# Közzététel: VB-142/2026. (IX. 1.) sz. határozat / Bevezető A Budapesti Corvinus Egyetem Kockázatkezelési Szabályairól 1 (1) Az államháztartásról szóló 2011. évi CXCV. törvény rendelkezései alapján, továbbá a költségvetési szervek belső kontrollrendszeréről és belső ellenőrzéséről szóló 370/2011. (XII. 31.) Korm. rendelet (továbbiakban: Kormányrendelet) értelmében, az Budapesti Corvinus Egyetem (továbbiakban: BCE vagy Egyetem), mint a kormányzati szektorba sorolt egyéb szervezet az államháztartás egyensúlyának és a közpénzekkel való áttekinthető, hatékony, ellenőrizhető gazdálkodás garanciáinak megteremtése céljából belső kontrollrendszert működtet. Az Egyetemnél a rektor felelős a belső kontrollrendszer keretében – a szervezet minden szintjén érvényesülő – megfelelő kontrollkörnyezet, integrált kockázatkezelési rendszer, kontrolltevékenységek, információs és kommunikációs rendszer, és nyomon követési rendszer (monitoring) kialakításáért, működtetéséért és fejlesztéséért. (2) A belső kontrollrendszer tartalmazza mindazon elveket, eljárásokat és belső szabályzatokat, melyek biztosítják, hogy a) az Egyetem valamennyi tevékenysége és célja összhangban legyen a szabályszerűséggel, szabályozottsággal, valamint a gazdaságosság, hatékonyság és eredményesség követelményeivel, b) az eszközökkel és forrásokkal való gazdálkodásban ne kerüljön sor pazarlásra, visszaélésre, rendeltetésellenes felhasználásra, c) megfelelő, pontos és naprakész információk álljanak rendelkezésre az Egyetem működésével kapcsolatosan, és d) a belső kontrollrendszer harmonizációjára és összehangolására vonatkozó jogszabályok végrehajtásra kerüljenek a módszertani útmutatók figyelembevételével. # 1. § / I. Általános rendelkezések / A Rendelkezés célja 1. § (1) Jelen Rendelkezés célja, hogy meghatározza az Egyetem kockázatkezelési rendszerének alapelveit, működési kereteit, eljárásrendjét, valamint a kockázatkezelésben részt vevő szervezeti szereplők feladatait, felelősségi és beszámolási rendjét. A Rendelkezés továbbá rögzíti az integritást sértő események (incidensek) rendjét, beleértve ezek azonosításának, bejelentésének, kivizsgálásának, kezelésének és nyomon követésének folyamatát. (2) A Rendelkezés végrehajtásával az Egyetem hozzájárul a belső kontrollrendszer jogszabályoknak megfelelő működtetéséhez, valamint ahhoz, hogy a kiépített kontrollok hatékonyan támogassák a kockázatok kezelését, az intézményi célok elérését és a szervezet integritásának erősítését. (3) Tekintettel arra, hogy az Egyetem a hatályos jogszabályok alapján köteles integrált kockázatkezelési rendszert működtetni, a jelen Rendelkezés meghatározza az intézményi kockázatkezelési folyamatok rendjét, a feladatok koordinációjával és összehangolásával kapcsolatos teendőket, valamint a folyamatokban részt vevő szervezeti egységek és személyek szerepét. (4) Az Egyetem kockázatkezelési rendszere a belső kontrollrendszer szerves részét képezi, amely a Kormányrendeletben meghatározott követelményeknek megfelelően kerül kialakításra és működtetésre. (5) Az Egyetem kockázatkezelési tevékenysége keretében rendszeresen azonosítja a tevékenységében és gazdálkodásában rejlő kockázatokat, értékeli azok jelentőségét, meghatározza a szükséges kockázatkezelési intézkedéseket, valamint biztosítja azok végrehajtásának folyamatos nyomon követését. (6) A kockázatkezelési rendszer célja különösen, hogy támogassa az egyetem stratégiai és operatív céljainak megvalósítását, biztosítsa az intézmény működésének jogszerűségét és szabályszerűségét, elősegítse a gazdálkodás gazdaságosságát, hatékonyságát és eredményességét, csökkentse a működési, pénzügyi, jogi és reputációs kockázatokat, valamint támogassa a vezetői döntéshozatalt. (7) A kockázatkezelési rendszer alkalmazásával az Egyetem törekszik arra, hogy a működés során felmerülő bizonytalanságokat és kockázatokat időben felismerje, értékelje és a szükséges intézkedések meghozatalával hatékonyan kezelje. # 2. § / A Rendelkezés hatálya / Fogalmak 2. § (1) A jelen Rendelkezés hatálya kiterjed az Egyetem teljes szervezetére, így különösen: a) az Egyetem vezetőire, b) az Egyetem SZMR-ében nevesített valamennyi szervezeti egységére, c) az Egyetem munkavállalóira, d) az Egyetem minden hallgatójára, e) az Egyetemmel szerződéses viszonyban álló jogi és nem jogi személyekre. (2) A Rendelkezés tárgyi hatálya kiterjed valamennyi tevékenység keretében ellátott kockázatkezelési feladatra. # 3. § / A Rendelkezés hatálya / Fogalmak 3. § (1) Bejelentő: Az a személy, aki az incidenst észleli és azt bejelenti a kijelölt csatornán keresztül. (2) Gyökérok-elemzés (Root-cause analysis): A szervezeti integritást sértő esemény (incidens) mögöttes, rendszerszintű okainak azonosítására irányuló strukturált elemzési folyamat. (3) Helyesbítő intézkedés (Remediation): Az incidens következményeinek megszüntetésére, valamint a jövőbeni előfordulás megelőzésére irányuló intézkedés. (4) Kockázat: alatt pontosan előre nem látható, de azért nem elhanyagolható eséllyel, véletlenszerűen esetleg bekövetkező – tehát csak még be nem következett – eseményt értünk. Fontos további ismérve a kockázatnak, hogy mindig kapcsolatban van a szervezet célkitűzéseivel, hiszen azok elérésének lehetőségét csökkenti, illetve meggátolja. (5) A kockázatok különösen az alábbi területeken jelentkezhetnek: a) stratégiai kockázatok b) működési kockázatok c) pénzügyi kockázatok d) szabályozási kockázatok e) reputációs kockázatok (6) Kockázatkezelés: olyan rendszeres és strukturált folyamat, amelynek során az Egyetem azonosítja, értékeli, kezeli és nyomon követi a működését befolyásoló kockázatokat. A kockázatkezelés célja a kockázatok elfogadható szintre csökkentése, valamint az intézményi célok elérésének támogatása. (7) Kockázati szint: az adott kockázat jelentőségét kifejező mutató, amely a kockázat bekövetkezési valószínűségének és az esetleges hatásának együttes értékelésén alapul. A kockázati szint alapján meghatározható a kockázat prioritása és a szükséges kockázatkezelési intézkedések mértéke. (8) Kockázati étvágy (Risk Appetite): az a kockázati szint, amelyet az Egyetem vezetése a szervezeti célok elérése érdekében elfogadhatónak tart. A kockázati étvágy meghatározza azt a keretet, amelyen belül az intézmény működése során kockázatot vállalhat. (9) Kontroll: minden olyan intézkedés, eljárás vagy mechanizmus, amelynek célja a kockázatok megelőzése, csökkentése vagy kezelése, valamint annak biztosítása, hogy az Egyetem működése jogszerűen, szabályszerűen és hatékonyan történjen. (10) Integrált kockázatkezelési rendszer: olyan folyamatalapú kockázatkezelési rendszer, amely a szervezet minden tevékenységére kiterjed, egységes módszertan és eljárások alkalmazásával, a szervezet célkitűzéseinek és értékeinek figyelembevételével biztosítja a szervezet kockázatainak teljes körű azonosítását, azok meghatározott kritériumok szerinti értékelését, valamint a kockázatok kezelésére vonatkozó intézkedési terv elkészítését és az abban foglaltak nyomon követését. (11) Integritási kockázat: az Egyetem célkitűzéseit, értékeit, elveit sértő vagy veszélyeztető visszaélés, szabálytalanság, vagy egyéb esemény lehetősége. (12) Integritást sértő esemény kezelése (Incidens): az incidensek teljes életciklusát lefedő folyamat, amely magában foglalja az események azonosítását, bejelentését, # 3. § / Fogalmak / Alapelvek kivizsgálását, kezelését, valamint az utókövetést, biztosítva a szükséges intézkedések meghozatalát, a jogszerű és etikus működés helyreállítását, valamint a hasonló események jövőbeni megelőzését. (13) Szabálytalanság: valamely létező szabálytól való eltérés. A szabálytalanságok fogalomköre igen széles, korrigálható mulasztások, vagy hiányosságok, illetve fegyelmi-, büntető-, szabálysértési-, illetve kártérítési eljárás megindítására okot adó cselekmények egyaránt beletartoznak. (14) Incidens: Minden olyan esemény vagy körülmény, amely eltér a szervezetre vonatkozó jogszabályoktól, belső szabályzatoktól, valamint a szervezeti célkitűzéseknek, értékeknek és elveknek megfelelő működéstől, és amely az Egyetem működését, erőforrásait, jogszabályi megfelelését vagy jó hírnevét negatívan érinti vagy veszélyezteti. # 4. § / Alapelvek / A kockázatkezelés szervezeti felelősei 4. § (1) Megelőzés elve: A kockázatkezelési rendszer elsődleges célja a kockázatok korai felismerése és a kedvezőtlen események megelőzése. Ennek érdekében az Egyetem törekszik a potenciális kockázatok időben történő azonosítására és a megfelelő megelőző intézkedések meghatározására. (2) Átláthatóság és dokumentáltság elve: A kockázatkezelési folyamat minden lépése – különösen a kockázatok azonosítása, értékelése és kezelése – dokumentált módon történik. A dokumentáltság biztosítja az átláthatóságot, az ellenőrizhetőséget és az elszámoltathatóságot. (3) Arányosság elve: A kockázatkezelési intézkedések mértékének arányban kell állnia az adott kockázat jelentőségével és várható hatásával. A kockázatok kezelése során törekedni kell arra, hogy a kontrollok kialakítása ne jelentsen indokolatlan adminisztratív vagy működési terhet. (4) Folyamatos nyomon követés és fejlesztés elve: A kockázatkezelési rendszer működését rendszeresen felül kell vizsgálni, és szükség esetén fejleszteni kell annak érdekében, hogy az alkalmazkodjon az intézmény működésében, környezetében vagy a jogszabályi keretekben bekövetkező változásokhoz. # 5. § / Alapelvek / A kockázatkezelés szervezeti felelősei 5. § (1) Operatív főigazgató: Az operatív főigazgató felelős az Egyetem belső kontrollrendszerének, valamint az integrált kockázatkezelési rendszer kialakításáért és működtetéséért. Ennek keretében biztosítja a kockázatkezelési rendszer működéséhez szükséges szervezeti és működési feltételeket. (2) Szervezeti egységek vezetői: Szervezeti egységek vezetői alatt az Egyetem mindenkor hatályos Szervezeti és Működési Rendjében meghatározott vezetőket kell érteni. A szervezeti egységek vezetői felelősek az általuk irányított területek működéséhez kapcsolódó kockázatok feltárásának támogatásáért, az újonnan felmerülő kockázatok azonosításáért és bejelentéséért, valamint a kockázatok kezeléséhez szükséges intézkedések végrehajtásáért a Risk & Compliance Officer szakmai iránymutatása mellett. (3) Belső ellenőrzési, kockázatkezelési és compliance tisztviselő (továbbiakban Risk Officer): Az Operatív főigazgató jelöli ki a Risk Officert, aki az Egyetem Szervezeti és Működési Rendjében meghatározott compliance és az integrált kockázatkezeléssel kapcsolatos feladatok ellátásáért felelős. A Risk Officer felelős az Egyetem integrált kockázatkezelési rendszerének operatív működtetéséért és szakmai koordinációjáért. Feladata különösen az intézményi kockázatok azonosításának és értékelésének szervezése, a kockázatok feltárása, azonosítása, értékelése és besorolása, a kockázati nyilvántartás vezetése, valamint az egyetemi szintű kockázati térkép elkészítése és rendszeres felülvizsgálata. A Risk Officer kialakítja és működteti a kockázatkezelési módszertant, támogatja a szervezeti egységeket a kockázatok felmérésében és kezelésében, továbbá biztosítja a kockázatkezelési tevékenységek dokumentálását és a folyamatok összehangolását az Egyetem szervezeti egységei között. A Risk Officer továbbá felelős az incidenskezelési folyamat koordinációjáért, ennek keretében biztosítja az incidensek bejelentésének, kivizsgálásának, nyilvántartásának és az ahhoz kapcsolódó helyesbítő intézkedések végrehajtásának egységes és szabályozott működését az Egyetem egészében. A Risk Officer közvetlenül az operatív főigazgatónak tartozik beszámolási kötelezettséggel. Szükség esetén közvetlenül jelentést tesz a rektornak, valamint a fenntartónak is. # 6. § / II. A kockázatkezelés folyamata / Kockázatok azonosítása 6. § (1) A kockázatok azonosítása a kockázatkezelési folyamat kiinduló lépése, amelynek célja azon események, tényezők és körülmények feltárása, amelyek az Egyetem stratégiai vagy operatív céljainak megvalósítását kedvezőtlenül befolyásolhatják. (2) A kockázatfelmérés során meghatározásra kerül a kockázati univerzum (kockázati nyilvántartás), amely az Egyetem működésével összefüggő valamennyi releváns kockázat összességét foglalja magában. A feltárt kockázatok ezt követően rendszerezésre kerülnek annak érdekében, hogy bekövetkezési valószínűségük és várható hatásuk alapján összehasonlíthatók és rangsorolhatók legyenek. A kockázati univerzumot a Risk Officer készíti elő, az operatív főigazgató validálja, és az EXCO hagyja jóvá. (3) A kockázatok azonosítása az Egyetem teljes tevékenységi körére kiterjed. A kockázatok feltárása során figyelembe kell venni a szervezeti célokat, a működési folyamatokat, a szabályozási környezet változásait, a korábbi ellenőrzések és auditok megállapításait, továbbá a működés során tapasztalt problémákat és incidenseket. (4) A kockázatok azonosítása során a szervezeti egységek vezetői és munkatársai szakmai tapasztalataikkal közreműködnek a saját szakterületükhöz kapcsolódó kockázatok Risk Officer általi feltárásában. A szervezeti egységek biztosítják a szükséges információkat és szakmai hátteret a kockázatok meghatározásához. (5) A kockázatok megfogalmazásakor törekedni kell arra, hogy azok egyértelműen tartalmazzák a kockázati esemény kiváltó okát, a várható hatását, valamint azt, hogy az adott esemény mely szervezeti cél elérését érintheti. (6) Az azonosított kockázatok összegyűjtését, rendszerezését és nyilvántartásba vételét a Risk Officer végzi, aki gondoskodik arról, hogy azok az intézményi kockázati nyilvántartásban rögzítésre kerüljenek, valamint arról is, hogy a szervezet által alkalmazott, a kockázatok mérséklését (mitigálását) szolgáló kontrollok az adott kockázatokhoz hozzárendelésre és dokumentálásra kerüljenek. (7) A kockázati nyilvántartás felülvizsgálata évente valamint szükség szerint – különösen jelentős szervezeti vagy működési változások esetén – megismétlésre kerül a Risk Officer által. # 7. § / Kockázatok besorolásának módszertana / Kockázatok besorolása 7. § (1) Az Egyetemen a kockázatok értékelése és priorizálása érdekében két dimenzió mentén a Risk Officer végzi el a kockázatok besorolását: a) bekövetkezési valószínűség, valamint b) hatás (következmény) mértéke. (2) A két tényező együttes értékelése alapján a kockázatok egy kockázati mátrix segítségével kerülnek besorolásra. (3) A kockázati mátrix jelen Rendelkezés 1. számú mellékletét képezi. # 8. § / Kockázatok besorolásának módszertana / Kockázatok besorolása 8. § (1) A Risk Officer a kockázatokat – azok jellegének és eredetének megfelelően – az alábbi fő kockázati kategóriákba sorolja. A kockázatok típus szerinti besorolásának célja, hogy elősegítse a felelősségi körök meghatározását, a megfelelő kontrollmechanizmusok kialakítását, valamint a célzott kockázatkezelési intézkedések meghozatalát. a) Gazdasági kockázatok: Gazdasági kockázatnak minősül minden olyan belső vagy külső eredetű esemény, körülmény vagy döntés, amely az Egyetem pénzügyi stabilitását, gazdálkodásának egyensúlyát, eredményességét, likviditását vagy költségszerkezetét kedvezőtlenül befolyásolhatja. b) Működési kockázatok: Működési kockázatnak tekintendők azok a kockázatok, amelyek az Egyetem napi működéséből, az emberi erőforrásokhoz, a nem megfelelő vagy meghiúsult munkafolyamatokhoz, az infrastrukturális erőforrások valamint rendszerek hibájához vagy kieséséhez vezethetnek, illetve külső eseményekhez kapcsolódó káreseményből erednek. c) Szabályozási kockázatok: Szabályozási kockázat minden olyan kockázat, amely jogszabályok, hatósági előírások vagy belső szabályzatok be nem tartásából, illetve azok változásából eredhet. d) Reputációs kockázatok: Reputációs kockázatnak minősül minden olyan esemény, amely az Egyetem jó hírnevét, társadalmi megítélését, szakmai hitelességét vagy az oktatási, kutatási és közszolgálati tevékenységébe vetett bizalmat negatívan befolyásolhatja. e) Stratégiai kockázatok: Stratégiai kockázatnak azok a kockázatok tekintendők, amelyek az Egyetem hosszú távú céljainak, stratégiájának vagy versenyképességének fenntarthatóságát veszélyeztetik. # 9. § / Kockázatok nyilvántartása / Kontrollnyilvántartás 9. § (1) Az Egyetem kockázatait központi kockázati nyilvántartásban kell rögzíteni. (2) A szervezeti egységek kötelesek a működésüket érintő újonnan felmerülő kockázatokat azonosítani, és azokat a Risk Officer részére bejelenteni. (3) A kockázati nyilvántartás az alábbiakat tartalmazza: a) Kockázat azonosító b) Kockázati kategória c) Alkategória d) Kockázat megnevezése e) Szervezeti egység vezetője f) Kockázat leírása g) Bekövetkezés valószínűsége h) Hatás i) Eredendő kockázati szint j) Kockázatcsökkentő intézkedések és kontrollok k) Fennmaradó valószínűség l) Fennmaradó hatás m) Fennmaradó kockázati szint (4) Kockázattípusok: a) Eredendő kockázat: a szervezeti célok megvalósítása során fennálló, a kontrollok alkalmazását megelőző kockázat. b) Fennmaradó kockázat: a kockázatkezelési intézkedések végrehajtását követően fennmaradó kockázati szint. # 10. § / Kontrollnyilvántartás / Elfogadott kockázati szint 10. § (1) A kontrollnyilvántartás célja az Egyetemen alkalmazott kontrollok egységes nyilvántartása, átláthatóságának biztosítása, valamint a kockázatok kezelését támogató kontrollkörnyezet fejlesztése. (2) A kontrollok kialakítása és nyilvántartása: a) A kontrollok az Egyetem kockázatkezelési rendszerének részeként kerülnek meghatározásra. b) A kontrollok egységes nyilvántartását a Risk Officer vezeti, biztosítva azok strukturált rögzítését, rendszeres felülvizsgálatát és aktualizálását. (3) A kontrollok alkalmazása: a) A szervezeti egységek vezetői felelősek a kontrollok saját működésükbe történő beépítéséért, valamint annak meghatározásáért, hogy azokat milyen módon, mely folyamatokban és milyen eszközökkel alkalmazzák. b) A kontrollok kialakításáért, rendelkezésre állásáért és folyamatos működtetéséért az adott szervezeti egység vezetője tartozik felelősséggel. A szervezeti egységek biztosítják továbbá, hogy a kontrollok a napi működés során ténylegesen érvényesüljenek, megfelelően működjenek, és hatékonyan támogassák a kockázatok kezelését, valamint a szervezeti célok elérését. # 11. § / III. Incidensek / Incidensek bejelentése és értesítési rend 11. § (1) Az Egyetem kockázati étvágya meghatározza azt a kockázati szintet, amelyet a szervezet a céljai elérése érdekében elfogadhatónak tart, és amely iránymutatásul szolgál a kockázatkezelési döntések és intézkedések meghatározásához. A kockázati étvágyat a Vezetői Bizottság hagyja jóvá. A kockázati étvágy évente, valamint szükség esetén soron kívül felülvizsgálatra kerül. A kockázati étvágy jelen Rendelkezés 2. számú mellékletét képezi. # 12. § / Incidensek bejelentése és értesítési rend / Incidensek kezelésének folyamata 12. § (1) Minden érintett köteles haladéktalanul bejelenteni az általa észlelt incidenst a kijelölt bejelentőlap kitöltésével a Risk Officer részére. Az incidens bejelentőlap az Egyetem belső intranet felületén érhető el. (2) Az incidens jellegétől függően az incidenst felfedő érintett az alábbi személyek felé teszi meg a bejelentést: a) Szervezeti egység vezetője – minden esetben b) Risk Officer – minden esetben c) Adatvédelmi tisztviselő (DPO) – személyes adatot érintő incidens esetén d) IT vezető / információbiztonsági felelős – IT vagy kiberbiztonsági incidens esetén e) Pénzügyi vezető – pénzügyi érintettség esetén f) Jogi vezető # 13. § / Incidensek bejelentése és értesítési rend / Incidensek kezelésének folyamata 13. § (1) Kapcsolatfelvétel és információgyűjtés: A Risk Officer a bejelentést követően haladéktalanul kapcsolatba lép a Bejelentővel és szükség esetén további információkat, dokumentumokat kér be az incidens pontos körülményeinek tisztázása érdekében. Ennek keretében pontosítja az esemény időpontját, helyét, érintettjeit, lehetséges hatásait, valamint az esetleges azonnali intézkedéseket, biztosítva a rendelkezésre álló információk teljességét és megbízhatóságát a további kivizsgálás megalapozásához. (2) Érintett szakterületek bevonása: A Risk Officer az incidens jellegének megfelelően haladéktalanul felveszi a kapcsolatot az érintett szervezeti egységekkel, és koordinálja azok együttműködését a kivizsgálás során. Ennek keretében meghatározza a szükséges információszolgáltatás körét, határidőket állapít meg, biztosítja az érintett területek közötti információáramlást, valamint felügyeli, hogy a kivizsgáláshoz szükséges adatok és dokumentumok teljes körűen és időben rendelkezésre álljanak. (3) Incidens kivizsgálása: A Risk Officer felelős az incidens részletes feltárásáért és a tényállás teljes körű tisztázásáért, amelynek keretében elemzi az esemény lefolyását, azonosítja az érintett folyamatokat, rendszereket és szereplőket, valamint értékeli az incidens okait és következményeit. Biztosítja, hogy a kivizsgálás objektív, dokumentált és bizonyítékokon alapuló módon történjen, megalapozva ezzel a további intézkedések meghatározását. (4) Gyökérok-elemzés: A Risk Officer feltárja az incidens kiváltó okait és hiányosságokat, amelynek keretében strukturált gyökérok-elemzést végez. Ennek során vizsgálja a folyamatok, kontrollok és szervezeti működés hiányosságait, értékeli azok hozzájárulását az incidens bekövetkezéséhez, valamint azonosítja azokat a tényezőket, amelyek a jövőbeni hasonló események kockázatát növelhetik. # 14. § / Helyesbítő intézkedések (Remediation) / Incidensek nyilvántartása 14. § (1) Intézkedések meghatározása: A Risk Officer az incidens kivizsgálását követően – a tárgyi ügyben hatáskörrel rendelkező vezetővel lefolytatott egyeztetést – követően meghatározza a szükséges helyesbítő intézkedéseket. Ennek keretében felhívja az érintett szervezeti egységek figyelmét a szükséges intézkedésekre, valamint kijelöli a végrehajtandó helyesbítő intézkedéseket. (2) Akcióterv: Az incidens kezelésére intézkedési terv (akcióterv) készül, amely tartalmazza a végrehajtandó feladatokat, a felelősöket és a teljesítési határidőket. A Risk Officer nyomon követi az akcióterv végrehajtását, és szükség esetén intézkedik a késedelmek vagy hiányosságok kezeléséről. (3) Kontrollok beépítése: A Risk Officer ellenőrzi, hogy a meghatározott kontrollok beépítésre kerültek-e az érintett folyamatokba. Biztosítja, hogy a bevezetett intézkedések és kontrollok alkalmasak legyenek a hasonló incidensek jövőbeni megelőzésére. (4) Kommunikáció és értesítés: A szervezeti egység vezetője az incidenskezelési folyamat lezárását követően tájékoztatja a Bejelentőt az incidens kezelésének eredményéről, a megtett intézkedésekről és – amennyiben releváns – a további lépésekről. A Risk Officer az incidens jellegétől és súlyosságától függően tájékoztatja a Rektort, valamint szükség esetén a Vezetői Bizottságot a kivizsgálás eredményéről, a feltárt kockázatokról és a meghozott intézkedésekről. # 15. § / Incidensek nyilvántartása / Záró rendelkezések 15. § (1) Minden incidens rögzítésre kerül egy központi incidensnyilvántartásban. (2) A nyilvántartás alapját az incidens bejelentőlap, valamint a kivizsgálás során keletkezett valamennyi releváns dokumentum képezi. (3) A nyilvántartás tartalmazza különösen az incidens azonosításához, kivizsgálásához és kezeléséhez szükséges adatokat, ideértve az incidens leírását, időpontját, érintett szervezeti egységeket, a megtett intézkedéseket és azok státuszát. (4) A nyilvántartás vezetése során biztosítani kell az adatok pontosságát, teljességét és naprakészségét, határidő nélküli elektronikus kereshetőségét, valamint az incidensek visszakövethetőségét és auditálhatóságát. (5) A nyilvántartás kezeléséért és folyamatos aktualizálásáért a Risk Officer felelős. # 16. § / Elhanyagolható / (1) 16. § (1) A Risk Officer évente jelentést készít a Vezetői Bizottság és a fenntartó részére, valamint rendszeres beszámol az operatív főigazgató felé, szükség esetén a Rektor részére is jelentést tesz. (2) A Risk Officer évente tájékoztatást nyújt a belső ellenőrzés részére az Egyetem kockázatainak alakulásáról, különös tekintettel a jelentős kockázatokra és a megtett intézkedésekre. (3) Amennyiben jogszabályi módosulás folytán a jogszabály és a jelen Rendelkezés rendelkezése egymásnak ellentmond, a hatályos jogszabályi rendelkezések az irányadók. A Risk Officer évente, illetve jogszabályi változás esetén haladéktalanul köteles felülvizsgálni a jelen Rendelkezés rendelkezéseit, valamint a szervezetet érintő kockázatokat és szükség esetén gondoskodik azok aktualizálásáról a jogszabályi, szervezeti és működési változások figyelembevételével. (4) Jelen Rendelkezést a Vezetői Bizottság VB–142/2026. (IX. 1.) sz. határozatával hagyta jóvá. (5) Jelen Rendelkezés 2026. szeptember 9. napján lép hatályba és egyidejűleg a Szenátus 2016. december 19-i ülésén az SZ–63/2016/2017 (2016. XII. 19.) számú határozattal elfogadott Integrált Kockázatkezelési Szabályzat hatályát veszíti. Mellékletek: 1. számú melléklet: Kockázati Mátrix 2. számú melléklet: Kockázati étvágy 1. sz. melléklet Előfordulás/Hatás Biztosra Mérsékelt (5) Magas (10) Magas (15) Kritikus (20) Kritikus (25) vehető (5) Valószínű (4) Alacsony (4) Mérsékelt (8) Magas (12) Magas (16) Kritikus (20) Mérsékelt (3) Alacsony (3) Mérsékelt (6) Mérsékelt (9) Magas (12) Magas (15) Valószínűtlen Alacsony (2) Alacsony (4) Mérsékelt (6) Mérsékelt (8) Magas (10) (2) Ritka (1) Alacsony (1) Alacsony (2) Alacsony (3) Alacsony (4) Mérsékelt (5) 2. sz. melléklet # 16. § / fennmaradó kockázatok. / TARTALOMJEGYZÉK Kockázati Általános Fennmaradó kockázati Kockázati étvágy meghatározása kategória kockázati szintek toleranciája Gazdasági Elfogadható: Az Egyetem kész mérsékelt szintű Alacsony–mérsékelt Szabályozási fennmaradó kockázatok. étvágya a jogszabályok, szabályozói korlátozottak és aktívan alacsony szinten kell tartani; Működési Elfogadható: Az Egyetem elfogadja a komplex Alacsony–mérsékelt Reputációs Alacsony–mérsékelt fennmaradó kockázatok, jelentősen károsíthatják akadémiai, Stratégiai Mérsékelt Elfogadható: Az Egyetem a stratégiai fejlesztés, 14/2026. vezetői bizottsági rendelkezés 1 A Budapesti Corvinus Egyetem Kockázatkezelési Szabályairól 1 Bevezető 1 I. Általános rendelkezések 1 A Rendelkezés célja 1 A Rendelkezés hatálya 2 Fogalmak 2 Alapelvek 3 A kockázatkezelés szervezeti felelősei 4 II. A kockázatkezelés folyamata 4 Kockázatok azonosítása 4 Kockázatok besorolásának módszertana 5 Kockázatok besorolása 5 Kockázatok nyilvántartása 6 Kontrollnyilvántartás 6 Elfogadott kockázati szint 6 III. Incidensek 7 Incidensek bejelentése és értesítési rend 7 Incidensek kezelésének folyamata 7 Helyesbítő intézkedések (Remediation) 7 Incidensek nyilvántartása 8 # 16. § / TARTALOMJEGYZÉK / Záró rendelkezések 8 1. sz. melléklet 8 Kockázati Mátrix 9 2. sz. melléklet 9 Kockázati étvágy 9