Kuntien riskienhallinnan tilaa selittävät tekijät

Lili-Anne Kihn, Lasse Oulasvirta, Janne Ruohonen, Jaakko Rönkkö & Jani Wacker (toim.) Talous, sääntely, ohjaus – tarkastuksen ja valvonnan ajankohtaiskysymyksiä. Tampere: Tampere University Press 2019, 247–261. http://urn.fi/URN:ISBN:978-952-359-004-5 Kuntien riskienhallinnan tilaa selittävät tekijät Lasse Oulasvirta Artikkeli perustuu kuntiin ja kuntayhtymiin tehtyyn kyselytutkimukseen, jolla kartoitettiin riskienhallinnan tilaa kunnissa vuoden vaihteessa 2012–2013 sekä uudelleen alkuvuonna 2017. Tutkimus on luonteeltaan eksploratiivinen kuvaus, koska näin kattavaa riskienhallinnan kartoitusta ei ole aiemmin tehty kuntasektorilla. Tutkimus on myös ajankohtainen, koska kuntalain riskienhallintaa ja sisäistä valvontaa koskevia säännöksiä on lisätty vuonna 2012 perusteluilla, joissa viitataan kuntien riskienhallinnan puutteellisuuteen. Tulokset osoittavat, että kuntien riskienhallinnan käytännöissä on edelleen puutteita, jos käytäntöjä verrataan riskienhallinnan normatiivisiin malleihin kuten coso-erm -malliin. Kuntien ja kuntayhtymien talousja muun ympäristön kiristyessä, kun samanaikaisesti toimitaan yhä enemmän julkisen ja yksityisen rajapinnassa mm. ulkoistamisen ja ostopalvelujen kautta, riskienhallinnan avulla saavutettavissa olevat hyödyt ovat yhä ilmeisempiä. Lasse Oulasvirta 248 Johdanto Riskienhallinnan ydinajatus on yrityssektorilla se, että riskeihin varaudutaan etukäteen ja että yritys voi kaikissa olosuhteissa kyetä jatkamaan toimintaansa. Yrityksen riskienhallintaa pidettiin aiemmin kapeana erityisosaamisen alueena, joka perustui lähinnä vakuutussuojaukseen, vakuutusten hankkimiseen (Suominen 2005, 155). Sittemmin on riskienhallinnan sisältö kehittynyt merkittävästi. Riskienhallinnan sanastossa Enterprise Risk Management (erm) nähdään kokonaisvaltaisena toimintona ja osana yrityksen hyvää johtamisja hallintokäytäntöä (Frigo & Anderson 2011; Hoyt & Liebenberg 2011). Yrityksen tulisi tehdä huolellinen riskikartoitus ja luoda riskiprofiili sekä kohdistaa riskienhallinta kokonaisvaltaisesti toimintoihin. Myös kuntien riskeihin varautuminen painottui aiemmin vakuutuspolitiikan harjoittamiseen, tyypillisesti vahinkovakuuttamiseen (omaisuuden vakuuttaminen, palovakuuttaminen jne.) (Enberg 2002). Päinvastoin kuin yrityksissä liikeriskien hallinta ei ole ollut eikä ole tänäänkään kuntien toiminnan ydinalueella. Toisaalta kuntien monitoimialaisuus, poliittis-hallinnollinen organisaatio ja tehtävien lakisääteisyys tuovat omat erityispiirteensä kuntasektorin riskienhallintaan. Vasta viime vuosikymmenien aikana on suuntaus ollut edistää kunnissa riskeihin varautumista holistisella riskienhallinnalla ja aiempaa systemaattisemmin. Tähän on osaltaan vaikuttanut paitsi keinovalikoimien lisääntyminen myös kuntien tehtävien ja ympäristön monimutkaistuminen. Esimerkiksi tietoturvallisuus ja tietoriskit ja toisaalta sijoitustoiminnan riskit ovat nousseet esille (ks. Kuntaliitto 2016). Tämän artikkelin tarkoitus ei ole porautua riskienhallinnan yksityiskohtiin eikä eri riskienhallintakeinojen keinojen tarkempaan sisältöön, vaan juuri tähän riskienhallinnan muutokseen ja erityisesti siihen, missä määrin kunnissa on siirrytty normatiivisen ammattija konsulttikirjallisuuden peräänkuuluttamaan kokonaisvaltaiseen ja systemaattiseen riskienhallintaan. Tässä normatiivisessa kirjallisuudessa yksi malli ylitse muiden on niin sanottu coso erm kokonaisvaltainen riskienhallintamalli, joka Kuntien riskienhallinnan tilaa selittävät tekijät 249 syntyi viime vuosituhannen loppupuolella yrityssektorilla ja jota on luonnehdittu yleisorganisatoriseksi (coso 2017). Sitä on promovoitu myös julkissektorille. Riskienhallinnan tila kunnissa tutkimusten valossa Vuoden 2014 alusta voimaan tulleet säännökset edellyttivät kuntien ja kuntayhtymien riskienhallinnassa entistä kokonaisvaltaisempaa otetta ja parempaa kypsyystasoa. Kuntien riskienhallinnan nykytilaa tutkittiin (Kiviaho, Oulasvirta & Paananen 2013; Oulasvirta, Paananen, Kiviaho & Sandström 2014) juuri ennen kuntalain muutosta, joka sääti valtuustoille velvoitteet päättää riskienhallinnan ja sisäisen valvonnan periaatteista. Mainitun tutkimuksen empiiriset analyysit perustuvat Kuntien riskienhallintakyselyyn, joka toteutettiin 10/2012–2/2013 yhteistyössä Kuntaliiton, Tampereen yliopiston ja Oy Audiapro Ab:n (nykyisin bdo Audiator Oy) kanssa. Kysely lähetettiin kaikkiin Manner-Suomen kuntiin ja sairaanhoitopiireihin sekä koulutuskuntayhtymiin. Kysely osoitettiin kaupunkien, kuntien ja kuntayhtymien ylimmille johtajille, mutta myös muille johtaville viranhaltijoille annettiin vastausmahdollisuus (esim. riskienhallintapäällikkö, hallintopäällikkö, talousjohtaja, sisäisen tarkastuksen päällikkö). Kysely sisälsi riskienhallintaa koskevia väittämiä liittyen mm. riskienhallintaa koskevien asiakirjojen olemassaoloon, riskienhallinnan kokonaisvaltaisuuden toteutumiseen, riskienhallinnan jalkauttamiseen sekä riskienhallinnan seurantaan ja tuloksellisuuteen. Väittämät olivat muodossa: ”Arvioi väittämän toteutumista asteikolla 1–5 (1 = erittäin huono …. 5 = erittäin hyvä tai eos = en osaa sanoa)”. Vastauksista summamuuttujia muodostamalla voitiin arvioida vastaajien organisaatioiden riskienhallinnan systemaattisuutta ja kokonaisvaltaisuutta. Kuntien ja kuntayhtymisen vastausten keskiarvot olivat suhteellisen matalia. Keskiarvot, jotka kuvastivat riskienhallinnan kokonaisvaltaisuutta ja riskienhallinnan jalkauttamista, olivat tyypillisesti välillä 3–3,5. Täl- Lasse Oulasvirta 250 Taulukko 1. Riskienhallinnan kokonaisvaltaisuus, keskiarvotarkastelu (asteikko 1–5) (Oulasvirta, Paananen, Kiviaho & Sandström 2014, taulukko 2) 1. strategiset riskit 2. lait ja säännökset 3. operatiiviset riskit 4. rahoituksen ja talouden riskit 5. riskit eri organisaatiotasoilla 6. ulkoistetut palvelut 7. jär jes tel mällinen viitekehikko riskienhallinnassa Kunnat n, kpl 3.14 106 3.66 109 3.69 108 3.68 109 3.52 108 2.94 105 1.73 90 Koulutuskuntayhtymät n, kpl 3.71 17 4.00 17 3.76 17 3.88 17 3.65 17 3.19 16 2.76 17 Sairaanhoitopiirit n, kpl 3.22 9 3.78 9 3.78 9 3.78 9 3.67 9 3.67 9 3.22 9 Muut1) n, kpl 4.00 4 4.00 5 3.60 5 4.20 5 3.20 5 2.50 4 1.20 5 Kaikki yht. n, kpl 3.24 138 3.72 138 3.70 141 3.72 139 3.52 138 2.99 121 1.96 138 1) Muut-rivi koostuu viidestä kuntayhtymästä, jotka eivät olleet varsinaisia koulutustai sairaalakuntayhtymiä. Taulukon muuttujakuvaukset (asteikko: 1 = erittäin huono… 5 = erittäin hyvä). 1. strategiset riskit = riskienhallinta kattaa strategiset riskit (mm. strategisia tavoitteita uhkaavat riskit) 2. lait ja säännökset = riskienhallinta kattaa lakien ja säännösten noudattamiseen liittyvät riskit 3. operatiiviset riskit = riskienhallinta kattaa toiminnan operatiiviset riskit (mm. operatiivisia tavoitteita uhkaavat riskit) 4. rahoitus ja talous = riskienhallinta kattaa rahoituksen ja talouden muut olennaiset riskit (mm. rahoitukseen ja talouteen liittyviä tavoitteita uhkaavat riskit) 5. organisaatiotasot = riskienhallinta kattaa eri organisaatiotasot (esim. vastuualueet ja tulosyksiköt) 6. ulkoistetut palvelut = riskienhallinta kattaa ulkoistetut palvelut (mm. sopimusriskit) 7. järj. viitekehikko = riskienhallinta perustuu järjestelmälliseen viitekehikkoon (esim. iso 31000, coso erm) Kuntien riskienhallinnan tilaa selittävät tekijät 251 laisen tuloksen (asteikolla 1–5) voi tulkita tarkoittavan sitä, että kuntien ja kuntayhtymien riskienhallinnan puitteet eivät olleet kyselyn ajankohtana kokonaisvaltaisen riskienhallintaprosessin eri osa-alueet systemaattisesti käsittäviä. Tuloksien valossa voidaan myös todeta, että tilanne ei vastaa riskienhallintakirjallisuudessa esiintyvää järjestelmällistä toimintamallia kokonaisvaltaisesta riskienhallinnasta. Kyselyn tulosten mukaan riskienhallintaprosessi ei useinkaan perustunut kyselyajankohtana järjestelmälliseen viitekehykseen kuten esimerkiksi tunnettuun coso erm -malliin. Juuri tämä kysymys sai kaikkein alhaisimman vastausten keskiarvon kaikilla vastaajaryhmillä (Oulasvirta ym. 2014). Riskienhallinnan kypsyystason arviointi Kyselyn tulokset osoittivat, että koulutuskuntayhtymien ja sairaalakuntayhtymien riskienhallinta on keskimäärin jonkin verran kehittyneempää kuin peruskunnissa. Niissä riskienhallinta kattaa laaja-alaisemmin eri riskilajit, ja riskienhallinnan prosessin eri vaiheet toteutuvat peruskuntia jonkin verran kattavammin. Tätä tulosta voi selittää se, että koulutuskuntayhtymien rahoitus perustuu niille asetettuihin tavoitteisiin ja suoriutumiseen, jolloin niihin liittyvät riskit vaikuttavat välittömästi kuntayhtymien talouteen. Rahoitukseen, suoriutumiseen sekä ulkopuolisiin arviointeihin perustuvalla tilivelvollisuudella lienee myönteinen vaikutus riskienhallintaan. Sairaalakuntayhtymien kohdalla tuloksia voi selittää mm. se, että ne ovat kooltaan monia vastanneita peruskuntia suurempia, jolloin niillä on mahdollisuuksia paremmin osoittaa resursseja riskienhallintaan. Toisaalta sairaalakuntayhtymien toimintaan liittyvät riskit voivat olla seurauksiltaan varsin konkreettisia ja vakavia, esimerkiksi potilasturvallisuuden ja ihmishenkien vaarantumisia, minkä vuoksi niissä on keskitytty juuri Lasse Oulasvirta 252 näihin liittyvien riskien ennaltaehkäisyyn ja hallintaan. (Oulasvirta ym. 2014.) Paapen ja Speklen luokittelulla (2012, 542) kypsyystasoja voidaan erottaa viisi. 1. Riskienhallinta on pääasiassa tapauskohtaista, ei suunnitelmaa kokonaisvaltaisesta riskienhallinnasta 2. Riskienhallinta on aktiivista muutamassa tehtävässä (esim. työsuojelu ja rahoitusriskit); kokonaisvaltainen riskienhallinta (erm) harkinnassa 3. Riskienhallinta on aktiivista muutamassa tehtävässä ja suunnitellaan erm:ä 4. Rahoituksen, operaatioiden ja normien noudattamisen riskejä tunnistetaan, arvioidaan ja kontrolloidaan; erm-systeemiä ollaan panemassa toimeen 5. Rahoituksen, operaatioiden ja normien noudattamisen riskejä tunnistetaan, arvioidaan ja kontrolloidaan; erm-systeemi on jo integroitu (strategiseen) suunnitteluja seurantasykliin Edellä mainittua Paapen ja Speklen (2012) luokittelua soveltaen monissa kunnissa ja kuntayhtymissä oltiin kyselyajankohtana kehitysportaikon ensimmäisellä tai toisella askelmalla (luokittelun kohdat 1. ja 2.). Joissakin kunnissa ja kuntayhtymissä oli edetty luokittelun askelmalle 3. (Oulasvirta ym. 2014.) Edellä mainitun tutkimusraportin kirjoittajat esittivät lopuksi, että koska kuntien koossa, taloudessa, toimintatavoissa ja ympäristötekijöissä sekä niihin liittyvistä riskeissä on eroja, myös riskienhallintaa pitää sovittaa kunkin kunnan olosuhteisiin ja tarpeisiin. Tämänkaltainen argumentointi viittaa kontingenssiajattelun relevanttiuteen. Riskienhallinnan kokonaisvaltaisuus voidaan toteuttaa eri tavoin, esimerkiksi pienissä kunnissa riskienhallinnan prosessien ja muodollisuuksien aste voi olla vähäisempi kuin suurissa kunnissa. Luonnollisesti riskienhallinnan toteuttamisessa tarvitaan myös kustannusten ja hyötyjen samanaikaista punnintaa. Kuntien riskienhallinnan tilaa selittävät tekijät 253 Kuntien riskienhallintakyselyn jatkoanalyysi Edellä kerrotulla aineistolla Oulasvirta ja Anttiroiko tekivät jatkoanalyysiä (2017) regressioanalyysin avulla. Tutkijoiden kiinnostuksen kohteena oli juuri kunnan koon ja muiden tekijöiden yhteys kokonaisvaltaisen riskienhallinnan esiintymiseen kunnissa. Tässä jatkotutkimuksessa olivat mukana vain kunnat, eivät siis kuntayhtymät. Regressioanalyysiä varten muodostettiin hypoteeseja seuraavan mallin perusteella (Oulasvirta & Anttiroiko 2017, kuvio 1). Tätä mallia siis testattiin regressioanalyysillä. Regressioanalyysissä kokonaisvaltaisen riskienhallinnan esiintymistä selitettiin kokotekijän lisäksi kunnan talouden tilaa kuvaavilla muuttujilla, sisäisen tarkastuksen funktion esiintymisellä ja riskienhallintapäällikkötyyppisen viran esiintymisellä kunnissa. Regressioanalyysin tuloksia kuvaa seuraava taulukko. Kuvio 1. Malli kokonaisvaltaisen riskienhallinnan esiintymisestä kunnissa Lasse Oulasvirta 254 Taulukko 2 Riskienhallinnan kokonaisvaltaisuutta kuvaava summamuuttuja (Oulasvirta & Anttiroiko 2017, taulukko 4) Malli 1 UnStd Collinearity Malli 2 UnStd Collinearity Variables Std. Beta BSig. Tolerance VIF Std. Beta BSig. Tolerance VIF (Constant) 3.747 .000 4.334 .000 Big Four tilintarkasusyhteisö (dummy) -.108 -.161 .361 .667 1.499 Sisäisen tarkastuksen funktio (dummy) -.179 -.250 .205 .473 2.115 Riskienhallintapäällikkö (dummy) .018 .053 .885 .566 1.766 Kertynyt ali-/ylijäämä .208 9.892E-5 .088 .640 1.564 .154 7.368E-5 .241 .543 1.843 Maksuvalmiuspäivät -.228 -.003 .050 .705 1.418 -.147 -.002 .240 .603 1.658 Lainakanta -.245 .000 .014 .997 1.024 -.239 .000 .018 .938 1.066 Henkilöstömäärä -.040 -9.908E-6 .695 .892 1.121 -.022 -5.427E-6 .884 .409 2.442 Politiikkamuuttujat Väkiluvun muutos Valtionapujen osuus (%) tuloista -.033 -.125 -.203 -.002 .107 -.010 .757 .261 .161 .823 .755 .449 1.215 1.325 2.229 Model F-value 2.815 1.885 Model significance .029 .058 Adjusted R2.068 .082 N101 100 Kuntien riskienhallinnan tilaa selittävät tekijät 255 Vain malli 1 oli kokonaisuudessaan tilastollisesti merkitsevä (taulukossa Model significance 0,029). Testatun mallin (Adjusted R2 oli 0,068) muuttujilla pystyttiin kuitenkin selittämään vain vähän kokonaisvaltaisen riskienhallinnan esiintymistä kunnissa. Tämä on sinänsä merkittävä tulos, koska se implikoi sitä, että muut kuin rakenteelliset ja poliittiset seikat selittävät kokonaisvaltaisen erm-tyyppisen riskienhallinnan esiintymistä kunnissa. Muut kuntakohtaiset erityispiirteet selittävät, miksi jokin tietty kunta on omaksunut erm-tyyppisen riskienhallinnan. Malli 1 oli redusoitu sisältämään kaksi tärkeimmäksi osoittautunutta selittävää muuttujaa eli kunnan koon ja talouden tilaa kuvaavat muuttujat. Malli 2 sisälsi kaikki mallin muuttujat kontrollimuuttujineen. Niistä Big Four -muuttuja eli kuuluiko kunnan tarkastusyhtiö niin kutsuttuihin kansainvälisiin Big Four -yhtiöihin vai ei, sekä sisäinen tarkastuksen funktion olemassaolo (kyllä tai ei) saivat negatiivisen regressiokertoimen. Nämä kertoimet olivat kuitenkin tilastollisesti ei-merkitseviä. Big Four -muuttujan osalta tulos oli odotettu. Näin koska Suomessa on kansainväliseen Big Four -yhtiöiden määritelmään kuulumaton bdo Audiator, joka on nimenomaan kuntasektorin tilintarkastukseen keskittynyt yhtiö päinvastoin kuin Suomessa toimivat Big Four -yhtiöt. Näillä viime mainituilla ei siis ole etukäteen oletettuna positiivisempaa vaikutusta kokonaisvaltaisen riskienhallinnan esiintymiseen kuin ensin mainitulla kuntasektorin tilintarkastusmarkkinoita johtavalla yhtiöllä. Sisäisen tarkastuksen muuttujan ei-merkitsevyys oli vastoin oletusta, jonka mukaan sisäinen tarkastus johtaa tehokkaaseen kokonaisvaltaisen riskienhallinnan suosittamiseen kunnissa ja sitä kautta edelleen positiivisesti sen esiintymiseen kunnissa. Korrelaatiotarkastelussa kuntakoolla (asukasluvulla mitattu) oli jonkin verran yhteyttä olettamusten mukaisesti eli siten suuremmissa kunnissa esiintyi jonkun verran enemmän kokonaisvaltaista riskienhallintaa kuin muissa pienemmissä kunnissa. Mutta kun edettiin regressioanalyysiin ja mallin muiden muuttujien lisäämiseen tarkastelussa, kunnan koon vaikutus olikin tilastollisesti ei-merkitsevä.