Metodika řízení rizik ve veřejné správě

Transkript

1 Metdický pkyn CHJ č. 2 Centrální harmnizační jedntka Ministerstv financí ČR Metdika řízení rizik ve veřejné správě Verze 1.0 Vydán dne 4. dubna 2016

2 1 Obsah 1 Obsah Cíle metdiky Slvníček Organizační zajištění řízení rizik rganizace Centralizvaný mdel řízení rizik Decentralizvaný mdel řízení rizik Obecné předpklady funkčníh řízení rizik v rganizaci veřejné správy Věcný phled na řízení rizik rganizace Analýza rizik pr účely plánvání kntrl a interníh auditu

3 2 Cíle metdiky Tat metdika je určena pr všechny rganizace, které hspdaří s veřejnými prstředky. Adresáty metdiky nejsu puze pracvníci útvaru interníh auditu, i když lze předpkládat, že právě jejich cestu lze infrmace bsažené v metdice zprstředkvat sbám, které by v rámci rganizace měly rizika řídit neb se na jejich řízení aktivně pdílet. Zejména se jedná veducí pracvníky v rámci řízení rizik vyplývajících z činnsti jim svěřených útvarů, ale i všechny další sby, které v rámci rganizace připravují pdklady pr rzhdnutí těcht pracvníků, prtže řízení rizik je integrální sučástí každéh přijímanéh rzhdnutí. Cílem metdiky není stanvit rganizacím pdrbný návd, c mají dělat, aby byla jejich rizika zaručeně dbře řízena neb eliminván jejich negativní dpad, ale spíše knkrétně a prakticky vysvětlit, c t vlastně rizik je a jak by měl jeh řízení prbíhat, aby měl takvý systém v praxi vůbec šanci fungvat a chd rganizace pzitivně vlivnit (resp. zamezit negativním dpadům). Sekundárním cílem metdiky je jednznačně deklarvat, že řízení rizik není a nemá být úklem útvaru interníh auditu neb jedntlivých interních auditrů. Interní auditr, který se d systému řízení rizik aktivně zapjí neb jej dknce v rganizaci vytváří a spravuje, ztrácí mžnst vyknávat svu primární funkci, tedy pdávat vedení rganizace nezávislé ujištění tm, že její řídící a kntrlní systém (včetně řízení rizik) funguje. Organizace, která svéh interníh auditra pvěří úkly v rámci řízení rizik, se tím sama připravuje interní zpětnu vazbu tm, zda jeden z nejvýznamnějších prvků řízení rganizace funguje neb nikliv. Výjimku z výše uvedenéh tvří puze případ, kdy si útvar kntrly či interníh auditu vytváří pr vlastní účely vlastní mapu rizik rganizace, na základě které sestavuje plány kntrl či interních auditů. Tent prces by však měl být d samtnéh řízení rizik rganizace, které má v praxi vyknávat vedení rganizace, ddělen. Cílem tét metdiky napak není pdat či pakvat teretický výklad prblematiky řízení rizik, která je ve své teretické rvině splečná pr veřejnu správu i firemní prstředí a je zcela dstatečným způsbem zpracvána v české dbrné literatuře. Pr pdrbné teretické vymezení strategie a hlavních zásad řízení rizik, jedntlivých prcesů (či fází) řízení rizik, rganizace a metdlgie řízení rizik a dalších suvisejících blastí lze v případě hlubšíh zájmu využít některu z běžně dstupných publikací, např. Vladimír Smejkal, Karel Rais: Řízení rizik ve firmách a jiných rganizacích neb Dležal Jan, Máchal Pavel, Lack Branislav a klektiv: Prjektvý management pdle IPMA. 3 Slvníček Rizik ptenciální událst v buducnsti s negativními následky. Rizik tedy může a nemusí nastat. Určitá rizika jsu spjená s každu činnstí, v chdu každé rganizace prt rizika vždy byla, jsu a budu přítmna. Cílem prt není všechna rizika eliminvat, ale být si jich vědm a pracvat s nimi (tj. řídit je). Řízení rizik integrální sučást každéh rzhdvání v rganizaci. Sustavná činnst, jejímž cílem je mezit pravděpdbnst výskytu rizik neb snížit jejich dpad. Účelem řízení rizik je předejít prblémům či negativním jevům, tj. zamezit vzniku prblémů a vyhnut se tím nutnsti krizvéh řízení. Významnst rizika relativní důležitst rizika pr rganizaci, která je zpravidla vyjádřena sučinem pravděpdbnsti rizika a dpadu rizika. Pravděpdbnst rizika míra pravděpdbnsti výskytu rizikvé událsti v buducnsti měřená dle převažující praxe na škále 1-5 (1 nejméně pravděpdbné, 5 nejvíce pravděpdbné). Dpad rizika rzsah negativníh dpadu či ztráty, která rganizaci vznikne v případě výskytu rizikvé událsti. Lze d něj zahrnut jak přímé finanční ztráty či ddatečné náklady, tak i dpady nefinančníh 3

4 charakteru, např. ztrátu dbré pvěsti, snížení kvality služeb pr bčany atd.). Dpad rizika se dle převažující praxe pět měří na škále 1-5 (1 nejmenší negativní dpad, 5 největší negativní dpad). Mapa rizik výsledek analýzy rizik; přehled identifikvaných rizik rganizace / prgramu seřazených pdle jejich významnsti, který služí jak jeden z pdkladů pr sestavvání plánu interních auditů a plánu kntrl. Pr účely sestavvání plánu interních auditů a plánu kntrl si útvar kntrly a útvar interníh auditu vytváří vlastní mapu rizik rganizace / prgramu tyt mapy rizik nesluží a nemají služit pr účely řízení rizik rganizace jejím vedením, ale pr účely plánvání kntrl a interních auditů. Vrchlvé vedení rganizace 1. a 2. stupeň řízení rganizace (v případě ministerstev ministr, státní tajemník a náměstci, v případě statních ústředních správních úřadů ředitel a náměstci, v případě krajských úřadů ředitel, tajemník úřadu a ředitelé/veducí klíčvých dbrů, např. eknmickéh či finančníh dbru, dbru infrmatiky); u menších úřadů je bezpředmětné jejich vedení rzlišvat na vrchlvé a statní. Veducích pracvníci na statních úrvních řízení statní veducí pracvníci na nižších stupních řízení rganizace (v případě ministerstev a statních ústředních správních úřadů ředitelé dbrů, veducí samstatných ddělení a veducí ddělení, v případě krajských úřadů veducí ddělení). 4 Organizační zajištění řízení rizik rganizace 4.1 Centralizvaný mdel řízení rizik Stručný ppis Řízení rizik rganizace má na starsti Výbr pr řízení rizik slžený z vrchlvéh vedení rganizace. Ke krdinaci činnstí v blasti řízení rizik napříč rganizací a přípravě pdkladů pr jednání a rzhdvání Výbru pr řízení rizik je pvěřen jeden ze zaměstnanců rganizace (tajemník výbru pr řízení rizik / krdinátr řízení rizik / manažer rizik). Předpklady Pracvník, který má v rganizaci na starsti krdinaci řízení rizik musí mít dstatek znalstí, zkušenstí, kmpetencí a důvěry ze strany vrchlvéh vedení rganizace i veducích pracvníků na statních úrvních řízení, aby byl schpen zajistit: Aktivní a tevřenu kmunikaci s členy Výbru pr řízení rizik Přípravu úplných a pravdivých pdkladů (ve splupráci s veducími pracvníky na všech úrvních řízení a dbrnými útvary) včetně zahrnutí negativních infrmací a mžných dpadů suvisejících s danu perací, které jsu pr rzhdvání dalším pstupu relevantní Předkládání těcht pdkladů Výbru pr řízení rizik a aktivní účast při jejich prjednávání Členvé Výbru pr řízení rizik musí být chtni a schpni existenci rizik u perací ve své gesci akceptvat, nesnažit se je marginalizvat a dále s nimi pracvat, a t nikliv puze individuálně, ale i před statními členy vrchlvéh vedení rganizace. Výhdy Umžňuje rganizaci klást důraz na řízení rizik v pdbě samstatných aktivit zaměřených na zjišťvání, vyhdncvání, mnitrvání a vykazvání významných rizik v rganizaci. Při správném prvádění dává vrchlvému vedení rganizace přiměřenu jisttu, že klíčvá rizika jsu veducími pracvníky na příslušných úrvních rganizace pravdu důsledně řízena. 4

5 Nevýhdy Mezi nejčastěji identifikvané nedstatky řízení rizik ve veřejné správě patří skln k frmalismu, chápání mapy rizik či katalgu rizik rganizace jak cíle aktivit v blasti řízení rizik, nikliv jak puhéh nástrje pr aktivní řízení rizik vedením rganizace, a přílišný důraz na kvantifikaci významnsti rizik, nikliv na další práci s nimi. Všechny tyt nedstatky zavedení centralizvanéh mdelu řízení rizik spíše přirzeně pdpruje, než aby jim zamezval. Jedná se prt mdel v prstředí veřejné správy vhdný spíše jen pr ty rganizace, které se skutečně phybují v rizikvém prstředí a kde je prt fungvání systému řízení rizik v pdbě samstatných aktivit zaměřených na zjišťvání, vyhdncvání, mnitrvání a vykazvání významných rizik klíčvé pr jejich úspěšné fungvání (např. nemcnice, Energetický regulační úřad, Státní úřad pr jadernu bezpečnst, Státní úřad pr kntrlu léčiv apd.). V statních rganizacích, které se phybují ve standardním prstředí veřejné správy, kde je nejhrším mžným negativním dpadem špatnéh rzhdnutí finanční ztráta, ddatečné náklady či případné správní neb sudní řízení, není tent mdel řízení rizik příliš účelný a v praxi mají tendenci se prjevvat spíše jeh nevýhdy. 4.2 Decentralizvaný mdel řízení rizik Stručný ppis Řízení rizik je integrální sučástí každéh rzhdnutí, které je v rámci rganizace jejími veducími pracvníky přijímán. Od určité hladiny významnsti přijímanéh rzhdnutí musí mít řízení rizik svu dkumentvanu pdbu, aby něm v rganizaci zůstávala auditní stpa. Hladinu významnsti si rganizace určí sama ve svých vnitřních předpisech a může, resp. měla by být pr různé typy perací v různých blastech různá (pdle rizikvsti perací danéh typu v dané blasti pr rganizaci becně 1 ). Předpklady fungvání Veducí pracvníci na všech úrvních řízení musí chápat, c je t rizik a jak se s ním pracuje a vědmě tyt znalsti uplatňvat v praxi při řízení jím svěřenéh útvaru, vždy přiměřeně k peraci, které rzhdují. Výhdy Eliminuje většinu nevýhd centralizvanéh mdelu řízení rizik. Nepředpkládá existenci centrálníh krdinátra rizik, p kterém lze v prstředí veřejné správy přirzeně jen velmi btížně pžadvat takvu míru znalstí, zkušenstí a kmpetencí, aby byl v diskusi řízení rizik rvncenným partnerem vrchlvému vedení rganizace. Nevýhdy Aby fungval ptimálně, vyžaduje aktivní účast všech veducích zaměstnanců na jedntlivých úrvních řízení. Pdmínku dbréh fungvání decentralizvanéh mdelu řízení rizik však není, aby byl uplatňván hned d prvníh kamžiku dknale plšně napříč celu rganizační strukturu. Někde může fungvat lépe a někde hůře, záleží na knkrétních veducích pracvnících. Pstupně lze napříč rganizací sjedncvat frmu přenášení dbré praxe z útvarů, kde funguje, na ty statní. 1 Typickým příkladem mhu být např. veřejné zakázky zadávané v tevřeném výběrvém řízení versus veřejné zakázky zadávané frmu jednacíh řízení bez uveřejnění, výdajvé perace v běžných prvzních blastech versus výdajvé perace v blasti zdravtnictví či IT apd. 5

6 Prt lze většině rganizací veřejné správy, které se phybují ve standardním a ne příliš rizikvém prstředí, dpručit vydat se právě cestu decentralizvanéh mdelu řízení rizik. 4.3 Obecné předpklady funkčníh řízení rizik v rganizaci veřejné správy Úspěšnst zavedení kteréhkliv z výše uvedených mdelů řízení rizik v praxi má něklik becně platných předpkladů, mezi které patří v rámci každé rganizace veřejné správy zejména: 1. Jednznačná rganizační struktura 2 a funkční rganizační řád, ve kterém jsu vymezeny přesně, srzumitelně a v suladu se skutečnstí dpvědnsti jedntlivých rganizačních útvarů tak, aby se vzájemně nepřekrývaly a aby napak nedcházel k existenci agend či činnstí, ke kterým nemá dpvědnst stanvenu žádný z rganizačních útvarů. 2. Vhdně definvané pracvní náplně jedntlivých zaměstnanců, které jsu v suladu s rganizačním řádem a zárveň dpvídají skutečně vyknávaným agendám a činnstem. 3. Jasně, srzumitelně a knkrétně frmulvaný etický kdex rganizace schválený a pdprvaný jejím vrchlným vedením, nejlépe dplněný pršklení zaměstnanců v tét blasti. 4. Jasně stanvená pravidla v klíčvých blastech vnitřníh chdu rganizace, která jsu ve vzájemném suladu (zejména směrnice běhu účetních dkladů; schvalvací pstupy a právnění; jednací řády pradních a rzhdvacích rgánů; plány, pstupy a právnění při prvádění kntrly; statut, manuál a plány interníh auditu). Jedná se základní stavební kameny každé rganizace, které se následně může přít jakýkliv řídící a kntrlní mechanismus včetně řízení rizik. Pkud některý z těcht stavebních kamenů chybí neb je zaveden puze frmálně, pra lgicky chybí a nelze na ní prt pstavit zcela funkční nástavbu. 5 Věcný phled na řízení rizik rganizace Základním předpkladem řízení každéh jedntlivéh rizika je schpnst rganizace takvé rizik identifikvat (uvědmit si, že existuje) a přiměřeně značit či definvat (nikliv nutně nějak frmalizvaně či písemně). Rizik vždy suvisí s určitu knkrétní perací, na jejíž realizaci se váže. Měl by být prt vždy frmulván knkrétně a ve vazbě na rzhdvání dané peraci, které se týká. Příliš becně definvané rizik či rizik bez jasně identifikvané vazby na nějaku knkrétní peraci či rzhdnutí účinně řídit nelze. 3 Příklady nesprávně frmulvaných rizik (příliš becné): Rizik finanční a rzpčtvé; příklady vybraných rizikvých blastí/zdrjů: Plánvání a rzpčtvání Financvání 2 Jednznačná rganizační struktura se dá v praxi pznat jednduše tak, že ji lze nakreslit ve frmě rganizačníh schématu, aniž by vznikly pchybnsti tm, která řídící linie kam vede neb aniž by vedl více těcht řídících linií paralelně. 3 Dbře frmulvané rizik se dá v praxi pznat jednduše tak, že k němu dkážeme definvat knkrétní nápravné patření (ať již bude naknec v praxi fungvat či nikliv). Ke špatně frmulvanému riziku knkrétní nápravné patření ani tereticky definvat nedkážeme. 6

7 Účetní evidence Činnsti pkladní služby Čerpání prstředků EU Správa a řízení finančních tků Inventarizace Nepřiměřené náklady Správa a chrana majetku Rizik infrmační a technlgické; příklady vybraných rizikvých blastí/zdrjů: Přístupvá práva Integrita systémů Fyzické zabezpečení dat a jejich chrana Dstupnst infrmačních systémů Splehlivst infrmačních systémů Nákup a správa výpčetní techniky Pžadavky na HW a jejich hdncení Prgramvé vybavení Odbrné infrmace Správa síťvých aplikací Licenční čistta z hlediska autrských práv Integrita aplikačních systémů Ve výše uvedených případech se nejedná frmulaci rizik, puze výčet mžných rizikvých blastí, d kterých lze knkrétní identifikvaná rizika případně třídit a kategrizvat. Knkrétní identifikvaná rizika však již v daném výčtu nenásledují. Příklady nesprávně frmulvaných rizik (bez vazby na knkrétní peraci či rzhdnutí): Rizik krupční Nestabilita a slžitst právních nrem, různé iniciativy, lbbing Únik infrmací neb jejich neprávněné pskytnutí Úmyslně zkreslené či zamlčené infrmace, které mhu nebjektivně vlivnit rzhdvání vedení Zneužití pstavení, které je spjen s prušením principu nestrannsti při rzhdvání Ovlivňvání plánu a výsledků kntrl Rizik svévlnéh zvýhdnění jednh ddavatele prti statním Snaha získání prspěchu neb snaha zneužití prstředků při jejich převdech Nebezpečí ptencinálních škd v důsledku neddržení becně platných a vnitřních předpisů, zneužití pravmcí, příp. střet zájmů Rizik finanční a rzpčtvé 7

8 Mžnst prušení rzpčtvé kázně z důvdu nesuladu legislativy v blasti účetnictví, daňvéh zákna, rzpčtvých pravidel, stavebníh zákna apd. Nepzrnst při ddržvání pstupu v rámci stanvené metdické činnsti Nevhdně nastavená strategie, která může přinést finanční ztráty a snížení hdnty svěřených prtflií a hrzit realizaci rzpčtvých pririt Nezajištění dstatečné likvidity Vystavení suhlasu na základě chybnéh vyhdncení Špatně připravené pdklady Prušení pstupů pdle správníh řádu Ve výše uvedených případech se jedná reálné a pakující se zkušensti daných zaměstnanců z praxe, které pr rganizaci skutečně znamenají významná rizika. Pkud jsu však rizika frmulvána takt becně a bez vztahu ke knkrétní peraci či rzhdnutí, nelze k nim definvat jakékliv knkrétní nápravná patření. Ačkliv si zaměstnanci rganizace dali při identifikaci těcht negativních jevů jistě značnu práci, jejich čas pravděpdbně vyjde d značné míry vniveč, nebť takt frmulvaná rizika bjektivně nelze řídit. Takt frmulvaná rizika lze pměrně dbře využít nikliv pr samtné řízení rizik, ale pr zpracvání mapy rizik rganizace pr účely plánvání kntrl a interních auditů. Otázku každé rganizace však je, d jaké míry chce věcnu a časvu zátěž spjenu s identifikací rizik pr účely zpracvání plánů kntrl a interních auditů takt plšně přenášet na všechny své zaměstnance (tj. naklik je takvý přístup účelný, hspdárný a efektivní). Ve kterých prcesech leží klíčvá rizika dané rganizace, je každý interní auditr či kntrlr se znalstí fungvání dané rganizace schpen určit pměrně velmi přesně i bez takvéht plšnéh cvičení. Příklady správně frmulvaných rizika (rizika zavedení centrálníh nákupu státu a navrhvaná patření k jejich řízení 4 ): Rizik mnplizace ddávek pr stát největšími ddavateli na trhu (ptenciál pr zlepšení jejich tržní pzice veducí k následnému zvýšení tlaku na ceny) Agregace všech pžadavků d jednh zadávacíh řízení, jehž výsledkem by byla smluva s jedním ddavatelem, by vedla ke značné mnplizaci ddávek pr stát se všemi suvisejícími riziky (mžné výpadky ddávek, tlak na zvyšvání ceny klíčvým ddavatelem v buducnu). Za účelem zachvání tržní knkurence a nediskriminačních pdmínek pr menší ddavatele je i v případě splečné nadresrtní veřejné zakázky ptřeba rzdělit tut zakázku na menší části (pdle územníh členění dběratelů neb věcných částí plnění). Velmi vyská administrativní nárčnst všech fází přípravy a realizace zadávacíh řízení v případě nedstatečné IT pdpry prcesu Při daném mnžství zapjených subjektů je bez další technické pdpry velmi btížné rganizačně zajistit infrmace nezbytné pr řádné plnění uveřejňvacích pvinnstí centrálníh zadavatele (sledvání výše čerpání z jedntlivých rámcvých smluv, zajištění nepřekrčení sjednanéh rámce). 4 Usnesení vlády č. 913/2015 k Infrmaci stavu příprav centrálníh nákupu státu a k návrhu Rámcvéh harmngramu centrálníh nákupu státu pr rky , dstupné nline na: 8

9 Zárveň není aktuálně mžné pr přípravu zadání využít stávajících IT nástrjů resrtů pr elektrnické zadávání (zejména pr sběr a agregaci pžadavků a následnu realizaci splečné veřejné zakázky např. ve frmě dynamickéh nákupníh systému), nebť jedntlivými resrty jsu pr elektrnické zadávání využívány rzdílné IT nástrje. Tt rizik je mžné eliminvat centralizací IT pdpry zadávacích pstupů využívané zapjenými veřejnými zadavateli d Nárdníh elektrnickéh nástrje. Nutnst dvustupňvéh přístupu k rganizaci zadávacíh řízení, kteru však zákn veřejných zakázkách nepředpkládá Příprava veřejné zakázky je rganizačně a administrativně realizvatelná puze za předpkladu, že se jí účastní zástupci jedntlivých resrtů, kteří infrmace přenášejí dále k rganizacím v rámci svých resrtů a napak v rámci svých resrtů sbírají a agregují za všechny zapjené rganizace ptřebná data, infrmace a připmínky (tzv. dvustupňvý přístup). Napak přímá účast všech zapjených zadavatelů na přípravě veřejné zakázky je p rganizační a administrativní stránce představitelná puze velmi btížně. Dvustupňvá frma rganizace centrálníh nákupu (centrální zadavatel ministerstv resrtní rganizace) však není stávající právní úpravu zadávání veřejných zakázek předpkládána a legislativně upravena. Bude prt časvě i právně nárčné vše správně vymezit v rámci smluv centralizvaném zadávání uzavřených mezi zapjenými resrty (jejich uzavření musel předcházet uzavření pvěřvacích smluv mezi příslušným ministerstvem a resrtními rganizacemi v rámci jedntlivých zapjených resrtů). Tím se však tt rizik eliminuje. Při rzhdvání riziku je ptřeba mít na paměti zejména relativní význam danéh rizika pr rganizaci. Tmut ukazateli se becně říká významnst rizika a stanvuje se jak sučin pravděpdbnsti rizika a dpadu rizika, jež se v praxi nejčastěji měří na škále 1-5 (blíže viz Slvníček): Při rzhdvání dalším pstupu při řízení danéh rizika je však nutné zhlednit 5 rvněž další dva faktry, kterými jsu: Schpnst dané rizik řídit (tj. vlivnit jeh další vývj), a t nikliv puze já sbně jak jedinec, ale já jak sučást dané rganizace prstřednictvím všech krků a nástrjů, které mám jak sučást tét rganizace k dispzici (mhu např. pžádat někh dalšíh sučinnst, infrmvat nadřízené atd.) Náklady spjené s řízením rizika cílem jednznačně je, aby náklady na řízení rizika nepřevyšvaly úspry plynucí z jeh eliminace 5 Tyt faktry není nutné nijak přehnaně frmalizvaně vyčíslvat či škálvat, stačí je puze přiměřeně zhlednit v úvaze dalším pstupu při řízení danéh rizika. 9

10 K řízení rizika lze následně zvlit některý z následujících přístupů: Vyvarvání se rizika (např. neschválení dané perace, zákaz vyknání rizikvé aktivity neb prcesu; rganizace si však musí dát pzr, zda takvým patřením nevznikají rizika jiná, která mhu být ještě významnější) Udržvání rizika na stávající míře významnsti (akceptace rizika a sledvání jeh vývje bez dalších patření k jeh eliminaci; k těm by případně dšl, až pkud by se kriticky zvýšila významnst rizika) Redukce rizika přijetí nápravných patření veducích ke snížení pravděpdbnsti výskytu rizika neb jeh dpadu na přijatelnu mez Přens / sdílení rizika s někým dalším snížení případnéh negativníh dpadu tím, že je částečně přenesen na další sby (např. na ddavatele v rámci smluvníh vztahu, pjištěním rizika apd.; za takvu službu se však zpravidla vždy platí a rganizace by si měla dbře spčítat, zda se jí takvý pstup skutečně vyplatí neb nikliv) Organizace by se měla prstřednictvím svých veducích pracvníků sustředit primárně na řízení rizik s vysku, příp. střední míru významnsti. U rizik s nízku míru významnsti lze dpručit taktiku udržvání rizika. Každé rizik by měl být řízen subsidiárně na té úrvni řízení, která je k tmu vybavena ptřebnými znalstmi a kmpetencemi. V pačném případě je ptřeba rizik dbře ppsat, pkusit se definvat vhdná nápravná patření a včas jej předat na vyšší úrveň řízení. Optimálním a přirzeným nsičem takvých infrmací v rganizaci je referátník, pdklady pr pradu vedení rganizace, pdklady připravvané ke schválení veřejné zakázky, studie prveditelnsti, investiční záměr atd. Pr účely řízení rizik rzhdně není nutné vytvářet nvé samstatné dkumenty, stačí úplné a v maximální mžné míře bjektivní infrmace rizicích v přehledné pdbě (nejlépe včetně návrhu suvisejících patření k řízení rizik) zahrnut d pdkladů, na základě kterých příslušná sba či rgán té které peraci rzhduje. 6 Analýza rizik pr účely plánvání kntrl a interníh auditu Jak již byl uveden výše, zcela samstatnu disciplínu v blasti řízení rizik je analýza rizik pr účely plánvání kntrl a interních auditů. Za tímt účelem by měly útvary kntrly a útvary interníh auditu každrčně připravit / aktualizvat přehled identifikvaných rizik rganizace seřazených pdle jejich významnsti, tedy mapu rizik dané rganizace. Obecné zásady spjené s kategrizací rizik pdle jejich významnsti pr rganizaci přitm platí stejně. Zárveň však platí následující základní dlišnsti: Při analýze rizik pr účely plánvání kntrl a interníh auditu se nezhledňují statní faktry uvedené v kapitle 5 Věcný phled na řízení rizik rganizace (schpnst rganizace dané rizik řídit a náklady spjené s řízením rizika). Vychází se čistě z mapy rizik, která bsahuje přehled všech identifikvaných rizik rganizace či prgramu seřazených pdle jejich významnsti. Záleží na dané rganizaci, zda d identifikace rizik a hdncení jejich významnsti zapjí všechny zaměstnance dané rganizace či zda si mapu rizik zpracuje tent útvar sám vlastními silami na základě svých znalstí a zkušenstí fungvání dané rganizace a rizikvsti jedntlivých prcesů. Obecně lze dpručit spíše druhý pstup, který je efektivnější, účelnější a přináší výsledky na základě dbrnéh psuzení k tmu kmpetentních sb, nikliv puze suhrn pzrvání jedntlivých zaměstnanců rganizace, kteří nejsu a ani nemhu být na identifikaci, frmulaci a analýzu rizik žádnými dbrníky. Samtný výběr vzrku pr realizaci kntrl a interních auditů je samstatné téma, které přesahuje zaměření tét metdiky a bude mu prt v metdické činnsti CHJ věnvána samstatná pzrnst. 10