Ustawa z 27 sierpnia 2009 roku o finansach publicznych wprowadza pojęcie kontroli zarządczej. Według definicji ustawowej kontrolę zarządczą w jednostkach sektora finansów publicznych stanowi ogół działań podejmowanych dla zapewnienia realizacji celów i zadań w sposób zgodny z prawem, efektywny, oszczędny i terminowy.

Celem takiej kontroli jest zapewnienie w szczególności:

1) zgodności działań z przepisami prawa oraz procedurami wewnętrznymi,

2) skuteczności i efektywności działania,

3) wiarygodności sprawozdań,

4) ochrony zasobów,

5) przestrzegania i promowania zasad etycznego postępowania,

6) efektywności i skuteczności przepływu informacji,

7) zarządzania ryzykiem.

Zapewnienie prawidłowego funkcjonowania adekwatnej, skutecznej i efektywnej kontroli zarządczej należy do obowiązków Dyrektora Szpitala. W systemie tym Główny Księgowy odpowiedzialny jest za wstępną kontrolę zgodności operacji finansowych i gospodarczych z planem finansowym oraz kompletność i rzetelność dokumentów dotyczących tych operacji.

Na podstawie art. 69 ust. 3 oraz art. 71 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. Nr 157, poz. 1240), Minister Finansów w załączniku do komunikatu nr 23 z dnia 16 grudnia 2009 r. określił standardy kontroli zarządczej dla sektora finansów publicznych. Celem standardów jest promowanie wdrażania w sektorze finansów publicznych spójnego i jednolitego modelu kontroli zarządczej zgodnego z międzynarodowymi standardami w tym zakresie, z uwzględnieniem specyficznych zadań Szpitala, który je wdraża i warunków, w których Szpital działa.

Opublikowane standardy przedstawione zostały w pięciu grupach odpowiadających poszczególnym elementom kontroli zarządczej:

1. Środowisko wewnętrzne,
2. Cele i zarządzanie ryzykiem,
3. Mechanizmy kontrolne,
4. Informacja i komunikacja,
5. Monitorowanie i ocena.

1) Przestrzeganie wartości etycznych

a) osoby zarządzające i pracownicy powinni być świadomi wartości etycznych przyjętych w Szpitalu i przestrzegać ich przy wykonywaniu powierzonych zadań,

b) osoby zarządzające powinny wspierać i promować przestrzeganie wartości etycznych dając dobry przykład codziennym postępowaniem i podejmowanymi decyzjami,

c) Dyrekcja Szpitala przez swoje codzienne zachowanie musi wyznaczyć wzorce postępowania w Szpitalu. Obok wprowadzenia klimatu akceptacji dla zachowań etycznych należy wprowadzić mechanizmy eliminowania zachowań nieetycznych. (np. kodeks etyki).

Realizacja standardu:

– przestrzeganie Kodeksu Etyki,

– szkolenia pracowników z zakresu kontroli zarządczej,

– obowiązują procedury przeciwdziałania korupcji, mobbingowi.

2) Kompetencje zawodowe 

Należy zadbać, aby osoby zarządzające i pracownicy posiadali wiedzę, umiejętności i doświadczenie pozwalające skutecznie i efektywnie wypełnić powierzone zadania. Proces zatrudnienia powinien być prowadzony w sposób zapewniający wybór najlepszego kandydata na dane stanowisko pracy. Należy także zapewnić rozwój kompetencji zawodowych pracowników i osób zarządzających. Elementem wzmacniającym kontrolę zarządczą jest posiadanie w Szpitalu wykwalifikowanych pracowników, potrafiących podejmować samodzielne decyzje na odpowiednim poziomie uprawnień. Nabór takich pracowników powinien być oparty o jasno sformułowane kryteria.

Realizacja standardu:

– szkolenia, roczne plany szkoleń,

– odpowiednie procedury naboru pracowników,

– okresowa ocena pracownika.

3) Struktura organizacyjna 

Struktura organizacyjna Szpitala powinna być dostosowana do aktualnych celów i zadań. Zakres zadań, uprawnień i odpowiedzialności Szpitala, poszczególnych komórek organizacyjnych oraz zakres podległości pracowników powinien być określony w formie pisemnej w sposób przejrzysty i spójny. Aktualny zakres obowiązków, uprawnień i odpowiedzialności powinien być określony dla każdego pracownika.

Realizacja standardu:

– aktualny regulamin organizacyjny Szpitala,

– aktualna struktura organizacyjna Szpitala,

– zakresy obowiązków pracowników.

4) Delegowanie uprawnień 

Należy precyzyjnie określić zakres uprawnień delegowanych poszczególnym osobom zarządzającym lub pracownikom. Zakres delegowanych uprawnień powinien być odpowiedni do wagi podejmowanych decyzji, stopnia ich skomplikowania i ryzyka z nimi związanego. Zaleca się delegowanie uprawnień do podejmowania decyzji, zwłaszcza tych o bieżącym charakterze.

Realizacja standardu:

– system pełnomocnictw, elektroniczna rejestracja wydanych pełnomocnictw,

– sprawny system decyzyjny.

Zarządzanie ryzykiem ma na celu zwiększenie prawdopodobieństwa osiągnięcia celów i realizacji zadań. Proces ten powinien być dokumentowany.

1) Misja 

Elementem niezbędnym do właściwego zorganizowania kontroli zarządczej jest wcześniejsze wyznaczenie misji Szpitala. Wyznaczenie misji jest także punktem wyjścia do zarządzania ryzykiem. Należy rozważyć możliwość wskazania celu istnienia Szpitala w postaci krótkiego i syntetycznego opisu misji.

Jak realizujemy standard:

– określona jest misja Szpitala, znana wszystkim pracownikom.

2) Określenie celów i zadań, monitorowanie i ocena ich realizacji 

a) cele i zadania należy określić jasno i w co najmniej rocznej perspektywie. Ich wykonanie należy monitorować za pomocą wyznaczonych mierników,

b) w jednostce nadrzędnej lub nadzorującej należy zapewnić odpowiedni system monitorowania realizacji celów i zadań przez komórki podległe i nadzorowane,

c) zaleca się przeprowadzenie oceny realizacji celów i zadań pod względem oszczędności, efektywności i skuteczności,

d) należy zadbać, aby określając cele i zadania wskazać także komórki organizacyjne lub osoby odpowiedzialne bezpośrednio za ich wykonanie oraz zasoby przeznaczone do ich realizacji.

Jeśli misją określimy podstawowe cele funkcjonowania jednostki to zadaniem możemy określić wydzielony obszar działalności Szpitala służący realizacji tej misji. Dla realizacji każdej misji Dyrektor Szpitala powinien wyznaczyć zadania szczegółowe oraz mierniki pozwalające na ocenę stopnia ich realizacji. W celu wprowadzenia właściwego systemu kontroli zarządczej każde zadanie należy krótko scharakteryzować, wskazać mierniki jego osiągnięcia i komórkę lub komórki je realizujące.

Realizacja standardu:

– roczny plan finansowy, który określa cele i zadania,

– ocena stopnia osiągnięcia założonych mierników,

– sprawozdawczość z osiągnięcia założonych celów.

3) Identyfikacja ryzyka 

a) nie rzadziej niż raz w roku należy dokonać identyfikacji ryzyka w odniesieniu do celów i zadań,

b) w przypadku istotnej zmiany warunków, w których funkcjonuje Szpital należy dokonać ponownej identyfikacji ryzyka.

Dyrektor Szpitala powinien identyfikować wszystkie zagrożenia związane z realizacją celów Szpitala. Bardzo ważna jest identyfikacja ryzyka dotyczącego systemów informatycznych, gdyż ryzyko to wzrasta w skali globalnej bardzo dynamicznie wraz z rozwojem dostępu do Internetu.

Realizacja standardu:

– regularne szkolenia z zarządzania ryzykiem,

– stosowanie systemu identyfikacji ryzyk,

– regularne składanie raportów z identyfikacji ryzyk.

4) Analiza ryzyka 

Zidentyfikowane ryzyko należy poddać analizie mającej na celu określenie prawdopodobieństwa wystąpienia danego ryzyka i możliwego jego skutków. Należy określić akceptowalny poziom ryzyka.

Realizacja standardu:

– określenie najważniejszych dla danej komórki ryzyk,

– określenie prawdopodobieństwa i skutków występowania ryzyka,

– wyznaczenie właściciela ryzyka,

– poddanie analizie wybranych ryzyk w rocznym raporcie z identyfikacji ryzyka.

5) Reakcja na ryzyko 

a) w stosunku do każdego istotnego ryzyka powinno się określić rodzaj reakcji (tolerowanie, przeniesienie, wycofanie się, działanie),

b) należy określić działania, które muszą być podjęte w celu zmniejszenia danego ryzyka do akceptowanego poziomu.

Realizacja standardu:

– określenie najważniejszych dla danej komórki ryzyk,

– mechanizmy ograniczające dla najważniejszych obszarów działalności Szpitala.

Powinny one stanowić odpowiedź na konkretne ryzyka, a koszt ich wdrożenia i stosowania nie powinien być wyższy niż uzyskane dzięki nim korzyści. Mechanizmy kontroli zarządczej przyjmują postać np.: procedur, przepisów wewnętrznych, zarządzeń, instrukcji, zakresów czynności. Wszystkie mechanizmy powinny być maksymalnie proste i jasne, tak aby nie stanowiły trudności przy przestrzeganiu przez pracowników Szpitala.

1) Dokumentowanie systemu kontroli zarządczej 

a) procedury wewnętrzne, instrukcje, wytyczne, dokumenty określające zakres obowiązków, uprawnień i odpowiedzialności pracowników i inne dokumenty wewnętrzne stanowią dokumentację systemu kontroli zarządczej,

b) dokumentacja ta powinna być spójna i dostępna dla wszystkich, dla których jest niezbędna.

Obowiązujące regulaminy, wytyczne, instrukcje itp. Powinny być znane wszystkim pracownikom. Dokumenty te powinny być zgromadzone w jednym miejscu i analizowane na bieżąco w zakresie zgodności z przepisami, strukturą organizacyjną i zadaniami jednostki.

Realizacja standardu:

– prowadzenie Rejestru Zarządzeń Wewnętrznych,

– portal pracowniczy zawierający aktualne zarządzenia dostępny dla pracowników Szpitala,

– wyznaczenie właścicieli merytorycznych zarządzeń wewnętrznych,

– kontrole zarządzeń wewnętrznych w zakresie zgodności z przepisami i zadaniami Szpitala.

2) Nadzór 

Należy prowadzić nadzór nad wykonaniem zadań w celu ich oszczędnej, efektywnej i skutecznej realizacji.

Właściwy nadzór obejmuje w szczególności:

a) jasne komunikowanie obowiązków, zadań i odpowiedzialności każdemu z pracowników i systematyczną ocenę ich pracy w niezbędnym zakresie,

b) zatwierdzanie wyników pracy w decydujących momentach w celu uzyskania zapewnienia, że przebiega ona zgodnie z zamierzeniami.

Realizacja standardu:

– system wyrywkowej weryfikacji czynności pracowników,

– przestrzeganie terminów raportowania i sprawozdawczości.

3) Ciągłość działalności 

Należy zapewnić istnienie mechanizmów służących utrzymaniu ciągłości działalności Szpitala. Przede wszystkim należy podejmować odpowiednie środki, mające na celu zapewnienie, że kluczowi pracownicy nie odejdą z pracy. Należy także wdrożyć system pozwalający na zastępstwa kluczowych pracowników podczas ich nieobecności tak aby nie zakłócać ciągłości działalności Szpitala.

Realizacja standardu:

– wskazywanie osób zastępujących każdego pracownika w przypadku jego nieobecności,

– plan bezpieczeństwa informatycznego,

– stosowanie procedur postępowania w sytuacjach szczególnych,

– system przechowywania danych, gwarantujący ich nienaruszalność.

4) Ochrona zasobów 

a) należy zadbać aby dostęp do zasobów Szpitala miały wyłącznie upoważnione osoby,

b) osobom zarządzającym i pracownikom należy powierzyć odpowiedzialność za zapewnienie ochrony i właściwe wykorzystanie zasobów Szpitala. W sytuacji kiedy Szpital dysponuje wartościowym mieniem ruchomym oraz nieruchomym narażonym na szkodliwe działanie zewnętrzne, należy wdrożyć procedury ograniczające dostęp do zasobów osobom niebędącym pracownikami Szpitala. Należy także przyjąć odpowiednie mechanizmy zabezpieczania newralgicznych miejsc (serwerownia, kancelaria tajna, archiwa). Pracownicy, którym powierzono sprzęt będący własnością Szpitala powinni być uprzedzeni o zakresie ich odpowiedzialności materialnej oraz ich obowiązkach.

Realizacja standardu:

– przestrzeganie systemu obronności,

– przestrzeganie systemu ochrony przeciwpożarowej,

– zabezpieczenie techniczne pomieszczeń,

– plany awaryjne na wypadek przerw w działaniu mediów (prąd, woda, serwery),

– ochrona danych osobowych.

5) Szczegółowe mechanizmy kontroli dotyczące operacji finansowych i gospodarczych 

Powinny istnieć przynajmniej następujące mechanizmy kontroli operacji finansowych i gospodarczych:

a) rzetelne i pełne dokumentowanie i rejestrowanie operacji finansowych i gospodarczych,

b) zatwierdzanie operacji finansowych przez Dyrektora Szpitala lub osoby przez niego upoważnione,

c) podział kluczowych obowiązków dotyczących zatwierdzania, realizacji i rejestrowania operacji finansowych i gospodarczych pomiędzy różnych pracowników,

d) weryfikacja operacji gospodarczych i finansowych przed i po realizacji.

Realizacja standardu:

– instrukcja i system obiegu i kontroli dokumentów,

– polityka zasad rachunkowości,

– instrukcja kasowa,

– system upoważnień.

6) Mechanizmy kontroli dotyczące systemów informatycznych 

Należy określić mechanizmy służące zapewnieniu bezpieczeństwa danych i systemów informatycznych. Standardy kontroli zarządczej nie wskazują kierownikom szczegółowych rozwiązań w tym zakresie, ale nakładają na nich obowiązek zapewnienia bezpieczeństwa systemów informatycznych pozostawiając daleko idącą autonomię w tym zakresie.

Realizacja standardu:

– plan bezpieczeństwa informatycznego,

– stosowanie procedur postępowania w sytuacjach szczególnych.

Osoby zarządzające powinny mieć zapewniony dostęp do informacji niezbędnych do wykonywania odpowiednio swoich obowiązków. System komunikacji powinien umożliwiać przepływ potrzebnych informacji wewnątrz Szpitala, zarówno w kierunku pionowym jak i poziomym. Efektywny system komunikacji powinien zapewnić nie tylko prawidłowy przepływ informacji, ale także właściwe zrozumienie przez odbiorcę.

1) Bieżąca informacja 

a) osobom zarządzającym i pracownikom należy zapewnić, w odpowiedniej formie i czasie, właściwe i rzetelne informacje potrzebne do realizacji określonych zadań.

Realizacja standardu:

– portal pracowniczy zawierający aktualne zarządzenia dostępny dla pracowników Szpitala,

– dostęp pracowników do poczty elektronicznej,

– system Elektronicznego Zarządzania Dokumentacją (EZD),

– strony internetowe Szpitala,

– regularne spotkania z Dyrekcją.

2) Komunikacja wewnętrzna 

Należy zapewnić efektywne mechanizmy przekazywania ważnych informacji w obrębie Szpitala. W praktyce prawidłowa realizacja komunikacji wewnętrznej wymaga dostarczenia komórce organizacyjnej i pracownikom informacji i dokumentów niezbędnych do właściwego wykonania powierzonych zadań. Szczegółowy nacisk należy położyć na taki obieg dokumentów, który umożliwia komórkom finansowo-księgowym bieżące ewidencjonowanie operacji gospodarczych.

Realizacja standardu:

– portal pracowniczy zawierający aktualne zarządzenia dostępny dla pracowników Szpitala,

– dostęp pracowników do poczty elektronicznej,

– system Elektronicznego Zarządzania Dokumentacją (EZD),

– strony internetowe Szpitala,

– regularne spotkania z Dyrekcją.

3) Komunikacja zewnętrzna 

Należy zapewnić efektywny system wymiany ważnych informacji z podmiotami zewnętrznymi mającymi wpływ na osiąganie celów i realizację zadań. W tym celu należy określić:

a) źródła informacji zewnętrznych, niezbędnych do funkcjonowania Szpitala i realizacji jej celów,

b) miejsca docelowe, do których powinny trafić informacje będące w posiadaniu Szpitala,

c) kanały przepływu informacji do i z Szpitala.

Realizacja standardu:

– Instrukcja Kancelaryjna,

– określone zasady kontaktowania się z podmiotami zewnętrznymi.

System kontroli zarządczej powinien podlegać bieżącemu monitorowaniu i ocenie. Prowadzi to do sprawdzenia skuteczności systemu kontroli zarządczej przy czym różni się sposobem realizacji. Monitorowanie ma charakter ciągły, mniej sformalizowany. Ocena – samoocena ma natomiast charakter odrębnych mechanizmów i procedur przeprowadzanych planowo w celu ustalenia efektywności kontroli zarządczej.

1) Monitorowanie systemu kontroli zarządczej 

Należy monitorować skuteczność poszczególnych elementów systemu kontroli zarządczej, co umożliwi bieżące rozwiązywanie zidentyfikowanych problemów.

Realizacja standardu:

– kontrole w zakresie realizowanych zadań i posiadanych kompetencji.

2) Samoocena 

a) zaleca się przeprowadzanie co najmniej raz w roku samooceny kontroli zarządczej przez osoby zarządzające i pracowników Szpitala.

b) samoocena powinna być ujęta w ramy procesu odrębnego od bieżącej działalności i udokumentowana. Samoocena systemu kontroli zarządczej wymaga wprowadzenia mechanizmów i procedur (monitorujących) weryfikujących skuteczność funkcjonowania innych mechanizmów i procedur (podstawowych). Należy opracować plan samooceny systemu kontroli zarządczej, wskazując w nim, które procesy, w jakim czasie, przez kogo i za pomocą jakich mechanizmów będą oceniane.

Realizacja standardu:

– kontrola we wszystkich fazach działalności w formie kwestionariusza.

3) Audyt wewnętrzny/kontrola wewnętrzna 

W przypadkach i na warunkach określonych w ustawie audytor wewnętrzny prowadzi obiektywną i niezależną ocenę kontroli zarządczej.

Realizacja standardu:

– kontrole poprawności realizacji zadań wykonywanych przez poszczególne komórki organizacyjne.

4) Uzyskanie zapewnienia o stanie kontroli zarządczej 

Źródłem uzyskania zapewnienia o stanie kontroli zarządczej przez Dyrektora Szpitala powinny być w szczególności wyniki: monitorowania, samooceny oraz prowadzonych audytów i kontroli. Zaleca się coroczne potwierdzanie uzyskania powyższego zapewnienia w formie oświadczenia o stanie kontroli zarządczej za poprzedni rok.

Realizacja standardu:

– ocena funkcjonowania systemu kontroli zarządczej poprzez oświadczenie o stanie kontroli zarządczej.