Otten, J Artikel ESAA, 2009 Risicomanagement: een geïntegreerde benadering

Transcriptie

1 Risicmanagement: een geïntegreerde benadering Cpyright: Alle rechten zijn vrbehuden aan de auteur(s) van dit dcument en Auditing.nl 1

2 Risicmanagement Een geïntegreerde benadering Auteur: Jan Otten 10 juli 2009 Auditing & Cnsulting Services Arnhemsebvenweg MK Driebergen Telefn: (0343) Telefax: (0343) Bank: F. van Lanscht Cpyright: Alle rechten zijn vrbehuden aan de auteur(s) van dit dcument en Auditing.nl

3 INHOUDSOPGAVE 1. INLEIDING WAT IS RISICOMANAGEMENT? EEN SYSTEMATISCHE AANPAK DE PLANNING- & CONTROLCYCLUS DOELSTELLING AANDEEL RISICOMANAGEMENT EEN GEÏNTEGREERD RISICOMANAGEMENTSYSTEEM INSTRUMENTEN IMPLEMENTATIE TIJDSLIJN EN -BESTEDING... 8 Cpyright: Alle rechten zijn vrbehuden aan de auteur(s) van dit dcument en Auditing.nl 3

4 1. INLEIDING Een manager aan het wrd: 'De meeste prcessen binnen nze bedrijfseenheid lpen ged. De kwaliteit van nze prducten en diensten is uitstekend. Maar tegen welke bedreigingen kunnen we aanlpen? Stel je vr dat een deel van nze mzet wegvalt. Of dat enkele sleutelfunctinarissen vertrekken. En wat gebeurt er als we de bezuinigingsrndes van de hlding niet ged inschatten en dus budgettair in de prblemen kmen? Of als we niet juist inschatten he het Eurpese subsidiebeleid zich gaat ntwikkelen en dus subsidiegelden mislpen en imagschade plpen?' Als verantwrdelijke binnen uw rganisatie f bedrijf kmt u dagelijks, bewust f nbewust, met risicmanagement in aanraking. Want f het nu gaat m de Raad van Cmmissarissen, de Raad van Bestuur, het Business Unit Management f de andere verantwrdelijken: allemaal krijgen ze te maken met nzekerheden en kansen - de twee smaken waar het bij risicmanagement m draait. Bij elk smaak zult u zich afvragen: Wat is de kans dat dit gebeurt? Wat is dan de impact daarvan? Heb ik al maatregelen getrffen? Blijven er ng risic's ver? Kan ik die risic's vermijden f verminderen? Wanneer met ik dat dan den? Als u en uw cllega s erin slagen deze 'risicsmaken' p min f meer systematische, structurele en pragmatische wijze te managen, dan is uw rganisatie f bedrijf al redelijk ged 'in cntrl'. Maar misschien vergeet u sms risicvlle gebieden f ziet u de samenhang met andere gebieden ver het hfd. Daarm is een rganisatiebrede en geïntegreerde aanpak ndzakelijk. Bvendien schrijft de wet vr dat rganisaties bepaalde risic's, bijvrbeeld veiligheidsrisic's, regelmatig meten inventariseren en evalueren, en waar ndig passende maatregelen treffen. Een extra reden m aandacht te besteden aan dit nderwerp. Maar he zrgt u nu vr die geïntegreerde aanpak? Waaraan met z n systeem van risicmanagement aan vlden? In een dergelijk systeem meten identificatie/inventarisatie, analyse, beheersing (het nemen van maatregelen), mnitring van risic's en verantwrding afleggen centraal staan. Daarnaast is het belangrijk dat dit systeem z veel mgelijk wrdt geïntegreerd in de bestaande besturingsprcessen van uw rganisatie, met name in het prces van planning en cntrl. Pas dan kunt u écht zeggen dat uw rganisatie 'in cntrl' is, én dat u zicht heeft p de kansen die zich vrden. In deze ntitie vindt u m te beginnen meer infrmatie ver het begrip risicmanagement. Vervlgens lichten we te he het systeem eruitziet en waarm het z belangrijk is. Ok den we een vrstel he het systeem kan werken in de praktijk van uw rganisatie dr de nderdelen van risicmanagement te kppelen aan de stappen van de planning- & cntrlcyclus. Hierdr wrdt de cntinue werking van risicmanagement vr iedereen in uw rganisatie duidelijk zichtbaar en gewaarbrgd. Cpyright: Alle rechten zijn vrbehuden aan de auteur(s) van dit dcument en Auditing.nl

5 Wereldwijd veel belangstelling Wereldwijd zijn veel rganisaties bezig met het vrmgeven van risicmanagement. In 2004 verde PricewaterhuseCpers een internatinale survey uit naar het nderwerp risicmanagement. Daaruit bleek dat 38 prcent van de bedrijven en rganisaties al beschikt ver een effectief systeem van risicmanagement. Ng eens 46 prcent geeft aan dat in de kmende jaren te zullen realiseren. De reden vr deze belangstelling ligt in de bekhudschandalen van enkele jaren geleden, zwel binnen als buiten Nederland. Die hebben de druk p rganisaties vergrt m het managen van risic's serieus te nemen en een adequaat stelsel van beheersingsmaatregelen in te richten en te nderhuden. Veel landen hebben intussen regelgeving ntwikkeld p het gebied van crprate gvernance. Daardr werden beursgenteerde bedrijven verplicht hun lpende initiatieven p het terrein van risicmanagement te versnellen en in lijn te brengen met de eisen van de nieuwe regelgeving. Ok binnen niet-beursgenteerde ndernemingen en binnen de publieke sectr heeft risicmanagement steeds nadrukkelijker aandacht gekregen. 2. WAT IS RISICOMANAGEMENT? Om het begrip risicmanagement' te kunnen uitleggen, geven we u eerst een definitie van het begrip 'risic'. In nze visie kmt een risic vrt uit een nzekerheid. Enerzijds kan een risic een psitief effect hebben p het realiseren van de delstellingen van de rganisatie; we nemen dat een kans. Heeft het risic een negatief effect" dan spreken we ver een bedreiging Een systematische aanpak Elke rganisatie prbeert bedreigingen te beheersen en kansen z veel mgelijk te benutten. Daarvr is echter wel een expliciete, reprduceerbare en cnsistente aanpak ndig. Bij veel rganisaties ntbreekt z'n aanpak echter. Risicmanagement kan hierbij uitkmst bieden. Hiermee kunnen rganisaties hun risic's (kansen en bedreigingen) systematisch identificeren en analyseren, m vervlgens een adequate reactie te kunnen plannen en implementeren. Risicmanagement levert z meer en betere mgelijkheden vr practieve en gede besluitvrming. Daardr draagt het bij aan een efficiënte en effectieve bedrijfsvering. Deze aanpak, gericht p zwel bedreigingen als kansen, is breder dan alleen 'het sturen p succes- en faalfactren'. In de kern gaat het erm dat rganisaties z beheerst mgelijk ged uitgekiende delstellingen realiseren in een nzekere mgeving. Een belangrijk aspect van risicmanagement is de risichuding van het management. Is het management vral risicmijdend? Of ligt de pririteit bij het prfiteren van de kansen die zich mgelijk vrden? Ok hieruit blijkt weer dat het vr de hand ligt risicmanagement z veel mgelijk te integreren in het strategisch besluitvrmingsprces en de planning- & cntrlcyclus van de rganisatie. De risiccultuur en het risicbeleid meten immers naadls aansluiten p de Cpyright: Alle rechten zijn vrbehuden aan de auteur(s) van dit dcument en Auditing.nl

6 kritieke succesfactren (KSF) en de perfrmance-indicatren (PI). Met name de bven- en ndergrenzen van de PI geven een beeld van de 'risk appetite' en risk tlerance' van het management. Het nderstaande vrbeeld verduidelijkt dit. Een wetenschappelijk instituut heeft als missie m tt de beste drie instituten van de wereld te behren. Het beschrijft zijn risichuding als vlgt: We beseffen dat we m de tp te halen geen enkel risic mgen lpen wat betreft de kwaliteit van het wetenschappelijk persneel en de kwaliteit van de nderzeken. Tegelijkertijd accepteren we dat de ksten aanzienlijk kunnen stijgen en de verhudingen met enkele tt nu te 'bevriende' instituten kunnen verslechteren.' Vervlgens kiest het instituut een strategie m de delstellingen die hren bij de missie te realiseren. Ten sltte bepaalt het de kritieke succesfactren (KSF'en), de key perfrmance indicatren (KPI'en) en de tleranties bij elke KPI. Daarbij zullen de KPI'en vr de kwaliteit van het persneel en het nderzek relatief hg liggen en zeer kleine marges hebben. De KPI'en van de verige KSF'en kennen veel grtere tleranties. Dit vrbeeld laat zien dat het lgisch is risicmanagement te integreren in het strategisch planningsprces van de rganisatie. Alleen z sluit het risicbeleid ged aan p de KSF'en en de KPI'en. Maar er is een tweede reden m te kiezen vr integratie met het strategisch planningsprces. We willen het begrip risicmanagement namelijk niet beperken tt ptentiële bedreigingen, maar k de mgelijke kansen daarin betrekken. Bij het bepalen van delen en strategieën laat het management zich immers vaak leiden dr psitieve ntwikkelingen en gebeurtenissen f kansen die het verwacht in de tekmst. Z pgevat zijn strategisch management en risicmanagement twee zijden van dezelfde medaille. Dat kmt k naar vren in de vlgende figuur. Cpyright: Alle rechten zijn vrbehuden aan de auteur(s) van dit dcument en Auditing.nl

7 Missie en visie Strategische delen Risichuding Risicbeleid Strategie KSF en/kpi s Risictleranties Figuur 1. Integratie risicmanagement in Planning& Cntrlcyclus. 3. DE PLANNING- & CONTROLCYCLUS Organisaties veren tal van activiteiten uit m hun delen te bereiken. Het is belangrijk dat deze activiteiten gerganiseerd en gestructureerd wrden uitgeverd. Dr te kiezen vr een bepaalde rganisatie-indeling en bijbehrende taken, verantwrdelijkheden en bevegdheden, zrgen rganisaties vr structuur. Daarnaast heeft men besturingsprcessen geïmplementeerd waarbij het management van de activiteiten in een cyclische structuur is gebracht: de planning- & cntrlcyclus (P&C-cyclus) Delstelling De belangrijkste delstellingen van de P&C-cyclus zijn: de samenhang versterken in de strategie en het beleid van de rganisatie, bedrijfseenheden, afdelingen en de ndersteunende functiegebieden; de bestuurlijke dialg en afstemming tussen vrnemde niveaus bevrderen. De P&C-cyclus is 'een vrtdurend prces van leren en verbeteren: den we als rganisatie, bedrijfseenheden, (staf)afdelingen de gede dingen en den we de dingen ged'. De belangrijkste instrumenten binnen de cyclus zijn: Planning: Visie en missie; Strategisch meerjarenplan en jaarplan van de rganisatie; Strategisch meerjarenplan en jaarplan van de bedrijfseenheden Cpyright: Alle rechten zijn vrbehuden aan de auteur(s) van dit dcument en Auditing.nl

8 Operatineel jaarplan van de bedrijfseenheden; Managementcntracten Begrtingen en budgetplannen Enz. Verantwrding: Jaarverslag; Kwartaalrapprtages Berdelingsgesprekken Etc Aandeel risicmanagement In heverre is risicmanagement nu al ingebed in uw huidige P&C-cyclus? Onze praktijkervaring wijst uit dat het aandeel risicmanagement in heel veel gevallen ng zeer bescheiden is. Sms zien we eerste stappen zals het gebruik van bijvrbeeld de SWOT-analyse. De SWOT-analyse van Ansff is een stelselmatige analyse van de belangrijkste factren waarmee de rganisatie f het bedrijf wrdt gecnfrnteerd. Deze factren vallen uiteen in twee grepen: de interne sterke en zwakke punten van de rganisatie en de externe kansen en bedreigingen. Met name de tweede grep kan wrden gezien als een bescheiden begin van risicmanagement. In de regel bevatten de plannen geen resultaten van gedegen risicmanagement, zals een risicprfiel f een risicbeleid, en een risicanalyse waarbij de risic's gekppeld zijn aan de delstellingen. Ged bestuur Net als de meeste andere zal k uw rganisatie f bedrijf de principes van ged bestuur (grtendeels) nderstrepen, zals die dr de Cmmissie Tabaksblat in de Cde Crprate Gvernance zijn verwrd. Beursgenteerde ndernemingen zijn het verplicht en veel andere rganisaties kiezen 'vrijwillig' vr een zgenemd 'Tabaksblat-cmpliant' bestuursbeleid. Een cnsequent vervlg hierp zu zijn dat uw rganisatie k de aanbevelingen van de Mnitring Cmmissie vlgt. Deze cmmissie heeft nderzcht in heverre ndernemingen de Nederlandse Crprate Gvernance cde (k wel de Cde Tabaksblat) naleven. In haar nderzeksrapprt geeft de cmmissie k adviezen ver risicmanagement. Zij stelt dat ndernemingen in hun verantwrding ver het interne risicmanagementsysteem het vlgende meten pnemen: Het risicprfiel van de rganisatie. Daarbij met de rganisatie aandacht besteden aan haar risk appetite en de belangrijkste strategische, peratinele, financiële en cmpliancerisic's, inclusief de kwalitatieve (minimale) impact en de respnse. Verder neemt zij een geveligheidsanalyse p in relatie tt de best practice in de sectr. Een beschrijving van het risicmanagementsysteem. De rganisatie besteedt in deze beschrijving aandacht aan de risic's die wrden 'afgedekt' en het daarbij gebruikte referentiemdel. Ok Cpyright: Alle rechten zijn vrbehuden aan de auteur(s) van dit dcument en Auditing.nl

9 beschrijft zij de inbedding in de rganisatie (inclusief taken, verantwrdelijkheden en bevegdheden in relatie tt het systeem), de evaluatie van het systeem en de resultaten daarvan en eventuele verbeteringen. Tt slt geeft zij een in cntrl -verklaring. 4. EEN GEÏNTEGREERD RISICOMANAGEMENTSYSTEEM Risicmanagement heeft p dit mment ng geen duidelijke plaats in de P&C-cyclus van veel rganisaties. Praktisch gezien kan dit systeem als vlgt wrden geïntegreerd. Planning Het strategisch meerjarenplan, met daarin pgenmen een risicparagraaf met het risicprfiel (risichuding en risicbeleid) van de rganisatie als geheel. Dit dcument is bedeld als kaderstelling vr de bedrijfseenheden en de (staf)afdelingen; Het meerjarenplan van de bedrijfseenheden met daarin pgenmen een risicparagraaf met het risicprfiel (risichuding en -beleid) van de bedrijfseenheid; Managementcntract en peratineel jaarplan met risictleranties. Hierbij kan een beschuwend en samengevat risicbeeld wrden pgenmen in een zgenemde risicparagraaf. Begrting met daarin pgenmen een bedrag vr het weerstandsvermgen in verband met de gesignaleerde risic's van de rganisatie en de bedrijfseenheden. Verantwrding Jaarverslag van de rganisatie met daarin pgenmen een integrale in cntrl - verklaring. Een in cntrl -verklaring van de bedrijfseenheden Kwartaalverleg waarin k de eventuele mutaties in het risicprfiel en de bijbehrende respnse van de bedrijfseenheden wrden besprken met de Raad van Bestuur Instrumenten Om risicmanagement vrm te geven, hebben we verschillende instrumenten ntwikkeld: de Risic Quick Scan (RQS), het Organisatiebrede Risic Assessment (ORA) en Cntrl Risk Self Assessment (CRSA) vr bedrijfseenheden en (staf)afdelingen. Bij uw rganisatie zu het instrumentarium er als vlgt kunnen uitzien: RQS wrdt ingezet m de risicvlwassenheid van uw rganisatie te bepalen en de verige Cpyright: Alle rechten zijn vrbehuden aan de auteur(s) van dit dcument en Auditing.nl

10 instrumenten aan te passen aan de specifieke kenmerken van uw rganisatie f bedrijf p dit mment; ORA kan wrden gebruikt m de rganisatiebrede algemene en strategische risic s van uw rganisatie te inventariseren en te analyseren. Daarbij wrdt gebruik gemaakt van de zgenaamde Delphi-techniek en een speciaal daarvr geselecteerd frum van functinarissen die direct en indirect bij de rganisatie f het bedrijf betrkken zijn. Denk daarbij aan medewerkers van uw rganisatie, maar k aan afnemers en leveranciers, vertegenwrdigers uit de plitiek, enz. Deze experts wrdt gevraagd ptentiële gebeurtenissen te identificeren en te analyseren p kans van ptreden en de mgelijke gevlgen vr uw rganisatie. De resultaten wrden naast de risichuding van het management van de rganisatie gelegd en pgenmen in een risicparagraaf in het strategisch plan. CRSA is bedeld m de risic s in de peratinele werkprcessen van de bedrijfseenheden en (staf)afdelingen van uw rganisatie te inventariseren en te analyseren. Op dit niveau wrdt risicmanagement vrmgegeven dr zelfevaluatie. Dit is een systematische evaluatie van de kwaliteit van de interne beheersing met als del deze te verbeteren, het management van de bedrijfseenheden en de (staf)afdelingen te versterken en redelijke zekerheid te verschaffen dat delstellingen gerealiseerd wrden. Centraal in deze aanpak staat dat de bedrijfseenheden en (staf)afdelingen zelf de kwaliteit van de interne beheersing berdelen. Zij zijn immers de deskundigen en primair verantwrdelijk. Risicmanagement dr zelfevaluatie kan p verschillende wijzen wrden uitgeverd. In het algemeen begint de zelfevaluatie met het identificeren van de rganisatiedelen, risic's en de beheersmaatregelen die aanwezig zijn m de risic's te verminderen f weg te nemen. Daarna wrden de sterke en zwakke punten in het systeem van beheersing geïnventariseerd, p basis van vergelijking met de risic's en beheersmaatregelen. De zwakke punten wrden vervlgens cncreet uitgewerkt in actieplannen. Samen met het risicprfiel krijgen zij een plek in het strategisch, respectievelijk peratineel plan van de bedrijfseenheid f (staf)afdeling. De financiële cmpnent van de risicrespnse vinden we tt slt terug in de begrting Implementatie Om risicmanagement daadwerkelijk te kunnen implementeren in uw rganisatie zijn niet alleen instrumenten ndig. Ok is van belang in kaart te brengen wat de belangrijkste aspecten van risicmanagement zijn, welke taken, bevegdheden en verantwrdelijkheden het met zich meebrengt en welke tijdlijn haalbaar is. In het eerste jaar helpen we u met het ntwikkelen van het instrumentarium vr risicmanagement, de implementatie van het systeem in uw rganisatie en het faciliteren van de self assessments. Vr de rganisatie is dit eerste jaar een leerjaar. Het accent ligt dan vral p de planningskant. Er wrden het eerste jaar ng geen in cntrl -verklaringen van de rganisatie- Cpyright: Alle rechten zijn vrbehuden aan de auteur(s) van dit dcument en Auditing.nl

11 nderdelen gevraagd. Vr het tweede jaar gaan we ervan uit dat de cördinatie van het systeem van risicmanagement bij een van de stafafdelingen is belegd. Dit zu bijvrbeeld de afdeling Planing & Cntrl kunnen zijn. Het is vr de rganisatie ng steeds een leerjaar, maar nu wrdt k de verantwrding pgenmen in het systeem en wrden pr-frma in cntrl -verklaringen van het verantwrdelijk management gevraagd. Tijdens het derde jaar ten sltte, is het systeem vlledig peratineel en hebben k de in cntrl - verklaringen een frmele status Tijdslijn en -besteding Nadat de raad van Bestuur f de directie heeft ingestemd met de vrgestelde beleidslijn, stellen we vr p z krt mgelijke termijn te starten met 2 f 3 pilts. Deze pilts hebben vral ten del m het instrumentarium te ntwikkelen dat aansluit p de beheften en de specifieke kenmerken van uw rganisatie. In de lp van het jaar evalueren we gezamenlijk deze pilts en kan naar verwachting risicmanagement rganisatie-breed wrden ingeverd. De tijdinzet van de betrkkenen zal tt een minimum wrden beperkt. In het plan van aanpak per rganisatienderdeel zal de tijdsbesteding z precies mgelijk wrden aangegeven. De tijdinzet vr de RQS zal vr betrkkenen zeer beperkt zijn; naar schatting 3 tt 4 uur per jaar. De ORA vraagt weinig tijd van de rganisatie zelf. Het Delphi-nderzek zal uiteraard meten wrden vrbereid en gefaciliteerd, maar er wrdt vral inzet gevraagd van (externe) panelleden. De verwachting is dat de zelfevaluatie van de CRSA maximaal 8 uur zal vragen van elk van de leden van het managementteam van een bedrijfseenheid f (staf)afdeling. Meer infrmatie? Wanneer u meer infrmatie wenst kunt u cntact pnemen met: Jan Otten ACS Cpyright: Alle rechten zijn vrbehuden aan de auteur(s) van dit dcument en Auditing.nl