Risicomanagement in de zorgsector

Transcriptie

1 Er is sprake van een continu veranderend risicolandschap dat zorginstellingen vraagt om te ondernemen. Dit betekent risico's nemen en vereist tegelijkertijd een actieve beheersing van die risico's. Een zorginstelling kan hierdoor ten opzichte van concurrenten het verschil maken. Dit vereist bepaalde competenties van de medewerkers en het management. Toch is initiëren van risicomanagement in de zorgsector veelal compliancegedreven. In het leven geroepen vanuit de wens van interne en externe toezichthouders en gericht op het voldoen aan externe richtlijnen. Binnen zorginstellingen worden vele initiatieven opgestart om risico's te identificeren en te beheersen. Vaak zonder een duidelijke samenhang of gestructureerde integrale visie. De uitdaging is nu om een eigen visie op risicomanagement te ontwikkelen gericht op het realiseren van de ambities van de organisatie. Met zicht op de risico's én kansen die zich daarbij kunnen voordoen zodat deze weloverwogen genomen of benut kunnen worden. Immers in het niet benutten van kansen schuilen veelal de risico's op langere termijn. Inhoud: 1 Inleiding en doelstelling 2 2 Internationale ontwikkelingen op het gebied van risicomanagement 3 3 Risico's in de Nederlandse zorgsector 5 4 Risicobeheersing maakt het verschil 9 5 Van compliance-gedreven naar proactief risicomanagement 11 6 Risicomanagement om kansen te benutten 14

2 1 Inleiding "He who is not courageous enough to take risks will accomplish nothing in life." Muhammad Ali De dynamiek in de zorgsector vraagt zorginstellingen om te ondernemen. Dit betekent risico's nemen en vereist tegelijkertijd een proactieve beheersing van die risico's. Het verleden geeft ons slechts gedeeltelijk handvatten voor risico's van de toekomst. Hedendaagse ontwikkelingen leren dat bedreigingen voor zorginstellingen steeds meer uit verschillende hoeken komen en met toenemende snelheid elkaar opvolgen. Volledig geïnformeerd en op de hoogte blijven van de laatste ontwikkelingen in uw sector is de beste manier om voorop te lopen in de steeds veranderende omgeving. De toepassing van risicomanagement is hierbij een veel gehanteerde methodiek. Risicomanagement is een gemeenschappelijke, systematische en transparante aanpak voor de beheersing van risico s. Toepasbaar binnen de gehele organisatie om de organisatiedoelen en afgeleide doel- en taakstellingen te kunnen behalen. De belangrijkste misvatting over risicomanagement is dat alle mogelijke risico's moeten worden weggenomen én voorkomen. Dat is niet mogelijk en zeker ook niet de bedoeling. De belangrijkste doelstelling van risicomanagement is om de organisatie op koers te houden en de risico's die zich daarbij voordoen weloverwogen te nemen. Risicomanagement is daarom niet een proces dat u moet doorlopen om aan de eisen van uw interne en externe toezichthouders te voldoen, maar een instrument om de ambities van uw organisatie te verwezenlijken. 1.1 Doelstelling Het doel van deze whitepaper is om bestuurders en management bewust te maken van de trends in risico's en van risicobeheersing in de zorgsector, zowel in nationaal als internationaal verband. Daarbij geven we ook handvatten waarmee u risicomanagement als continu proces in uw organisatie kunt inrichten, zodat u proactief en instellingsspecifieke risico's kunt monitoren en beheersen. De focus in dit document ligt daarbij op de zorginstellingen in de langdurige zorg zoals de GGZ, gehandicaptenzorg en de VVT (verpleging, verzorging en thuiszorg). Juist omdat zij worden geconfronteerd met gelijksoortige ontwikkelingen en daarmee samenhangende risico's. 2

3 2 Internationale ontwikkelingen op het gebied van risicomanagement Wereldwijd staat risicomanagement hoog op de agenda van zorginstellingen. Oorspronkelijk gedreven vanuit de beheersing van risico's op het gebied van kwaliteit en veiligheid en gericht op het beperken van de schadelast. Om goed inzicht te krijgen in de risico's waarmee zorginstellingen worden geconfronteerd, wordt risicomanagement ook steeds vaker toegepast op andere risicogebieden. Uit onderzoek van Aon U.S. in 2010 (Aon 2010 U.S. Industry Report: Health Care) onder instellingen binnen de internationale zorgsector, blijkt dat bij het identificeren van risico's de grootste uitdaging wordt gezien in de identificatie van opkomende risico's. Het vereist een bepaalde mate van 'scenariodenken' (stel dat ) en het vermogen om in de toekomst te denken. Scenariodenken stelt organisaties in staat om de toekomst 'te doorvoelen', om het veld te verkennen voordat de wedstrijd begint. De waarde van scenario's liggen in het vermogen om toekomstige ontwikkelingen te herkennen en te begrijpen en mogelijke maatregelen te doorzien. Hierdoor kunt u gebeurtenissen vroegtijdig beïnvloeden ('interventies bepalen') of adequate acties nemen als er toch iets afwijkt van het gewenste pad. Organisaties die succesvol zijn in het identificeren van problemen die zich nog onder de oppervlakte bevinden, hebben veelal een risicomanagement omgeving gecreëerd, waarvan elke werknemer deel uitmaakt. Nieuwe en opkomende risico's, zowel intern als extern, worden vaak ontdekt vanuit de eigen bedrijfsvoering. Organisaties die van risicoidentificatie en risicobeoordeling zowel een top-down als bottom-up proces maken, creëren de beste voorwaarden om geïsoleerde risico-informatie te ontsluiten en te gebruiken voor zowel het verbeteren van de organisatiestrategie en de besluitvorming, als het verbeteren van de processen. Veertig procent van de ondervraagde zorgaanbieders geeft aan dat zij over een gemiddeld niveau van risicomanagementcompetenties in de organisatie beschikt. Dit wil zeggen dat er voldoende competenties in de organisatie zijn om de grootste risico's te identificeren, te meten, te beheersen, te rapporteren en te bewaken. Er zijn procedures en methoden vastgesteld die door de hele organisatie worden gebruikt. Uit het onderzoek blijkt dat voor de ondervraagde zorgaanbieders governance en transparantie de belangrijkste beweegredenen zijn om risicomanagement te implementeren. Daarnaast gebruiken deze organisaties risicomanagement ter verbetering van besluitvorming en verbetering van resultaten. Hiermee is risicomanagement binnen veel zorginstellingen niet alleen een instrument om claims op het gebied van medische aansprakelijkheid te voorkomen. Het is een vast onderdeel in de bedrijfsvoering om de besluitvorming te verbeteren en om organisatiedoelen te verwezenlijken. 3

4 Toprisico's internationale zorgsector Het Aon U.S. Industry Report Health Care geeft een goed beeld van de risico's in de internationale zorgsector. Veel van de genoemde risico's zijn ook voor Nederland relevant. De belangrijkste genoemde risico's zijn: Wijzigingen in wet- en regelgeving Het zorgstelsel is onderhevig aan hervormingen. De uitwerking hiervan is nog niet helemaal duidelijk, maar dat de hervormingen een enorme impact gaan hebben voor alle zorgaanbieders staat buiten kijf. Tekort aan zorgprofessionals door de vergrijzing Zowel in Nederland als in de Verenigde Staten zorgt deze demografische ontwikkeling voor uitdagingen in het personeelsbeleid. Elektronisch cliënten-/ patiëntendossier Belangrijkste risico's in dit kader zijn de schending van de privacy van cliënten/ patiënten en de mogelijke boetes als gevolg van tekortkoming in de informatiebeveiliging. Patiëntveiligheid en kwaliteit van zorg Dit is een permanent aandachtsgebied voor zorgdienstverleners. De druk om aantoonbare veiligheid te bieden en kwaliteit te leveren neemt toe door inspecties en audits van diverse instanties met mogelijke boetes en andere sancties tot gevolg. Deze druk zal alleen nog maar toenemen met verdergaande invoering van marktwerking. Fraude en misbruik Individuen en bedrijven proberen onder valse voorwenselen ziektekosten te declareren. Terrorisme Zorgaanbieders zijn een eenvoudig doelwit en zijn mogelijk niet voorbereid op een terroristische aanslag. Pandemie Het H1N1 virus is uitgewoed maar andere pandemische risico's kunnen zich voordoen en die bezorgen de zorgaanbieders grote uitdagingen. Milieu Er is een wereldwijde trend waarneembaar waarin de zorgsector te maken heeft met toenemende milieuwetgeving. In toenemende mate worden de zorginstellingen sneller verantwoordelijk gehouden voor milieuschade. De innovaties en nieuwe technologieën in de medische zorg vergroten de hoeveelheid medisch afval. Marktwerking De zorgsector krijgt met vergroting van marktwerking te maken. Dit resulteert in teruglopende omzetten vooral in markten met een lage toetredingsdrempel. De economie Overheidstekorten leiden tot verdergaande bezuinigingen in de zorg. Daarnaast zorgt de toenemende druk op de kapitaalsmarkt tot stijging van kapitaalslasten. 4

5 3 Risico's in de Nederlandse zorgsector Zorginstellingen in de Nederlandse zorgsector bevinden zich in een turbulente omgeving en worden geconfronteerd met veranderingen die onontkoombaar zijn. Deze externe risico's worden versterkt als er intern sprake is van onvoldoende mate van onderkenning en beheersing van de risico's. Het adequaat inspelen op externe ontwikkelingen en de daarmee samenhangende risico's, kan onvoldoende plaatsvinden als de zaken intern niet goed geregeld zijn. Met andere woorden, het interne risico- en beheerssysteem dient correct te zijn ingericht. 3.1 Trends in risico's Risicomanagement begint met het in kaart brengen van de risico's. Aon voert regelmatig risico-analyses uit bij zorginstellingen in de zorgsector. Op basis van deze analyses volgt een terugkoppeling van de meest genoemde, en vooral ook de zwaarst gewogen risico's voor de sectoren GGZ, VVT en gehandicaptenzorg. We maken hierin onderscheid tussen externe risico's en interne risico's. Bij externe risico's bevindt de oorzaak zich buiten de zorginstelling. De oorzaak bij interne risico's is te vinden in de activiteiten van de instelling en de bijbehorende middelen. Externe risico's In de uitgevoerde risico-inventarisaties bij instellingen in de GGZ, VVT en gehandicaptenzorg zijn de belangrijkste externe risico's: Economie Onvoldoende externe financieringsmogelijkheden Stijging rentetarief Politiek Bezuinigingen overheid in relatie tot hogere eisen zorg Onvoorspelbare overheid Markt Toename macht zorgverzekeraars Toename concurrentie Maatschappij Vergrijzing Toename claimcultuur Beeldvorming media De genoemde externe risico's spelen in mindere of meerdere mate voor elke instelling in de zorgsector in Nederland. Politiek Instellingen worden al enige tijd geconfronteerd met ingrijpende veranderingen op het financiële vlak. De overgang naar prestatiebekostiging, de veelheid aan financieringsstromen (zzp, Zvw, Wmo, pgb, etc.) en de omschakeling naar de normatieve huisvestingscomponent, is een aantal veranderingen die grote impact heeft op de instelling. Een complicerende factor hierbij is het feit dat de overheid in haar beleid voor de zorgsector inconsistent en incidentgedreven is. Gevolg hiervan is dat zorginstellingen geconfronteerd worden met bezuinigingen die te snel worden doorgevoerd omdat ze politiek wenselijk zijn. Hierdoor ontstaan inefficiënties doordat er onnodige veranderingen worden doorgevoerd in de (financiële) organisatie. 5

6 Markt Door de invoering van de marktwerking zien we dat de (inkoop)macht van zorgverzekeraars meer en meer toeneemt. Ze stellen meer eisen aan de kwaliteit van de dienstverlening wat een toename in de administratieve last veroorzaakt. Tegelijkertijd trachten ze de kosten te drukken door de beschikbare budgetten te beperken. Zorginstellingen kampen met onzekerheid ten aanzien van de aanbesteding van zorg- en productieafspraken. Als een instelling volgens de zorgverzekeraar niet voldoet aan de kwaliteitseisen, vindt een korting plaats tijdens de budgetonderhandeling of wordt simpelweg niet ingekocht. Maatschappij De vergrijzing van de bevolking zorgt in de komende jaren voor een sterke toename van de zorgvraag, vooral in de VVT-sector. Daarnaast moeten zorginstellingen efficiënter gaan werken om de bezuinigingen vanuit de overheid aan te kunnen. Resultaat: een toenemende vraag vanuit cliënten die gerealiseerd moet worden met lagere kosten. Een ander type risico vraagt in toenemende mate ook de aandacht van directies en bestuurders in de zorg: de zogenoemde 'issues'. Dit zijn incidenten die direct de kernwaarden van de organisatie raken en schade toebrengen aan het vertrouwen in de organisatie. Deze incidenten worden vaak ook nog eens aan het licht gebracht door 'derden'; klokkenluiders, journalisten of consumentenwaakhonden. Voorbeelden van deze issues zijn medische missers, fraude, een ogenschijnlijk riante beloningsstructuur of een vertrouwensbreuk tussen het bestuur en de raad van toezicht. In veel gevallen is er sprake van een optelsom van incidenten en signalen die in de basis niet eens zoveel met elkaar van doen hebben. De directie en het bestuur zijn samen met hun directe adviseurs in zo'n geval aan zet. En niet zozeer de bedrijfshulpverlening of het calamiteitenteam. Er moet vaak veel tijd, energie en geld worden gestopt in corrigerende maatregelen, rapportages en het terugwinnen van vertrouwen en de bijbehorende reputatie. 3.3 Interne risico's Om als organisatie in de zorgsector adequaat op de eerdergenoemde externe ontwikkelingen en risico's in te spelen, zal er intern aan een aantal condities moeten worden voldaan. De interne risico's van een instelling hebben betrekking op het niet voldoen aan die condities. Veelvoorkomende interne risico's zijn: Strategie Onvoldoende inspelen op marktontwikkelingen Onjuiste selectie strategische partner Organisatie Ontoereikende kwaliteit managementinformatie Cultuur niet veranderingsgericht Veel complexe samenwerkingsverbanden Personeel Vergrijzing personeelsbestand Krapte op de arbeidsmarkt Inflexibiliteit personeel Agressie Processen & Middelen Onvoldoende voorbereid op productiefinanciering per financiële stroom Continuïteit IT-systemen Contractsvormingsproces 6

7 Strategie Een veelvoorkomend strategisch risico is de onjuiste selectie van een strategische samenwerkingspartner in de zorgketen: De onjuiste selectie wordt vaak veroorzaakt doordat de potentiële voor- en nadelen onvoldoende in kaart zijn gebracht. De focus ligt teveel op de zorg en te weinig op het marktpotentieel en de (mis)match tussen culturen. Ook persoonlijke voorkeuren van bestuurders kunnen leiden tot een onjuiste keuze. Daarnaast is er soms niet eens een keuze, maar wordt een fusie opgelegd door zorgkantoren. De gevolgen van een onjuiste selectie laten zich raden: het implementatietraject loopt zeer moeizaam, culturen botsen, in bepaalde regio's wordt door onderlinge concurrentie elkaars markt 'opgegeten' en de verwachte efficiëntie in processen wordt niet gerealiseerd. Andere strategische risico's zijn het onvoldoende of onjuist inspelen op markt- en technologische ontwikkelingen, bijvoorbeeld het niet tijdig onderkennen van de mogelijkheden van E-health. Dit kan resulteren in een verzwakte marktpositie. Teveel inspelen op marktontwikkelingen gebeurt ook. Het bestuur bedenkt telkens nieuwe doelgroepen waarbij te weinig wordt nagedacht over de consequenties voor de organisatie. Organisatie Op organisatorisch vlak is onvoldoende kwaliteit van managementinformatie een belangrijk risico. Dit wordt veroorzaakt doordat managementinformatiesystemen (MIS) nog niet voldoen aan de eisen die het management hieraan stelt om de huidige zorgomgeving correct te kunnen sturen. MIS heeft een overwegend financiële focus. Tijdige bijsturing van financiële en operationele resultaten is soms nog niet mogelijk waardoor een jaarresultaat onnodig kan tegenvallen. Waar het systeem nog kan verbeteren is met name op het gebied van de overige niet-financiële informatie (denk aan zorgkengetallen, bijvoorbeeld geleverde zorg versus geïndiceerde zorg, personeel, risico-informatie en strategische risico's). Aan het herkennen van patronen die onder gerapporteerde incidenten en risico's liggen, wordt weinig aandacht besteed. Personeel Op het gebied van medewerkers speelt er ook een aantal risico's, zowel op het gebied van kwaliteit als kwantiteit. De effecten hiervan zijn divers. Door de vergrijzing zullen personeelskosten stijgen en instellingen kunnen meer worden geconfronteerd met arbeidsongeschiktheid. Personeelkosten vormen nog altijd de grootste kostencomponent binnen de totale begroting. De komende jaren wordt voor zorginstellingen een arbeidskrapte verwacht. In sommige sectoren is er nu al een tekort aan gekwalificeerde medewerkers, bijvoorbeeld gz-psychologen. Een ander aspect, vooral in de VVT-sector, is dat de medewerkers onvoldoende flexibel inzetbaar zijn. Door de jaren heen hebben medewerkers op maat gesneden, versnipperde roosters gekregen. In deze tijden van veranderingen in de zorgvraag, kan een instelling daar niet snel genoeg op inspelen. Piekmomenten in de zorgvraag zijn moeilijk op te vangen met een onvoldoende flexibel medewerkersbestand. Een ander, veelvoorkomend risico is de beperkte veranderingsbereidheid van medewerkers. Over het algemeen blijven medewerkers lange tijd in eenzelfde functie werken. Zeker binnen een sterk veranderende omgeving is het van belang om te werken aan een cultuur die veranderingsbereidheid ondersteunt. 7

8 De medewerker bevindt zich mede op verzoek van de zorginstelling vaak in situaties waarin meer dan normale risico's worden gelopen. Denk hierbij aan verkeersdeelneming en de omgang met agressieve cliënten en bewoners. In steeds meer gevallen van door medewerkers geleden schade, zal er niet alleen gekeken worden of er sprake is van werkgeversaansprakelijkheid op basis van artikel 7:658 BW (veilige werkplek), maar staat de vraag centraal of de werkgever aan zijn zorgplicht heeft voldaan. Daarmee wordt de werkgeversaansprakelijkheid steeds meer een risicoaansprakelijkheid wat betekent dat de werkgever 'automatisch' aansprakelijk is als de medewerker iets overkomt. Processen en middelen Als we kijken naar de organisatie van processen in zorginstellingen, zijn twee terugkerende risico's zichtbaar. Enerzijds contractsvorming in brede zin. Anderzijds betreft het de inrichting van de IT-processen. Op allerlei gebieden vormt een zorginstelling contracten: in het inkoopproces, bij samenwerkingen met andere zorginstellingen, bij nieuwbouw en in het cliëntzorgproces. In het inkoopproces kunnen risico's ontstaan. Een cliënt raakt bijvoorbeeld gewond door een defect apparaat en stelt de instelling aansprakelijk voor de letselschade. In de algemene voorwaarden van de leverancier kan zijn gesteld dat aansprakelijkheid voor letselschade is uitgesloten. Hierdoor kan de instelling de claim van de cliënt niet doorsturen naar de feitelijke veroorzaker. Bij samenwerkingsovereenkomsten met andere zorginstellingen kan een situatie voordoen waarin niet duidelijk is wie op welk moment in het zorgverleningproces verantwoordelijk is voor de cliënt, omdat die afspraken niet zijn geformaliseerd in de overeenkomst. De zorgovereenkomsten met cliënten krijgen overwegend voldoende aandacht, mede door de kwaliteitscertificering, zoals Prezo en HKZ. IT speelt een steeds belangrijkere rol voor zorginstellingen. Elektronische cliëntendossiers, opkomst van E-health, maar ook het belang van managementinformatie, maken dat zorginstellingen moeten kunnen vertrouwen op de continuïteit en beschikbaarheid van hun IT-systemen. Daarnaast moet de juistheid, volledigheid, tijdigheid en vertrouwelijkheid van informatie over cliënten gewaarborgd zijn. 8

9 4 Risicobeheersing maakt het verschil Een zorginstelling kan ten opzichte van concurrenten het verschil maken door proactief op risico's in te spelen en die te beheersen. Inspelen op de eerder genoemde externe risico's en die omvormen tot kansen, vereist bepaalde competenties van de medewerkers en het management. Denk aan marktgerichtheid, innovatie, netwerken bouwen en onderhouden en vaardigheden op het gebied van financieel management. Om de interne en externe risico's te beheersen is een aantal kritische beheersmaatregelen te noemen: Het tijdig en proactief inspelen op marktontwikkelingen vergt vaak een cultuuromslag in de organisatie. Bij aanname van nieuw personeel voor de hogere echelons binnen de organisatie, zouden vaardigheden als netwerken en strategievorming meer aandacht moeten krijgen. Bij het stafpersoneel kan een persoon verantwoordelijk worden gemaakt voor het bijhouden van alle (politieke) ontwikkelingen die invloed hebben op de koers die een zorginstelling vaart. Alvorens het aangaan van een strategische samenwerking of fusie is een aantal voorbereidende werkzaamheden onontbeerlijk. Van tevoren moeten verkennende gesprekken op meerdere niveaus worden gehouden om de potentiële synergie (ook in cultuur) vast te kunnen stellen. Breng de risico's (kansen en bedreigingen) van de samenwerking in kaart en bepaal of en hoe deze zijn te beheersen. Als de keuze eenmaal is gemaakt dient de samenwerking geformaliseerd te worden in een overeenkomst waarin een allocatie van risico's en aansprakelijkheden is opgenomen. Het is noodzakelijk om te investeren in een managementinformatiesysteem. Om de kwaliteit van managementinformatie te verbeteren bepaalt het management allereerst op welke bedrijfsonderdelen zij wil sturen. We adviseren om een brede set van prestatie-indicatoren op te stellen waarbij zowel op de financiële kant als op de zorgkant gestuurd kan worden. Denk daarbij aan indicatoren op het gebied van kwaliteit en veiligheid. Op personeelsgebied speelt een aantal risico's waarbij in grote lijnen dezelfde soort kritische beheersmaatregelen passen. Het begint met het ontwikkelen van lange termijn personeelsbeleid waarin rekening is gehouden met toekomstige ontwikkelingen zoals de vergrijzing en bezuinigingen. Elementen in het beleid zijn: leeftijdsbewust personeelsbeleid, sterk imago richting de arbeidsmarkt, scholen en universiteiten, realiseren van stageplaatsen en een opleiding- en scholingprogramma voor diverse functies. De ontwikkelingen rondom de aansprakelijkheid van de werkgever in het geval van schade bij de medewerker, is de afgelopen jaren sterk in beweging. De jurisprudentie van de afgelopen jaren betreft vooral voor de zorg belangrijke thema's zoals: agressie en geweld tegen medewerkers, ongelukken bij verkeersdeelname en de zorgplicht van werkgevers. Van belang is om ervoor te zorgen dat uw verzekeringsprogramma is afgestemd op recente jurisprudentie. Het contractsvormingsproces binnen veel zorginstellingen kan verbeterd worden. Als instelling is het raadzaam om eigen inkoopvoorwaarden op te stellen waarin de verantwoordelijkheid en aansprakelijkheid van de leverancier expliciet zijn opgenomen. Daarnaast is het inrichten van een contractbeheerssysteem een goed hulpmiddel om contractuele verplichtingen overzichtelijk te krijgen. Voor 9

10 alle samenwerkingsverbanden tussen zorginstellingen en nieuwbouwactiviteiten, moeten overeenkomsten worden opgesteld om duidelijkheid te krijgen over de allocaties van risico's en eventuele aansprakelijkheden. Om de continuïteit van de IT-systemen en de beveiliging van cliëntinformatie te waarborgen, is de invoering van de norm NEN 7510 in de organisatie een goed hulpmiddel. NEN 7510 is gebaseerd op de code voor informatiebeveiliging (NEN-ISO/IEC 27002) en toegesneden op de Nederlandse gezondheidssector. Een veiligheidscultuur en veiligheidsvisie zijn binnen de zorg steeds vaker onderwerp van gesprek. Een bestuurder/ directeur van een zorginstelling is (mede)- verantwoordelijk voor de veiligheid van cliënten, personeel en van derden zoals bezoekers. Er moeten goede randvoorwaarden gecreëerd worden voor veilig werken en voor kwalitatief hoogstaande zorg. Hiertoe behoort ook het bevorderen van een passende veiligheidscultuur waarin medewerkers zelf alert zijn op mogelijkheden om de veiligheid te verbeteren en eventuele fouten of incidenten durven te melden. Voorbeeldgedrag en inspirerend leiderschap bevorderen een gezonde veiligheidscultuur. Een continu veranderend risicolandschap, de toenemende druk van stakeholders, onophoudelijke media-aandacht en een algemene intolerantie voor risico's, leiden voor bijna alle typen organisaties tot een verhoogde blootstelling aan crises. Dat gaat zeker op voor organisaties die middenin de maatschappij en in een dynamische omgeving opereren, zoals zorginstellingen en vergt een robuuste voorbereiding en veerkrachtige aanpak. Door crisisplannen op orde te hebben, crisisteams in te richten, regelmatig te trainen en te oefenen en vooral te leren van 'near' missers en echte crises. Incident- en crisisevaluaties brengen belangrijke inzichten aan het licht van hoe het niet én juist wel goed gaat. 10

11 5 Van compliance-gedreven naar proactief risicomanagement 'Veel zorginstellingen zien risicomanagement als een compliancy-voorwaarde. Dit heeft als gevolg dat risico s niet worden gezien als een mogelijkheid om de organisatie te verbeteren. Om organisatiedoelen te verwezenlijken, dient een instelling risicomanagement juist als instrument in te zetten.' In de zorgsector zien we dat het initiëren van risicomanagement veelal compliancegedreven is. In het leven geroepen vanuit de wens van interne en externe toezichthouders. Bijvoorbeeld met als doel het voldoen aan de zorgbrede governancecode of op verzoek van de Raad van Toezicht. Ook de wijze waarop invulling wordt gegeven aan risicomanagement is vaak gestoeld op het voldoen aan de gestelde eisen van externe belanghebbenden. Terwijl risicomanagement bij uitstek ingezet kan worden als instrument om eigen ambities en doelstellingen van de zorginstelling te realiseren. Alleen op deze manier kan risicomanagement de instelling helpen om relevante risico's te herkennen en proactief te beheersen. De praktijk leert ons dat veel zorginstellingen de risico's al aan het inventariseren zijn. Vaak begint dit in de bestuurskamer. Dit is een goede start om een eerste beeld te krijgen van de risico's van de zorginstelling. Van belang is wel dat risicomanagement gecontinueerd wordt. Risicomanagement biedt namelijk ook inzicht in de onbekende en opkomende risico's die mogelijk nog niet zijn doorgedrongen in de bestuurskamer. Risicomanagement heeft daarom ook een breder draagvlak nodig, waarbij het creëren van risicobewustzijn bij de medewerkers van de zorginstelling een van de belangrijkste taken is. Uitgaande van een voortdurend veranderende omgeving en interne organisatie is het van belang dat er vanuit de organisatie nadrukkelijk aandacht is voor de risico's. Dit geeft ook aan dat een eenmalige risico-inventarisatie niet voldoende is. Implementatie van risicomanagement in de organisatie is essentieel om actie te ondernemen in risicobeheersing en om de voortgang hierin te monitoren. Risicomanagement is idealiter een integraal onderdeel van strategische planning, managementafspraken en de planning & control cyclus. 11

12 Kritische succesfactoren voor risicomanagement Uit wereldwijd onderzoek verricht door Aon (Aon Risk Management Survey 2010), is gebleken dat een aantal kritische succesfactoren (KSF) van toepassing is bij de implementatie van risicomanagement. Deze gelden universeel, ongeacht sector, regio of grootte van de organisatie. KSF 1: Risicomanagement wordt gedragen door het bestuur en management Organisaties met een volwassen risicomanagementproces hebben een bestuur en een management, die risicomanagement omarmen en actief ondersteunen. Het bestuur en het management gebruiken risicomanagementinformatie bij het opstellen van de strategische planning. Door het regelmatig voeden van het bestuur en het management met informatie over 'best practices' op gebied van risicomanagement, wordt de betrokkenheid van bestuurders opgebouwd en behouden. KSF 2: Toewijzing verantwoordelijkheid risicomanagement aan gedreven seniormedewerker Een succesvolle risicomanager (al dan niet als aparte functie) heeft: het bestuur en het management achter zich, begrijpt de richting waar de organisatie naar toe wil, neemt geen blad voor de mond in discussies met het bestuur en het management, heeft een brede blik op de risico's en op kansen in de organisatie, kan het risicomanagementprogramma vertalen naar elk niveau in de organisatie. KSF 3: Leg de verantwoordelijkheid voor het beheersen van risico's in lijn Uit het onderzoek van Aon blijkt dat vaak het seniormanagement van een organisatie wel betrokken is bij het risicomanagementproces, maar de lagen eronder niet. Door verantwoordelijkheid voor het beheersen van risico's op te nemen in bijvoorbeeld een managementcontract of beoordelingssystematiek, wordt er geleidelijk een risicomanagementcultuur gecreëerd. KSF 4: Koppel risico's aan doelstellingen Risico's kunnen het behalen van de doelstellingen beïnvloeden. Het koppelen van risico's aan doelstellingen op organisatie- en afdelingsniveau bevordert de betrokkenheid van medewerkers bij risicomanagement. Het werkt motiverend om het behalen van bepaalde doelstellingen onderdeel te laten uitmaken van de prestatieafspraken met medewerkers. 12

13 KSF 5: Betrek al uw stakeholders bij de ontwikkeling van risicomanagementstrategieën en -beleid Organisaties met een volwassen risicomanagementprogramma zoeken samenwerking met hun stakeholders (bijvoorbeeld: cliënten en samenwerkingspartners, maar ook de Raad van Toezicht) bij het doorgronden van risico's en bedenken van risicobeheerstrategieën. Het betrekken van stakeholders bij het risicomanagementproces verhoogt de kwaliteit van risico-informatie. KSF 6: Integreer financiële en operationele risico-informatie in besluitvorming Bij organisaties met een volwassen risicomanagementprogramma zien we dat besluitvorming steeds minder op basis van intuïtie tot stand komt, maar meer op basis van kwantitatieve en kwalitatieve risico-informatie. Een voorbeeld hiervan is om bij het opstellen van een business case voor een nieuwbouwproject, direct een risicoanalyse van het project op te stellen. Hierdoor ontstaat inzicht in risico's die de voorspelde opbrengsten en kosten kunnen beïnvloeden. KSF 7: Positioneer risicomanagement als concurrentievoordeel Organisaties die ver zijn in de implementatie van risicomanagement zijn beter uitgerust om risico's tijdig te identificeren en maatregelen te nemen om de risico's te beheersen. Op die manier kunnen weloverwogen risico's genomen worden die de organisatiegroei ten goede komt. Een zorginstelling kan hierin vooroplopen waarbij risico's omgevormd worden in kansen. KSF8: Communiceer positief over risicomanagement Het is belangrijk dat in de communicatie over risicomanagement een positieve boodschap wordt uitgedragen. Immers, risicomanagement helpt de organisatie om op koers te blijven en te focussen op datgene wat in de organisatie belangrijk is. Doelstellingen en acties koppelen aan risicomanagement helpt de medewerkers om prioriteiten te stellen waardoor efficiënter gewerkt kan worden. Door risico's te benoemen, expliciet te maken en voorrang te geven, kunnen goed onderbouwde organisatiekeuzen worden gemaakt. KSF9: Integreer risico's in uw bestaande processen Om risicomanagement te laten werken voor uw instelling moeten de verschillende elementen van risicomanagement specifiek worden gemaakt voor uw organisatie en de organisatiecultuur. Verwerk risicomanagement zoveel mogelijk in bestaande processen en managementsystemen om daarmee draagvlak te creëren voor risicomanagement in uw instelling. 13

14 6 Risicomanagement om kansen te benutten Risicomanagement wint steeds meer terrein binnen de zorgsector. Vanuit de praktijkervaringen van Aon zien we dat zorginstellingen hier invulling aan wensen te geven. De mate van volwassenheid van risicomanagement verschilt nog sterk van instelling tot instelling. Vanuit allerlei kwaliteitssystemen zijn binnen de zorginstellingen vele initiatieven opgestart om risico's te identificeren en te beheersen. Veelal gebeurt dit nog gefragmenteerd binnen de instellingen zonder een duidelijke samenhang met een gestructureerde integrale visie. De toegevoegde waarde van risicomanagement in dit kader is juist om risico's die impliciet op de radar van managers en medewerkers staan, vanuit een integrale multidisciplinaire aanpak, expliciet te maken door ze te benoemen en de aanwezige kennis in de organisatie te benutten. Vanuit beheersoptiek kan vervolgens door de instelling bezien worden of de geïdentificeerde risico's acceptabel zijn. Niet elk risico hoeft te leiden tot inzet van extra beheersmaatregelen en middelen. Daarnaast wordt risicomanagement nog veelal gezien vanuit een negatieve benadering, dat wil zeggen gefocust op mogelijke bedreigingen en het voldoen aan wet- en regelgeving (compliance-gedreven). Het vakgebied risicomanagement ontwikkelt zich razendsnel en wordt steeds meer toegepast om kansen juist te benutten. Immers in het niet benutten van kansen schuilen veelal de risico's op langere termijn. Risicomanagement helpt de organisatie om op koers te blijven en de juiste keuzes te maken. 14

15 Iwan Drost is als Managing Consultant verantwoordelijk voor de risicomanagement advisering in de zorgsector binnen Aon Global Risk Consulting. Iwan heeft meer dan 13 jaar ervaring als risicomanagement adviseur bij organisaties in de publieke en private sector. Iwan heeft veel ervaring bij het in kaart brengen van het risicoprofiel en het opzetten en implementeren van risicomanagementsystemen binnen instellingen in de diverse zorgsectoren (GGZ, VVT, GZ, ziekenhuizen). Pieter Dijkstra is als Executive Account Director verantwoordelijk voor de afdeling Gezondheidszorg van Aon Risk Solutions. Pieter heeft ruim 12 jaar ervaring op het gebied van risicomanagement bij zorginstellingen. Zowel op het vlak van risico-inventarisaties, risicomanagementimplementatie, continuïteitsplanning (Millennium Platform Zorg) als op het gebied van verzekeringsvraagstukken en claimsmanagement. Selma Mees-van Gent is Consultant Risicomanagement bij Aon Global Risk Consulting. Selma heeft ruime ervaring met het uitvoeren van risicoinventarisaties bij bedrijven en instellingen en adviseert over optimalisatie van de risicobeheersing. De laatste jaren richt zij haar aandacht met name op zorginstellingen en ondersteunt zij instellingen bij de implementatie van risicomanagement. Contact Voor meer informatie over de inhoud van deze whitepaper en de oplossingen die Aon kan bieden, kunt u contact opnemen met: Iwan Drost T +31 (0) E iwan.drost@aon.nl Pieter Dijkstra T +31 (0) E pieter.dijkstra@aon.nl Selma Mees-van Gent T +31 (0) E selma.mees@aon.nl 15

16 Over Aon Aon Nederland, toonaangevend adviseur in risicomanagement, employee benefits en verzekeringen, draagt bij aan het realiseren van de ambities van zijn cliënten. In Nederland heeft Aon 10 vestigingen met medewerkers. Het bedrijf maakt deel uit van Aon Corporation, Chicago, USA. Het wereldwijde Aon-netwerk omvat circa 500 kantoren in meer dan 120 landen en telt ruim medewerkers. Hiermee is Aon een van de grotere financiële dienstverleners ter wereld. Aon Corporation is gespecialiseerd in financiële en verzekeringsdienstverlening en staat genoteerd aan de effectenbeurs van New York (NYSE). Meer informatie: Aon Nederland cv geeft geen juridische adviezen en/of adviezen op het terrein van belastingen of accounting. Geadviseerd wordt om met betrekking tot deze onderwerpen contact op te nemen met gespecialiseerde raadgevers, alvorens definitieve beslissingen worden genomen Aon Nederland cv Alle rechten voorbehouden. Niets uit deze rapportage mag worden verveelvoudigd, opgeslagen in een geautomatiseerd gegevensbestand, of openbaar gemaakt, in enige vorm of op enige wijze, hetzij elektronisch, mechanisch, door fotokopieën, opnamen, of op enige andere manier, zonder voorafgaande schriftelijke toestemming van Aon Nederland cv AA