Risicomanagement in de zorg

Transcriptie

1 Risicomanagement in de zorg Zorg verlenen is mensenwerk. De kwaliteit van de zorg is afhankelijk van de competenties, betrokkenheid en inzet van zorgprofessionals. Om deze kwaliteit te borgen en de daarmee samenhangende doelstellingen te bereiken, hebben zorginstellingen beleid ontwikkeld en procedures geïmplementeerd. Het doel daarvan is het gedrag van medewerkers gericht beïnvloeden. Maar hoe maakt u ze bewust van de risico s van het niet naleven van procedures? Wat gebeurt er met de zorginstelling als de politiek besluit om verzekeringspremies inkomensafhankelijk te maken? Wat gebeurt er wanneer een hack ervoor zorgt dat het informatiesysteem enige dagen niet beschikbaar is? Bent u voorbereid op een reputatiecrisis? Risicomanagement ontwikkelt zich steeds meer tot een instrument dat niet alleen het bestuur, maar ook managementniveaus daaronder ondersteunt bij het tijdig herkennen en onderkennen van risico s. Door stelselmatig risicoanalyses uit te voeren, kan uw instelling tijdig en vaak goedkoper actie ondernemen om de gevolgen van risicovolle gebeurtenissen te beperken. In de praktijk is echter nog vaak sprake van ondoelmatig en versnipperd risicomanagement. De vraag is hoe integraal risicomanagement er in de praktijk uitziet. Aon deelt op basis van de jarenlange ervaring met risicomanagement bij zorginstellingen graag zijn visie met u. Zodat u voorbereid bent op de toekomst en uw aandacht gericht blijft op de zorg. Whitepaper Januari 2014

2 Inhoud: 1 Inleiding 3 2 Risico s in de zorgsector Externe risico s Interne risico s 6 3 Risicobeheersing maakt het verschil 7 4 Haal meer toegevoegde waarde uit risicomanagement 10 Kritische succesfactoren voor risicomanagement 11 Contact 12 Over Aon 12 2 Whitepaper: Risicomanagement in de zorg Januari 2014

3 1 Inleiding De veranderingen in bekostiging, de toenemende invloed van de zorgverzekeraar en de verzelfstandiging van zorgaanbieders zijn voorbeelden van het veranderende zorglandschap. Deze veranderingen dwingen zorginstellingen om meer te ondernemen en zorgprocessen bedrijfsmatiger aan te sturen. Dit betekent tot op zekere hoogte risico s nemen. Tegelijkertijd vereist dit een meer proactieve benadering en beheersing van zowel strategische, bedrijfsmatige als operationele risico s. Ervaringen uit het verleden helpen nauwelijks bij het voorbereiden op de risico s van de toekomst. Aon verwacht dat hedendaagse ontwikkelingen ons leren dat kansen en bedreigingen voor zorginstellingen steeds vaker uit verschillende hoeken komen en elkaar met toenemende snelheid opvolgen. Denk hierbij aan de gevolgen van technologische ontwikkelingen als ehealth, de mogelijkheden van domotica en de ontwikkeling van medicijnresistentie. Volledig geïnformeerd en op de hoogte blijven van de laatste ontwikkelingen in uw sector is de beste manier om voorop te lopen en tijdig te anticiperen op de steeds veranderende omgeving. Risicomanagement is een gemeenschappelijke, systematische en transparante aanpak voor de beheersing van risico s. Het biedt zorgbestuurders en belanghebbenden een kompas om op koers te blijven of tijdig het roer om te gooien, voordat de instelling in een storm terecht komt. Effectief risicomanagement bestrijkt de gehele instelling. Dat wil zeggen alle organisatieniveaus en alle risicocategorieën. Zowel intern als extern. De belangrijkste misvatting is dat effectief risicomanagement alle mogelijke risico s wegneemt. Dat is een utopie en in de praktijk onbetaalbaar. De belangrijkste doelstelling van risicomanagement is de organisatie op koers te houden en de risico s die zich daarbij voordoen weloverwogen te nemen of te verminderen. Risicomanagement is daarom niet een proces dat u moet doorlopen om aan de eisen van uw interne en externe toezichthouders te voldoen, maar een instrument om de ambities van uw organisatie te verwezenlijken. 3 Whitepaper: Risicomanagement in de zorg Januari 2014

4 2 Risico s in de zorgsector In het verleden richtten zorginstellingen hun aandacht primair op de kwaliteit van het zorgproces. Tegenwoordig dwingen de huidige en toekomstige ontwikkelingen bestuurders meer te anticiperen op onzekerheid. De gevolgen van externe risico s kunnen catastrofaal zijn wanneer er onvoldoende aandacht voor is of de impact ervan wordt onderschat. Daarnaast worden mogelijke belangrijke kansen gemist omdat de potentie ervan te laat wordt onderkend. Systematische identificatie, inschatting, vastlegging en monitoring van deze externe risico s is dus een vereiste voor het borgen van de continuïteit van de instelling. Om een idee te krijgen van het bereik van risicomanagement worden hieronder een aantal externe en interne risico s benoemd die voor de gehele zorgsector gelden. Waar relevant worden specifieke voorbeelden van de juiste maatregelen gegeven. 2.1 Externe risico s Bij externe risico s liggen de oorzaken buiten de zorginstelling. Deze risico s staan veelal op het netvlies van bestuurders en management. Het inschatten van de kans dat zich een risico aandient, de potentiële gevolgen ervan, evenals de inschatting in hoeverre een risico acceptabel is, verschilt per bestuurder of manager. Daarom is het van belang dat risico s en de mate waarin deze acceptabel zijn, collectief worden ingeschat en geëvalueerd. Bestuurders en managers moeten zich afvragen of de huidige risicobeheersmaatregelen effectief zijn. De wijze waarop de instelling omgaat met externe risico s en kansen, bepaalt het toekomstige succes van de gehele instelling. Economie Onvoldoende externe financieringsmogelijkheden Onbetaalbare zorg Politiek Bezuinigingen overheid Inkomensafhankelijke zorgpremies Wijzigingen in bekostigingssystematiek Markt Macht zorgverzekeraars Toename concurrentie door ZBC s en EDC s Afnemende vraag naar zorg door hoger eigen risico Nieuwe markten (bijvoorbeeld voor ouderen) Maatschappij Vergrijzing bevolking Kritische consumenten Beeldvorming media (social media) Economie In het verleden waren zorginstellingen voor financiers vrijwel risicoloze investeringen. Tegenwoordig is het voor instellingen lastiger om externe financiering te vinden. Bijvoorbeeld voor nieuwbouw of investeringen in apparatuur en onderzoek. Dit komt enerzijds door wijzigingen in de bekostiging. Daardoor neemt de liquiditeitsbehoefte op de korte termijn voor veel instellingen toe. Anderzijds zorgt het afbouwen van de kapitaallastenvergoeding ervoor dat het risicoprofiel van instellingen voor financiers stijgt. 4 Whitepaper: Risicomanagement in de zorg Januari 2014

5 Politiek Instellingen hebben steeds meer te maken met ingrijpende veranderingen op financieel vlak vanuit de politiek. Zo moeten bezuinigingsdoelstellingen miljarden opleveren. Door die bezuinigingsdoelstellingen is onder meer het eigen risico verhoogd, de AWBZ uitgekleed, zijn delen van de zorg overgedragen aan gemeenten en wordt een inkomensafhankelijke zorgpremie overwogen. Een complicerende factor is echter dat het overheidsbeleid voor de zorgsector inconsistent en incident gedreven is. Daarnaast heeft de Inspectie voor de Gezondheidszorg (IGZ) een duidelijkere taakstelling en mandaat gekregen. Dat brengt nog meer risico met zich mee, omdat de IGZ bijvoorbeeld eerder een afdeling kan sluiten. Markt Ook de markt voert de druk op zorginstellingen op. Vanwege toenemende marktwerking stijgt de (inkoop)macht van zorgverzekeraars. Er worden meer eisen gesteld aan de kwaliteit van de dienstverlening en de administratieve lasten nemen toe. Tegelijkertijd tracht men de kosten te drukken door de beschikbare budgetten te beperken. Jaarlijkse onderhandelingen worden hierdoor steeds harder gevoerd. Zorginstellingen kampen daardoor met onzekerheid ten aanzien van de aanbesteding van zorg- en productieafspraken. Bovendien moeten instellingen meer aandacht besteden aan profilering van de organisatie. In regio s met relatief veel ziekenhuizen bijvoorbeeld, moet een ziekenhuis keuzes maken in haar portfolio om te overleven. Daarnaast ontstaat concurrentie door de oprichting van Eerstelijns Diagnostische Centra (EDC s) en Zelfstandige Behandel Centra (ZBC s). De dienstverlening van zorginstellingen wordt ook beïnvloed door allerlei technologische ontwikkelingen, zoals nanotechnologie, ehealth en 3D printing. Hierdoor kan de zorgverlening mogelijk beter, efficiënter en effectiever worden. Maatschappij Het aantal ouderen groeit de komende jaren sterk en de gemiddelde levensverwachting neemt toe. De vraag naar zorg, zowel voor ziekenhuizen als instellingen in de VVT-sector, stijgt daarmee. Dit is een kans voor zorginstellingen, ware het niet dat vanuit bezuinigingsperspectief de zorgkosten beperkt moeten worden. De zorgvraag moet dus anders dan voorheen beantwoord worden. De arbeidsmarkt voor zorg laat momenteel geen grote tekorten zien*, met uitzondering van bepaalde regio s en voor specifieke branches of functies. Op langere termijn kunnen wel forsere personeelstekorten ontstaan. Door vergrijzing van het personeelsbestand en dalende instroom in het relevante beroepsonderwijs door ontgroening. Uit internationaal onderzoek van Aon blijkt dat zorginstellingen intuïtie en ervaring van senior management duiden als belangrijkste methoden om belangrijke risico s te identificeren en te beoordelen. * Arbeid in Zorg en Welzijn 2012 Integrerend jaarrapport. Onderzoeksprogramma Arbeidsmarkt Zorg en Welzijn. 5 Whitepaper: Risicomanagement in de zorg Januari 2014

6 2.2 Interne risico s Bij interne risico s ligt de oorzaak van de risico s bij de organisatie zelf. Hieronder worden een aantal veel voorkomende risico s benoemd. Strategie implementatie Strategie en organisatiedoelstellingen worden onvoldoende vertaald naar de organisatie Onbekend zijn met en traag reageren op externe ontwikkelingen Organisatie Onduidelijke verantwoordelijkheden en bevoegdheden Onvoldoende kwaliteit managementinformatie operatie, Cultuur niet veranderingsgericht Niet transparante besluitvorming Personeel Onvoldoende flexibiliteit en kwantiteit personeelsbestand en onvoldoende aanbod van nieuwe medewerkers Veiligheid van de medewerker Onvoldoende gemotiveerd personeel Hoge werkdruk, verzakelijking van de zorg Processen & Middelen Kwalitatieve zorg bieden met minder middelen Patiënt- en cliëntveiligheid (medicatie, brand) ICT uitval of cyberrisico s Niet voldoen aan wet- en regelgeving Strategie Om goed bedachte strategieën te implementeren, zijn meetbare doelstellingen onmisbaar. Met duidelijk gedefinieerde bevoegdheden en verantwoordelijkheden kunnen deze doelstellingen vervolgens worden gerealiseerd. Dit geldt ook voor veranderingsprocessen. Instellingen die aangeven dat de cultuur niet veranderingsgericht is, dienen eerst te definiëren wat onder verandering wordt verstaan, waarom verandering noodzakelijk is en wat ermee bereikt wordt. Pas dan kunnen acties gedefinieerd worden om de gestelde doelstellingen te realiseren. Tot slot moet het verantwoordelijk management en bestuur actief de voortgang monitoren en resultaten evalueren. Dat leidt tot verandering. Een risico dat samenhangt met de strategie van een instelling is onvoldoende of traag inspelen op externe ontwikkelingen. Bijvoorbeeld de mogelijkheden van ehealth niet tijdig onderkennen. Hierdoor kan de marktpositie van instellingen verzwakken. Ook het niet tijdig inspelen op overheveling van zorgtaken van AWBZ naar WMO is een mogelijk risico. Organisatie Aansluitend aan de opmerking over strategie implementatie en verandering, zijn duidelijke taken, bevoegdheden en verantwoordelijkheden een voorwaarde voor effectief risicomanagement en interne beheersing. Het is aan te bevelen per risico één risico-eigenaar aan te wijzen die verantwoordelijk is voor de verdere analyse, beheersing en monitoring van het risico. Vaak is dit de manager wiens doelstelling door dit risico wordt geraakt. Om dit te kunnen doen heeft de risico-eigenaar goede managementinformatie nodig. In de praktijk blijkt echter dat managementinformatiesystemen (MIS) nog niet voldoen aan de eisen die het management stelt om binnen de huidige zorgomgeving correct te kunnen sturen. Transparantie van besluitvorming, of beter gezegd het gebrek daaraan, is eveneens een belangrijke risicobron voor het onvoldoende sturen van de organisatie. Personeel Aandachtspunten voor zorginstellingen zijn flexibiliteit en kwaliteit van de medewerkers en aanbod van 6 Whitepaper: Risicomanagement in de zorg Januari 2014

7 Duidelijke taken, bevoegdheden en verantwoordelijkheden zijn een voorwaarde voor effectief risicomanagement en interne beheersing nieuwe medewerkers. Door de vergrijzing van de beroepsbevolking, bezuinigingen en het imago van de beroepsgroep neemt het aanbod van zorgprofessionals structureel af. Met name bij verplegend personeel. De aantrekkelijkheid van een regio waarin de instelling zich bevindt, bepaalt mede het aanbod. Vooral voor bepaalde specialismen is het steeds moeilijker gekwalificeerde professionals te vinden. Denk aan het tekort aan maag-, lever- en darmartsen. Een oplossing hiervoor is het samenwerken met andere instellingen of het concentreren van de expertise. Dit brengt echter direct afhankelijkheids- en (strategische) positioneringsvraagstukken met zich mee. Bezuinigingen stellen de motivatie van het personeel op de proef. Met name in de VVT-sector zijn medewerkers onvoldoende flexibel inzetbaar. Door de jaren heen hebben medewerkers op maat gesneden roosters gekregen. Daardoor kunnen die instellingen niet snel inspelen op uitval van personeel of een snel veranderende zorgvraag. Dit heeft omzetverlies en reputatieschade tot gevolg. Om piekmomenten in de zorgvraag op te vangen is een flexibel medewerkersbestand noodzakelijk. Processen & Middelen Zorgprocessen brengen voortdurend terugkerende risico s met zich mee. Voor de zorgverleners is patiënten cliëntveiligheid zorg nummer één. Vaak is daar als onderdeel van kwaliteitsmanagement veel aandacht voor. Onafhankelijke auditors en inspecteurs beoordelen de naleving van protocollen en procedures tenminste jaarlijks als onderdeel van de kwaliteitscertificering. Toch doen zich regelmatig incidenten voor die steeds vaker de media halen omdat er een of meerdere slachtoffers te betreuren zijn. Soms door een menselijke fout en soms door een calamiteit, zoals een snel uitslaande brand. Zorginstellingen krijgen te maken met verdergaande automatisering, integratie van bedrijfsprocessen, Cloud Computing, BYOD, Big Data en Social Media. De risico s van uitval van ICT en medische apparatuur door een storing of cyberaanval, het onvoldoende beveiligen van privacygevoelige informatie of niet voldoen aan bijbehorende wet- en regelgeving, zoals de Wet bescherming persoonsgegevens, nemen hierdoor in de toekomst verder toe. 3 Risicobeheersing maakt het verschil Bovengenoemde risico s vormen een bedreiging voor de continuïteit van uw instelling. Wees echter gerust, het zijn risico s. Ze hoeven zich niet voor te doen of niet in de mate waarin ze waren ingeschat. Toch dient u als goed bestuurder de risico s voor uw instelling te kennen en in te schatten welke gevolgen ze hebben voor de doelstellingen van uw instelling op korte en lange termijn. Indien de huidige processen, systemen en maatregelen onvoldoende lijken om deze risico s en de mogelijke gevolgen ervan af te dekken, dan moet u additionele maatregelen treffen. Zodoende kunt u anticiperen op onverwachte gebeurtenissen en de gevolgen daarvan beheersen, binnen de door het bestuur gedefinieerde limieten van risicoacceptatie. Kortom, zonder expliciete doelstellingen, geen interne risicobeheersing. 7 Whitepaper: Risicomanagement in de zorg Januari 2014

8 Omdat de risicobereidheid per instelling verschilt, is het van belang deze expliciet te definiëren en te communiceren met alle belanghebbenden. Deze risicobereidheid kan gedefinieerd worden in kwantitatieve en kwalitatieve termen. Voorbeelden zijn materiele schade, aantal klachten, aantallen slachtoffers of de mate van negatieve media aandacht. Zonder definitie van risicobereid kan niet worden bepaald of interne beheersing effectief en doelmatig is. Interne beheersing is - anders dan menig zorgmanager in eerste instantie aangeeft - een positieve activiteit. Effectieve beheersmaatregelen dekken significante risico s af en dragen actief bij aan de realisatie van doelstellingen. Zowel op financieel als op niet-financieel gebied, zoals veiligheid en imago. Klachten over het nut van protocollen en procedures moeten altijd beoordeeld worden in relatie tot het risico dat wordt afgedekt en alternatieve vormen van beheersing. Zo kunnen managers kiezen voor maatregelen die direct het gedrag van medewerkers beïnvloeden. Maar zij kunnen er ook voor kiezen bewust actie te ondernemen om de betrokkenheid, het veiligheidsbewustzijn of de motivatie van medewerkers te versterken. De keuze voor maatregelen dient aan te sluiten bij de managementstijl en filosofie. Maatregelen zijn dus altijd specifiek voor de instelling. Hieronder staan een aantal kritische beheersmaatregelen die effectief bijdragen aan het beheersen van externe en interne risico s. Sturen op veiligheid Het sturen op veiligheid vergt van bestuurder en management een realistische kijk op veiligheid. Het is belangrijk om verder te kijken dan plannen, procedures en normen. Dit betekent actief zoeken naar de uitvoeringsrealiteit. Aon adviseert bestuurders hun visie op kwaliteit en veiligheid te expliciteren in samenhang met de zorgvisie. Die visie bevat richtinggevende uitspraken over hoe de organisatie omgaat met veiligheidsvraagstukken. Dit mede in relatie tot andere belangen zoals zorg, leefbaarheid, privacy en kosten. De visie is vooral gericht op de gewenste afwegingen/attitude en minder op de uitkomst. Dit geeft ruimte aan professionals en biedt tegelijkertijd houvast. Een bestuurlijk dashboard veiligheid geeft zicht op de uitvoeringswerkelijkheid. Dit specifiek voor de thema s en indicatoren die u belangrijk vindt. Uw instelling beschikt over veel risico-informatie en er zijn statistieken en incidentmeldingen. De bestaande rapportages over veiligheid zijn echter zelden integraal en gericht op de bestuurlijk benodigde informatie. Aon adviseert bestuurders actief en gericht te vragen om informatie en vooral om duiding hiervan. Voorbeelden van bestuurlijke indicatoren zijn: significante ontwikkelingen op het gebied van incidenten, veiligheidsgevoel van cliënten en medewerkers, pieken in verzuim (specifieke locaties/zorgtypen), vertrouwen van brandweer/politie/ghor en dergelijke. Zowel de visie als het dashboard lenen zich goed voor afstemming met de Raad van Toezicht. Het sturen op veiligheid vergt van bestuurder en management een realistische kijk op veiligheid. Het is belangrijk om verder te kijken dan plannen, procedures en normen. 8 Whitepaper: Risicomanagement in de zorg Januari 2014

9 Financieel management Gezien de potentiële impact van risico s is het van belang de gevolgen van de risico s en de financiële reserves te kennen en actief te monitoren. Stel voor uzelf vast hoeveel risico de instelling kan absorberen voordat de financiële doelstellingen in gevaar komen (stresstest). Denk bij deze risico s aan de impact op de financiële doelstellingen en meerjarenbegroting van toenemende zorgconcurrentie, onzekerheden over toekomstige contracten, overschrijding van budgetten van nieuwbouwprojecten, acuut wegvallen van zorgvraag en uitval van het ICT systeem. Voorbeeld van uitkomsten van een stresstest Informatieveiligheid Om de continuïteit van de IT-systemen en de beveiliging van cliëntinformatie te waarborgen, is de invoering van de norm NEN 7510 in een goed hulpmiddel. NEN 7510 is gebaseerd op de code voor informatiebeveiliging (NEN-ISO/IEC 27001) en toegesneden op de Nederlandse gezondheidssector. Binnen NEN 7510 is uitvoerig aandacht voor risicomanagement en de relatie tussen de te nemen maatregelen en de informatierisico s die een zorginstelling loopt. Crisismanagement Incidenten kunnen escaleren tot crises, of het nu gaat om een grootschalige stroomstoring of een dodelijke brand. Dit wordt mede beïnvloed door een continu veranderend risicolandschap, toenemende druk van stakeholders en toezichthouders, onophoudelijke media-aandacht en een algemene intolerantie voor risico s. In aanvulling op de bestaande voorzieningen zoals de medische dienst en de BHV, is idealiter ook het management en het bestuur voorbereid op de eigen rol bij crisis. Gerichte trainingen en oefeningen helpen hierbij. Aon adviseert u een beknopt crisisplan op te stellen. Dit plan dient als strategische kop op de vaak vele bestaande operationele plannen en procedures. Ook kunt u maximaal leren van eerdere calamiteiten en crises. Cultuur en gedrag Het hebben van beheersmaatregelen is één. Het uitvoeren of naleven van die beheersmaatregelen is twee. Al zijn er nog zoveel risicobeheersmaatregelen zoals protocollen en procedures aanwezig, het naleven ervan is mensenwerk en bepaalt uiteindelijk het daadwerkelijke risicoprofiel. Risicobewustzijn en een duidelijke verantwoordelijkheidstoedeling zijn vereisten voor adequate naleving. Om integraal risicomanagement te bereiken is een open cultuur essentieel. In het kader van patiënt- en cliëntveiligheid is een open cultuur nodig om zorgprofessionals te stimuleren (bijna) incidenten tijdig te melden, te analyseren en te leren van fouten. Zorgmedewerkers moeten zich bijvoorbeeld niet geremd voelen gemaakte fouten of misstanden te melden en te delen. Dit is een belangrijke voorwaarde voor integraal risicomanagement. Risico-informatie moet vrij door alle lagen van een organisatie stromen en medewerkers moeten zich vrij en gesterkt voelen om kritisch naar zichzelf en anderen te kijken en constructief en doelgericht feedback te geven, zonder dat hier consequenties aan zijn verbonden. 9 Whitepaper: Risicomanagement in de zorg Januari 2014

10 4 Haal meer toegevoegde waarde uit risicomanagement Zorginstellingen hebben risicomanagement in meer of mindere mate geïmplementeerd. Soms vanuit eigen behoefte, maar meestal omdat het werd opgelegd. Een groot aantal zorgsystemen en managementprocessen, met daarbij behorende managementrapportages en audits, zorgen ervoor dat de instelling voldoet aan geldende regels en wettelijke vereisten. Desondanks doen zich nog onverwachte incidenten met vergaande negatieve gevolgen voor. Om ook deze incidenten in de toekomst te voorkomen moeten instellingen zich (nog) beter voorbereiden op de komst van een dergelijk incident. Een grotere zorg zijn externe risico s met vaak verdergaande gevolgen en tijdige rapportage van de belangrijkste interne risico s aan de bestuurder of risico-eigenaar. Effectief risicomanagement draagt in die gevallen bij aan betere besluitvorming. Dit probleem vraagt om integraal risicomanagement. Dat lijkt een nieuw begrip, maar dat is het niet. Effectief risicomanagement is per definitie integraal. De keuze om samen met een commerciële partij een centrum voor oogheelkunde op te zetten, de bouw van een nieuw ziekenhuis en het belang van een doeltreffend veiligheidsmanagementbeleid zijn voorbeelden van risicomanagement. De doelstellingen die voor de verschillende deelgebieden, projecten of afdelingen zijn gedefinieerd dienen als kapstok waaraan risicomanagement integraal kan worden opgehangen. Het expliciet koppelen van risicomanagement aan doelstellingen zorgt ervoor dat uw instelling baat heeft bij risicomanagement en dat het daadwerkelijk waarde toevoegt. Denk hierbij aan steeds belangrijker wordende financiële doelstellingen als solvabiliteit en liquiditeit, verankeren van de activiteiten als onderdeel van reeds bestaande managementprocessen en rapportages, zodat risico-informatie actief wordt gebruikt in besluitvorming. Als u wilt weten of u voldoende toegevoegde waarde uit risicomanagement haalt, kunt u zich de volgende vragen stellen: 1. In hoeverre levert ons huidige risicomanagementproces informatie die actief wordt gebruikt bij besluitvorming? 2. Als dat het geval is. Wat is het effect geweest van deze informatie op het besluit en wordt het risico blijvend gevolgd? 3. Als dat niet het geval is. Waarom wordt deze informatie niet gebruikt en waar is wel behoefte aan? Onze ervaring is dat het beantwoorden van deze vragen lastiger is dan het lijkt, omdat het ambitieniveau rond risicomanagement niet altijd duidelijk is bepaald en gecommuniceerd. Waarom doen we het, wat willen we bereiken? Overweeg het inrichten van een Balanced Scorecard voor risicomanagement met bijbehorende prestatie-indicatoren. Daarnaast merkt Aon dat risico-informatie in de praktijk weinig wordt gebruikt in besluitvorming. Dit omdat die informatie te weinig specifiek is. Een goede risicodefinitie is een voorwaarde voor het begrijpen en communiceren van het risico. De analyse van de belangrijkste oorzaken is van belang om gericht effectieve beheersmaatregelen te selecteren. Een nadere uitwerking en kwantificering van de gevolgen is van belang voor het risicobewustzijn en een gedegen afweging van kosten en baten tussen mogelijk risico en de kosten van additionele maatregelen. Voordat u besluit risicomanagement verder te ontwikkelen of te implementeren, adviseert Aon een gestructureerde analyse te maken van het verschil tussen de huidige status van risicomanagement en de ambitie van het bestuur. 10 Whitepaper: Risicomanagement in de zorg Januari 2014

11 Kritische succesfactoren voor risicomanagement Aon onderscheidt een aantal kritische succesfactoren voor een effectieve implementatie van risicomanagement. KSF 1: Risicomanagement wordt gedragen door het bestuur en management. Organisaties met een volwassen risicomanagementproces hebben een bestuur en een management dat risicomanagement omarmt en actief ondersteunt. Het bestuur en het management gebruiken risicomanagementinformatie bij het opstellen van de strategische planning. Door het regelmatig voeden van bestuur en management met informatie over de praktijken op gebied van risicomanagement, wordt de betrokkenheid van bestuurders opgebouwd en behouden. KSF 2: Koppel risico s aan doelstellingen. Risico s kunnen het behalen van de doelstellingen beïnvloeden. Het koppelen van risico s aan doelstellingen op organisatie- en afdelingsniveau bevordert de betrokkenheid van medewerkers bij risicomanagement. Het werkt motiverend als bepaalde doelstellingen onderdeel uitmaken van de prestatieafspraken met medewerkers. KSF 3: Integreer risicomanagement in bestaande processen Om risicomanagement te laten werken moeten de verschillende elementen van risicomanagement specifiek worden gemaakt binnen de organisatie. Laat risicomanagement zoveel mogelijk deel uitmaken van bestaande processen en managementsystemen om daarmee draagvlak te creëren voor dit onderwerp binnen de zorginstelling. Wees daarbij kritisch op de huidige werking en effectiviteit van de bestaande managementsystemen. KSF 4: Integreer financiële en operationele risico-informatie in besluitvorming Bij organisaties met een volwassen risicomanagementprogramma ziet Aon dat besluitvorming steeds minder op basis van intuïtie tot stand komt, maar meer op basis van kwantitatieve en kwalitatieve risico-informatie. Een voorbeeld hiervan is om bij het opstellen van een business case voor een nieuwbouwproject direct een risicoanalyse van het project op te stellen. Hierdoor ontstaat inzicht in risico s die de voorspelde opbrengsten en kosten kunnen beïnvloeden. KSF 5: Betrek alle stakeholders bij de ontwikkeling van risicomanagementstrategieën en -beleid Organisaties met een volwassen risicomanagementprogramma zoeken samenwerking met hun stakeholders (bijvoorbeeld: cliënten en samenwerkingspartners, maar ook de Raad van Toezicht) bij het doorgronden van risico s en bedenken van risicobeheerstrategieën. Stakeholders betrekken bij het risicomanagementproces verhoogt de kwaliteit van risico-informatie. KSF 6: Beleg de verantwoordelijkheid voor het beheersen van risico s in de lijn. Uit onderzoek van Aon blijkt dat het senior management van een organisatie over het algemeen wel betrokken is bij het risicomanagement proces, maar de lagen eronder niet. Door de verantwoordelijkheid voor het beheersen van risico s op te nemen in bijvoorbeeld een managementcontract of beoordelingssystematiek, wordt er geleidelijk een risicomanagementcultuur gecreëerd. KSF 7: Wijs een verantwoordelijke aan voor risicomanagement. Bij voorkeur een gedreven senior medewerker. Een succesvolle risicomanager (al dan niet als aparte functie) heeft het bestuur en het management achter zich, begrijpt de richting waar de organisatie naar toe wil en neemt geen blad voor de mond in discussies met het bestuur en het management. Verder is een brede blik op de risico s en op kansen in de organisatie van belang. Een goede risicomanager is in staat het risicomanagementprogramma te vertalen naar elk niveau in de organisatie. KSF 8: Positioneer risicomanagement als concurrentievoordeel Organisaties die ver zijn in de implementatie van risicomanagement zijn beter uitgerust om risico s tijdig te identificeren en maatregelen te nemen om de risico s te beheersen. Op die manier kunnen weloverwogen risico s genomen worden die de organisatiegroei ten goede komt. Een zorginstelling kan hierin vooroplopen door risico s om te vormen in kansen. KSF 9: Communiceer positief over risicomanagement Het is belangrijk dat in de communicatie over risicomanagement een positieve boodschap wordt uitgedragen. Immers, risicomanagement helpt de organisatie om op koers te blijven en te focussen op datgene wat in de organisatie belangrijk is. Doelstellingen en acties koppelen aan risicomanagement helpt de medewerkers om prioriteiten te stellen waardoor efficiënter gewerkt kan worden. Door risico s te benoemen, expliciet te maken en voorrang te geven, kunnen goed onderbouwde organisatiekeuzes worden gemaakt. 11 Whitepaper: Risicomanagement in de zorg Januari 2014

12 Contact Selma Mees van Gent Selma Mees van Gent is Consultant Risicomanagement bij Aon Global Risk Consulting en adviseert in die rol al jaren organisaties in de publieke en private sector. Selma heeft veel ervaring bij het in kaart brengen van het risicoprofiel en het opzetten en implementeren van risicomanagement systemen binnen instellingen in de diverse zorgsectoren (GGZ, VVT, GZ en ziekenhuizen). Selma studeerde Bedrijfseconomie aan de Erasmus Universiteit Rotterdam, heeft diverse verzekeringscertificaten en is Associate Risk Management. Selma Mees van Gent, T +31 (0) , E selma.mees@aon.nl Bas van der Tuyn Bas van der Tuyn (Industry Director Gezondheidszorg) is commercieel verantwoordelijk voor het aanbod van Aon Risk Solutions aan de Nederlandse zorgsector. De afdeling gezondheidszorg adviseert meer dan 150 relaties op het gebied van verzekeringen, risicomanagement en crisismanagement. Bas heeft een ruime ervaring op het gebied van risicomanagement bij zorginstellingen. Zowel op het vlak van risico inventarisaties, implementatie als verzekeringsvraagstukken. Bas studeerde Bedrijfskunde aan de Erasmus Universiteit en behaalde een master Enterprise Risk Management aan de UvA. Bas van der Tuyn, T +31 (0) , E bas.van.der.tuyn@aon.nl Emanuel van Zandvoort Emanuel van Zandvoort is Managing Consultant Enterprise Risk Management (ERM) bij Aon Global Risk Consulting (AGRC). Emanuel is verantwoordelijk voor de ERM dienstverlening van AGRC en heeft jarenlang ervaring als adviseur op het gebied van risicomanagement, interne beheersing, governance en internal audit, zowel in de profit als publieke sector. Met de toenemende aandacht voor risicomanagement in de zorgsector heeft Emanuel verschillende zorginstellingen in de cure en care begeleid bij de uitvoering van risicoanalyses en de implementatie van risicomanagement. Naast zijn werkzaamheden bij AGRC is Emanuel docent Risk Management & Compliance voor het Executive Internal Audit Programme van de Amsterdam Business School. Emanuel is afgestudeerd in Bedrijfskunde aan de RijksUniversiteit Groningen en heeft een post-doctorale graad in Internal Auditing. Emanuel van Zandvoort, T +31 (0) , E emanuel.van.zandvoort@aon.nl.nl Deze whitepaper is te downloaden op Over Aon Aon Nederland, toonaangevend adviseur in risicomanagement, employee benefits en verzekeringen, draagt bij aan het realiseren van de ambities van zijn cliënten. In Nederland heeft Aon 9 vestigingen met medewerkers. Het bedrijf maakt deel uit van Aon plc in Londen, Verenigd Koninkrijk. Het wereldwijde Aon-netwerk omvat circa 500 kantoren in meer dan 120 landen en telt ruim medewerkers. Hiermee is Aon een van de grotere financiële dienstverleners ter wereld. Aon plc is gespecialiseerd in financiële en verzekeringsdienstverlening en staat genoteerd aan de effectenbeurs van New York (NYSE:AON). Aon is hoofdsponsor van Manchester United, lees hierover op Meer informatie over Aon: Aon Alle rechten voorbehouden. Niets uit deze rapportage mag worden verveelvoudigd, opgeslagen in een geautomatiseerd gegevensbestand, of openbaar gemaakt, in enige vorm of op enige wijze, hetzij elektronisch, mechanisch, door fotokopieën, opnamen, of op enige andere manier, zonder voorafgaande schriftelijke toestemming van Aon Hewitt. Eerste druk, januari WP-RiZrg-V8