Konteksten

Konteksten er både det interne og eksterne miljøet som ERM-prosessen er avhengig av for at organisasjonens skal oppnå suksess.

Identifisering

Risikoidentifering er prosessen som definerer de hendelser eller utfall som kan ha en målbar påvirkning på organisasjonens suksess.

Analysering

Risikoanalyse bestemmer hvor stor virkningen av risiko kan være og hvor stor sannsynlighet det er for at denne virkningen inntreffer.

Evaluering

Risikoevaluering bestemmer hvilke risikoer skal håndteres først (propritering) ved å sammenligne nivået på risiko mot organisasjonens mål.

Risikoprioritering er et mål på hvor betydlig en risiko er.

Tiltak

Risiko tiltak er den aksjon som tas som et resultat av at en risiko har blitt identifisert og vurdert/bedømt til å være uaksebtabel for organisasjonen.

Rapportering

Risikorapportering er å dokumentere hvert trinn i ERM-prosessen fotrinnvis skriftlig, men også eventuelt muntlig.

Håndtering og overvåking

Regelmessig overvåking og vurdering av risikoer er en viktig del av iverksettelsen. Den sikrer at nye risikoer oppdages og håndteres og at tiltaksplaner iverksettes og tilnærmes effektivt.

• Sikre at risikovurderingen vil være passende for den spesifike organisasjonen og de omgivelsene den operer i
• Identifisere interessegrupper som påvirkes eller involveres i organisasjonns operasjoner.
• Spesifisere hovedmålene og det utfallet som forlanges.
• Identifisere et sett med suksesskriterier/-faktorer som konsekvensene av de identifiserte risikoer kan bli målt mot.
• Definere et sett med nøkkelelementer eller kategorier for å strukturere risikoidentifiseringsvurderingsprosessen.

Sentrale spørsmål er:

Hvor er vi?  Gjennom kartlegging og erkjennelse av de ulike enheters utgangspunkt kan organisasjonen unngå dobbeltarbeide eller forhold som kan hindre en vellykket gjennomføring av ERM prosessen.  Eksisterende praksis, kultur, avhengighet av innhentet kompetanse etc. kan være sentrale tema i en slik analyse.

Hvor skal vi?  Den enkelte organisasjon må velge hvilket ambisjonsnivå den enkelte enhet, eller risikoområde, skal ha og derved hvilket fokus dette skal få.  Ikke minst er det viktig å ha klart for seg hva organisasjonen ønsker å oppnå.  Ønsker vi å tilfredsstille konkrete juridiske krav som SOX, eller KonTraG, eller lignende, eller er målsetningen først og fremst kommersielt begrunnet? Det er som regel ikke ressurser nok til å fokusere like sterk på alle områder, og en prioritering kan være fornuftig.

Forstått av alle?  De organisasjoner som vil lykkes, er de som klarer å etablere en konsistent og ensartet forståelse for, og aksept av ERM som rammeverk/system for deretter å motivere til gjennomføring.

Har vi den nødvendige utholdenheten?  Er våre intensjoner forankret i våre strategier og planer. Forvent ikke resultater som er synbare på bunnlinjen fra første dag.  Tålmodig og målbevisst arbeid er som regel nødvendig.  Husk også at det kan være vanskelig å se «fraværet av en uønsket hendelse i regnskapene» på kort sikt.

Har vi den nødvendige metodikk, kompetanse og tid?  Den første og kanskje viktigste delen av ERM-systemet er integreringen med organisasjonens øvrige interne strukturer.  Introduksjon av ERM-systemet vil medføre en rekke endringer i organisasjonen.  Utfordringene her er mange, og det kan være fornuftig å ta seg god tid til å forberede dette.  En dårlig gjennomført etableringsfase vil ofte ende opp i at ERM-systemet og øvrige styringssystemer senere, vil fungere som en sko og en kalosje i forhold til hverandre.  Det vil si at ERM-systemet bare blir liggende utenpå som et tillegg til andre mekanismer.  ERM-systemet vil da oppfattes som en tilleggsbelastning for organisasjonen, noe som igjen både øker sjansene for unødige friksjoner og kostnader.

Har vi interessekonflikter?  Valg av tidspunkt for innføring kan ha stor betydning for resultatet.  Organisasjonen bør være forsiktig med å innføre flere prosesser eller styringssystemer samtidig.  Systemer som EFQM, BSC, ERM har helt klart paralleller. Mulighetene for synergier mellom slike systemer er absolutt til stede når systemene er opp og går.  Derimot kan det by på problemer å innføre flere systemer samtidig.  Innføring av slike mekanismer krever mye oppmerksomhet fra ledelsen, og den øvrige organisasjonen.  Erfaringsmessig kan det lett oppstå innbyrdes konkurranse og «religionskrig» i stedet for samarbeid dersom organisasjonen forsøker seg på slik parallellinnføring av eksempelvis EFQM, BSC, ERM og lignende.   Innføringen av ERM må selvfølgelig også planlegges i forhold til andre tidkrevende sykliske prosesser i organisasjonen, som årsavslutning, budsjettrunder etc..  Det er tross alt her grunnlaget for systemets suksess legges, og det er derfor viktig at det fra styrets og ledelsens sin side synliggjøres at det menes alvor med innføringen, og at det medfølger eierskap til dette.