Risikostyring: hvad det er, hvem der kan det, og hvad de tjener

Risikostyring er evnen til at arbejde systematisk med usikkerhed, før den bliver til et problem eller en overset mulighed. Det handler ikke om at fjerne al risiko. Det handler om at forstå, hvilke usikkerheder der kan påvirke et mål, og træffe bevidste valg om dem.

En person med stærke færdigheder i risikostyring kan først afklare, hvad organisationen eller projektet forsøger at opnå. Derefter kan personen identificere forhold, der kan påvirke målet, og beskrive dem præcist nok til, at andre kan handle på dem.

Det indebærer typisk at vurdere sandsynlighed, konsekvens og andre relevante forhold. Vurderingen kan være kvalitativ eller bygge på data og beregninger. Metoden skal passe til beslutningen og til kvaliteten af den information, der findes.

En dygtig fagperson kan skelne mellem selve risikoen, dens årsager og dens mulige konsekvenser. Personen kan også vurdere eksisterende kontroller og den risiko, der er tilbage efter kontrollerne.

Risikostyring stopper ikke ved en risikomatrice eller et risikoregister. Færdigheden viser sig især i evnen til at vælge en passende håndtering. En risiko kan eksempelvis undgås, reduceres, deles eller accepteres. Valget skal hænge sammen med virksomhedens mål og dens villighed til at tage risiko.

En erfaren person får også placeret ansvar. Risici får ejere, handlinger får ansvarlige, og væsentlige ændringer bliver fulgt og rapporteret. Risikostyring bliver dermed en del af beslutningerne frem for en separat dokumentationsøvelse.

ISO 31000 er en central international ramme for dette arbejde. Standarden beskriver principper, en organisatorisk ramme og en proces for risikostyring. IEC 31010 supplerer med teknikker til selve risikovurderingen. COSO Enterprise Risk Management bruges især, når risici skal kobles tæt til strategi og performance.

Risikostyring er vigtig, når beslutninger skal træffes med ufuldstændig information, og konsekvenserne af et forkert valg kan være væsentlige.

Det gælder blandt andet ved større investeringer, nye produkter, organisatoriske ændringer, projekter, leverandørvalg og kritiske driftsbeslutninger. Færdigheden er også central inden for informationssikkerhed, finans, compliance, arbejdsmiljø, kvalitet, forsyningskæder og beredskab.

Risk managers og enterprise risk-profiler arbejder direkte med området. Men færdigheden findes også hos projekt- og programledere, sikkerhedsfolk, controllere, compliance-profiler, indkøbere, kvalitetsansvarlige og ledere med ansvar for komplekse beslutninger.

På strategisk niveau gør risikostyring det muligt at diskutere mere end, hvad der kan gå galt. Ledelsen kan vurdere, hvilke risici virksomheden er villig til at tage for at nå sine mål, og hvilke risici der kræver handling eller tæt overvågning.

I projekter hjælper færdigheden med at opdage afhængigheder og antagelser, før de rammer tid, økonomi eller leverancer. I drift bruges den til at prioritere mellem risici, kontroller og ressourcer.

Risikostyring bliver særlig værdifuld, når forskellige fagområder vurderer samme situation forskelligt. En stærk facilitator kan gøre antagelser synlige, udfordre vurderinger og få gruppen frem til en beslutning, der kan forklares bagefter.

Risikostyring læres bedst ved at arbejde med virkelige beslutninger. Standarder og kurser kan give struktur og fælles sprog, men de erstatter ikke erfaring med at vurdere usikkerhed og følge resultaterne af egne beslutninger.

Et godt udgangspunkt er ISO 31000. IEC 31010 er relevant, når man vil lære forskellige teknikker til risikoidentifikation og vurdering frem for kun at bruge en simpel risikomatrice.

Dansk Standard udbyder kurset Risikoledelse i praksis - med afsæt i ISO 31000. Kurset arbejder med ISO 31000, organisering af risikoarbejdet og risikovurderingsteknikker fra IEC 31010.

For en mere omfattende faglig uddannelse findes Institute of Risk Managements International Certificate in Enterprise Risk Management. Uddannelsen arbejder blandt andet med risikorammer, prioritering, kontroller, risikoappetit, governance og rapportering.

FERMAs rimap-certificering er en europæisk vej for personer, der arbejder professionelt med risk management. Certificeringen bygger på et fælles europæisk kompetencegrundlag og kombineres med løbende faglig udvikling.

COSO Enterprise Risk Management er også relevant at lære, især for personer der arbejder med koncernrisiko, governance, økonomi eller strategisk risikostyring. COSO lægger stor vægt på forbindelsen mellem risiko, strategi og performance.

Den vigtigste træning sker dog i praksis. Man bliver bedre ved at facilitere risikoworkshops, formulere risici præcist, udfordre antagelser og sammenligne vurderinger med det, der faktisk sker. Det samme gælder arbejdet med kontroller, risikoejere, handlingsplaner og rapportering til ledelsen.

En god øvelse er at følge tidligere risikovurderinger tilbage. Hvilke risici blev overvurderet? Hvilke blev overset? Hvilke kontroller virkede? Den form for feedback udvikler dømmekraft, som et kursus alene ikke kan give.

Bed personen beskrive en konkret risiko, vedkommende tidligere har arbejdet med. Et stærkt svar begynder normalt med målet eller beslutningen og forklarer derefter usikkerheden. Et svagt svar begynder ofte direkte med en liste over farvede risici.

Spørg, hvordan personen vurderede risikoen, og hvorfor netop den metode blev valgt. En erfaren person kan forklare begrænsningerne i datagrundlaget og skelne mellem vurdering, antagelser og fakta.

Spørg også, hvad der skete efter vurderingen. Hvem ejede risikoen? Hvilke handlinger blev besluttet? Hvordan blev den resterende risiko vurderet? Hvordan fandt man ud af, om handlingerne virkede?

En god kandidat kan forklare forskellen mellem en risiko, en årsag, en konsekvens og en kontrol uden at gemme sig bag fagudtryk. Personen kan også udfordre en risikomatrice, hvis tallene eller kategorierne giver en falsk følelse af præcision.

Se efter erfaring med at omsætte risikoarbejde til beslutninger. Et stort risikoregister er ikke i sig selv tegn på høj kompetence. Det vigtigste er, om personen kan prioritere, skabe ejerskab og hjælpe ledelsen med at træffe bedre valg under usikkerhed.

Det er også et godt tegn, hvis personen kan fortælle om en vurdering, der viste sig at være forkert. Moden risikostyring kræver, at modeller og antagelser bliver justeret, når ny information ændrer billedet.