Nye risici fylder mere – følger jeres risikostyring med?

Samtidig bliver disse nyere risikoområder i stigende grad forbundet med etablerede områder som informationssikkerhed, forretningskontinuitet og compliance. En integreret tilgang til risikostyring kan hjælpe organisationer med at håndtere disse sammenhænge og samtidig udnytte de processer, kompetencer og ledelsesstrukturer, de allerede har.

Organisationer skal fortsat håndtere traditionelle operationelle risici, men disse overlapper i stigende grad med risici relateret til forsyningskæder, kunstig intelligens og ESG.

Et svigt hos en leverandør kan påvirke forretningskontinuiteten. AI kan medføre risici inden for blandt andet informationssikkerhed, databeskyttelse, compliance, sikkerhed og pålidelighed. ESG-relaterede risici kan påvirke driften, forsyningskæden, overholdelsen af krav og virksomhedens omdømme. Disse risici eksisterer ikke isoleret fra hinanden. De kan gå på tværs af funktioner og potentielt forstærke hinanden.

Risici eksisterer ikke i siloer

I takt med at nye risici opstår og får større betydning for virksomhedernes dagsorden, kan det gøre risikostyringen vanskeligere, hvis hvert risikoområde behandles som en separat disciplin. Hvis der etableres et nyt program, udvalg eller en særskilt proces for hvert nyt risikoområde, kan det føre til fragmenteret styring, dobbeltarbejde og manglende sammenhæng på tværs af funktioner.

ViewPoint-undersøgelsen peger på et alternativ. De førende organisationer, som rapporterer en meget velstruktureret tilgang gennem alle faser af risikostyringsprocessen, arbejder med en bredere vifte af både etablerede og nye risikoområder. Det tyder på, at nye risici i højere grad integreres i eksisterende ledelses- og styringssystemer frem for at blive håndteret gennem parallelle strukturer.

Det giver ikke kun mulighed for en mere effektiv tilgang til risikostyring. Det kan også styrke organisationens håndtering af omdømmerisici. Et databrud, en miljøhændelse eller utilstrækkelig styring af en AI-løsning kan eksempelvis påvirke tilliden til virksomheden. Med en integreret tilgang bliver det lettere at se sammenhængene, koordinere styringen og beskytte organisationen som helhed.

Byg videre på eksisterende ledelsessystemer

For de fleste organisationer, der allerede har et certificeret ledelsessystem, er en stor del af fundamentet for en integreret tilgang allerede på plads.

Ledelsessystemer baseret på internationale standarder etablerer processer for blandt andet placering af ansvar, identifikation og håndtering af risici og muligheder, overvågning af resultater og løbende forbedringer.

ViewPoint-undersøgelsen angiver 57 % at krav vedrørende risici i ISO-standarder er en drivkraft for at implementere processer til risikostyring. Det gør ISO-kravene til den hyppigst angivne drivkraft. Syv ud af ti svarer samtidig, at kravene i ISO-standarder for ledelsessystemer bidrager væsentligt eller afgørende til organisationens kultur omkring risikostyring.

Fordi ISO-standarder for ledelsessystemer bygger på en fælles struktur, kan organisationer integrere nye risici i deres eksisterende processer frem for at begynde forfra.

Det giver mulighed for at genbruge eksisterende ledelsesprocesser, styringsmekanismer, data, værktøjer og interne kompetencer og samtidig skabe sammenhæng mellem beslægtede risikoområder.

ISO/IEC 42001 giver eksempelvis en ledelsessystembaseret ramme for kunstig intelligens, mens ISO/IEC 27001 omhandler ledelse af informationssikkerhed. Når disse standarder anvendes sammen med andre relevante ledelsessystemer, kan de bidrage til at skabe sammenhæng mellem ansvar, styring og forbedringsprocesser på tværs af indbyrdes afhængige risikoområder.

AI viser behovet for sammenhængende risikostyring

Undersøgelsen viser, at 36 % kun lejlighedsvis inddrager AI-relaterede risici, mens 33 % slet ikke har dem med i deres risikostyring.

Samtidig viser DNV’s separate ViewPoint-undersøgelse »Starting the Artificial Intelligence Journey«, hvor tæt AI-relaterede risici hænger sammen med allerede etablerede risikoområder.

Cybersikkerhed var den hyppigst identificerede AI-relaterede risiko. Den blev nævnt i 50 % af svarerne samlet set og af 61 % af dem, der arbejder med implementering af AI. Risikostyring i forbindelse med AI kan derfor ikke alene være et ansvar for IT-funktionen.

Afhængigt af hvordan AI anvendes, kan det involvere områder som cybersikkerhed, informationssikkerhed, databeskyttelse, compliance, driftsstabilitet, sikkerhed og påvirkning af medarbejdere og arbejdsprocesser. Ved at håndtere disse områder i sammenhæng bliver det lettere for organisationen at identificere indbyrdes afhængigheder og undgå modstridende eller overlappende kontroller og tiltag.

Integration skaber klarhed og robusthed

Integration betyder ikke, at ansvaret bliver mindre tydeligt. Effektiv styring kræver fortsat en ensartet klassificering af risici, tydeligt ejerskab, definerede processer for håndtering og overvågning samt klare kriterier for, hvornår en risiko skal eskaleres.

Ved at integrere relevante ledelsessystemer baseret på ISO-standarder får organisationen en fælles struktur, som kan bruges til at arbejde systematisk med både etablerede og nye risici.

Den fælles struktur kan hjælpe organisationen med at undgå fragmenteret styring og skabe en konsekvent og gentagelig tilgang på tværs af funktioner og risikoområder. Dermed kan organisationen bygge videre på eksisterende kompetencer, styringsmekanismer og forbedringsprocesser i stedet for at etablere en ny ramme, hver gang et nyt risikoområde opstår.

Uafhængig tredjepartscertificering kan styrke dette fundament ved at give tillid til, at ledelsessystemet lever op til anerkendte krav, og at det anvendes i praksis. Resultatet er ikke kun en bedre håndtering af de risici, organisationen står over for i dag, men også et robust fundament til at håndtere fremtidens risici.