Riskinottohalukkuuteni on…? – eli Risk appetite, osa II

Risk Appetite I:ssä avasimme riskinottohaluun ja -kantokykyyn liittyviä termejä ja päättelimme,  että niiden määrittelystä saa irti monia hyviä pohdintoja esim. strategiaan liittyen. Risk appetite antaa selkärangan liiketoimintapohdiskeluihin ja keskeisintä on pitää  ihmiset ajan tasalla siitä missä mennään – mitä riskejä ollaan ottamassa ja miten ne suhteutuvat organisaation kokonaistilanteeseen ja tavoitteisiin.

Otamme tässä postauksessa esiin muutaman esimerkin, miten yritykset ovat oman kokemuksemme mukaan asiaa lähestyneet. Aiheen haastavuudesta ja käsitteeen häilyvyydestä  kertoo se, että emme ole kumpikaan vielä  uramme aikana törmänneet selkeään, hyvin määriteltyyn ja ennen kaikkea koko organisaation tasolla toimivaan (l. tekemistä ohjaavaan) risk appetiteen. Ympäristön, tilanteiden ja organisaatioiden nopeat muutokset tuskin edesauttavat asiaa.

 

Hyvin määriteltyjen riskinottohalukkuuksien harvalukuisuus  kertoo aiheen haastavuudesta

 

Ei-aivan-tavaton tilanne risk appetiten kanssa on se, että sitä ei ole määritelty. Ei euroissa, sanallisesti tai mitenkään muutenkaan.  Ei  koko organisaation tasolla eikä toimintoja koskien. Monesti vedotaan siihen, että ”kyllähän sisäisiin politiikkoihin on tavallaan implisiittisesti kirjattu nämä asiat jo”. Tällöin johto saattaa todeta, että ”kyllä me sitten vaan tiedetään, kun riskitilanne on liian korkea”. Tätä lähestymistapaa emme lähtökohtaisesti suosittele – oikein kenellekään.

 Yksinkertaisimmillaan risk appetiten määrittely on sitä, että riskien sijoittuminen riskimatriisiin laukaisee tiettyjä odotuksia niiden hallinnan suhteen. Esimerkiksi näin:

riski matriisin vihreällä alueella = riskin tilannetta seurataan, ei tarvetta aktiiviselle/kohdennetuille toimenpiteille

riski matriisin keltaisella alueella = kohdistettuja hallintatoimenpiteitä niin, että saavuttaa vihreän alueen xx kuukauden kuluessa

riski matriisin punaisella alueella = kohdistettuja hallintatoimenpiteitä niin, että saavuttaa keltaisen alueen xx kuukauden kuluessa

Tätä metodia voi soveltaa kaikilla riskienhallinnan tasoilla operatiivisista riskeistä strategisiin ja koko organisaation laajuudessa. Olette kuitenkin ehkä samaa mieltä siitä, ettei lähestymistapa ole paras mahdollinen, se on mm. melko ylimalkainen, korostaa todennäköisesti liikaa riskin välttämistä (kun muistetaan riskin ottamisen tarpeellisuus liiketoiminnalle) ja saattaa sitäpaitsi altistaa kikkailulle riskien siirtämiseksi ”sopivan” värisille alueille. (Ja tässä tosiaan on mielestämme kyse risk appetiten määrittelystä – kun puhutaan kaikkein yksinkertaisimmasta versiosta.)

Monipuolisempi, mutta myös hieman työläämmin ylläpidettävä tapa on määrittää risk appetite erikseen keskeisimmille riskilähteille tai eri riskienhallinnan tasoille ja linjata nämä yhteen konsernitason risk appetiten kanssa. Monissa yrityksissä risk appetite määritellään erikseen kaikille ns. Principle riskeille, eli yrityksen liiketoimintaympäristöön kiinteästi kuuluville riskeille, kuten raaka-aine- tai lopputuotemarkkinoiden erityispiirteet, liiketoiminnassa painottuvat laatu- ja turvallisuusnäkökulmat tai compliance-riskit.

Tällä tyylillä tehtävän risk appetiten määrittelyn kanssa ei kannata olla liian tiukka ja esimerkiksi tavoitella euromääräisen rajan asettamista kaikille riskilajeille. On mieluummin hyvä miettiä mitkä riskilajit omassa liiketoiminnassa ovat sellaisia, joiden kohdalla voidaan antaa on/off tyylisiä lausuntoja, ja minkä kohdalla taas euromääräisten rajojen määrittäminen on mielekästä. Hyvä esimerkki on/off lähetymistavasta on työturvallisuudessa omaksuttu 0-tapaturmaa periaate, jolla viestitään, että henkilöstön turvallisuus on tärkeää ja siihen liittyen ei hyväksytä poikkeamia.

Toisaalta euromääräisten rajojen määrittelystä hyvä esimerkki on raaka-aineiden hankintariskiin liitetty risk appetite. Se voidaan esittää euroissa asettamalla hankintahintaan liittyvä vaihteluväli, jonka puitteissa tuotanto voi tehdä raaka-ainehankintaa hyvin vapaasti ilman raskasta päätöksentekokoneistoa. Hintahaitarin ala- tai ylärajan rikkoutuessa hankintapäätöksille on prosessi, jossa alarajan alittuessa voidaan tehdä päätös hyödyntää  tunnistettu mahdollisuus  ja ostaa raaka-ainetta varastoon edullisemmin. Toisaalta ylärajan ylittyessä päättää  pienemmästä hankintaerästä, jos hinnannousun oletetaan olevan hetkellistä.

 Risk appetite on aiheena kokonaisuudessaan melko haastava, emmekä tässä ole kuin raapaisseet pintaa. Yhteenvetona voimme kuitenkin todeta, että sen määrittäminen kannattaa yksinkertaisuudessa aloittaa siitä, että tiedostetaan tarve. Sen jälkeen sitä voi lähteä kehittämään pieninkin askelin eteenpäin. Kuulisimme mielellään ajatuksianne aiheeseen liittyen – miten olette lähteneet itse asiaa ratkomaan?

COSO ERM uudistui – eroon kuutioajattelusta

Totesimme aikaisemmassa postauksessa että riskienhallinnan viitekehykset ovat tarpeellisia työkaluja tehokkaan riskienhallinnan kokonaisuuden toteutuksessa. Kansainvälisiä, yleisesti käytettyjä  viitekehyksiä on muutamia, joista meillä on kokemusta kahdesta. Tässä kirjoituksessa käsitellään COSO ERM-viitekehystä, josta julkaistiin juuri uusi versio ja myöhemmin tulemme kirjoittamaan toisesta, ISO31000:sta, josta on  päivitystyö juuri meneillään.

COSO (Committee of Sponsoring Organisations of the Treadway Commission) organisaationa on riippumaton yksityisen sektorin toimija, joka perustettiin vuonna 1985 alunperin tukemaan väärän/vilpillisen taloudellisen raportoinnin tutkimusta.  Lisää COSO:n tarkoituksesta, historiasta ja kehityksestä voit lukea täältä.

COSO-ERM (ERM= Enterprise Risk Management) -viitekehys julkaistiin alunperin vuonna 2004 ja kuten mainittu, se on ollut pitkään yksi vallitsevista viitekehyksistä hyvin monenlaisten organisaatioiden riskienhallintaprosessien pohjalla.  COSO aloitti viitekehyksen päivittäminen vuonna 2015 ja julkisen kommentointikierroksen jälkeen uusi lopullinen versio julkaistiin lopulta tänä syksynä.  Kävimme uudistetun viitekehyksen läpi ja tässä nostamme esiin mielestämme merkittävimmät muutokset.

Mikä muuttui?

Viitekehyksen ensimmäisessä versiossa korostui riskienhallinnan ja sisäisen valvonnan välinen suhde ja riskienhallinta nähtiin vahvasti compliance-työkaluna.  Tämä oli tietysti luontevaa ottaen huomioon COSO:n toiminnan juuret sisäisessä valvonnassa ja ”fraud deterrence”-ajattelussa. Merkittävin muutos uudessa päivitetyssä mallissa onkin se, että riskienhallinta kuvataan yrityksen liiketoimintaa tukevana integroituna toimintana, joka auttaa ja ohjaa strategian laadinnassa ja toteutuksessa, pikemmin kuin compliance- tai sisäisen valvonnan työkaluna. Sisäistä valvontaa ja kolmea puolustuslinjaa ei ole täysin unohdettu uudessakaan mallissa mutta se jää taka-alalle ja lopputuloksena on modernia, strategista riskienhallinta-ajattelua tukeva viitekehys.

– kaikki lähtee strategiasta

Uusi COSO-ERM lähtee liikkeelle strategian valinnasta riskienhallinnan tuella. Moni strategiaprosessi ottaa tälläkin hetkellä jo huomioon riskit, mutta COSO-ERM kritisoi näitä prosesseja siitä, että riskiä arvioidaan yleensä vain suhteessa jo valittuun strategiaan: ”mitkä seikat voivat vaikuttaa strategiamme toteutumiseen ja menestyksekkyyteen?”. Viitekehys tuo tähän keskusteluun mukaan kaksi lisänäkökulmaa, joilla voi olla merkittävä vaikutus organisaation arvonkehitykseen: riski siitä, ettei valittu strategia ole linjassa organisaation vision ja mission kanssa, sekä riski strategioiden riskiprofiileista ja valitun strategian mukanaan tuomista seurauksista.

Valitun strategian tulee olla linjassa mission ja vision kanssa ja tässä viitekehys näkee riskienhallinnan roolin keskeisenä. Riski valitun strategian mukanaan tuomasta riskiprofiilista vs. organisaation riskinottohalukkuus on mielestämme myös erinomainen nosto. Riskienhallinnan tulisi COSO-ERM:n mukaan toimia tahona, joka arvioi jokaista strategiavaihtoehtoa sekä mission &vision näkökulmasta, että riskiprofiilien sopimisesta omaan riskinottohalukkuuteen jo hyvin aikaisessa vaiheessa strategiaprosessia. Strategiavaihtoehdon valinnan jälkeen riskienhallinta toteuttaa ”perinteisempää” rooliaan tunnistamalla asioita, jotka voivat tulla strategian toteuttamisen tielle. Viitekehys kuvaa tätä strategian ja riskienhallinnan yhteyttä ja kokonaisuutta erillisellä visualisoinnilla:

COSO-ERM ja strategia (lähde: coso.org)
– ja tiivistyy yhteen kuvaan

Vanha malli tiivistyi moniväriseen ja -ulotteiseen kuutioon. Nyt kun kuutio on  korvattu uudella graafisella ilmeellä, uskallamme jo tunnustaa ettemme koskaan oikein saaneet kiinni sen monista sivuista, väreistä ja yhteyksistä. Ajatus kokonaisvaltaisesta riskienhallinnasta, siitä että riskienhallinta ei ole yksittäinen toiminto, vaan osa yrityksen liiketoiminnan ohjausta, toteutusta ja tätä kautta myös tietyssä määrin kontrollin väline, on tosin aina käynyt järkeen meillekin.

Kuva 1.Vanha COSO-ERM -kuutio (lähde www. riskikompassi.fi/)

Uusi COSO-ERM -malli koostuu 20 periaatteesta, jotka on järjestetty viiden toisiinsa kytkeytyvän komponentin alle (ks. kuva). Uusi esitystapa helpottaa tämän viiitekehyksen ja ”kilpailevan” ISO31000 standardin yhtäläisyyksien tunnistamisessa. Yksityiskohdat komponenteista ja periaatteista voit lukea tämän tekstin lopussa olevien lähdelinkkien kautta, mutta käytännössä itse komponentit vanhassa kuutiossa ja uudessa ”DNA-kuviossa” ovat pohjimmiltaan saman tyyppisiä. Toki uusissa komponenteissa näkyy kokonaisvaltaisuuden, integroitumisen, kulttuurin ja termin ”performance”  vahva painottaminen vanhaan viitekehykseen verrattuna.

Uudistettu COSO-ERM -viitekehys (lähde: coso.org)

 Uusi COSO ERM nostaa siis riskienhallinnan entistä strategisempaan rooliin ja muutos näkyy vahvasti visuaalisessa esitystavassa, joka on mielestämme moderni ja yksinkertainen. Selkeä esitystapa mille tahansa viitekehykselle on yllättävän tärkeää, sillä esim. uuden COSO-ERM:n sielunelämä on varmasti helpompi selittää ja myydä omalle organisaatiolle kuin aikaisempi  ”rubikin kuutio”.

Miten COSO-ERM -muutokset vaikuttavat minuun?

Uskaltaisimme väittää, että päivitetty versio ei sinällään tuo alalle mitään täysin uutta ja ihmeellistä. Se antaa kuitenkin varmasti kaivattua tukea  riskienhallintafunktion vetäjälle, joka haluaa uudistaa oman yrityksensä riskienhallintaa ja tarvitsee perusteita ylimmän johdon suuntaan siitä, miksi nykyinen tekeminen ei enää riitä. Uusi viitekehys saattaa avata riskienhallinta-, compliance- ja tarkastusihmisille ovet organisaation sisäpiiriin, missä strategiset linjaukset tehdään; sen avulla pystyt ehkä vieläkin paremmin perustelemaan, miksi riskienhallinnan pitää olla mukana strategisessa suunnittelussa heti alusta alkaen.

Strategisuuspainotuksen lisäksi ehkä mielenkiintoisin yksityiskohta liittyy mielestämme riskien arvioimiseen. Uusi COSO-ERM painottaa riskien arvioimista eri näkökulmista kvantitatiivisilla menetelmillä, puhuen muun muassa riskiprofiilista, riskikäyristä ja siitä, miten riskin määrittely yhtenä arvona voi olla harhaanjohtavaa – mielenkiintoista ja linjassa oman kokemuksemme kanssa. Palaamme tähän ehdottomasti erikseen tulevaisuuden postauksessa, jossa käsittelemme riskien arviointia hieman laajemminkin.

Miten sitten lähteä uudistamisessa liikeelle? Koska viitekehyksen muutokset eivät olleet  täysin mullistavia, ei ole tarvetta suin päin rynnätä uudistamaan riskienhallintaprosessia ja dokumentaatiota. Itse lähtisimme todennäköisesti liikeelle järjestelmällisesti, periaate periaatteelta  kartoittamaan suurimmat eroavaisuudet oman toiminnan ja uuden viikehehyksen välillä. Tämän blogin lukijoille ei varmasti ole epäselvää, että kannatamme riskienhallinnan viemistä integroituun ja strategiseen suuntaan ja riskienhallinnan roolin uudistamista ja vahvistamista. Uudistetty COSO-ERM antaa tälle työlle hyvän pohjan.


Lähteet:

COSO Enterprise Risk Management – Integrating with Strategy and Performance, COSO, 2017, AICPA, e-book

Uusi COSO-ERM, Executive Summary

Uusi COSO-ERM & Frequently Asked Questions

Aina se prosessi. Ja onko pakko olla viitekehys?

Meistä kirjoittajista toinen on alun perin viitekehysihmisiä. Toinen taas puhuu prosesseista ja on aikanaan nähnyt melkein punaista kuullessaan sanan viitekehys. Ajan ja kokemuksen myötä molemmat ovat kuitenkin ottaneet kummatkin käsitteet aktiiviseen käyttöön, sillä ne ovat mielestämme tarpeellisia työkaluja tehokkaan riskienhallinnan kokonaisuuden toteutuksessa. Alla käsitteistä hieman tarkemmin.

Riskienhallintaprosessin miellämme tavaksi, jolla riskienhallintaa organisaatiossa pyöritetään. Eli periaatteessa prosessi antaa vastaukset kysymyksiin Mitä, Kuka, Milloin ja Miten.

Viitekehys taas on enemmänkin ylemmän tason työkalu, jonka avulla hahmotetaan oman organisaation riskienhallinnan kokonaisuuteen liittyvät asiat ja vastuut. Se on vähän niin kuin filosofia toteutuksen taustalla.

Viitekehys ja prosessi yhdessä antavat välineet, joiden avulla homma on perusteltua, sillä on tavoite, toteutus on vastuutettua ja helppoa seurata. Myös lopputuotos on helpommin perusteltavissa ulkopuolisille, jos esim. viranomaiset, asiakkaat tai auditoijat osoittavat kiinnostusta riskienhallintaa kohtaan. Eli vastauksena otsikon kysymykseen: kyllä, mielestämme käytössä kannattaa olla  toimiva viitekehys (jota sutjakka prosessi tukee).

Yleisimmät riskienhallinnan viitekehykset lienevät ISO 31000 ja COSO-ERM. Muitakin toki löytyy, esim. Federation of European Risk Managers -yhdistyksen oma viitekehys. ISO 31000 on osa ISO-standardiperhettä ja COSO-ERM perinteisesti enemmän sisäisen valvonnan ja compliancen kautta riskienhallintaa tarkasteleva (tosin malli on menossa melko perusteelliseksi uusiksi lähiaikoina). Syväluotaavasti tarkastelemme näitä molempia viitekehyksiä erillisissä blogikirjoituksissa lähitulevaisuudessa.

Mikä viitekehys sitten pitäisi valita? Riskienhallinnassa pyörää ei kannata keksiä uudelleen. Kannattaa aloittaa valmiilla, hyväksi koetelluilla parhailla käytännöillä ja suhtautua tulevaisuuteen ja mallin mahdolliseen muokkaamiseen joustavasti:

Jos ei ole jotain erityisetä syytä ottaa käyttöön räätälöityä mallia, kannattaa valita tunnettu, valmis malli. Jos johtamisjärjestelmä on luotu ISO-standardien mukaisesti, ISO31000 on todennäköisesti luontevin valinta myös riskienhallintaan. Jos taas COSO-ERM -lähestymistapa on tutumpi, kannattaa hyödyntää sitä.

Etukäteen voi olla vaikeaa tarkasti tietää, miten malli sopii organisaatioosi ja millaisia tilanteita käytännössä tulee liiketoiminnan kanssa eteen. Kannattaa siis suhtautua joustavasti ja muistaa, että oli valittu malli mikä tahansa, sitä luultavasti joudutaan joka tapauksessa muokkaamaan sen aikaa myöten.

Riskienhallinnasta saa helposti rakennettua  monimutkaisen, hienon mallin, joka ottaa huomioon kaiken mahdollisen. Liika monimutkaisuus ja hifistely kuitenkin toimivat itseään vastaan, sillä käytännössä liiketoiminta usein kaipaa yksinkertaista ja selkeää. Näin tuet myös sitä, että muu organisaatio todella ymmärtää riskienhallinnan idean ja tarkoituksen.