En metode for håndtering av risiko i mål- og resultatstyringen Seniorrådgiver Bente Nyrud Gobel Forvaltnings- og analyseavdelingen
Tirsdag 07.03.2006 kl. 10.50 11.40 En gjennomgang av hovedpunktene i SSØs metodedokument Side 2
Utarbeidet i form av et prosjekt STYRINGSGRUPPE Direktør Marianne Andreassen (SSØ); leder Seniorrådgiver Emma C. Jensen Stenseth (FIN) Riksrevisjonens observatør: Ekspedisjonssjef Hans Conrad Hansen PROSJEKTLEDER BENTE NYRUD GOBEL (SSØ) MED RÅDGIVERE Partner Stein-Ragnar Noreng (KPMG) Manager Lars-Erik Fjørtoft, senior manager Gunnar Hoff og manager Stein- Ove Songstad (Deloitte) Statsautorisert revisor Knut Løken Professor og statsautorisert revisor Flemming Ruud, PhD (Handelshøyskolen BI, Universitet Zurich og Universitet St. Gallen) REFERANSEGRUPPE Avdelingsdirektør Internrevisjonen Ingrid Nikolic (Aetat) Leder av internrevisjonsenheten Trine Tengbom (Forskningsrådet) Revisjonsdirektør Ingjerd Juel Ingeborgrud (Rikstrygdeverket) Revisjonsdirektør Teis Stokka og seniorrådgiver Nils Hjelle (Skattedirektoratet) Revisjonssjef Sveinung Svanberg og seniorrådgiver Sverre Lunde (UIO, fra 1. august 2005 Helse- og omsorgsdepartementet) Riksrevisjonens observatør: Avdelingsdirektør Ola Hollum Side 3
Risikostyring integrert i mål- og resultatstyringen Mål Strategier Styring og oppfølgning Kritiske suksessfaktorer Styringsparametere Styring og oppfølgning Risikoer Tiltak og kontrollaktiviteter Side 4
Ansvar for risikostyring Virksomhetens interne styring: Virksomhetens ledelse skal sørge for at det er etablert en forsvarlig risikostyring og intern kontroll, og påse at den fungerer på en tilfredsstillende måte Etatstyring: Departementet skal sikre at underliggende etater har etablert en forsvarlig risikostyring og intern kontroll Metodedokumentet søker å gjøre dette ansvaret enklere å forvalte Side 5
Dokumentasjon av risikostyring og intern kontroll Er et viktig bidrag i en kontinuerlig forbedring av risikostyringen Er nødvendig for at medarbeidere, ledere og overordnet myndighetsnivå skal kunne vurdere kvaliteten i risikostyringen Krav om dokumentasjon, men ikke spesifikt til form, frekvens og omfang Bør gi en sammenhengende, oversiktlig og forståelig framstilling av hvordan risiko håndteres i mål- og resultatstyringen Dokumentasjonen bør tas inn i virksomhetens øvrige dokumentasjon av mål- og resultatstyring, og utformes på den måten som passer best inn i den enkelte virksomhets opplegg for dette Side 6
Definisjoner og sentrale begreper (1) utledet fra ØR Risikostyring og intern kontroll er en prosess integrert i mål- og resultatstyringen som er utformet for å kunne identifisere vurdere håndtere, og følge opp risiko slik at risikoen er innenfor akseptert nivå gjennomføres av virksomhetens ledelse og øvrige ansatte anvendes i fastsettelse av strategi og planer og på tvers av virksomheten for å gi rimelig grad av sikkerhet for virksomhetens oppnåelse av sine målsettinger Side 7
Definisjoner og sentrale begreper (2) utledet fra ØR Tre kategorier av målsettinger som virksomheten skal oppfylle: Mål og resultatkrav Pålitelig regnskapsrapportering og økonomiforvaltning Overholdelse av lover og regler Målsettingene skal oppnås innenfor de rammene som tildelte bevilgninger og eventuelle andre disponible ressurser setter Side 8
Definisjoner og sentrale begreper (3) utledet fra ØR Risiko: Det at forhold eller hendelser kan inntreffe og påvirke oppnåelse av målsettinger negativt En risiko skal vurderes i forhold til sannsynligheten for at den inntreffer, og den forventede konsekvensen den vil medføre dersom den inntreffer Resultatet av disse vurderingene angir hvor høy den enkelte risiko er. Det danner grunnlaget for å prioritere hvilke risikoer som anses som vesentlige i forhold til å kunne påvirke måloppnåelsen negativt på ulike nivåer Side 9
Definisjoner og sentrale begreper (4) utledet fra ØR Risikotoleranse: Et akseptert nivå på risiko for ikke å nå den enkelte målsetting Tar utgangspunkt i den risiko, i et vidt perspektiv, som virksomheten kan akseptere i arbeidet med å realisere sitt formål/sin visjon og som ligger til grunn for virksomhetens strategier og relaterte målsettinger Når ledelsen vurderer en risiko å være utenfor risikotoleransen, vil det være behov for aktive handlinger for å redusere risikoen til et akseptabelt nivå Side 10
Definisjoner og sentrale begreper (5) utledet fra ØR Tiltak og kontrollaktiviteter skal bringe gjenværende risiko i samsvar med akseptert nivå Tiltakene innarbeides i handlingsplaner eller lignende Kontrollaktivitetene skal sikre at tiltakene blir utført på en effektiv måte og til rett tid, og består vanligvis av to hovedelementer En beskrivelse av kontrollaktiviteten og hvordan den skal gjennomføres Den faktiske gjennomføringen av aktiviteten Valg av tiltak og kontrollaktiviteter skal skje på grunnlag av en vurdering av kostnad i forhold til nytte Side 11
Hovedelementer i risikostyring og intern kontroll utledet av ØR Styrings- og kontrollmiljø Identifisering av mål Identifisering av risikoer Vurdering og prioritering av risikoer Tiltak og kontrollaktiviteter som følge av vurderingene Informasjon og kommunikasjon Oppfølging av risikoene Metoden er basert på disse hovedelementene og beskriver dem nærmere Side 12
Metoden som beskrives Er fullt ut i samsvar med økonomiregelverket Utarbeidet med utgangspunkt i internasjonalt anerkjent rammeverk (COSO ERM) Kan benyttes av alle statlige virksomheter Integreres i eksisterende (i stor grad unike) styringsprosesser Kommer eksempler på www.sfso.no Side 13
En metode som gjør deg bedre i stand til å svare på. Hvilke faktorer er avgjørende for måloppnåelse i min virksomhet? Hvordan kan jeg identifisere nye og endrede risikoer? Hvilke av disse risikoene er vurdert som vesentlige i forhold til måloppnåelse for min virksomhet? Hvordan kan jeg etablere hensiktsmessige styringsog kontrollmekanismer som balanserer risiko, kontroll og kost/nytte ved ulike tiltak og kontrollaktiviteter? Hvordan kan jeg vite at disse styrings- og kontrollmekanismene fungerer effektivt og som forutsatt? Side 14
Metode for håndtering av risiko i mål- og resultatstyringen STYRINGS- OG KONTROLLMILJØ Etablere strategi og prosess 1. Strategi for integrering av risikostyring i mål- og resultatstyringen 2. Prosess for risikostyring integrert i mål- og resultatstyringen Analyse, tiltak og oppfølging på flere nivåer 3. Identifisere mål 4. Identifisere kritiske suksessfaktorer 5. Identifisere risikoer 6. Vurdere og prioritere risikoene 7. Tiltak og kontrollaktiviteter som følge av vurderingene 8. Oppfølging av risikoene Steg 3-8 gjennomføres både på virksomhetsnivå og lavere organisatoriske nivåer, inklusiv operative prosesser og prosjekter STYRINGS- OG KONTROLLMILJØ I n f o r m a s j o n o g k o m m u n i k a s j o n Side 15
Styrings- og kontrollmiljø Et sunt styrings- og kontrollmiljø motiverer til målrettet innsats og styring Kulturen i organisasjonen bør påvirke de ansattes holdning til risikostyring positivt En rekke faktorer former styringsog kontrollmiljøet, bl.a. akseptert nivå på risiko, ledelsens holdning til og interesse for effektiv risikostyring, hvordan ledelsen tildeler ansvar og myndighet og sikrer at alle ansatte forstår virksomhetens målsettinger Side 16
Informasjon og kommunikasjon Nødvendig på alle nivåer for å identifisere, vurdere, håndtere og følge opp risiko. Dette omfatter både Organisert informasjon og kommunikasjon Mer uformell informasjon og kommunikasjon Må bidra til at risikovurderinger på ulike nivåer i organisasjonen ses i sammenheng Styringsinformasjonen må være relevant, tidsriktig, korrekt og tilgjengelig for alle som har bruk for den Side 17
Analyse, tiltak og oppfølging STYRINGS- OG KONTROLLMILJØ Etablere strategi og prosess 1. Strategi for integrering av risikostyring i mål- og resultatstyringen 2. Prosess for risikostyring integrert i mål- og resultatstyringen Analyse, tiltak og oppfølging på flere nivåer 3. Identifisere mål 4. Identifisere kritiske suksessfaktorer 5. Identifisere risikoer 6. Vurdere og prioritere risikoene 7. Tiltak og kontrollaktiviteter som følge av vurderingene 8. Oppfølging av risikoene Steg 3-8 gjennomføres både på virksomhetsnivå og lavere organisatoriske nivåer, inklusiv operative prosesser og prosjekter STYRINGS- OG KONTROLLMILJØ I n f o r m a s j o n o g k o m m u n i k a s j o n Side 18
Steg 3 Identifisere mål Gjennomgå de mål som virksomheten styres mot for å se om de er konkrete og tilstrekkelig klart formulerte Tre kategorier av målsettinger som virksomheten skal oppfylle Tilpasse målene for alle nivåer i organisasjonen Det er nødvendig med klare mål for å kunne vurdere risikoen for ikke å nå disse målene Side 19
Gjennomgangseksempel Utgangspunkt i den enkelte virksomhets interne styring Viser konkret hvordan den metoden som beskrives kan anvendes i praksis Har valgt ut et av de overordnede målene for virksomheten Et av de overordnede mål: Vi skal oppnå høy brukertilfredshet hos brukerne av våre forvaltningstjenester Side 20
Steg 4 Identifisere kritiske suksessfaktorer (KSF er) Hvilke faktorer er avgjørende for måloppnåelse i min virksomhet? Identifisere og systematisere de forhold som det er viktigst å lykkes med for å nå målene => Gjør det enklere å identifisere risikoer Ta hensyn til de muligheter virksomheten har til å forbedre sine prestasjoner Side 21
Steg 4 Identifisere KSF er - gjennomgangseksempel KSF er knyttet til målet om høy brukertilfredshet: 1. God kunnskap om lovfestet rettighet blant egne saksbehandlere 2. God informasjon til brukerne om deres rettigheter og praktisk fremgangsmåte for å oppnå rettighetene 3. Enkle standardiserte søknadsskjema som er lett tilgjengelige for brukeren 4. Riktig saksbehandling 5. Rask saksbehandling 6. Rask iverksettelse av vedtak 7. Rask klagebehandling Side 22
Steg 5 Identifisere risikoer Hvordan kan jeg identifisere nye og endrede risikoer? Steg 3 og 4 gir ledelsen et godt grunnlag for å identifisere og kartlegge hvilke risikoer som kan true virksomhetens måloppnåelse Risikofaktorer knyttet til den enkelte kritiske suksessfaktor kan identifiseres på mange ulike nivåer, og danner et risikohierarki For å kunne vurdere risikoen på et overordnet nivå, er det nødvendig at ledelsen har en oppfatning av hvordan risikoen på lavere nivåer håndteres Side 23
Steg 5 Identifisere risikoer - se ulike nivåer i sammenheng Mål Kritiske suksessfaktorer Risikoer Overordnet nivå Lavere nivåer Operativt nivå Målhierarki KSF-hierarki Risikohierarki Konsentrasjon om stadig mer vesentlige forhold jo høyere opp i styringshierarkiet Side 24
Steg 5 Identifisere risikoer - gjennomgangseksempel Risiko Risiko for at det gjøres feil i saksbehandlingen slik at brukeren oppnår mindre eller større rettighet enn han/hun har krav på Beskrivelse av nåsituasjonen Vi opplever at om lag halvparten av klagene på vår saksbehandling tas til følge Side 25
Steg 6 Vurdere og prioritere risikoer Hvilke av disse risikoene er vurdert som vesentlige i forhold til måloppnåelse for min virksomhet? Vurdere risikoene med hensyn til sannsynlighet for og forventet konsekvens av at de inntreffer Vurdering av om en risiko er høy eller lav baseres på ledelsens risikotoleranse Gir grunnlag for å prioritere hvilke risikoer som anses som vesentlige Sannsynlighet Svært stor Stor Moderat Liten Meget liten Ubetydelig Lav Moderat Alvorlig Konsekvens Svært alvorlig Side 26
Steg 6 Vurdere og prioritere risikoer bruk av risikokart Svært stor Iboende risiko Sannsynlighet Stor Moderat Liten Meget liten Effekten av tiltak B Gjenværende risiko A Risiko Kritisk Høy Moderat Lav Ubetydelig Lav Moderat Alvorlig Konsekvens Svært alvorlig Side 27
Steg 6 Konsekvensskala - gjennomgangseksempel Ubetydelig konsekvens Lav konsekvens Moderat konsekvens Alvorlig konsekvens Svært alvorlig konsekvens Noen få enkelttilfeller av brukerklager Færre enn 5 % av brukerne klager på virksomhetens forvaltning av brukerrettigheten Mellom 5 % og 10 % av brukerne klager på virksomhetens forvaltning av brukerrettigheten Mellom 10 % og 25 % av brukerne klager på virksomhetens forvaltning av brukerrettigheten Mer enn 25 % av brukerne klager på virksomhetens forvaltning av brukerrettigheten Side 28
Steg 6 Risikokart gjennomgangseksempel Risikoen for ikke å nå målet om høy brukertilfredshet Svært stor 4 5 Sannsynlighet Stor Moderat Liten Meget liten 7 3 2 1 6 Risiko Kritisk Høy Moderat Lav Ubetydelig Lav Moderat Alvorlig Konsekvens Svært alvorlig Side 29
Steg 7 Tiltak og kontrollaktiviteter Risikohåndtering fire kategorier: Å unngå Å gå ut av de aktivitetene som er en kilde til risiko Å redusere Tiltak blir iverksatt for å redusere sannsynligheten for eller konsekvensen av risikoen, eller begge deler Ådele Å redusere risikoens sannsynlighet eller konsekvens ved å overføre, eller på annen måte dele en bit av risikoen med andre Å akseptere Ingen tiltak blir iverksatt for å påvirke risikoens sannsynlighet eller konsekvens Side 30
Steg 7 Tiltak og kontrollaktiviteter Hvordan kan jeg etablere hensiktsmessige styrings- og kontrollmekanismer som balanserer risiko, kontroll og kost/nytte ved ulike tiltak og kontrollaktiviteter? Vurdere og fatte beslutning om hvordan risikoene skal håndteres Prioritere alternative tiltak og kontrollaktiviteter på bakgrunn av effekt og kost/nytte Iverksette de nødvendige tiltak og kontrollaktiviteter for å sikre at risikohåndteringen blir utført på en effektiv måte Følge opp at kontrollaktivitetene gjennomføres som forutsatt Side 31
Steg 7 Tiltak og kontrollaktiviteter - gjennomgangseksempel Tiltak som vurderes Prioritering av tiltakene 1. Kvalitetssikre alle vedtak 2. Ukentlige erfaringsmøter 3. Etablere et søkbart elektronisk vedtaksarkiv Verdi for virksomheten Høy 1 Lav 3 2 Lav Høy Realiserbarhet Side 32
Steg 7 Tiltak og kontrollaktiviteter - gjennomgangseksempel Svært stor A Sannsynlighet Stor Moderat Liten B Risiko Kritisk Høy Moderat Lav Meget liten Ubetydelig Lav Moderat Alvorlig Konsekvens Svært alvorlig Side 33
Steg 8 Oppfølging av risikoene Hvordan kan jeg vite at disse styrings- og kontrollmekanismene fungerer effektivt og som forutsatt? Følge opp risikostyringen, og vurdere om den fungerer over tid. Dette oppnås gjennom Løpende oppfølgingsaktiviteter Egenevalueringer fra ledere Evalueringer på et mer objektivt grunnlag En god oppfølging gir god styringsinformasjon Side 34
Steg 8 Oppfølging av risikoene - gjennomgangseksempel Styringsparameter Måltall Resultat siste måned Andel saksbehandlere som har gjennomført opplæring Antall spørsmål omkring hvordan en søknad fylles ut 100 % 95 % < 10 8 Andel klager som gis medhold < 5 % 8 % Antall saker som ikke er ferdigstilt < 100 248 Side 35
Oppsummering eksempel Mål: Høy brukertilfredshet Oppfølging: Andel klager som gis medhold Viktig å lykkes med: Riktig saksbehandling Nytt tiltak: Søkbart vedtaksarkiv Risikovurdering: Risikoen for høy Risiko: Feil i saksbehandlingen Nå-situasjon: Ca. 50% av klagene tas til følge Side 36
Når bør strukturerte risikovurderinger gjennomføres? Overordnet nivå Lavere nivåer Operative prosesser Prosjekter Som del av strategi- og planleggingsprosesser. Ifm. utarbeidelse av virksomhetsplaner og lignende Ifm. utforming og ved vesentlige endringer. Periodisk for viktige prosesser Som del av planlegging av prosjektet. Hyppige oppdateringer Samme tidsperspektiv som planleggingsdokumentet Side 37
Etablere strategi og prosess STYRINGS- OG KONTROLLMILJØ Etablere strategi og prosess 1. Strategi for integrering av risikostyring i mål- og resultatstyringen 2. Prosess for risikostyring integrert i mål- og resultatstyringen Analyse, tiltak og oppfølging på flere nivåer 3. Identifisere mål 4. Identifisere kritiske suksessfaktorer 5. Identifisere risikoer 6. Vurdere og prioritere risikoene 7. Tiltak og kontrollaktiviteter som følge av vurderingene 8. Oppfølging av risikoene Steg 3-8 gjennomføres både på virksomhetsnivå og lavere organisatoriske nivåer, inklusiv operative prosesser og prosjekter STYRINGS- OG KONTROLLMILJØ I n f o r m a s j o n o g k o m m u n i k a s j o n Side 38
Steg 1 Strategi for integrering i MRS Ledelsen bør utarbeide en tydelig strategi for hvordan risikostyringen skal integreres i mål- og resultatstyringen Strategien bør blant annet ta for seg Hensikten med risikostyringen Ledelsens rolle Hvordan utarbeide policy for risikostyring Implementeringsfaser og milepæler Eventuelt behov for endringsledelse og kompetanseutvikling Side 39
Steg 2 Etablere prosess for risikostyring integrert i MRS Utarbeide en oversikt over virksomhetens samlede aktiviteter og prosesser Vurdere hvilke aktiviteter og prosesser som er viktigst å prioritere i implementeringsarbeidet og hvilke som kan tas på et senere tidspunkt => implementeringsplan Gjennomføre den overordnede samlede risikoanalysen før det foretas risikoanalyser innenfor de enkelte virksomhetsområdene ( top-down tilnærming) Skape en sammenheng mellom risikovurderinger på et overordnet nivå og lavere nivåer Konsentrasjon om stadig mer vesentlige forhold jo høyere opp i styringshierarkiet Side 40
Risikostyringens begrensninger Rimelig - og ikke absolutt - sikkerhet for at virksomheten vil oppnå sine målsettinger Begrensninger knyttet til: Uklare målformuleringer / ulik oppfatning av mål Ulik oppfatning av risikotoleransen Svakheter i menneskelig dømmekraft Kost/nytte vurderinger Ubevisste eller bevisste feil Side 41
Hva kan oppnås med en strukturert tilnærming til risikostyring? zzzzzz vi har rimelig grad av sikkerhet for at vi når våre mål zzzzzz Side 42
God risikostyring! Side 43