RiskiHelppi - Johda yrityksesi riskejä

Yrityksen strategian ja toiminnan suunnittelua varten on tärkeää ymmärtää ja arvioida organisaation ulkoista ja sisäistä toimintaympäristöä. Tämä palvelee myös riskienhallinnan järjestämistä.

Ulkoisen toimintaympäristön arviointi voi kattaa esimerkiksi yhteiskunnan, teknologian, talouden sekä ympäristön tilan ja kehityksen tunnistamisen. Useat eri lait ja viranomaismääräykset ohjaavat yrityksen toimintaa. Yrityksen toimialan avaintekijät ja kehityssuunnat tulee myös huomioida samoin kuin eri ulkoisten sidosryhmien odotukset.

Yrityksen sisäisestä toimintaympäristöstä arvioitavia asioita ovat esimerkiksi organisointi, toimintaperiaatteet, resurssit, osaaminen, tietojärjestelmät ja organisaation kulttuuri.

Riskienhallinta on olennainen osa yrityksen johtamista ja strategiatyötä. Toimintasuunnitelmia ja strategiaa valmisteltaessa on syytä arvioida yrityksen merkittävimpien riskien ja riskienhallinnan tila. Parhaiten tämä hahmotetaan järjestelmällisellä ja säännöllisesti päivitettävällä riskien kartoituksella. Uusien ja muuttuneiden riskien vaikutukset voidaan siten huomioida strategiaa laadittaessa.

Riskien kartoitus on järjestelmällistä toimintaa, jonka avulla tunnistetaan, arvioidaan ja priorisoidaan yrityksen riskit sekä valitaan näille sopivimmat hallintakeinot. Tämä prosessi on on kuvattu tarkemmin Riskien kartoitus -osiossa.

Riskienhallintapolitiikan tavoitteena on taata riskitekijöiden ja niiden edellyttämien korjaavien toimenpiteiden huomioon ottaminen kaikilla yrityksen liiketoiminnan osa-alueilla. Parhaimmillaan se on lyhyt ja ytimekäs johdon tahdonilmaisu yrityksen riskienhallinnan tilasta ja kehittämisestä.

Riskienhallintapolitiikka antaa yrityksen vastuuhenkilöille ylätason toimintamallin, jonka toteuttamiseen koko yrityksen henkilökunta johdon lisäksi sitoutuu. Siinä määritellään riskienhallintaan liittyvät vastuut ja velvoitteet, varataan tarvittaviin resurssit ja määritetään mittaus- ja raportointikeinot.

Riskienhallintapolitiikasta ja riskienhallinnan toimintamallista tulee viestittää koko henkilöstölle, mutta myös monet ulkopuoliset sidosryhmät, kuten asiakkaat, alihankkijat ja tavarantoimittajat ovat kiinnostuneita yrityksen riskienhallinnan järjestämisestä.

Riskien käsitelyllä pyritään saattamaan yrityksen toimintaa uhkaavat riskit halutulle tasolle käyttäen valittuja riskien hallintakeinoja. Kullakin riskillä tulee olla omistaja, joka vastaa siitä, että toimenpiteet toteutetaan ja että riskin tilaa mitataan ja seurataan. Usein se on liiketoiminnasta vastuussa oleva yksikkö.

Riskienhallinnan toimenpiteiden käytännön toteuttamisesta voi vastata jokin muukin taho kuin riskin omistaja. Se voi olla esimerkiksi talous- tai tietohallinto tai vaikkapa kunnossapitotoiminto. Käytännössä tämä tarkoittaa sitä, että riskien käsittelysuunnitelmat liitetään osaksi yrityksen johtamis- ja toimintaprosesseja.

Riskienhallinnan toteuttaminen ja kehittäminen edellyttää prosessin jatkuvaa parantamista. Jatkuva parantaminen taas edellyttää johdon sitoutumista, resursseja, joustavaa yrityskulttuuria, virheistä oppimista ja omalle yritykselle sopivien työkalujen ja mittareiden käyttöä.

Riskien mittaaminen ja seuranta on systemaattista toimintaa, jonka tavoitteena on varmistaa että riskien hallintakeinot ovat vaikuttavia ja tehokkaita. Seurannalla saadaan lisätietoa riskeistä ja voidaan analysoida tapahtumia sekä muita turvallisuushavaintoja. Lisäksi säännöllisen seurannan avulla havaitaan ulkoisen ja sisäisen toimintaympäristön muutokset ja tunnistetaan uudet tai muuttuneet riskit.

Yrityksen riskejä voidaan luokitella eri tavoin. Usein käytetty jako on strategisiin, taloudellisiin, operatiivisiin ja vahinkoriskeihin. Riskien tarkastelu ja arviointi näistä eri näkökulmista antaa kattavan kuvan yrityksen uhkien ja mahdollisuuksien koko laajuudesta sekä riskien riippuvuuksista ja vaikutuksista toisiinsa. Yksittäinen riski ei useinkaan ole selkeästi vain esimerkiksi vahinkoriski, vaan sillä voi toteutuessaan olla myös toiminnallisia, taloudellisia ja strategisia vaikutuksia.

Riskien tunnistaminen voi tapahtua käyttäen apuna erilaisia tarkistuslistoja tai käsiteltävän aihepiirin asiantuntijoiden ryhmätyöskentelynä. Riskien arvioimiseksi on kehitetty myös erityisiä päättelymenetelmiä, kuten HAZOP prosessien ja HACCP elintarviketurvallisuuden vaarojen arviointiin sekä juurisyyanalyysi, RCA.

Riskeistä pyritään tunnistamaan niiden syyt ja seuraukset. Syyt tai riskin lähteet voivat usein olla myös yrityksen oman toiminnan ulkopuolella. Riskin toteutumisen seuraukset vaihtelevat esimerkiksi taloudellisista vaikutuksista ja toiminnan häiriintymisestä henkilövahinkoihin ja yrityksen maineen vahingoittumiseen.

Riskin suuruus tulee arvioida, jotta eri riskien merkitys organisaatiolle voidaan tunnistaa. Riskin suuruus koostuu yleensä kahdesta tekijästä - vahingon seurausten vakavuudesta ja vahingollisen tapahtuman todennäköisyydestä. Riskin suuruutta kuvataan riskiluvulla, joka saadaan seurausten vakavuuden ja tapahtuman todennäköisyyden tulona. Luokittelussa käytetään usein kolmi- tai viisiportaista asteikkoa.

Riskin suuruus = Vahingon seuraukset * Tapahtuman todennäköisyys

Kun kaikkien tunnistettujen riskien suuruudet on arvioitu, voidaan riskit asettaa suuruusjärjestykseen ja alkaa miettiä niiden vähentämiseksi tarvittavia toimenpiteitä ja hallintakeinoja.

Kokonaisvaltaisessa riskienhallinnassa eri hallintakeinoilla tulee pyrkiä poistamaan liiketoimintaa uhkaavat riskit ja käyttämään hyödyksi kaikki mahdollisuudet, joilla yritys saavuttaa liiketoimintansa tavoitteet.

Karkeasti määritellen riskien hallintakeinoja ovat välttäminen, pienentäminen, siirtäminen tai pitäminen. Näitä keinoja voidaan käyttää erillisinä, mutta yleensä riskin hallitseminen on eriasteinen yhdistelmä edellä mainittuja toimia. Näiden toimien lisäksi riskien hallintakeinoihin liittyy myös olennaisesti yrityksen liiketoiminnan jatkuvuussuunnittelu.

Riskien hallintakeinojen valintaan vaikuttaa yrityksen riskinottokyky ja -halu. Kaikkia riskien hallintatoimenpiteitä ei myöskään yleensä voida toteuttaa heti, vaan yrityksen johdon tulee priorisoida niiden toteutus riskin merkittävyyden, organisaation resurssien ja strategisten tavoitteidensa mukaisesti.

Riskien toteutumista tulisi ensisijaisesti yrittää välttää, koska ne aiheuttavat joko välittömiä fyysisiä tai taloudellisia menetyksiä ja usein myös välillisiä epäedullisia seurauksia. Näin ei kuitenkaan ole kaikkien liikeriskien osalta, koska riskin ottamisella tavoitellaan sen toteutumista myönteisenä. Näissäkin tapauksissa on kuitenkin varauduttava riskin toteutumisen kielteisiin seurauksiin. Vain harvat riskit ovat kokonaan poistettavissa.

Riskin pienentäminen tähtää vahinkotapahtuman todennäköisyyden tai seurausten pienentämiseen. Riskin pienentäminen voi olla riskin jakamista tai vahingontorjuntaa.

Riskin siirtäminen merkitsee riskialttiin toiminnan siirtämistä sopimuksen perusteella jollekin toiselle osapuolelle. Yleisin tapa on siirtää riskin taloudelliset seuraamukset vakuutusyhtiön kannettavaksi vakuutussopimuksella. Yritys voi myös siirtää riskejä sisältävää omaisuuttaan tai riskipitoisia toimintojaan sopimusteitse toisen yrityksen kannettavaksi esimerkiksi kuljetus- tai alihankintasopimuksilla.

Riskin pitäminen yrityksen omalla vastuulla voi olla johdon tietoinen valinta, sillä riski voi olla myös mahdollisuus tai sen merkitys on vähäinen. Jokaiseen liiketoimintaan liittyy riskejä ja sietokyky riippuu organisaation tahtotilasta. Yritys voi myös olla tiedostamatta riskin olemassaoloa tai on arvioinut sen liian alhaiseksi.

Liiketoiminnan jatkuvuussuunnittelu tarkoittaa kaikkien niiden toimenpiteiden muodostamaa kokonaisuutta, jonka avulla yritys pyrkii varmistamaan päivittäisen liiketoimintansa jatkumisen myös vakavien häiriöiden jälkeen.

Jatkuvuussuunnittelu sisältää mm. vahingontorjuntatoimenpiteiden sekä vakavassa häiriötilanteessa sovellettavien vastuiden ja toimenpiteiden määrittelyn. Tyypillisiä vakavia liiketoimintaan kohdistuvia häiriötilanteita ovat esim. yrityksen toimitiloihin kohdistunut suuri tulipalo, laaja vesivahinko, vakava tietovuoto sekä laajamittaisen yrityksen tietoverkon tai tietojärjestelmän käyttöhäiriö.