Operasjonell risiko – definisjon, eksempler og betydning for investorer

Hva er operasjonell risiko?

Operasjonell risiko defineres som risikoen for tap som skyldes utilstrekkelige eller sviktende interne prosesser, mennesker, systemer eller eksterne hendelser. Dette er en av de tre hovedkategoriene av finansiell risiko, sammen med markedsrisiko (endringer i renter, valutakurser, aksjekurser) og kredittrisiko (at motparter misligholder sine forpliktelser).

For investorer er operasjonell risiko viktig fordi den kan påvirke et selskaps inntjening og verdsettelse direkte. Et selskap med svak internkontroll kan oppleve uventede tap som reduserer resultatet, svekker balansen og i verste fall truer overlevelsen. Operasjonell risiko finnes i alle bransjer, men er særlig fremtredende i finansnæringen på grunn av komplekse transaksjoner, store datamengder og strenge regulatoriske krav.

Det er viktig å skille mellom operasjonell risiko og andre risikotyper. Mens markedsrisiko og kredittrisiko ofte kan kvantifiseres med matematiske modeller, er operasjonell risiko mer heterogen og vanskeligere å måle. Den omfatter alt fra utilsiktede feil hos ansatte til bevisst svindel, fra tekniske systemfeil til naturkatastrofer. Derfor krever styring av operasjonell risiko en kombinasjon av prosedyrer, teknologi og menneskelig oppmerksomhet.

Forstå operasjonell risiko

For å forstå operasjonell risiko må man se på hvordan den oppstår og hvilke konsekvenser den kan få. Risikoen kan deles inn i fire hovedkategorier: interne prosesser, mennesker, systemer og eksterne hendelser. Tabellen under viser typiske eksempler:

En viktig egenskap ved operasjonell risiko er at den ofte er korrelert med andre risikotyper. For eksempel kan en IT-svikt (operasjonell risiko) føre til at selskapet ikke kan handle i markedet (markedsrisiko) eller at kunder ikke får betalt (kredittrisiko). Derfor må risikostyringen være helhetlig.

Hvordan fungerer operasjonell risiko?

Operasjonell risiko fungerer gjennom en kombinasjon av interne og eksterne faktorer som kan utløse tap. Mekanismen er ofte at en svakhet i kontrollmiljøet eller en utilsiktet hendelse fører til en direkte økonomisk skade. For eksempel kan en bankansatt ved en tastefeil overføre 100 millioner kroner til feil konto. Pengene kan i verste fall være tapt hvis de ikke kan hentes tilbake.

Måling av operasjonell risiko er utfordrende, men det finnes etablerte metoder. I finanssektoren bruker man ofte tre tilnærminger: basisindikatormetoden (BIA), standardmetoden (SA) og avanserte målemetoder (AMA). Basisindikatormetoden er enkel: kapitalkravet settes til 15 prosent av gjennomsnittlig årlig bruttoinntekt de siste tre årene. Standardmetoden deler virksomheten inn i forretningsområder med ulike vekter. Avanserte målemetoder bruker interne tapshistorikk og statistiske modeller.

For investorer som ikke er banker, er det nyttig å kjenne til at operasjonell risiko ofte synliggjøres gjennom hendelser som rapporteres i årsrapporter eller i media. Nøkkeltall som antall avvik, kostnader ved driftsforstyrrelser og forsikringspremier kan gi indikasjoner på risikonivået. En god operasjonell risikostyring kjennetegnes av tydelige retningslinjer, regelmessig opplæring og en kultur der ansatte melder fra om feil uten frykt for straff.

Historisk bakgrunn

Bevisstheten om operasjonell risiko økte kraftig etter flere spektakulære tapssaker på 1990-tallet. Det mest kjente eksemplet er kollapsen til den britiske banken Barings i 1995. En enkelt trader, Nick Leeson, påførte banken tap på over 1,4 milliarder dollar gjennom uautoriserte derivathandler. Tapet skyldtes sviktende internkontroll og manglende tilsyn – en ren operasjonell risiko.

Denne hendelsen, sammen med andre som Daiwa Bank og Sumitomo Corporation, førte til at Baselkomiteen for banktilsyn inkluderte operasjonell risiko i det nye kapitaldekningsregelverket Basel II, som ble innført i 2004. For første gang måtte banker sette av egenkapital spesifikt for å dekke operasjonell risiko. Dette var et paradigmeskifte i risikostyring.

I Norge har Finanstilsynet fulgt opp Basel-regelverket, og norske banker og finansforetak må rapportere operasjonelle tap og kapitalkrav. Etter finanskrisen i 2008 ble Basel III innført med strengere krav, men operasjonell risiko fikk ikke like stor oppmerksomhet som likviditets- og motpartsrisiko. Likevel har cyberrisiko og digitalisering ført til økt fokus på operasjonell risiko de siste årene.

Praktisk eksempel

La oss se på et tenkt, men realistisk eksempel fra en norsk sparebank med forvaltningskapital på 10 milliarder kroner. Banken har et IT-system for betalingsformidling som en dag krasjer på grunn av en programvareoppdatering som ikke var tilstrekkelig testet. Systemet er nede i 6 timer. I løpet av denne tiden kan banken ikke gjennomføre betalinger for kunder, og flere bedriftskunder mister inntekter fordi de ikke får betalt sine leverandører.

De direkte tapene for banken kan beregnes slik: tapte transaksjonsinntekter på 200 000 kroner, overtidsbetaling til IT-personell på 50 000 kroner, og kompensasjon til kunder på 150 000 kroner. Totalt direkte tap: 400 000 kroner. I tillegg kommer indirekte tap: omdømmetap som kan føre til at noen kunder flytter sine konti, og økt tilsyn fra Finanstilsynet. Hvis banken må betale et forelegg på 2 millioner kroner for brudd på betalingssystemforskriften, blir totale tap 2,4 millioner kroner.

For en investor som vurderer banken, viser dette at selv en relativt liten IT-hendelse kan koste flere millioner. Hvis banken har dårlig internkontroll og hyppige driftsforstyrrelser, kan det over tid påvirke resultatet og aksjekursen. Derfor bør investorer se etter indikatorer som antall driftsavbrudd, IT-budsjett og kompetanse hos risikostyringsavdelingen.

Fordeler og ulemper

Å fokusere på operasjonell risikostyring har flere fordeler. For det første reduserer det sannsynligheten for store tap og beskytter selskapets omdømme. For det andre kan god risikostyring føre til lavere forsikringspremier og bedre kredittvurdering. For det tredje er regulatoriske krav ofte mindre tyngende for selskaper som kan dokumentere god kontroll. Investorer kan bruke informasjon om operasjonell risiko som et konkurransefortrinn: selskaper med lav operasjonell risiko er ofte mer stabile og forutsigbare.

Ulempene er at omfattende risikostyring koster penger og tid. Systemer for overvåking, opplæring og rapportering kan være dyre, spesielt for mindre selskaper. I tillegg kan overdreven fokus på kontroll hemme innovasjon og fleksibilitet. For eksempel kan for mange godkjenningsled forsinke beslutninger og gjøre selskapet mindre konkurransedyktig.

En annen ulempe er at operasjonell risiko er vanskelig å kvantifisere nøyaktig. Historiske tap gir ikke nødvendigvis et godt bilde av fremtidig risiko fordi hendelser ofte er sjeldne og uforutsigbare. Dette gjør at beslutninger om risikoreduserende tiltak må baseres på skjønn, noe som kan føre til feilinvesteringer.

Vanlige misforståelser

En vanlig misforståelse er at operasjonell risiko bare handler om IT og teknologi. Realiteten er at menneskelige feil og prosessfeil ofte er større kilder til tap. Ifølge studier fra bransjeorganisasjoner står menneskelige feil for over 50 prosent av alle operasjonelle tap i finanssektoren. Derfor er opplæring og kultur like viktig som tekniske systemer.

En annen misforståelse er at operasjonell risiko er irrelevant for selskaper utenfor finansnæringen. Alle virksomheter har interne prosesser og ansatte som kan gjøre feil, og alle er avhengige av systemer. En produsent kan oppleve tap på grunn av produktfeil, en transportbedrift på grunn av ulykker, og en butikkjede på grunn av tyveri. Operasjonell risiko er universell.

En tredje misforståelse er at operasjonell risiko kan elimineres helt. Det er umulig å fjerne all risiko, men den kan reduseres til et akseptabelt nivå. God risikostyring handler om å identifisere, måle og håndtere risiko, ikke om å unngå den helt. Investorer bør derfor være skeptiske til selskaper som hevder å ha null operasjonell risiko.

Oppsummering

Operasjonell risiko er en grunnleggende risikotype som påvirker alle selskaper, men som ofte får mindre oppmerksomhet enn markedsrisiko og kredittrisiko. For investorer er det viktig å forstå at operasjonelle hendelser kan føre til betydelige tap, svekke konkurranseposisjonen og påvirke aksjekursen negativt. Samtidig gir god operasjonell risikostyring et konkurransefortrinn og kan være et tegn på ledelseskvalitet.

Nøkkelen for investorer er å se etter tegn på bevissthet og kompetanse rundt operasjonell risiko i selskaper de vurderer. Dette kan omfatte lesing av årsrapporters risikokapitler, oppfølging av driftsforstyrrelser i media, og vurdering av selskapets investeringer i internkontroll og teknologi. Husk at operasjonell risiko ikke kan måles med én enkelt formel, men må vurderes kvalitativt sammen med andre faktorer.

Ved å inkludere operasjonell risiko i investeringsanalysen får du et mer helhetlig bilde av selskapets risiko- og avkastningsprofil. I en verden med økende digitalisering, cybertrusler og komplekse forsyningskjeder vil operasjonell risiko trolig bli enda viktigere i årene fremover.