Risk Management i danske virksomheder Ledelseidag.dk og journalist Lone Nyhuus spurgt om i virksomhederne Vestas, Novo Nordisk, LEGO og Danfoss. Vi har også spurgt om, hvordan de forholder sig til balancen mellem topstyring og implementering i hele virksomheden: Hvordan de sikrer sig, at Risk Management i alle disciplinens facetter er integreret i hele virksomheden. Sidst, men ikke mindst, har vi bedt dem gøre rede for balancen mellem risici og muligheder. Fortælle, hvordan de bruger risikostyringen til at se nye muligheder og skabe vækst ikke kun til at afværge katastrofer og efterfølgende tab. Af Lone Nyhuus 1. Sådan gør de hos Vestas er det Technical Risk Manager Jesper Degn Nielsen, der fortæller om risikostyring i Vestas. Jesper Degn Nielsen er Technical Risk Manager i vindmøllefabrikanten Vestas offshore afdeling. Han fortæller at det var i forbindelse med Ditlev Engel s start som Vestas topchef i maj 2005, at der for alvor kom fokus på Enterprise Risk Management. - Der skulle mere styr på vores forretning. Siden er vi blevet meget bedre til det, siger Jesper Degn Nielsen. I forbindelse med indgåelse af nye store offshore-kontrakter samler virksomheden alle de mennesker, som vil komme til at have noget at gøre med det nye projekt. Det er den første del af risikostyringen. Afdækningen: - Vi tager en hel dag, hvor vi går igennem projektet fra ende til anden. Økonomiske, leveringsmæssige, geografiske risici og kontraktmæssige risici. Vi forsøger også at afdække interface-problemer. Det kan for eksempel være, at vi skal levere en vindmølle og en anden leverandør skal komme med fundamentet. I sådan en situation er det blandt andet vigtigt, at snitfladerne i projektet er veldefinerede, så der er klarhed over, hvor og hvordan møllen skal hæftes til fundamentet, siger Jesper Degn Nielsen, der indrømmer, at det kan lyde som problemer, som almindelige mennesker med almindelig sund fornuft sagtens kan undgå. - Men, tilføjer han, projekterne er blevet så store, at to mennesker med almindelig sund fornuft alligevel kan risikere at gå fejl af hinanden. Bare tænk på den transsibiriske jernbane. Da man
byggede den, startede man fra hver sin ende. Da man nåede dertil, hvor man skulle have sporene til at møde hinanden, passede det ikke sammen. Den situation ønsker vi naturligvis at undgå for vores projekter. Som en del af afdækningen laver Vestas også en beregning på de potentielle udgifter ved fejl. Når de har fundet ud af, hvad der kan gå galt, finder de ud af, hvad det vil koste. - Vi laver scenarier på, hvor galt det kan gå og beregninger på, hvor galt det må gå, før vi kommer til at tabe penge på projektet. Nogle enkelte gange har Vestas taget konsulenter ind udefra. Med deres anderledes erfaringer har de givet vigtige inputs til forståelsen af projekterne. - Nogle gange tænker de på noget, som vi ikke selv har tænkt på. Men de fleste, som kommer udefra, har svært ved at sætte sig ind i vores specifikke problemstillinger. Vi har en specialviden, og vi har opbygget vores egne systemer, siger Jesper Degn Nielsen. Den næste del af risikostyringen foregår i sidste del af salgsfasen. Det er dér hele projektet bliver kalkuleret, og hvor topledelsen kan få at vide, hvor meget Vestas vil tjene på projektet, og hvor stor en risiko der er forbundet med den indtjening. Til sidst kører Vestas en mere traditionel Projekt Risk Management gennem hele installationsfasen, hvor man hele tiden tilpasser sig eventuelt ændrede ting i projektet. - Vi prøver hele tiden at kalkulere størrelsen af risikoen. Det er her, vi finder ud af, om vi hellere vil tage den her risiko end undgå den. På den måde kan vi ofte tage nogle velkalkulerede risici, som vores konkurrenter ikke tager. I et hårdt marked kan det være et konkurrenceparameter, siger Jesper Degn Nielsen, før han slutter. - Selvom alle disse styringer af risici i bund og grund kommer fra toppen af vores organisation med 80 sider lange køreplaner og masser af regler - så er det fodfolkene, der får lov til at administrere det. Og de får også lov til at stå til regnskab. Man har gjort meget for at forankre tankegangen i hele organisationen.«se mere på www.vestas.dk 2. Sådan gør de hos Novo Nordisk er det Risk Office-leder Annette Schutt Fiig, der fortæller om risikostyring i Novo Nordisk. Det er næsten altid sådan, at store forandringer fører andre store forandringer med sig. Sådan var det også for Novo Nordisk. Da selskabet for snart 10 år siden (i 2000) blev spaltet op i to forretningsenheder, lægemiddelvirksomheden Novo Nordisk og enzymforretningen Novozymes,
gav det også anledning til at kigge nærmere på hele virksomhedens organisation. Ydermere var Novo Nordisk s daværende bestyrelsesformand, Mads Øvlisen, en del af det såkaldte Nørby-udvalg, en komité under Erhvervs- og Selskabsstyrelsen, som arbejder for at fremme god selskabsledelse i Danmark. Hertil hører naturligvis også god risikostyring. Fra 2002 begyndte Novo Nordisk helt systematisk at arbejde med det område. - Vi er meget opmærksomme på det i vores virksomhed, fortæller Annette Schütt Fiig, som er leder af Risk Office hos Novo Nordisk. - De ledere, som har ansvar for at rapportere om risici, får grundig uddannelse i, hvad det indebærer. Vi giver dem værktøjer, metoder og et fælles sprog, som sætter dem i stand til hele tiden at forholde sig til den risikoprofil, der gælder for det område, de sidder med. En gang om året udarbejder Novo Nordisk en strategiplan med detaljeret kortlægning af de langsigtede vækstmuligheder. Som en del af dette arbejde identificeres også risikofaktorer, og der iværksættes risikobegrænsende tiltag. Ved vurdering af risici ses der på to dimensioner: sandsynligheden for, at en begivenhed indtræffer, og den mulige betydning for forretningen. Hvert forretningsområde rapporterer hver tredje måned om deres specifikke risici. Hvilke risici, mener de, er mest fremherskende netop nu? Og hvordan vil de forholde sig til denne opståede risiko? Det konsolideres af Risk Office, der i sin kvartalsrapport til bestyrelsen leverer en oversigt over de væsentligste risici og en status for, hvordan de er adresseret. At der er mange slags risici forbundet med Novo Nordisk s aktiviteter kan ikke undre. Markedet kan hele tiden ændre sig og betyde nye muligheder for afsætning. Og hver gang man bringer et nyt produkt på markedet, er det med en kalkuleret risiko for, at det enten vil gå strygende godt - eller ikke så godt. For ikke at tale om de valutamæssige og produktionsmæssige risici, der altid er forbundet med at have aktiviteter fordelt i mange lande. Og meget mere. Risikorapportering i Novo Nordisk handler om både finansielle konsekvenser og potentielt tab af omdømme. Derfor indgår også de traditionelt mere bløde værdier. Og allerede for tre år siden udviklede Novo Nordisk en metode, som kan bruges, så en kvotient fortæller, hvor alvorligt forskellige begivenheder kan påvirke virksomhedens omdømme blandt stakeholdere. - Dette redskab er et fælles udgangspunkt for ledelsens drøftelse af specifikke risici, siger Annette Schütt Fiig, før hun med tanke på balancen mellem risikostyring som brandslukning og en mere proaktiv brug af risikostyring understreger: - Det overordnede formål med risikostyringen i Novo Nordisk er ikke at undgå risici. Det er derimod at sikre en proaktiv styring af væsentlige risici, der kan forhindre eller reducere os i at nå vores overordnede mål. Se mere på www.novonordisk.com
3. Sådan gør de hos LEGO er det Strategic Risk Manager Hans Læssøe, der fortæller om risikostyring i LEGO. Spørg Hans Læssøe, Strategic Risk Manager i LEGO, om, hvilke kvaliteter der kendetegner en god Risk Manager. Så er det hverken uddannelse eller titler, han nævner. Ifølge ham skal en god Risk Manager have: Solidt kendskab til den forretning, man skal skabe processen i både den interne og den eksterne dynamik Solidt og bredt netværk i virksomheden Fokus på processer og sammenhænge En væsentlig matematisk forståelse - Derudover er strategisk risikostyring meget langt hen ad vejen anvendt, fokuseret sund fornuft. Jeg tror, det vil være fantastisk farligt at bygge eller etablere avancerede matematiske eller andre beslutningsmodeller for risikostyring, fordi det giver anledning eller ansporing til at have for stor tillid til disse modellers resultater hvorved man så at sige sætter auto-piloten til og glemmer at tænke sig om. Det er, som jeg ser det, præcis det, der er sket i den finansielle verden, vurderer Hans Læssøe. Det var for halvandet år siden, og det var efter et års stille opstart, at Hans Læssøe tiltrådte stillingen som Strategic Risk Manager. I LEGO-koncernen havde de forsikringsbare, operationelle og finansielle risici været styret systematisk i mange år helt på linje med alle andre professionelle virksomheder. Nu var turen kommet til strategisk risikostyring. - Der er vi stadig i den tidligere fase. Erfaringer siger, at det tager mindst fem år at få en god risikostyring på plads, siger Hans Læssøe, der i en artikel til håndbogen i Risk Management gør rede for, hvordan han sammen med 25 specialister fra alle dele af koncernen har budt ind med over 200 risici. Risiciene blev skrevet ind i et Excell-ark og derefter skåret ned til 75 (for nogle af dem lignede hinanden). Derefter blev dels sandsynligheden og dels effekten af risikoen sat ind i et skema. Dette skema har underafdelinger, der opregner beskrivelse og vurdering af risici; hvordan man sikrer sig, og hvor advarselslamperne kommer fra. Der er også indsat et led, der beskriver, hvordan én risiko vil føre en anden (eller andre) med sig. Databasen danner grundlaget for vurderinger og opdateres løbende, og væsentlige ændringer i sammensætningen eller i enkelte risici rapporteres separat. Selve processen med at sikre en risikostyring er defineret centralt ifølge Hans Læssøe er det lidt
det samme som at sikre, at der er budgetter for hele organisationen. Derimod er det meget klart kommunikeret fra direktionen, at ansvaret for risici ligger i linjeorganisationen. Her har Hans Læssøe et netværk af cirka 50 personer på mellemleder-/leder-/specialist-niveau rundt omkring i virksomheden. De bliver løbende kontaktet omkring systematiske opdateringer og de er løbende mere opmærksomme end den almindelige medarbejder med at give input om ting, der opstår eller ændres. - Den systematiske udrulning, hvor vi sikrer, at alle facetter af risikostyring er solidt forankret i alle dele af virksomheden, er vi kun lige ved at begynde på. Vi er - naturligt nok, synes vi - startet med de store og væsentlige risici. Den proces og metoden at arbejde på, databasen til opsamling af data etc. - er ved at være på plads, og vi vil nu begynde at gå et spadestik længere ud i organisationen på Business Unit-niveau, ligesom vi vil gå et spadestik dybere i processen og begynde at auditere at beskrevne mitigerende handlinger og early-warning-målinger reelt er på plads,«siger Hans Læssøe, før han slutter: - Vi er altså SLET IKKE færdige med at etablere risikostyringen, men bliver man nogensinde det? Se mere på www.lego.com 4. Sådan gør de hos Danfoss er det Lead Group Risk Manager Finn Haugaard, der fortæller om risikostyring i Danfoss. Finn Haugaard er Lead Group Risk Manager i Danfoss, og han fortæller, at selvom Danfoss som sådan altid har arbejdet med risikostyring, var det først i 2004, at det kom ind som decideret ledelsesdisciplin i et bredere forretningsmæssigt perspektiv. - Det opstod overvejende som følge af udviklingen omkring Corporate Governance og et ønske om så vidt muligt at agere som en børsnoteret virksomhed. Og så naturligvis fordi det giver rigtig god mening, fortæller Finn Haugaard og fortsætter: - Vi har etableret en løbende risikorapportering fra divisionerne til direktionen. På den baggrund vurderes det, om eksponeringen og den udførte risikostyring matcher hinanden. Dette gælder både på divisionsniveau og på koncernniveau. Det er tre Division Risk Managers, som sikrer rapporteringen, som så konsolideres på overordnet niveau, før det tilgår direktionen og bestyrelsen. Men indholdet bestemmes af de forretningsansvarlige lederteams - samt stabsfunktioner, fortæller Finn Haugaard og fortsætter: - Rapporteringen består hovedsageligt af en risiko-matrix (Risk Map) med en vurdering af de konkrete risici og deres styring. Det er først og fremmest de enkelte lederteams, der selv vurderer om konkrete risici over- eller understyres, men processen faciliteres løbende af både Division Risk Managers og Corporate Risk Management. I sidste ende er det naturligvis direktionen, der har det
afgørende ord. Det vil sige, at hvis det vurderes, at en konkret risiko skal styres bedre, iværksætter vi et forbedringsinitiativ. Finn Haugaard understreger, at selvom der - fra et overordnet niveau - er en beslutning om, at der skal være en systematisk tilgang til risikostyring, er der oftest en ganske stor grad af metodefrihed, når det kommer til håndtering af konkrete risici. - For at hjælpe de ansvarlige risikoejere på vej har vi dog ofte defineret nogle best practices, som man så kan arbejde ud fra. Det er en løbende proces, som ud over risikoejeren blandt andet omfatter interne kompetencecentre og Risk Managers. Operationelle risici styres af forretningen, men naturligvis er der også risici, hvor styringen defineres fra mere centralt hold. Typisk tværgående koncernrisici, siger Finn Haugaard, der også fortæller, at selvom risikostyringen hos Danfoss hidtil primært har ligget på at undgå tab, så er en ny brug ved at vokse frem: - I relation til forretningsudviklingen er der en klar tendens til, at risikostyringen kommer til at handle lige så meget om muligheder som om risici. Af natur har disse to en del til fælles, måske blot med omvendt fortegn. Se mere på www.danfoss.dk