2.5 Risikostyring

Fra analyse til handling

Du kan ha verdens beste risikoanalyse liggende i en skuff -- men hvis ingen tar beslutninger ut fra den, er den verdiløs. Her kommer risikostyring inn. Mens risikoanalysen kartlegger og vurderer risiko, handler risikostyring om å koble den til beslutninger og handling: hvilke tiltak skal iverksettes, hvem har ansvar, og hvordan sikrer vi at det blir bedre over tid?

God risikostyring er en ledelsesoppgave. Det er ledelsen som fastsetter akseptkriterier, bevilger ressurser og er ansvarlig for at risikoen holdes på et akseptabelt nivå. Flere norske lover stiller krav om dette -- blant annet arbeidsmiljøloven, sikkerhetsloven og brann- og eksplosjonsvernloven. I dette kapittelet skal vi se på selve styringsprosessen, rollen som risikoeier, betydningen av akseptkriterier, og hvorfor risikostyring aldri blir helt ferdig.

Prosessen og personen som eier risikoen

Risikostyring er en syklisk prosess som ofte følger ISO 31000-standarden. Først etablerer du et rammeverk: definer konteksten, fastsett politikk, tildel roller og ansvar, og bestem akseptkriterier. Deretter kommer risikovurderingen -- identifiser, analyser og evaluer risikoen. Så risikohåndteringen, der du velger om du skal unngå, redusere, overføre eller akseptere risikoen, og iverksetter tiltak. Videre overvåking og gjennomgang, der du følger opp at tiltakene virker og oppdaterer vurderingen ved endringer. Og gjennom hele prosessen: kommunikasjon og konsultasjon med berørte parter.

Et nøkkelprinsipp er at hver risiko må ha en risikoeier -- personen eller enheten med myndighet og ansvar for å håndtere en bestemt risiko. Risikoeieren skal sørge for at risikoen vurderes, at nødvendige tiltak iverksettes, og at den overvåkes. Merk: risikoeieren trenger ikke å gjennomføre analysene selv, men må sørge for at de blir gjort og fulgt opp. Uten en tydelig risikoeier er faren stor for at risiko faller mellom stoler og at ingen tar ansvar.

Risikoeierskapet må følge linjeorganisasjonen -- den som har myndighet til å ta beslutninger og bruke ressurser, må også eie risikoen i sitt område. I en kommune er kommunedirektøren overordnet risikoeier, mens IT-sjefen eier den digitale sikkerheten, teknisk sjef eier infrastrukturrisikoen, og rektor eier risikoen på den enkelte skole.

Grensene vi setter, og hjulet som aldri stopper

Hvor stor risiko er en virksomhet egentlig villig til å leve med? Det svaret gir akseptkriteriene -- forhåndsdefinerte kriterier som angir hvilke risikoer organisasjonen aksepterer. Ledelsen fastsetter dem ut fra lover, virksomhetens verdier, økonomiske rammer og interessenters forventninger. Uten tydelige akseptkriterier blir det vilkårlig hva som regnes som akseptabelt. For en industribedrift kan kriteriene være «ingen dødsulykker», «maksimalt økonomisk tap på 2 prosent av årlig omsetning», eller «ingen utslipp over grenseverdiene». Akseptkriteriene gjenspeiles direkte i risikomatrisens fargesoner: grønt er under kriteriene, gult er i grensesonen, og rødt er over -- altså uakseptabelt.

Men trusselbildet endrer seg, ny teknologi kommer, og ukjente risikoer dukker opp. Derfor må risikostyring være kontinuerlig forbedring -- et hjul som aldri slutter å snurre. Modellen som ofte brukes er PDCA: Plan (planlegg forbedringer og sett mål), Do (gjennomfør tiltakene), Check (mål effekten mot målene), og Act (korriger ved avvik og del erfaringene). Slik blir arbeidet stadig bedre.

Flere verktøy holder hjulet i gang. Hendelsesrapportering fanger opp uønskede hendelser og ikke minst nestenhendelser -- situasjoner som kunne ført til skade, men der det gikk bra. Disse er særlig verdifulle fordi de avdekker svakheter før en alvorlig ulykke skjer, og fordi det finnes langt flere av dem enn av faktiske ulykker. En ansatt som sklir, men tar seg for, eller en bil som bremser i siste øyeblikk for en fotgjenger -- begge er gull verdt som læring. I tillegg sikrer internrevisjon, ledelsens årlige gjennomgang og benchmarking mot andre at systemet faktisk fungerer som det skal.

Oppsummering

Risikostyring kobler risikoanalysen til beslutning og handling, og er en ledelsesoppgave. Prosessen følger ofte ISO 31000: etabler rammeverk, vurder risiko, håndter risiko (unngå, redusere, overføre eller akseptere), overvåk, og kommuniser -- syklisk og kontinuerlig.

Hver risiko trenger en risikoeier som følger linjeorganisasjonen og sikrer at risikoen vurderes og håndteres. Akseptkriteriene setter grensene for hva som tolereres og gjenspeiles i risikomatrisens fargesoner. Til slutt må arbeidet være kontinuerlig forbedring gjennom PDCA-syklusen, der hendelsesrapportering og særlig nestenhendelser gir verdifull læring som holder sikkerhetshjulet i gang.