Outi Nieminen | Riskiblogi.fi

23 toukokuun, 2019Outi Nieminen Ei kommentteja

Ilmoituskanavat

Näin kesän korvalla ajankohtaiseksi riskienhallinnan ja yritystoiminnan eettisyyden saralla ovat nousemassa ns. whistleblowing-kanavat. Riskienhallinnan näkökulmasta aihe liittyy moniin riskeihin kuten maineriskiin epäeettisen toiminnan kautta ja aikaisemmassa postauksessa käsittelemäämme korruptioriskiin. Huomionarvoista on myös, että sekä yksityisen- että julkisen puolen organisaatiot ovat viime aikoina heränneet eettisten arvojen merkitykseen kannattavassa ja kestävässä liiketoiminnassa. Ajankohtaisen aiheesta tekee mm EU:n Whistleblowing-lainsäädäntö, joka koskee kaikkia yli 50 henkeä työllistäviä organisaatioita. (Lue lisää täältä ja täältä)

Whistleblowingista monesti käytetty termi ”ilmianto” aiheuttanee useimmissa meissä hieman negatiivisa konnotaatioita, mutta mistään kantelukanavasta ei ole kyse. Oikein toteutettuna ja käytettynä kanava tukee vastuullista liiketoimintaa. Itse tykkäämme neutraalimmasta ilmaisusta ”ilmoituskanava” ja ”ilmoittaja” (näitä termejä käyttää myös EU). Suomessa aihetta on selvitetty jo vuonna 2016 oikeusministeriön toimesta – työryhmän loppuraportin löydät täältä: oikeusministeriön työryhmä, joka selvitti korruptioepäilyistä ilmoittavien henkilöiden suojelua vuonna 2016).

EU:n Whistleblowing-lainsäädäntö koskee kaikkia yli 50 henkeä työllistäviä organisaatioita.

Mutta, mutta – päästäksemme taas hieman syvemmälle aiheen nykyiseen sielunelämään haastattelimme Vera Nilssonia WhistleB:stä – kovaa vauhtia kasvavasta yrityksestä, joka on erikoistunut nimenomaan ilmoituskanavajärjestelmän kehittämiseen ja käyttöönottoon. Vera kertoi meille miten käytännössä toteuttaa hyvä ilmoituskanava.

Vaatimukset ja mietittävät asiat suunnitteluvaiheessa

Veran mukaan ”best practice” -kanavan ehdottomina perusvaatimuksina ovat anonyymius ja luotettavuus, vaikka itse EU-lainsäädäntö ei edellytä anonyymiutta, ainoastaan luottamuksellisuutta. Erilaisia käytännön toteutuksia kanavalle voi olla monenlaisia, mutta luotettavuudelle perustuvasta järjestelmästä ei kannata tinkiä.

Ilmoituskanavan voi toteuttaa organisaation sisäisenä ratkaisuna. Vera kertoi, että organisaation itse toteutetun kanavan haasteena on erityisesti sen tekninen toteutus ja ylläpito sekä ilmoittajan anonyymiyden suojeleminen kahdestakin näkökulmasta:

Haaste on toisaalta tekninen, eli miten aidosti toteutetaan ratkaisu, jossa ei ole mahdollisuutta jäljittää ilmoituksen tekijää organisaation käytössä olevalla tiedolla. Ihan ensimmäisenä ei ehkä tule mieleen, että täysin anonyymi järjestelmä voi edellyttää sitä, ettei ilmoittamiseen käytetä ollenkaan työpaikan omia laitteita (edes esim. gmail-tiliä työkoneella tai -kännykällä) – työnantajalla kun on loppukädessä organisaation sisäisen viestiliikenteen tarkastamisoikeus.

Toinen sisäisen järjestelmän haaste on sen tarjoaman anonyymiyden uskottavuus organisaation sisällä. Miten osoittaa ratkaisun luotettavuus niin, että sitä uskalletaan käyttää arkaluontoisimpienkin asioiden raportointiin?

Yrityksillä on vaihtoehtoina luoda oma sisäinen järjestelmä tai ottaa käyttöön ulkopuolisen palveluntuottajan tarjoama järjestelmä

Yrityksille on vaihtoehtona ottaa käyttöön ulkopuolisen palveluntuottajan kehittämä ja ylläpitämä järjestelmä. Kolmannen osapuolen tuominen mukaan voi mm. parantaa kanavan uskottavuutta ja luotettavuutta sen käyttäjien silmissä. Järjestelmässä ilmoituksia käsittelee vähintään kaksi henkilöä yleensä joko laki-, compliance- tai sisäisen tarkastuksen tiimistä, ja jotkut organisaatiot valitsevat ulkoisen palveluntarjoajan tähän rooliin.

Järjestelmän toteutustavan lisäksi yrityksen tulee ratkaista viestien käsittelyyn liittyvät prosessit. Yksi mahdollisuus on ulkoistaa myös viestien vastaanottaminen ja niiden käsittely. Toisaalta ulkopuolinen taho ei välttämättä ole samalla tavalla perillä organisaation erityispiirteistä kuin sen sisällä työskentelevät – seikka, jolla voi olla vaikutusta ilmoitusten tutkintaan. Kummassakin ratkaisussa on puolensa ja päätöksenteko riippunee tapauskohtaisesti mm. vaaditusta vs. omasta osaamisesta, työmäärästä ja -tilanteesta sekä vaihtoehtojen välisistä kustannuksista.

Mielenkiintoista on nähdä, miten pk-yritykset tulevat asian järjestämään EU-lainsäädännön myötä, sillä erillisiä, hyvin resursoituja laki-, compliance- tai IA-toimintoja on tyypillisesti vain suuremmilla organisaatioilla.

Yksi pelko, joka ilmoituskanavan käyttöönottoon monesti liittyy, on sen käyttäminen vääriin tarkoituksiin, kuten perättömien ilmoitusten tekoon. Tai se, että järjestelmää kuormitetaan sinne kuulumattomilla valituksilla, esim. valitetaan työpaikkaruokalan huonosta laadusta tai nostetaan esiin tyytymättömyys omaan palkkaan. Vera kuitenkin kertoi meille, että käytännössä perättömät ilmoitukset ovat harvinaisia eikä kanavaa lähtökohtaisesti käytetä yleensä ”pahantahtoisesti”. Kanavaan kuulumattomat valitukset ja ilmoitukset pystytään melko tehokkaasti välttämään sillä, että käyttöönottovaiheessa panostetaan riittävästi viestintään ja kanavan käyttötarkoituksesta kertomiseen mm. konkreettisin esimerkein.

Kanavan käyttöönotto

Jutustelumme perusteella tiivistäisimme ilmoituskanavan käyttöönottoon johtavat askeleet neljään pääkohtaan:

1. Tavoitteen määrittely: Määrittele huolellisesti miksi organisaatiosi aikoo ottaa kanavan käyttöön; onko tarkoituksena ainoastaan väärinkäytösten paljastaminen, vai tavoitellaanko kokonaisvaltaisesti eettisempää yrityskulttuuria ja esim. työnantajamielikuvan kehittämistä?

2. Valitse järjestelmä perustuen tavoitteisiisi ja tee päätös sisäisen järjestelmän tai ulkoisen palveluntarjoajan välillä

3. Pistä prosessit ja ohjeet kuntoon kanavaa koskevaa raportointia varten, huomioi myös tietosuojavaatimukset laatimalla vaikutustenarviointi whistleblowing järjestelmän käyttöönoton yhteydessä

4. Panosta erityisen paljon sisäiseen tiedottamiseen ja luottamuksen rakentamiseen käyttöönottovaiheessa. Kommunikoi selkeästi, mihin tarkoitukseen ilmoituskanava on tarkoitettu.

WhistleB: https://whistleb.com/fi/

Vaikutusten arvioinnista: https://tietosuoja.fi/luettelo-vaikutustenarviointia-edellyttavista-kasittelytoimista

3 toukokuun, 2019Outi Nieminen Ei kommentteja

Riskienhallinta valtionhallinnossa – erilaista mutta samanlaista

Matkalla tuntemattomaan

Emme olekaan Riskiblogissa aiemmin käsitelleet riskienhallintaa julkishallinnon näkökulmasta, puhtaasti siitä syystä, että se ei meille kummallekaan ole ollut tuttua ennestään. Nyt päätimme laajentaa näkökulmaamme ja selvittää miten riskienhallinta näkyy valtionhallinnosta. Tätä varten lähdimme tapaamaan Valtioneuvoston apulaiscontroller Esko Mustosta ja neuvottelevaa virkamiestä Mikko Saarista, jotka pyörittävät sisäisen valvonnan ja riskienhallinnan neuvottelukuntaa valtiovarainministeriössä ja ystävällisesti lupautuivat avaamaan aihetta meille ja blogin lukijoille. Valtioneuvoston asettaman neuvottelukunnan vastuualueena on valtionhallinnon sisäinen valvonta ja riskienhallinta. Sen fokus on ministeriöissä ja niiden suorassa ohjauksessa olevissa virastoissa, mutta esim. liikelaitoksiakin vastuualueelle kuuluu. Näitä itsenäisesti riskienhallintansa organisoinnista vastuullisia virastoja (yksikköjä) on yhteensä noin 70.

Laki ja asetus, luonnollisesti

Koska puhutaan julkisesta sektorista, taustalla on tietenkin laki – tässä tapauksessa talousarviolaki. Lainsäädäntö velvoittaa sisäisen valvonnan järjestämiseen. Suoranaisesti yksikköjen riskienhallintaa ei mainita, mutta halu noudattaa hyvää hallintotapaa käytännössä vaatii riskienhallinnan järjestämistä. Sisäisen valvonnan ja riskienhallinnan neuvottelukunta on perustettu toimimaan informaatiokanavana ja keskustelufoorumina eri ministeriöiden ja muiden yksikköjen välillä – toiminnan koordinoinnin ja parhaiden käytäntöjen välineenä siis. Tarkoitus on myös antaa suosituksia riskienhallinnan järjestämiseen eri yksiköissä. Varsinaisen riskienhallintaprosessin tuottaman riskitiedon käsittely tapahtuu itse yksiköissä.

Neuvottelukunta on perustettu vuonna 2002 ja se on aloittanut tänä vuonna neljännen toimikautensa, joista jokainen kestää kolme vuotta. Se on jakautunut kahteen ”osastoon”: riskienhallintaan ja sisäiseen tarkastukseen. Jäseninä neuvottelukunnassa on edustajia yksiköistä, jotka kaikki toimivat riskienhallinnan tehtävissä oman toimintansa ohessa. Sillä on valtion talousarviosta annetun asetuksen mukaisesti seuraavat tehtävät tiivistettynä:

1) seurata ja arvioida sisäisen valvonnan ja riskienhallinnan järjestämisen tilaa ja menettelyitä valtionhallinnossa

2) tehdä aloitteita sisäisen valvonnan ja sen osana olevan riskienhallinnan kehittämiseksi;

3) sovittaa yhteen eri viranomaisten, virastojen ja laitosten menettelyitä sisäisessä valvonnassa ja sekä valmistella tässä tarvittavia toimenpiteitä;

4) seurata ja arvioida sisäisen tarkastuksen järjestämisen tilaa, toiminnan laatua ja tuloksellisuutta ja kehittämistä

5) järjestää eri virastojen ja laitosten sisäisen tarkastuksen yhteistyötä

6) seurata ja arvioida valtion virastojen ja laitosten toiminnassa tehtyjen tai valtion tai sen vastuulla oleviin varoihin tai omaisuuteen kohdistuneiden väärinkäytösten ja rikosten tilannetta

7) koota yhteen ja levittää hyviä käytäntöjä samoin kuin valmistella ehdotuksia suosituksiksi ja antaa lausuntoja toimialansa asioissa

Raamit tekemiselle

Neuvottelukunnan toimintaa ohjaa toimintasuunnitelma, jossa uusimmalle toimikaudelle on pääteemoiksi nostettu esiin mm.:

Selvitys tarpeesta laajentaa riskien- ja jatkuvuudenhallinta valtioneuvostotasoiseksi
Hallinnonalojen ja virastojen sisäisen riskienhallinnan tilannekuvan tuottaminen
Riskienhallinnan hyvien käytäntöjen yhteen kokoaminen ja levittäminen mm. ajankohtaisilla teemaesityksillä

Neuvottelukunta on valinnut riskienhallinnan viitekehykseksi ISO31000 standardin, jonka perittaatteita noudatetaan soveltuvin osin. Valitsemalla yleisesti tunnustetun viitekehyksen toiminnan pohjaksi, on tavoiteltu yhtenäisyyttä ja tehokkuutta eri yksiköiden toimintaan, vaikkakin viitekehystä on muokattu valtionhallintoon hieman paremmin istuvaksi.

Ja mitä havaitsimmekaan

Odotuksemme oli, että valtionhallinnossa riskienhallintaan olisi kehitetty täysin oma toimintamalli ja haasteet eroaisivat merkittävästi kaupallisten toimijoiden riskienhallinnan kompastuskivistä. Näin ei kuitenkaan (yllätykseksemme) ole, vaan riskienhallinnan järjestämisen ja toteuttamisen haasteet kuulostivat hyvin samanlaisilta kuin esim. ne, joihin olemme itse törmänneet. Suurin haaste liittyi – yllätys, yllätys – yhdenmukaisen käsitteistön ja käsityksen koostaminen siitä mistä puhutaan silloin,kun puhutaan riskienhallinnasta. Myös vaikutussuhteet Esko ja Mikko näkivät hyvin monimutkaisina, samoin sen, miten kukin ministeriö pystyy käsiteltäviin asioihin vaikuttamaan.

Tuttuja aiheita, joita on käsitelty tässäkin blogissa monesti ja monesta näkökulmasta. Valtionhallinnossa muuten tämä riskienhallinnan sisällön määrittäminen on erityisen mielenkiintoista, kun miettii, millaisia asioita virastoissa ja ministeriöissä käsitellään: esim. kansakunnan turvallisuus tai veronmaksajiin kohdistuvat taloudelliset riskit – hui! Tai vaikka hyvin yleinen esimerkki työturvallisuus – valtionhallinnossa tätä mietitään monesta eri näkökulmasta: onko kyseessä yksiköiden työntekijöiden turvallisuus jokapäiväisessä työnteossa, vai puhutaanko työturvallisuudesta työturvallisuuslainsäädännön säätämisen kannalta?

Toki valtionhallinnolla on omat erityispiirteensäkin, kuten hyvin hajautunut rakenne, joka heijastuu väistämättä riskienhallinnan koordinointityöhön. Mikko ja Esko käyttivät havainnollistavana esimerkkinä mm. toimitusjohtajan vs. pääministerin aseman vertailua: konsernin ylin johto vastaa aina viime kädessä riskeistä, mutta pääministerillä ei ole tässä suhteessa samanlaista asemaa. Hajautunut rakenne myös hankaloittaa jonkin verran tähtäimessä olevaa riskien peilausta tavoitteita vastaan, nimittäin ylätason kokoaminen riskeistä – se strategisten riskien taso – on haastavaa, sillä yksiköt fokusoituvat vahvasti pienempiin asiakokonaisuuksiin ja strategisen riskienhallinnan kokoava taso tavallaan puuttuu. Tämä näkyy myös juuri hyväksytyssä toimintasuunnitelmassa: tavoiteet ovat melko ylätasoisia ja yksi keskeinen tavoite on ensimmäisen tilannekuvan tuottaminen riskienhallinnan ja sisäisen valvonnan järjestämisestä.

Vaikka haasteita on ja lähtökohtana on kohtalaisen hajautunut tilanne, Esko ja Mikko olivat tosi innostuneita riskienhallinnan kehittämisestä, sillä neuvottelukunnan kautta he pääsevät käytännössä luomaan yksiköille yhteinäiset riskienhallinnan raamit ja jättämään kädenjälkensä historiaan – sitähän me kaikki alalla taidamme tavoitella 🙂 Lähdimme valtiovarainministeriöstä tyytyväisinä: yleisesti tietävämpinä ja iloisina siitä, että siellä on asialle omistautuneita ja innostuneita riskienhallinnan kehittäjiä. Ja tietenkin ilahtuneina siitä, että erilaisuudesta huolimatta taidamme suurimmaksi osaksi kaikki painia samantyyppisten haasteiden kanssa.

Sisäisen valvonna ja riskienhallinnan neuvottelukunnan nettisivut

9 lokakuun, 2018Outi Nieminen Ei kommentteja

Risk Managerin huolilista: Top3 privacy-riskiä

Tietosuoja-asetus astui voimaan toukokuun lopussa. Ennen tuota deadlinea moni organisaatio teki suuren työn tunnistaakseen oman toimintansa puutteet ja laittaaksen prosessit tietosuoja-asetuksen mukaiseksi 25.5.2018 mennessä. Kesän ajan ollaan siis huokaistu helpotuksesta, nostettu jalat pöydälle ja suunnattu levähdyksen jälkeen syksyn alkaessa kaikki energia uusiin haasteisiin?

Valitettavasti ei (vaikkakin monen tietosuojaprojekteissa työskennelleen mielestä tämä ehkä kuulostaa varteenotettavalta vaihtoehdolta), nimittäin viimeistään kevään aikana mukana olleille valkeni, että tietosuojaan liittyvä työ ei ole kertaprojekti. Se vaatii jatkuvaa ylläpitoa ja kehittämistä ja nykymaailmassa tietosuoja tulee huomioida yhtenä osa-alueena yrityksen jatkuvassa riskienhallinnassa.

Helpottaaksemme mahdollista tuskaa aiheeseen liittyen, nostamme tässä kirjoituksessa esiin kolme ajankohtaista teemaa, joiden kautta riskienhallintapäällikkö voi tarkastella aihetta pysyäkseen kartalla siitä, missä suurimmat riskit luuraavat.

Ihmiset

Suurin hype tietosuojan ympärillä on (toistaiseksi) hälventynyt ja nyt pitäisi varmistaa, että henkilöt, jotka dataa käsittelevät, käsittelevät sitä jatkossakin uusien ohjeiden ja prosessien mukaisesti. Monessa yrityksessä datan käsittelyä tehdään eri aikakausilta peräisin olevissa järjestelmissä ja sitä löytyy myös sähköposteista jne. Miten homma pysyy hanskassa kesälomien jälkeen – muistavatko kaikki vielä hienon ja kattavan koulutuksesi sisällön ja toteuttavatko he uutta toimintamallia edelleen pieteetillä?

Havainnointikyky ja varautuminen

Tekninen kyvykkyytesi – tunnetko oman kyvykkyytesi (ja sen rajoitteet) tunnistaa ja tutkia tietomurtotilanteita? Jos dataa katoaa tai epäillään väärinkäytöstä, näetkö järjestelmistäsi mitä tapahtui ja milloin?

Kriisijohtaminen – onko jatkuvuuden hallinnan prosessisi päivitetty sisältämään skenaario henkilötietomurrosta? Onko organisaatiosi aidosti kykenevä toimimaan prosessin mukaisesti ja tuottamaan tietoa säännösten vaatimalla tavalla?

Muutoksen hallinta

Vietit ehkä viime kevään (tai jo sitä edeltävän vuoden) etsimällä ja kuvaamalla kaikki ne prosessit, joissa organisaatiossasi dataa käsitellään. Ja hyvä niin, olit valmis toukokuun 25. päivä. Paitsi että sitten on se pikkujuttu, eli elämä toukokuun jälkeen.

Organisaatiossasi on varmasti jo suunnitteilla muutoksia. Onko tietosuoja mukana, kun organisaatiossasi suunnitellaan uusia prosesseja, kehitystiimit valmistautuvat lanseeraamaan uusia tuotteita tai nettisivuillenne suunnitellaan lisättäväksi uusia analytiikkatyökaluja? Miten varmistat sen, että toiminta on jatkuvien muutostenkin keskellä aina tietosuoja-asetuksen mukaista?

Jos nämä kolme näkökulmaa ovat hanskassa ja sinulla on luottavainen olo niiden suhteen – onneksi olkoon, jatka samaan malliin! Jos taas tunnet huolen kouraisevan vatsanpohjaa jonkin kohdalla, on aika perehtyä asiaan tarkemmin eli kuvata riskit oman organisaatiosi kannalta ja miettiä niihin korjaavat toimenpiteet. Tulisiko henkilöstölle esimerkiksi laatia vuosittainen koulutusohjelma tietosuojaosaamisen ylläpitämiseksi, olisiko jatkuvuudenhallintaa syytä harjoitella tai kartoittaa millaisia tietosuojasyötteitä muutoksenhallinnan prosesseihin olisi mahdollista lisätä?

Mukavia ja työntäyteisiä hetkiä tietosuojan parissa!

17 elokuun, 2018Outi Nieminen Ei kommentteja

Toinen riskivlogin osa eetterissä!

Riskiblogi polkaiseen syksyn käyntiin Valta&Vastuu -lehden riskivloggarina. Toinen osa on nyt katsottavissa lehden verkkosivuilla, aiheena tällä kertaa onnistunut riskityöpaja. Käykää katsomassa – toivottavasti juttelumme on hyödyllistä ja saat uusia vinkkejä ja tsemppiä tulevien syksyn työpajojen vetämiseen!

7 toukokuun, 2018Outi Nieminen Ei kommentteja

ISO 31000 uudistui – yksinkertaisuus ja strategisuus kunniaan

Kirjoitimme aiemmin uudesta COSO-ERM:stä ja lupasimme siinä yhteydessä palata riskienhallinnan standardeihin uusitun ISO 31000:n tiimoilta. Olimme muutama viikko sitten Suomen riskienhallintayhdistyksen ja SFS:n yhdessä järjestämässä tilaisuudessa, jossa ruodittiin juurikin tätä riskienhallinnan ISO-standardia (linkki seminaarin videotaltiointiin löytyy tämän kirjoituksen lähteistä). Seminaarista ja standardiin tutustumisesta innostuneena tässä se nyt tulee, katsaus uusittuun ISO 31000:n.

Ensin lyhyesti itse ISO:sta, joka on globaali, kansallisista keskusjärjestöistä muodostuva, standardointiverkosto. Suomen Standardisoimisliitto SFS ry on Suomen standardisoinnin keskusjärjestö, jonka jäseninä on elinkeinoelämän järjestöjä ja Suomen valtio. Paikalliset keskusjärjestöt osallistuvat aina ISO-standardien uudistustyöhön kansallisten työryhmien kautta. ISO31000 uudistukseen Suomesta osallistuttiin SFS/SR 213 riskienhallintaryhmän kautta.

ISO 31000 riskienhallinnan standardiperhe julkaistiin ensimmäisen kerran vuonna 2009 ja se koostuu kolmesta dokumentista, joista tunnetuin ja käytetyin lienee 31000 Riskienhallinta. Ohjeet, josta juuri julkaistiin uusi 2018 versio. Kahdesta muusta voimassa ovat edelleen alkuperäiset vuoden 2009 julkaisut; 31010 Riskienhallinta. Riskien arviointimenetelmät ja SFS-opas 73 Riskienhallinta, sanasto.

Mikä muuttui?

Kaiken kaikkiaan uusi ISO miellyttää meitä hyvin paljon, sillä se vie standardia meille mieleiseen suuntaan: kohti strategisten tavoitteiden saavuttamisen työkalua, jolle johdon ja hallituksen on hyvä allokoida riittävästi aikaa ja huomiota. Samalla se ajatusmaailmallisesti lähenee COSO-ERM:ä. Strategisuus näkyy uudessa ISO 31000:ssa mm. siten, että se:

– korostaa riskienhallinnan sisällyttämistä johtamisjärjestelmään

– painottaa riskienhallinnan sisällyttämistä strategiseen suunnitteluun ja toiminnan operatiivisen ohjauksen järjestelmiin

– painottaa aikaisempaa selkeämmin, että riskienhallinta on keskeisessä roolissa myös arvon luomisessa, ei pelkästään riskien välttämisessä

– korostaa johdon sitoutumista ja tukea riskienhallinnan puitteiden luomisessa

– edellyttää riittäviä riskienhallinnan resursseja joka puolella organisaatiota – ei vain itse riskienhallintatoiminnossa

Lisäksi standardissa on tiivistetty tekstiä ja pyritty välttämään turhaa riskienhallinnan jargonia, mikä näkyy vähentyneenä sivumääränä. COSO ERM:n tapaan myös tässä uudistuksesa on päivitetty visualisointeja (kuva alla) ja näin tuotu vahvemmin esiin ajatus jatkuvasta dynaamisesta riskienhallinnan prosessista ja toisaalta kertaluonteisuuden tai -rupeaman välttämisestä.

Miten -muutokset vaikuttavat minuun?

ISO 31000 on ja on ollut yleisluontoinen kehikko, jonka sisässä on tilaa liikkua ja kohdistaa panokset yrityksen toiminnan kannalta keskeisiin riskilajeihin. Standardi säilytti uudistuksessa roolinsa ohjeena, jota ei tarvitse eikä voi sertifioida. Nämä tekijät yhdessä johtavat siihen, että standardin uudistus ei aiheuta suurta uudistusjumppaa organisaatiolle.

ISO-maailmassa suurempia muutoksia yrityksille on aiheuttanut se, että sertifioitavat ISO standardit kehittyvät jatkuvasti riskilähtöisempään suuntaan. Hyvänä esimerkikkinä ISO 9000 Laadunhallinta standardin uudistus 2015, jossa riskilähtöisyys nostettiin päätöksenteon perustaksi. ISO 31000 standardin hengessä luotu kokonaisvaltainen riskienhallinnan malli tukee etenkin liiketoimintaa, jossa tietyillä erityisosa-alueilla noudatetaan sertifioitua ISO standardin mukaista johtamisjärjestelmää.

COSO-ERM vs. ISO 31000 lyhyesti:

Tässä vertailussa tukeudumme omiin havaintoihimme ja tekstissä aikaisemmin mainitun seminaarin esityksiin (kiitos Isse :)).

Kuten mainittu, standardit ovat lähenemässä toisiaan – ne molemmat korostavat yhä enemmän johdon panosta, tukea ja strategiakytkentää, sekä myös tietyllä tavalla riskinottohalukkuuden työstämistä. Myös uudistusten taustalla ovat samat syyt: ympäröivän maailman nopea muutos ja aikaisempaa monimutkaisempi toimintaympäristö, kuten myös siitä johtuvat uudet riskilajit. Mutta eroavaisuuksiakin vielä löytyy:

– ISO on suunnattu kaikille, jotka ovat tekemisissä riskienhallinnan kanssa, kun taas COSO-ERM:n pääasiallinen kohderyhmä on edelleen organisaation (ylin) johto

– COSO-ERM:ssä näkyy edelleen vahva yksityissektorin painotus, kun taas ISO on selkeästi pyritty koostamaan siten, että sen käytettävyys on mahdollisimman laaja.

– Riskin määrittelyt poikkeavat toisistaan (ehkä olennaisestikin): COSO-ERM ”the possibility that events will occur and affect the achievement of strategy and business objectives” ja ISO 31000: ”effect of uncertainty on objectives”

COSO-ERM: ”The possibility that events will occur and affect the achievement of strategy and business objectives”

ISO 31000: ”effect of uncertainty on objectives”

Ja sitten vielä viimeisenä huomiona teille, jotka aiotte uusittua standardia kahlata läpi: sitä lukiessa tulisi ISO 31010 standardi olla lähettyvillä tai tuoreessa muistissa, näin standardista saa kaikkein eniten irti. Ja kuten olemme aiemminkin erilaisissa yhteyksissä todenneet: standardeista kannattaa aina poimia parhaat ja soveliaimmat palat itselleen ja välttää turhan orjallista noudattamista silloin, kun tuntuu ettei se tuo omalle tekemiselle tai organisaatiolle lisäarvoa.

Lisää tietoa aiheesta löydät esim. näistä linkeistä:

https://www.iso.org/news/ref2263.html

https://livestream.com/infocrea-fi/iso-31000-riskienhallinta

https://www.sfs.fi/files/8496/31000_riskienhallinta_esite_A4_pitkaselitys.pdf

15 huhtikuun, 2018Outi Nieminen Ei kommentteja

Ensimmäinen Riskivlogi julki!

Riskiblogin laajennus, Riskivlogi on nyt julkaistu Valta&Vastuu -verkkolehden sivuilla. Sisältö on avoin kaikille, myös ei-tilaajille. Juttelemme vlogissa jo blogin puolelta tutuista teemoista: mitä riskienhallinta on, miksi se on tärkeää ja miten sen hahmotamme viitekehyksemme kautta.

Vlogin löydät täältä.

Seuraavaa vlogijaksoa suunnitellaan jo ja ilmoittelemme kun on eetterissä, sillä välin toivomme mukavia hetkiä vlogin parissa. Piakkoin tulossa myös uutta postausta tänne blogin puolelle.

19 helmikuun, 2018Outi Nieminen Ei kommentteja

Riskiblogi laajenee riskvlogiksi!

Riskiblogin ensimmäisiä julkaisuja työstettiin kuumeisesti noin vuosi sitten määrätietoisuuden ja kofeiinin voimalla Helsingin keskustan kahviloissa aamuvarhaisella. Tavoitteena oli luoda kanava, joka mahdollistaisi omien ammatillisten näkemysten esiin tuomisen ja keskustelun muiden Suomen riskienhallintayhteisön osaajien kanssa. Halusimme myös kehittää ammatillista osaamistamme ja verkostojamme. Tavoitteen tähänastiseen toteutumiseen olemme tyytyväisiä: blogi on herättänyt paljon mielenkiintoa, olemme saaneet lukijoita jotka kokevat sisällön ammatillisesti mielenkiintoisena ja antoisana, ja olemme itse päässeet osallistumaan moniin keskusteluihin meille lähellä sydäntä olevasta aiheesta. Tuntuu, että myös oma osaaminen ja tiedonnälkä on kasvanut ja kasvaa koko ajan suuremmaksi matkan varrella.

Niin kuin riskienhallinnan prosessien, työkalujen ja ammattilaisten, tulee riskibloginkin tietysti pyrkiä jatkuvasti kehittymään enemmän ja enemmän. Näin ollen teemme uuden aluevaltauksen ja aloitamme yhteistyön Valta&Vastuu verkkolehteä julkaisevan Juttutalon kanssa, tarjoten lehden lukijoille mahdollisuuden päästä seuraamaan lähietäisyydeltä blogin laajentumista videomuotoon. Tulemme tämän vuoden aikana julkaisemaan neljä videoblogipostausta ekslusiivisesti Valta&Vastuun tilaajille. Aiheet perustuvat Riskiblogissa käsiteltyihin teemoihin ja ensimmäisessä, maaliskuun numeron yhteydessä julkaistavassa videossa pohdimme mitä riskienhallinta oikeastaan on? Aihe on mielestämme käsittelemisen arvoinen, sillä eri toimialoilla ja organisaation tasoilla termi ”riskienhallinta” saa täysin eri merkityksiä ja painotuksia.

Videoblogissa huomioimme myös tilaajilta tulevan palautteen ja aihe-ehdotukset. Kuten sanottu, yhtenä motivaation lähteenä tekemisellemme toimii jatkuva halu oppia uutta, joten otamme mielellämme vastaan haasteita käsitellä myös meille tuntemattomampia riskienhallinnan osa-alueita ja sitä kautta oppia yhdessä.

Blogin kirjoitus jatku entiseen tapaan, mutta toivomme tietysti näkevämme teitä myös videoblogiamme seuraamassa!

30 tammikuun, 2018Outi Nieminen 1 kommentti

Miten paljon ottaisin riskiä – eli Risk Appetite, osa I

Strateginen riskienhallinta perustuu parhaimmillaan selkeästi määriteltyyn ja strategiaan sidottuuun riskinottohalukkuuteen, sekä ymmärrykseen yrityksen kyvystä kantaa riskiä. Riskinottamisen rajat luovat puitteet, joissa riskinhallintapäätöksiä voidaan tehdä oikeilla tasoilla ja joissa riskinottohalukkuutta voidaan tarkastella myös riittävän riskinoton näkökulmasta. Lähdetään kuitenkin liikkeelle perusteista, eli termistöstä, sillä se pohjustaa aihetta mielestämme mainiosti. Osaa termeistä avasimmekin jo aikaisemmassa postuksessamme. Riskinottohalukkuus on kuitenkin aiheena paljon enemmän kuin sanasto, joten jatkamme aiheen käsittelyä hieman syvemmin vielä toisessa, tulevassa postauksessa.

Riskinottohalukkuuden aihepiiristä puhuttaessa käytetään ainakin termejä ”risk appetite”, ”risk tolerance”, ”risk target ” ja ”risk capacity”. Kaikki termit kuvaavat organisaation asennetta riskiin tietystä näkökulmasta ja niiden ymmärtäminen on tarpeen ennen kuin lähtee liikkeelle oman organisaationsa konkreettisten määritelmien kanssa. Käytämme tässä postauksessa lähinnä termien englanninkielisiä versioita – ne tuntuvat jotenkin kuvaavammilta kuin suomalaiset. Silloin, kun tiedossamme on mielestämme selkeä suomenkielinen termi, on sekin toki mainittu. (Jos muuten jollain on takataskussa aiheen englanti-suomi -sanasto, laittakaa ihmeessä taas kommentteihin!)

Miten paljon uskallan ottaa riskiä?

Risk appetite (Riskinottohalukkuus): se riskin määrä, jonka organisaatio on valmis sietämään pyrkiessään tavoitteisiinsa, eli matkallaan kohti odotettuja ”palkkioitaan”. Määritelmä voi olla euromääräinen tai sanallinen kuvaus. Käytännössä kuvaus on havaintojemme mukaan usein implisiittinen, haarukoitavissa erilaisista politiikoista, arvoihin liittyvistä julkilausumista ja muista hallintomateriaaleista. Lähestymistapana tämä ei kuitenkaan ole optimaalinen, koska lopputuloksena on helposti jokaisen yksilöllinen tulkinta riskinottohalukkuudesta. Kuten alussa mainittu, strategisen riskienhallinnan on suositeltavaa perustua selvästi määriteltyyn ja ymmärrettävään riskinottohalukkuuteen. Esim. euromääräiset raja-arvot täydennettynä sanallisilla kuvauksilla, (mm. nollatoleranssi tiettyihin riskilajeihin) toiminevat hyvin.

Risk tolerance: se riskin määrä, jonka organisaatio sietää tavoitteisiin päästäkseen, per tavoite. Tolerancekin voidaan määritellä esim. euromääräisesti, suhteessa tunnuslukuihin. Määrittelyssä voidaan (ja ehkä kannattaa) ottaa huomioon myös ”pehmeämpiä” mittareita, kuten henkilökunnan osaaminen, pysyvyys jne.

Risk appetiten ja Risk tolerancen ero on, että appetite on yleinen määritelmä organisaation kokonaistasolla, eli kuinka paljon riskiä ollaan halukkaita sietämään mission toteuttamiseksi. Tolerance taas määrittää riskinottohalukkuuden per tietty, yksittäinen tavoite ja antaa sille raamit, joiden sisällä pysyessään riskitaso on hyväksyttävissä. Esim., jos tavoitteena on markkinaosuuden säilyttäminen 85 %:ssa, risk tolerance voi tämän tavoitteen ympärillä olla 82 – 88%. Alarajan rikkoutuessa on syytä ryhtyä toimenpiteisiin, mutta 83 % markkinaosuus on vielä ok, eivätkä hälytyskellot ala soimaan.

(Miksi muuten sitten ylärajaa edes on – mitä suurempi markkinaosuus, sitä parempi, eikö niin? Voi kuitenkin olla että yläraja määritellään vaikka siksi, että sen rikkoutuessa tarkastellaan esim. kustannus-hyöty -suhdetta, eli ollaanko käytetty markkinointiin niin paljon rahaa, että markkinaosuuden kasvaminen käytännössä vähentää tulosta, tms.).

Miten paljon minun täytyy ottaa riskiä ja missä kulkee kestävän riskinoton raja?

Risk appetite ja risk tolerance siis kertovat siitä, kuinka paljon haluamme ottaa riskiä. Liiketoiminnassa ehkä tärkeintä riskienhallintaan liittyen on kuitenkin varmistaa, että riskiä ei oteta liika, eikä myöskään liian vähän. Kunnianhimoiset strategiset tavoitteet eivät voi toteutua, jos vältämme riskiä liikaa. Senkin takia risk appetiten aihepiiristä puhuminen on tärkeää: ei ainoastaan rajoittamaan otettavan riskin määrää, vaan varmistamaan, että otamme sitä riittävästi suhteessa tavoitteisiin. Tähän liittyy käsite Risk Target, joka kuvaa sitä optimaalista riskin määrää, joka mahdollistaa tietyn tavoitteen saavuttamisen ja on tavoitteelle ’sopiva’ riskin määrä.

Risk capacity (Riskinkantokyky) puolestaan on se riskin määrä, jonka organisaatio sietää menettämättä mahdollisuutta jatkaa toimintaansa haluamallaan tavalla. Capacity riippuu monesta eri tekijästä (ja on tietysti aina organisaatiokohtainen), eikä sille siten ole olemassa mitään yleispätevää laskentakaavaa. Se voi olla linkitetty käyttöpääomaan tai lainanottokykyyn, mutta voi sisältää myös kvalitatiivisia elementtejä.

Muutos on hyvästä?

Kaiken termi- ja niihin pohjautuvan rajamäärittelyn keskellä kannattaa kuitenkin muistaa, että kerran asetettu risk appetite ja todettu tolerance eivät ole pysyviä käsitteitä – itse asiassa, jos risk appetite pysyy aina samana, kannattaa olla huolissaan. Risk appetite muuttuu organisaation tilanteen mukaan, sillä strategian muutokset heijastuvat (tai niiden ainakin pitäisi heijastua) yrityksen riskinottohalukkuuteen. Muutosta voi tapahtua myös niin, että havaitaan etteivät valittu strategia ja siihen liitetty risk appetite olekaan linjassa organisaatiolle määritetyn taloudellisen risk capacityn kanssa. Tällöin kannattaa tarkistaa molemmat ulottuvuudet – sekä strategia ja sen risk appetite, että varmistaa risk capacityn tilanne.

Tämä muuten tuo uuden ulottuvuuden strategiatyöhön, perinteisen eri strategiavaihtoehtojen riskien tunnistamisen ja hallintaskenaarioiden vertailun lisäksi. Johdon tulisi arvioida eri skenaarioiden vaikutusta risk capacityyn – ylittääkö houkuttelevan kuuloisen strategiavaihtoehdon riski yrityksen kantokyvyn ja voidaanko riskin ottaminen yhdellä markkina-alueella mahdollistaa ottamalla vähemmän riskiä muilla, eli asettamalla risk tolerance eri tasoille toiminnan eri alueilla.

Mitä tekemistä on kulttuurilla ja riskin ottamisella?

Riskirajoista puhuttaessa täytyy mainita myös Risk culture, joka kuvaa organisaation yleistä suhtautumista riskeihin ja ohjaa riskinottoa, jopa yksilöiden sitä tiedostamatta. Esim. start up-maailmassa riskin ottamisen kulttuuri on tyypillisesti hyvin rohkea (ne tavallaan ”elävät” riskistä), kun taas korkean turvallisuuden teollisuusaloilla varovaisuus saattaa dominoida kaikkea riskinottamista.

Riskinottohaluukkuutta kuvaavat julkilausumat tuovat näkyväksi yrityksen johdon odotukset riskin ottamiseen liittyvälle kulttuurille. Jos nämä julkilausumat ovat vahvasti ristiriidassa organisaation aidon kulttuurin kanssa, ei niiden voi odottaa toteutuvan kovin tehokkaasti käytännössä. Niiden avulla voidaan kuitenkin pyrkiä vaikuttamaan organisaation kulttuuriin ja muokkaamaan sitä haluttuun suuntaan.

Mitä lisäarvoa saan määrittelytyöstä?

Yksi keskeinen kysymys, johon riskienhallinnan tulisi tarjota vastaus on:

Pitääkö olla huolissaan?

Kysymystä analysoidaan miettimällä riskin merkittävyyttä, joka hyvin usein kulminoituu riskimatriisin tuijotteluun. Todellisen vaikutuksen ja strategiakytköksen ymmärtämisen sijaan puhutaan punaisista, keltaisista ja vihreistä riskeistä. Tässä keskustelussa lähtökohtana on, että punaiset riskit ovat liian suuria ja niihin tulee kohdistaa merkittävimmät hallintatoimenpiteet ja vihreät riskit taas voidaan hyväksyä. Mutta entä jos lähestyisimme asiaa strategian ja sen toteuttamiseen liittyvän riskinoton näkökulmasta? Mitä jos ”punainen riski” onkin täysin linjassa päätetyn, rohkean strategian kanssa? Ja vihreä riski taas liittyy tavoitteeseen, jonka kohdalla yrityksen kyky kantaa riskiä on alentunut? Tai sijoittuminen vihreälle alueelle tarkoittaa, että riskiin liityvää tavoitetta ei ole niin matalalla riskitasolla todennäköistä saavuttaa?

Näin ajatellessa riskimatriisi ei yksin vastaa johdon tiedontarpeeseen ja todennäköisesti johtaa vääränlaiseen tulkintaan yhtiön riskiprofiilista ja -tilanteesta. Tämä taas luo riskienhallintapäällikölle herkullisen tilanteen yhdistää riskit ja strategia arvoa tuottavalla tavalla, vai mitä mieltä olette?

Lisää aiheesta löydät ainakin näistä käyttämistämme lähteistä:

Risk Appetite, EY, http://www.ey.com/gl/en/services/advisory/risk-appetite–the-strategic-balancing-act

Risk Appetite, IRM, https://www.theirm.org/media/3296897/0926-IRM-Risk-Appetite-12-10-17-v2.pdf ja https://www.theirm.org/knowledge-and-resources/thought-leadership/risk-appetite-and-tolerance.aspx

COSO Enterprise Risk Management – Integrating with Strategy and Performance, COSO, 2017, AICPA, e-book

Ilmonen, Kallio, Koskinen, Rajamäki: Johda riskejä – käytännön opas yrityksen riskienhallintaan (FINVA 2016)

19 joulukuun, 2017Outi Nieminen Ei kommentteja

Riskienhallinta ja kolme puolustuslinjaa

Sisäisen valvonnan, sisäisen tarkastuksen, compliancen ja riskienhallinnan parissa työskentelevät ovat todennäköisesti tuttuja termin ”kolme puolustuslinjaa – three lines of defence” kanssa. Kokemus on osoittanut, että tähän(kin) malliin liittyy kaikenlaista mielenkiintoista riskienhallinnan kannalta. Se ansaitsee siis oman postauksensa joulua odotellessa.

Kolmen puolustuslinjan ajattelu, eli liiketoiminnan, liiketoiminnan tuen ja valvonnan eriyttäminen eri tahoille, voi hyvin ja paksusti erityisesti finanssisektorilla. Mallia promoavat myös erilaiset sisäisen valvonnan ja riskienhallinnan kansainväliset järjestöt, jotka määrittelevät kolme puolustuslinjaa tehokkaan sisäisen valvonnan toteutumisen perusedellytykseksi. Myös konsultit puhuvat power point -kalvoissaan usein ja mielellään puolustuslinjoista, eivätkä ihan syyttä, sillä mallin tehokkuus eri toimintojen roolituksessa tuntuu kiistämättömältä.

Toisaalta, jotkut alan ihmiset ovat myös esittäneet ajatuksia siitä, että kolmen puolustuslinjan malli pitäisi heittää roskakoriin ja korvata esim. RACI-ajattelulla, sillä linjamalli voi luoda mielikuvan riskienhallinnasta pelkkänä hallinnollisena, sääntelyviranomaisen vaatimana ”rasti ruutuun” -harjoituksena (ks. tästä).

Kokemuksemme riskienhallinnan saralta on, että suurin osa vähänkään suuremmista organisaatioista noudattaa kuitenkin pääosin kolmen puolustuslinjan jaottelua. Toimialasta kyllä riippuu, miten mallista puhutaan: finanssialalla mainitaan linjat jatkuvasti, toisaalta esim. valmistavassa teollisuudessa sitä toteutetaan mutta toiminnan yhteydessä ei erityisesti korosteta kolmen linjan ajattelua.

Mitä ne linjat tekevät?

Kolmen puolustuslinjan mallin mukaan ylimmän johdon valvonnan alla toimivat kolme linjaa ovat tarpeen takaamaan tehokkaan riskienhallinnan ja sisäisen valvonnan. Ylintä johtoa ei sisällytetä mihinkään puolustuslinjaan, mutta sillä on äärimmäisen tärkeä rooli mallin toiminnan kannalta. Se on kaikkien linjojen merkittävä, jollei merkittävin, stakeholder ja sen vastuulla on valvoa, että malli toteutuu kaikissa riski- ja kontrolliprosesseissa.

Ensimmäinen puolustuslinja pyörittää liiketoimintaa, ”omistaa” liiketoiminnan riskit ja on vastuussa siitä, että riskienhallintaprosessia toteutetaan niin kuin on tarkoitettu.

Toinen puolustuslinja on tukitoiminto. Tyypillisesti toisessa linjassa suuntaviitoitetaan koko organisaation riskienhallinnan periaatteet ja toimintaohjeet, määritetään käytännön tasolla riskienhallinnan tavoite, noudatettava viitekehys ja prosessi, sekä tuetaan liiketoimintaa riskienhallinnan implementoinnissa ja pyörittämisessä mm. fasilitoimalla workshoppeja, koordinoimalla itsearviointeja ja ohjaamalla riskien dokumentointia. Toisen puolustuslinjan osaaminen, kiinnostus ja palveluasenne liiketoimintaa kohtaan on avainasemassa, kun riskienhallinta sidotaan strategiaan ja normaaliin liiketoiminnan pyörittämiseen.

Monesti toisesta linjasta puhuttaessa mainitaan ainoastaan, että se tukee liiketoimintaa. Mutta entä ylin johto – toimitusjohtaja ja hallitus? Mielestämme tätä kannattaisi tuoda hieman enemmän esiin, sillä riskienhallinnasta on vaikea tehdä organisaatiossaan aidosti strategista, jos työ suuntautuu ainoastaan ns. divisioonatasolle.

Kolmas puolustuslinja on kaikista muista linjoista ja organisaation toiminnoista erillään ja sen tehtävänä on tuottaa riippumatonta tietoa ja varmennusta ylimmälle johdolle. Se raportoi riskienhallinnan järjestämisen ja toteuttamisen tilasta ja riittävyydestä, sekä siitä että ensimmäisen ja toisen puolustuslinjan tekemiset ovat tehokkaita ja linjassa ylimmän johdon odotusten ja tavoitteiden kanssa. Käytännössä tämä taho on organisaation sisäinen tarkastaja / tarkastus. Kolmannen linjan tulisi puhtaimmillaan raportoida suoraan ylimmälle operatiiviselle johdolle ja hallitukselle (yleensä tarkastusvaliokunnalle, jos sellainen erikseen on). Oikeassa elämässä organisatorisesta sijoittumisesta on erilaisia käytännön toteutuksia – esim. sisäinen tarkastus on sijoitettu talousjohtajan tai lakiasiainjohtajan alaisuuteen. Lähtökohtaisesti täydellisen riippumattomuuden takaa kuitenkin vain suora suhde ylimpään johtoon.

Joissain organisaatioissa yllä esitettyä työnjakoa on muokattu niin, että toinen puolustuslinja vastaa sekä liiketoiminnan tuesta, että tarkastus- ja valvontaroolista. Riskienhallinnan osalta tällaisen vastuunjaon ongelmaksi muodostuu mielestämme se, että toinen puolustuslinja joutuu liiaksi taiteilemaan neuvonta- ja valvontarooliensa välillä, kykenemättä tarjoamaan liiketoiminnalle riittävää tukea ja konsultointia. Vaarana on, että liiketoiminta näkee tällöin toisen linjan lähinnä hallinnollisena rasitteena, jonka jälkeen päästään taas keskittymään itse bisneksen tekemiseen. Toisaalta kolmas puolustuslinja jää yksin ”norsunluutorniinsa” lähinnä valvomaan toista puolustuslinjaa, jolloin sen oikeutusta ja järkevyyttä tullaan organisaatiossa todennäköisesti ajan myötä kyseenalaistamaan.

Mitä ne voisivat tehdä paremmin?

Kuten sanottu, mallin tehokkuus eri toimintojen roolituksessa tuntuu kiistämättömältä. Mutta olemme havainneet, että parennettavaa ja haasteitakin löytyy, erityisesti yhteistyöhön liittyen ja riskienhallinnan roolin integroituneisuuden / irralllisuuden suhteen.

Kaikkien kolmen linjan tulisi pelata hyvin yhteen, jotta saavutetaan optimaalinen tuki sille, minkä takia ne ovat olemassa: organisaation tavoitteiden saavuttamiselle. Käytännön kokemus on kuitenkin osoittanut meille, että niiden välillä on kohtuullisen paljonkin siiloutumista, jopa kinastelua ja kyräilyä. Vahvimmillaan siilot näkyvät usein suhteessa kolmanteen puolustuslinjaan. Allekirjoittaneilla on toki myös positiivisia kokemuksia erityisesti ensimmäisen ja toisen linjan yhteistyöstä, mutta tämä edellyttää sitä, että kaikki kokevat työskentelevänsä saman tavoitteen eteen, eivätkä vetäydy liiaksi linjarooliensa taakse. Tavoitteena tulisi olla, että yhteistyö pelaa, on liiketoiminnan näkökulmasta yhtenäistä, eikä mikään “putoa tuolien väliin”.

Kokonaisvaltaisen riskienhallinnan näkökulmasta linja-ajattelun haasteena on, että riskienhallinta eriytyy liiketoiminnasta omaksi irralliseksi harjoituksekseen. Tämä onkin itse asiassa se kaikkein pahin skenaario, sillä riskienhallinnan suurin hyöty organisaatiolle ei synny vuosittaisten pakollisten päivitysharjoitusten toistamisesta vaan kyseenalaistavasta ja oikea-aikaisesta keskustelusta merkittävien suunnittelu ja päätöksentekoprosessien yhteydessä.

Lähteet:

https://na.theiia.org/standards-guidance/Public%20Documents/PP%20The%20Three%20Lines%20of%20Defense%20in%20Effective%20Risk%20Management%20and%20Control.pdf

https://www.isaca.org/Journal/archives/2011/Volume-5/Pages/The-Three-Lines-of-Defence-Related-to-Risk-Governance.aspx

https://www.coso.org/Documents/COSO-2015-3LOD.pdf

https://riskikompassi.fi/johtaminen-riskienhallinta/kolme-puolustuslinjaa

23 marraskuun, 2017Outi Nieminen Ei kommentteja

Projektien riskienhallinta II – Schedule Quantitative Risk Analysis

Edellisessä riskiblogin kirjoituksessa haastattelimme Veli-Veikko Elomaata ja käsittelimme yleisellä tasolla projektin riskien arviointiin liittyviä näkökulmia: aika, raha, laatu sekä turvallisuus. Tässä kirjoituksessa Veli-Veikko ottaa näkökulmaksi ainoastaan aikatauluun vaikuttavien riskien analysointiin käytettävän menettelytavan, Schedule Quantitative Risk Analysis’n. Annamme puheenvuoron Veli-Veikolle:

Projektien luonne

Projekteille on luontaista alku, toteutus ja lopetus. Ne on yleensä jaettu tavoitteiden mukaisesti osatehtäviin, joille on määritelty aikataulu välitavoitteineen. Toteutuksen aikana voi tulla muutoksia, lähtötietojen ja lopputavoitteen määrittelyn kattavuudesta riippuen. Nämä muutokset voivat vaikuttaa tehtävien kestoon tai toteutusjärjestykseen ja johtua esimerkiksi tavoitteiden muutoksesta tai tarkentumisesta, epävarmuuden vaihteluväleistä, riskien (positiivisten/negatiivisten) toteutumisesta tai riskien hallintaan liittyvien toimenpiteiden vaikutuksesta toteutukseen.

Riskeillä on merkittäviä muutosvaikutuksia projektin lopputulokseen riippuen riskin toteutumisajankohdasta. Toteutuksen edetessä on luonteenomaista, että projektin riskien lukumäärä vähenee tehtävien määrän vähentyessä. Kuvassa 1 (PMI 2013, s. 40) on esitetty, miten hankkeen alkuvaiheessa projektin riskit ja epävarmuudet ovat suurimmillaan, sekä miten niiden määrä pienenee projektin edetessä. Kuitenkin projektin edetessä muutosten vaikutukset projektin lopputulokseen kasvavat eksponentiaalisesti, jolloin riskien toteutumisella on hyvin voimakkaat vaikutukset. Tämä havainto korostaakin riskitarkastelun kattavuuden merkittävyyttä sekä riskien hallintatoimenpiteiden oikea-aikaista, tarvittaessa myös etupainotteista, toteuttamista.

Jotta oikea-aikainen riskienhallinta voidaan toteuttaa, on hyödyllistä käyttää aikataulupohjaista riskienhallintaa, jossa tehtäväkohtaiset riskit tunnistetaan sekä niiden vaikutus simuloidaan sopivaa ohjelmistoa hyödyntäen.

Kuva 1: Projektin riskit, epävarmuudet ja aika

Aikataulupohjainen riskienhallinta

Aikataulupohjaisessa riskienhallinnassa lähtökohtana on luonnollisesti projektin aikataulun hallinta. Sen tulee olla suunniteltu sisältämään projektin luonteen mukaisesti oikeanlaiset tehtävät sekä niiden väliset loogiset linkitykset. Tehtävien kestojen tulee olla realistiset, jotta myös riskien toteutuessa voidaan todentaa niiden vaikutus kokonaisaikatauluun tai tietyn tehtävän kestoon, siinäkin tapauksessa että riskiä ei olisi ennen sen toteutumista kyetty tunnistamaan ja hallintatoimenpiteitä määrittämään. Aikataulun tulee olla jaoteltuna siten, että siinä ei ole merkittävästi toisistaan suhteellisesti pituudeltaan poikkeavia tehtäviä, eli karrikoidusti sanottuna vuoden pituisessa hankkeessa ei voi olla muutamaa puolen vuoden mittaista tehtävää loppujen tehtävien ollessa kahden viikon mittaisia. Epäsuhtainen tehtävien pituus aiheuttaa nimittäin sen, että ylipitkät tehtävät saavat simuloinnissa helposti liian merkittävän aseman.

Alla olevassa kuvassa 2 on esitetty ote aikataulusta siirrettynä Acumen Risk – ohjelmaan (vinkki: klikkaa hiirellä kuvaia ja ne avautuvat suurempana ja tarkalla resoluutiolla!). Näkymässä ovat projektin tehtävät, jäljellä olevat kestot ja keston epävarmuuden arviointijana. Aikataulun tulee olla riittävän kattava sekä aikataulutehtävien loogisesti linkitettyinä, ilman pakottavia aloitus-/lopetuspäivämääriä. Aikataulumallinnus toteutetaan jäljellä olevan aikataulun mukaan. Joissain hankkeissa aikataulussa olevien tehtävien määrä voi ylittää mallinnuksen tarvitseman aikataulutehtävien määrän. Tällöin kannattaakin keskittyä projektin kriittisistä tehtävistä muodustuvaan kriittiseen polkuun, joka kertoo projektin vähimmäisekestoajan, sekä kriittistä polkua lähellä olevien tehtävien huomioon ottamiseen.

Kuva 2: Aikataulu Acumen Risk -ohjelmassa

Kun soveltuvat aikataulutehtävät on valittu, toteutetaan ensin aikataulun epävarmuustarkastelu joko jokaiselle tehtävälle erikseen tai määrittelemällä ylätasolta kaikkia tehtäviä koskeva samanlainen prosentuaalinen tehtävien keston epävarmuus. Tämän epävarmuustarkastelun jälkeen toteutetaan tehtäväkohtainen riskien tunnistaminen. Tunnistamisessa on tärkeää keskittyä kyseessä olevaan tehtävään sekä siihen miten kyseisen tehtävän toteutuksen aikana voi tulla tapahtumia, jotka pidentävät tai lyhentävät toteutuksen kestoa. Liian usein tulee tilanteita, jossa tunnistamisessa viitataan edeltävän tehtävän myöhästymiseen tmv. ilman merkittävämpää, edeltävää tehtävää auttavaa riskien tunnistamista. Kuvassa 3 on esitetty näkymä, jossa on käynnissä aikataulutehtäväkohtainen riskien kohdentaminen. Tässä vaiheessa voidaan riski kohdentaa useammalle tehtävälle tai vain yksittäiselle tehtävälle. Usein riskeillä on tapana kohdentua usealle tehtävälle, mutta kuitenkin erilaisella todennäköisyydellä sekä vaikutuksella.

Kuva 3: Aikataulutehtäväkohtainen riskien kohdentaminen

Riskien kohdentamisen jälkeen toteutetaan riskiladatun aikataulun analysointi. Tähän analysointiin käytetään MonteCarlo -menetelmää, joka rakentaa aikataulusta aikatauluepävarmuuden sekä tehtäväkohtaisen riskien kohdentamisen perusteella erilaisia skenaarioita. Kuvassa 4 on esitetty näkymä, jossa on käynnissä tuhannen iteraation laskenta.

Aikataulun analysoinnin visualisointi

Riskiladatun aikataulun analysoinnin tulosten raportointiin voidaan käyttää useita eri graafisia esitystapoja. Itse käytän eniten riskihistogrammia, jonka avulla voidaan tutkia mikä on aikataulun riskitaso. Kuvassa 5 on esitetty riskihistogrammi, joka näyttää mm. aikataulun luotettavuuden sekä mahdollistaa sen tutkimisen, millaisella luotettavuustasolla projektin aikataulu on toteutettavissa. Usein käytettyjä luotettavuuden arvoja ovat P50 ja P80. Esimerkiksi P80 luku kertoo, että 80 persentiiliä mallinnuksen tuloksista jää alle kyseisen päivämäärän. Kuvasta 5 katsottuna 80 persentiiliä toteutuu 4.6.2013 mennessä. Tämän avulla voi haastaa alkuperäisen aikataulun ja arvioida uudelleen mahdollista projektin päättymisajankohtaa.

Hyödyllisiä raportointinäkymiä ovat myös nk. tornadokuvaajat. Tornadokuvaajan avulla voidaan selvittää missä tehtävässä epävarmuudet sekä riskit ovat merkittävimpiä hankkeen kannalta ja panostaa riskienhallintatoimenpiteitä juuri sinne, missä on suurin vaikutus hankkeen aikatauluun. Kuvassa 6 on esitetty tornadokuvaaja, joka esittää projektin kannalta merkittävimmät aikataulutehtävät, joista tehtävään 0560-Foundationiin kohdistuu suurimmat epävarmuudet sekä riskit. Hallintatoimenpiteinä olisivat tietenkin tehtävään kohdistuvien epävarmuuksien ja riskien pienentäminen, mutta myös aikataulutehtävien uudelleenorganisointi, mikäli mahdollista.

On myös mahdollista tehdä vertailua siitä, miten riskienhallintatoimenpiteet vaikuttavat aikataulun luotettavuuteen. Kuvasta 6 näkee myös punaisella käyrällä jakauman aikataulun luotettavuudesta ennen toimenpiteiden tekemistä ja sinisellä käyrällä toimenpiteiden jälkeisen luotettavuuden.

Tässä kirjoituksessa on siis pohdittu aikataulupohjaista riskienhallintaa ja sitä, miten riskit mahdollisesti vaikuttaisivat projektin päättymisajankohtaan. Mallinnuksessa on olennaista tiedostaa, että malli on juuri niin hyvä kuin sen pohja, eli aikataulu. Kokemukseni mukaan liian usein tulee vastaan tilanteita, joissa aikataulun rakenne ei ole soveltuva mallinnukseen. Tämä johtaa siihen, että ns. riskimallia varten joudutaan tekemään erillinen aikataulu. Tällöin menetetään paljon tärkeää informaatiota sekä myös aiheutetaan ylimääräisiä kustannuksia hankkeelle. Olennaista on siis se, että aikataulu on looginen ja hyvin suunniteltu sekä vastaa sitä, miten projekti oikeasti käytännössä toteutetaan. Ilman kunnollista suunnittelua ei ole mahdollista tehdä kunnollista aikataulupohjaista riskitarkastelua.

Kuvien lähteet:

Project Management Institute: PMBOK 5th Edition, 2013