Inleiding
Risicomanagement is simpel gezegd het omgaan met kansen en risico’s die je in een organisatie (maar kan ook als persoon of in teamverband of afdeling) kan tegenkomen. Internationaal is door COSO (Committee of Sponsoring Organizations) een kader ontwikkelt om risicomanagement uit te voeren. Dit kader helpt om risico’s te begrijpen, te beheersen en beter voorbereid te zijn op onverwachte situaties. Het doel is om te helpen bij het behalen van gestelde doelen. Dit gebeurt door risico’s te identificeren, ze te beoordelen, en te bepalen of en hoe je ze wilt beheersen.
Nadrukkelijk vermeld ik nu al vast dat in veel literatuur en organisaties teveel aandacht gaat naar de risico’s (negatieve kant) en de kansen (positieve kant) vaak achterblijft. Juist het nu realiseren van een bepaalde kans kan mogelijk een toekomstig risico voorkomen.
Inbedding
De basis van risicomanagement wordt door COSO beschreven in vijf onderdelen:
- Governance en Cultuur Dit gaat over het creëren van een goede basis binnen de organisatie. De juiste mensen en normen zijn belangrijk.
- Strategie en Doelen De organisatie stelt doelen op en kijkt welke risico’s het behalen van die doelen kunnen beïnvloeden.
- Risico-identificatie Hier kijk je welke kansen en risico’s je organisatie kan tegenkomen. Denk aan financiële kansen en problemen, veiligheid, of wetgeving.
- Risico’s beoordelen Je bekijkt hoe groot een risico is en hoe waarschijnlijk het is dat het gebeurt. Daarna bepaal je wat de gevolgen zijn.
- Risico’s beheersen Vervolgens bedenk je hoe je risico’s kunt beperken of vermijden, bijvoorbeeld door betere processen of verzekeringen.
Governance en Cultuur
In de theorie is heel duidelijk beschreven dat de “Tone at the Top” het voorbeeld gedrag bepaald of het uitvoeren van risico management wel zinvol is. De open mogelijkheid om risico’s of fouten te bespreken en daar niet op afgerekend te worden is belangrijk. Ook het rapporteren over risico’s breder in de organisatie is vaak spannend. Als de risico’s oplopen kan ook de leiding immers intern of extern ter verantwoording worden geroepen.
Strategie en doelen
Om de focus te houden over waar het om gaat bij risicomanagement is het steeds de kunst alle risico’s en kansen terug te brengen tot het wel/niet behalen van de doelen. Dit is hier verder niet uitgewerkt,
Risico identificatie, beoordeling en beheersing
Het identificeren van kansen en risico’s is een continue proces wat zich steeds herhaald. In risico management spreken we van:
- Bruto risico (of wel inherente risico) is het totale risico dat een organisatie loopt voordat er maatregelen worden genomen om dit risico te beheersen of te verminderen. Het omvat de volledige omvang van mogelijke negatieve gevolgen van een gebeurtenis of situatie. Het dan nog geen rekening met bestaande beheersmaatregelen. Het eerst definiëren van de bruto risico’s geeft inzicht in alle initiele risico’s en helpt in het stellen van prioritering.
- Netto risico (of ook wel restrisico) is het risico dat overblijft nadat er maatregelen zijn genomen om het bruto risico te beperken. Het geeft het resterende risico weer na mitigerende maatregelen. Het is dan ook goed om de controlemaatregelen die zijn genomen in kaart te brengen en te volgen of ze nog steeds werken. Hierbij ontstaat een realistischer beeld van de risico’s.
Daarnaast is het goed om bij inventarisatie te kijken naar aspect van ” de kans dat een risico zich voordoen” en ” de impact als een bepaald risico” daadwerkelijk plaatsvindt. Deze kun je voor zowel de bruto als netto risico’s berekenen. Waarbij je wel heel goed moet kijken of een genomen maatregel de kans verkleind of het risico verlaagd. Een extra beveiliger verlaagd de kans, een extra verzekering verlaagd het impact. Twee voorbeelden:
Brand in een bedrijfsgebouw:
Mogelijke maatregelen zijn het installeren van brandmelders en sprinklersystemen, reguliere brandveiligheidsinspecties, training van personeel in noodprocedures (verlagen alle drie de kans). Afsluiten van een verzekering (verlaagt de impact). Netto risico op schade blijft aanwezig, bijvoorbeeld door menselijke fout of technische storing, maar de impact wordt sterk verminderd.
Datalek bij een IT-bedrijf:
Mogelijke maatregelen zijn het implementeren van een firewall en encryptie, regelmatige audits en updates van systemen, personeel trainen in cyberveiligheid (verlagen allen alleen de kans). Instellen van protocol voor crisiscommunicatie, stand bij zijn van externe experts (verlagen de impact). Een rest kans op een datalek door een geavanceerde aanval of onbekende kwetsbaarheid zal altijd aanwezig blijven.
Kwantificeren
In de rapportage en het voeren van gesprekken over de ervaren hoogte van een bepaald risico is het goed dat een organisatie een aantal normen afspreekt. Vaak gebruik men daarvoor een schaal van 1 – 10. Waarbij 1- 3 een lage kans is, 4 – 6 een gemiddeld en 7 – 10 een hoog tot zeer hoge kans of impact is. Om dit in te schatten kan je bijvoorbeeld een referentiekader afspreken op aantal strategische aspecten:
Bijvoorbeeld :
- Percentage van de omzet/resultaat als impact ( < 5% is laag, > 5% -> 10% gemiddeld, > 10% is hoog)
- Kans om imago-schade (laag bij alleen lokale impact, midden bij regionale en hoog bij landelijke impact)
- Impact op niet behalen van bepaalde strategische doelen.
Deze risico’s kun je ook nog anders waarderen in de tijd wanneer het risico zich zal gaan voordoen. Risico’s die morgen kunnen optreden scoren vaak hoger dan risico’s op de middellange en langere termijn.
Als je vervolgens de formule “kans x risico” uitrekent in een schaal van 1 – 10 voor zowel bruto als netto risico’s krijg je een weging tussen risico’s. Deze uitkomst kan dan maatgevend zijn voor verdere acties. Bijvoorbeeld een rest risico < 24 doen we niets mee, risico’s tussen 24 > 58 blijven we goed volgen en risico’s > 58 vragen direct actie. Met een beetje kennis van excel kun dit dan ook per risico in een grafiek zetten (hieronder een voorbeeld waarbij 1 het nummer van het beschreven risico is).
Tenslotte een paar tips:
- Beschrijf een risico altijd in een bepaalde tekstuele syntax (bijvoorbeeld : als dit dan dat). Zorg dat er altijd werkwoord (lees actie) in staat.
- Definieer op organisatie niveau eigenlijk nooit meer dan 10 risico’s. Als het er meer zijn laat de laagste risico’s (bijv met score < 24) afvallen. Als het er minder dan 10 zijn dan geen probleem. Kijk ook goed of er (systeem) risico’s zijn die eigenlijk samengevoegd moeten worden.
- Maak als het lukt ook regelmatig een analyse door de risico’s in te delen naar de perspectieven van de balanced scorebord (zie). Dat geeft ook inzicht of je alle risico’s per perspectief helder hebt en waar op dit moment de nadruk ligt.
- Als je continue een hoog rest risico hebt wat ook niet verder omlaag kan door maatregelen dan moet je goed met verantwoordelijke medewerkers praten en geruststellen waar de verantwoordelijk ligt als het risico zich toch gaat voordoen.
- Je kunt een gemiddeld netto risico over de tien risico’s bepalen en daar dan in de tijd een trend in volgen (stijgt of daalt het risico profiel).
- Maak één persoon verantwoordelijk voor de technische verwerking, voorbereiding en beheer van het systeem (van iemand direct in de buurt van de leiding, bijvoorbeeld een concern controller, directeur bedrijfsvoering of een bestuurssecretaris )
@ Zie voor officiële documentatie:
👉 Wiki