Riskienhallinta tietojohtamisen näkökulmasta suomalaisissa suurissa pörssiyrityksissä

Pro gradu -tutkielma Jaakko Pekki 2018 LAPPEENRANNAN TEKNILLINEN YLIOPISTO School of Business and Management Kauppatieteiden koulutusohjelma Tietojohtamisen maisteriohjelma Jaakko Pekki Riskienhallinta tietojohtamisen näkökulmasta suomalaisissa suurissa pörssiyrityksissä Pro gradu -tutkielma 2018 Työn 1. tarkastaja: Professori Kirsimarja Blomqvist Ohjaaja sekä 2. tarkastaja: Tutkijatohtori Anna-Maija Nisula TIIVISTELMÄ Tekijä: Jaakko Pekki Tutkielman nimi: Riskienhallinta tietojohtamisen näkökulmasta suomalaisissa suurissa pörssiyrityksissä Tiedekunta: kauppatieteellinen tiedekunta Pääaine: tietojohtaminen / tietojohtamisen maisteriohjelma Vuosi: 2018 Pro Gradu –tutkielma: Lappeenrannan teknillinen yliopisto, 114 sivua, 7 kuviota, 3 taulukkoa ja 1 liite Tarkastaja(t): Kirsimarja Blomqvist, Anna-Maija Nisula Hakusanat: riskienhallinta, tietojohtaminen, tietoprosessit, riskienhallintatieto, Keywords: risk management, knowledge management, knowledge processes, risk knowledge Tänä päivänä tieto on yritysten keskeisin resurssi. Samoin tieto on nykyisin yritysten riskienhallinnan tärkein elementti. Yritysten riskienhallinta onkin täysin riippuvainen organisaation tietopääoman tehokkaasta hyödyntämisestä. Tämän tutkimuksen tarkoituksena oli selvittää tietojohtamisen hyödyntämistä yritysten riskienhallinnassa sekä hahmottaa riskienhallinnan ja tietojohtamisen yhteyttä toisiinsa. Tutkimus toteutettiin laadullisena monitapaustutkimuksena. Tutkimuksen kohderyhmä oli suomalaiset suuret pörssiyritykset. Tästä perusjoukosta valittiin neljän yrityksen otos. Näihin valittuihin yrityksiin käytettiin tutkimusmenetelmänä teemahaastattelua, joiden perusteella johtopäätökset kyettiin analysointivaiheessa yleistämään laajempaan tutkimuksen perusjoukkoon. Tutkimustulosten mukaan riskienhallintatieto on riskienhallinnan merkittävin tekijä sekä kriittisin perusta. Nykyisin keskeisiksi yritysten riskienhallinnan onnistumisen tekijöiksi nouseekin yksilöiden merkityksen, tietojohtamisen ja erityisesti siihen liittyvien tietoprosessien ymmärtäminen sekä hyödyntäminen osana riskienhallintaa. Jotta yrityksen riskienhallinta voi olla tänä päivänä tehokasta, tulee siinä olla mukana vahva tietojohtamisen elementti. ABSTRACT Author: Jaakko Pekki Title: Risk Management from the point of view of Knowledge Management in Finnish major stock companies Faculty: School of Business and Management Major: Knowledge management Year: 2018 Master’s Thesis: Lappeenranta University of Technology, 114 pages, 7 figures, 3 tables and 1 appendix Examiners: Kirsimarja Blomqvist, Anna-Maija Nisula Keywords: risk management, knowledge management, knowledge processes, risk knowledge Nowadays, knowledge is the key resource for companies. Similarly, knowledge is the most important element of risk management. Corporate risk management is totally dependent on the effective utilization of the organization's knowledge capital. The purpose of this study was to investigate the utilization of knowledge management in corporate risk management and to explore the relationship between risk management and knowledge management. The study was conducted as a multiple case study. The target group of the research was the large Finnish stock exchange companies. Out of this population, four companies were selected. These companies were used as a research method for theme interviews, which led to the generalization of the conclusions to a wider population of research. According to the research results, risk knowledge is the most important factor and the most critical basis in risk management. Today, the key factors behind the success of risk management are the understanding of the importance of individuals, knowledge management and knowledge processes, as well as their utilization as part of risk management. In order for enterprise risk management to be effective today, it must include a strong knowledge management element. ALKUSANAT Lähdin tälle matkalle puhtaasti vain päämäärän saavuttaminen mielessä. Heti alkutaipaleesta kuitenkin oivalsin, että päämäärää tärkeämpää on kuljettu matka ja se, että matkan aikana oppii katsomaan asioita uusin silmin. Hyvä lukija, toivottavasti tämä minulle matkan varrella syntynyt ajattelutapa sekä oivallus välittyvät myös sinulle tästä tutkimuksesta. Kiitos matkan mahdollistamisesta sekä tuesta erityisesti rakkaalle perheelleni; Johannalle, Sofialle, Saaralle ja Siljalle. Te mahdollistitte tämän matkan sekä annoitte tukenne koko matkan ajan. Autoitte eteenpäin myös silloin, kun kiire, stressi ja epätoivo tuntuivat ylitsepääsemättömiltä. Matka olisi varmasti jäänyt monta kertaa myös kesken ilman loistavia matkakumppaneita. Kiitos erityisesti teille Tatu, Paula, Sampo, Tuomo, Vilja ja Selja. Ilman teidän tukea ja kannustusta sekä sitä huikeaa yhdessä tekemisen meininkiä, matka olisi ollut varmasti paljon vaikeampi sekä tylsempi. Lisäksi haluan esittää isot kiitokset kaikille esimiehille, jotka ovat minua rohkaisseet opiskelemaan sekä kannustaneet tätä kautta ajattelemaan aikojen saatossa uudella tavalla. Kiitos erityisesti nykyinen esimieheni Jyrki Hakola, joka olet työntänyt minua määrätietoisesti eteenpäin työja kouluelämässä. Kiitos myös sinulle Hannu Kuhanen, joka opetit että jämähtäminen vanhoihin toimintamalleihin ja päämääriin ei useinkaan ole viisasta. Opin teiltä, että toimintamalleja sekä päämääriä onkin hyvä tarkastella mahdollisimman usein uusin ajatuksin. Uudet ajatukset sekä päämäärät syntyvät pääsääntöisesti koulutuksen avulla. Tätä kirjoitettaessa minun päämäärä näkyy jo kirkkaana edessä. Mutta ehkäpä uusi päämäärä ja matka sinne alkavatkin vasta tästä. Minulle tämän matkan keskeinen opetus on ollut, että mukavuusalueen ulkopuolella on elämysalue. Tämä matka on tosiaan ollut aikamoinen elämys. Helsingissä 23.6.2018 Jaakko Pekki 5 SISÄLLYSLUETTELO 1 JOHDANTO ......................................................................................................... 7 1.1 Tutkimuksen taustaa...................................................................................... 7 1.2 Tutkimuksen tavoitteet, näkökulma ja rajaukset ............................................ 8 1.3 Metodologia ................................................................................................. 10 1.4 Keskeiset käsitteet ....................................................................................... 12 1.5 Katsaus aikaisempaan tutkimukseen .......................................................... 14 1.6 Tutkimuksen kohderyhmä ............................................................................ 16 1.7 Tutkimuksen rakenne .................................................................................. 16 2 TIETO JA TIETOJOHTAMINEN ........................................................................ 17 2.1 Tieto teorioiden valossa ............................................................................... 17 2.2 Tieto osana yrityksen suorituskykyä ja aineetonta pääomaa ....................... 19 2.3 Tietojohtaminen ........................................................................................... 21 2.3.1 Tietojohtamisen käytänteet ................................................................ 23 2.3.2 Tietoprosessit .................................................................................... 26 3 RISKIENHALLINTA ........................................................................................... 33 3.1 Riskienhallinta käsitteenä ............................................................................ 33 3.2 Riskienhallinnan toteutus ja vastuut ............................................................ 35 3.3 Riskienhallinnan vastuut suomalaisissa pörssiyrityksissä............................ 38 3.4 Riskienhallinnan haasteet tietojohtamisen näkökulmasta ............................ 40 4 RISKIENHALLINTA TIETOJOHTAMISEN AVULLA ........................................ 41 4.1 Riskienhallintatieto ....................................................................................... 41 4.2 Riskienhallinta ja tietojohtaminen ................................................................ 43 4.3 Riskienhallinnan kehittäminen tietojohtamisen avulla .................................. 45 5 TUTKIMUKSEN SUORITTAMINEN .................................................................. 47 5.1 Kohdeyritykset ............................................................................................. 47 5.2 Tutkimusmenetelmän valinta ....................................................................... 49 5.3 Aineiston keruu ............................................................................................ 50 5.3.1 Haastateltavien valinta ...................................................................... 51 5.3.2 Haastattelukysymysten laadinta ........................................................ 52 5.3.3 Haastattelujen tekeminen .................................................................. 53 6 5.4 Empiirisen aineiston analysointi ................................................................... 54 5.5 Tutkimuksen luotettavuuden arviointi .......................................................... 56 5.5.1 Tutkimuksen validiteetti ..................................................................... 56 5.5.2 Tutkimuksen reliabiliteetti .................................................................. 58 6 TUTKIMUSTULOKSET ..................................................................................... 59 6.1 Yritysten riskienhallintatiedon muodostuminen ............................................ 59 6.1.1 Riskienhallintatiedon olemus sekä merkitys ...................................... 59 6.1.2 Hiljaisen ja eksplisiittisen riskienhallintatiedon välinen suhde ............ 63 6.2 Tietoprosessien hyödyntäminen riskienhallinnassa ..................................... 65 6.2.1 Yksilöiden merkitys riskienhallinnan tietoprosesseissa ...................... 66 6.2.2 Riskienhallinnan tietoprosessien organisoiminen .............................. 67 6.2.3 Riskienhallinnan tietoprosessien tietotarpeet .................................... 72 6.2.4 Riskienhallintatiedon luominen .......................................................... 74 6.2.5 Riskienhallintatiedon tallentaminen sekä jakaminen.......................... 78 6.2.6 Riskienhallintatiedon hyödyntäminen ................................................ 81 6.2.7 Sidosryhmät riskienhallinnan tietoprosesseissa ................................ 82 6.3 Riskienhallintatiedon luomisen sekä hyödyntämisen kehittäminen .............. 84 6.3.1 Suurimmat kehittämistarpeet ............................................................. 84 6.3.2 Riskienhallinnan viitekehysten ja standardien kehittämistarpeet ....... 87 6.4 Tietojohtamisen hyödyntäminen riskienhallinnassa ..................................... 89 7 YHTEENVETO JA JOHTOPÄÄTÖKSET .......................................................... 93 7.1 Yhteenveto tutkimustuloksista ..................................................................... 93 7.1.1 Yritysten riskienhallintatiedon muodostuminen .................................. 93 7.1.2 Tietoprosessien hyödyntäminen yritysten riskienhallinnassa ............ 95 7.1.3 Kehittämistarpeet............................................................................... 97 7.1.4 Tietojohtamisen hyödyntäminen riskienhallinnassa ........................... 99 7.2 Tutkimuksen johtopäätökset ...................................................................... 101 7.3 Pohdinta sekä jatkotutkimusehdotuksia ..................................................... 104 LÄHDELUETTELO .............................................................................................. 106 LIITE 1. HAASTATTELURUNKO .............................................................................. 7 1 JOHDANTO Tutkimuksen tässä osassa esitetään tutkimuksen tausta ja tavoitteet sekä metodologia. Luvussa kuvataan myös tutkimuksen keskeiset käsitteet ja tehdään katsaus aikaisempaan tutkimukseen. Lisäksi luvussa esitellään tutkimuksen kohderyhmä sekä tutkimuksen rakenne. 1.1 Tutkimuksen taustaa Tutkimuskirjallisuuden mukaan tiedon merkitys yritysten keskeisenä resurssina sekä pääomana on jatkuvasti kasvanut (Alavi ja Leidner 2001). Samoin monimutkaistuvassa yritysten toimintaympäristössä riskienhallinta on alkanut nousta yhä tärkeämpään asemaan yritysten kilpailuedun sekä suorituskyvyn varmistamisessa. Tänä päivänä yrityksen riskienhallintatieto onkin tärkeä osa yritysten tietopääomaa ja tätä kautta riskienhallintatiedon luominen ja hyödyntäminen on osa tietojohtamista sekä tärkeä palanen yritysten menestymisen varmistamisessa. Tutkijat (mm. Adams 1995, Lelic 2002, Neef 2005, Conrow 2005, Webb 2007 sekä Haltiwanger, Landaeta, Pinto ja Tolk 2010) ovatkin viime vuosina hiljalleen alkaneet hahmottamaan ja ymmärtämään yhä paremmin riskienhallinnan sekä tietojohtamisen välistä tärkeää suhdetta. Kuitenkin yrityksissä riskienhallintaa ja tietojohtamista pidetään vielä usein toisistaan täysin irrallisina johtamisen teorioina. Myöskään kansainvälisesti tunnetuimmat riskienhallintakäsitteen määritelmät sekä standardit eivät tunnista tiedon tai tietojohtamisen kriittistä merkitystä riskienhallinnassa. Edellä mainittujen tutkijoiden tapaan, tässä tutkimuksessa riskienhallintaan liitetään keskeisenä elementtinä tieto ja tietojohtaminen sekä siinä erityisesti tietoprosessien hyödyntäminen. Tätä riskienhallinnan ja tietojohtamisen suhdetta sekä tietojohtamisen hyödyntämistä riskienhallinnassa tutkitaan kirjallisuuskatsauksen ja empiirisen tutkimuksen avulla valituissa suomalaisissa suurissa pörssiyrityksissä. 8 Riskienhallinnan tutkiminen osana yritysten tietojohtamista on kansallisesti ja kansainvälisestikin erittäin ajankohtainen aihe, sillä ilmiötä selittäviä teorioita ei vielä juurikaan ole käytettävissä. Vaikka tutkijat (mm. Adams 1995, Lelic 2002, Neef 2005, Conrow 2005, Webb 2007 sekä Haltiwanger, Landaeta, Pinto ja Tolk 2010) ovatkin tunnistaneet tämän yhteyden kriittisen merkityksen. Tutkimuksen avulla on mahdollista kehittää osaltaan edelleen tätä riskienhallinnan ja tietojohtamisen välistä tärkeää suhdetta. Lisäksi tutkimuksen avulla on saavutettavissa hyötyjä yritystoiminnassa mikroja makrotasolla, sillä tutkimus tukee yritysten riskienhallinnan kehittämistä yhä tehokkaammaksi sekä vaikuttavammaksi tietojohtamisen avulla. Tällöin jatkossa yritystoiminnassa aiheutuisi vähemmän menetyksiä ja tappioita, kun riskienhallintaan liittyvää tietoa kyetään luomaan ja hyödyntämään entistä tehokkaammin. Myöskään tietojohtaminen itsessään ei vielä ole saavuttanut yrityksissä sitä asemaa, mikä sillä pitäisi olla tiedon kasvaneen merkityksen vuoksi. Mikäli riskienhallinta ja tietojohtaminen kyettäisiin jatkossa kytkemään entistä paremmin toisiinsa, paranisi myös tietojohtamisen asema yrityksissä. Näin voidaan perustellusti todeta, sillä riskienhallinta on yrityksissä lakisääteistä tai siihen rinnastettavaa velvoittavaa toimintaa. Näin ollen myös tietojohtaminen saisi tällöin tarvitsemansa piristysruiskeen yritysten kehittämislistalla. (Neef 2005) 1.2 Tutkimuksen tavoitteet, näkökulma ja rajaukset Tutkimuksen tavoitteena on tarkastella riskienhallintaa tietojohtamisen näkökulmasta. Tätä kautta tavoitteena on myös tukea riskienhallinnan ja tietojohtamisen kytkeytymistä tulevaisuudessa entistä paremmin toisiinsa. Tutkimuksen aluksi esitetään tietojohtamisen teoriapohja sekä esitellään lyhyesti riskienhallinnan konteksti. Tietojohtamisen teoriapohjan nähdään tässä tutkimuksessa koostuvan tietojohtamisen käytänteistä, tietoprosesseista sekä tietoresursseista (Hussinki, Kianto, Vanhala ja Ritala 2017). Tutkimuksen teoriaosuudessa keskitytään tarkastelemaan tietoprosesseja yritysten riskienhallinnassa. Lisäksi tutkitaan tietoprosessien organisointikäytäntöjä, sillä Hussingin ym. (2017) mukaan tietoprosessien 15 tietojohtaminen lukeutuu. Riskienhallintaa onkin akateemisessa tutkimuksessa alettu hiljalleen kytkemään yhä enenevässä määrin myös tietojohtamisen kokonaisuuteen. Tämä johtuu siitä, että riskienhallinnan yksi keskeinen tekijä on yksilöiden, tiedon luomisen sekä hyödyntämisen ja organisaation vuorovaikutusmallien ymmärtäminen (Adams 1995). Yrityksissä laajasti käytössä olevat riskienhallinnan kansainväliset standardit ja viitekehykset (esim. COSO ERM -viitekehys ja ISO31000-standardi) eivät kuitenkaan huomioi tietojohtamisen malleja vielä mitenkään. Tästä syystä tätä riskienhallinnan sekä tietojohtamisen yhteyttä toisiinsa ei vielä myöskään yrityksissä tiedosteta. Neefin (2005) mukaan useat riskienhallinnan asiantuntijat ovat kuitenkin hiljalleen alkaneet yhä paremmin ymmärtämään tiedon merkityksen osana riskienhallinnan käsitettä. Vaikka tutkijat (mm. Adams 1995, Lelic 2002, Neef 2005, Conrow 2005, Webb 2007 sekä Haltiwanger, Landaeta, Pinto ja Tolk 2010) ovat korostaneet, että tietojohtaminen sekä riskienhallinta tulee kytkeä kiinteästi toisiinsa, käytännön tutkimus sekä konkreettinen viitekehys tietojohtamisen hyödyntämisestä yritysten riskienhallinnassa puuttuu vielä. Tietojohtamisen hyödyntämisessä riskienhallinnassa on täten todellinen tutkimusaukko, sillä tutkimus käytännön soveltamisesta on vielä erittäin vähäistä. Matsushita, Takimoto, Miyauchi ja Takemura (2012) ovat kuitenkin yhtenä harvoista tutkijoista tutkineet alustavalla tasolla tietojohtamisen mallien käytännön soveltamista riskienhallinnassa. He ovat tutkineet erityisesti riskienhallintatiedon luomista Nonakan & Takeuchin (1995) kehittämän tietojohtamisen SECI-perusmallin avulla. Tämä tutkimus pyrkii tuomaan akateemiseen keskusteluun yhden näkökulman lisää sekä paikkaamaan olemassa olevaa tutkimusaukkoa, sillä tutkimuksessa tutkitaan tietojohtamisen hyödyntämistä yritysten riskienhallinnassa sekä tietojohtamisen ja riskienhallinnan tärkeää yhteyttä toisiinsa. Myöhemmin tämän tutkimuksen tuloksia on mahdollista käyttää tukena kehitettäessä tieteellistä viitekehystä, joka yhdistää tietojohtamisen sekä riskienhallinnan teoriat konkreettisesti toisiinsa. 16 1.6 Tutkimuksen kohderyhmä Tutkimuksen kohderyhmänä ovat suomalaiset suuret pörssiyritykset, jotka ovat listautuneet Nasdaq Helsinki markkinapaikkaan. Tutkielman perusjoukon muodostavat kyseisen markkinapaikan suuret yhtiöt (Large Cap) -ryhmä, jossa on listautuneena yhteensä 32 yritystä. Tästä perusjoukosta valittiin tutkimukseen neljän yrityksen mahdollisimman monipuolinen otos, joten otos edustaa noin 13 prosenttia perusjoukosta. Tutkimuksen kohdeyrityksiksi valikoituivat Elisa Oyj, Kesko Oyj, Neste Oyj sekä Telia Company. Tutkimuksen otoskoko on suhteutettu käytettävissä oleviin resursseihin sekä tutkimustarpeeseen. 13 prosentin otosta voidaan kuitenkin pitää luotettavana otoskokona perusjoukosta, sillä kun tapauksia on riittävästi, johtopäätöksiä voidaan yleistää laajempaan perusjoukkoon (Keränen 2001). 1.7 Tutkimuksen rakenne Tutkimus sisältää seitsemän osaa. Nämä osat ovat johdanto, tieto ja tietojohtaminen, riskienhallinta, riskienhallinta tietojohtamisen avulla, tutkimuksen suorittaminen, tutkimustulokset sekä yhteenveto ja johtopäätökset. Tutkimuksen ensimmäisessä osassa esitetään tutkimuksen tausta ja tavoitteet sekä metodologia. Luvussa kuvataan myös tutkimuksen keskeiset käsitteet ja tehdään katsaus aikaisempaan tutkimukseen. Lisäksi esitellään tutkimuksen kohderyhmä sekä tutkimuksen rakenne. Osista kaksi, kolme ja neljä löytyvät tutkimuksen teoriaosuudet. Luvussa kaksi tarkastellaan tietoa teorioiden valossa sekä esitetään tietojohtamisen teoria tietojohtamisen käytänteiden ja tietoprosessien avulla. Lisäksi esitetään tiedon luomisen prosessia tukeva SECI-malli. Luvussa kolme puolestaan tarkastellaan riskienhallinnan käsitettä, toteuttamista ja kehittymistä sekä vastuita. Luvun kolme lopussa myös hahmotetaan riskienhallinnan haasteita tietojohtamisen näkökulmasta tarkasteltuna. Luvussa neljä, riskienhallinta ja tietojohtaminen linkitetään toisiinsa sekä kuvataan miten riskienhallintaa voidaan tarkastella sekä kehittää tietojohtamisen avulla. 17 Osassa viisi esitetään tutkimuksen suorittamistapa kuvaamalla tarkemmin kohdeyritykset, tutkimusmenetelmät, aineiston keruun suorittaminen sekä haastateltavien valintatapa. Luvussa kuvataan myös miten haastattelukysymykset on laadittu, millä tavalla haastattelut on tehty sekä miten empiiristä aineistoa on analysoitu. Lisäksi luvun lopussa esitetään tutkimuksen luotettavuuden arvioinnin kriteerejä sekä arvioidaan tutkimuksen validiteettia ja reliabiliteettia. Osassa kuusi esitetään tutkimustulokset ja keskustellaan niistä aiemman tutkimuksen näkökulmasta. Lisäksi luvussa esitetään empiirisen aineiston perusteella esiin nousseet tulokset ja havainnot. Tutkimuksen lopuksi, luvussa seitsemän, tehdään tutkimuskysymyksittäin yhteenveto tutkimustuloksista sekä kuvataan tutkimuksen merkittävimmät johtopäätökset. Lisäksi pohditaan tutkimuksen onnistumista sekä esitetään mahdolliset jatkotutkimusehdotukset. 2 TIETO JA TIETOJOHTAMINEN Tässä osassa tarkastellaan tietoa teorioiden valossa sekä esitetään tietojohtamisen teoria tietojohtamisen käytänteiden ja tietoprosessien avulla. Lisäksi esitetään tiedon luomisen prosessia tukeva SECI-malli. 2.1 Tieto teorioiden valossa Tutkijat ovat yksimielisiä siitä, että tieto on nykyisin keskeinen organisaation resurssi. Tutkijat kuitenkin keskustelevat laajasti mitä tieto tarkemmin ottaen on. Usein tiedoksi käsitetään virheellisesti myös informaatio, joka on vain prosessoitua dataa. Informaation muodostavat yhdessä data sekä sen ymmärtäminen. Jos dataa ei ymmärretä, se on esimerkiksi vain raakoja numeroita, merkkijonoja tai faktoja, joita ei ymmärretä. Tieto puolestaan on aina todennettua informaatiota, jonka merkitys sekä vaikutus kyseisessä kontekstissa ymmärretään. Seuraavassa kuviossa esitetään tiedon suhde informaatioon sekä dataan. (Alavi & Leidner 2001) 18 Kuvio 2. Datan, informaation ja tiedon suhde toisiinsa (Alavi & Leidner 2001) Tieto on organisaatiossa aina hajaantunutta ja tieto on sulautunut organisaation eri puolille. Tietoa löytyy mm. organisaation yksittäisiltä työntekijöiltä, eri dokumenteista sekä tietojärjestelmistä. Lisäksi tietoa on sitoutunut paljon organisaation rakenteisiin, kuten organisaatiokulttuuriin, rutiineihin ja sääntöihin. Tieto on kuitenkin aina vain rajallisesti organisaation kontrolloitavissa. Keskeistä tiedossa on sen läheinen yhteys sosiaaliseen toimintaan sekä vuorovaikutukseen. Organisaatioiden voimana onkin luoda sellaiset olosuhteet, joissa vuorovaikutuksen avulla tietoa kyetään tehokkaasti luomaan, tallentamaan, jakamaan sekä hyödyntämään. (Alavi & Leidner 2001) Tieto voidaan jakaa kahteen eri pääelementtiin. Nämä elementit ovat eksplisiittinen tieto sekä ns. hiljainen tieto. (O' Grady 2012) Eksplisiittinen tieto on organisaation omistamaa artikuloitua, kodifioitua tietoa joka on viestitty symbolisella ja / tai luonnollisella kielellä. Eksplisiittinen tieto voidaan helposti irrottaa varsinaisesta ympäristöstään sekä jakaa muille, sillä se on usein tallennettu välitettävään sekä siirrettävään muotoon. (Alavi & Leidner 2001) Hiljainen tieto puolestaan sijaitsee organisaation yksilöiden mielessä. Hiljainen tieto onkin jaettavissa pääsääntöisesti vain kasvokkain tapahtuvassa kanssakäymisessä. (Alavi & Leidner 2001) Hiljainen tieto on peräisin toiminnasta, kokemuksesta ja osallistumisesta tiettyyn kontekstiin. Se koostuu sekä teknisistä että tiedollisista elementeistä. Tekninen osa koostuu konkreettisesta tietotaidosta, osaamisesta ja taidoista, jotka liittyvät tiettyyn kontekstiin. Tiedollinen elementti liittyy yksilön henkisiin malleihin, jotka koostuvat uskomuksista, paradigmoista ja näkökulmista. (Nonaka 1994) 19 Yleisesti on arvioitu, että eksplisiittistä dokumentoitua tietoa on vain noin kymmenen prosenttia kaikesta organisaation tiedosta. Suurin osa organisaation tiedosta onkin edellä kuvattua hiljaista tietoa (tacit knowledge), joka sijaitsee organisaation yksilöiden mielissä (Alavi & Leidner 2001). Holste & Fields (2010) kuvaavat, että hiljaisen tiedon saatavuus ja käyttö organisaatiossa riippuvat erityisesti yksilöiden henkilökohtaisista päätöksistä jakaa tietoa. Lisäksi heidän mukaan tämä hiljainen tieto on varsin yksityistä sekä henkilökohtaista ja sitä on usein hankalaa tai jopa mahdotonta muuttaa eksplisiittiseen dokumentoituun muotoon. Chowdhury (2005) puolestaan korostaa, että hiljaista tietoa ei voida samalla tavalla kopioida organisaatiosta toiseen kuin dokumentoitua tietoa ja siksi yksilöiden omaama hiljaisen tiedon määrä usein määritteleekin organisaation kilpailukykyä. Tänä päivänä erityisesti tieto nähdäänkin yrityksen suorituskyvyn sekä kilpailukyvyn keskeisenä rakennusmateriaalina ja resurssina (Grant 1996). 2.2 Tieto osana yrityksen suorituskykyä ja aineetonta pääomaa Organisaation suorituskyvyllä tarkoitetaan Lönnqvistin, Kujansivun ja Antikaisen (2006, 19) mukaan ”jonkin organisaatioyksikön (esim. konserni, yritys, liiketoimintayksikkö, osasto, työryhmä tai yksilö) menestymistä ja tuloksentekokykyä valituista näkökulmista tarkasteltuna”. Jotta organisaation suorituskyky sekä kilpailuetu voidaan mahdollisimman tehokkaasti varmistaa, yrityksen käytössä olevien resurssien tulee olla arvokkaita, harvinaisia, ei kopioitavissa ja ei korvattavissa. Vain arvokkaat resurssit voivat tuottaa kestävää kilpailuetua. Resurssi on arvokas kun se auttaa yritystä käyttöönottamaan strategian, joka parantaa yrityksen tehokkuutta. Suorituskyvyn ja kilpailuedun näkökulmasta tarkasteltuna tiedon voidaankin katsoa täyttävän kaikki edellä mainitut arvokkaille resursseille asetetut vaatimukset. (Barney 1991) Nykyisin nimenomaan tiedon tehokas hyödyntäminen tuottaa ensisijaisesti yrityksen kestävän kilpailuedun. Tiedon luominen ja tiedon johtaminen onkin noussut keskeiseksi kilpailuedun lähteeksi aiempien fyysisen pääoman ja 20 työvoimakustannusten edelle. On havaittu, että mitä enemmän yrityksessä on tietoa, sitä enemmän ja helpommin yritys oppii uutta ja tätä kautta se kykenee myös kasvattamaan jatkuvasti kilpailuetuaan. (Ellsworth 2002) Viime vuosikymmeninä strategisen johtamisen yritysteorioihin lukeutuvaan resurssiperustaisen yritysteorian sisälle onkin kehittynyt tietoperustainen yritysteoria, joka korostaa sitä että tärkeimmät yrityksen resurssit ovat luonteeltaan aineettomia. Aineeton pääoma liittyy nimenomaan organisaation kykyyn tehdä hyviä suorituksia nyt ja tulevaisuudessa. Aineettomaan pääomaan liittyvät asiat vaikuttavat siis monin tavoin yritysten taloudelliseen tuloksentekokykyyn. Aineeton pääoma ja erityisesti sen tehokas hyödyntäminen vaikuttaa yrityksen tuloksentekokykyyn usein tuottavuuden muutoksen kautta. Esimerkiksi henkilöstön osaamisen lisääntyminen ja liiketoimintaprosessien laadun paraneminen vaikuttavat todennäköisesti positiivisesti tuottavuuteen. (Lönnqvist, Kujansivu & Antola 2005) Aineettomalle pääomalle (englanniksi intellectual capital) on kirjallisuudessa olemassa monia erilaista määrittelyitä. Aineetonta pääomaa voidaan nimittää usein myös tietopääomaksi, osaamispääomaksi, älylliseksi pääomaksi, aineettomaksi varallisuudeksi tai näkymättömiksi voimavaroiksi. Vakiintunein tapa luokitella aineetonta pääomaa on jakaminen kolmeen eri osa-alueeseen. Nämä kolme osa-aluetta ovat inhimillinen pääoma, suhdepääoma ja rakennepääoma. (Lönnqvist ym. 2005) Rakennepääomaan kuuluvat kokonaisuudet, jotka ovat organisaation omistamia ja pysyvät organisaatiossa vaikka yksittäinen työntekijä poistuisikin työyhteisöstä. Rakennepääomaa ovat esimerkiksi organisaation prosessit ja kulttuuri sekä näihin liittyvä eksplisiittinen tieto. Vaikka rakennepääomaan kuuluvat kokonaisuudet ovatkin organisaation omistamia, ovat organisaation työntekijät kuitenkin luoneet nämä asiat. Rakennepääoman muodostuminen sekä toisaalta myös muuttaminen vie yleensä useita vuosia. (Kujansivu, Lönnqvist, Jääskeläinen & Sillanpää 2007) Tieto on siis rakennepääomaa silloin kun se on julkilausuttua, kirjattua, näkyvää, jaettavissa sekä arvioitavissa olevaa. Tällöin tieto on niin sanotusti eksplisiittistä tietoa, joka on kommunikoitu organisaatiossa symbolisesti tai luonnollisella kielellä 21 ja se voidaan irrottaa ympäristöstään helposti. (Alavi & Leidner 2001) Suhdepääomaa puolestaan ovat esimerkiksi yhteistyösopimukset, asiakassuhteet sekä maine ja organisaation omistamat brändit. Myös suhdepääomaan kuuluvat tekijät ovat organisaation omistamia sen ulkopuolisiin sidosryhmiin liittyviä aineettomia tekijöitä. Toisaalta on huomattava, että esimerkiksi tietyn henkilön vaihtaessa työpaikkaa, voi organisaation suhdepääoma kärsiä merkittävästikin, jos henkilö vie esimerkiksi keskeiset asiakassuhteet mukaan. (Kujansivu ym. 2007) Inhimilliseen pääomaan kuuluvat kokonaisuudet taas ovat organisaatioon kuuluvan yksilön omistamia. Täten organisaatio ei voi niitä omistaa tai yksipuolisesti säädellä. Tähän osa-alueeseen sisältyviä kokonaisuuksia ovat esimerkiksi yksilöiden hiljainen tieto, asenne, koulutuspääoma, osaaminen sekä henkilökohtaiset ominaisuudet. Kun tieto on hiljaista tietoa, se luetaan kuuluvaksi pääsääntöisesti organisaation inhimilliseen pääomaan (Kujansivu ym. 2007). 2.3 Tietojohtaminen Kuten edellä on kuvattu, tieto on tänä päivänä yrityksen arvokkain resurssi. Vaikka tiedolla nähdään olevan iso merkitys yritysten menestymisessä, Hlupicin Pouloudin ja Rzevskin (2002) mukaan organisaatiot ovat usein hyvin epätietoisia esimerkiksi datan määrästä heidän omissa järjestelmissään sekä informaation potentiaalisesta arvosta. Organisaatiot eivät heidän mukaan myöskään riittävästi kiinnitä huomiota siihen miten tämän datan ja informaation jatkojalostaminen tiedoksi (knowledge) auttaisi organisaatiota saavuttamaan liiketoiminnassaan merkittäviä etuja. Erityisesti tietojohtaminen voisi auttaa organisaatiota tässä jatkojalostamisessa sekä kilpailuedun rakentamisessa (Alavi ja Leidner 2001). Beijersenin (2000) mukaan tietojohtamisessa onkin kyse nimenomaan organisaation tavoitteiden saavuttamisesta tekemällä tieto tuottavaksi. Myös Hussinki, Kianto, Vanhala & Ritala (2017) korostavat, että nimenomaan kyky hyödyntää yrityksen tietoresursseja muodostaa perustan yrityksen kilpailuedulle. Näin ollen tieto yksinään ei muodosta kilpailuetua, vaan kysymys on nimenomaisesti organisaation kyvykkyydestä jakaa sekä hyödyntää yksilöiden tietoja. Kianto, Ritala, Spender ja Vanhala (2014) painottavatkin, että tiedon 22 hyödyllisyys ei synny automaattisesti vaan kriittistä on se miten tietovarastoja johdetaan organisaatiossa. Tällöin onnistumisen kannalta tärkeäksi muodostuu se miten tietoa kyetään luomaan, tallentamaan, jakamaan sekä hyödyntämään. Myös Nonaka ym. (2000) painottavat, että muodostuakseen kilpailuedun lähteeksi, yksilöiden omistaman hiljaisen tiedon tulee olla siirrettävissä sekä jaettavissa laajasti läpi organisaation. Näin ollen tulee ymmärtää, että keskeistä on kiinnittää huomiota siihen miten organisaation sisäistä tiedonjakoprosessia kehitetään, vaikka tiedon jakaminen koettaisiinkin yleisesti vaikeaksi ja haastavaksi. Chowdhuryn (2005) mukaan tiedon jakaminen alkaa aina yksilötasolta ja leviää laajempiin yhteisöihin. Levina & Vaast (2006) toteavatkin, että tieto itsessään ei ole siirron kohde, vaan tiedon siirtäminen tapahtuu prosessina, johon liittyy suuressa määrin ihmisen toiminta. Myös Wagner & Buko (2005) korostavat sosiaalisen vuorovaikutuksen suurta asemaa tiedon käsittelyssä ja jakamisessa. Brown & Duguid (1991) sekä Cook & Brown (1999) puolestaan määrittelevät tiedon syntyvän ja tulevan hyödynnetyksi aina ihmisten toiminnan sekä tiedon jakamisen kautta. Orlikowski (2002) kuvaakin, että tiedonjakamisen sekä siirtämisen parhaisiin menetelmiin ja käytäntöihin tulisi kiinnittää toiminnassa enemmän huomiota. Sillä kuten edellä on todettu, tiedolla itsestään ei ole arvoa ilman sen jakamista ja hyödyntämistä. Alavin ja Leidnerin (2001) mukaan erityisesti tietojohtamisen avulla voidaan lisätä yrityksen kykyä kehittää ja hyödyntää tietoa yrityksen menestyksen perustana. Tietojohtaminen onkin Huotarin ja Savolaisen (2003, 18) mukaan tietoon liittyvää johtamisja hallintatoimintaa, jonka avulla hankitaan, luodaan, tallennetaan, välitetään ja hyödynnetään organisaation sisäisesti sekä ulkoisesti saatavavilla olevaa tietoa. Beijerse (2000) havaitsi kuitenkin tutkimuksessaan, että yritykset eivät yleisesti kutsu tietynlaisia toimintoja tietojohtamiseksi, vaikka ne sitä olisivatkin. Vaikka yritykset eivät käytä tietojohtamista tietoisesti toiminnassaan, niissä esiintyy hänen mukaan siitä huolimatta tiedostamatonta tietojohtamista, joka ilmenee normaaliin johtamiseen liittyvissä prosesseissa. 23 Tietojohtaminen onkin Kivisen (2008) mukaan haastava tutkimuksen osa-alue, sillä tutkijat eivät vielä ole yksimielisiä siitä, mitä sillä tarkoitetaan. Hän nostaa esille, että riippuen tutkijasta ja hänen edustamastaan tieteenalasta sillä voidaan tarkoittaa esimerkiksi tiedon johtamista, osaamisen johtamista tai liiketoiminnan johtamista laajemmin. Serenko ja Dumay (2015) kuitenkin uskovat, että ajan kuluessa käsite yhdenmukaistuu edelleen, kun tietojohtamista aletaan tutkia yhä laajemmin ympäri maailmaa ja se alkaa saavuttaa laajempaa tieteellistä kypsyyttä sekä arvostusta. Nykyisin tietojohtamista pidetään tutkimuksissa laajalti kuitenkin vähintään prosesseina, johon liittyy useita aktiviteetteja. Tutkimuskirjallisuudessa tietojohtamiseen on liitetty yleisesti vähintään neljä pääprosessia, jotka ovat tiedon luominen, tallentaminen, jakaminen sekä hyödyntäminen (Alavi & Leidner 2001). Hussinki, Kianto, Vanhala ja Ritala (2017) puolestaan tuovat tuoreessa tutkimuksessaan esille laajemman näkökulman, jonka mukaan tietojohtamisessa voidaan nykyisin erottaa toisistaan tietoresurssit, tietoprosessit ja tietojohtamisen käytänteet. Tietoresurssit viittaavat organisaation staattiseen tietovarastoon tai tietopohjaan (Hussinki ym. 2017). Tietoprosessit taas ovat yritykselle ominaisia tapoja tiedon jakamiseen ja hyödyntämiseen (Andreeva & Kianto 2012). Tietojohtamisen käytänteet puolestaan ovat tarkoituksenmukaisia johtamiseen sekä kyseessä olevaan organisaatioon liittyviä käytänteitä, joiden avulla johdetaan sekä tietoresursseja että tietoprosesseja. (Hussinki ym. 2017). 2.3.1 Tietojohtamisen käytänteet Tietojohtamisen käytänteet liittyvät siis kiinteästi organisaation johtamistapoihin ja niiden tavoitteena on saada organisaation tietopotentiaali hyödynnettyä liiketoiminnalliseksi suorituskyvyksi (Hussinki ym. 2017, Andreeva & Kianto 2012). Myös Kiannon ym. (2014) mukaan tietojohtamisen käytänteiden avulla organisaation aineettomia voimavaroja kyetään johtamaan tehokkaammin, jolloin organisaation suorituskyky kasvaa. Jotta tietovarastot kyetään muuntamaan organisaation suorituskyvyksi, tietojohtamisen käytänteiden tulee olla 24 organisaatiossa järjestelmällisiä sekä systemaattisia läpi koko organisaation (Andreeva ja Kianto 2012). Tietojohtamisen käytänteissä voidaan tunnistaa kymmenen osa-aluetta, joista jokainen sisältää johtamisen käytänteitä tietoon liittyen. Nämä tietojohtamisen käytänteiden osa-alueet ovat esimiestyö, tiedon ja osaamisen strateginen johtaminen, tiedon suojaaminen, tietoperustainen rekrytointi, tietoperustainen kehityskeskustelu, tietoperustainen kouluttaminen ja kehittäminen, tietoperustainen palkitseminen, oppimismekanismit, informaatioteknologian käytänteet sekä työn organisointi. (Inkinen 2016) Menestyksekkäässä tietojohtamisessa yrityksen esimiehet ja erityisesti johtajat ovat ratkaisevassa roolissa, sillä heidän tehtävänä on koordinoida tiedon yhdistämistä sekä jakamista yrityksessä. Heillä on myös suuri vastuu strategisen tiedon tunnistamisessa sekä yleisestikin tietoon perustuvan strategian luomisessa sekä siihen liittyvien toimenpiteiden jalkauttamisessa sekä mittaamisessa ja seuraamisessa. (Inkinen 2016) Yrityksen esimiehet ja johtajat määrittävät siis hyvin pitkälle millaisia tietojohtamisen käytänteitä yrityksessä noudatetaan. Osa tietojohtamisen käytänteistä korostaa käytänteitä, joiden tavoitteena on parantaa organisaation inhimillistä pääomaa (Hussinki ym. 2017). Tämä toteutetaan henkilöstöjohtamiseen liittyvien käytänteiden avulla. Esimerkiksi rekrytointilanteessa on tärkeää arvioida työnhakijan kehittymismahdollisuuksia sekä osaamista sekä vuorovaikutustaitoja. Samoin kehityskeskusteluissa ja suoritusarvioinneissa tulee korostaa yksilöiden valmiuksia ja toimintaa tiedon luomisessa, jakamisessa sekä soveltamisessa. Tämän tietoperusteisuuden huomioimisen kautta tietojohtamisen rooli sekä tärkeys korostuvat organisaatiossa sekä yksilöt sitoutuvat paremmin tiedon luomiseen, jakamiseen ja hyödyntämiseen. (Inkinen 2016) Yksilöiden kouluttamisella sekä kehittämisellä voidaan puolestaan kehittää organisaation tietovarastoa. Tietojohtamisen käytänteiden näkökulmasta koulutuksessa sekä kehittämisessä tulee tällöin ymmärtää tiedon elementti ja koulutus tulee suunnitella ennakoivasti sekä systemaattisesti tiedon näkökulmasta. Myös tietoon perustava palkitseminen on henkilöstöjohtamiseen liittyvä 31 Kuvio 4. Spiraalimuotoinen tiedonluomisen prosessi, SECI-malli (Nonaka ym. 2000) Tiedon tallentaminen Tiedon luomisen jälkeen tieto tallennetaan organisaatioon (Evans ym. 2014, 93). Toisessa Alavin ym. (2001) mukaisessa tietoprosessien vaiheessa, eli tiedon tallentamisprosessissa tieto tallennetaankin organisaation muistiin, jotta tieto on myös jatkossa käytettävissä sekä jaettavissa. Tämä organisaation muisti sisältää eri tiedon tallennuspaikkoja, joita ovat mm. kirjalliset dokumentit, tietojärjestelmät, rakenteet, dokumentoidut prosessit ja menetelmät sekä yksilöihin sitoutunut hiljainen tieto. Organisaation vahvuutena onkin käyttää tiedon tallentamisprosessissa monipuolisesti hiljaista tietoa, dokumentoitua eksplisiittistä tietoa sekä organisaation rakenteisiin tallentuvaa tietoa. (Alavi ja Leidner 2001) Myös Evans ym. (2014, 93 - 94) painottavat, että tieto voidaan tallentaa organisaation muistiin joko yksilöiden hiljaiseksi tiedoksi tai dokumentoida eksplisiittiseen muotoon. Heidän mukaan tieto tulee kuitenkin pyrkiä tallentamaan mahdollisimman strukturoidulla tavalla, jotta myöhemmin tiedon jakaminen sekä hyödyntäminen ovat mahdollisia toteuttaa. 32 Luotu tieto tulee myös järjestää sekä muotoilla tarkoituksenmukaisella tavalla ennen kuin se tallennetaan lopullisesti, jotta tieto on paremmin sovellettavissa kyseiseen kontekstiin ja organisaatioon. Kun tieto on järjestetty käyttökelpoiseksi, tieto tallennetaan lopuksi suojattuun ja helposti saatavilla olevaan muotoon ja paikkaan. (Haney 2006) Tiedon jakaminen Kun tieto on tallennettu, tietoa jaetaan organisaation sisäisesti tai ulkoisesti. Tiedon jakaminen voi perustua organisaation suunnitelmaan tai se voi olla tapauskohtaista perustuen ryhmän tai yksilön kertaluontoiseen tarpeeseen hakea kyseistä tietoa. (Evans ym. 2014, 93 - 94) Tiedon jakamisella pyritään siihen, että tietoa pystytään organisaatiossa käyttämään laajasti sekä tarkoituksenmukaisesti (Choo 2002). Tiedon jakamisen prosessissa organisaation muistiin tallennettua tietoa jaetaankin monella tasolla: yksilöiden välillä, yksilöistä dokumentoituihin lähteisiin, yksilöistä ryhmiin, ryhmistä ryhmiin sekä yksittäisestä ryhmästä koko organisaatioon sekä myös esimerkiksi organisaatiosta ryhmään tai yksilöön. Tiedon jakamisen prosessissa keskeistä on se, että tieto kyetään tehokkaasti jakamaan tarkoituksenmukaisessa muodossa sinne missä sitä tarvitaan ja missä sitä voidaan hyödyntää. (Alavi ja Leidner 2001) Tiedon jakamisessa on tunnistettavissa viisi keskeistä elementtiä, jotka vaikuttavat merkittävästi tiedon jakamisen onnistumiseen. Nämä elementit ovat (1) koettu tiedon lähteen arvo ja luotettavuus, (2) halukkuus jakaa tietoa, (3) jakelukanavien olemassaolo ja käyttökelpoisuus, (4) vastaanottavan tahon motivaatio vastaanottaa tietoa sekä (5) vastaanottavan tahon kyky hankkia ja käyttää tietoa. (Alavi ja Leidner 2001) Tiedon hyödyntäminen Kun tieto on jaettu, sitä voidaan alkaa hyödyntämään varsinaisessa tarkoituksessaan, eli esimerkiksi organisaation tuotteiden tai palveluiden toimittamisessa sekä kehittämisessä (Haney 2006). Tämä tietoprosessien 33 viimeinen vaihe, eli tiedon hyödyntäminen, onkin havaittu olevan kaikista tärkein tietoprosessi (Alavi ja Leidner 2001). Tietoa hyödynnetään organisaatioissa monella eri tapaa sekä monella eri tasolla. Tietoa voidaan hyödyntää mm. organisaation normaalissa toiminnassa, kehittämisessä, johtamisessa sekä ongelmanratkaisussa. Lisäksi tietoa hyödynnetään esimerkiksi säännöissä ja ohjeistuksessa, jotka liittyvät organisaation menetelmiin ja toimintatapoihin. (Alavi ja Leidner 2001) Evansin ym. (2014, 93 - 94) mukaan tiedon hyödyntämisessä organisaatio, sen ryhmä tai siihen kuuluva yksilö hyödyntää kyseistä tietoa aina omien tarpeidensa mukaisesti. Kun tietoa hyödynnetään, käytetään myös jossain määrin tiedon hyödyntäjien osalta yksilöiden omaa hiljaista tietoa, joka mahdollistaa ymmärryksen syntymisen tiedon avulla. Kun tiedon hyödyntämisvaiheessa käytettävissä olevaa tietoa jatkojalostetaan tai hyödyntämisen aikana tunnistetaan uusia tietotarpeita, tiedon hyödyntäminen johtaa hyvin usein myös uuden tiedon luomiseen. (Alavi ym. 2001) Hyödyntämisen yhteydessä tietoa voidaan myös muuttaa, poistaa tai korvata. Tämä myös voi aiheuttaa sen, että hyödyntämisen aikana tunnistetaan sekä ymmärretään jälleen mitä uutta tietoa tulee luoda. Näin tietoprosessien sykli alkaa jälleen alusta. (Haney 2006) 3 RISKIENHALLINTA Tässä osassa tarkastellaan tutkimuskirjallisuuden sekä yrityksissä laajasti käytössä olevien kansainvälisten riskienhallinnan standardien ja toteutusmallien perusteella riskienhallinnan käsitettä, toteuttamista ja kehittymistä sekä yritysten riskienhallinnan rakenteita ja vastuita. 3.1 Riskienhallinta käsitteenä Riskienhallinnan käsitteistö on pysynyt hämmästyttävän samansisältöisenä vuosikymmenestä toiseen, mutta riskienhallinnan tarpeet ja toteuttaminen ovat eläneet paljon ajan saatossa (Kuusela & Ollikainen 2005). 34 Riippuen lähteestä riskienhallinnan käsite on kuitenkin määritelty hyvin erilailla. Yleisesti yrityksissä käytetyn kansainvälisen ISO31000-standardin määritelmän mukaan riskienhallinta on koordinoitua toimintaa, jolla organisaatiota ohjataan ja hallitaan riskien osalta. (the International Organization for Standardization 2018) Toisen yrityksissä paljon käytetyn riskienhallinnan mallin, COSO ERMviitekehyksen, mukaan riskienhallinta on yrityksen strategian toteuttamiseen ja yrityksen suorituskykyyn integroitu kulttuuri, kyvyt ja käytännöt, joiden avulla yritykset hallitsevat riskejä sekä luovat ja säilyttävät yrityksen arvoa (The Committee of Sponsoring Organizations of the Treadway Commission 2017). Riskienhallinta on siis melko abstraktia toimintaa, jolla on selkeitä liittymäpintoja yrityksen kulttuuriin, kyvykkyyteen sekä käytäntöihin. Toisaalta tutkimuskirjallisuudessa riskienhallinta nähdään myös konkreettisiksi toiminnoiksi tai prosessiksi, jonka avulla tunnistetaan, arvioidaan ja hallitaan riskejä. Riskienhallinnan tavoitteena on ennen kaikkea luoda sekä suojella yrityksen arvoa ja maksimoida yrityksen voittoja. (mm. Dionne 2013, Frigo & Anderson 2011, Andersen 2008) Seuraavassa taulukossa esitellään tunnetuimpia riskienhallinta käsitteen määritelmiä. Taulukko 2. Riskienhallinta käsitteen määritelmiä Kuten taulukosta käy ilmi, yleisesti tunnetut riskienhallinnan käsitteen kuvaukset eivät huomioi tiedon merkitystä tai tietojohtamista mitenkään. Neefin (2005) mukaan useat riskienhallinnan asiantuntijat ovat kuitenkin alkaneet yhä paremmin ymmärtämään myös tiedon merkityksen osana riskienhallinnan käsitettä. 35 Haltiwanger ym. (2010) korostavatkin, että riskienhallinta on riippuvainen nimenomaan yrityksen käytettävissä olevista tiedoista ja kyvystä siirtää nämä tiedot yksittäisten yksilöiden mielistä laajemmin yrityksen käyttöön. Conrow (2005) puolestaan kuvaa tätä yhteyttä siten, että riskienhallintatieto ja sen hyödyntäminen on aivan keskeinen osa riskienhallintaa. Hänen mukaan tietoprosessit, eli esimerkiksi tiedon luominen, tallentaminen, jakaminen ja hyödyntäminen, tulee ymmärtää keskeiseksi riskienhallinnan toiminnaksi. Täten myös tiedon sekä tietojohtamisen tulisi näkyä Conrowin (2005) mukaan vähintään jollain tasolla riskienhallinnan yleisesti käytetyissä käsitteissä. 3.2 Riskienhallinnan toteutus ja vastuut Riskienhallinnan toteutuksella ja vastuiden määrittelemisellä on suuri merkitys myös tietojohtamisen näkökulmasta tarkasteltuna, sillä Hussingin ym. (2017) mukaan tietoprosessien tehokkaan toiminnan näkökulmasta organisoiminen on erityisen kriittistä. Myös Kianto ym. (2014) painottavat, että tiedon hyödyllisyys ei synny automaattisesti vaan kriittistä on se miten tietovarastoja johdetaan organisaatiossa. Riskienhallintaa on 2000-luvulla kehitetty koko ajan kiinteämmäksi osaksi yritysten johtamista sekä yrityksen kaikkien tasojen toimintaa. Laajasti yritysten riskienhallinnassa käytettävät kansainväliset viitekehykset sekä toimintamallit ovatkin jatkuvasti kehittyneet suuntaan, jossa riskienhallinta on kytkettävä yrityksen strategisiin, taloudellisiin ja toiminnallisiin tavoitteisiin sekä kaikkien tasojen normaaliin toimintaan ja päätöksentekoon. (Frigo ja Anderson 2011) Samaan aikaan yritysten velvoitteita ja vastuita riskienhallintaan liittyen on jatkuvasti lisätty yrityksiä koskevaan lainsäädäntöön ja siihen rinnastettaviin vaatimuksiin sekä vapaaehtoisesti käytettäviin riskienhallinnan toteutusmalleihin, sillä yhteiskunnallisesti merkittäviä riskejä on toteutunut kansallisesti sekä kansainvälisesti. (The Institute of Internal Auditors 2013) Esimerkiksi vuoden 2008 finanssikriisin seurauksena, The Institute of Internal Auditors (IIA) julkaisi vuonna 2013 asiakirjan “The Three Lines of Defence in Effective Risk Management and Control”. Tällä asiakirjalla pyrittiin vaikuttamaan 36 siihen, että riskienhallintaan kehittyisi yrityksissä systemaattisempi lähestymistapa, joka olisi entistä paremmin sidoksissa yritysten normaaliin johtamis-, ohjausja valvontajärjestelmään. Tällä esitetyllä systemaattisella lähestymistavalla pyrittiin täyttämään riskienhallinnan aukkoja kuvaamalla selkeät riskienhallinnan vastuut ja rajat. Lisäksi pyrittiin lisäämään yritysten yksilöiden tietoisuutta omasta osuudestaan koko organisaation riskienhallinnassa. Tämä lähestymistapa ja toimintamalli, jolla riskienhallinta pyrittiin kytkemään kiinteämmäksi osaksi yritysten johtamista sekä ohjausta, sai globaalisti nopeasti kannatusta myös säädöksissä ja laeissa. Vuonna 2013 julkaistu kolmen puolustuslinjan malli sekä lähestymistapa yleistyvät edelleen yrityksissä koko ajan. (The Institute of Internal Auditors 2013) Kolmen puolustuslinjan mallia arvosteltiin kuitenkin heti sen julkaisemisen jälkeen siitä, että se kuvasi hyvin pitkälle vain vallinneen nykytilan suurissa yrityksissä. Keskeisin puute nähtiin siinä, että mallissa ylin johto ja hallitus olisivat vain passiivisia toimijoita, joille riskienhallinnasta raportoidaan. Näiden tahojen vastuulla ei olisi olla aktiivisia toimijoita tai tahoja jotka johtavat sekä toteuttavat riskienhallintaa. Lisäksi alun perin vastuiden osalta koettiin, että myös raportointi 1. linjasta puuttui, 2. linjan avustustehtävä oli hyvin vajavaisesti kuvattu sekä 3. linjan luotettavuuden varmistaminen oli vajavaista. (Hanlon & Leech 2013) Melko pian kolmen puolustuslinjan mallin julkaisun jälkeen useat riskienhallinnan ammattilaiset alkoivatkin nostaa esille näkökulmaa, että puolustuslinjoja tulisi kolmen sijasta olla viisi. Tämä ns. viiden varmistuslinjan malli (Five Lines of Assurance) on vaihtoehto kolmelle puolustuslinjalle (The Three Lines of Defence, 3LoD). Suurin ero viiden varmistuslinjan mallissa on erityisesti ylimmän johdon ja hallituksen isommalla ja aktiivisemmalla roolilla sekä näiden tahojen vastuiden ja velvoitteiden suuremmalla huomioimisella. (Hanlon & Leech 2013) Samoin kuin tutkimuskirjallisuus sekä yleisesti käytössä olevat riskienhallinnan standardit ja viitekehykset, viisi varmistuslinjaa korostaakin nimenomaan ylimmän johdon ja hallituksen roolia riskienhallinnassa. Malli painottaa näiden tahojen riskienhallinnan sovittamisvastuuta normaaleihin johtamis-, ohjaus-, valvontaja hallintoprosesseihin sekä aktiivista viestimistä siten, että kaikilla organisaation tahoilla ja jäsenillä on vastuu omalta osaltaan riskienhallinnassa. Lisäksi malli 37 edellyttää tukea riskienhallintaan yritysten asiantuntijayksiköiltä niin, että ne kehittävät ja ylläpitävät yrityksen riskienhallinnan puitteita, viitekehystä, prosessia, ohjeistusta sekä seurantaa ja raportointia ylimmän johdon linjausten mukaisesti. (Hanlon & Leech 2013) Viisi varmistuslinjaa vastuutahoineen sekä vastuineen määriteltiin seuraavasti (Protiviti 2013): 1. Ylimmän johdon on hallituksen valvonnassa viestittävä ja vahvistettava kaikkien vastuuta riskienhallinnasta varmistamalla, että kaikki varmistuslinjat toimivat ja ymmärtävät vastuunsa vaatimuksena tehokkaalle toiminnalle sekä sitoutuvat riskienhallintaan. Kaikki muut mallin varmistuslinjat myös vahvistavat tätä organisaation viestiä omassa toiminnassaan. 2. Vastuullisten liiketoimintayksiköiden ja prosessien omistajien on vastattava omien yksiköidensä ja prosessien aiheuttamien riskien hallinnoimisesta sekä vahvistettava toiminnassaan näiden riskien hallinnassa kaikkien vastuuta. 3. Vaikuttava riskienhallinta ja vaatimustenmukaisuus edellyttävät riippumatonta ja riittävän arvovaltaista tukea johtoa tukevilta toiminnoilta (esim. riskienhallintayksiköt ja -ryhmät). Nämä toiminnot huolehtivat omalla asiantuntemuksellaan, että riskien hallitsemiseksi on olemassa yritystason puitteet sekä selkeä viitekehys. Riskejä omistavat yksiköt ja prosessit suorittavat riskienhallintaa kyseisten laadittujen puitteiden sekä viitekehyksen mukaisesti, siten että riskejä arvioidaan ja mitataan asianmukaisesti, määritettyjä riskirajoja noudatetaan sekä raportointija esittelyprotokollat toimivat tarkoitetulla tavalla. 4. Sisäinen tarkastus tarjoaa mallissa varmuuden siitä, että muut varmistuslinjat toimivat tehokkaasti ja käyttävät varmistuslinjaansa kokonaisvaltaisena keinona varmistaa tavoitteisiin pääsy sekä yrityksen arvon säilyttäminen. 5. Hallituksen valvonnassa ja tukemana johdon on vähennettävä väistämättömiä jännitteitä arvonluomistoimien ja riskienhallintasekä 38 valvontatoimien välillä. Johdon sekä hallituksen tulee varmistaa, että nämä toimet tasapainotetaan asianmukaisesti siten, ettei kumpikaan ole suhteettoman vahva suhteessa toiseen. Johtoryhmän vastuulla on sovittaa tarkoituksenmukainen riskienhallinta yrityksen johtamis-, ohjaus-, valvonta ja hallintoprosesseihin. Tärkeää on myös että johto ja hallitus reagoivat tarkoituksenmukaisesti saamansa informaation perusteella aina kun se on tarpeellista. 3.3 Riskienhallinnan vastuut suomalaisissa pörssiyrityksissä Lainsäädännössä, standardeissa ja eri viitekehyksissä sekä toimintamalleissa esitetyt riskienhallinnan pirstaleiset vaatimukset ja vastuut, jotka pyrkivät kytkemään riskienhallinnan kiinteämmäksi osaksi yritysten johtamista sekä ohjausta, eivät kuitenkaan kytkeydy riittävän yksinkertaisella ja ymmärrettävällä tavalla toisiinsa. Tämä aiheuttaa sen todellisen haasteen, että yritysten on ilman merkittävää riskienhallinnan asiantuntemuspääomaa erittäin haastavaa kytkeä riskienhallinnan vastuut saumattomasti yhteen yrityksen normaaleihin johtamis-, ohjaus-, valvontaja hallintoprosesseihin. Esimerkiksi sekä kolmen puolustuslinjan malli että riskienhallinnan viiden varmistuslinjan malli kuvaavat riskienhallinnan toimijat graafisesti kuvissa laatikoina, kun taas vastuut ja velvollisuudet näille toimijoille määritellään vain mallien tekstiosioissa. Lisäksi koska kyseessä ovat globaalit toimintamallit, nämä mallit eivät ota huomioon läheskään riittävällä tavalla yrityksille asetettuja säädöspohjaisia tai niihin rinnastettavissa olevia velvoitteita tietyssä maassa. Esimerkiksi Suomessa yrityksiä velvoittavia säädöksiä riskienhallinnassa ovat arvopaperimarkkinalaki, kirjanpitolaki, osakeyhtiölaki ja hallinnointikoodi, joka velvoittaa sitovasti kaikkia Helsingin pörssissä listattuja pörssiyhtiöitä (Arvopaperimarkkinayhdistys 2015). Jotta riskienhallinta olisi suomalaisissa yrityksissä ilman merkittävää riskienhallinnan asiantuntemuspääomaa yksinkertaisemmin implementoivissa normaaliin johtamiseen ja ohjaukseen, tulisi malleja kehittää aikaisempaa paremmin omaksuttaviksi. Lisäksi malleihin tulisi implementoida suomalaisten 39 pörssiyritysten lainsäädännössä sekä muissa vaatimuksissa (mm. hallinnointikoodi) esitetyt riskienhallinnan velvoitteet ja vastuut. Tämä voidaan toteuttaa kokoamalla riskienhallinnan velvoitteet ja vastuut, näiden väliset riippuvuudet sekä kytkentä johtamiseen samaan yksinkertaistettuun malliin. Seuraavaan kuvioon on koottu edellä kuvatun tarpeen perusteella ISO 31000riskienhallintastandardin, COSO ERM-viitekehyksen, riskienhallinnan kolmen puolustuslinjan mallin ja riskienhallinnan viiden varmistuslinjan mallin sekä Suomen arvopaperimarkkinalain, kirjanpitolain, osakeyhtiölain ja hallinnointikoodin vaatimukset riskienhallinnan vastuista. Kuvio on toteutettu Lappeenrannan teknisen yliopiston opintojakson ”Johtajuus ja asiantuntijatyö” opintotehtävään liittyen ja sen on laatinut tämän tutkimuksen toteuttaja vuonna 2017. Kuvion avulla voidaan lyhyesti sekä yksinkertaisesti esittää riskienhallinnan vastuut suomalaisissa pörssiyrityksissä. Kuvio 5. Riskienhallinnan vaatimukset sekä eri toimintamallit yhdistettynä jalostetuksi riskienhallinnan varmistuslinjamalliksi (Pekki 2017) 40 3.4 Riskienhallinnan haasteet tietojohtamisen näkökulmasta Edellisissä luvuissa esitetysti riskienhallinnan vastuut sekä toteuttaminen jakautuu yrityksessä monelle eri taholle sekä eri organisaatiotasoille. Riskienhallintaa toteutetaankin käytännössä yrityksen operatiivisella sekä strategisella tasolla. Lisäksi yrityksen riskienhallinnassa on useita puolustustai varmistuslinjoja, joiden tulee kyetä toimimaan saumattomasti yhdessä. Näiden seikkojen voidaan nähdä aiheuttavan sen todellisen haasteen sekä vaatimuksen, että riskienhallintatiedon luominen, tallentaminen, jakaminen sekä hyödyntäminen tässä monitoimijarakenteessa tulee pystyä toteuttamaan mahdollisimman tehokkaasti eri toimintaorganisaatioja linjatasojen välillä, jotta riskienhallinta olisi mahdollisimman vaikuttavaa sekä tehokasta. Oman haasteensa riskienhallintaan luo myös se, että Alavin ja Leidnerin (2001) mukaan suurin osa organisaation tiedosta on niin sanottua hiljaista tietoa, joka sijaitsee organisaation yksilöiden mielissä. Tällöin riskienhallintatiedon luomisessa ja hyödyntämisessä tulee ymmärtää monitoimijarakenteen lisäksi myös yksilöiden keskeinen rooli riskienhallintatiedon luomisessa, tallentamisessa, jakamisessa sekä hyödyntämisessä. Yrityksen riskienhallinta onkin tietojohtamisen näkökulmasta hyvin riippuvainen siitä, että yrityksessä yksilöiden hallussa olevaa tietoa pystytään liiketoimintoyksikön sisällä luomaan sekä muuttamaan eksplisiittiseen muotoon. Riskienhallinta on myös hyvin riippuvainen siitä, että riskienhallintatietoa kyetään yrityksen sisällä tallentamaan sekä jakamaan tarkoituksenmukaisesti, jotta tietoa pystytään tehokkaasti hyödyntämään riskienhallinnassa laajasti. (Haltiwanger ja Temple 2014) Tietojohtamisen näkökulmasta tarkasteltuna riskienhallinnassa on siis lukuisia haasteita, joissa tietojohtamisen hyödyntäminen voi tuoda riskienhallintaan lisäarvoa. Useat tutkijat (mm. Lelic 2002, Neef 2005, Haltiwanger ym. 2010) korostavatkin, että tietojohtamisen perusmalleja sekä riskienhallinnan prosesseja on tarkoituksenmukaista pyrkiä yhdistämään entistä tiiviimmin toisiinsa. 47 Kuvio 6. Riskienhallinnan kehittäminen tietojohtamisen avulla (Haltiwanger, Landaeta, Pinto ja Tolk 2010) 5 TUTKIMUKSEN SUORITTAMINEN Tässä osassa esitetään tutkimuksen suorittamistapa kuvaamalla tarkemmin tutkimuksen kohdeyritykset, tutkimusmenetelmät, aineiston keruun suorittaminen sekä haastateltavien valintatapa. Luvussa kuvataan myös miten haastattelukysymykset on laadittu, miten haastattelut on tehty sekä millä tavoin empiirisen aineiston analyysi on toteutettu. Lisäksi luvun lopussa esitetään tutkimuksen luotettavuuden arvioinnin kriteerejä sekä arvioidaan tutkimuksen validiteettia ja reliabiliteettia. 5.1 Kohdeyritykset Elisa Oyj on suomessa toimiva tietoliikenne-, ICTja online-palveluyritys. Elisalla on 2,3 miljoonaa asiakasta, jotka ovat kuluttajia, yrityksiä sekä julkishallinnon organisaatioita. Yritys on julkisesti noteerattu Nasdaq Helsinki Suuret Yhtiöt (Large Cap) -listalla. Elisalla oli vuonna 2016 noin 200 000 osakkeenomistajaa. Elisa tarjoaa palveluita viihtymiseen ja viestimiseen, sekä työvälineitä organisaatioiden tuottavuuden ja toiminnan kehittämiseen. Elisa on Suomessa tietoliikennepalveluiden markkinajohtaja sekä Virossa mobiilipalveluiden toiseksi 48 suurin tuottaja. Visiona Elisalla on olla erinomaisuuden esimerkki sekä arvostettu kansainvälisten digitaalisten palveluiden tuottaja. Elisan arvot ovat vastuullisuus, uusiutuminen, tuloksellisuus, asiakaskeskeisyys ja yhteistyö. (Elisa 2017) Kesko Oyj on suomalainen päivittäistavarakaupan, rakentamisen ja talotekniikan kaupan sekä autokaupan toimija. Toiminnassa on mukana yli 2000 kauppaa Suomessa, Virossa, Latviassa, Liettuassa, Norjassa, Ruotsissa, Venäjällä, ValkoVenäjällä sekä Puolassa. Yritys on julkisesti noteerattu Nasdaq Helsinki Suuret Yhtiöt (Large Cap) –listalla. Keskon kotipaikka on Helsinki. Suomen markkinoilla pääasiallinen Keskon liiketoimintamalli perustuu ketjuliiketoimintamalliin, jossa itsenäiset K-kauppiaat toimivat itsenäisinä yrittäjinä Keskon vähittäiskauppaketjuissa. Kesko ja K-kauppiaat muodostavat yhdessä K-ryhmän, joka työllistää noin 45 000 henkeä. K-ryhmä on Pohjois-Euroopan kolmanneksi suurin vähittäiskaupan toimija. Keskon visio on olla asiakkaan valinta ja kaupan laatujohtaja Euroopassa. Keskon keskeisimmät arvot ovat asiakas ja laatu – kaikessa mitä yritys tekee. (Kesko 2017) Neste Oyj:n tavoitteena on luoda vastuullisia vaihtoehtoja kuluttajien, yritysten sekä liikenteen käyttöön sekä auttaa osaltaan pienentämään asiakkaiden hiilijalanjälkeä. Yhtiö on maailman suurin tähteistä ja jätteestä jalostetun uusiutuvan dieselin tuottaja ja se tuo innovatiivisia uusiutuvia ratkaisuja myös muille toimialoille. Nesteen pääkonttori sijaitsee Espoossa. Nesteellä on liiketoimintaa Liettuassa, Latviassa, Sveitsissä ja Singaporessa. Yritys on julkisesti noteerattu Nasdaq Helsinki Suuret Yhtiöt (Large Cap) –listalla. Yhtiöllä oli vuoden 2016 lopussa noin 65 000 osakkeenomistajaa. Nesteen Liikevaihto vuonna 2016 oli yhteensä 11,7 miljardia euroa sekä Neste oli huomioitu 100:n vastuullisimman yrityksen Global 100 -listalla. Nesteellä visiona on joka päivä luoda vastuullisia vaihtoehtoja. Arvoina Nesteellä ovat uudistuminen, vastuullisuus, tuloksellisuus ja yhteistyö. (Neste 2017) Telia on yksi Pohjois-Euroopan suurimmista teleoperaattoreista. Telian juuret ovat Suomessa ja Ruotsissa. Telian pääkonttori sijaitsee Ruotsissa. Vuonna 2016 Telian liikevaihto oli noin 8,4 miljardia euroa. Telia toimii Suomen lisäksi mm. Ruotsissa, Tanskassa, Norjassa, Virossa, Latviassa sekä Liettuassa. Telia 49 Companyn toiminta ulottuu kuitenkin ympäri maailmaa. Telia Company:n osake on listattu sekä Tukholman (TELIA) että Helsingin (TELIA1) pörssissä. Helsingissä yritys on julkisesti noteerattu Nasdaq Helsinki Suuret Yhtiöt (Large Cap) –listalla. Työntekijöitä Telialla oli vuonna 2016 yhteensä reilut 21 000. Yhtiöllä oli vuoden 2016 lopussa noin 513 000 osakkeenomistajaa. Telian visiona on tuoda maailma lähemmäs – asiakkaan ehdoilla. Telian keskeiset arvot ovat uskalla, välitä ja yksinkertaista. (Telia 2017) 5.2 Tutkimusmenetelmän valinta Tämä tutkimus toteutettiin laadullisena tutkimuksena tapaustutkimuksen suuntauksena. Laadullisen tutkimuksen lähestymistavaksi kannattaa Erikssonin ja Koistisen (2005, 4 - 5) mukaan valita tapaustutkimus silloin kun miten-kysymys on tutkimuksessa etusijalla ja tutkimusaiheesta on olemassa vähäisesti tutkimustietoa sekä tutkimuskohteena on normaalissa toiminnassa ilmenevä ilmiö. Eriksson ym. (2005, 3) painottavat, että tapaustutkimuksen vahvuus on nimenomaan monimutkaisten ja muuttuvien kokonaisuuksien tutkimisessa, joista ei ole vielä vahvaa teoreettista pohjaa. Yin (1994, 9) kuvaa, että tapaustutkimuksessa tapaus on useimmiten ilmiö, prosessi, tapahtuma, käytäntö sekä organisaatio tai sen osa. Tässä tutkimuksessa tietoprosessien hyödyntäminen yleisesti yritysten riskienhallinnassa nähtiin olevan monimutkainen yrityskohtainen tosielämän ilmiö. Tutkimuksessa yrityksiä ei tarkasteltu erillisinä tapauksina vaan vastaajien näkemyksiä tarkasteltiin yhtenä kvalitatiivisena aineistona. Aineiston kerääminen toteutettiin haastattelemalla neljän yrityksen riskienhallinnan asiantuntijoita. Haastatteluissa saadut havainnot yksinkertaistettiin valitun teorian näkökulmasta, kun tuloksia tulkittiin. Metsämuuronen (2008) korostaa, että laadullinen tutkimus on erittäin perusteltu tutkimustapa erityisesti yksilöhaastatteluista muodostuvassa aineistossa. Näistä syistä tutkimuksessa päädyttiin käyttämään laadullista tutkimustapaa ja sen sisällä lähestymistapana tapaustutkimusta. 50 Koska tässä tutkimuksessa tarkasteltiin neljää eri yritystä yhtenä joukkona, tutkimusmenetelmänä käytettiin tarkemmin monitapaustutkimusta. Koskinen, Alasuutari ja Peltonen (2005) painottavat, että tapaustutkimuksessa voidaan tutkia myös useaa tapausta kerrallaan, mutta ei kuitenkaan perinteisesti muutamaa tapausta enempää. Gerringin (2007, 20) mukaan tapaustutkimus voikin sisältää useita tapauksia. Tällöin sitä kutsutaan hänen mukaan nimenomaan monitapaustutkimukseksi (multiple case study). Monitapaustutkimuksessa valitaan useita tapauksia, sillä useita tapauksia tutkimalla päästään parempaan ymmärrykseen monimutkaisesta sekä muuttuvasta ilmiöstä kuin vain yhtä tapausta tutkimalla. Tapaukset voivat monitapaustutkimuksessa olla keskenään joko samantyyppisiä tai toistensa kanssa erityyppisiä. Tärkeää on kuitenkin ottaa huomioon tapausten yhtenevyys toistensa kanssa, mutta toisaalta myös riittävä vaihtelevuus. (Stake 2005, 445– 446.) Myös Yin (1994, 79-81) korostaa, että tapaustutkimuksessa on suositeltavaa käyttää useita tietolähteitä. Näin on mahdollista selvittää paremmin ristiriitaiset tai jopa toisistaan vastakkaiset väitteet. Järvinen ja Järvinen (2004, 80) suosittelevatkin usean tapauksen käyttämistä, mikäli yksittäisestä tapauksesta nousevia tuloksia halutaan todentaa laajemmin. Myös Laine, Bamberg ja Jokinen (2007, 74) korostavat, että usein on hyödyllisempää valita useita tapauksia sekä tarkastella niitä rinnakkain, kuin tehdä syvätarkastelu yhteen yksittäiseen tapaukseen. Heidän mukaan tällöin on mahdollista löytää sellaisia huomioita, joita ei pelkästään yhtä tapausta tutkimalla välttämättä huomattaisi. 5.3 Aineiston keruu Laadullisen tutkimuksen aineistonkeruun päämenetelmä on usein haastattelu (Yin 2003). Myös Kananen (2017, 89) korostaa, että laadullisessa tutkimuksessa haastattelut ovat havainnoinnin ohella yksi yleisemmin käytetyistä aineistonkeräämisen menetelmistä. Tuomen ja Sarajärven (2009, 72-74.) mukaan haastattelut ovat paljon joustavampi tapa kerätä tutkimustietoa kuin esimerkiksi lomakemuotoinen kysely. He 51 painottavat, että haastattelun suurin vahvuus onkin se, että haastattelija kykenee selvittämään kysymystä monipuolisemmin tai kysyä tarkentavia kysymyksiä, mikäli vastaus poikkeaa otaksutusta sekä ilmeisestä vastauksesta tai tarkentaa haastateltavan väärinymmärryksiä liittyen kysymyksiin. Hirsjärvi ym. (2009, 192) lisäävät toiseksi vahvuudeksi myös sen, että haastateltavien kanssa voi sopia haastattelun täydentämisestä myöhemmin, mikäli siihen ilmenee tarvetta. Haastattelun kolmas vahvuus on se, että mikäli haastattelun aikana ilmenee tarvetta muuttaa kysymysten järjestystä, näin voidaan luontevasti toimia (Tuomi & Sarajärvi 2009, 71-74). Näillä edellä kuvatuilla perusteilla tässä tutkimuksessa päädyttiin käyttämään aineiston keruumenetelmänä haastatteluita, sillä tutkimuksen kohteena olevassa ilmiössä on kysymys monimutkaisesta tosielämän ilmiöstä, josta ei ole vielä juurikaan tutkimusta. Tutkimuksen haastattelut suoritettiin yksilöja parihaastatteluina, joissa menetelmänä käytettiin puolistrukturoitua teemahaastattelua. Näin etukäteen määritellyillä teemoilla haastatteluissa kerätty tutkimustieto kyettiin välittömästi kiinnittämään tutkimusteemoihin (Braun & Clarke 2006). Haastattelun teemat sisältäen myös haastattelukysymykset lähetettiin haastateltaville tutustuttavaksi, jota voidaan pitää suositeltavana toimintatapana tämänkaltaisessa menetelmässä (Tuomi & Sarajärvi 2009, 72-74). Teemat sekä haastattelukysymykset olivat kaikille haastateltaville samat. Tutkimuksessa käytetty haastattelurunko esitetään tämän tutkimusraportin liitteessä 1. 5.3.1 Haastateltavien valinta Tutkimukseen valittiin tutkimuksen perusjoukon muodostavista yrityksistä vähintään yksi henkilö, joka vastasi kyseisen yrityksen riskienhallinnan kokonaisuuden toteuttamisesta ja kehittämisestä sekä jolla oli osaamista kokonaisuudesta laajasti. Tuomi ja Sarajärvi (2009, 85 – 87) korostavatkin, että haastattelututkimuksen tarkoituksena on ymmärtää haastateltavaa sekä kokonaisuutta syvällisesti. Tällöin erityistä huomiota tulee kiinnittää siihen, että haastateltavilla on syvällistä kokemusta sekä osaamista tutkimuksen kohteena olevasta kokonaisuudesta. 52 Näin lopullisten haastateltavien määräksi valikoitui viisi henkilöä. Tutkimusta ohjaava tutkijatohtori hyväksyi haastattelujen lukumäärän ennen haastatteluiden aloittamista. Kaikkien valittujen henkilöiden halukkuus osallistua tutkimukseen selvitettiin ennalta ja kaikki kokivat haastattelun etukäteen mielekkääksi sekä keskusteluiden jälkeen kokivat olevansa yrityksessään sopivia ja oikeita henkilöitä vastaamaan kokonaisuutta koskeviin kysymyksiin. Haastateltavien henkilöiden nimikkeet olivat Head of Risk Management and Insurance, Head of Risk Management, Rahoitusjohtaja, Yritysturvallisuusjohtaja sekä Risk Officer. Seuraavassa taulukossa esitetään haastateltavien demografiset tiedot sekä yksilöidään haastateltavat tunnisteilla H1 – H5. Henkilöiden nimikkeitä ei kuitenkaan yhdistetä taulukossa haastateltavan tunnisteeseen, koska vastaaja olisi tällöin mahdollista yksilöidä. Näin toimittiin, sillä yrityksille luvattiin ennen haastatteluiden tekemistä, että haastattelussa saadut tiedot ovat luottamuksellisia ja tiedot yleistetään tutkimuksen tulosten esittelyssä siten, ettei yksittäinen vastaaja tai organisaatio ole tunnistettavissa. Taulukko 3. Haastateltavien demografiset tiedot 5.3.2 Haastattelukysymysten laadinta Tutkimuksessa tehtiin laaja kirjallisuuskatsaus tutkittavaan kokonaisuuteen ennen haastattelurungon laatimista. Tämän jälkeen hahmotettiin haastatteluihin tarkoituksenmukaiset teemat tutkimuksen viitekehyksen mukaisesti (Tuomi ym. 2009, 75). Tutkimuksen haastatteluteemoiksi muodostuivat näin seuraavat teemat:  Teema 1, Riskienhallintatieto ja tietojohtaminen  Teema 2, Riskienhallintatiedon luominen ja hyödyntäminen  Teema 3, Kehittäminen 53 Kun teemat oli valittu, jokaisen teeman alle laadittiin teemaan soveltuvat haastattelukysymykset, joilla pyrittiin saamaan vastauksia kysymyksiin ”miten” tai ”miksi”. Yin (2003) korostaakin, että, tapaustutkimuksen tavoitteena on pääsääntöisesti vastata aina nimenomaan kysymyksiin ”miten” ja ”miksi”. Teemahaastattelussa haastattelun aihepiirit, eli teemat, määrättiin tutkijan toimesta (Valli & Aaltola 2015, 29). Teemahaastattelussa kysymykset sijoitettiin valitun sekä rajatun teeman sisään. Haastattelussa valituilla teemoilla ja niitä tarkentavilla kysymyksillä pyrittiin ammentamaan haastateltavista tietoa ja pyrittiin vastausten avulla tuottamaan myöhemmin pieni pala ymmärrystä kyseisestä teemasta. Näin pystyttiin rakentamaan tutkimuksen analysointivaiheessa kokonaisvaltainen näkemyksen tutkimuskohteesta. (Kananen 2017, 90 – 91.) 5.3.3 Haastattelujen tekeminen Kaikki neljä haastattelua tehtiin edellä kuvatun haastattelurungon mukaisesti maaliskuussa 2018. Kolme haastattelua toteutettiin kohdeyrityksen tiloissa kasvokkain joko yksilötai parihaastatteluna. Yksi haastattelu jouduttiin sairastapauksen vuoksi toteuttamaan puhelimessa yksilöhaastatteluna. Parihaastattelun haastateltavat olivat kumpikin samasta yrityksestä, joten he tukivat ja täydensivät toistensa näkemyksiä sekä pohtivat yhdessä parasta vastausta kysymyksiin. Haastatteluissa käytettiin tämän tutkimusraportin liitteessä yksi esiteltyä haastattelurunkoa sisältäen haastattelun teemat ja niihin liittyvät kysymykset. Haastattelurunko toimitettiin sähköpostilla haastateltaville etukäteen. Teemahaastattelu eteni siten, että haastattelu aloitettiin yleisellä tasolla yhdestä teemasta ja edettiin jokaisen teeman osalta aina yksityiskohtaisempiin ja tarkempiin kysymyksiin. Haastattelun aikana haastateltava kertoi oman näkemyksensä teemoista kysymysten avulla, eli miten hän ymmärsi, jäsensi, koki tai näki kyseistä aihetta. (Kananen 2017, 97 – 98) Haastatteluissa edettiin pääsääntöisesti haastattelurungon mukaisesti mutta mikäli haastateltavan vastauksista nousi esille uusia asioita tai jotain asiaa tuli tarkentaa, esitettiin haastateltaville henkilöille jatkoja lisäkysymyksiä. Kysymysten järjestys myös vaihteli hieman haastateltavan vastausten ohjatessa loogista järjestystä. 54 Haastateltavien luvalla haastattelut nauhoitettiin sekä litteroitiin myöhemmin tarkan ja yksityiskohtaisen tiedonkeruun varmistamiseksi. Haastattelut kestivät 55 minuutista tuntiin ja kahteenkymmeneen minuuttiin. Haastatteluiden jälkeen voitiin todeta, että haastattelut tuottivat riittävästi materiaalia johtopäätösten tekemiseen. Yksi henkilö oli haastattelijan ennalta tuntema, kaikki muut olivat entuudestaan haastattelijalle tuntemattomia. Haastattelija oli ennen haastatteluita kuitenkin tutustunut tarkasti kyseisiin yrityksiin sekä haastateltavien henkilöiden toimenkuviin ja taustoihin. Haastattelun alussa painotettiin, että haastattelussa saadut tiedot ovat luottamuksellisia ja tiedot yleistetään tutkimuksen tulosten esittelyssä siten, ettei yksittäinen vastaaja tai organisaatio ole tunnistettavissa. Tämä osaltaan auttoi rakentamaan luottamusta haastattelijan ja haastateltavien välillä sekä tuki avointa keskustelua ja luottamusta haastattelutilanteessa. 5.4 Empiirisen aineiston analysointi Analysointivaihe aloitettiin välittömästi aineiston keräämisen jälkeen, joka on parhaan lopputuloksen kannalta perusteltua (Hirsjärvi ym. 2000, 207-209). Analysointivaiheen aluksi haastatteluaineisto muunnettiin ensin kirjalliseen muotoon, eli litteroitiin. Haastattelut litteroitiin mahdollisimman pikaisesti haastattelun jälkeen. Litterointi toteutettiin peruslitterointina, jossa äänite litteroitiin puhekielellä, jota pidettiin riittävänä tasona sekä soveltuvana myös tähän tutkimukseen. Peruslitteroinnissa täytesanat (esimerkiksi äännähdykset ja sanojen toistot) jätettiin kirjoittamatta kuten myös kysyjän myötäilyt. Kanasen (2013, 99) mukaan litteroinnissa onkin tarkkuuden suhteen eri tasoja ja tutkija joutuu ratkaisemaan mitä kaikkea hän litteroi ja miten tarkasti. Hän jatkaa, että, usein riittävää on verrattain karkea litterointitaso, jossa huomioidaan sanottu ytimekkäästi. Täten litteroinnin tarkkuutta tutkimuksessa voitiin pitää riittävänä. Litteroinnin jälkeen aineisto ositettiin eli segmentoitiin, joka tarkoittaa aineiston hajottamista asiasisällön mukaan. Tämä tehtiin käyttäen teoriapohjaisen ja aineistolähtöisen luokittelun yhdistelmää, jossa aineiston analyysi ei suoraan perustunut teoriaan mutta kytkeytyminen käytettyyn taustateoriaan oli kuitenkin selkeästi nähtävissä (Kananen 2013, 104). 55 Aineisto luokiteltiin luokkiin ennalta määritettyjen teemojen mukaisesti, jotka oli määritelty tutkimuskysymysja ongelmalähtöisesti. Näiden luokkien alle muodostettiin myös alaluokat aikaisemman teorian perusteella, jotta teemojen sisällä voitiin toteuttaa tarkempi sisäisen variaation luokittelu ja kuvailu. Aineistossa haastateltaville henkilöille annettiin myös tunnisteet H1-H5, jolla kyettiin takaamaan haastateltavien henkilöiden anonymiteetti mutta yhdistämään kohta kuitenkin tutkimuksessa henkilöön. Analyysi pohjautuu usein käytettyyn haastattelurunkoon mutta tärkeää analysoimisessa on erityisesti tutkijan oma ajattelu tutkittavasta kokonaisuudesta saatuihin tuloksiin perustuen, joten luokittelun pohjautumista etukäteen määriteltyyn teemoihin sekä haastattelurunkoon voidaan pitää tässä tutkimuksessa tarkoituksenmukaisena (Syrjälä ym. 1995). Raakakoodauksen jälkeen aineiston eri segmenttejä yhdistettiin siten, että samaa tarkoittavat asiat kirjattiin yhden tarkemman alaluokan alle. Näin segmentteihin hajotettu aineisto yhdistettiin uudelleen tutkimusongelman ja –kysymysten mukaan, jotta sitä voitiin paremmin tulkita. (Kananen 2013, 103 – 104) Seuraavaksi esitetään esimerkki käytetystä luokittelusta sekä aineiston sijoittamisesta luokittelurungon sisälle. Luokka 1: Teema 1. Riskienhallintatieto ja tietojohtaminen  Alaluokka 1.1: Tiedon merkitys riskienhallinnassa o H1: ”Tietohan on osa kaikkea johtamista, oli se sitten mitä tahansa. Myös riskijohtamista. ” o H2: ” Kaikki riskienhallinta perustuu tietoon. Riskienhallintaa ei voi toteuttaa ilman tietoa siellä takana.” o H5. ”Tieto on riskienhallinnan polttoaine! Tiedon merkitys on erittäin kriittinen, koska kyllähän riskienhallinta perustuu siihen tietoon nimenomaan.” Näin luokittelurungon sekä siihen sijoitetun aineiston avulla aineistosta tehdyille löydöksille voitiin etsiä myös samanaikaisesti tulkintojen tueksi teoriasta selityksiä tai vahvistusta. Samalla tehtiin lisäksi huomioita mahdollisesta empirian vastaamattomuudesta aiempiin tutkimuksiin. 56 Analyysivaiheen lopuksi tulkintaja johtopäätösvaiheessa aineistoa katsottiin nimenomaan tutkimusongelman kannalta siten, että tulkinta tuotti hyvän kuvauksen tutkittavasta ilmiöstä. Tulkintavaiheessa aineisto järjestettiin, niin että tutkijan tekemät johtopäätökset voitiin irrottaa yksittäisestä haastateltavasta, tapahtumasta ja yrityksestä sekä siirtää ne yleisemmälle teoreettiselle ja käsitteelliselle tasolle. Tällöin yksittäisille näkemyksille annettiin laajempi yhteinen tulkinta ja aineistosta nouseville faktoille pyrittiin löytämään yhdistävä tekijä, jonka avulla voitiin antaa laajempi selitys ilmiöstä. (Kananen 2013, 107 - 108) 5.5 Tutkimuksen luotettavuuden arviointi Riippumatta tutkimustavasta kaikissa tutkimuksissa tulee ottaa huomioon tutkimustulosten luotettavuus. Hirsjärven ym. (2009, 213) mukaan tutkimustulosten luotettavuutta arvioidaan validiteetilla sekä reliabiliteetilla. Tutkimuksen validiteetti eli pätevyys tarkoittaa, että tutkimuksessa käytetyllä menetelmällä kyetään tarkastelemaan johdonmukaisesti tavoiteltua kokonaisuutta, eikä tutkimuksen tuloksiin pysty vaikuttamaan asiaankuulumattomat tekijät. Toistettavuus eli reliabiliteetti, kuvaa nimensä mukaisesti puolestaan sitä, miten tutkimuksen avulla voidaan tuottaa järjestelmällisiä tuloksia mahdollisesti myös myöhemmissä samalla tavalla toteutetuissa tutkimuksissa. (Hirsjärvi ym. 2000, 210-213) 5.5.1 Tutkimuksen validiteetti Tutkimuksen validiteettia on pyritty varmistamaan siten, että tutkimuksen käsitteistö on kuvattu johdonmukaisesti tutkimuksen alussa. Lisäksi käsitteistö on esitetty laajasti haastateltaville henkilöille ennen haastatteluita sekä haastatteluiden aikana. Näin varmistettiin, että keskeiset käsitteet on ymmärretty tutkijan sekä haastateltavien osalta samalla tavalla. Keskeiset käsitteet ovat myös yleisesti tutkimuskirjallisuudessa käytettyjä. Lisäksi käsitteitä täydennettiin yleisesti hyväksyttyjen ja laajasti käytössä olevien riskienhallinnan standardien sekä viitekehysten käsitteistöllä, joka on riskienhallinnan vakiintunutta termistöä. Tutkimuksen haastattelukysymykset laadittiin keskeisen käsitteistön sekä tutkimuskirjallisuuden ja tieteellisten artikkeleiden pohjalta. Haastattelukysymykset laadittiin keräämään aineistoa nimenomaisen kyseessä olevan tutkimuksen 63 H5: ”Vahinkoriskit ja sitä kautta turvallisuusriskit meillä hoidetaan turvallisuusyksikön toimesta. Ne eivät ole varsinaisesti riskienhallintaprosessia vaan se on sitä arkista työtä. Ehkä siinä on se asteero, jos me puhutaan näistä tämmöisistä päivittäisistä vahinkoja turvallisuusriskeistä niin ne hoidetaan siellä arjessa poikkeamina. Ne eivät nouse tänne yritystason raportointiin.” Edellä kuvattujen kolmen riskienhallintatiedon merkittävyystason löytyminen oli erittäin mielenkiintoinen uusi havainto, jota ei tutkimuskirjallisuudessa ole aikaisemmin kuvattu. Esimerkiksi tietojohtamisen tutkimukset kuvaavat laajasti miten tärkeää, on tiedon luominen, tallentaminen ja jakaminen sekä hyödyntäminen mutta niissä tutkimuksissa mitä tutkija kävi läpi, ei kuvattu tätä tiedon merkittävyyden huomioonottamista tietojohtamisessa tai tietoprosessien soveltamisessa. Myöskään riskienhallintaan liittyvässä tutkimuskirjallisuudessa tätä tulosta riskienhallintatiedon olemuksesta sekä merkittävyydestä ei ole aikaisemmin raportoitu. 6.1.2 Hiljaisen ja eksplisiittisen riskienhallintatiedon välinen suhde Haastateltavat kuvasivat, että hiljaisen tiedon ja dokumentoidun eksplisiittisen tiedon suhde riskienhallintatiedosta vaihtelee sen mukaan, missä vaiheessa riskienhallintaprosessia sekä esimerkiksi strategiaprosessia asiaa tarkastellaan. H2: ”Riippuu siitä, että missä vaiheessa prosessia katsotaan. Katsotaanko vaikka siinä vaiheessa, kun me ollaan määritelty meidän strategia mutta ei olla vielä aloitettu meidän riskiprosessia. Meillä on tietynlainen vuosisykli riskienhallinnassa, vaikka se tavallaan teoreettisesti onkin jatkuvaa mutta kuitenkin nyt jos keväällä uudistetaan strategia niin sitten kun tavoitteet ovat selkeämmät, me päivitetään yrityksen riskikartta. Eli jos ajatellaan että meillä on tilanne, jossa meillä olisi uudet tavoitteet mutta ei vielä käyty niitä riskikeskusteluja, niin silloin isompi osa niistä riskeistä olisi kirjaamatta mihinkään. Sitten taas jos mennään kesää kohti, niin kyllä ne riskit sitten on kirjattu.” 64 Alavi & Leidner (2001) painottavat, että suurin osa organisaation tiedosta on niin sanottua hiljaista tietoa. Yleisesti onkin arvioitu, että eksplisiittistä dokumentoitua tietoa on vain noin kymmenen prosenttia kaikesta organisaation tiedosta. Haastatteluiden perusteella voidaan kuitenkin todeta, että hiljaisen ja eksplisiittisen riskienhallintatiedon suhde vaihtelee merkittävästi riskienhallintaja strategiaprosessin vaiheen mukaan. Hiljaisen tiedon ja kirjatun eksplisiittisen tiedon suhde riskienhallintatiedosta vaihteli lisäksi hyvin laajasti myös sen mukaan minkä tasoisesta riskienhallintatiedosta oli kyse. Jäävuori ja karikko merkittävyystasolla tietoja pyrittiin saattamaan eksplisiittiseen muotoon enemmän kuin ajopuu ja esteet tasolla, jossa hiljaisen tiedon osuus tiedosta oli suurempi. Poikkeamatasolla puolestaan ehdottomasti suurin osa tiedoista oli kirjaamatta sekä dokumentoimatta ja vain pieni osa tästä tiedosta oli eksplisiittisessä muodossa. H2. ”Siinä mielessä tällä hetkellä voisin ehkä sanoa, että meillä mitä tulee tällaisiin isoihin epävarmuuksiin, niin varmaan 70 prosenttia on kirjattu johonkin. Tällöin 30 prosenttia on kirjaamatta, mutta sitten varmaan kesää kohden, ne sitten taas on kirjattukin ja sitten taas siirrytään uuteen tilanteeseen. Sitten tietysti jos mennään prosesseihin, niin sieltä epävarmuustekijöistä on varmaan dokumentoimatta 60 prosenttia, koska se ei ole ollut samalla tavalla yhtiöriskien fokuksessa. Mitä alemmas mennään taktisempiin, operatiivisempiin asioihin niin sitä suurempi osa tiedosta on kirjaamatta.” Yleisesti hiljaisen tiedon ja kirjatun eksplisiittisen tiedon suhdetta riskienhallintatiedosta haastateltavien oli vaikeaa arvioida. Hiljaista riskienhallintatietoa kuvattiin olevan paljon mutta haastateltavat korostivat, että yrityksen kannalta merkitystä on pääsääntöisesti nimenomaan vain yrityksen kannalta oleellisilla sekä merkittävillä tiedoilla. H5: ”Kaikki ei varmasti tule dokumentoitua. Me pyrimme tunnistamaan, sanotaan 10-15 merkittävintä riskiä kyseisessä toiminnassa tai toimialalla ja sillä tavalla toivon, että me pystymme varmistamaan sen, että meillä on kaikki se oleellinen riskitieto on raportoitu myös näihin riskiraportteihin.” 65 Hiljaisen tiedon merkitys riskienhallinnan onnistumiseen oli kuitenkin selkeästi kaikkien haastateltavien osalta tunnistettu hyvin. Eri yrityksissä hiljaisen tiedon muuttamiseen eksplisiittiseen muotoon oli kuitenkin kiinnitetty hyvin erilailla huomiota ja yritykset olivat hyvin eri tasolla asian suhteen. Orlikowski (2002) kuvaakin, että hänen havaintojen mukaan, organisaatioissa tiedonjakamisen parhaisiin menetelmiin ja käytäntöihin tulisi kiinnittää toiminnassa hyvin usein paljon enemmän huomiota. H2: ”Meillä ei ole mitään tietokantaa tai vastaavaa mihin ihmiset itse kirjaisivat hiljaista tietoa, että minua huolestuttaa tämä.” H3. ”Meillä on nimenomaan semmoinen työkalu tai prosessi, millä hiljaista tietoa pyritään poimimaan organisaatiosta, saada se kirjattua, saada se mukaan prosessiin ja saada käsiteltyä se. Meillä on luotu malli, jossa lähdetään ajatuksesta, että kun tunnet, että jossain on jotain ongelmia, niin ne käsitellään. Prosessin nimi on riski-imuri. Siinä kerätään pienempiäkin asioita ja niistä punostuu kokonaisuus.” 6.2 Tietoprosessien hyödyntäminen riskienhallinnassa Tässä kohdassa käsitellään tutkimuksen empiirisen aineiston perusteella yksilöiden merkitystä riskienhallinnan tietoprosesseissa ja riskienhallinnan tietoprosessien organisoimista, riskienhallinnan tietotarpeita sekä varsinaisia riskienhallinnan tietoprosesseja. Tietoprosesseja tarkastellaan Alavin ja Leidnerin (2001) tekemän jaon mukaisesti, jossa tietoprosessit jaetaan tiedon luomiseen, tallentamiseen, jakamiseen sekä hyödyntämiseen. Tietotarpeet ohjaavat näitä prosesseja (Alavi ym. 2001, Choo 2002, Haney 2006 sekä Evans ym. 2014). Tästä johtuen tässä luvussa selvitetään myös riskienhallinnan tietoprosessien tietotarpeita. Tutkimuskirjallisuuden mukaan yksilöillä on myös suuri merkitys organisaatiotason tietoprosessien toteuttamisessa (mm. Chowdhury 2005, Levina & Vaast 2006, Wagner & Buko 2005, Brown & Duguid 1991 sekä Cook & Brown 1999). Tämän vuoksi tässä kohdassa tarkastellaan lisäksi yksilöiden merkitystä riskienhallinnan 66 tietoprosesseissa. Tietoprosessien tehokkaan toiminnan kannalta on myös kriittistä, että organisaation johtaminen ja kulttuuri sekä infrastruktuuri tukevat tiedon luomista organisaatiossa (mm. Choo & de Alvarenga Neto 2010 sekä Inkinen 2016). Täten tässä kohdassa selvitetään lisäksi tietojohtamisen käytänteistä riskienhallinnan tietotoprosessien organisoimista. 6.2.1 Yksilöiden merkitys riskienhallinnan tietoprosesseissa Tehdyissä haastatteluissa tuli selvästi ilmi yksilön keskeinen merkitys erityisesti riskienhallintatiedon luomisessa ja hyödyntämisessä. Yleisesti yksilöillä kuvattiin olevan tietoprosesseissa erittäin suuri ja ratkaiseva merkitys. Yksilön merkityksen nähtiin olevan kuitenkin laajasti sidoksissa tiedon merkittävyyden ja tärkeyden tasoon yrityksen näkökulmasta tarkasteltuna. Toisaalta siis koettiin, että kaikilla yksilöillä on merkitystä varsinkin riskienhallintatiedon luomisessa ja hyödyntämisessä mutta suurin merkitys kuvattiin olevan yksilöillä, jotka ovat vastuussa yritysten isoista kokonaisuuksista. H5: ”Jos katsotaan, että kaikki ovat työntekijöitä, niin kyllä johdolla ja avainasiantuntijoilla on suurin merkitys, että me tunnistetaan meille ne oleelliset riskit. Ne jotka ovat organisaatiossa siinä asemassa, että omista yksiköistään ovat velvollisia nostamaan esiin näitä asioita ja keitä näissä asioissa yleensäkin lähestytään, ovat johtoryhmän jäseniä eri puolella organisaatiota sekä ketjujohtajat ja tämän tyyppiset.” Edellä mainittua seikkaa tukee Nonakan & Takeuchin (1995) sekä Castellsin (2000) tutkimustulos, jonka mukaan suurin osa organisaation tiedosta perustuu yksilöiden henkilökohtaisiin kokemuksiin ja tätä kautta yksilöiden hiljainen tieto on aina merkittävässä asemassa kun tarkastellaan organisaation tietopääomaa. Myös Chowdhuryn (2005) mukaan tiedonjakaminen alkaa aina yksilötasolta ja leviää laajempiin yhteisöihin. Levina & Vaast (2006) toteavatkin, että tieto itsessään ei ole siirron kohde, vaan tiedon siirtäminen tapahtuu prosessina, johon liittyy suuressa määrin ihmisen toiminta. Myös Griffin, Dunwoody ja Neuwirth (1999) ovat todenneet, että kaikissa asiaa koskevissa tutkimuksissa on yhteistä se, että ne korostavat nimenomaan yksilön merkitystä riskienhallintatiedon perustana, 67 jolloin tärkeää on ymmärtää riskienhallintatiedon muodostaminen organisaatiossa erityisesti alhaalta-ylöspäin etenevänä prosessina. Haastatteluiden perusteella voidaan kuitenkin todeta, että riskienhallintatiedon osalta kaikilla yksilöillä ei ole yhtä suurta merkitystä. Tutkimustuloksen mukaan erityisesti johdolla sekä asiantuntijoilla, jotka vastaavat yritysten laajoista kokonaisuuksista on suuri merkitys, kun tarkastellaan yrityksen kannalta merkittävän riskienhallintatiedon luomista sekä hyödyntämistä. Täten tässä tutkimuksessa saatu tulos täsmentää tietojohtamisen näkökulmasta aikaisempia tutkimustuloksia yksilön merkityksestä riskienhallinnassa. 6.2.2 Riskienhallinnan tietoprosessien organisoiminen Sen lisäksi, että yksilöillä nähtiin olevan kriittinen merkitys riskienhallinnan tietoprosessien toteuttamisessa, haastateltavat näkivät organisaation olevan laajasti vastuussa tietoprosessien toimivuudesta sekä toteuttamisesta. H4: ”Periaatteessa koko organisaatio on riskienhallintatoimintoa ja riskienhallinta on kiinteä osa johtamista.” Haastatteluiden perusteella oli kuitenkin tunnistettavissa selkeitä organisaation osia, joille riskienhallintatiedon tietoprosessien vastuut erityisesti kuuluvat. Riskienhallintatiedon tietoprosessien kokonaisuuden toimivuuteen liittyvät periaatteet päätti sekä hyväksyi kaikissa yrityksissä hallitus. Hallituksen roolina oli myös aina tarkastella riskienhallintatietoja kokonaisuutena. Hallituksen roolina oli kuitenkin vain rajallisesti itse luoda riskienhallintatietoa. Hallitus ei siis oikeastaan tuota riskienhallintatietoa vaan on enemmän vastaanottajana ja tuotetun riskienhallintatiedon kommentoijana sekä hyväksyy riskienhallinnan järjestämistavan. H2: ”Hallitus istuu riskienhallinnan ylätason ohjaavien periaatteiden päällä, vahvistaa riskienhallinnan arviointiskaalat ja katsoo riskikuvaa kokonaisuutena mutta ei oikeastaan tuota riskienhallintatietoa vaan on tavallaan vastaanottajana ja kommentoijana.” 68 Hallitukseen riskienhallintatieto päätyi yleisemmin hallituksen tarkastusvaliokunnan tai auditointikomitean kautta. Tarkastusvaliokunta tai auditointikomitea käsitteli riskienhallintatietoa kuitenkin selvästi useammin kuin hallitus. Hallitukseen riskienhallintatieto vietiin kerran vuodessa mutta tarkastusvaliokunta tai auditointikomitea tarkasteli luotuja riskienhallintatietoja useimmiten kvartaaleittain. Lisäksi valiokunnat ja komiteat antoivat riskienhallintatiedoista palautetta, pyysivät lisäselvityksiä sekä tarkastelivat tiedon laatua sekä riittävää laajuutta. H1: ”Me viemme varsinaiseen hallitukseen riskit kerran vuodessa. Hallituksen auditointikomitean tehtävä on nimenomaan kvartaaleittain katsoa sitä meidän raportointia. Siellä sitten komitea antaa palautetta, pyytää lisäselvityksiä tai heilläkin on roolinsa katsoa, puuttuuko heidän mielestä sieltä jotain, onko joku huonosti tehty tai muuta.” Toimitusjohtaja vastasi yrityksissä kokonaisuutena siitä, että riskienhallinnan tietoprosessit toimivat hallituksen antamien linjausten sekä periaatteiden mukaisesti. Toimitusjohtaja vastasi myös usein riskienhallinnan strategioiden, prosessien ja painopisteiden käytännön määrittämisestä. H5: ”Toimitusjohtaja vastaa tietysti kokonaisuudessa siitä, että meillä on riskienhallinta kunnossa. Hän vastaa siitä nimenomaan yrityksen hallitukselle.” Yrityksen johtoryhmän vastuuna oli tukea toimitusjohtajaa konsernin johtamisessa sekä hallituksen kokouksiin liittyvien kokonaisuuksien valmistelussa. Näitä kokonaisuuksia olivat esimerkiksi sisäinen valvonta ja riskienhallinnan järjestäminen. Yrityksen varsinainen riskienhallinnan vastuu olikin käytännössä usein delegoitu jollekin johtoryhmän jäsenelle, useimmiten taloustai rahoitusjohtajalle. H5: ”Konsernin johtoryhmästä talousjohtaja vastuulle kuuluu riskienhallinta johtoryhmän jäsenenä. Tarkastusjohtaja on sitten myös riskienhallinnasta vastaava johtaja ja sen tarkastuksen voi nyt jättää tässä sivuun. Sillä ei sinänsä ole merkitystä vaan hän vastaa myös riskienhallinnasta ja raportoi sitten riskienhallinnan osalta talousjohtajalle.” 69 H3: ”Jos mietitään organisaatiotason riskienhallintaa ja jos vastuun johonkin pitää kohdistua, niin se on rahoitusjohtaja.” Haastatteluiden perusteella johtoryhmien muut jäsenet vastasivat omien toimintojensa tavoitteista ja heidän vastuulla oli myös ymmärtää näiden toimintojen tavoitteita uhkaavat riskit. He toimivatkin aktiivisessa roolissa tuottamassa riskienhallintatietoa oman vastuualueensa osalta. Johtoryhmän vastuulla oli myös tarkastella yrityksen riskienhallintatiedon kokonaisuutta sekä arvioida ja seurata riskienhallintatietoa, joka liittyi koko yrityksen tavoitteisiin. H1: ”Sitten minä vedän yhteen meidän Suomi-tason riskiraportteja, jotka käsitellään johtoryhmän kanssa. Johtoryhmän kanssa skaalataan ja katsotaan, että miltä se meidän riskienhallintatiedon maailma näyttää.” Riskienhallinnan tietoprosessien käytännön koordinoimisesta sekä toteuttamisesta vastasi kaikissa paitsi yhdessä yrityksessä nimetty riskienhallintatiimi, -toiminto tai -asiantuntija. Heidän tehtävänä oli riskienhallintaprosessien ylläpitäminen, seuranta ja kehittäminen yrityksen johdon tekemien linjausten mukaisesti. Heidän tehtävänä oli myös riskienhallinnassa tukeminen sekä riskienhallintatiedon keskitetty kerääminen eri toiminnoista sekä yhteensovittaminen ja tiedon yhteismitallistaminen. Lisäksi usein tehtävänä oli myös riskienhallintaan liittyvien hallintatoimenpiteiden keskitetty seuraaminen. H5: ”Sitten meillä on riskienhallintayksikkö, joka tukee tätä toimintaa. Siihen kuuluu esimerkiksi ERM-prosessi plus sitten kvartaaliriskien arviointija raportointiprosessi. Lisäksi tehdään toimenpiteiden vaikuttavuusseurantaa. Seuraamme toimenpiteitä keskitetysti, että sekin on riskienhallinnan tehtävä fasilitoida ne keskustelut sekä huolehtia että riskejä sekä toimenpiteitä seurataan. Riskienhallinnalla on näkymä kaikkiin niihin toimenpiteisiin ja raportoidaan itse asiassa niihin priorisoituihin riskeihin liittyen myös hallitukselle asti, että mitkä ne toimenpiteet ovat ja mikä niiden status on. ” Riskienhallintaan liittyvien hallintatoimenpiteiden toteuttamisen vastuu ei kuitenkaan koskaan kuulunut nimetylle riskienhallintatiimille, -toiminnolle tai - asiantuntijalle vaan hallintatoimenpiteen toteuttamisen vastuu kuului aina 70 liiketoiminnallisessa vastuussa olevalle toiminnon tai prosessin omistajalle. H2: ”Riskienhallintatiimi tukee ja riskienomistajat nostaa ne asiat esiin mutta sitten hallinta vastuu siirtyy enemmän sille riskin toimenpiteen omistajalle siinä riskinhallintavaiheessa mutta edelleenkin riskitiimi tietenkin tukee. Toimenpiteiden toteutuksen vastuu tulee olla ehdottomasti jossain muualla kuin riskitiimillä. Mutta sitten koottu seurantavastuu kyllä edelleenkin jää riskitiimille.” Sisäisen tarkastuksen vastuulla puolestaan oli riskienhallintakokonaisuuden tehokkuuden, toimivuuden, luotettavuuden sekä asianmukaisuuden varmistaminen. Sisäinen tarkastus raportoi ensisijaisesti hallitukselle sekä johtoryhmälle mutta sisäinen tarkastus teki riskienhallintaan liittyen yhteistyötä myös suoraan nimetyn riskienhallintatiimin, -toiminnon tai -asiantuntijan kanssa, jotta riskienhallinnan kokonaisuudessa puutteet kyettäisiin korjaamaan nopeammin. H1: ”Myös sisäisellä tarkastuksella on roolia. Sisäinen tarkastus on täysin riippumaton, sehän raportoi suoraan hallitukselle. Mutta kyllä me hyödynnetään toisiamme, että minä saan tietoa sisäisestä tarkastuksesta. Minä saan tietoa, kun he tekevät tarkastuksen, jos sieltä löytyy jotain, niin he voivat tulla kertomaan siitä. He raportoivat löydöksistään myös johtoryhmälle. Me olemme samaan aikaan johtoryhmässä ja he kertovat omat sisäiset tarkastukset. Me katsotaan yhdessä, että meillä toimii nämä systeemit. Silloin päästään suoraan ja nopeammin korjaaviin toimenpiteisiin, kuin että se kiertää aina hallituksen kautta.” Varsinainen vastuu riskienhallinnan tietoprosessien käytännön toteuttamisesta oli luontaisesti yritysten liiketoiminnoista vastaavilla henkilöillä. He vastasivat oman toimintonsa riskien arvioimisesta sekä niiden hallinnasta annetun ohjeistuksen sekä prosessin mukaisesti. He myös priorisoivat riskit, resursoivat sekä vastuuttivat hallintatoimenpiteet kyseisen toiminnon sisällä. Lisäksi heidän tehtävänä oli seurata riskienhallintatoimenpiteiden toteuttamista sekä jakaa riskienhallintatietoa eteenpäin yrityksessä mm. nimetylle riskienhallintatiimille, - toiminnolle tai -asiantuntijalle. 71 H3: ”Me on lähdetty sellaiseen ratkaisuun, että me viedään tekemisen vastuu organisaatioon. Se menee aika paljon siihen, että meidän liiketoiminnassa ajatellaan, ne ketkä tekee sitä liiketoimintaa, niiden velvollisuus on huolehtia siitä, että liiketoiminta on tervettä. Yksi osa sitä terveyttä on se, että siellä on keskeiset riskit hallittu, ymmärretty ja kommunikoitu.” Yritysten riskienhallinta sekä riskienhallinnan tietoprosessien vastuut olivat siis sidottuja hyvin pitkälle normaaleihin organisaatiorakenteisiin sekä työn organisoimiseen. Organisoiminen oli myös toteutettu tietojohtamisen näkökulmasta tarkoituksenmukaisesti, sillä organisointi mahdollisti riskienhallintatiedon luomisen, jakamisen sekä hyödyntämisen osana normaalia toimintaa. Hussinki ym. (2017) korostavatkin, että organisaation rakenteiden tulee tukea tiedon laaja-alaista jakamista ja rakenteiden tulee mahdollistaa sosiaalisia vuorovaikutustilanteita yli tietoja osaamisrajojen. Näin myös organisaation tietoprosessit toimivat tehokkaammin koko organisaatiossa. Nimetyn riskienhallintatoiminnon vastuulla olikin pääasiassa varmistaa sekä tukea tiedon laaja-alaista jakamista sekä siirtämistä yli organisaatiorakenteiden. Varsinainen riskienhallintatiedon luominen ja hyödyntäminen oli kuitenkin aina vastuutettu varsinaisten liiketoimintojen normaaleihin rakenteisiin. Haastatteluiden perusteella voidaan myös todeta, että yritysten riskienhallintatiedon luomisen sekä hyödyntämisen vastuut noudattavat hyvin The Institute of Internal Auditorsin vuonna 2013 kehittämää kolmen puolustuslinjan mallia, joka perustuu kolmeen eri tason puolustuslinjaan. Erityisen hyvin yritysten riskienhallintatiedon luomisen sekä hyödyntämisen vastuut noudattavat kuitenkin viiden varmistuslinjan mallia. Tämä johtuu siitä, että haastatteluiden mukaan yrityksen ylimmällä johdolla ja hallituksella oli huomattavasti isompi sekä aktiivisempi rooli kuin kolmen puolustuslinjan malli kuvaa sekä edellyttää. (Hanlon & Leech 2013) 72 Haastatteluiden perusteella voidaan lisäksi todeta, että Pekin (2017) laatima jalostettu riskienhallinnan varmistuslinjamalli kuvaa hyvin riskienhallinnan vastuut ja roolit suomalaisissa pörssiyrityksissä. Malliin on yhdistetty ISO 31000riskienhallintastandardin, COSO ERM-viitekehyksen, riskienhallinnan kolmen puolustuslinjan mallin ja riskienhallinnan viiden varmistuslinjan mallin sekä Suomen arvopaperimarkkinalain, kirjanpitolain, osakeyhtiölain ja hallinnointikoodin vaatimukset riskienhallinnan vastuista. Täten voitiin todentaa sen soveltuvan, kansainvälisten paljon tunnettujen mallien lisäksi, siis erinomaisesti nimenomaan suomalaisten pörssiyritysten riskienhallinnan organisoimisen malliksi. Mitkään edellä mainituista riskienhallinnan malleista eivät kuitenkaan ottaneet huomioon sitä, että yrityksissä tehdään nykyisin myös paljon projekteja, jotka saattavat olla yrityksen toiminnan kannalta hyvinkin merkittäviä. Tätä kautta luonnollisesti myös projekteista vastaavilla henkilöillä oli merkittäviä vastuita riskienhallinnan tietoprosessien käytännön toteuttamisessa. Tämän voidaan todeta olevan tärkeä havainto, joka tulee ottaa jatkossa paremmin huomioon eri riskienhallintamalleja sekä tietoprosesseja kehitettäessä. H2: ”Meidän projekteissa on tietty elinkaari, jossa projektit kulkevat tiettyjen porttien läpi ja näissä porteissa on sitten aina tietynlainen määritelty riskitarkastus. Projektipäällikkö joutuu tekemään formaalin riskisuunnitelman ja miettimään, että mitä riskejä siihen projektiin kuuluu. Tämän jälkeen me katsomme sitä myös omasta näkökulmastamme.” H2: ”Isojen projektien osalta riskientunnistus perustuu ryhmätyöluontoiseen harjoitukseen, jossa avataan tietokanta, johon kaikki pystyy tuottamaan niitä riskiesimerkkejä ja riskienhallinnan toimenpiteitä. Sitten on myös joitain alueita, joissa on tietty nimetty projektin vastuuhenkilö, joka kerää sitten siltä omalta porukalta sen riskitiedon ja siirtää tiedon sitten riskitiimille.” 6.2.3 Riskienhallinnan tietoprosessien tietotarpeet Riskienhallintaan liittyviä tietoprosesseja ohjasivat tietotarpeet, jotka eri yrityksillä olivat kuitenkin keskenään hyvin erilaisia. Tietotarpeiden kuvattiinkin olevan aina sidoksissa yritykseen sekä yrityksen sisällä myös henkilöiden tehtäviin. 79 H1: ”Suurin haaste on se, että meillä ei ole minkäänlaista työkalua tiedon tallentamiseen sekä jakamiseen. Me tehdään kaikki ihan manuaalisesti.” Haastatteluiden aikana tuli kuitenkin ilmi, että osa yritysten riskienhallintatiedoista on myös sellaisia joita ei voida tallentaa yrityksen tietojärjestelmään ja jakaa sekä siirtää sitä kautta. H3: ”Osa riskienhallintatiedosta on semmoista, että niihin liittyvät asiat halutaan pitää hyvin pienen piirin tiedossa. Siellä on ihan ytimeen meneviä asioita, joita ei haluta tallentaa tämmöiseen tietojärjestelmään.” Teknologioiden avulla voitaisiin huomattavasti tehostaa organisaation riskienhallintatiedon tallentamista ja jakamista sekä kehittää tiedon laadukkuutta päätöksenteon tukena. Tämän tutkimuksessa tunnistetun tarpeen pohjalta yritysten olisi varmasti tarve lisätä informaatioteknologiaa riskienhallinnan toteuttamisessa. Tätä havaintoa tukee Inkisen (2016) tutkimustulos tietojohtamisen käytänteistä, jonka mukaan informaatioteknologiaa tulee hyödyntää tehokkaasti organisaation tietoresurssien tehokkaassa käytössä. Riskienhallintatiedon tallentamisessa tärkeänä nähtiin erityisesti se, että riskienhallintatieto saadaan tallennettua yhteisellä sekä yhteisesti sovitulla tavalla. Tässä tavoitteessa onnistumisessa erityisesti riskienhallintatoiminnon konsultoiva sekä kouluttava toiminta korostui. H1: ”Minun tehtävä on briiffata, sparrata, viedä tätä riskijohtamisajattelua eteenpäin, opettaa niitä tallentamaan se tieto siihen dokumentaatiomuotoon niin, että me saadaan yhteismitallistettua se.” Haastateltavat korostivat, että riippumatta käytetystä tallentamisen sekä jakamisen menetelmästä, riskienhallintatiedon siirtämisessä ja jakamisessa tärkeää on se, että riskienhallintatieto nousee yrityksessä alhaalta ylöspäin. Näissä alhaalta ylöspäin etenevissä tallentamisen sekä jakamisen prosesseissa riskienhallintatiedon kuvattiin jalostuvan sekä tiivistyvän kaikilla yrityksen tasoilla. Griffin ym. (1999) toteavatkin, että on tärkeää ymmärtää riskienhallintatiedon muodostaminen sekä jakaminen erityisesti alhaalta-ylöspäin etenevänä 80 prosessina ja kehittää jakamisen prosessia tältä pohjalta. Yritykset kokivat kuitenkin lähes yhtä tärkeäksi sen, että tallentamisen jälkeen riskienhallintatietoa jaetaan sekä siirretään myös ylhäältä alaspäin ja tämä jakamisprosessin suunta huomioidaan toiminnassa myös. H5: ”Riskiraportointiprosessissa tieto tulee sieltä toiminnoista ja liiketoiminnasta eli tavallaan alhaalta ylöspäin. Se kerätään hallitukselle ja tiivistetään. Pyritään tiivistämään suurimmat riskit, jotka nousevat meidän riskikartalle. Sanoisin että meillä pyörii noin 100 riskiä, josta me valitaan se mitä hallitukselle raportoidaan. Hallituksella raportoidaan maksimissaan 20 riskiä. Se menee alhaalta ylöspäin mutta sitten se valuu ihan samalla tavalla ylhäältä alaspäin. Hallitukselta tai pääjohtajalta tulee kyllä toimeksiantoja ja sitten jos hallituksen painotukset jonkun riskin osalta muuttuu tai siellä tunnistetaan joku riski, jota ei ole liiketoiminnassa tunnistettu niin se valuu kyllä sitten sen kyseisen toimialan riskikartalle.” Vertikaalisen riskienhallintatiedon jakamisen lisäksi, aivan kriittiseksi koettiin myös horisontaalinen riskienhallintatiedon tallentaminen sekä jakaminen. Yritysten liiketoimintojen sekä riskienhallinnan vastuuhenkilöillä olikin vastuu koostaa riskienhallintatietoa horisontaalisesti kyseisen toiminnon sisällä. Riskienhallintatietoa tallennettaessa sekä jaettaessa laajemmin horisontaalisesti yli toimintorajojen sekä jaettaessa kokonaisvaltaista riskienhallintatietoa vertikaalisesti ylöspäin, päävastuu oli yrityksissä nimetyllä riskienhallintatiimillä, - toiminnolla tai -asiantuntijalla. H2: ”Riskiraportointia horisontaalisesti yli toimintorajojen ja vertikaalisesti jos puhtaasti miettii, niin se on meidän riskienhallintatiimin tehtävä. Eli kaikki johtoryhmäraportointi ja tiedon jakaminen tapahtuu meidän riskienhallintatiimin kautta.” 81 6.2.6 Riskienhallintatiedon hyödyntäminen Kaikki tietoprosessien vaiheet ovat tärkeitä mutta tietoprosessien viimeinen vaihe, eli tiedon hyödyntäminen, on ehdottomasti kaikista tärkein tietoprosessi, sillä se on kaikkien tietoprosessien lopullinen tarkoitus (Alavi ym. 2001). Haastatteluiden perusteella näin nähtiin olevan myös riskienhallintatiedon osalta, erityisesti silloin kun tietoa kyettiin hyödyntämään tehokkaasti johtamisessa sekä päätöksenteossa. Tämä hyödyntämisvaiheen tärkeys sekä linkittyminen johtamiseen sekä päätöksentekoon on havaittavissa myös riskienhallinnan yleisessä tavoitteessa, jonka mukaan riskienhallinnan tehtävänä on ennen kaikkea luoda sekä suojella yrityksen arvoa ja maksimoida yrityksen voittoja (mm. Dionne 2013, Frigo & Anderson 2011, Andersen 2008). Haastatteluiden perusteella riskienhallintatietoa hyödynnettiinkin yrityksissä laajasti päätöksenteossa sekä normaalissa toiminnassa ja johtamisessa. Eniten riskienhallintatietoa hyödynnettiin yrityksen johtoryhmässä sekä liiketoimintojen johtoryhmissä. H2: ”Johtoryhmät hyödyntävät riskienhallintatietoa. Johtoryhmiä on hyvin eri tasolla, on esimerkiksi konsernin johtoryhmä ja liiketoimintojen johtoryhmät.” Tavoite riskienhallintatiedon hyödyntämisessä yrityksissä oli, että tietoja hyödynnettäisiin ennakoivasti päätöksiin sekä tavoitteisiin eikä riskienhallintatietoa tuotettaisi vasta päätösten sekä tavoitteiden asettamisen jälkeen. Tämän perusteella nähtiin, että yrityksissä kyetään tekemään tietoisempia sekä parempia päätöksiä, joissa kaikki näkökulmat on otettu huomioon. H2: ”Riskienhallintatietoa hyödynnetään päätöksenteossa sekä normaalissa toiminnassa ja johtamisessa. Ideaalitilanne tietysti on se, että riskienhallintatieto vaikuttaa päätöksentekoon ja tavoitekantaan. Eli silloin kun käydään strategisia tavoitteita läpi, niin toive olisi tietysti, että katsotaan tavoitteet sekä mitä epävarmuustekijöitä niihin liittyy. Sen perusteella tehtäisiin tietoisempia päätöksiä.” 82 Haastateltavat myös kuvasivat, että mitä merkityksellisemmästä riskienhallintatiedosta yrityksen toiminnalle on kyse, sitä enemmän ja korkeammalla tasolla kyseistä riskienhallintatietoa hyödynnetään johtamisessa sekä päätöksenteossa. H1: ”Kun tullaan hyödyntämisen puoleen, mitä merkittävämpi se riski on, sitä enemmän se kiinnostaa koko konsernia.” Haastatteluissa tuli lisäksi ilmi, että mitä merkittävimmästä riskienhallintatiedosta oli kyse, sitä keskitetymmin kyseistä tietoa hyödynnettiin. Tällä tavalla toimimalla pyrittiin varmistamaan, että riskienhallintatietoa varmasti hyödynnetään ja riski saadaan hallittua tehokkaasti. Mikäli riskienhallintatieto puolestaan liittyi vain yhteen yrityksen liiketoimintoon, hyödynnettiin riskienhallintatietoa vain kyseisen toiminnon sisällä. H3: ”Se vähän riippuu siitä, mikä on mielekkäin ja järkevin tapa toteuttaa hyödyntämistä. Jos on iso asia, se vedetään hyvin keskitetysti. Sitten taas jossain tilanteessa, jos se kohdistuu vain yhteen yksikköön, niin sitten ne tekevät vain itse, perästä ehkä katsotaan että mitä saitte valmiiksi.” 6.2.7 Sidosryhmät riskienhallinnan tietoprosesseissa Yritysten sidosryhmiä ja keskeisiä sopimuskumppaneita ei haastatteluiden perusteella juurikaan osallistettu riskienhallinnan tietoprosesseihin. Vain yksi haastateltava toi selkeästi ilmi, että mikäli kyseessä oli merkittävä kumppani, riskienhallintatietoa esimerkiksi luotiin yhdessä. Jos sidosryhmiä ja kumppaneita tällöin osallistettiin, se vaihteli sen mukaan miten merkittävästä sidosryhmästä tai kumppanista oli kysymys. Kaikki yritykset olivat kuitenkin edellyttäneet tiettyjen toimintaperiaatteiden noudattamista kumppaneiltaan. Nämä toimintaperiaatteet liittyivät kuitenkin useimmiten turvallisuuskäytäntöihin sekä lainmukaisuuden ja asiallisuuden varmistamiseen, eivät niinkään riskienhallinnan tietoprosesseihin osallistumiseen. 83 H2: ”Emme varmaan hirveän paljon ulkoisia kumppaneita osallista sinänsä riskienhallintaan mutta edellytämme tiettyjä toimintaperiaatteita näiltä kumppaneilta. Esimerkiksi ICT-palveluiden tuottajilta edellytetään tietoturvakäytänteet, jotka ovat tietoturvariskihallintaa tai sitten, jos me toimitaan raaka-ainetoimittajien kanssa, niin heidän pitää allekirjoittaa Code of Conduct, joka on sitten taas compliance riskienhallintaa.” Yritykset näkivät kuitenkin selkeän tarpeen riskienhallinnan tietoprosesseihin liittyvän yhteistyön kehittämiselle sidosryhmien kanssa. H5: ”Seuraava askel on yhteistyön tiivistäminen. Kun on molemmin puoleinen intressi ja sitten tämä digihomma tuo mukanaan sen, että ollaan enemmän ja enemmän naimisissa niiden yhteistyökumppanien kanssa ja sillä tavalla kaikki tapahtuu nopeasti ja on pitkälle läpinäkyvääkin, niin se tarve sille yhteiselle riskien arvioinnille näissä toimitusketjuissa ja keskinäisissä riippuvuuksissa, niin se on minun mielestä jo lisääntynyt ja siihen pitääkin kiinnittää huomiota.” Haastatteluissa nousi myös selkeästi esille, että yritysten riskienhallinta sekä siihen liittyvät riskienhallintatieto kiinnosti kuitenkin yritysten omia merkittäviä sekä suuria asiakkaita. Velvollisuus raportoida riskienhallinnasta sekä siihen liittyvästä riskienhallintatiedosta asiakkaille olivat lähinnä kilpailutukseen sekä sopimuksiin liittyviä velvoitteita. H1: ”Meillä on semmoisia asiakkuuksia, joille meidän riskienhallinta on asiakkaille ihan oleellinen. Suurin osa esimerkiksi kilpailutuskysymyksistä liittyy riskienhallintaan ja sen järjestämiseen.” H3: ”Riskeistä on myös joissain tapauksissa velvollisuus raportoida asiakkaalle. Näissä ehkä eniten julkisen hallinnon sopimuksissa, mutta on yksityisen puolenkin isommilla asiakkailla.” 84 6.3 Riskienhallintatiedon luomisen sekä hyödyntämisen kehittäminen 6.3.1 Suurimmat kehittämistarpeet Suurimpana riskienhallinnan kehittämistarpeena haastateltavat näkivät yrityskulttuurin kehittämisen, joka tukisi riskienhallintatiedon luomista ja hyödyntämistä aiempaa laajemmin. Kouluttaminen sekä ymmärryksen kasvattaminen nähtiin tähän yhtenä ratkaisukeinona. Samaan aikaan kuitenkin epäiltiin, etteivät yrityksen työntekijät omatoimisesti ala riskejä dokumentoimaan, vaan tarvitaan nimetty riskienhallintatoiminto riskienhallintatiedon luomista ja hyödyntämistä edesauttamaan. Näiden ohella korostettiin myös selkeän vastuuttamisen sekä velvoittamisen kehittämisen tärkeyttä. H1: ”Kulttuurin muuttamisessa koulutus ja semmoiset pehmeät ja kivat jutut on yksi osapuoli. Mutta tärkeätä on myös vastuuttaminen ja velvoittaminen. Eli meillä on riskienhallinnan näkökulmasta myös vastuita kuvattu ihmisille aseman perusteella.” H2: ”Jos riskienhallintatiimi ei niitä riskejä kartoita ja vaadi riskien kuvaamista, niin ei kukaan sitä oma-aloitteisesti lähde tekemään. Mutta ei varmaan missään vaiheessa, en voi realistisesti ajatella, että tulisi sellainen tilanne, että ihmiset alkaisivat itsekseen niitä riskejä listata. Kouluttaminen sekä ymmärryksen kasvattaminen on yksi ratkaisukeino tähän mutta se ei silti yksinään riitä.” Myös Choo & de Alvarenga Neto (2010) korostavat organisaation sosiaalista kulttuuria ja käyttäytymistapoja tiedon luomisen mahdollistavina tekijöinä. Nämä kokonaisuudet tulisi ottaa huomioon ja niitä tulisi johtaa siten, että ne mahdollistavat organisaation tietoprosessien tehokkaan toimimisen kaikilla tiedon luomisen sekä hyödyntämisen tasoilla (yksilö, ryhmä ja organisaatio). Ståhlen ja Grönroosin (2000) mukaan tiedon luominen sekä hyödyntäminen eivät kuitenkaan tapahdu vain menetelmien sekä teknisten järjestelmien avulla vaan tiedon luomista ja hyödyntämistä tulee johtaa sekä tukea systemaattisesti. Inkisen (2016) mukaan organisaation tietovarastoa sekä -pääomaa voidaan kehittää nimenomaan yksilöiden kouluttamisella sekä kehittämisellä. 85 Tietojohtamisen käytänteiden näkökulmasta koulutuksessa sekä kehittämisessä tulee tällöin ymmärtää tämä tiedon elementti ja koulutus tulee suunnitella ennakoivasti sekä systemaattisesti tästä näkökulmasta. Kahlor ym. (2006) korostavat kuitenkin, että yleisluonteisen riskienhallintatiedon osalta, joka ei kohdistu suoraan yksilöön itseensä, riskienhallintatiedon luomisessa ja hyödyntämisessä kaikkein merkittävin tekijä on organisaation asettamien normien sekä vaatimusten vahvuus. Tämä tukeekin haastatteluissa esiin noussutta näkökulmaa, ettei pelkkä kulttuurin ja koulutusten kehittäminen ole riittävä kehittämistoimenpide. Riskienhallinnan kehittämisessä tulee siis huomioida myös edellä haastateltavien mainitsema vastuuttamisen sekä velvoittamisen kehittäminen. Toisena merkittävänä kehittämistarpeena koettiin olevan tiedon luotettava ja henkilöriippumaton dokumentoiminen. Tässä kaivattiin erityisesti yrityksen yhteistä tietojärjestelmää, jossa myös tiedon hyödyntäminen sekä riskienhallintaan liittyvien hallintatoimenpiteiden seuraaminen olisivat kiinteästi mukana. Tällöin myös nimetyn riskienhallintatoiminnon rooli hallintatoimenpiteiden seurannassa olisi pienempi ja tämä resurssi voitaisiin suunnata esimerkiksi kulttuurin kehittämiseen. H5: ”Jos nyt lähdetään siitä tiedon oikeellisuudesta liikenteeseen, niin kyllähän siis se, että jos se riskitieto missä se syntyy, se aika nopeasti dokumentoitaisiin johonkin järjestelmään, niin silloinhan se pysyy ainakin muuttumattomana.” H2: ”Olemme ajatelleet jonkun näköistä automatisoidumpaa ratkaisua. Tällöin toimenpiteiden monitorointi ei olisi henkilöriippuvaista. Enemmänkin jokainen joutuisi ottamaan vastuuta itse siitä, että jos on sitoutunut tiettyihin toimenpiteisiin niin sitten myös toteuttaa ne ilman ulkopuolisten tekemiä muistutuksia.” Tätä kehittämistarvetta tukevat myös tutkimuskirjallisuuden huomiot. Teknologian hyödyntäminen organisaation tietoresurssien tehokkaassa käytössä on aivan oleellinen asia. Teknologioiden avulla voidaan huomattavasti tehostaa organisaation tietoresurssien jakamista ja siirtämistä sekä kehittää tiedon laadukkuutta päätöksenteon tukena. (Inkinen 2016) 86 Kolmantena merkittävänä kehittämistarpeena nähtiin olevan riskienhallintatiedon aikaisempaa parempi hyödyntäminen ja siihen liittyvä riskienhallintatoimenpiteiden suunnittelu sekä toteuttaminen. Vaikka yritysten riskien tunnistaminen sekä niistä raportoiminen onkin yrityksiä velvoittavaa ja usein vähintään melko hyvin toteutettua, ei riskienhallintatiedon hyödyntämisen vielä nähty olevan siinä määrin riittävää, etteikö sitä tulisi edelleen kehittää. H2: ”Suurin haaste on nimenomaan tiedon hyödyntäminen ja toimenpiteiden suunnittelu. Näkisin että on aika helppo puhua riskeistä, mutta se mikä on ongelma, on se, että niille tehdään jotakin oikeasti ja toimenpiteitä seurataan.” Selkeänä kehittämistarpeena todettiin olevan myös sen ymmärtäminen kellä ylipäätänsä on hiljaista riskienhallintatietoa, jota ei vielä ole muutettu tarkoituksenmukaisesti eksplisiittiseen dokumentoituun muotoon. Jotta hiljaista tietoa kyetään aikaisempaa tehokkaammin muuttamaan eksplisiittiseksi tiedoksi, tulisi systemaattinen riskienhallintatiedon luominen ulottaa aikaisempaa alemmas yrityksessä. Jottei tästä muodostuisi liian raskasta sekä resursseja vievää toimintaa, tulisi mahdollisen riskienhallinnan tietojärjestelmän tukea myös tätä työtä. H4: ”Haastavaa ja vaikeaa on löytää, missä tieto piileksii organisaatiossa. Kenellä se tieto on?” H5: ”Itse näkisin hedelmällisenä sen, että riskienhallintakeskusteluja, systemaattisiakin pystyttäisiin viemään alaspäin organisaatiossa. Esimerkiksi me keskustelemme lähinnä sen toimialan talousjohdon ja toimialajohdon kanssa. Tavallaan siihen samaan sykliin tulisi kytkeä mukaan vielä, että sinne tuottaisi ihan systemaattisesti tietoa muutkin sen kyseisen toimialan sisällä. Eli vielä tavallaan se yksi porras alaspäin niiden riskien tunnistaminen, arviointi ja raportointi. On sitä joskus kokeiltukin mutta nämä on aika raskaita prosesseja sitten pyörittää. Siihenkin ehkä voisi olla apuna tietojärjestelmä, jolla voitaisiin kohdentaa niitä riskikeskusteluja sinne alemmas organisaatioon ja kytkeä sinne ihmisiä mukaan ja ei ehkä ryhmätasolla mutta ainakin henkilötasolla.” 87 Yritykset näkivät kriittisenä kehittämistarpeena laajasti lisäksi sen, että riskienhallinnassa käytettäisiin tietojohtamista tukena aikaisempaa huomattavasti paremmin. Tiedon nähtiin olevan keskeistä riskienhallinnassa, joten tärkeätä olisi saada tukea erityisesti siihen miten riskienhallintatietoa kyetään saamaan yrityksen käyttöön sekä suodattamaan erittäin laajasta tietomäärästä. H5: ”Tietohan on riskienhallinnan polttoaine, joten siinä mielessä näen kyllä erittäin fiksuna ja oleellisena, että siihen tuotaisiin mukaan tiedon merkitys ja miten sitä tietoa johdetaan sillä tavalla, että se oleellinen tieto on käytettävissä ja sitten toisaalta se pitäisi sisällään senkin, että miten suodatetaan siitä kaikesta tietomassasta se oleellinen tieto riskienhallinnan prosessiin.” H1: ”Henkilökohtaisesti kun luin tätä, että mitä osaan sinulle vastatakaan, sillä tietojohtaminen ei sinänsä ole ollut minulla pöydällä, mutta nyt kun tätä on joutunut pureksimaan ja miettimään ja lukee noita kysymyksiä, niin minun mielestä tässä on hirveitä mahdollisuuksia. Ja nimenomaan riskienhallinnan näkökulmasta. Minun mielestä hyvin oleellinen tutkimusaihe ja relevantti.” Vaikka siis tietoa ja tietojohtamista pidettiin haastatteluissa yhtenä tärkeimmistä kehittämiskokonaisuuksista, esille nousseet yritysten riskienhallinnan toimintamallit eivät kuitenkaan ottaneet varsinaisesti lainkaan huomioon tietojohtamisen näkökulmaa, eikä toimintaa oltu mietitty tietoisesti tietojohtamisen näkökulmasta. Tästä syystä erityisen tärkeä kehittämistoimenpide jatkossa yrityksissä olisi määritellä riskienhallinnan toteuttamista nimenomaan tietojohtamisen näkökulmasta. 6.3.2 Riskienhallinnan viitekehysten ja standardien kehittämistarpeet Tietojohtamisen näkökulmasta kehittämistarpeita haastateltavat kokivat olevan myös kansainvälisissä riskienhallinnan viitekehyksissä sekä standardeissa, joita yritykset käyttävät riskienhallinnassa laajasti. Näissä tietojohtamisen mallien sekä prosessien nähtiin voivan konkretisoida aikaisempaa paremmin riskienhallinnan standardeja sekä viitekehyksiä. Suurimmat kehittämistarpeet nähtiin kohdistuvan 88 keinoihin sekä johtamiseen joilla kyettäisiin varmistamaan ja systematisoimaan sitä, että varmasti oleellinen tieto on riskinhallintaprosessin käytettävissä sekä riskienhallintatietoa kyetään luomaan tehokkaasti. H2: ”ISO31000-standardi on hyvin perinteinen, siinä on ne tietyt vaiheet, jonka kautta se riskitieto sitten tavallaan muodostuu ja jalostuu. Mutta eihän se mitään käytännön keinoja anna tiedon luomiseen. Ei se hirveästi kerro miten se tiedon luominen sitten oikeasti tapahtuu tai mitä siinä tulisi huomioida.” H5: ” Kun mietin, sehän voisi jopa konkretisoida näitä kahta standardia. Coso on ollut vähän semmoinen maailmoja syleilevä, nythän sitä on vähän tiivistetty mutta se jopa voisi vähän konkretisoida, että mikä on tiedon merkitys. Tietohan on riskienhallinnan polttoaine, joten siinä mielessä näen kyllä ihan fiksuna ja oleellisena, että COSO:on tuotaisiin mukaan tiedon merkitys ja miten sitä tietoa johdetaan sillä tavalla, että se oleellinen tieto on käytettävissä ja sitten toisaalta se pitäisi sisällään senkin, että miten suodatetaan siitä kaikesta tietomassasta se oleellinen tieto riskienhallinnan prosessiin.” ISO31000-standardissa keskeistä on, että periaatteiden määrittelemisen jälkeen puitteet ja prosessit rakennetaan, niin että ne auttavat organisaatiota sisällyttämään riskienhallinnan sen normaaliin johtamisjärjestelmään (Suomen Standardoimisliitto SFS ry 2011). COSO ERM-viitekehyksen mukaan riskienhallinnalla on puolestaan suuri merkitys yrityksen suorituskyvyn varmistamisessa sekä strategian toteuttamisessa (the Committee of Sponsoring Organisations of the Treadway Commission 2017). Tiedolla puolestaan on kriittinen merkitys organisaation suorituskyvyssä sekä menestyksekkäässä riskienhallinnassa (Grant 1996, Adams 1995). Tällöin tiedon ja tietojohtamisen kytkeminen mukaan myös laajalti käytössä oleviin standardeihin sekä viitekehyksiin, on varmasti perusteltu näkemys, kuten myös haastatteluissa nousi esille. Tätä tietojohtamisen sekä riskienhallinnan linkittämistä toisiinsa entistä vahvemmin tukee myös usean tutkijan näkemys tästä kehittämistarpeesta (mm. Haltiwanger ym. 2010, Conrow 2005, Lelic 2002 sekä Neef 2005). 95 toimialoilla. Kaikilla yrityksillä oli kuitenkin tunnistettavissa joko suoraan tai välillisesti kolme eri riskienhallintatiedon pääluokkaa joihin riskienhallintatiedon kategoriat sekä luokat voitiin tutkimuksessa yleistää kuuluvan. Nämä tutkimuksessa tunnistetut riskienhallintatiedon pääluokat olivat strategisten riskienluokka, ulkoisten riskienluokka sekä ehkäistävissä olevien riskienluokka. Lisäksi tehdyn tutkimuksen mukaan yritysten riskienhallintatieto voidaan jakaa tietotarpeen lähteen mukaisesti ulkoiseen sekä sisäiseen riskienhallintatietoon. Yritysten tietotarpeet liittyen riskienhallintaan olivatkin monipuolisia yrityksen sisäisiä tietotarpeita mutta tietotarpeiden kuvattiin olevan tänä päivänä ennen kaikkea yrityksen ulkoisia tietotarpeita. Riskienhallinnan tietotarpeet vaihtelivat kuitenkin huomattavasti eri yrityksissä. Täten on huomioitava, että riskienhallintatiedon muodostuminen vaihtelee yrityksissä myös yritysten erilaisten tietotarpeiden perusteella. Yrityksen riskienhallintatiedon muodostumiseen vaikuttaa myös hyvin paljon tarkasteluajankohta. Tutkimuksen mukaan hiljaisen sekä eksplisiittisen riskienhallintatiedon suhde yrityksissä ei ole stabiili, vaan suhde vaihtelee seuraten lähinnä yrityksen strategiaprosessin vaiheita. Tilanteessa, jossa yrityksellä on uudet tavoitteet sekä uusi strategia mutta se ei vielä ole ehtinyt käymään laajasti riskikeskusteluja, suuri osa yrityksen merkittävästä riskienhallintatiedosta on kirjaamatta, jolloin merkittävä riskienhallintatieto muodostuu pääosin hiljaisesta tiedosta. Yrityksen strategiaprosessin edetessä eksplisiittisen riskienhallintatiedon osuus kuitenkin kasvaa, jolloin riskienhallintatieto muodostuu yhä enemmän eksplisiittisestä dokumentoidusta tiedosta. 7.1.2 Tietoprosessien hyödyntäminen yritysten riskienhallinnassa Tämän tutkimuksen toinen alatutkimuskysymys oli miten tietojohtamisen tietoprosesseja voidaan hyödyntää riskienhallinnassa. Vaikka yritykset eivät tutkimuksen mukaan tietoisesti hyödyntäneet tietojohtamiseen liittyviä tietoprosesseja omassa riskienhallinnassaan, tietoprosesseja hyödynnettiin yritysten riskienhallinnassa kuitenkin tiedostamatta. Beijersen (2000) mukaan yritykset eivät yleisesti kutsukaan tietynlaisia toimintoja 96 tietojohtamiseksi, vaikka ne sitä olisivatkin. Tutkimusraportin kohdan 6.2 perusteella voidaan kuitenkin todeta, että yritysten riskienhallinnasta on selkeästi havaittavissa tietojohtamisen elementtejä, erityisesti yhteys tietoprosessien hyödyntämiseen, vaikka riskienhallintaan liittyvät tietoprosessit eivät vielä ole yrityksissä tiedostettuja tai tietoisesti määriteltyjä sekä johdettuja. Tarkasteltujen yritysten riskienhallintaan liittyvät tietotoprosessit vastasivat erinomaisesti tutkimukseen valittuja Alavin ym. (2001) esittämiä tietoprosesseja; tiedon luominen, tallentaminen, jakaminen sekä hyödyntäminen. Tämän perusteella voidaankin todeta, että vähintään tutkimukseen valittuja Alavin ym. (2001) mukaisia tietoprosesseja voidaan hyvin hyödyntää yritysten riskienhallinnassa. Tietojohtamisen tietoprosesseihin liittyvää teoriaa voidaan siis tämän tutkimuksen mukaan erinomaisesti hyödyntää riskienhallinnassa, sillä tietoprosesseja käytetään jo yrityksissä riskienhallinnan tukena. Tosin, kuten todettua, kaikissa tutkituissa yrityksissä tämä oli tiedostamatonta. Keskeistä tietoprosessien hyödyntämisen kannalta onkin kiinnittää yrityksissä selkeästi enemmän huomioita tietoprosessien tietoiseen toteuttamiseen osana riskienhallintaa. Tämä voidaan tehdä esimerkiksi kuvaamalla mitkä ovat yrityksen riskienhallintaan liittyvät tietoprosessit sekä tämän jälkeen alkaa hyödyntää tietoprosesseja kytkemällä ne systemaattisesti mukaan riskienhallinnan toteuttamiseen. Yritysten riskienhallintatiedon luomisen prosessivaiheessa oli tunnistettavissa myös selkeä yhteys erityisesti Nonakan ym. (1995) kehittämään SECI-malliin. Tätä tutkimuksessa tunnistettua riskienhallintatiedon luomisen vahvaa yhteyttä SECImalliin tukee myös Matsushitan ym. (2012) tutkimus, jossa he ovat löytäneet samankaltaisen yhteyden riskienhallintatiedon luomisen ja SECI-mallin välillä, kuin tässä tutkimuksessa havaittiin. Tutkimuksessa yllättävää oli, että vaikka kumppaneiden sekä alihankintayritysten rooli palveluiden sekä tuotteiden tuottamisessa on kasvanut merkittävästi, eivät yritysten sidosryhmät osallistuneet yritysten riskienhallinnan tietoprosesseihin kuin yhdessä tutkitussa yrityksessä. Sidosryhmien osallistaminen tulevaisuudessa paremmin riskienhallinnan tietoprosessien toteuttamiseen nähtiin kuitenkin olevan 97 yrityksissä selkeä kehittämiskohde. Täten tietoprosessien hyödyntämisessä tulee jatkossa ottaa huomioon myös keskeisten sidosryhmien osallistaminen riskienhallintaan liittyviin tietoprosesseihin aikaisempaa paremmin. Tietoprosessien lisäksi yritysten riskienhallinnassa hyödynnettiin tietojohtamisen näkökulmasta vahvasti tietotarpeita, joiden pohjalta riskienhallintatietoa ylipäätään ryhdyttiin luomaan. Nämä riskienhallintaan liittyvät tietotarpeet syntyivät yrityksen normaaleissa liitetoimintaprosesseissa ja riskienhallintatietoa lähdettiin luomaan tämän perusteella, jonka johdosta riskienhallintaan liittyvät tietoprosessit käynnistyivät. Osassa yrityksiä riskienhallinnan tietoprosessit perustuivat kuitenkin hyvin pitkälle lähinnä etukäteen suunniteltuun aikatauluun ja linkkiä normaaleissa yrityksen päätöksentekoja johtamistilanteissa syntyneisiin riskienhallinnan tietotarpeisiin ei ollut selkeästi havaittavissa. Tätä tutkimuksessa havaittua tärkeää riskienhallinnan tietoprosessien yhteyttä prosesseja ohjaaviin tietotarpeiseen tukee myös Alavin ym. (2001) tutkimus, jonka mukaan tietotarpeiden tulisi ohjata selkeästi tietoprosessien toteuttamista ja hyödyntämistä sekä tietoprosessien sykliä. Riskienhallinnan tietoprosesseja ei saisi siis ohjata vain etukäteen määritelty riskienhallinnan vuosisykli ja aikataulut. Riskienhallinnan tietoprosessien hyödyntämisen ja erityisesti riskienhallintatiedon luomisprosessin käynnistämisen tulisikin perustua enenevässä määrin nimenomaan normaaleihin päätöksentekosekä johtamistilanteissa määriteltyihin tietotarpeisiin. 7.1.3 Kehittämistarpeet Tämän tutkimuksen kolmas alatutkimuskysymys oli miten riskienhallintatiedon luomista ja hyödyntämistä tulisi kehittää. Yritysten riskienhallinnan suurimpana kehittämistarpeena nähtiin olevan riskienhallinnan sekä tietojohtamisen entistä tiiviimmän sekä kiinteämmän yhteyden rakentaminen toisiinsa. Tämä tutkimuksen havainto koskee sekä tieteellistä tutkimusta että käytännön sovellutusten hyödyntämistä yrityksissä. Yritykset näkivätkin kehittämistarpeena yrityksissä laajasti sen, että riskienhallinnassa käytettäisiin tietojohtamista tukena aikaisempaa huomattavasti 98 paremmin sekä tiedostetummin. Tiedon nähtiin olevan keskeistä riskienhallinnassa, joten yritysten näkökulmasta tarkasteltuna tärkeätä olisi saada tieteellisestä tutkimuksesta tukea erityisesti siihen miten riskienhallintatietoa voidaan luoda paremmin yrityksen käyttöön sekä suodattaa tarkoituksenmukaisesti tietoa erittäin laajasta tietomäärästä. Tämä tutkimuksessa tunnistettu kehittämistarve on täysin samankaltainen kuin moni tutkija (mm. Lelic 2002, Neef 2005, Haltiwanger ym. 2010) on tuonut esille. Tähän kokonaiskehittämistarpeeseen liittyen tutkimuksessa tunnistettiin myös tarve yrityskulttuurin kehittämiseen, joka tukisi riskienhallintatiedon luomista ja hyödyntämistä aiempaa laajemmin. Kouluttaminen sekä ymmärryksen kasvattaminen nähtiin tähän yhtenä parhaimpana ratkaisukeinona. Myös Inkinen (2016) on nostanut tietojohtamisen käytäntöjen osalta kouluttamisen tärkeäksi asiaksi, kun halutaan kehittää organisaation tietojohtamista. Hän nostaa esille lisäksi, että tietojohtamisen käytänteiden näkökulmasta koulutuksessa sekä kehittämisessä tulee tällöin ymmärtää tiedon elementti ja koulutus tulee suunnitella ennakoivasti sekä systemaattisesti tiedon näkökulmasta. Kahlor ym. (2006) korostavat kuitenkin, että yleisluonteisen riskienhallintatiedon osalta, joka ei kohdistu suoraan yksilöön itseensä, pelkkä kulttuurin kehittäminen ei yksistään riitä. Riskienhallintatiedon tehokkaassa luomisessa ja hyödyntämisessä kaikkein merkittävin tekijä heidän mukaan on yritysten asettamien normien sekä vaatimusten vahvuus. Tämä tutkimustulos tukee tässä haastatteluissa esiin noussutta näkökulmaa, ettei pelkkä kulttuurin ja koulutuksen kehittäminen ole riittävä kehittämistoimenpide, vaan tarvitaan myös yritysten yksilöille asettamien vaatimusten kehittämistä. Lisäksi haastateltavat kokivat kehittämistarpeena olevan riskienhallintatiedon luotettavan ja henkilöriippumattoman dokumentoimisen. Tässä kaivattiin erityisesti yrityksen yhteistä riskienhallinnan tietojärjestelmää, jossa myös riskienhallintatiedon hyödyntäminen sekä riskienhallintatoimenpiteiden seuraaminen olisivat kiinteästi mukana. Riskienhallinnan tietojärjestelmä oli tutkituista yrityksistä vain yhdellä yrityksellä, jota voidaan pitää yllättävänä, sillä kaikki tarkastellut yritykset olivat suuria suomalaisia pörssiyrityksiä. 99 Myös Inkinen (2016) painottaa informaatioteknologian hyödyntämistä organisaation tietoresurssien tehokkaassa käytössä. Tämän kaltaisten teknologioiden avulla voidaan hänen mukaan huomattavasti tehostaa organisaation tietoresurssien jakamista ja siirtämistä sekä kehittää tiedon laadukkuutta päätöksenteon tukena. Näin ollen riskienhallinnan tietojärjestelmän käyttöönottoa yrityksissä voidaan varmasti pitää perusteltuna kehittämistarpeena myös tietojohtamisen näkökulmasta. Kehittämistarpeena nähtiin myös olevan riskienhallintatiedon parempi hyödyntäminen ja riskienhallintatoimenpiteiden todellinen toteuttaminen. Vaikka yritysten riskien tunnistaminen sekä niistä raportoiminen onkin yrityksiä velvoittavaa ja usein vähintään melko hyvin toteutettua, ei riskienhallintatiedon hyödyntämisen vielä nähty olevan siinä määrin riittävää, etteikö sitä tulisi edelleen kehittää. Tietojohtamisen näkökulmasta kehittämistarpeita todettiin olevan myös kansainvälisissä riskienhallinnan standardeissa sekä viitekehyksissä, joita yritykset käyttävät laajasti. Näissä tietojohtamisen nähtiin voivan konkretisoida paremmin riskienhallinnan standardeja sekä viitekehyksiä. Suurimmat kehittämistarpeet standardeissa sekä viitekehyksissä nähtiin kohdistuvan esitettäviin tietoprosesseihin sekä tietojohtamisen organisoimiseen, joilla kyettäisiin varmistamaan ja systematisoimaan sitä, että varmasti kaikki oleellinen tieto on riskienhallintaprosessin käytettävissä. 7.1.4 Tietojohtamisen hyödyntäminen riskienhallinnassa Tämän tutkimuksen päätutkimuskysymys oli miten tietojohtamista voidaan hyödyntää riskienhallinnassa. Kivisen (2008) mukaan tietojohtaminen on vielä yleisesti melko epäyhteneväinen ja edelleen osittain häilyvä käsite. Laihosen ym. (2013) mukaan tietojohtaminen käsitteenä ei myöskään vielä ole vakiintunut yrityksissä tai tutkimuksessa käyttöön yhtenevästi. Hussinki ym. (2017) tuovat tuoreessa tutkimuksessaan kuitenkin esille, että tietojohtamisessa voidaan nykyisin erottaa toisistaan tietoresurssit, tietoprosessit ja tietojohtamisen käytänteet. 100 Tietoresurssit viittaavat organisaation staattiseen tietovarastoon tai tietopohjaan (Hussinki ym. 2017). Tietoprosessit taas ovat yritykselle ominaisia tapoja tiedon jakamiseen ja hyödyntämiseen (Andreeva & Kianto 2012). Tietojohtamisen käytänteet puolestaan ovat tarkoituksenmukaisia johtamiseen sekä kyseessä olevaan organisaatioon liittyviä käytänteitä, joiden avulla johdetaan sekä tietoresursseja että tietoprosesseja (Hussinki ym. 2017). Tässä tutkimuksessa keskityttiin tutkimaan tietojohtamisen hyödyntämisen osalta erityisesti tietoprosessien hyödyntämistä yritysten riskienhallinnassa. Lisäksi tarkasteltiin tietoprosessien organisointikäytäntöjä, sillä Hussingin ym. (2017) mukaan tietoprosessien tehokkaan toiminnan näkökulmasta tietoprosessien organisoiminen on erityisen kriittistä. Muut tietojohtamisen käytänteet sekä tietoresurssit kokonaisuudessaan rajattiin tutkimuksen ulkopuolelle. Tutkimustulosten mukaan voidaan todeta, että riskienhallinnalla ja tietojohtamisella on ensinnäkin aivan olennainen yhteys toisiinsa ja riskienhallintaa ei tänä päivänä voida toteuttaa ilman tietojohtamisen hyödyntämistä. Näin ollen voidaan perustellusti esittää, että tietojohtamista on mahdollista ja jopa erittäin tarkoituksenmukaista hyödyntää yritysten riskienhallinnassa. Tätä tutkimuksen johtopäätöstä tietojohtamisen hyödyntämismahdollisuudesta yritysten riskienhallinnassa tukevat myös muut tieteelliset tutkimukset, jotka ovat tehdyn tutkimuksen kanssa samansuuntaisia. Esimerkiksi Lelicin (2002) mukaan riskienhallintaa ei voida toteuttaa yrityksissä ilman tietojohtamisen hyödyntämistä. Myös Conrow (2005) kuvaa tutkimuksessaan, miten tärkeää on hyödyntää riskienhallinnassa tietojohtamista sekä sitä miten tietojohtaminen itse asiassa on aivan keskeinen riskienhallinnan kulmakivi, vaikka yritykset eivät tätä yhteyttä tietoisesti itse usein ymmärräkään. Tutkimuksessa tietojohtamisen hyödyntämistä riskienhallinnan tukena tarkemmin tarkasteltaessa havaittiin, että yritysten riskienhallinta noudattelee tietojohtamisen näkökulmasta tarkasteltuna hyvin Alavin ym. (2001) kuvaamia tietoprosesseja sekä Nonakan ym. (1995) kehittämää ns. SECI-mallia. On tosin tuotava esiin, että yritykset eivät omaa riskienhallintaansa olleetkaan tietoisesti näiden mukaan rakentaneet. Yritysten riskienhallinnan yhteys tietoprosessien noudattamiseen oli 101 kuitenkin selkeästi havaittavissa, kun tutkimuksessa tarkasteltiin normaaleja yritysten riskienhallinnan prosesseja haastatteluiden avulla. Tätä tutkimuksen havaintoa tiedostamattomasta tietojohtamisen toteuttamisesta yrityksissä tukee Beijersen (2000) näkemys jonka mukaan yrityksissä esiintyy tiedostamatonta tietojohtamista, joka ilmenee normaaliin toimintaan liittyvissä prosesseissa, vaikka yritykset eivät toimintaa tietoisesti tietojohtamiseksi kutsukaan. Tietojohtamista voidaan siis hyödyntää käyttämällä riskienhallinnassa tietoisesti tietojohtamisen teorioita sekä kokonaisuuksia. Tämän tutkimuksen mukaan käytännössä tietojohtamisesta voidaan hyödyntää riskienhallinnassa ainakin siis Alavin ym. (2001) mukaisia tietoprosesseja sekä tietojohtamisen käytänteistä organisoimiseen liittyviä käytänteitä, joiden avulla organisaation riskienhallintaan liittyvä tietopotentiaali saadaan hyödynnettyä liiketoiminnalliseksi suorituskyvyksi (Hussinki ym. 2017, Andreeva & Kianto 2012) Lisäksi tässä tutkimuksessa havaittiin, että tietoprosessien taustalla olevia tietotarpeita sekä niiden lähtökohtia voidaan hyödyntää riskienhallinnassa, erityisesti riskienhallinnan kytkemisessä yhä tiiviimmin mukaan normaaliin yritysten toimintaan. 7.2 Tutkimuksen johtopäätökset Tehty tutkimus vahvisti tutkimuskirjallisuuden aiemmat näkemykset siitä, että tieto on yritysten riskienhallinnan merkittävin tekijä sekä kriittisin perusta. Samaan tulokseen tiedon merkityksestä riskienhallinnassa ovat päätyneet myös useat muut tutkijat (mm. Lelic 2002, Neef 2005, Haltiwanger ym. 2010 sekä Durstin ym. 2012). Tutkimuksessa tiedolla nähtiinkin olevan suuri merkitys riskienhallinnassa sekä riskienhallinnalla ja tietojohtamisella todistettiin olevan kiinteä yhteys toisiinsa. Tutkimuksessa havaittiin kuitenkin, samoin kuin usea muukin tutkija (mm. Adams 1995, Lelic 2002, Neef 2005, Conrow 2005, Webb 2007 sekä Haltiwanger, ym. 2010), että tämä näiden kahden kokonaisuuden välinen yhteys on vielä varsin häilyvä ja tarvitsee lisätutkimusta. 102 Tutkimustulosten perusteella voidaan yleisellä tasolla kuitenkin selvästi todeta, että perinteinen vain organisaation huomioonottava riskienhallinta sekä normatiivinen lähestymistapa ei enää nykyisessä monimutkaisessa yritysten toimintaympäristössä ole enää riittävää. Tutkimuksen keskeinen löydös olikin, etteivät yritykset voi nykyisin hallita niiden riskejä ilman tietojohtamista. Keskeiseksi riskienhallinnan onnistumisen tekijäksi nouseekin nykyisin yksilöiden merkityksen, tietojohtamisen ja siihen liittyvien tietoprosessien ymmärtäminen sekä hyödyntäminen osana riskienhallintaa. Tätä samaa näkemystä on korostanut myös Adams (1995), joten tämä tutkimuksessa tehty löydös suhteutuu hyvin myös aikaisempaan teoriaan. Tutkimuksen mukaan riskienhallintatiedon luomisessa, tallentamisessa, jakamisessa sekä hyödyntämisessä yksilöillä on aivan keskeinen merkitys. Täten mitä paremmin yksilöiden tietoa kyetään yhteisön sisällä siirtämään, sitä parempi riskienhallintakyvykkyys yhteisöllä on (Haltiwanger & Temple 2014). Tässä kyvykkyyden kehittämisessä tietojohtamisen sekä sen teoriamallien koettiin voivan luoda merkittävää lisäarvoa. Tutkimuksen mukaan onkin kannattavaa pyrkiä kytkemään tietojohtamista sekä riskienhallintaa aikaisempaa konkreettisemmin toisiinsa. Tämä koskee sekä tieteellistä tutkimusta että käytännön hyödyntämistä yrityksissä. Käyttämällä yrityksessä tietoisesti mm. tietoprosessien toteutusmalleja riskienhallinnan tukena, voidaan yrityksessä varmistua entistä paremmin siitä, että riskienhallinnassa on käytettävissä laajat sekä tarkoituksenmukaiset tiedot. Tätä tarvetta tiiviimmälle tietojohtamisen sekä riskienhallinnan linkittämiselle toisiinsa entistä huomattavasti vahvemmin tukee lisäksi usean tutkijan näkemys tästä kehittämistarpeesta (mm. Haltiwanger ym. 2010, Conrow 2005, Lelic 2002 sekä Neef 2005). Myös tutkimuksen kohdeyritykset olivat yksimielisesti sitä mieltä, että on kannatattevaa pyrkiä jatkossa yhdistämään näitä toimintamalleja toisiinsa aikaisempaa huomattavasti paremmin. Vaikka tämä tutkimus ja siihen valitut yritykset sekä mm. edellä mainitut tutkijat näkevätkin selvän tarpeen yhdistää tietojohtamista ja riskienhallintaa aikaisempaa paremmin toisiinsa, riskienhallintaa ja tietojohtamista on kuitenkin perinteisesti 103 pidetty toisistaan irrallisina johtamisen teorioina (Haltiwanger ym. 2010). Tämä näkyy selvästi esimerkiksi siinä, että riskienhallinnan yleisesti käytetyt käsitteet tai laajasti käytössä olevat kansainväliset riskienhallinnan standardit ja viitekehykset eivät huomioi tietojohtamista tai tiedon roolia riskienhallinnassa millään tavalla. Näin ollen myöskään yritykset eivät käytä tietoisesti tietojohtamista riskienhallinnan tukena. Tutkimuksen mielenkiintoisena uutena havaintona sekä yhtenä keskeisenä johtopäätöksenä voidaan pitää myös sitä, että vaikka riskienhallintatiedon merkitys on kriittistä yrityksen suoritusja kilpailukyvylle, ei kaikki riskienhallintatieto kuitenkaan ole yhtä merkityksellistä ja tärkeää tietoa. Erityistä huomiota yritykset kiinnittävät riskienhallintatietoon, jolla on kriittinen merkitys nimenomaan yrityksen suoritusja kilpailukyvylle. Yritysten riskienhallintatiedon tasosta sekä tiedon merkityksestä koko yrityksen liiketoiminnalle olikin tunnistettavissa kolme eri tasoa. Tässä tutkimuksessa nämä tunnistetut kolme riskienhallintatiedon merkittävyystasoa nimettiin seuraavasti: jäävuoret ja karikot, ajopuut ja esteet sekä poikkeamat. Näiden kolmen riskienhallintatiedon merkittävyystason löytyminen oli erittäin mielenkiintoinen uusi löydös, jota ei tieteellisessä tutkimuskirjallisuudessa tai riskienhallinnan laajasti käytössä olevissa standardeissa ja viitekehyksissä ole aikaisemmin kuvattu. Esiin nostettava tutkimuksen havainto sekä kiinnostava johtopäätös oli myös, että riskienhallintatiedon osalta yrityksen ulkoiset tietotarpeet ovat nousseet suurimpaan rooliin, sillä haastatteluiden perusteella ulkoiset tietotarpeet olivat yritysten riskienhallinnassa tänä päivänä selvästi suuremmat kuin sisäiset tietotarpeet. Perinteisesti riskienhallinta on ollut yrityksen sisäisen tietoon perustuvaa mutta jatkossa yrityksen ulkopuolelta kerättävä tieto liittyen riskienhallintaan tulee huomioida aikaisempaa paremmin. Kuten tutkimuskirjallisuuskin korostaa, vain kyseisen organisaation huomioonottava riskienhallinta ei ole siis nykyisin enää läheskään riittävää (Adams 1995). 104 7.3 Pohdinta sekä jatkotutkimusehdotuksia Tutkimus pyrki tutkimaan tietojohtamisen hyödyntämistä suurten suomalaisten pörssiyritysten riskienhallinnassa sekä selvittämään riskienhallinnan ja tietojohtamisen yhteyttä toisiinsa. Tutkimus onnistuikin perustelemaan hyvin miksi edellä mainittuja kokonaisuuksia tulee linkittää yhteen. Tutkimus kykeni myös kuvaamaan miten tietojohtamiseen liittyviä tietoprosesseja hyödynnetään suomalaisten suurten pörssiyritysten riskienhallinnassa. Vaikkakin on todettava, että yritykset eivät tutkimustulosten mukaan itse tietoisesti käyttäneetkään tietoprosesseja riskienhallinnan toteuttamisessa. Lisäksi tutkimus pystyi tuottamaan uutta tietoa sekä uusia näkökulmia riskienhallintaan ja laajemmin myös tietojohtamisen akateemiseen keskusteluun. Näitä tutkimuksessa syntyneitä tietoja ja näkökulmia voidaan hyödyntää myös yritysten riskienhallinnan kehittämisessä tietojohtamisen avulla sekä mahdollisissa tietojohtamisen ja riskienhallinnan jatkotutkimuksissa. Koska tutkimuksella voidaan nähdä olevan merkittävää uutuusarvoa sekä se on hyödynnettävissä laajasti tulevaisuudessa akateemisessa tutkimuksessa, tutkimusta voidaan pitää onnistuneena. Varsinkin, kun tutkimus oli tutkijan ensimmäinen laaja akateeminen tutkimus. Tutkimuksen tavoitteena ei kuitenkaan ollut tuottaa uutta riskienhallinnan sekä tietojohtamisen teoriat yhdistävää viitekehystä. Vaikka tutkimus onnistuikin yhdistämään edellä mainittuja teorioita toisiinsa, tulisi jatkossa teorian ja empirian välillä rakentaa yhä loogisempi jatkumo luomalla esimerkiksi uusi tieteellinen viitekehys, jossa kumpikin teoria yhdistetään ymmärrettävästi sekä konkreettisella tavalla toisiinsa. Tutkimus on lisäksi hyödynnettävissä, mikäli laajalle levinneitä kansainvälisiä riskienhallinnan standardeja sekä viitekehyksiä halutaan tulevaisuudessa edelleen kehittää, siten että ne huomioivat myös tiedon sekä tietojohtamisen keskeisen roolin sekä merkityksen riskienhallinnan toteuttamisessa. Tutkimus rajoittui kuitenkin melko pieneen otokseen, joten olisi tarpeen testata muuttuvatko tulokset, jos tutkimusaineisto olisi suurempi. Lisäksi olisi mielenkiintoista tietää miten tutkimustulokset muuttuvat, jos tutkittaisiin keskisuuria 111 Kananen, J. 2017. Laadullinen tutkimus pro graduna ja opinnäytetyönä. Jyväskylä: Jyväskylän ammattikorkeakoulu. Kesko. 2016. Keskon vuosiraportti 2016. [verkkodokumentti] [Luettu 16.3.2018] Saatavilla http://kesko-ar2016.studio.crasman.fi/file/dl/i/kJhWXQ/wfAmFgknueYL3mQO8BCwIw/Kesko_Vu osiraportti_2016.pdf Keränen, M. 2001. Vertaileva ja poikkikulttuurinen tutkimus. Kaksi tapaa lähestyä muita maita. Politiikka 43:2, s. 82-92. Kianto, A., Ritala, P., Spender, J. & Vanhala, M. 2014. The interaction of intellectual capital assets and knowledge management practices in organizational value creation. Journal of Intellectual Capital, 15(3), s. 362-375. Kivinen, T. 2008. Tiedon ja osaamisen johtaminen terveydenhuollon organisaatioissa. Kuopion yliopiston julkaisuja E. Yhteiskuntatieteet 158. Koskinen, I., Alasuutari, P. & Peltonen, T. 2005. Laadulliset menetelmät kauppatieteissä. Tampere. Vastapaino. Kujansivu, P., Lönnqvist, A., Jääskeläinen, A. & Sillanpää, V. 2007. Liiketoiminnan aineettomat menestystekijät. Helsinki: Talentum. Kuusela, H. & Ollikainen, R. (toim.) 2005. Riskit ja riskienhallinta. Juvenes PrintTampereen yliopistopaino Oy. Laine, M., Bamberg, J. & Jokinen, P. (toim.) 2007. Tapaustutkimuksen taito. Helsinki. Gaudeamus. Lelic, S. 2002. Your say: managing knowledge to manage risk. Inside Knowledge. Vol 6, No. 1. Levina, N., & Vaast, E. 2006. Turning a community into a market: A practice perspec-tive on information technology use in boundary spanning. Journal of Management In-formation Systems, 22, 4, s. 13-37. 112 Lönnqvist, A., Kujansivu, P. & Antola, J. 2005. Aineettoman pääoman johtaminen. JTO, Tampere. Lönnqvist, A., Kujansuu, P., Antikainen, R. 2006. Suorituskyvyn mittaaminen – Tunnusluvut asiantuntijaorganisaation johtamisvälineenä. Helsinki. Edita Publishing Oy. Matsushita, K., Takimoto, M., Miyauchi, M. & Takemura, M. 2012. How does the seci model work in risk knowledge creation? The difficulty of justification in a combination mode. [verkkodokumentti] [Luettu 17.2.2018] Saatavilla http://real.mtak.hu/24378/1/ICoM_2012-Volume_I-paper021.pdf Mäki. E. 2008. Exploring and exploiting knowledge – Research on knowledge processes in knowledge intensive organizations. Väitöskirja Helsinki University of Technology. [verkkodokumentti] [Luettu 13.6.2018] Saatavilla http://lib.tkk.fi/Diss/2008/isbn9789512291168/isbn9789512291168.pdf Metsämuuronen, J. 2008. Laadullisen tutkimuksen perusteet. 3. uudistettu painos. Jyväskylä: Gummerus kirjapaino Oy. Neef, D. 2005. Managing Corporate Risk through Better Knowledge Management. Learning Organization, 12(2), s. 112-124. Neste. 2017. Vuosikertomus 2016. [verkkodokumentti] [Luettu 16.3.2018] Saatavilla https://www.neste.com/fi/fi/konserni/uutisetmedia/materiaalit/vuosikertomukset Nonaka, I. 1994. A Dynamic Theory of Organizational Knowledge Creation. Organization Science 5:1, February 1994, s. 14-37. Nonaka, I. & Konno, N. 1998. The Concept of 'Ba': Building a Foundation for Knowledge Creation. California Management Review. 40, 3, s. 40-54. Nonaka, I. & Takeuchi, H. 1995. The Knowledge-Creating Company: How Japanese Companies Create the Dynamics of Innovation. Oxford University Press, New York. 113 Nonaka, I., Toyama, R. & Konno, R. 2000. SECI, Ba and leadership: A unified model of dynamic knowledge creation, Long Range Planning, 33, s. 5‐34. Nonaka, I., von Krogh, G. & Voepel, S. 2006. Organizational Knowledge Creation Theory: Evolutionary Paths and Future Advantages. Organizational Studies. 27, 8, s. 1179-1208. O' Grady, L. 2012. What is knowledge and when should it be implemented? Journal of Evaluation in Clinical Practice, 18(5), s. 951-953. Orlikowski, W. J. 2002. Knowing in practice: Enacting a collective capability indistributed organizing. Organization Science, 13, 3, s. 249-273. Pekki, J. 2017. Harjoitustyö - Riskienhallinta osana yritysten johtamista ja ohjausta. Lappeenrannan teknillinen yliopisto. Protiviti. 2013. Applying the Five Lines of Defence in Managing Risk. The Bulletin 5, no. 4. [verkkodokumentti] [Luettu 5.10.2017] Saatavilla https://www.protiviti.com/OM-en/insights/bulletinv5-i4 Serenko, A. & Dumay, J. 2015. Citation classics published in Knowledge Management journals. Part I: articles and their characteristics. Journal of Knowledge Management, 19(2), s. 401–431. Stake, R. E. 2005. Qualitative case studies. Teoksessa Denzin, N. K. & Lincoln, Y. S. (toim.) The Sage Handbook of Qualitative Research. Third edition. Thou-sand Oaks, California. s. 443–466. Ståhle, P. & Grönroos, M. 2000. Dynamic Intellectual Capital. Knowledge Management in Theory and Practice. Werner Söderström Corporation. Tummavuoren kirja-paino Oy. Vantaa 2000. Suomen Standardoimisliitto SFS ry. 2011. ISO 31000-riskienhallintastandardi. Syrjälä, L., Ahonen, S., Syrjäläinen, E. & Saari, S. 1995. Laadullisen tutkimuksen työtapoja. Rauma. Kirjapaino West Point Oy. 114 Teece, D.M. 1998. Capturing Value from Knowledge Assets: The New Economy, Markets for Know-how, and Intangible Assets. California Management Review, Vol. 40. No. 3. Spring 1998 s. 55-79. Telia. 2018. Telia yrityksenä. [verkkodokumentti] [Luettu 16.3.2018] Saatavilla https://www.teliacompany.com/en/about-the-company/ Tuomi, J. & Sarajärvi, A. 2009. Laadullinen tutkimus ja sisältöanalyysi. 5. uudistettu painos. Jyväskylä: Gummerus Kirjapaino Oy. Valli, R. & Aaltola, J. (toim.) 2015. Ikkunoita tutkimusmetodeihin 1. Jyväskylä: PSkustannus. Wagner, S.M. & Buko, C. 2005. An empirical investigation of knowledge‐sharing in networks. Journal of Supply Chain Management. 41, 4, s. 17-31. Webb, J. 2007. Risk Management report: an essential tool kit for business. Freeprint, vol. 222, s. 20-24. Yin, R.K. 1994. Case Study Researchc. Design and methods. Applied Social Research Methods Series Volume 5. Revised Edition. Newbury Park: SAGE Publications. Yin, R.K. 2003. Case Study Research. Design and Methods. 3rd edition, Sage, Newbury Park, CA. LIITE 1. HAASTATTELURUNKO Haastattelurunko riskienhallintatiedon luomisesta ja hyödyntämisestä suomalaisissa suurissa pörssiyrityksissä Hyvä vastaanottaja, haastattelu liittyy Jaakko Pekin Pro gradu –tutkimukseen Lappeenrannan teknillisen korkeakoulun tietojohtamisen ja johtajuuden maisteriohjelmassa. Tutkimuksen tavoitteena on selvittää, miten riskienhallintatietoja luodaan ja hyödynnetään suomalaisissa suurissa pörssiyrityksissä sekä osaltaan tukea riskienhallinnan ja tietojohtamisen teorioiden kytkeytymistä entistä paremmin toisiinsa. Tutkimuksessa ei tarkastella perinteistä riskienhallintaprosessia vaan tutkitaan tiedon merkitystä, luomista sekä hyödyntämistä riskienhallinnan kontekstissa. Teoreettinen viitekehys rajataan tutkimuksessa koskemaan seuraavia riskienhallinnan aihealueita; riskienhallinta käsitteenä, riskienhallinta osana tietojohtamista sekä modernin riskienhallinnan tarve ja merkitys. Tutkimuksen kohderyhmänä ovat suomalaiset suuret pörssiyritykset, jotka ovat listautuneet Nasdaq Helsinki markkinapaikkaan. Tutkielman perusjoukon muodostavat kyseisen markkinapaikan suuret yhtiöt (Large Cap) ryhmä, jossa on listautuneena yhteensä 32 yritystä. Tästä perusjoukosta valittiin yksinkertaisena satunnaisotantana neljän yrityksen otos, joten otos edustaa noin 13 prosenttia perusjoukosta. Yksinkertaisen satunnaisotannan perusteella tutkittaviksi yrityksiksi valikoituivat Elisa Oyj, Kesko Oyj, Neste Oyj sekä Telia Company. Tutkimukseen liittyvät asiantuntijahaastattelut toteutetaan maaliskuun 2018 aikana. Asiantuntijahaastattelut kestävät noin 1-1,5h ja tämän saatteen mukana toimitetaan haastattelussa läpikäytävät kysymykset ennakkoon tutustuttaviksi. Haastattelussa saadut tiedot ovat luottamuksellisia ja tiedot yleistetään tutkimuksen tulosten esittelyssä siten, ettei yksittäinen vastaaja tai organisaatio ole tunnistettavissa (pl. julkisista toimintakertomuksista tai vastaavasta materiaalista saatavat tiedot). Osallistumisenne haastatteluihin on tutkimuksen sekä riskienhallinnan yleisen kehittämisen kannalta äärimmäisen arvokasta. Suuret kiitokset ajastanne sekä näkemyksistänne jo etukäteen! Helsingissä 8.3.2018 Jaakko Pekki Haastattelun keskeiset käsitteet Tässä työssä keskeiset käsitteet on määritelty seuraavasti: Riskienhallinta on koordinoitua toimintaa, jolla organisaatiota ohjataan ja hallitaan riskien osalta. (the International Organization for Standardization 2018) Riskienhallinnan tavoitteena on ennen kaikkea luoda sekä suojella yrityksen arvoa ja maksimoida yrityksen voittoja. Riskienhallinnalla on liittymäpinnat yrityksen kulttuuriin, kyvykkyyteen sekä käytäntöihin. (Dionne 2013) Riskienhallinta on riippuvainen yrityksen käytettävissä olevista tiedoista ja kyvystä siirtää tiedot yksittäisten yksilöiden mielistä laajemmin yrityksen käyttöön. (Haltiwanger, Landaeta, Pinto & Tolk 2010) Yrityksen riskienhallintatietokokonaisuus muodostuu, kuten muukin yrityksen tieto, yksilöiden hiljaisesta tiedosta (esimerkiksi asenteet, ymmärrys ja yksittäisiin riskeihin liittyvät käsitykset ja näkemykset) sekä organisaation eksplisiittisestä tiedosta (esimerkiksi riskienhallintapolitiikka, kirjalliset riskikuvaukset ja määritellyt riskienhallintatoimenpiteet). (Alavi ja Leidner 2001) Yksittäinen riskienhallintatieto voi liittyä riskienhallinnan olemassaoloon, luonteeseen, muotoon ja ohjaamiseen tai yksittäisten riskien todennäköisyyteen, vakavuuteen, arviointiin, hyväksyttävyyteen, hoitoon tai käsittelyyn. (the International Organization for Standardization 2018) Hiljainen tieto sijaitsee organisaation yksilöiden mielessä. Hiljainen tieto on jaettavissa pääsääntöisesti vain kasvokkain tapahtuvassa kanssakäymisessä. (Alavi & Leidner 2001) Hiljainen tieto on peräisin toiminnasta, kokemuksesta ja osallistumisesta tiettyyn kontekstiin. Se koostuu sekä teknisistä että tiedollisista elementeistä. Tekninen osa koostuu konkreettisesta tietotaidosta, osaamisesta ja taidoista, jotka liittyvät tiettyyn kontekstiin. Tiedollinen elementti liittyy yksilön henkisiin malleihin, jotka koostuvat uskomuksista, paradigmoista ja näkökulmista. (Nonaka 1994) Eksplisiittinen tieto on organisaation omistamaa artikuloitua, kodifioitu tietoa joka on viestitty symbolisella ja / tai luonnollisella kielellä. Eksplisiittinen tieto voidaan helposti irrottaa varsinaisesta ympäristöstään sekä jakaa muille, sillä se on usein tallennettu välitettävään muotoon. (Alavi & Leidner 2001) Tietojohtaminen on tietoon liittyvää johtamisja hallintatoimintaa, jonka avulla hankitaan, luodaan, tallennetaan, välitetään ja hyödynnetään organisaation sisäisesti sekä ulkoisesti saatavavilla olevaa tietoa (Huotari & Savolainen 2003, 18). Tietojohtamisessa voidaan erottaa toisistaan tietojohtamisen käytänteet, tietoprosessit ja tietoresurssit. (Hussinki, Kianto, Vanhala & Ritala 2017) Haastattelussa läpikäytävät kysymykset Haastattelussa tulemme käymään läpi seuraavat kysymykset kolmeen eri teemaan liittyen. Teema 1: RISKIENHALLINTATIETO JA TIETOJOHTAMINEN 1. Miten kuvailisit yleisesti tiedon merkitystä yrityksenne riskienhallinnassa? 2. Missä määrin ja miten hyödynnätte tietojohtamista riskienhallinnassa? 3. Millainen rooli riskienhallintatiedolla on osana yrityksenne kilpailukykyä sekä suorituskykyä? 4. Mistä osatekijöistä sekä luokista yrityksenne riskienhallintatieto koostuu? 5. Millaisia tietotarpeita teillä on riskienhallintaan liittyen? 6. Missä suhteessa yrityksenne käytettävissä olevasta riskienhallintatiedosta arvioisitte olevan yksilöiden mielissä olevaa hiljaista tietoa, entä kirjattua eksplisiittistä tietoa? 7. Miten kuvailisit yksilöiden merkitystä yrityksenne riskienhallintatiedon luomisessa ja hyödyntämisessä? Teema 2: RISKIENHALLINTATIEDON LUOMINEN JA HYÖDYNTÄMINEN 8. Miten yrityksenne vastuut riskienhallintatiedon luomisessa ja hyödyntämisessä on määritelty? 9. Miten ja missä tilanteissa riskienhallintatietoja yrityksessänne luodaan? 10. Miten ja millä tavoilla näitä tietoja jaetaan sekä siirretään? 11. Millaisia käytäntöjä teillä on kokonaisvaltaisen riskienhallintatiedon tuottamiseen? 12. Miten sidosryhmät ja keskeiset sopimuskumppanit osallistuvat riskienhallintatiedon luomiseen ja hyödyntämiseen? 13. Miten ja missä tilanteissa riskienhallintatietoja hyödynnetään yrityksessänne? 14. Mitkä ovat mielestäsi tärkeimpiä tekijöitä, jotka tulee ottaa huomioon yrityksenne riskienhallintatiedon luomisessa, siirtämisessä sekä hyödyntämisessä? Teema 3: KEHITTÄMINEN 15. Mitkä ovat keskeisiä haasteita riskienhallintatiedon luomisessa ja hyödyntämisessä tällä hetkellä? Miten näitä haasteita voitaisiin ratkaista? 16. Miten riskienhallintaan liittyvää vuorovaikutusta sekä tiedon luomista ja hyödyntämistä yrityksenne sisällä voitaisiin edelleen parantaa? 17. Kenen vastuulla riskienhallintatiedon luomisen ja hyödyntämisen kehittäminen yrityksessänne on? 18. Miten mielestäsi yleisesti käytössä olevat kansainväliset standardit ja viitekehykset ottavat huomioon riskienhallintatiedon luomisen ja hyödyntämisen? 19. Entä missä määrin ja miten riskienhallinnan standardit sekä viitekehykset huomioivat yhteyden tietojohtamiseen? 20. Miten tietojohtamisen avulla voitaisiin parantaa riskienhallintaa?