Kartlegging av risiko – Fra usikkerhet til vurdert og styrt risikoforhold

Den sykliske risikovurderingsprosessen

1. Risikoidentifikasjon

Det første og mest kritiske steget. Man identifiserer usikkerhetskildene, truslene og de mulige konsekvensene. Dette gjøres gjennom analyse av prosesser og aktiviteter, intervjuer med nøkkelpersonell, sjekklister og erfaring fra tidligere avvik. Man ser etter sårbarheter i systemer, prosesser og gjeldende instrukser.

2. Risikovurdering – analyse og evaluering

Her kvantifiserer eller kvalifiserer man de identifiserte risikoforholdene. Hver identifisert risiko analyseres med tanke på sannsynlighet for at hendelsen inntreffer og konsekvens hvis den inntreffer. Resultatet – selve risikonivået – sammenlignes deretter med virksomhetens risikoappetitt og akseptkriterier. Dette trinnet beregner den inherente risikoen – risikoen før nye tiltak er iverksatt – for hvert identifisert risikoaspekt.

3. Risikobehandling

Dersom risikonivået er høyere enn akseptabelt, må man iverksette tiltak. Behandlingen innebærer å velge en av følgende strategier:

• Redusere: Implementere forebyggende instrukser som reduserer sannsynligheten eller konsekvensen.
• Overføre: For eksempel gjennom forsikring eller kontraktsmessig overføring av risiko.
• Unngå: Stoppe aktiviteten som skaper risikoen.
• Akseptere: Godkjenne risikoen dersom den er lav, eller tiltakene er for kostbare i forhold til effekten. Beslutningen må dokumenteres i risikoregisteret.

4. Risikoreduserende tiltak som instrukser

Risikobehandlingen leder direkte til forebyggende tiltak som blir en del av det løpende internkontrollarbeidet. Dette kan være etablering av opplærings-, gjennomførings- og kvalitetssikringsinstrukser. Prosessen må overvåkes og gjennomgås jevnlig for å sikre at instruksene fungerer som tiltenkt og at risikobildet ikke har endret seg.

Evaluering mot akseptkriterier

Etter analysen må resultatet evalueres mot virksomhetens akseptkriterier. Dette er terskelen som avgjør om risikoen er akseptabel eller krever behandling:

• Høy/Kritisk risiko: Må behandles umiddelbart. Nye instrukser skal implementeres raskt.
• Middels risiko: Må behandles, men kan prioriteres etter de kritiske risikoene.
• Lav risiko: Kan aksepteres, men bør overvåkes og dokumenteres i risikoregisteret.

Risikoen for det enkelte risikoforholdet fastsettes ved å multiplisere fastsatt sannsynlighet og konsekvens. Risikomatrisen er et sentralt visuelt verktøy for å prioritere risikoer.

Sjekkliste for en effektiv risikovurdering

Følgende punkter er sentrale elementer som må gjennomgås og dokumenteres:

• 1. Definering av mål og omfang: Er det klart definert hvilke mål, prosesser eller myndighetskrav risikovurderingen gjelder for?
• 2. Identifisering av aktiviteter og hendelser: Er alle vesentlige styringsparametre og aktiviteter i prosessen identifisert?
• 3. Vurdering av eksisterende instrukser: Er virksomhetens nåværende forebyggende instrukser beskrevet og vurdert med hensyn til effektivitet?
• 4. Analyse av inherent risiko: Er sannsynlighet og konsekvens vurdert før eksisterende instrukser tas i betraktning?
• 5. Analyse av restrisiko: Er sannsynlighet og konsekvens vurdert på nytt basert på effekten av eksisterende instrukser? Dette gir den reelle restrisikoen.
• 6. Sammenligning mot akseptkriterier: Er den gjenværende risikoen sammenlignet med virksomhetens definerte akseptkriterier?
• 7. Dokumentasjon av behandling: Er det utarbeidet en klar plan for nye risikoreduserende instrukser dersom risikoen er uakseptabel?
• 8. Ansvar og frist: Er det definert tydelig ansvar for hvem som skal eie og følge opp risikoen?
• 9. Oppfølging og rapportering: Er det etablert en plan for når risikovurderingen skal gjennomgås på nytt?

Risikovurdering og IS-Modellen™

I IS-Modellen™ er risikovurderingen det tredje segmentet i styringssystemarbeidet – prosess- og risikovurdering. Funnene fra risikovurderingen danner direkte grunnlaget for det fjerde segmentet: aktivitetsorganisering gjennom instrukser. Dette sikrer at instruksene ikke utarbeides vilkårlig, men er forankret i en dokumentert risikovurdering. Hjemlingen i lovverket og arbeidsavtalen gir instruksene sin bindende karakter.