Risikostyring og beredskap – Strategisk kontroll over virksomhetens usikkerhet

Gjennom risikostyringsprosessen knyttes strategiske ambisjoner sammen med operative realiteter. Dette sikrer at ledelsen og styret har den nødvendige oversikten over trusler og muligheter, og at ressurser settes inn der de gir størst effekt for å beskytte virksomhetens verdier, ansatte og omdømme.

Risikostyringsprosessen – fire sentrale faser

1. Risikoidentifikasjon

Kartlegging av potensielle hendelser eller forhold som kan hindre måloppnåelse eller føre til uønskede hendelser. Spørsmålet man stiller er: «Hva kan hindre oss i å nå målene eller etterkomme forpliktelsene våre?» Dette gjøres gjennom analyse av prosesser, aktiviteter, intervjuer og erfaring fra tidligere avvik.

2. Analyse og evaluering

Vurdering av sannsynlighet og konsekvens for å fastslå risikonivået og behovet for tiltak. Resultatet sammenlignes mot virksomhetens risikoappetitt og akseptkriterier.

3. Risikohåndtering

Implementering av tiltak for å redusere, overføre, unngå eller akseptere den identifiserte risikoen. Risikobehandlingen leder direkte til forebyggende tiltak som siden blir en del av det løpende internkontrollarbeidet – gjerne i form av nye instrukser.

4. Overvåking og rapportering

Kontinuerlig oppfølging av risikobildet og tiltakenes effekt, samt rapportering til beslutningstakere. Risikoregisteret er det sentrale styringsverktøyet for denne fasen.

Styrets ansvar og lovpålagte krav til risikostyring

I henhold til Aksjeloven har styret det overordnede ansvaret for at virksomheten har tilfredsstillende systemer for internkontroll og risikostyring. Dette er ikke bare en lovpålagt plikt, men en forutsetning for forsvarlig drift. Krav til risikostyring er forankret i ulike deler av norsk lovverk:

• Internkontrollforskriften: Krever at virksomheten systematisk kartlegger farer og problemer, vurderer risikoen og utarbeider instrukser og tiltak for å redusere den.
• Aksjeloven/Allmennaksjeloven: Styret har lovpålagt ansvar for å sørge for forsvarlig organisering og at ledelsen etablerer systemer for internkontroll og risikostyring.
• Personopplysningsloven/GDPR: Krever risikovurdering (DPIA) for behandlingsaktiviteter med høy risiko for de registrertes rettigheter og friheter.

Disse kravene innebærer at risikostyring ikke er en valgfri øvelse, men en lovpålagt plikt som må dokumenteres og følges opp. En strukturert risikostyring gir styret og daglig leder trygghet for at kritiske områder som økonomi, HMS, IKT-sikkerhet og personvern blir ivaretatt systematisk.

Risikoforhold og beredskapstiltak

Beredskap må defineres som alle proaktive tiltak egnet til å eliminere eller redusere identifiserte risikoer, uavhengig av risikoens natur. Å begrense beredskapsfokuset til kun IKT-sikkerhet, brann eller naturhendelser gir en ufullstendig og dermed utilstrekkelig risikostyring. Virksomhetens resiliens krever at ledelsen kartlegger og iverksetter instrukser mot alle forhold som kan true oppnåelsen av mål og leveranser:

• Strategiske trusler: Endringer i markedet, nye konkurrenter eller politiske endringer.
• Operasjonelle sårbarheter: Lav effektivitet, mangelfull kompetanse eller brudd i kritiske interne prosesser.
• Sikkerhets- og miljørisiko: Brann, naturskade, vold/trusler, kjemikalier eller IKT-sikkerhetsbrudd.
• Regulatorisk risiko: Manglende etterlevelse av myndighetskrav, standarder og inngåtte avtaler.

Lovpålagte beredskapsplaner

Internkontrollforskriften § 5 pålegger virksomheten å dokumentere instrukser for å ivareta arbeidstakernes helse, miljø og sikkerhet, herunder beredskap mot ulykker og akutte hendelser. Det lovpålagte beredskapsarbeidet må baseres på en systematisk Risiko- og Sårbarhetsanalyse (ROS-analyse). Sentrale lovpålagte beredskapsplaner inkluderer:

• Beredskapsplan for brann og eksplosjon: Detaljerer varslingsrutiner, rømningsveier, samlingsplass og vedlikehold av brannvernutstyr.
• Førstehjelps- og ulykkesplan: Akutt håndtering av personskade, inkludert tilgang på førstehjelpsutstyr og varsling av 113.
• Krisesituasjonsplan (vold/trusler): Tiltak ved voldelige eller truende situasjoner, inkludert fysisk sikring og oppfølging av ansatte.
• Kontinuitetsplan: Gjenoppretting av kritiske systemer og funksjoner etter større avbrudd, for å sikre rask gjenopptakelse av driften.

Alle beredskapsplaner skal testes gjennom jevnlige øvelser (minimum årlig) og dokumenteres som en del av instruksregisteret.