Grunnkurs i risikostyring 28. september 2016 Christine Vik og Ola Otterdal
Mål Målet for kurset er at deltagerne får en bedre forståelse av hvordan statlige virksomheter kan etablere eller videre-utvikle et hensiktsmessig opplegg for identifisering, vurdering, håndtering og oppfølging av risiko (risikostyring). Det er også et mål at deltagerne får kunnskap om praktiske verktøy og hvordan disse kan tas i bruk i virksomheten. Noen sentrale budskap gjennom dagen: Sammenhengen mellom mål, risiko og tiltak Risikostyring tilfører stor verdi om det gjøres på en god måte Viktig med en omforent forståelse av hvorfor, hvem, hvordan, når 2
Nødutganger og prosedyre i tilfelle evakuering Nødutganger legg merke til disse Kursleder viser veien ut ved evakuering Ingen bruker heis ved evakuering Samleplass er «Spikersuppa» Hold kontakt med kursleder til situasjonen er avklart og ny beskjed blir gitt 23.01.2017 3
Program 08.45 09.00 Oppmøte 09.00 09.40 Velkommen, innledning og forventninger Hva er risiko og risikostyring? 09.40 10.10 Etablere strategi og prosess Risikovurderinger på ulike nivå 10.10 10.25 Pause 10.25 11.30 Identifisere/velge mål (inkludert refleksjon) Kritiske suksessfaktorer Identifisere risiko Vurdere og prioritere risiko 11.30 12.15 Lunsj 12.15 12.45 Demonstrasjon av risikovurderingsverktøy 12.45 13.00 Pause 13.00 14.40 Tiltak og kontrollaktiviteter + Gruppearbeid 14.40 14.55 Pause 14.55 15.20 Oppfølging av risiko Refleksjon 15.15 15.30 Avslutning 4
Virksomhetene dere kommer fra Kulturdepartementet Forsvarsdepartementet Skatt Øst Helsedirektoratet Konkurransetilsynet GIEK Kommunal- og moderniseringsdepartementet Folkehelseinstituttet Direktoratet for økonomistyring Utenriksdepartementet Forsvaret Namsfogden Oslo Bufdir Fylkesnemndene for barnevern og sosiale saker Forsvaret Universitetet i Stavanger Kystverket Arbeids- og velferdsdirektoratet Politiets IKT tjenester Sykehuset innlandet HF 23.01.2017 5
Forventninger, bakgrunn og erfaring Bakgrunn og erfaring knyttet til arbeid med risiko Positiv erfaring/historie/aha-opplevelse vedrørende risikostyring? Forventninger til kurset Side 6
Hva er risiko og risikostyring?
8 Hva er risikoen.?
Risiko er et uttrykk for usikkerhet Risiko: Det at forhold eller hendelser kan inntreffe og påvirke måloppnåelsen negativt Vurderes i forhold til sannsynlighet og konsekvens Risiko Hendelse Sannsynlighet X Konsekvens 9
Hva er risikostyring? En prosess integrert i mål- og resultatstyringen, som: Er utformet for å kunne identifisere, vurdere og følge opp risiko slik at risikoen er innenfor akseptert nivå Gjennomføres av virksomhetens ledelse og øvrige ansatte Anvendes i fastsettelse av strategi og planer på tvers av virksomheten for å gi rimelig grad av sikkerhet for virksomhetens oppnåelse av sine målsetninger 23.01.2017 10
Flere statlige virksomheter baserer seg på ISO 31000 Risiko er definert i ISO 31000 som effekten av usikkerhet på mål (enten positive eller negative). Risikostyring er koordinerte aktiviteter for å rettlede eller kontrollere en organisasjon med hensyn til risiko Risikovurdering samlet prosess som består av risikoidentifikasjon, risikoanalyse og risikoevaluering Usikkerhet er en tilstand der det er mangel på informasjon, manglende forståelse av, eller kunnskap om en hendelse, dens konsekvens eller muligheten for at den skal forekomme 23.01.2017 11
Risikostyring integrert i mål og resultatstyringen
Integrere risikostyring i mål- og resultatstyringen Risiko (interne og eksterne) Kurset RIS i dag! innsatsfaktorer aktiviteter produkter/ tjenester brukereffekter samfunnseffekter Innenfor virksomhetens interne kontroll Side 13 Utenfor virksomheten Kurset MRS 27.9 Risikovurderingen gjøres av mål på ulike nivå i virksomheten og av mål i ulike ledd i resultatkjeden Kurset IK i 29.9
Målhierarkiet mål som utgangspunkt for risikostyring Samfunnsmål Ønsket samfunns -effekt Brukereffektmål ønsketbrukereffekt produkt / tjeneste produkt / tjeneste produkt / tjeneste produkt / tjeneste Risiko aktivitet aktivitet aktivitet aktivitet aktivitet aktivitet aktivitet aktivitet aktivitet aktivitet aktivitet aktivitet Side 14 innsats faktorer innsats faktorer innsats faktorer innsats faktorer
Hvorfor risikostyring? Risikostyring øker sannsynligheten for måloppnåelse: Gir bedre grunnlag for fastsettelse av realistiske mål og ambisjonsnivå Tydeliggjør sammenhengen mellom mål, risiko og kontrollaktiviteter/tiltak Gir bedre grunnlag for prioritering og ressursstyring, bedre beslutningsgrunnlag Gir en mer proaktiv og forutsigbar styring Krav til risikostyring i Økonomiregelverket 15
Metode for håndtering av risiko i MRS STYRINGS- OG KONTROLLMILJØ Etablere strategi og prosess 1. Strategi for integrering av risikostyring i mål- og resultatstyringen 2. Prosess for risikostyring integrert i mål- og resultatstyringen Analyse, tiltak og oppfølging på flere nivåer 3. Identifisere/velge mål 4. Identifisere kritiske suksessfaktorer 5. Identifisere risikoer 6. Vurdere og prioritere risikoene 7. Tiltak og kontrollaktiviteter som følge av vurderingene 8. Oppfølging av risikoene Steg 3-8 gjennomføres både på virksomhetsnivå og lavere organisatoriske nivåer, inklusiv operative prosesser og prosjekter I n f o r m a s j o n o g k o m m u n i k a s j o n STYRINGS- OG KONTROLLMILJØ 16
Fundamentet for god risikostyring
Metode for håndtering av risiko i virksomhetsstyringen STYRINGS- OG KONTROLLMILJØ Etablere strategi og prosess 1. Strategi for integrering av risikostyring i mål- og resultatstyringen 2. Prosess for risikostyring integrert i mål- og resultatstyringen Analyse, tiltak og oppfølging på flere nivåer 3. Identifisere/velge mål 4. Identifisere kritiske suksessfaktorer 5. Identifisere risikoer 6. Vurdere og prioritere risikoene Steg 3-8 gjennomføres både på virksomhetsnivå og lavere organisatoriske nivåer, inklusiv operative prosesser og prosjekter STYRINGS- OG KONTROLLMILJØ 18 7. Tiltak og kontrollaktiviteter som følge av vurderingene 8. Oppfølging av risikoene I n f o r m a s j o n o g k o m m u n i k a s j o n
Godt styrings- og kontrollmiljø er en forutsetning for å lykkes med risikostyringen! Formelle styrings- og kontrollmiljø Strukturer Strategier Systemer Styrende dokumenter Organisering Ansvar og myndighet Motivasjon Kompetanse Uformelle styrings- og kontrollmiljø Verdier og normer Holdninger Interesser Tenkemåter Følelser Side 19
Informasjon og kommunikasjon Helhetlig informasjon og kommunikasjon (top-down, bottum-up, på tvers, formell, uformell etc.) Kvalitet i informasjonen (relevant, pålitelig og tilstrekkelig) Informasjon til rett tid og til rett nivå Side 20
God risikostyring skal håndtere både strategiske og operasjonelle risikoer
Risikostyring steg 1 og 2 Strategi og prosess for risikostyring integrert i MRS
Etablere strategi og prosess STYRINGS- OG KONTROLLMILJØ Etablere strategi og prosess 1. Strategi for integrering av risikostyring i mål- og resultatstyringen 2. Prosess for risikostyring integrert i mål- og resultatstyringen Analyse, tiltak og oppfølging på flere nivåer 3. Identifisere/velge mål 4. Identifisere kritiske suksessfaktorer 5. Identifisere risikoer 6. Vurdere og prioritere risikoene 7. Tiltak og kontrollaktiviteter som følge av vurderingene 8. Oppfølging av risikoene Steg 3-8 gjennomføres både på virksomhetsnivå og lavere organisatoriske nivåer, inklusiv operative prosesser og prosjekter STYRINGS- OG KONTROLLMILJØ I n f o r m a s j o n o g k o m m u n i k a s j o n 23
Steg 1: Policy/strategi for integrering av risikostyring i mål- og resultatstyringen Økonomireglementet sier at alle virksomheter skal: «sikre at fastsatte mål og resultatkrav oppnås, ressursbruken er effektiv og at virksomheten drives i samsvar med gjeldende lover og regler, herunder krav til god forvaltningsskikk, habilitet og etisk adferd» «Styring, oppfølging, kontroll og forvaltning må tilpasses virksomhetens egenart, samt risiko og vesentlighet». Dette er implisitt også et krav til risikostyring og internkontroll! Øverste ledelse bør fastsette hvordan risikostyringen skal integreres i mål- og resultatstyringen. Blant annet må det tas stilling til; Formål med og ambisjon for risikostyringen Roller, ansvar og organisering - hvem som har ansvar for å risikovurdere hva Overordnede prinsipper for risikostyringen - hvordan gjør vi det hos oss? Dette bør dokumenteres og formaliseres i en policy el. 24
Steg 2: Prosess for risikostyring integrert i mål- og resultatstyringen Behov for å operasjonalisere og konkretisere av hvordan risikostyringen i virksomheten skal gjennomføres i praksis Arbeidsmetode/fremgangsmåte Bruk av verktøy og maler, skalaer for vurdering av sannsynlighet og konsekvens Sørger for at de prinsipper og føringer som er gitt i en policy gjennomføres og evt. dokumenteres på en standardisert måte på tvers i virksomheten Like ting gjøres likt. Kvalitet og kontinuitet i gjennomføringen Muliggjør sammenligning og aggregering fra lavere nivåer Dette dokumenteres og formaliseres i en prosedyre el. for risikostyring 25
Kan vi svare på dette? 1. Hvilke type mål (i målhierarkiet/resultatkjeden) ønsker vi å drive systematisk og dokumentert risikostyring av? 2. Hvem skal risikostyre hva (hvilke ledernivåer og roller) Policy (risiko)styring 3. Når og hvor ofte bør vi gjennomføre dokumenterte risikovurderinger? ------------------------------------------------- 1. Hvordan praktisk gjennomføre risikovurderinger? Prosedyre risikostyring
Eksempler på når risikovurdering/styring er relevant Situasjon Risikovurdering av mål i egen virksomhetsstyring (ved fastsettelse av mål og strategi og risikovurdering av mål på ulike nivå) Risikovurdering av egen etatsstyring av en underliggende virksomhet og oppfølging av hvordan risiko håndteres av underliggende virksomhet Risikovurdering i forbindelse med prosjekter Hvem Departementer og underliggende virksomheter Departementer Departementer og underliggende virksomheter Risikovurdering i operative prosesser som en del av internkontrollen (prosesskartlegging) Departementer og underliggende virksomheter 2 3 4 3 4 5 3 3 2 7 9 5 3 7 8 5 4 5 3 4 5 Årlig risikovurdering som grunnlag for revisjonsplan (intern- og 27 eksternrevisor) Virksomheter som har internrevisjon, Riksrevisjonen
Pause
Risikostyring steg 3 Identifisere/velge mål
God MRS forutsetter riktig formulerte mål Godt formulerte mål uttrykker: Tilstand/verdi/resultat virksomheten ønsker å oppnå med sitt arbeid Godt formulerte mål uttrykker hva: som ønskes oppnådd som ønskes endret som anses verdifullt 30
Etablere et grunnlag for risikovurderinger Start Mål og krav på overordnet nivå Prop. 1 S Tildelingsbrev Instruks Lover og regler Etc. innsatsfaktorer aktiviteter produkter/ tjenester brukereffekter samfunnseffekter Virksomhetsnivå Mål (hovedmål og delmål) og krav på virksomhetsnivå innsatsfaktorer aktiviteter produkter/ tjenester brukereffekter samfunnseffekter Lavere nivåer Mål og krav på avdelings- og seksjonsnivå innsatsfaktorer aktiviteter produkter/ tjenester brukereffekter samfunnseffekter Operativt nivå 31 Mål og krav på prosesser - prosesskartlegging
Ledere velger mål som skal risikovurderes Enhver leder har ansvar for en hensiktsmessig risikovurdering av relevante mål innenfor sitt ansvarsområde. Toppledelsen Avdelingsledere Seksjonsledere Prosessledere Osv.. Risikovurdering bør alltid ta utgangspunkt i en målformulering. Det finnes målformuleringer på ulike nivå i resultatkjeden Samfunnseffekt Brukereffekt Mål på produkt tjenestenivå Mål for operative prosesser. 32
Viktige huskeregler for valg av mål! Ikke alle mål må nødvendigvis risikovurderes omfang og frekvens skal tilpasses egenart, risiko og vesentlig Virksomheten samlet bør risikovurdere mål på ulike nivå både samfunns/brukereffektmål og mål knyttet til produkter/tjenester og prosesser/aktiviteter Tenk gjerne kategorier av mål strategiske mål driftsrelaterte mål mål knyttet til rapportering mål om overholdelse av lover og regler De mest sentrale målsettingene kan det også knyttes toleransegrenser til (hva er akseptabel måloppnåelse) 33
Rød tråd i styringen Politisk nivå: St. meldinger Handlingsplaner Statsbudsjett Lang sikt Overordnet Strategisk Aktiviteter Virksomhetsnivå: Budsjett (virksomhet) Virksomhetsplaner Kort sikt Detaljert Operativt Side 34
Målhierarkiet IMDi Samfunnsmål : Like muligheter, rettigheter og plikter for innvandrere og deres barn til å delta og bidra i arbeids- og samfunnsliv Brukereffektmål Rask bosetting («Kommunene bosetter innvandrere med flyktcningbakgrunn raskt») Relevant infopakke og verktøy til kommunene Gode nettverk for erfaringsutv. for kommunene Dekkende og relevant tilskuddsordning for kommunene Korrekte vedtak om bosetting til rett tid Oppdatert resultatinfo og beslutningsgrunnlag Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Prosess / aktivitet Målgruppe: Kommunene Innvandrere med flyktningebakgrunn Innsatsfaktorer: Tallgrunnlag om behov, Tilskudds-ordning, IKT-system, registre og databaser, Side 35 Kompetanse
Refleksjon Hvilke mål risikovurderer dere (din virksomhet, din avdeling, din seksjon, din prosess, ditt prosjekt)? 1. Tenk gjennom 3 minutter selv 2. Diskuter med de andre på bordet 36
Risikostyring steg 4 Kritiske suksessfaktorer
Steg 4 Identifisere kritiske suksessfaktorer KSF er er faktorer som er avgjørende for virksomhetens måloppnåelse Tips Sett fokus på de faktorer som det er viktigst å lykkes med for å nå målene - ikke bli for detaljert 38
Hierarkier Mål Kritiske suksessfaktorer Samfunns mål Overordnet nivå Lavere nivåer Operativt nivå Målhierarki KSF-hierarki Brukereffektmål Produkt / tjeneste Prosess /aktivitet Konsentrasjon om stadig mer vesentlige forhold jo høyere opp i styringshierarkiet Side 39
Hvordan identifiserer vi kritiske suksessfaktorer (og risikoer)? Involver viktige informanter Hvem er de viktigste informantene? Vurder egnet metode for å få innspill Intervjuer Skriftlige innspill Idemyldringsmøter/workshop Vurder egnete hjelpemidler Resultatkjeden, flytdiagrammer, generelle risikokategorier/univers Et viktig kontrollspørsmål for identifiserte KSFer: Hvorfor og på hvilken måte påvirkes virksomhetens måloppnåelse? 40
Eksempel: Identifisere kritiske suksessfaktorer (KSF) KSFer knyttet til målet Kommunene bosetter innvandrere med flyktningbakgrunn raskt Kritiske suksessfaktorer 1. Tilskuddsordningene oppfattes som dekkende og relevante 2. IMDis faktainformasjon oppleves som dekkende ift kommunenes informasjonsbehov 3. IMDi (regionene) har tilstrekkelig kapasitet til å forberede og følge opp ift kommunene 4. IMDi oppleves som en pådriver ift andre aktører som har en rolle i bosettingsspørsmål 5. Tallgrunnlaget fra Beregningsutvalget er oppdatert og korrekt 41
Risikostyring steg 5 Identifisere risiko
Identifisere risikoer Hvordan kan vi identifisere risikoer? Omformulere kritiske suksessfaktorer til risikoer Vurdere andre eksterne og interne kilder til risikoer Enkelthendelser Kunnskap om oppnådde resultater Kunnskap om organisasjonens styrker og svakheter Kunnskap om systemer og aktiviteter Kunnskap om nå-situasjonen og de utfordringene en ser fremover Aktører utenfor virksomheten som påvirker måloppnåelse Side 43
Eksempler på interne og eksterne faktorer Interne faktorer Eksterne faktorer 44
Eksempel: Identifisere risikoer Hva er risikoer knyttet til målet? Risikoer Kommunene bosetter innvandrere med flyktningbakgrunn raskt 1. Tilskuddsordningene oppfattes ikke som dekkende og relevante 2. IMDis faktainformasjon oppleves ikke som dekkende for kommunenes informasjonsbehov 3. IMDi (regionene) har ikke tilstrekkelig kapasitet til å forberede og følge opp ift kommunene 4. IMDi oppleves ikke som en pådriver ift andre aktører som har rolle i bosettingsspørsmål 5. Tallgrunnlaget fra Beregningsutvalget er ikke oppdatert og korrekt 6. Antall bosettingsklare øker kraftig (eks økt saksbeh. kapasitet. i UDI) Side 45
Hierarkier Mål Kritiske suksessfaktorer Risikoer Overordnet nivå Lavere nivåer Operativt nivå Målhierarki KSF-hierarki Risikohierarki Konsentrasjon om stadig mer vesentlige forhold jo høyere opp i styringshierarkiet Side 46
Eksempel på mål-, KSF- og risikohierarki: Imdi Mål Kritiske suksessfaktorer Risikoer Overordnet nivå Rask bosetning Faktainformasjon er dekkende og relevant Har ikke dekkende og relevant informasjon Lavere nivåer Riktig, relevant og dekkende informasjon til kommunene Kjenne kommunenes informasjonsbehov Kjenner ikke informasjonsbehov et til kommunene Operativt nivå Informasjon sendes 3 dager etter henvendelse til kommunen Gode og tydelige prosedyrer for å besvare henvendelser Mangelfulle prosedyrer for å håndtere henvendelser Konsentrasjon om stadig mer vesentlige forhold jo høyere opp i styringshierarkiet Side 47
Eksempel fra DFØ Overordnet nivå Lavere nivåer Mål Bedre styring i statlige virksomheter Hensiktsmessige fellesløsninger i staten Det er tydelig for departementer og statlige virksomheter hvilke krav som stilles og hva som er god praksis på statlig styring FOA leverer praktisk rettede, relevante og tilrettelagte kompetansetjenester til departement og underliggende virksomheter Risikoer -Andre statlige virksomheter utvikler parallelle tjenester/tilbud -DFØs metoder eller løsninger benyttes ikke -FOA evner ikke å holde produkter og tjenester oppdatert iht endringer i lover og regler -FOA evner ikke å tilpasse budskapet, metoder og verktøy til målgruppens behov og kontekst Konsentrasjon om stadig mer vesentlige forhold jo høyere opp i styringshierarkiet Side 48
Risikostyring steg 6 Vurdere og prioritere risiko
Høy eller lav risiko? Risikoen som fremkommer gjennom en risikovurdering, uttrykt gjennom sannsynlighet og konsekvens, er en vurdering vi gjør basert på det vi vet ikke en objektiv størrelse Side 50
Risikotoleranse Risikotoleranse hva er akseptert nivå på risiko? Sier noe om den relative viktigheten av mål Resultatkrav eller resultatmål kan være et uttrykk for risikotoleranse Sier noe om ambisjonsnivå Bør fastsettes for de viktigste målene Utenfor toleransegrensen: behov for tiltak 51
Risikotoleranse er akseptert nivå på risiko for ikke å nå den enkelte målsetting Noen eksempler Mål 1 Korrupsjon forekommer ikke Mål 2 95 % korrekt saksbehandling Mål 3 4 (av 5) i snitt - tilfredshet kurs 52
Eksempel på nedbrytning til måltall/toleranse Prioritering Mål Eier Styringsparameter Måltall 100 % 99,9 % Redusert antall < 5 % 23.01.2017 53
Bruk av skalaer for å vurdere sannsynlighet og konsekvens Vurdering av sannsynlighet Meget liten Liten Moderat Høy Svært høy Vurdering av konsekvens Ubetydelig Lav Moderat Alvorlig Svært alvorlig Vurdering av hvor sannsynlig det er at risikoen inntreffer Vurdering av hvilke følger risikoen kan få i forhold til måloppnåelsen En omforent forståelse av skalaene er nødvendig for å få kvalitet i risikovurderingen 54
Eksempel sannsynlighetsskala Generisk skala sannsynlighet knyttet til alle mål for virksomheten Meget liten sannsynlighet Liten sannsynlighet Moderat sannsynlighet Stor sannsynlighet Svært stor sannsynlighet 0-5% 5-20% 20-50% 50-80% Mer enn 80% Side 55
Eksempel konsekvensskala Mål: høy brukertilfredshet KSF: lav andel klager på virksomhetens forvaltning av brukerrettighet Ubetydelig konsekvens Liten konsekvens Moderat konsekvens Alvorlig konsekvens Svært alvorlig konsekvens Noen få enkelttilfeller av brukerklager Færre enn 5 % av brukerne klager Mellom 5 og 10 % av brukerne klager Mellom 10 og 25 % av brukerne klager Mer enn 25 % av brukerne klager Side 56
Eksempel fra helsesektoren Pasient (liv, helse) Ansatt (liv, helse) Ressurser (kapasitet) Ytre miljø (luft, avløp, grunn) Konsekvensskala Tallverdi Materielle verdier Omdømme Tjenesteproduksjon Svært alvorlig 5 Tap av liv Tap av liv Mobilisering av eksterne ressurser Omfatt-ende miljø-skade > 10 millioner NOK Produksjonperm anent ut av drift Alvorlig 4 Betydelig pasient-skade Betydelig fysisk/ psykisk skade Mobilisering av ressurser fra andre enheter Betydelig miljøskade < = 10 millioner NOK Betydelig tap av anseelse, bred medieomtale Produksjon ut av drift over lengre tid Moderat 3 Alvorlig pasient-skade Alvorlig fysisk/ psykisk skade Ekstraordinær ressursbruk egen enhet Alvorlig miljøskade <= 1 millioner NOK Tap av anseelse Driftsstans i flere døgn Lav 2 Mindre alvorlig pasient-skade Mindre alvorlig fysisk/ psykisk skade Begrenset ekstra ressursbruk Mindre alvorlig miljøskade <= 100.000 NOK Mindre tap av anseelse Midlertidig driftsstans Ubetydelig Side 57 1 Ubetydelig pasient-skade Ordinære ressurser Ingen kjente miljø-skader <= 10.000 NOK Ubetydelig tap av anseelse Kun mindre forsinkelser
Steg 6 Vurdere og prioritere risikoer B A C Hvilke risikoer er vesentlig i forhold til måloppnåelsen? 58
Lunch
Verktøy for risikovurdering Risikoidentifikasjon og analyse Ansvarlig: Hovedmeny Risikomatrise, se under Enhet: Mål / krav nr 1: Dato: Risiko før tiltak Deltakere i prosessen: Veiledning Risiko etter tiltak Risikonivå Risikovurdering Risikovurdering Risikonivå Risiko nr Kritiske suksessfaktorer Risiko for manglende måloppnåelse Gjsn risiko for målet: Eksisterende tiltak/ merknad til risikoen S K S K S K Risikonivå Risikoeier: Nye tiltak: Ansvarlig: Frist: S K Risikonivå R1 R2 R3 R4 60
Risikostyring steg 7 Tiltak og kontrollaktiviteter
Beslutninger omkring risikohåndtering Unngå Gå ut av de aktivitetene som er en kilde til risiko Redusere Redusere sannsynlighet eller konsekvens, eller begge deler Dele Overføre, eller på annen måte dele en bit av risikoen med andre Akseptere Akseptere en risiko Side 62
Begrepene tiltak og kontrollaktiviteter Tiltak: alle forhold som bidrar til å redusere risiko Alt fra sunn og god organisasjons- og ledelseskultur til helt konkrete kontrollaktiviteter Kontrollaktiviteter: aktiviteter for å sikre at tiltakene blir utført på en effektiv måte og til rett tid Består av en beskrivelse av kontrollaktiviteten og hvordan den skal gjennomføres samt den faktiske gjennomføringen Vær pragmatisk! 63
Redusere sannsynlighet, konsekvens eller begge deler? Sannsynlighet Svært stor Stor Moderat Mindre konsekvens Risiko Kritisk Høy Liten Meget liten Redusert sannsynlighet og konsekvens Lavere sannsynlighet Moderat Lav Ubetydelig Lav Moderat Alvorlig Svært alvorlig Konsekvens Side 64 Side 64
Identifisering av risikoreduserende tiltak Få opp en liste over aktuelle tiltak Involver personer som har god kjennskap til aktuelle områder Viktig å ha oversikt over tiltak/kontrollaktiviteter som er på plass allerede DFØs verktøy «Idébank utvalgte prosesser med eksempler på mål, risiko og kontroller» kan gi starthjelp Vurder kritisk hvor hensiktsmessige tiltakene er Nytte/verdi: Antagelser om effekten av tiltaket på denne risikoen (og eventuelt andre risikoer) Realiserbarhet: kostnad, kapasitet, kompetanse, tekniske forhold Side 65
Verdi for virksomheten Prioritering av tiltak eksempel Høy Tiltak vedr. kompetanse på risikostyring B C A A. Gjennomføre risikokurs B. Rådgivningsoppdrag mot enkeltvirksomheter C. Utarbeide praktiske verktøy som legges på nettside Lav Lav Realiserbarhet Høy Tiltak må prioriteres ut fra en kost/nytte - vurdering! Side 66
Eksempel på mål-, KSF-, risiko- og tiltakshierarkier Mål Kritiske suksessfaktorer Risikoer Tiltak Overordnet nivå Rask bosetning Faktainformasjon er dekkende og relevant Har ikke dekkende og relevant informasjon Etablere et system for innhenting og forvaltning av informasjon Lavere nivåer Riktig, relevant og dekkende informasjon til kommunene Kjenne kommunenes informasjonsbehov Kjenner ikke informasjonsbehov et til kommunene Etablere et opplegg for å kartlegge kommunenes informasjonsbehov Operativt nivå Informasjon sendes 3 dager etter henvendelse til kommunen Gode og tydelige prosedyrer for å besvare henvendelser Mangelfulle prosedyrer for å håndtere henvendelser Oppdatere prosedyre med prosess - beskrivelse og definering av tidsfrister og ansvar Konsentrasjon om stadig mer vesentlige forhold og «større» tiltak jo høyere opp i styringshierarkiet Side 67
Typer av tiltak Pedagogiske kompetanse og kultur Organisatoriske roller, ansvar, ressurser mv. Administrative juridiske, regler, veiledninger Tekniske IKT og andre verktøy Fysiske bygninger, rom, dører, skap mv. De fleste risikoer reduseres gjennom en kombinasjon av tiltakstyper 68
Kontrollspørsmål ved utforming av tiltak Kan vi følge med på utviklingen i stedet for å iverksette nye tiltak? Er det vurdert om eksisterende tiltak kan justeres i stedet for å utvikle helt nye tiltak? Har vi husket å fjerne utdaterte tiltak? Har de som kjenner området/prosessen best vært involvert i arbeidet? Er forebyggende og automatiske tiltak/ kontroller benyttet der det er mulig? Håndterer tiltaket kjernen/den opprinnelige årsaken til problemet/risikoen? Er tiltaket innenfor «kontrollbollen» (noe min enhet kan påvirke)? Skal tiltaket redusere sannsynlighet eller konsekvens? Har vi en hensiktsmessig dokumentasjon av risiko og tiltak? Side 69
Eksempel: Problembeskrivelse FIKTIV Bidrar ikke til verdiskaping i samfunnet Utestenging fra arbeidsmarkedet Uønsket adferd Sosial ekskludering og psykososiale problemer Virkning Problem: Flyktninger blir værende for lenge i mottak Manglende kapasitet til å bosette flyktninger Uegnet botilbud i kommunene Flyktningene har uavklart identitet / status Prioritering i kommunene (økonomisk) Langtidsplanene har ikke regnet med flyktingestrømmen Saksbehandlingskapasitet hos POL og UDI Årsak Side 70
Hvordan sikre at tiltakene gjennomføres Tiltak på overordnet nivå Virksomhetsplaner Egne handlingsplaner Tiltak på mellomnivå Avdelings- og seksjonsplaner Tiltak på prosessnivå Risiko- og kontrollmatriser Tiltaksplanene bør inneholde: Ansvar Tidsfrist Ressursmessige konsekvenser (?) 71
Eksempel: Mål, risiko og tiltak kopling til budsjettprosess Mål Bedre. Høyere kvalitet Godt Risiko 1 Tiltak 1 Risiko 2 Risiko 3 Risiko 4 Risiko 5 Tiltak 2 Tiltak 3 Tiltak 4 Tiltak 5 Tiltak 6 Tiltak 7. Budsjettprosess 23.01.2017 72
Gruppeoppgave KSF, risiko, vurdering og prioritering samt tiltak 1. Identifiser kritiske suksessfaktorer for målet på neste foil a) Bruk resultatkjeden som utgangspunkt for diskusjonen. Hva er kritisk å lykkes med for at årsakssammenhengene skal kunne virke? 2. Identifiser risikoer a) Omformuler de kritiske suksessfaktorene til risikoer b) Vurder om det er andre risikoer c) Kommenter kort på hvilken måte risikoen(e) påvirker måloppnåelsen dersom den inntreffer 3. Vurder og prioriter risikoene. Stem over sannsynlighet og konsekvens og plasser de i risikokartet. 4. Velg en risiko og diskuter dere frem til 4-5 tiltak som best kan redusere risikoen Bruk hjelpeskjemaene for KSF, risikoer, tiltak samt risikokart på foilene nedenfor. Fyll ut besvarelsen på flip-over (som kan presenteres i plenum) 73
Ta utgangspunkt i følgende mål: «Bedre risikostyring i statlige virksomheter (som følge av DFØs kompetansetilbud)» 74
Gruppeinndeling Gruppe 1 Gruppe 4 Helle Alfsen John Arne Ali Asghar Trond H Cathrine Bakken Frank Tore kristin Berg Erik Irina VP Bjarkum Marie Hanneke Brouns Wenche Barbara Chamot Gruppe 2 Siri Dolven Birgitte Kristin EEriksen Bente Faugli May Elisabeth Gjelstad Tommy Grongstad Lene Halfdansen Borghild Hammer Gruppe 3 23.01.2017 75 Gruppe 5 Håvard Benedicte Mau Don Thi Håvard Amy Eirik Gruppe 6 Dag Andreas Hanseth Tommy Grete Haugdal Camilla Siw-Andrea Heggheim Mette Mari Hellesøy Nora Johanne Britt Torunn Hove Karl-Viktor Magnhild Annie Jensen Birgit Jenssen Karlsen Laugen Lindberg Mjøsund Mowinckel Myreng Mælan Nguyen Nordahl Norstrøm Otterbu Ramsland Sandbakke Schmidt Steinskog Stenvoll Uhlen
Hjelpeark til gruppeoppgave: Identifisere kritiske suksessfaktorer (KSF) Hva er KSFer knyttet til målet: Bedre risikostyring i statlige virksomheter (som følge av DFØs kompetansetilbud) Kritiske suksessfaktorer 1. 2. 3. 4. 5. 76
Hjelpeark til gruppeoppgave: Identifisere risikoer Hva er risikoer knyttet til målet: Bedre risikostyring i statlige virksomheter (som følge av DFØs kompetansetilbud) Risikoer 1. 2. 3. 4. 5. Side 77
Risikomatrise til bruk i gruppearbeid 78
Hjelpeark til gruppeoppgave: Identifisere tiltak Risiko:.. Hva er de beste tiltakene gitt en kost/nytte vurdering? Tiltak 1. 2. 3. 4. 5. Side 79
Risikostyring steg 8 Oppfølging av risiko
Metode for håndtering av risiko i MRS STYRINGS- OG KONTROLLMILJØ Etablere strategi og prosess 1. Strategi for integrering av risikostyring i mål- og resultatstyringen 2. Prosess for risikostyring integrert i mål- og resultatstyringen Analyse, tiltak og oppfølging på flere nivåer 3. Identifisere/velge mål 4. Identifisere kritiske suksessfaktorer 5. Identifisere risikoer 6. Vurdere og prioritere risikoene 7. Tiltak og kontrollaktiviteter som følge av vurderingene 8. Oppfølging av risikoene Steg 3-8 gjennomføres både på virksomhetsnivå og lavere organisatoriske nivåer, inklusiv operative prosesser og prosjekter STYRINGS- OG KONTROLLMILJØ I n f o r m a s j o n o g k o m m u n i k a s j o n 81
Løpende og frittstående oppfølging av risiko Løpende oppfølging av risiko Oppfølging av tiltak/kontrollaktiviteter Stikkprøver (etterlevelse og ønsket effekt) Oppfølging av risiko hvilket nivå legger den på nå? Frittstående oppfølging Egenevaluering Evalueringer Revisjoner Granskninger Kombinasjon av løpende oppfølging og frittstående oppfølging! Oppfølging må sees i forhold til målet! 82
Verktøy for risikovurdering oppfølging av tiltak og risiko Risikoidentifikasjon og analyse Ansvarlig: Hovedmeny Risikomatrise, se under Enhet: Mål / krav nr 1: Dato: Risiko før tiltak Deltakere i prosessen: Veiledning Risiko etter tiltak Risikonivå Risikovurdering Risikovurdering Risikonivå Risiko nr Kritiske suksessfaktorer Risiko for manglende måloppnåelse Gjsn risiko for målet: Eksisterende tiltak/ merknad til risikoen S K S K S K Risikonivå Risikoeier: Nye tiltak: Ansvarlig: Frist: S K Risikonivå R1 R2 R3 R4 83 Oppfølging av risiko -Er tiltak gjennomført? -Har det gitt ønsket effekt?
Sannsynlighet Sannsynlighet Konsekvens Hvordan har risikobildet for det enkelte mål utviklet seg? tiltak Samlet vurdering - målnivå Samlet vurdering - målnivå Risiko-nivå Svært stor Risiko-nivå Svært stor Stor Moderat M 2 M 1 Stor Moderat Liten Liten M 2 M 1 Meget liten Meget liten Ubetydelig Lav Moderat Alvorlig Svært alvorlig Konsekvens Risikovurdering planlegging Ubetydelig Lav Moderat Alvorlig Svært alvorlig Konsekvens Risikovurdering oppfølging T2 23.01.2017 84
Eksempel på oppfølging DFØ 23.01.2017 85
Oppfølging av risiko på ulikt nivå i virksomheten Side 86
Styringsparametere oppfølging av mål Samfunnsmål Ønsket samfunns effekt Brukereffektmål Ønsket brukereffekt SP SP Risiko produkt / tjeneste SP SP SP SP produkt / tjeneste produkt / tjeneste produkt / tjeneste Risiko Aktivitet Aktivitet Aktivitet SP SP SP SP Aktivitet Aktivitet Aktivitet Aktivitet Aktivitet Aktivitet Aktivitet Aktivitet Aktivitet innsats faktorer SP innsats SP innsats SP innsats SP faktorer faktorer faktorer
Oppfølging av risiko og effektvurderinger skal belyse: Er det endring i tilstand? I ønsket retning for en gitt brukergruppe eller samfunnet? Er det samvariasjon mellom virksomhetens aktivitet/tiltak/produksjon/leveranser og observert endring i tilstand? Er det andre forhold som påvirker endring i tilstand? Hvorfor uteblir effekten? Uhåntert risiko? Feil tiltak? Feil innretning eller gjennomføring av tiltak? Risikostyring integrert i mål- og resultatstyringen
Refleksjonsoppgave oppfølging av risiko Ta utgangspunkt i følgende tiltak som skal følges opp: (knytter seg til gruppearbeidet og målet om bedre risikostyring i statlige virksomheter som følge av DFØs kompetansetilbud) DFØ tilbyr egne kurs skreddersydd for ledere i risikostyring Beskriv hvordan dere ville fulgt opp at dette tiltaket: er gjennomført har gitt ønsket effekt Tenk 3 minutter selv, diskuter med sidemann i 3 minutter, så oppsummering i plenum! 89
Avslutning
Hvordan lykkes med risikoarbeidet? Gode mål som utgangspunkt Forankring i ledelsen Bevissthet på ambisjonsnivå og toleranse for risiko Ildsjel som støtter ledelsen, lærer opp virksomheten, bidrar til felles tilnærming, begreper mv. God kommunikasjon om risiko muligheter for eskalering Integrering i eksisterende styringsprosesser 91
Lykke til med risikoarbeidet! Og takk for oppmerksomheten! 92
Bedre stat-prisen 2017 DFØ kårer hvert år det tiltaket som best har bidratt til effektiv ressursbruk i staten innen styring, kontroll, innsparing eller kvalitetsforbedring. Prisen deles ut under Styringskonferansen 25. januar 2017. Målet er å løfte fram gode eksempler, inspirere og dele erfaringer. Nominer din virksomhet innen 21. oktober 2016! Eller tips oss om et tiltak: bedre-stat@dfo.no