Viden

Systematisk risikostyring: Skab sammenhæng på tværs af virksomheden

Af Anton Weijsenfeld, Senior Solution Specialist hos IPW

De fleste virksomheder arbejder allerede med risikostyring, men de mangler ofte sammenhæng i arbejdet.

Arbejdsmiljøet har sin APV, IT har sine sikkerhedsvurderinger, kvalitetsorganisationen har sine afvigelser, Indkøb holder øje med leverandører og ledelsen vurderer de forretningskritiske risici.

Hver for sig giver indsatserne god mening. Problemet opstår, når de lever deres egne liv. For hvem har så overblikket over de samlede risici? Hvem kan se, om der bliver fulgt op? Og hvor ender ansvaret, når den samme risiko går på tværs af IT, mennesker, processer og ledelse?

Det er her, systematisk risikostyring gør forskellen. Ikke ved at skabe endnu et lag af styring, men ved at give de eksisterende indsatser en fælles logik, tydeligt ansvar og et fælles sted at følge dem.

Tidligere

Vi bør holde op med at behandle risikostyring som en specialistdisciplin

Risikostyring ender ofte i siloer, fordi den arbejdsmiljøansvarlige ved mest om arbejdsmiljø, IT ved mest om informationssikkerhed, og kvalitetschefen kender ledelsessystemet. Men logikken bag deres arbejde er langt mere ens.

De forsøger alle at besvare de samme grundlæggende spørgsmål: Hvad kan gå galt? Hvor alvorligt er det? Hvad skal vi gøre ved det? Hvem har ansvaret? Og virkede vores indsats?

Det interessante er derfor ikke kun, hvordan den enkelte fagfunktion arbejder med risici, men i lige så høj grad om, hvordan virksomheden skaber en fælles evne til at identificere, prioritere, håndtere og følge op på dem.

Risikostyring er med andre ord også et ledelsesspørgsmål.

APV er også risikostyring

I APV’en kortlægger virksomheden forhold, der kan påvirke arbejdsmiljøet, vurderer risici, prioriterer indsatser og placerer ansvar for handling. Strukturelt er det risikostyring.

Pointen er ikke at gøre APV til noget andet, end den er, men nærmere at se den som én af flere risikoprocesser i virksomheden og skabe sammenhæng til det øvrige arbejde med ansvar, handling og opfølgning.

Læs også: APV-handlingsplan og opfølgning – sådan skaber I fremdrift i arbejdsmiljøarbejdet.

Informationssikkerhed er heller ikke bare IT’s risiko

Den samme tankegang gælder informationssikkerhed.

IT spiller naturligvis en central rolle. Men virksomhedens informationsrisici opstår ikke kun i serverrum og tekniske systemer. De opstår også, når medarbejdere håndterer kundedata, når roller og adgangsrettigheder ændrer sig, når en leverandør får adgang til kritiske oplysninger, eller når processer bliver ændret uden at sikkerheden følger med.

Et ISMS – Information Security Management System – skaber en systematisk ramme omkring arbejdet med informationssikkerhed. Værdien ligger ikke kun i sikkerhedskontroller og dokumentation. Den ligger også i at gøre ansvaret organisatorisk.

Hvilke informationsaktiver er vigtige for os? Hvilke risici er de udsat for? Hvem ejer risikoen? Hvilke tiltag har vi besluttet? Og hvornår vurderer vi, om de stadig er tilstrækkelige?

Når de relevante procesejere kan svare sammen med IT, bliver informationssikkerhed en del af den løbende ledelse.

Fem trin går igen, uanset hvad risikoen hedder

Støj på arbejdspladsen. Phishing, leverandørsvigt, mangelfuld dokumentation, produktionsstop. Der er mange forskellige risici, men grundlogikken er ofte den samme.

1. Identificér

Hvad kan forhindre os i at nå vores mål eller drive virksomheden forsvarligt? Hvor opstår usikkerheden?

2. Vurdér

Hvor sandsynligt er det, at risikoen bliver til virkelighed – og hvad er konsekvensen, hvis den gør?

3. Prioritér

Hvilke risici kræver handling nu? Hvilke kan overvåges? Og hvilke accepterer vi bevidst?

4. Handl

Beslut, hvad der skal ske. Placér ansvar. Sæt en deadline. Dokumentér beslutningen.

5. Følg op

Har indsatsen reduceret risikoen? Er situationen ændret? Er der opstået nye risici?

Systematisk risikostyring behøver ikke være kompliceret. Kompleksiteten opstår ofte, fordi den samme grundlæggende proces er bygget forskelligt op i flere afdelinger, dokumenter og systemer.

Det svære er ikke altid vurderingen, men snarere overblikket

Mange organisationer er gode til at identificere og vurdere risici. Udfordringen begynder ofte bagefter.

Hvem gør noget ved risikoen? Hvornår? Er opgaven udført? Har tiltaget haft den ønskede effekt? Skal vurderingen ændres? Og kan nogen stadig finde beslutningen om et halvt år?

Når svarene ligger spredt i dokumenter, mails, regneark og personafhængig hukommelse, bliver det svært at bevare overblikket på tværs.

En velfungerende risikostyring handler derfor ikke om at producere flere risikolister, men om at skabe en stabil rytme for ansvar, handling og opfølgning – og gøre den synlig for dem, der skal prioritere og handle.

Sammenhæng bliver vigtigere, når kravene mødes på tværs

Virksomheder arbejder i dag med dokumentation, informationssikkerhed, arbejdsmiljø, leverandører, kvalitet og ansvar i forskellige dele af organisationen.
Områderne kan have forskellige krav og faglige metoder, men de mødes ofte i de samme processer, systemer og beslutninger.

Derfor giver det mening at skabe en fælles struktur dér, hvor arbejdet overlapper: tydelige ejere, synlig opfølgning og mulighed for både at arbejde fagligt i det enkelte område og ledelsesmæssigt på tværs.

Det er ofte her, organisationen opdager, at udfordringen ikke er mangel på risikostyring, men nærmere mangel på sammenhæng.

Software kan gøre ansvaret synligt

Hvornår blev en risiko sidst vurderet? Hvem ejer den? Hvilke handlinger er åbne? Hvilken dokumentation ligger bag vurderingen? Og har en ændring i organisationen skabt behov for en ny vurdering?

Virksomheden har ofte allerede mange af byggestenene, så opgaven er at få dem til at hænge sammen.

Når risici, processer, mennesker og ansvar kan ses i sammenhæng, bliver det lettere at prioritere. Lettere at handle. Lettere at dokumentere. Og markant lettere at bevare overblikket.

Mere viden