Forebygging eller høy risikoappetitt? Bukken som passer havresekken?

Økonomisk kriminalitet koster, både finansielt og omdømmemessig. Det vet alle som har opplevd det. Hvorfor er det da så få virksomheter som gjør noe aktivt for å forhindre det? Skyldes det bukken som passer havresekken?

Den direkte kostnaden av økonomisk kriminalitet er høy. Den indirekte kostnaden kan imidlertid være betraktelig høyere. I tillegg til at en eller flere utro medarbeidere skal avskjediges, med de implikasjoner det har for driften, vil omdømmetapet kunne være stort og gjenopprettelseskostnadene høye. Forholdet til kunder og leverandører kan bli skadelidende. I tillegg kan selskapet risikere lange og ressurskrevende rettsprosesser og foretaksstraff. 

Min erfaring er at mange selskaper oppriktig tror at misligheter ikke vil ramme dem. Det foreligger således ingen kalkulert beregning som konkluderer med at vinningen går opp i spinningen her. Det er argumentet om å stole på sine medarbeidere og at det trolig ikke kommer til å skje akkurat dem, som råder. Men hvorfor er nordmenn så naive? Eller er vi det? Jeg tror noe av forklaringen ligger i et gjennomgående paradoks:

Det vi vet er at misligheter begått av én eller flere personer innen selskapets ledelse, som oftest utgjør størst skade for selskapet. Det skyldes hovedsakelig at dette er personer som gjennom fullmakter og tilganger, kjennskap til systemene og evne til å manøvrere rundt eventuelle kontrollmekanismer, får tilgang til større verdier. Videre er det for selskapet, også omdømmemessig, langt mer krevende å håndtere slike saker der ledelsen er direkte involvert. Samtidig er det akkurat denne ledelsen, med disse personene, som selv skal definere risikoene og implementere rettede kontrolltiltak for å hindre at også de selv begår misligheter. Og særlig interessant er dette sett opp mot at mange virksomheter har implementert kontrolltiltak for å hindre misligheter på lavere nivåer.

Innføring av forebyggende aktiviteter kan grovt sett sies å ha to hovedformål; redusere sannsynligheten for at misligheter skjer og unngå eventuell foretaksstraff dersom ulykken først er ute. Etter dagens regler om foretaksstraff i straffeloven skal det i vurderingen nemlig også tas særlig hensyn til hvilke forebyggende aktiviteter selskapet har gjort. I forarbeidene er det uttalt at foretaksstraff ikke bør anvendes i andre tilfeller enn hvor dette anses "hensiktsmessig". Men hvor mye forebygging som skal til før foretaksstraff ikke lenger vil være "hensiktsmessig", det er ikke endelig avklart av lovgiver. Det er således opp til virksomhetene selv, ut fra en bedømmelse av risiko og risikoappetitt, å bestemme hvor omfattende rammeverk de vil implementere.

En undersøkelse som PwC har gjort viser at en tredjedel av de norske respondentene hadde opplevd økonomisk kriminalitet i løpet av de to siste årene. Og sett i lys av de potensielle konsekvensene, forundrer det meg at så mange virksomheter ikke engang prøver. Hva skyldes det at ikke flere har implementert et helhetlig rammeverk for å forebygge og avdekke misligheter? Har norske virksomheter særlig høy risikoappetitt? Har de ikke sett de potensielle konsekvensene? Er det ren og skjær latskap? Et ønske om å spare noen kroner? Eller klassikeren "det skjer ikke oss" - for våre medarbeidere er til å stole på?