Management of Risks (M_o_R ) Professionel styring af risici

Management of Risks (M_o_R ) Professionel styring af risici

Indholdsfortegnelse 1. Resume... 3 2. Hvad er en risiko og hvad er Management of Risks... 3 3. Introduktion til M_o_R Management of Risk... 3 3.1 Principperne i Management of Risk... 4 3.1.1 Være på linje med organisationens målsætninger... 4 3.1.2 Passe til konteksten... 5 3.1.3 Engagere interessenter... 5 3.1.4 Give klare retningslinjer... 5 3.1.5 Træffe beslutninger på et oplyst grundlag... 5 3.1.6 Gøre det lettere at gennemføre løbende forbedringer... 6 3.1.7 Skabe en kultur, der understøtter god risikostyring... 6 3.1.8 Opnå målbare resultater... 6 3.2 M_o_R fremgangsmåde for Management of Risk... 6 3.3 Proces for Management of Risk... 7 3.4 Forankring og review af Management of Risk... 8 4. Konklusion... 9 KeyCore Confidential Page 2 of 9

1. Resume Risici handler om usikkerheder. Der er risici overalt, og risikostyring kan ofte betyde forskellen mellem succes eller fiasko. Ofte kan strategier, programmer eller projekter løbe af sporet på grund af en utilstrækkelig strategi for risikostyring i en tid, hvor der stilles større og større krav til organisationers evne gennemføre større eller mindre forandringer og opstille nye målsætninger for at få succes. I kølvandet på bestræbelserne for at få succes ligger også muligheden for at få større succes eller truslen om ikke at få succes. 2. Hvad er en risiko og hvad er Management of Risks En risiko kan bedst defineres som en usikker hændelse, som, hvis den skulle opstå, vil have en indvirkning på opnåelsen af nogle målsætninger. Begrundelsen for at formulere definitionen så bredt ligger i, at en risiko kan opfattes som noget negativt eller noget positivt. En risiko kan være: En trussel En mulighed Begrebet trussel bruges forståeligt nok til at beskrive en usikker hændelse, som vil have en negativ indvirkning på målsætningerne, mens mulighed bruges til at beskrive en usikker hændelse, som vil have en positiv indvirkning på målsætningerne. Management of Risks eller på dansk, risikostyring, handler om at sikre, at organisationen er i stand til at styre risici således, at de kan identificeres, vurderes og frem for alt kontrolleres. Management of Risks, risikostyring, handler om at optimere muligheder og minimere trusler. 3. Introduktion til M_o_R Management of Risk M_o_R er en international standard for risikostyring og danner en ramme for, hvordan man kan træffe informerede beslutninger om risici på hhv. strategisk, program-, projekt- eller operationelt niveau således, at man kan identificere, vurdere og kontrollere de centrale risici efter en metode, som bidrager til, at man kan opnå de forventede målsætninger. M_o_R danner rammen om fire kernekoncepter, som bliver nærmere beskrevet i det følgende: M_o_R principper for udvikling og vedligeholdelse af god praksis for risikostyring M_o_R fremgangsmåde til at indføre og tilpasse principperne til den enkelte organisation M_o_R proces for risikostyring M_o_R forankring og review af principperne, fremgangsmåden og processen med henblik på løbende forbedringer M_o_R illustrerer de fire kernekoncepter på følgende måde: KeyCore Confidential Page 3 of 9

3.1 Principperne i Management of Risk M_o_R er baseret på otte principper, som er kendetegnet ved, at de kan anvendes af alle organisationer, at de erfaringsbaserede, og at de gør det muligt at uddelegere beslutninger om risici til dem, der i praksis arbejder med dem. De otte principper skal: 1. Være på linje med organisationens målsætninger 2. Passe til konteksten 3. Engagere interessenter 4. Give klare retningslinjer 5. Træffe beslutninger på et oplyst grundlag 6. Gøre det lettere at gennemføre løbende forbedringer 7. Skabe en kultur, der understøtter god risikostyring 8. Opnå målbare resultater De syv første principper skal opfattes som værende bidragydende til princip 8, som skal opfattes som værende resultatet af at have implementeret god risikostyring. I det følgende omtales de otte principper kort. 3.1.1 Være på linje med organisationens målsætninger Management of Risks bør kun beskæftige sig med de risici, der kan komme til at påvirke opnåelsen af organisationens målsætninger, hvad enten de er på strategisk, taktisk eller operationelt niveau. Det kan også være målsætninger, der ligger i et få succes med programmer og projekter. KeyCore Confidential Page 4 of 9

Den mængde af risici, som organisationen er villig til at påtage sig, og den tilhørende mængde af risikostyringstiltag, som organisationen kan påtage sig, skal stå mål med de forretningsmæssige mål. Man taler derfor om, at topledelsen skal beslutte sig for sin Risikoevne Risikoappetit En organisations risikoevne er den maksimale mængde af risici, som en organisation, eller dele af organisationen, kan påtage sig i forhold til f.eks. dens omdømme, kapital, aktiver eller evne til at skaffe fornyet kapital. En organisations risikoappetit er den mængde af risici, som en organisation, eller dele af organisationen, er parate til at påtage sig. Det bør være indlysende, at det er risikabelt i sig selv, hvis en organisation har en risikoappetit, der er større end dens risikoevne. 3.1.2 Passe til konteksten Når man arbejder med Management of Risks er det altafgørende, at man sætter sig grundigt ind i den interne og eksterne kontekst, som risikoen indgår i. Den eksterne kontekst kan f.eks. være den sektor eller det marked, som organisationen befinder sig i. Det kan f.eks. være teknologiudviklingen eller vedtagelsen af nye love. KeyCore anvender bl.a. PESTEL modellen til at lave analyser af eksterne forhold. Den interne kontekst kan f.eks. handle om organisationens kultur, formelle og uformelle strukturer, processer og relationer mellem interessenter. I vores whitepaper om Blueprint har vi beskrevet, hvordan vi arbejder med POTI(K)-modellen, men SWOT analysen er også et aktivt værktøj for KeyCore. 3.1.3 Engagere interessenter Alle interessenter har en mening om, hvad der er en risiko, og hvorfor det er en risiko, og det er sjældent, at der er overensstemmelse mellem meningerne. Derfor er det god praksis at involvere interessenterne proaktivt og forsyne dem med nøgterne vurderinger af risici for at undgå subjektive og skævvredne vurderinger og for at undgå, at interessenter optræder som politiske partshavere. 3.1.4 Give klare retningslinjer Det er vigtigt, at der er synlighed over for interessenter, hvordan man kontinuerligt identificerer, vurderer og kontrollerer risici holdt op i mod målsætninger, og det er vigtigt at skabe synlighed om, at risici håndteres på tværs af mange perspektiver. De klare retningslinjer for, hvordan man arbejder med risici, giver organisationen mulighed for at sammenligne resultater med planer og vurdere om ressourcerne anvendes rigtigt. 3.1.5 Træffe beslutninger på et oplyst grundlag For at kunne forstå risici i en organisatorisk kontekst er det nødvendigt at informere beslutningstagere på alle niveauer i ledelseshierarkiet om deres beslutningskompetencer. Den hurtigste vej til at få truffet effektive beslutninger er at få etableret og beskrevet transparente roller i ledelseshierarkiet med tilhørende ansvarsfordeling, krav til rapportering og eskalationsveje. KeyCore Confidential Page 5 of 9

Dernæst bør man beskrive organisationens risikotolerancer. Man bør have risikotolerancer for hvert af organisationens mål. En risikotolerance er defineret som den grænseværdi, der, hvis den overskrides, skal udløse en eskalation til næste led i beslutningshierarkiet. Risikotolerancerne for en organisation bør vurderes ud fra organisationens risikoappetit og risikoevne. 3.1.6 Gøre det lettere at gennemføre løbende forbedringer Som vi skrev indledningsvis, så er de otte principper kendetegnet ved, at de kan anvendes af alle organisationer, at de erfaringsbaserede, og at de gør det muligt at uddelegere beslutninger om risici til dem, der i praksis arbejder med dem. Det gør også, at man kan implementere Management of Risk i forhold til det modenhedsniveau, som en organisation på et hvert givet tidspunkt befinder sig på. Dog bør man løbende vurderer om, der er steder, hvor man kan forbedre den kontrollerede risikostyring. KeyCore anbefaler, at man benytter M_o_R health check, som ved at stille en række spørgsmål til de otte principper udstyrer beslutningstagerne med et overblik over, hvor det giver mest værdi at sætte ind med forbedringer. Man bør gennemføre et health check regelmæssigt. 3.1.7 Skabe en kultur, der understøtter god risikostyring Vi har været inde på, at organisationen bør lægge sin risikoappetit således, at den som minimum ikke være bør være større end dens risikoevne. Vi anbefaler dog ikke, at man i en verden af foranderlighed lægger sin risikoappetit på nul. Risikostyring på den gode måde handler om at tage kalkulerede chancer, hvor både sejre og nederlag behandles som muligheder for forbedringer. Dette stiller også store krav til organisationskulturen, som skal sikre, at risici deles og diskuteres åbent og uden frygt for repressalier. Det kræver sagt på en anden måde, at man gør op med nul-fejls-kultur. 3.1.8 Opnå målbare resultater Hele tankegangen i Management of Risks kan opsamles i ordsproget Forebyggelse er bedre end helbredelse. I det ligger også en antagelse om, at det koster mindre at foregribe og styre en risiko, end det gør at komme sig oven på en hændelse, som har fundet sted, og som lige nu påvirker organisationens målsætning. Derfor er det heller ikke nok kun at skrive muligheder og gevinster ind i Business Casen. Det er også vigtig, at Business Casen proaktivt sikrer, at risici er medregnet. 3.2 M_o_R fremgangsmåde for Management of Risk KeyCore anbefaler, at man for at komme i gang med Management of Risk begynder med at få følgende dokumentation på plads: Politik for risikostyring (Hvorfor og hvordan Risk Management skal implementeres i organisationen) Procesvejledning for risikostyring (Trin for trin vejledning i håndtering af en risiko fra den er identificeret til den er færdighåndteret) Risikostyringsstrategi for hver aktivitet i organisationen (Rammerne for risikoappetitten og tolerancerne for den enkelte aktivitet) Disse dokumenter forklarer til sammen, hvordan organisationen vil implementere Management of Risks. KeyCore Confidential Page 6 of 9

Derudover anbefaler M_o_R, at man bruger følgende tre kategorier af dokumentation: 1. Optegnelser Risikoregister Emneregister 2. Planer Fremskridtsplan for risici Kommunikationsplan for risici Handlingsplan for risici 3. Rapporter Statusrapport 3.3 Proces for Management of Risk Den inderste ring i M_o_R modellen består af selve M_o_R processen, som har af fire hovedtrin og en gennemgående kommunikationsaktivitet. Dette kan illustreres på følgende måde: For hvert af procestrinnene er der beskrivelser af, hvad der skal ske i procestrinnet, og hvad der skal komme ud procestrinnet. Beskrivelserne er opbygget efter følgende model: Det vil være meget omfattende at gennemgå hvert procestrin for input, teknikker, mål, opgaver og resultater, men for lige at give en smagsprøve på metoden følger her en liste over nogle af de mest populære teknikker for hvert af trinene. Identificer o PESTEL analyse o SWOT analyse o Årsags-og effekt analyse o Brainstorm o Interview KeyCore Confidential Page 7 of 9

Vurder o Sandsynlighedsvurdering o Konsekvensvurdering o Nærhedsanalyse o Risikoprofiler o Sandsynligheds- og konsekvensmatrice Planlæg o Handlingsplanlægning o Cost-Benefit analyse o Beslutningstræer Implementer o Opdatering af Risikoprofiler o Sandsynligheds- og konsekvensmatrice I beskrivelsen af den enkelte risiko er det vigtigt, at man både forholder sig til årsagen, selve hændelsen og den effekt, som hændelsen vil have. I forhold handlingsplanerne anbefaler M_o_R følgende seks generiske reaktionsmuligheder: Undgå truslen / Udnyt muligheden Reducere truslen / Fremme muligheden Overføre risikoen til 3. part Dele risikoen Acceptere risikoen Lave beredskabsplaner 3.4 Forankring og review af Management of Risk M_o_R er inde på, at der kan være en del barrierer og en del modstand mod at implementere en forholdsvis omfattende model for risikostyring. M_o_R har forskellige forslag til, hvordan man kan håndterer modstanden. KeyCore vil dog anbefale, at man supplerer læsningen med vores whitepaper om forandringsledelse. Af klassiske barrierer nævnes: Mangel på en organisationskultur, der værdsætter fordelene ved risikostyring Umoden praksis for risikostyring Mangel på ressourcer og tid Mangel på politikker, processer og strategier Mangel på topledelsens ejerskab Mangel på uddannelse, viden, værktøjer og teknikker Osv. KeyCore Confidential Page 8 of 9

4. Konklusion I KeyCore har vi mange års praktisk erfaring med styring af risici både på forretningsniveau (Strategisk, taktisk og operationelt), i programmer og i projekter. Vi har i forbindelse med dette arbejde set talrige eksempler på, at ting ender galt netop fordi organisationen ikke rigtig tog styring af risici alvorligt nok. Der findes for eksempel ikke mange organisationer, der har en risikostrategi eller har gjort sig tanker om deres risikoappetit holdt op i mod deres risikoevne. Det efterlader et kæmpe tomrum hos dem, der skal arbejde med risici, fordi de ikke kender retningslinjerne for, hvornår en risiko er meget alvorlig eller uden betydning. Det fører alt for ofte til subjektive vurderinger og til, at der er fokus på de forkerte risici. *** Er din virksomhed i overvejelse om at ville indføre en risk management-metode som f.eks. M_o_R, eller har I brug for konkret rådgivning om brug af teknikker og værktøjer, så kontakt KeyCore s salgsansvarlige for at høre mere om mulighederne for at få hjælp. KeyCore har konsulenter, der er certificerede i M_o_R Management of Risks. For statslige institutioner er det også muligt at få hjælp til at arbejde med ledelsesprodukterne i den fællesstatslige programmodel og den fællesstatslige it-projektmodel med henblik på, at kunne blive risikovurderet i Statens IT-projektråd. Kontakt: John D Arcy Consulting Sales Director and Senior Programme Manager T: +45 40898839 W: www.keycore.dk jd@keycore.dk KeyCore Confidential Page 9 of 9