Risikostyring: Hvad kan organisationer lære af store virksomheder?

Undersøgelsen identificerer også en gruppe af førende organisationer, som rapporterer en meget velstruktureret tilgang gennem alle faser af risikostyringsprocessen. Denne gruppe omfatter organisationer af forskellig størrelse. Det peger på, at organisationens størrelse kan hænge sammen med en højere modenhed inden for risikostyring, men at andre faktorer også spiller en vigtig rolle.

Den mere strukturerede praksis, som oftes ses hos større organisationer, kan derfor give værdifuld inspiration til organisationer i alle størrelser. Pointen er ikke at kopiere store virksomheders omfattende strukturer, systemer eller specialiserede funktioner. Det handler i stedet om at anvende de principper, der gør risikostyringen effektiv: tydeligt ansvar, konsekvent opfølgning, regelmæssig revurdering og integration af risici i beslutningsprocesserne. Disse principper kan være lige så relevante for mindre og mindre komplekse organisationer.

Hvor skiller de større organisationer sig ud?

Større organisationer skal typisk koordinere flere funktioner, lokationer og indbyrdes afhængigheder. De kan samtidig have flere lovgivningsmæssige krav og flere leverandører at forholde sig til. Alt dette øger kompleksiteten i deres forretningsmiljø.

En struktureret tilgang er derfor afgørende, men den fjerner ikke nødvendigvis de udfordringer, virksomhederne står over for. Store organisationer rapporterer overordnet set om de samme typer udfordringer som organisationerne i undersøgelsen generelt. Det kan blandt andet hænge sammen med kompleksiteten i deres aktiviteter og forsyningskæder.

Undersøgelsen viser desuden, at store organisationer har en tendens til at arbejde med en bredere vifte af risici og lidt oftere anvender tilpassede systemer frem for udelukkende at benytte standardværktøjer til produktivitet og administration. En høj grad af struktur er vigtig for at bevare overblikket og kontrollen, og deres tilgang afspejler generelt en højere modenhed inden for risikostyring.

Hvad kan andre organisationer lære?

Et vigtigt læringspunkt er behovet for at følge risici gennem hele ledelsesprocessen. Undersøgelsen viser, at organisationer generelt er bedre til at identificere og vurdere risici end til efterfølgende at håndtere, revurdere, overvåge og rapportere på dem. Dette ser ud til at gælde uanset organisationens størrelse.

Men identificeringen af en risiko er kun begyndelsen. Ansvaret skal være tydeligt, relevante handlinger skal identificeres og gennemføres, og der skal følges op på dem. Derefter skal organisationen evaluere effekten af handlingerne og løbende overvåge, om de fortsat fungerer efter hensigten.

Et andet område er det formelle ansvar for risikostyringen. Store organisationer har lidt oftere en dedikeret risikostyringsfunktion. Samtidig viser undersøgelsen, at de førende organisationer ikke adskiller sig markant fra de øvrige med hensyn til, hvor det formelle ansvar for risikostyringen er placeret. Det understreger, at modenhed ikke kun handler om, hvor ansvaret organisatorisk er placeret, men i højere grad om, hvordan ansvar og roller er struktureret, forankret og koblet til en systematisk proces.

Mindre organisationer behøver derfor ikke at kopiere de omfattende strukturer for risikostyring, som findes i store virksomheder. Mindre kompleksitet betyder heller ikke nødvendigvis mindre risikoeksponering. En mindre virksomhed kan eksempelvis være stærkt afhængig af et begrænset antal kunder, leverandører, systemer eller nøglemedarbejdere og samtidig have mindre kapacitet til at håndtere en større forstyrrelse.

Tilgangen til risikostyring bør derfor stå i et rimeligt forhold til organisationens risici og kompleksitet, men samtidig være tilstrækkeligt struktureret til at sikre tydeligt ansvar, rettidig handling og konsekvent opfølgning. Ledelsessystemstander kan bidrage med en fælles struktur og et fælles sprog, som kan tilpasses organisationens størrelse og kontekst.

Større og mere komplekse organisationer anvender desuden oftere digitale værktøjer til risikostyring for at understøtte koordinering, sporbarhed, overvågning og overblik på tværs af forskellige risici, ansvarlige og lokationer.

Undersøgelsen peger dog på, at mere modne organisationer ikke nødvendigvis erstatter velkendte værktøjer med avancerede platforme. De førende organisationer kombinerer oftere almindelige kontorværktøjer med internt udviklede eller tilpassede systemer. Det peger på værdien af at anvende forskellige værktøjer dér, hvor de skaber størst effekt. Teknologi skaber imidlertid ikke modenhed i sig selv. Værdien afhænger af tydelige processer, kompetente medarbejdere og konsekvent opfølgning.

Find det rette niveau af struktur

Hvor større organisationer kan have behov for omfattende overvågning på tværs af lokationer, leverandører og forretningsfunktioner, kan mindre organisationer ofte skabe den nødvendige systematik med enklere processer og kortere kommunikationsveje. Enkelhed kan være en fordel, så længe ansvaret er tydeligt, og der arbejdes systematisk med risiciene.

Det afgørende er, at risici følges konsekvent gennem hele processen, fra identifikation og håndtering til revurdering og overvågning, og at der undervejs er tydeligt ansvar og tilstrækkeligt overblik.

Muligheden for mindre organisationer ligger derfor ikke i at kopiere kompleksiteten fra større virksomheder, men i at lære af konsekvensen og systematikken i deres tilgang. Ved at anvende de samme grundlæggende principper på et niveau, der passer til organisationens risici, ressourcer og aktiviteter, kan virksomheden styrke både sin robusthed og sin evne til at styre risici.