RISIKOSTYRING
Hvorfor bør styret stille tydeligere krav til risikostyringen? AV
OLE MARTIN KJØRSTAD
Ole Martin Kjørstad er Senior Manager i BDO Advisory der han har hovedansvar for internrevisjon. Som prosjektleder har han bred erfaring fra ulike fra revisjons- og rådgivningstjenester, primært innenfor risiko- og virksomhetsstyring. Han er opp tatt av at risikostyring skal være et mål fokusert og reelt ledelsesverktøy, med fokus på praktiske løsninger og gode kom munikasjonsmekanismer. Ole Martin er også del av arbeidsgruppen som på vegne av IIA Norge utarbeider en Veileder for Risikostyringsfunksjonen.
orsk utvalg for eierstyring og selskapsledelse N (NUES) www.nues.no 2 Finanstilsynet, Rundskriv 3/2009 - Veiledning til forskrift om risikostyring og internkontroll 1
SIRK nr. 2 2016
S
tyret i en virksomhet har et lovfestet ansvar for å sørge for forsvarlig drift av virksomheten. Dette omfatter ansvaret for virksomhetens risikostyring, som til dels er definert i mer detalj av ulike organisasjoner og bransjespesifikke reguleringer. Blant annet presiserer NUES 101 at styret selv må danne seg en oppfatning av virksomhetens internkontroll, basert på informasjon som blir forelagt styret. Andre føringer, slik som Finanstilsynets veiledning til forskrift om risikostyring og internkontroll2, sier først og fremst noe om rapportering fra ledelsen til styret. Dette er i seg selv bra, men verdien av slik rapportering er unektelig betinget av ledelsens evne og mulighet til å fange informasjon som er vesentlig for styret. Videre må man spørre seg om periodisk rapportering er til strekkelig for å sikre tidsriktig håndtering av potensielt vesentlige risiki. Når man som styremedlem har ansvar for å sørge for forsvarlig drift har man i siste instans også ansvar for alt som skjer i virksomheten – inkludert forhold man ikke kjenner til. Når det er tilfellet, burde ikke god risikostyring handle om noe mer enn å vurdere virksomhetens risiko basert på den informasjonen man blir forelagt? Jeg mener at et styre som skal ivareta dette ansvaret aktivt må se til at det etableres mekanismer som er egnet til å identifisere og kommunisere vesentlig informasjon til rett nivå i organisasjonen. For styrets del skal dette gi trygghet for at informasjon som er vesentlig for dem å ta stilling til blir kommunisert løpende. Med andre ord er det vel så viktig å ta et eierskap til den metodikken ledelsen og selskapet jobber etter, som å stille krav til innholdet i periodisk rapportering. Skal risikorapporteringen gi trygghet som beslutningsgrunnlag, må styrets med lemmer også føle seg komfortable med at den er så fullstendig, presis og nyansert som mulig.
Hva kjennetegner god risikostyring? God risikostyring handler ikke om hvor mange analyser som er gjennomført eller hvor ofte man rapporterer. Det handler om mer enn å vurdere sannsynlighet og konsekvens knyttet til uønskede hendelser. God risikostyring handler om å legge til rette for at organisasjonen skal kunne ta velinformerte beslutninger og fokusere på de aktivitetene som maksimerer måloppnåelsen. Kort sagt kan man si at det handler om å skape trygghet for at virksomhetens strategi operasjonaliseres på best mulig vis samtidig som man ivaretar gjeldende interne og eksterne krav. Dette bør som nevnt stå svært høyt på styrets agenda. Men hvordan skal man vurdere hvorvidt virksomheten har mekanismer som ivaretar dette på en god måte? Dette er lettere sagt enn gjort og vil fortone seg svært forskjellig avhengig av bransje og selskap. Jeg mener likevel det er noen nøkkelfaktorer som er generiske. Dette tegner selvfølgelig ikke et full stendig bilde av hva som kjennetegner god risikostyring. Temaene kan imidlertid være til hjelp når man som styremedlem eller internrevisor skal vurdere hvordan risikostyringen i virksomheten er organisert og ivaretatt.
Organisering og tydelige roller med reelt mandat og ansvar Vi har en tendens å umiddelbart tenke på metodikk for risikovurderinger og rapport ering når det er snakk om risikostyring. Minst like viktig er imidlertid hvordan man organiserer arbeidet. Roller og ansvar må defineres på et vis som sikrer ivare takelse av risikostyringsprosessen, hensiktsmessige rapporteringslinjer og nødvendig integritet i arbeidet. Dersom dette ikke er på plass, er det vanskelig å
39