Risicomanagement meer dan de som der delen

Transcriptie

1 Risicomanagement meer dan de som der delen Niet alleen inzicht in risico s en s maar ook een driver voor organisatieontwikkeling Een praktisch handboek

2 Auteurs en redactie: drs. R. Dubbeldeman drs. A. Heinen drs. R.F.J. Reijmerink F.A.J. van Kuijck RA RO EMIA drs. R.M.J. van Vugt RA 2

3 Inhoud Ten geleide 5 Samenvatting 7 Voorwoord Risicomanagement: op het grensvlak van werelden Inleiding Waarom dit handboek? Wat is risicomanagement? Leeswijzer Wat is interessant voor welke doelgroep? Risicomanagement Wet- en regelgeving: eisen in het kader van risicomanagement Risicomanagement en ISO Risicomanagementraamwerk Kaderstelling en Strategie Risicoanalyse Beheersmaatregelen Monitoren Resultaten Toezicht en Toetsing Verbetering Inbedding/verankering Governance Het begrip Governance De governance cyclus Sturen Beheersen Verantwoorden Toezicht houden Risicomanagement en het duale bestel Integratie risicomanagement in de governancecyclus Continue verbetering Ontwikkeling van risicomanagement Risicomanagement als instrument voor continue verbetering Risicomanagement als onderdeel van de bedrijfsvoering Risicomanagement: de kunst van cultuur Houding en gedrag Een kwestie van stijl Cultuurverandering Risicomanagement als instrument om je doel te bereiken Handreikingen voor risicomanagement Weerstandsvermogen Definitie Financiële postie Weerstandsvermogen Risico s Weerstandscapaciteit 76 Risicomanagement meer dan de som der delen 3

4 6. Valkuilen uit de praktijk De objectiviteit van het risicomanagement instrumentarium De keuze van objecten van risicomanagement Mate van detaillering Het feitelijk doen Andere vaak voorkomende valkuilen en succesfactoren Risicomanagement in de praktijk: casuïstiek Risicomanagement en Shared Services Risicomanagement en WSW Risicomanagement en grote projecten Huis van cultuur Governance & inrichten risicomanagementproces op grote projecten Risicomanagement en loonsombeheersing 92 Bijlage 1: Systemen van risicomanagement 95 Bijlage 2: Voorbeeld risicoprofiel 97 Bijlage 3: Voorbeelden risicokaart 98 Bijlage 4: Voorbeeld grafisch risico-overzicht 100 Bijlage 5: Voorbeeld risicomatrix 101 Bijlage 6: Veel voorkomende risico s 103 Bijlage 7: Praktijkcasussen risicomanagement 107 Bijlage 8: Aandachtspuntenlijst per onderdeel van de governancecyclus 112 Bijlage 9: Vragenlijst risicogesprek 116 Bijlage 10: Rolverdeling in het risicomanagementproces 117 Bijlage 11: Voorbeeld Beleidsnota Risicomanagement & Weerstandsvermogen 119 Bijlage 12: Begrippenlijst 124 Bijlage 13: Beknopte CV s van de deelnemers aan het Handboek 126 4

5 Ten geleide Risicomanagement is een onderwerp dat zich steeds meer kan verheugen op een warme belangstelling. Beursgenoteerde ondernemingen, midden- en klein bedrijf, maar ook de overheid maken meer en meer werk van risicomanagement. Het houdt ons dagelijks bezig. Het gaat dan echter vaak niet zozeer over het opzetten van een dergelijk risicomanagementsysteem, maar juist over het ons verdedigen bij het falen of het ontbreken van een dergelijk systeem. Kranten berichten bijna dagelijks hierover. De kredietcrisis, schandalen in de vastgoedsector, fraude, etc. worden één op één gelinkt aan het ontbreken van een goed risicomanagementsysteem of aan het falen van de juiste werking ervan. Gelukkig zijn er ook voorbeelden van organisaties die echt werk maken van risicomanagement. De vraag die zich voordoet is Wat is een goed risicomanagementsysteem? Een goed systeem van risicomanagement is te zien als een permanente alertheid op wijzigingen in uw organisatie en haar omgeving zodat u hierop kan inspelen. Hierdoor, zo ben ik overtuigd, ontstaan kansen en voordelen wanneer u hierop inspeelt. Risicomanagement kan hierdoor een belangrijke impuls geven aan het realiseren van doelstellingen en biedt voordelen bij de verandering en ontwikkeling van uw organisatie. Vaak wordt de nadruk gelegd op de instrumentele kant van risicomanagementsystemen, maar deze systemen staan of vallen met de juiste werking ervan. Dat kan alleen wanneer er ook aandacht besteed wordt aan de cultuurkant van risicomanagementsystemen. De wil en het vermogen van mensen om dergelijke systemen ook effectief te kunnen laten werken. Met toekijken hoe iets in het honderd loopt komt u niet veel verder. Ook het optuigen van duizend en één maatregelen helpt u vaak niet in de sfeer van creativiteit en ondernemerschap. Immers het is een utopie dat alle risico s voorzienbaar en te voorkomen zijn. Adequaat signaleren (alertheid) en handelen is dan het devies. Met name het vorm en inhoud geven aan de cultuurkant is zo mogelijk nog belangrijker dan de instrumentele kant. Voorwaar geen eenvoudige opgave. Dit boek biedt de nodige handvatten voor gemeentelijke organisaties, en ook andere organisaties, om een dergelijk systeem op te zetten en in te richten. De kunst is om juist die elementen te kiezen die relevant zijn voor uw organisatie. U wordt daarbij geholpen door praktische voorbeelden van vergelijkbare organisaties waar (delen van) een risicomanagementsysteem succesvol is/zijn geïmplementeerd. Wij zijn verheugd dat een aantal gemeenten bereid is gevonden om dit project mede te ondersteunen en mee te werken aan de totstandkoming van dit boek. Daarnaast zijn er tal van organisaties en personen, waaronder Primo Nederland en Primo Europe, die veel energie stoppen in het op de kaart zetten van risicomanagement bij gemeenten. Dit boek brengen wij uit in de governancereeks gemeenten omdat risicomanagement een peiler is waar het proces van sturen, beheersen, verantwoording afleggen en toezicht houden op rust. Ik hoop echter dat de inhoud van dit boek u juist onrustig maakt en u verdere prikkels en inspiratie geeft om verder te komen in het proces van implementatie van een op uw maat gesneden risicomanagementsysteem. Ik wens u veel leesplezier en inspiratie toe. Arie Elsenaar Voorzitter industry lokaal bestuur Deloitte Risicomanagement meer dan de som der delen 5

6 6

7 Samenvatting Het handboek dat voor u ligt, is de zesde op rij uit onze uitgaven onder het thema Governance. In dit handboek richten we ons op risicomanagement. Wat is eigenlijk risicomanagement? We omschrijven het als het identificeren en kwantificeren van risico s en het bepalen van activiteiten die de kans van optreden en/of de gevolgen van risico s beheersbaar houdt. Met andere woorden: risicomanagement is niets meer of minder dan een zeer belangrijk instrument om doelstellingen te realiseren en een driver voor de ontwikkeling van uw organisatie. Als we even teruggaan naar 2004 dan vinden we daar het begin van wat we nu risicomanagement noemen. Toen werd het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) van kracht. Dit hield in dat elke provincie en gemeente in Nederland hun weerstandsvermogen (het vermogen risico s te dekken) in kaart brengt aan de hand van haar risico s en deze jaarlijks weergeeft in een paragraaf Weerstandsvermogen in haar beleidsbegroting en jaarverantwoording. Mogelijk zijn de risico s reeds weergegeven in de andere paragrafen. Met deze verplichting dient elke provincie en gemeente zich met risicomanagement bezig te houden. Anno 2009 geven veel gemeenten inderdaad vorm aan risicomanagement. Ze lopen daarbij echter wel tegen problemen aan. Het belangrijkste vraagstuk luidt: hoe zorg ik ervoor dat het een werkend systeem wordt? En dat is de reden van deze uitgave. Dit handboek moet voor u een handreiking zijn bij het invoeren en vervolgens verder verfijnen van een systeem voor risicomanagement. Deloitte ziet risicomanagement als een proces van een systematische analyse van de risico s waaraan een organisatie bloot staat. Daarbij horen de verbeteringen als gevolg van het aanpassen van de maatregelen. Natuurlijk is dit niet een eenmalige activiteit. Het is een continu proces, alleen al omdat de actualiteit en het treffen van maatregelen in veranderende omstandigheden dit van ons eist. Denk maar aan de huidige economische crisis. In praktijk zal dan ook blijken dat de risico s scherper ingeschat en afgedekt worden naarmate men er langer mee bezig is. Wanneer een gemeente er in slaagt om sneller en met meer effect te reageren op zich manifesterende risico s dan bestaat de mogelijkheid dat een lager Gemeenteraad 1. Kaderstelling & Strategie 5. Toezicht & Toetsing 6. Verbetering 2. Risicoanalyse College & Management Team 4. Monitoren Resultaten weerstandsvermogen aan de orde is. Een lager weerstandsvermogen heeft weer direct consequenties voor de ruimte die bestaat ten aanzien van bestedingen. Het proces van risicomanagement bestaat uit verschillende fasen: kaderstelling en strategie, risicoanalyse, treffen van beheersmaatregelen, monitoren van de resultaten, toezicht en toetsing en het zonodig treffen van maatregelen ter verbetering. Elke organisatie doorloopt deze stappen. In dit handboek benoemen we deze stappen uitgebreid en geven we aan wanneer welke stap genomen moet worden. Een belangrijk aspect dat onlosmakelijk met risicomanagement verbonden is, is governance. We hebben het dan over het borgen van de onderlinge samenhang van de wijze van sturen, beheersen, en toezicht houden van een organisatie. Beide instrumenten, governance en risicomanagement, hebben als doelstelling een organisatie meer gecontroleerd te sturen. Hiermee bedoelen we dat uiteindelijk helder is waar de kansen en risico s van de organisatie liggen en dat hier de beheersmaatregelen en activiteiten op worden gericht. Zo kun je enerzijds de kansen benutten - risico s zijn immers niet alleen negatief van aard - en anderzijds de risico s afdekken of de effecten hiervan verminderen. Op meer punten vind je overeenkomsten tussen risicomanagement en governance. Wat risicomanagement een eigen karakter geeft, is die continue verandering. Daarom gaan we daar in dit handboek dieper op in. Bijvoorbeeld, wanneer een organisatie groeit in zijn ontwikkelingen op het gebied van risicomanagement, dan kun je het direct inzetten om het beleid en de uitvoering daarvan te verbeteren. Het mooie resultaat is een proces van continue verbetering van de organisatie. Immers door het bewust 3. Beheersmaatregelen Risicoanalyse Be- Gebeurtenissen Risicoweging Risicobeheersing Resterende risico s Weerstands capaciteit Risicomanagement meer dan de som der delen 7

8 en bekend zijn met de risico s worden maatregelen getroffen die ervoor zorgen dat risico s kunnen worden beperkt. Dit proces van bewustwording en onderkenning is essentieel voor het bekend zijn met de veranderingen in de interne en externe omgeving. Daarnaast krijgen gemeenteraad en college een beter inzicht in de uitvoering van het beleid en de wijze waarop dat kan worden verbeterd, krijgen zij meer inzicht en vertrouwen omtrent de wijze waarop doelen worden gerealiseerd en bestaat transparantie over de risico s die worden gelopen, de maatregelen die hier betrekking op hebben en de verantwoording hierover. Risicomanagement is nooit af en het is daarom essentieel dat dit proces gedragen wordt door de organisatie. Dan praten we over houding en gedrag en dat geldt voor alle betrokkenen. Dus voor zowel raadsleden, als collegeleden en ambtenaren. Het is misschien wel de sleutel tot succes. Begrijpelijk is dat organisaties zoeken naar de juiste manier om risicomanagement te implementeren. We doen in deze uitgave een groot aantal handreikingen (hoofdstuk 4.6). Uiteindelijk, wanneer men beseft dat risicomanagement meer is dan alleen het financieel kwantificeren en identificeren van risico s, dat het juist een zeer belangrijke driver is voor de ontwikkeling van de organisatie, dan komt het systeem tot volledige wasdom. En dat is echt een positief risico! Wat maakt een organisatie succesvol op het gebied van risicomanagement? Meer dan de som der delen Het serieus invullen van risicomanagement is geen simpele optelsom van de risico s. Ten eerste zijn risico s inderdaad niet altijd te kwantificeren, zijn risico s niet exact maar binnen een bepaalde bandbreedte te kwantificeren en is ten derde de kwantificering van risico s de uitkomst van een permanent proces. Het proces zoals dat eerder is aangegeven. Het enkel kwantificeren van de risico s wekt eerder de indruk van een boekhoudkundige en rekenkundige benadering dan dat de identificatie het startpunt is voor het doen van aanpassingen van de organisatie, processen, werkwijzen en houding en gedrag. Regel in ieder geval, denk na over. Naast een duidelijk en herkenbaar proces van risicomanagement, een adequate governance cyclus (sturen, beheersen, verantwoorden, toezicht houden) en een goede mix van hard- en soft controls zijn belangrijke overige ingrediënten voor een goede implementatie, duidelijke werkwijze en draagvlak: 1. Risicomanagementmethode: Bij het toepassen van risicomanagement heeft de organisatie een methode (van inventariseren en monitoring) nodig om haar risicoprofiel op te stellen. Kies een methode die past bij de organisatie. 2. Verantwoordelijkheid: Niet alleen voor de kwaliteit van de implementatie, maar zeker ook voor het effect van risicomanagement is het van belang dat medewerkers in de lijnorganisatie verantwoordelijk worden gemaakt voor het inschatten van, beheersen van en verantwoording afleggen over risico s. 3. Belang van draagvlak: Ongeacht welke aanpak de gemeente uiteindelijk kiest om te komen tot implementatie van risicomanagement, is draagvlak van vooral de directie en het college van burgemeester en wethouders voor het concept onontbeerlijk. 4. Kennissessie met diverse ambtelijke (en bestuurlijke) sleutelfunctionarissen: Indien risicomanagement wordt geïnitieerd vanuit een staffunctie of een beperkt deel van het lijnmanagement is het aan te raden om in eerste instantie een kennissessie te organiseren met het voltallige management en eventueel een afvaardiging uit het bestuur. Tijdens deze sessie kan het onderwerp verder uitgediept worden en de toegevoegde waarde inzichtelijk worden gemaakt door middel van concrete voorbeelden. 5. Sponsor binnen het management (en eventueel bestuur): Risicomanagement is een verantwoordelijkheid van de lijn. Om deze reden is het belangrijk dat op het hoogste ambtelijk niveau binnen de organisatie een sponsor aanwezig is voor het concept. 6. Eenvoudig beginnen (met een pilot): Na de kennissessie raden wij aan om de voorgestelde aanpak in eerste instantie een pilot uit te voeren. 7. Voldoende robuuste projectorganisatie: Een essentiële basis voor draagvlak is een voldoende robuuste projectorganisatie. 8. Aansluiting op bestaande initiatieven, concepten en systemen: Om de belasting van de organisatie zoveel mogelijk te beperken, is het sterk aan te raden om risicomanagement aan te laten sluiten bij reeds bestaande initiatieven, concepten en systemen. 8

9 Risicomanagement meer dan de som der delen 9

10 10

11 Voorwoord Risicomanagement: op het grensvlak van werelden Het managen van risico s is zonder enige twijfel één van de grootste uitdagingen geworden voor de publieke sector. Dachten wij een jaar geleden nog dat de financiële perikelen in de Verenigde Staten zouden overwaaien, nu zitten we middenin een economische crisis. Weinigen lijken te weten, wat ons te wachten staat. De onzekerheid in de voorspellingen is groot, blijkens de maandelijkse bijstellingen van tal van prognoses. Elke dag presenteren bestuurders nieuwe feiten of relativeren wat komen gaat. Sterker nog, velen verkondigen dat we het ergste hebben gehad, terwijl anderen somber weer verwachten voor de komende 10 jaar. Ik denk dat hier de essentie ligt van waar het bij risicomanagement om gaat: het onbekend zijn met en het onderschatten van risico s om ons heen en in onszelf. Risico s zijn lastig en passen vaak niet binnen de politieke en bestuurlijke ambities. Risicomanagement heeft bij ons Nederlanders, het volk van controle, dan ook vaak een negatieve klank. Risicomanagers hebben het imago van remmers in algemene dienst. Alsof het mensen zijn die moeilijk doen bij sprankelende plannen en projecten. Het tegenovergestelde echter is waar. Immers, er zijn zoveel projecten en plannen waar de Nederlandse samenleving mee aan de slag is en er zijn velen daarvan die niet uitkomen, flinke overschrijdingen te zien geven, niet het effect lijken te sorteren dat was beoogd en zelfs niet uitvoerbaar blijken. Daarbij zijn het de grensvlakken tussen hogere en lagere overheden, maar ook tussen politici, bestuurders, managers en specialisten waar de risico s ontstaan. Het dualistisch bestel werkt daarbij vooralsnog niet louterend, omdat rollen en taakopvattingen sterk uiteenlopen en nog immer worden bediscussieerd. Het lijkt me dat een samenleving als de onze het zich niet kan permitteren kwistig om te springen met mensen en middelen voor doelen die niet bereikt kunnen worden. Zeker in tijden van crisis moet elke klap raak zijn. Cruciaal daarbij is dat stakeholders met elkaar praten en dan bedoel ik echt praten. In dit licht zie ik de handreiking die voor u ligt als een prachtige set van instrumenten om deze dialoog aan te gaan. Het weerstandsvermogen is daarbij een objectief, gemeenschappelijk referentiekader waarbij raad, college, samenleving en management met elkaar kunnen spreken over de risico s en ook kansen. Het weerstandsvermogen kan daarbij dienen als een soort AEX-index die de uitkomsten van dit debat weergeeft. Het gaat niet zozeer om de ratio, maar veeleer om het debat. Het is duidelijk dat er veel factoren zijn die het weerstandsvermogen bepalen. Het getal van de ratio van het feitelijke vermogen is hierbij uiteindelijk geen doel op zich. Nee, de mythe van dit getal is zeker niet zaligmakend. Nee, het is eerder het vermogen van organisaties om met open vizier en transparant en vooral met lef de risico s en onzekerheden te benoemen. En als we het daar over hebben, mag duidelijk zijn dat iedereen zijn eigen definities en regels hanteert, zodat het weerstandsvermogen vaker dan eens een schijnwerkelijkheid vertegenwoordigt. De handreiking die voor u ligt, is daarom een enorme stap in de goede richting. Het beoogt te standaardiseren, waardoor de dialoog beter wordt. Hierdoor neemt het gedeelde en geobjectiveerde collectieve besef van risico s toe, evenals het inzicht in de mogelijkheden deze te minimaliseren. Het resultaat hiervan is een hogere kwaliteit van besluiten. Daarbij draagt zij bij aan de verbeteringen in het functioneren van organisaties en aan de verbetering van het openbaar bestuur. Het omvat de balans van hard- en soft controls, van cijfermatige en rationele benaderingen enerzijds en van openheid en eerlijkheid van bestuurders en managers anderzijds. Het systematisch borgen van de benaderingen van risico s in organisaties is een uitdaging en staat nog maar in de kinderschoenen. Het met scherp leren schieten in de zeer complexe samenleving, met veel belangen en partijen, is een wetenschap, wellicht een kunst die we nog onvoldoende beheersen. Of is het nog iets wat wij beter kunnen inbedden in onze cultuur van besturen en beslissen. Ik ben er van overtuigd dat dit zo is. De handreiking helpt ons op weg, de ratio zet de maat en kwaliteit van het debat met als neerslag het weerstandsvermogen. De wijze waarop vertaling in uw organisaties plaats kan vinden zal mede bepalend zijn en zal ons tonen hoe snel de boeg door het water kan. Risicomanagement meer dan de som der delen 11

12 Want dat is het grote verschil met traditionele control: risico s doen zich voor aan de boeg, terwijl de traditionele control zich in de machinekamer afspeelt. Aan de boeg doen zich de veranderingen voor. Als we dus scherp aan de wind willen varen of willen dat de boeg effectief door de golven snijdt is het duidelijk dat we de zekerheden en onzekerheden goed moeten kennen. Het zijn daarmee drivers geworden voor veranderingen. Kennis en het managen van risico s legt daarmee in belangrijke mate de basis voor innovatie en creativiteit. De handreiking is dan ook een goede eerste aanzet tot een nieuwe vorm van control. Één waarbij kansen en innovaties worden meegewogen, waarbij de maatschappelijke omgeving, de natuurlijke omgeving en de kennis van menselijk handelen, een veel dominantere rol speelt dan nu. Weerstandsvermogen gaat niet over geld. Nee, het gaat over bedrijfsvoering in brede zin en het gaat om externe focus op en kennis van netwerken in het bijzonder. Controllers zijn niet meer sec financiële experts. Controllers zijn we vanaf vandaag allemaal. En alleen door elkaars kennis te bundelen, worden we samen intelligenter. Deze handreiking beschouw ik als een eerste stap naar deze collectieve intelligentie! Voorzitter en oprichter van PRIMO (Public Risk Management Organisation) Nederland (april april 2009) President PRIMO Europe Gemeentesecretaris gemeente Roosendaal Ir. Jack P. Kruf 12

13 Risicomanagement meer dan de som der delen 13

14 14

15 1. Inleiding Risicomanagement is voor mij een vorm van kwaliteitsmonitoring en verbetering. Jan Vermeule, gemeente Amersfoort Een effectieve bedrijfsvoering en een goede beheersing van risico s is een essentiële randvoorwaarde voor het management om haar doelstellingen te halen. Proactiviteit richting de voorkant van de organisatie wordt steeds belangrijker om op die manier tijdig en adequaat ontwikkelingen en risico s te kunnen signaleren en acties te kunnen benoemen. Het instrument risicomanagement biedt handvatten voor gemeenten om hun doelen te bereiken en aan de voorkant tijdig bij te sturen door risico s in beeld te hebben en te houden. Governance is in dit verband de drijvende kracht achter risicomanagement. Kernthema s zijn hierbij transparantie, verantwoording en zeggenschap. In onze transparante maatschappij worden bestuurders en management in toenemende mate afgerekend indien er iets in hun organisatie fout gaat. Het probleem is dat positief nieuws over het algemeen snel de directie bereikt, maar het potentiële slechte nieuws vaak in de managementlagen blijft hangen of van buiten komt. Voorkomen is in die gevallen beter dan genezen omdat externe druk vaak ongewilde en ad hoc reacties tot gevolg heeft. Beheersen van risico s aan de voorkant draagt bij aan het verkleinen van de kans van externe druk waardoor de gemeente zelf in control blijft. Het identificeren van risicomanagement als een instrument tot doelrealisatie is onder meer in het kader van public governance ook onderkend door de wetgever. De Gemeentewet en Provinciewet van 2004 schrijft voor dat elke gemeente en provincie in Nederland verantwoordingsdocumenten en begrotingsdocumenten opstelt. Dit is vastgelegd in het Besluit begroting en verantwoording provincies en gemeenten (BBV 2004). Volgens dit besluit zijn provincies en gemeenten verplicht hun weerstandsvermogen (het vermogen risico s te dekken) in kaart te brengen aan de hand van een overzicht van de risico s (door het definiëren en uitwerken van één of meerdere risicoprofielen). Dit houdt in dat jaarlijks een paragraaf weerstandsvermogen dient te worden opgesteld in de beleidsbegroting waarin de weerstandscapaciteit (de middelen om de risico s te dekken) wordt behandeld. Dit dient ertoe een beter en meer tijdig inzicht te geven in de risico s waar gemeenten mee te maken hebben, opdat deze beter beheersbaar worden. Uit onderzoek blijkt dat sinds 2004 slechts 30 tot 40 procent van de gemeenten voldoet aan de eisen van het BBV 1. Het grootste knelpunt dat naar voren komt, is dat gemeenten veelal niet in staat zijn hun risico s te kwantificeren. Ervaringen leren dat gemeenten veelal hun risicomanagement beperken tot lijstjes maken en doorsturen van overzichten. Gemeenten buiten de Randstad, en met name de relatief kleinere gemeenten, hebben een nog lager percentage dat voldoet aan de eisen van het BBV. Het Besluit begroting en verantwoording provincies en gemeenten richt zich op zowel gemeenten als provincies in Nederland. Cultuur en een helder omschreven risicomanagementproces zijn noodzakelijk om potentiële verrassingen vroegtijdig naar boven te krijgen. 1 Smorenberg, O Een norm voor het weerstandsvermogen. B&G 4, Risicomanagement meer dan de som der delen 15

16 Lokaal Bestuur Lokaal Bestuur Deloitte Wilgenbos JX Dordrecht Postbus BD Dordrecht Telefoonnummer: +31 (0) Faxnummer: +31 (0) Deloitte refers to one or more of Deloitte Touche Tohmatsu, a Swiss Verein, and its network of member firms, each of which is a legally separate and independent entity. Please see for a detailed description of the legal structure of Deloitte Touche Tohmatsu and its member firms. Deloitte provides audit, tax, consulting, and financial advisory services to public and private clients spanning multiple industries. With a globally connected network of member firms in 140 countries, Deloitte brings world class capabilities and deep local expertise to help clients succeed wherever they operate. Deloitte s 165,000 professionals are committed to becoming the standard of excellence. Deloitte s professionals are unified by a collaborative culture that fosters integrity, outstanding value to markets and clients, commitment to each other, and strength from cultural diversity. They enjoy an environment of continuous learning, challenging experiences, and enriching career opportunities. Deloitte s professionals are dedicated to strengthening corporate responsibility, building public trust, and making a positive impact in their communities Deloitte, Member of Deloitte Touche Tohmatsu Designed and produced by MCBD at Deloitte, Rotterdam. Risicomanagement wordt gedefinieerd als het identificeren en kwantificeren van risico s en het bepalen van activiteiten die de kans van optreden en/ of de gevolgen van risico s beheersbaar houdt/maakt. 1.1 Waarom dit handboek? Dit handboek is de zesde in een serie van andere handboeken zoals die door Deloitte zijn uitgegeven rond het thema Governance. Als aansluiting en vervolg op de eerder uitgegeven handboeken is dit boek geschreven. Andere boeken in de reeks Gemeente Governance zijn Verbonden Partijen, Grond(ig) beleid, Fraude, Auditcommissie en De Jaarrekening. Veel literatuur is reeds beschikbaar met betrekking tot risicomanagement, maar deze literatuur is vooral theoretisch van aard. Dit handboek beoogt een meer praktische benadering te hanteren en is door en voor gemeenten geschreven. Samen met een aantal gemeenten is gesproken over de praktische vraagstukken rond risicomanagement. Hierbij heeft elke deelnemende gemeente een casus ingediend dat is gebruikt als onderbouwing en illustratie voor dit handboek. Gezamenlijk hebben deze casussen geholpen om te komen tot een uniforme denkwijze over risicomanagement die is verwerkt in dit handboek. Onder de deelnemers vallen het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en de gemeenten Amersfoort, Barendrecht, Breda, Doetinchem, Enschede, Middelburg, Oosterhout, Pijnacker-Nootdorp, Roosendaal en de Regio Zuid-Holland Zuid. Met dit handboek willen we de bewustwording van risicomanagement bij gemeenten bevorderen door middel van een heldere en praktisch toepasbare beschrijving van risicomanagement, weerstandsvermogen, risicomanagement in relatie tot governance en de cultuuromslag in het kader van risicomanagement. Dit wordt aangevuld met praktijkvoorbeelden. Een beleid met een oog voor het aspect risicomanagement geeft houvast en richting aan een organisatie en helpt om voorbereid te zijn op de mogelijke negatieve gevolgen van risico s. 1.2 Wat is risicomanagement? Veel gemeenten zijn op dit moment bezig met het vormgeven van risicomanagement in de eigen organisatie. Dit levert in de praktijk vaak veel uitdagingen op. Sommige uitdagingen zijn heel specifiek, maar een groot deel is voor veel gemeenten vergelijkbaar. Dit is dan ook de aanleiding geweest om dit handboek te schrijven: het delen van ervaringen uit de praktijk en het geven van handreikingen om verschillende problemen en vraagstukken rond risicomanagement het hoofd te bieden. Een centraal thema bij het vormgeven van risicomanagement in de praktijk is niet zoals misschien verwacht zou worden het ontwikkelen van instrumentarium en het berekenen van de risico s, maar juist het thema van implementatie en het verkrijgen van draagvlak voor het thema van risicomanagement. Gemeente Governance Fraude Managen van frauderisico s geeft voorsprong! Gemeente Governance Grond(ig) beleid Grondbeleid, grondexploitaties en grondbedrijven grondig bekeken Gemeente Governance - De jaarrekening Driedimensionaal bekeken Gemeente Governance De jaarrekening Driedimensionaal bekeken 16

17 STUREN 1. Kaderstelling & Strategie 2. Risicoanalyse BEHEERSEN 3. Beheersmaatregelen 1. Kaderstelling & Strategie Beginnend/Groeiend 2. Risicoanalyse 6. Continue Verbetering 4. Monitoren resultaten 5. Toezicht & Toetsing TOEZICHT VERANTWOORDING Gemeenteraad 5. Toezicht & Toetsing 6. Verbetering College & Management Team Afgebakend/ Geadvanceerd 4. Monitoren resultaten 3. Beheersmaatregelen Hoe geef je risicomanagement handen en voeten in de organisatie (instrumentele borging) en hoe krijgen we risicomanagement tussen de oren van mensen. Dit thema heeft een sterke cultuurveranderingscomponent. In dit handboek zullen we naast de handreikingen voor (instrumentele) invulling van risicomanagement in de organisatie derhalve ruime aandacht besteden (voornamelijk in hoofdstuk 4) aan cultuurverandering. Het risicomanagementproces begint met het benoemen van doelstellingen, het bepalen van de structuur en het inrichten van processen. Hierna volgt men de zes stappen van het risicomanagementproces (figuur 1.1). Zo wordt een gedegen, continu proces opgebouwd ten gunste van de verbetering van risicomanagement. Dit model vormt de leidraad van ons boek en wordt als uitwerking gepresenteerd in het boek. Waarom risicomanagement? De belangrijkste reden voor risicomanagement is om je doel te bereiken. Veelal bestaat het beeld dat het invoeren van risicomanagement een zware (extra) belasting vormt voor de organisatie. Door echter beheersmaatregelen te benoemen en deze uit te voeren voordat risico s zich voordoen, is de kans groter dat uiteindelijk de doelstellingen worden bereikt. Bovendien zorgt een systeem van risicomanagement ervoor dat risico s en beheersmaatregelen niet op een willekeurige, maar op een gestructureerde wijze worden geïnventariseerd. Hierdoor zal een completer beeld van de risico s ontstaan en dit zorgt ook voor een deugdelijke implementatie en onderkenning van beheersmaatregelen. De kans om risico s te missen wordt kleiner door de aandacht voor risico s en een deugdelijke inventarisatie ervan. Juist door de alertheid op en het inzicht in risico s zal een organisatie meer ondernemerschap aan de dag kunnen leggen en hierdoor ook grotere risico s, want meer beheerst, kunnen nemen. Of minder risico s lopen waardoor er een kleiner beslag zal worden gelegd op het weerstandsvermogen. Het risicomanagementproces raakt zowel de financiële als de niet-financiële risico s (wetgeving over bijv. milieu, ruimtelijke ordening, arbo). Het risicomanagementproces dient niet alleen om financiële en niet-financiële risico s in kaart te brengen. Ook risico s voortvloeiend uit externe ontwikkelingen en de bedrijfsvoering dienen te worden ingebed in het risicomanagement proces. Risico s kunnen dus betrekking hebben op een breed pallet. Het kan gaan om risico s in de reguliere exploitatie en bedrijfsvoering, risico s binnen processen, risico s van projecten, risico s in de diverse programma s en risico s die van buiten komen. Het risicomanagementproces, zoals dat bij figuur 1.1 is weergegeven, is echter niet anders bij deze verschillende risicogebieden. De ervaring leert dat risicomanagement uitstekend te combineren is met andere initiatieven die moeten leiden tot doelbereiking en tevens verbeteringen in de kwaliteit van de bedrijfsvoering. Hierbij kan bijvoorbeeld gedacht worden aan prestatiemanagement en het INK-managementmodel. Deze twee concepten bespreken wij kort alvorens de samenhang met risicomanagement nader toe te lichten. Prestatiemanagement Bij prestatiemanagement worden de strategische beleidsdoelstellingen doorvertaald naar sturings- Figuur 1.1 Risicomanagement proces in relatie tot Governance Risicomanagement meer dan de som der delen 17

18 en verantwoordingsinformatie. Op het hoogste (organisatie)niveau binnen de gemeente betekent dit dat allereerst per doelstelling antwoord wordt gegeven op de volgende vragen: Wanneer is de doelstelling bereikt? en Welke inspanningen zijn daarvoor kritisch? De antwoorden op beide vragen zijn kritische succesfactoren (KSF en). Deze kwalitatieve begrippen worden vervolgens vertaald in kwantitatieve kritische prestatie-indicatoren (KPI s) (zie figuur 1.2) INK-managementmodel De INK-methodiek is erop geënt de organisatie te laten leren en (her)in te richten naar aanleiding van de uitkomsten van gekozen maatstaven. Hierdoor wordt een verbetercyclus in gang gezet. Het model bestaat uit een vijftal organisatiegebieden, een viertal resultaatgebieden en een feedback-lus (zie figuur 1.3). Hierbij is de wijze van invulling van de organisatiegebieden bepalend voor de mate waarin de resultaten van de organisatie worden behaald. Figuur 1.2 Model prestatiesturing Visie, Missie, Strategie Strategische doelstellingen Functionele doelstellingen Operationele doelstelling Cruciale bedrijfsactiviteiten KSF KSF KSF KPI KPI KPI Management rapportage Operationele informatie Samenhang risicomanagement, prestatiemanagement en INK-managementmodel De onderlinge samenhang tussen risicomanagement, prestatiemanagement en het INK-managementmodel komen tot uitdrukking in figuur 1.4. De gedachtengang achter deze figuur laat zich als volgt vertalen. Hoewel het INK-managementmodel een goede basis biedt om te komen tot verbetering in de bedrijfsvoering, laat de praktijk vaak zien dat (overheids)organisaties moeite hebben met het operationaliseren van dit model. Vaak komt dit door de (ervaren) complexiteit en het integrale karakter dat het INK-model draagt. Het vraagt een scherp inzicht in de samenhang van de genoemde elementen. Risicomanagement biedt hiervoor een uiterst efficiënte, effectieve en vooral praktische oplossing. De essentie van de koppeling van de drie modellen is dat door risicomanagement als integraal onderdeel van governance te zien het een structurelere en meer geborgde positie krijgt dan wanneer risicomanagement alleen in het kader van INK zou worden ingericht of enkel om het verkregen van een inzicht in de financiële positie. Door de koppeling van de verschillende modellen ontstaat een integraal beeld. Leiderschap Figuur 1.3 INK-model Medewerkers Beleid & strategie Middelenmanagement Organisatiegebieden Management van processen Feedback Waardering door personeel Waardering door klanten Waardering door maatschappij Resultaatgebieden Eindresultaten 18

19 Visie, Missie, Strategie STUREN 1. Kaderstelling & Strategie 2. Risicoanalyse 6. Continue BEHEERSEN 3. Beheersmaatregelen Strategische doelstellingen Functionele doelstellingen KSF KSF KPI KPI Management rapportage Verbetering 4. Monitoren resultaten 5. Toezicht & Toetsing Operationele doelstelling KSF KPI Operationele informatie TOEZICHT VERANTWOORDING Cruciale bedrijfsactiviteiten Medewerkers Waardering door personeel Leiderschap Beleid & strategie Management van processen Waardering door klanten Eindresultaten Middelenmanagement Waardering door maatschappij Figuur 1.4 Risicomanagement als instrument van doelbereiking Organisatiegebieden Feedback Resultaatgebieden De interne risico s uit het (te ontwikkelen) gemeenschappelijke risicotaal kunnen worden toegewezen aan de vijf organisatiegebieden van het INK-managementmodel, aangevuld met een extra veld voor de externe risico s (zie figuur 1.5). Dit resulteert in een overzicht waarin per organisatiegebied de mogelijk voorkomende risico s worden weergegeven. Op basis hiervan kunnen vervolgens de belangrijke risico s geïdentificeerd worden, die het behalen van de doelstellingen en prestaties - al dan niet vastgelegd in managementcontracten - kunnen belemmeren (resultaatgebieden van het INK-managementmodel). Het in kaart brengen van de oorzaken en consequenties van deze risico s biedt vervolgens de basis om te komen tot verbeteracties. De verbetercyclus van de INK-methodiek krijgt op deze wijze een praktische en concrete invulling. Tevens wordt duidelijk inzichtelijk gemaakt wat de mogelijke gevolgen zijn van de risico s op de te behalen prestaties en doelstellingen. Kortom, risicomanagement is een uitstekend instrument tot doelbereiking dat relatief eenvoudig gecombineerd kan worden met andere (bestaande) managementconcepten die leiden tot een verbetering van de bedrijfsvoering. Figuur 1.5 Risico s per organisatiegebied Maatschappelijke risico s - Verwachtingen cliënt/burger - Belanghebbenden/stakeholders - Technologische innovatie - Afhankelijkheid van derden - Leiderschapsstijl - Organisatiestructuur Medewerkers - Vermogen tot veranderen - Kwaliteit personeel - Integriteit - Reputatie - Motivatie - Kwantiteit personeel - Illegale activiteiten medewerkers - Arbeidsomstandigheden - Productiviteit - Incentives beleidsuitvoering - Efficiency - Projectmanagement - Product/dienstenkwaliteit - Interne communicatie en samenwerking - Cliënt/burgercommunicatie - Samenwerking ministeries Externe risico s Leiderschap - Bevoegdheden en verantwoordelijkheden Strategie & Beleid - Beleidsvorming - Interactieve beleidsvorming - Beleidsformulering - Beleidshaalbaarheid - Verantwoordingsrapportages - Toezicht op beleidsuitvoering - Prestatie-indicatoren - Managementrapportage - Aansluiting doelen - Financiële en operationele informatie Budgettering/begroting Processen - Samenwerking college B&W - Samenwerking overige GD - Samenwerking uitvoeringsinstanties - Naleving beleid en procedures Politiek bestuurlijke en legislatieve risico s - Nieuwe wet- en regelgeving - Politiek signatuur (rijks)overheid - Naleving beleid/procedures door uitvoerders - Conflicterend overheidsbeleid - Waarden en normen - Managementfraude Middelen FINANCIEEL - Contractering - Apparaatkosten - Verplichtingen - Programmakosten INFORMATIETECHNOLOGIE - Werking infrastructuur - Aansluiting infrastructuur ketenpertners - Tijdigheid - Beveiliging - Betrouwbaarheid - Relevantie - Toepasbaarheid - Naleving wet- en regelgeving - Imago - Productontwikkeling - Kennisdeling - Tevredenheid cliënt/ burger Risicomanagement meer dan de som der delen 19

20 Waarom willen we de uitkomsten van het risicomanagement vertalen naar een concreet bedrag, zijnde het weerstandsvermogen? Vaak stellen raadsleden en wethouders de vraag: hoe staan we ervoor als gemeente en hoe vermogend zijn we? Het antwoord op deze vragen blijft vaak uit, omdat het inzicht er onvoldoende blijkt te zijn. Het antwoord wordt bepaald door de financiële positie van uw gemeente in relatie tot het risicoprofiel van de gemeente. Hierbij moet opgemerkt worden dat enerzijds niet alle risico s zijn te vertalen naar concrete geldbedragen. Anderzijds is het summum van risicomanagement niet de rekensom: hoeveel geld moeten we hebben voor het afdekken van de risico s? Nee, gelukkig is het veel meer. Een degelijk systeem zorgt voor het werken aan een structurele verbetering en toename van beheersing, mede door krijgen van een beter inzicht van uw organisatie. Gebeurtenissen van de laatste jaren laten zien hoe belangrijk het is dat bekend is hoe de gemeente er voor staat wat betreft de risico s en het weerstandsvermogen. Er zijn vele voorbeelden van gemeenten die geconfronteerd werden met onvoorziene risico s met grote financiële consequenties. Een in het oog springend voorbeeld is de Noord- Zuid-lijn in Amsterdam. Dergelijke majeure projecten en hiermee samenhangende risico s kunnen een aanzienlijk effect hebben op de financiële beleidsvrijheid van de gemeente, maar ook op het imago en de inrichting van de (project-)organisatie. Immers dergelijke majeure en unieke projecten vragen om een specifieke inrichting en aansturing. Hoe krijg je risicomanagement tussen de oren? Om risicomanagement ingebed te krijgen in het handelen van medewerkers is het van belang om risicomanagement explicieter onderdeel te laten uitmaken van de reguliere bedrijfsvoering. Een organisatie moet duidelijk voor ogen hebben wat risicomanagement inhoudt en wat het oplevert om risicomanagement te bedrijven. Dit vraagt om een cultuuromslag binnen veel organisaties. Dit cultuurelement is in onze optiek één van de belangrijkste kritische succesfactoren voor het succesvol implementeren en werkend houden van risicomanagement. Zie hiervoor ook hoofdstuk 4.4 en hoofdstuk 6. Wat levert risicomanagement op? Eén van de belangrijkste voordelen is dat risicomanagement inzicht creëert in het functioneren van de organisatie: hoe snel reageert zij op wijzigende omstandigheden? Daarnaast draagt een adequaat risicomanagement bij aan het inzicht in en de realisatie van de gestelde doelen. Inzicht in risico s en eventuele negatieve gevolgen hiervan kan zorgen voor een stabielere organisatie met een inzichtelijker toekomst en een beter beheerst beleid. Naast inzicht, creëert risicomanagement transparantie en beheersbaarheid. Transparantie in de risico s die een organisatie loopt en beheersbaarheid hiervan. Niet geheel onbelangrijk levert risicomanagement ook geld op. Als je de risico s van je organisatie vroegtijdig erkent en adequate maatregelen neemt kunnen negatieve gevolgen van bepaalde activiteiten worden voorkomen. Met dit handboek hebben wij tot doel om op een praktische wijze een start te maken met het invullen van risicomanagement binnen uw organisatie. Door middel van een overzichtelijke definiëring en praktische handreikingen kan dit handboek u helpen bij het bepalen wat risicomanagement voor uw organisatie betekent. Daarnaast kan het nuttig zijn bij het benoemen van wat uw organisatie wil bereiken met risicomanagement. Het kiezen van een praktische methode voor risicomanagement, de wijze van implementatie in de dagelijkse gang van zaken in uw gemeente en het bepalen van de wijze van rapportage, zijn belangrijke kaders bij de vormgeving van risicomanagement. Verder blijken in de praktijk het benoemen van een risicomanager en het verantwoordelijk maken van (integraal) managers verantwoordelijk voor zijn/haar risico s versterkend te werken voor de effectiviteit van risicomanagement. Ook druk vanuit de top van de organisatie helpt hierbij. Het gaat hierbij niet alleen om systeemdruk (druk door middel van regels), maar risicomanagement kent tevens een belangrijk cultuurelement. Er moet anders gekeken worden naar de organisatie en de processen die daarbinnen vormkrijgen. 1.3 Leeswijzer In de volgende hoofdstukken wordt u als lezer geleid door de elementen van een adequaat en werkend systeem van risicomanagement. Aan het eind van dit handboek is een duidelijk beeld ontstaan van elk van de elementen voor een succesvolle opzet, rolverdeling, 20

21 implementatie, werking en de toegevoegde waarde van een systeem van risicomanagement. Na een korte omschrijving van risicomanagement (onder meer als instrument tot doelbereiking) en weerstandsvermogen in de inleiding wordt in hoofdstuk 2 dieper ingegaan op risicomanagement. In hoofdstuk 3 worden de governance-dimensies bij risicomanagement verder uitgewerkt. Gericht wordt ingegaan op sturing, beheersing, verantwoording en toezicht houden, de vier dimensies van governance. Op basis van de theorie wordt in dit hoofdstuk de basis gelegd voor risicomanagement. Veelal wordt gekeken naar de verbanden tussen risicomanagement en governance, het duale bestel, rechtmatigheid, rolverdeling en randvoorwaarden. Hoofdstuk 4 laat de stappen zien na implementatie. Hoe zorgt een organisatie voor een continu proces van verbetering? Hoe wordt risicomanagement een explicieter onderdeel van de bedrijfsvoering? Hoe kan vorm worden gegeven aan de cultuuromslag? In hoofdstuk 5 wordt nader ingegaan op weerstandsvermogen. Wat wordt hieronder verstaan? Welke onderdelen spelen hierbij een rol? Wat zijn de mogelijkheden voor gemeenten om hier invulling aan te geven? Welke speelruimte ligt er binnen de elementen van weerstandsvermogen? 1.4 Wat is interessant voor welke doelgroep? Dit is een boekwerk geworden dat voor verschillende doelgroepen interessant is: gemeenteraden, colleges van B&W, gemeentesecretarissen, controllers en lijnorganisatie. Om het handboek toegankelijk te maken, hebben we in het onderstaande overzicht weergegeven welke hoofdstukken of paragrafen interessant zijn voor welke doelgroep. Het is uiteraard niet bedoeld om u te weerhouden het handboek in zijn geheel door te nemen. Doelgroep Gemeenteraad College van B&W Controller/ risicomanager/-coördinator Lijnorganisatie/ambtelijke organisatie Interessante hoofdstukken/paragrafen 1, 2.1, 2.2, 2.3 en 3 Bijlagen: 5, 8, 10, 11 en 12 1, 2.1, 2.2, 2.3, 3.3, 4.1 en 4.2 Bijlagen: 5, 8, 10, 11 en 12 1, 2, 3, 4, 5, 6 en 7 Bijlagen: , 2.1, 2.2, 2.3, 4.2, 4.3, 4.4, 4.5, 4.6, 5, 6 en 7 Bijlagen: 1-12 Nadat de belangrijke elementen bij de invoering van risicomanagement zijn behandeld, laat hoofdstuk 6 de valkuilen in de praktijk zien. Waar lopen organisaties tegen aan? Wat kan er mis gaan en hoe is dit te ondervangen? Vervolgens worden in hoofdstuk 7 aan de hand van een aantal thema s voorbeelden geschetst van hoe risicomanagement vorm kan krijgen in de praktijk. Tenslotte bevat dit handboek een flink aantal bijlagen met praktische voorbeelden, handreikingen, checklists en overzichten die behulpzaam kunnen zijn bij het verder vormgeven van risicomanagement in uw eigen organisatie. Risicomanagement meer dan de som der delen 21

22 22

23 2. Risicomanagement In dit hoofdstuk gaan we dieper in op de term risicomanagement. Hierna behandelen we de aspecten van governance, het gebruik van risicomanagement voor continue verbetering, de bepaling van het weerstandsvermogen, de valkuilen in de praktijk en het weergeven van casuïstiek. Dit hoofdstuk richt zich bovendien op de risicomanagementsystemen en doelen en doelgroepen. Risicomanagement wordt gedefinieerd als het identificeren en kwantificeren van risico s en het bepalen van activiteiten die de kans van optreden en/of de gevolgen van risico s beheersbaar houdt/maakt. BBV: - Inventarisatie weerstandscapaciteit - Inventarisatie risico s - Beleid omtrent weerstandscapaciteit en risico s Model financiële verordening: - Weerstandscapaciteit - Toereikendheid weerstandscapaciteit bij schade en verliezen als gevolg van risico s van materieel belang Beheers Maatregelen 2.1 Wet- en regelgeving: eisen in het kader van risicomanagement Met het inwerking treden van het Besluit Begroting en Verantwoording Provincies en Gemeenten (BBV) per 1 januari 2004, zijn gemeenten verplicht om aandacht te besteden aan het risicoprofiel van de gemeente en dit te plaatsen in relatie tot het weerstandsvermogen. Deze nieuwe regelgeving met betrekking tot begroting en verantwoording verplicht gemeenten om een duidelijke koppeling te maken tussen de risico s die worden gelopen en het aanhouden van een financiële buffer (beschikbare weerstandscapaciteit). Conform artikel 11 BBV dient in de paragraaf weerstandsvermogen in ieder geval te worden opgenomen: a) een inventarisatie van de (weerstands)capaciteit, b) een inventarisatie van de risico s en c) het beleid omtrent de (weerstands)capaciteit en de risico s. Bruto risico Netto risico Figuur 2.1: Opbouw weerstandsvermogen Reguliere risico s Kwantificeerbaar Niet- Reguliere risico s 2.2 Risicomanagement en ISO Ook in internationaal perspectief staat risicomanagement sterk in de belangstelling. De International Organization for Standardization (ISO) en de International Electrotechnical Commission (IEC) bereiden drie richtlijnen voor op dit gebied. Het betreft de volgende aspecten: termen en definities (ISO/IEC Guide 73), richtlijnen voor de implementatie (ISO 31000) en methoden voor risicobeoordeling (IEC 31010). Niet goed Kwantificeerbaar Doelstellingen Kwantificeerbaar Voorziening Van geringe betekenis Materiële betekenis Voorziening Weerstandscapaciteit In figuur 2.1 wordt de mogelijke opbouw van de paragraaf weerstandsvermogen getoond. Uiteindelijk dienen slechts de risico s van materiële (belangrijke financiële) betekenis te worden afgezet tegen de weerstandscapaciteit. Risico s waar beheersingsmaatregelen (verzekeringen, maatregelen in de AO-IC) tegenover staan en die concreet in geld kunnen worden uitgedrukt en vervolgens zijn geconcretiseerd door middel van een voorziening dienen buiten beschouwing te blijven. De beide organisaties hebben twee doelstellingen met het formuleren van deze normering: het bieden van een normenkader voor de implementatie van risicomanagement en het creëren van een kapstok voor sectorspecifieke ISO-normen. Belangrijk aan deze ontwikkeling is vooral dat de drie aspecten samen worden ontwikkeld: de definities moeten aansluiten op de richtlijnen voor implementatie en de methoden voor risicobeoordeling. Hiermee wordt in de ISO-normen een handvat gecreëerd voor integraal risicomanagement. Risicomanagement meer dan de som der delen 23

24 De essentie van de invulling van termen en definities, is dat risico s breder moeten worden gedefinieerd dan oorzaak en gevolg en kans x gevolg. In de navolgende hoofdstukken wordt dit dan ook als leidraad uitgewerkt: het gaat verder dan een mathematische exercitie. Bij de uitwerking van de richtlijnen wordt een onderscheid gemaakt tussen de principes, het raamwerk en het proces. De samenhang tussen deze onderdelen en de kernbegrippen zijn vanuit ISO-31000: (Zie figuur 2.2) De elf basisprincipes van ISO die leidend zijn: 1 Risicomanagement creëert waarde 2 Het is een integraal onderdeel van de bedrijfsprocessen 3 Het is onderdeel van de besluitvorming 4 Het richt zich expliciet op onzekerheden 5 Het is systematisch, gestructureerd en tijdig 6 Het is gebaseerd op de best beschikbare informatie 7 Het is op maat gesneden 8 Het houdt rekening met menselijke en culturele omstandigheden 9 Het is transparant en overal aanwezig 10 Het is dynamisch, interactief en reageert op verandering 11 Het faciliteert voortdurende verbetering en versterking van de organisatie Figuur 2.2: 11 Principes in samenhang Mandaat en commitment Ontwerp van het raamwerk - Begrijpen van de organisatie en haar context - Risicomanagementbeleid - Integratie in de processen van de organisatie - Toerekenbaarheid (accountability) - Middelen - Vaststellen van mechanismen voor interne en externe communicatie en consultatie Continue verbetering van het raamwerk Monitoring en review van het raamwerk Stappen in risicomanangement proces - risico-identificatie - effectanalyse, - kansanalyse, - risicoschatting en - risico-evaluatie Implementeren van risicomanagement - Implementeren van het raamwerk - Implementeren van de risicomanagementprocessen Vervolgens wordt aan de hand van het Risk Management Framework van ISO uitgewerkt hoe het raamwerk en het proces vorm kan krijgen. In essentie sluiten de uitgangspunten van deze ISO-norm aan bij de uitgangspunten van dit handboek. De methoden worden op twee manieren geclassificeerd. Ten eerste: op welke stappen van het risicobeoordelingsproces hebben ze betrekking? Ten tweede wordt gekeken naar de volgende parameters: benodigde middelen en expertise, de mate van zekerheid en exactheid van de uitkomsten en de geschiktheid voor complexe risicosituaties. Op die manier ontstaat een handig spoorboekje om een weg te vinden in de vele methoden en technieken van risicobeoordeling. (Zie figuur 2.3) - benodigde middelen en expertise, - de mate van zekerheid en exactheid van de uitkomsten en de - geschiktheid voor complexe risicosituaties Figuur 2.3 Classificatie langs twee lijnen Methoden van risicomanagement 2 ISO Norm risicomanagement, de Accountant April