SAVONLINNAN KAUPUNGIN JA KAUPUNKIKONSERNIN Riskienhallintapolitiikka Jory 30.1.2017 Kh xx.xx.2017
SISÄLLYSLUETTELO 1. Johdanto... 3 2. Riskienhallinnan päämäärä ja tavoitteet... 3 3. Riskienhallinnan organisointi ja vastuut... 4 4. Riskienhallinnan periaatteet ja prosessi... 4 4.1 Riskikartoitus... 6 4.2 Riskienhallintamenetelmät... 7 4.2.1 Savonlinnan kaupungin keskeisimmät riskit ja niiden hallintakeinot... 7 4.3 Riskienhallinnan raportointi ja arviointi... 8 4.4 Yhteenveto sisäisen valvonnan ja riskienhallinnan käytännön toteutuksesta... 9 5. Riskienhallintapolitiikan voimaantulo... 10
Riskienhallintapolitiikka 3 (10) 1. Johdanto Kunnan tärkein tehtävä on turvata peruspalveluiden tarjonta asukkailleen ja edistää asukkaiden hyvinvointia ja kestävää kehitystä alueellaan. Sisäisellä valvonnalla ja riskienhallinnalla pyritään varmistamaan tämän tehtävän onnistuminen ja kaupunkistrategiassa asetettujen päämäärien sekä niihin sisältyvien toiminnallisten ja taloudellisten tavoitteiden saavuttaminen. Riskienhallinta on olennainen osa Savonlinnan kaupunkikonsernin yleistä johtamis- ja hallintajärjestelmää. Se toteutuu johtamis-, suunnittelu- ja ohjauskäytännöissä, jotka perustuvat luotettavaan toimintaan ja taloutta koskevaan tietoon sekä ajantasaiseen raportointiin. Savonlinnan kaupungin riskienhallintapolitiikka täydentää kaupunginvaltuuston 9.6.2014 hyväksymiä Savonlinnan kaupungin ja kaupunkikonsernin sisäisen valvonnan ja riskienhallinnan perusteita. Yhdessä muiden kaupunkikonsernin toimintaohjeiden kanssa riskienhallintapolitiikka muodostaa kokonaisuuden riskien hallitsemiseksi. Tällaisia toimintaohjeita ovat mm. sisäisen valvonnan ohje, tietoturvapolitiikka, työsuojelun toimintaohjelmat ja pelastus-, turvallisuus- ja valmiussuunnitelmat. Tässä riskienhallintapolitiikassa konserniyhteisöillä tarkoitetaan kirjanpitolain mukaisia tytäryhtiöitä, joissa kaupungilla yksin tai yhdessä yhden tai useamman tytäryrityksen kanssa on määräysvalta. Kaupunki ja tytäryritykset muodostavat kaupunkikonsernin. 2. Riskienhallinnan päämäärä ja tavoitteet Sisäisen valvonnan ja riskienhallinnan tavoitteena on varmistaa, että kaupungille ja kaupunkikonsernille asetetut tavoitteet saavutetaan ja että toiminta on tuloksellista. Riskienhallinnan avulla minimoidaan tapahtumat, jotka estävät tavoitteita toteutumasta ja löydetään hallintakeinot ja toimenpiteet tavoitteisiin pääsemiseksi. Riskienhallintapolitiikan tavoitteena on, että sekä kaupungilla että konserniyhteisöillä on käytössään riskitilanteisiin varautumiseksi systemaattinen ja kokonaisvaltainen riskienhallintamenetelmä. Riskienhallinnassa huomioidaan ulkoiset ja sisäiset riskit (myös mahdollisuudet), jotka kohdistuvat kaupungin ja kaupunkikonsernin toiminnan tuloksellisuuteen taloudelliseen asemaan lainsäädännön ja hyvän hallintotavan noudattamiseen omaisuuden hallintaan ja henkilöstöön toiminnallisen ja taloudellisen raportoinnin oikeellisuuteen
Riskienhallintapolitiikka 4 (10) 3. Riskienhallinnan organisointi ja vastuut Kaupunginvaltuusto päättää kaupungin ja kaupunkikonsernin sisäisen valvonnan ja riskienhallinnan perusteista päättää toimivaltuuksista hallintosäännön yhteydessä ottaa riskinäkökulman huomioon asettaessaan strategiset sekä toiminnalliset ja taloudelliset tavoitteet sekä tehdessään päätöksiä ja priorisoidessaan resursseja Kaupunginhallitus päättää kaupungin vakuutuspolitiikasta ja kilpailutettavasta vakuutussuunnitelmasta päättää riskienhallintapolitiikasta vastaa kaupungin omaisuuden hoitamisesta ja sitä koskevasta ohjeistuksesta hallintosäännössä olevin perustein vastaa sisäisen valvonnan ja riskienhallinnan ohjeistamisesta ja asianmukaisesta järjestämisestä, toimeenpanon valvonnasta ja tuloksellisuudesta ottaa riskinäkökulman, vahvuudet ja mahdollisuudet huomioon johtaessaan, valmistellessaan ja toimeenpannessaan strategiat, tavoitteet, resurssit, konserniohjauksen ja -valvonnan antaa toimintakertomuksessa selonteon sisäisen valvonnan ja riskienhallinnan järjestämisestä ja keskeisistä johtopäätöksistä Kaupunginhallituksen alaiset toimielimet vastaavat omalla vastuualueellaan sisäisen valvonnan ja riskienhallinnan asianmukaisesta järjestämisestä, toimeenpanon valvonnasta ja tuloksellisuudesta vastaavat oman vastuualueensa sisäisen valvonnan ja riskienhallinnan raportoinnista hyväksyttyjen ohjeiden mukaan sekä tilinpäätökseen sisältyvän sisäisen valvonnan ja riskienhallinnan selonteosta Tarkastuslautakunta arvioi kaupungin ja kaupunkikonsernin sisäisen valvonnan ja riskienhallinnan tilaa. Kaupunginjohtajan johtoryhmä toimii riskienhallinnan ohjaus- ja johtoryhmänä viranhaltijatasolla vastaa riskienhallintapolitiikan valmistelusta ja ohjauksesta yleisellä tasolla valmistelee toimialojen esityksestä riskienhallinnan vuosittaisen toimenpideohjelman osana sisäisen valvonnan suunnitelmaa Toimialajohtaja vastaa toimialan riskienhallintaohjelman täytäntöönpanosta eli riskienhallinnan käytännön toteutuksesta päättää toimialan riskienhallintaorganisaation kokoonpanon ja valitsee toimialan riskienhallintavastaavat vastaa oman vastuualueensa sisäisen valvonnan ja riskienhallinnan raportoinnista hyväksyttyjen ohjeiden mukaan
Riskienhallintapolitiikka 5 (10) Hallintojohtaja vastaa kaupunkiorganisaation riskienhallintapolitiikan valmistelusta vastaa kaupunkiorganisaation sisäisen valvonnan suunnittelusta toimii keskushallinnon riskienhallinnan vastuuhenkilönä Talousjohtaja päättää vakuutusten ottamisesta siltä osin kuin lautakunnat eivät siitä päätä edistää osaltaan vakuutus-/vahinkoriskien hallintaa yhdessä toimialojen kanssa ohjeistaa toimialoja / viranhaltijoita vakuuttamisen käytäntöön liittyvissä asioissa valmistelee kaupunginvaltuustolle riskien rahoittamisen periaatteet vastaa kaupunkikonsernin omistajaohjauspalveluista ja konsernivalvonnasta yhdessä elinkeinojohtajan kanssa Sisäinen tarkastaja tukee yksiköitä saavuttamaan tavoitteensa tarjoamalla asiantuntemusta riskienhallinnan, valvonnan ja hallinnon tuloksellisuuden arvioimiseen tukee yksiköitä tavoitteiden toteutumista uhkaavien riskien tunnistamisessa ja arvioi niiden riskienhallintaa vastaa sisäisen valvonnan ja riskienhallinnan toteuttamisen seurannasta konserniyhteisöissä Toimialan riskienhallinnan vastuuhenkilöt koordinoivat toimialan riskienhallintatyötä raportoivat toimialajohtajalle ja toimivat läheisessä yhteistyössä toimialajohdon kanssa vastaavat riskienhallintaan liittyvästä tiedottamisesta toimialalla tekevät aloitteita riskienhallintakoulutuksen toteuttamiseksi toimialalla Esimies vastaa oman vastuualueensa riskienhallinnasta toimii yhteistyössä toimialan riskienhallintavastaavan kanssa ohjeistaa ja tiedottaa riskienhallinta-asioista oman vastuualueensa sisällä Kaupungin hanke- tai projektipäällikkönä toimiva vastaa hankkeen tai projektin riskien kartoituksesta ja riskienhallinnasta raportoi riskien kartoituksista ja riskienhallinnasta hankkeen tai projektin ohjaus-/johtoryhmälle Kaupungin hankkeen tai projektin ohjaus-/johtoryhmä valvoo, että hanke- tai projektipäällikkö on kartoittanut riskit ja huolehtinut riskienhallinasta määrittelee toimenpiteet, joilla projektin tai hankkeen riskit saadaan hallintaan Savonlinnan kaupungin omistajaohjauksessa olevan organisaation yksittäisen merkittävän hankkeen tai investoinnin päätöksenteosta vastaava varmistaa, että hankkeen/investoinnin päätösten yhteydessä tehdään riittävän kattava riskikartoitus
Riskienhallintapolitiikka 6 (10) arvioi investointiin/päätökseen sisältyvät riskit varmistaa, että riskitaso on kaupungin hyväksymällä tasolla Työntekijä huomioi jatkuvasti omaan vastuualueeseensa liittyvät riskit omassa toiminnassaan pyrkii ehkäisemään riskitilanteiden syntymistä tekee aloitteita riskien minimoimiseksi ja ehkäisemiseksi kaikissa havaitsemissaan asioissa Konserniyhteisön hallitus ja toimitusjohtaja vastaavat konserniyhteisön sisäisen valvonnan ja riskienhallinnan järjestämisestä ja tuloksellisuudesta. Konserniyhteisöt ovat velvollisia ottamaan omassa riskienhallinnassaan huomioon kaupungin riskienhallintapolitiikan, omistajapoliittiset linjaukset ja tavoitteet sekä konserniohjeen määräykset. Konserniyhteisön hallitus päättää riskienhallintasuunnitelmasta ja sen toteutuksesta vastaa kaupungin riskienhallintapolitiikan toteutumisesta konserniyhteisössä Konserniyhteisöt ovat velvollisia raportoimaan kaupungin konsernijohdolle (kaupunginhallitus, kaupunginjohtaja, talousjohtaja, elinkeinojohtaja) sisäisen valvonnan ja riskienhallinnan järjestämisestä ja tuloksellisuudesta sekä merkittävistä riskeistä, riskienhallinnan toimivuudesta ja riittävyydestä konserniohjeen mukaisesti. 4. Riskienhallinnan periaatteet ja prosessi Riskeillä tarkoitetaan epävarmuustekijöitä, joiden toteutuessa Savonlinnan kaupunkikonserni tai sen yksikkö ei saavuta sille asetettuja tavoitteita ja/tai kokee huomattavia menetyksiä. Myös hyödyntämättä jäänyt mahdollisuus voi olla vaikutukseltaan vastaava. Savonlinnan kaupunkikonsernin riskit luokitellaan neljään ryhmään - strategiset riskit (esim. toimintaympäristön ja lainsäädännön muutokset, väestömuutos) - operatiiviset riskit (esim. henkilöstön osaaminen, hankintojen riskit, sopimus- ja vastuuriskit) - taloudelliset riskit (esim. verotulojen ja valtionosuuksien muutokset, takausriskit) - vahinkoriskit (esim. henkilöstö- ja omaisuusriskit, keskeytysriskit) 4.1 Riskikartoitus Toimialat kartoittavat ja päivittävät keskeisimmät riskinsä tulosaluetasolla vuosittain. Riskien selvittämiseksi voidaan käyttää erilaisia keinoja. Käytännön työn apuna ovat Kuntaliiton riskienkartoitus- ja hallintalomakkeet, joita hyväksi käyttäen tulosalueet tunnistavat riskejään oman toimintansa näkökulmasta, tavoitteitaan vastaan. Riskejä tunnistetaan ja arvioidaan ryhmätyönä, yhdessä miettimällä. Tunnistetut, tavoitteita uhkaavat riskit asetetaan yhtenäisen arvioinnin avulla riskiluokkiin ja tärkeysjärjestykseen.
Riskienhallintapolitiikka 7 (10) Riskikartoituksen avulla tunnistetuista riskeistä raportoidaan sisäisen valvonnan ja riskienhallinnan raportoinnin yhteydessä. Havaitut riskit huomioidaan heti jokapäiväisessä toiminnassa. Riskienhallinnan kohteet sisäisen valvonnan ja riskienhallinnan suunnitelmaan valitaan riskikartoituksen perusteella. Riskikartoituksessa keskeistä on, että arvioidaan sekä sisäisen että ulkoisen toimintaympäristön tilanne ja määritetään riskinsietokyky. Riskienkartoituksessa tunnistetaan riskit ja arvioidaan riskien toteutumisen todennäköisyys, merkittävyys ja hallinta. 4.2 Riskienhallintamenetelmät Riskienhallintamenetelmät valitaan riskien tunnistamisen jälkeen. Riskienhallinnan toimenpiteenä voi olla riskin poistaminen, pienentäminen, pitäminen omalla vastuulla tai siirtäminen. Riskien poistaminen ei useinkaan ole täysin mahdollista. Riskin pienentämisellä tarkoitetaan toimenpiteitä, joilla pyritään pienentämään riskin toteutumisen todennäköisyyttä ja seurauksia. Varautumalla riskin seuraamuksiin toiminnallisesti varmistetaan toiminnan jatkuvuus niissä tilanteissa, joissa riski mahdollisesti toteutuu. Jos riski pidetään omalla vastuulla, se ei saa aiheuttaa olennaista vaaraa toiminnan onnistumisen ja jatkuvuuden kannalta. Riskejä voidaan myös siirtää sopimusteitse toisen osapuolen kannettavaksi esimerkiksi vakuuttamalla. Vakuutuspolitiikan määrittäminen ja kirjaaminen on osa Savonlinnan kaupungin riskienhallintaa. Kaupunginhallitus on hyväksynyt kaupungin vakuutuspolitiikan 12.10.2015 472. Vakuutuspolitiikan tavoitteena on ohjata vakuuttamista keskitetysti ja varmistaa, että vakuuttaminen toimii kassavirtaa ja tulosta tasoittavana keinona vahingon tapahduttua. Vakuuttaminen ei itsessään estä vahinkotapahtumia, se ainoastaan pienentää niiden taloudellisia vaikutuksia. Siksi on tärkeää, että riskejä hallitaan sisäisen valvonnan keinoin ja vakuuttaminen ymmärretään sellaiseksi täydentäväksi osaksi kaupungin muuta riskienhallintaa, joka kohdistuu vain kaupungin olennaisimpiin vakuuttamiskelpoisiin riskeihin. 4.2.1 Savonlinnan kaupungin keskeisimmät riskit ja niiden hallintakeinot Kaupunkikonsernin tavoitteiden toteutumista voivat vaarantaa monet tekijät. Riskejä voi sisältyä esimerkiksi talouteen, turvallisuuteen, tietotekniikan toimivuuteen, palvelujen laatuun, henkilöstön osaamiseen ja hyvinvointiin, rekrytointiin sekä kiinteistöihin ja muuhun omaisuuteen. Savonlinnan kaupungin keskeisimmät riskit liittyvät talouteen ja talouden sopeuttamistoimiin, jotka vaativat henkilöstön vähentämistä. Riskinä on, että henkilöstön rakenne ja määrä eivät vastaa asetettuja palvelutavoitteita. Ulkoiset riskit tulevat valtiovallan taholta, sote- ja maakuntauudistuksen sekä elinkeino- ja aluepoliittisten ratkaisujen kautta. Nämä ratkaisut vaikuttavat koko kaupunkikonsernin toimintaan. Riskinä kaupungin taloudelle on mm. valtionosuus- ja verotulojen pieneneminen ja riski kaupungin takausvastuiden realisoitumisesta. Verotuloihin liittyviin riskeihin voidaan varautua mm. monipuolistamalla kaupungin elinkeinorakennetta sekä panostamalla työllisyyden hoitoon.
Riskienhallintapolitiikka 8 (10) Henkilöstön vähentämiseen liittyvät riskit liittyvät lähinnä henkilöstön hyvinvointiin, kuten työn kuormittavuuteen, organisointiin ja sairauspoissaoloihin. Avainhenkilöriskit on tunnistettava ja avainhenkilöille on aina määriteltävä sijais- ja varahenkilöjärjestelyt. Henkilöstöriskejä hallitaan mm. kehityskeskustelujen avulla sekä henkilöstöhallinnosta saatavien tietojen raportoinnilla ja seurannalla. Toimintojen tehostaminen ja toimintojen uudelleen järjestelyt vaativat selkeitä toimivallan ja vastuiden määrittelyjä sekä valtuuksien käytön valvontaa. Työtapaturmia sekä väkivalta- ja vaaratilanteita ehkäistään työsuojelun toimintaohjelmiin liittyvillä riskikartoituksilla. Päätöksentekoprosessiin liittyy riskejä henkilöstön ja tietotaidon vähentyessä. Prosessin toimivuutta ja tarkoituksenmukaisuutta seurataan vuosittain tilinpäätöksen yhteydessä, jolloin toimialat antavat sisäisen valvonnan ja riskienhallinnan selonteon lisäksi yhteenvedon viranhaltija- ja toimielinpäätöksistä (kokousten ja päätösten määrät, oikaisuvaatimukset, valitukset, otto-oikeuden käyttämiset, vireillä olevat oikeusprosessit sekä eri oikeusasteiden päätökset). Riskienhallinnan tulee ulottua myös ulkoistettuihin palveluihin. Tämä huomioidaan kaupungin hankintayksikössä ja otetaan huomioon sopimuksia tehtäessä. Ulkoistussopimuksia tehtäessä niihin tulee aina liittää ehdot eri osapuolten oikeuksista ja velvollisuuksista. Uusien toimintamallien ja palveluiden tuottamistapojen yhteydessä tulee sopimus- ja vastuuriskit selvittää perusteellisesti. Tietoturvariskit ja niihin liittyvät toiminnalliset riskit tulee tunnistaa ja arvioida. Vastuu tietoteknisistä jatkuvuussuunnitelmista ja toimintaohjeista on jokaisella tietojärjestelmän omistajayksiköllä, jonka on huolehdittava tietojenkäsittelyn luottamuksellisuudesta, tietojen oikeellisuudesta, tietoihin pääsyn valvonnasta ja toimintojen jatkuvuudesta. Tietoturva on osa kaupungin vuosittaista sisäisen valvonnan ja riskienhallinnan suunnitelmaa ja raportointia. Konserniyhteisöihin liittyviä riskejä hallitaan omistajaohjauksella ja -valvonnalla. Konserniin sisältyviä riskejä pyritään rahoittamaan mm. myymällä konsernin yhtiöitettyjä toimintoja. Ohjeet konserniyhteisöjen sisäiseen valvontaan ja riskienhallintaan annetaan konserniohjeessa. 4.3 Riskienhallinnan raportointi ja arviointi Sisäisen valvonnan ja riskienhallinnan toimivuudesta raportoidaan kuntalain ja kirjanpitolautakunnan kuntajaoston antaman yleisohjeen mukaan osana tilinpäätösraportointia. Toimintakertomuksessa kaupunginhallitus antaa selonteon, miten sisäinen valvonta ja riskienhallinta on järjestetty ja onko valvonnassa havaittu puutteita kuluneella tilikaudella ja miten sisäistä valvontaa on tarkoitus kehittää voimassa olevalla suunnitelmakaudella. Toimintakertomuksessa annetaan myös arvio merkittävimmistä riskeistä ja epävarmuustekijöistä. Kaupunkitason selonteko ja arviot riskeistä ja epävarmuustekijöistä laaditaan toimialoilta ja lautakunnilta saatuihin selontekoihin perustuen ja sisäisen valvonnan ja riskienhallinnan raportteja hyödyntäen. Samoin annetaan selonteko konsernin riskeistä konserniyhteisöjen antamien raporttien pohjalta.
Riskienhallintapolitiikka 9 (10) Sisäinen tarkastus arvioi sisäisen valvonnan järjestämistä ja riskienhallintaa sekä niiden tuloksellisuutta kaupunginhallituksen hyväksymän sisäisen tarkastuksen ohjelman mukaisesti omassa raportoinnissaan ja esittää toimenpide-ehdotuksia järjestelmän kehittämiseksi. Toimialat ja keskushallinto raportoivat tilinpäätökseen liittyvien selontekojen lisäksi sisäisen valvonnan ja riskienhallinnan toteuttamisesta sisäisen valvonnan ja riskienhallinnan raportoinnin yhteydessä. Sisäisen valvonnan ja riskienhallinnan suunnitelmat, raportit tai niiden osat eivät välttämättä ole kaikilta osin julkisia asiakirjoja. Toimialajohtajat päättävät näiden suunnitelmien ja raporttien julkisuudesta. Keskushallinnon ja toimialojen riskejä kartoitetaan valtuustokausittain vakuutusyhtiön tekemässä riskienhallinnan laatuarviossa. Laatuarvioraportissa todetuille kohteille laaditaan erillinen riskienhallintamenetelmä, joka käsitellään kaupunginhallituksessa. Konserniyhteisöt tekevät sisäisen valvonnan ja riskienhallinnan suunnitelmat vuosittain ja raportoivat niiden toteutumisesta sekä keskeisimmistä riskeistään vuosittain konserniohjeen mukaan sekä julkisuusasiat huomioon ottaen tilinpäätöksen tuloskorteissa. 4.4 Yhteenveto sisäisen valvonnan ja riskienhallinnan käytännön toteutuksesta Kaupunki / Keskushallinto/ Konserni Sivistystoimiala Tekninen toimiala Vastuuhenkilö Kaupunginjohtaja Hallintojohtaja Talousjohtaja Elinkeinojohtaja Toimialajohtaja Toimialan nimeämä riskienhallinnan vastuuhenkilö Toimialajohtaja Toimialan nimeämä riskienhallinnan vastuuhenkilö Ohjaus Sisäisen valvonnan ja riskienhallinnan perusteet (kv 9.6.2014 52) Sisäisen valvonnan ohje (kh 19.12.2013 658) Riskienhallintapolitiikka (kh 4.2.2013 66) Konserniohje (6.9.2010 301) Riskikartoitus ja riskienhallinnan kohteiden valinta Toimialat tulosalueittain laativat ja päivittävät vuosittain riskikartoituksen, joka sisältyy Sisäisen valvonnan ja riskienhallinnan suunnitelmaan. Työsuojelun toimintaohjelmiin sisältyvät riskikartoitukset päivitetään vuosittain työyksiköittäin. Vakuutusyhtiö tekee Riskienhallinnan laatuarvion valtuustokausittain. Konserniyhteisöt laativat sisäisen valvonnan ja riskienhallinnan suunnitelmat ja riskikartoituksen konserniohjeen mukaan.
Riskienhallintapolitiikka 10 (10) Riskienhallintakohteiden huomiointi ja raportointi Sisäisen valvonnan ja riskienhallinnan suunnitelma laaditaan vuosittain. Riskikartoituksen (myös työsuojelun toimintaohjelmiin perustuvien riskikartoitusten) perusteella valitut kohteet huomioidaan suunnitelmassa, ja niille määritellään riskienhallintamenetelmät. Suunnitelman toteutumisesta raportoidaan vuosittain lautakunnille, kaupunginjohtajan johtoryhmälle ja kaupunginhallitukselle. Vakuutusyhtiön laatuarvioraportissa todetuille riskeille laaditaan riskienhallintamenetelmät, jotka käsitellään kaupunginjohtajan johtoryhmässä ja kaupunginhallituksessa. Konserniyhteisöt raportoivat riskienhallinnastaan konserniohjeen mukaan. 5. Riskienhallintapolitiikan voimaantulo Tämä asiakirja täydentää kaupunginvaltuuston 9.6.2014 hyväksymiä Sisäisen valvonnan ja riskienhallinnan perusteita ja se liitetään niihin seuraavan kerran, kun Sisäisen valvonnan ja riskienhallinnan perusteita päivitetään. Riskienhallintapolitiikka tulee voimaan kaupunginhallituksen hyväksymispäätöksen lainvoimaisuusajankohdasta ja se korvaa kaupunginhallituksen 4.2.2013 66 hyväksymän riskienhallintapolitiikan.