Kaplan Mikes Strategisch risicomanagement

Robert S. Kaplan -bekend van de balance scorecard- is zich steeds meer gaan verdiepen in  risicomanagement. (skip eerste 10 min.)

Samen met Anette Mikes schreef hij in 2012 een in mijn ogen belangrijk artikel Managing Risks; A New Framework .  In het artikel wordt de relatie tussen risicomanagement en strategie zeer expliciet gemaakt. Het is oprecht jammer dat de nieuwe normen ISO31000 en COSO 2017 geen gebruik hebben gemaakt van dit gedachtegoed.

Drie soorten risico’s

• Te voorkomen risico’s; interne risico’s die te beheersen zijn en die in principe vermijdbaar of te voorkomen zijn. Voorbeelden zijn fraude en continuiteitsrisico’s  in routinematige operationele processen. Deze risico’s moeten proactief gemanaged worden door (het regelmatig) checken van processen en regels rondom gedrag en besluitvorming. 
• Strategische risico’s; gerelateerd aan de strategie en daarmee vrijwillig geaccepteerde risico’s. Risico’s en rendement worden hierbij afgewogen. Bij deze risico’s dient de kans van optreden dan wel de mogelijke impact te worden verkleind. Hierdoor kunnen weer nieuwe risico’s worden genomen. Bij deze risico’s dient een terugkerende dialoog te worden georganiseerd. Hierbij zijn riskmaps, benoemen van Key Risk Indicators goede instrumenten. Om de dialoog te ondersteunen kan ook de allocatie van mensen en middelen hieraan gekoppeld te worden.
• Externe risico’s; dit zijn niet beïnvloedbare, van buiten de organisatie komende risico’s. Denk hierbij aan natuurrampen, macro economische, politieke, demografische omstandigheden. Maar ook ‘de zwarte zwanen” niet voorzienbare risico’s en “slow risks’. Deze risico’s dienen te worden geïnventariseerd te worden en ook hier dient een dialoog over plaats te vinden.

Bruikbaar 

Het onderscheid tussen regels of dialoog voor externe, strategische en te voorkomen risico’s is zeer bruikbaar. Dit blijkt ook uit de vele risicomanagement beleidsstukken waarin naar dit artikel verwezen wordt.

Aangezien bij veel organisaties de focus enkel op de “te voorkomen risico’s” ligt, is risicomanagement in de ogen van bestuurders zeer operationeel,  administratief en daardoor voor hen minder relevant.

Door de verbreding naar externe en strategische risico’s en de nadruk op de risicodialoog wordt het onderwerp aantrekkelijker en relevant voor de directie of bestuur.