Uudistunut COSO ERM uudistaa riskienhallinnan ajattelua

Hyvä ja kokonaisvaltainen riskienhallinta auttaa yrityksiä saavuttamaan tavoitteensa paremmin. Syyskuun alussa julkistettu uudistunut COSO ERM -viitekehys sisältää tuoreita ajatuksia siitä, miten riskienhallinta voi auttaa yrityksiä saavuttamaan tavoitteitaan ja pärjäämään paremmin tässä monimutkaisessa maailmassa. PwC johti jo lähes rippikouluikään kasvaneen COSO ERM -viitekehyksen päivitystyötä COSOn ohjauksessa.

Uudistetun viitekehyksen nimi, COSO Enterprise Risk Management – Integrating with Strategy and Performance, viittaa siihen, että viitekehyksen teemat ja lähestymistapa tukevat hyvin liiketoiminnan johtamista.

Viitekehyksessä nyt lanseeratut 20 periaatetta auttavat yrityksiä suunnittelemaan ja ottamaan käyttöön yritystasoisen riskienhallinnan prosessin.

Myös vanha tuttu COSO-kuutio on hylätty, ja uuden kuvituksen tarkoitus on havainnollistaa paremmin strategian, arvojen, liiketoimintasuunnitelmien ja riskienhallinnan välistä yhteyttä luoda ja säilyttää yrityksen arvoa ja parantaa suorituskykyä.

Uudistunut COSO ERM helpottaa myös liikkeenjohdon ja riskienhallinnan ammattilaisten välistä keskustelua. Parhaimmat hyödyt riskienhallinnasta saadaan silloin, kun liiketoiminta kokee sen omakseen, eikä pelkästään vuosittaisena hallinnollisena prosessina. Hallitusten ja tarkastusvaliokuntien jäsenten on hyvä harkita, miten uudistetun viitekehyksen teemojen ja ajatusten tulisi näkyä pian alkavilla yritysten riskikarttojen päivityskierroksilla.

Viitekehystä ei sellaisenaan voi ryhtyä ottamaan käyttöön, vaan yritysten täytyy huolella käydä läpi uudistetut periaatteet ja arvioitava omia nykyisiä käytäntöjä suhteessa uudistuneeseen riskienhallinnan ajatteluun.

Viitekehys korostaa muutenkin keskeisten käsitteiden määrittelyä ja yrityksen riskikulttuurin ymmärtämistä ennen säntäämistä riskien tunnistamiseen ja arvottamiseen. Riskinkantokyky, riskinottohalukkuus, riskiprofiilit ja hyväksyttävät vaihteluvälit ovat vanhoja tuttuja käsitteitä, mutta kytkettynä uudistetun riskiraportoinnin tuomiin mahdollisuuksiin ne ovat suorastaan välttämättömiä määritellä yritys- ja tavoitetasolla.

Yrityksen riskikulttuuri puolestaan ohjaa riskiprofiilia. Riskikulttuuri voi olla hyvinkin erilainen yrityksen elinkaaren eri vaiheessa. Aloittelevat yritykset joutuvat sietämään ja ottamaan enemmän riskiä menestyäkseen jatkossa paremmin, kun taas pidempään toimineiden yritysten kuolemaksi saattaa muodostua riskikulttuurin estämä välttämätön muutos ja toiminnan uudistaminen.

Uudistunut viitekehys uudistaa myös riskiraportointia. Kun aikaisemmin olemme tottuneet arvottamaan riskejä euroiksi ja miettimään niiden todennäköisyyksiä, niiden rinnalle saamme nyt myös riskikäyrät. Ne havainnollistavat keskeisimpien tavoitteiden osalta riskinottohalukkuutta ja nykyistä suoriutumista sallittujen vaihteluvälien puitteissa. Uudistettu riskiraportointi voi auttaa yrityksiä myös huomaamaan, miksi strategiset tavoitteet eivät toteudu, ja missä kohtaa tulee painaa lisää kaasua tavoitteiden saavuttamiseksi, jos määritelty riskinottohalukkuus sen sallii.