Elinkeinoelämän keskusliiton johtava asiantuntija Markku Rajamäki on työskennellyt riskienhallinnan, yritysturvallisuuden ja vakuuttamisen johtotehtävissä viimeisen 20 vuoden ajan. Hän on kirjoittanut kollegoidensa kanssa myös suositun kirjan: Johda riskejä – käytännön opas yrityksen riskienhallintaan.
Rajamäki korostaa, että riskienhallinnan tulisi olla osa kaikkea organisaation tekemistä. "Olipa kyseessä strategian uudistaminen, ihmisten johtaminen, tai palveluiden ja prosessien kehittäminen, tulisi riskienhallinnan olla aina mukana yhtenä kulmakivenä muodostamassa tilannekuvaa ja tukemassa päätöksentekoa", Rajamäki toteaa.
Sirpaletieto ei anna kokonaiskuvaa
Pitkään säädellyllä finanssialalla riskienhallinta on Rajamäen mukaan valovuosia edellä monia muita sektoreita. Suomalaisilla pörssiyrityksillä on niin ikään riskienhallinta hyvällä mallilla, kiitos muun muassa pörssilainsäädännön ja Arvopaperimarkkinayhdistyksen ylläpitämien hallinnointikoodi-suositusten.
Yksi syy tähän on se, että riskejä hallitaan tyypillisesti siiloissa. Esimerkiksi talouden, yritysturvallisuuden, työhyvinvoinnin ja työturvallisuuden riskejä analysoidaan erillisinä kokonaisuuksina. Rajamäki painottaa, ettei tässä ole mitään vikaa. Jonkun olisi kuitenkin koottava tieto yhteen, muodostettava kokonaiskuva ja viestittävä siitä selkeästi muille. Pk-sektorilla tilanne sen sijaan vaihtelee huomattavasti. Usein johdolla ei ole riskienhallinnasta riittävää kokonaiskuvaa. "Mikäli tätä ei tehdä, organisaatiolla ei ole todellista tilannekuvaa riskeistä, vaan sirpaletietoa sieltä täältä. Se on jo iso askel, jos tieto haalitaan yhteen ja huomioidaan kokonaisuutena. Sen jälkeen on hyvä pohtia mitä puuttuu: mistä riskityypeistä ei vielä kerätä tietoa", Rajamäki huomauttaa.
Perusasiat kannattaa pitää yksinkertaisina
Riskienhallinta tuppaa jäämään taka-alalle, jos yrityksellä menee hyvin. Asiaan havahdutaan ongelmien ilmaantuessa, tai kun jonkun toisen yrityksen riskienhallinnan pettäminen ylittää uutiskynnyksen. "Vastaamon tietomurto syksyllä 2020 oli iso uutinen. Se herätti monet yritykset laittamaan kotipesät kuntoon ja kiritti regulaation kehittämistä. Valtioneuvosto julkisti kesäkuussa 2021 periaatepäätösluonnoksen, jossa esiteltiin liki 40 linjausta tietoturvan ja tietosuojan parantamiseksi kriittisillä toimialoilla. Ilman Vastaamon tietomurtoa asiat tuskin olisivat edenneet näin ripeästi", Rajamäki pohtii.
Mikäli riskienhallinta on lapsenkengissä, on tärkeää laittaa ensin perusasiat kuntoon. "Liika ahnehtiminen ei johda hyviin lopputuloksiin. Jos lähdetään nollasta kehittämään kolmen vuoden kaiken kattavaa ohjelmaa, se vain lannistaa ja hämmentää ihmisiä. Asiat on pidettävä riittävän yksinkertaisina", Rajamäki alleviivaa.
Pk-yrityksiin ei kohdistu ulkoisia raportointivaatimuksia. Jos niiden toiminta rajoittuu kotimaahan, ei riskienhallinnan tarvitse olla monimutkaista. "Ratkaisevinta on tiedostaa, kuinka riskidataa halutaan kerätä ja hyödyntää. Churchilliä mukaillen: tärkeintä on suunnittelu, ei suunnitelma", Rajamäki naurahtaa. "Jos organisaatiossa todetaan, ettei riskienhallinta ole riittävää, olisi katseet käännettävä kohti johtoa. Lähtisin kysymään, mihin johto kaipaa muutosta, ja millainen riskienhallinta tukisi johtamista ja päätöksentekoa. Näin riskienhallinta saadaan hitsattua osaksi liiketoimintaa, eikä se jää mapiksi ylähyllylle", hän lisää.
Ammattislangin viljely ei palvele ketään
Rajamäki myöntää, että riskienhallintaa saatetaan pitää vaikeana, vain tiettyjä erityisasiantuntijoita koskevana asiana. Alan sanasto voidaan myös kokea haastavaksi. Kryptisten termien viljely estää muita osallistumasta keskusteluihin. Riskienhallinnan ammattilaisilla on Rajamäen mukaan myös peiliin katsomisen paikka. ”Kuten kaikilla ammattilaisilla, myös riskienhallinnan asiantuntijoilla on usein tapana tehdä asioita ja viestiä niistä ikään kuin vastassa olisi toinen saman alan ihminen. Meidän tulisi pohtia kenelle me riskianalyyseja teemme, kuinka heitä voisi palvella paremmin ja kuinka voisimme viestiä selkeämmin”, hän listaa. "Selkeään, kohderyhmän tarpeet huomioivaan viestintään on panostettava: avattava yksiselitteisesti, mikä kunkin yksittäisen työntekijän rooli on ja miksi se on tärkeä", hän sanoo.
Viestin jakaminen voi olla varsin mutkatonta pienissä yrityksissä, jossa koko porukka mahtuu yhteen neuvotteluhuoneeseen. Viestinnän tärkeys ja samalla haaste kasvavat yrityskoon myötä. "Jokaiseen arjen valintaan liittyy riskejä. Olemme kaikki oman elämämme riskienhallintajohtajia. Jos tätä ei saada näkyväksi myös työarjessa, jotain on pielessä. Ihannetilanteessa kaikki työntekijät kokevat osallisuutta ja ymmärtävät oman panoksensa merkityksen organisaation riskienhallinnalle", Rajamäki kuvailee.
Hyvä riskienhallinta on kilpailuetu
Rajamäki tähdentää, etteivät riskit ole aina negatiivisia. "Monien riskien vaikutukset voivat olla sekä negatiivisia että positiivisia. Riskienhallinnan tarkoitus on myötävaikuttaa onnistumisia, ei maalata piruja seinille. Tämän oivaltaminen edellyttäisi keskeistä muutosta ajattelutavassa", Rajamäki toteaa.
Parhaimmillaan riskienhallinta on organisaatiolle kilpailuetu. Aivan kuten vastuullisuudella, myös riskienhallinnalla voi erottua muista tekemällä enemmän kuin laki vaatii. "Monasti rukkaset ikävä kyllä tipahtavat käsistä heti kun päästään regulaation vaatimalle tasolle", Rajamäki kertoo. "On selvää, ettei maailma ole muuttumassa yksinkertaisemmaksi. Muutosvauhti nopeutuu, ja osaamisvaatimukset, epävarmuudet ja kompleksisuus kasvavat. Riskienhallinta voi olla iso apu muuttuvassa maailmassa, ja kertoa johdolle hyvissä ajoin hiljaisista signaaleista: tällaisia ensimmäisiä merkkejä on nyt siitä, että jotain uutta on tulossa", hän jatkaa.
On toki paljon riskejä, joihin ei voi vaikuttaa. Niihin voi kuitenkin varautua.
"Jos negatiivista riskiä ei pystytä torjumaan, seuraavaksi paras vaihtoehto on sen vaikutusten pienentäminen. Koronapandemian tuloa ei kukaan pystynyt estämään. Mutta jotkut organisaatiot olivat paljon paremmin varautuneita tällaisen riskin realisoitumiseen", Rajamäki sanoo. "Kun riskienhallinnan hoitaa kilpailijoita paremmin, on organisaatiolla varsin vahvat onnistumisen edellytykset, minkä asiakkaatkin huomaavat. Luottamus lisää myyntiä ja liiketoiminnan mahdollisuuksia", Rajamäki kiteyttää.
Aalto PRO:n Turvallisuusjohdon koulutusohjelma (TJK) täyttää tänä vuonna 30 vuotta. TJK:ssa tarkastellaan laajasti turvallisuuteen liittyviä teemoja ja yritysturvallisuuden kokonaisuuden johtamista. Lue lisää ohjelmasta.
