Riskienhallinnan viitekehys
Postin strategian toteuttamiseen ja palveluiden tuotantoon liittyy erilaisia riskejä ja mahdollisuuksia. Riskienhallinta on oleellinen osa Postin johtamiskäytänteitä ja sen avulla tavoitellaan onnistunutta riskien tunnistamista, arvioimista ja hallitsemista, mikä tukee Postin onnistumista strategian toteuttamisessa ja liiketoiminnallisten tavoitteiden saavuttamisessa.
Konsernin Riskienhallinnan ja liiketoiminnan jatkuvuuden politiikka ja johtamisjärjestelmä sekä Sisäisen valvonnan politiikka toimivat Postin riskienhallinnan viitekehyksenä. Riskienhallinnan ja liiketoiminnan jatkuvuuden politiikka kuvaa Postin riskienhallintajärjestelmää, johon kuuluvat riskienhallinnan yleiset periaatteet, vastuut sekä riskien ja liiketoiminnan jatkuvuuden hallinnan prosessit. Sisäisen valvonnan politiikka kuvaa sisäisen valvonnan ja sen osatekijöiden järjestämisen sekä vastuut Posti konsernissa.
Sisäinen valvonta
Sisäinen valvonta on osa Postin hallinto- ja ohjausjärjestelmää ja sisältyy yhtiön päivittäisiin toimintoihin. Sen tarkoituksena on tarjota riittävä varmuus siitä, että organisaation tavoitteet saavutetaan koskien toimintojen tehokkuutta, ulkoisen ja sisäisen raportoinnin luotettavuutta sekä soveltuvien lakien, sääntöjen sekä sisäisten toimintaohjeiden noudattamista.
Se auttaa organisaatiota ymmärtämään riskit, jotka liittyvät yllä mainittuihin tavoitteisiin sekä myös, kuinka riskejä hallitaan riskinottohalukkuuden puitteissa. Postin yrityskulttuuri, hallinto- ja ohjaustapa sekä sisäisen valvonnan lähestymistapa yhdessä luovat pohjan sisäiselle valvonnalle. Postin toimitusjohtaja vastaa sisäisen valvonnan järjestämisestä konsernissa. Liiketoimintaryhmien ja konsernin tukitoimintojen johtajat vastaavat sisäisen valvonnan järjestämisestä vastuualueillaan.
Postin sisäinen valvonta pohjautuu the Committee of Sponsoring Organizations (”COSO”) -järjestön ylläpitämään sisäisen valvonnan viitekehykseen. Kansainvälisen COSO-viitekehyksen mukainen sisäinen valvonta sisältää Postilla seuraavat osa-alueet:
1. Valvontaympäristö
Postin hallitus määrittää konsernin tavoitteiden saavuttamiseksi tarvittavan hallintomallin, sekä valtuudet ja vastuut, jotka tukevat konsernin tavoitteiden saavuttamista. Konsernin sisäiset ohjeistukset määrittelevät sisäisen valvonnan puitteet. Postin henkilöstön rehellisyys, eettiset arvot sekä osaaminen luovat perustan Postin valvontaympäristölle.
2. Riskien arviointi
Sisäinen valvonta perustuu riskien järjestelmälliseen tunnistamiseen ja arviointiin Postin riskienhallinnan ja liiketoiminnan jatkuvuuden politiikan mukaisesti. Ulkoiset ja sisäiset riskit tunnistetaan osana riskien arviointiprosessia. Myös väärinkäytösten riskit arvioidaan osana tätä prosessia.
3. Kontrollitoimenpiteet
Kontrollit perustuvat dokumentoituihin prosessikuvauksiin ja tunnistettuihin riskeihin. Kontrollitoimenpiteitä suoritetaan organisaation kaikilla tasoilla ja ne ovat sisällytetty yhtiön jokapäiväisiin toimintoihin. Niitä ovat mm. tarkistukset, hyväksynnät, suoritusten arvioinnit, työtehtävien eriyttäminen, IT-järjestelmien ja käyttäjäoikeuksien valvonta sekä omaisuuden ja Postin brändin suojaaminen.
4. Viestintä ja tiedottaminen
Postin johto vastaa, että sisäisen valvonnan tavoitteet ja vastuut on kommunikoitu kontrollitoimenpiteitä suorittavalle henkilöstölle. Johto vastaa siitä, että henkilöstöä on koulutettu riittävästi sisäiseen valvontaan liittyvissä asioissa. Sisäisen valvonnan tila ja siinä mahdollisesti tunnistetut puutteet raportoidaan viipymättä raportointilinjojen mukaisesti kaikille tarvittaville tahoille organisaatiossa.
Konsernin talousjohtaja ja konsernin sisäinen tarkastus raportoivat säännöllisesti sisäisen valvonnan tilasta ja tehokkuudesta hallituksen tarkastus-, riski- ja vastuullisuusvaliokunnalle.
5. Seuranta
Sisäistä valvontaa ja sen tarkoituksenmukaisuutta ja tehokkuutta arvioidaan jatkuvalla seurannalla. Seurantaa tehdään osana päivittäistä toimintaa ja johtamista. Myös erillisiä arviointeja tehdään sisäisen tarkastuksen ja tilintarkastajien toimesta, sekä esimerkiksi laatujärjestelmien auditoijien toimesta.
Postin liiketoimintaryhmien ja konsernin tukitoimintojen johtajat suorittavat kontrollien seurantaa osana heidän valvontarooliaan. He vastaavat sisäisen valvonnan järjestämisestä omilla vastuualueillaan niin, että tarvittavat sisäiset kontrollit ovat määritelty, implementoitu ja valvottu, ja että asiaankuuluvia lakeja ja määräyksiä noudatetaan. Organisaation operatiivinen johto hallinnoi prosessiriskejä ja varmistaa, että kontrollitoimenpiteitä toteutetaan. Konsernin compliance-toiminto tukee liiketoiminnan johtoa toimintaohjeiden noudattamisen seurannassa. Konsernin taloustoiminto varmistaa, että raportointiin (ulkoinen ja sisäinen) liittyvät kontrollit on määritelty, otettu käyttöön ja niiden toimivuutta valvotaan. Hallituksen tarkastus-, riski- ja vastuullisuusvaliokunta varmistaa ja arvioi Postin sisäisen valvonnan sekä riskienhallinnan riittävyyttä. Konsernin sisäinen tarkastus tekee säännöllisesti sisäisiä tarkastuksia Postin yhtiöissä, liike- ja tukitoiminnoissa valiokunnan hyväksymän vuosisuunnitelman mukaan. Lisäksi Postin tilintarkastajat ja muut varmennusta tarjoavat tahot, esimerkiksi ulkoiset IT-järjestelmä- ja laatutarkastajat, arvioivat konsernin sisäistä valvontaa.
Riskienhallinta
Konsernin riskienhallinta on olennainen osa Postin strategia-, suunnittelu- ja muita prosesseja. Konsernin riskit analysoidaan niiden todennäköisyyden ja vaikutusten perusteella. Säännöllistä riskiarviointia tehdään riskienhallinnan tarkoituksenmukaisuuden ja jatkuvan kehittämisen varmistamiseksi. Riskienhallinta tapahtuu siellä, missä riskit ovat. Liiketoimintaryhmien ja tukifunktioiden johto vastaa keskeisten riskien tunnistamisesta ja riittävän valvonnan toteuttamisesta konsernin Riskienhallintapolitiikan mukaisesti. Postin riskienhallinnan pääperiaatteet tiivistettynä:
Osa organisaation johtamisjärjestelmää: Riskienhallinta on integroitu Postin johtamisjärjestelmään ja se on erottamaton osa johtamista, suunnittelua ja prosesseja. Riskienhallinta ulottuu paitsi sisäiseen valvontaan, niin myös strategian määrittämiseen, hallintoon, operatiiviseen toimintaan, toiminnan jatkuvuuden suunnitteluun.
Järjestelmällisyys ja ajantasaisuus: Riskit arvioidaan systemaattisesti, dokumentoidaan vastuuhenkilöiden toimesta ja tarkastellaan säännöllisesti.
Läpinäkyvyys, osallistaminen, ja kulttuuristen sidonnaisuuksien huomiointi: Riskienhallintaprosessi huomioi kaikki olennaiset sidosryhmät sekä inhimilliset, yhteiskunnalliset ja kulttuuriset tekijät huomioiden Postin rooli yhteiskunnassa.
Jakuvan kehityksen mahdollistaminen: Riskienhallinnan analyysia hyödynnetään organisaation kyvykkyyksien ja prosessien kehittämisessä edistäen jatkuvaa uudistumista ja resilienssiä.
Postin hallitus hyväksyy Riskienhallinnan ja liiketoiminnan jatkuvuuden politiikan sekä Sisäisen valvonnan politiikan ja toimitusjohtaja vastaa siitä, että näiden mukaiset periaatteet ja prosessit ovat osa Postin johtamis-, valvonta-, ja raportointiprosessia. Postin Tarkastus-, riski- ja vastuullisuusvaliokunta valvoo riskienhallinnan sekä sisäisen valvonnan riittävyyttä ja tehokkuutta.
Sisäinen tarkastus
Konsernin sisäinen tarkastus tuottaa riippumattomia, riskilähtöisiä arviointi-, varmistus- ja konsultointipalveluita, joiden tarkoitus on tuottaa lisäarvoa ja parantaa Postin toimintaa. Se auttaa Postia saavuttamaan tavoitteensa tuomalla järjestelmällisen ja määritellyn lähestymistavan arvioida ja parantaa riskienhallinnan, sisäisen valvonnan ja hallinnon prosessien tehokkuutta. Tarkastuksia toteutetaan hallituksen tarkastus-, riski- ja vastuullisuusvaliokunnan hyväksymän rullaavan vuosisuunnitelman mukaisesti.
Sisäinen tarkastus myös koordinoi johdon toteuttamien korjaavien toimenpiteiden seurantaa ja raportoi seurannan tuloksista Postin konsernijohdolle ja hallituksen tarkastus-, riski- ja vastuullisuusvaliokunnalle. Sisäisen tarkastuksen johtaja raportoi hallinnollisesti toimitusjohtajalle ja tarkastustoiminnasta hallituksen tarkastus-, riski- ja vastuullisuusvaliokunnalle. Tarkastusten toteuttamiseen käytetään sekä sisäisiä että ulkopuolisia asiantuntijoita.