2.5 Risikostyring

Risikostyring

Risikostyring er den overordnede prosessen som kobler risikoanalysen til beslutninger og handling. Mens risikoanalysen kartlegger og vurderer risiko, handler risikostyring om å ta beslutninger om hvilke tiltak som skal iverksettes, hvem som har ansvar, og hvordan man sikrer kontinuerlig forbedring.

God risikostyring er en ledelsesoppgave. Det er ledelsen som fastsetter akseptkriterier for risiko, bevilger ressurser til tiltak og er ansvarlig for at risikoen holdes på et akseptabelt nivå. I Norge stiller flere lover krav om risikostyring, blant annet arbeidsmiljoeloven, sikkerhetsloven og brann- og eksplosjonsvernloven.

Risikostyringsprosessen

Risikostyring er en syklisk prosess som aldri avsluttes. Den følger gjerne ISO 31000-standarden:

1. Etabler rammeverk

2. Risikovurdering

3. Risikohaaandtering

4. Overvaaking og gjennomgang

5. Kommunikasjon og konsultasjon

Rollen som risikoeier

Risikoeierskap er et nøkkelprinsipp i moderne risikostyring. Uten en tydelig risikoeier er det fare for at risiko faller mellom stoler og ingen tar ansvar.

Risikoeierens oppgaver

Risikoeierskap i praksis

Eksempel - en kommune:
- Kommunedirektoren er overordnet risikoeier for kommunens samlede risikobilde
- Helse- og omsorgssjefen er risikoeier for risiko innen helsetjenestene
- IT-sjefen er risikoeier for digital sikkerhet
- Teknisk sjef er risikoeier for infrastrukturrisiko
- Rektor er risikoeier for risiko på den enkelte skole

Risikoeierskap må følge linjeorganisasjonen. Den som har myndighet til å ta beslutninger og bruke ressurser, må også ha ansvar for risikoen i sitt område.

Akseptkriterier i praksis

Akseptkriterier gir svar på sporsmaalet: Hvor stor risiko er vi villige til å leve med? Uten tydelige akseptkriterier blir det vilkårlig hva som regnes som akseptabel risiko.

Eksempler på akseptkriterier

For liv og helse:
- Ingen uakseptabel risiko for tap av menneskeliv
- Maksimalt 5 arbeidsulykker med fravaar per år
- Ingen hendelser som gir varig helseskade

For miljo:
- Ingen utslipp over fastsatte grenseverdier
- Ingen varig skade på lokalt miljo

For okonomi:
- Maksimalt økonomisk tap på 2 % av årlig omsetning
- Ingen enkelthendelse med tap over 5 millioner kroner

For omdømme:
- Ingen hendelser som fører til tap av tillit hos kunder eller offentligheten

Forholdet mellom akseptkriterier og risikomatrisen

Akseptkriteriene gjenspeiles i risikomatrisens fargesoner:
- Grønt: Under akseptkriteriene - risikoen er akseptabel
- Gult: I graensesonen - tiltak bør vurderes
- Rødt: Over akseptkriteriene - risikoen er uakseptabel og må reduseres

Kontinuerlig forbedring

Risikostyring er ikke noe man gjor en gang og så er ferdig. Trusselbildet endrer seg, ny teknologi innføres, organisasjonen utvikler seg, og tidligere ukjente risikoer dukker opp. Derfor må risikostyringen være en kontinuerlig prosess.

PDCA-syklusen (Plan-Do-Check-Act)

Kontinuerlig forbedring følger ofte PDCA-syklusen:

Plan (Planlegg):
- Identifiser forbedringsmuligheter
- Sett mål for forbedring
- Lag handlingsplan

Do (Gjennomfoer):
- Iverksett planlagte tiltak
- Gjennomfoer opplaering
- Dokumenter hva som gjores

Check (Kontroller):
- Mål effekten av tiltakene
- Sammenlign med mål
- Identifiser avvik

Act (Korriger):
- Iverksett korrigerende tiltak ved avvik
- Oppdater rutiner og prosedyrer
- Del erfaringer i organisasjonen

Verktoy for kontinuerlig forbedring

Hendelsesrapportering: Alle uoenskede hendelser og naestenhendelser rapporteres og analyseres. Naestenhendelser er særlig verdifulle fordi de avdekker svakheter før en ulykke skjer.

Internrevisjon: Systematisk gjennomgang av risikostyringssystemet for å verifisere at det fungerer som tiltenkt.

Ledelsens gjennomgang: Ledelsen gjennomgår risikostyringssystemet minst årlig for å sikre at det er hensiktsmessig og effektivt.

Benchmarking: Sammenlign egen praksis med bransjestandard og beste praksis fra andre organisasjoner.