Audit public intern

AUDIT PUBLIC INTERN

1.INTRODUCERE

Obiectivul auditului a evoluat de la detectarea fraudelor si erorilor, proces care presupunea o verificare detaliata a tuturor operatiunilor patrimoniale si a inregistrarii lor contabile, la exprimarea unei opinii asupra imaginii fidele a patrimoniului, a situatiei financiare si a rezultatelor obtinute de catre societate. Se urmareste, in acest sens, masura in care informatiile inregistrate in contabilitate reflecta evenimentele economice care au avut loc intr-o anumita perioada, iar eforturile auditorului sunt intensificate pentru identificarea eventualelor manipulari ale informatiilor furnizate de sistemul financiar, pentru prevenirea cazurilor de contabilitate creativa sau frauda.

Informatiile furnizate de specialistii in acest domeniu sunt necesare tuturor categoriilor de utilizatori: manageri, actionari si asociati, organe fiscale, bancheri, organizatii sindicale care au uneori interese contradictorii. Din acest motiv rezultatele lucrarilor de audit trebuie sa fie corecte si intocmite pe baza documentelor legale in vigoare. Ele trebuie sa asigure calitatea si coerenta sistemului contabil si sunt menite sa asigure reflectarea corecta, sincera si completa in bilant si in contul de profit si pierdere a patrimoniului, situatiei financiare si rezultatelor exercitiului.

In prezent exista mai multe tipuri de audit financiar:

• auditul operational reprezinta analiza oricarei portiuni a procedurilor si metodeloroperationale ale unei organizatii, in scopul evaluarii eficientei si eficacitatii lor;
• auditul conformitatii trebuie sa determine daca entitatea examinata respecta anumite proceduri, reguli sau reglementari definite de o autoritate supraordonata.

Indiferent de tipul de audit este necesara analiza riscului. In continuare sunt prezentate diferite modalitati in care este abordata aceasta activitate.

2.DEFINITIA RISCULUI

Definirea notiunii risc este o problema dificila, din cauza complexitatii relevantei sale, pe de o parte, si multiplelor semnificatii de domeniu, pe de alta parte.

Dovada acestei constatari este faptul ca exista deosebit de multe aprecieri, metafore si definitii despre risc, dar niciuna dintre acestea nu s-a impus exhaustiv, desi preocuparile stiintifice si aplicative din domeniul managementului de risc sunt multiple si deosebit de variate.

Multe din aprecieri se aproprie de sensul definitiilor, dar si multe dintre ele au valente de metafore sau constituie si formalizari sau reprezentari grafice sugestive.

Ordinea de prezentare a aprecierilor a fost aleatorie, urmarind multitudinea parerilor si formelor fara a incerca o ierarhizare sau o grupare. Ideea a fost sa se vada varietatea aspectelor, fara ca in aceasta faza sa sugeram o anumita orientare sau sa probam, prin atitudine, ca o anumita parere este mai corecta decat alta.

• RISCUL este de natura analitica, nu are consistenta fizica si nici posibilitati de concretizare.
• Similar hazardului, o activitate necunoscuta presupune RISC.
• RISCURILE apar in cadrul tuturor activitatilor socio - economice, pentru fiecare dintre acestea imbracand forme particulare, in functie de tipul, modul de manifestare, precum si de magnitudinea acestora.
• Asocierea dintre RISC si hazardul particular nu este totdeauna corecta.
• Fiecare actiune are un portofoliu propriu de RISC.
• RISCUL reprezinta amenintarea unui rezultat slab.
• RISCURILE sunt acelea care conduc la mai multe variante de actiune.
• RISCUL exista atunci cand decidentul nu cunoaste in avans rezultatul  unei decizii, dar este capabil sa stabileasca o distributie in probabilitate obiectiva a posibilelor stari ale naturii si platilor asociate acestora.
• Deciziei, in general, si deciziei manageriale, in special, datorita complexitatii lor, le sunt asociate numeroase RISCURI.
• RISCUL presupune determinarea probabilitatii producerii unui eveniment nedorit, a conjunctiei de favorabilitate dintre amenintarile activate si vulnerabilitatile exploatate, a consecintelor producerii acestuia si a determinarii elementelor ce il caracterizeaza, precum si atitudinii fata de acesta.
• RISCUL este un factor fundamental al afacerilor, deoarece in nici o activitate nu se poate obtine profit fara risc.
• Reflexivitatea include ideea ca RISCURILE nu sunt parte a fatalitatii sau a destinului, ci sunt optiuni pe care oamenii le realizeaza.
• RISCUL este inerent unei investitii si are ca principal suport evolutia tehnologica,  progresul tehnic si incertitudinea specifica investitiei.
• Notiunea de RISC nu este inteleasa decat la nivel individual, gestiunea globala la nivelul portofoliului fiind rar integrata in procesul de decizie.
• RISCULUI ii sunt asociate doua dimensiuni - incertitudinea si efectul asupra obiectivului.
• RISCUL se situeaza intre incertitudine si fenomen aleatoriu, daca acesta poate fi interpretat ca "variabila viitoare".
• Organizarea sociala - sursa a valorilor - sursa a RISCURILOR - sursa a propriului portofoliu de risc.
• Intelegerea RISCULUI ca oportunitate incepe sa castige tot mai mult teren.
• Un eveniment sau un proces poate avea consecinte negative sau pozitive, ceea ce presupune ca in definirea RISCULUI trebuie utilizat si termenul de preocupare.
• RISCUL exista atunci cand obiectivul este posibil de validat, cu o probabilitate  apreciabila, insa modalitatile cele mai adecvate de urmat prezinta grad mare de nesiguranta
• In functie de factorii de risc, RISCUL poate avea valori negative (downside) sau valori pozitive (upside).
• Orice strategie performanta trebuie sa cuprinda programe de minimizare a posibiltatii producerii RISCURILOR, ceea ce inseamna, de fapt, minimizarea pierderilor sau cheltuielilor.
• Uneori, costurile implementarii si exploatarii procedurilor care vizeaza gestiunea riscului pot fi mai mari decat expunerea potentiala la RISC.
• De pilda, printre cele trei obiective ale managementului bancar se inscrie si minimizarea expunerii la RISC, evident, alaturi de maximizarea rentabilitatii si respectarea reglementarilor legale in materie.
• Gestiunea eficace a RISCURILOR isi pune, cu siguranta, amprenta si asupra imaginii publice a organizatiei.
• Gestiunea RISCURILOR necesita resurse serioase informationale, umane, materiale si financiare, de aceea, gestiunea riscurilor, pentru a avea succes, trebuie considerata ca parte a top managementului, avand un rol, cert, strategic.
• Ingineria securitatii: analiza de RISC este singura modalitate de apreciere a nivelului de periculozitate a unui obiectiv de securitate si trebuie efectuata si luata in consideratie atat la inceputul proiectarii sistemului de securitate, cat si dupa implementarea acestuia.
• RISCUL implica necesitatea de a infrunta situatiile de nesiguranta, dar si obligatia de a actiona rational.
• RISCUL guverneaza in prezent atat existenta sociala, cat si existenta mediului de afaceri.
• RISCUL este asumat ca practica comuna de afaceri.
• A invata sa traim intro lume a RISCULUI reprezinta o componenta majora si definitorie a comportamentului cetatenilor si managerilor.

Prima concluzie care se impune in aceasta analiza este ca notiunea de definit este cu certitudine riscul, desi sunt multe sinonime pentru risc

• cu conotatie negativa abatere, amenintare, critic, destin, esec, expunere, fatalitate, hazard, incertitudine, necunoscut, necaz, nedefinit, neindeplinire, nesiguranta, paguba, pericol, pierdere, primejdie, vulnerabilitate 
• cu conotatie neutra abatere, aleatoriu, alegere, alternativa, decizie, factor, incert, intamplator, joc, necunoscut, neprevazut, optiune, posibilitate, potentialitate, probabilitate, rationalitate, variabilitate
• cu conotatie pozitiva atu, castig, favorabilitate, oportunitate, rationalitate, rentabilitate, utilitate.

A doua concluzie se refera la polivalenta riscului si la caracteristicile sale de variabila, masura sau indicator, sintetizate astfel

riscul este o variabila asociata unei alegeri, decizii sau actiuni intrun mediu de incertitudine

riscul impune rationalitate si genereaza atitudine si comportament

pentru a fi utlizat, riscul necesita cuantificare, asociere de valori absolute, relative sau in procente

riscul este indicatorul principal al sistemelor de securitate

riscul este o diferenta de utilitate intre doua actiuni

riscul este un obiectiv de management, dar si o masura a performantelor acestuia in mediul de incertitudine

riscul are valente singulare, dar si cumulative, generale, globale

3. CATEGORII DE RISC

Multitudinea domeniilor si situatiilor care sunt caracterizate sau guvernate prin risc face ca acestuia sa i se asocieze conotatii diverse, de la caracterul general si logic al indicatorului analitic si al masurii incertitudinii, pana la incadrari aplicative de domeniu sau chiar de intelegere (aplicatie) speculativa.

In toata aceasta diversitate de pareri, aprecieri, formulari si definitii se impune totusi necesitatea orientarii principale a riscului spre managementul calitatii si securitatii unor domenii, fenomene, procese sau sisteme.

De la acest punct de vedere pleaca si ideea de a aborda o categorisire a riscului, multicriteriala, diferentiata pe clase, forme si niveluri de risc.

Incercarea acestei lucrari poate deveni benefica pentru anumite domenii, dar va ramane totusi tributara dificultatii unui studiu sistemic de mare amploare si de o deosebita acuratete, foarte necesar dar greu de realizat. Speram ca aceast lucru sa nu accentueze ambiguitatea, sa nu adanceasca diferentele si controversele, sa nu contribuie la ireconcilierea parerilor in vastul domeniu stiintific, comportamental si aplicativ al riscului.

Multicriterialitatea categorisirii riscului urmareste acoperirea atat a expresiilor generale de definitie, cat si a sensurilor pragmatice de aplicatie si management:

Din punctul de vedere al sensului dimensional riscurile pot fi:

risc cu dimensiune (sens) pozitiva - avantaj, castig, favorabilitate, oportunitate, sansa

risc cu dimensiune (sens) negativa - amenintare, esec , paguba, pericol, vulnerabilitate

risc cu dubla dimensiune (sens bidimensional) - pozitiva si negativa - avantaj - paguba, castig - esec, consecinte pozitive sau negative, favorabilitate - vulnerabilitate, oportunitate - pericol.

In functie de eficacitatea managementului, riscul poate fi considerat cu caracter speculativ (vizeaza un castig sau o pierdere).

Din punctul de vedere al sursei care il produce (naturala sau umana), riscurile pot fi :

riscuri pure - sunt datorate unor surse naturale care nu pot fi decat relativ controlate (supravegheate, studiate, anticipate) si au intotdeauna efecte negative

riscuri de umanitate - sunt datorate posibilitatii oamenilor de a alege intre doua sau mai multe variante si de a decide; supranumite si riscuri de conjunctura (de alegere, de decizie), acestea pot avea atat efecte pozitive, cat si negative.

Din punctul de vedere al corelatiilor motive, mize, interese, riscurile pot fi:

riscuri motivationale - determinate de ierarhia motivatiilor, care exprima atitudinea de alegere a unei variante, din doua sau mai multe, bazata pe motivatia individului fata de acea varianta

riscurile de miza - determinate de atitudinea celui ce alege fata de locul de apartenenta al mizei (extern sau intern)

riscuri interpersonale - determinate de raporturile celui ce alege (se comporta, ia atitudine) fata de interesele proprii sau colective, fata de relatiile interpersonale cu o persoana, familie, colectiv.

Toate cele trei categorii de risc au valente atat pozitive, cat si negative.

Din punctul de vedere al atitudinii fata de risc, riscurile pot fi:

riscuri suportabile - sunt cele a caror amplitudine (magnitudine) nu justifica investitii pentru exploatare (atenuare sau valorificare), avand influente neglijabile asupra procesului in care se manifesta

riscurile tratabile - sunt acele riscuri care pot fi exploatate in cadrul proceselor (atenuate sau valorificate) prin masuri specifice de securitate sau inginerie de proces

riscurile netratabile - sunt riscuri majore sau dezastruoase pentru un proces care nu pot fi exploatate (atenuate); pentru aceste riscuri se adopta masura asigurarii asupra pagubelor de proces produse in urma aparitiei evenimentelor nedorite.

Din punctul de vedere al amplitudinii (magnitudinii), riscurile sunt:

riscuri neglijabile cuprinse intre valorile 0 si 1; 0 si 0,2 sau 0 si 20%

riscuri minore cuprinse intre valorile 1 si 2; 0,2 si 0,4 sau 20% si 40%

riscuri medii cuprinse intre valorile 2 si 3; 0,4 si 0,6 sau 40% si 60%

riscuri majore cuprinse intre valorile 3 si 4; 0,6 si 0,8 sau 60% si 80%

riscuri dezastruoase cuprinse intre valorile 4 si 5; 0,8 si 1 sau 80% si 100%.

Din punctul de vedere al apartenentei la un proces, riscurile pot fi:

riscuri de mediu - apartin mediului in care se desfasoara procesul si influenteaza procesul

riscuri de proces - sunt riscuri specifice tehnologiei desfasurarii procesului, influentand insa atat desfasurarea procesului, cat si mediul in care se desfasoara acesta

riscuri de infrastructura - sunt datorate elementelor, retelelor, fluxurilor si relatiilor prin care procesul se integreaza in mediu; riscurile de infrastructura influenteaza atat mediul, cat si procesul; exista posibilitatea ca influenta asupra procesului sa fie dubla: directa si prin mediu.

Din punctul de vedere al locului, cauzelor (mizelor) care produc riscul, riscurile pot fi:

riscuri interne (endogene) - cu mize sau cauze specifice sau intrinseci procesului

riscuri externe (exogene) - cu mize sau cauze localizate in exteriorul existentei tehnologice a procesului (mediu, infrastructura de integrare, vecinatati apropiate sau departate etc.).

Atat riscurile exogene, cat si cele endogene pot favoriza oportunitati (castiguri) sau pot provoca pericole (pierderi).

Din punctul de vedere al formei de manifestare, riscurile pot fi:

riscuri conventionale (simetrice) - sunt riscurile ale caror cauze sunt considerate conventionale (agresiuni armate, recesiuni economice, crize politice etc.)

riscurile neconventionale (asimetrice) - sunt riscurile cauzate de actiuni asimetrice (terorism politic, atacuri informatice, actiuni imagologice, actiuni ce pot provoca distrugeri sau catastrofe ecologice etc.)

Ambele categorii de risc sunt de natura sa produca pierderi, dar unele din actiuni (situatii) de criza, pot fi exploatate favorabil, deci pentru adversar au efecte pozitive.

Din punctul de vedere al domeniului (mediului) pe care le caracterizeaza, riscurile pot fi:

riscuri sociale - caracterizeaza oportunitati sau pericole sociale

riscuri politice - caracterizeza oportunitati sau pericole politice

riscuri economice - caracterizeza oportunitati sau pericole economice

riscuri juridice - caracterizeaza disfunctionalitati juridice

riscuri de mediu -reprezinta oportunitati sau pericole de mediu

riscuri ale sanatatii populatiei - caracterizaeza pericole de sanatate

riscuri de securitatea muncii - caracterizeaza pericole de munca

riscuri de securitate - caracterizeza amenintarile, vulnerabilitatile sau nivelurile de protectie ale obiectivelor

riscuri tehnologice - caracterizeaza facilitatile sau dificultatile tehnologice

riscuri de productie - caracterizeaza oportunitatile sau disfunctionalitatile de productie

riscuri culturale - caracterizeaza variatiile parametrilor culturali

riscuri educationale - caracterizeaza oportunitatile si disfunctionalitatile educationale.

Din punctul de vedere al obiectivului, elementului, parametrului pe care le caracterizeaza, riscurile pot fi:

riscuri singulare - sunt riscurile cu referinta unica - la un singur parametru, element sau aspect

riscuri complexe (globale, totale, cumulative) - sunt riscurile care reprezinta sume ponderate de riscuri singulare

Toate riscurile, indiferent de criteriile si categoriile care le definesc, se impart, la randul lor, in functie de momentul analizei in raport cu atitudinea de tratare a riscurilor in: riscuri initiale si riscuri reziduale .

Riscurile initiale sunt riscurile identificate, evaluate si determinate inainte de aplicarea masurilor de tratare a riscurilor. Riscurile reziduale sunt riscurile care raman dupa aplicarea masurilor de tratare. Acestea, la randul lor, pot fi: neglijabile, acceptabile sau netratabile.

4. DETERMINAREA RISCULUI

Pentru a opera cu notiunea de risc, este necesara determinarea acestuia (identificarea, evaluarea, nominalizarea si prioritizarea) astfel incat, din vasta paleta a perceptiilor despre risc, sa se stabilieasca o anumita reprezentare a variabilei risc cu care sa se poata lucra, indiferent de cauze, manifestari, niveluri si urmari, conform unei culturi sociale sau tehnice specifica fenomenului, procesului sau sistemului pentru care se realizeaza analiza de risc si managementului guvernarii acestuia.

Asadar, determinarea urmeaza un proces interactiv prin care riscurile se identifica (se descopera ce tipuri de risc actioneaza, care sunt cauzele aparitiei acestora, care sunt factorii, ce valori sau parametrii afecteaza, ce evenimente sau consecinte insotesc, genereaza si daca se pot trata sau nu), se evalueaza, se stabilesc posibilitatile de masurare si de evaluare a marimii si riscurilor variatiilor, se determina sau se calculeaza ori se estimeaza marimile nivelurilor, amplitudinii si abaterii riscurilor, se stabilesc perioadele si legile de evolutie, costurile, consecintele, impactul realizarii riscurilor, se nominalizeaza (prin denumire si caracteristici masurate sau estimate, prin relatii de cauzalitate sau de cumulare) si se proritizeaza (dupa marimea nivelurilor, amplitudinii sau abaterilor ori dupa alte criterii), stabilindu-se, atat cat este posibil, strategii de tratare, costurile tratarii si consecintele acestora.

Determinarea riscurilor se concretizeaza intro lista de riscuri, cu denumiri si caracteristici, locuri de perceptie si aprecieri sau estimari de tratare a acestora, precum si prin stabilirea unor relatii de izomorfism sau autoizomorfism cu alte categorii de riscuri, evenimente sau obiective.

Determinarea poate fi inscrisa intrun anumit fel, in teoria lui Olivier Sirost de asociere a unei marimi (valori) de operare la conceptul de risc. Se ajunge, in acest fel, ca prin operatia de determinare sa se asocieze oricarei valori, actiuni, fenomen, proces sau sistem ori persoana sau grup de persoane un portofoliu propriu de risc ale carui principale caracteristici sunt marimea nivelurilor calculate sau masurate si ierarhizarea acestora (prioritizarea) in vederea tratarii (rezolvarii) sau utilizarii.

4.1. IDENTIFICAREA RISCURILOR

Desi exista o similaritate evidenta intre cele 3 notiuni utilizate pentru constituirea portofoliului de risc al unei valori, actiuni, fenomen, proces, sistem, persoana sau grup de persoane vom etapiza procesul de determinare a riscurilor, atribuind semnificatii concrete identificarii, evaluarii si determinarii riscurilor, astfel incat procesul logic al determinarii sa fie definit si sa se poata opera cu acesta.

Din aceasta perspectiva, identificarea riscurilor poate fi considerata o etapa de percepere a acestora, de gasire a priori a posibilitatilor si locurilor in care riscul se poate manifesta in vederea orientarii analizei de risc spre etapa calculelor si masuratorilor, a evaluarii. Rezultatele identificarii depind foarte mult de calitatea si profesionalismul echipei care percepe riscurile, pe de o parte, si de orizontul temporal, pe de alta parte.

Pregatirea, desfasurarea si finalizarea identificarii riscurilor trebuie algoritmizate pentru a fi eficiente si a permite trecerea la evaluare. Algoritmizarea este necesara si din perspectiva micsorarii nivelului de subiectivism, dar si pentru organizarea activitatii astfel incat perspectiva asupra riscului sa se apropie de valoarea unei expertize, intrun orizont temporal cat mai bine dimensionat. Cu alte cuvinte, prin identificare inlaturam o parte a incertitudinii si pregatim extinderea aplicatiilor spre domeniul managementului, asigurandu-se pentru etapa evaluarii, posibilitatea recursului la calcul si la tehnica.

Tinand seama de limitele identificarii stabilite prin acest demers, se poate aprecia faptul ca aceasta este o faza preliminara a determinarii, pentru a releva informatii si corelatii suficient de precise despre riscurile intuite, desprinse din studiu sau din realitate, realizand bazele pentru:

asumarea responsabilitatii de gasire a riscurilor

comunicarea mesajului despre existenta riscurilor, valorile afectate si posibilitatile de manifestare

exprimarea necesitatilor de utilizare a riscurilor in guvernarea proceselor

cunoasterea mediului de manifestare a riscurilor si valorificarea surselor de cunoastere a acestuia:experienta personala, experienta cunostintelor, educatia formata,relatiile de lucru

identificarea surselor de risc.

Stabilirea obiectivelor determinarii riscurilor pleaca de la necesitatea ca intrun mediu de incertitudine deciziile trebuie sa guverneze schimbarile si sa orienteze variatiile rezultatelor evenimentelor nominalizate, in conditiile in care determinarea riscurilor reprezinta o investigatie in urma careia se stabilesc factorii potentialelor modificari in stransa corelatie cu mediul de existenta si performantele de sistem. De asemenea, dat fiind faptul ca determinarea riscurilor reprezinta, in esenta sa un instrument de cuantificare a riscului ce influenteaza evolutia in mediu, dar si o etapa de analiza si diagnostic pentru guvernarea evolutiei, determinarea riscului isi stabileste obiectivele care pot fi :

determinarea expunerii la risc a proprietatilor, valorilor, personalului si actiunilor organizatiei

• perceperea dinamicii riscurilor si a cauzelor (factorilor) producerii acestora
• stabilirea masurilor de raspuns ale organizatiilor pentru exploatarea, valorificarea, diminuarea sau eliminarea riscurilor
• institutionalizarea managementului de risc ca o componenta de baza a top managementului
• dimensionarea bugetului managementului de risc
• definitivarea strategiei de risc si a atitudinii organizatiei fata de aceasta
• operationalizarea managementului riscului

In functie de obiectivele stabilite, de regimul de institutionalizare si operationalizare a managementului riscului se stabilesc obiectivele si amploarea actiunii de identificare a riscurilor, in deplina corelatie cu strategia de tratare a acestora. In aceasta faza a determinarii (pentru identificare), strategia de risc trebuie sa prevada, cel putin, urmatoarele elemente:

• principalele categorii de risc tratate
• riscurile reziduale suportabile sau transferabile
• atitudinea fata de categoriile si nivelurile de risc
• resursele tratarii riscurilor
• orizontul de timp pentru operationalizarea managementului de risc
• atitudinea top managementului fata de managementul de risc
• orizontul de timp al verificarii operationalizarii si managementului riscului
• obiectivele precise si orizontul temporal al actiunii de desfasurare a riscurilor.

Pentru a stabili o corespondenta operationala intre obiectivele strategice ale managementului riscului cele stabilite pentru determinarea riscurilor se analizeaza rezultatele actiunilor (1) si (2) si se armonizeza obiectivele vizand: determinarea riscurilor in ceea ce priveste amploare investigatiei categoriile de risc considerate prioritare si bugetul la dispozitie.

In functie de amploarea investigatiei, compunerea echipei de identificare si bugetul la dispozie, se stabilesc orizonturile de timp pentru actiunile intreprinse, pe categorii de riscuri, actiunii, valori etc.

Se reanalizeaza costurile posibile a fi suportate, in functie de prioritatile si orizonturile de timp stabilite.

Dupa stabilirea amploarei investigatiei, a orizonturilor de timp si a bugetului la dispozitie se constituie echipa de determinare a riscului din punctul de vedere al categoriilor si al numarului de specialisti. Dupa constituire, echipa se investeste cu misiunea preliminara a determinarii, i se ofera spatii de lucru, timp de investigatii preliminare, i se pun la dispozitie toate documentele necesare si i se cere sa realizeze Planul de determinare a riscurilor.

Planul de determinare a riscurilor cuprinde:

• actiunile care se desfasoara pentru determinarea riscurilor
• orizonturile de timp
• responsabilitatile membrilor echipei pentru fiecare actiune
• resursele necesare.

Dupa intocmire Planul de determinare a riscurilor se supune aprobarii top managementului. La sugestiile top managementului Planul poate fi imbunatatit, iar dupa definitivare si aprobare, incepe implementarea acestuia.

Imbunatatirea Planului se poate face prin intoarcere la oricare actiune din schema logica, iar ciclul de imbunatatire poate fi singular sau multiplu.

Identificarea riscurilor se face conform Planului aprobat, cu specialistii si resursele alocate. In timpul desfasurarii actiunii de identificare pot sa apara diferente fata de Planul aprobat, care daca nu afecteaza resursele si orizonturile de timp, sunt aprobate direct de catre echipa de specialisti. Modificarile care antreneaza marirea bugetului sau a orizonturilor de timp trebuie supuse aprobarii top managementului.

In cazul in care la aprobarea Planului se intuiesc anumite cote de depasire a bugetului sau a orizonturilor de timp, se poate conveni existenta unei imputerniciri speciale a echipei de a gestiona un anumit procent de modificare, de regula, nu mai mare de 10%.

Actiunea de identificare incepe cu definirea mediului in care actioneaza entitatea pentru care se realizeaza actiunea.

Din punctul de vedere al managementului riscului, definirea mediului inseamna stabilirea urmatoarelor coordonate:

cadrul de existenta a entitatii: politic, social, economic, juridic, existential, relational si de securitate

variabilele (ca elemente cu variatii intre si in timpul ciclurilor devenirii entitatii) si parametrii (cu variatii intre cicluri) care definesc dinamic entitatea cu relatiile acestora fata de mediu: marimi de intrare, marimi de stare si marimi de iesire

oportunitatile si amenintarile care influenteaza dinamica existentiala a entitatii (guvernarea variatiilor)

factorii cauzali care determina oportunitatile si amenintarile

strategiile de evolutie a relatiilor mediu-entitate

rezultatele analizelor izomorfice pentru entitatile cu valente similare.

Dupa definirea mediului de existenta a entitatii careia i se determina riscul, se stabilesc categoriile de risc care ar putea afecta entitatea. Analiza pleaca de la oportunitati si amenintari si se coreleaza cu capabilitatile si vulnerabilitatile entitatii care pot valorifica sau favoriza realizarea riscurilor.

Stabilirea categoriilor de risc incepe cu enuntarea categoriilor care se pot realiza in mediul entitatii si se incheie cu particularizarea unor riscuri ce apar ca evidente, din observatiile mediului, cunoasterea entitatii si din analizele izomorfice de risc, evidentiindu-se toate caracterisiticile de risc, intuitive sau cu valori determinate izomorfic, vizand probabilitati, posibilitati sau frecvente de aparitie, impact sau consecinte, eventual relationalitatile intre acestea

In lista se trec toate informatiile cunoscute, daca este posibil intro anumita ordine, cu valori sau marimi, indicandu-se sursele de atirubuire. Acolo unde nu se cunosc informatii se poate specifica acest lucru, notand si necesitatea determinarii acestora sau, pur si simplu, nu se face nici o adnotare.

Completarea listei se face prin efortul echipei de determinare, incepand cu stabilirea cauzelor si conditiilor de aparitie a riscurilor si continuand cu:

Stabilirea factorilor de risc si corelatiile dintre acestia (oportunitati si capabilitati sau amenintari si vulnerabilitati si modul lor de conjunctie sau de favorabilitate).

Stabilirea valorilor, persoanelor, proceselor si zonelor afectate de riscuri, completandu-se, pe cat posibil, parametrii afectati si variatiile posibile ale acestora.

Stabilirea consecintelor si a evenimentelor caracterizate de riscuri.

Se stabileste pentru fiecare categorie de risc si pentru fiecare risc identificat daca acestea sunt tratabile sau nu, iar daca sunt tratabile care este atitudinea fata de categoria sau riscul respectiv (cum se trateaza). Pentru categoria sau riscul pentru care se stabileste ca nu poate fi tratat se propun masuri: de aprofundare a studiului, de transfer, de neglijare sau de ignorare.

Pe baza listei riscurilor identificate se trece la urmatoarea faza de determinare - evaluarea

Revenind la caracterizarea etapei de identificare a riscurilor, evidentiem faptul ca aceasta presupune perceperea riscurilor si a cauzelor (factorilor) care le produc si trebuie sa tina seama de:

cauzalitatea si consecintele factorilor de risc

orizonturile de timp in care acestia se manifesta

corelatiile cauzelor si factorilor si de tendintele lor cumulative

rezultatele analizelor izomorfice asupra unor entitati similare sau chiar si asupra unor entitati diferite dar care coexista in acelasi mediu

strategiile de evaluare si de testare si tratare a riscurilor.

Identificarea riscurilor trebuie sa aiba in vedere atat elementele de mediu, cat si elementele entitatii incercand sa asocieze riscurilor:

categorii si caracteristici procesuale si functionale

aspecte structurale si organizatorice

elemente rationale si de comunicatii

relatii portofoliu - mediu - piata - asociatii - grupuri de interese - retele

aspecte juridice si procedurale

elemente de protectie fizica

resurse informationala

organizarea manageriala

active implicate: oameni, proprietati, venituri, fond comercial

exploatarea surselor informationale, relatii izomorfice, fonduri puse la dispozitie

timp de analiza si strategiile de exploatare a riscurilor.

Sursele de informatii exploatate pe timpul identificarii riscurilor vizeaza:

documentele de organizare si functionare, planurile de situatie, rapoartele si deciziile, relatiile, strategiile, planificarea, fondurile, investitiile, contractele si proiectele, informatiile despre personal, colaborarile si relatiile cu alte organizatii, in grupuri de interese, in retele, asociatii, parteneriate, competitii

locatiile organizatiei, valorile imobiliare, personalul, structurile organizationale, procedurile de lucru, comunicarea interna si externa

tot ce se poate culege din extern de la asociati, competitori, participanti la manifestatii stiintifice, mass-media, fosti angajati, experti, institutii publice, asociatii.

Pentru identificarea riscurilor se utilizeaza mai multe tipuri de procedee si tehnici printre care amintim:

listele riscurilor identificate de expertii si auditorii din organizatiile care au o astefel de activitate in portofoliu

listele riscurilor identificate pe compartimente si proiecte

chestionarele standard de audit

listele de control al riscurilor

schema logica a producerii evenimentelor nedorite

interviurile structurate - realizate de experti

consultatiile - consfatuirile - brainstorming-ul care vizeaza atat identificarea riscurilor, cat si determinarea factorilor favorizanti, precum si masurile de raspuns

auditurile de proces, calitate, securitate si/sau de risc realizate de organizatii specializate sau de grupe de experti din afara, cu sau fara participarea expertilor organizatiei

tehnici speciale pentru identificarea cauzelor unor evenimente deosebit de importante:analiza cauza - efect (diagrama FISHBONE sau ISHKAWA), analiza cauza - radacina, analiza PARETO.

4.2. EVALUAREA RISCURILOR

Evaluarea riscurilor reprezinta a doua etapa a determinarii riscurilor si se desfasoara dupa identificare, dar nu ca o etapa absolut partajata de identificare, ci doar distincta ca rezultate, rigoare si concluzii.

Evaluarea riscului isi propune sa realizeze urmatoarele obiective actionale:

estimarea probabilitatii si impactului pentru fiecare risc identificat pentru a se asigura intelegerea si calificarea acestuia

concretizarea manifestarii riscurilor identificate si determinarea posibilitatilor de tratare

revizuirea si amendarea riscurilor identificate in vederea precizarii atitudinii fata de acestea

evaluarea factorilor de risc, a oportunitatilor si capabilitatilor, pe de o parte, sau a amenintarilor si vulnerabilitatilor, pe de alta parte

modalitatea de reprezentare a riscurilor si a corelatiilor dintre acestea.

Procesul evaluarii este deci un proces de determinare calitativa si cantitativa a riscurilor identificate, de completare a categorisirii lor, iar complexitatea sa depinde de: modul de definire a riscului, multitudinea factorilor de risc si efectul lor singular sau cumulativ, modul de tratare a riscului, scala si unitatea de masura pentru reprezentarea riscului, domeniul de activitate in care se utilizeaza riscul, sistemul de management al riscului, expertiza si atitudinea fata de risc a echipei de evaluare, comportamentul prioritar proactiv sau reactiv fata de risc, procesul de adaptare a deciziilor care au la baza analiza de risc,prioritizarea riscului si costurile tratarii acestora.

Estimarea probabilitatii, posibilitatii sau frecventei de producere a riscului este o actiune profesionala cu importanta deosebita asupra determinarii riscului.Alegerea unuia din cei trei parametrii se realizeaza in functie de modelul de formalizare a determinarii riscului, dar si fata de sursele si informatiile aflate la dispozitie sau de posibilitatile de masurare ori timpul aflat la dispozitie.

Decizia asupra alegerii parametrului apartine echipei de determinare a riscului, ca o masura pur tehnica, profesionala, si se poate desfasura conform.

Utilizarea probabilitatii ca parametru de determinare a riscului pare a fi cea mai raspandita si cea mai adecvata pentru categoriiile de risc economic, tehnic, social, avand corespondenta directa cu guvernarea variabilitatilor si a mecanismelor de reactie, cu metodele de comparare a nivelurilor de risc cu cele stabilite prin standarde sau strategii, fiind mai usor de calculat si reprezentat.

De asemenea, utilizarea probabilitatii asigura si o transformare relativ directa intre reperezentarile calitative sau cantitatve, dand si posibilitatea folosirii unor functii de distributie (normala, triunghiulara, beta etc).

Adecvate utilizarii probabilitatii sunt si metodele statice ori expertizele izomorfice si autoizomorfice, dar si observatiile directe sau indirecte, obiective (calculate) sau subiective (atribuite).

Determinarea probabilitatii este totusi o metoda mai apropiata de modelarea matematica a devenirii fenomenelor matematice, deci mai complicata si mai costisitoare, dar permite, datorita posibilitatilor multiple de reprezentare, orientarea spre tratarea diferentiata a riscurilor.

Probabilitatea poate fi reprezentata:

calitativ - aproximativ - ( probabilitate pe scalele de 7; 5 sau 3 valori )

cantitativ - probabilitatea calculata intre 0 si 1 sau procentual (0%;100%)

prin functii de distributie (normala, triangulara, beta etc).

Pentru estimarea probabilitatii se pot utiliza o multitudine de metode, din care scoatem in evidenta:

metoda cercului (cu doua sau mai multe valori)

metoda loteriilor (licitatiei, expertizei)

metoda inaltimilor reprezentative

metoda arborelui evenimentelor

metoda arborelui erorilor

metoda raportului de sansa.

Estimarea posibilitatii producerii evenimentului caracterizat prin risc este curent utilizata in caracterizarea eveimentelor de securitate conform modelului de formalizare.

Atribuirea pentru un eveniment nedorit a unui anumit risc (o anumita valoare) este conditionata de doi factori: posibilitatea de aparitie a evenimentului nedorit si consecintele producerii acestuia.

Estimarea frecventei producerii evenimentului caracterizat prin risc se bazeaza pe observatii directe si se utilizeaza in modelele de risc forlamlizate conform conjunctiei frecventa - impact, fiind exprimata in valori absolute sau in procente ori pe scala de valori 0 - 5, utilizata pentru caracterizarea evenimentelor de securitate.

Determinarea frecventei de producere a evenimentelor nedorite se bazeaza pe studii izomorfice de evenimente sau autoizomorfice, in cazul repetarii unor evenimente in organizatie, si presupune o analiza a statisticii in domeniu, observatii atente asupra modalitatilor de producere, analiza de caz, discutii cu cei implicati, inclusiv cu faptuitorii, cu autoritatile competenete (politie, pompieri, primarii, institute meteorologice si asociatii nonguvernamentale, experti etc).

O importanta majora in stabilirea frecventei de producere a evenimentelor nedorite o are studiul mediului in care se afla organizatia, vizand natura mediului, consistenta infrastructurii, vecinatatile, schimbarile de stare economica, precum si orice alt factor de mediu, care ar putea influenta activitatea organizatiei si favoriza producerea de evenimente nedorite (plasarea intro zona inundabila sau de coasta-valuri si furtuni, ori

seismica, intrun cartier rau famat etc).

De asemenea, natura evenimentului determina, in mare masura, frecventa sa de producere (inundatiile se pot produce in anumite perioade de timp, seismele au o anumita perioada de repetabilitate, pe cand jafurile sunt aleatorii, dar furturile din magazine sau din parcare au o repetabilitate dependenta de zona in care se produc).

Estimarea impactului (consecintelor) producerii evenimentului cararacterizat prin risc reprezinta a doua actiune a evaluarii.

Drept impact sau consecinte ale evenimentului caracterizat prin risc se considera, printre altele :

castigurile sau costurile suplimentare fata de obiectivele stabilite prin decizia care produce evenimentul

castigurile sau intarzierile de timp fata de orizonturile stabilite prin obiective

cresterile sau pierderile de calitate fata de performatele stabilite prin prevederile standard, de tehnologie sau prin obiective

cresteri sau scaderi de portofoliu

cresteri sau pierderi de imagine

cresteri sau sincope in utilitatea personalului

facilitati sau distorsiuni organizationale

oportunitati sau pierderi informationale

cresteri sau scaderi de valori

castiguri sau pierderi de piata

facilitati sau blocaje financiare

variabilitati ale variabilelor sau parametrilor organizationali, functionali, sau informationali

distrugeri fizice

pierderi de personal

deteriorari informationale

blocaje procesuale sau operationale

costuri suplimentare.

Efectul pozitiv sau negativ al evenimentului schimba radical perceptia riscului si a atitudinii fata de acesta, alternativa fiind absolut definita, excluzandu se cu desavarsire efectele nule, nonatitudionale.

Actiunea de determinare a consecintelor producerii evenimentelor caracterizate prin risc reprezinta o actiune de complexa de analiza si evaluare, avand in vedere necesitatea prognozarii posibilelor castiguri sau pagube atat directe, cat si adiacente (indirecte, colaterale, si asociate).

Determinarea consecintelor trebuie realizata de catre o echipa de profesionisti (in, calitate, organizare, resurse umane, imagologie, securitate, tehnologie, finanate, marketing etc.) care trebuie sa analizeze fiecare eveniment caracterizat prin risc posibil si, in functie de intensitatea si frecventa acestuia de produceresa stabilieasca:

castigurile sau pierderile (costurile) directe:

castigurile sau pierderile financiare cauzate de producerea evenimentului (valoarea profitului obtinut sau costul bunurilor furate sau degradate)

scaderea sau cresterea primelor de asigurare pentru bunurile pentru care nu s-au platit daune, precum si a cheltuielilor deductibile cu acoperirea asigurarii

bonificatiile datorate anticiparii termenelor de livrare sau penalitatile contractuale cauzate de nerespectarea termenelor de livrare sau de prestare a serviciilor

castigurile obtinute prin valorificarea oportunitatilor procesuale, organizatorice sau de integrare

cheltuielile cauzate de inlaturarea efectelor producerii evenimentelor nedorite si de restabilire a starii de normalitate (inlaturarea elementelor degradate si restabilirea - repararea imobilelor sau echipamentelor avariate, costurile de spitalizare a personalului accidentat si pentru repunerea in functiune a utilajelor ori a liniilor tehnologice de productie)

castigurile obtinute in urma tehnologizarii proceselor

cheltuielile cauzate de modernizarea sau readaptarea masurilor si mecanismelor de securitate si de securitatea muncii (extinderea sau modernizarea mecanismelor de securitate, achizitionarea de noi echipamente pentru securitatea muncii, marirea numarului personalului de paza sau de supraveghere)

castigurile obtinute prin operationalizarea managementului organizatiei sau cheltuielile pentru operationalizarea managmentului general, de productie, de securitate si pentru normalizarea situatiei de functionalitate a organizatiei dupa producerea evenimentului nedorit

castigurile datorate integrarii eficiente in mediu sau cheltuielile pentru sau cheltuielile pentru restabilirea integrarii in mediu, reluarii legaturilor cu colaboratorii, furnizorii si clientii, precum si pentru refacerea climatului de comunicare

castigurile sau pirederile (costurile) indirecte:

castigurile datorate perceptiei pozitive sau costurile cauzate de perceptia negativa a imaginii organizatiei (securitatea sau insecuritatea generala si/sau tehnologica, incadrarea sau neincadrarea in capacitatea de respectare a angajamentelor contractuale).

castigurile datorate cresterii operationalitatii sau pierderile cauzate de micsorarea nivelului acesteia, descresterea potentialului reactiv si proactiv al organizatiei.

castigurile obtinute prin consolidarea segementului de piata sau costurile readaptarii si ale recastigarii acesteia, cel putin la performantele dinaintea producerii evenimentului nedorit.

castigurile obtinute prin evitarea producerii altor evenimente nedorite sau lipsa acoperirilor asigurarii producerii acestora cauzata de marirea nivelului de risc al bunurilor asigurate.

castigurile obtinute prin readaptarea si profesionalizarea personalului sau costurile refacerii moralului angajatilor, intensificarii si largirii pregatirii acestora ale exercitiilor de protectie, ale restrictionarii deplasarilor si chiar ale initiativei.

Castigurile sau pierderile se comensureaza sub forma de valori absolute sau relative (procente, diferente) pentru fiecare intensitate sau frecventa de producere a evenimentelor caracterizate prin risc sau pentru diferite dimensiuni sau limite ale acestora.

Este de preferat ca marimile castigurilor sau pierderilor sa fie exprimate in aceeasi unitate de masura, folosindu-se fie valori absolute, fie relative.

Dupa determinarea elementelor sau factorilor care modeleaza riscul, calculul sau determinarea prin aprecieri (pe scale calitative) a parametrilor riscurilor (niveluri, amplitudini si abateri) se realizeaza pe baza modelelor agreate de echipa de determinare.

De pilda, daca modelul ales este formalizat prin R = p * I (probabilitatea in conjunctie cu impactul), riscul se obtine prin inmultirea valorilor probabilitatilor cu valorile impactului sau consecintelor daca R = p * C.

Daca modelul este R = P * I, atunci se utilizeaza in conjunctie posibilitatea cu impactul, iar daca modelul este R = F * I, atunci in conjunctie se introduce frecventa. Daca modelul ales este R = O ∩ C (oportunitatea in conjunctie cu capabilitatatea)sau R = A ∩ V (amenintarea in conjunctie cu vulnerabilitatea) se determina intai nivelurile de oportunitate, capabilitate, amenintare sau vulnerabilitate si apoi se detemina nivelurile de risc. Amplitudinile si abaterile riscului se calculeaza in raport cu nivelurile de risc si, numai in cazuri particulare sau care impun acest lucru, se determina si amplitudinile si abaterile factorilor de risc cu conotatii pozitive sau negative.

Stabilirea modalitatii de reprezentare a riscurilor constituie nu numai o problema de imagine, fiind legata direct si de:

modelele si metodele de determinare a riscurilor (calitative, cantitative, variatii, cu probabilitati, posibilitati sau frecvente, pe scale absolute, procentuale sau zecimale, pe histograme, diagrame etc.)

obiectivele interpretarii riscului si legatura cu strategia de exploatare sau reducere a riscurilor

schemele de nominalizare si prioritizare a riscurilor

configuratia listelor de reprezentare

structurile Planurilor de contingenta si de management al riscului

compromisul intre perceperea intuitiva a riscurilor si analiza strict matematica.

Evaluarea ca etapa a determinarii riscurilor se incheie prin finalizarea listei riscurilor completata cu parametrii sau caracteristicile acestora.

Dupa completare, lista riscurilor se compara cu obiectivele stabilite pentru determinarea riscurilor. Daca lista completata corespunde, se trece la faza determinarii finale, iar daca nu corespunde, se reia procesul identificarii si evaluarii de la oricare actiune considerata ca poate imbunatati rezultatele.

4.3. FINALIZAREA DETERMINARII RISCURILOR

Faza finalizarii determinarii riscurilor cuprinde patru actiuni:

nominalizarea (denumirea, stabilirea titlurilor) riscurilor

stabilirea locurilor de actiune a riscurilor, a parametrilor, sau performantelor pe care acestea le afecteaza

prioritizarea riscurilor prin ierarhizarea acestora dupa nivelul de risc sau dupa oricare alt criteriu care faciliteaza exploatarea sau protectia diferentiata

stabilirea atitudinii fata de risc: care riscuri se transfera (se asigura), care se trateaza (exploateaza, valorifica, atenueaza, combat) si care se neglijeaza (nu se iau in consideratie sau se tin sub observatie fara a se initia masuri fata de acestea).

Stabilirea nominalizarii (denumirilor) riscurilor sau a titlurilor acestora, desi pare o actiune mai putin tehnica, reprezinta o actiune de analiza si sinteza si este realizata, de obicei, de specialistii cei mai buni ai echipei de determinare.

Relevanta denumirilor sau titlurilor riscurilor este direct legata de stabilirea criteriilor de prioritizare si a masurilor de exploatare sau tratare a riscurilor.

Denumirea initiala a riscurilor are in vedere, de regula, denumirile oportunitatilor sau amenintarilor ori a capabilitatilor sau vulenerabilitatilor. La stabilirea denumirilor sau titlurilor riscurilor se mai asociaza, de asemenea, denumirile si titlurile locurilor de actiune a riscurilor sau efectele pozitive sau negative ale acestora, ignorandu-se definirea riscului ca indicator, masura, valoare sau utilitate si conotatia pozitiva sau negativa a acestora. De cele mai multe ori asociatiile sunt orientate catre conotatiile negative, de tipul:

• riscul financiar al proiectului
• pierderea segmentului de piata
• riscul de accidente
• riscul infractional
• riscul tehnic.

Aceste denumiri sunt generale, adecvate unor categorii de risc, dar nu pot fi asociate direct nici cu modelele de determinare si nici cu masurile de exploatare sau tratare a riscului.

Pentru a intelege ambiguitatea din denumirile generale ale riscurilor, vom analiza aspectul riscului care caracterizeaza un accident.

Denumirea riscului de accident este dedusa din amenintarea pericolului de accident care se poate transforma in accident doar in conditiile in care amenintarea este favorizata de vulnerabilitati tehnice sau organizatorice: nerespectarea tehnologiei de lucru, nerespectarea procedurilor operationale, lipsa de pregatire sau lipsa de educatie in domeniul securitatii muncii. Deci riscurile care trebuie gestionate in acest domeniu se refera la aspecte concrete, nu la accidente in general, masurabile: riscul pierderii de vieti omenesti, riscul intoxicarii cu , riscul distrugerii utilajului, riscul blocarii liniei de montaj, riscul depasirii timpului tehnologic.

Un alt exemplu in privinta stabilirii denumirilor sau titlurilor riscurilor este cel referitor la pierderea imaginii unei organizatii.

Amenintarea pierderii imaginii este o preocupare majora a organizatiilor, dar aceasta este direct asociata riscului de imagine.

Prin riscul de imagine intelegem insa riscurile cauzate de pierdera imaginii si care se refera la: scaderea profitului, blocarea comunicarii cu partenerii, cresterea dobanzilor, pierderea surselor de creditare, pierderea clientilor etc.

Dupa stabilirea denumirilor si titlurilor se determina locurile, valorile, informatiile, persoanele si parametrii care sunt caracterizati prin risc si se completeaza lista riscurilor.

Aceasta actiune este mai facila, avand in vedere, ca de foarte multe ori, se pleaca la identificarea riscurilor de la valorile afectate. De stabilirea precisa a elementelor afectate de risc depinde in cea mai mare masura eficienta exploatarii sau tratarii riscurilor. Se completeaza lista riscurilor cu aceste elemente si se trece la actiunea stabilirii masurilor de exploatare si tratare a riscurilor.

Actiunea de prioritizare a riscurilor se refera la reprezentarea acestora in lista, in ordinea marimii nivelurilor de risc si la categorisirea acestora conform celor cinci trepte ale scalei valorilor de risc: dezastruos, major, mediu, mic, neglijabil.

In afara criteriului marimii valorilor nivelurilor de risc, pot fi utilizate si alte criterii de prioritizare, ca: marimea probabilitatii, posibilitati sau frecventei de producere, vulnerabilitatea elementelor afectate, prioritatea investitiilor, cerintele operationale, diferite interese majore sau disponibilitati normative sau monetare.

Prioritizarea dupa alte criterii decat marimea nivelului de risc imparte riscurile in mai multe categorii, dar in interiorul acestor categorii se poate aplica criteriul ierarhiei dupa nivelurile de risc. La doua niveluri de risc egale, departajarea se face dupa amplitudine sau abatere ori dupa un alt criteriu.

Prioritizarea riscurilor se incheie cu codificarea acestora, care permite operarea mai usoara in grile sau matrice, chiar si, in planuri, cu categorii de risc identificate.

Codificarea poate fi formata din grupe de la 2 la 3 cifre sau litere si cifre avand, de regula, urmatoarele semnificatii: apartenenta la categoria de risc,ordinea de prioritate, elementele afectate, atitudinea fata de riscul respectiv sau sansa de exploatare ori tolerare a acestuia conotatia pozitiva sau negativa.

Stabilirea actiunii fata de fiecare risc se pune de acord cu Planurile de contingenta si de management al riscurilor si tine direct de natura riscurilor si de elementele afectate. Masurile sunt organizatorice, tehnice, educationale sau de securitate si se concretizeaza prin actiuni adecvate de exploatare si tratare a fiecarui risc determinat.

Stabilirea unor masuri, in general, nu este eficienta, iar costurile de exploatare si tratare a riscurilor nu sunt deloc neglijabile.

Finalizarea actiunii de determinare a riscurilor se realizeaza prin definitivarea listei (grilei, matricei) riscurilor prioritizate si a atitudinii fata de acestea.

INSTITUTIA: MINISTERUL EDUCATIEI SI CERCETARII

COMPARTIMENTUL DE AUDIT PUBLIC INTERN

LISTA CENTRALIZATOARE A OBIECTELOR AUDITABILE SI ANALIZA DE RISC AFERENTA ACESTORA

Denumirea misiunii de audit: Inventarierea patrimoniului aferenta anului 2008

Perioada auditata: 01.01.2008-31.12.2008

LEGENDA:

Aprecierea controlului intern:

• control intern corespunzator - nivel 1
• control intern insuficient - nivel 2
• control intern cu lipsuri grave - nivel 3

Aprecierea cantitativa:

• impact financiar slab - nivel 1
• impact financiar mediu - nivel 2
• impact financiar important - nivel 3

Aprecierea calitativa:

• vulnerabilitate redusa - nivel 1
• vulnerabilitate medie - nivel 2
• vulnerabilitate mare - nivel 3

Auditorii au apreciat faptul ca ponderea criteriilor de analiza a riscului este urmatoarea:

• aprecierea controlului intern .. 50%;
• aprecierea cantitativa (impact financiar) .. 30%;
• aprecierea calitativa (vulnerabilitate) 20%.

In acest context, daca mediul de control intern din cadrul organizatiei este unul format, puternic acest lucru conduce la obtinerea de catre auditori a unei asigurari de 50% privind acest mediu. Totodata in cadrul acestui mediu de control puternic, auditorii pot obtine o asigurare de 30% respectiv 20% privind impactul operatiilor financiare si vulnerabilitatea entitatii.

In urma calcularii punctajelor totale au rezultat urmatoarele clase de risc cu punctajele aferente:

RISC PUNCTAJ

• MIC: 1.0 - 1.9
• MEDIU: 2.0 - 2.4
• MARE: 2.5 - 3.0

Nota

Nivelul riscurilor a fost evaluat pe baza ghidului de evaluare prezentat mai jos:

BIBLIOGRAFIE:

GHEORGHE ILIE - Securitatea mediului de afaceri, Editura UTI Press, Bucuresti, 2006

GHEORGHE ILIE, TIBERIU URDAREANU - Securitatea deplina, Editura UTI, Bucuresti, 2001