Risikostyring i staten Hva – hvorfor - hvordan Oslo, 15.03.07 © Senter for statlig økonomistyring I Risikostyring i staten

HVA © Senter for statlig økonomistyring I Risikostyring i staten

Styringsprinsipp i staten Mål- og resultatstyring – overordnet styringsprinsipp på og mellom alle nivåer i staten. Mål skal angis, resultatene følges opp og sammenliknes med målene Budsjettstyring skal sikre at mål- og resultater oppnås innenfor de bevilgninger som er stilt til disposisjon I motsetning til mål- og resultatstyring som er et styringsprinsipp, er risikostyring mer et virkemiddel/rammeverk som skal hjelpe ledelsen med å oppnå pålitelig og effektig intern kontroll. Dvs rette oppmerksomheten og ressursene mot de mest kritiske forholdene for å sikre optimal måloppnåelse. Risikostyring i staten

Risikostyring integrert i mål- og resultatstyring Risikostyringen skal integreres i virksomhetens mål- og resultatstyring På overordnet nivå: Integreres i forbindelse med strategi- og planleggingsprosesser På underordnet nivå: Integreres i forbindelse med virksomhetsplaner, operative prosesser o.l. Det skal ikke utarbeides en EGEN strategi for risikostyring. Den skal INN i virksomhetens strategiplaner. Intern kontroll er ikke en oppgave man gjør på siden av de andre oppgavene. De gjøres samtidig, de integreres Risikostyring i staten

Utviklingstrekk: Økte krav til effektivitet og bedre styring med ressursbruken i staten Mer måloppnåelse med mindre administrative ressurser Fra Til Mål- og resultatstyring Mål- og resultatstyring, risikostyring Budsjettering og rapportering Ressursforbruk Budsjettering, analyse, rapportering Håndtere transaksjoner, registrere og kontrollere Håndtere transaksjoner, registrere og kontrollere Styring i staten er allerede inne i en utvikling der en går fra å drive med bokholdere (litt satt på spissen) til økonomistyring – styring av ressursbruken for å nå virksomhetens mål. Poenget med endret styringsinnhold er å få mer resultater ut av ressursene, ikke et mer komplisert styringssystem, men bør innebære Mer ressurser på analyse og strategisk styring, mindre ressurser på manuelle operative prosesser i økonomistyringen Mer helhetlig styring – mindre detaljert styring Samlet: Mer måloppnåelse med mindre ressurser. Men; En ny måte å styre på krever i starten en viss investering i ny styringsfilosofi og at en faktisk gjør de nødvendige grep for å komme bort fra manuelle prosesser innenfor transaksjonshåndtering. Dette kan kreve ressurser og omstillinger i en overgangsfase, men en vil få økt styringskraft med mindre ressurser som resultat. SSØs rolle er å støtte og avhjelpe virksomhetene i denne endringen – både med metoder, veiledning, rådgivning og kompetansetiltak på god økonomistyring, men også ved å tilby tjenester slik at virksomhetene kan outsourse ikke-strategiske økonomifunksjoner til SSØ – stordrift for staten og frigjøring av ressurser i virksomhetene. Risikostyring i staten

Systematisk risikostyring i staten skal gi…… Bedre (kvalitet) Mer fokusert (hva er viktigst) Enklere (unngå for mange detaljer) Øke sannsynligheten for at målene nås med effektiv ressursbruk mål- og resultatstyring Risikostyring i staten

HVORFOR © Senter for statlig økonomistyring I Risikostyring i staten

Hvorfor risikostyring Utviklingstrekk: Økte krav til effektivitet og bedre styring med ressursbruken i staten Rett prioritering og fokus Måloppnåelse Hvordan er pengene brukt Bidrar til å øke bevisstheten hos ledere og ansatte om hva som er de viktigste målsettinger for en virksomhet – ref diskusjonen ang Kjetil og ressurser på hans avdeling. Risikostyring i staten

R § 14 Intern kontroll B 2.4 Intern kontroll Nedfelt i regelverket Alle virksomheter skal etablere systemer og rutiner som har innebygd intern kontroll for å sikre at… B 2.4 Intern kontroll Alle virksomheter skal etablere intern kontroll... Gjennomgående krav til risikostyring i ØR: R §§ 4, 10, 14, 16 B 1.2, 1.3, 1.5.2, 1.5.3, 2.2, 2.4, 2.5.3, 2.5.5, 2.6, 4.3.6, 5.4.2.2, 6.5, 7.4, 8.5 Risikostyring: kartlegging av risiko Intern kontroll: tiltak som iverksettes for å redusere risiko Risikostyring i staten

Ansvar for risikostyring Virksomhetens ledelse: Ansvar for etablering og at den fungerer på en tilfredsstillende måte Alle ansatte (inkl ledelse): Ansvar for gjennomføring Etatsstyring: Departementet skal sikre at underliggende etater har etablert en forsvarlig risikostyring og intern kontroll Politiske mål – Fornuft satt i system Sørge for å nå mål – hva kan gjøre at man ikke når sine mål: Hva hindrer måloppnåelse Kulturen i organisasjonen som påvirker de ansattes holdning til risikostyring. Eks: Aksepterte nivå på risikoen Ledelsens holdning til og interesse for risikostyring Hvordan ledelsen vektlegger måloppnåelse osv Risikostyring i staten

Risikostyring i staten…… ?

Risikostyring i staten……?

SENTRALE BEGREPER © Senter for statlig økonomistyring I Risikostyring i staten

Sentrale begreper i veilederen (1) To aspekter med risiko: sannsynlighet og konsekvens Sannsynlighet Hyppighet av styringssvikt, feil og mangler Konsekvensen kan være en kostnad målt i kroner ikke-målbare i kroner Vesentlighet = Sannsynlighet * konsekvens Risikostyring i staten

Virksomheten må vurdere hva som er vesentlig for dem sannsynlighet Det foretas en kartlegging av vesentligheten (risikovurdering) ut fra sannsynlighet og konsekvens. Risikovurdering må være basert på om virksomhetene når målene sine. Risikovurderingen må kartlegges (og kategoriseres) ut fra hva som er vesentlig for virksomheten på det aktuelle området. områder som er omfattet av høy sannsynlighet og konsekvens er vesentlige. Områder som har høy sannsynlighet og lav konsekvens eller motsatt kan være vesentlig og tiltak bør vurderes. konsekvens Risikostyring i staten

Tiltak og kontrollaktiviteter: Sentrale begreper (2) Risikotoleranse: Et akseptert nivå på risiko for ikke å nå den enkelte målsetting Tiltak og kontrollaktiviteter: Når en risiko vurderes å være utenfor risikotoleransen, må man igangsette handlinger for å redusere risikoen til et akseptabelt nivå Må innarbeides i handlingsplaner eller lignende Valg av tiltak og kontrollaktiviteter skal skje på grunnlag av en vurdering av kostnad i forhold til nytte Risikostyring i staten

Ulike typer tiltak forebyggende oppdagende korrigerende sannsynlighet vurderes tiltak Tiltak vurderes Avhengig av hva virksomheten har kommet frem til i risikovurderingen må ulike tiltak iverksettes. Tiltakene må defineres i forhold til hvilke risikofaktorer som er identifisert. Tiltakene vil rette seg mot å hindre at de identifiserte forholdene skal inntreffe. Disse kan være preventiv, oppdagende eller korrigerende. Preventiv kontroll er tiltak som skal forebygge styringssvikt, feil og misligheter Oppdagende kontroll er tiltak som skal fange opp styringssvikt, feil og mangler når de er oppstått eller etter de er oppstått. Korrigerende kontroller tiltak som endre styringssvikt, feil og misligheter. Eksempler på disse kan være bruk av arbeidsdeling, manuelle og maskinelle kontroller og generelle transaksjonskontroller. Disse kommer vi tilbake til i detalj i de neste delene. konsekvens Risikostyring i staten

HVORDAN © Senter for statlig økonomistyring I Risikostyring i staten

Veileder utarbeidet av SSØ Prosjekt fullført i desember 2005 Lanseringsseminar 07.mars 2006 SSØ har utarbeidet en veileder som skal ivareta behovet for at ressursbruken knyttes mot de mål som settes av Storting/departement I tillegg kommer det en miniveileder. Risikostyring i staten

Metodedokument om risikostyring i staten Målgruppen er ledere og personer som bistår ledere i tilrettelegging av risikostyring og intern kontroll Viser en metode for gjennomføring av risikostyring for alle statlige virksomheter som fullt ut er i samsvar med økonomiregelverket i staten Har tatt utgangspunkt i internasjonalt anerkjent rammeverk (COSO ERM, 2004, oversatt til norsk i november 2005) COSO-modellen er et rammeverk for internkontroll som ble utviklet i 1992 av foreningen Comittee of Sponoring Organisations of the Tradeway Commission (COSO) Denne foreningen har som formål å bedre finansiell rapportering gjennom effektiv risikostyring, intern kontroll og corporate governance (total styring av hele virksomheten). 5 elementer: Kontrollmiljø Risikovurdering Kontrollaktiviteter Informasjon/kommunikasjon overvåkning Risikostyring i staten

Analyse, tiltak og oppfølging Risikostyring i staten

Strategi for integrering av risikostyring i mål- og resultatstyring Ledelsen bør utarbeide en tydelig strategi for risikostyring. Eks på innhold: Hensikten med risikostyringen Verdi i forhold til de oppgaver virksomheten er pålagt Ledelsens rolle i implementering Ledelsens rolle i gjennomføringen Milepæler Risikostyring i staten

Forberedelser – Identifisere mål Virksomheten må etablere klare mål Gjennomgang av Departementets tildelingsbrev Strategiske planer Ledelsen må gjennomgå målene for å se om de er konkrete og tilstrekkelig klart formulerte Målene må være klarlagt for å kunne vurdere risikoen for å ikke nå disse målene IKKE gap for høyt! Vær edruelig når man setter mål. Ikke tro at man rekker over alle risikoer på en gang. Målene skal formuleres som en ønsket tilstand, eller et ønsket resultat. IKKE et virkemiddel eller oppgavebeskrivelse. Risikostyring i staten

Gjennomgangseksempel Mål: En hyggelig og velsmakende middag med gode venner Risikostyring i staten

Identifisere kritiske suksessfaktorer Må identifisere de forhold som er viktigst å lykkes med for å nå målene Interne Eksterne Kjennetegn: Kan hindre oppnåelsen av ett eller flere mål dersom man ikke lykkes med dem. Viktig å identifisere ksf: Virksomheten kan forbedre sine prestasjoner Forenkler identifiseringen av risikoer Risikostyring i staten

Identifisere risikoer Det må identifiseres og kartlegges de risikoer som kan true virksomhetens måloppnåelse Kritiske suksessfaktorer og risikoer på et nivå henger ofte sammen med kritiske suksessfaktorer og risikoer på et lavere nivå Vi må ha tilstrekkelig med saksbehandlerressurser Risiko for at vi ikke har tilstrekkelig med saksbehandlerressurser Vi må ha et lavest mulig sykefravær Risiko for at vi har et for høyt sykefravær Vi må ha ergonomisk tilpassede arbeidsstasjoner Risiko for at vi har arbeidsstasjoner som skaper belastningsskader for våre ansatte Eks : kompetanse Makro: høy nok kompetanse Avdeling: relevant kompetanse i forhold til avd oppgaver Mikro: i forhold til arbeidsoppgaver Risikostyring i staten

Vurdere og prioritere risikoene Risikoene må vurderes ut fra sannsynlighet for og forventet konsekvens av at de inntreffer Vurdering av om en risiko er høy eller lav, gjøres i forhold til det målet det truer oppfyllelsen av En slik vurdering vil gi oss en oversikt over risikoene, og de risikoer som håndteres bra nok i dag, og de som ikke gjør det (risikokart) Møte – enighet om hva oppgaven er Hvor legges ”lista” i de ulike begrepene/tallene Hvordan gjennomføres? Ledelse Ansatte Risikostyring i staten

Risikokart Risiko Sannsynlighet Konsekvens Meget liten Liten Stor Moderat Sv æ rt stor Kritisk H ø y Risiko Lav Konsekvens Ubetydelig Alvorlig alvorlig Viktig å ha samme skala for hva som er sannsynlighet og konsekvens. Ikke bra at to ulike personer med samme oppfatning av konsekvens oppfatter den ulik (eks høyt sykefravær øker saksbehandlingstiden) Tilbake Risikostyring i staten

Ser risikoer i sammenheng Større forståelse for beslutninger Kaoskontroll Ser risikoer i sammenheng Større forståelse for beslutninger Omforening Ser reelle risikoer Ser endringer over tid – effekter av tiltak Risikostyring i staten

Tiltak og kontrollaktiviteter som følge av vurderingene Tiltak = alle forhold som bidrar til å redusere risikoer Må vurdere hvilke tiltak som skal iverksettes for å få risikoen innenfor et akseptabelt nivå Det må tas en kost – nytte-vurdering SKAL JEG HA MED DETTE OM KONTROLLAKTIVITETER? SJEKK INTERN-KONTROLL KURSET FRA I VÅR - REGNSKAPSKURSET Risikostyring i staten

Kontrollaktiviteter Kontrollaktiviteter = bidrar til å sikre at tiltakene blir gjennomført på en hensiktsmessig måte Ledermøter Tillitsvalgtsmøter Avd.møter Intern rapportering Ekstern rapportering Mm Risikostyring i staten

Tiltak Ulike tiltak: Å unngå: å gå ut av de aktivitetene som er en kilde til risiko Å redusere: tiltak blir iverksatt for å redusere sannsynligheten for eller konsekvensen av risikoen, eller begge deler Å dele: å redusere risikoens sannsynlighet eller konsekvens ved å overføre, eller på en annen måte dele en bit av risikoen med andre Å akseptere: ingen tiltak blir iverksatt for å påvirke risikoens sannsynlighet eller konsekvens Risikostyring i staten

Risikokart etter iverksatt tiltak Risikostyring i staten

Oppfølging av risikoene Risikoene må følges opp og evalueres dersom den skal fungere løpende oppfølgingsaktiviteter evalueringer, eller en kombinasjon av de to En god oppfølging sørger for at man tidlig kan sette i verk tiltak om risikostyringen ikke fungerer som planlagt, eks: Ytterligere tiltak er påkrevd Risikoen er lavere enn forventet Risikostyring i staten

Risikostyringens begrensninger Risikostyringen vil kun gi rimelig - og ikke absolutt - sikkerhet for at virksomheten vil oppnå sine målsettinger Begrensninger: Uklare målformuleringer Ulik menneskelig dømmekraft Tiltak/kontrollaktiviteter må bygge på en kost/nytte vurdering Tiltak/kontrollaktiviteter gjennomføres ikke som forutsatt på grunn av ubevisste eller bevisste feil. 1 , ulik oppfatning av mål og/eller risikotoleranse som kan medføre at mål/risikoer prioriteres feil 2 når metoden anvendes som kan medføre at relevante risikoforhold ikke vurderes, tiltak etablerers basert på gale premisser og/eller gale forventninger til kvaliteten av etablerte tiltak, kontrollaktiviteter og det interne styrings- og kontrollmiljøet Risikostyring i staten

Risikostyring Bidrar til å øke bevisstheten hos ledere og ansatte om hva som er de viktigste målsettinger for en virksomhet! Risikostyring i staten

Ledelsen: Vi har vurdert vår risiko og driver vår virksomhet innenfor vår risikotoleranse Risikostyring i staten