Risikostyringsforskriften: krav til risikostyring og internkontroll

Risikostyringsforskriften stiller tydelige krav til hvordan styret og ledelsen skal kontrollere risiko i foretak under tilsyn av Finanstilsynet. Kravene er skrevet for finansbransjen, men prinsippene er nyttige for alle virksomheter som vil ha bedre kontroll på risiko. I denne artikkelen forklarer vi hva risikostyring er, hva forskriften krever, og hvordan risikostyring og internkontroll henger sammen i praksis. 

Hva er risikostyring?

Risikostyring er de samordnede aktivitetene en virksomhet bruker for å identifisere, vurdere, håndtere og følge opp risiko. Målet er ikke å fjerne all risiko, men å ta bevisste valg om hvilken risiko virksomheten skal ta, og hvordan den skal kontrolleres. 

En god risikostyringsprosess består gjerne av disse delene: 

1. Fastsette rammer: Hva er virksomhetens mål, og hvor mye risiko er den villig til å ta? 

1. Identifisere risiko: Hva kan hindre virksomheten i å nå målene? 

1. Analysere og evaluere: Hvor stor er risikoen, og er den akseptabel? 

1. Håndtere: Hvilke tiltak og kontroller skal på plass? 

1. Overvåke og rapportere: Virker tiltakene, og får ledelse og styre riktig informasjon? 

Den internasjonale standarden ISO 31000 beskriver prinsippene og prosessen for risikostyring, og brukes av virksomheter i alle bransjer. 

Hva sier risikostyringsforskriften? 

Risikostyringsforskriften er det vanlige navnet på forskrift om risikostyring og internkontroll, fastsatt 22. september 2008. Forskriften gjelder foretak som er under tilsyn av Finanstilsynet. Det omfatter blant annet banker, forsikringsselskaper, verdipapirforetak, regnskapsforetak og forsikringsformidlingsforetak. 

Formålet er å styrke foretakenes risikostyring og internkontroll ved å tydeliggjøre ansvaret til styret og ledelsen. Forskriften setter minimumskrav til prosesser og dokumentasjon. 

Et viktig prinsipp er forholdsmessighet. Risikostyringen og internkontrollen skal tilpasses virksomhetens art, omfang og kompleksitet. Et lite regnskapsforetak trenger altså ikke de samme systemene som en stor bank, men kravene gjelder uavhengig av størrelse. 

Forskrift om internkontroll og risikostyring: hovedkrav 

Forskrift om risikostyring og internkontroll fordeler ansvaret tydelig og stiller krav til hva som skal gjøres og dokumenteres. 

• Styrets ansvar: Styret skal påse at risikostyring og internkontroll er sikret på en systematisk måte og i tilstrekkelig omfang. 

• Daglig leders ansvar: Daglig leder skal etablere forsvarlig risikostyring og internkontroll etter retningslinjer fra styret, og holde styret orientert. 

• Skriftlige retningslinjer: Foretaket skal ha skriftlige retningslinjer for risikostyring og internkontroll. 

• Årlig risikogjennomgang: Minst én gang i året skal vesentlige risikoer for alle virksomhetsområder gjennomgås. 

• Vurdering av internkontrollen: Det skal gjøres en systematisk vurdering av om risikostyringen og internkontrollen er god nok til å håndtere risikoene. 

• Dokumentasjon og rapportering: Vurderingene skal dokumenteres, og konklusjoner og behov for tiltak skal rapporteres til styret. 

• Utkontraktering: Foretaket har fortsatt ansvar for risikostyring og internkontroll når oppgaver er satt ut til andre. 

Finanstilsynet har i tilsyn påpekt at kvaliteten på det som legges frem for styret varierer. Gode risikovurderinger viser konkret hva de vesentlige risikoene er, om tiltakene virker, og hva som har endret seg siden sist. 

Risikostyring og internkontroll: hvordan henger de sammen? 

Risikostyring og internkontroll er to sider av samme sak. Risikostyringen handler om å forstå og prioritere risiko. Internkontrollen er rutinene, kontrollene og ansvarsfordelingen som sikrer at risikoen faktisk blir håndtert. 

En enkel måte å se sammenhengen på: 

• Risikostyringen svarer på hva som kan gå galt og hva som er viktigst å kontrollere. 

• Internkontrollen svarer på hvordan virksomheten sikrer at kontrollene blir gjennomført. 

• Oppfølgingen svarer på om kontrollene virker, og om risikobildet har endret seg. 

Uten god risikostyring blir internkontrollen tilfeldig, med mange kontroller på områder som betyr lite. Uten internkontroll blir risikostyringen bare en analyse på papiret. Begrepet internkontroll brukes også i annet norsk regelverk, som internkontrollforskriften for HMS, og prinsippene er de samme. 

Tredjeparts risikostyring: hva innebærer det? 

Tredjeparts risikostyring handler om å kontrollere risiko som oppstår hos leverandører, underleverandører og samarbeidspartnere. For foretak under risikostyringsforskriften er dette særlig viktig ved utkontraktering, fordi ansvaret ikke kan settes ut sammen med oppgaven. 

God tredjeparts risikostyring omfatter vanligvis: 

• risikovurdering før en leverandør velges 

• avtaler som gir rett til innsyn og kontroll, også for tilsynsmyndigheten 

• krav til informasjonssikkerhet, kontinuitet og rapportering 

• løpende oppfølging av leveransen og risikoen 

• planer for hva som skjer hvis leverandøren svikter eller avtalen avsluttes 

Finanstilsynet har i flere tilsyn påpekt at utkontrakteringsavtaler mangler rett til kontroll med den utkontrakterte virksomheten. Dette er et konkret punkt å sjekke i egne avtaler, særlig for IKT-tjenester. 

Risikostyring i praksis: eksempler og anbefalinger 

Hvordan ser risikostyring i praksis ut? Her er to eksempler: 

Regnskapsforetak 

Foretaket gjennomgår hvert år risikoene for alle tjenesteområder, inkludert kapasitet, IKT-drift, kompetanse og hvitvasking. Resultatet oppsummeres i en rapport til styret med konklusjoner og tiltak, og styret behandler rapporten formelt. 

Forsikringsformidler 

Foretaket har satt ut IT-drift og kundesystem til en leverandør. Det oppdaterer avtalen slik at foretaket og Finanstilsynet har rett til kontroll, og legger leverandøroppfølging inn i den årlige risikogjennomgangen. 

Våre anbefalinger: 

1. Bruk et anerkjent rammeverk, som ISO 31000, slik at prosessen blir lik over tid. 

1. Gjør styrerapporten konkret: vesentlige risikoer, effekt av tiltak og endringer siden sist. 

1. Sett frister for tiltak, og bestem om gjennomføringen skal rapporteres tilbake til styret. 

1. Ta med utkontrakterte tjenester og leverandører i risikovurderingen. 

1. Dokumenter vurderingene underveis, ikke bare i etterkant. 

Vil du bygge kompetanse på området, gir kurs i risikostyring etter ISO 31000 en solid innføring. Med risikobasert sertifisering blir revisjonen av ledelsessystemet lagt opp etter de viktigste risikoene. 

 

26.10.2026 09:30:00