2.5 Risikostyring

Risikostyring

Risikostyring er den overordna prosessen som koplar risikoanalysen til avgjerder og handling. Medan risikoanalysen kartlegg og vurderer risiko, handlar risikostyring om å ta avgjerder om kva for tiltak som skal setjast i verk, kven som har ansvar, og korleis ein sikrar kontinuerleg forbetring.

God risikostyring er ei leiingsoppgåve. Det er leiinga som fastset akseptkriterium for risiko, løyver ressursar til tiltak og er ansvarleg for at risikoen blir halden på eit akseptabelt nivå. I Noreg stiller fleire lover krav om risikostyring, mellom anna arbeidsmiljølova, tryggingslova og brann- og eksplosjonsvernlova.

Risikostyringsprosessen

Risikostyring er ein syklisk prosess som aldri blir avslutta. Han følgjer gjerne ISO 31000-standarden:

1. Etabler rammeverk

2. Risikovurdering

3. Risikohandtering

4. Overvaking og gjennomgang

5. Kommunikasjon og konsultasjon

Rolla som risikoeigar

Risikoeigarskap er eit nøkkelprinsipp i moderne risikostyring. Utan ein tydeleg risikoeigar er det fare for at risiko fell mellom stolar og ingen tek ansvar.

Oppgåvene til risikoeigaren

Risikoeigarskap i praksis

Døme - ein kommune:
- Kommunedirektøren er overordna risikoeigar for det samla risikobiletet i kommunen
- Helse- og omsorgssjefen er risikoeigar for risiko innan helsetenestene
- IT-sjefen er risikoeigar for digital tryggleik
- Teknisk sjef er risikoeigar for infrastrukturrisiko
- Rektor er risikoeigar for risiko på den einskilde skulen

Risikoeigarskap må følgje linjeorganisasjonen. Den som har mynde til å ta avgjerder og bruke ressursar, må òg ha ansvar for risikoen i sitt område.

Akseptkriterium i praksis

Akseptkriterium gir svar på spørsmålet: Kor stor risiko er vi villige til å leve med? Utan tydelege akseptkriterium blir det vilkårleg kva som blir rekna som akseptabel risiko.

Døme på akseptkriterium

For liv og helse:
- Ingen uakseptabel risiko for tap av menneskeliv
- Maksimalt 5 arbeidsulukker med fråvær per år
- Ingen hendingar som gir varig helseskade

For miljø:
- Ingen utslepp over fastsette grenseverdiar
- Ingen varig skade på lokalt miljø

For økonomi:
- Maksimalt økonomisk tap på 2 % av årleg omsetning
- Inga einskildhending med tap over 5 millionar kroner

For omdøme:
- Ingen hendingar som fører til tap av tillit hos kundar eller ålmenta

Forholdet mellom akseptkriterium og risikomatrisa

Akseptkriteria blir spegla i fargesonene i risikomatrisa:
- Grønt: Under akseptkriteria - risikoen er akseptabel
- Gult: I grensesona - tiltak bør vurderast
- Raudt: Over akseptkriteria - risikoen er uakseptabel og må reduserast

Kontinuerleg forbetring

Risikostyring er ikkje noko ein gjer éin gong og så er ferdig. Trusselbiletet endrar seg, ny teknologi blir innført, organisasjonen utviklar seg, og tidlegare ukjende risikoar dukkar opp. Difor må risikostyringa vere ein kontinuerleg prosess.

PDCA-syklusen (Plan-Do-Check-Act)

Kontinuerleg forbetring følgjer ofte PDCA-syklusen:

Plan (Planlegg):
- Identifiser forbetringsmoglegheiter
- Set mål for forbetring
- Lag handlingsplan

Do (Gjennomfør):
- Set i verk planlagde tiltak
- Gjennomfør opplæring
- Dokumenter kva som blir gjort

Check (Kontroller):
- Mål effekten av tiltaka
- Samanlikn med mål
- Identifiser avvik

Act (Korriger):
- Set i verk korrigerande tiltak ved avvik
- Oppdater rutinar og prosedyrar
- Del erfaringar i organisasjonen

Verktøy for kontinuerleg forbetring

Hendingsrapportering: Alle uønskte hendingar og nestenhendingar blir rapporterte og analyserte. Nestenhendingar er særleg verdifulle fordi dei avdekkjer veikskapar før ei ulukke skjer.

Internrevisjon: Systematisk gjennomgang av risikostyringssystemet for å stadfeste at det fungerer slik det er tenkt.

Gjennomgangen til leiinga: Leiinga går gjennom risikostyringssystemet minst årleg for å sikre at det er føremålstenleg og effektivt.

Benchmarking: Samanlikn eigen praksis med bransjestandard og beste praksis frå andre organisasjonar.