Riskienhallinta

Sisäinen valvonta

Sisäinen valvonta on osa Postin hallinto- ja ohjausjärjestelmää ja sisältyy yhtiön päivittäisiin toimintoihin. Sisäisen valvonnan tavoitteena on kunkin toimintamaan lakien ja määräysten noudattamisen sekä luotettavan ja ajantasaisen taloudellisen raportoinnin varmistaminen. Lisäksi sisäinen valvonta varmistaa prosessien tehokkuutta ja yhtiön varojen optimaalista käyttöä ja valvontaa.

Postin sisäisen valvonnan järjestelmä pohjautuu Committee of Sponsoring Organizations (”COSO”) -järjestön ylläpitämään puiteohjeistukseen. COSO-ohjeistuksen mukainen sisäinen valvonta sisältää seuraavat osa-alueet:

1. Valvontaympäristö

Postin hallitus määrittää konsernin tavoitteiden saavuttamiseksi tarvittavat hallintorakenteet, valtuudet ja vastuut. Konsernin sisäiset ohjeistukset määrittelevät sisäisen valvonnan vaatimustason ja prosessit, joita konsernissa tulee noudattaa vaatimustason toteuttamiseksi.

2. Riskien arviointi

Sisäinen valvonta perustuu riskien tunnistamiseen ja arviointiin. Riskejä tunnistetaan ja arvioidaan systemaattisesti osana Posti-konsernin riskienhallintajärjestelmää. Riskit voivat olla strategisia, toiminnallisia, taloudellisia, tai liittyä lakien ja määräysten noudattamiseen tai ympäristöön. Myös väärinkäytösten riskit arvioidaan osana tätä prosessia.

3. Kontrollitoimenpiteet

Kontrollit perustuvat dokumentoituihin prosessikuvauksiin ja prosessien avainriskeihin. Kontrollitoimenpiteitä suoritetaan organisaation kaikilla tasoilla. Niitä ovat mm. tarkistukset, hyväksynnät, suoritusten arvioinnit, työtehtävien eriyttäminen, IT-järjestelmien ja käyttäjäoikeuksien valvonta sekä paikan päällä tapahtuvat omaisuuden tarkistukset. Osa kontrolleista on automatisoitu.

4. Seuranta

Kontrollitoimenpiteiden seuranta on osa päivittäistä toimintaa ja johtamista ja siihen liittyviä arviointeja. Sisäinen tarkastus arvioi sisäisen valvonnan tehokkuutta konsernissa oman riskilähtöisen vuosisuunnitelmansa perusteella. Konsernin tilintarkastajat tarkastavat taloudellisen raportoinnin kontrollien tehokkuutta osana omaa työtään. Taloudellisen raportoinnin tehokkuuskontrollit arvioidaan ulkoisen tarkastajan toimesta.

5. Viestintä ja tiedottaminen

Sisäisen valvonnan tavoitteet ja vastuut viestitään kontrollitoimenpiteitä suorittavalle henkilöstölle. Osana sisäisen valvonnan viestintää ja tiedottamista järjestetään myös koulutuksia sekä henkilöille, joiden tehtäviin kuuluu sisäisen valvonnan kehittäminen, seuranta  tai muuten sisäiset kontrollitehtävät. Sisäisen valvonnan koordinoinnista vastaava tiimi raportoi säännöllisesti valvonnan tilanteesta ja mahdollisista kontrollipuutteista, konsernin johdolle. Talousjohtaja ja konsernin sisäinen tarkastus  raportoivat säännöllisesti sisäisen valvonnan tilasta ja tehokkuudesta tarkastus-, riski- ja vastuullisuusvaliokunnalle.

Postin toimitusjohtaja vastaa sisäisen valvonnan järjestelmän järjestämisestä konsernissa. Liiketoimintaryhmien ja konsernin tukitoimintojen johtajat vastaavat sisäisen valvonnan järjestämisestä omilla alueillaan.

Linjaesimiehet eri puolilla organisaatiota toimivat ”ensimmäisenä puolustuslinjana” vastatessaan prosessien riskien hallinnoinnista ja kontrollien suorittamisesta. Sisäistä seurantaa ja valvontaa suorittavat toiminnot (kuten talous, riskienhallinta, compliance ja lakiasiat) tukevat linjaorganisaatiota näissä toiminnoissa ja toimivat ”toisena puolustuslinjana”. Sisäinen tarkastus puolestaan toimii ”kolmantena puolustuslinjana” arvioidessaan puolueettomana osapuolena sisäisen valvonnan tehokkuutta.

Riskienhallinta

Konsernin riskienhallinta perustuu ISO 31000:2018 -standardin periaatteisiin ja kattaa kaikki konsernin toiminnot ja on olennainen osa Postin strategia-, suunnittelu- ja muita prosesseja. Riskien tunnistamista, analysointia ja hallintatoimien suunnittelua tehdään jatkuvasti osana suunnitteluprosesseja ja päätöksentekoa. Konsernin riskit analysoidaan niiden todennäköisyyden ja vaikutusten perusteella. Säännöllistä riskiarviointia tehdään riskienhallinnan tarkoituksenmukaisuuden ja jatkuvan kehittämisen varmistamiseksi.

Liiketoimintaryhmien ja tukifunktioiden johto vastaa keskeisten riskien tunnistamisesta ja riittävän valvonnan toteuttamisesta. Jokainen työntekijä on vastuussa tunnistettujen riskien ilmoittamisesta omalle esimiehelleen tai linjajohdolle. Turvallisuuteen, Postin liike- tai asiakassuhteisiin tai vaatimustenmukaisuuteen liittyvien riskien ilmoittamisesta on erillisiä ohjeita.

Hallitus tarkastelee Posti-konsernin keskeisiä riskejä, riskienhallintajärjestelmää ja Postin riskinottohalukkuuden tasoa vähintään kerran vuodessa. Tarkastus-, riski- ja vastuullisuusvaliokunta vastaa Postin riskienhallintaprosessin ja sisäisen valvonnan järjestelmien riittävyyden ja tehokkuuden seurannasta ja arvioinnista sekä Posti-konsernin keskeisimpien riskien arvioinnista taloudellisen raportoinnin yhteydessä. Toimitusjohtaja ja talous- ja rahoitusjohtaja (CFO) valvovat, että riskienhallinnan periaatteet ja prosessit sisältyvät Postin johtamisjärjestelmään sekä valvonta- ja raportointiprosesseihin.

Sisäinen tarkastus

Konsernin sisäinen tarkastus tuottaa hyvän hallintotavan edellyttämiä riippumattomia arviointi-, varmistus- ja konsultointipalveluita. Näiden avulla analysoidaan konsernin liiketoimintoja
ja niiden prosesseja sekä johtamisen, riskienhallinnan, valvonnan, raportoinnin ja hallinnon tehokkuutta. Tavoitteena on auttaa tunnistamaan kehityskohteita, joilla parannetaan liiketoiminnan tehokkuutta, ennustettavuutta, tuottavuutta ja vaatimustenmukaisuutta. Sisäinen tarkastus tukee hallitusta ja konsernijohtoa niiden valvontatehtävässä. Sisäinen tarkastus -yksikkö raportoi hallinnollisesti toimitusjohtajalle ja tarkastustoiminnasta hallituksen tarkastus-, riski- ja vastuullisuusvaliokunnalle. Tarkastusten toteuttamiseen käytetään sekä yksikön omia että ulkopuolisia resursseja.