1

2

3

4

5

6

I

ŚRODOWISKO WEWNĘTRZNE

Część A Komunikatu Nr 23

Przestrzeganie wartości etycznych

Standard 1

1.                 

Czy wdrożono dokument zawierający kodeks etyki lub zasady etycznego postępowania?

Czy w jednostce wprowadzono zasady etycznego postępowania w formie udokumentowanej?

Czy ww. dokument przekazano do zapoznania się wszystkim pracownikom w zakresie niezbędnym do wykonywania przez nich obowiązków?

2.                

Czy określono zasady wyłączenia pracownika, w każdym przypadku wystąpienia okoliczności mogących mieć wpływ na obiektywizm przy realizacji zadań?

Czy zasady wyłączania pracownika określono w akcie wewnątrzzakładowym?

Czy wdrożono procedurę wyłączenia pracownika?

Czy jest prowadzony rejestr wyłączeń pracownika?

Czy w badanym okresie złożono skargi na niewyłącznie pracownika ze sprawy?

Czy jest prowadzony rejestr ww. skarg?

3.                 

Czy w ocenianym okresie wystąpił przypadek naruszania zasad równości i dyskryminacji wobec pracownika lub petenta?

Czy jest prowadzony rejestr zgłoszonych przypadków naruszania zasad równości i dyskryminacji wobec pracownika lub petenta?

Czy w jednostce wdrożono zasady równości i przeciwdziałania dyskryminacji wobec pracownika i petenta?

Czy w badanym okresie złożono skargi na naruszenie zasad równości i dyskryminację pracownika lub petenta?

Czy jest prowadzony rejestr ww. skarg?

Kompetencje zawodowe

Standard 2

4.                 

Czy wszystkie stanowiska pracy posiadają ustalone wymagania kwalifikacyjne, w których zawarto co najmniej informacje o niezbędnym wykształceniu, pożądanym stażu pracy oraz innych kwalifikacjach pożądanych dla prawidłowego wykonywania zadań?

Czy wymagania ustalono w odniesieniu do wszystkich stanowisk pracy?

Czy ww. wymagania zostały udokumentowane?

Czy wymagania są adekwatne do zajmowanego stanowiska i zakresu obowiązków?

Czy wszyscy zatrudnieni pracownicy spełniają wymagania kwalifikacyjne?

5.                 

Czy osoby zarządzające jednostką posiadają odpowiednią wiedzę i doświadczenie pozwalające efektywnie realizować zadania?

Czy wiedza i doświadczenie zarządzających spełniają wymogi określone w wymaganiach kwalifikacyjnych?

6.                 

Czy pracownicy jednostki są odpowiednio przygotowani do realizacji powierzonych zadań (w ocenie dyrekcji, bezpośrednich przełożonych)?

W przypadku odpowiedzi pozytywnej uzyskanej od bezpośredniego przełożonego - on odpowie za efekty pracy podwładnych.

W przypadku odpowiedzi negatywnej – należy rozważyć przeszkolenie pracownika ewentualnie zasadność dalszego jego zatrudniania na stanowisku.

7.                 

Czy pracownicy jednostki uczestniczą w szkoleniach podwyższających kompetencje i umiejętności?

Czy zarządzający weryfikują fakt wykorzystania przez pracownika wiedzy pozyskanej na szkoleniu w bieżącej pracy?

Czy jest prowadzony rejestr pracowników uczestniczących w szkoleniach wraz podaniem ich stanowiska i wskazaniem spodziewanych korzyści wynikających z przeszkolenia?

8.                 

Czy w jednostce istnieje plan szkoleń?

Czy sporządzono dokument, w którym przełożeni zaplanowali:

-  liczbę pracowników, których chcą przeszkolić,

-  pożądaną tematykę szkoleń,

-  liczbę roboczodni przewidzianych na szkolenia,

-  szacunkowy koszt szkoleń?

Czy plan szkoleń sporządza się na okres 1 roku?

9.                 

Czy w procesie kierowania na szkolenia uwzględniane są preferencje pracowników związane z realizowanymi na danym stanowisku zadaniami? Jeśli tak, to w jaki sposób?

Czy pracownicy zgłaszają propozycje szkoleń, których odbycie mogłoby przyczynić się do zwiększenia ich kompetencji lub efektywności ich pracy?

Czy ww. zgłoszenia są udokumentowane oraz jaka jest procedura ich rozpatrywania?

10.              

Czy kadra zarządzająca uczestniczy w szkoleniach podnoszących kwalifikacje?

Czy kadra zarządzająca aktualizuje wiedzę?

Czy udział kadry zarządzającej w szkoleniach przekłada się na efekty jej pracy?

11.              

Czy w jednostce funkcjonuje kwestionariusz oceny szkolenia?

Czy wprowadzono dokument, w którym pracownik (w tym również kadra zarządzająca) dokonuje oceny odbytego szkolenia?

Czy ww. dokument jest obligatoryjnie wypełniany przez wszystkich pracowników po szkoleniu?

Czy pracownicy zwracają wypełnione kwestionariusze do komórki zajmującej się szkoleniami?

Czy zapisy w kwestionariuszu są analizowane?

Czy analiza jest udokumentowana?

Jaka jest procedura postępowania z wnioskami uzyskanymi po analizie?

12.              

Czy ustalono zasady naboru na wolne stanowiska pracy?

Czy zasady naboru na wolne stanowiska pracy są udokumentowane?

Czy zapisy w sprawie wymagań kwalifikacyjnych określone przy naborze są tożsame z ustalonymi w dokumencie dotyczącym wszystkich stanowisk pracy?

Czy przyszły bezpośredni przełożony pracownika ma wpływ na jego wybór?

Czy przyszły bezpośredni przełożony pracownika ma decydujący głos w komisji przeprowadzającej nabór?

Czy przeprowadzenie naboru jest udokumentowane?

13.              

Czy istnieje system podnoszenia kwalifikacji zawodowych pracowników?

Czy system podnoszenia kwalifikacji zawodowych pracowników ma formę udokumentowaną?

Czy w badanym okresie zapisy ww. dokumentu były przestrzegane?

14.              

Czy istnieje system okresowych ocen pracowników?

Czy wdrożono procedurę dotyczącą okresowych ocen pracowników?

Czy system okresowych ocen pracowników jest udokumentowany?

Czy pracownik jest informowany o planowanym terminie przeprowadzenia oceny jego pracy?

Czy przed przystąpieniem do oceny pracownik otrzymuje informację o kryteriach oceny jego pracy?

Czy pracownik ma możliwość wypowiedzenia się przy ocenie?

Czy w uzasadnieniu oceny pracowniczej zamieszcza się fakty uzasadniające jej wysokość, czy stosuje się pojęcia nieostre?

Czy w stosunku do pracowników, którzy uzyskali ocenę negatywną, wyciągnięto konsekwencje i jakie?

15.              

Czy istnieje polityka awansowania pracowników?

Czy w jednostce wdrożono politykę awansowania pracowników?

Czy pracowników zapoznano z ww. dokumentem?

Czy w badanym okresie pracowników awansowano z zachowaniem wymogów wynikających z ww. dokumentu?

Struktura organizacyjna

Standard 3

16.              

Czy określono zadania wszystkich komórek organizacyjnych?

Czym w jednostce obowiązuje akt wewnątrzzakładowy, w którym określono zadania wszystkich komórek organizacyjnych?

Czy pracownicy zostali zapoznani z ww. dokumentem?

Czy zadania faktycznie realizowane przez poszczególne komórki są zgodne z zadaniami wyszczególnionymi w ww. dokumencie?

17.              

Czy zakres obowiązków, uprawnień i odpowiedzialności pracowników określono w formie pisemnej?

Czy zakres obowiązków, uprawnień i odpowiedzialności pracowników określono w formie pisemnej dla każdego pracownika?

Czy pracownik został zapoznany z ww. dokumentem i czy potwierdził ten fakt własnoręcznym podpisem?

Czy ww. dokument przedłożono pracownikowi do zapoznania się przed przystąpieniem przez niego do wykonywania obowiązków?

18.              

Czy zakres obowiązków pracowników jednostki jest aktualny?

Czy zakres obowiązków, uprawnień i odpowiedzialności pracownika jest dostosowany do stanowiska pracownika?

Czy zakresy obowiązków pracowników podlegają okresowej analizie?

Czy ww. analiza jest udokumentowana?

19.              

Czy struktura organizacyjna podlega corocznej ocenie?

Kto i z jaką częstotliwością dokonuje oceny struktury organizacyjnej jednostki?

Czy ww. ocena jest udokumentowana?

Delegowanie uprawnień

Standard 4

20.              

Czy uprawnienia w jednostce są delegowane w formie pisemnej?

Czy w jednostce jest rejestr upoważnień?

Czy wszystkie upoważnienia są udzielone w formie pisemnej i odnotowane w ww. rejestrze?

21.              

Czy delegowanie uprawnień w jednostce jest potwierdzane podpisem osób przyjmujących delegowane uprawnienia i datą przyjęcia?

Czy egzemplarz z podpisem pracownika pozostaje w dokumentacji pracodawcy?

22.              

Czy istnieje obowiązek wygaszania indywidualnych upoważnień w każdym przypadku zmiany organu upoważniającego?

Czy obowiązek wygaszania upoważnień wynika z aktu wewnątrzzakładowego?

Czy w jednostce są upoważnienia, których nie wygaszono, pomimo że stały się bezprzedmiotowe?

II

CELE I ZARZĄDZANIE RYZYKIEM

Część B Komunikatu Nr 23

Misja

Standard 5

23.              

Czy określono misję jednostki w postaci krótkiego, syntetycznego opisu celu jej istnienia (poza statutem lub ustawą powołującą jednostkę)?

Czy jednostka ma określoną misję?

Czy pracownicy zostali zapoznani z misją jednostki?

Czy pracownicy brali udział w określaniu misji jednostki?

Określenie celów i zadań, monitorowanie i ocena ich realizacji

Standard 6

24.              

Czy określono cele do osiągnięcia lub zadania do realizacji w bieżącym roku w innej formie, niż regulamin organizacyjny czy statut (np. jako plan pracy, plan działalności itp.)?

Czy cele do osiągnięcia lub zadania do realizacji w bieżącym roku określono w formie udokumentowanej?

Czy wdrożono procedurę określania celów do osiągnięcia lub zadań do realizacji?

Czy pracowników zapoznano z ww. dokumentem?

Czy pracownicy brali udział w określaniu celów do osiągnięcia lub zadań do realizacji w bieżącym roku?

25.              

Czy ustalono zadania priorytetowe na dany rok?

Czy zadania priorytetowe na dany rok ustalono w formie udokumentowanej?

Czy wdrożono procedurę ustalania zadań priorytetowych?

Czy pracowników zapoznano z ww. zadaniami?

Czy pracownicy brali udział w określaniu ww. zadań?

26.              

Czy dla poszczególnych celów i zadań określono komórki organizacyjne / osoby odpowiedzialne za ich realizację?

Czy udokumentowano przypisanie poszczególnych celów i zadań komórkom organizacyjnym / osobom odpowiedzialnym za ich realizację?

Czy cele i zadania przypisano właściwym osobom / komórkom, zgodne z zadaniami realizowanymi przez te komórki i zakresami obowiązków tych osób?

27.              

Czy zapewniono środki finansowe na pełną i terminową realizację zadań?

Czy wdrożono procedurę ustalania środków finansowych na pełną i terminową realizację zadań?

Czy określono osobę odpowiedzialną za monitorowanie budżetu zadania?

Czy ww. osobę wyposażono w narzędzia umożliwiające jej monitorowanie budżetu zadania?

Czy środki finansowe na pełną i terminową realizację zadań zapisano w planie finansowym lub inwestycyjnym?

Czy niedostateczny budżet ma lub miał wpływ na realizację zadania i w jakim zakresie?

Czy ustalony budżet jest solidny i zrównoważony?

Czy występują zadania, na które regularnie wydaje się za dużo lub za mało środków?

Czy wystąpiły problemy finansowe z realizacją zadań?

Czy działania podjęte w odpowiedzi na ww. problemy okazały się skuteczne?

28.              

Czy ustalono terminy do realizacji zaplanowanych zadań?

Czy wdrożono procedurę ustalania terminów realizacji zadań?

Czy określono osobę odpowiedzialną za nieprzekroczenie terminu realizacji zadania?

Czy ww. osobę wyposażono w narzędzia umożliwiające jej monitorowanie terminowości realizacji zadania?

Czy ww. osoba monitoruje realizację wielu zadań?

Czy są problemy z terminowością realizacji zadań?

Czy działania podjęte w odpowiedzi na ww. problemy okazały się skuteczne?

29.              

Czy dla celów i zadań jednostki określono mierniki, wskaźniki bądź inne kryteria, za pomocą których można zweryfikować, czy cele i zadania zostały zrealizowane?

Czy wdrożono procedurę określania mierników, wskaźniki bądź inne kryteria, za pomocą których można sprawdzić czy cele i zadania zostały zrealizowane?

Czy ww. mierniki, wskaźniki, kryteria mają formę udokumentowaną?

Czy pracowników zapoznano z ww. miernikami?

Czy pracownicy mieli udział w określaniu mierników, wskaźników, kryteriów?

30.              

Czy mierniki, wskaźniki bądź inne kryteria sprawdzania czy cele i zadania są realizowane, aktualizowano w ciągu roku?

Czy mierniki, wskaźniki, kryteria weryfikacji stopnia realizacji celów aktualizowano w ciągu roku?

Czy ww. aktualizację udokumentowano?

Czy jest prowadzony rejestr ww. aktualizacji?

Identyfikacja ryzyka

Standard 7

31.              

Czy istnieje obowiązek identyfikacji ryzyka co najmniej raz w roku?

Czy wdrożono procedurę identyfikacji ryzyka w jednostce?

Czy z ww. procedury lub innej regulacji wewnątrzzakładowej wynika obowiązek identyfikacji ryzyka co najmniej raz w roku?

Czy identyfikacja ryzyka jest udokumentowana?

Czy osoba dokonująca identyfikacji ryzyka posiada odpowiednią wiedzę?

Czy w odniesieniu do wszystkich zadań i celów wyznaczonych do osiągnięcia zidentyfikowano ryzyka?

Czy do sporządzania opisu ryzyka zastosowano trójelementową metodę: ryzyko – przyczyna – skutek?

Czy oddzielono ryzyko istotne od niewielkiego?

Czy określone ryzyka miały wpływ na osiągnięcie celów i realizację zadań?

Czy w odniesieniu do poszczególnych zadań identyfikowano nie więcej niż 5 ryzyk (żeby nadmiernie nie uszczegóławiać planu, tak by był przejrzysty)?

Czy prowadzony jest rejestr ryzyka, w którym umieszczane są informacje dotyczące wszystkich zidentyfikowanych zagrożeń?

Czy do wskazanych ryzyk przypisano właściciela odpowiedzialnego za zarządzanie i kontrolę wszystkich aspektów danego ryzyka?

32.              

Czy ustalono zadania wrażliwe i przyjęto sposób ich monitorowania?

Czy zadania wrażliwe ustalono w formie udokumentowanej?

Czy wdrożono procedurę ustalania zadań wrażliwych?

Czy w ww. procedurze określono sposób monitorowania zadań wrażliwych?

Analiza ryzyka

Standard 8

33.              

Czy zidentyfikowane ryzyka są poddawane analizie?

Czy podczas analizy ryzyka porównywany jest stan obecny z poprzednim?

Czy dokonano analizy pod kątem identyfikacji ryzyka krzyżowego?

34.              

Czy proces związany z identyfikacją i analizą ryzyka jest udokumentowany?

Czy identyfikacji i analizy ryzyka dokonał właściciel ryzyka?

35.              

Czy w przypadku każdego ryzyka określono poziom ryzyka, jaki można zaakceptować?

Czy udokumentowano akceptowalny poziom ryzyka?

Czy określenia poziomu dopuszczalnego ryzyka dokonał właściciel ryzyka?

36.              

Czy w stosunku do każdego istotnego ryzyka określono sposób radzenia sobie z tym ryzykiem (tzn. reakcja na ryzyko)?

Czy udokumentowano sposób radzenia sobie z ryzykiem?

Czy określenia sposobu radzenia sobie z ryzykiem dokonał właściciel ryzyka?

37.              

Czy dokonano hierarchizacji ryzyk?

Czy ryzyka uszeregowano wg hierarchii?

Czy hierarchizacji ryzyka dokonała osoba posiadająca odpowiednią wiedzę i doświadczenie?

38.              

Czy w jednostce podejmowane były działania związane z wdrożeniem procesu zarządzania ryzykiem?

Czy podejmowane w jednostce działania związane z wdrożeniem procesu zarządzania ryzykiem zostały udokumentowane?

39.              

Czy zarządzanie ryzykiem było przedmiotem szkoleń / warsztatów / kursów, w których uczestniczyła kadra zarządzająca / pracownicy jednostki?

Czy pracowników jednostki przeszkolono z zakresu zarządzania ryzykiem?

Czy szkolenia dla szeregowych pracowników i kadry zarządzającej dotyczyły identycznych zagadnień?

Czy szkolenia miały formę warsztatową czy wykładu?

Czy i w jaki sposób po szkoleniu zweryfikowano wiedzę uczestników?

Reakcja na ryzyko

Standard 9

40.              

Czy zaplanowano i wdrożono odpowiednie działania celem zmniejszenia danego ryzyka w stosunku do każdego ryzyka, które nie może być przez jednostkę zaakceptowane?

Czy w stosunku do każdego istotnego ryzyka określono rodzaj reakcji (tolerowanie, przeniesienie, wycofanie się, działanie)?

41.              

Czy w stosunku do ryzyk, do których jednostka podejmuje działania, wdrożono odpowiednie mechanizmy kontrolne?

Czy wyznaczono osobę odpowiedzialną za nadzorowanie mechanizmów kontrolnych w stosunku do ryzyk, do których jednostka podejmuje działania?

Czy mechanizmy kontrolne rzeczywiście funkcjonują w jednostce?

Czy mechanizmy kontroli są adekwatne, skuteczne i efektywne?

Czy mechanizmy kontroli zmniejszają prawdopodobieństwo wystąpienia ryzyka?

Czy mechanizmy kontroli mogą przyczynić się do złagodzenia skutków ryzyka?

III

MECHANIZMY KONTROLI

Część C Komunikatu Nr 23

Dokumentowanie systemu kontroli zarządczej

Standard 10

42.              

Czy procedury wewnętrzne, instrukcje, wytyczne, dokumenty określające zakres obowiązków, uprawnień i odpowiedzialności pracowników i inne dokumenty wewnętrzne stanowiące „dokumentację systemu kontroli zarządczej” sporządzono w formie pisemnej?

Czy dokumentacja systemu kontroli zarządczej ma formę pisemną?

43.              

Czy „dokumentacja systemu kontroli zarządczej” jest kompletna i aktualna oraz przekazana do stosowania pracownikom?

Czy dokumentacja systemu kontroli zarządczej jest spójna i dostępna dla wszystkich osób, dla których jest niezbędna?

Czy w dokumentacji są aktualne podstawy prawne?

Czy dokumentacja odwołuje się do aktualnej struktury organizacyjnej, procesów, produktów?

44.              

Czy ustalono tryb uaktualniania procedur na rzecz sprawnego i skutecznego systemu kontroli zarządczej?

Czy w jednostce wdrożono dokument, w którym określono tryb uaktualniania procedur systemu kontroli zarządczej?

Czy w jednostce istnieje rejestr procedur systemu kontroli zarządcze ze wskazaniem daty ich ostatniej aktualizacji?

Czy aktualizacje są dokumentowane?

Nadzór

Standard 11

45.              

Czy zapewniono rejestrację wszystkich spraw wpływających?

Czy jest prowadzony rejestr spraw?

Czy wyznaczono osobę prowadzącą ww. rejestr?

Czy wyznaczono osobę nadzorującą prowadzenie ww. rejestru?

Czy z rejestru spraw wynika, kto otrzymał sprawę do realizacji?

Czy otrzymanie sprawy do realizacji pracownik poświadcza własnoręcznym podpisem i datą?

46.              

Czy ustanowiono nadzór nad terminowością załatwiania spraw?

Czy pracownikom wyznaczono termin załatwienia sprawy?

Czy wyznaczono osobę nadzorującą terminowość załatwienia sprawy?

Czy w badanym okresie wszystkie sprawy załatwiono terminowo?

Czy pracownik, który uchybił terminowi załatwienia sprawy, poniósł konsekwencje?

Czy o późniejszym terminie załatwienia sprawy poinformowano pisemnie interesanta?

47.              

Czy istnieje system weryfikacji zgodności z prawem rozstrzygania spraw?

Czy legalność rozstrzygnięcia jest nadzorowana?

Czy w rozstrzygnięciu wskazuje się podstawę prawną oraz uzasadnienie faktyczne?

Czy w badanym okresie wszystkie sprawy załatwiono zgodnie z prawem?

Czy interesanci odwoływali się od treści rozstrzygnięcia?

Czy rozpatrujący odwołanie zaakceptował stanowisko odwołującego?

Czy pracownik, który załatwił sprawę w sposób niezgodny z prawem, poniósł konsekwencje?

48.              

Czy istnieje system badania kosztów realizacji poszczególnych zadań operacyjnych?

Czy wyznaczono osobę weryfikującą koszty realizacji zadań operacyjnych?

Czy przy realizacji celów operacyjnych nie przekracza się założonych kosztów?

Czy są podejmowane działania korygujące w przypadku przekroczenia kosztów?

Czy są badane przyczyny przekroczenia kosztów?

Czy w stosunku do pracowników odpowiedzialnych za przekroczenia kosztów wyciągnięto konsekwencje?

49.              

Czy kierownictwo jednostki jest informowane o liczbie i charakterze wpływających skarg?

Czy jest prowadzony rejestr skarg?

Czy jest określona procedura rozpatrywania skarg?

Czy termin rozpatrywania skarg jest zgodny z przepisami prawa?

Czy w przypadku, gdy skarga jest zasadna, wyciągnięto konsekwencje wobec pracownika winnego zaniedbania?

Ciągłość działalności

Standard 12

50.              

Czy wprowadzono system zastępstw zapewniający ciągłość realizacji zadań?

Czy zastępstwa są realizowane efektywnie?

Czy zadania zastępowanej osoby były przez zastępcę zrealizowane terminowo i zgodnie z prawem?

Czy zakres przekazanych obowiązków (spraw) udokumentowano np. protokołem?

51.              

Czy system zastępstw określono w sposób formalny oraz czy ma on odzwierciedlenie w opisach stanowisk, zakresach czynności, innych dokumentach?

Czy obowiązek zastępstwa wynika z aktu wewnątrzzakładowego?

Czy osoby zastępujące są wyznaczane zgodnie z zapisami ww. dokumentu?

52.              

Czy zapewniono mechanizmy służące utrzymaniu ciągłości działalności na wypadek awarii (np. pożaru, powodzi, poważnej awarii)?

Czy udokumentowano sposób funkcjonowania mechanizmów służących utrzymaniu działalności na wypadek awarii?

Czy pracowników zapoznano z ww. mechanizmami?

Czy przetestowano sposób działania ww. mechanizmów?

Czy i co jaki okres czasu ww. mechanizmy są weryfikowane?

Ochrona zasobów

Standard 13

53.              

Czy istnieje system ochrony fizycznej obiektu i mienia[5]?

Czy sporządzono plan ochrony?

Czy plan ochrony uzgodniono z właściwym terytorialnie komendantem wojewódzkim Policji?

Czy w jednostce stosuje się fizyczną ochronę mienia?

Czy powołano wewnętrzną służbę ochrony lub specjalistyczną uzbrojoną formację ochronną?

Czy i jakie zastosowano zabezpieczenia techniczne:

-  budowlane (ściany, spory, mury, płoty),

-  mechaniczne (drzwi, bramy, zamki),

-  zabezpieczenia elektrotechniczne (alarmy, TV przemysłowa)?

Czy wszelkie zabezpieczenia z odpornością antywłamaniową posiadają certyfikat (tabliczkę znamionową)?

54.              

Czy dostęp pracowników do siedziby, obiektów i pomieszczeń poza godzinami pracy jest ograniczony i kontrolowany?

Czy pracownicy mają dostęp do siedziby, obiektów i pomieszczeń poza godzinami pracy?

Czy ww. dostęp jest ograniczony i kontrolowany?

55.              

Czy pomieszczenia o istotnym znaczeniu są odpowiednio chronione za pomocą zabezpieczeń technicznych, a dostęp do nich jest ograniczony i kontrolowany?

Czy w jednostce jest wykaz pomieszczeń o istotnym znaczeniu?

Czy do ww. pomieszczeń mają dostęp wyznaczeni pracownicy?

Czy sprzątanie ww. pomieszczeń odbywa się pod nadzorem pracownika?

56.              

Czy wprowadzono odpowiedzialność materialną pracowników za powierzone im mienie[6]?

Czy z pracownikami zawarto umowę o indywidualnej odpowiedzialności materialnej za mienie powierzone?

Czy pracownik potwierdził własnym podpisem fakt powierzenia mu mienia, np. pobranie określonych przedmiotów na protokole zdawczo-odbiorczym czy na tzw. karcie narzędziowej?

Czy przyjmując na siebie odpowiedzialność za mienie pracownik miał możliwość sprawdzenia stanu ilościowego i jakościowego ww. mienia, sprawowania nad nim pieczy, warunki do rozliczenia się z niego lub do jego zwrotu?

57.              

Czy ustalono zasady gospodarki kasowej?

Czy wdrożono w jednostce zasady gospodarki kasowej?

Kogo i w jakim dokumencie ustanowiono jako osobę materialnie odpowiedzialną za gotówkę w kasie?

Czy określono maksymalnie dopuszczalną wielkość zapasu środków pieniężnych w kasie, czyli tzw. pogotowie kasowe?

Czy nadwyżkę środków pieniężnych, ponad ustaloną wysokość niezbędnego zapasu, która znajdzie się w kasie na koniec dnia, odprowadza się na rachunek bankowy jednostki w tym samym dniu lub w dniu następnym, jeżeli jednostka posiada odpowiednie zabezpieczenie przechowywanej gotówki?

Szczegółowe mechanizmy kontroli dotyczące operacji finansowych i gospodarczych

Standard 14

58.              

Czy w jednostce są rejestrowane i dokumentowane operacje finansowe i gospodarcze?

Czy wszystkie operacje finansowe i gospodarcze są w jednostce dokumentowane w sposób rzetelny, umożliwiający prześledzenie każdej operacji finansowej, gospodarczej lub zdarzenia od samego początku, w trakcie ich trwania i po zakończeniu (np. przychody z inwestycji, wyniki inwentaryzacji)?

Czy ww. dokumentacja jest dostępna dla upoważnionych osób?

Czy operacje finansowe i gospodarcze i inne znaczące zdarzenia są bezzwłocznie rejestrowane i prawidłowo klasyfikowane?

Czy na dowodach źródłowych ujętych pod raportem kasowym oraz pod wyciągiem bankowym zamieszcza się numery identyfikacyjne pozwalające na powiązanie ww. dowodów z zapisem księgowym?

Czy polityka rachunkowości jednostki obejmuje m. in. metody prowadzenia ksiąg pomocniczych dla rzeczowych składników aktywów obrotowych, ujęcia w księgach rachunkowych rzeczowych składników aktywów obrotowych, ustalania wartości rozchodu rzeczowych składników aktywów obrotowych oraz zapisy dotyczące rachunku kosztów?

Czy obowiązujące procedury są przestrzegane?

59.              

Czy istnieją mechanizmy zapewniające, iż operacje finansowe są zatwierdzane przez dyrektora jednostki lub osobę upoważnioną?

Czy wszystkie czynności związane z zatwierdzaniem operacji finansowych – na jakimkolwiek etapie ich przebiegu –opierają się na jasnych i precyzyjnych upoważnieniach wydanych przez kierownika jednostki lub wskazanych w dokumentach organizacyjnych jednostki?

Czy w procedurach wewnętrznych precyzyjnie określono, co oznacza – w przypadku danej jednostki – zatwierdzenie dowodu księgowego pod względami merytorycznym i formalno-rachunkowym?

Kto zatwierdza dowody księgowe w ww. zakresie?

Czy w jednostce dokonano wydatki bez upoważnienia lub z przekroczeniem zakresu upoważnienia (wydatek bez podstawy prawnej lub ponad plan finansowy)?

Czy wszystkie dokumenty księgowe zawierają podpis głównego księgowego wskazujący na dokonanie przez niego wstępnej kontroli zgodności operacji gospodarczych i finansowych z planem finansowym oraz kompletności i rzetelności dokumentów dotyczących operacji gospodarczych i finansowych i tym samym oznaczający zgodę na ich kasową realizację?

Czy wszystkie dowody księgowe zostały zatwierdzone do wypłaty przez upoważnioną osobę?

60.              

Czy w jednostce zapewniony jest podział kluczowych obowiązków pomiędzy różne osoby?

Czy autoryzacja i ewidencjonowanie operacji o charakterze istotnym dla gospodarki finansowej jednostki nie opiera się na jednej osobie?

Czy ww. podział znajduje odzwierciedlenie w zakresie obowiązków oraz aktach wewnątrzzakładowych?

Czy ww. dokumenty nie zawierają sprzecznych zapisów?

61.              

Czy procedury zapewniają okresową analizę zapisów księgowych?

Czy w procedurach wewnętrznych wprowadzono obowiązek okresowej analizy zapisów księgowych?

Czy regulacja wewnętrzne określają częstotliwość ww. analizy?

Czy wnioski z ww. analizy są wrażane w jednostce?

62.              

Czy zapewniona jest weryfikacja operacji finansowych przed i po ich realizacji?

Czy obowiązek weryfikacji operacji finansowych przed i po ich realizacji wynika z procedur wewnątrzzakładowych?

Czy weryfikowane są wszystkie operacje finansowe?

Czy weryfikacja jest udokumentowana?

Czy jest ustalona procedura postępowania w razie stwierdzenia nieprawidłowości?

63.              

Czy system księgowy zapewnia ciągłość zapisów oraz posiada zabezpieczenia przed dokonywaniem zmian w zapisach księgowych?

Czy zapewnienie ciągłości zapisów przez system księgowy oraz posiadanie zabezpieczeń przed dokonywaniem zmian w zapisach księgowych jest zapisane w procedurach wewnątrzzakładowych?

Czy system księgowy funkcjonujący w jednostce faktycznie spełnia ww. wymogi?

64.              

Czy zapewniono rozdział kluczowych obowiązków tzn. rozdzielono pomiędzy różnych pracowników zadania dot. zatwierdzania i rejestrowania operacji gospodarczych oraz dokonywania płatności?

Czy rozdział kluczowych obowiązków wynika z aktów wewnątrzzakładowych?

Czy ww. rozdział kluczowych obowiązków jest przestrzegany?

65.              

Czy wyznaczono pracowników odpowiedzialnych za kontrolę merytoryczną ponoszonych kosztów / wydatków pod względem celowości, legalności, efektywności i oszczędności?

Czy wyznaczono osoby odpowiedzialne za kontrolę merytoryczną ponoszonych kosztów / wydatków pod względem celowości, legalności, efektywności i oszczędności?

Czy opracowano procedurę ww. kontroli?

Czy ww. kontrola jest udokumentowana?

Czy opracowano procedurę zgłaszania przez ww. osoby uwag do kontrolowanego zakresu?

Czy ustalono procedurę postępowania ze zgłoszonymi uwagami?

66.              

Czy dochody z poszczególnych źródeł podlegają bieżącej kontroli w zakresie wysokości i terminowości wpływu?

Czy wyznaczono osobę kontrolującą dochody z poszczególnych źródeł?

Czy wdrożono procedurę kontroli dochodów z poszczególnych źródeł?

Czy wdrożono procedurę w przypadku, gdy otrzymywane dochody są niższe od zaplanowanych?

Czy w ww. sytuacji dokonano korekty planu?

67.              

Czy opracowano wewnętrzną procedurę zakupu, dostaw, zlecania usług lub robót budowlanych, do których nie stosuje się przepisów ustawy Prawo zamówień publicznych?

Czy wdrożono procedurę zakupu, dostaw, zlecania usług lub robót budowlanych, do których nie stosuje się przepisów ustawy Prawo zamówień publicznych?

Czy wyznaczono osobę odpowiedzialną za ww. zakupy?

Czy w jednostce prowadzi się rejestr ww. zakupów?

Czy wyznaczono osobę odpowiedzialną za nadzór nad nieprzekroczeniem progu zamówień danego rodzaju w ramach całej jednostki?

Czy udokumentowano procedurę dokonywania ww. zakupów?

Czy ww. zamówienia uwzględniono w rocznym planie zamówień publicznych?

Czy dokonano korekty planu w przypadku, gdy pojawiła się potrzeba udzielenia zamówienia nieuwzględnionego w planie?

Mechanizmy kontroli dotyczące systemów informatycznych

Standard 15

68.              

Czy istnieją procedury służące zapewnieniu bezpieczeństwa danych i systemów informatycznych?

Czy wdrożono procedury:

- utrzymaniowe,

- reagowania na incydenty bezpieczeństwa,

- dotyczące sposobów przygotowywania oraz składowania kopii zapasowych,

- dotyczące ochrony przed atakami z wewnątrz - np. wykonanego przez administratora systemu,

- aktualizacji systemu,

- dostępu fizycznego do serwerów,

- dokumentowania zmian. 

Czy systematycznie wykonuje się testy penetracyjne oraz badania za pomocą zautomatyzowanych narzędzi.

Czy systematycznie przeprowadza się audyt obejmujący:

1. audyt bezpieczeństwa sieci Lan lub zasobów sieciowych, a w tym:

- wskazanie miejsc, które mogą być bezpośrednio zaatakowane w LAN (włamania do wewnętrznych systemów),

- oszacowanie jakości obecnie stosowanych zabezpieczeń w warstwie sieciowej (w tym odporność na ataki techniczne komponentów sieciowych)

- wskazanie dodatkowych metod ochrony i sposobu naprawy znalezionych luk bezpieczeństwa,

- manualne próby uzyskania dostępu do urządzeń dzięki domyślnym hasłom administracyjnym do urządzeń / serwerów - około 20-30 różnych prób,

- weryfikację mechanizmów uwierzytelniania dostępnych w sieci,

- weryfikację kilku podstawowych zasad bezpieczeństwa na wybranych 3-ech stacjach roboczych (udostępnione usługi, poziom dostępu zapewniany dla użytkowników, dostępność oprogramowania klasy antywirus/antymalware, sposoby aktualizacji systemu, itp.),

- weryfikację dostępu do Internetu z LAN,

- wskazanie potencjalnych, dodatkowych metod ochrony sieci;

2.   urządzenia sieciowe, a w tym:

- ryzyka oraz wagi dla ich krytyczności,

- badanie odporności urządzeń na ataki z poziomu Internetu,

- wskazanie potencjalnych skutków ataku dla znalezionych luk i określenie wskazanie potencjalnych, dodatkowych metod ochrony sieci na podstawie topologii sieci i analizy konfiguracji,

- skanowanie portów TCP/UDP (kilka typów - prostych oraz zaawansowanych),

- określenie ścieżki sieciowej do urządzenia (wykorzystanie traceroute),

- próbę detekcji typu oraz wersji usług sieciowych działających w systemie,

- próbę detekcji wersji oraz typu oprogramowania systemowego zainstalowanego na urządzeniu,

- po udanej detekcji wersji oprogramowania systemowego / usług - próba lokalizacji znanych podatności w danych wersjach oprogramowania,

- próbę komunikacji w obrębie protokołu ICMP (kilka wybranych parametrów type/code),

- próbę generacji pakietów o dużym rozmiarze (np. powiększonych pakietów ICMP echo);

3.   systemy operacyjne - weryfikacja konfiguracji, a w tym:

- zapewnienie dodatkowej ochrony audytowanego systemu IT - na poziomie systemu operacyjnego,

- wskazanie zaleceń hardeningowych dla systemu operacyjnego - zwiększających jego bezpieczeństwo,

- sprawdzenie udostępnionych usług sieciowych,

- sprawdzenie podziału przestrzeni dyskowej na odpowiednie strefy,

- sprawdzenie wdrożenia dodatkowych metod ochrony (np. dodatkowe mechanizmy ochronne zaimplementowane na poziomie kernela, system antywirusowy),

- sprawdzenie przynależności użytkowników do grupy administratorzy,

- sprawdzenie uprawnień do najistotniejszych zasobów,

- sprawdzenie wdrożonego mechanizmu instalacji aktualizacji,

- sprawdzenie wdrożonego systemu logowania zdarzeń,

- sprawdzenie zabezpieczenia systemu w fazie BOOT,

4.   audyt bezpieczeństwa jednej, krytycznej aplikacji: 

- wskazanie ewidentnych słabych punktów w systemie IT - w komponentach aplikacyjnych (otwarte hasła dostępowe w plikach konfiguracyjnych po stronie klienckiej),

- weryfikacja mechanizmów uwierzytelniania / autoryzacji,

- ogólna analiza plików tekstowych zwartych w katalogu instalacyjnym aplikacji,

- weryfikacja sposobu instalacji aplikacji,

- wstępna recenzja poziomu bezpieczeństwa oferowanego przez aplikację.

69.              

Czy zapewniono obowiązek okresowej zmiany haseł dostępu do sieci informatycznej?

Czy system wymusza zmianę haseł?

Czy system wymusza odpowiedni poziom bezpieczeństwa hasła, tzn. by hasła składały się co najmniej z 8 znaków, w tym co najmniej 1 dużej litery, 1 małej litery, 1 cyfry i 1 znaku specjalnego?

Czy system wymusza, by hasło się nie powtarzało w określonym przedziale czasu?

Czy pracownicy nie zapisują haseł w dostępnych miejscach i w jaki sposób jest to weryfikowane?

70.              

Czy w ocenianym okresie doszło do utraty danych i naruszenia bezpieczeństwa danych?

Czy w jednostce jest prowadzony rejestr incydentów?

Czy utratę danych osobowych zgłoszono do Administratora Bezpieczeństwa Informacji?

Czy ABI przeprowadził postępowanie wyjaśniające w ramach którego:

-  ustalił zakres i przyczyny zagrożenia oraz jego ewentualne skutki,

-  zainicjował ewentualne działania dyscyplinarne,

-  zarekomendował działania zmierzające do eliminacji podobnych zagrożeń w przyszłości,

-  i udokumentował prowadzone postępowania.

Czy ABI podjął działania korygujące / naprawcze?

Czy o incydencie powiadomiono interesantów, których dane zostały naruszone?

Na czym polegały incydenty:

-  niewłaściwie zaadresowana poczta elektroniczna,

-  nieukrywanie poszczególnych odbiorców wiadomości (poza głównym),

-  utrata nośników danych (telefonu, laptopa, pamięci przenośnej),

-  nieuprawnione udostępnienie danych:

- przydzielanie bezterminowo zdalnego dostępu,

- aktywne konta systemowe i mailowe osób już niepracujących w jednostce,

- udzielanie informacji przez telefon,

- nieodpowiednie techniki usuwania danych, np. przed przekazaniem urządzenia poza jednostkę (np. do serwisu) jedynie formatowanie lub defragmentowanie go, podczas gdy w celu usunięcia danych należy skorzystać ze specjalnego oprogramowania lub, w ostateczności, dwukrotnie zapisać nośnik treścią niezawierającą danych osobowych, a następnie usunąć całą zawartość.

IV

INFORMACJA I KOMUNIKACJA

Część D Komunikatu Nr 23

Bieżąca informacja

Standard 16

71.              

Czy istniejący w jednostce system przekazywania informacji zapewnia osobom zarządzającym i pracownikom otrzymywanie informacji w odpowiedniej formie i czasie?

Czy bieżące informacje przekazuje się pracownikom tylko kanałami nieformalnymi, żeby w krótkim czasie zapewnić zaznajomienie z nimi pracowników?

Czy przekazanie pracownikom informacji kanałami nieformalnymi jest udokumentowane?

Czy zdarza się, że bieżące informacje przekazuje się pracownikom kanałami formalnymi (np. gazetka ścienna, gazeta pracownicza, e-maile)?

72.              

Czy pracownicy ponoszą odpowiedzialność za poufność informacji pozyskiwanych w ramach wykonywania obowiązków służbowych?

Czy w jednostce wdrożono dokument, na podstawie którego pracownicy ponoszą odpowiedzialność za poufność informacji pozyskiwanych w ramach wykonywania obowiązków służbowych?

Czy pracownicy są informowani o powyższym?

73.              

Czy istnieją zasady sporządzania, gromadzenia i udostępniania informacji niejawnych?

Czy udokumentowano zasady sporządzania, gromadzenia i udostępniania informacji niejawnych?

Czy pracowników zapoznano z ww. zasadami w zakresie niezbędnym do wykonywania przez nich obowiązków?

Czy pracownicy mają świadomość, jakie informacje w jednostce są informacjami niejawnymi?

Komunikacja wewnętrzna

Standard 17

74.              

Czy w jednostce istnieją mechanizmy, które zapewniają przekazywanie ważnych informacji wewnątrz jednostki?

Czy wewnątrz jednostki ważne informacje przekazuje się pracownikom tylko kanałami formalnymi (np. gazetka ścienna, gazeta pracownicza, e-maile)?

Czy zdarza się przekazywanie ważnych informacji kanałami nieformalnymi?

Czy procedura przekazywanie ważnych informacji wewnątrz jednostki jest udokumentowana?

75.              

Czy opracowano rozdzielniki dla grup istotnych dokumentów, zapewniające dotarcie informacji do wszystkich zainteresowanych?

Czy ww. rozdzielniki są aktualne?

Czy, przez kogo i na jakiej podstawie ww. rozdzielniki są weryfikowane?

76.              

Czy ustalono obowiązek pisemnego potwierdzenia zapoznania się z określonymi dokumentami (rodzajami dokumentów)?

Czy obowiązek pisemnego potwierdzenia zapoznania się z określonymi dokumentami wynika z procedur obowiązujących w jednostce?

Czy potwierdzenia zapoznania się przez poszczególnych pracowników z dokumentami są przechowywane?

77.              

Czy zapewniono możliwość komunikacji wewnętrznej za pomocą elektronicznych środków (poczta elektroniczna, intranet)?

Czy wszyscy pracownicy mają dostęp do informacji przekazywanych za pomocą środków elektronicznych w zakresie niezbędnym do wykonywania przez nich obowiązków?

Czy zapewniono komunikację zwrotną?

78.              

Czy w ramach jednostki / komórki organizacyjnej organizowane są spotkania kadry kierowniczej z pracownikami, podczas których omawiane są istotne problemy, ryzyka, słabości kontroli zarządczej?

Czy spotkania kadry kierowniczej z pracownikami, podczas których omawiane są istotne problemy, ryzyka, słabości kontroli zarządczej organizowane są w stałych odstępach czasu?

Czy tematyka ww. spotkań jest udokumentowana?

Komunikacja zewnętrzna

Standard 18

79.              

Czy opracowano procedurę udostępniania informacji publicznej?

Czy opracowano procedurę udostępniania informacji publicznej w formie aktu wewnątrzzakładowego?

80.              

Czy w Biuletynie Informacji Publicznej jednostki zamieszczono wszystkie informacje wymagane przepisami prawa[7]?

Czy informacje zamieszczane w Biuletynie Informacji Publicznej jednostki są na bieżąco aktualizowane?

Czy jest wyznaczona osoba odpowiedzialna za aktualizację Biuletynu Informacji Publicznej?

81.              

Czy we wszystkich sprawach zachowano terminy odpowiedzi określone w przepisach prawa?

Czy wyznaczono osobę odpowiedzialną za dochowanie terminów załatwienia sprawy?

Czy na bieżąco monitoruje się stan realizacji zadań i przekazuje się informacje zwrotne pracownikom odpowiedzialnym za realizację ww. zadań?

Czy i w jakiej formie po zakończeniu zadania udzielana jest informacja zwrotna zaangażowanym osobom?

82.              

Czy zapewniono rejestrację wszystkich wpływających i wychodzących pism (spraw, informacji)?

Czy w jednostce jest prowadzony wspólny dla całej jednostki rejestr korespondencji przychodzącej, wychodzącej oraz spraw?

Czy w jednostce wyznaczono osobę prowadzącą oraz nadzorującą prowadzenie ww. rejestrów?

V

MONITOROWANIE I OCENA

Część E Komunikatu Nr 23

Monitorowanie systemu kontroli zarządczej

Standard 19

83.              

Czy istnieje obowiązek systematycznego sprawdzania kompletności procedur systemu kontroli zarządczej?

Czy wyznaczono osobę zobowiązaną do systematycznego sprawdzania kompletności procedur systemu kontroli zarządczej?

Czy sprawdzanie jest udokumentowane?

Czy wdrożono procedurę postępowania w przypadku stwierdzenia konieczności udoskonalenia systemu?

84.              

Czy wdrożono wszystkie zalecenia pokontrolne i audytowe, uzyskane w wyniku przeprowadzonych kontroli i audytów zewnętrznych i wewnętrznych?

Czy w jednostce jest rejestr zaleceń?

Czy w jednostce wyznaczono osobę odpowiedzialną za wdrożenie zaleceń?

Czy w jednostce obowiązuje procedura wdrażania zaleceń?

85.              

Czy prowadzony był / jest w jednostce proces bieżącego monitorowania realizacji zadań?

Czy w jednostce na bieżącego monitoruje się realizację zadań?

Czy wyznaczono osobę nadzorującą ww. proces?

Czy wdrożono procedurę zgłaszania nieprawidłowości?

Samoocena

Standard 20

86.              

Czy w jednostce dokonywana była analiza systemu kontroli zarządczej w formie samooceny?

Czy w jednostce samooceny dokonali kierownicy poszczególnych komórek organizacyjnych?

Czy samoocena dokonywana jest nie rzadziej niż raz w roku?

Czy wyniki samooceny zostały zestawione w jednym dokumencie i poddane analizie?

Czy porównano wyniki samooceny za bieżący okres z wynikami za poprzedni okres?

87.              

Czy proces samooceny (w przypadku, gdy był przeprowadzany) był dokumentowany?

Czy samoocena była dokonana w formie pisemnej?

Czy samoocena polegała tylko na odpowiedzi na pytania zamknięte?

Czy umożliwiono pracownikom wypowiedzenie się co do poszczególnych zagadnień?

88.              

Czy wyniki samooceny poddawano dalszej analizie na rzecz poprawy stanu kontroli zarządczej?

Jaka była procedura postępowania z wynikami samooceny?

Czy zorganizowano spotkanie z pracownikami, na którym omówiono wyniki samooceny?

Czy przeprowadzenie samooceny skutkowało zmianą obowiązujących dokumentów, procedur wewnątrzzakładowych?

Czy na skutek przeprowadzonej samooceny wdrożono nowe procedury w jednostce?

Audyt wewnętrzny

Standard 21

89.              

W jaki sposób praca audytu wewnętrznego lub/i kontroli wewnętrznej przyczyniła się, do lepszego funkcjonowania jednostki?

Czy jest mniej zaleceń, nieprawidłowości stwierdzonych przez kontrole zewnętrzne w związku z wdrożeniem w jednostce zaleceń poaudytowych?

Czy na skutek wdrożenia zaleceń poaudytowych zmniejszyły się koszty funkcjonowania jednostki?

90.              

Czy wyniki audytu wewnętrznego są wykorzystywane przez kadrę zarządzającą jednostki w procesie usprawniania? Jeśli tak, to w jaki sposób?

Należy wymienić sposób wykorzystania wyników audytu wewnętrznego przez kadrę zarządzająca jednostki w procesie usprawniania.

91.              

Czy zalecenia audytu wewnętrznego są przez dyrekcję jednostki wdrażane? Jaki procent wydanych zaleceń wdrożono?

Należy obliczyć procent wdrożonych zaleceń audytu wewnętrznego w stosunku do wydanych zaleceń.

Uzyskane zapewnienie o stanie kontroli zarządczej

Standard 22

92.              

Czy przyjęto udokumentowany system działań na rzecz wykorzystania wyników samooceny?

Czy wdrożono procedurę w sprawie wykorzystania wyników samooceny?

Czy wykorzystanie wyników samooceny jest udokumentowane?

93.              

Czy wyniki monitorowania realizacji celów i zadań, wyniki stanu kontroli zarządczej uzyskane na podstawie samooceny oraz wyniki przeprowadzonych kontroli i audytów są wykorzystywane w procesie na rzecz podnoszenia poziomu kontroli zarządczej w jednostce?

Należy wskazać, w jaki sposób wyniki monitorowania realizacji celów i zadań, wyniki stanu kontroli zarządczej uzyskane na podstawie samooceny oraz wyniki przeprowadzonych kontroli i audytów są wykorzystywane w procesie na rzecz podnoszenia poziomu kontroli zarządczej w jednostce.

94.              

Czy w jednostce znane są Standardy kontroli zarządczej?

Czy Standardy kontroli zarządczej przekazano do zapoznania się wszystkim pracownikom w zakresie niezbędnym do wykonywania przez nich obowiązków?

Czy ww. przekazanie udokumentowano?

95.              

Czy w jednostce podejmowane były / są działania mające na celu wdrożenie Standardów kontroli zarządczej?

Należy wskazać, jakie działania podjęto w jednostce w celu wdrożenia Standardów kontroli zarządczej.