En reise gjennom risikostyringens historie
La meg innrømme det med en gang: Jeg er mer enn gjennomsnittlig fascinert av helhetlig risikostyring. Min interesse ble vekket da jeg jobbet som finansiell revisor, hvor vi fokuserte på å kartlegge og teste internkontroll for å redusere omfanget av detaljtester. I dag ville jeg kalt dette for operasjonell risikostyring – en metode for å sikre at prosessene er egnet og fungerer som forutsatt.
Etter åtte år som finansiell revisor, tok jeg en stilling som leder av oppgjørsavdelingen i en bank. Her så jeg ikke bare nødvendigheten av å sikre korrekt bokføringsinformasjon, men også viktigheten av å måle valutarisiko og renterisiko i et helhetlig perspektiv. Dette lærte meg verdien av å kunne kvantifisere risikoer i en helhetlig sammenheng.
Fra bunn til topp i risikostyring
Gjennom arbeidspraksis har det utviklet seg en forståelse for hva helhetlig risikostyring er. Kort sagt handler det om å starte fra bunnen av med å identifisere de enkelte risikoene og «verdsette» disse hver for seg i en risikomatrise. Deretter vurderer man tilstrekkeligheten av kontrolltiltak mot disse risikoene.
Men det er problemer med denne tilnærmingen. For det første tar risikoregistre ikke hensyn til sammenhengen mellom risikoer. For det andre ligger det et problem i selve bruken av risikomatrisen. I de vanligste risikomatrisene identifiserer man bare et punkt, ikke en skala av resultater. Dessuten er fokuset ofte på å unngå negative resultater, mens man vil gjerne være avhengig av å ta risiko for å nå sine mål.
En topp-ned tilnærming til risikostyring
Hva om vi går tilbake til utgangspunktet og spør hva helhetlig risikostyring bidrar med til virksomheten? Kan svaret være at den ikke bare sørger for at vårt skip unngår de verste skjærene, men også at man krysser havet på en mer kostnadseffektiv og mer konkurransedyktig måte som utnytter mulighetene maksimalt?
«A ship in a harbour is safe – but that is not what ships are built for»
John A. Shedd, American author and businessman
Dette krever forståelse av at risikostyring handler om mer enn å unngå negative resultater. Det handler om å forstå usikkerhet, kvantifisere risiko som et mulighetsrom snarere enn et fastsatt fremtidig resultat, og bruke denne kunnskapen til å ta informerte beslutninger og gjøre nødvendige kursendringer. Dette er hva jeg kaller en «ovenfra og ned»-angrepsvinkel.
En slik risikovurderingsprosess starter med å forstå virksomhetens overordnede misjon eller eksistensberettigelse. Derfra kan vi identifisere de viktigste elementene for å oppnå målene, eller med andre ord, verdidriverne. Vi må anerkjenne at usikkerhet kan gi både positive og negative resultater, og at risikostyring skal øke bevisstheten om mulige utfallsrom som grunnlag for beslutninger.
Den anerkjente risikostyringseksperten, Tim Leech, kaller dette for «Objective Centred Risk and Uncertainty Management» (OCRUM). Han er ikke alene om å tro at denne «ovenfra og ned»-angrepsvinkelen kan bidra til betydelig verdiskaping. I dette bildet blir risikostyringsfunksjonen en rugekasse for utforming av virksomhetens fremtid, uttrykt gjennom sin strategi og de strategiske beslutningene som tas.
Risikokultur: En balanse mellom tradisjonell og innovativ risikostyring
Kan det være at vi skal la internkontroll og tradisjonell risikostyring fare? Nei, det håper jeg virkelig ikke. Snarere tror jeg at vi må kunne ha to tanker i hodet samtidig. Det er min tro at en godt drevet virksomhet er en der enhver leder og ansatt i organisasjonen tar ansvar for kvaliteten av det arbeidet som gjøres, arbeidsprosessene og resultatene.
Konklusjon
I dette innlegget har jeg forsøkt å oppsummere tingenes tilstand for helhetlig risikostyring. For meg er troen på at helhetlig risikostyring vil bidra til at virksomheten skal lykkes med sine mål helt grunnleggende. Her bygger jeg på arbeidet til ledende folk i faget vårt. Det jeg kaller for «nedenfra og opp»-angrepsvinkel vil man for eksempel kunne kjenne igjen fra Alex Sidorenko, som omtaler dette som «Risk Management 1», mens han kaller «ovenfra og ned»-angrepsvinkelen for «Risk Management 2».
Sidorenko er klar over at føringer og forventninger fra blant annet eksterne revisorer og tilsynsmyndigheter fører til at man må ha etablert «Risk Management 1», men peker samtidig på at det som virkelig betyr noe for virksomhetens resultater, det er «Risk Management 2».
