RISICOMANAGEMENT IN DE PRAKTIJK 16-3-2017 Michel Kee 10e Nationale Dag van Commissarissen en Toezichthouders Doorn Discussie over hoe risicomanagement waardevol vorm te geven aan de hand van praktijkvoorbeelden 1
PERSOONLIJKE INTRODUCTIE Michel Kee RA Partner Mazars / Governance, Risk & Internal Control praktijk (heden) Verantwoordelijk voor internal audit bij internationale bedrijven: Heineken/9 jaar, TNT/4 jaar en Orpic/Oman/3 jaar (2001 2016) KPMG/ accountancy en advies praktijk (1984 2000) 5 jaar bestuurslid van Instituut van Internal Auditors (IIA), waarvan 3 jaar voorzitter (2010 2014) Voorzitter Raad van Advies IIA (heden) 2
GROEP INTRODUCTIE Graag even de handen in de lucht Publieke sector? Private sector? Commissaris of Toezichthouder? 3 jaar of minder in rol? 5 jaar of langer in rol? 3
SCHETSEN CONTEXT Wat speelt er voor Commissarissen en Toezichthouders? Diversiteit Cultuur, ethiek en gedrag Beloning senior management Aanpassingsvermogen van organisaties Meer regelgeving Aansprakelijkheid 4
VRAAG VOOR DE GROEP Even stemmen Oneens Eens De herziene Corporate Governance Code is niet relevant voor mij
STAKEHOLDERS PERSPECTIEF Stakeholders vragen om versterking van risicobeheersing en cultuur Corporate governance codes Herziene Nederlandse Corporate Governance Code Code Banken en Code Verzekeraars Branch-specifieke governance codes in (semi) publieke sector Commissarissen/toezichthouder, in het bijzonder Audit Commissies Credit rating, investeerders en banken 6
MANAGEMENT PERSPECTIEF Effectief risicomanagement nodig om succesvol te zijn Ondernemerschap heeft natuurlijke focus op kansen met impliciete aandacht voor risico s Meer gestructureerde/expliciete risicobenadering nodig door toenemend risicoprofiel: Groei en meer spreiding van business, ook internationaal Meer afhankelijkheden door partnerships Regels/boetes/reputatieschade Organisatieveranderingen volgen elkaar op Opkomende risico s (cyber security) Perceptie is dat risicomanagement een dure compliance exercitie is Vraag is hoe het van meerwaarde kan zijn? 7
CONCRETE PRAKTIJKVOORBEELDEN Van Wat naar Hoe - 7 bouwstenen van risicomanagement * 1 2 3 4 5 6 7 Risicocultuur Risicomanagementproces Risicobereidheid Oorzaak en gevolg analyse Ontdekken risico s Performance management Continuïteit operatie 8 * Referentie: RIMS Risk Management Maturity Model
VRAAG VOOR DE GROEP Even stemmen Oneens Eens Management moet vooral het goede voorbeeld geven over risicomanagement en interne beheersing
1 RISICOCULTUUR Gedragscode is alleen stuk papier, klokkenluider in nek aangekeken CFO twee handen op één buik met opportunistische CEO Afrekencultuur, problemen blijven onder de pet Finance op het tweede plan; de commercie voert de boventoon Manager serieus gefraudeerd, maar blijft in dienst omdat hij commercieel goed is Gedragscode leeft, ethiek zit in dna, klokkenluider beschermd Goede balans in Management Team voor gecontroleerde groei Open en transparant, lerende organisatie Finance heeft gewicht en is goede sparring partner Zero-tolerance voor fraudeurs, ethische waarden staan hoog in het vaandel 10
VRAAG VOOR DE GROEP Even stemmen Oneens Eens Onze dialoog met management over de belangrijkste risico s is onvoldoende
2 RISICOMANAGEMENTPROCES Organisatie werkt in silo s Samenwerking van functies met focus op effectieve procesgang Specialisten verantwoordelijk voor risicomanagement/interne beheersing Ongestructureerd, ad hoc, informele en geïsoleerde activiteit Top 10 risico update voor jaarverslag opgesteld door controller alleen Geen risicobeoordeling bij grote projecten Business management pro actief met managen risico s/interne beheersing Gestructureerd, continue, geïntegreerd en geformaliseerd proces Top 10 risico update discussie per kwartaal in MT, met input uit organisatie Risicobeoordeling en monitoring onderdeel van project-aanpak 12
3 RISICOBEREIDHEID Geen gesprek over risicobereidheid, is moeilijk en blijft impliciet Risicobereidheid helder gedefinieerd en gecommuniceerd Besluitvorming op buikgevoel Besluitvorming op basis van goede risico (en kansen) afweging Angst, alles dichttimmeren, bureaucratie Gecalculeerd risico voor optimaal lange termijn succes Zero-tolerance voor veiligheidsrisico s In scenario s denken 13
4 OORZAAK EN GEVOLGANALYSE Kop in het zand steken bij debacles en problemen Bij problemen worden symptomen bestreden, niet de oorzaken Analyse blijft aan de oppervlakte, richt zich op de harde kant (systeem/proces) Managers en medewerkers geven elkaar feedback en willen leren Lessen trekken uit debacles/problemen op basis van oorzaak/gevolg analyse Analyse met goede diepgang (5Why s) en dekt ook de zachte kant (cultuur) Weinig kritisch vermogen in organisatie Kritisch, analytisch, objectief en teamwerk Geen evaluatie na afloop projecten Evaluatie na afloop projecten / wat kan volgende keer beter? 14
VRAAG VOOR DE GROEP Even stemmen Oneens Eens Wij ontvangen goede rapportages over de belangrijkste risico s
5 ONTDEKKEN RISICO S Management wordt geconfronteerd met risico s/issues; leed is al geleden Geen inzicht in proceskwaliteit en klanttevredenheid Geen onafhankelijke/objectieve assessments/audits Performance contract is eenzijdig gericht om groei/commercie Management anticipeert op mogelijke risico s en heeft minder verassingen Reguliere monitoring van proceskwaliteit en klanttevredenheid Audits/assessments voor verbeterslagen en om in control te blijven Performance contract is in balans, met oog voor processen en kwaliteit Geen oog voor data Data analyse ingezet voor opsporen knelpunten/leemtes in processen 16
6 PERFORMANCE MANAGEMENT Organisatiedoelstellingen zijn niet helder geformuleerd Doelstellingen, KPIs en targets zijn helder en basis voor risicobeoordeling Plannen/KPIs niet aangesloten Plannen/KPIs aangesloten/geïntegreerd Gebrek aan eigenaarschap Eigenaarschap helder, inclusief risico s Business plan zonder risicoparagraaf Risicobeoordeling geïntegreerd in business plan Risico niet op agenda tijdens MT bespreking van kwartaalresultaat Risico s en responses op de agenda tijdens MT bespreking kwartaalresultaat 17
7 CONTINUÏTEIT OPERATIE Geen geïntegreerd plan voor bewaken continuïteit van de bedrijfsvoering Bij een crisis ontbreekt het bij management aan een goed overzicht Continuïteitsrisico s zijn bekend, maatregelen getroffen en bewaakt Management team voorbereid om een crisis te bezweren 18
RISICOMANAGEMENT IN DE PRAKTIJK 16-3-2017 Michel Kee 10e Nationale Dag van Commissarissen en Toezichthouders Doorn Het was een nuttige sessie? Oneens Eens 19