lauranoukka | Riskiblogi.fi

2 maaliskuun, 2021lauranoukka Ei kommentteja

Teesit onnistuneeseen riskienhallintaan

Riskiblogi on viettänyt hiljaiseloa viimeisen vuoden, lopullisesti blogia ei kuitenkaan ole vielä kuopattu! Tosin kirjoittajien kilpailevat kiinnostuksen kohteet tietokoneen ruudun ulkopuolella tulevat jatkossakin sääntelemään julkaisurytmiä. Päivityksiä tulee siis rennon letkeässä tahdissa, kun muut työt ja harrastukset sen sallivat ja saamme julkaisukelpoisia ideoita.

Tähän kirjoitukseen tuli innoitus asiantuntijalausuntopyynnöstä. Saimme pyynnön pohtia, mitkä kolme konkreettista vinkkiä antaisimme organisaatiolle, joka ei ole systemaattisesti tehnyt riskienhallintaa, mutta haluaa lähteä jostain liikkeelle? Haastavan kysymyksestä teki adjektiivi ”konkreettinen”. On todella vaikea antaa yleispäteviä vinkkejä, joihin mikä tahansa organisaatio voi tarttua ja lähteä toteuttamaan. Tällaisissa usein sortuu lopulta ympäripyöreään viisasteluun tai asiat on jo kertaalleen kirjoitettu standardien teksteihin.

Pohdiskelun lopputuloksena syntyi kolme pointtia, joita voisimme vaikka nimittää riskiblogin teeseiksi onnistuneelle riskienhallinnalle.

Rajaus ja tavoite

Ensimmäinen askel riskienhallinnassa on tavoitteen asettaminen ja kohteen rajaaminen. Tai kuten ISO-31000 standardin mukaisessa riskienhallintaprosessissa, ensimmäisenä tulee ”scope, context and criteria”. Riskienhallintaa ei tulisi tehdä, ”koska täytyy”, vaan koska tarvitsee. Jokaisella riskinarvioinnilla tulee olla liiketoiminnallinen tarve. Jos arvioinnin lopputuloksia ei hyödynnetä missään liiketoiminnan prosessissa, ei arviointia myöskään lievästi yksinkertaistaen tarvitse tehdä.

Rajauksen ja tavoitteen voi asettaa esimerkiksi riskiblogin viitekehyksen mukaisesti tietylle tasolle, yksittäisen liiketoimintaprosessin tukemiseen tai riskilajiin, kuten ympäristöturvallisuus, kyberturvallisuus, compliance… Sen lisäksi, että organisaatiolla tulisi olla selkeä tavoite, riskienhallinnalle isossa kuvassa on yhtä tärkeää, että yksittäisen riskinarvioinnin tavoite ja rajaus ovat selkeät työhön osallistuville. Keskustelu työskentelyn tarkoituksesta tulisi käydä jokaisen riskityöpajan alussa.

Laatu, ei määrä

Keskity riskinarvioinnissa laatuun, ei määrään – kattavinkaan lista yritystä koskevista riskeistä ei takaa riskienhallinnan vaikuttavuutta – päinvastoin, pitkä lista itsestäänselvyyksiä johtaa kokemuksemme mukaan paperinmakuiseen byrokratiaan.

Riskienhallinta on epävarmuuden hallintaa ja osa tätä epävarmuutta on sietää käsittelyyn nostettavien riskien priorisointiin liittyvä epävarmuus. Kaikkea ei voi hallita, joten nostetaan käsittelyyn tunnistetuista riskeistä ne, joiden hallinnalla uskotaan olevan suurin vaikutus.

Riskien lisäksi laadun tulisi ulottua hallintatoimenpiteiden suunnitteluun. Tehokkaimmat toimenpiteet kohdistuvat riskin juurisyyhyn. Niiden selvittämiseen kannattaa panostaa vaadittava aika ja vaiva.

Tarpeen mukainen dokumentointi

Dokumentoi huolella (kuitenkin vain ne priorisoidusti valitut riskit). Ota käyttöön järjestelmällinen ja toistettava tapa dokumentoida riskit. Tämä ei aina tarkoita riskitaulukkoa Excelissä tai tietojärjestelmän käyttöä – dokumentaation sisältö ja muoto tulee valita arvioinnin tavoitetta tukevaksi. Jos kyseessä on säännöllisesti seurattava ja päivitettävä riskilista, varmista että riskit on dokumentoitu kattavasti. Hyvä kirjaus tuo selkeästi esiin itse riskin, sen aiheuttajat ja seuraukset perustellen riskille tehdyn merkittävyyden arvioinnin.

Dokumentoinnin yhteydessä kannattaa tarkistaa, että tehtyjä kirjauksia on helppo päivittää myös jatkossa. Näin vältetään tilanne, jossa jokainen riskikeskustelu alkaa lauseella ”Mitä tässä riskissä numero X tarkoitettiin, kun…” (been there, on muuten melkoisen hankalaa perustella johdon ajankäyttö riskienhallintaan, jos jokainen keskustelu alkaa tällaisella pohdinnalla).

Jossain yhteydessä voi olla tarpeen dokumentoida kaikki vaaratekijät, jotka arvioinnin yhteydessä on käsitelty. Esimerkiksi kun tavoitteena on täyttää jonkin asetuksen vaatimukset, tällöin dokumentointi kannattaa tehdä kevyesti ison massan osalta ja nostaa erilliseen käsittelyyn merkittävimmät riskit.

21 lokakuun, 2019lauranoukka Ei kommentteja

Mikä riskilähtöisyys?

”Tietoturvan johtamisen tulee olla riskilähtöistä.” ”Tietosuojaa tulee tarkastella riskilähtöisesti.” ”Sisäisen tarkastuksen tulisi kohdistaa resurssejaan riskilähtöisesti.” Tässä muutama omalle kohdallemme osunut konkreettinen esimerkki siitä, miten riskilähtöisyys tuntuu hiipineen osaksi kaikkea tekemistä. Teema toistuu niin standardeissa, hyvissä käytännöissä kuin lainsäädännössäkin.

Se, mitä kukaan ei tunnu kertovan, on mitä riskilähtöisyys oikeastaan tarkoittaa ja edellyttää? Millaista toiminnan tulisi olla, jotta pystyttäisiin osoittamaan riskilähtöinen toimintatapa? Riittääkö, että riskit on tunnistettu ja dokumentoitu? Että ne voidaan tarvittaessa näyttää auditoijalle? Tai että joku tunnistetuista riskeistä on aidosti johtanut johonkin päätökseen toiminnan suhteen?

Meillähän mielipiteitä riittää ja siksi esitämmekin tässä aatoksiamme siitä, miten riskilöhtöisyys tiivistyy mielestämme kolmeen teemaan, joiden tulisi näkyä organisaation tavassa toimia. Tämä jäsentämisen malli on syntynyt tietoturvan johtamiseen liittyvien pohdiskeluiden kautta mutta soveltunee muihinkin yhteyksiin – tai jos olette eri mieltä, laittakaa se näkyviin tekstin kommentteihin!

1 Tunne riskit

Itsestäänselvyys – vai onko? Käytännössä pelkkä riskilista ei nimittäin riitä, vaan kaiken perusta on ymmärtää, mikä on liiketoiminnalle tai turvallisuustavoitteelle kriittisintä. Tämä vaatii eri tahojen yhteistyötä ja vuoropuhelua.

Riskien johdonmukainen dokumentointi on tärkeää viestinnän ja riskienhallinnan tason arvioinnin toistettavuuden kannalta. Dokumentaatio ei kuitenkaan ole itseisarvo. Riskien käsittelyssä merkittävä osa työn hyödyistä muodostuu sen yhteydessä käydyistä keskusteluista, etenkin, kun niitä käydään organisaatiorajat ylittävällä tiimillä. Tekniikan, liiketoiminnan ja compliancen näkemysten yhdistäminen auttaa ymmärtämään riskejä suhteessa yrityksen liiketoimintaan.

2 Ymmärrä tehdyt (ja tekemättömät) päätökset

Etenkin tietoturvan kehittäminen riskilähtöisesti on jatkuvaa investoinneilla tasapainoilua. Ymmärrys siitä, mitä kontrolleja ja prosesseja on käytössä ja mihin riskeihin ne vaikuttavat, luo pohjan uusien ratkaisuiden priorisoinnille ja vaikuttavuuden arvioinnille. Ilman tätä tietoa ei voida myöskään arvioida riskin todellista merkittävyyttä.

Tekemättömillä päätöksillä on usein turvallisuutta heikentävä vaikutus. Ne voivat kohdistua jo olemassa oleviin turvallisuuskontrolleihin, kuten ohjelmistojen päivittämiseen tai riskinkantokyvyn näkökulmasta tarpeellisten, uusien investointien lykkäämiseen. Näiden ymmärtäminen täydentää realistista kuvaa omasta riskitasosta.

3 Haasta käsityksesi nykytilasta

Riskienhallinta työssä, kuten kaikessa mitä ihmiset tekevät yhdessä, muodostuu vakiintuneita käsityksiä, omia totuuksia. Vuodesta toiseen tiettyjen riskien katselmointi on saman tiimin vastuulla. Vaikka alan kehitystä seurattaisiin aktiivisesti, jää olemassa olevien totuuksien kyseenalaistaminen usein vähiin.

Tunnistetun riskin hallitsemiseksi on kehitetty prosessi, ja ongelmia ei ole ilmennyt. Tarkoittaako tämä sitä, että toimenpide on riittävä, vai onko tiimillä ollut vain hyvä tuuri? Usein näissä kallistutaan ajattelemaan ensin mainittua, mikä etenkin tietoturvan maailmassa on hyvin vaarallinen oletus. Tästä johtuen oman käsityksen haastaminen on keskeinen osa riskilähtöistä toimintatapaa.

Oman käsityksen haastaminen on keskeinen osa riskilähtöistä toimintatapaa

Haastamisen voi tehdä monella tapaa. Eniten julkisuutta saavat metodit lienevät tällä hetkellä ’red teaming’-harjoitukset kyberturvallisuuden puolella. Toisaalta oman tiimin riskikäsitystä voi haastaa niinkin yksikertaisesti, kuin kutsumalla naapuritiimistä ulkopuolinen asiantuntija mukaan. Hänen ei tarvitse olla edes juuri arvioitavan aiheen asiantuntija, sillä monesti tietämättömyydestä kumpuavat selventävät kysymykset haastavat meitä ”asiantuntijoita” eniten.

Laajemmassa mittakaavassa perinteiset kypsyystason mittaamiseen tarkoitetut työkalut voivat myös antaa kuvaa omien prosessien riittävyydestä. Eri näkökulmia on lukemattomia, eikä arviointi todennäköisesti kaadu ainakaan viitekehysten puutteeseen.

6 helmikuun, 2019lauranoukka Ei kommentteja

Riskienhallintaa vapaalaskijan näkökulmasta

Lumisilla vuorilla liikkumiseen liittyy aina riskejä. Niin liittyy myös yrityksen liiketoimintaan. Vietin viikon Itävallan Alpeilla opiskelemassa vapaalaskijan perustaitoja turvalliseen retkeilyyn ja vuorilla liikkumiseen. En voinut välttyä vertaamasta opittuja riskinarvioinnin ja päätöksenteon taitoja yrityselämän vastaaviin toimintamalleihin, joihin palaan kirjoituksen lopussa. Toivottavasti postaus herättää myös teissä lukijoissa ajatuksia ja vertailua töissä tapahtuvien arviointien ja päätösten suhteen!

Kurssin järjesti IFMGA-vuoristo-opas ja humanistisen ammattikorkeakoulun seikkailukasvatuksen lehtori Jussi Muittari (Mointainguide.fi) ja toisena oppaana toimi IFMGA aspirantti (SBO) Fredrik Aspö (attmankan.fi). Keskustelimme viikon aikana lumiturvallisuuskoulutuksesta ja etenkin siitä, mitkä tekijät häiritsevät turvallisten valintojen tekemistä innokkaassa vapaalaskijaporukassa.

Suomessa on Jussin mukaan viime vuosina panostettu lumiturvallisuuskoulutuksen kehittämiseen ja vuonna 2017 valmistuneen hankkeen pohjalta syntyi FINLAV – Suomen Lumivyörykoulutus -koulutusjärjestelmä. (Lumivyöry.fi) Yhtenä hankkeen tuotoksena syntyi vyöry-kortti, joka ohjaa tarkastuslistanomaisesti arvioimaan retkeen liittyviä riskejä sen eri vaiheissa. Jussi on ollut mukana laatimassa korttia ja se toimi perustana myös meidän kurssillamme.

Ensimmäisessä kuvassa on esitetty vuorilla liikkujan perusvarustepaketti; lapio, sondi, ja piippari sekä nykyään usein lumivyöryreppu. Näistä puhutaan usein lumiturvallisuusvälineinä. Oikeasti kyseessä ovat lumivyöryn pelatusvälineet, joita käytetään vasta siinä äärimmäisessä tilanteessa, kun kaikki muut turvakontrollit ovat jo pettäneet. Tässä kirjoituksessa keskitytään siihen, miten tunnistaa ja ehkäistä riskejä, jotta näille varusteille ei tulisi käyttöä.

Seuraavaksi pieni tosielämän tarina täydellisen puuterilumen metsästyksestä ja siihen liittyvästä jatkuvasta riskinarviointiprosessista vyöry-kortin opastamana. Kyseessä oli viikon odotetuin kokopäivän retki, jossa puolen päivän skinnauksen piti huipentua monen kilometrin puuteri-iloitteluun Kitzbühelin Alpeilla.

Ennen retkeä

Retkeä edeltävänä päivänä hankimme kohteesta mahdollisimman paljon tietoa, jotta pystyimme kartoittamaan tulevaa toimintaympäristöä ja siihen vaikuttavia tekijöitä. Tutuistuimme alueeseen paperikartalla ja Outdooractive appin vyörykartalla, jossa on värikoodein merkitty alueet, jotka ylittävät lumivyöryyn vaadittavan yli 30 asteen kaltevuuden. Näiden lisäksi luimme alueen lumivyöryennusteen lawine.at palvelusta ja bergfexin säätiedotteet alueelle. Luvassa oli aurinkoista hiihtoa pienessä tuulessa ja vyöryennusteestakaan emme löytäneet retkeä estäviä riskitekijöitä. Tunnistimme kuitenkin muutaman hankalamman paikan, joiden lopullinen riskinarviointi piti jättää paikan päällä tehtäväksi.

Aamulla ennen lähtöä tarkistimme vielä ennusteet ja päätimme lähteä vuorelle. Ennakkoon tehdyn analyysin perusteella tiesimme, että reittisuunnitelmassa oli muutama kohta, joissa saattaisimme joutua tekemään ikävän päätöksen kääntyä takaisin.

Retken aikana

Retki alkoi bussikyydillä ja muutamalla hissinousulla ennen kuin asensimme nousukarvat suksien pohjaan ja poistuimme laskettelukeskusksen alueelta merkkaamattomille reiteille. Retken aikana tarkkailimme säätä; miten näkyvyys vaikuttaa ympäristön vaarojen tunnistamiseen, miten paljon vuorelle on kertynyt uutta lunta ja vaikuttavatko tuuli ja lämpötila lumen stabiliteettiin? Tarkkailimme myös lunta, näkyykö ympäristössä merkkejä epävakaudesta esimerkiksi tuoreita vyöryjä, halkeamia tai epäilyttäviä ääniä lumipeitteessä.

Kartalla tehty maastoanalyysi oli auttanut tunnistamaan korkean riskin alueet mutta lopullinen reitin valinta näissä kohteissa tehtiin paikan päällä. Keskustelua käytiin siitä, vastaako todellisuus suunniteltua ja onko retkeä mahdollista jatkaa turvallista reittiä pitkin. Ensimmäiset neljä tuntia sääolosuhteet vastasivat ennustetta. Kun viimein saavutimme paikan, josta näki reitin viimeisen nousuosuuden ja piti tehdä lopullinen päätös jatkaako retki suunnitelman mukaan loppuun vai kääntyäkö takaisin, tuuli oli yltynyt ja puhalsi puuskissa huomattavasti ennustetta kovemmin.

Rinteen analysointi

Ennen päätöksentekoa analysoimme myös sitä, mitä meitä odottaisi harjanteen takana. Millaiset laskuolosuhteet olisivat ja oliko päivän aikana tehty havaintoja, jotka vaikuttaisivat ennen retkeä tehtyyn riskinarviointiin. Tulevan laskun alku tulisi olemaan jyrkkä ja voimakas tuuli olisi todennäköisesti puhaltanut pehmeän lumen pois jättäen paikalle kovan kerroksen. Vyöryvaara tällä jyrkällä alueella olisi pieni mutta koppuraisen jyrkänteen laskeminen tulisi olemaan ainakin osalle ryhmästä todella haastavaa ja loukkaantumisriski kaatumisen seurauksena olisi huomattava. Puuskainen voimakas tuuli hankaloittaisi myös pelastamista ja tekisi hypotermiasta konkreettisen uhan, joten pienikin loukkaantuminen saattaisi eskaloitua nopeasti.

Toisaalta alempana vuoren takana tuuli tuskin olisi vaikuttanut olosuhteisiin ja meillä oli edelleen mahdollisuus päästä laskemaan some-kuvauskelpoista puuteririnnettä (kamerat tätä varten oli tietysti jo asetettu kypäriin kiinni). Laskun lopussa odotti myös tunnelmallinen after-ski ravintola, jos olisimme tarpeeksi nopeita matkanteossa ehtisimme sinne vielä nauttimaan palkinto-oluet ennen illan viimeistä laaksoon palaavaa bussiyhteyttä.

Mitä teet – päätöksenteko

Kuvassa ryhmämme tekee viimeisen nousuosuuden riskinarviota. Seuraavalla osuudella pitäisi ottaa sukset pois ja kiivetä monot jalassa harjannetta, joka johtaa kahden kuvassa näkyvän vuorenhuipun välistä suunnitellulle laskupaikalle. Lumiturvallisuuden näkökulmasta reitti olisi turvallinen, harjanteen päällä ei olisi vaaraa vyöryyn joutumisesta. Vapaalaskuun liittyy kuitenkin muitakin riskejä, kuin lumiturvallisuus, jotka täytyy aina ottaa huomioon. Harjanne oli hyvin kapea ja tuulen voimakkuus puuskissa olisi hyvin voinut kaataa kulkijan, jolloin seurauksena olisi ollut pitkä pudotus hyvin jyrkkää rinnettä alas. Riski loukkaantua siirtymällä oli niin suuri, että ryhmämme päätti kääntyä takaisin.

Päätös ei todellakaan ollut itsestäänselvyys. Sen tekemistä puolsi moni ympäristöön liittyvä seikka mutta ehkä suurimpana ryhmän päätöksentekoon vaikuttavana tekijänä oli, että meillä oli voimakas yhteinen turvallisuuskulttuurin käsitys. Olimme lähteneet vuorelle oppimaan lumiturvallisuudesta ja odotukset kohdistuivat huikeiden laskujen lisäksi siihen, että saamme käytännön kokemuksia turvallisesta vuoristossa liikkumisesta. Vaikeiden päätöksien tekeminen ja omien mielihalujen ja päivälle asetettujen tavoitteiden kyseenalaistaminen on osa turvallista tekemistä.

Ryhmäpaineen ja puuterikuumeen aiheuttama halu toteuttaa suunnitelma olisi varmasti ollut suurempi, jos lumiturvallisuuskurssin sijaan olisimme liikkuneet vuorella normaalina opastettuna vapaalaskijaryhmänä. Ryhmän odotukset ja niiden vaikutus yksittäisen laskijan riskinottohaluun olisi ollut aivan toinen. Tosin Jussi ja Fredrik eivät olisi meitä silloinkaan sinne päästäneet, ryhmästä vain olisi kuulunut merkittävästi enemmän soraääniä päätöksen johdosta.

Ja mitä tästä opimme…

Kielteisestä päätöksestä huolimatta päivä ei mennyt pilalle. Palasimme samaa reittiä kuin olimme tulleet, tällä kertaa tosin pääsimme pöllyttämään aamupäivän aikana kiivettyjen kumpujen puuteria. Päivän päätteksi mittariin oli kertynyt 2085m laskua ja kameroiden muistikortit olivat täynnä aurinkoisia laskupätkiä.

Tämä oli kertomus vapaalaskijan päivästä vuorella mutta täysin samat päätöksenteon ansat on tunnistettavissa liiketoimintariskienhallinnassa. Tekemisessä lukkiudutaan tiettyyn tavoitteeseen ja viedään projekti läpi maksoi mitä maksoi tai tehdään asioita, koska tekemisen vauhti ja jännitys hämärtävät analyyttisen päätöksenteon. Monesti päätöksiä perustellaan menneillä saavutuksilla tai perinteisellä lausahduksella ”näin on ennenkin tehty”. Laadukkaassa riskinarvioinnissa huomioidaan myös päätöksentekoon liittyvät haasteet ja pyritään ehkäisemään näihin ansoihin lankeaminen.

Kiitos Jussi ja Fredrik ajatuksia herättäneestä viikosta ja mahtavasti fasilitoidusta riskinarviointityöskentelystä!

Linkkejä

Mountain Guide Finland – Jussi Muittari

AttManKan – Fredrik Aspö

Suomen lumivyörykoulutus

Retken suunnittelun tueksi:

Itävallan säätiedot Bergfex.at (Appstoressa Bergfex Wetter)

Lumivyörykartat Outdooractive.com (Appstoressa Outdooractive)

Lumivyöryennuste Itävaltaan

Mountain rescue Tirol

11 joulukuun, 2018lauranoukka Ei kommentteja

Tasapainoilua harmaalla alueella – korruptioriskin hallinta

Riskiblogissa käsittelemme riskienhallinnan kenttää laidasta laitaan ja tällä kertaa halusimme kirjoittaa erittäin mielenkiintoisesta, mutta hieman vaikeasti lähestyttävästä aiheesta, korruptioriskin hallinnasta. Tapasimme marraskuisena maanantaiaamuna hyvän kahvin ja runsaan aamupalalautasen äärellä korruptioriskin ehkäisemisen ja hallitsemisen asiantuntijan Anna Rombergin ja juttelimme hyvän tovin aiheesta, erityisesti kotimaisen, kansainvälisesti toimivan konsernin näkökulmasta.

Suomi sijoittuu kansainvälisissä tutkimuksissa, kuten Transparency Internationalin CorruptionPerception Index, vuodesta toiseen listan kärkeen vakaana toimintaympäristönä, jossa korruptio on hyvin vähäistä. Luottamus omaan toimintaympäristöön vaikuttaa siihen, että suomalaisyrityksissä korruptioriskin mahdollisuus jätetään usein pienelle huomiolle. Sen hallitsemiseen liittyvät prosessit ovat haastateltavamme mukaan jopa vanhanaikaisia ja usein puutteellisia.

Korruptioriski kansainvälisessä toiminnassa

Kansainvälisesti toimivien yritysten liiketoiminnassa aihe kuitenkin korostuu, kun lähdetään maihin, joiden kulttuuri eroaa voimakkaasti omastamme. Korruptioriskin mahdollisuuden kieltämistä kansainvälisessä liiketoiminnassa voisi verrata pään pistämistä pensaaseen. Halusimme tai emme, korruptiota esiintyy siellä missä tehdään kauppaa ja sen kieltäminen altistaa yrityksen tiedostamattomalle riskinotolle.

No, kansainvälisesti toimivan yrityksen siis kannattaa olla asiasta tietoinen (Suomen toimintoihin keskittyvien organisaatioiden korruptioriskistä ehkä lisää myöhemmässä postauksessa). Entä sitten? Haastateltavamme painottaa yhteiskuntarakenteiden erojen ymmärtämisen tärkeyttä. Suomen erityispiirre on korkea luottamus yhteiskunnan instituutioihin, sekä luottamus yksilöiden välillä; liiketoiminnassa luotetaan monesti toisen sanaan jopa ilman muodollisia sopimuksia. Kauempana suomesta yhteiskunnallinen konteksti ja kulttuuri, johon ihmiset ovat kasvaneet, on aivan erilainen. Anna korostaa, ettei erilainen tarkoita huonompaa tai sitä, että ihmiset olisivat näissä kulttuureissa jotenkin ”pahoja”. Pointti on siinä, että esimerkiksi entisen Neuvostoliiton maissa ihmiset ovat kasvaneet yhteiskunnassa, jossa selviämisen ja menestymisen edellytykset olivat aivan toiset kuin Suomessa tai Länsi-Eurooppalaisessa yhteiskunnassa. Tällaisten kulttuuristen tekijöiden ymmärtäminen ja huomioiminen on korruptioriskin hallinnan ytimessä.

Juttelimme myös paljon erityisesti myyntiin liittyvistä kannustimista ja niiden ohjausvaikutuksesta. Anna toi esiin, että Suomessa asuessa voi olla vaikea hahmottaa sitä, että joissain maissa koko perheen – ehkä jopa suvun – elanto voi riippua yhdestä ansaitsijasta. Tällöin eettisyys ja yrityksen arvot voivat jäädä paitsioon kauppoja tavoiteltaessa. Tällaisessa ympäristössä korostuvat myös konsernitason ohjauksen vaikutusten ymmärtämisen riskit, esim. tilanne, jossa konsernitasolta kielletään jonkun transaktion läpivienti tai käsky pidättäytyä tietystä asiakkuudesta. Tällöin on huolehdittava siitä, että tilanne on oikeudenmukainen myös maassa toimivalle organisaatiolle ja myyjille, jos esim. bonukset ovat sidoksissa kyseisiin transaktioihin/asiakkuuksiin.

Korruptioriskin hallinta

Korruptioriskin hallinnan ydin on läpinäkyvyys ja tiedostettu riskinotto. Anna kertoo, että jos korruptioriskiä halutaan hallita tehokkaasti, tulee sitä varten olla rakennettuna toimiva prosessi ja osoitettuna oikeat resurssit. Prosessi koostuu kontrolleista ja kriteereistä, joita noudattamalla varmistetaan, että liiketoiminnassa osataan ottaa compliance-toiminto mukaan yksittäisen kaupan tai vaikka yritysoston valmisteluun riittävän aikaisessa vaiheessa.

Uusia kansainvälisiä toimintoja, kauppoja tai myyntiä suunnitellessa voidaan alkukäsitys kohdemaasta muodostaa edellä mainitun Corruption Perception Indexin avulla. Se antaa kuitenkin vain yleiskuvan kohteena olevasta toimintaympäristöstä, jota Annan mukaan tulee täydentää suunnitellun transaktion yksityiskohtien arvioinnilla. Compliancen tehtävänä on miettiä, voidaanko kyseistä transaktiota ylipäätään lähteä toteuttamaan. Jos riskin uskotaan olevan hallittavissa, on compliance mukana prosessin alusta loppuun varmistamassa, että se täyttää kaikki lain ja yrityksen itselleen asettamat vaatimukset tehokkaan ja tietoisen riskienhallinnan avulla. Huomiota kannattaa kiinnittää kaupan yksityiskohtiin; miksi transaktio tehdään, millainen vastapuoli on (onko kyseessä perheyhtiö, yksityishenkilö, valtion viranomainen jne.), miten transaktio on rakennettu ja miksi se on rakennettu juuri suunnitellulla tavalla. Selkeä läpinäkyväksi rakennettu suora kauppa voi olla riskirajojen puitteissa jopa korkean korruption maassa, kun taas monimutkainen monen välikäden ja kytkyn kautta rakennettu liiketoimintakuvio voi ylittää riskinkantokyvyn matalammankin korruption ympäristössä.

Maailma ei ole mustavalkoinen ja Anna totesikin, että viranomaisetkin ottavat huomioon yrityksen korruptiovastaiset prosessit ja järjestelmät kun tutkivat asiaa. Vaikka suuryrityksille ladataan kovia odotuksia tällä saralla, parhaiten odotuksiin vastataan siten, että yritys pystyy osoittamaan tehneensä aidosti kaiken mahdollisen riskin pienentämiseksi. Jos yritys havaitsee väärinkäytöksiä, niistä pitäisi raportoida viranomaisille, varsinkin jos toiminta on kansainvälisten lakien soveltamisalueella (esim. US Foreign Corruption Practices Act tai UK Bribery Act). Tämän vuoksi systemaattiset ja koko toimintaa kattavat prosessit ovat tärkeitä. Anna kuitenkin painottaa, että pelkkä olemassa oleva prosessi ja siihen liittyvät, huolella täytetyt lomakkeet eivät riitä. Esimerkillisen prosessin mukaisesti tehdyt huonot päätökset ovat edelleen huonoja päätöksiä ja voivat johtaa väärinkäytöksen mukaiseen rangaistukseen kansainvälisessä oikeudessa.

Asettuminen riskiblogin viitekehykseen

Juttelimme lopuksi siitä, että korruptioriskin hallinta asettuu myös aika selkeästi Riskiblogin kolmen tason kehikkoon. Näkyvin osa riskinhallintaa on organisatoriset kontrollit eli code of conduct-julkilausumat ja sisäiset ohjeet siitä, keneltä organisaation edustajat voivat hyväksyä minkäkin arvoisen lahjan tai lounaan tms. Operatiivisella tasolla riskinhallinnan voidaan tällöin olettaa olevan hallinnassa. Liiketoimintatasolla riskin hallintaa tukee compliance prosessi, joka ohjaa kumppanien ja liiketoimintamahdollisuuksien valinnassa ja hallinnassa. Strategisella tasolla saadaan päätöksentekoon tukea compliance-toiminnosta, mutta toiminnan ymmärtäminen, läpinäkyvyys ja tietoinen, monipuolinen analysointi ovat avainasemassa kun valitaan toteutettavaksi liiketoimintamahdollisuus, jonka kääntöpuolena ovat toiminnan eettisyyteen liittyvät riskit.

19 marraskuun, 2018lauranoukka 1 kommentti

PK-yrityksen riskienhallinta – vallatonta menoa vai integroitua pohdintaa?

Kirjoituksissamme on tähän asti korostunut ajatus riskienhallinnan määrämuotoisuudesta. Olemme lähestyneet riskienhallinnan teemaa enimmäkseen korporaationäkökulmasta, jossa tehokas riskienhallinta on tiedostettua ja prosessimuotoista – eli sitä tehdään tietyn määritetyn raamin mukaan ja ohjataan vuosikellotyyppisellä ratkaisulla. Lähestymistapa on luonnollinen isommille organisaatioille, joissa oikeastaan kaikki tekeminen on ohjattu toimimaan tietyissä raameissa, jotta joukot saadaan tekemään yhdenmukaista ja keskenään vertailukelpoista työtä raportoinnin syötteeksi. Tämä postaus esittelee kuitenkin hieman toisenlaisen näkökulman riskienhallinnan tekemiseen ja integroitumiseen liiketoimintaan, nimittäin luupin alla on nyt riskienhallinta pk-yrityksessä.

Totuttua suuren organisaation näkökulmaa haastaaksemme kutsuimme aamukahville vuoden 2018 parhaaksi työpaikaksikin valitun Integratan toimitusjohtajan ja perustajaosakkaan Riku Heinosen. Integratan liiketoiminta-ajatus on tuottaa humaania HR-alan prosessimuotoilua kokonaispalveluna asiakkaiden tarpeisiin. Juttelimme Rikun kanssa siitä miten riskienhallinta on näkynyt heidän tekemisessään yrityksen 10 vuoden historian aikana. Yritys on tässä ajassa kasvanut kolmen hengen start-upista lähes 60 henkeä työllistäväksi, kasvuhakuiseksi pk-yritykseksi.

Haastattelussa kävi heti ilmi, että pienessä yrityksessä ei ole määrämuotoista riskienhallintaa tai tiukkaa määritelmää sille, mitä riskienhallinta on. Integratan maailmassa riskienhallintaa ei ole kategorisoitu ja tiivistetty omaksi prosessikseen, vaan se näyttäytyy orgaanisena osana yrityksen tekemistä ja kulttuuria. Vaikka määrämuotoista prosessia ei ole, kaikessa tekemisessä – ja erityisesti strategiaa käsiteltäessä – käsitellään kuitenkin myös riskinäkökulmaa. Kasvuyritykselle tyypillisesti keskustelussa korostetaan enemmänkin mahdollisuuksia ja niiden hyödyntämistä. Mahdollisuuksien korostaminen olikin mielestämme virkistävää, sillä todella useinhan riskienhallinnassa keskitytään siihen, mikä voi mennä pieleen, vaikka kokonaisvaltaisen riskienhallinan määritelmään mahdollisuudet kuuluvatkin.

Integratan tarina heijastelee mielestämme hyvin yrityksen riskikuvan muutosta elinkaaren eri vaiheissa. Riku erotteleekin riskien mietinnän jakautuneen perustamisvaiheeseen, varovaisen kasvun vaiheeseen ja liiketoiminnan vakiintumiseen.

Yrityksen perustamisvaiheessa riskejä mietittiin lähinnä itse yrittäjyyteen liittyen: mitä yrittäjyyteen liittyvät riskit merkitsisivät toteutuessaan omalle uralle tai koko muulle elämälle.

Kun liiketoiminta lähti rullaamaan varovaisella kasvulla, tärkeimmät riskit olivat kahdentyyppisiä. Ensimmäinen, tiukasti liiketoimintaan liittyvä riski, oli yksittäisten asiakkuuksien ja tarjouskilpailujen merkitys. Suuren yrityksen iso tarjouspyyntö saattoi olla houkutteleva mahdollisuus, mutta kääntöpuolena olivat omaan kokoon suhteutettuna mahdollisesti liian suuret vaatimukset ja sopimussakot. Toinen pienen yrityksen ensimmäisiin askeliin liittyvä riski olivat henkilöstön rekrytointiin liittyvät kysymykset. Rikun mukaan suurimmat huolenaiheet voi tiivistää kysymyksiin : ”jos nyt palkkaamme, pystymmekö kolmen kuukauden kuluttua maksamaan palkkaa ja toisaalta, miten onnistua rekryissä niin, että pieneen tiimiin löytyy kulttuuriin sopivia yksilöitä”.

Yrityksen kasvu ja toiminnan vakiintuminen ovat muuttaneet riskikuvaa ja nykyisellään yksittäisen huonosti valitun projektin riskit eivät enää kaada koko liiketoimintaa. Riskiteema, johon kasvu ja toiminnan vakiintuminen ei yrityskulttuuristaan ja johtamisestaan tarkkana olevalle yritykselle ole tuonut helpotusta (ja jonka Riku edelleen nimeää yrityksen yhdeksi suurimmista riskeistä) on henkilöstöön liittyvä: sopiiko uusi työntekijä joukkoon? Tätä henkilöstöön liittyvää riskiä pyritään hallitsemaan mm. niin, että töitä yrityksestä hakisivat vain lähtökohtaisesti yrityskulttuuriin sopivat osaajat – konkreettisena osoituksena tästä keinosta Integratan persoonalliset rekrytointi-ilmoitukset, joiden huumori on miltei yhtä kieroa kuin yrityksen toimitusjohtajan.

Integrata on kasvanut nyt kokoon, jossa yrityksen omistajat eivät enää pysty olemaan mukana kaikessa operatiivisessa päätöksenteossa. Tässä vaiheessa usein alkaa hallinnollisen kerroksen rakentaminen, kun omistajien vastuita delegoidaan eteenpäin. Tarvittaisiinko nyt siis jo muodollisempaa riskiprosessia? Vai voiko riskienhallinta toteutua itsestään olemalla orgaaninen osa yrityskulttuuria ja tapaa tehdä päätöksiä, kuten tähänkin asti? Riku itse ei näe määrämuotoista prosessia tarpeellisena (ainakaan vielä), vaan luottaa yhteisiin strategia- ja mahdollisuus/uhka -pohdintoihin sekä itseohjautuvaan työskentelyyn. Tämä keskustelukahvittelumme jättikin meidät miettimään, että jos riskienhallinta on liiketoiminnalle elintärkeää, eikö sen kuuluisi silloin olla osa kaikkien yksilöiden ja tiimien työkaluvalikoimaa ilman, että joku ylhäältä sen sinne määrää?

10 syyskuun, 2018lauranoukka 2 kommenttia

ERM ja turvallisuus – järkiliitto vai valtataistelua? osa 2

Kirjoituksella ERM ja turvallisuus – yksin vai yhdessä? aloitimme kahden kirjoituksen sarjan yritysturvallisuuden ja kokonaisvaltaisen riskienhallinnan suhteen pohdinnasta. Tässä toisessa osassa Postin riskienhallinta- ja turvallisuusjohtaja Markku Rajamäki jatkaa aiheen käsittelyä Riskiblogin vierailijakirjoittajana.

Enterprise Risk Management ja Corporate Security Management ovat kaikille riskienhallinta-asioiden parissa työskenteleville tuttuja termejä, mutta entäpä Enterprise Security Risk Management (ESRM), jonka yritysturvallisuusalan globaali järjestö ASIS International lanseerasi vuonna 2008? Tuon jälkeen termin käyttö on laajentunut ja aiheesta on kirjoitettu kirjojakin.

Meille kaikille alaan vähänkin perehtyneille on varmaan selvää, että yritysturvallisuuden ratkaisut perustuvat – tai ainakin niiden olisi aina pitänyt perustua – arvioituihin riskeihin. Miksi sitten painotus sanalle riski? Miksi nyt?

ASIS Internationalin hallitus hyväksyi vuonna 2016 ESRM:n organisaation strategiseksi hankkeeksi “to make ASIS members more effective security professionals and more valuable members of their organizations by enabling them to better identify and manage the various aspects of security risks they face… [leading to a] empowered membership, safer enterprises, a more strategic approach to risk, and a more cost-effective security function.” (lähde)

Niinpä, maailma monimutkaistuu kaiken aikaa ja yrityselämää koskettavat moninaiset muutokset tuntuvat aina vain nopeutuvan. Pysyäkseen ajan tasalla niin yritysturvallisuuden kuin laajemminkin riskienhallinnan ammattilaisten on pidettävä tuntosarvensa ylhäällä ja analysoitava aiemmin tunnistettuja ja uusia riskejä kaiken aikaa. Lisäksi usein melko rajalliset voimavarat on kohdennettava mahdollisimman optimaalisesti kokonaiskustannukset ja saavutettavat hyödyt huomioiden.

Jos kerran ESRM on ERM:n komponentti, mitä tämä tarkoittaa yrityksen sisäisen yhteistyön kannalta – ovatko riskienhallintapäällikön ja turvallisuuspäällikön vastuut päällekkäiset tai hierarkkisessa suhteessa toisiinsa?

Yritykset ovat tietysti erilaisia, mutta yleisesti riskienhallintapäällikköä kiinnostaa riskienhallinnan kokonaisuus. Se tarkoittaa, että kaikenlaiset riskit kaikessa toiminnassa on katettu, että työkalut ja tuki on tarpeisiin nähden riittävää. Hyvän riskienhallintatyön lisätuotoksena syntyy myös laadukas raportti, joka mahdollistaa ylimmälle johdolle hyvän käsityksen yrityksen tilanteesta ja sen kautta laadukkaamman päätöksenteon. Riskienhallintapäällikölle turvallisuuspäällikkö on yksi tärkeistä sisäisistä asiakkaista, aivan samoin kuin vaikkapa talouspäällikkö, rahoituspäällikkö tai työturvallisuuspäällikkö, jotka kaikki vastaavat jostain sellaisesta prosessista, jossa riskien hallinta on tärkeää ja elimellinen osa prosessia.

Turvallisuuspäällikkö taas haluaa varmistaa, että yritysturvallisuusriskit, jotka tyypillisesti kattavat varsin suuren osan operatiivisten riskien ja vahinkoriskien alueesta, on hallittu kattavasti ja laadukkaasti. Hän haluaa myös tietää, että niiden hallintaan kiinnitetyt resurssit on kohdennettu ja mitoitettu oikein. Turvallisuuspäällikön tuskaa helpottaa, jos hän kykenee käyttämään työssään samaa metodologiaa, työkaluja ja prosesseja, joita riskienhallintaan yleisemminkin yrityksessä käytetään. Riskienhallinnan ja turvallisuuden suhde on siinä mielessä hierarkkinen, että ERM tarjoaa turvallisuuspäällikölle väylän ylemmäs organisaatiossa nostaa keskeisimpiä turvallisuusriskejä laajempaan ja muiden riskien kanssa vertailukelpoiseen tarkasteluun. Samalla voidaan kasvattaa tietoisuutta niistä – kunhan riskien arviointi on riittävän monipuolista. Jos riskin vakavuutta tarkastellaan vain euroja vasten, turvallisuusriskit eivät aina nouse kovin ylös. Jos fokukseen nostetaan lisäksi vaatimustenmukaisuus, maine ja luotettavuus, tilanne voi olla jo toinen. Näin ollen riskienhallinnan ja turvallisuuden yhteistyö on tärkeää riskien riittävän arvioinnin ja monipuolisen riskikuvan muodostamisessa.

Molemmat, riskienhallintapäällikkö ja turvallisuuspäällikkö lukeutuvat tyypillisessä organisaatiossa toiseen puolustuslinjaan, jos toiminta on organisoitu kolmen puolustuslinjan mallin mukaisesti. Suuri osa riskienhallinta- ja turvallisuustyöstä tapahtuu ensimmäisessä puolustuslinjassa – siellä työskentelevien riskienhallinta-ammattilaisten päätyö on liiketoiminnan pyörittäminen. Jotta yhteistyö johtaisi parhaaseen lopputulokseen, riskienhallinta- ja turvallisuuspäällikön on pyrittävä ymmärtämään liiketoimintaa yhä paremmin. Eikö näiden kahden työn tuottama lisäarvo ole juuri sitä, että heidän tuellaan liiketoiminta ymmärtää, millaisia riskejä tiettyyn toimintaan tai päätökseen liittyy? Laadukas riskinhallinnallinen tuki ei ole mahdollista, ellei ymmärrä liiketoiminnan lainalaisuuksia.

Paras lopputulos riskienhallinnan ja turvallisuuden kesken saavutetaan yhdessä. Myös liiketoiminnassa työskentelevien on hyvä muistaa, ettei ole liiketoimintaa ilman riskejä, joten miksi emme pyrkisi hallitsemaan niitä mahdollisimman hyvin – yhdessä!

25 kesäkuun, 2018lauranoukka Ei kommentteja

ERM ja turvallisuus – yksin vai yhdessä, osa I

Tällä kertaa aloitamme kahden kirjoituksen sarjan aiheesta, josta olemme jo pitkään halunneet kirjoittaa: turvallisuusjohtamisen ja kokonaisvaltaisen riskienhallinnan suhde toisiinsa. Aihe, josta meillä on paljon mielipiteitä, mutta josta halusimme kuulla arkielämän kokemuksia. Niinpä kutsuimme Postin riskienhallinta- ja turvallisuusjohtaja Markku Rajamäen aamukahville kanssamme juttelemaan ja kertomaan aiheesta. Markulla on pitkä kokemus tasapainoilusta turvallisuuden ja riskienhallinnan välillä & niiden suhteen kehittämisestä ja kävikin ilmi, että kahvittelukutsumme oli tosiaankin löytänyt oikean vastaanottajan.

Tässä kirjoitussarjan ensimmäisessä osassa perehdymme aiheeseen kohtuullisen käytännönläheisesti haastattelukahvittelumme pohjalta ja toisessa osassa Markku pohtii vielä syvemmin yhteistyön teemoja riskienhallinnassa ja turvallisuudessa.

Siispä asiaan: tällaisen yhdistelmäroolin ollessa kyseessä olimme aluksi kiinnostuneita konkretiasta. Nimittäin laajan asiakokonaisuussalkun yhdistäminen suuressa yrityksessä ei ole ainakaan ajankäytöllisesti ihan yksinkertainen juttu, vaikka käytössä on tiimi asiantuntijoita. Markku kertoikin, että noin puolet hänen työajastaan menee yritysturvallisuusasioihin ja loppu jakaantuu ERM:n, erilaisten riskienhallinnan projektien ja vakuuttamisasioiden välillä. Työturvallisuus ei kuulu Markun organisaatioon ja hän on tilanteeseen tyytyväinen. Ei siksi, ettei olisi aiheesta kiinnostunut, vaan koska se on aihepiiri, joka vaatii hyvin paljon erikoisosaamista ja olisi ajankäytöllisesti hyvin hallitseva kuuluessaan yritysturvallisuuden alle. Yhteistyötä tosin tehdään tiivisti työturvallisuusorganisaation kanssa aina missä voidaan.

Organisatorisesti Markun tiimi sijoittuu lakiasiainjohtajan alle, sillä yritysturvallisuuteen liittyy alalla hyvin paljon regulaatiota. Sijoittuminen on riskienhallintajohtajaroolille hieman yllättävä, mutta taustalla on myös Postin vanha yritysturvallisuus-yksikkö ja turvallisuusjohtajan rooli, jonka päälle Markun kenttä on rakentunut. Sijoittumisen aiheuttamat haasteet on käytännössä ratkaistu raportointisuhteella talous- ja rahoitusjohtajan organisaatioon ERM:n ja vakuuttamisen osalta. Markku totesi, että tietyllä tapaa sijoittumisesta on ollut etuakin: pohjalla on turvallisuusjohtamisen konkretiaa ja siten on ehkä pystytty tekemään hieman tavallista konkreettisempaa ERM-riskienhallintaakin, joka miellyttää sidosryhmiä. Joka tapauksessa organisoituminen on Postilla evoluution tulos ja erilaisten näkemysten synteesi. Kaiken kaikkiaan Markulla oli hyvä pointti siitä, ettei organisatorinen sijoittuminen paperilla ole niin tärkeää – monenlaiset mallit saadaan toimimaan, jos yhteistyöhalua on.

Markku kertoi, että turvallisuusjohtamisen ja riskienhallinnan suhde on muuttunut voimakkaasti viimeisen kymmenen vuoden aikana. Konkreettinen esimerkki muutoksesta on ehkä monelle tuttu EK:n turvallisuusjohtamisen kaaviokuva – sen aiemmassa versiossa riskienhallinta oli ”leivottuna” sisään kuvaan, eikä erikseen noussut esiin turvallisuuden tukielementtien joukosta. Uusimmassa versiossa riskienhallinta on siirtynyt merkittävään rooliin (joka on yhdenmukainen myös erilaisten kansainvälisten viitekehysten kanssa): se on nostettu kaikkea yritysturvallisuustoimintaa ympäröiväksi kokoavaksi voimaksi.

Kuva 1. Elinkeinoelämän keskusliiton turvallisuusjohtamisen vanha kuvaus

Kuva 2. Elinkeinoelämän keskusliiton turvallisuusjohtamisen uusi kuvaus

Postilla tämä muutos alkoi siinä vaiheessa, kun Markku tuli taloon 2008 ja pääsi kehittämään ERM:ä ja siihen liittyvää tekemistä alusta alkaen näköisekseen. ERM-riskienhallinta onkin noussut turvallisuuden varjosta yhdeksi keskeiseksi elementiksi niin turvallisuus kuin muidenkin yrityksen kohtaamien uhkien hallinnassa. Raportoinnissa merkittävimmät turvallisuusriskit käsitellään ERM-prosessissa, mutta täysin operatiivisen tason turvallisuusteemat saavat lisää konkretiaa omissa prosesseissaan, joissa on paljon päivittäistä raportointia ja oma seurantansa yritysjohdolle ja muille relevanteille sidosryhmille.

Yritysturvallisuuden ja ERM-riskienhallinnan välisestä suhteesta ja yhteistyöstä Markku totesi, että se riippuu melko pitkälti asioiden parissa työskentelevien ihmisten taustoista, sekä myös organisaation tilanteesta, kypsyysasteesta jne. Joka tapauksessa tavoitteen näillä kahdella eri näkökulmalla tulisi olla yhteinen, riippumatta siitä nähdäänkö turvallisuus osana riskienhallintaa, vai päin vastoin. Tästä tematiikasta siis seuraava postaus by Markku – jäämme jälleen innolla odottamaan!

Kuvien lähteet:

Elinkeinoelämän yritysturvallisuuden malli 2010

Elinkeinoelämän yritysturvallisuuden malli 2016

21 maaliskuun, 2018lauranoukka 2 kommenttia

Riskinottohalukkuuteni on…? – eli Risk appetite, osa II

Risk Appetite I:ssä avasimme riskinottohaluun ja -kantokykyyn liittyviä termejä ja päättelimme, että niiden määrittelystä saa irti monia hyviä pohdintoja esim. strategiaan liittyen. Risk appetite antaa selkärangan liiketoimintapohdiskeluihin ja keskeisintä on pitää ihmiset ajan tasalla siitä missä mennään – mitä riskejä ollaan ottamassa ja miten ne suhteutuvat organisaation kokonaistilanteeseen ja tavoitteisiin.

Otamme tässä postauksessa esiin muutaman esimerkin, miten yritykset ovat oman kokemuksemme mukaan asiaa lähestyneet. Aiheen haastavuudesta ja käsitteeen häilyvyydestä kertoo se, että emme ole kumpikaan vielä uramme aikana törmänneet selkeään, hyvin määriteltyyn ja ennen kaikkea koko organisaation tasolla toimivaan (l. tekemistä ohjaavaan) risk appetiteen. Ympäristön, tilanteiden ja organisaatioiden nopeat muutokset tuskin edesauttavat asiaa.

Hyvin määriteltyjen riskinottohalukkuuksien harvalukuisuus kertoo aiheen haastavuudesta

Ei-aivan-tavaton tilanne risk appetiten kanssa on se, että sitä ei ole määritelty. Ei euroissa, sanallisesti tai mitenkään muutenkaan. Ei koko organisaation tasolla eikä toimintoja koskien. Monesti vedotaan siihen, että ”kyllähän sisäisiin politiikkoihin on tavallaan implisiittisesti kirjattu nämä asiat jo”. Tällöin johto saattaa todeta, että ”kyllä me sitten vaan tiedetään, kun riskitilanne on liian korkea”. Tätä lähestymistapaa emme lähtökohtaisesti suosittele – oikein kenellekään.

Yksinkertaisimmillaan risk appetiten määrittely on sitä, että riskien sijoittuminen riskimatriisiin laukaisee tiettyjä odotuksia niiden hallinnan suhteen. Esimerkiksi näin:

riski matriisin vihreällä alueella = riskin tilannetta seurataan, ei tarvetta aktiiviselle/kohdennetuille toimenpiteille

riski matriisin keltaisella alueella = kohdistettuja hallintatoimenpiteitä niin, että saavuttaa vihreän alueen xx kuukauden kuluessa

riski matriisin punaisella alueella = kohdistettuja hallintatoimenpiteitä niin, että saavuttaa keltaisen alueen xx kuukauden kuluessa

Tätä metodia voi soveltaa kaikilla riskienhallinnan tasoilla operatiivisista riskeistä strategisiin ja koko organisaation laajuudessa. Olette kuitenkin ehkä samaa mieltä siitä, ettei lähestymistapa ole paras mahdollinen, se on mm. melko ylimalkainen, korostaa todennäköisesti liikaa riskin välttämistä (kun muistetaan riskin ottamisen tarpeellisuus liiketoiminnalle) ja saattaa sitäpaitsi altistaa kikkailulle riskien siirtämiseksi ”sopivan” värisille alueille. (Ja tässä tosiaan on mielestämme kyse risk appetiten määrittelystä – kun puhutaan kaikkein yksinkertaisimmasta versiosta.)

Monipuolisempi, mutta myös hieman työläämmin ylläpidettävä tapa on määrittää risk appetite erikseen keskeisimmille riskilähteille tai eri riskienhallinnan tasoille ja linjata nämä yhteen konsernitason risk appetiten kanssa. Monissa yrityksissä risk appetite määritellään erikseen kaikille ns. Principle riskeille, eli yrityksen liiketoimintaympäristöön kiinteästi kuuluville riskeille, kuten raaka-aine- tai lopputuotemarkkinoiden erityispiirteet, liiketoiminnassa painottuvat laatu- ja turvallisuusnäkökulmat tai compliance-riskit.

Tällä tyylillä tehtävän risk appetiten määrittelyn kanssa ei kannata olla liian tiukka ja esimerkiksi tavoitella euromääräisen rajan asettamista kaikille riskilajeille. On mieluummin hyvä miettiä mitkä riskilajit omassa liiketoiminnassa ovat sellaisia, joiden kohdalla voidaan antaa on/off tyylisiä lausuntoja, ja minkä kohdalla taas euromääräisten rajojen määrittäminen on mielekästä. Hyvä esimerkki on/off lähetymistavasta on työturvallisuudessa omaksuttu 0-tapaturmaa periaate, jolla viestitään, että henkilöstön turvallisuus on tärkeää ja siihen liittyen ei hyväksytä poikkeamia.

Toisaalta euromääräisten rajojen määrittelystä hyvä esimerkki on raaka-aineiden hankintariskiin liitetty risk appetite. Se voidaan esittää euroissa asettamalla hankintahintaan liittyvä vaihteluväli, jonka puitteissa tuotanto voi tehdä raaka-ainehankintaa hyvin vapaasti ilman raskasta päätöksentekokoneistoa. Hintahaitarin ala- tai ylärajan rikkoutuessa hankintapäätöksille on prosessi, jossa alarajan alittuessa voidaan tehdä päätös hyödyntää tunnistettu mahdollisuus ja ostaa raaka-ainetta varastoon edullisemmin. Toisaalta ylärajan ylittyessä päättää pienemmästä hankintaerästä, jos hinnannousun oletetaan olevan hetkellistä.

Risk appetite on aiheena kokonaisuudessaan melko haastava, emmekä tässä ole kuin raapaisseet pintaa. Yhteenvetona voimme kuitenkin todeta, että sen määrittäminen kannattaa yksinkertaisuudessa aloittaa siitä, että tiedostetaan tarve. Sen jälkeen sitä voi lähteä kehittämään pieninkin askelin eteenpäin. Kuulisimme mielellään ajatuksianne aiheeseen liittyen – miten olette lähteneet itse asiaa ratkomaan?

2 marraskuun, 2017lauranoukka 3 kommenttia

Projektien riskienhallinta

Onko projektiriskienhallinta yhtä kuin operatiivinen riskienhallinta? Voiko se olla strategista? Miten projektiriskit suhtautuvat liiketoimintariskeihin? Miten työkalut ja prosessit eroavat organisaation muusta riskienhallinnasta? Mitkä ovat ylipäätään projektiriskien tunnistamisen ja arvioinnin lainalaisuudet?

Monia kysymyksiä, joihin lähdimme hakemaan vastauksia Veli-Veikko Elomaalta, joka on erikoistunut megaluokan projektien riskinhallintaan ja aikataulupohjaiseen riskimallinnukseen. Tämän projektien riskienhallintaan syventyvän kaksiosaisen kirjoitussarjan ensimmäisessä osassa avaamme hieman yleisiä periaatteita asiaan liittyen, ja toisessa Veli-Veikko kertoo tarkemmin aikataulupohjaisen riskimallintamisen menetelmistä ja tavoitteista. (VV saa näin ollen kunnian olla myös Riskiblogin ensimmäinen vieraileva kirjoittaja!)

Operatiivinen, taktinen ja strateginen projektiriskien hallinta

Projektiriskien hallinta on melko laaja alue, projektilla voidaan tarkoittaa mitä vain yrityksen sisäisen kehityshankkeen ja monien miljardien rakennusprojektin välillä. Yhteistä näille kuitenkin on se, että operatiivisen tason riskienhallinnan merkitys korostuu. Projektin lopputuloksen varmistamisen kannalta on keskeistä, että riskienhallintaa tehdään tarpeeksi konkreettisella tasolla niin, että hallintatoimenpiteitä voidaan toteuttaa ja seurata tehokkaasti. Operatiivisella tasolla riskitieto kootaan käytännön työstä ja käytännön tekijöiltä.

Veli-Veikko painotti meille, että operatiivisen tason käsittely ei silti yksin riitä, koska projektin johto ja ohjausryhmä tarvitsevat etenkin isoissa projekteissa avukseen myös taktisen tason riskinäkemystä. Projektin riskivastaavan vastuulle kuuluu koostaa operatiivisen tason tieto taktisen tason näkemykseksi, hyödyntämällä esimerkiksi aiheuttajaperusteista riskien luokittelua (RBS= risk beakdown structure, ks. linkki kirjoituksen lopussa). Luokittelu tehdään kaikille tunnistetuille riskeille, jolloin pystytään analysoimaan projektin riskejä yhteisten aiheuttajien löytämiseksi ja voidaan muodostaa kuva projektin kannalta merkittävimmistä riskikokonaisuuksista.

Ylintä johtoa ja rahoittajia kiinnostavat puolestaan strategisen tason riskit, kuten poliittisen toimintaympäristön vaikutukset investoinnin kannattavuuteen tai projektin merkittävän viivästymisen aiheuttamat vaikutukset kassavirtaan tai vaikka asemaan rahoitusmarkkinoilla. Strategisia riskikokonaisuuksia, etenkään ulkoisiin teemoihin liittyviä, ei luontaisesti tunnisteta projektin kontekstissa. Tämän vuoksi alhaalta ylöspäin koottava riskitieto ei yksinään vastaa ylimmän päättävän tahon tarpeisiin. Strategisen tason tarkastelua varten projektia tarkastellaan osana liiketoiminnan kokonaisuutta, esimerkiksi arvioiden sen merkittävyyttä strategian ja maineen kannalta.

Tasotarkastelun lopuksi Veli-Veikko painotti, että projekteissa nimenomaan operatiivisten riskien toteutuminen ja kasautuminen ovat loppujen lopuksi tekijöitä, jotka yleensä ovat epäonnistumisten taustalla. Niiden merkitys ja potentiaalinen vaikutus koko projektin onnistumiseen korostuu verrattuna perinteiseen liiketoiminta- ja strategisten riskien hallintaan. Pitäisiköhän tämän ajatuksen muuten näkyä nykyistä enemmän myös organisaation kokonaisvaltaisessa riskienhallinnassa, jossa etenkin johdon tasolla usein liitelemme strategisten mammuttiriskien maailmassa?

Kuten huomataan, projektiriskienhallinta solahtaa riskienhallinnanssa yleisestikin käyttämäämme kolmen tason ajattelumalliin luontevasti. Lisäksi mainittakoon, että prosessin pyörittämiseen, dokumentointiin ja raportointiin käytettävät työkalut ovat täysin samoja kuin yrityksen muussa riskienhallinnassa.

Projektiriskien tunnistaminen

Projektien riskienhallinnan erityispiirre on, että käsiteltävä alue on rajattu tarkkaan ajan ja rahan suhteen. Projekti aloitetaan, jotta se saadaa päätökseen. Projektin edetessä riskejä syntyy ja poistuu sitä mukaa kun tehtäviä toteutetaan. Veli-Veikon mukaan tämä tuo selkeyttä riskiarviointiin: riskejä tunnistetaan neljästä näkökulmasta liittyen projektin eri vaiheisiin.

Näkökulmat ovat:

aika

raha

laatu

turvallisuus,

joista kaksi viimeksi mainittua voidaan seurauksiltaan aina johtaa kahteen ensin mainittuun, mutta niiden on tärkeä olla erillisinä mukana, kun riskejä tunnistetaan. Laatua tulisi tarkastella vähintään kahdestä näkökulmlasta: projektin aikainen toiminnan laatu, sekä lopputuotteen laatuun vaikuttavat tekijät. Turvallisuus tulisi nähdä laajana kokonaisuutena, joka projektista riippuen käsittää esimerkiksi työ-, ympäristö-, tieto- ja toimitilaturvallisuuden, mutta voi jossakin projektissa tarkoittaa vaikka elintarvike- tai säteilyturvallisuutta.

Haasteita Veli-Veikko näkee myöskin neljä:

Riskien tunnistamisessa juututaan yleistyksiin. Esim. riskin aiheuttajana nähdään puutteelliset resurssit ja seurauksena aikataulun viivästyminen. Tämän tason huomioilla ei kuitenkaan tuoda lisäarvoa projektinhallinnalle, jossa tarvitaan tieto perussyistä tunnistettujen riskien taustalla.

Toinen sudenkuoppa riskien tunnistamisessa ovat riskit, joissa aiheuttajaksi nimetään toisten vastuulla olevat työt: riskinä kirjataan vaiheen 2 viivästyminen, koska vaihe 1 ei mene suunnitelmien mukaan. Etupäässä tällaisten riskien kirjaaminen viestii usein projektin sisäisestä epäluottamuksesta. Tietenkin projektin vaiheiden välisten vaikutusten ymmärtäminen on tärkeää, mutta riskien tunnistamisen tarkoituksena on varmistaa jokaisen yksittäisen vaiheen onnistunut toteutuminen riippumatta edeltävistä tai seuravista vaiheista.

Kolmantena kompastuskivenä keskustelimme siitä, miten usein riskejä tunnistaessa ei ole yhteistä määrittelyä käsitteelle ”riski”. Tämän seurauksena projektin eri toimijoiden tunnistamat riskit eivät ole keskenään vertailukelpoisia. Tämä voi johtaa vääriin tulkintoihin, esimerkiksi vaihe johon on tunnistettu eniten riskejä ei välttämättä ole kaikkein riskialttein, sen vastuuhenkilön käsitys riskistä vain voi olla eri kuin toisen vaiheen riskien tunnistamisesta vastaavan henkilön. Yleinen väärinymmärrys on , että kaikki muutokset projektissa nähdään riskeinä. Tärkeä pointti haastateltavaltamme oli, että projektille on luontaista ja myös toivottavaa, että suunnitelmat muuttuvat tiedon tarkentuessa.

Lisäksi suunniteltujen tehtävien kestolla on luontainen vaihteluväli, jonka sisällä tapahtuvat muutokset eivät vielä sellaisenaan aiheuta riskiä. Esimerkkinä luontaisesta vaihteluvälistä ja toisaalta riskistä Veli-Veikko heitti kävellen kuljetun matka pisteestä a pisteeseen b: normaalina päivänä keskiverto aikuiselta kuluu kilometrin matkaan keskimäärin 12min. Lisäksi liikennevalot ja vilkas risteys matkan varrella vaikuttavat helposti minuutin tai kaksi sen mukaan, miten hyvä tuuri kävelijällä on. Tämä vaihtelu kuvaa normaalia vaihteluväliä, jonka kohtaamme aina liikkuessamme. Matkaan liittyvä riski taas olisi jokin mahdollinen tapahtuma, esimerkiksi se, että tie olisi suljettu onnettomuuden takia ja joutuisimme valitsemaan uuden reitin, joka tuplaisi matka-ajan. Jos projektissa toinen tunnistaa riskiksi jo luontaisen vaihteluvälin ja toinen näkee riskinä vasta merkittävän tapahtuman, on eri henkilöiden luoma riskidata täysin vertailukelvotonta.

Neljäs virhe projektin riskienhallinnassa on ns. ”pienten” riskien aliarviointi, johon jo aiemmin viittasimme toteamalla, että operatiivisten riskien toteutuminen on usein epäonnistumisten takana projekteissa. Perinteisestihän, jos saat riskin hallintatoimenpiteiden avulla siirrettyä riskikartan punaiselta alueelta keltaiselle, olet tyytyväinen. Riski voi olla sen tyyppinen, että se on yksittäisenä toteutuessaan keltaisella alueella vaikutuksiltaan kohtuullinen. Kuitenkin jos tällainen riski toteutuu useassa vaiheessa, voi se olla projektin kannalta krittinen kerrannaisvaikutuksiltaan. Haasteeksi tässä yhteydessä muodostuu näiden pienten toistuvien riskien tunnistaminen ja kommunikointi, minkä vuoksi projektiriskien luokittelussa suositellaankin käytettävät aiheuttajaperusteista luokittelua. Tämän kautta päästään kiinni usein toistuviin aiheisiin, jotka eivät suuruutensa puolesta yksittäin nouse projektin johdon riskiraporttiin.

Projektin kriittinen polku

Projektien riskienhallinnan tekee erityisen mielenkiintoiseksi niiden perusolemus, jossa tehtävät seuraavat toisiaan ja edellisen tehtävän toteutus vaikuttaa seuraavaan. Jotkin tehtävät ovat kokonaisaikataulun kannalta merkittävämpiä ja muodostavat projektin ns. kriittisen polun. Tämä kriittinen polku voi kuitenkin muuttua yllättäen, kun jokin tehtävä kriittisen polun ulkopuolella venyy riskin realisoiduttua. Näistä riippuvuuksista muodostuu monimutkaisia kausaliteettejä, joiden ymmärtäminen ja hallinta on kriittistä, kun projekti halutaan saattaa päätökseen suunnitellussa aikataulussa. Tähän analysointiin käytetään projektiriskienhalinnalle tyypillisiä työkaluja, jotka eivät välttämättä kuulu yrityksen normaalin riskienhallinnan työkalupakkiin. Näistä aiheista Veli-Veikko tietää paljon ja avaa ajatuksiaan tämän postaussarjan toisessa osassa – jäämme jännityksellä odottamaan!

Lisää luettavaa projektiriskeistä kiinnostuneille:

https://www.pmi.org/learning/library/risk-breakdown-structure-understand-risks-1042

18 lokakuun, 2017lauranoukka Ei kommentteja

COSO ERM uudistui – eroon kuutioajattelusta

Totesimme aikaisemmassa postauksessa että riskienhallinnan viitekehykset ovat tarpeellisia työkaluja tehokkaan riskienhallinnan kokonaisuuden toteutuksessa. Kansainvälisiä, yleisesti käytettyjä viitekehyksiä on muutamia, joista meillä on kokemusta kahdesta. Tässä kirjoituksessa käsitellään COSO ERM-viitekehystä, josta julkaistiin juuri uusi versio ja myöhemmin tulemme kirjoittamaan toisesta, ISO31000:sta, josta on päivitystyö juuri meneillään.

COSO (Committee of Sponsoring Organisations of the Treadway Commission) organisaationa on riippumaton yksityisen sektorin toimija, joka perustettiin vuonna 1985 alunperin tukemaan väärän/vilpillisen taloudellisen raportoinnin tutkimusta. Lisää COSO:n tarkoituksesta, historiasta ja kehityksestä voit lukea täältä.

COSO-ERM (ERM= Enterprise Risk Management) -viitekehys julkaistiin alunperin vuonna 2004 ja kuten mainittu, se on ollut pitkään yksi vallitsevista viitekehyksistä hyvin monenlaisten organisaatioiden riskienhallintaprosessien pohjalla. COSO aloitti viitekehyksen päivittäminen vuonna 2015 ja julkisen kommentointikierroksen jälkeen uusi lopullinen versio julkaistiin lopulta tänä syksynä. Kävimme uudistetun viitekehyksen läpi ja tässä nostamme esiin mielestämme merkittävimmät muutokset.

Mikä muuttui?

Viitekehyksen ensimmäisessä versiossa korostui riskienhallinnan ja sisäisen valvonnan välinen suhde ja riskienhallinta nähtiin vahvasti compliance-työkaluna. Tämä oli tietysti luontevaa ottaen huomioon COSO:n toiminnan juuret sisäisessä valvonnassa ja ”fraud deterrence”-ajattelussa. Merkittävin muutos uudessa päivitetyssä mallissa onkin se, että riskienhallinta kuvataan yrityksen liiketoimintaa tukevana integroituna toimintana, joka auttaa ja ohjaa strategian laadinnassa ja toteutuksessa, pikemmin kuin compliance- tai sisäisen valvonnan työkaluna. Sisäistä valvontaa ja kolmea puolustuslinjaa ei ole täysin unohdettu uudessakaan mallissa mutta se jää taka-alalle ja lopputuloksena on modernia, strategista riskienhallinta-ajattelua tukeva viitekehys.

– kaikki lähtee strategiasta

Uusi COSO-ERM lähtee liikkeelle strategian valinnasta riskienhallinnan tuella. Moni strategiaprosessi ottaa tälläkin hetkellä jo huomioon riskit, mutta COSO-ERM kritisoi näitä prosesseja siitä, että riskiä arvioidaan yleensä vain suhteessa jo valittuun strategiaan: ”mitkä seikat voivat vaikuttaa strategiamme toteutumiseen ja menestyksekkyyteen?”. Viitekehys tuo tähän keskusteluun mukaan kaksi lisänäkökulmaa, joilla voi olla merkittävä vaikutus organisaation arvonkehitykseen: riski siitä, ettei valittu strategia ole linjassa organisaation vision ja mission kanssa, sekä riski strategioiden riskiprofiileista ja valitun strategian mukanaan tuomista seurauksista.

Valitun strategian tulee olla linjassa mission ja vision kanssa ja tässä viitekehys näkee riskienhallinnan roolin keskeisenä. Riski valitun strategian mukanaan tuomasta riskiprofiilista vs. organisaation riskinottohalukkuus on mielestämme myös erinomainen nosto. Riskienhallinnan tulisi COSO-ERM:n mukaan toimia tahona, joka arvioi jokaista strategiavaihtoehtoa sekä mission &vision näkökulmasta, että riskiprofiilien sopimisesta omaan riskinottohalukkuuteen jo hyvin aikaisessa vaiheessa strategiaprosessia. Strategiavaihtoehdon valinnan jälkeen riskienhallinta toteuttaa ”perinteisempää” rooliaan tunnistamalla asioita, jotka voivat tulla strategian toteuttamisen tielle. Viitekehys kuvaa tätä strategian ja riskienhallinnan yhteyttä ja kokonaisuutta erillisellä visualisoinnilla:

– ja tiivistyy yhteen kuvaan

Vanha malli tiivistyi moniväriseen ja -ulotteiseen kuutioon. Nyt kun kuutio on korvattu uudella graafisella ilmeellä, uskallamme jo tunnustaa ettemme koskaan oikein saaneet kiinni sen monista sivuista, väreistä ja yhteyksistä. Ajatus kokonaisvaltaisesta riskienhallinnasta, siitä että riskienhallinta ei ole yksittäinen toiminto, vaan osa yrityksen liiketoiminnan ohjausta, toteutusta ja tätä kautta myös tietyssä määrin kontrollin väline, on tosin aina käynyt järkeen meillekin.

Kuva 1.Vanha COSO-ERM -kuutio (lähde www. riskikompassi.fi/)

Uusi COSO-ERM -malli koostuu 20 periaatteesta, jotka on järjestetty viiden toisiinsa kytkeytyvän komponentin alle (ks. kuva). Uusi esitystapa helpottaa tämän viiitekehyksen ja ”kilpailevan” ISO31000 standardin yhtäläisyyksien tunnistamisessa. Yksityiskohdat komponenteista ja periaatteista voit lukea tämän tekstin lopussa olevien lähdelinkkien kautta, mutta käytännössä itse komponentit vanhassa kuutiossa ja uudessa ”DNA-kuviossa” ovat pohjimmiltaan saman tyyppisiä. Toki uusissa komponenteissa näkyy kokonaisvaltaisuuden, integroitumisen, kulttuurin ja termin ”performance” vahva painottaminen vanhaan viitekehykseen verrattuna.

Uudistettu COSO-ERM -viitekehys (lähde: coso.org)

Uusi COSO ERM nostaa siis riskienhallinnan entistä strategisempaan rooliin ja muutos näkyy vahvasti visuaalisessa esitystavassa, joka on mielestämme moderni ja yksinkertainen. Selkeä esitystapa mille tahansa viitekehykselle on yllättävän tärkeää, sillä esim. uuden COSO-ERM:n sielunelämä on varmasti helpompi selittää ja myydä omalle organisaatiolle kuin aikaisempi ”rubikin kuutio”.

Miten COSO-ERM -muutokset vaikuttavat minuun?

Uskaltaisimme väittää, että päivitetty versio ei sinällään tuo alalle mitään täysin uutta ja ihmeellistä. Se antaa kuitenkin varmasti kaivattua tukea riskienhallintafunktion vetäjälle, joka haluaa uudistaa oman yrityksensä riskienhallintaa ja tarvitsee perusteita ylimmän johdon suuntaan siitä, miksi nykyinen tekeminen ei enää riitä. Uusi viitekehys saattaa avata riskienhallinta-, compliance- ja tarkastusihmisille ovet organisaation sisäpiiriin, missä strategiset linjaukset tehdään; sen avulla pystyt ehkä vieläkin paremmin perustelemaan, miksi riskienhallinnan pitää olla mukana strategisessa suunnittelussa heti alusta alkaen.

Strategisuuspainotuksen lisäksi ehkä mielenkiintoisin yksityiskohta liittyy mielestämme riskien arvioimiseen. Uusi COSO-ERM painottaa riskien arvioimista eri näkökulmista kvantitatiivisilla menetelmillä, puhuen muun muassa riskiprofiilista, riskikäyristä ja siitä, miten riskin määrittely yhtenä arvona voi olla harhaanjohtavaa – mielenkiintoista ja linjassa oman kokemuksemme kanssa. Palaamme tähän ehdottomasti erikseen tulevaisuuden postauksessa, jossa käsittelemme riskien arviointia hieman laajemminkin.

Miten sitten lähteä uudistamisessa liikeelle? Koska viitekehyksen muutokset eivät olleet täysin mullistavia, ei ole tarvetta suin päin rynnätä uudistamaan riskienhallintaprosessia ja dokumentaatiota. Itse lähtisimme todennäköisesti liikeelle järjestelmällisesti, periaate periaatteelta kartoittamaan suurimmat eroavaisuudet oman toiminnan ja uuden viikehehyksen välillä. Tämän blogin lukijoille ei varmasti ole epäselvää, että kannatamme riskienhallinnan viemistä integroituun ja strategiseen suuntaan ja riskienhallinnan roolin uudistamista ja vahvistamista. Uudistetty COSO-ERM antaa tälle työlle hyvän pohjan.

Lähteet:

COSO Enterprise Risk Management – Integrating with Strategy and Performance, COSO, 2017, AICPA, e-book

Uusi COSO-ERM, Executive Summary

Uusi COSO-ERM & Frequently Asked Questions