Astangu Kutserehabilitatsiooni Keskuse riskihalduse juhend

ASUTUSESISESEKS KASUTAMISEKS Märge tehtud Kehtiv kuni Alus: Teabevaldaja: Astangu Kutserehabilitatsiooni Keskus KÄSKKIRI Tallinn 08.12.2025 nr 1-3/28 Astangu Kutserehabilitatsiooni Keskuse riskihalduse juhend Astangu Kutserehabilitatsiooni Keskuse põhimääruse § 8 lõige 2 punkti 6 alusel 1. Üldsätted 1.1 Riskihalduse juhend (edaspidi juhend) reguleerib Astangu Kutserehabilitatsiooni Keskuse (edaspidi keskus) riskijuhtimise protsesside haldamist, loob alused ja määratleb organisatsioonilise korralduse riskijuhtimiseks. 1.2 Riskide juhtimine on korraldatud äriprotsesside/põhiteenuste põhiselt ja nende haldamine toimub tabeltöötlusprogrammis. 1.3 Riskijuhtimise protsessi ja selle juhendi uuendamise eest vastutab direktori asetäitja. 2. Mõisted 2.1 E-ITS – Eesti infoturbestandard, mis esitab nõuded ning juhised organisatsiooni infoturbe halduse süsteemi käivitamiseks, rakendamiseks, käigus hoiuks ja täiustamiseks. Keskus rakendab E-ITS-i. 2.2 Risk – määramatuse mõju eesmärkidele. 2.3 Riskijuhtimine – kooskõlastatud tegevused organisatsiooni suunamiseks ja ohjeks riski silmas pidades. 2.4 Riskinorm – riskitase või tüüp, mida asutus soovib järgida või säilitada, mille talumiseks või säilitamiseks oma eesmärkide nimel on organisatsioon valmis. 2.5 Riskitase – riski või riskide ühendi suurus, väljendatuna tagajärgede ja nende võimalikkuse kombinatsioonina. 2.6 Huvigrupp – isik, isikute ring või organisatsioon, kes võib mõjutada mingit otsust või tegevust, keda võib mingi otsus või tegevus mõjutada või kes võib ennast pidada mõjutatuks mingi otsuse või tegevuse poolt. 2.7 Sündmus – konkreetsete asjaolude kogumi esinemine või muutumine. 2.8 Tagajärg – sündmuse tulemus, mis mõjutab eesmärke. Tagajärgi võib väljendada kvalitatiivselt või kvantitatiivselt. 2.9 Välis- ja sisekontekst – keskkond, milles organisatsioon määratleb ja saavutab oma eesmärke.  ASUTUSESISESEKS KASUTAMISEKS 2.10 Aktsepteeritud risk – risk, mida juhtkond aktsepteerib (st ei leita lisaturvameetmeid riski minimeerimiseks või pole see majanduslikult otstarbekas). 2.11 (Leevendus)meede – riski muutev abinõu, tegevused riski minimeerimiseks. 3. Riskihalduse protsessi üldpõhimõtted 3.1 Riskijuhtimise protsess on juhtimise ja otsuste langetamise lahutamatu osa ja lõimitud organisatsiooni struktuuri, toimingutesse ja protsessidesse. Riskijuhtimine on osa igapäevasest keskuse tööst, mida viiakse ellu strateegilisel, tööplaani, äriprotsessi/ teenuse ja projekti tasandil. 3.2 Käsitlusala, konteksti ja kriteeriumide kokku leppimise eesmärk on kohandada riskijuhtimise protsessi, võimaldades mõjusat riskide kaalutlemist ja asjakohast riskikäsitlust. Käsitlusala, kontekst ja kriteeriumid määratlevad protsessi käsitlusala ning välis- ja sisekonteksti mõistmise. 4. Rollid ja vastutus 4.1 Juhtkond: 4.1.1 tagab piisavad ressursid riskihalduse protsessi rakendamiseks, 4.1.2 kinnitab riskijuhtimise põhimõtted ja korralduse ning määratleb asutuse riskinormi; 4.1.3 kooskõlastab riskianalüüsist esile kerkivad kriitilised riskid koos lisaturvameetmete ja jääkriskidega; 4.1.4 aktsepteerib taasesitatavas vormis, lähtuvalt riskide hindamisest, riskid; 4.1.5 annab tagasiside ja parendusettepanekud riskihalduse protsessi toimimisele. 4.2 Riskijuht: 4.2.1 töötab välja ja haldab riskijuhtimise protsessi; 4.2.2 nõustab riskihalduse protsessi osas; 4.2.3 seirab ja analüüsib riskihalduse protsessi; 4.2.4 annab juhtkonnale perioodilisi ülevaateid riskiregistri seisust ja tulemustest. 4.3 Riskiomanik: 4.3.1 tagab oma vastutusvaldkonnas riskide tuvastamise ja nende dokumenteerimise; 4.3.2 viib läbi riskide kaalutlemise ja käsitlemise, sh tagab riskide leevendusmeetmete määramise, integreerimise tööplaani ja nende elluviimise; 4.3.3 teostab seiret leevendusmeetmete täitmise üle; 4.3.4 kirjeldab ning teeb ettepaneku jääkriski aktsepteerimiseks. 5. Riskide kaalutlemine 5.1 Riskide kaalutlemine on riskide tuvastamise, analüüsimise ja hindamise protsess, mida viiakse ellu süstemaatiliselt ja korduvalt. Riskide kaalutlemine viiakse läbi tabeltöötlusprogrammis riskianalüüsi hindamislehel. 5.2 Äriprotsessidele määratakse kaitsetarve kasutades E-ITS tugirakendust eits.ria.ee. 5.3 Kaitsetarbe määramisel hinnatakse äriprotsessi konfidentsiaalsusele, terviklusele ja kättesaadavusele mõju järgmistest aspektidest: 5.3.1 Ülesannete täitmise võime kadu 5.3.2 Seaduste ja lepingute rikkumine 5.3.3 Inimeste elu ja tervise ning keskkonna ohustamine 5.3.4 Majanduslik ja rahaline kahju 5.3.5 Mainekahju ja kodanike turvatunde vähenemine 5.4 Riski tuvastamise eesmärk on riskiallikate ja sündmuste ning nende põhjuste ja võimalike tagajärgede tuvastamine. Riski tuvastamisel kirjeldatakse riski ja määratakse riskiomanik. 5.5 Riskile määratakse riskiomanik, kellel peab olema pädevus tagada riski leevendamine või teha ettepanek jääkriski otsustamiseks. Riskiomanik on aruandekohustuslik tema 2  ASUTUSESISESEKS KASUTAMISEKS vastutusalasse kuuluvate riskide haldamise osas. Riskiomanikuks on reeglina teenuse omanik. 5.6 Riske tuvastatakse põhiliselt, kuid mitte ainult, järgmiste tegevuste kaudu: 5.6.1 intervjuud, arutelud fookusgruppides, küsimustikud; 5.6.2 auditid, uuringud, analüüsid; 5.6.3 intsidentide, kogemuste ja vigade analüüsimine. 5.7 Riskianalüüsi eesmärk on mõista riski olemust ja selle omadusi, selgitada välja riskitase. Riskianalüüs hõlmab määramatuse, riskiallikate, tagajärgede, tõenäosuse, sündmuste, stsenaariumide, ohjete ja nende mõjususe üksikasjalikku arvesse võtmist. Sündmusel võib olla mitu põhjust ja tagajärge ning ta võib mõjutada mitut eesmärki. Riskianalüüs loob aluse riski hindamiseks ja käsitluseks. 5.8 Riskianalüüs võib toimuda erineva detailsuse ja keerukusega olenevalt analüüsi eesmärgist, teabe kättesaadavusest ja usaldusväärsusest ning olemasolevatest ressurssidest. 5.9 Riskianalüüsis tuleb käsitleda vähemalt järgmist: 5.9.1 riski võimalikud negatiivsed tagajärjed; 5.9.2 seni rakendatud leevendusmeetmed; 5.9.3 võimalikud täiendavad leevendusmeetmed ja nende rakendamiseks vajalik ressurss; 5.9.4 määrata riski kategooria. 5.10 Riski kategoriseerimisel, kasutatakse selleks järgnevaid riskikategooriaid: 5.10.1 strateegiline risk – risk, mis realiseerumisel seab ohtu asutuse strateegiliste eesmärkide saavutamise, näiteks vale planeerimine või koostöö puudumine huvigruppidega jmt; 5.10.2 tegevusrisk – risk, mis tuleneb ebapiisavatest või puuduvatest protsessidest või tegevustest asutuse sees, näiteks ebatõhus juhtimine või valed otsused, IT-riskid, personaliga seotud riskid, töökeskkonna riskid, inimlikud eksimused jmt; 5.10.3 mainerisk – risk, mis realiseerumisel mõjutab negatiivselt asutuse tajumist kolmandate isikute poolt, reputatsiooni avalikkuse silmis, näiteks ebaõige info avaldamine, konfidentsiaalse info lekkimine, negatiivne meediakajastus jmt; 5.10.4 finantsrisk – risk, mis realiseerumisel ähvardab kaasa tuua (tõsiseid) rahalisi kaotusi, näiteks ebaõige finantsplaneerimine või aruandlus, finantskahju jmt; 5.10.5 aruandlusrisk – risk, mille tulemusena võib juhtkond langetada valesid juhtimisotsuseid, näiteks ebaõige alusinfo aruandluse koostamisel, väära mulje kujunemine aruandluse tõlgendamisel jmt; 5.10.6 vastavusrisk – risk, mille realiseerumisel ei vasta asutuse tegevus õigusaktides sätestatud nõuetele ja ei ole tagatud nende järgimine, näiteks õigusruumi ebaõige tõlgendamine tegevuse käigus või selle arvestamata jätmine, teadaoleva audititulemuse arvestamata jätmine jmt; 5.10.7 väliskeskkonna risk – risk, mis tuleneb asutuse välisest tegevusest ja mille haldamine ei ole asutuse töötajate võimuses, näiteks vääramatu jõud, planeerimata õigusruumi muudatus jmt; 5.10.8 pettuse risk – risk, mis hõlmab ebaseaduslikke tegusid, mis võidakse korda saata organisatsiooni kasuks või kahjuks ja nii organisatsioonisiseste või- väliste isikute poolt ja mida iseloomustab tahtlus, näiteks korruptsioon, õigusakti rikkumine jmt. 5.11 Riskihindamise eesmärk on teha kindlaks, kas riskitase on talutav ning seeläbi keskusele aktsepteeritav. Riskihindamisel võrreldakse riskianalüüsi tulemusi kehtestatud riskikriteeriumidega ja otsustatakse, kus on vaja rakendada lisameetmeid. 5.12 Riskihindamine võib viia otsuseni: 5.12.1 rohkem meetmeid mitte rakendada; 5.12.2 kaaluda riskikäsitlusvõimalusi; 5.12.3 riski paremaks mõistmiseks seda täiendavalt analüüsida; 3  ASUTUSESISESEKS KASUTAMISEKS 5.12.4 hoida olemasolevad meetmed toimivana; 5.12.5 üle vaadata eesmärgid. 5.13 Riskihindamisel juhindutakse järgnevas punktis kokku lepitud metoodikast. 6. Riskide hindamise metoodika 6.1 Riskide hindamine hõlmab riski avaldumise tõenäosuse/esinemise sageduse ja mõju hindamist olemasolevate rakendatud meetmete põhjal. 6.2 Riski mõju on kahju, mida võib konkreetse riski avaldumine organisatsioonile põhjustada. 6.3 Riski mõju jaguneb neljaks: 6.3.1 Tühine 6.3.2 Piiratud 6.3.3 Tõsine 6.3.4 Ähvardab organisatsiooni olemasolu 6.4 Riski tõenäosus on riski realiseerumise sagedus. 6.5 Riski tõenäosus jaguneb neljaks: 6.5.1 Harv 6.5.2 Keskmine 6.5.3 Sage 6.5.4 Väga sage 6.6 Riski mõju ja tõenäosuse hindamise tulemusena leitakse nende koostoimes riskitase, lähtudes järgneval joonisel toodud riskimaatriksist. Joonis 1: Riskimaatriks 6.7 Riskimaatriksi alusel tuvastatakse riskiskoor, mille alusel seatakse riskide käsitlemiseks prioriteedid vastavalt joonisel 1 toodud legendile. 7. Riskikäsitlus 7.1 Riskikäsitlus on protsess riski muutmiseks, vältimiseks või kõrvaldamiseks, mille käigus valitakse eelnevalt kaalutletud riskidele vastavad leevendusmeetmed. 7.2 Riskikäsitluses valitakse riskikäsitlusviisid, kavandatakse ja viiakse valitud käsitlusviis ellu, hinnatakse selle tegevuse mõjusust ja hinnatakse jääkriski aktsepteerimise võimalikkust. 7.3 Kui jääkrisk ei ole aktsepteeritav, tuleb meetmete kavandamist jätkata. 7.4 Riskide käsitlemise võimalused hõlmavad ühte või mitut järgmist riskihalduse viisi: 7.4.1 aktsepteerimine – riskimine või riski suurendamine mingi eesmärgi nimel; 7.4.2 vähendamine – leevendusmeetmete rakendamise teel; riski esinemise tõenäosuse või riski realiseerumise tagajärgede võimalikkuse muutmise teel; 4  ASUTUSESISESEKS KASUTAMISEKS 7.4.3 vältimine – otsus riski põhjustavat tegevust mitte alustada või see tegevus lõpetada; riskiallika kõrvaldamine; 7.4.4 üle kandmine – näiteks kindlustuslepingu sõlmimine. 7.5 Riskinormi ületavate riskide puhul on leevendusmeetmete valimine ja rakendamine riskikäsitluses kohustuslik. Leevendusmeetmete valikul tuleb lähtuda konkreetsest riskist ja riskiskoorist. 7.6 Leevendusmeetmetest tulenevad tegevused kajastatakse keskuse tööplaanis. 7.7 Planeeritud leevendusmeetmete tähtaegse täitmise eest vastutab riskiomanik. Tegevuste elluviimist kontrollib riskijuht koostöös riskiomanikuga vähemalt kord kvartalis. 7.8 Jääkriski aktsepteerimise otsus tuleb fikseerida koos aktsepteerimise põhjendusega juhtkonna otsusena. 8. Seire ja ülevaatus 8.1 Seire ja ülevaatuse eesmärk on tagada ja parendada riskihalduse protsessi ja selle elluviimist ning hinnata tulemuste kvaliteeti ja mõjusust. 8.2 Riske seiravad järjepidevalt riskijuht ja riskiomanikud. 8.3 Määratud kaitsetarbe ajakohasust kontrollivad riskijuht ja riskiomanikud vähemalt korra aastas või iga suurema muudatuse korral. 8.4 Riskiregistri ja jääkriskide ülevaate esitab riskijuht juhtkonnale kinnitamiseks kord poolaastas. 9. Lõppsätted 9.1 E-ITSi rakendamisel on lähtutud korras kirjeldatud riskide hindamisest. 9.2 Juhend jõustub selle allkirjastamisel. (allkirjastatud digitaalselt) Veronika Kaska direktori asetäitja direktori ülesannetes 5