SISÄINEN VALVONTA JA KOKONAISVALTAINEN RISKIEN- HALLINTA OULUN KAUPUNGISSA

SISÄINEN VALVONTA JA KOKONAISVALTAINEN RISKIEN- HALLINTA OULUN KAUPUNGISSA VOIMAANTULO 1.11.2013 päätöspäivä Kaupunginhallitus 23.9.2013 480

SISÄLLYSLUETTELO 1 JOHDANTO 2 2 SISÄINEN VALVONTA JA RISKIENHALLINTA OSANA HYVÄÄ HALLINTO- JA JOHTAMISTAPAA 3 2.1. Hyvä hallinto- ja johtamistapa sekä hyvän hallinnon periaatteet 3 2.2. Oulun kaupungin johtamis- ja ohjausjärjestelmä 3 2.3. Valvonnan rakenne Oulun kaupungissa 6 2.4. Sisäinen valvonnan määritelmä ja tavoitteet 7 2.5. Sisäisen valvonnan osatekijät 8 2.6. Kokonaisvaltaisen riskienhallinnan määritelmä ja tavoitteet 9 2.6.1. Oulun kaupungin riskienhallinnan periaatteet 9 2.6.2. Riskien luokittelu 10 2.7. Riskienhallintaprosessi 12 2.7.1. Riskienhallintasuunnitelman laatiminen 12 2.7.2. Riskien ja mahdollisuuksien arviointi 13 2.7.3. Riskienhallintatoimenpiteiden toteuttaminen 14 2.7.4. Seuranta 15 2.7.5. Raportointi ja tiedonvaihto 15 3. SISÄISEN VALVONNAN JA RISKIENHALLINNAN TOTEUTTAJAT JA HEIDÄN VASTUUNSA 16 3.1. Tilivelvollisuus sekä vastuu sisäisestä valvonnasta ja riskienhallinnasta 16 3.2. Luottamushenkilöiden valvontavastuu 17 3.3. Kaupunginjohtajiston sekä palvelualueiden ja liikelaitosten johtajien valvontavastuu 17 3.4. Esimiehen valvontavastuu 18 3.5. Konsernipalvelujen valvontavastuu ja asiantuntijapalvelut 18 3.6. Yhteenveto sisäisen valvonnan ja riskienhallinnan tehtävistä ja vastuista 19 4 SISÄINEN VALVONTA JA RISKIENHALLINTA OSANA OULUN KAUPUNGIN TOIMINTAPROSESSEJA 20 4.1. Päätöksentekoprosessi 20 4.2. Talous- ja strategiaprosessi 22 4.3. Henkilöstöasiat 26 4.4. Muut asiat 28 4.4.1. ICT 28 4.4.2. Omaisuuden hallinnointi 29 4.4.3. Hankinnat 29 4.4.4. Projektitoiminta 29 4.4.5. Ympäristöasiat 30 5 ERILLISASIAT 31 5.1. Sivutoimet 31 5.2. Ulkopuolisten kustantamien matkojen ja muiden taloudellisten etujen vastaanottaminen 31 5.3. Väärinkäytösten ehkäisy, tunnistaminen ja tutkinta 32 5.4. Avustukset 32 5.5. Sopimukset ja niiden hallinnointi 33 5.6. Yksityisen sektorin kanssa tehtävät yhteistyöjärjestelyt ja kumppanuushankkeet 33 6 OHJEEN VOIMAATULO JA AJAN TASALLA PITÄMINEN 35 LIITTEET LIITE 1. KYSYMYKSIÄ VALVONTAVASTUUSSA OLEVILLE ESIMIEHILLE SIS. VALVONNAN TOIMIVUUDEN TESTAAMISEKSI 36 LIITE 2. RISKIENHALLINTASUUNNITELMA TALOUSSUUNNITTELUKAUDELLE xxxx-xxxx 37 1

1 JOHDANTO Kuntalain 1.7.2012 voimaan astuneiden muutosten myötä kuntalakiin tuli merkittäviä sisäistä valvontaa ja riskienhallintaa koskevia muutoksia, joihin kaupungin tulee vastata. Muutosten tavoitteena on turvata kaupungin päätöksentekijöille nykyistä paremmat ja havainnollisemmat tiedot kunnan taloudellisesta tilanteesta ja riskeistä. Uusien säännösten myötä Oulun kaupunginvaltuusto hyväksyy Oulun kaupunkikonsernin sisäisen valvonnan ja kokonaisvaltaisen riskienhallinnan järjestämisen perusteet. Sisäinen valvonta ja kokonaisvaltainen riskienhallinta Oulun kaupungissa -ohje täydentää lakisääteisiä menettelyjä ja kaupunginvaltuuston hyväksymiä perusteita ohjeistamalla yksityiskohtaisemmalla tasolla sisäisen valvonnan ja riskienhallinnan käytännön työtä. Toimiva sisäinen valvonta ja riskienhallinta ovat tärkeitä, koska Oulun kaupunki on monitoimialainen julkinen organisaatio, jolla on merkittäviä viranomaistehtäviä, palveluiden tuottamis- ja järjestämisvastuita sekä verotusoikeus. Hyvin toimiva sisäinen valvonta lisää toiminnan ja varainkäytön julkista luotettavuutta ja siten ylläpitää julkisten palveluiden ja niiden rahoituksen hyväksyttävyyttä. Ohjeen tarkoituksena on yhtenäistää sisäisen valvonnan ja riskienhallinnan toimintatapoja Oulun kaupungissa sekä toisaalta varmistaa, että yhteisesti sovittuja ja hyväksyttyjä toimintatapoja ja ohjeita noudatetaan. Ohje koskee kaikkia kaupungin toimielimiä, johtoa ja esimiesasemassa olevia. Ohjeessa - määritellään Oulun kaupungin sisäisen valvonnan ja kokonaisvaltaisen riskienhallinnan (tästä eteenpäin riskienhallinta) käsitteet, riskienhallintaa ohjaavat periaatteet ja riskienhallintaprosessi, - kuvataan sisäisen valvonnan ja riskienhallinnan toteuttajat ja heidän vastuunsa sekä - tarkastellaan keskeisiä Oulun kaupungin toimintaprosesseja sisäisen valvonnan ja riskienhallinnan näkökulmasta esittäen menettelyjä ja keinoja, joilla tilivelvollinen johto voi edistää hyvää hallinto- ja johtamistapaa ja varmentaa sisäisen valvonnan sekä riskienhallinnan toimivuutta ja asianmukaisuutta. Ohjeen lopussa käydään läpi sisäisen valvonnan ja riskienhallinnan näkökulmasta olennaisia erillisasioita. 2

2 SISÄINEN VALVONTA JA RISKIENHALLINTA OSANA HYVÄÄ HALLINTO- JA JOHTA- MISTAPAA 2.1. Hyvä hallinto- ja johtamistapa sekä hyvän hallinnon periaatteet Sisäinen valvonta ja riskienhallinta varmistavat hyvän johtamis- ja hallintotavan mukaista toimintaa. Hyvällä hallinto- ja johtamistavalla tarkoitetaan toiminnan ja talouden ohjauksen tilivelvollisuus- ja vastuujärjestelmää, joka edistää hallinnon ja palvelutuotannon luotettavuutta ja tehokkuutta sekä läpinäkyvyyttä. Järjestelmän perustana ovat kaupungin arvot, asiakkaiden ja asukkaiden tarpeet sekä toiminnan tuloksellisuuden arviointi. Keskeistä hyvän hallinto- ja johtamistavan toteuttamisessa on luoda sellaiset linjaukset, jotka varmistavat tuloksellisuuden edellytykset samalla kun toiminta täyttää eettisyyden ja vastuullisuuden vaatimukset. Hyvään johtamis- ja hallintotapaan kuuluu, että organisaatio ja sen jäsenet sekä keskeiset yhteistyökumppanit ovat tietoisia niistä eettisistä periaatteista, joita kaupungin toiminnassa noudatetaan. Tässä yhteydessä painotetaan luottamushenkilöiden, esimiesten ja työntekijöiden velvollisuutta toimia lakien, säädösten ja johdon määräysten mukaisesti sekä rehellisesti ja vilpittömästi. Kaikessa toiminnassa korostetaan yhdenvertaisuutta, jolloin työntekijän oikeutta mielipiteeseen, vakaumukseen ja yhdistystoimintaan kunnioitetaan. Työntekijälle turvataan tasaarvoinen työympäristö, jossa ei esiinny syrjintää. Kaupungin toiminnassa tulee noudattaa hyvän hallinnon periaatteita. Kaupungille kuuluvat tehtävät hoidetaan oikeusturvan vaatimukset täyttävällä ja muutoinkin asianmukaisella ja kansalaisten luottamusta vahvistavalla tavalla. Keskeisiä hyvän hallinnon periaatteita julkishallinnossa ovat hallintolaissa säädetyt hallinnon oikeusperiaatteet (yhdenvertaisuus, tarkoitussidonnaisuus, puolueettomuus, suhteellisuus ja luottamuksensuoja) sekä palveluperiaate, neuvontavelvollisuus ja hyvän kielenkäytön vaatimus. Laki kunnallisesta viranhaltijasta edellyttää viranhaltijan suorittavan virkasuhteeseen kuuluvat tehtävät asianmukaisesti ja viivytyksettä. Viranhaltijan käytöksen pitää olla aseman ja tehtävän edellyttämällä tasolla. Työntekijöitä koskevat vastaavat säännökset löytyvät työsopimuslaista. Sisäisen valvonnan ja riskienhallinnan tulee kattaa kaikki Oulun kaupungin toiminnot: sekä oma toiminta että toiminta, josta kaupunki vastaa lainsäädännön, omistuksen, sopimusten, ohjaus- ja valvontavastuun tai muiden velvoitteiden nojalla. 2.2. Oulun kaupungin johtamis- ja ohjausjärjestelmä Kaupunkien johtamismallien oikeudellinen perusta on määritelty etenkin kuntalaissa. Oulussa johtamisjärjestelmä kattaa kaupunkikonsernin strategisen ohjausjärjestelmän, luottamushenkilö- ja viranhaltijaorganisaation ja toimintamallin; Oulun tapa toimia -periaatteet. Kaupungin organisaatio ja sen toimivaltasuhteet määritetään johtosäännöissä. Kuviossa 1 on esitetty Oulun kaupungin organisaatio 1.1.2013 alkaen. 3

Kuvio 1. Oulun kaupungin organisaatio 1.1.2013 alkaen. Kaupunginvaltuusto on kaupungin ylin päättävä toimielin. Valtuusto ohjaa konkreettisesti kaupungin kehittämistä taloudellista valtaa käyttäessään. Kaupunkiorganisaatiota johtaa kaupunginhallitus vastaten kaupungin hallinnosta ja taloudenhoidosta. Kaupunginhallituksella on kaksi jaostoa: henkilöstöjaosto ja kehittämisjaosto. Kaupunginhallituksen alaisuudessa toimii lautakuntia ja johtokuntia. Myös lautakuntien alaisuudessa voi tarvittaessa olla jaostoja. Konsernipalveluiden teh- 4

tävänä on kaupunkikonsernin kehittämisen ja päätöksenteon valmistelu- ja asiantuntijatehtävät. Kaupunginhallituksen alaisena toimiva kaupunginjohtaja vastaa koko kaupunkikonsernin strategisesta johtamisesta. Kaupunginjohtajan alaisuudessa toimii kolme apulaiskaupunginjohtajaa, konsernipalveluiden hallintojohtaja, BusinessOulu liikelaitoksen johtaja sekä tarkastuspäällikkö. Apulaiskaupunginjohtajista kukin vastaa omalla palvelualueellaan muun muassa palvelualueen strategisesta kehittämisestä, omistajapolitiikan toteuttamisesta sekä konserniohjauksesta ja -valvonnasta. Johtoryhmien tärkein yhteinen tehtävä on ohjata ja kehittää kaupungin toimintaa ja taloutta niin, että kaupunkistrategia ja vuositavoitteet sekä kaupungin lakisääteiset velvoitteet toteutuvat. Kaupungin johtoryhmän tasolla edunvalvontatehtävä on merkittävä samoin kuin tulevaisuuteen suuntaava näkökulma. Johtoryhmätyöskentelyllä varmistetaan käytännön johtamisessa tarvittava viestintä. Kaupungin johtoryhmän tehtävistä ja jäsenistä päättää kaupunginjohtaja. Palvelualueiden (hyvinvointipalvelut, sivistys- ja kulttuuripalvelut sekä yhdyskunta- ja ympäristöpalvelut) ja liikelaitosten johtoryhmien kokoonpanosta päättää yksikön vastuullinen vetäjä. Oulun kaupunkikonsernin strateginen ohjausjärjestelmä muodostuu kuviossa 2 esitetyistä asiakirjoista. Strateginen ohjausjärjestelmä luo puitteet lautakuntien ja johtokuntien operatiiviseen toimintaan. Kaupunginvaltuusto hyväksyy kaupunkistrategian valtuustokausittain ja tarkentaa sen toteuttamista kaupunkistrategian toteuttamis- ja toimenpideohjelmissa sekä vuosittain talousarvion yhteydessä. Kuvio 2. Oulun kaupunkikonsernin strateginen ohjausjärjestelmä. 5

Oulun kaupunkistrategian tavoitteita tukevia toteuttamis- ja toimenpideohjelmia ovat: palvelujen järjestämisohjelma (sisältää strategiset hankintalinjaukset), ympäristöohjelma, henkilöstöohjelma, omistajapoliittinen ohjelma, BusinessOulun toimenpideohjelma, kaupunkikulttuurin toimenpideohjelma ja valtuustosopimus vuosille 2013 2016. Näin valtuusto luo strategisen toimintalinjansa, jolla ohjataan kaupunkikonsernin päätöksentekoa valtuustokaudella. Strategiset linjaukset konkretisoituvat toiminnaksi ja taloudellisiksi resursseiksi vuosittain valtuuston päättämässä Oulun kaupungin talousarviossa ja -suunnitelmassa. Sopimusohjaus sisältyy Oulun strategiseen ohjausjärjestelmään. Sopimusohjaus on tapa ohjata palvelujen tuottajia järjestäjän ja tuottajan välisillä sopimuksilla. Sopimusohjausta sovelletaan sekä omaan palvelutuotantoon sisäisenä sopimusohjauksena että palveluhankintoihin ulkoisilta tuottajilta. 2.3. Valvonnan rakenne Oulun kaupungissa Valvonta jakaantuu ulkoiseen ja sisäiseen valvontaan (kuvio 3). Ulkoinen valvonta on kaupunginhallituksesta ja kaupungin viranhaltijajohdosta riippumatonta toimintaa, jota suoritetaan sekä kunnan järjestämänä että täysin kunnallisen ohjauksen ulkopuolella. Kunnan järjestämää ulkoista valvontaa hoitavat tarkastuslautakunta ja tilintarkastaja ulkoisen tarkastuksen yksikön avustamana. Ulkoista valvontaa harjoittavat lisäksi mm. kaupungin asukkaat, joilla on julkisuusperiaatteen mukainen valvontaoikeus ja -mahdollisuus. Kaupungin sisäisestä valvonnasta vastaavat kaikki tilivelvolliset ja esimiehet. Sisäisen tarkastuksen yksikkö avustaa kaupunginhallitusta ja kaupunginjohtoa arvioimalla ja tarkastamalla sisäisen valvonnan toimivuutta. Kuvio 3. Ulkoinen ja sisäinen valvontajärjestelmä. 6

Seuranta on kunnallishallinnossa luottamushenkilöille kuuluva osa sisäistä valvontaa esim. sen suhteen, miten viranhaltija käyttää hänelle delegoitua toimivaltaa. Seurannan keskeisiä tehtäviä ovat raportointivelvoitteiden asettaminen, raportoinnin toteutuksen valvonta ja tehtyjen päätösten ja raporteissa kuvattujen tulosten vertailu. Sisäinen tarkkailu on jatkuvaa toimintaa, jolla varmistetaan tehtävien asianmukainen hoitaminen hyväksytyllä tavalla ja tehtävään osoitettujen voimavarojen puitteissa. Se on yleistä rationaalista toimintaa suunnittelun, päätöksenteon, toimeenpanon ja valvonnan muodostamassa toimintaketjussa. Sen toimivuudesta vastaavat organisaatiossa esimiesasemassa olevat. Sisäinen tarkastus on sisäisen valvonnan näkyvä osa. Se on osa riippumatonta ja objektiivista arviointi- ja varmistustoimintaa sekä johdon apuna toimivaa konsultointitoimintaa. Se tarjoaa järjestelmällisen lähestymistavan arvioida ja parantaa organisaation riskienhallintaa, valvontaa sekä johtamis- ja hallintoprosesseja. Sisäisen tarkastuksen tehtävänä on kaupungin eri yksiköiden taloudellisten ja toiminnallisten tavoitteiden toteutumisen sekä sääntöjen ja toimintaperiaatteiden noudattamisen tarkastaminen. Informaatiojärjestelmien tarkastus sekä päätöksenteossa käytetyn tiedon riittävyyden ja luotettavuuden arviointi muodostavat keskeisen osan varmistus- ja arviointitehtävää. 2.4. Sisäinen valvonnan määritelmä ja tavoitteet Sisäinen valvonta on kunnan ja sen toimialan, palvelu- tai vastuualueen, toiminnan omaa valvontaa, joka on johdon tekemää tai johdon lukuun tehtyä. Näkökulmana sisäisessä valvonnassa on, millä keinoin ja tavoin johto varmistaa, että asiat omalla vastuualueella tai vastuuyksikössä sujuvat niin kuin niiden pitäisi sujua. Onnistuneen johtamisen perusedellytyksiä on, että johtajalla on ajantasainen tieto alueensa tai yksikkönsä olennaisten asioiden tilasta eikä johtaminen tapahdu vain olettamusten varassa. Sisäisen valvonnan tavoitteet liittyvät yleisellä tasolla toiminnan kustannustehokkuuden parantamiseen, laadukkaan ja läpinäkyvän hallinnon järjestämiseen sekä työn mielekkyyden turvaamiseen. Kysymys on toiminnan itsearvioinnista ja tavoitteena on sen jatkuva parantaminen. Yksityiskohtaisemmin sisäisen valvonnan tavoitteet voidaan jaotella seuraavasti: Vaikuttavuus ja tuloksellisuus. Valvonnalla varmistetaan asetettujen tavoitteiden saavuttamista, tuotteiden ja palvelujen laatua sekä toimintojen taloudellisuutta ja tuottavuutta. Raportointi ja tiedon oikeellisuus. Valvonnalla johto ja esimiehet huolehtivat siitä, että heidän vastuualueellaan tuotetaan ja ylläpidetään luotettavia tietoja toiminnasta, taloudesta ja hallinnosta. Tiedot tulee raportoida oikein ja ajantasaisesti. Toiminnan laillisuus ja johdon ohjeiden noudattaminen. Valvonta turvaa lakien ja asetusten sekä Oulun kaupungin päätösten, sääntöjen ja ohjeiden noudattamisen. Resurssien ja omaisuuden turvaaminen. Valvonnalla varmistetaan, että kaupungin resursseja käytetään järkevästi ja taloudellisesti kaupungin hyväksi ja että 7

resurssit turvataan menetyksiltä, jotka aiheutuvat virheistä, resurssien huonosta hoidosta, tuhlauksesta, väärinkäytöksistä, petoksista tai muusta sääntöjen ja ohjeiden vastaisesta toiminnasta. Sisäiseen valvontaan vaikuttavat toiminnan luonne, sisältö ja laajuus, toimintayksikön talous sekä niihin liittyvät riskit. Valvonta on riittävää, kun toiminta on organisoitu siten, että se tuottaa kohtuullisen varmuuden tavoitteiden saavuttamisesta. Valvontatoimenpiteiden on oltava taloudellisia ja tehokkaita. 2.5. Sisäisen valvonnan osatekijät Sisäinen valvonta koostuu viidestä toisiinsa liittyvästä osatekijästä (kuvio 4, mukaillen COSO- ja COSO-ERM -viitekehykset, 1992 ja 2004). Näiden osatekijöiden ollessa kunnossa organisaation ja sisäisen valvonnan tavoitteet voidaan saavuttaa ja siksi tilivelvollisten tulee huolehtia osatekijöiden asianmukaisesta järjestämisestä sekä valvonnasta. Seuranta ja arviointi Valvontatoimenpiteet Kokonaisvaltainen riskienhallinta Johtamistapa ja organisaatiokulttuuri Kuvio 4. Sisäisen valvonnan osatekijät. Johtamistapa ja organisaatiokulttuuri luovat perustan valvonnalle ja edistävät tavoitteiden saavuttamista sekä henkilöstön valvontatietoisuutta. Asianmukaisesti toteutettuna ne takaavat parhaiten asioiden sovitunlaisen toteutumisen ja ehkäisevät samalla päätösten vastaista toimintaa sekä väärinkäytöksiä. Johtamistapa ja organisaatiokulttuuri vaikuttavat siihen, millaiset valvontatoimet otetaan käyttöön, millaisiksi organisaation raportointi- ja tiedotusjärjestelmät muodostuvat ja miten seuranta toteutetaan. Organisaatiokulttuuri koostuu mm. eettisistä arvoista, rehellisyydestä, organisaation ihmisten pätevyydestä sekä tavasta, jolla johto antaa valtaa ja vastuuta sekä organisoi ja kehittää henkilöstöään. Kokonaisvaltainen riskienhallinta. Kokonaisvaltainen riskienhallinta on osa sisäistä valvontaa. Kokonaisvaltaiseen riskienhallintaan kuuluu riskien tunnistaminen, arviointi sekä niihin vastaaminen toiminnan suunnittelussa ja tavoitteiden asettamisessa. Riskienhallinnan avulla kyetään myös löytämään uusia mahdollisuuksia. 8

Valvontatoimenpiteet ovat toimintatapoja ja -periaatteita, jotka auttavat varmistamaan tavoitteiden saavuttamista, määräysten noudattamista, resurssien tarkoituksenmukaista käyttöä, omaisuuden turvaamista ja tiedon luotettavuutta. Valvontatoimenpiteisiin kuuluvat mm. erilaiset hyväksymiset, valtuutukset, todentamiset, täsmäytykset, toiminnan tarkastukset, omaisuuden turvaamistoimet sekä työtehtävien eriyttäminen. Valvontatoimenpiteitä suoritetaan kaikkialla organisaatiossa, kaikilla tasoilla ja kaikissa toiminnoissa. Raportointi ja tiedonvälitys. Toimivan raportoinnin ja tiedonvälityksen avulla kaupungin johto, henkilöstö ja sidosryhmät saavat oikea-aikaisesti olennaista ja käyttökelpoista tietoa toiminnasta ja siihen vaikuttavista tekijöistä. Tehokas tiedonvälitys organisaatiossa tapahtuu sekä vertikaalisesti että horisontaalisesti. Seuranta ja arviointi. Seurantatiedon perusteella arvioidaan sisäisen valvonnan ja riskienhallinnan tehokkuutta ja edistetään niiden kehittämistä. Seuranta voi olla jatkuvaa tai sitä voidaan toteuttaa erillisillä arvioinneilla tai näiden yhdistelmällä. Ohjeen liitteenä 1 on lista, johon on kerätty oleellisia kysymyksiä sisäiseen valvontaan liittyen. Valvontavastuussa olevat esimiehet voivat käyttää kysymyksiä tukenaan testatessaan sisäisen valvonnan toimivuutta omalla vastuualueellaan. 2.6. Kokonaisvaltaisen riskienhallinnan määritelmä ja tavoitteet Kokonaisvaltainen riskienhallinta on osa sisäistä valvontaa, jonka tavoitteena on varmistaa asetettujen tavoitteiden saavuttaminen. Riskienhallinta kytketään organisaation strategisiin, toiminnallisiin ja taloudellisiin tavoitteisiin. Riskienhallinnan avulla tunnistetaan organisaation toimintaan mahdollisesti vaikuttavat tapahtumat ja saatetaan tapahtumien riskit organisaation hyväksymälle tasolle. Riskienhallinnan tavoitteena on kohtuullinen varmuus organisaation tavoitteiden saavuttamisesta koskien - strategisia tavoitteita, - operatiivisia tavoitteita, - raportoinnin luotettavuutta sekä - lakien ja ohjeiden noudattamista. Riski on mahdollinen tapahtuma tai tapahtumaketju, joka voi vaarantaa taloudellisten tai toiminnallisten tavoitteiden saavuttamisen lyhyellä tai pitkällä aikavälillä tai uhata organisaation mainetta. Riski ei ole ainoastaan negatiivisen asian mahdollinen tapahtuminen, vaan myös se, että jokin voimavarojen mahdollistama hyvä jää toteutumatta. Sisäisen valvonnan kannalta on olennaista, että toimintaan liittyvät riskit ja mahdollisuudet on arvioitu ja ymmärretty. 2.6.1. Oulun kaupungin riskienhallinnan periaatteet Jotta riskienhallinta on vaikuttavaa, Oulun kaupungissa on noudatettava seuraavia riskienhallinnan periaatteita kaikilla organisaation tasoilla (mukaillen ISO 31000 standardi). 9

1) Riskienhallinta edesauttaa tavoitteiden saavuttamista ja toiminnan tuloksellisuutta. 2) Riskienhallinta on olennainen osa kaikkia organisaation prosesseja. Riskienhallinta ei ole organisaation muista toiminnoista ja prosesseista erillinen toiminto. Riskienhallinta on osa johdon vastuualuetta ja olennainen osa kaikkia Oulun kaupungin prosesseja kuten esimerkiksi strategisen suunnittelun prosesseja sekä kaikkien projektien ja muutoksenhallinnan prosesseja. 3) Riskienhallinta on osa päätöksentekoa. Riskienhallinta auttaa päätöksentekijöitä tekemään tietoisia valintoja, asettamaan toimintoja tärkeysjärjestykseen ja erottamaan vaihtoehtoiset toimintatavat. 4) Riskienhallinnan lähtökohtana on sekä epävarmuuden (uhkien) että mahdollisuuksien huomioon ottaminen. 5) Riskienhallinta on järjestelmällistä, jäsenneltyä ja ajantasaista, avointa ja kattavaa sekä perustuu parhaaseen saatavilla olevaan tietoon. Systemaattinen riskienhallinnan toimintamalli lisää tehokkuutta ja tekee tuloksista yhdenmukaisempia, luotettavampia ja helpommin vertailtavia. Sidosryhmien ja erityisesti organisaation eri tasoilla olevien päätöksentekijöiden ottaminen sopivalla tavalla ja oikeaan aikaan mukaan riskienhallintaan takaa, että riskienhallinta pysyy tarkoituksenmukaisena ja ajantasaisena. 6) Riskienhallinnasta päätettäessä johto ottaa kantaa siihen, miten suuria riskejä ollaan valmiita ottamaan ja miten suuria menetyksiä organisaatio pystyy kestämään. 7) Riskienhallinta on dynaamista, toistuvaa ja muutoksiin reagoivaa. Riskienhallinnan avulla muutokset havaitaan ja niihin reagoidaan viipymättä. Ulkoisten ja sisäisten tapahtumien myötä toimintaympäristö ja tietämys muuttuvat, riskejä seurataan ja katselmoidaan, ilmaantuu uusia riskejä, osa riskeistä muuttuu ja osa katoaa. 8) Riskienhallinta tukee organisaation jatkuvaa kehittämistä. 2.6.2. Riskien luokittelu Oulun kaupungin riskit luokitellaan strategisiin, operatiivisiin, taloudellisiin ja vahinkoriskeihin. Strategiset riskit ovat riskejä, jotka liittyvät Oulun kaupungin pitkän aikavälin tavoitteisiin, menestystekijöihin sekä niihin kohdistuviin sisäisiin tai ulkoisiin epävarmuustekijöihin. Operatiivisille riskeillä tarkoitetaan päivittäistä toimintaa, prosesseja ja järjestelmiä uhkaavia riskejä. Taloudellisilla riskeillä tarkoitetaan talouden tasapainoon (menojen hallintaan ja tulorahoituksen riittävyyteen), investointeihin ja rahoitukseen liittyviä riskejä. Vahinkoriskit kohdistuvat yleensä tiettyyn kohteeseen ja vahingon mahdollisuus sekä seuraukset ovat etukäteen tiedossa, mutta vahingon todennäköisyyttä ei tiedetä. Strategiset ja taloudelliset riskit voivat toteutuessaan heikentää merkittävästi Oulun kaupungin ja/tai yksikön toimintaedellytyksiä. Operatiiviset riskit ja vahinkoriskit voivat puolestaan toteutuessaan heikentää Oulun kaupungin ja/tai yksikön tuloksellisuutta. Riskit voidaan lisäksi jakaa kaupungin ja kaupunkikonsernin sisäisiin riskeihin sekä ulkoapäin tuleviin riskeihin. 10

Kuviossa 5 on kuvattu Oulun kaupungin riskikartta. Kuviossa esitetään esimerkinomaisesti edellä mainittuun luokitteluun perustuen Oulun kaupungin toimintaan vaikuttavia riskejä. Kuvio 5. Oulun kaupungin riskikartta. Riskienhallinnan on katettava kaikki olennaiset toiminnan riskit. Merkittävät riskit on tunnistettava, arvioitava ja luokiteltava sekä luotava niille riittävät riskienhallintakeinot. Kohtuullinen varmuus ja olennaisimpien asioiden varmistaminen on riittävä päämäärä, koska ehdoton varmuus edellyttää yleensä liiallisia kustannuksia saavutettavaan hyötyyn verrattuna. Kaupunkikonsernin merkittävillä riskeillä tarkoitetaan sellaisia strategisia, operatiivisia, taloudellisia ja vahinkoriskejä, jotka uhkaavat kaupunkikonsernin tavoitteita tai ovat muuten hyvin laajoja vaikutuksiltaan. Monet kaupunkikonsernitason 11

riskeistä ovat sellaisia, joita ei pystytä hallitsemaan pelkästään yksittäisen palvelualueen, liikelaitoksen, konsernipalveluiden tai tytäryhteisön hallintakeinoilla. Edellä esitetyt näkökulmat kuvaavat niitä tekijöitä, jotka huomioidaan riskienhallinnan järjestämisessä ja toteuttamisessa, päätöksenteossa sekä raportoinnissa. Palvelualueet, liikelaitokset ja konsernipalvelut voivat luoda omaan käyttöönsä toimintansa näkökulmasta tarkoituksenmukaisempia ja tarkempia riskiluokitteluja. 2.7. Riskienhallintaprosessi Riskienhallinta on osa normaalia Oulun kaupungin toiminnan suunnittelua, päätöksentekoa sekä toiminnan arviointia ja sisältyy täten kaupungin prosesseihin ja toimintatapoihin. Riskien arviointi ja raportointi kytkeytyy kiinteästi vuosittaiseen toiminnan ja talouden suunnittelu- ja raportointiprosessiin. Kuviossa 6 on esitetty Oulun kaupungin riskienhallintaprosessi (mukaillen ISO 31000 standardi). Kuvio 6. Oulun kaupungin riskienhallintaprosessi. 2.7.1. Riskienhallintasuunnitelman laatiminen Oulun kaupungin palvelualueet, liikelaitokset ja konsernipalvelut laativat toimialaansa koskevan riskienhallintasuunnitelman. Riskienhallintasuunnitelmassa kuvataan toimintaympäristö, kuvataan riskienhallintaprosessin käytännön toteutus ja vastuut sekä määritellään käytettävät riskienhallintatoimenpiteet. 12

Riskienhallintasuunnitelma päivitetään vuosittain talousarvion laatimisen yhteydessä. Riskienhallintasuunnitelman laatimisen myötä palvelualueelle/liikelaitokselle/konsernipalveluille syntyy selkeä riskienhallinnan toimintamalli ja riskienhallintaprosessiin osallistuville henkilöille yhteinen käsitys prosessin tavoitteista ja vastuista. Toimintaympäristöä kuvattaessa huomioidaan tekijät, jotka vaikuttavat riskienhallintaprosessin toteuttamiseen: mitkä asiat säätelevät palvelualueen/liikelaitoksen/konsernipalveluiden toimintaa tai mihin sen toiminta perustuu (esim. lainsäädäntö, viranomaismääräykset, sopimukset), palvelualueen/liikelaitoksen/konsernipalveluiden tehtävät ja tavoitteet, keskeiset palvelualueen/liikelaitoksen/konsernipalveluiden tavoitteisiin vaikuttavat tekijät ja kehityssuunnat, mitä palvelualue/liikelaitos/konsernipalvelut tarvitsee, jotta se voi saavuttaa tavoitteensa (keskeiset vaatimukset onnistumiselle) sekä kuinka toimintaympäristön arvioidaan muuttuvan taloussuunnittelukaudella. Riskienhallintaprosessin osalta riskienhallintasuunnitelmassa kuvataan seuraavat asiat: riskienhallintaprosessiin osallistuvat tahot ja prosessin vuosittainen aikataulutus, vastuut riskienhallintaprosessista ja sen toteuttamisesta, riskien seurannasta ja raportoinnista, riskien ja mahdollisuuksien tunnistamisessa, analysoinnissa ja priorisoinnissa käytettävät menetelmät sekä riskienhallintatoimintojen tavoitteet lyhyellä ja pitkällä aikavälillä. Riskienhallintasuunnitelmassa tulee lisäksi määritellä käytettävät riskienhallintatoimenpiteet (ts. kuinka menetellään havaittujen merkittävien riskien ja mahdollisuuksien suhteen). Riskienhallintatoimenpiteiden osalta määritellään: käytettävät toimenpiteet sekä miten riskienhallintatoimenpiteet dokumentoidaan, miten niitä seurataan ja miten niistä raportoidaan. Esimerkki riskienhallintasuunnitelmaan sisällytettävistä asioista on ohjeen liitteenä 2. Riskienhallintasuunnitelman laatimiseen ja riskienarviointiin saa tarvittaessa ohjausta konsernipalveluiden riskienhallintapäälliköltä. 2.7.2. Riskien ja mahdollisuuksien arviointi Riskien arviointi kattaa riskien ja mahdollisuuksien tunnistamisen, riskianalyysin sekä riskien ja mahdollisuuksien merkityksen arvioinnin. Riskien ja mahdollisuuksien tunnistaminen Riskien tunnistamisen tavoitteena on luoda kattava luettelo riskeistä, jotka voivat mahdollistaa tai estää tavoitteiden saavuttamisen tai parantaa, haitata, nopeuttaa tai viivästyttää sitä. On tärkeää tunnistaa myös riskit, jotka liittyvät jonkin mahdollisuuden hyödyntämättä jättämiseen. Riskien tunnistaminen mahdollisimman kattavasti on ratkaisevan tärkeää, sillä riski, jota ei tunnisteta tässä vaiheessa, ei ole mukana myöhemmässä analyysissa, ts. tunnistamattomia riskejä ei voi hallita. Riskien tunnistamisen on katettava kaikki riskit riippumatta siitä, onko niiden lähde palvelualueen/liikelaitoksen/konsernipalveluiden hallinnassa. Riskien tunnistamisessa on otettava huomioon myös riskien seurannaisvaikutukset ja kumu- 13

latiiviset vaikutukset. Kaikki merkittävät syyt ja seuraukset on otettava huomioon. Oulun kaupungin palvelualueet/liikelaitokset/konsernipalvelut käyttävät riskien tunnistamisessa hyväksi tämän ohjeen sivulla 11 esitettyä Oulun kaupungin riskikarttaa. Olennainen ja ajantasainen tieto on tärkeää riskien tunnistamisen kannalta. Täten riskien tunnistamisessa on oltava mukana henkilöitä, joilla on tarvittava, ajantasainen tietämys. Suosituksena on, että riskienarviointi suoritetaan johtoryhmätasolla. Riskianalyysi Riskianalyysissa muodostetaan tarkka käsitys riskeistä. Riskianalyysi voi myös antaa lähtötietoja päätöksentekoon, kun on tehtävä valintoja sellaisten eri vaihtoehtojen välillä, joihin sisältyy erityyppisiä ja eritasoisia riskejä. Kun riskit on tunnistettu ja kirjattu riskienarviointitaulukkoon, analysoidaan niitä taulukon avulla. Tässä vaiheessa riskeistä voidaan nostaa tarkempaan tarkasteluun, esimerkiksi suoritetun äänestyksen jälkeen, 5-7 merkittävintä riskiä. Riskianalyysiin sisältyy riskin syiden sekä niiden myönteisten ja haitallisten seurausten arviointi. Käytössä olevat riskienhallintakeinot ja niiden vaikuttavuus ja tehokkuus on myös otettava huomioon. Riskin tapahtumisen todennäköisyyttä ja vaikutuksia on arvioitava. Tapahtumalla voi olla useita seurauksia, ja se voi vaikuttaa moniin tavoitteisiin. Jos käytössä olevat hallintakeinot eivät ole riittäviä, arvioidaan riskille uudet hallintakeinot. Riskianalyysissa tulee lisäksi tehdä arvio asiaan liittyvistä mahdollisuuksista. Analysoitaessa riskejä on tärkeää ottaa huomioon eri riskien ja niiden lähteiden keskinäiset riippuvuudet. Riskien seurausten, tapahtumistodennäköisyyden ja vaikutusten määrittämisen luotettavuus ja herkkyys on otettava huomioon analyysissa, ja niistä on tiedotettava päätöksentekijöitä ja tarvittaessa myös muita sidosryhmiä. Riskien analysointiin liittyvät eroavat mielipiteet, epävarmuus, tiedon saatavuus, laatu, määrä ja ajanmukaisuus sekä muut vastaavat tekijät on tuotava esiin. Riskianalyysin yksityiskohtaisuus riippuu riskistä, analyysin tarkoituksesta ja saatavilla olevasta informaatiosta ja resursseista. Riskien ja mahdollisuuksien merkityksen arviointi Riskien merkityksen arvioinnin tarkoitus on auttaa tekemään päätöksiä riskianalyysin tulosten perusteella siitä, mitä riskejä on tarpeen käsitellä ja mikä on niiden käsittelyn toteuttamisen tärkeysjärjestys. Riskien merkitys muodostuu riskien todennäköisyyden ja riskien vaikutuksen tulona. Mitä suuremman arvon riskin merkitys saa, sitä tarkempaan tarkasteluun riski tulee nostaa. Joissain olosuhteissa riskin merkityksen arvioinnin johtopäätöksenä voi olla lisäanalyysin tekeminen. Riskin merkityksen arvioinnin lopputulos voi myös olla päätös olla käsittelemättä riskiä millään muilla tavoin kuin säilyttämällä jo olemassa olevat hallintakeinot. 2.7.3. Riskienhallintatoimenpiteiden toteuttaminen Riskienhallintatoimenpiteiden toteuttamiseen sisältyy yhden tai useamman riskienhallintatavan valitseminen ja valittujen vaihtoehtojen toteuttaminen. Riskien- 14

hallintatapojen vaihtoehdot eivät välttämättä ole toisensa poissulkevia tai kaikkiin olosuhteisiin soveltuvia. Vaihtoehtoja voivat olla esimerkiksi: a) riskin torjuminen päättämällä olla aloittamatta tai jatkamatta riskin aiheuttavaa toimintaa, b) riskin ottaminen tai lisääminen jonkin mahdollisuuden hyödyntämisen takia, c) riskin lähteen poistaminen, d) todennäköisyyden muuttaminen, e) seurausten muuttaminen, f) riskin jakaminen toisen osapuolen tai osapuolten kanssa (esimerkiksi sopimusten ja riskin rahoittamisen kautta) sekä g) säilyttäminen tietoon perustuvalla päätöksellä. Kun riskienhallintatavoista valitaan sopivimpia, tulee niiden toteuttamisen vaatimia kustannuksia ja työmäärää verrata niistä saataviin hyötyihin ottaen huomioon lakien ja viranomaisten vaatimukset sekä muut vaatimukset, kuten yhteiskuntavastuu ja ympäristönsuojelu. Päätöksenteossa on myös otettava huomioon riskit, jotka voivat vaatia riskin käsittelyä, joka ei ole taloudellisesti perusteltua. Tällaisia ovat esimerkiksi vakavat, mutta harvinaiset riskit (eli riskit, joilla on hyvin haitallisia seurauksia, mutta joiden todennäköisyys on pieni). Edellä mainittuja vaihtoehtoja voidaan tarkastella ja soveltaa joko yksittäin tai yhdessä. Useiden riskienhallintatapojen käyttäminen yhdessä on yleensä hyödyllistä. Jos käytettävät riskienhallintatavat voivat vaikuttaa riskeihin, jotka kohdistuvat Oulun kaupungin muihin osiin tai sidosryhmiin, näiden tahojen on oltava mukana päätöksenteossa. Vaikka riskienhallintatavat voivat olla yhtä vaikuttavia, jotkin niistä voivat olla joillekin sidosryhmille hyväksyttävämpiä kuin toiset. Riskienhallintatoimenpiteiden epäonnistuminen tai tuloksettomuus voi olla merkittävä riski. Jotta toimenpiteet pysyvät vaikuttavina, seurannan täytyy olla selkeästi vastuutettu riskienhallintasuunnitelmassa. 2.7.4. Seuranta Riskienhallintatoimenpiteiden vaikutusten seurannan ja riittävyyden arvioinnin on oltava suunniteltu osa riskienhallintaprosessia. Seuranta voi olla määrävälein tapahtuvaa tai tilannekohtaista. Seurantaan liittyvät vastuut on määriteltävä selvästi riskienhallintasuunnitelmassa. Riskienhallintatoimenpiteiden vaikutusten seurannan ja riittävyyden arvioinnin avulla voidaan varmistaa, että riskienhallintakeinot on toteutettu suunnitellusti ja ne ovat vaikuttavia ja tehokkaita, saadaan lisätietoa ja voidaan tarvittaessa parantaa riskien arviointia, voidaan analysoida tapahtumia (kuten esimerkiksi läheltä piti -tilanteita), onnistumisia ja epäonnistumisia sekä oppia niistä ja havaitaan riskin muuttuminen, mikä voi edellyttää riskin käsittelyn ja tärkeysjärjestyksen uudelleentarkastelua. 2.7.5. Raportointi ja tiedonvaihto Prosessin kaikkiin vaiheisiin sisältyy raportointi ja tiedonvaihto tarvittavien sisäisten ja ulkoisten sidosryhmien kanssa. Riittävällä sisäisellä ja ulkoisella raportoinnilla sekä tiedonvaihdolla varmistetaan, että riskienhallintaprosessin toteuttamisesta vastaavat tahot ja sidosryhmät ymmärtävät päätöksenteon perusteet ja syyt siihen, miksi tiettyjä toimenpiteitä tarvitaan. 15

3. SISÄISEN VALVONNAN JA RISKIENHALLINNAN TOTEUTTAJAT JA HEIDÄN VAS- TUUNSA 3.1. Tilivelvollisuus sekä vastuu sisäisestä valvonnasta ja riskienhallinnasta Kuntalain 75 :n mukaan tilivelvollisia ovat toimielinten jäsenet ja asianomaisen toimielimen tehtäväalueen johtavat viranhaltijat. Tilivelvollisuus merkitsee sitä, että toiminta tulee valtuuston arvioitavaksi, viranhaltijaan voidaan kohdistaa muistutus tilintarkastajan antamassa tilintarkastuskertomuksessa ja viranhaltijalle voidaan myöntää tai olla myöntämättä vastuuvapaus. Tilivelvollinen vastaa toiminnan ja talouden osalta sekä omasta että alaistensa tekemisestä ja siitä mitä jää hoitamatta. Tilivelvollisuus ei tuo viranhaltijalle mitään sellaista vastuuta, joka ei kuulu hänelle jo asemansa perusteella muutoinkin esimiehenä, laskujen hyväksyjänä tai määrärahojen käytöstä päättävänä viranhaltijana. Tilivelvollisia viranhaltijoita ovat Oulun uuden johtamisjärjestelmän mukaisesti: - kaupunginjohtaja, - apulaiskaupunginjohtajat, - toimialojen ja liikelaitosten johtavat viranhaltijat, - toimialojen johtosäännöissä määritellyt vastuu- ja palvelualueiden johtajat sekä - konsernipalveluiden hallintojohtaja ja palvelualueiden johtajat. Suoraan kuntalain säännöksen perusteella luottamushenkilöistä tilivelvollisia ovat kaupunginhallituksen, lautakuntien ja johtokuntien sekä niiden jaostojen ja toimikuntien jäsenet. Valtuutetut eivät valtuuston jäseninä ole tilivelvollisia. Tarvittaessa tilivelvolliset voidaan yksilöidä toimielin- ja virkakohtaisesti talousarviossa. Viime kädessä kaupungin JHTT-tilintarkastaja määrittelee tilivelvolliset ottaessaan tilintarkastuskertomuksessaan kantaa siihen, voidaanko tilivelvollisille myöntää vastuuvapaus. Tilintarkastaja voi määritellä tilivelvolliseksi muunkin kuin kaupungin päätöksellä tilivelvolliseksi nimetyn viranhaltijan ja kohdistaa häneen muistutuksen tilintarkastuskertomuksessaan ja häneltä voidaan kaupunginvaltuuston päätöksellä evätä vastuuvapaus. Tilivelvollisuusaseman puuttuminen ei vapauta esimiestä alaistensa toiminnan valvontavastuusta eikä estä kohdistamasta vahingonkorvausvaatimusta tai rikosseuraamusta myös muuhun henkilöön kuin tilivelvolliseen (=tosiasiallinen vastuu). Tarvittaessa tilivelvolliset voidaan yksilöidä toimielin- ja virkakohtaisesti talousarviossa. 16

3.2. Luottamushenkilöiden valvontavastuu Kaupunginvaltuusto vastaa (KL 13 ) Oulun kaupungin toiminnasta ja taloudesta. Kaupunginvaltuuston tulee päättää Oulun kaupungin ja kaupunkikonsernin sisäisen valvonnan ja riskienhallinnan perusteista. Tarkastuslautakunta voi esittää arviointikertomuksessaan arvionsa sisäisen valvonnan ja riskienhallinnan tilasta. Kaupunginhallitus vastaa (KL 23 ) kunnan hallinnosta ja taloudenhoidosta sekä valtuuston päätösten valmistelusta, täytäntöönpanosta ja laillisuuden valvonnasta. Se vastaa myös sisäisen valvonnan ja riskienhallinnan ohjeistamisesta ja asianmukaisesta järjestämisestä, toimeenpanon valvonnasta ja tuloksellisuudesta. Kaupunginhallitus on velvollinen antamaan osana toimintakertomusta selonteot sisäisen valvonnan ja konsernivalvonnan järjestämisestä kaupungissa ja kaupunkikonsernissa. Kaupunginhallituksen alainen tarkastustoimikunta valvoo ja arvioi sisäisen valvonnan, konsernivalvonnan ja riskienhallinnan asianmukaista järjestämistä, riittävyyttä ja tehokkuutta. Tarkastustoimikunnan tehtävänä on lisäksi mm. valmistella kaupunginhallituksen hyväksyttäväksi kaupunkikonsernia koskevat sisäisen valvonnan ja riskienhallinnan ohjeet. Kaupunginhallituksen alaiset toimielimet vastaavat omalla tehtäväalueellaan sisäisen valvonnan ja riskienhallinnan asianmukaisesta järjestämisestä, toimeenpanon valvonnasta ja tuloksellisuudesta sekä merkittävimpien riskien raportoinnista kaupunginhallituksen antamien ohjeiden mukaisesti. Lautakunnalla ja johtokunnalla on mm. velvollisuus valvoa, että sen alainen palvelualue/liikelaitos toimii vahvistetun talousarvion sekä kaupunginvaltuuston ja kaupunginhallituksen hyväksymien tavoitteiden mukaisesti sekä asettaa omalta osaltaan palvelualueelle/liikelaitokselle tavoitteet ja seurata niiden toteutumista. Toimielinten jäsenten tilivelvollisuus korostaa heidän valvontavastuutaan päätöksenteossa ja toiminnan seurannassa. Kuntalain 87 c :n mukaan kunnallisen liikelaitoksen johtokunta vastaa sisäisen valvonnan ja riskienhallinnan asianmukaisesta järjestämisestä. Kaupunginhallituksen on arvioitava vuosittain toimintakertomuksen osana riskienhallinnan, konsernivalvonnan ja sisäisen valvonnan tehokkuutta ja kehitystarpeita. 3.3. Kaupunginjohtajiston sekä palvelualueiden ja liikelaitosten johtajien valvontavastuu Kaupunginjohtajan velvollisuutena on huolehtia riittävän ja toimivan sisäisen valvonnan toteuttamisesta ja ylläpitämisestä sekä toimivuuden varmistamisesta osana kaupungin hallinnon ja taloudenhoidon johtamista. Apulaiskaupunginjohtajien tehtävät ja vastuut määrätään kaupunginhallituksen johtosäännössä. Sisäinen tarkastus avustaa kaupunginhallitusta ja kaupunginjohtajistoa heidän valvontavelvollisuuksiensa täyttämisessä tarkastamalla ja arvioimalla sisäisen valvonnan ja riskienhallinnan toimivuutta. Palvelualueiden ja liikelaitosten ylin johto on tilivelvollisina ja esimiehinä vastuussa sisäisen valvonnan järjestämisestä ja ylläpitämisestä sekä riskienhallinnasta johtosäännön tehtävänmäärittelyjen mukaisesti. He vastaavat siitä, että organisaation kullekin toiminnolle on määritelty vastuutaho. Heidän tehtävänään on luoda toimiva ja kattava ohjaus- ja seurantajärjestelmä. 17

3.4. Esimiehen valvontavastuu Esimies vastaa siitä, että yksikön henkilöstön tehtävät, vastuut ja toimivalta on määritelty selkeästi ja henkilöstö on myös tietoinen tehtävistään. Esimiehen tehtävänä on luoda henkilöstölle edellytykset tehtävistä suoriutumiseen ja tavoitteiden saavuttamiseen (osana säännöllistä valvontaa). Esimies vastaa siitä, että hänen yksikkönsä tavoitteet tukevat ylemmän tason tavoitteita. Samoin hän vastaa siitä, että hänen alaisuudessaan olevien yksiköiden tavoitteet ovat linjassa koko yksikön tavoitteiden kanssa. Esimies vastaa myös tiedonkulusta ja raportoinnista. Esimiehet ohjaavat ja valvovat alaistensa toimintaa. Esimiehen on ryhdyttävä toimenpiteisiin välittömästi, kun havaitaan toimintaa, joka on tehotonta tai epätarkoituksenmukaista tai lain, muiden sääntöjen, ohjeiden ja päätösten vastaista. 3.5. Konsernipalvelujen valvontavastuu ja asiantuntijapalvelut Kaupunginhallitus päättää konsernipalveluiden osalta sisäisestä valvonnasta ja riskienhallinnasta ja hyväksyy niitä koskevat suunnitelmat. Konsernipalvelujen palvelualueiden johtajat vastaavat vastuualueensa keskitettyjen asiantuntijapalveluiden sisäisestä valvonnasta ja riskienhallinnasta koko kaupunkiorganisaatiossa yhdessä yksiköiden johtajien ja esimiesten kanssa. Konsernipalveluiden tehtäväalueet keskitettyjen asiantuntijapalveluiden osalta jakautuvat seuraaviin neljään palvelualueeseen: - hallinnon palvelualue, - kehittämisen palvelualue, - talouden ja omistajaohjauksen palvelualue sekä - henkilöstön palvelualue. Controller-toiminto tekee jatkuvaa ja säännönmukaisesti toistuvaa talouden ja toiminnan seurantaa ja valvontaa. Se tuottaa johdolle analysoitua tietoa organisaation tilasta ja toimintaympäristöstä sekä tavoitteiden saavuttamisesta strategisen suunnittelun ja päätöksenteon tueksi. Controller-toiminnosta vastaa talouden ja omistajaohjauksen palvelualue. 18

3.6. Yhteenveto sisäisen valvonnan ja riskienhallinnan tehtävistä ja vastuista Kuvioon 7 on koottu Oulun kaupungin sisäisen valvonnan ja riskienhallinnan tehtävät ja vastuut. Kaupunginvaltuusto Tarkastuslautakunta Tilintarkastaja Taso tai toimija Kaupunginhallitus ja kaupunginjohtaja Tarkastustoimikunta Sisäinen tarkastus Lauta- ja johtokunnat sekä tytäryhteisöjen hallitukset Apulaiskaupunginjohtajat, palvelualueiden johtajat, liikelaitosten johtajat, tytäryhtiöiden toimitusjohtajat Henkilöstö Tehtävä tai vastuu Päättää Oulun kaupunkikonsernin sisäisen valvonnan ja riskienhallinnan järjestämisen perusteista. Voi esittää arviointikertomuksessaan arvionsa sisäisen valvonnan ja riskienhallinnan tilasta. Tarkastaa, onko kaupungin ja kaupunkikonsernin sisäinen valvonta ja riskienhallinta sekä konsernivalvonta järjestetty asianmukaisesti. Operatiivinen vastuu sisäisen valvonnan ja riskienhallinnan ohjeistamisesta ja asianmukaisesta järjestämisestä, toimeenpanon valvonnasta sekä tuloksellisuudesta. Kaupunginhallitus on lisäksi velvollinen antamaan osana toimintakertomusta selonteot sisäisen valvonnan ja konsernivalvonnan järjestämisestä kaupungissa ja kaupunkikonsernissa. Valvoo ja arvioi sisäisen valvonnan ja riskienhallinnan asianmukaista järjestämistä, riittävyyttä ja tehokkuutta. Valmistelee kaupunginhallituksen hyväksyttäväksi kaupunkikonsernia koskevat sisäisen valvonnan ja riskienhallinnan ohjeet. Arvioi ja tarkastaa sisäisen valvonnan ja riskienhallinnan toimivuutta. Vastaa omalla tehtävä-/toimialallaan sisäisen valvonnan ja riskienhallinnan asianmukaisesta järjestämisestä, toimeenpanon valvonnasta ja tuloksellisuudesta sekä merkittävimpien riskien raportoinnista kaupunginhallituksen antamien ohjeiden mukaisesti. Tekee osana toimintakertomustaan selonteon sisäisen valvonnan järjestämisestä toimialaltaan. Vastaavat sisäisen valvonnan ja riskienhallinnan järjestämisestä ja tuloksellisuudesta vastuualueillaan sekä raportoivat niiden järjestämisestä ja tuloksellisuudesta valvonnasta vastuussa olevalle toimielimelle. Riskien tunnistaminen, arviointi, ennaltaehkäisy ja raportointi omissa tehtävissään. Toimiminen annettujen ohjeiden mukaan. Kokonaisvaltaisen riskienhallinnan työryhmä (KORItyöryhmä) Konsernin riskienhallinnan koordinointi, kehittäminen ja tukeminen sekä konsernitason merkittävien riskien kokoaminen ja arviointi. Kuvio 7. Oulun kaupungin sisäisen valvonnan ja riskienhallinnan tehtävät ja vastuut. 19

4 SISÄINEN VALVONTA JA RISKIENHALLINTA OSANA OULUN KAUPUNGIN TOIMIN- TAPROSESSEJA 4.1. Päätöksentekoprosessi Päätöksentekoprosessin valvontaympäristö Valvontaympäristö luo perustan valvonnalle muodostamalla puitteet hyväksyttävälle toiminnalle esimerkiksi lainsäädännön, sääntöjen ja ohjeiden avulla. Valvontaympäristöön sisältyy lisäksi organisaatiokulttuuri. Valvontaympäristö vaikuttaa siihen, millaiset valvontatoimet otetaan käyttöön, millaisiksi organisaation raportointi- ja tiedotusjärjestelmät muodostuvat ja miten seuranta toteutetaan. Kaupungin päätöksenteko perustuu hyvän hallinnon mukaisesti julkisuusperiaatteeseen ja avoimuuteen. Päätöksentekoa ohjaavat lainsäädäntö ja kaupungin johtosäännöt. Kuntalaisten asianmukainen kohtelu edellyttää, että henkilökunta toimii hyvän hallinnon periaatteiden mukaisesti ja tuntee kuntalain, hallintolain, julkisuuslain ja kielilain lisäksi riittävästi muuta lainsäädäntöä omalta vastuualueeltaan. Kunnan luottamushenkilöiden, viranhaltijoiden ja työntekijöiden esteellisyydestä asian valmisteluun ja päätöksentekoon säädetään kuntalain 52 :ssä ja hallintolain 27-30 :ssä. Esteellisyyssäännöksillä turvataan luottamusta hallintoon ja asioiden käsittelyn puolueettomuuteen. Valtuutettu on esteellinen käsittelemään asiaa, joka koskee henkilökohtaisesti häntä tai hänen läheistään. Muiden kunnan luottamushenkilöiden, tilintarkastajan, viranhaltijoiden ja työntekijöiden esteellisyysperusteet on määritelty hallintolain 28.1 :ssä. Päätöksentekoprosessin muodostavat asian vireille tulo, päätöksen valmistelu, päätöksenteko, päätöksestä tiedottaminen, päätöksen toimeenpano sekä toimeenpanon valvonta. Päätöksenteon tulee perustua oikeisiin ja riittäviin tietoihin. Päätöstekstin on oltava yksiselitteinen ja täsmällinen. Päätökset on perusteltava. Tiedon on säilyttävä muuttumattomana asian kaikissa käsittelyvaiheissa. Arkistolain 9 :n mukaan arkistotoimen järjestäminen Oulun kaupungissa kuuluu kaupunginhallitukselle, jonka tehtävänä on määrätä, miten Oulun kaupungin toimielinten asiakirjahallinta ja arkistotoimen suunnittelu, vastuu ja käytännön hoito järjestetään. Kaupungin velvollisuutena on huolehtia asiakirjatietoonsa liittyvistä tehtävistä koko niiden elinkaaren ajan. Vastuu asiakirjahallinnan hoitamisesta kuuluu arkistonmuodostajalle. Oulun kaupunki on yksi arkistonmuodostaja. Osaarkistoja ovat kaupunginvaltuusto ja -hallitus sekä lautakunta tai vastaava toimielin, joiden määrittämiä tehtäviä hoitavat palvelualueet, liikelaitokset sekä ulkoiset palveluntuottajat. Kaupunginhallitus, lautakunnat ja johtokunnat toimivat myös rekisterinpitäjinä henkilörekisteriasioissa. Päätöksentekijällä on vastuu päätöksen sisällöstä ja asiasta. Viran- ja toimenhaltijalla on vastuu laatimansa asiakirjan muodollisesta ja sisällöllisestä oikeellisuudesta. Oulun kaupungin asianhallinnan ja arkistonmuodostuksen johtamisesta, ohjaamisesta ja valvonnasta sekä pysyvästi säilytettävistä asiakirjoista vastaa asianhallintapäällikkö arkistolain (831/1994) 9 :n nojalla. 20

Päätöksentekoprosessin riskienhallinta ja valvontatoimenpiteet Päätösten valmistelussa, päätöksenteossa sekä täytäntöönpanossa on noudatettava lainsäädäntöä ja sääntöjä sekä ohjeita. Lainvastaiset ja virheellisesti tehdyt päätökset voidaan kumota valitusteitse oikeudessa. Esteellinen henkilö ei saa osallistua asian käsittelyyn, joka tarkoittaa asian käsittelyn kaikkia vaiheita valmistelusta täytäntöönpanoon saakka. Jokainen on ensisijaisesti itse vastuussa siitä, että ei osallistu esteellisenä asian käsittelyyn. Epävarmassa tilanteessa henkilön on syytä pidättyä osallistumasta asian valmisteluun ja päätöksentekoon. Päätöksentekoon esteellisenä osallistuminen on menettelyvirhe, joka voi aiheuttaa valitusprosessissa päätöksen kumoutumisen ja joissakin tapauksissa johtaa jopa rikosoikeudelliseen vastuuseen. Päätökset tulee asettaa muutoksenhakuohjeineen asianmukaisesti nähtäville, antaa muutoksenhakuohjeineen mahdollisimman nopeasti tiedoksi asianosaisille ja ilmoittaa otto-oikeuden käyttämistä varten hallintosäännön 14 :n mukaisesti seitsemän päivän kuluessa toimielimen tai viranhaltijan päätöksenteosta niille viranomaisille, joilla on otto-oikeus. Otto-oikeus on ylemmän viranomaisen keino valvoa alemman viranomaisen päätöksenteon laillisuutta ja tarkoituksenmukaisuutta. Otto-oikeuden käyttämisestä säädetään kuntalain 51 :ssä, hallintosäännössä ja toimielinten johtosäännöissä. Ylemmän toimielimen on tarvittaessa ryhdyttävä toimenpiteisiin otto-oikeuden käyttämiseksi. Ylemmän toimielimen on seurattava alemman toimielimen ja alaistensa viranhaltijoiden päätöksentekoa ja esimiehen on seurattava alaistensa päätöksentekoa. Kaupunginhallitus valvoo kaupunginvaltuuston päätösten lainmukaisuutta vastatessaan valtuuston päätösten täytäntöönpanosta. Valvontavaltaa kaupunginhallitus käyttää kuntalain 23 :n perusteella. Valtuuston päätösten täytäntöönpanon yhteydessä kaupunginhallituksen valvontavalta kohdistuu menettelyvirheisiin, toimivallan ylityksiin ja muihin laillisuusvirheisiin. Alla olevassa taulukossa on esitetty esimerkinomaisesti päätöksentekoprosessiin liittyviä riskejä ja riskienhallinnan menettelyjä. Riski Päätöksentekoprosessissa tapahtuneet virheet, esimerkiksi: - päätöksentekijä ylittää toimivaltansa, - esteellisenä tehty päätös, - määräaikojen noudattamatta jättäminen, - päätöksestä puuttuu perustelut tai - päätöksestä puuttuu muutoksenhakuohjeet. Riskienhallinnan menettelyt ja keinot - selkeät toimivallan ja vastuiden määrittelyt - delegoitujen valtuuksien käytön valvonta - päätöksentekoprosessiin liittyvän osaamisen varmistaminen (ohjeet ja koulutukset) Jos päätöksentekoprosessissa tapahtuu riskienhallinnan menettelyistä huolimatta virhe, on lainsäädännön nojalla käytettävissä seuraavat korjaavat toimet: - päätöksen korjaaminen (HallintoL 50-53 ), - oikaisuvaatimusmenettely (KuntaL 89 ), - otto-oikeuden käyttäminen (KuntaL 51 ) sekä 21

- kaupunginhallituksen laillisuusvalvonta kaupunginvaltuuston päätöksiin (KuntaL 56 ) Päätöksentekoprosessin raportointi ja seuranta Tehokkaan toiminnan edellytyksenä on, että päätöksenteon pohjana on käytettävissä riittävät ja oikeat tiedot. Päätöksenteosta tiedotetaan merkittävimpien asioiden osalta valmisteluvaiheessa, jolloin tavoitteena on, että kuntalaiset ja muut osapuolet ehtivät muodostaa näkemyksensä ja tarvittaessa ottaa kantaa asiaan. Toimielinten esityslistat julkaistaan Oulun kaupungin kotisivuilla mahdollisimman pian esityslistan valmistumisen jälkeen. Pöytäkirjat julkaistaan kaupungin kotisivuilla pöytäkirjan tarkistamisen jälkeen. Päätöksenteon tarkoituksenmukaisuutta seurataan kaupunginhallituksen, lautakuntien ja johtokuntien käytössä olevan otto-oikeusmenettelyn kautta. Myös päätöksenteon juridista oikeellisuutta seurataan. Kaupunginhallitukselle tuodaan laillisuusvalvontaan lauta- ja johtokuntien ja ylempien viranhaltijoiden päätökset. Otto-oikeutta on käytettävä samassa ajassa kuin oikaisuvaatimuskin on tehtävä eli 14 päivän kuluessa päätöksen nähtäville panosta. Ulkoisen tarkastuksen yksikkö, tilintarkastaja ja sisäinen tarkastus käyvät jälkikäteen läpi päätöksiä osana vuosisuunnitelman mukaisia tarkastuksia tai erillistarkastuksia. 4.2. Talous- ja strategiaprosessi Talous- ja strategiaprosessin valvontaympäristö Kuntalain mukaan valtuusto päättää kunnan ja kuntakonsernin toiminnan ja talouden keskeisistä tavoitteista sekä konserniohjauksen periaatteista. Kaupunginvaltuuston hyväksymät kaupunkistrategia sekä talousarvio ja -suunnitelma toimivat johtamis- ja päätöksentekojärjestelmien perustana. Oulun strateginen ohjausjärjestelmä perustuu kaupunkistrategiaan, jonka avulla valtuusto ohjaa koko kaupungin toimintaa. Kaupunkistrategian toimeenpano konkretisoituu toteuttamis- ja toimenpideohjelmissa sekä vuosittain talousarvion yhteydessä. Talousarvio ja -suunnitelma sisältää kaupunkistrategiasta ja sen toteuttamis- ja toimenpideohjelmista johdetut sitovat tavoitteet ja mittarit sekä resurssit valtuuston asettamien tavoitteiden toteuttamiseen. Talousarvioon sisältyy myös investointisuunnitelma taloussuunnittelukaudelle, josta ensimmäinen talousarviovuosi on sitova. Poistojen perusteet hyväksyy kaupunginvaltuusto ja poistosuunnitelman kaupunginhallitus. Valtuusto asettaa vuosittain talousarviossa tavoitteita myös tytäryhtiöille, jotka ohjaavat niiden edustajia tytäryhteisön toimielimissä. Valtuuston tavoiteasettelu voi koskea tytäryhteisön asemaa, toiminnan laajuutta ja toimintaedellytyksiä (mm. investoinnit) tai palvelun laatua taikka pääoman tuottovaatimuksia. Kaupunginvaltuusto määrää, miten talousarvio ja sen perustelut sitovat kaupunginhallitusta, kaupungin lautakuntia ja johtokuntia. Toimielimet hyväksyvät kau- 22