring Organizations of the Treadway Commission (COSO)
[2] ИУ – Варна прилага формата на риск-регистър от приложение № 5 на Указанията за управление на риска в организациите от публичния сектор на МФ.
