Controlleren Artikel trykt i Controlleren. Gengivelse af denne artikel eller dele heraf er ikke tilladt ifølge dansk lov om ophavsret. Børsen Ledelseshåndbøger er Danmarks største og stærkeste videns- og udviklingsklub. Uanset hvilket område eller emne du beskæftiger dig med, får du her et komplet opslagsværk på print, cd-rom og internet, der giver dig overblik og indsigt. Ledelseshåndbogen er et praktisk og overskueligt værktøj til dig, der vil være 100% opdateret inden for et bestemt område selvom du har en travl hverdag. Børsen Forum A/S, 2009 Børsen Forum A/S Møntergade 19, DK 1140 København K Telefon 70 127 129, www.blh.dk
Introduktion til risikostyring Model, metode Introduktion til risikostyring Model, metode og eksempler af Senior Manager Jakob Hermansen, jakobhermansen@kpmg.dk, KPMG Advisory Financial Risk Management 1. Indledning Risikostyring Specielt det seneste år har vist, at der er behov for bedre risikostyring mange steder finanskrise, kreditklemme og dermed risikostyringens stigende vigtighed for virksomheder og andre organisationer er i den grad, med rette, kommet op på agendaen. God risikostyring kan hjælpe organisationer via en systematisk proces, da virksomheden kan identificere, måle, styre og økonomisk kontrollere væsentlige risici, som truer en virksomheds aktiver, medarbejdere og aktiviteter. Artiklen er tænkt som et opslagsværk og inspirationsværktøj til controlleren, der vil vide mere om risikostyring generelt. Artiklen er også for controlleren, der søger efter eksempler på dele eller elementer i risikostyringen. Controlleren kan med sin økonomiske indsigt i organisationen bidrage med væsentlig information til forståelse af virksomhedens risici og dermed bidrage til at tage beslutninger på et bredere informationsgrundlag. Artiklen kan også bruges af den controller, som har brug for praktiske eksempler på elementer af risikostyringen, og for den controller, der har fået tildelt ansvaret eller dele af ansvaret for risikostyring. Risikouniverset Risikouniverset for en virksomhed er mangfoldigt og afhænger naturligvis af den enkelte virksomheds virke. En måde at forestille sig risikouniverset på, er ved brug af en radar, hvor de forskellige risici plottes ind. I figur 1 er blot afbilledet nogle enkelte eksempler på risici. 4/August 2009 Controlleren 1
Introduktion til risikostyring Model, metode Figur 1. Risiko radar Artiklens indhold Afsnit 2 gennemgår en beskrivelse af et risikokoncept og tilhørende metoder. Afsnittet søger blandt andet, at give svar på hvilke vigtige elementer der bør indgå i et risikostyringskoncept og metode: Hvad bør en risikostrategi og en risikopolitik indeholde? Hvordan samles risikoinformation sammen? Hvordan vurderer man risici? Afsnittet afsluttes med betragtninger omkring risiko- og kontroloptimering som har en direkte sammenhæng til de øgede fokus på etablering af revisionskomiteer. Afsnit 3 indeholder eksempler på praktiske arbejdspapirer og områder. Et væsentligt bidrag fra controlleren er scenarieanalyser, hvor controlleren, via sin store indsigt i organisationens økonomi og regnskabs viden, kan bidrage med viden omkring den mulige fremtid via scenarieanalyser. Der er i afsnittet skitseret, hvordan controlleren kan bidrage med viden til beregning af nøgletal til risikoanalyser og en tjekliste til risikovurdering/-analyse i mindre projekter. Derudover indeholder kapitlet et eksempel på en årsplan for risikoarbejdet. Afsnit 4 er eksempler på risikorapportering. Praktiske eksempler på risikorapporteringer i form af rapportering ved risikoscenarier, kontrol- og risikoniveauer og systembaseret risikomatrix. 2 Controlleren 4/August 2009
Introduktion til risikostyring Model, metode I artiklen bruges ordet: organisation eller organisationen. Dette begreb bruges som fællesnævner for alle typer af virksomheder, selskaber, institutioner og foreninger. Generelt er det altid vigtigt, at det organisationen vælger, tilpasses den enkelte organisations situation, miljø og niveau. De i artiklen viste eksempler på modeller, værktøjer, indhold til politik og strategi, planer og tabeller må derfor ikke opfattes som den endegyldige sandhed. Der findes andre måder, metoder og værktøjer som også kan benyttes. Artiklen indeholder ikke en masse teori omkring risikostyring. En større gennemgang af krise og risikostyring findes i Børsens nye Ledelseshåndbog for Krise- og risikostyring som udgives i efteråret 2009. 2. Et koncept Mål En tilgang til risikoanalyse sker med udgangspunkt i de mål der er opsat for organisationen, projektet eller blot en meget afgrænset ting der skal foretages en risikovurdering af. I det efterfølgende er der opstillet et koncept for, hvordan risikostyring kan opbygges og hvilke elementer, der er vigtige at komme igennem. Det kan være forskelligt fra situation til situation hvor mange kræfter og hvor stor en indsats der skal laves i hvert af de fem elementer; de skal alle indgå for at få det optimale ud af indsatsen. 2.1. Èt koncept for risikostyring Risikokoncept Centralt for god risikostyring er risikoledelse. Her forstået som at få udviklet og besluttet business casen for risikostyring så hele organisationen og andre interessenter aktivt deltager i arbejdet omkring risikostyring. Herefter kan der gås i dybden med de øvrige fire elementer. Se figur 2 og tabel 1: 4/August 2009 Controlleren 3
Introduktion til risikostyring Model, metode Figur 2. Risikoledelse Elementer Nøglespørgsmål Eksempler på aktiviteter 1. Risikoledelse Hvad vil du opnå med risikostyring? Hvad får forretningen ud af det? Forstå og afstem forventninger. Etablere risikopolitik, strategi og ansvarsfordeling m.m. Kortlægning af sammenhæng med eksisterende strukturer 2. Risikoidentificering og Vurdering 3. Kvantificering og Konsolidering 4. Overvågning og Rapportering 5. Risiko- og kontroloptimering Hvilke metoder og processer passer din organisation? Hvor meget og hvordan? Er detaljeret kvantificering nødvendigt? Hvor ofte, til hvem, hvilken struktur og format? Hvem overvåger? Hvordan optimerer vi risiko og kontroller? Hvor og hvad kan vi finde af muligheder i vores risici? Identificere, vurdere og kategorisere risici i virksomheden Måle, analysere og konsolidere virksomhedsrisici Forsyne organisationen med risikoinformation som kan støtte strategi og beslutningsprocesser Bruge risiko- og kontrolinformation til at forbedre resultatet Tabel 1. Elementer i risikokoncept 1 1) Fra KPMG's risiko metode 2009. 4 Controlleren 4/August 2009
Introduktion til risikostyring Model, metode 2.2. Risikoledelse risikostrategi og risikopolitik Risikostrategi Som med så meget andet er det vigtig at vide, hvad målet er med indsatsen uden mål, hvordan ved du ellers, hvornår nok er nok eller du er nået dertil, hvor du skal? Risikostyringen er i høj grad at se på forandringer altså de interne og eksterne forhold som kan resultere i tab, fejl og andet der står i vejen for virksomhedens målopfyldelse. Holdning til forandringer betragtes forskelligt fra person til person og fra organisation til organisation. I forbindelse med definitionen af business casen for risikostyringen, er det vigtigt at gøre sin holdning til forandringer klart. En generel måde at angribe forandringer på er derfor kort skitseret i figur 3. Figur 3. Forandringsholdninger Forandringsholdninger Inaktiv: Vi gør ikke noget og vi reagerer ikke på forandringer i verden omkring os. Vi er tilfredse med måden tingende er på og ønsker ingen ændringer. Reaktiv: Vi reagerer kun på udefrakommende ændringer, når de opstår. Vi gør kun noget, når det er nødvendigt, og ofte bliver vores løsninger til hovsa-løsninger. Vi løser et problem og skaber nemt et andet. En holdning i denne fase kan være: En eller anden eller et eller andet i dine omgivelser har tvunget dig ud i denne situation. Det kan også forstås som: at tillade at andres svagheder kan have stor indflydelse på virksomheden Præaktiv: Der foretages en registrering af de allerede indtrufne skader. Der analyseres, om skadeforløbet afslører særlige risikoom- 4/August 2009 Controlleren 5
Introduktion til risikostyring Model, metode råder (dvs. om der oftere sker skader med samme årsager og/eller inden for samme område ). Risikoen for videre gentagelser vurderes, og risikostyringen udføres på grundlag af denne vurdering. Der tages udgangspunkt i fortiden og laves fremskrivninger for fremtiden. Bakspejlsmetoden eller prognose. Det bygger på antagelsen, at den kommende periode vil være den samme, som den vi lige har været igennem. Planlægning for fremtiden ender ofte med et kompromis mellem forskellige slags realister, optimister og pessimister. Kompromisets ligning: 1+1=1,5. Proaktiv: Der er stor forskel på, om vi erkender den store indflydelse, som ydre påvirkninger har, eller om virksomheden siger, at den bestemmes af den, og at virksomheden derfor ikke selv er herre over sine handlinger. Ved den proaktive form foretages en analyse af risikoforholdene og derefter en vurdering af sandsynlighed og konsekvenser, som lægges til grund for risikostyring. Virksomheden påvirker efter bedste mulighed og bedste evne fremtiden og dermed de forhindringer, der står i vejen for målopfyldelsen. Virksomheden kan inderligt og ærligt påstå: Vi er hvem vi er i dag, som et resultat af de valg, vi traf i går. 2.2.1. Risikoappetit Risikoappetit En vigtig del af at fastlægge risikostrategien er at fastlægge organisationens risikoappetit er man risikovillig, neutral eller modvillig? I nuværende finanskrise er det tydeligt, at mange handler ud fra en risikoappetit, hvor de er modvillige eller skræmte og ikke foretager sig noget eller kun meget lidt, der er forbundet med at tage en risiko. Det vigtige er at forholde sig til, hvor meget risiko organisationen vil tage i modsætning til ikke at forholde sig til risici. Man vil formodentlig kunne se, at de organisationer, der forstår at håndterer deres risici og være proaktiv i forhold til deres risikoappetit, klarer sig forholdsvis bedre, end dem der ikke foretager sig noget aktivt for at påvirke deres risici eller blot følger strømmen. Simplificeret eksempel på risikoappetit: Forståelse af risikoappetit kan forklares ved hjælp af nedenstående tabel 2. En investering på 10 mio. kr. kan give følgende gennemsnitlige afkast: 6 Controlleren 4/August 2009
Introduktion til risikostyring Model, metode Investerings mulighed Sandsynlighed for afkast i % Afkast i % Gennemsnitlig gevinst 1. 100 +10,0 10 2. 85 +11,8 10 3. 50 +20,0 10 4. 50-10,0/+30,0 10 Tabel 2. Risikoprofil 2 Nogle vil vælge det sikre, laveste afkast ved mulighed 1. For andre vil chancen for en større gevinst være det bedste valg for dem ved mulighed 4. Andre igen vil måske vælge at kombinere mulighederne og dermed sprede risikoen på flere investeringsmuligheder og dermed ikke satse det hele på samme mulighed. Afhængig af den profil og den kultur, der hersker i organisationen vil der være forskel på hvilke muligheder der vælges. Risikoappetitten vurderes, fastlægges af ledelsen og beskrives i risikostrategien. Prøv Ledelseshåndbogen i 10 dage for kun kr. 250,- Klik ind på: www.blh.dk 2) Fra KPMG's risiko metode 2009. 4/August 2009 Controlleren 7