Visst finns det något tillfredsställande med en färdig riskanalys. Riskerna är identifierade, sannolikheter och konsekvenser är bedömda och rutorna i riskmatrisen har fått sina färger. Kanske finns det dessutom en lista med föreslagna åtgärder och någon har fått ansvar för att dokumentera resultatet.
Det är lätt att känna att arbetet är klart.
Men det är ungefär där vi tycker att riskhanteringen börjar bli riktigt intressant.
För en risk blir inte mindre för att den har fått en ruta i en Excel-fil. En röd ruta blir heller inte grön bara för att någon har skrivit ”åtgärdas” i kolumnen bredvid. Analysen kan hjälpa oss att förstå osäkerheten, men först när den leder vidare till prioriteringar, beslut och faktiska förändringar börjar den påverka verksamheten.
Bra riskhantering handlar därför inte om att fylla i en riskmatris. Det handlar om att fatta bättre beslut.
Riskanalysen är ett verktyg
Vi gillar struktur. Metoder, modeller och analyser hjälper oss att ställa frågor på ett systematiskt sätt och gör det lättare att diskutera sådant som annars snabbt hamnar i magkänsla, erfarenhet eller antaganden.
Men metoden är fortfarande bara ett verktyg.
Ibland räcker en ganska enkel riskanalys långt. I andra situationer behöver vi gå djupare och arbeta med scenarier, orsaker och konsekvenser eller undersöka vilka barriärer som faktiskt finns mellan en oönskad händelse och dess följder.
Den mest avancerade metoden är inte automatiskt den bästa. Det viktiga är att välja ett arbetssätt som hjälper oss att förstå det vi faktiskt behöver förstå och som ger ett tillräckligt bra underlag för de beslut som behöver fattas.
Det kan låta självklart, men det är förvånansvärt lätt att låta själva genomförandet av analysen bli målet. Workshopen genomförs, mallen fylls i, dokumentet sparas och deltagarna återgår till sina vanliga arbetsuppgifter.
Och där kommer en fråga som vi tycker om:
Vad händer på måndag?
Vad händer när mötet är slut?
När kaffekopparna är undanplockade och riskanalysen ligger sparad någonstans behöver arbetet fortsätta i den vanliga verksamheten.
Någon behöver ta ställning till vilka risker som faktiskt kräver åtgärder och vilka som verksamheten kan acceptera. Någon behöver äga frågan, resurser kan behöva prioriteras och beslut behöver fattas om vad som ska göras, när det ska göras och inte minst av vem.
Sedan kommer den kanske viktigaste delen: att följa upp om åtgärden faktiskt gjorde någon skillnad.
Det är i övergången mellan analys och handling som riskanalys blir riskhantering.
En väl genomförd analys som aldrig påverkar ett beslut har trots allt ett ganska begränsat värde. Samtidigt kan en relativt enkel analys vara mycket värdefull om den hjälper organisationen att prioritera rätt och faktiskt förändra något som varit tokigt.
Alla risker ska inte bort
Det finns också en annan sida av riskhantering som ibland försvinner när fokus hamnar på riskmatrisens röda rutor. När en risk väl har identifierats är det lätt att utgå från att den ska elimineras.
Så fungerar sällan verkligheten.
Nästan allt en verksamhet gör innebär någon form av osäkerhet. Att starta ett projekt innebär risk. Att införa ett nytt IT-system innebär risk. Att anställa människor, byta leverantör eller förändra organisationen innebär risk. Att avstå från förändring kan dessutom innebära hel hög andra risker.
Målet kan därför inte vara att bygga en verksamhet där inga risker finns. En sådan verksamhet är sannolikt varken möjlig, ännu mindre särskilt verksam.
Det intressanta är i stället att förstå vilka risker vi tar, varför vi tar dem, vilka vi behöver minska och vilka vi faktiskt kan tänka oss att acceptera.
Det är också därför riskhantering i grunden handlar minst lika mycket om prioritering och beslutsfattande som om själva analysen.
En säkerhetsåtgärd kan också ha ett pris
Anta att vi identifierar en betydande risk och hittar en åtgärd som skulle kunna minska den kraftigt. Då är det lockande att tänka att saken är löst.
Men åtgärden kanske kostar mer än vad risken motiverar. Den kanske gör arbetet så krångligt att människor börjar hitta vägar runt den. Den kan minska en risk men samtidigt skapa en annan. Eller så finns det en betydligt enklare lösning som ger nästan samma effekt.
Det är här riskhanteringen blir verklighetsnära.
Vi behöver väga den säkerhet vi vill uppnå mot verksamhetens övriga behov och fråga oss vad vi faktiskt försöker åstadkomma. En åtgärd som ser fantastisk ut i teorin men som ingen kan, vill eller förstår hur man ska använda kommer sannolikt inte att ge särskilt mycket säkerhet i praktiken.
Det betyder inte att vi ska välja den enklaste lösningen varje gång. Det betyder att vi behöver förstå både risken och konsekvenserna av hur vi väljer att hantera den och hur det påverkar verksamheten.
Riskerna har sällan läst organisationsschemat
Samtidigt tycker organisationer om att dela upp saker. Informationssäkerhet finns på ett håll, arbetsmiljö på ett annat och krisberedskap, personalsäkerhet, ekonomi och verksamhet, de finns någon annanstans.
Det finns absolut goda skäl till uppdelning. Specialistkunskap behövs.
Problemet är bara att riskerna sällan bryr sig om hur vi har ritat organisationsschemat.
Ett bortfall av ett viktigt IT-system kan vara en informationssäkerhetsfråga samtidigt som det påverkar verksamhetens kontinuitet, ekonomi och kanske även förmågan att leverera en samhällsviktig tjänst. Ett starkt beroende av en enskild person kan beröra både kompetensförsörjning, personalsäkerhet och verksamhetens förmåga att fungera. En fysisk säkerhetsbrist kan få konsekvenser för människor, information och produktion på samma gång.
Därför behöver vi ibland lyfta blicken från den enskilda analysen och lägga olika perspektiv bredvid varandra.
Då kan en förvånansvärt enkel fråga vara värdefull:
Pratar vi egentligen om samma risk?
Det är en av anledningarna till att samordning är en viktig del av riskhanteringen. Inte för att skapa fler möten eller ytterligare administration, utan för att undvika att flera delar av organisationen arbetar med olika versioner av samma problem utan att någon faktiskt ser helheten.
Från färgad ruta till faktisk förändring
Vi tror på systematik. Vi använder gärna modeller och metoder när de hjälper oss att skapa struktur och förståelse.
Men fler dokument ger inte automatiskt bättre säkerhet.
En bra riskanalys ska göra att verksamheten förstår sin osäkerhet lite bättre än den gjorde innan. Riskhanteringen behöver sedan ta nästa steg och hjälpa organisationen att avgöra vad som är viktigt, vad som ska göras, vem som ansvarar och hur arbetet ska följas upp.
Ibland innebär det en omfattande åtgärdsplan. Ibland behöver vi genomföra en djupare analys. Ibland visar det sig att risken kan och kanske bör accepteras.
Och ibland är nästa steg betydligt mindre dramatiskt än så.
Någon behöver helt enkelt fatta ett beslut.
För en identifierad risk är inte hanterad bara för att vi har skrivit ner den.
Den där snygga riskmatrisen får alltså gärna vara kvar. Vi tycker om den också.
Men den är början på samtalet, inte slutet.