Strategier og metoder for risikostyring

Virksomheter opererer i et landskap preget av raske endringer, økende kompleksitet og nye forventninger fra kunder, myndigheter og andre interessenter. Konkurranse, informasjonssikkerhet, regulatoriske krav, klimaendringer, leverandørkjeder og endrede markedsforhold er bare noen av risikoområdene virksomheter må håndtere.

God risikostyring gjør det mulig å forstå usikkerhet, forebygge negative konsekvenser og ta bedre beslutninger. Samtidig handler risikostyring ikke bare om å unngå hendelser. En strukturert tilnærming kan også hjelpe virksomheten med å identifisere nye muligheter, styrke robustheten og nå strategiske mål.

Hva er risikostyring?

Risikostyring er en strukturert prosess for å identifisere, analysere, vurdere og håndtere forhold som kan påvirke virksomhetens mål.

Risiko trenger ikke bare å være knyttet til mulige tap eller uønskede hendelser. Usikkerhet kan også skape muligheter. Effektiv risikostyring handler derfor om å forstå hvordan usikkerhet kan påvirke virksomheten, og bruke denne innsikten som grunnlag for prioriteringer og beslutninger.

En helhetlig prosess for risikostyring omfatter normalt:

• identifisering av interne og eksterne risikoer
• analyse av sannsynlighet og mulige konsekvenser
• vurdering og prioritering av risiko
• valg og gjennomføring av risikoreduserende tiltak
• overvåking og regelmessig oppfølging
• kommunikasjon, dokumentasjon og rapportering

ISO 31000 beskriver en helhetlig tilnærming til identifisering, analyse, evaluering, behandling, overvåking og kommunikasjon av risiko. Standarden kan brukes av alle typer virksomheter, uavhengig av størrelse og sektor.

Hva er en strategi for risikostyring?

En strategi for risikostyring beskriver hvordan virksomheten skal arbeide systematisk med usikkerhet og risiko. Strategien bør være knyttet til virksomhetens mål, styringsmodell, beslutningsprosesser og risikovilje.

En god risikostrategi tydeliggjør blant annet:

• hvilke risikoer virksomheten er utsatt for
• hvordan risiko skal identifiseres og vurderes
• hvor mye risiko virksomheten er villig til å akseptere
• hvem som har ansvar for de ulike risikoområdene
• hvordan tiltak skal prioriteres og følges opp
• hvordan risiko skal kommuniseres til ledelsen og andre interessenter

Strategien bør ikke være et separat dokument uten tydelig tilknytning til den daglige driften. Risikostyring gir størst verdi når den integreres i virksomhetsstyring, strategi, planlegging, rapportering, kultur og beslutninger. Dette er også et sentralt prinsipp i ISO 31000.

Hvorfor er systematisk risikostyring viktig?

En strukturert tilnærming til risiko gir virksomheten et bedre grunnlag for å prioritere ressurser og gjennomføre tiltak der behovet er størst.

Systematisk risikostyring kan bidra til å:

• beskytte mennesker, informasjon, eiendeler og andre verdier
• redusere sannsynligheten for alvorlige hendelser
• begrense konsekvensene dersom en hendelse oppstår
• styrke etterlevelsen av lover og andre krav
• forbedre kvaliteten på beslutninger
• øke virksomhetens robusthet og beredskap
• identifisere muligheter og forbedringsområder
• skape større tillit hos kunder og andre interessenter

God risikostyring gjør virksomheten bedre forberedt på både kjente og nye risikofaktorer. Det kan være særlig viktig når regulatoriske krav, teknologi, geopolitiske forhold eller forventninger i markedet endrer seg raskt.

Reaktiv eller proaktiv risikostyring?

Virksomheter kan ha svært ulike tilnærminger til risiko. Noen håndterer risiko først når en hendelse har oppstått, mens andre arbeider systematisk for å identifisere og redusere risiko på forhånd.

Reaktiv risikostyring

Ved en reaktiv tilnærming starter analysen etter at en hendelse, feil eller et avvik har oppstått. Virksomheten undersøker hva som skjedde, hvorfor det skjedde og hvilke tiltak som må gjennomføres.

Denne tilnærmingen kan være nødvendig som del av hendelsesgransking og forbedringsarbeid. Utfordringen oppstår dersom virksomheten bare reagerer på hendelser og mangler prosesser for å identifisere risiko før den materialiserer seg.

Proaktiv risikostyring

En proaktiv tilnærming innebærer at virksomheten søker å identifisere mulige hendelser og endringer på forhånd. Det gjør det mulig å prioritere forebyggende tiltak og planlegge hvordan virksomheten skal håndtere ulike scenarioer.

Proaktiv risikostyring forutsetter at virksomheten:

• følger med på endringer i omgivelsene
• involverer relevante fagmiljøer og interessenter
• gjennomfører risikovurderinger regelmessig
• vurderer nye og fremvoksende risikoer
• følger opp om tiltakene fungerer som planlagt
• lærer av hendelser, avvik og nestenulykker

En proaktiv tilnærming kan bidra til at risiko håndteres før den utvikler seg til en alvorlig hendelse. Samtidig kan virksomheten identifisere muligheter som ellers kunne blitt oversett.

Helhetlig eller fragmentert risikostyring?

I noen virksomheter håndteres risiko separat i ulike avdelinger og fagområder. Informasjonssikkerhet, økonomi, HMS, kvalitet og leverandørkjeder kan eksempelvis ha egne prosesser og risikoregistre.

Fagspesifikke prosesser er ofte nødvendige, men en fragmentert tilnærming kan gjøre det vanskelig å se sammenhenger. Én risiko kan påvirke flere deler av virksomheten samtidig.

Et cyberangrep kan for eksempel føre til:

• driftsavbrudd
• tap av data
• økonomiske konsekvenser
• brudd på personvernregler
• redusert tillit i markedet
• utfordringer med leveranser til kunder

Helhetlig risikostyring gjør det lettere å forstå slike avhengigheter. Det gir ledelsen et mer samlet bilde av risikonivået og bidrar til at tiltak kan prioriteres på tvers av fagområder.

Sentrale metoder i risikostyringsprosessen

En effektiv risikostyringsprosess består av flere sammenhengende aktiviteter. Prosessen bør tilpasses virksomhetens størrelse, kompleksitet, bransje og risikobilde.

1. Identifiser risikoene

Det første steget er å identifisere forhold som kan påvirke virksomhetens mål. Her bør virksomheten undersøke både interne og eksterne forhold.

Relevante spørsmål kan være:

• Hva kan hindre oss i å nå målene våre?
• Hvilke hendelser kan påvirke mennesker, drift eller leveranser?
• Hvilke endringer skjer i markedet eller regelverket?
• Hvor er virksomheten særlig avhengig av enkeltpersoner, systemer eller leverandører?
• Hvilke muligheter kan oppstå dersom vi håndterer usikkerheten riktig?

Aktuelle informasjonskilder kan være revisjonsfunn, avviksdata, hendelser, kundeinnspill, analyser av leverandørkjeden, regulatoriske endringer og erfaringer fra egen bransje.

2. Analyser risikoene

Når risikoene er identifisert, må virksomheten analysere dem. Analysen skal gi en bedre forståelse av risikoens natur og betydning.

En risikoanalyse vurderer vanligvis:

• sannsynligheten for at hendelsen oppstår
• mulige konsekvenser
• årsaker og drivere
• eksisterende barrierer og kontrolltiltak
• usikkerhet i vurderingsgrunnlaget
• mulige sammenhenger med andre risikoer

Analysen kan være kvalitativ, kvantitativ eller en kombinasjon. Valg av metode bør tilpasses beslutningen som skal tas og hvor presist vurderingsgrunnlaget må være.

3. Vurder og prioriter risikoene

Resultatene fra analysen sammenlignes med virksomhetens kriterier for risiko. Formålet er å avgjøre hvilke risikoer som kan aksepteres, og hvilke som må håndteres.

Virksomheten bør blant annet vurdere:

• hvor alvorlig risikoen er
• hvor raskt den kan utvikle seg
• hvor stor usikkerhet som er knyttet til vurderingen
• om risikoen ligger innenfor akseptert risikonivå
• hvilke tiltak som allerede er etablert
• hvor mye det vil koste å redusere risikoen ytterligere

Prioriteringen bør gjenspeile virksomhetens mål, risikovilje og forpliktelser. Risikoer med lav sannsynlighet kan fortsatt kreve høy oppmerksomhet dersom konsekvensene kan bli alvorlige.

4. Velg hvordan risikoen skal håndteres

Når risikoen er vurdert, må virksomheten ta stilling til hvordan den skal håndteres.

Vanlige strategier er å:

• unngå aktiviteten som skaper risikoen
• redusere sannsynlighet eller konsekvens
• dele eller overføre deler av risikoen
• akseptere risikoen innenfor definerte rammer
• utnytte muligheter knyttet til risikoen

Tiltakene bør være konkrete og ha tydelig ansvar, frist og forventet effekt. Virksomheten bør også vurdere om tiltakene kan introdusere nye risikoer eller påvirke andre deler av organisasjonen.

5. Overvåk og evaluer

Risiko er ikke statisk. Endringer i teknologi, marked, lovgivning, organisasjon eller leverandørkjede kan gjøre at tidligere vurderinger ikke lenger er gyldige.

Virksomheten bør derfor følge med på:

• endringer i risikobildet
• fremdrift i besluttede tiltak
• om kontrolltiltakene fungerer
• nye hendelser og avvik
• utvikling i nøkkelindikatorer
• eventuelle nye eller fremvoksende risikoer

Regelmessig evaluering gjør det mulig å justere tiltak og prioriteringer. Det gir også ledelsen bedre informasjon om hvorvidt risikostyringen faktisk skaper ønsket effekt.

6. Kommuniser og dokumenter

God risikostyring krever at relevant informasjon når frem til dem som skal bruke den.

Kommunikasjonen bør gjøre det tydelig:

• hvilke risikoer virksomheten står overfor
• hvem som har ansvar
• hvilke tiltak som skal gjennomføres
• hvilke endringer som har oppstått
• når en risiko må eskaleres
• hvordan medarbeidere kan melde fra om nye forhold

Risikoregistre og rapporter er nyttige verktøy, men dokumentasjon alene skaper ikke god risikostyring. Informasjonen må inngå i beslutninger, planlegging og den løpende oppfølgingen av virksomheten.

Risikokultur og ledelsens rolle

Effektiv risikostyring avhenger ikke bare av modeller, prosedyrer og risikomatriser. Virksomhetens kultur har stor betydning for hvordan risiko faktisk håndteres.

En god risikokultur kjennetegnes blant annet av at:

• medarbeidere kan varsle om risiko uten frykt for negative reaksjoner
• ledelsen etterspør informasjon om usikkerhet
• beslutninger bygger på balanserte risikovurderinger
• hendelser og avvik brukes til læring
• ansvar og myndighet er tydelig definert
• risiko diskuteres åpent på tvers av fagområder

Ledelsen må sette retning og sørge for at risikostyringen er integrert i virksomhetens mål og prioriteringer. ISO 31000 legger særlig vekt på ledelse, integrering, involvering av interessenter og hensynet til menneskelige og kulturelle faktorer. Et kurs i ledelsens gjennomgang kan være aktuelt. 

Hvordan kan ISO-standarder støtte risikostyringen?

Risikobasert tenkning er en integrert del av en rekke standarder for ledelsessystemer. Dette gjelder blant annet standarder innen:

• kvalitetsledelse
• miljøledelse
• helse og sikkerhet
• informasjonssikkerhet
• kontinuitetsstyring
• energiledelse

Et ledelsessystem kan gi virksomheten en struktur for å identifisere relevante risikoer, etablere kontrolltiltak, gjennomføre revisjoner og følge opp resultater.

Tredjepartssertifisering kan i tillegg gi en uavhengig vurdering av om ledelsessystemet oppfyller kravene i den aktuelle standarden og fungerer som forutsatt.

ISO 31000 som rammeverk for risikostyring

ISO 31000 gir prinsipper og retningslinjer for risikostyring. Standarden er ikke begrenset til én bestemt bransje eller type risiko, og kan tilpasses virksomhetens kontekst og behov.

Standarden kan blant annet brukes til å:

• etablere et felles språk for risiko
• integrere risikostyring i virksomhetsstyringen
• utvikle en strukturert risikostyringsprosess
• tydeliggjøre ansvar og roller
• forbedre overvåking og rapportering
• utvikle en sterkere risikokultur
• støtte kontinuerlig forbedring

ISO 31000 er en veiledningsstandard og gir ikke grunnlag for sertifisering. Den kan likevel brukes som referanseramme for å evaluere og videreutvikle virksomhetens praksis for risikostyring.

En ny utgave av ISO 31000 er under utvikling, men ISO 31000:2018 er fortsatt gjeldende utgave per november 2026.

Fra risikovurdering til bedre beslutninger

En risikovurdering har begrenset verdi dersom resultatene ikke brukes i beslutninger. Risikostyring bør derfor ikke være en aktivitet som bare gjennomføres for å oppfylle et krav.

Resultatene bør brukes når virksomheten skal:

• fastsette strategiske mål
• prioritere investeringer
• velge leverandører og samarbeidspartnere
• innføre ny teknologi
• endre prosesser eller organisering
• utvikle produkter og tjenester
• planlegge beredskap og kontinuitet
• vurdere nye markeder og forretningsmuligheter

Når risikoinformasjon inngår i beslutningsprosessene, kan virksomheten balansere risiko, kostnader og muligheter på en mer systematisk måte.

Risikostyring som kontinuerlig forbedringsarbeid

Risikostyring er ikke et engangsprosjekt. Risikobildet endrer seg, og virksomhetens metoder må utvikles i takt med omgivelsene.

Et modent arbeid med risikostyring kjennetegnes av at virksomheten:

• vurderer risiko regelmessig
• bruker data og erfaringer aktivt
• følger opp effekten av tiltak
• lærer av hendelser og nestenulykker
• involverer relevante interessenter
• oppdaterer kriterier og prioriteringer
• kobler risiko til strategi og prestasjoner

Målet er ikke å eliminere all risiko. Det er sjelden mulig, og det vil heller ikke alltid være ønskelig. Målet er å forstå risikoen godt nok til å ta informerte beslutninger og handle med større trygghet.

Bygg kompetanse innen risikostyring

God risikostyring krever relevant kompetanse på flere nivåer i virksomheten. Ledere må forstå hvordan risiko påvirker mål og beslutninger. Fagansvarlige trenger metoder for å analysere og følge opp risiko, mens medarbeidere må vite hvordan de identifiserer og rapporterer risikoforhold.

DNV tilbyr kurs innen blant annet risikostyring, risikoanalyse, risikovurdering, ISO 31000, beredskap og kontinuitetsstyring. Kursene gir deltakerne praktiske metoder og et bedre grunnlag for å integrere risikostyring i virksomhetens daglige arbeid.

02.11.2025 13:40:00