Slik håndterer du operasjonell risiko i små og mellomstore foretak uten tunge systemer

Operasjonell risiko høres teknisk ut, men handler i praksis om alt som kan gå galt i driften: menneskelige feil, rutinesvikt, teknologi som stopper opp eller avtaler som blir misforstått. For mange ledere blir dette et tema først når noe allerede har skjedd.

Med litt struktur kan du redusere sannsynligheten for kostbare feil, uten å innføre kompliserte rammeverk eller dyre verktøy. Denne artikkelen viser en nøktern og konkret måte å jobbe med operasjonell risiko på i hverdagen.

Hva operasjonell risiko faktisk er i hverdagen

Operasjonell risiko handler om tap som skyldes interne prosesser, mennesker, systemer eller eksterne hendelser. Det er med andre ord driftsrisiko, ikke markeds- eller finansrisiko. Poenget er å forstå hvordan verdiskapingen kan stoppe opp eller bli dyrere enn nødvendig.

I praksis kan det være alt fra feilfakturering og tapte ordrer til produksjonsstans, brudd på personvernregler eller nøkkelpersoner som forsvinner uten at kunnskapen deres er dokumentert. Mange av disse risikoene er uspektakulære, men kostbare over tid.

Start med tre enkle spørsmål

Du trenger ikke et omfattende risikoregister for å komme i gang. Begynn med tre enkle spørsmål knyttet til kjerneaktivitetene deres, for eksempel salg, leveranse, kundeservice og økonomi:

• Hva tåler vi absolutt ikke at går galt her?
• Hva har allerede gått galt de siste 12–24 månedene?
• Hva er det vi stadig vekk «redder inn» i siste liten?

Disse spørsmålene gir som regel en kjerne av reelle risikoområder, basert på erfaring, ikke teori. Skriv ned konkrete eksempler, ikke bare generelle formuleringer som «IT-feil» eller «mangelfull kommunikasjon».

Prioriter risiko uten avanserte modeller

Det finnes mange måter å vurdere risiko på, men en enkel tilnærming holder for de fleste: vurder hver risiko på to akser, konsekvens og sannsynlighet, grovt på lav, middels eller høy. Poenget er å skille det alvorlige fra det ubehagelige.

Ofte dukker det opp tre typer risikoer: de alvorlige, men sjeldne, som krever beredskap; de hyppige, men håndterbare, som krever bedre rutiner; og de moderate, som du bevisst kan akseptere. Prioriter tiltak på de to første typene og la resten bli på en observasjonsliste.

Gjør tiltakene operasjonelle, ikke teoretiske

Et vanlig problem er at tiltak blir for generelle: «bedre kommunikasjon», «tydeligere ansvar», «opplæring». Slike formuleringer hjelper lite hvis de ikke oversettes til konkrete endringer i arbeidshverdagen.

For hvert tiltak bør du kunne svare kort på: hvem gjør hva, når, og hvor blir det dokumentert. Hvis dette ikke kan beskrives på én til to setninger, er tiltaket enten for stort eller for uklart. Bryt det da ned til mindre, gjennomførbare endringer.

Bruk eksisterende verktøy og strukturer

Mange tenker raskt på nye systemer når temaet risiko kommer opp, men ofte er det mer effekt å bruke det dere allerede har. Kalender, skjemaer, eksisterende digitale verktøy og faste møter kan bære mye av strukturen.

Eksempler kan være en enkel sjekkliste før månedsslutt i økonomi, et standard notatmal for kundeavtaler, eller en kort «risikorunde» som fast punkt på agendaen i ledermøter én gang i kvartalet. Det viktigste er at kontrollene faktisk blir brukt, ikke hvor avanserte de er.

Lær av nesten-hendelser før de blir dyre

De mest verdifulle læringsmulighetene er ofte nesten-hendelser: situasjoner der noe var i ferd med å gå galt, men ble reddet inn av flaks eller ekstra innsats. Mange steder blir slike hendelser bare omtalt uformelt, så kunnskapen forsvinner.

Lag en lavterskel måte å fange dem opp på, for eksempel en enkel digital logg eller fast kort runde i teammøter. Fokuset bør være på læring og forbedring, ikke skyld. Ett konkret tiltak per nesten-hendelse over noen måneder kan drastisk redusere risiko.

Håndter menneskelig risiko på en ryddig måte

Mye operasjonell risiko handler om mennesker: sykefravær, nøkkelpersoner, feilansettelser eller lav etterlevelse av rutiner. Her er det fristende å tenke at mer kontroll er løsningen, men det er ofte bedre å kombinere tydelighet og tillit.

Noen praktiske grep er å dokumentere kritiske arbeidsprosesser, ha en plan for overlap mellom kolleger i nøkkelroller og sørge for kort, målrettet opplæring når rutiner endres. Det gir mer robusthet uten å innføre rigide kontrollregimer.

Ta teknologi- og leverandørrisiko på alvor

Digital avhengighet gjør at mange foretak er mer sårbare for leverandørfeil enn de tror. Et enkelt strømbrudd, en feil i et skybasert system eller et uteglemt abonnement kan stoppe sentrale prosesser.

Lag en oppdatert oversikt over de viktigste systemene og leverandørene, hva dere bruker dem til, og hvilke alternativer som finnes hvis noe faller bort. For kritiske løsninger kan det være fornuftig å ha en enkel beredskapsplan, for eksempel manuelle rutiner for en kort periode.

Gjør risikostyring til en vane, ikke et prosjekt

Effekten av risikostyring kommer ikke fra et engangsløft, men fra jevn oppfølging. I praksis holder det ofte å sette av litt tid hvert kvartal til å oppdatere risikolisten, gjennomgå hendelser og justere tiltak.

Hvis du klarer å gjøre dette til en naturlig del av driftsmøter og beslutninger, vil du gradvis få færre overraskelser, bedre forutsigbarhet og mer tid til utvikling i stedet for brannslukking. Det er den egentlige gevinsten av operasjonell risikostyring.