STAN PRAWNY NA 7 WRZEŚNIA 2021 Analiza ryzyka – dokumentacja rejestrująca, identyfikacja i reakcja Opracował: Michał Łyszczarz, prawnik, główny specjalista w Wydziale Oświaty w Urzędzie Miasta w Dąbrowie Górniczej, współautor komentarza do Ustawy o systemie oświaty oraz licznych publikacji z zakresu prawa oświatowego Podstawa prawna: • Rozporządzenie Ministra Zdrowia z dnia 20 marca 2020 r. w sprawie ogłoszenia na obszarze Rzeczypospolitej Polskiej stanu epidemii (Dz.U. z 2020 r. poz. 491 ze zm.), • Komunikat Nr 23 Ministra Finansów z dnia 16 grudnia 2009 r. w sprawie standardów kontroli zarządczej dla sektora finansów publicznych (Dz.Urz. MF z 2009 r. Nr 15 poz. 84), • Komunikat Nr 6 Ministra Finansów z dnia 6 grudnia 2012 r. w sprawie szczegółowych wytycznych dla jednostek sektora finansów publicznych w zakresie planowania oraz zarządzania ryzykiem (Dz.Urz. MF z 2012 r. poz. 56). Konieczność utworzenia dokumentacji rejestrującej proces identyfikacji ryzyk w jednostkach sektora finansów publicznych, czyli również w samorządowych szkołach, przedszkolach i placówkach, wynika z Komunikatu Nr 23 Ministra Finansów z dnia 16 grudnia 2009 r. w sprawie standardów kontroli zarządczej dla sektora finansów publicznych, zgodnie z którym proces zarządzania ryzykiem powinien być dokumentowany. Standardy kontroli zarządczej nie określają wprost, jakie elementy stanowią dokumentację procesu zarządzania ryzykiem, bowiem same standardy stanowią jedynie zbiór wytycznych, a ostateczny kształt procedur składających się na kontrolę zarządczą w danej jednostce oświatowej zależy zawsze od jej dyrektora. Ważne! Standardy nie wprowadzają rozwiązań wiążących dla dyrektora, jednak formą najpowszechniej stosowaną jest rejestr ryzyk. Rejestr ten może mieć postać dowolną, w zależności od tego, którą formę dyrektor uzna za najbardziej przejrzystą i pomocną w procesie zarządzania ryzykiem placówki. Może mieć np. formę tabeli ujmującej w jedną całość cele zidentyfikowane, prawdopodobieństwa wystąpienia ryzyka oraz opis reakcji na nie – w tak skonstruowanym rejestrze można też wskazać osobę lub osoby odpowiedzialne za realizację danego zadania. Pamiętać przy tym należy, że sam rejestr ryzyk stanowi w istocie wynik procesu analizy ryzyka, bowiem każde ryzyko trzeba w pierwszej kolejności zidentyfikować, aby w takim rejestrze mogło zostać uwidocznione. Dyrektor jednostki oświatowej jest odpowiedzialny za funkcjonowanie systemu kontroli zarządczej oraz ponosi odpowiedzialność za jego prawidłowe działanie. Ze względu na to, że żaden z obowiązujących przepisów prawa nie narzuca kształtu procedur kontrolnych, to dyrektor przyjmuje dowolnie wybrane przez siebie rozwiązania odnośnie sposobu skonstruowania rejestru ryzyk. Jeżeli zatem uzna, że ujęcie w ramach jednego rejestru zarówno wyznaczonych celów, jak i zidentyfikowanych ryzyk, metod przeciwdziałania itd. nie jest czytelne, może również przyjąć rejestr ryzyk w innym kształcie, np. maksymalnie go uprościć, ujmując w jego ramy wyłącznie zidentyfikowane ryzyka i metody przeciwdziałania. Należy jednak podkreślić, że dopuszczalne jest ujęcie w ramach jednego rejestru zarówno celów przyjętych do realizacji w jednostce, jak i zidentyfikowanych ryzyk w odniesieniu do tych celów. Taka konstrukcja rejestru daje się uzasadnić treścią standardów kontroli zarządczej, w których czytamy, że „(...) nie rzadziej niż raz w roku należy dokonać identyfikacji ryzyka w odniesieniu do celów i zadań”. Nie rzadziej oznacza, że to dyrektor wybiera terminy identyfikacji ryzyk, natomiast pamiętać trzeba, że kontrola zarządcza jest procesem działającym w ujęciu rocznym, gdzie przez rok rozumiemy rok kalendarzowy, a nie rok szkolny. Nie oznacza to jednak, że kontrola zarządcza w jednostkach oświatowych przebiega w całkowitym oderwaniu od organizacji roku szkolnego, bowiem powinna uwzględniać właśnie dynamikę zajęć i fakt, że nadal znajdujemy się w stanie epidemii, ogłoszonym na mocy Rozporządzenia Ministra Zdrowia z dnia 20 marca 2020 r. w sprawie ogłoszenia na obszarze Rzeczypospolitej Polskiej stanu epidemii. Co za tym idzie, zasadne jest przeprowadzenie procedury analizy ryzyka na początku roku szkolnego, zwłaszcza z uwzględnieniem ryzyk związanych z pandemią. W takim wypadku analizie można poddać wpływ, jaki na realizację celów szkoły ma zwiększone ryzyko zachorowań uczniów i nauczycieli, oraz czy stosowanie wytycznych sanitarnych i przyjęcie procedur bezpieczeństwa zmniejszy ryzyko do akceptowanego poziomu. Ważne! Zgodnie z wytycznymi dla sektora finansów publicznych w zakresie planowania i zarządzania ry-zykiem „(...) moment identyfikacji ryzyk ma podstawowe znaczenie, bowiem ryzyka, które nie zo-staną określone na tym etapie, nie będą brane pod uwagę na dalszych etapach zarządzania ryzykiem, a więc nie będą zarządzane. Dlatego też identyfikacja ryzyka powinna być jak najbardziej kompleksowa”. Nie ma zatem przeszkód dla ustalenia kilku terminów analizy ryzyk w ciągu roku kalendarzowego. Analiza i reakcja na ryzyko Według standardów kontroli zarządczej identyfikacji ryzyka trzeba dokonać nie rzadziej niż raz w roku, a w przypadku istotnej zmiany warunków, w których funkcjonuje jednostka budżetowa (szkoła), należy czynność powtórzyć. Warto tu natomiast zwrócić uwagę na przykładowe czynniki ryzyka wskazane w Komunikacie Nr 6 Ministra Finansów z dnia 6 grudnia 2012 r. w sprawie szczegółowych wytycznych dla jednostek sektora finansów publicznych w zakresie planowania oraz zarządzania ryzykiem, związane z: • działalnością podstawową, np.: niewystarczające kompetencje zawodowe pracowników, niedawne zmiany kluczowych pracowników, brak motywacji u pracowników, • przetwarzaniem informacji, np.: nieadekwatność informacji, na podstawie których podejmuje się decyzje, utrata informacji, naruszenie poufności informacji, • stabilnością działalności jednostki lub zatrudnienia, np.: ograniczenie lub znaczny wzrost zadań jednostki, zmiany procesów operacyjnych, decentralizacja działalności, programów lub projektów, • technologią, np.: zakłócenia w działaniu systemów informatycznych, bezpieczeństwo systemów informatycznych, powstanie nowych technologii, wdrażanie nowych technologii, • projektami prowadzonymi przez jednostkę, np.: niewłaściwe planowanie projektu, wzrost kosztów realizacji projektu, opóźnienia w realizacji projektu, brak środków na realizację projektu, niepowodzenie projektu, • nowymi zadaniami i programami, np.: brak odpowiednich zasobów (środków finansowych, pracowników, wyposażenia, informacji), krótki termin realizacji, konieczność współpracy z innymi podmiotami, • innowacyjnością, np.: opór pracowników, brak skłonności do zmian, wdrażanie niesprawdzonych rozwiązań, • outsourcingiem, np.: zależność od kontrahentów w realizacji krytycznych celów jednostki, znaczna część zadań zlecona na zewnątrz, niewystarczająca jakość realizacji zadań zleconych innym podmiotom, • reputacją jednostki, np.: spadek reputacji na skutek niewłaściwego działania lub zaniedbań pracowników, niewłaściwej realizacji zadań przez jednostkę, złego zarządzania. W procesie identyfikacji ryzyka rozważane są czynniki sprzyjające wystąpieniu ryzyka o charakterze finansowym. W szczególności rozważane są czynniki związane ze zmianą wysokości dochodów itp. Ponadto podczas identyfikacji ryzyka należy brać pod uwagę zmiany w systemie księgowania. Proces identyfikacji ryzyka powinien uwzględniać też takie przykładowe czynniki zagrażające celom jednostki, jak: • przerwy w łączności (telefonicznej, elektronicznej itd.), • zmiany polityczne, • uszkodzenia infrastruktury, • zmiana przepisów prawa, • „siła wyższa”, np.: pożar, powódź, huragan, trzęsienie ziemi. W procesie identyfikacji ryzyka rozważane powinny być również czynniki sprzyjające wystąpieniu ryzyka związanego z zarządzaniem. W szczególności są to czynniki związane z jakością zespołu zarządzającego (kwalifikacje kierownictwa), organizacją jednostki (nieadekwatna struktura organizacyjna, nieefektywny system przepływu informacji), zarządzaniem zasobami ludzkimi (niesprawiedliwa praktyka wynagradzania, niskie wynagrodzenia, brak działań motywujących pracowników, brak szkoleń). Ważne! Obecną sytuację epidemiczną można uznać za czynnik wskazany w wytycznych jako „siła wyższa”, stanowiący jedynie niewielką część czynników zewnętrznych i wewnętrznych, które powinny zo-stać uwzględnione przy identyfikacji ryzyka. Można tu też przytoczyć wskazane w wytycznych przykładowe techniki identyfikacji ryzyk: 1) listy potencjalnych zdarzeń – tworzone są na podstawie doświadczeń innych jednostek wykonujących podobną działalność; listy te mogą być stosowane jako punkt wyjściowy do identyfikacji zdarzeń, 2) moderowane warsztaty i wywiady – identyfikacja zdarzeń poprzez wykorzystanie w dyskusji skumulowanej wiedzy i doświadczenia kierownictwa i pracowników; moderator prowadzi dyskusję na temat zdarzeń, które mogą wpływać na osiąganie celów i zadań; dzięki połączeniu wiedzy i doświadczenia uczestników warsztatów czy wywiadów mogą być zidentyfikowane ważne zdarzenia, które inaczej mogłyby zostać pominięte; warsztaty lub wywiady powinny być odpowiednio zorganizowane, aby zapewnić systematyczną identyfikację ryzyka, 3) analiza procesów – analiza nakładów, zadań, obowiązków i rezultatów, które składają się na proces, poznanie relacji zachodzących pomiędzy nimi; jednostka / komórka organizacyjna identyfikuje zdarzenia, które mogą wpływać na osiąganie celów poprzez analizę czynników wewnętrznych i zewnętrznych wpływających na nakłady i działania w ramach procesów, 4) burza mózgów – dyskusja, w której uczestnicy spotkania mogą swobodnie zgłaszać wszelkie potencjalne ryzyka, nieprawidłowości, możliwości wystąpienia błędów, które następnie są weryfikowane i selekcjonowane; istotą burzy mózgów jest pobudzanie jej uczestników do zebrania jak największej liczby potencjalnych zdarzeń, które mogą wpłynąć na osiągnięcie celów i zadań. Z kolei standardy kontroli zarządczej wskazują, że w celu identyfikacji ryzyka można: • powołać zespół, którego zadaniem będzie identyfikacja ryzyka, • wykorzystać metodę oddolnej identyfikacji ryzyka – oceny dokonują wszyscy pracownicy placówki, zarówno nauczyciele, jak pracownicy niepedagogiczni, a każde ryzyko jest wskazywane dyrektorowi, • organizować narady poświęcone identyfikacji ryzyka. Punktowa metoda oceny ryzyka W celu ustalenia, jaka reakcja powinna towarzyszyć każdemu oszacowanemu ryzyku, należy dokonać analizy ryzyka. W metodzie punktowej każde zidentyfikowane ryzyko podlega oszacowaniu, które powinno ocenić prawdopodobieństwo wystąpienia danego ryzyka. Można tu zastosować następujący sposób szacowania: • prawdopodobieństwa wystąpienia tego ryzyka (P) – ocena punktowa w skali od 1 do 5 – gdzie 1 to najniższe prawdopodobieństwo wystąpienia danego ryzyka, a 5 najwyższe, • wpływu (skutku, straty), jaki będzie miało ewentualne wystąpienie tego zdarzenia (W) – również przy zastosowaniu oceny w skali od 1 do 5, gdzie 1 to najmniejszy możliwy wpływ danego ryzyka na cel do zrealizowania, a 5 to wpływ największy. Najwyższą wartością istotności ryzyka uzyskaną według przedstawionego wyżej wzoru będzie wartość 25, obliczona jako iloczyn prawdopodobieństwa ryzyka bardzo pewnego (wartość 5) i wielkości wpływu (wartość 5). Metoda ta pozwala zatem ustalić, czy wystąpiło ryzyko istotne – przykładowo możemy przyjąć, że występuje ono od progu 15 pkt. Oczywiście metoda ta tylko pozornie pozwala na obiektywne ustalenie, nadal bowiem opiera się głównie na szacunkach zespołu (lub osoby) właściwego do analizy ryzyka. Można jednak przyjąć, że ryzyko zostało określone jako istotne, a jednocześnie przyjęto działanie jako właściwy sposób postępowania, mający na celu obniżenie prawdopodobieństwa jego wystąpienia. Przyjmijmy jednak, że prawdopodobieństwo wystąpienia ryzyka w postaci zawieszenia zajęć stacjonarnych w nowym roku to 5, czyli najwyższe w przyjętej skali, a wpływ ryzyka ocenimy na 4. Warto tu podać pomocniczo wartości wpływu, które prezentują się następująco: • 1 – nieznaczny – rozwiązanie problemu będzie wymagało nieznacznego nakładu czasu, lecz problem nie spowoduje trwałej szkody, • 2 – mały – rozwiązanie problemu będzie wymagało pewnego nakładu czasu, • 3 – średni – rozwiązanie problemu będzie wymagało umiarkowanego nakładu czasu – w tym kierownictwa wyższego szczebla, • 4 – poważny – rozwiązanie problemu będzie wymagało dużego nakładu czasu – w tym kierownictwa wyższego szczebla, • 5 – katastrofalny – rozwiązanie problemu będzie wymagało bardzo dużego nakładu czasu – w tym kierownictwa wyższego szczebla, usunięcie skutków będzie bardzo trudne lub wręcz niemożliwe. Dla określenia P (prawdopodobieństwa), a więc przypisania wartości liczbowej w skali 1 do 5, można odwołać się do poniższych definicji: • 1 – prawdopodobieństwo rzadkie, że ryzyko wystąpi w nadchodzącym roku, jeśli nie zostanie ono zmniejszone, • 2 – mało prawdopodobne, że ryzyko wystąpi w nadchodzącym roku, • 3 – średnio prawdopodobne, że ryzyko wystąpi w nadchodzącym roku, • 4 – prawdopodobne, że ryzyko wystąpi w nadchodzącym roku, • 5 – prawie pewne, że wystąpi w najbliższym roku budżetowym. Uzyskane wyniki szacowania mnoży się przez siebie, uzyskując wartość w postaci istotności ryzyka. Uzyskaliśmy wartość istotności na poziomie 20. Bez dodania do procedury szacowania ryzyka tzw. progu istotności ryzyka ta wartość nic jeszcze nie oznacza. Przyjmijmy jednak, że próg istotności to wspomniane 15 pkt, a oznacza on, że od tej właśnie wartości ryzyka należy już ustalić sposób reakcji na ryzyko spośród następujących: • tolerowanie, • przeniesienie, • wycofanie się, • działanie. Tolerowanie ryzyka jest dopuszczalnym typem reakcji na nie. Uznajemy wówczas, że prawdopodobieństwo wystąpienia danego ryzyka dla realizacji celów jest istotne, ale jednocześnie uznajemy, że najlepszym sposobem działania jest zaniechanie reakcji. Tak może być w przypadku ryzyka w postaci zawieszenia zajęć stacjonarnych, gdzie uznajemy, że prawdopodobieństwo jego wystąpienia jest znaczne – jego wystąpienie będzie miało istotny wpływ na możliwość realizacji celów jednostki, ale jednocześnie uznajemy, że nie możemy podjąć działań minimalizujących wystąpienie ryzyka, bowiem takie działania, które mogliby podjąć dyrektor jednostki oświatowej lub jego pracownicy, po prostu nie istnieją. Niezależnie bowiem od zachowania jednostki oświatowej, nie ma ono żadnego wpływu na możliwość zawieszenia zajęć stacjonarnych w drodze rozporządzenia dotyczącego np. wszystkich szkół podstawowych. Kolejny typ reakcji to przeniesienie, czyli oddanie celu do realizacji przez inny podmiot, którego ryzyko nie dotyczy. Takiego działania nie można jednak przyjąć dla celu działania szkoły, którym będzie np. prawidłowa realizacja podstawy programowej. Inny rodzaj reakcji to działanie. W przypadku ryzyka w postaci zawieszenia pracy stacjonarnej działaniem mogą być aktualizacja procedur pracy zdalnej i zapewnienie sprawnej komunikacji z wykorzystaniem środków łączności na odległość. W ten sposób minimalizujemy ryzyko dla realizacji założonego celu. Państwowa Inspekcja Pracy Zawieszenie zajęć z mocy prawa powoduje przejście na pracę zdalną. W przypadku szkoły znaczna część zadań może być wykonana za pośrednictwem środków komunikacji na odległość, ale szacując ryzyko dla celów i zadań szkoły, należy uwzględnić możliwość zarażenia pracownika lub objęcia kwarantanną, jak również całkowite zawieszenie zajęć. Szacując ryzyko, trzeba oczywiście w skali punktowej określić prawdopodobieństwo jego wystąpienia i tutaj, jak wcześniej wspomniano, mamy do czynienia jedynie z szacunkową oceną tej wartości. Przeprowadźmy jednak taki szacunek. Wydaje się jednak, biorąc pod uwagę doświadczenia roku szkolnego 2020/2021, że prawdopodobieństwo kwarantanny pracownika, która spowoduje zagrożenie dla realizacji celów jednostki, jest prawdopodobne, co oznacza wartość 4. Skutek wystąpienia takiego zdarzenia nie jest katastrofalny (ocena 5), lecz na pewno poważny, bowiem uniemożliwi wykonywanie części zadań szkoły, a zatem ponownie należy oszacować – to wartość 4. Daje to wynik 16 pkt. Przy przyjętym progu istotności, czyli 15 pkt, takie ryzyko wymaga natychmiastowych działań. Główny Inspektorat Pracy na stronie pip.gov.pl wskazuje, że po aktualizacji oceny ryzyka kolejnym krokiem jest stworzenie planu działań obejmującego właściwe środki bezpieczeństwa i kontroli, pozwalające normalnie pracować i jednocześnie zapobiegać możliwości rozprzestrzeniania się wirusa SARS-CoV-2. Rodzaje środków koniecznych do zastosowania można sklasyfikować jako eliminujące zagrożenia (np. zmiana organizacji pracy – większy udział pracy zdalnej, jeśli to możliwe), a jeśli nie jest to możliwe – minimalizujące zagrożenia i oddzielające zagrożenia od pracowników poprzez: • środki techniczne (środki ochrony zbiorowej, np. obudowy pleksiglasowe, oddzielanie stanowisk pracy przegrodami); należy unikać elementów, które nie są zwarte lub mają przestrzenie, takich jak rośliny doniczkowe, lub które stwarzają dodatkowe ryzyko, np. potknięcia się pracownika czy upadku przedmiotu; jeśli nie można zastosować przegrody, należy zapewnić dodatkową przestrzeń między pracownikami (odstęp min. 1,5 m.); konieczne jest dbanie o sprawną i wydajną wentylację pomieszczeń pracy, • środki organizacyjne (np. zmianowość na stanowiskach pracy, zwiększenie czasu trwania i liczby przerw w pracy, kierowanie tylko wykwalifikowanych pracowników do wykonania określonej pracy), • środki ochrony osobistej (np. półmaski FFP2 i FFP3, N95 itp.), • środki behawioralne (np. obserwacje przestrzegania reguł i wytycznych kierownictwa, nadzór nad pracownikami), • działania przeciwepidemiczne (np. zapewnienie środków do dezynfekcji rąk i elementów środowiska pracy – blatów, klamek, poręczy, wyposażenia technicznego, takiego jak wspólne drukarki i kopiarki; zwiększenie częstotliwości sprzątania pomieszczeń pracy, a przede wszystkim pomieszczeń higieniczno-sanitarnych; przypominanie o zasadach higieny – praktyczne informacje rozmieszczone w ogólnodostępnych miejscach zakładu pracy, dostępne na stronach internetowych m.in. Państwowej Inspekcji Sanitarnej). Oczywiście te kategorie działań zostały opracowane dla wszystkich zakładów pracy, ale konieczne jest przyjęcie procedur bezpieczeństwa na terenie jednostki oświatowej, które mają minimalizować ryzyko zarażenia. Procedury te powinny uwzględniać najnowsze wytyczne sanitarne dla szkół i placówek, natomiast przyjęcie takich procedur jest już działaniem minimalizującym ryzyko.