Paraisten kaupunki Luonnos 27.2.2017 1668/02.02.01/2010 Paraisten kaupungin ja kaupunkikonsernin sisäisen valvonnan ja riskienhallinnan perusteet Sisällysluettelo 1. Lainsäädäntö 2. Soveltamisala 3. Sisäisen valvonnan ja riskienhallinnan tavoite ja tarkoitus; käsitteet 4. Sisäisen valvonnan tehtävät ja vastuut 5. Riskit ja riskienhallinta 6. Sisäinen valvonta ja riskienhallinta Paraisten kaupungin ja kaupunkikonsernin johtamis- ja ohjausjärjestelmässä sekä siitä raportointi 7. Arviointi ja selonteko sisäisen valvonnan ja riskienhallinnan järjestämisestä 8. Väärinkäytösten ehkäisy ja tunnistaminen 1
1. Lainsäädäntö Kuntalain 14 :n mukaan valtuuston tehtävänä on päättää kunnan hallintosäännöstä (kohta 2) ja sisäisen valvonnan ja riskienhallinnan perusteista (kohta 7). Kuntalain 90 :n 1 f kohdan mukaan kunnan hallintosäännössä annetaan tarpeelliset määräykset sisäisestä valvonnasta ja riskienhallinnasta. Kuntalain 39 :n mukaan kunnanhallituksen tulee vastata kunnan hallinnosta ja taloudenhoidosta (kohta 1), vastata kunnan toiminnan omistajaohjauksesta (kohta 6) ja huolehtia kunnan sisäisestä valvonnasta ja riskienhallinnan järjestämisestä (kohta 7). Kuntalain 115 :n mukaan kunnan toimintakertomuksessa on esitettävä selvitys sisäisen valvonnan ja riskienhallinnan järjestämisestä ja keskeisistä johtopäätöksistä. Kuntalain 123 :n mukaan tilintarkastajan on tarkastettava, onko kunnan sisäinen valvonta ja riskienhallinta sekä konsernivalvonta järjestetty asianmukaisesti. 2. Soveltamisala Sisäisen valvonnan ja riskienhallinnan perusteiden tavoitteena on vahvistaa ja yhdenmukaistaa Paraisten kaupunkikonsernin hyvää hallintoa ja johtamista. Sisäisen valvonnan ja riskienhallinnan perusteet koskevat kaikkia kaupunkikonsernin toimielimiä ja johtoa sekä kaikkea kaupunkikonsernin toimintaa, josta Paraisten kaupunki vastaa omistuksen, ohjaus- ja valvontavastuun sekä muiden velvoitteiden myötä. Kaupunkikonserniin kuuluvissa tytäryhteisöissä ohjeistuksen mukaisen sisäisen valvonnan ja riskienhallinnan järjestäminen kuuluu tytäryhteisöjen hallitusten ja toimitusjohtajien vastuulle. Sisäisestä valvonnasta ja riskienhallinnasta on näiden perusteiden ja hallintosäännön määräysten lisäksi voimassa mitä seuraavissa asiakirjoissa on sanottu: - kaupunginhallituksen antamat sisäisen valvonnan ja riskienhallinnan ohjeet - konserniohjeet - rahoituspolitiikka - kaupungin valmiussuunnitelma. 3. Sisäisen valvonnan ja riskienhallinnan tavoite ja tarkoitus; käsitteet Sisäisen valvonnan ja riskienhallinnan tavoitteena on lisätä todennäköisyyttä, että kaupungille ja kaupunkikonsernille asetetut tavoitteet saavutetaan ja että toiminta on tuloksellista. Sisäinen valvonta on osa kaupungin johtamisjärjestelmää sekä kaupungin johdon ja hallinnon työväline, jonka avulla arvioidaan asetettujen tavoitteiden toteutumista, toimintaprosesseja ja riskejä. Sisäisen valvonnan tarkoituksena on edistää organisaation tehokasta ohjausta, riskienhallintaa ja toiminnan tuloksellisuuden arviointia. Valvonnan tarkoituksena on saada kohtuullinen varmuus - kaupungin toiminnan tuloksellisuuden ja tehokkuuden - toiminnan ja talouden raportoinnin oikeellisuuden - päätöksenteon pohjana olevien tietojen luotettavuuden - lakien, päätösten, sääntöjen ja johdon ohjeiden noudattamisen sekä - resurssien ja omaisuuden riittävän turvaamisen saavuttamisesta. Sisäisen valvonnan järjestämisessä tulee ottaa huomioon organisaatiorakenne sekä toiminnan laatu, laajuus ja monimuotoisuus. Lisäksi on varmistettava, että sisäinen valvonta on riittävää ja oikeassa suhteessa toiminnan sisältämiin riskeihin. Sisäinen valvonta on nimensä mukaisesti kaupunkikonsernin oman organisaation hoitamaa oman toiminnan valvontaa ja osa toiminnan johtamisjärjestelmää. Kaupungin tilintarkastajat suorittavat
ulkoista tarkastusta ja tilintarkastuslautakunnan tehtävänä on arvioida asetettujen tavoitteiden toteutumista ja toiminnan tarkoituksenmukaisuutta. Tilintarkastuslausunnossa otetaan kantaa sisäisen valvonnan asianmukaiseen järjestämiseen. Tarkastuslautakunnan kertomuksessa voidaan arvioida sisäisen valvonnan tehokkuutta ja järjestämistä laajemmin, mutta myös tarkastuslautakunnan näkökulma on ulkoisen valvonnan näkökulma. Riskeillä tarkoitetaan epävarmuustekijöitä, tapahtumia tai tapahtumaketjuja, joiden toteutuessa Paraisten kaupunkikonserni tai sen yksikkö ei saavuta sille asetettuja tavoitteita ja/tai kokee huomattavia menetyksiä. Riski ei ole ainoastaan negatiivisen asian mahdollinen toteutuminen, vaan myös se, että jokin mahdollisuus jää toteutumatta. Riskienhallinta on osa sisäistä valvontaa ja sen tavoitteena on saada järjestelmällisellä ja ennakoivalla toiminnalla kohtuullinen varmuus organisaation tavoitteiden saavuttamisesta. Riskienhallinnan tulee koskea koko kaupunkikonsernia sekä ulkoistettuja palveluja. Riskienhallinta kytketään kiinteästi vuotuiseen toiminnan ja talouden suunnitteluprosessiin. Riskienhallinnasta päätettäessä johto ottaa kantaa siihen, miten suuria riskejä ollaan valmiita ottamaan ja miten suuria menetyksiä organisaatio kestää. Tämä edellyttää organisaation riskirajojen, riskinottohalukkuuden ja riskinkantokyvyn arviointia ja määrittelyä. Riskienhallinnalla tarkoitetaan järjestelmällisiä menettelytapoja, joiden avulla - tunnistetaan ja kuvataan kaupungin ja kaupunkikonserniin kuuluvien yksiköiden toimintaan liittyviä riskejä - arvioidaan riskien merkittävyyttä ja toteutumisen todennäköisyyttä sekä - määritellään toimintatavat riskien hallitsemiseksi, valvomiseksi ja niistä raportoimiseksi. 4. Sisäisen valvonnan tehtävät ja vastuut Kaupunginvaltuusto päättää kaupungin ja kaupunkikonsernin sisäisen valvonnan ja riskienhallinnan perusteista ja linjauksista sekä edellyttää, että kaupunkikonsernin toiminnot on järjestettävä siten, että kaikilla organisaation tasoilla ja kaikissa yksiköissä on riittävä sisäinen valvonta ja riskienhallinta. Konsernijohto vastaa kaupunkikonsernin ohjauksesta ja konsernivalvonnan järjestämisestä. Konsernijohtoon kuuluvat kaupunginhallitus ja kaupunginjohtaja. Kaupunginhallituksen tehtävänä on huolehtia sisäisen valvonnan ja riskienhallinnan järjestämisestä. Se päättää sisäistä valvontaa ja riskienhallintaa koskevasta tarkemmasta ohjeistuksesta sekä vastaa tilinpäätöksen toimintakertomuksessa annettavasta selvityksestä sisäisen valvonnan ja konsernivalvonnan järjestämisestä. Lautakunnat ja tytäryhteisöjen hallitukset vastaavat omalla tehtäväalueellaan sisäisen valvonnan ja riskienhallinnan asianmukaisesta järjestämisestä, toimeenpanon valvonnasta ja tuloksellisuudesta sekä merkittävimpien riskien raportoinnista. Kaupunginhallitus ja sille suoraan alistetut yksiköt huolehtivat kaupungin riskienhallintaan liittyvistä yleisistä asioista sekä valmius- ja turvallisuussuunnittelusta. Kaupunginhallitus, lautakunnat, kaupunginjohtaja, osastojen, toimialojen ja yksiköiden päälliköt sekä kaupungin päättävien toimielinten esittelijät ovat tilivelvollisia ja siten ulkoisen tilintarkastuksen kohteena. Kaupunginjohtaja ja osastojen, toimialojen ja yksiköiden päälliköt vastaavat sisäisen valvonnan ja riskienhallinnan järjestämisestä ja tuloksellisuudesta vastuualueillaan ja toiminnoissaan. Sisäisestä valvonnasta ja riskienhallinnasta vastaavat siten kaikki tilivelvolliset ja esimiehet omilla vastuualueillaan. Henkilöstö toimii tavoitteiden ja annettujen sääntöjen mukaisesti, kehittää toimintatapoja sekä ylläpitää ja jatkuvasti kehittää ammatillista osaamistaan.
5. Riskit ja riskienhallinta Paraisten kaupungissa riskeillä tarkoitetaan epävarmuustekijöitä, tapahtumia tai tapahtumaketjuja, joiden toteutuessa kaupunkikonserni, kaupunki tai sen yksikkö ei saavuta sille asetettuja tavoitteita ja/tai kokee huomattavia menetyksiä. Merkittävät riskit on tunnistettava, arvioitava ja luokiteltava sekä luotava niille riittävät riskienhallintakeinot. Riskien merkittävyys perustuu niiden todennäköisyyteen ja toteutuvan menetyksen suuruuteen eli riskit, joiden todennäköisyys on suuri ja joista aiheutuva menetys on suuri, ovat merkittävimpiä ja priorisoitavia riskejä riskienhallinnassa. Pienellä todennäköisyydellä toteutuva riski, josta aiheutuva menetys on myös pieni, on vähämerkityksinen riski ja sitä ei priorisoida riskienhallinnassa. Kaupunkikonsernin riskit voidaan jaotella eri syntylähteiden mukaan - operatiivisiin riskeihin, jotka liittyvät toimintaan, prosesseihin ja toimintaohjeiden noudattamiseen, - omaisuus- ja henkilöriskeihin, esim. tulipalot, varkaudet ja luottotappiot, sairastumiset ja loukkaantumiset sekä ulkopuolisille sattuvat vahingot - toimintaympäristöön liittyviin riskeihin, kuten sähkökatkokset, tietoverkkohäiriöt, kaupungille tai sen asukkaille epäedulliset säännösmuutokset ja rahoitus- ja korkoriskit - väärinkäytöksiin, jotka liittyvät työtehtävän antamien mahdollisuuksien käyttöön työntekijän omaksi hyväksi. Operatiivisten riskien kartoittamisesta, arvioimisesta ja priorisoinnista vastaavat lautakunnat ja niiden alaisesta toiminnasta vastaavat tilivelvolliset. Sisäiseen valvontaan kuuluu osana riskienhallinnan seuranta, riskikartoituksen asianmukaisuuden ja riskeihin vastaavien toimenpiteiden tehokkuuden ja riittävyyden arviointi. Riskikartoitusten ja riskien arvioinnin perusteella kehitetään toimintaprosesseja, toimintasääntöjä ja sisäistä valvontaa, siten että niiden avulla voidaan vähentää riskien toteutumisen todennäköisyyttä hyväksyttävälle tasolle. Operatiiviset riskit vaikuttavat eniten ja ovat riskeistä lähimpinä kaupungin asukkaita ja kaupungin tarjoamien palvelujen asiakkaita. Riskien hallinnan tavoitteena on tällöin pyrkiä varmistamaan, että asiakkaiden saama palvelu vastaa annettua palvelulupausta. Prosessit ja työtehtävien jaot suunnitellaan siten, että tehtäväjako vähentää mahdollisuuksia virheisiin ja väärinkäytöksiin sekä siten, että prosessi jo itsessään sisältää valvontafunktion. Kaupunginhallitus antaa tarkemman ohjeistuksen työnjaosta ohjeissaan. Ohjeita tulee noudattaa ja niiden rikkomiseen puututaan. Omaisuusriskeihin varautumisesta vastaa kaupunginhallitus, joka määrittelee hyväksyttävät riskitasot, joiden mukaisesti kaupungin omaisuus vakuutetaan. Omaisuusriskeihin vastataan ensisijaisesti omaisuutta suojaavilla toimenpiteillä. Kaupungin kiinteän omaisuuden suojauksen järjestämisestä vastaa kiinteistöhallinto, suojausten ja varojärjestelmien vähimmäistaso on määritelty virallisissa säännöksissä ja korkeampaa varotasoa noudatetaan, kun rakennuksessa harjoitettavan toiminnan katsotaan sitä edellyttävän (esim. sairaalat ja vanhustenhuolto). Kaupunkikonsernin omaisuus vakuutetaan noudattaen kaupunginhallituksen hyväksymiä riskitasoja. Henkilöriskien vakuuttamisessa noudatetaan ensisijaisesti voimassaolevaa lainsäädäntöä sekä tarvittaessa erikseen sovittuja riskitasoja. Luottoriskeihin varaudutaan sopimuksia tehtäessä tarkistamalla vastapuolen luottokelpoisuus, vaatimalla pankki- tai muita vastaavia takauksia ja yleisesti tehokkaalla luotonvalvonnalla ja perinnällä. Luottoriskeihin kuuluu myös riski siitä, että sopimusosapuoli ei toimita sovittua suoritetta. Koska tällaisen riskin toteutumisella yleensä on muitakin kuin suoraan sopimukseen liittyviä seurauksia, on
riskeihin varauduttava tavoilla, jotka ovat riittäviä suhteessa sopimuksen mukaiseen suoritteeseen liittyvään kokonaisriskiin. Luottoriskien hallinnasta on ohjeistettu kaupungin rahoituspolitiikassa. Toimintaympäristöön liittyvien riskien kartoittamisesta, arvioimisesta ja priorisoinnista vastaavat lautakunnat ja kaupunginhallitus. Tilivelvolliset vastaavat kartoituksessa todettujen riskien todennäköisyyksien seurannasta ja riittävästä ja asianmukaisesta varautumisesta. Tarpeen mukaan tehdään varautumissuunnitelmia ja/ tai -järjestelmiä. Kaupungin varautumissuunnitelma on laaja erilaisiin fyysisen toimintaympäristön riskeihin liittyvä riskienhallintaväline. Tietoverkon ja tietojärjestelmien toimintahäiriöihin varautumisesta vastaa kaupungin IKT-osasto, priorisointi tehdään yhdessä järjestelmien käyttäjien kanssa. Tietojärjestelmiä suojataan sekä fyysisesti että asianmukaisella käyttöoikeuksien myöntämisprosessilla ja oikeuksien hallinnoinnilla. Tietojärjestelmien sisältämien tietojen suojauksessa otetaan huomioon virallisten säännösten asettamat vaatimukset esimerkiksi yksityisyyden suojalle. Toimintaympäristöön liittyviin riskeihin sisältyvät myös virallisten säännösten muutoksista aiheutuvat riskit, muutoksilla voi olla negatiivisia seurauksia kaupungin talouteen tai asukkaiden toimintamahdollisuuksiin. Kaupungin johto seuraa aktiivisesti valmistelussa olevia säännösmuutoksia ja reagoi tapauksissa, joissa tällaisia negatiivisia vaikutuksia voi ilmetä. Yleisen taloudellisen tilanteen muutokset vaikuttavat kaupungin rahoitusmahdollisuuksiin ja erityisesti korkotasoon. Kaupunginhallitus hyväksyy rahoituspolitiikan, joka sisältää ohjeet rahoitusriskeihin varautumisesta. Väärinkäytöksiin liittyvien riskien kartoittamisesta, arvioimisesta ja priorisoinnista vastaavat kaupunginhallitus ja lautakunnat. Väärinkäytöksiä ehkäistään asianmukaisella työnjaolla, hyväksymismenettelyillä, vastuunjaolla, rekrytointiprosessiin sisältyvillä toimenpiteillä, asianmukaisella raportoinnilla, sisäisellä tarkastuksella ja sisäisellä valvonnalla. Sisäisen valvonnan tulee kattaa kaikki merkittävät väärinkäytösriskit. Kaupungilla ei ole omaa erillistä sisäisen tarkastuksen henkilöstöä. Sisäisen tarkastuksen on voitava riippumattomasti ja vapaasti tehdä tarkastustyötä, kun sellaiseen todetaan olevan tarvetta. Sisäisen tarkastuksen tehtävään voidaan määrätä joku kyseiseen tehtävään riittävän asiantuntemuksen omaava kaupungin palveluksessa oleva henkilö tai palvelu voidaan hankkia ulkopuolelta. 6. Sisäinen valvonta ja riskienhallinta Paraisten kaupungin ja kaupunkikonsernin johtamis- ja ohjausjärjestelmässä ja siitä raportointi Sisäinen valvonta ja riskienhallinta ovat osa kaupungin ja kaupunkikonsernin strategista ja operatiivista toiminnan ja talouden suunnittelua, päätöksentekoa, seurantaa, poikkeamiin reagoimista sekä suoriutumisen arviointia. Käytännössä sisäinen valvonta ja riskienhallinta kytkeytyvät vuosittaiseen talousarvio-, toiminnan ja talouden seuranta- ja tilinpäätösprosessiin. Konsernijohto arvioi kerran vuodessa, tarvitaanko jostakin kaupunkikonserniin kuuluvasta toiminnosta tarkempaa raportointia. Syitä tarkempaan seurantaan ja riskikuvan päivitykseen voivat olla esimerkiksi suuret toimintaympäristössä, toiminnassa itsessään tai tavoitteissa tapahtuvat muutokset. Konsernijohto pyytää tällöin tilivelvollisia toimielimiä ja/tai tytäryhteisöjä raportoimaan merkittävistä riskeistään, riskienhallinnan järjestämisestä, havaituista puutteista riskienhallinnassa ja kaavailluista toimenpiteistä puutteiden korjaamiseksi. Merkittävimmistä riskeistä ja niihin vastaamisesta raportoidaan lautakunta- ja/tai osastokohtaisesti aina tilinpäätösraportoinnin yhteydessä.
Kaupunginhallitus antaa tarkemmat ohjeet sisäisestä valvonnasta ja raportoinnista sekä riskienseurannasta ja -hallinnasta. 7. Arviointi ja selonteko sisäisen valvonnan ja riskienhallinnan järjestämisestä Kaupungin tilinpäätökseen sisältyvässä toimintakertomuksessa kaupunginhallitus antaa arvion merkittävimmistä riskeistä ja epävarmuustekijöistä, selonteon sisäisen valvonnan ja riskienhallinnan järjestämisestä sekä selonteon konsernivalvonnan järjestämisestä. Riskiarviot ja selonteot perustuvat tilivelvollisten toimielinten raporteissaan ja tytäryhteisöjen hallitusten toimintakertomuksissaan antamiin selontekoihin sisäisen valvonnan ja riskienhallinnan järjestämisestä, havaittuihin puutteisiin ja toimenpiteisiin puutteiden korjaamiseksi. Jokainen tilivelvollinen toimielin ja tytäryhteisö tekevät osana raportointiaan sisäisen valvonnan selonteon toimialaltaan. Selonteossa tulee kuvata sisäisen valvonnan ja riskienhallinnan järjestäminen, valvonnassa havaitut puutteet ja toimenpiteet niiden korjaamiseksi. Lautakunnat hyväksyvät omilta vastuualueiltaan tehdyn selonteon ja riskiarvion. Taloushallinto valmistelee yhteenvedon selonteoista kaupunginhallitukselle. Tilivelvollisten sekä tytäryhtiöiden toimitusjohtajien tulee raportoida välittömästi konsernijohdolle, mikäli merkittävä riski on todennäköisesti realisoitumassa tai sisäisen valvonnan ja riskienhallinnan toimivuus ja riittävyys on vaarantumassa. 8. Väärinkäytösten ehkäisy ja tunnistaminen Väärinkäytöksinä pidetään erilaisia epärehellisiä, epäeettisiä tai kaupungin ohjeita rikkovia tai lainvastaisia tekoja. Paraisten kaupunkikonsernissa ei sallita väärinkäytöksiä. Toimiva sisäinen valvonta ehkäisee väärinkäytöksiä ja auttaa väärinkäytöksien paljastamisessa. Johdon velvollisuutena on toteuttaa sisäistä valvontaa väärinkäytösten ehkäisemiseksi ja havaitsemiseksi sekä puuttua havaittuihin väärinkäytöksiin.