Evaluering og sammenligning av ERM rammeverker

Abstract

Opp gjennom de siste årene, og spesielt etter den globale finanskrisen, har Enterprise Risk Management (ERM) vekket stor oppmerksomhet og hatt en kraftig vekst. Behovet for veiledende standarder og rammeverk for implementering i selskaper og organisasjoner økt i takt med veksten innenfor disiplinen generelt, og dette har resultert i at flere industriinitiativer har blitt stiftet for å møte det økende behovet for veiledning og standardisering. Flere rammeverker for ERM har blitt utviklet, slik som COSOs Enterprise Risk Management – Integrated Framework, som ble publisert i 2004, og senest en ny internasjonal standard; ISO 31000. Disse rammeverkene har alle forsøkt å imøtekomme kravene for god ERM, men ingen har enda klart å bli godkjent som en standard som oppfyller alle krav og behov. Denne oppgaven forsøker derfor å sammenligne eksisterende ERM-rammeverk og evaluere dem mot gjeldene behov, reguleringer og risikolitteratur. Den første delen av oppgaven gir en innføring i teorien bak Enterprise Risk Management og beskriver et referanserammeverk som benyttes i evalueringen av fire utvalgte høyprofilerte rammeverk. Funnene i denne delen gjør det klart at det er stor uenighet i bransjen om hvordan ERM i seg selv skal defineres. Den andre delen av oppgaven tar for seg de fire rammeverkene CAS Overview of Enterprise Risk Management, COSO Enterprise Risk Management, BS 31100 og ISO 31000 hver for seg for så å sammenligne og avsløre styrker og svakheter. Denne delen går grundigere inn i hvert av de fire rammeverkene og avslører at alle rammeverkene har betydelige svakheter, men også noe store styrker. Oppgaven presenterer et forslag for hvordan et ERM-rammeverk kan utvikles på bakgrunn av det beste fra hvert av de fire evaluerte rammeverkene, men konstaterer at det fortsatt er noen elementer som mangler før man kan presentere et fullendt rammeverk for ERM. Til slutt i oppgaven presenters forslag til videre undersøkelser innenfor emnet med fokus på teknologiske ressurser, og styring av operasjonell risiko.