Geplaatst door Afgelopen 11 april publiceerde de commissie Van Maanen haar Consultatiedocument voor herziening van de Governance Code. Hierin wordt gepleit voor een versteviging van risicomanagement.
“Goede corporate governance verlangt dat thema’s als lange termijn waarde-creatie, risicobeheersing, cultuur, effectief bestuur en toezicht, beloningen en de relatie met aandeelhouders geen mooie woorden op papier zijn, maar dat deze thema’s daadwerkelijk leven in raden van bestuur en commissarissen. Daarbij gaat het om verantwoordelijkheid en verantwoording.”
Nadrukkelijk zoekt de Commissie van Maanen naar concretisering van de term risicomanagement c.q. risicobeheerssystemen. En ja, daar zet zij inderdaad stappen toe middels het principe 1.2 Risicobeheersing. Niet zo concreet als in de UK, maar toch in combinatie met het principe 2.5.1 Stimuleren van openheid en aanspreekbaarheid ben ik best tevreden.
Versteviging van risicomanagement
Bestuurders zijn verantwoordelijk voor dat risicomanagement geen dode letter is en aansluit bij de strategie van organisatie. Daarom gaan maar liefst 11 bladzijden over dit onderwerp. De kern gaat echter over 1.2.
1.2.1 Risico-assessment
- Dit vraagt een brede identificatiestructuur welke aansluit bij de strategie en sturingsfilosofie/ performance management van de organisatie. Juist hier heeft het bij veel organisaties aan ontbroken waardoor risicomanagement niet leeft in de organisatie.
- Dit vraagt om een stevige time-span voor bestuurders.
- Aangezien de financiële cijfers vaak het gevolg zijn van strategische management beslissingen van 2 a 3 jaar geleden is het van belang de belangrijkste strategische keuzes nadrukkelijk mee te nemen bij het risico-assessment
- Dit vraagt een kwantificering van de risico’s om vast te kunnen stellen welke risico’s zij kan accepteren.
1.2.2 Implementatie
- Dit vraagt om een goede positionering van risicomanagement binnen de organisatie. Een positionering waaruit blijkt dat het bestuur risicomanagement serieus neemt. Hierbij hoort een duidelijk mandaat, budget (voor training, instrumenten) en goede escalatie-mogelijkheden.
- Dit vraagt om een standaard systematiek om risico-assessments door de hele organisatie uit te kunnen voeren. Geen format maar nadrukkelijk een regelmatige risico-dialoog.
- Dit vraagt om voorbeeld gedrag van het bestuur en een cultuur van openheid en aanspreekbaarheid, zie Principe 2.5
- Dit vraagt om investeringen in training van medewerkers op meerdere niveaus in de organisatie.
1.2.3 Evaluatie
- Dit vraagt om regelmatige toetsing/audit van opzet, bestaan en werking van de risicomanagement systemen. Hierbij dient naast de uitkomsten (actualiteit, volledigheid, kwaliteit) van risico-assessments nadrukkelijk naar het proces (betrokkenheid management, diversiteit deelnemers, validatie) te worden gekeken.
- Dit vraagt om een goede koppeling tussen risico-assessment, de beheersmaatregelen en het auditprogramma.
Robert 't Hart 