Begrepet risiko er et negativt ladet begrep og det preger synet på risikostyring og hvor risikostyring hører hjemme i virksomheten. Ofte har risikostyringen et forsikringsfokus som gjør at all risiko ses som et onde som både bør og skal avdekkes. Men det innebærer samtidig et fokus som ser bort fra at virksomheten står overfor et helt mulighetsområde som består av potensielle tap og mulige gevinster.
Samtidig fattes strategiske beslutninger helt uten at risiko og risikovurderinger er inkludert på en systematisk måte. Det er selvsagt ikke unaturlig om virksomheten ser usikkerhet som et onde, og samtidig ikke ser at ethvert strategisk valg gjøres inn i en ukjent fremtid, noe som innebærer ikke bare muligheter men også risiko.
I Store Norske Leksikon defineres begrepet risiko slik:
Uvisst utfall, fare for tap, usikkert eller uberegnelig utfall av et tiltak. Risiko og sikkerhet blir ofte definert som komplementære størrelser, slik at den ene størrelse kan beregnes ut fra den andre. Høy risiko tilsvarer lav sikkerhet, og omvendt.
Dette begrepet og begrepet usikkerhet er negativt ladede. Fare for tap. Uberegnelighet. Uvisshet. Det er nok grunnen til at risikostyring ofte er sett som en funksjon som skal begrense tap og at det ofte forbindes med forsikring. Det brukes sjelden for å beskrive tapte muligheter.
På bloggen til Harvard Business Review sto det en interessant artikkel som handler om konsekvensen av å være for forsiktig:
Unfortunately, we rarely hear any warnings about playing it safe.
We don’t see news headlines that say, «Low-risk approach forces local business to file for bankruptcy,» or, «Stunningly conservative move pushes global pharmaceutical company to the brink of failure,» or «Man retires after a mediocre career and feels painful remorse for never having laid anything on the line.»
The dangers of playing it safe aren’t sudden, obvious, and dramatic. They don’t make headlines. They develop slowly over time and are almost impossible to pinpoint. This fact often makes them more dangerous than the high-profile missteps we see and hear about in the news because, like a slow leak in a tire, you don’t see or feel these dangers on a daily basis. You become aware of them only when you realize that you’re stuck and you’re not really sure how it happened.
The dangers of playing it safe are hidden, silent killers.
De fleste riskostyringsfunksjoner er fokusert på å hindre tap. De er ikke like fokusert på å hindre tapte muligheter. Men konsekvensene kan være mer dramatiske over tid. Dette forsøker ISO ((International Organization for Standardization)) å gjøre noe med ved å introdusere en ny definisjon av begrepet risiko:
Under the ISO 31000:2009 and a consequential major revision of the terminology in ISO Guide 73, the definition of «risk» is no longer «chance or probability of loss», but «the effect of uncertainty on objectives» … thus causing the word «risk» to refer to positive possibilities as well as negative ones.
Det betyr en erkjennelse av at moderne risikostyring ikke bare skal ha som mål å begrense risiko, men også å sikre evnen til å ta muligheter. Det vil føre til en reposisjonering av risikofunksjonen fra en funksjon tett opp mot forsikring og til risikofunksjonen som en strategisk funksjon.
I min artikkel om Den Risikointelligente Virksomheten skrev jeg om belønnet og ikke belønnet risiko. Ikke belønnet risiko er risiko det ikke er noe å tjene på å ta. Eksempler på ikke belønnet risiko er risikoen for brann og annen tingskade, risikoen for personskade og på den andre siden risikoen ved å begå lovbrudd, skatteunndragelser og så videre. Det er muligens noe kortsiktig gevinst å hente, men på lang sikt vil slik risiko innebære potensial for ruin i form av både straff og ikke minst ødelagt omdømme.
Belønnet risiko, derimot, er den risiko som ligger i realiseringen av selskapets strategi. Uten å ta risiko vil det ikke være mulig å skape verdi. Selskapet må finne området for optimal risikotagning gitt den risikobærende evnen det har og den strategien som er valgt for å skape verdi for eiere og interessenter.
Risikostyring vil bidra til verdiskapning dersom den bidrar til virksomhetens evne til å realisere sin strategi ved å ha et bevisst forhold til hva som er belønnet risiko og på et tidlig tidspunkt bidra til forståelse for hvilken risiko som ligger i ønsket strategi. Da er det mulig på et tidlig tidspunkt å bidra positivt til realiseringen av strategien. Slike positive bidrag er for eksempel å begrense ikke belønnet risiko som ligger i valgt strategi, eller å avdekke valutarisiko som bidrar til en ikke ønsket volatilitet i resultatet en strategi forventes å skape.
Virksomheten må føre en strategi iverksettes vite at den har evne til å bære risikoen den innebærer. Etter at en strategi er iverksatt er det vanskelig å ta grep for å redusere risiko uten samtidig å begrense muligheter. I så tilfelle er det selve strategien som er feil og som må endres. Det kan neppe i mange tilfeller bøtes på med tradisjonell, forsikringsorientert risikostyring.
En naturlig følge av å se risiko ikke bare som sjansen for tap men også som tapte muligheter er at risikostyringsfunksjonen bør knyttes nært til strategifunksjonen. Risikostyring som en del av strategigjennomføring vil skape mer verdi enn risikostyring som en funksjon som bare er fokusert på å hindre tap.
God risikostyring er et strategisk verktøy. Dermed vil ikke risikostyringen bidra til verdiskapning om fokus bare er på å hindre tap og skade. Risikostyringen må også vurdere risikoen for tapte muligheter og bidra til at virksomheten kan realisere sine mål og strategier.
Virksomhetens risikostyring må forholde seg til hele mulighetsområdet. Og det er like viktig å sikre fremtidige muligheter som å beskytte eksisterende aktiva.
