Få hele risikostyringsprocessen til at hænge sammen

DNV’s seneste ViewPoint-undersøgelse peger på, at mange organisationer allerede har et godt fundament for risikobaserede beslutninger gennem deres ledelsessystemer. ISO-standarder for ledelsessystemer indeholder krav om håndtering af risici og muligheder, og syv ud af ti respondenter vurderer, at disse krav bidrager væsentligt eller afgørende til virksomhedens kultur omkring risikostyring.

Samtidig svarer kun 18 %, at risikostyring er fuldt integreret i både strategiske og operationelle beslutninger. Det peger på et potentiale for at anvende information om risici mere konsekvent gennem hele ledelsesprocessen.

Fundamentet kan allerede være på plads

Risikobaseret tankegang er ikke en separat aktivitet i ISO-standarder for ledelsessystemer. Organisationer forventes at forholde sig til deres kontekst, identificere relevante risici og muligheder, omsætte dem til handling og bruge resultaterne som grundlag for løbende forbedringer.

I ledelsessystemstandarder som ISO 9001 (kvalitet), ISO 14001 (miljø) og ISO 45001 (arbejdsmiljø), omhandler afsnit 6.1 foranstaltninger til s håndtering af risici og muligheder. Her stilles der krav om, at organisationen identificerer relevante risici og muligheder og planlægger, hvordan de skal håndteres. Formålet er ikke blot at vedligeholde et risikoregister, men at integrere risikobetragtninger i planlægning og drift, gennemføre relevante handlinger og evaluere, om de har den ønskede effekt.

ISO 31000, den internationale standard med retningslinjer for risikostyring, kan supplere de enkelte ledelsessystemstandarder med en mere tydelig ramme for at identificere, håndtere, reducere og overvåge risici.

Hvad auditresultaterne fortæller os

Auditresultater fra DNV’s benchmarkingdatabase Lumina viser, hvor organisationer oftest oplever udfordringer, når kravene skal omsættes til praksis. De mest almindelige fund varierer fra standard til standard:

• ISO 9001: Utilstrækkelige planer eller handlinger til håndtering af risici og muligheder udgør omkring en tredjedel af de analyserede afvigelser relateret til afsnit 6.1.
• ISO 14001: De mest almindelige fund vedrører bindende forpligtelser samt identificering af miljøforhold og deres miljøpåvirkninger.
• ISO 45001: Mere end en fjerdedel vedrører processer for identificering af farer og risikovurdering, som ikke i tilstrækkelig grad omfatter relevante aktiviteter, funktioner eller lokationer.

De underliggende årsager er mere ens på tværs af standarderne. For alle tre standarder er omkring fire ud af ti afvigelser forbundet med utilstrækkelig forståelse af eller kendskab til kravene, mens omkring én ud af fem er knyttet til udfordringer med at forstå eller følge de fastlagte procedurer.

De korrigerende handlinger peger i samme retning: Styrk de processer, der bruges til at identificere og håndtere risici, forbedr identificeringen af farer eller miljørisici, hvor det er relevant, og sørg for, at de ansvarlige medarbejdere forstår både kravene og de procedurer, de forventes at følge.

Dette viser, at fokus ikke blot bør være på mere dokumentation. Organisationer skal forstå kravene, identificere relevante risici og muligheder, omsætte dem til passende handlinger og følge op på, om handlingerne har den ønskede effekt.

Sådan lukkes kredsløbet i praksis

Plan-Do-Check-Act-cyklussen (PDCA) giver en praktisk ramme til at forbinde de forskellige faser af risikostyringen:

• Plan: Organisationen identificerer risici og muligheder og beslutter, hvilke handlinger der skal gennemføres.
• Do: Handlingerne gennemføres, og ansvar omsættes til praksis.
• Check: Organisationen overvåger resultaterne, vurderer risici og om de gennemførte handlinger har været effektive.
• Act: Erfaringerne bruges til at justere styringen, håndtere eventuelle mangler og forbedre tilgangen.

Det er særligt relevant set i lyset af resultaterne fra ViewPoint-undersøgelsen. Organisationerne oplever en mere struktureret tilgang til identifikation og analyse end til revurdering, overvågning og rapportering. Netop her bliver det afgørende at evaluere effekten af de gennemførte handlinger og lære af resultaterne.

At få hele processen til at hænge sammen kræver derfor ikke nødvendigvis endnu en metode eller mere dokumentation. Muligheden ligger i at udnytte de eksisterende processer i ledelsessystemet bedre, så risici og muligheder bevæger sig fra planlægning til konkret handling, effekten bliver evalueret, og resultaterne bruges til løbende forbedringer og bedre forretningsmæssige beslutninger.

Sådan ser en mere struktureret tilgang ud

De organisationer, der i undersøgelsen rapporterer om en meget velstruktureret tilgang gennem hele processen, er i væsentligt højere grad tilbøjelige til at integrere risikostyring i deres beslutningsprocesser. De rapporterer også i langt højere grad om fordele som forbedret compliance, bedre beslutninger samt øget robusthed og kontinuitet.

Virksomheder med en højere modenhed inden for risikostyring ser ud til at kombinere flere elementer for at opnå en effektiv tilgang:

• Ledelsessystemer skaber struktur og et fælles sprog.
• Kompetente medarbejdere omsætter risikobaseret tankegang til praksis.
• Assurance-aktiviteter giver uafhængig indsigt i implementering og effektivitet.
• Digitale værktøjer kan understøtte ansvar, sporbarhed, overvågning og opfølgning.

Når disse elementer fungerer sammen, står organisationer stærkere i forhold til at koble krav til compliance med et bedre beslutningsgrundlag for virksomheden.