Riskide juhtimine

KÄSKKIRI Tallinn 24.07.2024 nr 1-8/27 Riskide juhtimine Käskkiri kehtestatakse tuginedes Tallinna Tehnikaülikooli põhikirja § 11 punktile 11. 1. Riskide juhtimisel Tallinna Tehnikaülikoolis (edaspidi ülikool) lähtutakse üldistest juhtimise headest tavadest ja riskijuhtimise tunnustatud põhimõtetest. 2. Kinnitan ülikooli riskimaatriksi, millesse on koondatud strateegilised ja valdkondlikud riskid. Igale riskile on määratud omanik, kelle ülesanne on tagada riski maandamine ja planeeritud maandamistegevuste elluviimine, koos määratud vastutajatega (Lisa 1). 3. Kinnitan ülikooli riskimaatriksi maandatud ja konsolideeritud riskide osa ja määran need jälgimise alla (Lisa 2). 4. Uuendan riskide juhtimise protsessiskeemi interaktiivses käsiraamatus. 5. Iga struktuuriüksuse juht (sh. dekaan, direktor, tugistruktuuriüksuse juhataja) kaardistab oma üksuse ja valdkonna riskid vähemalt kord kahe aasta jooksul, planeerib maandamistegevused ning seirab neid. Juhul, kui valdkondlikku riski ei ole võimalik maandada struktuuriüksuse tasemel, teavitab ta sellest kvaliteedijuhti. 6. Riskide tuvastamise, kaardistamise ja maandamistegevuste rakendamise eest vastutab riskide juhtimise protsessis kirjeldatud riski omanik. Omanik hindab riski mõju ja esinemise tõenäosust, otsustab ressursid ja maandamistegevused ning nende eest vastutajad, sh. lepib kokku vastutajad ja maandamistegevused ka väljaspool enda vastutusala, kui need on vajalikud riski antud maandamiseks. 7. Rektoraadi strateegiabüroo: 7.1 koostab riskimaatriksi, kuhu kantakse ülikooli strateegilised ja valdkondlikud riskid vähemalt kord kahe aasta jooksul; 7.2 koordineerib üle-ülikooliliste riskide kalibreerimise ja maandamistegevuste planeerimise vastavalt riskide juhtimise protsessile ja esitab need rektorile kinnitamiseks; 7.3 seirab kord aastas kõrge skooriga ja üle-ülikoolilisi riske aastaseire raames; 7.4 annab soovitusi ja juhiseid riski omanikele riskide analüüsimisel, nende ühtlaseks kirjeldamiseks ja nende maandamiseks. 8. Ülikooli riskimaatriks ja riskide juhtimisega seonduv informatsioon avaldatakse ülikooli siseveebis (üldjuhtimine -> riskide juhtimine). 9. Kinnitan seletuskirja, mis on käesoleva käskkirja lahutamatu osa (Lisa 3). 10. Tunnistan kehtetuks rektori 18.10.2022 käskkirja nr 52 „Riskide juhtimine“. 11. Käskkiri jõustub allkirjastamisel.  2 (allkirjastatud digitaalselt) Tiit Land rektor  Seletuskiri riskide juhtimine käskkirja juurde Perioodil 2021-2022a kaardistatud ja kinnitatud TalTech riskimaatriksi riskide ja maandamistegevuste üle viidi läbi põhjalik seire ning tagasiside küsitlus kõikidelt ülikooli juhtidelt 2024 aasta alguses. 2024aasta seire käigus hinnati riskide aktuaalsust, maandamistegevuste asjakohasust, nende olekut (staatust) ning riskide hõlmatust. Küsitlusele vastasid nii akadeemilised kui ka haldus- ja tugiüksuste juhid, kokku 50 juhti. Seire aluseks võeti riskimaatriksis (kinnitatud rektori 18.10.2022 käskkirjaga nr 52) kirjeldatud 31 riski (riskid on kaardistatud 2021a). Riskide seire tulemused ja vastanud kommentaarid on koondatud siseveebi vastavale töölauale riskide juhtimise lehel (üldjuhtimine -> riskide juhtimine -> 2024a seire). Tuginedes seire tulemustele, riski omanikega valideerimistele ja juhtidele tagasisidestamist viiakse aktiivsest riskimaatriksist välja 14 riski ja lisatakse aktiivsesse riskimaatriksisse 1 risk. Aktiivsest riskimaatriksist tõstetakse välja kas maandatud, aktsepteeritud, konsolideeritud või maandatud ja aktsepteeritud jääkriskid (v a üks jääkrisk, mis on sõnastatud aktiivsesse maatriksisse juurde). Seega käesolevas käskkirjas kinnitatakse aktiivse riskimaatriksina 17 riski koos omanike, vastutavate struktuuriüksuste ning maandamistegevuste ja nende vastutajatega (vt vastavalt iga riski kohta riski kaarti (exceli tabeli lehtedel). Riskimaatriksi juures esimesel lehel on toodud juhend ja kinnitatud hindamiskriteeriumid. 1. Riskijuhtimise protsessijoonise kinnitamine – koos selgitustega Ülikooli riskijuhtimise protsessi selgitamiseks on koostatud riskijuhtimisega seotud objektide ja nendevaheliste seoste diagramm joonis 1. Riskid klassifitseeritakse maandatavaks -, aktsepteeritavaks – ja teadlikult võetavaks riskiks. Riski haldamise meetmed jagunevad riski maandavaks ja riski leevendavaks meetmeks. Eraldi käsitletakse meetmeid, mis rakenduvad, kui aktsepteeritud risk peaks realiseeruma (taasteplaan, kriisikorraldus vm tegevused endise olukorra taastamiseks). Joonisel on toodud ka riskijuhtimise ja maandamismeetmete rakendamise töövoo olekud. Joonisel 2 on kirjeldatud riskide juhtimise protsess etappidena ning vastavate loodavate väljundite (väärtustega) - selle tulemusel tekib teadmine riskisündmustest, riskide vastutajatest ja rollidest, riskide maandamistegevustest ja seotud ressurssidest ning maandamistegevuste olekutest (millises lahendamise faasis tegevused konkreetse seire hetkel on). Vt täpsemalt joonised 1 ja 2. Joonis 1. Riskijuhtimise objektid ja riskijuhtimise – ning maandamismeetme rakendamise töövoo olekud. Joonis 2. Ülikooli riskijuhtimise protsess. 1  2. Riskimaatriksi üldsätted – mõjuvaldkondade liigitus Uues riskimaatriksis on loobutud riskide jagamisest gruppidesse A, B ja C – kuna selline jaotus oli vajalik esmase (2021 aasta) riskide kaardistamise korral. Seekordne seire lähtus juba olemasolevate riskide hindamisest ning uute riskide analüüsist. Uues riskimaatriksis on riskid liigitatud mõjuvaldkonna järgi – vt Seletuskirja Lisa 1 tabelit allpool. Lisaks mõjuvaldkondade liigitusele on uues riskimaatriksis loodud igale riskile juurde ka lühinimetus, mis aitab riske paremini töödelda. 3. Üldsätted –hindamiskriteeriumi tabeli uuenemine Seire 2024 aasta läbiviimiseks on uuendatud riskide hindamiskriteeriumite tabelit (vt seletuskirja Lisa 2). Hindamiskriteeriumite tabeli puhul on kirjeldatud rohkem lahti „mõju/tagajärg“ kriteeriumeid ja loodud seosed taastemeetmete ressurssidega ning vaadatud üle „tõenäosuse“ kirjeldused. Täiendavalt on toodud juurde ka infotehnoloogia ja kinnisvara valdkonna riskide hindamiseks vajalikud selgitused ning erisused. Kiirema ülevaate saamiseks hindamiskriteeriumidest on loodud juurde ka hindamiskriteeriumi tabelist lihtsustatud dimensioonitabel ehk riskide hindamiskriteeriume selgitav abitabel (vt seletuskirja Lisa 3). 4. Riskimaatriksist eemaldatavad riskid 2024 aasta seire tulemusena on saadud nimekiri riskidest, mis tõstetakse aktiivsest riskimaatriksist välja, kokku 15 riski. Maatriksist väljatõstetavad riskid jäävad jälgimise alla. Tabel 1. Maatriksist väljatõstetavate riskide loetelu koos maatriksist eemaldamise põhjusega Ülevaade riskimaatriksist eemaldatud riskidest Piisavalt maandatud (jääkriskini) -  RISK 2 (rahastamise läbipaistvus); 7 riski  RISK 6 (horisontaalne koostöö akad);  RISK 7 (akadeemilise karjäärisüsteemi jätkusuutlikkus);  RISK 20 (distantsõppe valmidus);  RISK 21 (krediidirisk); 2   RISK 25 (ülikooli kampuste konkurentsivõime);  RISK 30 (huvide konflikt); Jääkrisk sõnastatud uue riskina -  RISK 25 (ülikooli kampuste 1 risk konkurentsivõime - jääkriski) põhjal on sõnastatud RISK 32 (ülikooli kampuste visioon) (risk leitav uues riskimaatriksis); Põhitegevusse integreeritud -  RISK 15 (info- ja andmepoliitika); 1 risk Konsolideeritud kujul aktiivses maatriksis –  Konsolideeritud RISK 10 (Akadeemiline 7 riski järelkasv) alla o RISK 12 (Akadeemiline järelkasv), o RISK 13 (Akadeemiline järelkasv) o ja RISK 14 (Tenuuri- ja karjäärisüsteemi jätkusuutlikus);  Konsolideeritud RISK 5 (Tenuuri- ja karjäärisüsteemi jätkusuutlikus) alla o RISK 14 (Tenuuri- ja karjäärisüsteemi jätkusuutlikus);  Konsolideeritud RISK 22 (hankerisk) alla o RISK 23 (hankerisk) ja RISK 24 (hankerisk);  Konsolideeritud RISK 16 (IT toimepidevus) alla o RISK 18 (IT toimepidevus);  Konsolideeritud RISK 27 (Sisekliima ja vaimne tervis) alla o RISK 28 (Sisekliima ja vaimne tervis). 5. Riskimaatriksi riskide selgitus Uues riskimaatriksis (koostatud 2024 aasta kevadel toimunud seire tagasiside alusel) on 17 riski, milledest pooltel on uuendatud riskisõnastusi, kõikidel on valideeritud ning uuendatud maandamistegevused, mitmeid riske on konsolideeritud ja sõnastatud täpsemaks ning neljal riskil on muutunud omanikud (RISK 8 (Taristute rahastamismudel), RISK 9 (Teaduseetika), RISK 10 (akadeemiline järelkasv), RISK 31 (väline finantsrisk)). Lisaks on sõnastatud üks uus risk (RISK 32 - ülikooli kampuse visioon). Kõikide riskide skoore on valideeritud arvestades tagasiside küsitlust ning uuenenud riski sõnastust või muutunud olukorda. Küsitluse tulemused on siseveebis. Tabel 2. Ülevaade kõrgema skooriga riskidest Ülevaade kõrgema skooriga riskidest riskimaatriksis Skooriga 16 RISK 3 - Strateegiline võimekus RISK 17 - Välised küberriskid 3  RISK 32- Ülikooli kampuste visioon Skooriga 12 RISK 4 – Julgeoleku teadlikkus RISK 8 – Taristute rahastamismudel RISK 16 - IT-toimepidevuse RISK 19 - Kriisivalmidus Skooriga 10 RISK 26- Kinnisvara toimepidevus Skooriga 9 RISK 1 – Juhtimiskvaliteet ja protsesside koostoime RISK 5 – Tenuuri ja karjäärisüsteemi jätkusuutlikus RISK 10 - Akadeemiline järelkasv RISK 31 - Väline finantsrisk 4 Lisa 1. Riskide liigitus mõjuvaldkonna järgi Riski liik mõjuvaldkonna Mõjuvaldkonnas riskid Mõjuvaldkonnas riskid, mis järgi riskimaatriksis maandatud või (kevad 2024) konsolideeritud (kevad 2024 seire raames) 1.Strateegiline  RISK 3 (Strateegiline  RISK 6 konkurentsivõime ja võimekus) (Horisontaalne atraktiivsus:  RISK 8 (Taristute koostöö (akad)) Strateegilise võimekuse ja rahastusmudel) strateegilise juhtimise,  RISK 32 (Ülikooli konkurentsivõimega seotud kampuste visioon) riskid 2.Akadeemiline areng:  RISK 5 (Tenuuri- ja  RISK 7 (Tenuuri- ja Akadeemilise personali, karjäärisüsteemi karjäärisüsteemi õppekvaliteedi ja jätkusuutlikus) jätkusuutlikus) teadustegevuse  RISK 10  RISK 12 jätkusuutlikkusega seotud (Akadeemiline (Akadeemiline riskid järelkasv) järelkasv)  RISK 13 (Akadeemiline järelkasv)  RISK 14 (Tenuuri- ja karjäärisüsteemi jätkusuutlikus) 3.Maine ja usaldusväärsus:  RISK 4 (Julgeoleku  RISK 30 (Huvide Ülikooli mainet ja teadlikkus) konflikt) usaldusväärsust mõjutavad  RISK 9 (Teaduseetika) riskid  RISK 11 (Õppe- ja teaduseetika) 4.Toimepidevusriskid:  RISK 16 (IT  RISK 15 (Info- ja IT-teenuste ja kinnisvara toimepidevus) andmepoliitika) toimimisega (sh taristute  RISK 26 (Kinnisvara  RISK 18 (IT haldamisega) seotud riskid toimepidevus) toimepidevus)  RISK 20 (Distantsõppe valmidus)  RISK 25 (Ülikooli kampuste konkurentsivõime) 5.Juhtimise ja finantsriskid:  RISK 1  RISK 2 (Rahastamise Erinevad juhtimise ja (Juhtimiskvaliteet ja läbipaistvus) finantsilise mõjuga riskid, protsesside  RISK 21 (Krediidirisk) sealhulgas hangetega koostoime)  RISK 23 (Hankerisk) seotud riskid  RISK 22 (Hankerisk)  RISK 24 (Hankerisk) 6.Ohutus, turvalisus,  RISK 19  RISK 28 (Sisekliima ja sisekliima ja kriisivalmidus: (Kriisivalmidus) vaimne tervis) 5 Inimeste turvalisust ja  RISK 27 (Sisekliima ja ohutust puudutavad ning vaimne tervis) töökeskkonna,  RISK 29 (Tööohutus, psühhosotsiaalse mõju ja sh laborites) töötajate heaolu puudutavad riskid: 7. Välisriskid:  RISK 17 (Välised Kriisi, turgude, hindade, sõja küberriskid) ja küberohtude riskid  RISK 31 (Väline finantsrisk) 6 Lisa 2. Riskide hindamiskriteeriumite tabel Tõenäosus Tõenäosuse kirjeldus Kindel - 5 Sündmus/risk on varasemalt realiseerunud. See sündmus esineb peaaegu kindlalt, nt. kord aastas. Tõenäoline - 4 Sündmuse/riski toimumine on tõenäoline. Sündmus esineb sageli, nt. kord 2-3 aasta jooksul. Võimalik - 3 Sündmuse/riski toimumine on võimalik, esineb aeg-ajalt, nt. kord 4-10 aasta jooksul. Vähetõenäoline - 2 Sündmus/risk esineb harva, nt kord 10-25 aasta jooksul. Praktikas näiteid on, aga need on väga üksikud. Ebatõenäoline - 1 Riski/sündmuse toimumine on pigem teoreetiline või esineb väga harva ja erakorralistel asjaoludel, nt kord 25 aasta jooksul või harvem. Mõju/tagajärg Mõju/tagajärje kriteeriumid Kriitiline mõju - 5 1. Kriitiline või katastroofiline mõju, realiseerunud risk on ületanud pikema perioodi jooksul uudisekünnise ja omab suurt kahju ülikooli strateegilisele võimekusele ning toimepidevusele või mainele; samuti kvalifitseerub siia multikriis, mille tulemusena on ülikooli tegevus kriitiliselt häiritud, tuleb lõpetada mõni põhitegevus või valdkond. 2. Suur rahaline ja eelarveline kahju, üle 25% eelarvest (pankrot või osa ülikooli tuleb panna kinni), mis tingib suuri reorganiseerimisi. 3. Kampuse suurem osa või kõik tuleb sulgeda pikemaks ajaks kui 1 kuu, nii töö- kui õppetegevus on täielikult kaugtööna või suletud. Sündmus on ületanud uudise künnise, majad ja süsteemid on suures osas välja lülitatud ja ootereziimil. 4. IT-Teenuste puhul multikatastroof/kriis (nt serveriruumi hävimine), ulatuslik või ekstreemne küberrünne (andmekadu/leke koos lunarahanõudega vms) ja suur rahaline kahju, kus on mõjutatud kõik töötajad ja tudengid, kes võivad omada potentsiaalset puutumust /võimalikku seost. 5. Kahjude taasatmine võib kesta üle aasta, akuutse kriisi olukord kestab üle 2 nädala ja taastetegevustega ei saa varem alustada, olukord on skaleerunud üle kõikide potentsiaalsete üksuste ja kampuste, kriis võib kujutada ohtu inimeludele. 6. Ülikoolis on välja kuulutatud kriisiolukord pikemaks perioodiks kui nädal. Oluline mõju - 4 1. Oluline mõju, mille maandamistegevused mõjutavad mitmeid erinevaid valdkondi ja üksuseid, võtavad kaua aega, skaleeruvad ja võivad ületada uudise künnise, kujutades kahju ülikooli mainele, toimepidevusele ja konkurentsivõimele. 7  2. Kahjude hüvitamine ja maandamistegevuste teostamine nõuab lisaressursse, mis ületab üksuste reservid ja vajaliku eelarve, skaleerub üle-ülikooliliseks. 3. Samuti sündmus või kriis kestab kuni 1. nädal, hõlmab nii ärikriitilisi teenuseid kui elutähtsaid süsteeme (elutähtsate süsteemide puhul on võimekus 1. nädala jooksul tagada toimimine). 4. Tegemist on mitme erineva riski koosmõjuga (multikriis), on skaleerunud üle erinevate üksuste ja valdkondade, puudutab 500 töötajat või kuni 5000 kasutajat ja suurt osa ülikooli teenuseid, võib skaleeruda veel laiemalt, ületab uudise künnise ja omab riski ülikooli mainele, olukorra või maine taastamiseks ja endise olukorra saavutamine võib võtta aega kuni aasta, otsesed ja kaudsed kahjud võivad ulatuda valkonnas või ülikoolis kuni 10% eelarves, maandamistegevused hõlmavad paljusid üksuseid ning mõjutavad erinevaid valdkondi ülikoolis. Mõõdukas mõju - 3 1. Mõõdukas mõju, mis kujuneb ja kuhjub pikaajalise probleemi eiramise tulemusena ja võib tulemusena mõjutada oluliselt organisatsiooni konkurentsivõimet ja kvaliteeti. Hõlmab kuni pooli organisatsiooni üksuseid ja sündmuse tagajärgede lahendamine eeldab täiendavaid ressursse. 2. Sündmus või intsident, millest taastumine võtab aega üle nädala, osaliselt skaleerub üle üksuste (mitte kõikidesse võimalikesse, keda võiks puudutada, lokaliseeritav). 3. Samuti sündmus, mis hõlmab ärikriitilisi teenuseid ja elutähtsaid süsteeme, kaasab erinevaid üksuseid (näiteks küberrünnak, vee-, side- või elektrikatkestused, mis kestavad üle 1h, taastamine ja stabiliseerumine kestab kuni 1 kuu). 4. Taastamisega seotud kulud võivad ulatuda valdkonnas kuni 5% eelarvest, sündmus ületab uudise künnise, info on liikunud meediasse, tekitab meedia huvi ja võib tekitada mainekahju. Väike mõju - 2 1. Väike mõju, millest taastumine kiire ja eelmine olukord saavutatakse päevade (maksimaalselt nädala) jooksul st. ärikriitilised teenused taastuvad tundidega (kuni päev) ja elutähtsad süsteemid taasutuvad päevadega (kuni nädal). 2. Taastumine üldjuhul sisemiste reservide najal vastavalt kavandatud maandamis- ja taastamistegevustele, sündmuse mõju ei skaleeru valdkonnast ja üksusest välja, üksus saab oma valdkonna piires lokaliseerimise ja olukorra taastamisega hakkama, tekkivad kulud ei ületa üksuse või valdkonna eelarvest 1%. 3. Elutähtsate süsteemide taastamine on kiire ja mõju ei skaleeru. Ebaoluline mõju - 1 1. Vähene või ebaoluline mõju, millel pigem lokaalne ja valdkonna sisene ulatus, laiemat mõju ei oma. Kiiresti lokaliseeritav, ei skaleeru, aktepteeritav olukord, milleks ollakse valmis, piirdub ühe või väheste üksustega. 2. Olukord on ebameeldiv, ajutine või tülikas, lahendatakse tundide või päevaga vastavalt toimivatele, varem läbimõeldud maandamistegevustele või taasteplaanidele. 8 3. Käivituvad elutähtsatele süsteemidele rajatud UPS-sid ja generaatorid, sündmuse mõju ei skaleeru valdkonnast ja üksusest välja. 9 Lisa 3. Riskide hindamiskriteeriumite abitabel Riski Inimeste Intsidendi või Taastamise skaleerumine hõlmatus Rahaline kahju Maine Oht elule kriisi kestus kestus (ühest üksusest (töötajad ja välja) tudengid) Kõik üksused, Kõik üksused, 25% ja rohkem Pikaajaline Oht eludele 5 Üle 1 nädala Üle aasta mõju ulatub mõju ulatub eelarvest mainekahju (paljudele) asutusest välja asutusest välja 10% valdkonna/ Üle poolte 4 1 nädal ülikooli Kuni aasta Osaliselt üksuste ja /või Mainekahju Oht elule eelarvest õppekavade 5% üksuse/ Erinevad valdkonna / üksused ja /või Oht 3 Üle 1 tunni Kuu Osaliselt - ülikooli õppekavade mainekahjuks eelarvest tudengid 1% üksuse/ 2 Alla 1 tunni valdkonna Nädal Ei Üksus - - eelarvest Vähene või Üks päev - 1 Alla 1 tunni Ei Üksus - - olematu nädal 10