Risicocultuur. Together you make the difference. Hoe kunnen we de risicocultuur van een organisatie beschrijven en beïnvloeden.

Transcriptie

1 ISICOCULTUUR R Together you make the difference Risicocultuur Hoe kunnen we de risicocultuur van een organisatie beschrijven en beïnvloeden. Auteurs Carla van der Weerdt en Frank van Egeraat Accent Organisatie Advies

2 Cultuur en risicocultuur zijn sterk aan elkaar gerelateerd. De cultuur van de organisatie wordt gevormd door het geheel van de normen en waarden, houdingen en gedragingen die op alle niveaus van de organisatie worden uitgedragen en nageleefd. De risicocultuur beschouwt de organisatiecultuur door een risico bril en benoemt die aspecten van de organisatiecultuur die van invloed zijn op de wijze waarop mensen en teams in de organisatie omgaan met risico s en de beheersing daarvan. De afgelopen jaren is veel geschreven over de noodzaak van een gezonde cultuur of risicocultuur. Een aantal voorbeelden hiervan: In de voorgestelde aanpassing van de Nederlandse Corporate Governance Code 1 geeft de Commissie aan dat naar haar mening de Code nadrukkelijker aandacht kan besteden aan cultuur. Het bestuur is verantwoordelijk voor het waarborgen en stimuleren van een cultuur van openheid en aanspreekbaarheid. Het bestuur moet daarom zich bewust zijn van cultuuren gedragsbepalende factoren. In een recente paper van McKinsey&Company The future of bank risk management 2 wordt risicocultuur genoemd als een van de belangrijkste onderdelen van goed risicomanagement in een organisatie. In juli 2015 verscheen een rapport van de G30 met de titel Banking Conduct and Culture A Call for Sustained and Comprehensive Reform waarin wordt aangegeven dat problemen in de culturele waarden en subculturen in grote banken hebben geleid tot incidenten, grote reputatieschade en een afbreuk van het publieke vertrouwen. De incidenten waren uiteindelijk zeer kostbaar voor de betreffende organisaties. de wijze waarop mensen en teams in de organisatie omgaan met risico s en de beheersing daarvan. Er bestaan voor risicocultuur verschillende definities. Wij hanteren de volgende definitie: Risicocultuur is het geheel van normen en waarden, de houdingen en gedragingen van individuen en groepen in de organisatie die bepalen op welke wijze risico s worden geïdentificeerd, geanalyseerd, besproken en behandeld. Dit geldt zowel voor de risico s waarmee de organisatie wordt geconfronteerd als de risico s die de organisatie bewust neemt. Verschillende organisaties hebben modellen ontwikkeld voor de beschrijving van de risicocultuur. Voorbeelden daarvan zijn de Financial Stability Board (FSB), The Institute of Risk Management (IRM), PWC, McKinsey, EY, Deloitte en de Global Association of Risk Professionals (GARP). Op basis van deze modellen en onze eigen inzichten hebben wij een model van kerndimensies en -factoren gedistilleerd dat de risicocultuur van een organisatie beschrijft. Vaak blijft het vervolgens onduidelijk wat precies wordt verstaan onder cultuur of risicocultuur en hoe we deze cultuur kunnen beschrijven en beïnvloeden. Cultuur versus risicocultuur Cultuur en risicocultuur zijn sterk aan elkaar gerelateerd. De cultuur van de organisatie wordt gevormd door het geheel van de normen en waarden, houdingen en gedragingen die op alle niveaus van de organisatie worden uitgedragen en nageleefd. De risicocultuur beschouwt de organisatiecultuur door een risico bril en benoemt die aspecten van de organisatiecultuur die van invloed zijn op ACCENT ORGANISATIE ADVIES, JUNI

3 Soft- en hard controls beïnvloeden de cultuur Model voor de beschrijving en toetsing van de risicocultuur De risicocultuur bestaat uit verschillende onderdelen: 1. Leiderschap a. Voorbeeldgedrag De toon aan de top van de organisatie Het management in de organisatie moet een duidelijk beeld hebben van de gewenste risicocultuur in de organisatie en hier naar handelen. De eigen handelingen en gedragingen in woord en daad van de leiding zetten daarbij de toon. Inzicht hierin kan onder andere verkregen worden vanuit enquêtes onder medewerkers, 360 graden feedback onderzoeken, etc. Andere belangrijke signalen kunnen zijn de wijze waarop in de media over de organisatie wordt gesproken, of de wijze waarop met klachten van klanten en medewerkers wordt omgegaan door de organisatie. b. Normen en waarden de gedragsstandaarden in de organisatie Zowel soft controls als hard controls beïnvloeden de cultuur in de organisatie. De hard controls zijn maatregelen die goed waarneembaar en toetsbaar zijn: ze zijn als het ware tastbaar. De soft controls zijn daarentegen minder goed waarneembaar. Soft controls zijn maatregelen die meer dan hard controls appelleren aan het gedrag en het persoonlijk functioneren van medewerkers. Soft controls worden daarom ook wel behavioural controls genoemd. Soft controls ondersteunen de werking van hard controls en kunnen ook aanwezig zijn als er geen hard controls zijn. In dit model omvat de risicocultuur de volgende dimensies: De organisatie moet een risicocultuur creëren die integriteit en gezond risicomanagement stimuleert, waarin het uiten van verschillende meningen en invalshoeken mogelijk is. Een gezond debat leidt tot betere risicobeheersing. Gewenst gedrag moet worden gestimuleerd en beloond, ongewenst gedrag moet worden geadresseerd. Belangrijke voorwaarden voor het borgen van de normen en waarden in de organisatie zijn: I. Een duidelijke gedragscode II. Medewerkerstevredenheid onderzoeken waarin vragen met betrekking tot de gedragscode, voorbeeldgedrag en risicobeheersing zijn opgenomen 2. Risicoraamwerk a. Risicobereidheid de risico s die de organisatie bereid is te nemen. b. De risicobereidheid van de organisatie wordt door het bestuur vastgesteld en vastgelegd. De organisatiestrategie is in lijn met deze risicobereidheid. Het bestuur dient een duidelijke risicobereidheid te formuleren (goedgekeurd door de Raad van Commissarissen), die een goede uitgangspositie definieert ACCENT ORGANISATIE ADVIES, JUNI

4 voor de organisatiestrategie en het bespreken, beheersen en nemen van risico s in de organisatie. Van belang is te toetsen of de risicobereidheid duidelijk is, haalbaar is en dat de risicobereidheid geborgd is in de besluitvormingsprocessen. c. Risicobeleid het beleid, de procedures, de processen en de infrastructuur ten behoeve van het effectief en efficiënt beheersen van de risico s. De organisatie moet een duidelijk raamwerk hebben van beleid, procedures en controls in de processen. De risico s op strategisch, tactisch en operationeel niveau worden daardoor geïdentificeerd, geanalyseerd, afgewogen en op een adequate wijze beheerst. Scenario s en stress testing spelen in die afweging een belangrijke rol. Niet alleen het hebben van risicobeleid is van belang, ook de uitvoerbaarheid moet bewaakt worden. Het stellen van onuitvoerbare eisen leidt tot ongewenst gedrag (workarounds). 3. Personeelsmanagement a. Performance management het promotie- en beloningsbeleid in de organisatie. Het performance management in de organisatie dient volledig in lijn te liggen met de normen en waarden en de risicobereidheid van die organisatie. Beloningen en promoties/benoemingen terwijl het gedrag van de betreffende medewerker niet in lijn is met de normen en waarden en de risicobereidheid ondermijnen een gezonde risicocultuur! b. Ontwikkeling en opleiding het beleid en de uitvoering van aanname van personeel, training en talentontwikkeling. Het aannemen van personeel dat past in de risicocultuur van de organisatie is essentieel. Vervolgens moeten medewerkers blijvend worden geëvalueerd en getraind en dienen zij de mogelijkheid te hebben zich verder te ontwikkelen. Op die manier blijven zij in staat om steeds beter de (nieuwe) risico s te identificeren en te beheersen. 4. Transparantie en besluitvorming a. Informatie & communicatie informatie die een betrouwbaar en tijdig inzicht geeft in de bestaande en nieuwe risico s. b. Informatie over risico s moet tijdig gecommuniceerd worden naar de personen/afdelingen in de organisatie die deze informatie nodig hebben voor een goede analyse, afweging en beheersing van de risico s. Deze informatie wordt niet alleen uit interne bronnen maar ook uit externe bronnen verkregen. Betrouwbare en tijdige informatie en communicatie ten aanzien van risico s is essentieel voor een juiste beheersing van deze risico s. Medewerkers moeten zich vrij voelen om risico s te escaleren en moeten weten welke weg daarvoor te volgen. Een belangrijke indicator voor dit punt is de wijze waarop incidenten zijn behandeld in de organisatie en de lessen die daaruit worden geleerd. c. Besluitvorming met voldoende challenge duidelijke besluitvorming ten aanzien van risico s, waarbij aandacht wordt besteed aan verschillende scenario s en invalshoeken. Daarbij is openheid voor alternatieve gezichtspunten essentieel. Het bewust zijn van mogelijke cognitieve biases in de besluitvorming en het toepassen van debiasing -technieken is daarbij van belang. 5. Organisatie a. Verantwoordelijkheden & governance de verantwoordelijkheden en het eigenaarschap (ten aanzien) van risico s zijn duidelijk belegd in de organisatie. Per proces worden de risico s continu gemonitord en wordt bekeken of nieuwe risico s mogelijk zijn. De proceseigenaar (eerste lijn) is verantwoordelijk voor de beheersing van deze risico s. De tweede en derde lijn in de organisatie hebben ook verantwoordelijkheden in deze risicobeheersing. ACCENT ORGANISATIE ADVIES, JUNI

5 Risicocultuur is in iedere organisatie aanwezig Wat hier ook bij hoort is dat gedrag dat niet passend is duidelijke consequenties heeft (accountability). Dus niet dat iemand die goede financiële prestaties levert met een te hoog risico hier niet op wordt aangesproken. b. Risicomanagement competenties de risk & control functies in de organisatie zijn adequaat ingericht met de juiste competenties. Deze competenties verschuiven steeds meer naar analytische, adviserende en samenwerkende vaardigheden van de risicomanagers 3. Daarnaast moet de risk & control functie gerespecteerd en gewaardeerd worden voor hun bijdrage. Gewenste risicocultuur De risicocultuur in een organisatie kan niet in één dag worden veranderd. Dit vraagt tijd voor het gezamenlijk vaststellen van de gewenste risicocultuur en de wijze waarop dit kan worden bereikt. Oliver Wyman heeft de ontwikkeling van een risicocultuur beschreven in het volgende schema 4 : In de voorgestelde aanpassing van de Nederlandse Corporate Governance Code zijn hiervoor de volgende voorstellen opgenomen: De gewenste cultuur en het daarbij behorende gedrag kunnen worden vastgelegd in een gedragscode. De Commissie stelt ten aanzien van cultuur de volgende tekst voor in de nieuwe Governance Code: Het bestuur: stelt voor de vennootschap gezamenlijke waarden vast die bijdragen aan de lange termijn waardecreatie; stelt een gedragscode op en spant zich in deze code gedragen te laten worden door alle werknemers en andere betrokkenen bij de vennootschap. De gedragscode wordt op de website van de vennootschap geplaatst; draagt de cultuur uit door het zetten van de juiste toon aan de top en het tonen van voorbeeldgedrag. Het bestuur laat zien hetzelfde te verlangen van anderen in de vennootschap; Een risicocultuur is in iedere organisatie aanwezig, de mate waarin de organisatie er bewust of onbewust op stuurt verschilt. De leiding (bestuur en interne toezichthouders) bepaalt welke risicocultuur gewenst is en hoe deze kan worden bereikt. Kritische zelfreflectie is daarbij onontbeerlijk. vergewist zich van de werking van de genomen maatregelen voor de inbedding van de cultuur; en stelt een regeling op voor het melden van (vermoedens van) misstanden binnen de vennootschap en plaatst deze regeling op de website ACCENT ORGANISATIE ADVIES, JUNI

6 In het bestuursverslag geeft het bestuur een toelichting op de wijze waarop invulling wordt gegeven aan een cultuur binnen de vennootschap die is gericht op lange termijn waardecreatie. Deze vastlegging zal bijdragen aan een risicocultuur, maar uiteraard blijven de soft controls, het daadwerkelijke gedrag van alle medewerkers (inclusief de leiding) het bewijs voor een gezonde risicocultuur. Referenties: 1 De Nederlandse Corporate Governance Code Voorstel voor herziening, 11 februari McKinsey&Company The future of bank risk management Authored by: Härle, Havas, Kremer, Rona & Samandari McKinsey&Company The future of bank risk management p Oliver Wyman, Getting to the heart of risk culture within financial services ACCENT ORGANISATIE ADVIES, JUNI

7 Bijlage Onderstaande tabel geeft een nadere toelichting van de eerder beschreven cultuurdimensies Leiderschap Risico-raamwerk Personeelsmanagement Transparantie & besluitvorming Organisatie Risico cultuur Belangrijkste onderdelen factor Voorbeeldgedrag Gedrag, acties en (verbale) uitingen Normen & waarden De gewenste risicocultuur De huidige risicocultuur Risicobereidheid De risicobereidheid Het actuele risicoprofiel Risicobeleid Performance management Ontwikkeling & opleiding Informatie & communicatie Besluitvorming en lerend vermogen Verantwoordelijkheden Risico management competenties Risicomanagement beleid, procedures en processen Risico identificatie en analyse Risicomanagement infrastructuur Beloning Prestatiemetingen Evaluatie van prestaties en het definiëren van doelen Variabele beloning Aanname en indiensttreding Opleiding Talentontwikkeling en successiebeleid 360 feedback Teamwork en betrokkenheid Risico informatie Risico escalatie Aandacht voor alternatieven Challenge ten aanzien van risico inschattingen Monitoring van risico s en tekortkomingen Escalatiemogelijkheden voor het aangeven van zorgen ( klokkenluiders ) Lerend vermogen Verantwoordelijkheid voelen en tonen Controlefuncties Volwassenheid van de controlefuncties Beschikbare resources en competenties/ vaardigheden Job rotatie Verwachtingen Gedrag, acties en (verbale) uitingen van de leiding zijn in lijn met de gewenste risicocultuur De gewenste risicocultuur is gedefinieerd De huidige risicocultuur wordt besproken en vergeleken met de gewenste risicocultuur. Bij afwijkingen worden maatregelen genomen De risicobereidheid is gedefinieerd en wordt actief gebruikt in de besluitvorming De missie en de strategie van de organisatie zijn in lijn met de risicobereidheid Het actuele risicoprofiel wordt voortdurend vergeleken met de risicobereidheid Risicomanagement beleid, procedures en processen zijn gedefinieerd, worden bijgehouden en actief gebruikt Risico identificatie en analyse worden uitgevoerd op alle lagen en functies in de organisatie De infrastructuur voor risicomanagement is effectief (juiste data infrastructuur, data architectuur en IT infrastructuur) De beloning is in lijn met de missie, de doelstellingen en de risicobereidheid Prestatiemetingen worden uitgevoerd en besproken in de evaluaties Evaluatie van prestaties en het definiëren van doelen vindt minstens één keer per jaar plaats Variabele beloning leidt niet tot het nemen van risico s die buiten de risicobereidheid liggen Aanname is in lijn met de gewenste cultuur, gedrag en de vereiste competenties Opleiding van management en medewerkers is een belangrijk onderdeel voor de organisatie Talentontwikkeling en successiebeleid is in lijn met de gewenste risicocultuur, gedrag en competenties 360 feedback wordt verkregen en besproken, o.a. ten behoeve van inzicht in de actuele risicocultuur Teamwork en betrokkenheid worden gestimuleerd en zijn een belangrijk onderdeel van de evaluaties Informatie m.b.t. risico s is betrouwbaar, volledig en wordt actief gebruikt Risico escalatie is mogelijk en wordt gedaan indien nodig In iedere besluitvorming wordt aandacht besteed aan mogelijke alternatieven Challenge ten aanzien van risico inschattingen is gebruikelijk, wordt gewaardeerd en meegewogen in de besluitvorming Continue monitoring van risico s en tekortkomingen is standaard Escalatiemogelijkheden voor het aangeven van zorgen ( klokkenluiders ) zijn bekend en worden indien nodig gebruikt Lerend vermogen: gemaakte fouten leiden tot lessen voor de organisatie Verantwoordelijkheid wordt door iedereen gevoeld en getoond Mensen worden verantwoordelijk gesteld voor het nemen van te grote risico s, gevolgd door maatregelen om herhaling te voorkomen Controlefuncties zijn onafhankelijk van de eerste lijn in de organisatie Volwassenheid van de controlefuncties is een belangrijk aandachtspunt voor de leiding. De belangrijke Countervailing power van deze functies wordt bewaakt en gewaardeerd Voldoende resources en competenties/vaardigheden van de controlefuncties worden bewaakt Job rotatie wordt gestimuleerd en gedaan waar mogelijk ACCENT ORGANISATIE ADVIES, JUNI

8 ACCENT ORGANISATIE ADVIES Accent Organisatie Advies voert adviesopdrachten uit op het gebied Operational Excellence, Risicomanagement en Financieel Performance Management. Centraal in onze aanpak staat het duurzaam verbeteren van het rendement, door middel van efficiency verbetering en risicobeheersingsprogramma's. De adviseurs van Accent Organisatie Advies zijn ervaren adviseurs uit de praktijk en helpen u het beste uit uw organisatie te halen. Wij doen dat op een praktische, betrokken en interactieve manier. Bij onze aanpak spelen de medewerkers in de organisatie een belangrijke rol en besteden wij ook aandacht aan gedrag en cultuur. Disclaimer Niets uit deze uitgave mag worden verveelvoudigd, opgeslagen in een geautomatiseerd gegevensbestand en/of openbaar gemaakt in enige vorm of op enige wijze, hetzij elektronisch, mechanisch, door fotokopieën, opnamen of op enige andere manier zonder voorafgaande schriftelijke toestemming van Accent Organisatie Advies. ACCENT ORGANISATIE ADVIES, JUNI