Risikovurdering er avviksbehandling av fremtiden – En metodisk guide til profesjonell virksomhetsstyring

I mange organisasjoner behandles risikovurderinger og avvikshåndtering som to separate siloer. Denne fragmenteringen er ikke bare ineffektiv – den er faglig misvisende. En profesjonell tilnærming erkjenner at disse to prosessene er identiske i sin kjerne, med kun én variabel som skiller dem: Tidsperspektivet.

To kilder – én felles målsetning

Virksomhetsstyring handler fundamentalt om å redusere usikkerhet og sikre forutsigbare resultater. For å oppnå dette, må organisasjonen hente informasjon fra to hovedkilder:

Den erfaringsbaserte kilden (Avviket): Overvåking av den løpende, eksisterende aktiviteten. Når noe ikke går som planlagt, eller når lovpålagte krav ikke etterleves, oppstår et avvik. Avviket er et bevis på at eksisterende barrierer enten er fraværende, mangelfulle eller ikke forstått.
Den hypotetiske kilden (Risikoen): Vurderingen av fremtidig aktivitet – enten det er nye prosjekter, organisasjonsendringer eller ny teknologi. Risikovurderingen identifiserer hva som kan gå galt før det faktisk skjer.

Konvergensmodellen: Fra analyse til styring

KILDE: AVVIK	MILEPÆL	KILDE: RISIKO
Eksisterende aktivitet Hendelser som har skjedd.	TILTAKSVURDERING	Fremtidig aktivitet Hendelser som kan skje.
RESULTAT: Instruks Styringsdokument for gjennomføring og kvalitetssikring

KILDE: AVVIK

MILEPÆL

KILDE: RISIKO

Eksisterende aktivitet Hendelser som har skjedd.

TILTAKSVURDERING

Fremtidig aktivitet Hendelser som kan skje.

RESULTAT: Instruks

Styringsdokument for gjennomføring og kvalitetssikring

Milepælen hvor prosessene møtes: Tiltaksvurderingen

I det øyeblikket et avvik er identifisert, eller en risiko er kartlagt, inntrer den kritiske milepælen: Tiltaksvurderingen.

Her er metodikken identisk. Man må vurdere hvilke barrierer som må etableres for å bringe aktiviteten innenfor akseptable rammer for sikkerhet og kvalitet. Om barrieren etableres fordi man «brant seg» (avvik) eller fordi man forutså varmen (risiko), endrer ikke på det faktum at organisasjonen trenger en styringsmekanisme.

Resultatet: Instruksen som det eneste gyldige styringsverktøyet

I en IS-basert styringsmodell er det ikke rom for vage «rutiner og prosedyrer». Resultatet av en tiltaksvurdering skal alltid munne ut i en juridisk bindende instruks for gjennomføring og kvalitetssikring.

Denne instruksen har to hovedfunksjoner:

Gjennomføring: En presis beskrivelse av hvordan oppgaven skal utføres for å eliminere årsaken til avviket eller den identifiserte risikoen.
Kvalitetssikring: En innebygd kontrollmekanisme som dokumenterer at instruksen faktisk etterleves.

«Nødvendig påtvunget sosialisering»

For den internkontrollansvarlige ligger den taktiske styrken i å se disse prosessene i sammenheng. Ved å drive målrettet overvåking av både eksisterende og planlagt aktivitet, visualiseres gapet mellom ledelsens intensjoner og faktisk utførelse.

Når dette gapet lukkes gjennom forpliktende instrukser, igangsettes en profesjonell kulturendring – en form for nødvendig påtvunget sosialisering der objektive funn tvinger frem modning. Organisasjonen lærer ikke bare av det som har gått galt, men bygger systematisk barrierer mot det som kan gå galt.

Professionaliser din virksomhetsstyring

Står din virksomhet overfor utfordringer med å integrere risiko- og avvikshåndtering i et fungerende styringssystem?

Kontakt Internkontroll AS for rådgivning

Svein Roar Holt

Grunnlegger av Internkontroll AS og arkitekt bak IS-modellen™ og AvvikStandard™. Spesialrådgiver innen virksomhetsstyring, regulatorisk etterlevelse og styrets personlige ansvar.

Om Svein Roar → LinkedIn →

Risikovurdering er avviksbehandling av fremtiden