Module 7: Inrichting risicomanagement en inleiding risicoanalyse Mr drs. Peter Steenwijk Nederlands Compliance Instituut Docent Risicomanagement /Onderzoeker IFC Haagse Hogeschool
Even voorstellen: Peter Steenwijk Bedrijfskunde, Ondernemingsrecht en Internal Auditing Docent en onderzoeker Haagse Hogeschool Risicomanagement, Compliance, Corporate Governance en Ethiek. Research: witwassen en terrorisme financiering
Agenda 1. Introductie risicomanagement 2. Compliance risicomanagement 3. Risicostandaarden: ISO en COSO 4. Het Risk Assessment Proces 5. Casus 6. Valkuilen en ontwikkelingen 7. Sira en FOCUS 8. Terugblik en afsluiting
Aanpak 1. Leerdoelen 2. Combinatie van theorie en casuïstiek 3. Werkvorm: interactief voldoende gelegenheid tot het stellen van vragen
Het belang van risicomanagement https://www.youtube.com/watch?v= prhcyu4tafw
Risico: Wat is risico Kansen, bedreigingen en doelstellingen 4 dimensies van risico s Heatmaps en beheersmaatregelen
Wat is Compliance Risico* Het risico op juridische- en sancties van toezichthouders, financiele- en reputatieschade als gevolg van het niet voldoen aan wet- en regelgeving * Basel Comittee on Banking Supervision
Risks & Opportunities Risk Negative Positive Threat Opportunity
Risk versus Return
De 4 Kernvragen 1. Risk Appetite: hoeveel risico WIL de organisatie nemen om de doelen te bereiken? 2. Risk Tolerance: hoeveel risico is de organisatie bereid te accepteren? 3. Risk Capacity: hoeveel risico KAN de organisatie dragen? 4. Risk Exposure: wat is nu de feitelijke blootstelling aan risico? 10
Waarom risico management? Een risico ontstaat door niet te weten wat je aan het doen bent risico s bewust nemen! Focus op de key risks beslissingen Waarborg voor mate waarin de organisatie het bereiken van haar doelstellingen beheerst Waardecreatie voor organisatie Zorgt voor verbetering van processen, zelfreinigende organisatie Element van good governance, geeft redelijke mate van zekerheid dat risico s beheerst worden
Waarom compliance risico management? o Eisen vastgelegd in Wet financieel toezicht o Integriteit is één van de pijlers van vertrouwen o Verplichting: Opzetten van een beheerskader gericht op beheersing van integriteitsrisico s o Norm vastgelegd in: art 3:10 en 3:17 Wft en nader uitgewerkt in Bpr
(Compliance) Risk Assessment in 5 stappen: 1. Maak een heatmap 2. Bepaal kans en impact 3. Analyseren en waarderen 4. Bepaal risk profiel 5. Bepaal de controls 6. Implementeren, monitoren en reviewen
Heatmap: Risico is kans maal gevolg
Kinney Value Kans Zeer hoog 5 10 15 20 25 Hoog 4 8 12 16 20 Gemiddeld 3 6 9 12 15 Laag 2 4 6 8 10 Zeer laag 1 2 3 4 5 Gevolg
De 4 T s : Wat doen we met de risico s? Treat Transfer Terminate Take
Van Bruto naar Netto Risico Bruto= inherent risico Voor beheersmaatregelen Netto risico = residu risico Na beheers maatregelen
Impact Impact Heatmap voor en na: Impact van controls Voor de invoering van beheersmaatregelen Na de invoering van beheersmaatregelen 10 (2;6) (3) 10 (2;6) 9 (14) (1) (7) (11) 9 8 (16) (4;5;9;1 3) (10) (12) 8 (16) (10) (5) 7 (18) (17) 7 (14;18) (17) 6 (8) 6 (13) (8) 5 5 (4) (9) 4 (15) 4 (7;11) 3 3 (12;15) 2 2 (3) 1 1 (1) 1 2 3 4 5 6 7 8 9 10 1 2 3 4 5 6 7 8 9 10 Kans Kans
Casus: Banking Bras In subgroepen Lees de casus Bediscussieer de vragen met elkaar Oplossing op basis van consensus Uitwerken en presenteren aan de groep Voorbereidingstijd: 45 minuten
Eisen compliance risico assessment: Bron: leidraad Wwft Sancties (april 2015)
Eisen compliance risico assessment Uit leidraad DNB WWFT/ Sanctie april 2015 De methode die de instelling hiervoor kiest hangt af van de specifieke kenmerken van de organisatie. Zo spelen onder meer de omvang en structuur van de instelling, de (internationale) markten waarop zij zich begeeft en de activiteiten die ze verricht een rol. De systematische integriteitrisicoanalyse houdt in ieder geval in dat de instelling deze periodiek uitvoert volgens een vooraf vastgestelde methodiek. Daarnaast legt de instelling de uitkomsten schriftelijk vast.
risicoassessment thema s Hangt af van specifieke kenmerken van organisatie: Analyse vanuit perspectief organisatie, medewerker, klant Bijvoorbeeld: Klantintegriteit (zorgplicht) FEC (KYC/CDD, Sanctie, AML) Anti-corruptie / belangenverstrengeling Marktmisbruik Mededinging / Privacy Beloningen, gedrag & cultuur
Vraag: Wat zijn de belangrijkste kenmerken van een slecht werkende risicomanagement systeem? Werkvorm: analyseer en werk uit in tweetallen (ca 10 minuten)
Compliance risico assessment risico standaarden en systemen ISO 31000: principes, framework en proces COSO ERM Simons: Levers of Control De Caluwe: Verandermanagement in kleuren
Het ISO 31000-Framework
Standaard COSO-IC en COSO ERM
COSO-ERM: definitie en scope
COSO in control
Relatie Risk en Control
Simons levers of control: Een Alternatieve benadering van compliance risk.
Andere risico-assessment systemen De Caluwé en veranderen https://www.youtube.com/watch?v=f EkS9GSFfag
Valkuilen bij risicomanagement: Men is te positief over eigen organisatie Men denkt vanuit controls in plaats vanuit risico s Men schat risico s te laag in (m.n. de impact) Onvoldoende betrokkenheid van management Onvoldoende diepgang van de analyse
Valkuilen, vervolg: Risicomanagement verwordt tot rituele dans Onderschatting van staartrisico s (zwarte zwanen) Illusion of control/ pseudo control/ pressure Focus op enkel beleid en procedures Silobenadering van risico s Verkeerde verwachtingen
Waarom Holistische Risk management aanpak? Silo-benadering van risico s heeft aantoonbaar niet gewerkt Toezichthouder: Gebrekkig functioneren en deskundigheid van bestuur Gebrek aan overzicht / transparantie Onvoldoende zijn risico s in onderlinge samenhang beoordeeld door organisaties
Tenslotte: Ontwikkelingen en issues Veel aandacht van toezicht (mede) gedreven door internationale rapporten, cruciale rol pensioenfondsen Risico en in control staan op voorgrond (na Frijns) Veel/alle rapporten dateren van ná de crisis Relatie met governance Proportionaliteitsbeginsel RM voorspellend over toekomst of gaat het over beheersing van risico door te kijken naar toekomst? Noodzaak voor aanwezigheid CRO?
Aandacht voor Black Swans
Focus: Het vernieuwde toezicht van DNB
Focus in een notendop 1. Lessen uit de crisis van 2008 2. Instellingoverstijgend 3. Aandacht voor kwaliteit en strategie 4. Indringend en vasthoudend toezicht 5. Betere in en externe toetsing en verantwoording
Focus in een notendop (2) 1. Indeling in 5 toezichtklassen 2. Analyse van risk drivers (prudentieel en integriteitsrisico s) 3. Risicoprofiel vertalen naar kapitaal en liquiditeitseisen 4. Risicomitigatie met nadruk op effect en snelheid 5. Actuele risico analyses per instelling
De toezichtscyclus van Focus
Focus in een notendop 1. Lessen uit de crisis van 2008 2. Instellingoverstijgend 3. Aandacht voor kwaliteit en strategie 4. Indringend en vasthoudend toezicht 5. Betere in en externe toetsing en verantwoording
5 toezichtsklassen
Analyse van macro naar micro
Beoordelingskaders
Risicoscores
Risicomitigering in 4 stappen
Sluitstuk: interventie keuze DNB
Tenslotte.. Terugblik Vragen Afsluiting