Risikooversigt i bestyrelsen: sådan holder du øje med de vigtigste risici på hvert møde

Risikooversigten er bestyrelsens vigtigste et-sides dokument. Den er en tabel med 8-12 risici, en vurdering af sandsynlighed og konsekvens for hver, en navngiven ejer og en konkret næste handling. På hvert bestyrelsesmøde gennemgår du og bestyrelsen de tre risici, der i øjeblikket scorer højest. Ikke alle tolv. Ikke én gang om året. De tre største, hver gang.

Det lyder enkelt, og det er det principielt. Men de fleste SMV-bestyrelser gør det ikke systematisk. Risici drøftes, når noget allerede er gået galt, eller når revisoren bringer dem op. Det er for sent. En risikooversigt, der opdateres løbende og har fast plads på dagsordenen, giver bestyrelsen mulighed for at handle, mens der stadig er tid.

Denne artikel handler om, hvordan du bygger og vedligeholder en risikooversigt, hvad der skal stå i tabellen, hvem der ejer hvad, og hvordan gennemgangen fungerer i praksis. Du finder det brede overblik over bestyrelsesårets struktur i Bestyrelsens årshjul: komplet guide til planlægning af bestyrelsesåret i en SMV. Her går vi i dybden med netop risikopunktet.

Hvorfor risikostyring hører til på dagsordenen, ikke i årsrapporten

Mange SMV-direktører forbinder risikostyring med årsregnskabet, revisionsprotokollatet eller den obligatoriske gennemgang med revisor én gang om året. Det er en naturlig association, for det er typisk der, risici formelt dokumenteres. Men det er ikke det samme som, at bestyrelsen aktivt styrer dem.

Årsrapporten beskriver risici bagudskuende eller på et overordnet niveau. Revisionsprotokollatet fokuserer primært på regnskabsmæssige og revisionsmæssige forhold. Begge dele er vigtige, og du kan læse mere om revisionsprotokollat: hvad det er, og hvad bestyrelsen skal gøre med det. Men ingen af delene erstatter den løbende, operationelle risikogennemgang, som bestyrelsen bør foretage på hvert ordinære møde.

Forskellen er tidshorisonten. En risiko, der vurderes ved årsafslutningen, er allerede seks, ni eller tolv måneder gammel, når den næste vurdering finder sted. Virksomhedens omverden ændrer sig hurtigere end det. En nøgleleverandør kan miste kapacitet. En stor kunde kan signalere, at de overvejer at skifte leverandør. Et lovkrav kan ændre sig. Et it-system kan vise sig sårbart. Ingen af disse risici venter på, at årsregnskabet er klar.

Det er derfor, risikogennemgangen hører til som fast punkt på den ordinære dagsorden. Ikke som et langt punkt, men som et struktureret, kortfattet punkt, der sikrer, at bestyrelsen mindst fire til seks gange om året forholder sig aktivt til virksomhedens risikobillede. Du kan se mere om, hvad der i øvrigt hører til på dagsordenen, i artiklen om sådan skriver du en dagsorden til bestyrelsesmødet der faktisk virker.

En anden grund til, at risikostyring skal have fast plads, er ansvar. Bestyrelsesmedlemmer har et ansvar for at sikre, at virksomheden ikke påtager sig risici, den ikke er bevidst om eller ikke har taget stilling til. Det ansvar kan ikke løftes ved at gennemse et bilag én gang om året. Det løftes ved, at risici er et tilbagevendende, levende punkt på dagsordenen, hvor bestyrelsen aktivt spørger, vurderer og beslutter.

Det handler ikke om at skabe frygt eller pessimisme i ledelsen. Det handler om, at bestyrelsen gør sit arbejde: at holde et overblik over det, direktøren måske er for tæt på til altid at se klart, og at sikre, at virksomheden ikke drives ind i problemer, der med lidt fremsyn kunne have været undgået eller dæmpet.

En risikooversigt er ikke et tegn på, at virksomheden er i vanskeligheder. Den er et tegn på, at virksomheden ledes seriøst.

Sådan opbygger du risikooversigten fra bunden

Risikooversigten er en tabel. Den behøver ikke være flot. Den skal være overskuelig, opdaterbar og nem at gennemgå på et møde. Du kan lave den i et regneark, i et Word-dokument eller i det board pack-system, din bestyrelse bruger. Det vigtigste er ikke formatet, men indholdet og disciplinen til at holde det ajour.

Tabellen har typisk disse kolonner:

• Risiko: En kort, konkret beskrivelse af hvad der kan gå galt. Ikke en kategori som 'markedsrisiko', men en specifik formulering som 'kundekoncentration: vores tre største kunder udgør over halvdelen af omsætningen'.
• Sandsynlighed: En simpel skala, fx lav, middel eller høj. Undgå at gøre det mere præcist, end din information tillader.
• Konsekvens: Hvad er den forventede skade, hvis risikoen materialiserer sig? Igen lav, middel eller høj, eventuelt suppleret med en kort verbal beskrivelse.
• Samlet score: Sandsynlighed ganget med konsekvens giver en prioritering. En høj sandsynlighed og en høj konsekvens er altid øverst på listen.
• Ejer: Ét navn. Den person i virksomheden, der er ansvarlig for at overvåge og håndtere netop denne risiko. Ikke en afdeling, ikke et team, men ét navn.
• Seneste status: En linje om, hvad der er sket siden sidst. Er risikoen steget, faldet eller uændret?
• Næste handling: Hvad gør ejeren konkret inden næste møde? En specifik handling med en deadline.
• Gennemgået: Dato for seneste gennemgang i bestyrelsen.

Med denne struktur kan du holde 8-12 risici i overblik på én side. Det er tilstrækkeligt for de fleste SMV'er. Har du færre end otte risici på listen, er den sandsynligvis for overordnet. Har du markant flere end tolv, er den for detaljeret til bestyrelsesniveauet, og nogle risici hører hjemme i den operationelle ledelse i stedet.

Første gang du laver oversigten, anbefales det at afsætte et halvt strategimøde eller et særskilt arbejdsmøde til at identificere risiciene i fællesskab med bestyrelsen. Det sikrer, at alle har ejerskab til listen, og at du ikke sidder alene med definitionen af, hvad der er vigtigt. Efterfølgende opdaterer direktøren oversigten inden hvert møde, og bestyrelsen gennemgår og justerer den på mødet.

En risiko kan udgå af listen, hvis den er håndteret eller er faldet til et acceptabelt niveau. En ny risiko kommer på listen, hvis forholdene ændrer sig. Listen er ikke statisk. Den er et levende dokument, der afspejler virksomhedens aktuelle situation.

Hvilke risici skal på listen, og hvilke hører andre steder hjemme

Det er en af de hyppigste misforståelser ved opbygning af en risikooversigt: at man forsøger at liste alt, hvad der kan gå galt. Så ender man med en liste på 40 punkter, der ingen kan overskue, og som ingen tager ansvar for. Bestyrelsens risikooversigt skal indeholde de risici, der er store nok til at true virksomhedens overlevelse, vækst eller strategiske retning, og som kræver bestyrelsens opmærksomhed.

En god tommelfingerregel er at spørge: 'Hvis denne risiko materialiserer sig fuldt ud, vil det ændre virksomhedens kurs markant eller true dens eksistens?' Hvis svaret er ja, hører risikoen på bestyrelsens liste. Hvis svaret er 'det vil være ubehageligt, men håndterbart inden for driften', hører risikoen hjemme i direktionens operationelle risikoovervågning.

Typiske kategorier på bestyrelsesniveauet inkluderer:

• Kundekoncentration, særligt hvis én eller få kunder udgør en uforholdsmæssig stor andel af omsætningen
• Leverandørafhængighed, hvis et bortfald af en nøgleleverandør ville lamme produktionen eller leverancen
• Nøglepersonrisiko, hvis virksomheden er afhængig af et begrænset antal personer med svær-erstattelig viden eller relationer
• Likviditets- og finansieringsrisiko, herunder forholdet til banker og kreditorer
• Markedsrisici som væsentlige ændringer i efterspørgsel, konkurrenter eller priser på kernemarkeder
• Regulatoriske risici, herunder ændringer i lovgivning der rammer virksomhedens forretningsmodel
• It-sikkerhed og datarisici, herunder sårbarhed over for nedbrud eller angreb
• Omdømmerisici, særligt i brancher hvor tillid er afgørende
• Strategiske risici, fx at en strategisk antagelse viser sig forkert

Det er ikke en udtømmende liste. Den skal tilpasses din specifikke virksomhed og branche. En produktionsvirksomhed har andre risici end en konsulentvirksomhed. En virksomhed med eksport har andre risici end en, der udelukkende opererer lokalt.

Risici på listen skal heller ikke overlappe med hinanden. Hvis du har to separate rækker, der reelt handler om det samme, bør de slås sammen. En uklar eller overlappende liste skaber forvirring om ejerskab og opfølgning.

Endelig er det vigtigt at skelne mellem kendte risici og ukendte risici. Oversigten håndterer de kendte risici. For de ukendte, de risici ingen har tænkt på endnu, er løsningen ikke en liste, men en kultur og et format, der giver plads til, at nye observationer bringes op. Det er præcis det, et struktureret bestyrelsesmøde med en dedikeret risikodrøftelse understøtter.

Sandsynlighed og konsekvens: en praktisk scoringsmodel du kan bruge fra dag ét

Mange virksomheder holder sig fra risikostyring, fordi de forestiller sig, at det kræver avancerede modeller, eksterne konsulenter eller statistisk viden. Det kræver det ikke. En enkel 3x3-matrix er tilstrækkelig for langt de fleste SMV'er og faktisk lettere at bruge i en bestyrelsesdiskussion end en kompleks model.

Matrixen ser sådan ud:

En risiko med score 9 er den mest kritiske: høj sandsynlighed og høj konsekvens. En risiko med score 1 er mindst kritisk og bør overvejes slettet fra listen, medmindre den er på listen som en slags 'agtpågivenhedspunkt'.

Praktisk eksempel (opdigtede tal): Forestil dig en virksomhed, der har én stor kunde, som tegner sig for 40 procent af omsætningen. Sandsynligheden for, at kunden forlader dem inden for de næste tolv måneder, vurderes som lav, fordi kontrakten løber videre. Men konsekvensen, hvis det alligevel sker, er høj, fordi omsætningsbortfaldet ikke kan erstattes hurtigt. Risikoen scorer 1 x 3 = 3. Det placerer den ikke øverst på listen, men det understreger, at den ikke bør ignoreres, og at næste handling bør være at begynde at diversificere kundebasen.

Scoringen er et samtaleværktøj, ikke en absolut sandhed. To bestyrelsesmedlemmer kan vurdere sandsynligheden forskelligt, og det er faktisk en gevinst, fordi det udfordrer antagelserne. Den vigtigste diskussion er ikke, om en risiko scorer 4 eller 6, men om hvilke risici der kræver handling nu, og hvilke der er tilstrækkelige at overvåge.

Opdater scoringen på hvert møde. En risiko, der scorede 4 ved sidst møde, kan score 8 ved dette møde, fordi forholdene har ændret sig. Den ændring er vigtig information for bestyrelsen, og den fortæller langt mere end en statisk liste nogensinde kan.

Notér altid, hvem der har vurderet sandsynlighed og konsekvens, og hvornår. Det giver sporbarhed og gør det lettere at diskutere, om vurderingen stadig holder, eller om ny information bør ændre den.

Ejerskab til risici: det ene navn der gør forskellen

En risiko uden en navngiven ejer er en risiko, ingen håndterer. Det er en af de mest udbredte fejl i risikostyring, ikke bare i SMV'er, men i organisationer generelt. Man aftaler at 'holde øje med' en risiko, uden at fastlægge, hvem der konkret er ansvarlig. Resultatet er, at alle antager, at det er de andres ansvar, og ingen gør noget, før det er for sent.

Ejerskab i risikooversigten handler om ansvar for overvågning og rapportering. Ejeren er den person, der inden næste møde indhenter information om, hvordan risikoen har udviklet sig, og som kan redegøre for dette på mødet. Ejeren er ikke nødvendigvis den person, der kan eliminere risikoen, men den person, der holder bestyrelsen opdateret og iværksætter de aftalte handlinger.

I en SMV vil mange risici naturligt falde under direktøren. Det er fint for en del af dem. Men det er hensigtsmæssigt at fordele ejerskabet bredere, hvor det er muligt. En finansiel risiko kan ejes af CFO'en eller den økonomiansvarlige. En it-sikkerhedsrisiko kan ejes af den it-ansvarlige. En nøglepersonrisiko kan ejes af HR-chefen eller direktøren, afhængigt af virksomhedens størrelse.

Bestyrelsesmedlemmer kan i særlige tilfælde også have et opfølgningsansvar, typisk for risici, der kræver ekstern viden eller netværk som bestyrelsesmedlemmet besidder. Men som udgangspunkt er det ledelsens ansvar at eje og rapportere, og bestyrelsens ansvar at stille spørgsmål, udfordre og beslutte.

Næste handling er uløseligt knyttet til ejerskabet. Når du navngiver en ejer, skal du også aftale, hvad ejeren konkret gør inden næste møde. Det kan være at indhente et tilbud på en backup-leverandør, at have en samtale med en nøgleperson om fastholdelse, at undersøge, hvad et nyt regulatorisk krav konkret betyder for virksomheden, eller at bestille en it-sikkerhedsgennemgang. Det er konkrete handlinger, der kan beskrives og følges op på. Ikke vage hensigter som 'vi holder øje med det'.

Opfølgningen er det, der adskiller en aktiv risikooversigt fra et statisk dokument. På næste møde starter gennemgangen med: hvad aftalte vi sidst, og hvad er der sket? Det er en simpel mekanisme, men den sikrer, at bestyrelsen ikke bare taler om risici, men faktisk reducerer dem.

BoardPanels Risiko-trin: sådan ser et struktureret risikoflow ud i praksis

At forstå principperne bag en risikooversigt er ét. At se, hvordan gennemgangen fungerer som en konkret del af et mødes flow, er noget andet. BoardPanel er et AI-bestyrelsespanel til SMV-direktører, og det ordinære møde i platformen er bygget op om seks faste trin: status, risikogennemgang, sagsfremstilling, panelanalyse, konklusion og beslutningslog.

Risiko-trinnet er trin to. Det kommer efter statusopdateringen og inden sagsfremstillingen. Det er ikke tilfældigt. Rækkefølgen er valgt, fordi risikogennemgangen bør finde sted, mens alle er friske og fokuserede, og inden diskussionen drejer mod specifikke sager og beslutninger. Risici kræver opmærksomhed, ikke de resterende minutter af et to-timers møde.

I BoardPanels format arbejder AI-formand Morten Krarup struktureret igennem de tre højest scorende risici. For hver risiko stiller panelet spørgsmål: Er vurderingen af sandsynlighed og konsekvens stadig korrekt? Har der været ændringer siden sidst? Er den aftalte handling gennemført? Hvad er næste skridt? Panelet består af fire AI-rådgivere, Strategen, CFO'en, CMO'en og Djævelens Advokat, og de bidrager med perspektiver fra deres respektive fagområder. Djævelens Advokat udfordrer særligt de antagelser, der ligger til grund for risikovurderingen.

Det er en model, der illustrerer, hvad en god risikodrøftelse indeholder. Ikke en generel snak om, at 'markedet er usikkert', men en specifik gennemgang af de tre risici, der aktuelt scorer højest, med konkrete spørgsmål, konkrete svar og konkrete næste handlinger. Outputtet er en del af beslutningsloggen, så der er dokumentation for, hvad bestyrelsen drøftede, og hvad der blev besluttet.

Platformen sender desuden en påmindelse 14 dage efter mødet, så ejerne af de aftalte handlinger bliver rykket, inden næste møde. Det er en mekanisme, der understøtter den opfølgningskultur, som risikooversigten kræver for at fungere.

Modellen viser, at en systematisk risikogennemgang ikke behøver at tage lang tid. Tre risici med et struktureret format kan gennemgås på 15-20 minutter, hvis dokumenterne er på plads inden mødet. Det er en overkommelig investering for den sikkerhed, det giver. Du kan læse mere om, hvad der i øvrigt bør forberede inden et møde, i guiden om hvad der skal stå i materialet til bestyrelsesmødet.

Det vigtigste er ikke, hvilket system du bruger. Det vigtigste er, at risikogennemgangen er et fast, struktureret trin i mødet, og ikke et punkt, der springes over, hvis dagsordenen er presset.

De tre største fejl, bestyrelsen begår med risikooversigten

Selv bestyrelsesr, der har vedtaget at arbejde med en risikooversigt, falder i de samme fælder. At kende dem på forhånd gør det lettere at undgå dem.

Den første og mest udbredte fejl er, at oversigten laves én gang og aldrig opdateres. Direktøren udarbejder et flot dokument ved årets start, det præsenteres for bestyrelsen, alle nikker, og så lægges det i en mappe, hvorfra det aldrig hentes igen. Et år later genbruges dokumentet med minimale ændringer. Det er ikke risikostyring. Det er risikoregistrering til for formens skyld. En risikooversigt, der ikke opdateres inden hvert møde, mister sin værdi hurtigt, fordi virksomhedens risikolandskab konstant ændrer sig.

Den anden fejl er manglende ejerskab, som allerede er nævnt, men fortjener at stå tydeligt her: ingen kan huske, hvem der 'egentlig' er ansvarlig for at følge op, og ingen gør det. Løsningen er enkel: ét navn i ejerkolonnen, aftalt og noteret i beslutningsloggen. Ikke 'ledelsen' eller 'direktøren og CFO'en'. Ét navn.

Den tredje fejl er, at risikogennemgangen aldrig afsluttes med en konkret beslutning. Bestyrelsen drøfter en risiko, alle er enige om, at den er bekymrende, og så går man videre til næste punkt. Ingen aftale om, hvad der gøres. Ingen deadline. Ingen opfølgning. Det er tidsspilde og giver en falsk trygghed: bestyrelsen har 'behandlet' risikoen, men har reelt ikke gjort noget ved den.

En fjerde fejl, der er værd at nævne, er at listen er for generisk. Risici som 'makroøkonomisk usikkerhed' eller 'teknologisk disruption' er så brede, at ingen kan eje dem, handle på dem eller vurdere, om de ændrer sig. Lad vær med den slags kategorier. Oversæt dem til noget konkret: 'rentestigninger øger vores renteomkostninger med X, hvis vi refinansierer i 2025' eller 'en ny konkurrent i vores kernesegment har lanceret et produkt til lavere pris'. Det er noget, bestyrelsen kan forholde sig til og handle på.

En femte faldgrube er at forveksle risikogennemgang med krisestyring. Risikogennemgangen er forudgående. Den handler om at identificere og reducere risici, mens de stadig kan reduceres. Krisestyring er noget andet og langt dyrere. Bestyrelsen, der venter med at tale om risici, til krisen er et faktum, har tabt det vigtigste vindue for handling.

Hvad der sker, når en risiko materialiserer sig: fra oversigt til handling

En risikooversigt er ikke et forsikringsbevis. Den eliminerer ikke risici, og den garanterer ikke, at ingen af dem nogensinde materialiserer sig. Meningen er, at virksomheden er bevidst om dem og har et beredskab. Hvad gør bestyrelsen og direktøren, når det alligevel sker?

Det første trin er at aktivere den næste handling, der allerede er noteret i oversigten. Har virksomheden arbejdet systematisk med sin risikooversigt, er der allerede tænkt over, hvad der sker, hvis risikoen bliver til virkelighed. Der er måske identificeret en alternativ leverandør. Der er måske taget indledende kontakt til en ny finansieringskilde. Der er måske aftalt en kommunikationsplan med nøglekunder. Intet af dette er et spild, selvom risikoen aldrig materialiseredes. Det er beredskab.

Det andet trin er at indkalde til et ekstraordinært bestyrelsesmøde, hvis situationen er alvorlig nok. Bestyrelsen bør ikke vente til det planlagte næste møde, hvis en risiko med høj score pludselig er blevet til en reel krise. Du kan læse mere om, hvornår og hvor tit det giver mening at mødes, i artiklen om hvor mange bestyrelsesmøder I skal holde om året.

Det tredje trin er at opdatere risikooversigten umiddelbart. En risiko, der er materialiseret, ændrer hele risikolandskabet. Måske opstår der nye risici som afledte konsekvenser. Måske reduceres andre risici, fordi det, man frygtede, nu er et faktum, og virksomheden er tvunget til at håndtere det. Oversigten bør afspejle den nye virkelighed.

Det fjerde trin er en grundig gennemgang ved næste ordinære møde: hvad skete der, hvad gjorde vi, hvad virkede, hvad virkede ikke, og hvad lærte vi? Denne gennemgang er ikke for at placere skyld, men for at forbedre beredskabet til fremtiden. Læringsaspektet er en af de undervurderede gevinster ved en systematisk risikooversigt: den skaber et historisk spor, som gør det muligt at lære af det, der er gået galt.

Endelig bør bestyrelsen reflektere over, om risikoen burde have stået højere på listen. Var vurderingen af sandsynlighed eller konsekvens forkert? Var der en aftalt næste handling, der aldrig blev gennemført? Den ærlighed er ubehagelig, men nødvendig for at forbedre risikoarbejdet fremover.

Hvornår bør risikooversigten fornyes grundigt, og hvornår er en opdatering nok

Der er en forskel på at opdatere risikooversigten og at forny den. Opdateringen sker inden hvert møde: direktøren gennemgår tabellen, noterer ændringer i status, opdaterer scoreringer, der har ændret sig, og registrerer, om aftalte handlinger er gennemført. Det tager typisk en time eller to, afhængigt af virksomhedens kompleksitet og antallet af risici, der har bevæget sig siden sidst.

En grundig fornyelse er noget andet. Den indebærer, at bestyrelsen og direktøren sætter sig ned og ser på listen med friske øjne: Er de rigtige risici med? Er der risici, vi slet ikke har tænkt på? Er vores samlede risikoforståelse stadig korrekt givet det, vi ved om markedet, vores kunder og vores organisation?

En grundig fornyelse bør finde sted mindst én gang om året, typisk i forbindelse med strategidrøftelsen. Det giver mening, fordi strategi og risiko er tæt forbundet. En ny strategisk retning skaber nye risici. Risici, der er reduceret, kan frigøre ressourcer til vækst. Og risici, der er eskaleret, kan nødvendiggøre en justering af strategien. Du kan læse mere om, hvordan strategidrøftelsen i bestyrelsen organiseres, i artiklen om sådan planlægger du en strategidag med bestyrelsen: fuldt program fra forberedelse til opfølgning.

Ud over den årlige fornyelse bør en grundig revision overvejes, når virksomheden gennemgår større forandringer: et opkøb, en fusion, en ny finansieringsrunde, indtrædelse på et nyt marked, en markant ændring i ejerstruktur eller ansættelse af en ny direktør. Alle disse situationer ændrer virksomhedens risikolandskab fundamentalt, og oversigten bør afspejle den nye virkelighed, ikke den gamle.

En god test er at spørge: 'Ville en ny bestyrelsesformand, der ser denne liste for første gang, synes, den giver et retvisende billede af de største risici i virksomheden i dag?' Hvis svaret er tvivlsomt, er det tid til en grundig fornyelse.

Tidspresset er den oftest nævnte årsag til, at denne gennemgang udskydes. Det er forståeligt, men det er en dyr besparelse. De risici, ingen har set på i to år, er netop dem, der kan overraske ubehageligt.

Risikooversigten og budgettet: to dokumenter der skal tale samme sprog

Risikooversigten og budgettet er to af bestyrelsens vigtigste styringsværktøjer. Men i mange SMV'er lever de to dokumenter fuldstændig uafhængigt af hinanden. Budgettet er et finansielt dokument, der viser forventede indtægter og omkostninger. Risikooversigten er et strategisk dokument, der viser, hvad der kan gå galt. De bør tale samme sprog.

En konkret måde at koble de to på er at gennemgå budgettets forudsætninger i lyset af risikooversigten. Budgettet er typisk bygget på antagelser: en bestemt vækstrate, en bestemt bruttomargin, en bestemt fastholdelse af nøglekunder. Risikooversigten indeholder ofte de risici, der kan underminere netop disse antagelser. Hvis en nøgleleverandørrisiko er på listen, bør det afspejle sig i budgettets risikomargen eller i en eksplicit antagelse om, hvad der sker med marginen, hvis leverandøren svigter.

Praktisk eksempel (opdigtede tal): En virksomhed budgetterer med 8 procents vækst, som primært forudsætter, at en stor kontrakt fornyes. Kontrakten er også listet som en risiko i risikooversigten med score 6. Alligevel er der ingen forbindelse mellem de to dokumenter: budgettet antager fornyelse, og risikooversigten nævner risikoen uden at trække en linje til budgetkonsekvensen. En simpel tilføjelse til risikooversigten kunne være: 'Konsekvens ved bortfald svarer til 12 procent af omsætningen og gør det umuligt at nå budgettets vækstmål.' Det er den forbindelse, bestyrelsen har brug for.

Du kan læse mere om, hvordan du præsenterer budgettet for bestyrelsen, herunder hvilke antagelser der bør synliggøres, i artiklen om sådan præsenterer du næste års budget for bestyrelsen.

Koblingen mellem risikooversigt og budget er også relevant for bestyrelsen som helhed. Hvis bestyrelsen godkender et budget, bør den samtidig bekræfte, at de risici, der kan underminere budgettet, er identificeret og håndteret. Det er en del af det tilsyn, bestyrelsen er sat til at udøve, og det kræver, at de to dokumenter er sammenhængende og gensidigt understøttende.

Fra risikooversigt til risikokultur: det der afgør, om det virker i det lange løb

En risikooversigt er et dokument. En risikokultur er det, der bestemmer, om dokumentet bruges. Mange bestyrelsr har det første uden det andet, og så er oversigten kun et stykke papir.

Risikokultur handler om, at det er acceptabelt og forventet at bringe dårlige nyheder op. At en direktør, der opdager en ny og alvorlig risiko, ikke holder den tilbage af frygt for at signalere svaghed, men tværtimod bringer den frem på næste møde som et tegn på, at ledelsen er på vagt. At bestyrelsesmedlemmer stiller reelle spørgsmål, ikke blot nikker til direktørens risikovurdering. At alle er enige om, at det at identificere en risiko tidligt er en styrke, ikke et problem.

Direktøren sætter i høj grad tonen. Hvis direktøren præsenterer risikooversigten med defensiv kommunikation og minimerer bekymringerne, vil bestyrelsen opleve, at det er svært at stille kritiske spørgsmål. Hvis direktøren præsenterer oversigten åbent, navngiver de risici, der er steget i score, og inviterer bestyrelsen til at udfordre vurderingerne, opstår der en anden dynamik. Én, der er langt mere nyttig for virksomheden.

Bestyrelsens sammensætning spiller også en rolle. Et bestyrelsesmedlem med erfaring fra en anden branche vil ofte se risici, der er blinde vinkler for direktøren, fordi de er for tæt på driften. Et bestyrelsesmedlem med finansiel baggrund vil stille spørgsmål til likviditetsrisici, som direktøren måske underprioriterer. Mangfoldighed i bestyrelsens perspektiver er ikke blot et spørgsmål om repræsentation, det er en konkret risikostyringsmekanisme.

Risikokultur opbygges over tid og igennem gentagelse. Det er de mange møder, hvor risikopunktet tages seriøst, handlinger følges op, og nye risici bringes frem i tide, der skaber den kultur. Det er svært at fremskynde, men det er enkelt at starte: ved at indføre risikogennemgang som et fast, struktureret trin på hvert møde og holde fast i det, selv når der er travlt, selv når dagsordenen er fuld, og selv når ingen af de aktuelle risici virker akutte.

Det er i de rolige perioder, risikoarbejdet er vigtigst. Fordi det er der, man har tid til at handle.

Vil du have et format, der understøtter denne struktur fra møde til møde, kan du læse mere på boardpanel.dk om, hvordan AI-formand Morten Krarup leder risikodrøftelsen som et fast trin i det ordinære mødeformat.

Du kan desuden få overblik over, hvad direktøren bør kommunikere til bestyrelsen mellem møderne, herunder hvornår en risiko er stor nok til at kræve hurtig kontakt, i artiklen om hvor meget bestyrelsen skal høre fra direktøren mellem møderne.

Og hvis du ønsker at forstå dit eget ansvar som bestyrelsesmedlem i relation til risikoeksponering, finder du relevant læsning i artiklen om sådan minimerer du din personlige risiko i bestyrelsen.