Varför undviker de flesta organisationer kvantitativ riskbedömning?

Ingen ERM-process som är effektiv när det gäller att hjälpa ett företag att förstå hot och möjligheter för att uppnå målen kommer bara att skapa en lista över risker. Det kan vara tillräckligt för en tillsynsmyndighet, men det betyder absolut ingenting för att hjälpa cheferna att driva organisationen bättre.

Efter identifiering tar företagen sedan det viktiga steget att bedöma riskerna för att förstå vilka risker de bör prioritera. Hur vet man trots allt att företaget fokuserar på rätt risker och möjligheter?

I stort sett finns det två metoder för att bedöma risker – kvalitativa och kvantitativa.

Kvalitativ bedömning använder beskrivande element för att rangordna en viss risk, vanligen i form av en skala från 1-5 eller hög, medelhög eller låg, medan kvantitativ bedömning använder hårda siffror, t.ex. en inverkan i dollar eller något annat mått.

Kvalitativa metoder är den överlägset vanligaste, men som många tankesmedjor inom riskhantering hävdar är den behäftad med fördomar och ger endast en statisk bild av risken och är därför inte användbar för beslutsfattande. Kvantitativa metoder anses vara mer objektiva och ger en bättre förståelse för hur riskerna påverkar organisationen, men de kräver en viss nivå av dataanalys och modelleringsförmåga som många organisationer helt enkelt inte har.

Detta är dock inte den primära anledningen till att många organisationer skyr kvantitativa riskbedömningsmetoder.

Det är en vanlig uppfattning att endast utvalda branscher, som sifferbaserade finansiella tjänster och tillverkningsföretag, är utrustade för att dra nytta av kvantitativ riskbedömning.

Banker har en skattkammare av mätvärden att hämta data från, till exempel lånerisk, ränteintäkter, reservkvoter med mera. Därefter har tillverkningsindustrin en mängd olika mått som de använder för att förstå prestanda och effektivitet, bland annat genomströmning, kapacitetsutnyttjande, anmälningspliktiga hälso- och säkerhetsincidenter och mycket mer.

Men även om finansföretag har den största erfarenheten av kvantitativ bedömning är sanningen den att varje organisation, oavsett bransch eller sektor, kommer att ha data som de kan använda sig av…

Om du inte är strikt pappersbaserad (det hoppas jag innerligt att du inte är i vår tid), kommer varje organisation i alla sektorer och branscher att ha siffror. Det kan handla om siffror som rör ekonomiska resultat (insamling av medel för ideella organisationer), personalbindning och personalomsättning samt kundservice (t.ex. samtal per vecka eller vad som kallas Net Promoter Score).

Om de används och kommuniceras på rätt sätt kan dessa siffror berätta en mer robust och handlingsbar historia om risker än någon kvalitativ 1-5 eller låg-medelhög rangordning.

Låt mig utveckla…

I en typisk, kvalitativ riskbedömning ombeds chefer och affärsenhetsledare att rangordna konsekvenserna och sannolikheten för en risk. Med dessa statiska poäng i handen kan en värmekarta utvecklas, som enligt COSO helt enkelt är ”…en grafisk representation av sannolikhet och inverkan av en eller flera risker.”

Problemet med värmekartor och andra liknande grafiska representationer är att de utgår från att riskerna existerar på en plats i ett diagram. Detta kan vara missvisande och till och med farligt i viss mån eftersom effekterna kan förändras beroende på sannolikheten för en händelse.

Det yttersta målet med att kvantifiera risker är att förstå sannolikheten för framgång…

I sin senaste bok Decide to Succeed: Hans Læssøe förklarar:

Syftet med att riskhantera ett beslut är att förbättra resultatet, och därför ska du inte fokusera på osäkerheten, risken eller möjligheten i sig – utan på resultatparametern för ditt beslut/projekt.

Som jag utforskar i det här inlägget och upprepar ofta, måste riskpersonal kommunicera på ett språk som beslutsfattare kan uppskatta och förstå. Därför måste mätningen av risker göras på ett sätt som har betydelse för cheferna. När data används på rätt sätt och i rätt sammanhang kan de stödja denna process.

Så här bör det i stort sett fungera…

Din organisation har ett mål (t.ex. att öka intäkterna) och olika mål för att nå detta mål (t.ex. att utveckla nya produkter, omdisponera befintliga produkter till en ny marknad).

Du som riskproffs kan i samordning med relevanta intressenter ta fram scenarier kring dessa mål. Som jag förklarar i ett tidigare inlägg om viktiga frågor för effektiv scenarioplanering är syftet på hög nivå att se till att mål och målsättningar är de rätta.

Risker kan sedan identifieras kring dessa scenarier. Alla relevanta data kan användas för att utveckla modeller eller Monte Carlo-simuleringar som sedan kan bestämma sannolikheten för att ett visst mål uppfylls.

Här är ett exempel från Hans bok som ger några konkreta siffror om sannolikheten för att uppfylla specifika mål för ett projekt:

Från det här diagrammet kan vi se att det finns en chans på 57 % att ett projekt kommer att slutföras inom önskad tidsram och en chans på 82 % att projektet kommer att komma in inom acceptabla budgetmål. Cheferna kan använda denna information för att avgöra om projektet ska gå vidare som det är, ändras eller överges.

Men hur får jag tag på data?

För att modeller och simuleringar ska fungera måste du dock ha data, vilket för oss tillbaka till kärnan i dagens ämne.

Som jag sa tidigare kommer varje organisation att ha data. Men även utan direkta siffror som intäkter eller kundtillfredsställelse är det möjligt att tilldela numeriska värden till en mängd immateriella värden, inklusive rykte. Andra exempel på immateriella tillgångar förutom rykte är ledningens effektivitet, forskningsproduktivitet, politisk osäkerhet – listan är oändlig.

Boken (…och den tillhörande arbetsboken) How to Measure Anything: Finding the Value of ”Intangibles” in Business av Douglas Hubbard ger verktyg och metoder som organisationer kan använda för att sätta siffror på en mängd olika mätvärden.

Som hans bok förklarar är dock syftet med att mäta och analysera för beslutsfattande inte att producera ett perfekt resultat, utan att minska osäkerheten så att cheferna kan fatta bästa möjliga beslut.

Samtidigt som det vore klokt att inte rusa in i modellering blir kvantitativa metoder alltmer väsentliga, särskilt som världen fortsätter att röra sig mot mer och mer automatisering och samhället har mindre tolerans för problem eller felsteg.

Hur övervinner din organisation datautmaningen för att bedöma risker för verkställande beslutsfattande?