Geplaatst door Steeds vaker krijg ik de vraag of risicomanagement niet anders ingericht kan worden. De beknelling van het traditionele risicomanagement wordt steeds zichtbaarder. Vooral het bestuur lijkt vermoeid te raken van de overmatige nadruk, en daarmee gemoeide kosten, om maar alle risico’s te willen beheersen.
De bestuurder zelf maakt zich meer zorgen over de houdbaarheid van het businessmodel. Deze staat onder druk door externe risico’s als:
- zeer gefragmenteerde wet- en regelgeving: de wetgever zorgt voor steeds meer regels om risicovol gedrag te beperken; denk bijv. aan de AVG, GDPR
- de toegenomen informatiestroom: elke organisatie dient steeds meer informatie en data te managen. Dit brengt nieuwe risico’s met zich mee op het gebied van cyber risks en privacy;
- super transparantie: door social media zijn bedrijven super transparant geworden;
- complexiteit van ketens en stakeholders: keten netwerken van leveranciers en toeleveranciers grijpen steeds meer in elkaar. In het kader van leveringszekerheid moet de supply chain risk management ingericht worden.
Risico’s nemen
Bestuurders beseffen dat door deze risico’s men vroeg of laat keuzes moet maken. De governance code van Van Manen en de nieuwe COSO ERM 2017, de nieuwe ISO31000 2018 noemen daarom ook steeds meer de term risk appetite. Er moeten strategische risico’s genomen worden en daarmee wordt risicomanagement steeds meer van strategisch belang voor de organisatie.
Maar dit moet wel zorgvuldig worden gedaan. Zeker als je beseft dat onderzoek naar bedrijven met een waardedaling van 40% in een jaar aantoont, dat strategische risico’s voor 86% de oorzaak hiervan zijn. Je zou denken dat de risicomanager dit als grote kans ziet en nu dag en nacht bezig is met deze risico’s om scenario’s uit te werken en de bestuurders te ondersteunen bij deze keuzes.
Verkeerde focus
Helaas besteedt de audit en risk afdeling slechts 6% (!) van haar tijd aan deze risico’s. En lukt het haar niet de belangrijkste risico’s op een adequate manier te managen. Zij lijkt zich liever met de operationele risico’s bezig te houden. Mogelijke oorzaak is dat deze strategische risico’s niet goed te auditen te zijn op de traditionele manier.
In ieder geval een gemiste kans om echt als risicomanager een echte business partner te worden!
Robert 't Hart 
Strategische onzekerheden is zeker iets waar publieke organisaties zich meer mee bezig zouden moeten houden. Ook externe risico’s (ict, ketens, demografische ontwikkelingen) die langzaam op de organisatie afkomen zouden meer besproken moeten worden. De schakelsnelheid kan hier absoluut verhoogd worden
Ik ben het ermee eens dat we meer moeten focussen op strategische risico’s die de overheden lopen zoals verlies van legitimiteit, verdienvermogen, aantrekkelijke werkgever om maar enkele te noemen. Misschien is strategisch kansenmanagement een betere term dan het defensieve risicomanagement, een term die onbedoeld kan leiden tot verstarring. Hoezeer ik ook fan ben van goed risicomanagement, maar strategische onzekerheden waar je op in moet spelen, daar gaat het allereerst om ! Frank Galesloot