Metodické usmernenie sekcie auditu a kontroly Ministerstva financií SR č. MF/011160/2024-1411 k riadeniu rizík

Orgán verejnej správy (ďalej len „OVS“) je podľa § 5 ods. 1 písm. a) zákona č. 357/2015 Z. z. o finančnej kontrole a audite a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon č. 357/2015 Z. z.“) povinný vytvoriť, zachovávať a rozvíjať finančné riadenie, v rámci ktorého zabezpečuje riadenie rizika a finančnú kontrolu tak, aby sa pri plnení zámerov a cieľov OVS predchádzalo porušovaniu zákona č. 357/2015 Z. z., všeobecne záväzných právnych predpisov vydaných na jeho vykonanie, osobitných predpisov alebo medzinárodných zmlúv, ktorými je SR viazaná, a na základe ktorých sa SR poskytujú finančné prostriedky zo zahraničia. Riadenie rizík má preventívny charakter a má napomôcť tomu, aby správnym identifikovaním a riadením rizík nedochádzalo k vzniku nedostatkov, resp. bola miera ich dosahu na činnosť OVS čo najmenšia.

Odporúča sa mať vypracovanú smernicu k riadeniu rizík, nakoľko formalizácia procesov vykonávaných OVS, napr. vo forme vnútorného predpisu, prispieva k lepšiemu pochopeniu samotného procesu nielen pre zamestnancov, ktorí uvedený proces vykonávajú, ale predovšetkým umožňuje včasné odhalenie rizík, ktoré môžu v súvislosti s vykonávaným procesom nastať, a tak zabezpečiť prijatie adekvátnych opatrení na odstránenie, resp. zníženie potenciálnych rizík. Aj samotné riadenie rizík je potrebné zachytiť v písomnej/elektronickej forme. Zákon č. 357/2015 Z. z. ukladá OVS povinnosť vykonávať v rámci finančného riadenia aj riadenie rizík, ktoré je potrebné pri audite/kontrole preukázať dostatočným spôsobom. Je možné vykonávať riadenie rizík písomne, resp. s využitím informačných systémov, napr. v rámci systému RIS v module Riadenie rizík. V tejto súvislosti sa odporúča ustanoviť osobu/útvar v rámci OVS za tzv. gestora finančného riadenia, resp. riadenia rizík, ktorý by predmetnú povinnosť OVS koordinoval a zabezpečil jej riadne plnenie.

Dôrazne upozorňujeme, že definovanie a riadenie rizík nemá byť zodpovednosťou útvaru vnútorného auditu vzhľadom na skutočnosť, že uvedené procesy môžu následne podliehať overovaniu vnútorným auditom a v prípade, ak by bol vnútorný audítor zapojený do nastavenia a riadenia procesu, nemohol by neskôr vykonávať vnútorný audit v súlade s medzinárodnými audítorskými štandardami.

Ak je OVS riadiaci orgán podľa osobitného predpisu1 v rámci celkového riadenia rizík je potrebné zohľadniť aj Usmernenie Európskej komisie k posúdeniu rizika podvodu a účinné a primerané opatrenia proti podvodom EGESIF_14-0021-00 zo dňa 16. 06. 2014. Podľa tohto usmernenia Európska komisia odporúča, aby riadiace orgány v rámci implementácie európskych programov prijali proaktívny, štruktúrovaný a cielený prístup k riadeniu rizík podvodu. V rámci zjednodušovania administratívnych procesov je vhodné zakomponovať riadenie rizík riadiacim orgánom podvodov v rámci všeobecného riadenia rizík orgánu verejnej správy (riadiaci orgán je funkcia vykonávaná OVS).

Podľa § 5 ods. 1 písm. i) zákona č. 357/2015 Z. z. OVS je povinný zabezpečiť zavedenie a dodržiavanie pravidiel a postupov na účely zamedzenia a predchádzania korupcii. Riadenie korupčných rizík podľa osobitných národných pravidiel je súčasťou riadenia rizík podľa zákona č. 357/2015 Z. z.

Úrad vlády Slovenskej republiky (ďalej len „úrad vlády“) sa dňom 01. 06. 2022 stal v zmysle § 24 písm. d) zákona č. 575/2001 Z. z. o organizácii činnosti vlády a organizácii ústrednej štátnej správy ústredným orgánom štátnej správy pre koordináciu v oblasti prevencie korupcie.

Úrad vlády, prostredníctvom odboru prevencie korupcie, vypracoval metodické odporúčanie k riadeniu korupčných rizík, ktoré je v súlade s Protikorupčnou politikou Slovenskej republiky na roky 2019 - 2023. Metodika je určená ústredným orgánom štátnej správy, ako aj všetkým úrovniam verejnej moci vrátane orgánov samosprávy a organizácií v zriaďovateľskej a zakladateľskej pôsobnosti orgánov verejnej správy, ale aj verejného sektora. V záujme konzistentnosti realizácie protikorupčnej politiky je vhodné riadenie korupčných rizík v organizáciách opierať o toto metodické odporúčanie.

Odkaz na metodické odporúčanie: Metodické odporúčanie k riadeniu korupčných rizík | Boj proti korupcii (gov.sk)

Riadenie rizík by malo predstavovať základnú činnosť OVS a vzťahovať sa na všetky jeho procesy. Patrí do pôsobnosti vedúcich zamestnancov a zamestnancov na všetkých stupňoch riadenia, ktorí identifikujú existujúce riziká, mapujú ich a hodnotia ich. Aby riadenie rizík bolo efektívne, vedenie OVS by malo vymedziť v rámci procesu riadenia rizík pôsobnosť podriadeným vedúcim zamestnancom a zamestnancom, pretože zamestnanci pracujúci v konkrétnom procese OVS najlepšie poznajú všetky potenciálne riziká, ktoré sa môžu v danom procese vyskytnúť. Výsledkom procesu je vyhotovenie aktuálneho zoznamu rizík podľa priorít a významnosti rizík na príslušné obdobie. Zoznam rizík je však potrebné pravidelne vyhodnocovať s cieľom aktualizovať postupy na elimináciu rizík, prípadne identifikovať nové riziká. Vyhodnocovanie je potrebné vykonať aspoň raz za rok. Riziko hroziace OVS je vyjadrením pomeru jeho pravdepodobnosti vzniku a možného vplyvu. V súvislosti so zmenami, ktoré v procese riadenia, vývoja jednotlivých činností vznikajú, je potrebné neustále analyzovať nové riziká, meniť hodnotenie každého rizika z hľadiska významnosti, vplyvu rizika na činnosť OVS a vyraďovať a odstraňovať už neexistujúce riziká. Za týmto účelom je vhodné mať v rámci OVS vypracovanú internú smernicu, ktorá by detailne opisovala riadenie rizík v danej organizácii, vrátane postupnosti krokov riadenia rizík v danom OVS, zodpovednosť jednotlivých aktérov riadenia rizík, časové rozvrhnutie riadenia rizík, spôsob zbierania údajov (napr. prostredníctvom dotazníka, ktorého vzor môže byť uvedený v smernici), elektronizáciu riadenia rizík, ak je v OVS zavedená a pod.

Budúce možné riziká sú prepojené na procesy OVS, neexistencia rizík by znamenala neexistenciu procesov OVS. Nedá sa preto povedať, že v rámci OVS neexistujú žiadne riziká. Cieľom riadenia rizík nie je úplne odstránenie rizík, ale ich riadenie tak, aby zamestnanci OVS vedeli zamerať svoju pozornosť a aktivity na tie najzávažnejšie a vedeli výšku ich závažnosti a pravdepodobnosť ich vzniku efektívne regulovať. Vedenie OVS by malo stanoviť, akú mieru rizika je OVS schopný akceptovať. Cieľom riadenia rizík nie je naplniť zoznam rizík čo najväčším počtom rizík, ale identifikovať tie najaktuálnejšie a prijímať opatrenia na ich odstránenie.

riziková kapacita risk apetít maximálna miera rizika, ktoré je OVS schopný tolerovať

množstvo rizika, ktorú je OVS ochotný akceptovať, alebo tolerovať bez toho, aby boli ohrozené základné ciele OVS

Proces riadenia rizík v OVS možno rozdeliť na nasledovné kroky:

Identifikácia rizík má za cieľ určiť, akým rizikám a do akej miery sú jednotlivé procesy OVS vystavené. Pri identifikácii rizík je dôležité začať na najvyššej pozícii, aby sa identifikovali riziká na čo najvyššej úrovni, ktoré majú najväčší vplyv a význam na činnosť OVS a postupne pokračovať ostatnými organizačnými úrovňami. Identifikácia rizík spočíva v zapojení všetkých zamestnancov OVS do procesu identifikovania rizík v rámci vnútorného kontrolného systému. Je potrebné identifikovať riziká v rámci každého procesu, ktorý OVS vykonáva, napr. v rámci verejného obstarávania, finančnej kontroly, poskytovania verejných financií právnickým a fyzickým osobám, zverejňovania zmlúv, objednávok, faktúr, vybavovania sťažností a petícií, plnenia úloh riadiaceho orgánu, atď. Nie je žiaduce mať definovaný príliš veľký počet rizík, ktorých eliminácia by brzdila plnenie úloh príslušného OVS, ale príslušní vedúci zamestnanci musia vedieť identifikovať najzávažnejšie riziká, ktorých eliminácia je nevyhnutná na plnenie stanovených úloh. Najčastejšia metóda identifikácie rizík je ich zisťovanie z jednotlivých útvarov OVS napríklad formou dotazníkov alebo tzv. samohodnotením. Uvedený postup spočíva v tom, že jednotlivé organizačné útvary sú vyžiadané buď písomne alebo elektronicky o zhodnotenie, v ktorých oblastiach fungovania OVS ako celku, alebo samotného útvaru vidia príslušní riadiaci zamestnanci možné riziká. Z uvedeného vyplýva, že proces zbierania údajov je prioritne organizovaný na úrovni jednotlivých útvarov, ktoré sú nositeľmi rizika. Na základe zozbierania názorov jednotlivých zamestnancov sa môže vyhotoviť základná tabuľka identifikovaných rizík s následným hodnotením a vyhotovením zoznamu rizík. Všetky identifikované riziká s dosahom na daný konkrétny OVS predstavuje tzv. rizikové univerzum (risk universe). Výhodou takejto metódy je, že sa môžu identifikovať aj riziká vyskytujúce sa v bežnej činnosti, o ktorých vedenie OVS nemusí vedieť.

rizikové univerzum súhrn všetkých rizík, ktoré môžu mať dosah na OVS

Zbieranie údajov, ich vyhodnocovanie a vytvorenie zoznamu rizík by malo mať v organizačnej štruktúre OVS určené miesto napr. útvar zodpovedný za organizáciu a riadenie, príp. služobný úrad, ktorý by tieto informácie zbieral a vyhodnocoval; zodpovednosť za túto činnosť by nemala byť pridelená útvaru vnútorného auditu. Útvar vnútorného auditu môže byť v tejto činnosti v úlohe konzultanta tak, aby nebola narušená jeho nezávislosť pri následnom overovaní procesu riadenia rizík. Nemôže byť zodpovedný za ani za rozhodovanie o rizikách. Zároveň môže vnútorný audit v procese riadenia rizík sám identifikovať riziká vo svojej činnosti, napr. že neodhalí všetky nedostatky v povinnej osobe. Každé identifikované riziko je potrebné zrozumiteľne opísať a zaznamenať v štruktúrovanej forme, napr. v tabuľke.

Príklad identifikovaných rizík.

Zamestnanci OVS zanalyzujú všetky procesy, ktoré im vyplývajú z platnej legislatívy. Môže ísť o procesy vnútorné, napríklad obstarávanie tovarov a služieb, vykonávanie základnej finančnej kontroly, účtovanie faktúr ale aj vonkajšie napr. vybavovanie podnetov, vzťahy o ostatnými OVS, poskytovanie dotácií, tvorba legislatívy. Príloha obsahuje názorný zoznam niektorých identifikovateľných rizík.

Príčiny niektorých zložitých rizík môžu byť vonkajšie a súčasne vnútorné, napríklad v prípade finančných rizík. V súvislosti s identifikovaním externých či interných rizík má zodpovedný zamestnanec zisťovať aj skutočnosť, kto alebo čo je nositeľom rizika. Určenie nositeľa rizika je kľúčovým predpokladom pre prijatie zodpovedajúcich opatrení na jeho elimináciu. Nositeľom rizika býva udalosť, proces, aktivita, ale môže to byť aj osoba. V záujme detailnejšieho identifikovania riziká v rámci procesu OVS je potrebné riziko opísať v primeranej miere detailu.

Príklad opisu identifikovaných rizík.

Analýza rizík je postup, ktorý má za úlohu pochopiť povahu rizika, určiť jeho mieru a najmä určiť jeho vplyv. Náplňou analýzy rizík je nájsť možné zdroje rizík, zhodnotiť aktuálny spôsob ochrany aj existujúce slabiny ochranných opatrení (zraniteľnosti) a určiť výslednú veľkosť rizík. Výsledkom tohto procesu je identifikovanie možného vplyvu vzniknutého rizika. Medzi možné vplyvy, a teda nežiaduce dosahy rizík môžeme zaradiť napríklad ohrozenie alebo ujmu na majetku a právach, čerpanie alebo využívanie verejných financií nehospodárnym, neefektívnym, neúčinným alebo neúčelným spôsobom, nedodržiavanie všeobecne záväzných právnych predpisov, narušenie alebo ohrozenie bezpečnosti informácií a informačnej politiky, časové a vecné neplnenie úloh, ktoré ohrozujú plnenie stanovených cieľov, poškodenie povesti OVS, atď.

Príklad analýzy vplyvu rizík.

Ďalším krokom v procese riadenia rizík je zmeranie významnosť rizika, t.j. ohodnotenie rizík. Výsledkom hodnotenia je katalóg aktuálnych rizík (určený stupeň vážnosti dopadu rizík a priority rizík). Hodnotenie rizík sa používa na prijímanie rozhodnutí o závažnosti rizík pre OVS a o tom, či konkrétne riziko je možné akceptovať alebo je potrebné prijať opatrenia na jeho riešenie.

Riziko sa môže merať napríklad dvoma veličinami:

Niektoré typy rizík (hlavne finančné riziká) je vhodné podrobiť číselnej diagnostike; na iné typy rizík (napr. dobré meno orgánu verejnej správy) je možné použiť subjektívny pohľad.

S ohľadom na usmernenie EK k posúdeniu rizika podvodu a účinné a primerané opatrenia proti podvodom EGESIF_14-0021-00 zo dňa 16. 06. 2014 odporúčame spôsob hodnotenia rizika v stanovení štvorstupňovej mierky.

Príklad štvorstupňového systému ohodnotenia.

12 3 4 Príloha

Dôležitým krokom pri hodnotení rizík je stanoviť stupeň významnosti rizika a zároveň stanoviť mieru jeho prijateľnosti (akceptovateľnosti). Stupeň významnosti rizika je súčinom bodového ohodnotenia pravdepodobnosti dopadu a vplyvu rizika.

Stupeň významnosti, t.j. celkové skóre rizika

1– 3 prijateľné (zelené)

4– 6 významné (oranžové)

8– 16 kritické (červené)

Príklad hodnotenia stupňa významnosti rizík.

Pre ďalšie rozhodovanie je vhodné vypracovať veľmi jednoduchý prehľad rizík vo forme mapy rizík. Mapa rizík obsahuje riziká, ktoré boli vyhodnotené ako najdôležitejšie v procesoch OVS a boli vybraté z katalógu rizík. Výber rizík je zohľadnený tak, aby boli zastúpené všetky kategórie rizík a stupne významnosti rizík, a tiež zohľadnené riadiace, hlavné a podporné procesy OVS. Prehľadným grafickým prvkom pri riadení rizík predstavuje mapa rizík, ktorá umožňuje porovnať celkový rizikový profil OVS s ohľadom na rozdelenie rizík podľa závažnosti a dopadu na OVS. V prípade elektronického riadenia rizík v systéme RIS je možné vygenerovať mapu rizík (ako aj katalóg rizík) priamo zo systému.

mapa rizík grafické znázornenie rizík OVS, ktoré poskytuje prehľad o všetkých kľúčových rizikách a ich závažnosti

Rozhodnutie o riešení rizika je konečným výsledkom procesu riadenia rizika. Pri rozhodovaní o ďalšom postupe riešenia rizika je potrebné zohľadniť schopnosť OVS riadiť dané riziko a taktiež náklady spojené s riešením rizika. Prijímanie opatrení na riešenie rizík sú postupy, ktoré pomáhajú zabezpečiť, aby sa prijali potrebné opatrenia na riešenie a zníženie rizík pre dosiahnutie cieľov OVS. Nie je možné vyhnúť sa všetkým rizikám; zníženie rizika na „nulu“ zvyčajne nie je pre OVS efektívne. Na riešenie rizika je možné prijať niekoľko stratégií. OVS by sa mal prostredníctvom svojich vedúcich zamestnancov sústrediť hlavne na riešenie rizík s kritickou, resp. významnou mierou významnosti (zohľadnené v mape rizík). Pri rizikách s prijateľnou mierou významnosti je možné využiť taktiku udržiavania/tolerovania rizika. Každé riziko by malo byť riadené subsidiárne, na úrovni riadenia, ktorá je k tomu vybavená potrebnými znalosťami a kompetenciami. Ak vedúci zamestnanci neprijmú príslušné opatrenia na zmiernenie alebo prevenciu (predchádzanie) rizík spojených s riadnym spravovaním a riadením OVS a nastávajúce pôsobenie rizík svojim nežiadúcim dopadom ohrozí alebo znemožní plnenie schválených zámerov a cieľov, nesú za tieto následky plnú zodpovednosť.

Riadenie rizík by malo znížiť stupeň významnosti konečného rizika prijatými opatreniami na prijateľnú úroveň. Prijateľná úroveň vyjadruje úroveň zostávajúceho rizika, ktorú je schopný OVS v danej situácii akceptovať. Dôležitá je, okrem stanovenia zodpovedajúcej úrovne akceptovateľnosti, i ďalšia práca s týmto rizikom. V praxi to znamená predovšetkým jeho evidovanie, sledovanie a vyhodnocovanie. Pozornosť je potrebné upriamiť na možnú recidívu, pretože často stačí veľmi malá zmena vonkajších či vnútorných vplyvov a akceptovateľnosť rizika sa zmení na úroveň neakceptovateľnú. Významnou vnútornou zmenou môže byť napríklad aj nedôsledné plnenie prijatých opatrení. Akákoľvek zmena, vplyv či okolnosť, ktorá môže zvýšiť úroveň významnosti rizika, musí byť hlásená. V tom prípade musí byť celé riziko znovu prehodnotené a musia byť prijaté primerané opatrenia.

Komunikácia a hlásenie rizík je rozhodujúcim predpokladom pre účinné fungovanie riadenia rizík. V komunikácii o riziku hrá nezastupiteľnú úlohu vedenie OVS. Na každej úrovni OVS sa vyžadujú rozdielne informácie z procesu riadenia rizík.

Monitorovanie rizík je možné zabezpečiť vykonávaním pravidelných ex post kontrol resp. auditov dodržiavania zásad a postupov a vyhodnocovať plnenie prijatých opatrení, čo umožní identifikovať možnosti zlepšenia riadenia rizík. Zavedené systémy v OVS je potrebné prispôsobovať zmenám v prostredí, v ktorom pôsobia. Proces monitorovania musí poskytovať ubezpečenie, že sú zavedené primerané regulačné mechanizmy pre činnosti OVS a že dané postupy sú pochopené a dodržiavajú sa. Monitorovanie je potrebné chápať ako proces, ktorý permanentne overuje a ubezpečuje vedenie, že systém je funkčný. Monitorovanie má poskytovať informácie o:

Každý proces monitorovania a vyhodnocovania musí tiež určiť, či prijaté opatrenia viedli k tomu, čo bolo plánované, a či prijaté postupy a informácie zozbierané na vykonanie hodnotenia rizika boli primerané. Je preto žiadúce, aby celý proces riadenia rizík a aj monitorovania zastrešil jeden organizačný útvar (prípadne zamestnanec), ktorý by sústreďoval všetky informácie v procese riadenia rizík od jednotlivých nositeľov rizika, t. j. útvarov zodpovedných za riziko.

Príklad nastavenia monitorovania opatrení za účelom riadenia rizík.

Zrušuje sa metodické usmernenie sekcie auditu a kontroly Ministerstva financií SR č. MF/015729/2017 - 1411 k finančnému riadeniu pre správcov kapitoly štátneho rozpočtu, zverejnené vo Finančnom spravodajcovi č. 11/2017. Metodické usmernenie sekcie auditu a kontroly Ministerstva financií SR č. MF/011160/2024-1411 k riadeniu rizík nadobúda platnosť a účinnosť dňom zverejnenia vo Finančnom spravodajcovi.

Schválil: Ing. Vladimíra Zacharidesová, v.r. generálna riaditeľka sekcie auditu a kontroly MF SR

Nasledujúca tabuľka uvádza prehľad príkladov niektorých indikátorov vzniku rizík: