Kokonaisvaltainen riskienhallinta

2 maaliskuun, 2021lauranoukka Ei kommentteja

Teesit onnistuneeseen riskienhallintaan

Riskiblogi on viettänyt hiljaiseloa viimeisen vuoden, lopullisesti blogia ei kuitenkaan ole vielä kuopattu! Tosin kirjoittajien kilpailevat kiinnostuksen kohteet tietokoneen ruudun ulkopuolella tulevat jatkossakin sääntelemään julkaisurytmiä. Päivityksiä tulee siis rennon letkeässä tahdissa, kun muut työt ja harrastukset sen sallivat ja saamme julkaisukelpoisia ideoita.

Tähän kirjoitukseen tuli innoitus asiantuntijalausuntopyynnöstä. Saimme pyynnön pohtia, mitkä kolme konkreettista vinkkiä antaisimme organisaatiolle, joka ei ole systemaattisesti tehnyt riskienhallintaa, mutta haluaa lähteä jostain liikkeelle? Haastavan kysymyksestä teki adjektiivi ”konkreettinen”. On todella vaikea antaa yleispäteviä vinkkejä, joihin mikä tahansa organisaatio voi tarttua ja lähteä toteuttamaan. Tällaisissa usein sortuu lopulta ympäripyöreään viisasteluun tai asiat on jo kertaalleen kirjoitettu standardien teksteihin.

Pohdiskelun lopputuloksena syntyi kolme pointtia, joita voisimme vaikka nimittää riskiblogin teeseiksi onnistuneelle riskienhallinnalle.

Rajaus ja tavoite

Ensimmäinen askel riskienhallinnassa on tavoitteen asettaminen ja kohteen rajaaminen. Tai kuten ISO-31000 standardin mukaisessa riskienhallintaprosessissa, ensimmäisenä tulee ”scope, context and criteria”. Riskienhallintaa ei tulisi tehdä, ”koska täytyy”, vaan koska tarvitsee. Jokaisella riskinarvioinnilla tulee olla liiketoiminnallinen tarve. Jos arvioinnin lopputuloksia ei hyödynnetä missään liiketoiminnan prosessissa, ei arviointia myöskään lievästi yksinkertaistaen tarvitse tehdä.

Rajauksen ja tavoitteen voi asettaa esimerkiksi riskiblogin viitekehyksen mukaisesti tietylle tasolle, yksittäisen liiketoimintaprosessin tukemiseen tai riskilajiin, kuten ympäristöturvallisuus, kyberturvallisuus, compliance… Sen lisäksi, että organisaatiolla tulisi olla selkeä tavoite, riskienhallinnalle isossa kuvassa on yhtä tärkeää, että yksittäisen riskinarvioinnin tavoite ja rajaus ovat selkeät työhön osallistuville. Keskustelu työskentelyn tarkoituksesta tulisi käydä jokaisen riskityöpajan alussa.

Laatu, ei määrä

Keskity riskinarvioinnissa laatuun, ei määrään – kattavinkaan lista yritystä koskevista riskeistä ei takaa riskienhallinnan vaikuttavuutta – päinvastoin, pitkä lista itsestäänselvyyksiä johtaa kokemuksemme mukaan paperinmakuiseen byrokratiaan.

Riskienhallinta on epävarmuuden hallintaa ja osa tätä epävarmuutta on sietää käsittelyyn nostettavien riskien priorisointiin liittyvä epävarmuus. Kaikkea ei voi hallita, joten nostetaan käsittelyyn tunnistetuista riskeistä ne, joiden hallinnalla uskotaan olevan suurin vaikutus.

Riskien lisäksi laadun tulisi ulottua hallintatoimenpiteiden suunnitteluun. Tehokkaimmat toimenpiteet kohdistuvat riskin juurisyyhyn. Niiden selvittämiseen kannattaa panostaa vaadittava aika ja vaiva.

Tarpeen mukainen dokumentointi

Dokumentoi huolella (kuitenkin vain ne priorisoidusti valitut riskit). Ota käyttöön järjestelmällinen ja toistettava tapa dokumentoida riskit. Tämä ei aina tarkoita riskitaulukkoa Excelissä tai tietojärjestelmän käyttöä – dokumentaation sisältö ja muoto tulee valita arvioinnin tavoitetta tukevaksi. Jos kyseessä on säännöllisesti seurattava ja päivitettävä riskilista, varmista että riskit on dokumentoitu kattavasti. Hyvä kirjaus tuo selkeästi esiin itse riskin, sen aiheuttajat ja seuraukset perustellen riskille tehdyn merkittävyyden arvioinnin.

Dokumentoinnin yhteydessä kannattaa tarkistaa, että tehtyjä kirjauksia on helppo päivittää myös jatkossa. Näin vältetään tilanne, jossa jokainen riskikeskustelu alkaa lauseella ”Mitä tässä riskissä numero X tarkoitettiin, kun…” (been there, on muuten melkoisen hankalaa perustella johdon ajankäyttö riskienhallintaan, jos jokainen keskustelu alkaa tällaisella pohdinnalla).

Jossain yhteydessä voi olla tarpeen dokumentoida kaikki vaaratekijät, jotka arvioinnin yhteydessä on käsitelty. Esimerkiksi kun tavoitteena on täyttää jonkin asetuksen vaatimukset, tällöin dokumentointi kannattaa tehdä kevyesti ison massan osalta ja nostaa erilliseen käsittelyyn merkittävimmät riskit.

21 lokakuun, 2019lauranoukka Ei kommentteja

Mikä riskilähtöisyys?

”Tietoturvan johtamisen tulee olla riskilähtöistä.” ”Tietosuojaa tulee tarkastella riskilähtöisesti.” ”Sisäisen tarkastuksen tulisi kohdistaa resurssejaan riskilähtöisesti.” Tässä muutama omalle kohdallemme osunut konkreettinen esimerkki siitä, miten riskilähtöisyys tuntuu hiipineen osaksi kaikkea tekemistä. Teema toistuu niin standardeissa, hyvissä käytännöissä kuin lainsäädännössäkin.

Se, mitä kukaan ei tunnu kertovan, on mitä riskilähtöisyys oikeastaan tarkoittaa ja edellyttää? Millaista toiminnan tulisi olla, jotta pystyttäisiin osoittamaan riskilähtöinen toimintatapa? Riittääkö, että riskit on tunnistettu ja dokumentoitu? Että ne voidaan tarvittaessa näyttää auditoijalle? Tai että joku tunnistetuista riskeistä on aidosti johtanut johonkin päätökseen toiminnan suhteen?

Meillähän mielipiteitä riittää ja siksi esitämmekin tässä aatoksiamme siitä, miten riskilöhtöisyys tiivistyy mielestämme kolmeen teemaan, joiden tulisi näkyä organisaation tavassa toimia. Tämä jäsentämisen malli on syntynyt tietoturvan johtamiseen liittyvien pohdiskeluiden kautta mutta soveltunee muihinkin yhteyksiin – tai jos olette eri mieltä, laittakaa se näkyviin tekstin kommentteihin!

1 Tunne riskit

Itsestäänselvyys – vai onko? Käytännössä pelkkä riskilista ei nimittäin riitä, vaan kaiken perusta on ymmärtää, mikä on liiketoiminnalle tai turvallisuustavoitteelle kriittisintä. Tämä vaatii eri tahojen yhteistyötä ja vuoropuhelua.

Riskien johdonmukainen dokumentointi on tärkeää viestinnän ja riskienhallinnan tason arvioinnin toistettavuuden kannalta. Dokumentaatio ei kuitenkaan ole itseisarvo. Riskien käsittelyssä merkittävä osa työn hyödyistä muodostuu sen yhteydessä käydyistä keskusteluista, etenkin, kun niitä käydään organisaatiorajat ylittävällä tiimillä. Tekniikan, liiketoiminnan ja compliancen näkemysten yhdistäminen auttaa ymmärtämään riskejä suhteessa yrityksen liiketoimintaan.

2 Ymmärrä tehdyt (ja tekemättömät) päätökset

Etenkin tietoturvan kehittäminen riskilähtöisesti on jatkuvaa investoinneilla tasapainoilua. Ymmärrys siitä, mitä kontrolleja ja prosesseja on käytössä ja mihin riskeihin ne vaikuttavat, luo pohjan uusien ratkaisuiden priorisoinnille ja vaikuttavuuden arvioinnille. Ilman tätä tietoa ei voida myöskään arvioida riskin todellista merkittävyyttä.

Tekemättömillä päätöksillä on usein turvallisuutta heikentävä vaikutus. Ne voivat kohdistua jo olemassa oleviin turvallisuuskontrolleihin, kuten ohjelmistojen päivittämiseen tai riskinkantokyvyn näkökulmasta tarpeellisten, uusien investointien lykkäämiseen. Näiden ymmärtäminen täydentää realistista kuvaa omasta riskitasosta.

3 Haasta käsityksesi nykytilasta

Riskienhallinta työssä, kuten kaikessa mitä ihmiset tekevät yhdessä, muodostuu vakiintuneita käsityksiä, omia totuuksia. Vuodesta toiseen tiettyjen riskien katselmointi on saman tiimin vastuulla. Vaikka alan kehitystä seurattaisiin aktiivisesti, jää olemassa olevien totuuksien kyseenalaistaminen usein vähiin.

Tunnistetun riskin hallitsemiseksi on kehitetty prosessi, ja ongelmia ei ole ilmennyt. Tarkoittaako tämä sitä, että toimenpide on riittävä, vai onko tiimillä ollut vain hyvä tuuri? Usein näissä kallistutaan ajattelemaan ensin mainittua, mikä etenkin tietoturvan maailmassa on hyvin vaarallinen oletus. Tästä johtuen oman käsityksen haastaminen on keskeinen osa riskilähtöistä toimintatapaa.

Oman käsityksen haastaminen on keskeinen osa riskilähtöistä toimintatapaa

Haastamisen voi tehdä monella tapaa. Eniten julkisuutta saavat metodit lienevät tällä hetkellä ’red teaming’-harjoitukset kyberturvallisuuden puolella. Toisaalta oman tiimin riskikäsitystä voi haastaa niinkin yksikertaisesti, kuin kutsumalla naapuritiimistä ulkopuolinen asiantuntija mukaan. Hänen ei tarvitse olla edes juuri arvioitavan aiheen asiantuntija, sillä monesti tietämättömyydestä kumpuavat selventävät kysymykset haastavat meitä ”asiantuntijoita” eniten.

Laajemmassa mittakaavassa perinteiset kypsyystason mittaamiseen tarkoitetut työkalut voivat myös antaa kuvaa omien prosessien riittävyydestä. Eri näkökulmia on lukemattomia, eikä arviointi todennäköisesti kaadu ainakaan viitekehysten puutteeseen.

3 toukokuun, 2019Outi Nieminen Ei kommentteja

Riskienhallinta valtionhallinnossa – erilaista mutta samanlaista

Matkalla tuntemattomaan

Emme olekaan Riskiblogissa aiemmin käsitelleet riskienhallintaa julkishallinnon näkökulmasta, puhtaasti siitä syystä, että se ei meille kummallekaan ole ollut tuttua ennestään. Nyt päätimme laajentaa näkökulmaamme ja selvittää miten riskienhallinta näkyy valtionhallinnosta. Tätä varten lähdimme tapaamaan Valtioneuvoston apulaiscontroller Esko Mustosta ja neuvottelevaa virkamiestä Mikko Saarista, jotka pyörittävät sisäisen valvonnan ja riskienhallinnan neuvottelukuntaa valtiovarainministeriössä ja ystävällisesti lupautuivat avaamaan aihetta meille ja blogin lukijoille. Valtioneuvoston asettaman neuvottelukunnan vastuualueena on valtionhallinnon sisäinen valvonta ja riskienhallinta. Sen fokus on ministeriöissä ja niiden suorassa ohjauksessa olevissa virastoissa, mutta esim. liikelaitoksiakin vastuualueelle kuuluu. Näitä itsenäisesti riskienhallintansa organisoinnista vastuullisia virastoja (yksikköjä) on yhteensä noin 70.

Laki ja asetus, luonnollisesti

Koska puhutaan julkisesta sektorista, taustalla on tietenkin laki – tässä tapauksessa talousarviolaki. Lainsäädäntö velvoittaa sisäisen valvonnan järjestämiseen. Suoranaisesti yksikköjen riskienhallintaa ei mainita, mutta halu noudattaa hyvää hallintotapaa käytännössä vaatii riskienhallinnan järjestämistä. Sisäisen valvonnan ja riskienhallinnan neuvottelukunta on perustettu toimimaan informaatiokanavana ja keskustelufoorumina eri ministeriöiden ja muiden yksikköjen välillä – toiminnan koordinoinnin ja parhaiden käytäntöjen välineenä siis. Tarkoitus on myös antaa suosituksia riskienhallinnan järjestämiseen eri yksiköissä. Varsinaisen riskienhallintaprosessin tuottaman riskitiedon käsittely tapahtuu itse yksiköissä.

Neuvottelukunta on perustettu vuonna 2002 ja se on aloittanut tänä vuonna neljännen toimikautensa, joista jokainen kestää kolme vuotta. Se on jakautunut kahteen ”osastoon”: riskienhallintaan ja sisäiseen tarkastukseen. Jäseninä neuvottelukunnassa on edustajia yksiköistä, jotka kaikki toimivat riskienhallinnan tehtävissä oman toimintansa ohessa. Sillä on valtion talousarviosta annetun asetuksen mukaisesti seuraavat tehtävät tiivistettynä:

1) seurata ja arvioida sisäisen valvonnan ja riskienhallinnan järjestämisen tilaa ja menettelyitä valtionhallinnossa

2) tehdä aloitteita sisäisen valvonnan ja sen osana olevan riskienhallinnan kehittämiseksi;

3) sovittaa yhteen eri viranomaisten, virastojen ja laitosten menettelyitä sisäisessä valvonnassa ja sekä valmistella tässä tarvittavia toimenpiteitä;

4) seurata ja arvioida sisäisen tarkastuksen järjestämisen tilaa, toiminnan laatua ja tuloksellisuutta ja kehittämistä

5) järjestää eri virastojen ja laitosten sisäisen tarkastuksen yhteistyötä

6) seurata ja arvioida valtion virastojen ja laitosten toiminnassa tehtyjen tai valtion tai sen vastuulla oleviin varoihin tai omaisuuteen kohdistuneiden väärinkäytösten ja rikosten tilannetta

7) koota yhteen ja levittää hyviä käytäntöjä samoin kuin valmistella ehdotuksia suosituksiksi ja antaa lausuntoja toimialansa asioissa

Raamit tekemiselle

Neuvottelukunnan toimintaa ohjaa toimintasuunnitelma, jossa uusimmalle toimikaudelle on pääteemoiksi nostettu esiin mm.:

Selvitys tarpeesta laajentaa riskien- ja jatkuvuudenhallinta valtioneuvostotasoiseksi
Hallinnonalojen ja virastojen sisäisen riskienhallinnan tilannekuvan tuottaminen
Riskienhallinnan hyvien käytäntöjen yhteen kokoaminen ja levittäminen mm. ajankohtaisilla teemaesityksillä

Neuvottelukunta on valinnut riskienhallinnan viitekehykseksi ISO31000 standardin, jonka perittaatteita noudatetaan soveltuvin osin. Valitsemalla yleisesti tunnustetun viitekehyksen toiminnan pohjaksi, on tavoiteltu yhtenäisyyttä ja tehokkuutta eri yksiköiden toimintaan, vaikkakin viitekehystä on muokattu valtionhallintoon hieman paremmin istuvaksi.

Ja mitä havaitsimmekaan

Odotuksemme oli, että valtionhallinnossa riskienhallintaan olisi kehitetty täysin oma toimintamalli ja haasteet eroaisivat merkittävästi kaupallisten toimijoiden riskienhallinnan kompastuskivistä. Näin ei kuitenkaan (yllätykseksemme) ole, vaan riskienhallinnan järjestämisen ja toteuttamisen haasteet kuulostivat hyvin samanlaisilta kuin esim. ne, joihin olemme itse törmänneet. Suurin haaste liittyi – yllätys, yllätys – yhdenmukaisen käsitteistön ja käsityksen koostaminen siitä mistä puhutaan silloin,kun puhutaan riskienhallinnasta. Myös vaikutussuhteet Esko ja Mikko näkivät hyvin monimutkaisina, samoin sen, miten kukin ministeriö pystyy käsiteltäviin asioihin vaikuttamaan.

Tuttuja aiheita, joita on käsitelty tässäkin blogissa monesti ja monesta näkökulmasta. Valtionhallinnossa muuten tämä riskienhallinnan sisällön määrittäminen on erityisen mielenkiintoista, kun miettii, millaisia asioita virastoissa ja ministeriöissä käsitellään: esim. kansakunnan turvallisuus tai veronmaksajiin kohdistuvat taloudelliset riskit – hui! Tai vaikka hyvin yleinen esimerkki työturvallisuus – valtionhallinnossa tätä mietitään monesta eri näkökulmasta: onko kyseessä yksiköiden työntekijöiden turvallisuus jokapäiväisessä työnteossa, vai puhutaanko työturvallisuudesta työturvallisuuslainsäädännön säätämisen kannalta?

Toki valtionhallinnolla on omat erityispiirteensäkin, kuten hyvin hajautunut rakenne, joka heijastuu väistämättä riskienhallinnan koordinointityöhön. Mikko ja Esko käyttivät havainnollistavana esimerkkinä mm. toimitusjohtajan vs. pääministerin aseman vertailua: konsernin ylin johto vastaa aina viime kädessä riskeistä, mutta pääministerillä ei ole tässä suhteessa samanlaista asemaa. Hajautunut rakenne myös hankaloittaa jonkin verran tähtäimessä olevaa riskien peilausta tavoitteita vastaan, nimittäin ylätason kokoaminen riskeistä – se strategisten riskien taso – on haastavaa, sillä yksiköt fokusoituvat vahvasti pienempiin asiakokonaisuuksiin ja strategisen riskienhallinnan kokoava taso tavallaan puuttuu. Tämä näkyy myös juuri hyväksytyssä toimintasuunnitelmassa: tavoiteet ovat melko ylätasoisia ja yksi keskeinen tavoite on ensimmäisen tilannekuvan tuottaminen riskienhallinnan ja sisäisen valvonnan järjestämisestä.

Vaikka haasteita on ja lähtökohtana on kohtalaisen hajautunut tilanne, Esko ja Mikko olivat tosi innostuneita riskienhallinnan kehittämisestä, sillä neuvottelukunnan kautta he pääsevät käytännössä luomaan yksiköille yhteinäiset riskienhallinnan raamit ja jättämään kädenjälkensä historiaan – sitähän me kaikki alalla taidamme tavoitella 🙂 Lähdimme valtiovarainministeriöstä tyytyväisinä: yleisesti tietävämpinä ja iloisina siitä, että siellä on asialle omistautuneita ja innostuneita riskienhallinnan kehittäjiä. Ja tietenkin ilahtuneina siitä, että erilaisuudesta huolimatta taidamme suurimmaksi osaksi kaikki painia samantyyppisten haasteiden kanssa.

Sisäisen valvonna ja riskienhallinnan neuvottelukunnan nettisivut

11 joulukuun, 2018lauranoukka Ei kommentteja

Tasapainoilua harmaalla alueella – korruptioriskin hallinta

Riskiblogissa käsittelemme riskienhallinnan kenttää laidasta laitaan ja tällä kertaa halusimme kirjoittaa erittäin mielenkiintoisesta, mutta hieman vaikeasti lähestyttävästä aiheesta, korruptioriskin hallinnasta. Tapasimme marraskuisena maanantaiaamuna hyvän kahvin ja runsaan aamupalalautasen äärellä korruptioriskin ehkäisemisen ja hallitsemisen asiantuntijan Anna Rombergin ja juttelimme hyvän tovin aiheesta, erityisesti kotimaisen, kansainvälisesti toimivan konsernin näkökulmasta.

Suomi sijoittuu kansainvälisissä tutkimuksissa, kuten Transparency Internationalin CorruptionPerception Index, vuodesta toiseen listan kärkeen vakaana toimintaympäristönä, jossa korruptio on hyvin vähäistä. Luottamus omaan toimintaympäristöön vaikuttaa siihen, että suomalaisyrityksissä korruptioriskin mahdollisuus jätetään usein pienelle huomiolle. Sen hallitsemiseen liittyvät prosessit ovat haastateltavamme mukaan jopa vanhanaikaisia ja usein puutteellisia.

Korruptioriski kansainvälisessä toiminnassa

Kansainvälisesti toimivien yritysten liiketoiminnassa aihe kuitenkin korostuu, kun lähdetään maihin, joiden kulttuuri eroaa voimakkaasti omastamme. Korruptioriskin mahdollisuuden kieltämistä kansainvälisessä liiketoiminnassa voisi verrata pään pistämistä pensaaseen. Halusimme tai emme, korruptiota esiintyy siellä missä tehdään kauppaa ja sen kieltäminen altistaa yrityksen tiedostamattomalle riskinotolle.

No, kansainvälisesti toimivan yrityksen siis kannattaa olla asiasta tietoinen (Suomen toimintoihin keskittyvien organisaatioiden korruptioriskistä ehkä lisää myöhemmässä postauksessa). Entä sitten? Haastateltavamme painottaa yhteiskuntarakenteiden erojen ymmärtämisen tärkeyttä. Suomen erityispiirre on korkea luottamus yhteiskunnan instituutioihin, sekä luottamus yksilöiden välillä; liiketoiminnassa luotetaan monesti toisen sanaan jopa ilman muodollisia sopimuksia. Kauempana suomesta yhteiskunnallinen konteksti ja kulttuuri, johon ihmiset ovat kasvaneet, on aivan erilainen. Anna korostaa, ettei erilainen tarkoita huonompaa tai sitä, että ihmiset olisivat näissä kulttuureissa jotenkin ”pahoja”. Pointti on siinä, että esimerkiksi entisen Neuvostoliiton maissa ihmiset ovat kasvaneet yhteiskunnassa, jossa selviämisen ja menestymisen edellytykset olivat aivan toiset kuin Suomessa tai Länsi-Eurooppalaisessa yhteiskunnassa. Tällaisten kulttuuristen tekijöiden ymmärtäminen ja huomioiminen on korruptioriskin hallinnan ytimessä.

Juttelimme myös paljon erityisesti myyntiin liittyvistä kannustimista ja niiden ohjausvaikutuksesta. Anna toi esiin, että Suomessa asuessa voi olla vaikea hahmottaa sitä, että joissain maissa koko perheen – ehkä jopa suvun – elanto voi riippua yhdestä ansaitsijasta. Tällöin eettisyys ja yrityksen arvot voivat jäädä paitsioon kauppoja tavoiteltaessa. Tällaisessa ympäristössä korostuvat myös konsernitason ohjauksen vaikutusten ymmärtämisen riskit, esim. tilanne, jossa konsernitasolta kielletään jonkun transaktion läpivienti tai käsky pidättäytyä tietystä asiakkuudesta. Tällöin on huolehdittava siitä, että tilanne on oikeudenmukainen myös maassa toimivalle organisaatiolle ja myyjille, jos esim. bonukset ovat sidoksissa kyseisiin transaktioihin/asiakkuuksiin.

Korruptioriskin hallinta

Korruptioriskin hallinnan ydin on läpinäkyvyys ja tiedostettu riskinotto. Anna kertoo, että jos korruptioriskiä halutaan hallita tehokkaasti, tulee sitä varten olla rakennettuna toimiva prosessi ja osoitettuna oikeat resurssit. Prosessi koostuu kontrolleista ja kriteereistä, joita noudattamalla varmistetaan, että liiketoiminnassa osataan ottaa compliance-toiminto mukaan yksittäisen kaupan tai vaikka yritysoston valmisteluun riittävän aikaisessa vaiheessa.

Uusia kansainvälisiä toimintoja, kauppoja tai myyntiä suunnitellessa voidaan alkukäsitys kohdemaasta muodostaa edellä mainitun Corruption Perception Indexin avulla. Se antaa kuitenkin vain yleiskuvan kohteena olevasta toimintaympäristöstä, jota Annan mukaan tulee täydentää suunnitellun transaktion yksityiskohtien arvioinnilla. Compliancen tehtävänä on miettiä, voidaanko kyseistä transaktiota ylipäätään lähteä toteuttamaan. Jos riskin uskotaan olevan hallittavissa, on compliance mukana prosessin alusta loppuun varmistamassa, että se täyttää kaikki lain ja yrityksen itselleen asettamat vaatimukset tehokkaan ja tietoisen riskienhallinnan avulla. Huomiota kannattaa kiinnittää kaupan yksityiskohtiin; miksi transaktio tehdään, millainen vastapuoli on (onko kyseessä perheyhtiö, yksityishenkilö, valtion viranomainen jne.), miten transaktio on rakennettu ja miksi se on rakennettu juuri suunnitellulla tavalla. Selkeä läpinäkyväksi rakennettu suora kauppa voi olla riskirajojen puitteissa jopa korkean korruption maassa, kun taas monimutkainen monen välikäden ja kytkyn kautta rakennettu liiketoimintakuvio voi ylittää riskinkantokyvyn matalammankin korruption ympäristössä.

Maailma ei ole mustavalkoinen ja Anna totesikin, että viranomaisetkin ottavat huomioon yrityksen korruptiovastaiset prosessit ja järjestelmät kun tutkivat asiaa. Vaikka suuryrityksille ladataan kovia odotuksia tällä saralla, parhaiten odotuksiin vastataan siten, että yritys pystyy osoittamaan tehneensä aidosti kaiken mahdollisen riskin pienentämiseksi. Jos yritys havaitsee väärinkäytöksiä, niistä pitäisi raportoida viranomaisille, varsinkin jos toiminta on kansainvälisten lakien soveltamisalueella (esim. US Foreign Corruption Practices Act tai UK Bribery Act). Tämän vuoksi systemaattiset ja koko toimintaa kattavat prosessit ovat tärkeitä. Anna kuitenkin painottaa, että pelkkä olemassa oleva prosessi ja siihen liittyvät, huolella täytetyt lomakkeet eivät riitä. Esimerkillisen prosessin mukaisesti tehdyt huonot päätökset ovat edelleen huonoja päätöksiä ja voivat johtaa väärinkäytöksen mukaiseen rangaistukseen kansainvälisessä oikeudessa.

Asettuminen riskiblogin viitekehykseen

Juttelimme lopuksi siitä, että korruptioriskin hallinta asettuu myös aika selkeästi Riskiblogin kolmen tason kehikkoon. Näkyvin osa riskinhallintaa on organisatoriset kontrollit eli code of conduct-julkilausumat ja sisäiset ohjeet siitä, keneltä organisaation edustajat voivat hyväksyä minkäkin arvoisen lahjan tai lounaan tms. Operatiivisella tasolla riskinhallinnan voidaan tällöin olettaa olevan hallinnassa. Liiketoimintatasolla riskin hallintaa tukee compliance prosessi, joka ohjaa kumppanien ja liiketoimintamahdollisuuksien valinnassa ja hallinnassa. Strategisella tasolla saadaan päätöksentekoon tukea compliance-toiminnosta, mutta toiminnan ymmärtäminen, läpinäkyvyys ja tietoinen, monipuolinen analysointi ovat avainasemassa kun valitaan toteutettavaksi liiketoimintamahdollisuus, jonka kääntöpuolena ovat toiminnan eettisyyteen liittyvät riskit.

19 marraskuun, 2018lauranoukka 1 kommentti

PK-yrityksen riskienhallinta – vallatonta menoa vai integroitua pohdintaa?

Kirjoituksissamme on tähän asti korostunut ajatus riskienhallinnan määrämuotoisuudesta. Olemme lähestyneet riskienhallinnan teemaa enimmäkseen korporaationäkökulmasta, jossa tehokas riskienhallinta on tiedostettua ja prosessimuotoista – eli sitä tehdään tietyn määritetyn raamin mukaan ja ohjataan vuosikellotyyppisellä ratkaisulla. Lähestymistapa on luonnollinen isommille organisaatioille, joissa oikeastaan kaikki tekeminen on ohjattu toimimaan tietyissä raameissa, jotta joukot saadaan tekemään yhdenmukaista ja keskenään vertailukelpoista työtä raportoinnin syötteeksi. Tämä postaus esittelee kuitenkin hieman toisenlaisen näkökulman riskienhallinnan tekemiseen ja integroitumiseen liiketoimintaan, nimittäin luupin alla on nyt riskienhallinta pk-yrityksessä.

Totuttua suuren organisaation näkökulmaa haastaaksemme kutsuimme aamukahville vuoden 2018 parhaaksi työpaikaksikin valitun Integratan toimitusjohtajan ja perustajaosakkaan Riku Heinosen. Integratan liiketoiminta-ajatus on tuottaa humaania HR-alan prosessimuotoilua kokonaispalveluna asiakkaiden tarpeisiin. Juttelimme Rikun kanssa siitä miten riskienhallinta on näkynyt heidän tekemisessään yrityksen 10 vuoden historian aikana. Yritys on tässä ajassa kasvanut kolmen hengen start-upista lähes 60 henkeä työllistäväksi, kasvuhakuiseksi pk-yritykseksi.

Haastattelussa kävi heti ilmi, että pienessä yrityksessä ei ole määrämuotoista riskienhallintaa tai tiukkaa määritelmää sille, mitä riskienhallinta on. Integratan maailmassa riskienhallintaa ei ole kategorisoitu ja tiivistetty omaksi prosessikseen, vaan se näyttäytyy orgaanisena osana yrityksen tekemistä ja kulttuuria. Vaikka määrämuotoista prosessia ei ole, kaikessa tekemisessä – ja erityisesti strategiaa käsiteltäessä – käsitellään kuitenkin myös riskinäkökulmaa. Kasvuyritykselle tyypillisesti keskustelussa korostetaan enemmänkin mahdollisuuksia ja niiden hyödyntämistä. Mahdollisuuksien korostaminen olikin mielestämme virkistävää, sillä todella useinhan riskienhallinnassa keskitytään siihen, mikä voi mennä pieleen, vaikka kokonaisvaltaisen riskienhallinan määritelmään mahdollisuudet kuuluvatkin.

Integratan tarina heijastelee mielestämme hyvin yrityksen riskikuvan muutosta elinkaaren eri vaiheissa. Riku erotteleekin riskien mietinnän jakautuneen perustamisvaiheeseen, varovaisen kasvun vaiheeseen ja liiketoiminnan vakiintumiseen.

Yrityksen perustamisvaiheessa riskejä mietittiin lähinnä itse yrittäjyyteen liittyen: mitä yrittäjyyteen liittyvät riskit merkitsisivät toteutuessaan omalle uralle tai koko muulle elämälle.

Kun liiketoiminta lähti rullaamaan varovaisella kasvulla, tärkeimmät riskit olivat kahdentyyppisiä. Ensimmäinen, tiukasti liiketoimintaan liittyvä riski, oli yksittäisten asiakkuuksien ja tarjouskilpailujen merkitys. Suuren yrityksen iso tarjouspyyntö saattoi olla houkutteleva mahdollisuus, mutta kääntöpuolena olivat omaan kokoon suhteutettuna mahdollisesti liian suuret vaatimukset ja sopimussakot. Toinen pienen yrityksen ensimmäisiin askeliin liittyvä riski olivat henkilöstön rekrytointiin liittyvät kysymykset. Rikun mukaan suurimmat huolenaiheet voi tiivistää kysymyksiin : ”jos nyt palkkaamme, pystymmekö kolmen kuukauden kuluttua maksamaan palkkaa ja toisaalta, miten onnistua rekryissä niin, että pieneen tiimiin löytyy kulttuuriin sopivia yksilöitä”.

Yrityksen kasvu ja toiminnan vakiintuminen ovat muuttaneet riskikuvaa ja nykyisellään yksittäisen huonosti valitun projektin riskit eivät enää kaada koko liiketoimintaa. Riskiteema, johon kasvu ja toiminnan vakiintuminen ei yrityskulttuuristaan ja johtamisestaan tarkkana olevalle yritykselle ole tuonut helpotusta (ja jonka Riku edelleen nimeää yrityksen yhdeksi suurimmista riskeistä) on henkilöstöön liittyvä: sopiiko uusi työntekijä joukkoon? Tätä henkilöstöön liittyvää riskiä pyritään hallitsemaan mm. niin, että töitä yrityksestä hakisivat vain lähtökohtaisesti yrityskulttuuriin sopivat osaajat – konkreettisena osoituksena tästä keinosta Integratan persoonalliset rekrytointi-ilmoitukset, joiden huumori on miltei yhtä kieroa kuin yrityksen toimitusjohtajan.

Integrata on kasvanut nyt kokoon, jossa yrityksen omistajat eivät enää pysty olemaan mukana kaikessa operatiivisessa päätöksenteossa. Tässä vaiheessa usein alkaa hallinnollisen kerroksen rakentaminen, kun omistajien vastuita delegoidaan eteenpäin. Tarvittaisiinko nyt siis jo muodollisempaa riskiprosessia? Vai voiko riskienhallinta toteutua itsestään olemalla orgaaninen osa yrityskulttuuria ja tapaa tehdä päätöksiä, kuten tähänkin asti? Riku itse ei näe määrämuotoista prosessia tarpeellisena (ainakaan vielä), vaan luottaa yhteisiin strategia- ja mahdollisuus/uhka -pohdintoihin sekä itseohjautuvaan työskentelyyn. Tämä keskustelukahvittelumme jättikin meidät miettimään, että jos riskienhallinta on liiketoiminnalle elintärkeää, eikö sen kuuluisi silloin olla osa kaikkien yksilöiden ja tiimien työkaluvalikoimaa ilman, että joku ylhäältä sen sinne määrää?

10 syyskuun, 2018lauranoukka 2 kommenttia

ERM ja turvallisuus – järkiliitto vai valtataistelua? osa 2

Kirjoituksella ERM ja turvallisuus – yksin vai yhdessä? aloitimme kahden kirjoituksen sarjan yritysturvallisuuden ja kokonaisvaltaisen riskienhallinnan suhteen pohdinnasta. Tässä toisessa osassa Postin riskienhallinta- ja turvallisuusjohtaja Markku Rajamäki jatkaa aiheen käsittelyä Riskiblogin vierailijakirjoittajana.

Enterprise Risk Management ja Corporate Security Management ovat kaikille riskienhallinta-asioiden parissa työskenteleville tuttuja termejä, mutta entäpä Enterprise Security Risk Management (ESRM), jonka yritysturvallisuusalan globaali järjestö ASIS International lanseerasi vuonna 2008? Tuon jälkeen termin käyttö on laajentunut ja aiheesta on kirjoitettu kirjojakin.

Meille kaikille alaan vähänkin perehtyneille on varmaan selvää, että yritysturvallisuuden ratkaisut perustuvat – tai ainakin niiden olisi aina pitänyt perustua – arvioituihin riskeihin. Miksi sitten painotus sanalle riski? Miksi nyt?

ASIS Internationalin hallitus hyväksyi vuonna 2016 ESRM:n organisaation strategiseksi hankkeeksi “to make ASIS members more effective security professionals and more valuable members of their organizations by enabling them to better identify and manage the various aspects of security risks they face… [leading to a] empowered membership, safer enterprises, a more strategic approach to risk, and a more cost-effective security function.” (lähde)

Niinpä, maailma monimutkaistuu kaiken aikaa ja yrityselämää koskettavat moninaiset muutokset tuntuvat aina vain nopeutuvan. Pysyäkseen ajan tasalla niin yritysturvallisuuden kuin laajemminkin riskienhallinnan ammattilaisten on pidettävä tuntosarvensa ylhäällä ja analysoitava aiemmin tunnistettuja ja uusia riskejä kaiken aikaa. Lisäksi usein melko rajalliset voimavarat on kohdennettava mahdollisimman optimaalisesti kokonaiskustannukset ja saavutettavat hyödyt huomioiden.

Jos kerran ESRM on ERM:n komponentti, mitä tämä tarkoittaa yrityksen sisäisen yhteistyön kannalta – ovatko riskienhallintapäällikön ja turvallisuuspäällikön vastuut päällekkäiset tai hierarkkisessa suhteessa toisiinsa?

Yritykset ovat tietysti erilaisia, mutta yleisesti riskienhallintapäällikköä kiinnostaa riskienhallinnan kokonaisuus. Se tarkoittaa, että kaikenlaiset riskit kaikessa toiminnassa on katettu, että työkalut ja tuki on tarpeisiin nähden riittävää. Hyvän riskienhallintatyön lisätuotoksena syntyy myös laadukas raportti, joka mahdollistaa ylimmälle johdolle hyvän käsityksen yrityksen tilanteesta ja sen kautta laadukkaamman päätöksenteon. Riskienhallintapäällikölle turvallisuuspäällikkö on yksi tärkeistä sisäisistä asiakkaista, aivan samoin kuin vaikkapa talouspäällikkö, rahoituspäällikkö tai työturvallisuuspäällikkö, jotka kaikki vastaavat jostain sellaisesta prosessista, jossa riskien hallinta on tärkeää ja elimellinen osa prosessia.

Turvallisuuspäällikkö taas haluaa varmistaa, että yritysturvallisuusriskit, jotka tyypillisesti kattavat varsin suuren osan operatiivisten riskien ja vahinkoriskien alueesta, on hallittu kattavasti ja laadukkaasti. Hän haluaa myös tietää, että niiden hallintaan kiinnitetyt resurssit on kohdennettu ja mitoitettu oikein. Turvallisuuspäällikön tuskaa helpottaa, jos hän kykenee käyttämään työssään samaa metodologiaa, työkaluja ja prosesseja, joita riskienhallintaan yleisemminkin yrityksessä käytetään. Riskienhallinnan ja turvallisuuden suhde on siinä mielessä hierarkkinen, että ERM tarjoaa turvallisuuspäällikölle väylän ylemmäs organisaatiossa nostaa keskeisimpiä turvallisuusriskejä laajempaan ja muiden riskien kanssa vertailukelpoiseen tarkasteluun. Samalla voidaan kasvattaa tietoisuutta niistä – kunhan riskien arviointi on riittävän monipuolista. Jos riskin vakavuutta tarkastellaan vain euroja vasten, turvallisuusriskit eivät aina nouse kovin ylös. Jos fokukseen nostetaan lisäksi vaatimustenmukaisuus, maine ja luotettavuus, tilanne voi olla jo toinen. Näin ollen riskienhallinnan ja turvallisuuden yhteistyö on tärkeää riskien riittävän arvioinnin ja monipuolisen riskikuvan muodostamisessa.

Molemmat, riskienhallintapäällikkö ja turvallisuuspäällikkö lukeutuvat tyypillisessä organisaatiossa toiseen puolustuslinjaan, jos toiminta on organisoitu kolmen puolustuslinjan mallin mukaisesti. Suuri osa riskienhallinta- ja turvallisuustyöstä tapahtuu ensimmäisessä puolustuslinjassa – siellä työskentelevien riskienhallinta-ammattilaisten päätyö on liiketoiminnan pyörittäminen. Jotta yhteistyö johtaisi parhaaseen lopputulokseen, riskienhallinta- ja turvallisuuspäällikön on pyrittävä ymmärtämään liiketoimintaa yhä paremmin. Eikö näiden kahden työn tuottama lisäarvo ole juuri sitä, että heidän tuellaan liiketoiminta ymmärtää, millaisia riskejä tiettyyn toimintaan tai päätökseen liittyy? Laadukas riskinhallinnallinen tuki ei ole mahdollista, ellei ymmärrä liiketoiminnan lainalaisuuksia.

Paras lopputulos riskienhallinnan ja turvallisuuden kesken saavutetaan yhdessä. Myös liiketoiminnassa työskentelevien on hyvä muistaa, ettei ole liiketoimintaa ilman riskejä, joten miksi emme pyrkisi hallitsemaan niitä mahdollisimman hyvin – yhdessä!

25 kesäkuun, 2018lauranoukka Ei kommentteja

ERM ja turvallisuus – yksin vai yhdessä, osa I

Tällä kertaa aloitamme kahden kirjoituksen sarjan aiheesta, josta olemme jo pitkään halunneet kirjoittaa: turvallisuusjohtamisen ja kokonaisvaltaisen riskienhallinnan suhde toisiinsa. Aihe, josta meillä on paljon mielipiteitä, mutta josta halusimme kuulla arkielämän kokemuksia. Niinpä kutsuimme Postin riskienhallinta- ja turvallisuusjohtaja Markku Rajamäen aamukahville kanssamme juttelemaan ja kertomaan aiheesta. Markulla on pitkä kokemus tasapainoilusta turvallisuuden ja riskienhallinnan välillä & niiden suhteen kehittämisestä ja kävikin ilmi, että kahvittelukutsumme oli tosiaankin löytänyt oikean vastaanottajan.

Tässä kirjoitussarjan ensimmäisessä osassa perehdymme aiheeseen kohtuullisen käytännönläheisesti haastattelukahvittelumme pohjalta ja toisessa osassa Markku pohtii vielä syvemmin yhteistyön teemoja riskienhallinnassa ja turvallisuudessa.

Siispä asiaan: tällaisen yhdistelmäroolin ollessa kyseessä olimme aluksi kiinnostuneita konkretiasta. Nimittäin laajan asiakokonaisuussalkun yhdistäminen suuressa yrityksessä ei ole ainakaan ajankäytöllisesti ihan yksinkertainen juttu, vaikka käytössä on tiimi asiantuntijoita. Markku kertoikin, että noin puolet hänen työajastaan menee yritysturvallisuusasioihin ja loppu jakaantuu ERM:n, erilaisten riskienhallinnan projektien ja vakuuttamisasioiden välillä. Työturvallisuus ei kuulu Markun organisaatioon ja hän on tilanteeseen tyytyväinen. Ei siksi, ettei olisi aiheesta kiinnostunut, vaan koska se on aihepiiri, joka vaatii hyvin paljon erikoisosaamista ja olisi ajankäytöllisesti hyvin hallitseva kuuluessaan yritysturvallisuuden alle. Yhteistyötä tosin tehdään tiivisti työturvallisuusorganisaation kanssa aina missä voidaan.

Organisatorisesti Markun tiimi sijoittuu lakiasiainjohtajan alle, sillä yritysturvallisuuteen liittyy alalla hyvin paljon regulaatiota. Sijoittuminen on riskienhallintajohtajaroolille hieman yllättävä, mutta taustalla on myös Postin vanha yritysturvallisuus-yksikkö ja turvallisuusjohtajan rooli, jonka päälle Markun kenttä on rakentunut. Sijoittumisen aiheuttamat haasteet on käytännössä ratkaistu raportointisuhteella talous- ja rahoitusjohtajan organisaatioon ERM:n ja vakuuttamisen osalta. Markku totesi, että tietyllä tapaa sijoittumisesta on ollut etuakin: pohjalla on turvallisuusjohtamisen konkretiaa ja siten on ehkä pystytty tekemään hieman tavallista konkreettisempaa ERM-riskienhallintaakin, joka miellyttää sidosryhmiä. Joka tapauksessa organisoituminen on Postilla evoluution tulos ja erilaisten näkemysten synteesi. Kaiken kaikkiaan Markulla oli hyvä pointti siitä, ettei organisatorinen sijoittuminen paperilla ole niin tärkeää – monenlaiset mallit saadaan toimimaan, jos yhteistyöhalua on.

Markku kertoi, että turvallisuusjohtamisen ja riskienhallinnan suhde on muuttunut voimakkaasti viimeisen kymmenen vuoden aikana. Konkreettinen esimerkki muutoksesta on ehkä monelle tuttu EK:n turvallisuusjohtamisen kaaviokuva – sen aiemmassa versiossa riskienhallinta oli ”leivottuna” sisään kuvaan, eikä erikseen noussut esiin turvallisuuden tukielementtien joukosta. Uusimmassa versiossa riskienhallinta on siirtynyt merkittävään rooliin (joka on yhdenmukainen myös erilaisten kansainvälisten viitekehysten kanssa): se on nostettu kaikkea yritysturvallisuustoimintaa ympäröiväksi kokoavaksi voimaksi.

Kuva 1. Elinkeinoelämän keskusliiton turvallisuusjohtamisen vanha kuvaus

Kuva 2. Elinkeinoelämän keskusliiton turvallisuusjohtamisen uusi kuvaus

Postilla tämä muutos alkoi siinä vaiheessa, kun Markku tuli taloon 2008 ja pääsi kehittämään ERM:ä ja siihen liittyvää tekemistä alusta alkaen näköisekseen. ERM-riskienhallinta onkin noussut turvallisuuden varjosta yhdeksi keskeiseksi elementiksi niin turvallisuus kuin muidenkin yrityksen kohtaamien uhkien hallinnassa. Raportoinnissa merkittävimmät turvallisuusriskit käsitellään ERM-prosessissa, mutta täysin operatiivisen tason turvallisuusteemat saavat lisää konkretiaa omissa prosesseissaan, joissa on paljon päivittäistä raportointia ja oma seurantansa yritysjohdolle ja muille relevanteille sidosryhmille.

Yritysturvallisuuden ja ERM-riskienhallinnan välisestä suhteesta ja yhteistyöstä Markku totesi, että se riippuu melko pitkälti asioiden parissa työskentelevien ihmisten taustoista, sekä myös organisaation tilanteesta, kypsyysasteesta jne. Joka tapauksessa tavoitteen näillä kahdella eri näkökulmalla tulisi olla yhteinen, riippumatta siitä nähdäänkö turvallisuus osana riskienhallintaa, vai päin vastoin. Tästä tematiikasta siis seuraava postaus by Markku – jäämme jälleen innolla odottamaan!

Kuvien lähteet:

Elinkeinoelämän yritysturvallisuuden malli 2010

Elinkeinoelämän yritysturvallisuuden malli 2016

21 maaliskuun, 2018lauranoukka 2 kommenttia

Riskinottohalukkuuteni on…? – eli Risk appetite, osa II

Risk Appetite I:ssä avasimme riskinottohaluun ja -kantokykyyn liittyviä termejä ja päättelimme, että niiden määrittelystä saa irti monia hyviä pohdintoja esim. strategiaan liittyen. Risk appetite antaa selkärangan liiketoimintapohdiskeluihin ja keskeisintä on pitää ihmiset ajan tasalla siitä missä mennään – mitä riskejä ollaan ottamassa ja miten ne suhteutuvat organisaation kokonaistilanteeseen ja tavoitteisiin.

Otamme tässä postauksessa esiin muutaman esimerkin, miten yritykset ovat oman kokemuksemme mukaan asiaa lähestyneet. Aiheen haastavuudesta ja käsitteeen häilyvyydestä kertoo se, että emme ole kumpikaan vielä uramme aikana törmänneet selkeään, hyvin määriteltyyn ja ennen kaikkea koko organisaation tasolla toimivaan (l. tekemistä ohjaavaan) risk appetiteen. Ympäristön, tilanteiden ja organisaatioiden nopeat muutokset tuskin edesauttavat asiaa.

Hyvin määriteltyjen riskinottohalukkuuksien harvalukuisuus kertoo aiheen haastavuudesta

Ei-aivan-tavaton tilanne risk appetiten kanssa on se, että sitä ei ole määritelty. Ei euroissa, sanallisesti tai mitenkään muutenkaan. Ei koko organisaation tasolla eikä toimintoja koskien. Monesti vedotaan siihen, että ”kyllähän sisäisiin politiikkoihin on tavallaan implisiittisesti kirjattu nämä asiat jo”. Tällöin johto saattaa todeta, että ”kyllä me sitten vaan tiedetään, kun riskitilanne on liian korkea”. Tätä lähestymistapaa emme lähtökohtaisesti suosittele – oikein kenellekään.

Yksinkertaisimmillaan risk appetiten määrittely on sitä, että riskien sijoittuminen riskimatriisiin laukaisee tiettyjä odotuksia niiden hallinnan suhteen. Esimerkiksi näin:

riski matriisin vihreällä alueella = riskin tilannetta seurataan, ei tarvetta aktiiviselle/kohdennetuille toimenpiteille

riski matriisin keltaisella alueella = kohdistettuja hallintatoimenpiteitä niin, että saavuttaa vihreän alueen xx kuukauden kuluessa

riski matriisin punaisella alueella = kohdistettuja hallintatoimenpiteitä niin, että saavuttaa keltaisen alueen xx kuukauden kuluessa

Tätä metodia voi soveltaa kaikilla riskienhallinnan tasoilla operatiivisista riskeistä strategisiin ja koko organisaation laajuudessa. Olette kuitenkin ehkä samaa mieltä siitä, ettei lähestymistapa ole paras mahdollinen, se on mm. melko ylimalkainen, korostaa todennäköisesti liikaa riskin välttämistä (kun muistetaan riskin ottamisen tarpeellisuus liiketoiminnalle) ja saattaa sitäpaitsi altistaa kikkailulle riskien siirtämiseksi ”sopivan” värisille alueille. (Ja tässä tosiaan on mielestämme kyse risk appetiten määrittelystä – kun puhutaan kaikkein yksinkertaisimmasta versiosta.)

Monipuolisempi, mutta myös hieman työläämmin ylläpidettävä tapa on määrittää risk appetite erikseen keskeisimmille riskilähteille tai eri riskienhallinnan tasoille ja linjata nämä yhteen konsernitason risk appetiten kanssa. Monissa yrityksissä risk appetite määritellään erikseen kaikille ns. Principle riskeille, eli yrityksen liiketoimintaympäristöön kiinteästi kuuluville riskeille, kuten raaka-aine- tai lopputuotemarkkinoiden erityispiirteet, liiketoiminnassa painottuvat laatu- ja turvallisuusnäkökulmat tai compliance-riskit.

Tällä tyylillä tehtävän risk appetiten määrittelyn kanssa ei kannata olla liian tiukka ja esimerkiksi tavoitella euromääräisen rajan asettamista kaikille riskilajeille. On mieluummin hyvä miettiä mitkä riskilajit omassa liiketoiminnassa ovat sellaisia, joiden kohdalla voidaan antaa on/off tyylisiä lausuntoja, ja minkä kohdalla taas euromääräisten rajojen määrittäminen on mielekästä. Hyvä esimerkki on/off lähetymistavasta on työturvallisuudessa omaksuttu 0-tapaturmaa periaate, jolla viestitään, että henkilöstön turvallisuus on tärkeää ja siihen liittyen ei hyväksytä poikkeamia.

Toisaalta euromääräisten rajojen määrittelystä hyvä esimerkki on raaka-aineiden hankintariskiin liitetty risk appetite. Se voidaan esittää euroissa asettamalla hankintahintaan liittyvä vaihteluväli, jonka puitteissa tuotanto voi tehdä raaka-ainehankintaa hyvin vapaasti ilman raskasta päätöksentekokoneistoa. Hintahaitarin ala- tai ylärajan rikkoutuessa hankintapäätöksille on prosessi, jossa alarajan alittuessa voidaan tehdä päätös hyödyntää tunnistettu mahdollisuus ja ostaa raaka-ainetta varastoon edullisemmin. Toisaalta ylärajan ylittyessä päättää pienemmästä hankintaerästä, jos hinnannousun oletetaan olevan hetkellistä.

Risk appetite on aiheena kokonaisuudessaan melko haastava, emmekä tässä ole kuin raapaisseet pintaa. Yhteenvetona voimme kuitenkin todeta, että sen määrittäminen kannattaa yksinkertaisuudessa aloittaa siitä, että tiedostetaan tarve. Sen jälkeen sitä voi lähteä kehittämään pieninkin askelin eteenpäin. Kuulisimme mielellään ajatuksianne aiheeseen liittyen – miten olette lähteneet itse asiaa ratkomaan?

18 lokakuun, 2017lauranoukka Ei kommentteja

COSO ERM uudistui – eroon kuutioajattelusta

Totesimme aikaisemmassa postauksessa että riskienhallinnan viitekehykset ovat tarpeellisia työkaluja tehokkaan riskienhallinnan kokonaisuuden toteutuksessa. Kansainvälisiä, yleisesti käytettyjä viitekehyksiä on muutamia, joista meillä on kokemusta kahdesta. Tässä kirjoituksessa käsitellään COSO ERM-viitekehystä, josta julkaistiin juuri uusi versio ja myöhemmin tulemme kirjoittamaan toisesta, ISO31000:sta, josta on päivitystyö juuri meneillään.

COSO (Committee of Sponsoring Organisations of the Treadway Commission) organisaationa on riippumaton yksityisen sektorin toimija, joka perustettiin vuonna 1985 alunperin tukemaan väärän/vilpillisen taloudellisen raportoinnin tutkimusta. Lisää COSO:n tarkoituksesta, historiasta ja kehityksestä voit lukea täältä.

COSO-ERM (ERM= Enterprise Risk Management) -viitekehys julkaistiin alunperin vuonna 2004 ja kuten mainittu, se on ollut pitkään yksi vallitsevista viitekehyksistä hyvin monenlaisten organisaatioiden riskienhallintaprosessien pohjalla. COSO aloitti viitekehyksen päivittäminen vuonna 2015 ja julkisen kommentointikierroksen jälkeen uusi lopullinen versio julkaistiin lopulta tänä syksynä. Kävimme uudistetun viitekehyksen läpi ja tässä nostamme esiin mielestämme merkittävimmät muutokset.

Mikä muuttui?

Viitekehyksen ensimmäisessä versiossa korostui riskienhallinnan ja sisäisen valvonnan välinen suhde ja riskienhallinta nähtiin vahvasti compliance-työkaluna. Tämä oli tietysti luontevaa ottaen huomioon COSO:n toiminnan juuret sisäisessä valvonnassa ja ”fraud deterrence”-ajattelussa. Merkittävin muutos uudessa päivitetyssä mallissa onkin se, että riskienhallinta kuvataan yrityksen liiketoimintaa tukevana integroituna toimintana, joka auttaa ja ohjaa strategian laadinnassa ja toteutuksessa, pikemmin kuin compliance- tai sisäisen valvonnan työkaluna. Sisäistä valvontaa ja kolmea puolustuslinjaa ei ole täysin unohdettu uudessakaan mallissa mutta se jää taka-alalle ja lopputuloksena on modernia, strategista riskienhallinta-ajattelua tukeva viitekehys.

– kaikki lähtee strategiasta

Uusi COSO-ERM lähtee liikkeelle strategian valinnasta riskienhallinnan tuella. Moni strategiaprosessi ottaa tälläkin hetkellä jo huomioon riskit, mutta COSO-ERM kritisoi näitä prosesseja siitä, että riskiä arvioidaan yleensä vain suhteessa jo valittuun strategiaan: ”mitkä seikat voivat vaikuttaa strategiamme toteutumiseen ja menestyksekkyyteen?”. Viitekehys tuo tähän keskusteluun mukaan kaksi lisänäkökulmaa, joilla voi olla merkittävä vaikutus organisaation arvonkehitykseen: riski siitä, ettei valittu strategia ole linjassa organisaation vision ja mission kanssa, sekä riski strategioiden riskiprofiileista ja valitun strategian mukanaan tuomista seurauksista.

Valitun strategian tulee olla linjassa mission ja vision kanssa ja tässä viitekehys näkee riskienhallinnan roolin keskeisenä. Riski valitun strategian mukanaan tuomasta riskiprofiilista vs. organisaation riskinottohalukkuus on mielestämme myös erinomainen nosto. Riskienhallinnan tulisi COSO-ERM:n mukaan toimia tahona, joka arvioi jokaista strategiavaihtoehtoa sekä mission &vision näkökulmasta, että riskiprofiilien sopimisesta omaan riskinottohalukkuuteen jo hyvin aikaisessa vaiheessa strategiaprosessia. Strategiavaihtoehdon valinnan jälkeen riskienhallinta toteuttaa ”perinteisempää” rooliaan tunnistamalla asioita, jotka voivat tulla strategian toteuttamisen tielle. Viitekehys kuvaa tätä strategian ja riskienhallinnan yhteyttä ja kokonaisuutta erillisellä visualisoinnilla:

– ja tiivistyy yhteen kuvaan

Vanha malli tiivistyi moniväriseen ja -ulotteiseen kuutioon. Nyt kun kuutio on korvattu uudella graafisella ilmeellä, uskallamme jo tunnustaa ettemme koskaan oikein saaneet kiinni sen monista sivuista, väreistä ja yhteyksistä. Ajatus kokonaisvaltaisesta riskienhallinnasta, siitä että riskienhallinta ei ole yksittäinen toiminto, vaan osa yrityksen liiketoiminnan ohjausta, toteutusta ja tätä kautta myös tietyssä määrin kontrollin väline, on tosin aina käynyt järkeen meillekin.

Kuva 1.Vanha COSO-ERM -kuutio (lähde www. riskikompassi.fi/)

Uusi COSO-ERM -malli koostuu 20 periaatteesta, jotka on järjestetty viiden toisiinsa kytkeytyvän komponentin alle (ks. kuva). Uusi esitystapa helpottaa tämän viiitekehyksen ja ”kilpailevan” ISO31000 standardin yhtäläisyyksien tunnistamisessa. Yksityiskohdat komponenteista ja periaatteista voit lukea tämän tekstin lopussa olevien lähdelinkkien kautta, mutta käytännössä itse komponentit vanhassa kuutiossa ja uudessa ”DNA-kuviossa” ovat pohjimmiltaan saman tyyppisiä. Toki uusissa komponenteissa näkyy kokonaisvaltaisuuden, integroitumisen, kulttuurin ja termin ”performance” vahva painottaminen vanhaan viitekehykseen verrattuna.

Uudistettu COSO-ERM -viitekehys (lähde: coso.org)

Uusi COSO ERM nostaa siis riskienhallinnan entistä strategisempaan rooliin ja muutos näkyy vahvasti visuaalisessa esitystavassa, joka on mielestämme moderni ja yksinkertainen. Selkeä esitystapa mille tahansa viitekehykselle on yllättävän tärkeää, sillä esim. uuden COSO-ERM:n sielunelämä on varmasti helpompi selittää ja myydä omalle organisaatiolle kuin aikaisempi ”rubikin kuutio”.

Miten COSO-ERM -muutokset vaikuttavat minuun?

Uskaltaisimme väittää, että päivitetty versio ei sinällään tuo alalle mitään täysin uutta ja ihmeellistä. Se antaa kuitenkin varmasti kaivattua tukea riskienhallintafunktion vetäjälle, joka haluaa uudistaa oman yrityksensä riskienhallintaa ja tarvitsee perusteita ylimmän johdon suuntaan siitä, miksi nykyinen tekeminen ei enää riitä. Uusi viitekehys saattaa avata riskienhallinta-, compliance- ja tarkastusihmisille ovet organisaation sisäpiiriin, missä strategiset linjaukset tehdään; sen avulla pystyt ehkä vieläkin paremmin perustelemaan, miksi riskienhallinnan pitää olla mukana strategisessa suunnittelussa heti alusta alkaen.

Strategisuuspainotuksen lisäksi ehkä mielenkiintoisin yksityiskohta liittyy mielestämme riskien arvioimiseen. Uusi COSO-ERM painottaa riskien arvioimista eri näkökulmista kvantitatiivisilla menetelmillä, puhuen muun muassa riskiprofiilista, riskikäyristä ja siitä, miten riskin määrittely yhtenä arvona voi olla harhaanjohtavaa – mielenkiintoista ja linjassa oman kokemuksemme kanssa. Palaamme tähän ehdottomasti erikseen tulevaisuuden postauksessa, jossa käsittelemme riskien arviointia hieman laajemminkin.

Miten sitten lähteä uudistamisessa liikeelle? Koska viitekehyksen muutokset eivät olleet täysin mullistavia, ei ole tarvetta suin päin rynnätä uudistamaan riskienhallintaprosessia ja dokumentaatiota. Itse lähtisimme todennäköisesti liikeelle järjestelmällisesti, periaate periaatteelta kartoittamaan suurimmat eroavaisuudet oman toiminnan ja uuden viikehehyksen välillä. Tämän blogin lukijoille ei varmasti ole epäselvää, että kannatamme riskienhallinnan viemistä integroituun ja strategiseen suuntaan ja riskienhallinnan roolin uudistamista ja vahvistamista. Uudistetty COSO-ERM antaa tälle työlle hyvän pohjan.

Lähteet:

COSO Enterprise Risk Management – Integrating with Strategy and Performance, COSO, 2017, AICPA, e-book

Uusi COSO-ERM, Executive Summary

Uusi COSO-ERM & Frequently Asked Questions

19 syyskuun, 2017lauranoukka Ei kommentteja

Rusetti, tarina ja miksi?

Riskityöpaja – ehkä suosikkijuttumme riskienhallintatyössä. Tässä kirjoituksessa esittelemme kolme työkalua riskien tunnistamiseksi ja jäsentämiseksi työpajoissa. Suosittelemme lämpimästi kokeilemaan monenlaisia ryhmätyömenetelmiä (jopa niitä, joita ei alun perin ole tarkoitettu riskienhallintatyön tueksi – vaihtelu ja hienoinen leikillisyyskin virkistävät aina), ryhmän koon ja tavoitteen mukaan soveltaen ja muokaten. Tässä läpikäytävillä menetelmillä olemme saaneet hyviä tuloksia aikaan etenkin silloin, kun on nimenomaan haluttu saada riskin aiheuttajat ja riskin eri elementtien väliset kausaliteetit näkyviin.

Edelliseen kirjoitukseen viitataen, työpajoissa käytävä keskustelu auttaa selkeyttämään organisaation sisäistä riskienhallinnan sanastoa. Kaikki menetelmät ovat myös sovellettavissa kokonaisvaltaisen riskienhallinnan kaikilla tasoilla, vaikkakin tehokkainta käyttö on operatiivisella tasolla. Liiketoiminta- tai ylimmän johdon tasolla liikuttaessa kannattaa huomioida, että huolellinen toteutus vaatii todennäköisesti useamman työpajan, lähtien alustavasta ja melko laajasta brainstormingistä ja päätyen strukturoituun lopputulemaan. Tämä asettaa monesti haasteita ajankäytön suhteen.

Bow-Tie:

Ensimmäinen ja yksinkertaisin työkalu on Bow-Tie. Metodi lienee kehitetty alun perin öljyteollisuuden tarpeisiin konkreettisten vahinkoriskien kuvaamiseen mutta työssämme olemme soveltaneet sitä vapaasti jäsentämään niin turvallisuus-, projekti- kuin strategisiakin riskejä. Menetelmässä kuvataan riski selkeästi neljän elementin

– aiheuttaja

– tapahtuma

– seuraukset

– kontrollit

kautta kuvana, joka muistuttaa rusettia (bowtie). Kuvaamiseen on muuten olemassa oma tietojärjestelmänsäkin, mutta itse tykkäämme käyttää post-it lappuja ja fläppitaulua.

Työpaja kannattaa aloittaa vapaalla keskustelulla, jossa on tarkoituksena tunnistaa ja heitellä ilmaan ajatuksia etukäteen käsiteltäväksi päätettyyn aihealueeseen liittyen. Ajatukset kirjataan lapuille ja käydään keskustelu siitä, miten ne suhteutuvat käsiteltävänä olevaan aihealueeseen. Usein on käynyt niin, että ryhmän yksi jäsen on mieltänyt riskiksi asian, joka onkin toisen tunnistaman riskitapahtuman aiheuttaja ja näistä taas seuraa kolmannen tunnistama vaikutus liiketoiminnalle. Ilman analyysia kaikki nämä kolme tekijää todennäköisesti päätyisivät riskirekisteriin yksittäisinä riskeinä, joille olisi hyvin vaikea tehdä jatkoanalyysia. Bow-tie harjoituksen seurauksena ne pystytään kuitenkin kirjaamaan loogisena riskitarinana.

Tarinallistaminen:

Toinen hieman pidemmälle viety riskinmallintamistapa, jota sovelletaan tietoturvariskienhallinnan maailmassa, kuvaa riskin tarinana. Menetelmän on toinen meistä omaksunut tietoturvakonsulttina työskentelevältä mahtavalta kollegaltaan. Tarina aloitetaan yksilöimällä suojattavat kohteet, joihin kohdistuvia riskejä halutaan tunnistaa, esimerkiksi yrityksen maine, tulevan vuosineljänneksen tulos tai tärkeä tietovaranto. Sitten siirrytään kartoittamaan uhkatekijät, eli kerrotaan kuka tai mikä voi uhata kohdetta. Tämän jälkeen tunnistetaan toiminnan haavoittuvuuksia ja maalataan sanallisesti (tai miksei kuvallisestikin) niiden hyödyntämisestä seuraavat uhkaskenaariot. Skenaariot voivat oikeissa olosuhteissa konkretisoituvat tapahtumiksi, joiden seurauksena jokin suojattavista kohteista vahingoittuu.

Riskin mallinnustyöpajan lopputuotos (Lähde Marko Buuri, F-Secure)

Tarinallistaminen on oikeastaan tyyppiesimerkki siitä, miten strategista riskienhallintaa toteutetaan käytännön riskien tunnistamistyössä: tietoturvariskien tarina alkaa suojattavista kohteista, jotka voidaan helposti määrittää myös organisaation strategisiksi tavoitteiksi – ja tunnistaa asioita, jotka voivat uhata näiden tavoitteiden saavuttamista. Jos organisaation tavoitteet on määritelty tarpeeksi visuaalisesti ja ytimekkäästi, voidaan riskityöpajassa käyttää pohjamateriaalina suoraan strategiatyön materiaaleja. Jos tavoitteet on vielä kuvattu samaan tapaan sekä strategisella, taktisella ja jopa operatiivisella tasolla (tällöin puhutaan monesti jo toimintasuunnitelmasta tai vastaavasta materiaalista), materiaali toimii lähtökohtana riskienhallintakolmion jokaisella tasolla järjestettävissä työpajoissa.

5XMIKSI:

Kolmas menetelmä on 5XMIKSI. Ideana on työskennellä pareittain tai pienessä ryhmässä niin, että liikkeelle lähdetään tunnistetusta riskistä. Ryhmän jäsenet esittävät vähintään viisi kertaa kysymyksen MIKSI ja kirjaavat vastauksen ylös. Esimerkiksi: tavoite on toiminnan tehostaminen. Alatavoite on tiedon jakamiseen ja viestintään käytetyn ajankäytön tehostaminen, ja yksi keino tavoitteen saavuttamiseksi on nykyaikaisen kollaboraatiotyökalun käyttöönotto koko organisaatiossa. Riskiksi on määritelty se, etteivät kaikki ota järjestelmää omakseen, vaan jatkavat tiedon tallentamista omissa tiedostoissan ja jakamista sähköposteissa jne.

→ ja tätä jatketaan vähintään viisi kertaa.

Menetelmä itsessään on hyvin yksinkertainen ja kokemuksemme mukaan myös saattaa aiheuttaa aluksi hieman hilpeyttä työpajan osallistujissa. Mutta sitkeästi läpi vietynä se palkitsee, sillä jäljelle ei jää vähempää kuin riskin todellinen aiheuttaja (usein aiheuttajat). Ja vain aiheuttajiin on mahdollista kohdistaa tehokkaat, ennakoivat riskienhallintatoimenpiteet.

Yllä esitetyt työtavat ohjaavat keskustelemaan siitä, mistä kaikista elementeistä riski oikeasti muodostuu, mitkä ovat aiheuttajat ja mitkä seuraukset. Samalla riskikuvasta muodostuu yhtenäinen ja saman tasoinen käsitys kaikille osallistujille. Juuri tämä on monesti työpajojen aikaa vievin, mutta toisaalta antoisin vaihe. Kuvien piirtäminen ja kysymysten ja vastausten ylös kirjaaminen auttaa myös konkretisoimaan hallintatoimenpiteiden suunnittelua ja keskustelua siitä, mihin hallintatoimenpiteet kohdistetaan.

Tässä kirjoituksessa päästiin nyt vasta puoleen väliin riskianalyysia, sillä riskin kvantifiointiin liittyvä keskustelu ei luontevasti tule osana näiden työmenetelmien keskustelua. Palataan tähän jossain myöhemmässä kirjoituksessa, tai useammassakin…

Ps. jos olet riskityöpajojen osalta kiinnostunut erityisesti tietoturvanäkökulmasta, niin suosittelemme tutustumaan CORAS-menetelmään tai Intelin TARA-metodiin