Ingen har väl kunnat undgå det osäkra omvärldsläget. Krig och geopolitiska spänningar, politiska omsvängningar, handelshinder, cyberattacker och osäkra energimarknader påverkar förutsättningarna för företag i nästan alla branscher. Till det kommer en snabb teknikutveckling som skapar nya möjligheter, men också nya beroenden och risker.
CANEA deltog nyligen i två arrangemang med Styrelseakademien som på olika sätt belyste dessa utmaningar. I Stockholm diskuterades hur företag och styrelser kan navigera i en osäker omvärld. Vid en nätverksfrukost i Göteborg stod successionsplanering och beroendet av nyckelpersoner i centrum.
Trots att ämnena var olika gav diskussionerna starka signaler åt samma håll. Det räcker inte att förstå vilka risker och förändringar som kan påverka verksamheten. Organisationen måste också ha förmåga att hantera dem. Det gäller oavsett om utmaningen kommer från politiska beslut och geopolitiska händelser eller från att en nyckelperson plötsligt försvinner.
För styrelser innebär detta att riskhantering inte längre kan behandlas som en fråga vid sidan av det ordinarie strategiarbetet. Omvärldsförändringar och interna sårbarheter kan snabbt påverka såväl affärsmodell och lönsamhet som möjligheten att över huvud taget bedriva verksamheten.
Den 3 november 2026 presenterade EU-kommissionen ytterligare initiativ för att stärka Europas krisberedskap. Bland annat lyftes behovet av kontinuitetsplanering och regelbundna stresstester för nationella civilskyddsfunktioner. Initiativen är en del av EU bredare beredskapsstrategi från 2025, där även näringslivets roll betonas.
Det handlar inte om nya generella krav på alla företagsstyrelser, men utvecklingen illustrerar ett viktigt perspektivskifte: från att främst identifiera och förebygga risker till att också säkerställa förmågan att hantera allvarliga störningar.
Vi har kartlagt riskerna – men klarar vi konsekvenserna?
De flesta styrelser är bekanta med riskmatriser där risker bedöms utifrån sannolikhet och konsekvens. Det är ett användbart verktyg för att prioritera riskhanteringen, men det har sina begränsningar.
En riskmatris kan visa att ett omfattande IT-avbrott skulle få allvarliga konsekvenser. Den säger däremot inte nödvändigtvis hur länge verksamheten kan fungera utan systemen, vilka reservrutiner som finns eller hur snabbt verksamheten kan återställas.
Samma sak gäller kritiska leverantörer, energiförsörjning och nyckelpersoner. Att känna till beroendet innebär inte automatiskt att det finns fungerande alternativ.
En erfarenhet från CANEA arbete med strategi, styrning och riskhantering hos kunder är att det ofta är lättare att identifiera och dokumentera risker än att omsätta analyserna i konkreta åtgärder, tydliga ansvar och fungerande beredskap. Riskhantering riskerar då att bli en återkommande rapporteringsaktivitet snarare än ett verktyg för att stärka verksamhetens motståndskraft.
Det är här kontinuitetshantering blir en viktig del av styrelsens arbete med risk och strategi.
Kontinuitetshantering innebär att identifiera verksamhetens kritiska processer och resurser, bedöma vilka avbrott som kan accepteras och säkerställa att det finns förmåga att upprätthålla eller återställa verksamheten vid störningar.
Det handlar alltså inte om att eliminera alla risker. Det är varken möjligt eller ekonomiskt rimligt. Det handlar om att säkerställa att bolaget kan hantera konsekvenserna av störningar som riskerar att hota verksamhetens viktigaste leveranser.
Styrelsens uppgift är att säkerställa förmågan
Styrelsen behöver naturligtvis inte själv utforma kontinuitetsplaner, reservrutiner eller tekniska lösningar. Det är ledningens och verksamhetens ansvar.
Däremot bör styrelsen säkerställa att arbetet bedrivs systematiskt, att de viktigaste beroendena är identifierade och att det finns en rimlig balans mellan riskexponering, kostnader och beredskap.
Det handlar ytterst om prioriteringar. Alla verksamhetsdelar behöver inte ha samma skyddsnivå och alla avbrott kan inte undvikas. Men styrelsen behöver förstå vilka funktioner som är avgörande för bolagets överlevnad och vilka konsekvenser längre avbrott skulle få.
En särskilt viktig fråga är om kontinuitetsförmågan faktiskt har prövats.
Det är en sak att ha en plan för hur verksamheten ska fungera vid ett IT-avbrott. Det är en annan att genomföra en övning där systemen antas vara otillgängliga och undersöka om organisationen verkligen klarar att hantera situationen.
Övningar och stresstester behöver inte vara komplicerade. En enkel genomgång med ledningen av ett realistiskt scenario kan snabbt synliggöra brister i ansvarsfördelning, kommunikation, beslutsvägar och tillgång till kritiska resurser. Men det kräver att resultaten tas om hand och leder till konkreta förbättringar.
Fem frågor för styrelsen
Ett första steg kan vara att lyfta fem frågor på ett kommande styrelsemöte:
- Vad måste fungera? Vilka produkter, tjänster och verksamhetsprocesser är så kritiska att längre avbrott skulle hota bolagets verksamhet eller ekonomiska ställning?
- Hur sårbara är vi? Vilka beroenden finns till exempelvis IT-system, energi, leverantörer, infrastruktur och nyckelpersoner? Finns fungerande alternativ?
- Hur länge klarar vi ett avbrott? Har vi definierat vilka avbrottstider och konsekvenser som är acceptabla för de mest kritiska verksamhetsdelarna?
- Har vi testat vår förmåga? När prövades kontinuitetsplanerna senast, vad visade testerna och vilka brister återstår?
- Hur följer vi upp? Får styrelsen regelbundet information om kontinuitetsförmågan, kritiska sårbarheter och framstegen i beslutade förbättringsåtgärder?
Svar på frågorna ger ett betydligt bättre underlag för beslut om beredskap och riskreducerande investeringar än enbart en uppdaterad riskmatris.
Från riskrapportering till faktisk motståndskraft
Riskhantering och kontinuitetshantering kompletterar varandra. Riskanalysen hjälper oss att förstå vad som kan inträffa och vilka konsekvenserna kan bli. Kontinuitetshanteringen hjälper oss att säkerställa att verksamheten kan fungera även när riskerna realiseras.
För styrelsen finns också en tydlig koppling till strategin. Ett bolag som är starkt beroende av en enda leverantör, ett kritiskt IT-system eller ett fåtal nyckelpersoner kan ha en betydande strategisk sårbarhet, även om verksamheten fungerar utmärkt i dag. Att minska sådana beroenden kan kräva investeringar, förändrade arbetssätt eller strategiska vägval. Därför hör frågan hemma i styrelserummet.
På CANEA arbetar vi med att hjälpa organisationer att utveckla sin styrning och omsätta riskanalyser och strategiska prioriteringar i praktiskt genomförande. En viktig del är att skapa tydliga samband mellan identifierade risker, ansvar, åtgärder och uppföljning. Det kan också handla om att utveckla kontinuitetsarbetet och pröva organisationens förmåga att hantera kritiska störningar.
Organisationer som har förberett sig för störningar kan också få större handlingsfrihet när omvärlden förändras. De kan lättare anpassa verksamheten, fatta beslut under press och återhämta sig snabbare än om motsvarande förmåga saknas.
I en värld där osäkerheten sannolikt kommer att förbli en del av företagens vardag bör styrelsen därför inte nöja sig med att fråga vilka risker bolaget står inför.
Den viktigare frågan är: Vet vi att bolaget klarar att fortsätta leverera även när något allvarligt går fel?
John Saldin
Managementkonsult, CANEA
0736-002807
John.saldin@canea.se
