Hva er risikovurdering – avviksbehandling av fremtiden?

1. Hva er risikovurdering – egentlig?

Hva er risikovurdering? Spørsmålet stilles ofte, men besvares sjelden presist. Definisjonene i lærebøkene er teknisk korrekte, men abstrakte: "systematisk identifisering, analyse og evaluering av risiko". Det forklarer ikke hva risikovurdering faktisk er som styringshandling – og det er nettopp det avstanden mellom definisjon og praksis som gjør at så mange virksomheter sliter med å få risikovurderingen til å virke.

Det enkleste og mest operative svaret er dette: risikovurdering er behandling av fremtidige uønskede hendelser man vil styre seg vekk fra. Du identifiserer hva som kan gå galt, vurderer hvor sannsynlig og alvorlig det er, og iverksetter tiltak som forhindrer at det skjer – eller som reduserer konsekvensen om det likevel skulle skje. Når du forstår hva risikovurdering er på den måten, blir den umiddelbart mer operativ. Det er ikke en akademisk øvelse. Det er handlingen der du gjør noe med fremtiden i dag.

Når du ser risikovurdering på den måten, blir den umiddelbart mer operativ. Det er ikke en akademisk øvelse. Det er handlingen der du gjør noe med fremtiden i dag.

2. Den mentale modellen: avviksbehandling av fremtiden

Den enkleste måten å forstå hva risikovurdering er, er å speile den mot avviksbehandling – som de fleste ledere allerede forstår. Når et avvik oppstår, gjennomfører virksomheten en kjent sekvens: registrere hendelsen, analysere årsak, vurdere konsekvenser, iverksette tiltak, oppdatere instruks, lukke saken. Dette er etablert disiplin i norske virksomheter.

Risikovurdering er nøyaktig den samme sekvensen – bare før hendelsen har skjedd. Du identifiserer en potensiell hendelse, analyserer hvilke årsaksfaktorer som kan utløse den, vurderer konsekvenser hvis den skjer, iverksetter tiltak som reduserer sannsynligheten eller konsekvensen, oppdaterer styringssystemet, og holder funnet under oppsyn. Forskjellen er én eneste variabel: tidspunktet.

Speilingen er ikke et retorisk grep. Det er en presis beskrivelse av hva risikovurdering metodisk er. Når du forstår dette, slutter risikovurdering å være "noe vi må gjøre fordi forskriften krever det", og blir "noe vi gjør for å slippe å håndtere de samme problemene som avvik senere".

3. Tre dimensjoner ved fremtidige hendelser du vil unngå

Når du behandler fremtidige uønskede hendelser, må du tenke på tre dimensjoner samtidig. Det er disse tre som gjør forskjellen mellom en oversiktlig risikovurdering og en risikorapport som ingen handler på.

De fleste norske risikovurderinger måler de to første dimensjonene grundig – og hopper over den tredje. Resultatet er et risikoregister som beskriver hva som kan gå galt, men ikke hva virksomheten faktisk skal gjøre med det. Det er nettopp den tredje dimensjonen som binder risikovurdering til styringshandlingen, og som gjør at "avviksbehandling av fremtiden" får mening.

4. Hvorfor speilingen mot avvik gir bedre risikovurderinger

Når du ser risikovurdering som avviksbehandling av fremtiden, endres flere ting ved hvordan du gjennomfører den. Disse endringene er små i tilnærming, men store i resultat.

Det er disse tre endringene som tar risikovurderingen fra dokumentasjonskrav til styringshandling. Når en risikovurdering gjennomføres med samme disiplin som en avviksbehandling, slutter den å være en perm-aktivitet og blir til noe ledelsen og styret kan handle på.

5. Eksempel: Risikoen som ble identifisert – og som likevel skjedde

Et industriselskap gjennomfører en grundig risikovurdering av sin kritiske vedlikeholdsprosess. Risikoen for personskade ved arbeid på maskiner under spenning identifiseres. Sannsynligheten vurderes som moderat, konsekvensen som høy. Risikoen havner i risikoregisteret med rød markering.

Atten måneder senere skjer en alvorlig personskade på akkurat denne maskintypen. Når Arbeidstilsynet kommer på tilsyn, finner de risikovurderingen i dokumentsystemet. Den er teknisk korrekt. Men ingen tiltak er implementert. Begrunnelsen er at "tiltakene var planlagt, men ble ikke prioritert". Saken eskalerer fra ulykkesgranskning til pålegg om manglende internkontroll og overtredelsesgebyr for styret.

Hva gikk galt? Ikke risikovurderingen. Den traff perfekt. Det som gikk galt var at risikoen ble behandlet som dokumentasjon, ikke som handling. Hadde virksomheten behandlet identifiseringen med samme disiplin som de behandler et avvik – med ansvarlig, frist, tiltak og dokumentert lukking eller akseptering – ville hendelsen vært forhindret. Det er nettopp denne disiplinen "avviksbehandling av fremtiden" tvinger frem.

6. Risikovurdering som styringshandling, ikke dokument

Spør du norske ledere hva er risikovurdering, vil mange svare med å beskrive et dokument: en risikomatrise, en rapport, en perm. Men for at risikovurdering skal være avviksbehandling av fremtiden, må den behandles som styringshandling – ikke som rapport, ikke som dokumentasjon, og ikke som "noe vi gjør én gang i året fordi forskriften krever det". En styringshandling har konkret innhold som skiller den fra et dokument.

Forskjellen mellom de to kolonnene er ikke graden – det er kategorien. En risikovurdering som er dokument, er en helt annen aktivitet enn en risikovurdering som er styringshandling. Begge kan kalles "risikovurdering" på papiret, men kun den ene reduserer faktisk risiko i virksomheten.

7. Fra forutsigbar fremtid til styrt fremtid – fem grep

Hvis virksomheten allerede gjennomfører risikovurderinger, men opplever at de ikke gir reell styringskraft, er det fem grep som typisk gjør størst forskjell. Hvert grep er enkelt å forstå, men krever bevissthet i gjennomføringen.

Det avgjørende er punkt 3. Det er der speilingen mot avvik virkelig får effekt. En risiko som ikke kan lukkes med tiltak, må aksepteres med dokumentert begrunnelse – og den begrunnelsen må komme fra noen med myndighet til å akseptere risikoen. Ingen flytende risikoer. Ingen "vi vurderer dette nærmere"-permanens. Akkurat som ved avvik.

8. Slik gjennomfører du en risikovurdering i praksis

Når du gjennomfører en risikovurdering med "avviksbehandling av fremtiden" som mental modell, følger du i praksis seks steg. Stegene er gjenkjennelige fra avviksbehandling – og det er nettopp poenget.

Når disse seks stegene gjennomføres med samme grundighet og dokumentasjon som ved avviksbehandling, får risikovurderingen styringskraft. Det er denne disiplinen IS-modellen™ bygger inn i virksomhetens styringssystem – ikke som en separat risikoprosess, men som et integrert grep der fortidens læring og fremtidens forutseenhet håndteres med samme metodikk.

9. Verktøy som operasjonaliserer risikovurdering

For at risikovurdering skal fungere som "avviksbehandling av fremtiden" i praksis, trengs verktøy som faktisk implementerer disiplinen. To verktøy fra Styringsportalen dekker de viktigste delene av prosessen: en strukturert metodikk for selve risikovurderingen, og en stresstest av eksisterende barrierer som verifiserer at tiltakene faktisk virker.

Brukt sammen utgjør disse to verktøyene en operativ syklus: Risikovurdering™ PRO etablerer barrierene proaktivt, og RisikoBarriere-Testeren™ PRO verifiserer at de fortsatt holder mål. Det er denne kombinasjonen som tar risikovurdering fra dokument til styringshandling – og som gjør at "avviksbehandling av fremtiden" leveres på det nivået forskriften forutsetter, og som styreansvaret krever.

10. Avsluttende vurdering: Foran eller bak hendelsene

Hva er risikovurdering, etter alt dette? Det er ikke en akademisk disiplin. Det er handlingen der du behandler fremtidige uønskede hendelser før de skjer, med samme metodikk som du bruker når avvik faktisk har skjedd. Når du forstår hva risikovurdering er som styringsbegrep – avviksbehandling av fremtiden – endres alt: du leter etter konkrete hendelser i stedet for kategorier, du krever samme dokumentnivå som ved avvik, og du tillater ikke at risikoer blir liggende uten lukking eller dokumentert akseptering.

Den virksomheten som behandler risikovurdering som dokumentasjonsoppgave, vil alltid ligge bak hendelsene. Den som behandler risikovurdering som styringshandling – avviksbehandling av fremtiden – ligger foran. Forskjellen sees ikke umiddelbart, men kommer tydelig frem når en risiko som var korrekt identifisert, materialiserer seg som avvik. Den ene virksomheten har dokumentert tiltak og dokumentert akseptering. Den andre har et risikoregister som beviser at risikoen var kjent – men som ikke beskytter mot ansvar når den ble til avvik.

For ledere og styremedlemmer er dette ikke filosofisk. Det er ren regnestykke: hver risiko du fanger og handler på, er ett avvik du slipper å håndtere senere. Og hver risiko du dokumenterer uten å handle på, er ett avvik du har bygget inn i fremtiden – med navnetag.