Den 4. november arrangerte IIA Norge i samarbeid med Handelshøyskolen BI «Risikodagen», som hvert år er et interessant og populært fagseminar for både studenter og praktikere som er interessert i fagområdet Governance, Risk and Compliance (GRC).
Introduksjon
Etter at Professor Flemming Ruud ved Handelshøyskolen BI hadde ønsket velkommen innledet Martin Stevens fra Gjensidige seminaret med å presentere IIA Norges Nettverk risikostyring. Nettverket er etablert som en arena for kompetanseutvikling og erfaringsutveksling om god risikostyring på tvers av virksomheter og bransjer. Nettverket omfatter også problemstillinger knyttet til andre- og tredjelinjens arbeid med risikostyring og internkontroll.
Et sentralt utgangspunkt for seminaret var IIA Norges oppdaterte Veileder for risikofunksjonen (2026). Veilederen beskriver anerkjent god praksis og hvor de fleste vurderingsprinsippene er uavhengig av virksomhetens størrelse, bransjetilhørighet og regulatoriske rammebetingelser.
Veilederen omhandler blant annet risikokultur, risikoappetitt, strategisk og operasjonell risikostyring, kvantifisering av risiko, scenarioanalyser, datadrevet risikostyring og bruk av kunstig intelligens. Den belyser også organisering, roller og ansvar.
Seminarets overordnede formål var å vise hvordan helhetlig risikostyring kan bidra til bedre beslutninger, økt måloppnåelse og verdiskaping.
Fra verdenspolitikk til virksomhetsrisiko
Cathrine Lagerberg fra Forsvarsbygg, som også er forfatter av boken «Den nye frontlinjen» (om geopolitikk, risiko og felles ansvar) , belyste hvordan den geopolitiske utviklingen har endret risikobildet for norske virksomheter. Internasjonale konflikter, stormaktsrivalisering og teknologikappløpet innebærer at også mindre virksomheter må forholde seg til trusler som tidligere først og fremst ble ansett som nasjonale sikkerhetsutfordringer.
Et sentralt budskap var at etterlevelse av lover og regelverk ikke nødvendigvis innebærer at virksomheten er tilstrekkelig sikker. Tradisjonelle risiko- og sårbarhetsanalyser må derfor suppleres med en bedre forståelse av trusselaktører, deres motiver, metoder og mulige mål.
Lagerberg fremhevet særlig risikoen for spionasje, sabotasje og uønsket informasjonsinnhenting. Virksomhetene må forstå hvilke verdier de forvalter, hvem som kan ha interesse av disse, og hvordan egen virksomhet inngår i større verdikjeder og samfunnskritiske funksjoner.
Hun understreket betydningen av tverrsektorielt samarbeid, beredskap og tydelig ansvarsplassering.
For styremedlemmer og ledere var anbefalingene særlig konkrete: Utvid risikovurderingene, vurder dem opp mot det aktuelle trusselbildet, og gjør forståelsen av sikkerhetstrusler til en del av styrets strategiske arbeid.
Hovedbudskapet var at geopolitisk risikoforståelse ikke lenger er et spesialområde, men en nødvendig del av virksomheters helhetlige risikostyring.
Hva mener vi med helhetlig risikostyring?
Martin Stevens og Petter Kapstad, som er en uavhengig risikorådgiver, presenterte helhetlig risikostyring (Enterprise Risk Management – ERM) som en integrert del av virksomhetsstyringen og et virkemiddel for verdiskaping.
Et grunnleggende prinsipp er at risiko ikke utelukkende handler om mulige tap og uønskede hendelser, men også om muligheter. Risikostyringen skal derfor bidra til en hensiktsmessig balanse mellom risiko og forventet avkastning.
Foredragsholderne fremhevet tre grunnleggende forutsetninger: Risiko må forstås som usikkerhet knyttet til måloppnåelse, virksomhetens samlede risikoeksponering må vurderes på tvers av organisatoriske enheter, og risikostyringen må understøtte beslutninger på alle nivåer.
Et viktig poeng var at isolerte risikovurderinger kan føre til suboptimalisering. Ved å analysere sammenhenger og samvariasjon mellom ulike risikoer kan virksomheten redusere unødvendige kostnader og utnytte muligheter som ellers ikke ville blitt identifisert.
Det ble også understreket at risikostyring må være en kontinuerlig og dynamisk prosess, integrert i strategi, investeringer, rapportering og daglige beslutninger.
Ulike modenhetsmodeller ble presentert som hjelpemidler for å vurdere hvor godt risikostyringen er integrert i virksomheten.
Hovedbudskapet var at god risikostyring først og fremst ikke bare handler om å unngå feil, men om å skape bedre beslutningsgrunnlag og økt verdi.
Operasjonell risikostyring
Michael Kilic fra Nammo Raufoss og Petter Kapstad tok utgangspunkt i at operasjonell risiko omfatter usikkerhet knyttet til mennesker, prosesser, teknologi og fysiske eiendeler. Slike risikoer påvirkes blant annet av digitalisering, regulatoriske endringer, cybertrusler, organisatoriske omstillinger og økende avhengighet av eksterne leverandører.
Operasjonell risikostyring skal bidra til bedre driftskvalitet, færre uønskede hendelser, mer effektiv internkontroll og bedre måloppnåelse.
Foredragsholderne presenterte en praktisk firetrinnsmodell: etablering av handlingsplaner, gjennomføring av tiltak, oppfølging og rapportering samt evaluering og justering. Tydelig risikoeierskap, klare ansvarsforhold og tilstrekkelige ressurser ble fremhevet som sentrale forutsetninger.
Det ble også lagt vekt på betydningen av å vurdere hendelser med lav sannsynlighet, men potensielt svært store konsekvenser. Katastroferisiko, virksomhetens motstandskraft og forsikring som risikoreduserende virkemiddel inngikk i denne diskusjonen.
Fremover vil datadrevet analyse, automatisert kontrollovervåking og kunstig intelligens kunne bidra til mer effektiv og fremoverskuende operasjonell risikostyring.
Et sentralt budskap var at operasjonell risikostyring ikke bare er en spesialistoppgave. Kunnskap om operasjonell risiko er en grunnleggende lederkompetanse, og risikohåndteringen må være forankret i den operative virksomheten.
Strategisk risikostyring
Petter Kapstad og Rashid Aziz, sistenevnte fra Bane Nor, belyste hvordan strategisk risikostyring kan bidra til å beskytte og utvikle virksomhetens verdier. De fremhevet at en betydelig andel av større verditap i virksomheter kan knyttes til strategiske forhold, snarere enn tradisjonelle operasjonelle hendelser.
Et sentralt utgangspunkt er derfor å forstå virksomhetens formål, strategiske mål, verdikjede og viktigste verdidrivere. Risikostyringen må deretter innrettes mot de forholdene som har størst betydning for fremtidig måloppnåelse og verdiskaping.
Bane NOR ble presentert som et praktisk eksempel på hvordan helhetlig risikostyring kan integreres i strategisk virksomhetsstyring. Gjennom felles metodikk, risikovurderinger og oppfølging av kritiske risikoer arbeider konsernet med å identifisere både trusler og muligheter på tvers av organisasjonen.
Foredragsholderne understreket betydningen av risikoappetitt, risikokapasitet, scenarioanalyser og stresstesting for å forstå konsekvensene av alternative strategiske valg.
Et viktig utviklingstrekk er overgangen fra tradisjonell, siloorientert risikorapportering til fremoverskuende beslutningsstøtte.
Hovedbudskapet var at strategisk risikostyring ikke bør begrenses til spørsmålet om hva som kan gå galt. Den må også bidra til å avklare hvilke muligheter virksomheten bør utnytte, hvilke risikoer den bør akseptere, og hvilke beslutninger som best understøtter strategien.
Beslutningstaking og kvantifisering av risiko
Petter Kapstad og Martin Stevens belyste hvordan kvantifisering av risiko kan forbedre beslutningsgrunnlaget og bidra til en mer optimal balanse mellom risiko og avkastning.
Et sentralt budskap var at helhetlig risikostyring bør bidra til å identifisere de viktigste verdidriverne, vurdere virksomhetens samlede risikoeksponering og analysere kapitalbehovet knyttet til ulike strategiske alternativer.
Foredragsholderne presenterte flere metoder for kvantifisering, blant annet Value at Risk (VaR), Monte Carlo-simuleringer og scenarioanalyser. Metodevalget må tilpasses datagrunnlaget, usikkerheten og hvilke beslutninger analysene skal understøtte.
Det ble også diskutert begrensninger ved tradisjonelle risikomatriser. Selv om slike matriser gir en enkel visuell fremstilling, kan de skjule viktige forhold som tidsdimensjoner, sammenhenger mellom risikoer og størrelsen på mulige økonomiske konsekvenser.
Foredragsholderne fremhevet betydningen av å analysere årsakene til uønskede hendelser fremfor bare å korrigere symptomene. Samtidig må risikostyringen utvikles fra periodisk rapportering til mer kontinuerlig overvåking og beslutningsstøtte.
Et viktig poeng var at risikofunksjonens verdiskaping ikke først og fremst ligger i å produsere rapporter, men i å omsette data og analyser til relevant innsikt som så kan anvendes til å bestemme hensiktsmessige tiltak for å håndtere risikoen.
Hovedbudskapet var at god risikostyring handler om å håndtere usikkerhet på en måte som forbedrer beslutninger, prioriteringer og langsiktig verdiskaping.
Bruk av kunstig intelligens i risikostyring
Karin M. Jacobsen fra Gjensidige belyste hvordan kunstig intelligens (KI) kan bidra til mer effektiv, datadrevet og fremoverskuende risikostyring.
Hun tok utgangspunkt i at virksomhetenes risikobilde blir stadig mer komplekst, samtidig som tilgangen til interne og eksterne data øker betydelig. KI kan bidra til å analysere denne informasjonen, identifisere utviklingstrekk og oppdage risikosignaler som ellers kan være vanskelige å fange opp.
Jacobsen gjennomgikk ulike KI-teknologier, herunder maskinlæring, store språkmodeller og KI-agenter, og illustrerte hvordan disse kan anvendes gjennom hele risikostyringsprosessen.
Gjensidiges egne erfaringer ble benyttet som praktiske eksempler. Blant løsningene var KI-agenter som overvåker nyhetsbildet, innhenter og analyserer tilsynsrapporter og gjør det enklere å utforske store datamengder. Slike verktøy kan effektivisere både risikovurderinger, internrevisjon og kontrollaktiviteter.
Hun pekte også på fremtidige muligheter innen automatisert regelverksoppfølging, kontrolltesting og løpende risikoovervåking.
Samtidig understreket Jacobsen at KI ikke fritar virksomheten for ansvar. Datakvalitet, informasjonstilgang, kildekontroll og menneskelig vurdering er avgjørende for forsvarlig bruk.
Hovedbudskapet var at KI kan gi vesentlig bedre beslutningsstøtte og mer effektiv risikostyring, men at teknologien må anvendes med nødvendig kontroll og faglig skjønn.
Risikokultur
Stephanie Lemyre og Carl Jørgen Lie, begge fra KPMG, belyste hvordan organisasjonskulturen påvirker virksomhetens evne til å identifisere, forstå og håndtere risiko.
Risikokultur ble beskrevet som summen av holdninger, verdier og atferd som påvirker beslutninger når virksomheten møter usikkerhet og press. Foredragsholderne understreket at risikokultur først og fremst kommer til uttrykk gjennom daglige handlinger, og ikke gjennom policyer og styringsdokumenter alene.
Et sentralt tema var forskjellen mellom risikokultur og kulturrisiko. Mens en god risikokultur understøtter ansvarlige beslutninger og læring, kan uheldige kulturelle forhold bidra til at risikoer overses, underrapporteres eller håndteres utilstrekkelig.
Ledelsens rolle ble særlig fremhevet. Hvordan ledere reagerer på feil, avvik og kritiske spørsmål, har stor betydning for medarbeidernes trygghet og vilje til å dele informasjon.
Foredragsholderne presenterte også hvordan innsikt fra atferdspsykologi og endringsledelse kan benyttes til å utvikle ønsket risikoatferd. Prosci-metodikken og ADKAR-modellen ble trukket frem som praktiske hjelpemidler.
En varig forbedring av risikokulturen forutsetter både tydelig ledelsesforankring og aktiv involvering av medarbeiderne.
Hovedbudskapet var at en sunn risikokultur skapes gjennom ledelse, læring og daglige handlinger, og at organisasjoner må utvikle en kultur hvor medarbeidere tør å stille spørsmål, melde fra og utfordre etablerte oppfatninger.
Organisering, roller og ansvar
Petter Kapstad og Martin Stevens redegjorde for hvordan risikostyringen bør organiseres for å sikre tydelig ansvar, god samhandling og effektiv beslutningsstøtte.
Et grunnleggende prinsipp er at styret og ledelsen har det overordnede ansvaret for virksomhetens risikostyring og internkontroll. Det operative ansvaret ligger hos linjeledelsen, mens risikofunksjonen skal bidra med metodikk, koordinering, overvåking og uavhengige vurderinger.
Foredragsholderne understreket at organiseringen må tilpasses virksomhetens størrelse, kompleksitet og modenhet. En egen fulltidsansatt risikoleder er derfor ikke nødvendigvis påkrevd i alle virksomheter.
Risikofunksjonens viktigste oppgave er å bidra til bedre beslutninger gjennom å identifisere og analysere usikkerhet, vurdere den samlede risikoeksponeringen og gi anbefalinger til ledelsen.
Det ble også lagt vekt på betydningen av et tydelig mandat, tilstrekkelig organisatorisk uavhengighet og gode rapporteringslinjer.
Samhandlingen mellom risikostyring, compliance og internrevisjon ble fremhevet som særlig viktig. Funksjonene har ulike roller, men bør samarbeide og utveksle informasjon for å bidra til et mest mulig helhetlig risikobilde.
Hovedbudskapet var at en velfungerende risikofunksjon ikke skal overta ledelsens ansvar, men bidra til at virksomheten tar bedre beslutninger og håndterer risiko på en koordinert og verdiskapende måte.
Risikostyring i offentlig sektor
Wilhelm Kavli fra Forsvarsbygg og Terje Sand fra Statens vegvesen belyste særtrekk ved risikostyring i offentlig sektor og presenterte både regulatoriske krav og praktiske erfaringer.
Kavli tok utgangspunkt i statens økonomiregelverk, som stiller krav til mål- og resultatstyring, effektiv ressursbruk, internkontroll og et forsvarlig beslutningsgrunnlag.
Han fremhevet at risikostyring i offentlig sektor kan være særlig krevende på grunn av komplekse målstrukturer, skiftende politiske prioriteringer og resultater som ofte er vanskelige å måle. Samtidig kan byråkratiske strukturer og risikoaversjon begrense nytten av risikostyringsarbeidet.
Et sentralt budskap var behovet for å bevege seg bort fra fragmenterte og formalistiske prosesser og i stedet integrere risikostyringen i virksomhetenes faktiske beslutninger.
Terje Sand presenterte Statens vegvesens praktiske tilnærming til helhetlig risikostyring. Han viste hvordan etaten har tilpasset prinsippene i ISO 31000 til egen virksomhet, med utgangspunkt i strategiske mål, identifisering av usikkerhet, vurdering av årsaker og konsekvenser samt prioritering av tiltak.
Betydningen av relevant datagrunnlag, tydelig risikoeierskap og tilstrekkelige ressurser ble særlig understreket.
Hovedbudskapet var at offentlig risikostyring må være et praktisk hjelpemiddel for prioritering og måloppnåelse, ikke bare en aktivitet for å dokumentere etterlevelse av formelle krav.
Avslutning
Martin Stevens avsluttet seminaret med å oppsummere sentrale prinsipper for etablering og videreutvikling av helhetlig risikostyring.
Gjennom ni anbefalinger ble det understreket at en velfungerende risikostyringsfunksjon forutsetter tydelig støtte fra styret, god forståelse av virksomhetens mål og verdidrivere samt en organisering som fremmer samhandling på tvers av organisatoriske enheter.
Et viktig budskap var at risikostyring må ha et helhetlig perspektiv. Risikoer kan ikke vurderes isolert innenfor den enkelte avdeling, men må forstås i lys av virksomhetens samlede eksponering og strategiske prioriteringer.
Stevens fremhevet også betydningen av å akseptere at risikovurderinger alltid vil være beheftet med usikkerhet. Formålet er ikke å skape en illusjon av presisjon, men å utvikle et best mulig beslutningsgrunnlag.
Avslutningsvis understreket han at en effektiv risikostyring krever en hensiktsmessig styringsstruktur, tydelig ansvarsplassering og en kultur hvor risiko diskuteres åpent og systematisk.
Det gjennomgående budskapet fra seminaret var derfor at helhetlig risikostyring må utvikles fra en kontroll- og rapporteringsaktivitet til en integrert del av virksomhetens strategi, ledelse og beslutningsprosesser.
Relevante lenker
Nedenfor finner du relevante lenker.
Lenke til nedlastingsside for IIA Norges publikasjoner som du kan leste ned som medlem:
Lenke til «Den nye frontlinjen -geopolitikk, risiko og felles ansvar» skrevet av Cathrine Lagerberg ogTom Røseth
