Kommuner og offentlige institutioner sætter i

Transkript

1 perspektiv nr Risikoledelse i det offentlige At skabe værdi for sine interessenter er grundlæggende for offentlige institutioner, hvad enten den måles i indtjening, opfyldelse af service til borgerne eller politiske mål. I dette arbejde vil man uundgåeligt møde udfordringer; men det ukendte og usikre kan ofte give nogle positive, afledte muligheder, man ikke havde regnet med. Af Thomas Borch Nygaard Kommuner og offentlige institutioner sætter i dag større og større fokus på og især de afledte effekter, som en øget risikobevidsthed skaber. Dog finder mange kommuner og offentlige institutioner, at det svært at gå fra overvejelser og gode intentioner inden for til en praktisk igangsætning og ibrugtagning af i det daglige arbejde. Netop den praktiske tilgang, med målbare resultater og integration med eksisterende aktiviteter, er, hvad et stigende antal kommuner og offentlige institutioner savner i disse år. Den øgede vilje til en mere koordineret og effektiv har vist sig i etableringen af organisationen PRIMO (Public Risk Management Organisation). Det er en forening af kommuner, regioner, statslige organisationer og private virksomheder, som arbejder for at gøre til en naturlig del af offentlige organisationers ledelsesgrundlag. PRIMO har i foråret 2007 udgivet vejledningen Risikoledelse en kommunal opgave, som giver en overordnet introduktion til i kommuner og offentlige institutioner. Vejledningen er blevet til gennem blandt andet videndeling og erfaringsudveksling med Ernst & Young samt en række kommuner og private virksomheder. Risikoledelse præget af brandslukning Risikoledelse har i nogle år været på dagsordenen i bestyrelseslokalet og på direktionsgangene i de større danske virksomheder. Her arbejder man på koncernniveau med at identificere og styre væsentlige risici for virksomheden på tværs af alle virksomhedens processer. I kommuner og offentlige institutioner har fokus dog indtil for nylig været rettet mod risikostyring inden for enkeltområder som økonomi, lovgivning og beredskab. Der har manglet en overordnet analyse af risici og prioritering af muligheder for at reducere identificerede risici. Endvidere har en del af indsatsen været præget af brandslukning, hvor aktiviteter til reduktion af risici først er blevet implementeret efter hændelserne. Forskellen på de to metoder er, at hvor traditionel risikostyring ser på den konkrete aktivitet på et enkelt område, sigter moderne mere mod et helheds- og dialogorienteret, og især offensivt, perspektiv på organisationens risici. Eller sagt på en anden måde: Moderne udstikker de overordnede rammer og sikrer en effektiv ressourceallokering i forbindelse med afdækning af risici. Den historiske tilgang til risikostyring afdækker ofte kun et begrænset antal risici, uden at man forholder sig til, hvorvidt disse er de mest kritiske i forhold til den enkelte institutions drift og mål. I takt med at den offentlige administration bliver mere og mere kompleks, stiger behovet for at etablere en samlet for hele administrationen, ikke mindst for at sikre, at ressourcer anvendes, hvor behovet er størst. Det sker som konsekvens af kommunalreformen og et stigende antal etableringer af samarbejder med private virksomheder, driftselskaber og andre organisationer. Nedenstående beskriver to tilgange til risici og risikostyring og eksempler på de forventede effekter. Risikofokus -Minimering af materielle skader Et ofte set fokusområde for er materielle skader. Offentlige institutioner og kommuner arbejder målrettet mod minimering af og sikring mod materielle skader såsom hærværk og tyveri. Resultatet af udelukkende at have fokus på materielle skader er sparede udgifter i forbindelse med skader samt reduktion af forsikringssum. Risikofokus - Helhedsorienteret Helhedsorienteret omfatter samtlige væsentlige risici, en institution eller kommune er eksponeret for. Der arbejdes aktivt med på tværs af aktiviteter og processer, og n omhandler både udfordringer og muligheder. Typisk vil der opleves både en minimering af risici på tværs af enheder og en identifikation af samt udnyttelse af muligheder i hele organisationen.

2 38 perspektiv nr Hvorfor skal der etableres? I bund og grund handler om at beskytte en organisations aktiver og at optimere organisationens resultater i forhold til dens mål. Risikoledelse kræver, at der etableres nogle værktøjer, som sikrer, at ledelsen kender den aktuelle risikoprofil og kan sætte den i forhold til en ønskværdig risikoprofil. En risiko er ikke nødvendigvis af det onde og skal derfor heller ikke som udgangspunkt elimineres, blot fordi det er en risiko. Man kan sige, at ordene risiko og mulighed dækker over det samme, men ordvalget symboliserer afsenderens egen holdning. En risiko er truslen for, at en handling, aktivitet eller manglende aktivitet kan påvirke en organisations mulighed for at opnå dens mål og efterleve den overordnede strategi negativt. Tilsvarende kan man også sige, at det er muligheden for, at en handling eller aktivitet kan påvirke en organisations mulighed for at opnå dens mål og efterleve den overordnede strategi positivt. Hvis ens mål er fuldstændig risikoeliminering, vil det have store økonomiske og tidsmæssige konsekvenser. Samtidig vil resultatet med stor sandsynlighed blive en organisation, som ikke er omstillingsparat. Men hvis risici derimod bliver styret, vil det skabe mulighed for løbende at forbedre services og procedurer. Det er derfor vigtigt at holde sig for øje, at ikke handler om at eliminere alle risici, men om at lede risiciene frem for at blive ledet af dem. Risikoledelse giver råderum Der er mange eksempler på, at organisationer er blevet overrasket over hændelser, som de ikke havde forventet. I nogle tilfælde har konsekvenserne ikke været så store, hvorimod de i andre tilfælde har været katastrofale for miljø, befolkning, økonomi og andet. Tænk eksempelvis på fyrværkerikatastrofen i Seest. Med en effektiv kan en institution ruste sig selv til enten at undgå disse hændelser eller i hvert fald håndtere dem på en måde, så organisationen styrer de efterfølgende hændelser i stedet for selv at være styret af dem. Det kan for eksempel være en kommune med en meget stram økonomi, som ønsker at etablere et ekstra likviditetsberedskab til at sikre, at den kan håndtere nogle risici. Frem for at vente til skaden er sket og måske ikke kunne gribe ind rettidigt, vil et finansielt nødberedskab i form af uudnyttede kreditfaciliteter kunne sikre, at kommunen øjeblikkeligt kan trække på det, når behovet opstår. Alle de risici, der omgiver en institution, virksomhed eller kommune, kaldes for risikouniverset. Med inddragelse af servicerollen og den styrende rolle er risikouniverset for de offentlige institutioner og kommuner pludselig øget markant. Det er derfor af Økonomiske Infrastruktur Planlægning Ledelse Ydelser Marked likviditet og kredit Bogføring og rapportering Skat Budgetter besparelser ressourcer IT systemer paportering kommunikation Politikker og procedurer Værktøjer Indeklima Arbejdsmiljø Projekter Sammenhæng Udvidelser Nye serviceområder Besparelser Fyringer Store initiativer Ledelsesform Kompetencer Organiationssruktur Efteruddannelse Ansvar Public governance Fejl Mangler Besparelser Leverandører Service Ændringer Supply chain Politiske Materielle aktiver Interessenter Lovgivning og regulativer Medarbejdere Politikere politisk agenda Enkeltsager Aktiver tyveri ulykker Salg Køb Nedskrivninger Hærværk Ny teknologi Leverandører Borgere Politikere Staten Myndigheder medieomtale Lovgivning og regulativer Ændringer Jura Normer Forventninger Trivsel Sygdom Uddannelse Kompetencer Ulykker Løn Ressourcer

3 perspektiv nr stor betydning for en vellykket implementering af, at man på forhånd gør sig klart, hvilke typer af risici der indgår i ens risikounivers, og hvilke der skal fokuseres på. Nedenstående illustration viser et forenklet risikounivers, som det kan se ud for en organisation: Nogle risici har direkte økonomisk indflydelse, fx skat, besparelser Ø mv. Disse er forholdsvis nemme at kvantificere. Andre risici er af mere kvalitativ art. Det kan være medieomtale, normer og forventninger. Disse er langt sværere at kategorisere, men ikke desto mindre væsentlige. Det betyder, at det kan være svært at prioritere, hvilke risici der er væsentlige for organisationen. Derfor bør der etableres retningslinjer for, hvordan risici kan prioriteres. Sådan kommer man i gang med Mange kommuner og offentlige institutioner har svært ved at komme i gang med den praktiske. Igangsættelsen ses som uoverskuelig og som et stort organisatorisk tværgående projekt, der vil trække ressourcer fra mange forskellige enheder. En umiddelbar udrulning og integrering i den samlede organisation er dog heller ikke at anbefale, da det vil skabe unødvendig uro og ressourcespild. I stedet anbefales det at starte med små skridt og langsomt udvikle, forbedre og udrulle i organisationen. Nedenstående trappetrinsmodel illustrerer, hvorledes en virksomhed over tiden vil kunne opbygge kompetencer inden for ved at tage små, men sikre, trin hen i mod en effektiv og værdiskabende. Ernst & Young har mange års erfaring med både opstart og drift af i offentlige institutioner. Dette gør, at vi er i stand til at komme med en række praktiske råd og anbefalinger i opstartsfasen. Det vigtigste i den sammenhæng er at vælge de elementer og tiltag, som passer bedst til den aktuelle situation: Fokusér på det, der betyder noget Fokusér på de største udfordringer og dertil knyttede muligheder. Gennem Ernst & Young s arbejde med kommuner og offentlige institutioner er der identificeret en række typiske områder, hvori kommuner og offentlige institutioner som regel har udfordringer og muligheder i forbindelse med. Kræv og etablér et klart overblik over de vigtigste risici Direktionen, ledelsen samt medarbejderne modtager ofte informationer om forskellige risici, som organisationen er eksponeret over for. Uheldigvis er denne information ofte ukoordineret og inkonsistent, hvorfor det næsten er umuligt at danne sig et samlet overblik over organisationens risici. Et vigtigt emne i forbindelse med god er at skabe de nødvendige værktøjer til at kunne kommunikere og informere effektivt om organisations risici til både ledelse, medarbejdere og eventuelle eksterne interessenter, således at den rette forståelse for den reelle risikoeksponering opnås. kompetencer Trin 4 Beskyt det, der betyder mest De vigtigste opgaver for kommuner og offentlige institutioner er at skabe værdi for borgere og andre interessenter. I den forbindelse er viden om nøglerisici i kerneprocessor og aktiviteter altafgørende. Erfaringen viser imidlertid, at man ofte antager, hvilke risici det er relevant at afdække, hvorved man ofte overser forhold, der senere viser sig at skabe problemer især i en tid med forandringer. Trin 1 Trin 2 Trin 3 tid Pilotprojekt sikrer udrulning af Det er Ernst & Young s erfaring, at de bedste resultater med implementering af opnås, hvis man indledningsvist gennemfører et pilotprojekt for et afgrænset område. Et pilotprojekt er med til at sikre, at de værktøjer og metoder, der udvikles, er gennemtestede og velfungerende, før de tages

4 40 perspektiv nr Direktionen/ledelsen Projektgruppe Afdeling/område Planlægning 1. Oplæg om risk management behandles og vedtages 2. Etablering af projektgruppe og udpegning af projektansvarlig 4. Godkendelse og igangsættelse af business case 3. Design af værktøjer, metode og proces samt etablering af ressourceplan for efterfølgende forløb 5. Identifikation af nøglerisici for enkel afdeling/område Identifikation 6. Sammenskrivning og dokumentering af risici 7. Godkendelse af risikobeskrivelser Vurdering & prioritering 10. Udvælgelse af 1-2 risici til videre analyse 8. Risikovurdering & prioritering med udvalgte medarbejdere 9. Sammenskrivning og dokumentering af risikovurdering 11. Analyse af udvalgte risici og udarbejdelse af forslag til risikostrategier. Udarbejdelse af anbefalinger til risikohåndtering Analyse 12. Review af opstillede anbefalinger og evaluering af business case

5 perspektiv nr i brug i den samlede organisation. Samtidig vil et succesfuldt pilotprojekt være med til at skabe den fornødne forståelse og accept af i den samlede organisation. Dermed undgår ledelsen de mange problemer, som en direkte udrulning typisk forårsager, såsom organisatorisk modstand, redesign af allerede præsenterede værktøjer, metoder og processer, uhensigtsmæssig lang opstartsproces samt manglende forankring af projektet i organisationen. Efter udført pilotprojekt vil kunne udrulles i den øvrige organisation. samtidig med at opnået viden og erfaringer deles gennem effektiv kommunikation til organisationen. Herunder har vi skitseret et detaljeret arbejdsflow i forbindelse med gennemførelse af et givent pilotprojekt. Arbejdsflowet er ment som inspiration til, hvordan et succesfuldt pilotprojekt kan etableres hurtigt og simpelt uden involvering af den samlede organisation. Værdien af god i en organisation medfører ofte flere positive effekter. Nedenfor er eksempler på en række af de effekter, god vil kunne medføre: Øget sandsynlighed for opnåelse af mål Bedre ressourceallokering Mulighed for at reagere proaktivt frem for reaktivt Økonomisk optimering Undgåelse af uønskede hændelser Bedre projektgennemførelse Bedre processer og arbejdsgange Øget kontrolniveau Bedre kommunikation med interessenter Organisering af n Det er af afgørende betydning for en succesfuld implementering af, at topledelsen støtter op om den. Men lige så vigtigt er det at identificere en operationel ansvarlig instans for indsamling af informationer, rapportering og opfølgning på n og risikostyringen. Ernst & Young anbefaler i denne sammenhæng, at der dannes en egentlig risiko controller-funktion, som har dette ansvar. Succesen afhænger også af, at område- og funktionsansvarlige bliver indblandet. Det er dem, som har det detaljerede kendskab til de forskellige områder, og i sidste ende også dem, der er operationelt ansvarlige for behandlingen af risici på deres områder. Involvering af disse sikrer, at ejerskabet for risici og styring af disse forankres decentralt i de områder, som er tættest på risiciene. Controller-funktionens opgave er til gengæld at vedligeholde metodeapparatet og sikre, at retningslinjer og procedurer er opdaterede og kommunikerede. Desuden skal controller-funktionen etablere værktøjer og sørge for, at risikorapportering løbende udarbejdes og kommunikeres til organisationens ledelse. I de institutioner, hvor der er etableret en intern revisionsfunktion, vil det være naturligt at inddrage denne i sprocessen. Intern revision tager typisk udgangspunkt i risici på tværs af processer og har sandsynligvis allerede foretaget en form for risikovurdering, som kan anvendes i forbindelse med etablering af en helhedsorienteret. Her er det væsentligt, at intern revision er en uafhængig instans, som ikke må tage del i den operationelle risikostyring eller risikorapportering. Intern revision har dog en vigtig rolle i vurderingen af de kontroller, der er etableret i forbindelse med udføringen af risikostyringen. Det kan eksempelvis være en vurdering af, om afrapporteringen af risikoprofilen afspejler institutionens faktiske risici. Intern revision i samspil med Intern revision kan stadig være en værdifuld medspiller i forbindelse med, idet dens opgave er at teste, at implementerede kontroller fungerer effektivt. Derved kan intern revision sikre, at risikorapporteringen kontrolmekanismer og sprocessen er på plads og fungerer. Samtidig vil intern revision typisk have et detaljeret kendskab til hele organisationen på tværs af afdelinger og processer og kan derved bidrage med værdifuld rådgivning i forbindelse med implementering af. Endelig vil intern revision kunne identificere risici, som enkeltvis ikke er væsentlige, men aggregeret kan udgøre en væsentlig risiko for institutionen. Aggregerede risici bliver ofte ikke identificeret gennem, fordi den som regel gennemføres med udgangspunkt i en organisationsstruktur, der ikke giver mulighed for at vurdere risici på tværs af processerne. Det kan lyde omstændeligt og tidskrævende at vende betragtningen fra en aktivitetsbaseret risikostyring til en helhedsorienteret, proaktiv. Men det er Ernst & Young s erfaring, at det giver en langt bedre og mere rentabel, hvor afkastet i form af sparede ressourcer hurtigt kan tjene investeringen i implementeringen af systemet hjem.