Nykypäivän dynaamisessa toimintaympäristössä organisaatioiden on kyettävä ennakoimaan ja hallitsemaan riskejä yhä systemaattisemmin. Riskienhallinta mielletään usein lakisääteiseksi velvoitteeksi tai erilliseksi valvontamekanismiksi. Parhaimmillaan se toimii kuitenkin osana strategista johtamista, tukee tavoitteiden saavuttamista ja vahvistaa organisaation uudistumiskykyä. (Kupi, Keränen & Lanne 2009, s. 15–18). Korkeakoulukentällä, missä rahoitusmallit, sääntely ja yhteiskunnalliset odotukset muuttuvat jatkuvasti, dynaaminen lähestymistapa on välttämättömyys.
Ymmärtääkseen riskienhallinnan merkitystä johtamisessa on ensin määriteltävä, mitä riski tarkoittaa. Modernissa riskienhallinnassa lähtökohtana on ei-toivottavan tapahtuman mahdollisuuden ja itse riskin mittaamisen erottaminen toisistaan (Koskinen, 2018, s. 11). Päätöksentekijöiden on kyettävä analysoimaan käytettävissä olevaa tietoa ja tunnistettava, millä tietämyksen tasolla kulloinkin liikutaan. Koskinen (2018, s. 11–12) jakaa tämän kolmeen tasoon:
- Tunnettu epävarmuus, jolloin mahdolliset seuraukset ja niiden todennäköisyydet pystytään hahmottamaan menneen tiedon valossa.
- Tuntematon epävarmuus, jolloin tunnistetaan uusia uhkia (kuten vaikkapa tekoälyn tuomat kyberuhat), mutta niiden tarkkaa luonnetta tai toteutumista ei vielä tunneta.
- Tietämättömyys epävarmuuden olemassaolosta, mikä vaatii organisaatiolta äärimmäistä herkkyyttä ja kykyä reagoida yllättäviin, ennalta-arvaamattomiin tilanteisiin.
Koska organisaatiot toimivat usein tuntemattoman epävarmuuden tilassa, riskienhallinnan on oltava kiinteä osa strategista suunnittelua. Kupi, Keränen ja Lanne (2009) korostavat riskienhallinnan yhteyttä strategiseen johtamiseen. Heidän mukaansa riskienhallinnan perusideana on uhkiin varautuminen ja mahdollisuuksien hyödyntäminen. Mahdollisuuksien tunnistamisen kautta yritys voi saavuttaa kilpailuetua.
Diakin riskienhallintamalli: teoriasta käytäntöön
Diakonia-ammattikorkeakoulussa (Diak) riskienhallintaa ohjaa dokumentti Riskienhallinnan kuvaus (2023), joka osoittaa, kuinka teoreettiset opit tiedonkulusta ja strategisesta integraatiosta on viety käytännön rakenteisiin. Riskienhallinnan kuvauksessa riskienhallinta on kytketty osaksi johtamista ja päivittäistä toimintaa.
Diakin riskienhallinnan viitekehys (2023) perustuu kansainvälisesti tunnettuun kolmen puolustuslinjan malliin. Mallin mukaisesti riskienhallinnan vastuut jakautuvat operatiiviseen toimintaan, johdon ohjaus- ja valvontatehtäviin sekä riippumattomaan arviointiin. Käytännössä korkeakoulussa riskienhallinta toteutuu tällä hetkellä erityisesti ensimmäisen ja toisen puolustuslinjan kautta, joissa vastuut on määritelty osaksi johtamista ja päivittäistä toimintaa. Ratkaisu tukee kuitenkin Kupin ym. (2009, s. 12–13) esittämää näkemystä siitä, että riskienhallinta ei ole yhden erillisen toiminnon vastuulla, vaan sen tulee olla osa organisaation johtamista ja toimintaprosesseja.
Strategisia ja operatiivisia riskejä arvioidaan uudelleen aina, kun toimintaympäristössä tai organisaation rakenteissa tapahtuu merkittäviä muutoksia.
Diakin mallissa (2023) opiskelijalähtöisyys näkyy riskien luokittelussa. Opiskeluun ja opintoihin liittyvät riskit on nostettu omaksi erilliseksi riskiluokakseen. Tämä korostaa korkeakoulun perustehtävää ja osoittaa, että turvallinen ja sujuva opintopolku nähdään suoraan strategisena onnistumistekijänä.
Riskien läpikäynti ei ole kerran vuodessa tehtävä muodollisuus. Esimerkiksi strategiset riskit käsitellään vähintään kaksi kertaa vuodessa sekä johtoryhmässä että hallituksessa, ja käsittelyt tallennetaan virallisiin pöytäkirjoihin. Operatiiviset riskit puolestaan kytketään tiiviisti johdon kuukausittaiseen raportointiin.
Malli ottaa huomioon sen, että riskit ja käytettävissä oleva tieto muuttuvat jatkuvasti. Strategisia ja operatiivisia riskejä arvioidaan uudelleen aina, kun toimintaympäristössä tai organisaation rakenteissa tapahtuu merkittäviä muutoksia. Riskienhallinta on siis jatkuva prosessi, jossa reagoidaan tiedon syventymiseen ja epävarmuuksien muuttumiseen. Riskejä tunnistetaan, seurataan, arvioidaan ja hallitaan muuttuvan tiedon pohjalta. Koskisen (2018) mukaan riskienhallinnan keinot riippuvat käytettävissä olevan tiedon tasosta ja epävarmuuden luonteesta.
Riskienhallinnan prosessi käytännössä
Diakin mallissa (2023) sisäinen valvonta ja riskienhallinta jaetaan selkeisiin osatekijöihin, joita ovat toimintaympäristö, tavoitteiden asettaminen, riskien tunnistaminen ja arviointi, riskienhallintatoimenpiteet, tiedonkulku ja viestintä sekä seuranta.
Diakin riskit jaetaan pääsääntöisesti strategisiin, operatiivisiin, taloudellisiin, vahinko- ja maineriskeihin. Strategiset riskit liittyvät korkeakoulun pitkän aikavälin tavoitteisiin, toimintaympäristön muutoksiin ja menestystekijöihin. .
Operatiiviset ja taloudelliset riskit johdetaan strategiasta, toimintasuunnitelmista ja vuosittaisista tavoitteista. Niiden hallinta ei ole yksittäinen vuosittainen tarkastelu, vaan jatkuva osa johtamista. Näin riskienhallinta kytkeytyy suoraan arjen päätöksentekoon ja toiminnan kehittämiseen.
Vahinkoriskejä, kuten henkilöstöön, opiskelijoihin, toimitiloihin, tietoturvaan tai toiminnan jatkuvuuteen kohdistuvia uhkia, hallitaan osana operatiivista toimintaa. Osa riskeistä voidaan siirtää vakuuttamisen avulla, mutta keskeistä on myös ennaltaehkäisy ja varautuminen. Maineriskejä puolestaan arvioidaan tilanteissa, joissa julkisuuden, sidosryhmäsuhteiden tai organisaation sisäisten tapahtumien ennakoidaan vaikuttavan korkeakoulun maineeseen tai julkiseen mielikuvaan. Näiden riskien hallinta edellyttää ennakoivaa viestintää, avointa vuorovaikutusta ja nopeaa reagointia muuttuviin tilanteisiin.
Riskienhallinta vahvistaa organisaation toimintakykyä
Riskienhallinta on paljon enemmän kuin uhkien tunnistamista ja vahinkojen ehkäisemistä. Se on johtamisen väline, jonka avulla organisaatio voi arvioida toimintaympäristön muutoksia, tehdä perusteltuja päätöksiä epävarmuuden keskellä ja suunnata toimintaansa kohti tavoitteitaan.
Koskisen (2018) mukaan riskienhallinnan mahdollisuudet riippuvat käytettävissä olevan tiedon tasosta ja epävarmuuden luonteesta. Kupi, Keränen ja Lanne (2009) puolestaan korostavat riskienhallinnan yhteyttä strategiseen johtamiseen sekä mahdollisuuksien tunnistamiseen. Diakin riskienhallinnan kuvaus osoittaa, kuinka nämä periaatteet voidaan viedä käytännön johtamiseen: riskienhallinta on kytketty strategiaan, toiminnan suunnitteluun, päätöksentekoon ja jatkuvaan seurantaan.
Parhaimmillaan riskienhallinta vahvistaa organisaation kykyä ennakoida muutoksia, hyödyntää mahdollisuuksia ja ylläpitää toimintakykyään myös epävarmoissa tilanteissa.
Lähteet
Diakonia-ammattikorkeakoulu. (2023). Diakonia-ammattikorkeakoulun riskienhallinnan kuvaus, versio 2.0 (Hyväksytty johtoryhmässä 23.5.2023, esitelty hallituksessa 6.6.2023).
Koskinen, L. (2018). Riskienhallinta ja tietämyksen tasot. Kirjassa: Ahteensivu, A., Koskinen, L., Kulmala, J. & Havakka, P. (toim.) Riskienhallinnan ajankohtaisia teemoja (s. 11–28). Tampere University Press.
Kupi, E., Keränen, J., & Lanne, M. (2009). Riskienhallinta osana pk-yritysten strategista johtamista. VTT Working Papers 137. VTT.
