Risikostyring i virksomheter: prosess, rammeverk og ansvar

Hva risikostyring er og hvorfor det angår ledelsen

Risiko handler om at noe uønsket kan skje og påvirke det virksomheten vil oppnå. For DFØ er risikostyring å identifisere, vurdere, håndtere og følge opp hendelser som kan svekke måloppnåelsen, og det beskrives som et sentralt verktøy i statens mål- og resultatstyring. Definisjonen er laget for statlige virksomheter, men tankegangen passer like godt i private selskaper, kommuner og organisasjoner.

Risikostyring handler ikke om å fjerne all risiko. Ifølge Store norske leksikon dreier det seg om å finne den riktige risikoen, den som balanserer ønsket om å skape verdier mot ønsket om å unngå skader og tap. Det betyr at en virksomhet som ikke tar noen risiko, heller ikke skaper noe. Ledelsens oppgave er å velge bevisst hvilken risiko som er akseptabel.

I norsk lovgivning er begrepet knyttet til helse, miljø og sikkerhet: internkontrollforskriften § 5 sier at internkontrollen skal tilpasses virksomhetens art, aktiviteter, risikoforhold og størrelse. Risikostyring er det bredere arbeidet med å forstå og prioritere risiko. Internkontroll er de rutinene og kontrollene som sørger for at kravene og tiltakene faktisk følges.

Guiden passer for daglige ledere, styremedlemmer og kvalitets- eller HMS-ansvarlige som skal bygge opp eller forbedre risikostyringen. Den viser hva lovene krever, hvordan offentlige veiledere beskriver arbeidet, og hvilke feil som går igjen. En mal og et eksempel finnes i risikovurdering: mal og eksempel.

Risikostyringsprosessen steg for steg

Prosessen er i hovedsak den samme uansett bransje. DFØs definisjon peker på fire ledd: identifisere, vurdere, håndtere og følge opp. Store norske leksikon beskriver en vanlig prosess med fire hovedsteg, der siste steg er at beslutningstakeren vurderer analyseresultatene og begrensningene i dem, og trekker inn usikkerhet og forhold analysen ikke har dekket.

Første steg er å bli enig om hva som skal oppnås, og hva som kan true det. Uten klare mål blir risikovurderingen en tilfeldig liste over bekymringer. Sett derfor opp virksomhetens mål, hvilke aktiviteter som er med, og hvem som eier hvert område, før dere begynner å lete etter farer.

Deretter identifiseres hendelsene som kan skje.

Analysen vurderer sannsynlighet og konsekvens. Når grensen er satt på forhånd, blir prioriteringen mindre avhengig av hvem som sitter i rommet.

Så velges tiltak. Store norske leksikon beskriver en risikoinformert strategi der risiko håndteres ved unngåelse, reduksjon, overføring eller aksept på grunnlag av risikovurderinger og beslutningsanalyser. Tiltakene skal ha en ansvarlig og en frist, ellers blir de stående som gode intensjoner.

Til slutt følges risikoen opp og rapporteres. Arbeidstilsynet skriver at dere etter tiltakene bør evaluere dem, vurdere hvordan de har påvirket sannsynlighet og konsekvens i praksis, og oppdatere risikovurderingen. Ledelsen og styret trenger en kort og regelmessig rapport om de viktigste risikoene og om tiltakene virker.

ISO 31000: prinsipper, rammeverk og prosess

ISO 31000 er en internasjonal standard for risikostyring. Store norske leksikon oppgir den som kilde med utgaven ISO 31000:2009, Risk Management – Principles and Guidelines. Standarden finnes også i nyere utgaver, så sjekk alltid hvilken versjon som gjelder når dere skal bruke den.

DFØ henviser selv til standarden på sin side om risikostyring, der de lister risikostyring, prinsipper og retningslinjer fra Standard Norge. Det viser at standarden brukes som referanse også i statlig forvaltning.

I praksis brukes en slik standard som en struktur: noe som beskriver hvordan risikostyring bør forankres i ledelsen, bygges inn i styringen og gjennomføres som en prosess. Den gir ikke ferdige svar på hva som er risikoen i akkurat din virksomhet.

Et eksempel på hvordan en offentlig aktør bygger på en standard, finnes hos Statens vegvesen. Deres veiledning for tunneler beskriver en risikovurderingsprosess basert på standarden NS 5814: Krav til risikovurderinger (2023), der risikovurderingen er en prosess med fire trinn. Veilederen legger til et ekstra trinn for tunnelspesifikke forhold, noe som viser at en standard kan tilpasses sektoren.

Rammeverk for internkontroll og risikostyring

Det som er lovpålagt, er resultatet: at virksomheten har oversikt over risiko og kontrollerer at kravene følges. Hvilket rammeverk dere bruker, er derfor et praktisk valg.

Et godt valg tar utgangspunkt i hva virksomheten trenger. Små virksomheter med lav risiko kan klare seg med enkle rutiner, mens store virksomheter eller virksomheter med komplekse farer trenger mer. Arbeidstilsynet sier at internkontrollforskriften viser hvordan arbeidet bør legges opp for små og lite risikoutsatte virksomheter, og hva som skal til der det er mange ansatte eller HMS-utfordringer.

Store norske leksikon peker på at man i praksis bruker en kombinasjon av ulike strategier, blant annet kravbasert strategi med koder og standarder der problemstillingene er kjente og usikkerheten liten. Det samme gjelder rammeverk: bruk det som passer, og hold rutinene enkle nok til at de blir fulgt.

Uansett hvilket rammeverk som velges, bør begrepene være felles i hele virksomheten. Bruk samme skala for sannsynlighet og konsekvens, samme definisjon av akseptabel risiko og samme mal for rapportering. Da kan ledelsen sammenligne risiko på tvers av avdelinger.

Lovkrav til internkontroll og risikovurdering

Det mest konkrete kravet gjelder helse, miljø og sikkerhet. Arbeidsmiljøloven § 3-1 pålegger arbeidsgiver å sørge for systematisk HMS-arbeid på alle plan i virksomheten, i samarbeid med arbeidstakerne og deres tillitsvalgte. Arbeidsgiver skal blant annet kartlegge farer og problemer, vurdere risikoforholdene, utarbeide planer og iverksette tiltak for å redusere risikoen.

Loven krever også at arbeidsgiver vurderer arbeidsmiljøet under planlegging og gjennomføring av endringer i virksomheten, og at det finnes rutiner for å avdekke, rette opp og forebygge overtredelser. Til slutt skal arbeidsgiver foreta systematisk overvåking og gjennomgang av arbeidet for å sikre at det fungerer som forutsatt. Risikovurdering er altså én del av en større syklus.

Internkontrollforskriften utdyper hva som skal gjøres og dokumenteres. Etter internkontrollforskriften § 5 skal virksomheten blant annet sørge for at arbeidstakerne har tilstrekkelig kunnskap og ferdigheter, at arbeidstakerne medvirker, og at det fastsettes mål for helse, miljø og sikkerhet.

Dokumentasjonskravet er tydelig. Forskriften sier at skriftlig dokumentasjon minst skal omfatte målene, oversikten over organisasjon og ansvar, kartlegging og risikovurdering med planer og tiltak, rutinene mot overtredelser og den systematiske overvåkingen og gjennomgangen. Omfanget skal ellers stå i forhold til virksomhetens art, aktiviteter, risikoforhold og størrelse.

Arbeidstilsynet opplyser at forskriften gjelder for alle virksomheter som omfattes av bestemte lover om helse, miljø og sikkerhet, og at dere kan gå ut fra at den gjelder dersom dere produserer, selger eller tilbyr varer og tjenester.

Regnskapsloven hadde tidligere en bestemmelse om redegjørelse for eierstyring og selskapsledelse, men § 3-3 b er opphevet ved lov 21. juni 2024 nr. 42, i kraft 1. november 2024. Kravet om redegjørelse om foretaksstyring for noterte foretak står nå i regnskapsloven § 2-9. Legg derfor ikke til grunn eldre veiledning som viser til den. Mer om hvordan eierstyring omtales i dag finnes i eierstyring og selskapsledelse i norsk næringsliv.

Styrets og daglig leders ansvar

Etter aksjeloven § 6-12 hører forvaltningen av selskapet under styret. Styret skal sørge for forsvarlig organisering av virksomheten og i nødvendig utstrekning fastsette planer og budsjetter. Styret skal også holde seg orientert om selskapets økonomiske stilling.

Samme paragraf sier at styret plikter å påse at virksomhet, regnskap og formuesforvaltning er gjenstand for betryggende kontroll. Det er denne bestemmelsen som i praksis gir styret ansvar for at internkontroll og risikostyring finnes. Loven bruker ikke ordet risikostyring, men plikten til forsvarlig organisering og betryggende kontroll dekker det i realiteten.

Styret skal dessuten undersøke saker det finner nødvendig, og må gjøre det dersom ett eller flere styremedlemmer krever det. Et styremedlem som er bekymret for en risiko, har dermed en reell rett til å få saken undersøkt.

Etter aksjeloven § 6-13 skal styret føre tilsyn med den daglige ledelsen og selskapets virksomhet for øvrig, og styret kan fastsette instruks for den daglige ledelsen. Styret skal altså ikke drive virksomheten, men kontrollere at den drives forsvarlig.

Daglig leder har ansvaret for den daglige ledelsen etter aksjeloven § 6-14. Ifølge aksjeloven § 6-14 står daglig leder for den daglige ledelsen og skal følge retningslinjer og pålegg fra styret. Daglig leder skal sørge for at regnskapet er i samsvar med lov og forskrifter og at formuesforvaltningen er ordnet på en betryggende måte. Saker av uvanlig art eller stor betydning hører ikke under den daglige ledelsen.

Dette gir en naturlig ansvarsdeling. Styret fastsetter rammer og risikovilje og kontrollerer, mens daglig leder gjennomfører og rapporterer. Etter arbeidsmiljøloven er det derimot arbeidsgiver som har plikten til systematisk HMS-arbeid, og Arbeidstilsynet skriver at internkontroll først og fremst er arbeidsgiverens ansvar, men at alle ansatte har både rettigheter og plikter. Mer om styrets rolle finnes i styrearbeid i SMB.

Eksempler fra offentlige veiledere

Arbeidstilsynets veileder er et praktisk utgangspunkt for mange virksomheter. Den forklarer at alle virksomheter har forhold som kan føre til skader eller helseplager, og at alle disse forholdene skal kartlegges, forebygges og følges opp. Dere kan starte med en overordnet vurdering og deretter gå dypere i bestemte arbeidsprosesser, arbeidssteder og arbeidsmiljøområder.

Veilederen peker også på eksisterende tiltak: før dere vurderer sannsynlighet og konsekvens, bør dere se på hvilke systemer, rutiner og barrierer som allerede er på plass, ifølge Arbeidstilsynet. Det skaper en diskusjon om hvor godt tiltakene fungerer i praksis og kan avdekke svakheter.

Arbeidsgiver skal sørge for at arbeidstakere som utsettes for gjennomsnittlig støybelastning over 80 dB eller maksimalt lydtrykknivå over 130 dB (C) peak, gjennomgår helseundersøkelse som omfatter hørselskontroll. Viser risikovurderingen helserisiko på grunn av støy, skal arbeidstakerne i tillegg få tilbud om egnet helseundersøkelse med hørselskontroll. Veilederen understreker også at vanlige hodetelefoner, også støyreduserende, ikke er godkjent som hørselsvern.

Statens vegvesen gir et eksempel fra en annen sektor. Når Vegdirektoratet reviderte veiledningen for tunnelrisiko, pekte aktørene på at risikovurderinger ofte oppleves som ressurskrevende og lite formålstjenlige, med tid brukt på velkjente problemstillinger fremfor det som er spesielt. Samtidig ble de sett på som en viktig tverrfaglig arena for å sette sikkerhet på agendaen. Begge deler er verdt å huske i egen virksomhet.

For tunneler skal risikoanalysen gjennomføres av et organ som er funksjonsmessig uavhengig av tunnelforvalter, og Vegdirektoratet har konkludert med at enhetene må ha forskjellige styringslinjer og funksjoner. Prinsippet gjelder bredere som god praksis: den som vurderer risikoen, bør ikke samtidig vurdere sitt eget arbeid.

Slik gjennomfører du en risikovurdering

En risikovurdering fungerer best som en strukturert prosess med klare steg. Arbeidstilsynet krever ikke en bestemt metode, og de oppgir at bedriftshelsetjeneste eller andre fagkyndige ofte har egnede oppsett og maler. Rekkefølgen under bygger på veilederen.

Involver de ansatte tidlig. Loven krever at arbeidet skjer i samarbeid med arbeidstakerne og deres tillitsvalgte, og forskriften sier at arbeidstakernes medvirkning skal sikre at samlet kunnskap og erfaring utnyttes. De som utfører arbeidet, kjenner som regel farene best.

I noen tilfeller trenger dere hjelp utenfra. Er farene kompliserte eller dere er usikre på hvordan risikoen skal vurderes, kan dere søke hjelp fra bedriftshelsetjenesten, annen sakkyndig bistand eller Arbeidstilsynets svartjeneste. Er farene kompliserte, kan dere søke hjelp fra bedriftshelsetjenesten eller kontakte Arbeidstilsynets svartjeneste.

• Kartlegg farer og problemer, og bruk erfaringer fra avvik, vernerunder og arbeidsmiljøundersøkelser.
• Definer på forhånd hva som er akseptabel og uakseptabel risiko.
• Vurder sannsynlighet og konsekvens for hvert forhold, med hensyn til tiltak som allerede finnes.
• Sett risikoen inn i en risikomatrise og prioriter de høyeste risikoene.
• Lag en handlingsplan med tiltak, ansvarlig og frist.
• Dokumenter kartlegging, vurdering og plan skriftlig.
• Evaluer tiltakene og oppdater risikovurderingen.

Vanlige feil og hva du bør passe på

Den vanligste svakheten er å se risikovurderingen som en engangsøvelse. Etter Arbeidstilsynet kan flere forhold gjøre det nødvendig å gjenta prosessen og oppdatere risikovurderingen helt eller delvis, og arbeidsmiljøloven § 3-1 krever systematisk overvåking og gjennomgang av HMS-arbeidet.

En annen feil er manglende oppfølging. Ifølge Arbeidstilsynet skal tiltakene dokumenteres, for eksempel i en handlingsplan, og det er selve gjennomføringen av planen som er avgjørende for HMS-arbeidet. En plan uten ansvarlige og frister endrer ingenting.

Dårlig dokumentasjon er den tredje. Forskriften krever skriftlig dokumentasjon av flere ledd, og Arbeidstilsynet påpeker at de ikke krever en bestemt mal, men at innholdet i dokumentasjonen er avgjørende. Et pent skjema som mangler konkrete tiltak, hjelper lite ved et tilsyn.

Svak forankring i ledelsen gir også problemer. Konsekvensene kan være store: Arbeidstilsynet skriver at mangelfulle rutiner kan føre til problemer med forsikringsoppgjør i et skadetilfelle, . Risiko og forsikring henger tett sammen, noe forsikring og risikostyring tar for seg.

Til slutt kommer ressursmangel. En rapport fra SINTEF om kommunale barnehager og sykehjem viser at minimumsbemanning gjør at det i liten grad blir tid til systematisk forebyggingsarbeid. Avsett derfor tid i arbeidstiden, og begynn med de viktigste risikoene i stedet for å forsøke å dekke alt.

Oppsummering: praktiske råd for ledere og styret

Start med ansvaret. Avklar hvem i styret og ledelsen som eier risikostyringen, og få det skriftlig. Forskriften krever at oversikt over organisasjon og ansvar dokumenteres skriftlig, og styret skal etter aksjeloven § 6-12 sørge for forsvarlig organisering.

Velg en enkel metode og gjør den til rutine. Tilpass omfanget til størrelsen og risikoen i virksomheten.

Styret bør jevnlig få en oversikt over de største risikoene og status på tiltakene. Det er slik det kan føre tilsyn med daglig ledelse og virksomheten. Daglig leder bør rapportere også avvik og saker som ikke er avklart, ikke bare gode nyheter.

Bruk gjerne en egen sjekk av selve systemet. Arbeidstilsynet skriver at bedriften i tillegg til den jevnlige oppfølgingen bør gå gjennom selve systemet og vurdere om det har fungert i praksis eller bør endres. Slik holdes risikostyringen levende i stedet for å bli en perm i hylla.