Julkaistu Ei kommentteja artikkeliin Ilmoituskanavat

Ilmoituskanavat

Näin kesän korvalla ajankohtaiseksi riskienhallinnan ja yritystoiminnan eettisyyden saralla ovat nousemassa ns. whistleblowing-kanavat. Riskienhallinnan näkökulmasta aihe liittyy moniin riskeihin kuten maineriskiin epäeettisen toiminnan kautta ja aikaisemmassa postauksessa käsittelemäämme korruptioriskiin.  Huomionarvoista on myös, että sekä yksityisen- että julkisen puolen organisaatiot ovat viime aikoina heränneet eettisten arvojen merkitykseen kannattavassa ja kestävässä liiketoiminnassa. Ajankohtaisen aiheesta tekee mm EU:n Whistleblowing-lainsäädäntö, joka koskee kaikkia yli 50 henkeä työllistäviä organisaatioita. (Lue lisää täältä ja täältä)  

Whistleblowingista monesti käytetty termi ”ilmianto” aiheuttanee useimmissa meissä hieman negatiivisa konnotaatioita, mutta mistään kantelukanavasta ei ole kyse. Oikein toteutettuna ja käytettynä kanava tukee vastuullista liiketoimintaa. Itse tykkäämme neutraalimmasta ilmaisusta ”ilmoituskanava” ja ”ilmoittaja” (näitä termejä käyttää myös EU). Suomessa aihetta on selvitetty jo vuonna 2016 oikeusministeriön toimesta – työryhmän loppuraportin löydät täältä: oikeusministeriön työryhmä, joka selvitti korruptioepäilyistä ilmoittavien henkilöiden suojelua vuonna 2016).

EU:n Whistleblowing-lainsäädäntö koskee kaikkia yli 50 henkeä työllistäviä organisaatioita.

Mutta, mutta – päästäksemme taas hieman syvemmälle aiheen  nykyiseen sielunelämään haastattelimme Vera Nilssonia WhistleB:stä – kovaa vauhtia kasvavasta yrityksestä, joka on erikoistunut nimenomaan ilmoituskanavajärjestelmän kehittämiseen ja käyttöönottoon.  Vera kertoi meille  miten käytännössä toteuttaa hyvä ilmoituskanava.

Vaatimukset ja mietittävät asiat suunnitteluvaiheessa

Veran mukaan ”best practice” -kanavan ehdottomina perusvaatimuksina ovat anonyymius ja luotettavuus, vaikka itse EU-lainsäädäntö ei edellytä anonyymiutta, ainoastaan luottamuksellisuutta. Erilaisia käytännön toteutuksia kanavalle voi olla monenlaisia, mutta luotettavuudelle perustuvasta järjestelmästä ei kannata tinkiä.

Ilmoituskanavan voi toteuttaa organisaation sisäisenä ratkaisuna. Vera kertoi, että organisaation itse toteutetun kanavan haasteena on erityisesti sen tekninen toteutus ja ylläpito sekä ilmoittajan anonyymiyden suojeleminen kahdestakin näkökulmasta:

Haaste on toisaalta tekninen, eli miten aidosti toteutetaan ratkaisu, jossa ei ole mahdollisuutta jäljittää ilmoituksen tekijää organisaation käytössä olevalla tiedolla. Ihan ensimmäisenä ei ehkä tule mieleen, että täysin anonyymi järjestelmä voi edellyttää sitä, ettei ilmoittamiseen käytetä ollenkaan työpaikan omia laitteita (edes esim. gmail-tiliä työkoneella tai -kännykällä) – työnantajalla kun on loppukädessä organisaation sisäisen viestiliikenteen tarkastamisoikeus.

Toinen sisäisen järjestelmän haaste on sen tarjoaman anonyymiyden uskottavuus organisaation sisällä. Miten osoittaa ratkaisun luotettavuus niin, että sitä uskalletaan käyttää arkaluontoisimpienkin asioiden raportointiin?

Yrityksillä on vaihtoehtoina luoda oma sisäinen järjestelmä tai ottaa käyttöön ulkopuolisen palveluntuottajan tarjoama järjestelmä

Yrityksille on vaihtoehtona ottaa käyttöön ulkopuolisen palveluntuottajan kehittämä ja ylläpitämä järjestelmä. Kolmannen osapuolen tuominen mukaan voi mm. parantaa kanavan uskottavuutta ja luotettavuutta sen käyttäjien silmissä. Järjestelmässä ilmoituksia käsittelee vähintään kaksi henkilöä yleensä joko laki-, compliance- tai sisäisen tarkastuksen tiimistä, ja jotkut organisaatiot valitsevat ulkoisen palveluntarjoajan tähän rooliin.

Järjestelmän toteutustavan lisäksi yrityksen tulee ratkaista viestien käsittelyyn liittyvät prosessit. Yksi mahdollisuus on  ulkoistaa myös viestien vastaanottaminen ja niiden käsittely. Toisaalta ulkopuolinen taho ei välttämättä ole samalla tavalla perillä organisaation erityispiirteistä kuin sen sisällä työskentelevät – seikka, jolla voi olla vaikutusta ilmoitusten tutkintaan. Kummassakin ratkaisussa on puolensa ja päätöksenteko riippunee tapauskohtaisesti mm. vaaditusta vs. omasta osaamisesta, työmäärästä ja -tilanteesta sekä vaihtoehtojen välisistä kustannuksista.

Mielenkiintoista on nähdä, miten pk-yritykset tulevat asian järjestämään EU-lainsäädännön myötä, sillä erillisiä, hyvin resursoituja laki-, compliance- tai IA-toimintoja on tyypillisesti vain suuremmilla organisaatioilla.

Yksi pelko, joka ilmoituskanavan käyttöönottoon monesti liittyy, on sen käyttäminen vääriin tarkoituksiin, kuten perättömien ilmoitusten tekoon. Tai se, että järjestelmää kuormitetaan sinne kuulumattomilla valituksilla, esim. valitetaan työpaikkaruokalan huonosta laadusta tai nostetaan esiin tyytymättömyys omaan palkkaan.  Vera kuitenkin kertoi meille, että käytännössä perättömät ilmoitukset ovat harvinaisia eikä kanavaa lähtökohtaisesti käytetä yleensä ”pahantahtoisesti”. Kanavaan kuulumattomat valitukset ja ilmoitukset pystytään melko tehokkaasti välttämään sillä, että käyttöönottovaiheessa panostetaan riittävästi viestintään ja kanavan käyttötarkoituksesta kertomiseen mm. konkreettisin esimerkein.

Kanavan käyttöönotto

Jutustelumme perusteella tiivistäisimme ilmoituskanavan käyttöönottoon johtavat askeleet neljään pääkohtaan:

1. Tavoitteen määrittely: Määrittele huolellisesti miksi organisaatiosi aikoo ottaa kanavan käyttöön; onko tarkoituksena ainoastaan väärinkäytösten paljastaminen, vai tavoitellaanko kokonaisvaltaisesti eettisempää yrityskulttuuria ja esim. työnantajamielikuvan kehittämistä?

2. Valitse järjestelmä perustuen tavoitteisiisi ja tee päätös sisäisen järjestelmän tai ulkoisen palveluntarjoajan välillä

3. Pistä prosessit ja ohjeet kuntoon kanavaa koskevaa raportointia varten, huomioi myös tietosuojavaatimukset laatimalla vaikutustenarviointi whistleblowing järjestelmän käyttöönoton yhteydessä

4. Panosta erityisen paljon sisäiseen tiedottamiseen ja luottamuksen rakentamiseen käyttöönottovaiheessa. Kommunikoi selkeästi, mihin tarkoitukseen ilmoituskanava on tarkoitettu.

WhistleB: https://whistleb.com/fi/

Vaikutusten arvioinnista: https://tietosuoja.fi/luettelo-vaikutustenarviointia-edellyttavista-kasittelytoimista

Julkaistu Ei kommentteja artikkeliin Riskienhallinta ja kolme puolustuslinjaa

Riskienhallinta ja kolme puolustuslinjaa

Sisäisen valvonnan, sisäisen tarkastuksen, compliancen ja riskienhallinnan parissa työskentelevät ovat todennäköisesti tuttuja termin ”kolme puolustuslinjaa – three lines of defence” kanssa. Kokemus on osoittanut, että tähän(kin) malliin liittyy kaikenlaista mielenkiintoista riskienhallinnan kannalta. Se ansaitsee siis oman postauksensa joulua odotellessa.

Kolmen puolustuslinjan ajattelu, eli liiketoiminnan, liiketoiminnan tuen ja valvonnan eriyttäminen eri tahoille, voi hyvin ja paksusti erityisesti finanssisektorilla.  Mallia promoavat myös erilaiset sisäisen valvonnan ja riskienhallinnan kansainväliset järjestöt, jotka määrittelevät kolme puolustuslinjaa tehokkaan sisäisen valvonnan toteutumisen perusedellytykseksi. Myös konsultit puhuvat power point -kalvoissaan usein ja mielellään puolustuslinjoista, eivätkä ihan syyttä, sillä  mallin tehokkuus eri toimintojen roolituksessa tuntuu kiistämättömältä.

Toisaalta, jotkut alan ihmiset ovat myös esittäneet ajatuksia siitä, että kolmen puolustuslinjan malli pitäisi heittää roskakoriin ja korvata esim. RACI-ajattelulla, sillä linjamalli voi luoda mielikuvan riskienhallinnasta pelkkänä hallinnollisena, sääntelyviranomaisen vaatimana ”rasti ruutuun” -harjoituksena (ks. tästä).

Kokemuksemme riskienhallinnan saralta on, että suurin osa vähänkään suuremmista organisaatioista noudattaa kuitenkin pääosin kolmen puolustuslinjan jaottelua. Toimialasta kyllä riippuu, miten mallista puhutaan: finanssialalla mainitaan linjat jatkuvasti, toisaalta esim. valmistavassa teollisuudessa sitä toteutetaan mutta toiminnan yhteydessä ei erityisesti korosteta kolmen linjan ajattelua.

Mitä ne linjat tekevät?

Kolmen puolustuslinjan mallin mukaan ylimmän johdon valvonnan alla toimivat kolme linjaa ovat tarpeen takaamaan tehokkaan riskienhallinnan ja sisäisen valvonnan. Ylintä johtoa ei sisällytetä mihinkään puolustuslinjaan, mutta sillä on äärimmäisen tärkeä rooli mallin toiminnan kannalta.  Se on kaikkien linjojen merkittävä, jollei merkittävin, stakeholder ja sen vastuulla on valvoa, että malli toteutuu kaikissa riski- ja kontrolliprosesseissa.

Ensimmäinen puolustuslinja pyörittää liiketoimintaa, ”omistaa” liiketoiminnan riskit ja on vastuussa siitä, että riskienhallintaprosessia toteutetaan niin kuin on tarkoitettu.

Toinen puolustuslinja on tukitoiminto.  Tyypillisesti toisessa linjassa suuntaviitoitetaan koko organisaation riskienhallinnan periaatteet ja toimintaohjeet, määritetään käytännön tasolla riskienhallinnan tavoite, noudatettava viitekehys ja prosessi, sekä tuetaan liiketoimintaa riskienhallinnan implementoinnissa ja pyörittämisessä mm. fasilitoimalla workshoppeja, koordinoimalla itsearviointeja ja ohjaamalla riskien dokumentointia. Toisen puolustuslinjan osaaminen, kiinnostus ja palveluasenne liiketoimintaa kohtaan on avainasemassa, kun riskienhallinta sidotaan strategiaan ja normaaliin liiketoiminnan pyörittämiseen.

Monesti toisesta linjasta puhuttaessa mainitaan ainoastaan, että se tukee liiketoimintaa.  Mutta entä ylin johto – toimitusjohtaja ja hallitus? Mielestämme tätä kannattaisi tuoda hieman enemmän esiin, sillä riskienhallinnasta on vaikea tehdä organisaatiossaan aidosti strategista, jos työ suuntautuu ainoastaan ns. divisioonatasolle.

Kolmas puolustuslinja on kaikista muista linjoista ja organisaation toiminnoista erillään ja sen tehtävänä on  tuottaa riippumatonta tietoa ja varmennusta ylimmälle johdolle. Se raportoi riskienhallinnan järjestämisen ja toteuttamisen tilasta ja riittävyydestä, sekä siitä että ensimmäisen ja toisen puolustuslinjan tekemiset ovat tehokkaita ja linjassa ylimmän johdon odotusten ja tavoitteiden kanssa. Käytännössä tämä taho on organisaation sisäinen tarkastaja / tarkastus. Kolmannen linjan tulisi puhtaimmillaan raportoida suoraan ylimmälle operatiiviselle johdolle ja hallitukselle (yleensä tarkastusvaliokunnalle, jos sellainen erikseen on). Oikeassa elämässä organisatorisesta sijoittumisesta on erilaisia käytännön toteutuksia – esim. sisäinen tarkastus on sijoitettu talousjohtajan tai lakiasiainjohtajan alaisuuteen. Lähtökohtaisesti täydellisen riippumattomuuden takaa kuitenkin vain suora suhde ylimpään johtoon.

Joissain organisaatioissa yllä esitettyä työnjakoa on muokattu niin, että toinen puolustuslinja vastaa sekä liiketoiminnan tuesta, että tarkastus- ja valvontaroolista. Riskienhallinnan osalta tällaisen vastuunjaon ongelmaksi muodostuu mielestämme se, että toinen puolustuslinja joutuu liiaksi taiteilemaan neuvonta- ja valvontarooliensa välillä, kykenemättä tarjoamaan liiketoiminnalle riittävää tukea ja konsultointia.  Vaarana on, että liiketoiminta näkee tällöin toisen linjan lähinnä hallinnollisena rasitteena, jonka jälkeen päästään taas keskittymään itse bisneksen tekemiseen. Toisaalta kolmas puolustuslinja jää yksin ”norsunluutorniinsa” lähinnä valvomaan toista puolustuslinjaa, jolloin sen oikeutusta ja järkevyyttä tullaan organisaatiossa todennäköisesti ajan myötä kyseenalaistamaan.

Mitä ne voisivat tehdä paremmin?

Kuten sanottu, mallin tehokkuus eri toimintojen roolituksessa tuntuu kiistämättömältä. Mutta olemme havainneet, että parennettavaa ja haasteitakin löytyy, erityisesti yhteistyöhön liittyen ja riskienhallinnan roolin integroituneisuuden / irralllisuuden suhteen.

Kaikkien kolmen linjan tulisi pelata hyvin yhteen, jotta saavutetaan optimaalinen tuki sille, minkä takia ne ovat olemassa: organisaation tavoitteiden saavuttamiselle. Käytännön kokemus on kuitenkin osoittanut meille, että niiden välillä on kohtuullisen paljonkin siiloutumista, jopa kinastelua ja kyräilyä.  Vahvimmillaan siilot näkyvät usein suhteessa kolmanteen puolustuslinjaan. Allekirjoittaneilla on toki myös positiivisia kokemuksia erityisesti ensimmäisen ja toisen linjan yhteistyöstä, mutta tämä edellyttää sitä, että kaikki kokevat työskentelevänsä saman tavoitteen eteen, eivätkä vetäydy liiaksi linjarooliensa taakse.  Tavoitteena tulisi olla, että yhteistyö pelaa, on liiketoiminnan näkökulmasta yhtenäistä, eikä mikään “putoa tuolien väliin”.

Kokonaisvaltaisen riskienhallinnan näkökulmasta linja-ajattelun haasteena on, että riskienhallinta eriytyy liiketoiminnasta omaksi  irralliseksi harjoituksekseen. Tämä onkin itse asiassa se kaikkein pahin skenaario, sillä riskienhallinnan suurin hyöty organisaatiolle ei synny vuosittaisten pakollisten päivitysharjoitusten toistamisesta vaan kyseenalaistavasta ja oikea-aikaisesta keskustelusta merkittävien suunnittelu ja päätöksentekoprosessien yhteydessä.

Lähteet:

https://na.theiia.org/standards-guidance/Public%20Documents/PP%20The%20Three%20Lines%20of%20Defense%20in%20Effective%20Risk%20Management%20and%20Control.pdf

https://www.isaca.org/Journal/archives/2011/Volume-5/Pages/The-Three-Lines-of-Defence-Related-to-Risk-Governance.aspx

https://www.coso.org/Documents/COSO-2015-3LOD.pdf

https://riskikompassi.fi/johtaminen-riskienhallinta/kolme-puolustuslinjaa