Strategia zarządzania ryzykiem

Wprowadzenie

W dniu 25 września 2018 r. Zarząd PKP CARGO S.A. przyjął Uchwałę Nr 324/2018 w sprawie wprowadzenia do stosowania Polityki zarządzania ryzykiem w PKP CARGO S.A. Zmiany w Uchwale miały na celu mocniejsze powiązanie poziomu ryzyka ze środkami finansowymi, przeznaczanymi na jego obniżenie, w szczególności w obszarze inwestycji.

Biuro Bezpieczeństwa i Audytu zostało zobowiązane do sprawowania nadzoru nad wdrożeniem i realizacją postanowień Polityki. Jego odpowiedzialnością jest zidentyfikowanie ryzyk pojawiających się w jego obszarze zarządzania, przeanalizowanie ich i dokonanie oceny, a następnie porównanie z oczekiwanym wynikiem.

Podmioty uczestniczące

Proces zarządzania ryzykiem przenika przez cała organizację i każdy, w miarę swoich możliwości zarządza ryzykiem. Poszczególne role jednak zmieniają się wraz z hierarchią w Spółce.

Komitet Audytu Rady Nadzorczej. Jest to komitet Rady Nadzorczej PKP CARGO, którego podstawowym zadaniem jest badanie prawidłowości i efektywności wykonywania wewnętrznych kontroli finansowych w Spółce i Grupie Kapitałowej Spółki, a także monitorowanie skuteczności systemów kontroli wewnętrznej, audytu wewnętrznego oraz zarządzania ryzykiem. Komitet Audytu Rady Nadzorczej dokonuje oceny systemu zarządzania ryzykiem.

Zarząd PKP CARGO S.A. odpowiada za zarządzanie ryzykiem w oparciu o przyjęta Strategię, a przede wszystkim wyznacza kierunki rozwoju Spółki oraz podejmuje decyzje dotyczące planów postępowania z ryzykiem.

Właściciel ryzyka. Dyrektor Zakładu bądź Biura Centrali Spółki, odpowiedzialny za zarządzanie ryzykiem w podlegającym mu obszarze. Jego odpowiedzialnością jest zidentyfikowanie ryzyk pojawiających się w jego obszarze zarządzania, przeanalizowanie ich i dokonanie oceny, a następnie porównanie z oczekiwanym wynikiem. W zależności od uzyskanych wyników porównania, podejmowane są różne działania zmierzające bądź do zachowania status quo bądź do zmniejszenia poziomu ryzyka.

Pracownicy PKP CARGO SA są zobowiązani do przestrzegania postanowień Polityki w zakresie swoich kompetencji.

W Polityce wyznaczony został Lider Ryzyka – osoba, której zadaniem jest koordynowanie wszystkich spraw związanych z zarządzaniem ryzykiem. Gromadzenie informacji, ich analiza i raportowanie Zarządowi i Komitetowi Audytu Rady Nadzorczej.

Walidacja ryzyka

Ryzyka, które z punktu widzenia kierownictwa Spółki są szczególnie istotne, poddane zostały szczególnemu monitoringowi. W odniesieniu do ryzyk wskazanych przez Członków Zarządu zaprojektowane zostały wskaźniki, które obrazują poziom ryzyka. Obecnie monitorowane są 24 wskaźniki. Raz w miesiącu Zarząd PKP CARGO otrzymuje raport, w którym wskazane są poziomy wskaźników (neutralny, alarmowy i katastroficzny), tendencja panująca w danym wskaźniku oraz informacja na temat przyczyn zaistniałych odchyleń oraz działań podejmowanych przez właścicieli ryzyka w związku z odchyleniami.

Wskaźniki w większości przypadków mają charakter ilościowy i przestawiają informację, która jest weryfikowalna i bez ponoszenia nadmiernych kosztów wygenerowana z systemów informatycznych PKP CARGO S.A.

Zarząd PKP CARGO ma możliwość zmiany monitorowanych wskaźników w zależności od swoich potrzeb informacyjnych.

Przebieg procesu

Polityka została opracowana w oparciu o postanowienia normy ISO 31000 „Zarządzanie ryzykiem”.

Proces oceny ryzyka odbywa się co najmniej raz w roku, w ramach prowadzonej samooceny. W jej trakcie właściciele ryzyk identyfikują ryzyka w swoim obszarze oraz aktywa informacyjne, w odniesieniu do ryzyk związanych z bezpieczeństwem informacji oraz planują działania zmierzające do obniżenia poziomu ryzyka w przypadku, gdy poziom ryzyka jest nieakceptowalny. W przypadku, gdy zaistnieją okoliczności istotnie wpływające na poziom ryzyka, właściciel ryzyka powinien dokonać samooceny przed upływem roku.

Proces oceny odbywa się w trzech etapach: rozpoczyna się identyfikacją ryzyka, następnie ryzyko jest analizowane, a otrzymane wyniki porównywane są z oczekiwaniami i od tego zależy dalsze postępowanie z ryzykiem. Ryzyko może zostać zaakceptowane lub właściciel ryzyka przygotowuje Plan postępowania z ryzykiem. W przypadku, gdy Plan Postępowania z Ryzykiem zakłada konieczność dokonania inwestycji, numer ryzyka z rejestru jest przywoływany we wniosku inwestycyjnym.

W odniesieniu do ryzyk związanych z bezpieczeństwem informacji, w odniesieniu do aktywów, które zostały przez właścicieli uznane za krytyczne - tworzy się „Plany ciągłości działania”. Właściciel aktywa jest odpowiedzialny za utrzymanie, aktualizację i testowanie Planu.

Cykliczność procesu zakłada jego ciągłe zmiany mające na celu doskonalenie.

Matryca ryzyka zawiera skwantyfikowane ryzyko będące iloczynem wartości prawdopodobieństwa wystąpienia ryzyka oraz wartości następstw oddziaływania ryzyka. Szczegółowe wyjaśnienia i opis metodologii pomiaru ryzyka zawierają tabele poniżej.

Opis ryzyka