Paul Klukhuhn MBA 11 maart www.risicomanagementacademie.nl

Transcriptie

1 Risicomanagement: Inventarisatie & analyse Paul Klukhuhn MBA 11 maart www.risicomanagementacademie.nl

2 PROGRAMMA Identificatie Welkom & voorstelrondje Definitie risicomanagement en risico Context Gezamenlijke case Pauze uur Gezamenlijke case (vervolg) Risicogebieden en categorieen Pauze uur Analyse Soorten risico s en analyse Risicogedrag Klassering gevolgen /kansen Praktijkcase Pauze uur Praktijkcase (vervolg) Responses & rapportage Afsluiting & evaluatie uur 2www.risicomanagementacademie.nl

3 Leerdoelen Kennis van basisbegrippen risicomanagement en risico Kennis van risico inventarisatie & analyse technieken en methoden Toepassen van een risico inventarisatie en analyse in uw eigen praktijk 3www.risicomanagementacademie.nl

4 4www.risicomanagementacademie.nl Identificatie

5 Feiten Faillissement IJslandse banken: provincies en gemeenten hadden daar hoogrentende tegoeden (nog steeds bezig om terug te halen, c.q. afboeken vordering) Gemeente Duiven: fraude door een medewerker ( , autorisatieproces) Gemeente Amsterdam: de werkelijke kosten van de Noord-Zuidlijn zijn veel hoger dan oorspronkelijk begroot en de aanleg duurt minstens 10 jaar langer dan oorspronkelijk gepland (interview: onvoldoende over risico s gesproken, ontbreken risicobewustzijn, onduidelijke risico eigenaarschap) (Onderzoek Schouten 2009) 5www.risicomanagementacademie.nl

6 Definitie risicomanagement COSO ERM Internal Environment Objective Setting Event Identification Risk Assessment Risk Response Control Activities Information and Communication Monitoring Enterprise Risk Management is een proces dat bewerkstelligd wordt door het bestuur van de onderneming, het management en ander personeel en wordt toegepast bij het formuleren van de strategie en binnen de gehele onderneming, ontworpen om potentiële gebeurtenissen die invloed zouden kunnen hebben op de onderneming te identificeren en om risico s te managen zodat deze binnen de risicoacceptatiegraad vallen, om een redelijke zekerheid te bieden ten aanzien van het behalen van de ondernemingsdoelstellingen 6www.risicomanagementacademie.nl

7 Definitie risico Een risico is: Een kans op het optreden van een ongewenste gebeurtenis met een gevolg (is dus negatief) voor betrokkene en heeft invloed op het behalen van de doelstellingen. 7www.risicomanagementacademie.nl

8 Relatie oorzaak, ongewenste gebeurtenis en gevolg Doel: Veilig wonen Ongewenste gebeurtenis: Boom valt op huis Oorzaak: Gevolg: Onbewoonbaar huis Bliksem treft boom Welke reacties? Vermijden: Boom kappen Reduceren: Bliksemafleider Overdragen: Verzekeren Accepteren: Zeer kleine kans 8www.risicomanagementacademie.nl

9 Risicomanagement proces ISO www.risicomanagementacademie.nl

10 Voor identificatie bepalen context Externe omgeving: Stakeholders, wetgeving maatschappelijke houding, politiek, economie, enz. Interne omgeving: Informatiestructuur, doelstellingen, cultuur, beleid & processen, kritische projecten, enz. 10www.risicomanagementacademie.nl

11 Vier varianten context 1 Hele organisatie (integraal) 2 Afdelingen/eenheden (lijn) 3 Processen (dwarsdoorsnede lijn) 4 Projecten (eenmalige activiteit) 11www.risicomanagementacademie.nl

12 Gezamenlijke case Case de reis naar het werk Beschrijf: Wat er niet goed kan gaan (ongewenste gebeurtenis); Waardoor dat veroorzaakt wordt en; Wat het gevolg ervan is. Omschrijf de ongewenste gebeurtenis zo concreet mogelijk 12www.risicomanagementacademie.nl

13 Risico omschrijving Onjuist Betonrot Slechte leveranciers Vergunningen op tijd? Juist Het niet op tijd ontdekken van betonrot Afspraken met leveranciers zijn niet duidelijk vastgesteld Vergunningen worden niet op tijd verstrekt Een risico is geen vraag en bestaat niet uit één woord Wees zo concreet mogelijk Geef de juiste informatie (laat niet teveel weg) Oorzaken geven aanwijzingen voor maatregelen! 13www.risicomanagementacademie.nl

14 Risico omschrijving Oorzaak Stroomuitval Gebeurtenis Gevolg Dienstverlening Fout software Uitval ICT Verlies data Menselijke fout Schadeclaims 14www.risicomanagementacademie.nl

15 Basis Oorzaken Gevolgen Techniek BowTie Alle oorzaken Alle gevolgen Accident Fault-tree Event-tree 15www.risicomanagementacademie.nl

16 Meerdere gevolgen Effect 1 bijv. x doden Negatieve Effect 2 y gewonden gebeurtenis Effect 3 schade gebouw Effect 4 verlies inkomsten 16www.risicomanagementacademie.nl

17 DROM-diagram Doelstelling Risico s Oorzaken Maatregelen Onvoldoende doorgroei- / ontwikkelingsmogelijkheden Niet kunnen binden bestaand personeel Krapte arbeidsmarkt (concurrentie / vergrijzing) Organisatiecultuur Personeelsbestand sluit aan bij de behoefte van de organisatie en waarborgt een continue bedrijfsvoering Niet functionerende personeelsleden Werving / selectieprocedure onvoldoende Beoordelings / functioneringsgesprekken onvoldoende Ontbreken aanspreekcultuur Gronden voor ontslag onvoldoende gedocumenteerd Gevolgen Goede dossieropbouw Ontevredenheid bij het personeel (veranderende eisen / organisatie) Verhoging ziekteverzuim Hoge werkdruk Persoonlijke gezondheid van medewerkers 17www.risicomanagementacademie.nl

18 Techniek: Gebeurtenisboom Werk van links naar rechts. Gebeurtenis vindt wel of niet plaats. Spectrum van mogelijke gevolgen in rechter deel figuur. 18www.risicomanagementacademie.nl

19 Techniek: Foutenboom Topgebeurtenis Basisgebeurtenissen Voorwaardelijke verbanden (en / of) 19www.risicomanagementacademie.nl

20 20www.risicomanagementacademie.nl

21 Verder met de case Op reis naar het werk: schat de kans en impact in en geef de maatregelen aan 21www.risicomanagementacademie.nl

22 Gegevensverzameling Interviews Workshops Expertsessies Audits Deskresearch Checklist 22www.risicomanagementacademie.nl

23 Methode: identificatiestructuur Systematische aanpak: Soorten risico s (risicocategorieën) Clusters van activiteiten (risicogebieden/objecten) Zo min mogelijk overlap Alle activiteiten 23www.risicomanagementacademie.nl

24 Risicogebieden & objecten Gebieden: Primaire / secundaire processen. Bijv.: leveren van producten, financiën Subrisicogebieden Bijv.: salarisadministratie, belastingen Objecten: Projecten, gebouwen 24www.risicomanagementacademie.nl

25 Risicocategorieën Bedrijfsproces Financieel Imago / politiek Informatie / strategie Juridisch / aansprakelijkheid Letsel / veiligheid Materieel Milieu Personeel Product 25www.risicomanagementacademie.nl

26 Risicomatrix Imago Financieel Juridisch Afdeling A Afdeling B Afdeling C 26www.risicomanagementacademie.nl

27 27www.risicomanagementacademie.nl Analyse

28 Risicomanagement proces 28www.risicomanagementacademie.nl

29 Soorten risico s Zuivere risico s: Debiteurenrisico Brand P Speculatieve risico s: Rente Winstprognoses Valuta P www.risicomanagementacademie.nl

30 Soorten risico s Risico's op strategische niveau Risico's op tactisch niveau Risico's op operationeel niveau 30www.risicomanagementacademie.nl

31 Opmerkingen analyse Zoveel mogelijk informatie betrekken Inschatting blijft subjectief, door overleg streven naar semi-objectiviteit Inschatting afhankelijk van risicoperceptie en gedrag 31www.risicomanagementacademie.nl

32 Risicogedrag Risicomijdend: actief uit de weg gaan, voorzichtig redenerend, minder bereid nieuwe zaken uit te proberen Risicozoekend: neemt risico's, probeert nieuwe zaken, te optimistisch, houdt van een uitdaging, onderschat de bedreigingen Risiconeutraal: het ideaal, comfortabel met de besluitvorming, weloverwogen, brengt maatregelen in lijn met de kansen en bedreigingen (in proportie) 32www.risicomanagementacademie.nl

33 Risicoperceptie: wat zie je? Welke lijn is langer? Dezelfde feiten andere uitleg: Subjectiviteit in beoordeling! Wat zie je? 33www.risicomanagementacademie.nl

34 Risicoperceptie Hoe zie je dit? 7 % van de patiënten die een behandeling ondergaat, overlijdt binnen 5 jaar 93 % van de patiënten zal de 5 jaar overleven Dezelfde boodschap verschillende risico s? 34www.risicomanagementacademie.nl

35 Risicoperceptie Grote risico s worden onderschat als: Men het risico zelf loopt; Men denkt het risico te kunnen beheersen door eigen handelen; Het voor de waarnemer een bekend risico is; Het aantal mensen dat blootgesteld wordt relatief laag is. 35www.risicomanagementacademie.nl

36 Voor- en nadelen risicoanalyse door een groep Nadelen: Vaak geldt de mening van de hoogste status in de groep Dominante personen kunnen stempel drukken Aanpassen eigen mening aan groep Terughoudendheid van deelnemers Voordelen: Breder perspectief Geen persoonlijke voorkeur 36www.risicomanagementacademie.nl

37 Case risicoanalyse praktijk Bedenk 3 belangrijke risico s waarbij je aangeeft wat de oorzaken, ongewenste gebeurtenis en gevolgen zijn Keuze uit: Imago risico s Financiële risico s Letsel/Veiligheidsrisico s Milieu risico s 37www.risicomanagementacademie.nl

38 Soorten analyse Kwantitatief: vaste numerieke waarden (met een foutenmarge) voor zowel de kans als voor de gevolgen Kwalitatief: representatie van waarden van zowel de uitkomst als de kans door gebruik van intervalschalen 38www.risicomanagementacademie.nl

39 Kansklassen Kans Klasse Percentage 10% 30% 50% 70% 90% Referentiebeeld < of 1x per 10 jaar 1x per 5-10 jaar 1x per 2-5 jaar 1x per 1-2 jaar 1x per jaar of > 39www.risicomanagementacademie.nl

40 Gevolgen Klasse Imago gevolg Zeer klein Klein Midden Groot Zeer groot Referentiebeeld Individueel Persoonlijke kring Plaatselijke pers Regionale pers Landelijke pers Klasse Financieel gevolg Klasse Tijd gevolg 1 X < week < X < weken < X < weken < X < weken < X 5 > 26 weken 40www.risicomanagementacademie.nl

41 Gevolgen Klasse Letsel gevolg Zeer klein Klein Midden Groot Zeer groot Referentiebeeld Individueel Gezin/kleine groep Wijk/plaatselijk Regionaal Maatschappij Klasse Milieu gevolg Zeer klein Klein Midden Groot Zeer groot Referentiebeeld Marginale verontreiniging Beperkte verontreiniging, herstel wenselijk Verontreiniging, herstel noodzakelijk Onacceptabele verontreiniging, deels herstelbaar Desastreuze verontreiniging, onherstelbaar 41www.risicomanagementacademie.nl

42 Inschatting kans Zijn er vergelijkbare projecten en/of activiteiten Is het voorgekomen in mijn organisatie? Is het voorgekomen bij een andere organisatie? Oorzaak Stroomuitval Gebeurtenis Gevolg Dienstverlening Fout software Uitval ICT Verlies data Menselijke fout KANS Schadeclaims 42www.risicomanagementacademie.nl

43 Inschatting gevolg Werk met concrete gevolgen Oorzaak Stroomuitval Fout software Menselijke fout Gebeurtenis Uitval ICT Gevolg Dienstverlening Verlies data Schadeclaims 43www.risicomanagementacademie.nl

44 Prioriteren Risicoscore = kans x gevolg Voorbeeld Kans: Gevolg: 2 (redelijk) 4 (groot) Risicoscore = 2 x 4 = 8 44www.risicomanagementacademie.nl

45 Bruto/netto risico Bruto risico Risico voor het toepassen van maatregelen Vertrekpunt voor beheersing Netto risico Risico na het toepassen van maatregelen Reële impact van risico s 45www.risicomanagementacademie.nl

46 Verder met case We gaan verder met de analyse. Je gaat de geïdentificeerde risico s kwantificeren en de maatregelen per risico benoemen, denk aan bruto en netto risico s 46www.risicomanagementacademie.nl

47 Risicomatrix Belangrijk: benoemen risico-eigenaar! 47www.risicomanagementacademie.nl

48 Risicoresponse Vermijden. Dit houdt in dat het beleid waar een risico door ontstaat, wordt beëindigd, op een andere manier wordt vorm gegeven of geen beleid gestart wordt dat een risico met zich meebrengt. Ook kunnen werkprocessen zodanig ingevuld zijn, dat op die manier bepaalde risico s worden vermeden; Verminderen. Door het risico af te dekken middels een verzekering, een voorziening of een ander budget in de begroting. Hiermee worden de gevolgen van een risico dus beperkt. Tevens kan bij verminderen gedacht worden aan het aanpakken of wegnemen van de oorzaak van het risico; Overdragen. Dit kan door het beleid dat een risico met zich meebrengt, uit te laten voeren door een andere betrokken partij, die daarbij ook de financiële risico s overneemt; Accepteren. Als een risico niet wordt vermeden, verminderd of wordt overgedragen, dan wordt een risico geaccepteerd en zal de eventuele financiële schade volledig middels de weerstandscapaciteit moeten worden afgedekt. Dit betekent niet dat het risico niet beïnvloedbaar is en daarom maar geaccepteerd moet worden. Het betekent dat het risico op dit moment geaccepteerd wordt en niet op één of andere wijze is afgedekt. 48www.risicomanagementacademie.nl

49 Communicatie & rapportage 49www.risicomanagementacademie.nl