STAN PRAWNY NA 16 PAŹDZIERNIKA 2020 Standardy kontroli zarządczej – mechanizmy kontroli Opracował: Michał Łyszczarz, prawnik, współautor komentarza do Ustawy o systemie oświaty Podstawa prawna: • Ustawa z dnia 27 sierpnia 2009 r. o finansach publicznych (t.j. Dz.U. z 2019 r. poz. 869 ze zm.), • Ustawa z dnia 14 grudnia 2016 r. Prawo oświatowe (t.j. Dz.U. z 2020 r. poz. 910), • Ustawa z dnia 26 stycznia 1982 r. Karta nauczyciela (t.j. Dz.U. z 2019 r. poz. 2215), • Komunikat Nr 23 Ministra Finansów z dnia 16 grudnia 2009 r. w sprawie standardów kontroli zarządczej dla sektora finansów publicznych (Dz.Urz. MF z 2009 r. Nr 15 poz. 84). Mechanizmy kontroli to trzecia grupa standardów kontroli zarządczej, określona w załączniku do Komunikatu Nr 23 Ministra Finansów z dnia 16 grudnia 2009 r. w sprawie standardów kontroli zarządczej dla sektora finansów publicznych. Podobnie jak w przypadku pozostałych grup kontroli zarządczej, standardy formułują jedynie podstawowe wymagania w zakresie tej grupy kontroli, nie przywołując jednocześnie żadnych przykładów gotowych procedur, jakie się na nią składają. Dlatego też zasadne jest odwołanie się do wytycznych samooceny kontroli finansowej z 2007 r., zawierających wymagania odnoszące się właśnie do mechanizmów kontroli. Co prawda, dotyczą one kontroli finansowej, lecz bez przeszkód mogą zostać zaadaptowane na potrzeby kontroli zarządczej. Należy przy tym zauważyć, że standardy kontroli zarządczej w zakresie mechanizmów kontroli stanowią zestawienie podstawowych mechanizmów, nietworzących jednak zamkniętego katalogu, ponieważ system kontroli zarządczej powinien być elastyczny i dostosowany do specyficznych potrzeb jednostki, w której jest wprowadzany. Z kolei zgodnie z wytycznymi do samooceny na mechanizmy kontroli finansowej składają się regulaminy, procedury, instrukcje, czynności czy zasady, za pomocą których zarządzający chcą zapewnić, że funkcjonowanie jednostki, a w szczególności gromadzenie i rozdysponowanie środków publicznych oraz gospodarowanie mieniem, będzie przebiegać zgodnie z ich wytycznymi. Mechanizmy kontroli powinny występować w jednostce w zasadzie na wszystkich szczeblach zarządzania i odnosić się do wyników procesu analizy ryzyka – ich celem powinno być ograniczanie zidentyfikowanego ryzyka, którego jednostka nie może zaakceptować. Z tego punktu widzenia ryzykiem dla jednostki są wszelkie zagrożenia wynikające z przeprowadzanych operacji finansowych – mechanizmy kontroli w tym zakresie powinny więc odpowiadać na tak zidentyfikowane ryzyko, ograniczając je przy pomocy choćby procedury wstępnej kontroli zaciągania zobowiązań. Standardy kontroli zarządczej wskazują również, że mechanizmy kontroli powinny stanowić odpowiedź na konkretne ryzyko, a koszty wdrożenia i stosowania mechanizmów kontroli nie powinny być wyższe niż uzyskane dzięki nim korzyści. Z kolei zgodnie z wytycznymi do samooceny mechanizmy kontroli powinny być efektywne, czyli skutecznie ograniczać dane ryzyko przy najmniejszych możliwych kosztach. Mechanizmy kontroli w szczególności powinny być: • adekwatne, tj. skonstruowane w taki sposób, że ich prawidłowe stosowanie zabezpiecza jednostkę (działalność, operację) przed danym ryzykiem, • skuteczne, tj. powinny działać w zamierzony sposób, czyli faktycznie zabezpieczać jednostkę przed wystąpieniem lub skutkami danego ryzyka, • efektywne, tj. powinny ograniczać ryzyko w pożądanym stopniu przy wykorzystaniu najmniejszych możliwych nakładów, • wdrażane w możliwie najprostszy i zrozumiały sposób dla osób, które mają je stosować, • stosowane konsekwentnie przez wszystkich pracowników, pomijane podczas nieobecności kluczowych pracowników lub w okresie spiętrzenia zadań, • usuwane, jeśli nie zabezpieczają jednostki przed żadnym ryzykiem. Rodzaje mechanizmów kontroli Zgodnie ze standardami kontroli zarządczej na mechanizmy kontroli składa się: • dokumentowanie systemu kontroli zarządczej, • nadzór, • ciągłość działalności, • ochrona zasobów, • szczegółowe mechanizmy kontroli dotyczące operacji finansowych i gospodarczych, • mechanizmy kontroli dotyczące systemów informatycznych. Dokumentowanie systemu kontroli zarządczej to innymi słowy procedury wewnętrzne, instrukcje, wytyczne, dokumenty określające zakres obowiązków, uprawnień i odpowiedzialności pracowników i inne dokumenty wewnętrzne. Dokumentacja ta powinna być spójna i dostępna dla wszystkich osób, dla których jest niezbędna. Dyrektor poradni powinien wyznaczyć komórkę organizacyjną lub pracownika odpowiedzialnego za gromadzenie wszystkich aktów wewnętrznych odpowiedzialnych za funkcjonowanie jednostki. Dokumentacja systemu kontroli finansowej powinna być w szczególności: • prowadzona w formie pisemnej i obejmować wszystkie wspomniane wyżej procedury, • kompletna, rzetelna i aktualna, • łatwo dostępna dla wszystkich upoważnionych pracowników, którym jest niezbędna do wykonywania obowiązków, • dostępna w celu badania przez audytorów wewnętrznych, zewnętrznych czy kontrolerów. Z kolei nadzór należy prowadzić nad wykonaniem zadań w celu ich oszczędnej, efektywnej i skutecznej realizacji. W zakresie nadzoru wyróżnić można w szczególności następujące czynności: • przełożeni w jasny sposób komunikują podległym pracownikom zakres ich obowiązków i odpowiedzialności (na piśmie), • przełożeni upewniają się, że pracownicy właściwie rozumieją swoje obowiązki i odpowiedzialność, • przełożeni udzielają pracownikom praktycznych porad i wskazówek dotyczących wykonywanej przez nich pracy, • przełożeni systematycznie dokonują przeglądu wyników i postępów pracy podległych pracowników w koniecznym zakresie, • przełożeni zapewniają, że praca podległych pracowników przebiega zgodnie z założeniami, np. poprzez akceptację wyników pracy w kluczowych punktach, zatwierdzanie projektów, dokumentów, • przełożeni, poprzez nadzór, zapewniają, że pracownicy stosują się do procedur i zasad obowiązujących w jednostce oraz wymagań i wytycznych przełożonych, • w drodze nadzoru wykrywa się i eliminuje błędy, nieporozumienia i nieprawidłową praktykę oraz zapobiega się ich powtarzaniu. Ciągłość działalności, czyli kolejny element składający się na mechanizmy kontroli, ma zostać zapewniony poprzez stworzenie mechanizmów służących utrzymaniu ciągłości działalności jednostki sektora finansów publicznych przy wykorzystaniu m.in. wyników analizy ryzyka. Ciągłość taką mają zapewnić poniższe działania: 1. Zidentyfikowanie pracowników, którzy z uwagi na swoją szczególną wiedzę, doświadczenie lub umiejętności posiadają kluczowe znaczenie dla prawidłowej działalności jednostki oświatowej oraz których odejście poważnie zagroziłoby osiąganiu celów jednostki. 2. Odpowiednie planowane urlopów pracowniczych – nie dopuszcza się zaległości w wykorzystywaniu urlopów. 3. Ustalenie zastępstw pracowników w czasie ich nieobecności. 4. Określenie odpowiednich środków zaradczych w przypadku losowej nieobecności pracowników pełniących kluczowe funkcje w gospodarce finansowej jednostki. Problem ten nie występuje w przypadku, gdy obsługa poradni jest wykonywana przez zewnętrzny podmiot, czyli jednostkę obsługi ekonomiczno-administracyjnej jednostki utworzoną na podstawie art. 10 ust. 2 Ustawy Prawo oświatowe. 5. Odpowiednie zaplanowanie zmian organizacyjnych i logistycznych, monitorowanie ich realizacji. 6. Opracowanie planu działalności jednostki w przypadku wystąpienia klęsk żywiołowych, zagrożenia dla środowiska lub innych nadzwyczajnych okoliczności; przedstawienie planu wszystkim pracownikom. W zakresie ochrony zasobów należy zadbać, aby dostęp do zasobów jednostki miały wyłącznie upoważnione osoby. Osobom zarządzającym i pracownikom należy powierzyć odpowiedzialność za zapewnienie ochrony i właściwe wykorzystanie zasobów jednostki. Przenosząc wymagania zawarte w wytycznych do samooceny, należy wprowadzić odpowiednie środki ograniczenia i kontroli dostępu do budynków poradni oraz ich pomieszczeń, w szczególności: • dostęp osób spoza jednostki oświatowej do siedziby i innych obiektów jest ograniczony i kontrolowany, np.: przy pomocy pracowników ochrony, poprzez zabezpieczenia techniczne, wprowadzenie identyfikatorów dla pracowników itp., • dostęp pracowników do siedziby, obiektów i pomieszczeń poza godzinami pracy jest ograniczony i kontrolowany, • pomieszczenia o istotnym znaczeniu (np. kasa, magazyn, archiwum) są odpowiednio chronione za pomocą zabezpieczeń technicznych, a dostęp do nich ograniczony tylko do uprawnionych pracowników i kontrolowany, • zakres ograniczeń dostępu oraz sposób zabezpieczenia budynków, obiektów i pomieszczeń są odpowiednie do szacowanego ryzyka zagrożeń i nieprawidłowości, • sposób ograniczenia dostępu do budynków, obiektów i pomieszczeń oraz ich ochrony jest okresowo oceniany i ulepszany, • w budynkach, obiektach i pomieszczeniach poradni należy wprowadzić zabezpieczenia przeciwpożarowe odpowiednie do szacowanego ryzyka (np. system alarmowy, automatyczne zraszacze), • został opracowany plan ochrony budynków, obiektów i zasobów w przypadku wystąpienia klęsk żywiołowych, zagrożenia dla środowiska lub innych wyjątkowych okoliczności; plan został zakomunikowany wszystkim pracownikom. Ponadto w poradni psychologiczno-pedagogicznej powinny funkcjonować odpowiednie mechanizmy mające na celu zapewnienie ochrony zasobów materialnych i ich właściwego wykorzystania. W szczególności powinno się: • wprowadzić i zakomunikować wszystkim pracownikom zasady i procedury dotyczące gospodarki zasobami jednostki, ich właściwego wykorzystania i ochrony, • wprowadzić instrukcję określającą zasady i sposób przeprowadzania w jednostce inwentaryzacji, • zidentyfikować zasoby o znaczeniu krytycznym i wdrożyć odpowiednie środki ich ochrony, • uzmysłowić swoim pracownikom to, jak ważna jest świadomość swojej odpowiedzialności za mienie ogólnodostępne oraz swoich obowiązków w zakresie jego ochrony i właściwego wykorzystania, • prowadzić okresowe porównania rzeczywistego stanu zasobów z zapisami w księgach i innych rejestrach, a różnice wyjaśniać; częstotliwość porównań jest odpowiednia do ryzyka związanego z daną grupą zasobów. Zgodnie ze standardami kontroli zarządczej na szczegółowe mechanizmy kontroli dotyczące operacji finansowych i gospodarczych powinno składać się co najmniej: • rzetelne i pełne dokumentowanie i rejestrowanie operacji finansowych i gospodarczych, • zatwierdzanie (autoryzacja) operacji finansowych przez kierownika jednostki lub osoby przez niego upoważnione, • podział kluczowych obowiązków, • weryfikacja operacji finansowych i gospodarczych przed i po realizacji. W zakresie tego elementu opisywanego standardu należy zadbać o funkcjonowanie w jednostce odpowiednich mechanizmów kontroli, które zapewniają, że podejmowane i realizowane są wyłącznie operacje zatwierdzone przez dyrektora lub upoważnionych pracowników działających w zakresie posiadanego upoważnienia (głównego księgowego), m.in.: • zatwierdzaniu podlegają wszelkie wydatki przed ich dokonaniem oraz wszelkie zobowiązania przed ich zaciągnięciem, • zatwierdzaniu podlega także rozpoczęcie operacji mogącej skutkować zaciągnięciem zobowiązania lub dokonaniem wydatku, np. wszczęcie postępowania o udzielenie zamówienia publicznego, złożenie zamówienia u dostawcy, podpisanie umowy, polecenie wyjazdu służbowego, • udzielenie pracownikom upoważnienia do zatwierdzania operacji zostało w jednostce wyraźnie zakomunikowane. Ostatni element opisywanego standardu – mechanizmy kontroli dotyczące systemów informatycznych – wymaga określenia mechanizmów służących zapewnieniu bezpieczeństwa danych i systemów informatycznych w jednostce oświatowej. W szczególności powinny być: • wprowadzone fizyczne i logiczne środki ograniczenia dostępu do zasobów informatycznych (oprogramowania, plików, sprzętu, itp.) odpowiednie do szacowanego ryzyka nieuprawnionego dostępu, • wprowadzone fizyczne i logiczne środki zapobiegania i wykrywania nieuprawnionego dostępu do zasobów informatycznych; w przypadku wykrycia nieuprawnionego dostępu wyjaśnia się takie przypadki i podejmuje odpowiednie działania zaradcze, • znane pracownikom obowiązki w zakresie ochrony zasobów informatycznych oraz przestrzegają ustalonych zasad i procedur, • usuwane wrażliwe dane i aplikacje z komputerów, dysków, nośników itp. w przypadku ich wycofania lub zmiany przeznaczenia, • wdrożone odpowiednie zasady i procedury ograniczenia dostępu do oprogramowania systemowego, • wdrożone odpowiednie zasady i mechanizmy, aby zapobiec i wykryć niewłaściwe wykorzystywanie narzędzi dostępnych w oprogramowaniu systemowym. Biorąc pod uwagę powyższe wyliczenia czynników kluczowych dla prawidłowego funkcjonowania mechanizmów kontroli wewnętrznej, stwierdzić należy, że w przeważającej większości wypadków odpowiednie procedury już w jednostkach systemu oświaty funkcjonują. Są to przede wszystkim procedury kontroli finansowej, wstępnej oceny celowości zaciągania zobowiązań finansowych itd. Wszystkie te procedury zaliczymy od tej pory do systemu kontroli zarządczej w jednostce.