METODE
Fra enkeltvurderinger til et samlet risikobilde
Metoden beholder det som gjør risikomatrisen nyttig: at de som kjenner virksomheten, vurderer risikoene ut fra egen erfaring. Det som endres, er hva som anslås: ikke én rute, men hvor ofte hver risiko forventes å overskride ulike alvorlighetsnivåer.
KORT FORTALT
Fem prinsipper
En kurve, ikke en rute
Hver risiko beskrives ut fra hvor ofte den forventes å overskride hvert alvorlighetsnivå for det virksomheten beskytter.
Usikkerhet og sporbarhet
Hvert anslag har et lavt, et sannsynlig og et høyt nivå, og hver endring lagres med hvem, når og hvilken kilde.
Kan legges sammen
Risikoene summeres til kategori, verdi og hele virksomheten, uten simulering.
Til beslutning
Risikoen uttrykkes i kroner, holdes opp mot det styret har vedtatt, og tiltak rangeres etter hvor mye risiko de fjerner per krone.
Det ukjente tas med
Det som ikke er kartlagt, legges til som et synlig og begrunnet påslag.
KORT FORTALT
Det en risikomatrise ikke kan
Matrisen er enkel å forstå, men har tre begrensninger når resultatet skal brukes til beslutninger.
Risikoene kan ikke legges sammen
En plassering i en rute er ikke et mål. Ti risikoer i gult sier ikke hvor stor den samlede risikoen er, eller om den er blitt større siden i fjor.
Én risiko får én rute
En risiko som oftest gir små tap, men en sjelden gang et stort, må beskrives med det ene eller det andre. Den andre siden forsvinner.
Tiltak kan ikke sammenlignes i kroner
Skalaene er rangeringer, ikke mål. Det er derfor ikke mulig å si hvor mye risiko et tiltak fjerner.
RISIKO SOM KURVE
Hvor ofte, og hvor ille
Virksomheten definerer først hva den beskytter, for eksempel økonomi, helse, miljø og sikkerhet, omdømme og strategi. For hver verdi fastsettes alvorlighetsnivåer, fra små til svært alvorlige. Grensen der et nivå begynner, kalles en terskel. For økonomi er tersklene beløp. For helse og sikkerhet kan de være skader av økende alvorlighet.
For hver risiko anslår fagfolkene hvor ofte det skjer en hendelse over den laveste terskelen, og hvor ofte en hendelse utvikler seg videre til neste nivå. Til sammen gir det en kurve som viser både de små, hyppige hendelsene og de sjeldne, alvorlige, hver for seg.
SUMMERING
Ett samlet risikobilde
Fordi alle risikoer beskrives mot de samme tersklene, kan kurvene legges sammen. Summen av risikoene i en kategori gir kategoriens kurve, og slik videre opp til hele virksomheten. Bildet kan også brytes ned igjen, slik at det er synlig hvilke risikoer som bidrar mest.
Der to risikoer beskriver delvis samme hendelse, trekkes overlappet fra.
EKSEMPLER
Det risikomatrise ikke får fram
De fleste vurderer i dag risiko i en matrise med sannsynlighet og konsekvens. Her er fire eksempler på hva som går tapt, og hva som blir synlig når risikoene i stedet beskrives mot felles alvorlighetsnivåer.
Poengsummer kan ikke legges sammen
Tre risikoer kan få score 10 hver i matrisen. Det betyr ikke at samlet risiko er 30, fordi skalaene er rangeringer, ikke mengder. Matrisen kan derfor ikke si hvor stor den samlede risikoen er.
10 + 10 + 10 ≠ 30
Samlet risiko blir usynlig
Tre risikoer ligger hver for seg innenfor det styret tåler av tap over 10 millioner. Matrisen vurderer dem én og én og viser ikke noe problem. Lagt sammen ligger de 70 prosent over.
+70 %
Risikoene kan ikke sammenlignes i kroner
Et IT-avbrudd med mange små tap og en brann med sjeldne, store tap havner i hver sin rute, og matrisen sier ikke hvilken som koster mest. Regnet i kroner koster de omtrent det samme per år, men på helt ulike måter.
+25 %
Det som ikke er registrert, telles ikke
Matrisen viser bare risikoene som står i registeret. Dekker registeret rundt 80 prosent av risikoene i en kategori, er samlet risiko om lag en firedel høyere enn matrisen gir inntrykk av.
≈ 1,8 mill.
Fiktive tall.
DET SOM IKKE ER KARTLAGT
Et synlig påslag
Et risikoregister er aldri komplett. Består totalen bare av de registrerte risikoene, blir den for lav, og avviket viser seg først når tapene kommer. Metoden håndterer dette slik et forsikringsselskap avsetter for skader som har skjedd, men ennå ikke er meldt: med et eksplisitt påslag.
Påslaget vises for seg, med begrunnelse, slik at det kan diskuteres og justeres. Over tid kan samlet risiko sammenlignes med erfarte tap.
USIKKERHET OG SPORBARHET
Et levende risikoregister
Anslag fra fagfolk er usikre, og usikkerheten er i seg selv informasjon. Et bredt spenn mellom lavt og høyt anslag viser hvor mer kunnskap gir størst forskjell for beslutningen.
Hver endring lagres med arbeidsøkt, bruker og tidspunkt. Registeret holdes oppdatert løpende i stedet for å revideres én gang i året, og historikken bevares..
TIL BESLUTNING
Fra anslag til kroner, toleranse og tiltak
Risikokostnad
Hva risikoen i snitt forventes å koste per år, i kroner. Med risikoen i kroner kan effekten av et tiltak måles som hvor mye risikokostnaden går ned, og holdes opp mot hva tiltaket koster.
Aversjon
Hvor uønsket risikoen er. Ledelse og styre vedtar hvor mye de misliker hvert alvorlighetsnivå, så sjeldne, alvorlige hendelser kan veie tyngre enn gjennomsnittet tilsier.
Toleranse
Et mål, et nivå som utløser tiltak og en grense som ikke skal overskrides, per verdi og alvorlighetsnivå.
EKSEMPEL MED FIKTIVE TALL
Stans i et kritisk system
Virksomheten vurderer to tiltak. Bedre overvåking fjerner en del av de små stansene og gir størst reduksjon i risikokostnad. Men den sjeldne, alvorlige stansen ligger fortsatt over grensen styret har satt. En reserveløsning endrer ikke hvor ofte stans skjer, men hindrer at den blir alvorlig. Den bringer risikoen innenfor grensen og fjerner mest risiko per krone. Et gjennomsnitt alene ville ikke vist dette.
Linær skala
Lineær skala: de sjeldne, alvorlige utfallene ser nesten ut som null, selv om det er der toleransen brytes. Bytt til logaritmisk skala for å se dem.
Logaritmisk skala
Den kobberfargede kurven er dagens risiko, med lavt og høyt anslag som streker. Bedre overvåking senker de små og mellomstore stansene, men ikke den alvorlige. Reserveløsningen senker nettopp den alvorlige og bringer hele kurven innenfor toleransen.
Sjeldne hendelser med store tap kan bety mye for samlet risiko, selv om de knapt synes i en vanlig graf. Derfor vektes de tyngre, og derfor vises de for seg.
Fiktive tall.
MER OM METODEN
Vil du se formelene?
Metodenotatet beskriver beregningene i detalj, med egne avsnitt for den tekniske leseren.
Metoden er utviklet av fagansvarlig Ørjan Ådland, matematiker og aktuar med mange års erfaring fra risikofunksjonen i forsikringsselskaper i Norden.
