Innholdsfortegnelse
Risikostyring er mer enn årlige kartlegginger
De fleste organisasjoner har et system for risikostyring. En årlig kartlegging, en risikomatrise, noen sannsynlighetsvurderinger og en rapport til styret. Problemet er at risiko ikke oppfører seg etter årssyklusen.
Risiko endrer seg. Nye trusler oppstår. Gamle antar nye former. En risikovurdering som er seks måneder gammel, er ofte verken relevant eller pålitelig. Likevel baserer mange ledergrupper beslutninger på nettopp slike vurderinger.
Moden risikostyring handler ikke om å lage bedre risikomatriser. Det handler om å bygge en ledelseskapasitet til å identifisere, vurdere og respondere på risiko som en integrert del av den daglige dialogen — ikke som en separat øvelse.
Risikostyring i et ledelsesperspektiv
De fire perspektivene på ledelse gir et rammeverk for å forstå hvorfor risikostyring ofte svikter:
- Struktur: Risikoansvar som er fragmentert eller uklart. «Er dette en IT-risiko, en compliance-risiko eller en strategisk risiko?» — når ingen vet hvem som eier risikoen, blir den ikke håndtert.
- Mennesker: Kognitiv bias i risikovurderinger. Ledere overvurderer sannsynligheten for kjente risikoer og undervurderer ukjente. Overconfidence er den farligste biasen i en ledergruppe.
- Påvirkning: Hvem har makt til å definere hva som er en risiko? I mange organisasjoner er det den med sterkest stemme, ikke den med best innsikt, som setter dagsorden for risikobildet.
- Identitet: Kulturens forhold til risiko. Noen organisasjoner ser risiko som noe som skal unngås for enhver pris. Andre ser det som noe som skal tas — uten å vurdere konsekvensene. Begge ytterpunkter er problematiske.
Les mer om GRC og helhetlig risikostyring →
Usikkerhet som mulighet
Douglas Hubbard argumenterer i How to Measure Anything for at de fleste organisasjoner bruker altfor mye tid på å måle det som er enkelt å måle, og altfor lite på det som faktisk betyr noe. Resultatet er risikostyring som gir en illusjon av kontroll, men som overser de virkelige risikoene.
En moden ledelse forstår at usikkerhet ikke er noe som skal elimineres — det er noe som skal forstås og navigeres. Risikostyring handler ikke om å forutsi fremtiden, men om å være forberedt på flere mulige fremtider.
Les mer om usikkerhetshåndtering og hvordan måle det umålelige →
Veien videre
For ledergrupper som ønsker å styrke risikostyringen, handler første steg om å erkjenne at risikostyring ikke er en compliance-øvelse — det er en ledelsesdisiplin. Det krever:
- Åpenhet om hva dere faktisk ikke vet
- Struktur for å fange opp nye risikoer løpende
- En kultur der det å ta opp risiko belønnes, ikke straffes
- Evne til å ta beslutninger under usikkerhet — og justere kurs underveis
Ledelse 60:2 kartlegger disse dimensjonene på to timer.