Hvordan få en god start på risikostyring i statlige virksomheter

Transkript

1 Veileder Hvrdan få en gd start på risikstyring i statlige virksmheter

2 SSØ 12/ eks.

3 Risikstyring Hva risikstyring er: Et verktøy fr praktiv styring. Et ressurspririteringsverktøy. Et beslutningsverktøy fr ledelsen. Hvrfr skal man innføre risikstyring: Frebygge g begrense negative hendelser. Tydeliggjøre sammenhengen mellm mål, risik g tiltak. Bidra til bedre priritering g ressursstyring. Fastsette mer realistiske mål g ambisjnsnivå fr det enkelte år. Effektivisere g spisse styringsdialgen. Tilfredsstille krav i øknmiregelverket 4. Hvrdan få en gd start på risikstyringen: Frankring i ledelsen. Gd kmmunikasjn internt i virksmheten. Gd plan fr innføring. Integrering i eksisterende styringsprsesser. Tilpasses virksmhetens egenart. Realistisk ambisjnsnivå. Ressursbruk må stå i frhld til nytteverdien. Generelt råd til slutt: Tenk praktisk g enkelt frmålet er å effektivisere styringsprsessene, ikke gjøre dem mer kmpliserte.

4 Frrd Metdedkumentet fr risikstyring i staten ble utgitt i desember 2005 på bakgrunn av at det reviderte øknmiregelverket stilte krav m helhetlig risikstyring g intern kntrll en klar utvidelse av de tidligere bestemmelsene m intern kntrll. Metdedkumentet gir veiledning i hvrdan virksmhetene på en strukturert måte kan benytte risikstyring sm et verktøy fr å gi rimelig sikkerhet fr at de når sine mål. Metdedkumentet er møtt med str interesse fra statlige virksmheter g Senter fr statlig øknmistyring (SSØ) har hldt en rekke kurs i risikstyring. Vi har gså presentert metden fr flere statlige virksmheter g gitt veiledning m hvrdan de skal kmme i gang med risikstyring. Gjennm dette arbeidet har vi bservert nen utfrdringer de statlige virksmhetene står verfr når de skal innføre risikstyring g tilpasse metden til egen virksmhet. Denne veilederen er en videreføring av metdedkumentet. Den kan hjelpe virksmhetene til å få en gd start på sitt arbeid med risikstyring g utvikle det videre slik at det blir et nyttig verktøy i styringen av virksmheten. Frskjellene er stre i nrsk statsfrvaltning. Etablering av risikstyring g tilpassing av metde g verktøy må gjøres med utgangspunkt i den enkelte virksmhets egenart. Hvrdan g hvr mfattende arbeidet med risikstyring skal gjøres er derfr avhengig av m det er en str eller liten virksmhet, g m det er et departement eller en underliggende etat. Denne veilederen tar utgangspunkt i g beskriver metder g verktøy fr risikstyring av alle typer virksmheter. Ved etablering av risikstyring i små g lite kmpliserte virksmheter, må bruken av innhldet i veilederen tilpasses behv g ambisjn. Veilederen finner du på Vi tar gjerne i mt kmmentarer til denne versjnen, gjerne supplert med eksempler fra egne virksmheter. I staten er risikstyring i en utviklingsfase, ne sm innebærer at vi løpende vil gjøre justeringer g tilpasninger i veilederen (i første mgang den elektrniske versjnen) etter hvert sm vi g virksmhetene høster flere erfaringer. Veilederen er utarbeidet av Hans Petter Eide g Hallfrid Nagell-Erichsen. Desember 2007 Marianne Andreassen, direktør SSØ

5 Innhldsfrtegnelse Frrd Innledning Hva er risikstyring? Hvrfr innføre risikstyring? Hvrdan få en gd start på risikstyring? Planlegging av innføringsfasen Steg 1 - Strategi fr integrering av risikstyring i mål- g resultatstyringen Steg 2 - Prsess fr risikstyring integrert i mål- g resultatstyringen Risikstyringsprsessen i praksis - steg 3 til 8: Steg 3 Identifisering av målsettinger Steg 4 g 5 Identifisere kritiske suksessfaktrer g risiker Steg 6 Vurdere g priritere risik Steg 7 Tiltak g kntrllaktiviteter sm følge av vurderingene Steg 8 Oppfølging av risikene Risikstyring er effektiv ressursbruk

6 1 Innledning Bakgrunnen fr at det i de senere år er satt fkus på risikstyring i statlige virksmheter er behvet fr et styringsverktøy sm kan bidra til en mer praktiv styring g sikrere håndtering av hendelser sm kan hindre målppnåelse. I tillegg stilles det krav m etablering av risikstyring i det reviderte øknmiregelverket 1, ved at styring g kntrll skal tilpasses virksmhetens egenart samt risik g vesentlighet. SSØ publiserte sitt metdedkument fr risikstyring i staten i desember Figuren nedenfr illustrerer de åtte stegene i prsessen. Steg 1 g 2 viser innføringsaktiviteter knyttet til virksmhetens planlegging g ppstart av risikarbeidet, mens steg 3 til 8 viser den løpende, gjentagende risikstyringsprsessen. Figur 1: Metde fr risikstyring (SSØs metdedkument, 2005) STYRINGS- OG KONTROLLMILJØ Etablere strategi g prsess 1. Strategi fr integrering av risikstyring i mål- g resultatstyringen 2. Prsess fr risikstyring integrert i mål- g resultatstyringen Analyse, tiltak g ppfølging på flere nivåer 3. Identifisere mål 4. Identifisere kritiske suksessfaktrer 5. Identifisere risiker 6. Vurdere g priritere risikene 7. Tiltak g kntrllaktiviteter sm følge av vurderingene 8. Oppfølging av risikene Steg 3-8 gjennmføres både på virksmhetsnivå g lavere rganisatriske nivåer, inklusiv perative prsesser g prsjekter STYRINGS- OG KONTROLLMILJØ I n f r m a s j n g k m m u n i k a s j n SSØs erfaringer så langt er at mange statlige virksmheter møter utfrdringer knyttet til hvrdan de skal kmme i gang med risikstyring g få en gd prsess slik at virksmheten ppnår gevinster i frm av mer målrettet g effektiv styring. Viktige utfrdringer er altså knyttet til stegene 1 g 2. 1 Øknmiregelverket er en samlebetegnelse på Reglement fr øknmistyring i staten («Reglementet») med tilhørende Bestemmelser m øknmistyring i staten («Bestemmelsene»). Det reviderte Øknmiregelverket ble fastsatt den 12. desember 2003.

7 Den gjennmgående utfrdringen i statlige virksmheter er å få en gd frankring i ledelsen. I mange virksmheter er arbeidet med risikstyring delegert nedver i rganisasjnen. Dette medfører at ledelsen ikke er invlvert i utvikling g tilpasning i risikstyring. De er heller ikke de første til å ta i bruk risikstyringsmetdikken i sin styring av virksmheten. Den andre stre utfrdringen er å få integrert risikstyringen i allerede etablerte styringsprsesser, dvs. plan- g ppfølgingsprsesser, sm er unike fr hver virksmhet. Mange virksmheter undervurderer arbeidet med å tilpasse metdikken til egne styringsprsesser. Dette medfører at virksmhetene ikke får hentet ut gevinstene ved risikstyring i tilstrekkelig grad. En tredje utfrdring er målstrukturen i mange statlige virksmheter. Flere virksmheter har gjennmført risikvurderinger knyttet til et strt antall mål samtidig sm de mangler systemer fr å håndtere risiker sm er avdekket. Fr å utvikle gde prsesser sm legger til rette fr en rbust risikstyring ver tid, vil en mer hensiktsmessig start være å begrense risikvurderingene til nen få sentrale mål. På bakgrunn av disse utfrdringene har SSØ utarbeidet denne veilederen sm gir nen praktiske råd m hvrdan virksmheten kan starte med risikstyring g utvikle den videre slik at den blir et nyttig verktøy i styringen av virksmheten. Veilederen må ses sm et supplement til SSØs metdedkument, men kan gså leses sm et selvstendig dkument. Veilederen er primært rettet mt ledere g medarbeidere sm bistår ledere med innføring g tilrettelegging av risikstyring. Veilederen gir først en krt beskrivelse av hva risikstyring er g hvrdan den henger sammen med prinsippet m mål- g resultatstyring g begrepet intern kntrll (kap. 2). Deretter går vi inn på hvrfr statlige virksmheter skal benytte risikstyring (kap. 3). Hveddelen av dkumentet handler m hvrdan innføre risikstyring (kap. 4). Vi vil her utdype g knkretisere frhld tilknyttet de 8 stegene sm er beskrevet i metdedkumentet. I kapittel 5 peker vi på hvrdan risikstyring kan bli et effektivt styringsverktøy.

8 2 Hva er risikstyring? I statlig frvaltning har mål- g resultatstyring vært det verrdnede styringsprinsipp siden midten av 1980-årene, g ble innført fr å gjøre staten mer effektiv g resultatrientert. Definisjn av mål- g resultatstyring: Å sette mål fr hva virksmheten skal ppnå, å måle resultater g sammenligne dem med målene, g bruke denne infrmasjnen til styring, kntrll g læring fr å utvikle g frbedre virksmheten 2. Sm en del av gd mål- g resultatstyring stilles det i øknmiregelverket krav til intern kntrll i virksmhetene. Alle virksmheter skal etablere systemer g rutiner sm har innebygd intern kntrll fr å sikre virksmhetens målppnåelse. Intern kntrll skal gså frhindre styringssvikt, feil g mangler. Definisjn av intern kntrll: Prsesser, systemer g rutiner igangsatt av ledelsen g de ansatte fr å gi rimelig sikkerhet fr virksmhetens målppnåelse innenfr følgende kategrier: Målrettet g effektiv drift. Pålitelig regnskapsrapprtering g øknmifrvaltning. Overhldelse av lver g regler. Øknmiregelverket stiller videre krav m at den interne kntrllen skal være tilpasset egenart, samt risik g vesentlighet. Skal vi frstå begrepet intern kntrll må vi derfr frstå sammenhengen mellm mål, risik g kntrlltiltak. Definisjn av risik: Frhld eller hendelser sm kan inntreffe g påvirke ppnåelse av målsettinger negativt. Risik vurderes i frhld til sannsynligheten fr at den inntreffer, g den frventede knsekvensen den vil medføre fr virksmhetens målppnåelse dersm den inntreffer. Innføring av risikstyring er en praktisk tilrettelegging av en metde fr å ivareta bestemmelsene m intern kntrll i regelverket. 2 Mål- g resultatstyring i staten en veileder i resultatmåling, SSØ, nvember

9 Definisjn av risikstyring: Prsess integrert i mål- g resultatstyringen sm: Er utfrmet fr å kunne identifisere, vurdere g håndtere g følge pp risik slik at risiken er innenfr akseptert nivå. Gjennmføres av virksmhetens ledelse g øvrige ansatte. Anvendes i fastsettelse av strategi g planer g på tvers av virksmheten fr å gi rimelig grad av sikkerhet fr virksmhetens ppnåelse av sine målsettinger. Risikstyring skal bidra til å skape bedre balanse mellm mål, risik, styring g kntrlltiltak g dermed en bedre ressursutnyttelse. På den måten kan gså risikstyring fungere sm et ressurspririteringsverktøy. Risikstyring er i økende grad tatt i bruk sm en del av virksmhetenes strategiske styring, g tilfører virksmheter et nytt g verdiskapende perspektiv på den samlede styringen. Kravet m risikstyring gjelder på g mellm alle nivåer i staten. Det innebærer at det er samme regler fr risikstyring i departementene sm i underliggende g tilknyttede virksmheter. Det er imidlertid her viktig å understreke at dette må tilpasses virksmhetenes egenart. Risikstyringen knyttes gså inn i etatsstyringen ved at departementets risikvurdering må gjenspeiles i ppfølgingen av underliggende virksmheter.

10 3 Hvrfr innføre risikstyring? Et viktig frhld sm påvirker styringsbehvet i statlig sektr er krav til sikker drift i virksmhetene. I tillegg til denne utfrdringen stilles det krav til effektiv ressursbruk, g til kntinuerlig mstilling g utvikling. Ut i fra dette må virksmhetene til enhver tid yte de tjenester sm frventes av samfunnet. Risikstyring skal i den sammenheng bidra til å kartlegge faktrer sm kan true målppnåelse før beslutninger tas g tiltak/aktiviteter velges. Ved siden av å se på hva sm kan true målppnåelse, er det samtidig viktig å være klar ver at prsessen i seg selv vil bidra til at ledelsen kan se nye muligheter fr virksmheten. Gd risikstyring er å finne balansen mellm mål, risik g tiltak (dvs. ressursbruk knyttet til risikstyringen g kstnader frbundet med tiltakene) g kstnader (tap/ulempe) frbundet med mulige uønskede hendelser. I arbeidet med å nå målene i en virksmhet, er det derfr viktig å skille mellm viktige frhld (vesentlige risiker) g mindre viktige frhld (ubetydelige risiker). Fr virksmhetene innebærer dette en ressurspriritering, dvs. at en må rette ppmerksmheten g styre ressursene inn mt de tiltak sm håndterer de mest vesentlige risikene. Mens mål- g resultatstyring er et styringsprinsipp, er risikstyring en metde eller et verktøy sm skal bidra til bedre virksmhetsstyring. Risikstyring innebærer bl.a. en systematisk g strukturert gjennmgang av de mål virksmheten styres etter. Dermed vil risikstyringen gså bidra til å tydeliggjøre g perasjnalisere målene, samt å synliggjøre g strukturere sammenhengen mellm mål på ulike nivåer. Helhetlig risikstyring betyr at man gså identifiserer g håndterer sammensatte risiker på tvers av virksmheten. Risikstyring vil dermed bidra til å frsterke mål- g resultatstyringen. Oppsummert kan vi si at risikstyring er et hjelpemiddel i arbeidet med å løse de styringsmessige utfrdringer ledelsen står venfr. Den skal bidra til mer målrettet styring, g derfr gså enklere styring, ved at ledelsen bruker tid på de viktigste frhldene. 10

11 4 Hvrdan få en gd start på risikstyring? Risikstyring må innføres med sikte på at den skal bli en del av styringen virksmheten allerede har etablert, g samtidig bidra til å videreutvikle den. Dersm man ikke etablerer risikstyring med dette utgangspunktet, vil risikstyring sm metde svært sannsynlig få et krtvarig liv g kun medføre ekstra kstnader g ressursbruk fr virksmheten. Utvikling av risikstyring vil være en prsess sm pågår ver lengre tid g vil påvirke alle deler av rganisasjnen. Det er derfr viktig å erkjenne at dette er en endringsprsess sm krever tid g ressurser, g ikke minst ppmerksmhet fra ledelsen. 4.1 Planlegging av innføringsfasen Vi vil i dette delkapittelet gå nærmere inn på nen sentrale frhld sm må tas hensyn til når man planlegger hvrdan virksmheten skal starte pp med risikstyring g integrere dette i mål- g resultatstyringen (se figur 2). Figur 2: Metde fr risikstyring. Rød ring markerer stegene sm mhandler innføringsfasen STYRINGS- OG KONTROLLMILJØ Etablere strategi g prsess 1. Strategi fr integrering av risikstyring i mål- g resultatstyringen 2. Prsess fr risikstyring integrert i mål- g resultatstyringen Analyse, tiltak g ppfølging på flere nivåer 3. Identifisere mål 4. Identifisere kritiske suksessfaktrer 5. Identifisere risiker 6. Vurdere g priritere risikene 7. Tiltak g kntrllaktiviteter sm følge av vurderingene 8. Oppfølging av risikene Steg 3-8 gjennmføres både på virksmhetsnivå g lavere rganisatriske nivåer, inklusiv perative prsesser g prsjekter STYRINGS- OG KONTROLLMILJØ I n f r m a s j n g k m m u n i k a s j n 11

12 Steg 1 - Strategi fr integrering av risikstyring i mål- g resultatstyringen Dette steget tar fr seg hvrdan virksmheten kan planlegge g frberede innføring av risikstyring. En tydelig strategi g plan fr innføring vil bidra til at prsessen gjennmføres innen fastsatt tid g med gd kvalitet, g vil samtidig tjene til å synliggjøre hva risikstyring innebærer fr ulike deler av virksmheten. Kmpetanse- g ressursbehv Det må settes av tilstrekkelig tid g ressurser til innføringsarbeidet. En viss investeringskstnad må det tas høyde fr, blant annet i frhld til pplæring. Ressursbruk må likevel stå i frhld til nytteverdien. Arbeidet med risikstyring må gjøres praktisk g enkelt g tilpasses virksmhetens egenart. Rller g ansvar Risikstyring må frankres på ledernivå. Det er virksmhetens ledelse sm har ansvar fr at risikstyringen blir etablert, gjennmført, fulgt pp g dkumentert på en tilstrekkelig g effektiv måte. Ledelsen setter tnen fr hvrdan resten av rganisasjnen vil frhlde seg til et slikt nytt styringselement i mål- g resultatstyringen. I alle faser av risikstyringsprsessen er det viktig at virksmhetens ledelse setter sitt preg på innhldet. Dette bør skje både gjennm å være aktive bidragsytere g ved å gi de nødvendige premisser g føringer fr hvrdan prsessen skal gjennmføres, g hva sm er det frventede resultat. Virksmhetens ledelse må i denne sammenheng: Sørge fr at virksmheten iverksetter alle nødvendige aktiviteter fr å innføre risikstyring. Kmmunisere kravene knyttet til risikstyring til hele rganisasjnen, g gi ppmerksmhet, priritet g inspirasjn rundt emnet. Sikre at vesentlige risiker blir identifisert g håndtert. Sette risikstyring på dagsrden i ledermøter. Gi de nødvendige premisser g føringer fr hvrdan prsessen skal gjennmføres g hva sm er det frventede resultatet. Delegere myndighet g stille krav til risikhåndtering på alle nivåer. Sørge fr at verrdnet myndighet har kjennskap til hvedtrekkene i virksmhetens system fr risikstyring. I større virksmheter kan det være nyttig å etablere en rlle sm risikkrdinatr/faglig ansvarlig. Denne funksjnen skal støtte ledergruppen g bidra til at risikstyringen krdineres på tvers av rganisasjnen g at virksmhetens risikstyringsprsesser vedlikehldes g ppdateres. En funksjn sm risikkrdinatr/faglig ansvarlig bør legges til enheten sm har ansvar fr tilrettelegging av plan- g ppfølgingsprsessene. I tillegg til kmpetanse m risikstyring, bør de invlverte ha kunnskap g frståelse fr hvrdan virksmheten styres, rganisasjnsstruktur, samt versikt ver viktige strategiske g perasjnelle prsesser. Oppgaver sm kan tillegges risikkrdinatr/faglig ansvarlig er å: Frvalte systematikk fr risikstyring. Tilrettelegge fr peridisk gjennmføring av risikvurderinger. Tilrettelegge diskusjner m risik. Krdinere risikhåndtering på tvers i rganisasjnen. Samrdne virksmhetens rapprtering av risikkart g status fr tiltak. 12

13 Sm en del av innføringen må rller g ansvar fr resten av rganisasjnen beskrives. Dette vil blant annet mfatte hvilke ansvar g ppgaver sm tillegges ledere fr avdelinger/enheter g den enkelte medarbeider. Dersm virksmheten har etablert en enhet fr internrevisjn kan gså denne ha en rlle i arbeidet med risikstyring. Mer infrmasjn m internrevisjnens rlle finnes bl.a. på Nrges Interne Revisrers Frening (NIRF), Infrmasjn g kmmunikasjn Det er viktig at virksmheten på et tidlig tidspunkt infrmerer m innføring av risikstyring, g hvrdan dette påvirker de ulike funksjnene/enhetene. Etter hvert sm det etableres et system fr risikstyring er det viktig å ha et bevisst frhld til hvrdan infrmasjn m ulike risiker distribueres, da dette er pplysninger sm kan mistlkes g i enkelte tilfeller gså misbrukes. Etablering av verrdnede retningslinjer fr risikstyring («risikplicy») Sm start på innføring av risikstyring bør ledelsen, eventuelt med bistand fra risikkrdinatr/faglig ansvarlig, fastsette retningslinjer fr risikstyring (risikplicy). Dette fr å sikre at risikstyringen utøves i samsvar med ensartede prinsipper g føringer. En risikplicy er virksmhetsleders frpliktelse g krav til hvrdan virksmheten skal frhlde seg til risik. En plicy kan innarbeides i gjeldende instrukser fr virksmheten, eller den kan være et separat dkument g trenger fte ikke være på mer enn én til t sider. Eksempel på innhld av en risikplicy Hensikt med dkumentet Krt beskrivelse av dkumentets frmelle status. Hva dkumentet handler m. Hvem sm er målgruppe. Frmål med risikstyringen Dette kan fr eksempel være: Hindre at hendelser påvirker målppnåelse negativt. Bidra til bedre priritering g ressursstyring. Tydeliggjøre sammenheng mellm mål, risiker g tiltak. Bidra til mer praktiv styring. Spisse styring g intern kntrll mt vesentlige mråder. Bedre kmmunikasjn m risiker sm kan hindre målppnåelse. Integrering av risikstyring i mål- g resultatstyringen Dette kan fr eksempel være: Bruk av risikvurderinger i planprsesser. Synliggjøring av risik i viktige beslutningsgrunnlag. Oppfølging av vesentlige risiker. Rapprtering av risik sm en del av peridisk rapprtering. Krav til metdikk Fr eksempel SSØs metdedkument. 13

14 Organisering, rller g ansvar Virksmhetsleders rlle, ansvar g ppgaver. Avdelinger/enheters rller, ansvar g ppgaver. Eventuell internrevisjns rlle, ansvar g ppgaver. Den enkelte medarbeiders ansvar fr risikstyring. Frtrlighet Infrmasjn m virksmhetens risikstyring bør i utgangspunktet behandles sm frtrlig infrmasjn. Resultatet av risikvurderinger, dvs. relevant styringsinfrmasjn, skal gjøres kjent fr de persner sm har et ansvar fr håndtering av identifiserte risiker. En tydelig frmulert plicy bidrar til å skape en felles frståelse av hensikt, målsetting g ambisjn med risikstyringen. Planlegge innføring av risikstyring Innføring av risikstyring må planlegges med sikte på at den skal bli en del av de etablerte styringsprsessene g vil kunne erstatte eller endre elementer i disse. Dette krever først g fremst at man har versikt ver virksmhetens styringssystem: Viktigste styringsprsesser dvs. plan- g ppfølgingsprsesser, styringslinjer, rganisering, ansvarsdeling med mer Møteplasser fr eksempel faste ledermøter g ppfølgingsmøter mellm nivåer Ut i fra dette kan man vurdere fullstendigheten g aktualiteten av dagens styringssystem pp mt øknmiregelverkets krav. I planleggingen er det viktig at man er tydelig på hva man ønsker å ppnå av frbedringer i styringen g ikke kun beskrive hvilke aktiviteter g dkumenter sm skal være på plass. Videre må risikstyringen tilpasses virksmhetens egenart. Det vil fr de fleste virksmheter være fr ambisiøst å etablere risikstyring på alle nivåer g innenfr alle enheter allerede i en startfase. Det er derfr viktig å begrense mfanget av risikstyringen i første mgang, ettersm tilpassing av metden g endring av styringsprsessene bør skje parallelt. Det viktigste innledningsvis er at ledere g medarbeidere blir kjent med metden g tar denne i bruk på et begrenset mråde. I planleggingen bør det fretas en vurdering av hvilke mål på ulike nivåer i rganisasjnen sm skal pririteres i innføringsarbeidet g hvilke sm kan tas på et senere tidspunkt. Fr å sikre nødvendig knsistens g struktur, anbefaler vi at virksmheten først vurderer g følger pp risik med utgangspunkt i ett, eller innenfr et begrenset antall, av virksmhetens verrdnede mål. Man bør velge de mål sm er viktigst i frhld til effekter sm skal ppnås. På bakgrunn av denne pririteringen bør det utarbeides en tidsplan fr innføringen med knkrete milepæler, dvs. hvr langt virksmheten eksempelvis skal kmme i løpet av det første året, det andre året sv., g når risikstyringen skal være innført i alle deler av rganisasjnen. 14

15 Tabell 1: Eksempel på gradvis utvidelse av hvilke mål g rganisasjnsnivåer sm mfattes av risikstyringen Fase 1 Fase 2 Fase 3 Virksmhetens ledelse gjennmfører risikvurdering knyttet til ett eller nen få verrdnede mål (start med de viktigste målene). Aktuell del av virksmheten gjennmfører tiltak fr de 3-5 mest kritiske risikene g rapprterer m status fr gjennmføring g effekt av tiltak. Det er gså viktig å sette av tid til å justere plicy g metdikk Risikvurdering knyttet til verrdnede mål (sm ved fase 1). I tillegg gjennmfører nivået under risikvurdering knyttet til ett eller nen få av sine mål eller delmål. Gjennmføring g rapprtering av tiltak sm en del av rdinær plang ppfølgingsprsess Risikvurdering av alle verrdnede mål. Nivået under gjennmfører risikvurderinger knyttet til egne mål g delmål. Gjennmføring g rapprtering av tiltak sm en del av rdinær plang ppfølgingsprsess Det er viktig å ha et realistisk ambisjnsnivå ettersm risikstyring tar tid når en hel rganisasjn skal ta det i bruk. Eksempel på innføringsplan Mål Et system fr risikstyring skal være implementert sm en integrert del av mål- g resultatstyringen innen dg/mnd/år (beregn gd tid). Skriv gjerne gså litt m hva dere ønsker å ppnå i løpet av implementeringsfasen hvrdan dere vil bruke resultatene av den første risikvurderingen på verrdnet nivå i plan- g ppfølgingsprsesser. Hvrfr innføre risikstyring Krt beskrivelse av hva virksmheten vil ppnå gjennm innføring av risikstyring, dvs. frbedringsptensial, eventuelle svakheter sm skal avhjelpes med risikstyring, fr eksempel: Hindre at hendelser påvirker målppnåelse negativt. Tydeliggjøre sammenheng mellm mål, risiker g aktiviteter/tiltak. Bidra til bedre priritering g ressursstyring. Bidra til mer praktiv styring. Spisse styring g intern kntrll mt vesentlige mråder effektivisering av intern kntrllen. Bedre kmmunikasjn m risiker sm kan hindre målppnåelse. Fremskaffe versikt ver det etablerte styringssystemet Viktigste styrende dkumenter, plan- g ppfølgingsprsesser, styringslinjer, rganisering, ansvarsdeling med mer. Hvedlinjer fr intern kntrll. Møteplasser (fr eksempel faste ledermøter, ppfølgingsmøter, med mer). Rller, ansvar, ppgaver Virksmhetsleders ansvar. Øvrige lederes ppgaver g ansvar. Oppgaver sm tillegges risikkrdinatr. Ansatte. Eventuell internrevisjns rlle g ansvar. 15

16 Frventet ressursbruk hvem gjør hva? Kmpetanse Vurdere pplæringsbehv. Gjennmføre pplæringsaktiviteter. Innføringsfaser gradvis utvidelse av risikstyring (milepæler) Hvilke mål/resultatmråder. Hvilke rganisasjnsnivåer. Tidsplan Ta utgangspunkt i det styringssystemet sm eksisterer i dag fr tilpassing til plan- g ppfølgingsprsesser. Sett tidsfrist fr de ulike innføringsaktivitetene. Infrmasjnsaktiviteter Hvrdan infrmere rganisasjnen m innføring av risikstyring g hvrdan dette påvirker de ulike funksjnene/enhetene. Grensesnitt/avhengigheter Internt i virksmheten. Omgivelser/verrdnet myndighet. Steg 2 - Prsess fr risikstyring integrert i mål- g resultatstyringen Intensjnen med risikstyring er å sette fkus på de mest vesentlige hendelser sm påvirker målppnåelse negativt fr virksmheten sett under ett, g sikre en knsistent styring g ppfølging av disse. Dette steget mhandler de endringer sm må gjøres i plan- g ppfølgingsprsesser. Risikstyring integrert i planprsessene Ledelsens planprsess må ta utgangspunkt i freliggende mål g kritiske suksessfaktrer, med vurdering av risik på et verrdnet nivå fr hele virksmheten. Ved planlegging av innføring av risikstyring bør det derfr legges til rette fr at ledergruppen gjennmfører en verrdnet risikvurdering (steg 3 til 6) knyttet til virksmhetens langsiktige strategi, g så utdyper vurderingen sm en del av årlig virksmhetsplan. Den verrdnede risikvurderingen legger rammene fr vurdering av risik på lavere nivåer g fr hvilke perative prsesser g prsjekter sm skal vurderes nærmere. Resultatet av den verrdnede risikvurderingen kan brukes sm grunnlag fr utarbeidelse av eventuelle dispneringsskriv. Dersm risikvurderinger på perativt nivå ikke knyttes pp mt den verrdnede risikvurderingen, vil det kunne medføre at tid g ressurser går med til håndtering av risiker sm bare har ubetydelig effekt fr målppnåelsen ttalt sett. Mange virksmheter har lenge drevet med risikstyring i prsjekter. Risik knyttet til prsjekter må ses i sammenheng med den øvrige risikstyringen, da prsjekter kan utgjøre en vesentlig del av det ttale risikbildet fr virksmheten (se figur 3). Videre må planprsessen legge til rette fr beslutninger m tiltak g kntrllaktiviteter (steg 7) sm skal iverksettes på bakgrunn av risikvurderingene, slik at ressurser allkeres til vesentlige risiker. 16

17 Nen virksmheter starter med å vurdere risik knyttet til prsesser sm har vært beheftet med feil g dårlig kvalitet. Dette kan fr nen virksmheter være helt nødvendig, men det er likevel viktig at dette arbeidet knyttes pp mt den øvrige risikstyringen etter hvert sm denne utvides til å mfatte alle nivåer av virksmheten. Figur 3: Sammenheng mellm risikvurdering på ulike nivåer Overrdnet nivå: Risikvurderinger gjennmføres sm en del av strategi- g planprsesser Lavere nivåer: Risikvurderinger gjennmføres i frbindelse med virksmhetsplanlegging Prsjekter: Risikvurdering sm en del av planleggingen. Hyppige ppdateringer Operative prsesser: Ved utfrming g ved vesentlige endringer. Peridisk risikvurdering av viktige prsesser Risikstyring sm verktøy i ppfølging av virksmheten Når risikstyring er innført skal ppfølging av risikene (steg 8) være en integrert del av den rdinære virksmhetsrapprteringen. Dette mfatter både risiker sm knytter seg direkte til virksmhetens samlede målppnåelse g risiker sm knytter seg til mer perative prsesser g prsjekter. Den enkelte virksmhet må vurdere m det i tillegg er behv fr å stille krav m særskilt rapprtering, fr eksempel ved negativ utvikling av vesentlige risiker. Risikvurderingen må regelmessig følges pp i ledermøtene på ulike nivå. I løpet av en tidsperide vil det være nødvendig å vurdere de risiker sm er identifisert på nytt. Dette kan både være begrunnet i endringer i rammebetingelser sm medfører at risiker brtfaller, eller nye kmmer til. På den måten får ledelsen på ulike nivåer en samlet versikt ver risiker g utviklingen av disse. På sikt vil dette gi et bedre grunnlag fr å styre virksmheten. Ved fremleggelse av frslag m vesentlige beslutninger bør det stilles krav m at risikvurdering skal synliggjøres sm en del av beslutningsgrunnlaget. Dette må både mfatte en vurdering av risik knyttet til selve tiltaket, g ikke minst m tiltaket kan medføre økt risik fr andre deler av virksmheten. 17

18 4.2 Risikstyringsprsessen i praksis steg 3 til 8: I det følgende vil vi gå nærmere inn på hvrdan en kan sikre en gd g enkel gjennmføring av de enkelte stegene i selve risikstyringsprsessen (se figur 4). Dette er en gjentagende prsess, sm skal gjennmføres peridisk g på alle nivåer i rganisasjnen. Figur 4: Metde fr risikstyring. Rød ring markerer stegene sm mhandler den løpende risikstyringsprsessen STYRINGS- OG KONTROLLMILJØ Etablere strategi g prsess 1. Strategi fr integrering av risikstyring i mål- g resultatstyringen 2. Prsess fr risikstyring integrert i mål- g resultatstyringen Analyse, tiltak g ppfølging på flere nivåer 3. Identifisere mål 4. Identifisere kritiske suksessfaktrer 5. Identifisere risiker 6. Vurdere g priritere risikene 7. Tiltak g kntrllaktiviteter sm følge av vurderingene 8. Oppfølging av risikene Steg 3-8 gjennmføres både på virksmhetsnivå g lavere rganisatriske nivåer, inklusiv perative prsesser g prsjekter STYRINGS- OG KONTROLLMILJØ I n f r m a s j n g k m m u n i k a s j n Sm frberedelse til risikstyringsprsessen kan det være hensiktsmessig å gjennmgå blant annet følgende dkumenter: Strategisk plan. Tildelingsbrev g internt dispneringsskriv. Virksmhetsplan. Budsjett. Virksmhetsrapprtering fr siste år. Målstruktur. Resultat av eventuell benchmarking. Interne analyser g evalueringer. Viktigste rammebetingelser, frventede endringer, markedsanalyser, brukerundersøkelser, rganisatriske endringer mv. 18

19 Steg 3 - Identifisering av mål sm utgangspunkt fr risikvurdering Første steg i den løpende risikstyringen er å velge ut mål sm skal risikvurderes. I startfasen bør virksmheten priritere mål sm det er spesielt viktig å nå. Fr å kunne identifisere g vurdere risik i frhld til målppnåelse, er det viktig å gjøre en vurdering av m målene er knkrete g tydelige. Mål bør beskrives i frm av et ønsket resultat eller en tilstand (ne verdifullt sm man vil ha mest mulig av på sikt), g ikke frmuleres sm et virkemiddel eller ppgavebeskrivelse. 3 Flere virksmheter har hatt mål sm ikke ppfyller disse kriteriene når de har startet pp med risikstyring. Erfaringen viser imidlertid at etter hvert sm virksmheten har gått gjennm stegene 3 til 8 i risikstyringsprsessen, bidrar dette til å knkretisere g presisere målene. Målfrmuleringer vil ha ulik karakter avhengig av hvilket nivå i virksmheten de er rettet mt. J nærmere man er det perativt utførende leddet, j mer knkret g avgrenset bør målfrmuleringene være. Tilsvarende vil da gjelde fr risikvurderinger (se figur 5). Risikvurderinger knyttet til systemer eller arbeidsprsesser kan gjøres uavhengig av tidspunktet fr den mer verrdnede risikvurderingen. Vi vil likevel påpeke betydningen av å knytte systemer g arbeidsprsesser pp mt målstrukturen fr øvrig slik at prsessene vurderes ut fra de mål de skal ppfylle. Figur 5: Risikvurderinger på ulike nivåer. Risikvurderinger gjøres med utgangspunkt i den målstrukturen virksmheten styres etter. Se fr øvrig figur 3 Organisasjnsnivå Virksmhetsledelse Risik knyttet til verrdnede mål g strategier. Fkus på virksmhetens hvedmål, strategiske utfrdringer g vesentlige endringer Regin eller divisjn/avdeling Risik knyttet til mål g delmål sm den enkelte enhet er ansvarlig fr Lkalkntr eller seksjn Risik knyttet til aktiviteter/prdukter/tjenester sm den enkelte enhet er ansvarlig fr System eller arbeidsprsess Risik knyttet til den enkelte arbeidsprsess eller system Tidspunkt fr risikvurdering 3 Dette beskrives nærmere i veileder fr Mål- g resultatstyring i staten en veileder i resultatmåling, SSØ, nvember Kan bestilles på 19

20 Steg 4 g 5 - Identifisere kritiske suksessfaktrer g risiker Steg 4 g 5 er å identifisere kritiske suksessfaktrer g risiker knyttet til det enkelte mål. Disse stegene henger nøye sammen ved at de bygger på g utfyller hverandre. Vi vil imidlertid understreke at de fanger pp ulike frhld g at de sammen gir et ttalbilde i frhld til hva sm kan innebære risik fr den enkelte virksmhet. Steg 4 er å identifisere kritiske suksessfaktrer. Dette bidrar til å rette ppmerksmheten mt de frhld sm har størst betydning fr målppnåelse, g dermed gså mt mråder sm er frbundet med risik. Definisjn av kritiske suksessfaktrer: Frhld sm er viktigst å lykkes med fr å nå målene Steg 5 er å identifisere risiker. Dette gjøres først ved å frmulere risiker med utgangspunkt i de kritiske suksessfaktrene. Deretter må virksmheten gså identifisere risiker ved å bruke den infrmasjn g kunnskap de besitter m kmmende endringer (interne g eksterne), rganisasjnens sterke g svake sider, tidligere prblemer/utfrdringer, styringssvikt med mer. Ved identifisering av kritiske suksessfaktrer g risiker på et verrdnet nivå vil det være virksmhetens ledergruppe sm er de viktigste infrmantene. På perative prsesser vil prsesseiere g andre nøkkelpersner være de viktigste infrmantene. Ulike metder kan benyttes i identifiseringen av kritiske suksessfaktrer g risiker: Intervjuer. Skriftlige innspill. Idemyldringsmøter/wrkshps. Det er viktig å begrense antall kritiske suksessfaktrer g risiker knyttet til hvert mål, fr eksempel ved å be hver infrmant m å beskrive det hun/han mener er de 2-6 mest vesentlige kritiske suksessfaktrer g risiker knyttet til hvert mål. 20

21 Ved førstegangs gjennmføring må det presiseres at det kun er risik i betydningen «frhld sm kan hindre målppnåelse» sm skal tas med ikke alt sm kan gå galt. Derfr er det viktig at infrmantene blir bedt m å utdype hvrdan de freslåtte risikene påvirker målppnåelsen, fr å sikre sammenhengen mellm mål, kritiske suksessfaktrer g risiker. Før man går videre til å priritere risiker, vil det sm ftest være nødvendig med ne bearbeiding av mttatte innspill. Freslåtte risiker kan være ulikt frmulert, men likevel henspille på samme frhld. Det kan gså være behv fr utdypninger g presiseringer fra enkelte infrmanter. Identifiserte risiker bør sammenstilles til en risikliste. Risiklisten bør bestå av et mindre antall risiker, gjerne med en litt utdypende beskrivelse av hvilke frhld sm underbygger at dette er en risik. Steg 6 - Vurdere g priritere risik I dette steget vurderes den samlede risiklisten med sikte på å priritere hvilke risiker sm er mest kritiske g må håndteres gjennm iverksetting av tiltak g ppfølging. Vurdering g priritering av risik gjøres enklest i en wrkshp eller et arbeidsmøte, hvr ledergruppen g eventuelle nøkkelpersner utenfr ledergruppen vurderer g rangerer identifiserte risiker. Det anbefales at møtet ledes, særlig når dette skal etableres første gang, av en nøytral persn (tilrettelegger) sm ikke er en del av ledergruppen. Dette kan bidra til å strukturere diskusjnen g sikre at alle relevante frhld får tilstrekkelig ppmerksmhet. Når man skal ta stilling til hvr høy en risik er, anbefaler vi først å vurdere sannsynlighet fr at risiken inntreffer, deretter vurdere hvr alvrlige knsekvenser fr målppnåelsen det vil få dersm risiken inntreffer. Summen av disse vurderingene angir da hvr høy den enkelte risik er. Det vil være viktig å definere hvilket tidsperspektiv sm legges til grunn. Figur 6: Risik vurderes i frhld til sannsynlighet g knsekvens Risik Hendelse Sannsynlighet X Knsekvens I en ledergruppe vil det alltid være ulike ppfatninger m hvr høy den enkelte risik er ettersm vurderingene av sannsynlighet g knsekvens sm regel er subjektive. Dersm det er sprikende vurderinger av en risiks sannsynlighet g knsekvens i en ledergruppe, er det viktig at diskusjnen frsøker å avdekke årsaken(e) til dette bl.a. m alle har samme infrmasjnsgrunnlag, m de har lagt samme tidshrisnt til grunn, m det er en felles ppfatning av hvilke knsekvenser sm er knyttet til risiken, sv. En av utfrdringene ved vurdering av sannsynlighet g knsekvens, er at man i vurderingen må ta hensyn til allerede etablerte tiltak. I enhver rganisasjn vil det fra før av finnes tiltak g aktiviteter sm bidrar til å redusere den risik virksmheten er ekspnert fr. Deltakerne vil ha ulik kjennskap 21

22 til de ulike mrådene. Fr at ledergruppens samlede kunnskap skal danne grunnlag fr vurdering av risikene, må allerede etablerte tiltak være et tema i diskusjnen. Dette kan være krevende, men har i seg selv en verdi ved at ledergruppen får bedre kunnskap m virksmheten g en felles frståelse av hvr gdt risik håndteres i dag. Etter hvert sm risikstyringsprsessen gjentas, g det etableres en systematikk fr gjennmføring g ppfølging av risikreduserende tiltak, vil dette bli langt enklere. Et annet viktig tema i diskusjnen er hvilke risiker sm kan aksepteres i frhld til de ulike målene. Ved vurdering av den enkelte risik, plasseres alle risiker i et risikkart med sannsynlighet g knsekvens sm akser. Risikkart benyttes fr å visualisere g kmmunisere resultatet av vurderingene av den enkelte risik, g ikke minst hvrdan de rangeres i frhld til hverandre. Utarbeidelse av risikkart kan gjøres på ulike måter, fr eksempel å plassere gule lapper på et diagram, bruk av PwerPint, Excel eller et elektrnisk stemmeverktøy (se figur 7). Figur 7: Eksempel på risikkart. Kartet til venstre er laget ved hjelp av et elektrnisk stemmeverktøy. Kartet til høyre er laget i PwerPint. I kartene er risiker markert med henhldsvis bkstaver g tall Nesten sikkert Risikkart Svært str 5 Sannsynlighet Sannsynlig Mderat Lite sannsynlig Meget lite sannsynlig Ubetydelig Lav Mderat Alvrlig Svært alvrlig A B C D F Sannsynlighet Str Mderat Liten Meget liten Risik Kritisk Høy Mderat Lav Knsekvens Ubetydelig Lav Mderat Alvrlig Knsekvens Svært alvrlig På bakgrunn av vurderingene av risikene, må det gjøres en priritering g beslutning m hvilke risiker sm er så kritiske at de skal følges pp gjennm tiltak. Dette betyr at ledergruppen gså tar stilling til hvilke risiker virksmheten kan akseptere å «leve med». Over tid vil dette innebære at ledergruppen utvikler en felles frståelse fr hvilke risiker sm krever tiltak g hva sm vurderes sm akseptabel risik, dvs. risiktleransen, fr virksmheten. Fr alle risiker sm krever tiltak bør det utpekes en risikeier. Dette må være en leder med verrdnet ansvar fr resultatmrådet/enheten hvr risiken antas å ha størst påvirkning. Resultatet av risikvurderingen kan dkumenteres i frm av en krtfattet rapprt, sm bør mtale følgende punkter: Oppsummering/knklusjn(er). Deltakere i risikvurderingen. Hvilke målsettinger/deler av virksmheten vurderingen mfatter. Risiklisten. Risikkart. Andre frhld sm ble spesielt diskutert. Hvilke risiker sm krever tiltak g hvem sm er ansvarlig fr den ppfølgingen (risikeier). 22

23 Steg 7 - Tiltak g kntrllaktiviteter sm følge av vurderingene Hensikten med dette steget er å identifisere g beslutte tiltak g kntrllaktiviteter fr å håndtere kritiske risiker slik at de kmmer ned på et akseptabelt nivå. Vurdering av tiltak Ved identifisering av aktuelle tiltak bør det tas stilling til m det er sannsynligheten g/eller knsekvensen sm ønskes redusert. Frbedret intern kntrll vil først g fremst redusere sannsynligheten fr at uønskede hendelser inntreffer. Fr risiker med lav sannsynlighet, men alvrlige eller svært alvrlige knsekvenser, kan det være ufrhldsmessig kstnadskrevende å redusere sannsynligheten ytterligere. Derimt kan en vurdere m det er behv fr bedre beredskap til å håndtere situasjnen dersm risiken inntreffer, dvs. tiltak sm kan redusere knsekvensen. Når det gjelder beslutninger m tiltak må disse alltid baseres på en kst-/nyttevurdering. Gd risikstyring er å iverksette hensiktsmessige tiltak med sikte på å ppnå en best mulig balanse mellm kstnader knyttet til risikhåndteringen g kstnader sm utløses dersm uønskede hendelser inntreffer. Ved vurdering av tiltak vil det først være hensiktsmessig å ta utgangspunkt i eventuelle tiltak sm allerede er etablert g se m disse skal videreføres, justeres eller tas ut. Deretter kan man vurdere m det er behv fr å igangsette alternative tiltak. I beskrivelsen av tiltak er det viktig å være knkret både med hensyn på hva tiltaket innebærer, hvem sm har ansvar fr gjennmføring g tidsfrist. Dette er fte en utfrdring ettersm et tiltak kan variere fra stre mstillingsprsjekter til små justeringer på prsessnivå. Når det er besluttet hvilke tiltak sm skal gjennmføres bør det gså utpekes en tiltaksansvarlig sm ikke nødvendigvis er den samme sm risikeier. Tiltaksansvarlig følger pp at tiltak gjennmføres sm frutsatt g rapprterer til risikeier. Beslutning m hvilke tiltak sm skal iverksettes ppsummeres i en tiltaksplan. Tiltaksplanen bør være en integrert del av virksmhetsplanen. Etablere kntrllaktiviteter Parallelt med beslutning av tiltak må det tas stilling til hvrdan man kan kntrllere at tiltakene blir gjennmført g har ønsket effekt. Det bør utarbeides styringsparametere sm måler graden av målppnåelse. Disse kan allerede være etablert i virksmheten, eventuelt må det utvikles nye. SSØ har i 2006 utgitt en egen veileder i resultatmåling sm mhandler hvrdan dette kan gjøres. 4 Andre kntrlltiltak kan være evalueringer eller gjennm møter, samtaler, stikkprøver, drøfting av feilsituasjner sm ppstår, m.v. 4 SSØ, nvember 2006: Mål- g resultatstyring en veileder i resultatmåling. Kan bestilles på 23

24 Risikstyringen kan gjennmføres på flere måter, avhengig av hva sm passer den enkelte virksmhets plan- g ppfølgingsprsesser. Tabellen nedenfr viser hvrdan de ulike aktivitetene sm inngår i en førstegangs risikstyring kan legges pp: Tabell 2: Praktisk tilrettelegging av risikstyring (steg 3-7) Frberedelser Identifisering av kritiske suksessfaktrer g risiker Wrkshp 1 Vurdering g priritering av risik Wrkshp 2 Identifisering av g beslutning m tiltak Fastsette mråde g rganisasjnsenhet sm berøres Identifiser målene Vurdere hvem sm er de viktigste infrmantene Beslutte m identifisering av kritiske suksessfaktrer g risiker skal skje gjennm idemyldring, intervjuer eller skriftlige innspill Bearbeiding av freslåtte risiker Sammenstilling av risikliste Diskusjn: - Hva er risikene? - Hvrfr er det risik? Risikkart bestemme hvilket verktøy sm skal benyttes Vurdering g priritering av risiker Hvilke risiker skal følge pp gjennm tiltak? Risikeier Hvilke tiltak? Kst-/nyttevurderinger - Frventet effekt av tiltak i frhld til kstnad - Gjennmføringsevne Beslutning m tiltak Tiltaksansvarlig I planleggingen må det settes av tilstrekkelig tid til de ulike aktivitetene. Frberedelser før Wrkshp 1 krever fte mye tid. En viktig del av frberedelsene er valg av mål sm skal være gjenstand fr risikvurdering, herunder en vurdering av m målene er gdt nk frmulert i frhld til å vurdere risik. Får man dette på plass gjennm frberedelsene, vil man unngå å få en diskusjn m selve målfrmuleringene i Wrkshp 1. Det må gså sikres at infrmanter, sm primært vil være virksmhetens ledergruppe, får tilstrekkelig tid til å identifisere kritiske suksessfaktrer g risiker. Ikke minst er det viktig å bruke tid på å bearbeide innspillene, slik at en får et gdt grunnlag fr diskusjner m risik i Wrkshp 1. Ved vurdering g priritering av risikene vil det fte være ulikt kunnskaps- g aktivitetsnivå hs deltakerne. Det er her viktig å invlvere alle deltakerne slik at ikke enkelte persner blir fr dminerende. Utarbeidelse av tiltak (Wrkshp 2) kan gjerne skje i mindre grupper sm pekes ut av risikeier, med en endelig tidsfrist fr beslutning m hvilke tiltak sm skal iverksettes. Arbeidet i wrkshp bør dkumenteres i frm av en krtfattet skriftlig rapprt, sm danner grunnlag fr den videre ppfølging av risik. 24

25 Steg 8 - Oppfølging av risikene Et vesentlig element i risikstyringsprsessen er ppfølging av risiker. Virksmheten må etablere rutiner sm sikrer en hensiktsmessig ppfølging g rapprtering av risik på ulike nivåer (se gså steg 2). Dette innebærer å følge pp gjennmføring av tiltak g m de har hatt ønsket effekt. Det kan gså være nyttig å gjøre en vurdering av m igangsatte tiltak frtsatt har sin aktualitet, eller m innsatsen fr å håndtere risik bør endres. En naturlig del av den løpende ppfølgingen er gjennmgang av risikkartet, med sikte på å beskrive eventuelle endringer, herunder m risiker er brtfalt eller nye er kmmet til. Risikkartet, med eventuelle justeringer, g rapprtering av tiltak bør inngå sm en del av den peridiske rapprteringen (se figur 8). I tillegg til peridisk rapprtering må det sikres at ansvarlig enhet følger pp g eventuelt rapprterer til verrdnet nivå dersm kritiske risiker utvikler seg i negativ retning. Figur 8: Rapprtering g kmmunikasjn m risik g tiltak visualisert gjennm risikkart Organisasjnsnivå Virksmhetsledelse Regin eller divisjn/avdeling Prsjekter Lkalkntr eller seksjn Rapprtering fr infrmasjn g/eller beslutning System eller arbeidsprsess Beslutninger/pålegg Et gdt system fr risikstyring frutsetter gså risikvurderinger sm en del av virksmhetens løpende beslutningsprsesser, herunder at det vurderes hvrdan beslutninger påvirker det ttale risikbildet. 25

26 5 Risikstyring er effektiv ressursbruk Etter hvert sm en får bedre frståelse fr g versikt ver hvrdan ulike tiltak g kntrllaktiviteter påvirker risikkartet, bør det gså vurderes m det er risiker sm er «verkntrllert». Overflødige eller lite effektive kntrlltiltak bør reduseres eller fjernes. Dette vil bidra til å effektivisere styring g kntrll. Figur 9 viser et eksempel der en virksmhet må sette inn nye kntrlltiltak fr å redusere risiken på enkelte mråder, samtidig sm den velger å redusere kntrlltiltak på grunn av at risiken er verkntrllert. Figur 9: Eksempel på et risikkart sm viser at det verken er gd styring hvis det er fr mange tiltak eller fr få tiltak Svært str Fr få tiltak Fr mange tiltak Sannsynlighet Str Mderat Liten Meget liten Risik Kritisk Høy Mderat Lav Ubetydelig Lav Mderat Alvrlig Knsekvens Svært alvrlig Risikstyringen vil på denne måten hindre at fkus i styringen til stadighet er rettet mt ytterligere ressursinnsats i frm av nye kntrlltiltak, g i stedet bidra til at de ressurser sm allerede finnes i virksmheten benyttes ptimalt. Kunsten er dermed å finne den rette balansen mellm risik g kntrlltiltak i frhld til målppnåelse. På den måten vil man ppnå best mulig avkastning i frm av tjenesteprduksjn g effekter fr brukere g samfunn, med de midler sm stilles til dispsisjn gjennm statsbudsjettet g sm virksmhetene er satt til å frvalte. 26

27

28 Offentlige institusjner kan bestille flere eksemplarer av denne publikasjnen fra: Senter fr statlig øknmistyring E-pst: Telefn: