Casestudie - Internrevisjon og sikkerhetsstyring - forsikringsbransjen
Utfordringen: Risikosynlighet uten én sannhetskilde
For teamet for internrevisjon og sikkerhetsstrategi og -styring i et mellomstort amerikansk forsikringskonsern hadde risikorapportering blitt en flaskehals i stedet for en forretningsfremmende faktor. Hver revisjonssyklus krevde at analytikerne manuelt konsoliderte risikodata fra flere regneark, delte stasjoner og eldre systemer - en prosess som tok opptil to hele arbeidsdager per rapporteringsperiode. Resultatet var statisk, vanskelig å oppdatere og nesten umulig å presentere på en måte som gjorde det mulig for ledende interessenter å raskt identifisere hvor de mest kritiske risikoene var konsentrert. I en bransje der Regulatorisk kontroll og eksponering for cyberrisiko økervar dette gapet mellom tilgjengelig data og handlingsrettet innsikt i ferd med å bli uholdbart.
Teamets spesifikke problem var fraværet av en dynamisk, visuell risikomatrise som kunne kartlegge trusler etter sannsynlighet og konsekvens i sanntid - og som kunne oppdateres automatisk etter hvert som nye data kom inn. Eksisterende verktøy krevde manuell inntasting etter hver dataendring, noe som førte til problemer med versjonskontroll og inkonsekvente risikoscore på tvers av avdelingene. Med kvartalsvise presentasjoner for revisjonskomiteen og en økende mengde drifts-, compliance- og cyberrisikoer å holde oversikt over, trengte styringsteamet en løsning som kunne skaleres i takt med rapporteringskravene uten å øke antall ansatte.
Løsningen: Power BI Risk Matrix fra LeapLytics
Etter å ha evaluert flere alternativer, implementerte teamet LeapLytics risikomatrise for Power BI - et tilpasset visuelt verktøy utviklet spesielt for visualisering av bedriftsrisiko i Microsofts Power BI-økosystem. Avgjørelsen ble tatt på grunnlag av tre nøkkelkriterier: naturlig integrasjon med det eksisterende Power BI-miljøet, muligheten til å konfigurere risikokategorier og scoringsterskler uten egenutvikling, og et visuelt resultat som var tydelig nok til å kunne brukes direkte i presentasjoner på styrenivå.
Implementeringen ble ledet av internrevisjonsteamet og organisasjonens BI-kompetansesenter i fellesskap. I løpet av de første to ukene koblet teamet den visuelle risikomatrisen til de eksisterende risikoregisterdataene - som lå i en kombinasjon av SharePoint-lister og en intern SQL-database - via Power BIs standard datakoblinger. Ingen datamigrering var nødvendig. Risikoeiere på tvers av forretningsenhetene fikk lesetilgang til dashbordet i sanntid, mens styringsteamet beholdt kontrollen over poengberegningslogikken og kategoridefinisjonene. Utrullingen krevde ingen eksterne konsulenter og ble gjennomført uten å forstyrre det pågående revisjonsarbeidet.
Målbare resultater: Fra statiske regneark til levende risikoinformasjon
Innen 90 dager etter full implementering dokumenterte styringsteamet følgende resultater
- 65% reduksjon i syklustiden for risikorapportering - Det som tidligere tok to dager, tar nå under fire timer per rapporteringsperiode
- Etablering av én sannhetskilde på tvers av internrevisjon, sikkerhet og strategi og styring - eliminerer versjonskonflikter på tvers av avdelinger
- 100% av kvartalsvise presentasjoner for revisjonsutvalget leveres nå direkte fra Power BI-dashbordet - ingen manuell klargjøring av lysbilder er nødvendig
- Risikodekning økt med 30% - Med den sparte tiden kunne teamet utvide antallet risikoelementer som ble sporet opp, fra 48 til 63 uten å måtte ansette flere medarbeidere.
- Raskere eskalering av risikoer med stor innvirkning - Kritiske risikoer er nå synlige for ledende interessenter innen 24 timer etter at de er identifisert, mot 5-7 virkedager i den tidligere prosessen
- Forbedret samordning på tvers av avdelinger - Enhetlig metodikk for risikoscoring på tvers av tre tidligere adskilte funksjoner
Hva teamet sa
"Vi hadde snakket om å forbedre risikovisualiseringen vår i årevis, men innsatsen virket alltid uforholdsmessig stor i forhold til de tilgjengelige verktøyene. LeapLytics' risikomatrise endret dette - den ble koblet direkte til det vi allerede hadde i Power BI og ga oss den typen varmekartvisning vi hadde laget manuelt i PowerPoint. Revisjonsutvalget bruker nå mindre tid på å spørre "hvor kommer disse dataene fra" og mer tid på å diskutere risikoene."
- Direktør for internrevisjon og sikkerhetsstyring, U.S. Insurance Group (anonymisert)
Hva andre organisasjoner kan lære av denne saken
Dette tilfellet er ikke unikt for forsikringsbransjen. Alle organisasjoner som driver internrevisjon, GRC eller sikkerhetsstyring i et Power BI-miljø, står sannsynligvis overfor en variant av den samme utfordringen: risikodata finnes, men infrastrukturen for å visualisere og kommunisere dem i sanntid er ikke på plass.. I følge KPMGs internrevisjonens viktigste risikoområder 2024må internrevisjonsfunksjonene være smidige og rapportere raskt om nye risikoer - en standard som statisk regnearkbasert rapportering i utgangspunktet ikke kan oppfylle.
Tre lærdommer fra denne utplasseringen skiller seg ut og gjelder generelt:
- Begynn med den eksisterende datainfrastrukturen. De mest vellykkede implementeringene krever ingen datamigrering. Hvis risikoregisteret allerede finnes i SharePoint, Excel eller en database som Power BI kan koble seg til, kan du ha en risikomatrise i drift i løpet av få dager - ikke måneder.
- Visuell klarhet skaper engasjement hos interessentene. En godt utformet Power BI-risikomatrise gjør mer enn å organisere data - det endrer hvordan ledelsen samhandler med risikoinformasjon. Når risikoer plottes inn etter sannsynlighet og konsekvens på et levende varmekart, går samtalene fra rapportering til beslutningstaking.
- Styringsteamene trenger ikke å være avhengige av IT. En av de undervurderte fordelene med et tilpasset Power BI-visuelt bilde er at risikoeierne selv kan administrere poengsummer, kategorier og terskelverdier - uten å måtte opprette en utviklingssak. Denne uavhengigheten er avgjørende for team som må reagere raskt på nye trusler.
For organisasjoner i regulerte bransjer - forsikring, finansielle tjenester, helsevesen - er evnen til å demonstrere en strukturert, reviderbar og konsekvent anvendt prosess for risikovisualisering i økende grad en forventning om etterlevelse, ikke bare en beste praksis. Verktøy som LeapLytics risikomatrise for Power BI gjøre denne standarden oppnåelig uten implementeringskostnader på bedriftsnivå.
Industri: Forsikring (USA) Funksjon: Internrevisjon, sikkerhet, strategi og styring Verktøy: LeapLytics risikomatrise for Power BI Tidslinje: 60 dager til full utrulling
