Risk Manager

En risk manager arbejder med de risici, der truer driften og økonomien. Altså tab af penge, produktion, varer, medarbejdere og omdømme. It-sikkerhed hører til en anden rolle.

Udgangspunktet er risikoregisteret. Det er en liste over alle kendte risici. Hver risiko har en sandsynlighed, en konsekvens i kroner og en ansvarlig person. Registeret er levende og bliver gennemgået fast, typisk hvert kvartal.

Typiske opgaver

• Kortlægge risici sammen med indkøb, produktion, logistik og økonomi
• Sætte tal på konsekvensen: hvad koster en uges produktionsstop?
• Lave og teste beredskabsplaner, så driften kan fortsætte efter et nedbrud
• Forhandle forsikringer og gennemgå policer med virksomhedens mægler
• Håndtere skadesager og følge op på erstatninger
• Vurdere leverandører: hvem er eneleverandør, og hvem er økonomisk svag?
• Afdække valuta-, rente- og råvarerisiko sammen med økonomifunktionen
• Rapportere til direktion og bestyrelse i et sprog uden fagudtryk

En almindelig arbejdsdag

Formiddagen går tit ude i organisationen. Du går en runde på lageret eller taler med en produktionschef. Du spørger, hvad der reelt går galt, og hvad man gør, når det sker. Meget af jobbet er at få folk til at fortælle om problemer, de helst vil undgå at nævne.

Eftermiddagen er analyse. Du regner på scenarier i regneark, opdaterer risikoregisteret og skriver til ledelsen. Hver anden uge kommer der en skadesag: en vandskade, en forsinket container, en kunde der kræver erstatning.

Forskelle mellem brancher

I produktion og logistik handler det om nedbrud, brand, transportskader og afhængighed af enkelte leverandører. I energi og forsyning fylder vejr, anlægssikkerhed og forsyningssvigt. I bank og forsikring er rollen mere formel. Her hedder personen ofte risikoansvarlig og refererer direkte til bestyrelsen.

En risk manager bestemmer sjældent selv. Du anbefaler, og ledelsen beslutter. Fire muligheder går igen: undgå risikoen, reducere den, forsikre den eller acceptere den bevidst.

Hvilken lovgivning dækker denne rolle?

Rollen kræver ingen autorisation, men i den finansielle sektor er den lovpligtig. Lov om finansiel virksomhed kræver, at pengeinstitutter udpeger en risikoansvarlig, og Finanstilsynets ledelsesbekendtgørelse beskriver kravene til uafhængighed og rapportering. For forsikringsselskaber følger kravet om en risikostyringsfunktion af EU's Solvens II-direktiv. Uden for finanssektoren er faget ikke reguleret, men EU's CSRD-direktiv pålægger store virksomheder at rapportere om risici i deres værdikæde. Mange arbejder desuden efter ISO 31000, som Dansk Standard udgiver, og den er en frivillig standard, ikke et lovkrav.

Der er ingen fast uddannelse til faget. De fleste kommer ind via økonomi, drift eller forsikring og bliver risk manager efter nogle års erfaring.

Den almindelige vej

• Gymnasial eksamen, ofte med matematik på B-niveau
• En bachelor i erhvervsøkonomi (HA) eller uddannelsen til finansøkonom
• En kandidat i finansiering, økonomi eller supply chain, typisk to år oveni
• To til fem år i regnskab, controlling, indkøb, revision eller produktion
• Derefter en stilling som risikokoordinator eller risk manager

Samlet er det fem års studie plus nogle års erfaring. Virksomheder ansætter sjældent en nyuddannet direkte i rollen. De vil have en, der kender en virksomhed indefra.

Alternative veje ind

Mange kommer fra driften. En produktionschef eller logistikchef kender allerede, hvor det går galt, og mangler kun metoden. Andre kommer fra forsikringsbranchen via Forsikringsakademiet eller fra et mæglerhus. Intern revision er en tredje typisk vej, fordi arbejdet med kontroller ligner. I forsikringsselskaber kommer flere fra aktuarfaget, hvor Københavns Universitet udbyder kandidaten i forsikringsmatematik.

Er du allerede i arbejde, kan du læse HD 2. del i regnskab og økonomistyring eller i finansiering ved siden af jobbet. Det tager typisk to år på deltid, og adgangskravet er en relevant uddannelse plus erhvervserfaring.

Certificeringer

Certificeringer er ikke et krav, men de tæller på et cv:

• FRM fra GARP, to eksamener, mest rettet mod finansiel risiko
• PRM fra PRMIA, et alternativ inden for samme område
• International Certificate in Enterprise Risk Management fra Institute of Risk Management
• CBCI fra Business Continuity Institute, hvis beredskab fylder i jobbet
• Kurser i ISO 31000 og ISO 22301, som blandt andet Dansk Standard udbyder

Hvad tæller mest

Regneark og modeller kan læres. Det svære er at få en travl driftschef til at tage risikoarbejdet alvorligt. Arbejdsgivere kigger efter en, der både kan tale med bestyrelsen og stå på et lager i sikkerhedssko.

Regnearket er stadig det vigtigste værktøj. Risikoregister, sandsynlighed gange konsekvens og et heatmap i rødt, gult og grønt. Mange virksomheder styrer hele arbejdet i Excel, også større af slagsen.

Ud over det:

• Risikosystemer som Riskonnect, RSA Archer, Origami Risk eller LogicManager
• Simulering med @RISK eller Crystal Bal, eller Monte Carlo-beregninger i Python eller R
• Power BI eller Tableau til ledelsesrapporter og kvartalsoversigter
• Bowtie-analyse, FMEA og HAZOP, som bruges tæt på produktion og anlæg
• ERP-systemer som SAP eller Dynamics 365, hvor tal på lager, ordrer og leverandører hentes
• Treasury-systemer som Kyriba eller SAP Treasury til valuta- og renteafdækning
• Mæglerens skadesportal, fx hos Marsh eller Willis Towers Watson, til forsikringssager

Metoderne betyder mere end softwaren. ISO 31000 giver rammen for risikostyring, ISO 22301 dækker beredskab, og COSO ERM bruges som model for intern kontrol. Kender du dem, kan du arbejde i næsten alle systemerne.