New Public Risk Management - en casestudie av risikostyring i NAV i et nyinstitusjonelt perspektiv

Abstract

Denne masteroppgaven handler om hvordan en stor offentlig virksomhet gjenspeiler omgivelsenes forventninger til og forståelser av helhetlig risikostyring.

Forskningsspørsmålene som belyses er: Hvordan tilpasser NAV seg omgivelsenes forventninger om og krav til risikostyring, hva er mekanismene bak dette, og på hvilke måter gjenspeiler NAVs organisering normer knyttet til risikostyring?

Ved hjelp av en kvalitativ, teoristyrt forskningsdesign undersøkes problemstillingen gjennom dokumentanalyse av rapporteringer, revisjonsrapporter, tildelingsbrev og andre styringsdokumenter. Jeg finner at helhetlig risikostyring er et sentralt tema i NAVs institusjonelle omgivelser. Selv om verken økonomireglementet for staten eller ansvarlig departement stiller krav om implementering av et bestemt rammeverk for helhetlig risikostyring, har NAV implementert et rammeverk opprinnelig utviklet for banknæringen i USA («COSO ERM») i sin virksomhetsstyring. Inspirert av nyinstitusjonell teori argumenterer jeg for at konformitet med forståelser av risikostyring som er anerkjente i organisasjonens omgivelser er assosiert med «god» og «ansvarlig» styring. I tillegg argumenterer jeg for at COSO ERM er en organisasjonsoppskrift med stor spredningsevne, forsterket av en forventning i det pågående reformarbeidet (New Public Management) om at offentlig sektor bør adoptere styringsprinsipper fra privat sektor. Videre viser jeg hvordan COSO-rammeverket er en oppskrift med stor organiseringsevne. NAV har gjort en rekke tilpasninger i sin formelle struktur som gjenspeiler anerkjente forståelser av helhetlig risikostyring, og de kommuniserer denne innsatsen tydelig både innad i organisasjonen og utad til interessenter og oppdragsgivere.

This master thesis in sociology seeks to explore how a large public-sector organization reflects understandings of enterprise risk management institutionalized in their environment.

The research questions addressed are: How does the organization adapt to expectations and requirements for risk management in their environment, what are the mechanisms behind this adaption, and in what ways does the organizations formal structure reflect generally accepted norms associated with risk management?

Using a qualitative, theory driven research design these questions are investigated through analysis of company documentation such as annual reports, internal audit reports and internal as well as external guidance documents. I find that enterprise risk management has become a major area of interest in Norwegian public sector environments. Although the relevant legislation does not require the case organization to adopt a specific risk management framework, the organization has incorporated a COSO-ERM inspired approach to risk management; a framework designed for North American financial sector organizations. Informed by neo-institutional theory I argue that conformity to understandings of enterprise risk management that are institutionalized in the environment is associated with "good" and "responsible" governance. I also propose that COSO-ERM is a framework with exceptional diffusion capabilities, enhanced by the on-going modernization of public sector often referred to as the New Public Management. Furthermore, I show that COSO-ERM is a framework with great organizing potential. The case organization has made multiple adaptations that reflect institutionalized understandings of enterprise risk management in their formal structure, and their efforts are documented actively in both internal as well as external communication.