ENHET B5.1 Informasjon til ERM-systemet:

oppsummerer at ERM-systemet aldri blir bedre enn den informasjonen som tilflyter det.

• Regler som utarbeides for å hindre at informasjon skal missbrukes, eller komme på gale hender, må ikke stå i veien for at denne kommer inn i ERM-systemet. Det kan derfor i enkelte tilfeller være nødvendig å løse enkelte risikorapportører fra sine eventuelle taushetsløfter i forhold til ERM-systemet. Det vil selvfølgelig være avhengig av grunnlaget for, – og utformingen av taushetsløftet.

• Sammensetningen av risikorapportører eller deltakere i workshopen vil kunne påvirke tilgangen til informasjon i ERM-systemet. Vi må kunne anta at jo flere rapportører som rekrutteres fra ledelsessjiktet i linjen, – desto mer vil informasjonen i ERM-systemet ligne den formelle informasjonen som ellers sirkulerer i form av rapporter og annet. Vi må derfor vurdere om vi har en hensiktsmessig ”spredning” av rapportørene på ulike organisatoriske nivå og fagområder.

• Ulike organisasjonskulturer tillater større eller mindre grad av åpenhet om-kring vanskelige problemstillinger. I enkelte tilfeller bør det derfor åpnes for anonymisering av bidrag fra risikorapportørene. Selv om organisasjonen i utgangspunktet ikke kan se behovet for dette, kan det være hensiktsmessig å ha gjennomført det som en regel i forkant slik at organisasjonen er forberedt ”den ene gangen” den har behov for det. Etterpå kan det være for sent.

• Situasjoner kan oppstå i organisasjonen der enkeltpersoner kjenner til forhold vedkommende følger seg ubekvem med å melde gjennom de daglige kanalene. Det kan også være, at slike meldinger tidligere har vært resultatløse. Årsaken til manglende rapportering er ofte frykten for represalier eller trakasering fra organisasjonen, eller dens medarbeidere. Enhver organisasjon bør derfor ha regler for ”whistle blowing” (”brønnpissing”), som åpner for anonym rapportering utenom normal kommandostruktur. Det bør vurderes om CRO kan være ”uavhengig adresse” for slike rapporter

FORORD iv
ERM- HÅNDBØKENES HENSIKT OG MÅLGRUPPE  v
HVA ER FORSKJELLEN PÅ RISIKOLEDELSE OG RISIKOSTYRING? vi
DEN NYE ISO 31000:2009 STANDARDEN ix
PROBLEMET MED TRADISJONELL RISK MANAGEMENT (RM) xii
FORDELENE MED IVERKSETTELSEN AV ENTERPRISE RISK MANAGEMENT (ERM) xiii
HVA ER UTFORDRINGENE MED ERM xv
ORGANISERING AV ERM-HÅNDBØKENE xvii
INNLEDNING

1. ETABLERING AV KONTEKST 4

1.1 FRA TANKE TIL HANDLING 4
1.2 DE ULIKE ROLLENE I ERM-PROSJEKTET 5
1.2.1 STYRET 5
1.2.2 STYRINGSGRUPPEN 5
1.2.3 FORPROSJEKTGRUPPEN 6
1.2.4 PROSJEKTGRUPPEN 6
1.2.5 LINJEN 7
1.3 OVERBLIKK OVER ERM-PROSJEKTET 7
1.4 DEFINERE MANDAT OG MÅLSETNINGER 9
1.4.1 STYRET 9
1.4.2 STYRINGSGRUPPEN 10
1.4.3 FORPROSJEKTGRUPPEN 11
1.5 KARTLEGGE FUNDAMENTET FOR ET ERM-SYSTEM 12
1.5.1 STYRENDE DOKUMENTER (POLICYER) 12
1.5.2 KRAV OG FORVENTNINGER FRA INTERESSENTER 12
1.6 UTARBEIDE KONKRET FORSLAG TIL PROSJEKTMANDAT OG MÅLSETTINGER 13
1.7 STYRETS FORMALISERING AV PROSJEKTET 14
1.8 ERM-PROSJEKTET, REALISERING AV STYREVEDTAK 15
1.8.1 ETABLERING AV OPERATIV ORGANISASJONSSTRUKTUR. 16
1.8.2 ERM-FUNKSJONENS BINDING TIL LINJEN 16
1.8.3 PERSONELLBEHOV 17
1.8.4 DELTAKERE PÅ EN WORKSHOP 18
1.8.5 TILPASSE STYRENDE DOKUMENTER 19
1.8.6 VALG AV VERKTØY OG METODER 22
1.8.7 FASTLEGGE RAPPORTERINGSTERSKLER(-TOLERANSE) I RISIKOPOLICYEN 28
1.8.8 OPPLÆRING 29
1.8.9 KULTUR OG ERM-MILJØ 31
1.8.10 KOORDINERING MED ANDRE PROSESSER 32
1.8.11 STYREBEHANDLING OG GODKJENNING AV PROSJEKT 33
1.8.12 GRENSESNITT MOT HVERDAGEN 33
1.9 OPPSUMMERING 34

2. KJERNEPROSESSEN 37

2.1 ”WORKSHOP”-PROSEDYREN 37
2.1.1 GJENNOMFØRINGEN AV RISIKOWORKSHOP 38
2.2 IDENTIFISERING 41
2.2.1 RISIKOANALYSESKJEMA 43
2.2.2 VERKTØY OG TEKNIKKER FOR RISIKOIDENTIFISERING 46
2.2.3 OPPSUMMERING 47
2.3 ANALYSE 48
2.3.1 SAMLING OG KOMPLETTERING AV INFORMASJON FRA IDENTIFISERINGSFASEN 48
2.3.2 KONSEKVENS SOM OPPSIDE RISIKO (MULIGHET) 51
2.3.3 VERKTØY OG TEKNIKKER FOR RISIKOANALYSEN 53
2.3.4 OPPSUMMERING 55
2.4 EVALUERING 56
2.4.1 ØYEBLIKKELIG RAPPORTERING TIL STYRET OG DAGLIG LEDELSE 58
2.4.2 OPPSUMMERING 60
2.5 TILTAK 61
2.5.1 VALG AV TILTAKSSTRATEGI FOR NEDSIDE RISIKO 61
2.5.2 TILTAKSKOSTNADER 63
2.5.3 EVALUERING AV KONTROLL OG OVERVÅKNINGSMEKANISMER 64
2.5.4 OPPSUMMERING 65
2.6 RAPPORTERING 66
2.6.1 HVEM HAR RAPPORTERINGSANSVARET? 66
2.6.2 HVEM RAPPORTERES DET TIL? 66
2.6.3 HVA RAPPORTERES? 67
2.6.4 NÅR RAPPORTERES DET? 68
2.6.5 HVORDAN RAPPORTERS DET? 70
2.6.6 OPPSUMMERING 72
2.7 EKSEMPEL PÅ KJERNEPROSESSEN I EN WORKSHOP 73
2.8 OPPSUMMERING 75

3. HÅNDTERING OG OVERVÅKING 78

3.1 OVERVÅKING AV OPPSIDE/NEDSIDE RISIKO 78
3.2 PROAKTIV RISIKOHÅNDTERING 79
3.2.1 ANSVAR OG MYNDIGHET, – ”VETORETT” 79
3.2.2 PRIORITERING OG DELEGERING 80
3.3 REAKTIV RISIKOHÅNDTERING 81
3.4 OPPSUMMERING 82

4. SYSTEMEVALUERING OG GODKJENNING 84

4.1 CRO/CRM’S KONTROLLER 84
4.1.1 ERMSE – ENTERPRISE RISK MANAGEMENT SYSTEMEVALUERING 84
4.1.2 METODE FOR ERMSE 86
4.2 INTERNREVISJONENS KONTROLLER 94
4.2.1 FORMÅL 94
4.2.2 INTERNREVISJONENS VURDERING/BEKREFTELSE AV ERM-SYSTEMET 94
4.3 OPPSUMMERING 95

5. KOMMUNIKASJON OG KONSULTASJON 97

5.1 INFORMASJON TIL ERM-SYSTEMET 98
5.2 INFORMASJON FRA ERM-SYSTEMET 98
5.3 OPPSUMMERING 99

6. VEDLIKEHOLD AV KONTEKST 101

6.1 ERM-PLANEN/-PROGRAMMET 101
6.2 OPPSUMMERING 102

7. STIKKORDSREGISTER 104
8. VEDLEGGSOVERSIKT 106