Operasjonell risiko i selskaper: en praktisk guide til å unngå de dyreste feilene

Operasjonell risiko høres teknisk ut, men i praksis handler det om noe veldig konkret: alt som kan gå galt i et selskap fordi mennesker, prosesser, systemer eller leverandører svikter. Når det først smeller, blir det ofte dyrt, synlig og krevende å rydde opp i.

For mange virksomheter er dette fortsatt et litt diffust område som «noen» har ansvar for. Denne artikkelen gir en enkel og praktisk inngang til operasjonell risiko, med fokus på hva ledere faktisk kan gjøre for å få bedre kontroll.

Hva operasjonell risiko betyr i praksis

Operasjonell risiko er alt som ikke primært handler om marked, pris eller finansiering, men om selve maskineriet i virksomheten. Det kan være alt fra IT-feil som stopper ordrebehandling til menneskelige feil i kundeservice eller svakheter i rutiner for godkjenning.

Et nyttig bilde er å se for seg selskapet som en kjede av ledd. Hvert ledd er en prosess eller et system, og operasjonell risiko oppstår der et ledd er svakt, utydelig eller sårbart. Risikoen materialiserer seg først når noe faktisk går galt, men sårbarheten har ofte ligget der lenge.

Typiske kilder til operasjonell risiko

Selv om hver bransje har sine særegenheter, går mange kilder til operasjonell risiko igjen. Det gjør det enklere å vite hvor man bør begynne å se.

Fire brede kategorier dekker mye av bildet:

• Mennesker:mangelfull opplæring, feilansettelser, feilvurderinger, misforståelser, bevisste regelbrudd.
• Prosesser:utydelige ansvarsforhold, manuelle steg uten kontroll, overlappende rutiner, ingen som eier prosessen.
• Systemer:ustabile IT-løsninger, gamle systemer, dårlig integrasjon, manglende tilgangsstyring eller backup.
• Eksterne parter:nøkkelleverandører, logistikksvikt, underleverandører som ikke leverer som avtalt, endringer i regelverk.

Poenget er ikke å eliminere all risiko, men å vite hvor de viktigste sårbarhetene ligger, og ha en bevisst holdning til hva man lever med, og hva man faktisk må gjøre noe med.

En enkel modell for å kartlegge risiko

Mange lar være å jobbe systematisk med operasjonell risiko fordi de tror det krever store rammeverk og kompliserte verktøy. For de fleste selskaper holder det lenge å bruke en enkel, men konsekvent tilnærming.

Et praktisk grep er å gå gjennom de viktigste prosessene steg for steg og stille tre spørsmål: Hva kan gå galt her, hvor sannsynlig er det, og hva blir konsekvensen hvis det skjer? Svarene kan samles i en enkel risikomatrise som gir et grovt, men nyttig bilde.

Prioriter det som virkelig betyr noe

En vanlig felle er å lage lange lister over mulige hendelser uten å skille mellom bagateller og det som kan velte lasset. Da forsvinner ofte de kritiske risikoene i mengden.

Et bedre grep er å sortere hendelser etter en kombinasjon av konsekvens og sannsynlighet, og bruke tid på de få områdene som enten kan gi svært alvorlige konsekvenser, eller som skjer så ofte at de samlet blir kostbare. Mindre forhold kan håndteres gjennom enklere rutineforbedringer over tid.

Gjør kontroller smarte, ikke tunge

Når risiko er identifisert, ender mange opp med flere sjekklister, manuelle kontroller og ekstra rapportering. Det gir ofte en følelse av trygghet, men kan skape høyere kostnader og mer friksjon enn nytte.

Nøkkelen er å legge inn få, men målrettede kontroller på riktig sted i prosessen. Gode spørsmål å stille er: Kan dette automatiseres, kan vi flytte kontrollen nærmere der feilen oppstår, og kan vi gjøre kontrollen enklere uten å svekke effekten?

Bruk hendelser som gratis læring

Feil vil fortsatt skje, uansett hvor gode rutiner selskapet har. Forskjellen mellom robuste og sårbare selskaper handler ofte om hvordan de håndterer små og store hendelser.

En enkel praksis er å registrere avvik og nesten-hendelser, og jevnlig gå gjennom et utvalg for å se mønstre. Ikke for å finne syndebukker, men for å justere prosesser, opplæring og systemer. Det er ofte de små hendelsene som peker på de store sårbarhetene.

Ledelsens rolle: rammer, ikke detaljstyring

Operasjonell risiko havner lett på fagavdelinger, compliance-funksjoner eller IT. Samtidig er det styret og toppledelsen som setter ambisjonsnivå, akseptable risikonivåer og prioriteringer.

En ledergruppe trenger ikke kunne alle detaljer, men bør være tydelig på tre ting: hvilke typer risiko selskapet absolutt ikke vil ta, hvor mye avbrudd eller feil man kan leve med, og hvem som har ansvar for å følge opp de viktigste risikoområdene.

Når leverandørene blir kritiske ledd

Mange selskaper har flyttet sentrale funksjoner til partnere og leverandører, fra IT-drift til kundesenter og logistikk. Det gir fleksibilitet, men øker også avhengigheten av aktører man ikke fullt ut kontrollerer.

Her er det nyttig å lage en enkel oversikt over hvilke leverandører som er forretningskritiske, og vurdere både deres robusthet og egne beredskapsplaner. Kontrakter, servicenivåavtaler og alternative løsninger bør jevnlig sees over, særlig ved endringer i markedet eller eget oppsett.

Små, jevne grep gir størst effekt

Operasjonell risiko trenger ikke et stort engangsprosjekt. Ofte er det langt mer virkningsfullt å bygge inn små, jevne forbedringer i det daglige arbeidet, og å behandle risiko som en naturlig del av styringen, ikke som et eget spor.

Starter man med de mest kritiske prosessene, noen få tydelige risikoeiere og en enkel måte å fange opp hendelser og forbedringsmuligheter på, er mye gjort. Resten handler om å holde trykket oppe over tid, uten å gjøre arbeidet tyngre enn nødvendig.