@stake God styring og kontroll

Etter selv å ha arbeidet med sikkerhetsfaglige problemstillinger og dermed sett på risiko som noe utelukkende negativt, var det uvant å tenke på risiko på en annen måte. I faget Enterprise Risk Management (ERM) ser man mer helhetlig på risiko, ved at risiko også kan bety muligheter for gevinst. Internasjonalt har man vært vitne til paradigmeskifte i hvordan man tenker på risiko. I de senere år har man fått en dreining mot at risikobegrepet "rommer mer" og at det dermed gir økte muligheter for å se risikostyring på nye måter. Vi snakket med Equinor for å høre hvorfor de har valgt å tenke på risiko som noe mer enn bare nedside.

Omfanget av styrearbeidet og måten et styre jobber er i endring. Utvikling i teknologi, cyber-trusler og nye forretningsmodeller gjør at behovet for en bred forståelse av risiko, muligheter og fremtidsutsikter er større enn noen gang. Vi har samlet våre råd og anbefalinger til norske styrer i den ellevte utgaven av vår styrebok.

Finansiell suksess er en sentral målsetning i ethvert kommersielt selskap, og det å skape gode resultater er som regel øverst på agendaen for styre og ledelse. Finansinstitusjoner er intet unntak, og de siste årene har vært en opptur for de fleste norske aktørene. For eksempel viser rapporter fra Finanstilsynet at norske banker har hatt god lønnsomhet i årene etter finanskrisen, og lønnsomheten har blitt opprettholdt også gjennom oljenedturen. Spørsmålet er om vedvarende suksess avler naivitet og kan gjøre at en likegyldighetskultur knyttet til etterlevelse, effektiv risikostyring og ivaretakelse av kundenes interesser sniker seg inn.

Helhetlig risikostyring (Enterprise Risk Management) har blitt et buzzword blant norske virksomheter og har kommet for å bli. I dag er det få norske virksomheter som virkelig mestrer dette, ettersom det er utfordrende og komplekst. Vet du egentlig hva “helhetlig risikostyring” (ERM) er?

Mark Carney, styreleder for Financial Stability Board (FSB) og sentralbanksjef i Storbritannia forstår at miljøansvar er en viktig del av risikostyring for finansiell stabilitet. I 2017 ledet Carney FSB sitt Task Force on Climate-related Financial Disclosures (TCFD), for å forbedre informasjonsgrunnlaget til investorer, kreditorer og forsikringstilbydere, for deres beslutninger relatert til klimaendringenes innvirkning på selskaper.

Det er snart høysesong for generalforsamlinger. En rekke styremedlemmer er på valg, og mange er på vei inn i styrearbeid for første gang. Da kan det være nyttig å vite noe om hva andre styrer opplever som vanskelig og hvordan det løses. Vi jobber med en rekke styrer både som rådgivere og fasilitator, og vi ser noen gjengangere i hva som oppleves som utfordrende. Og rådene for hvordan styret kan jobbe har vi samlet i Styreboken 2018.

Jeg har gjennom 25 år i forskjellige jobber innen IT- og informasjonssikkerhet, flere ganger vært overbevist om hva som er den ultimate løsningen på trusler mot cybersecurity. Jeg har jobbet med compliance og hendelseshåndtering i noen av Norges mest komplekse, regulerte og utsatte virksomheter, og sett hva som virker og ikke virker. Jeg har opplevd at vi har fått det til - mot alle odds. Og jeg har vært i Fifty situasjoner der virksomheten til tross for at alt lå til rette opplevde nederlag og alvorlige sikkerhetsbrudd. Så etter et langt liv i cyberspace har jeg oppsummert litt - hva er det som faktisk virker?

Da er endelig Finanstilsynets oppsummering av sine funn fra tematilsyn innen operasjonell risiko tilgjengelig. Finanstilsynet gjennomførte høsten 2016 stedlig tilsyn innen operasjonell risiko i syv banker, og samlerapporten er nå tilgjengelig.

Det er ting som tyder på at operasjonell risikostyring er i vinden for tiden. Finanstilsynet har utgitt en ny versjon av “Modul for operasjonell risiko”, og har fulgt opp med tematilsyn om operasjonell risiko og hendelseshåndtering i sju banker. I tillegg er det en ny versjon av COSO II ERM på trappene: “Enterprise Risk Management - Aligning Risk with Strategy and Performance”. Vi merker også at det kommer flere spørsmål knyttet til operasjonell risiko både internt og eksternt.

Styrearbeid er en spennende, men også en ansvarsfull og krevende oppgave. Vi jobber med å hjelpe mange styrer, både med å evaluere seg selv og støtte i arbeidet med å bedre løse konkrete styreoppgaver. Risikostyring er en av oppgavene styrene selv opplever som mest utfordrende, og ikke minst risiko knyttet til cybersikkerhet.