Erik van Marle – Blog over risicomanagement

www.naris.com


door Een reactie plaatsen

De kracht van de 2e lijn!

De verschillende implementatiemodellen op een rij en Best Practice Watermeloen+ model

Naar aanleiding van ons webinar ‘is de 2e lijn wel sterk genoeg?’ https://naris.com/nl/is-de-2e-lijn-wel-sterk-genoeg/

Er zijn ontzettend veel reacties binnengekomen op de verschillende modellen die wij gepresenteerd hebben. Met als eye-catcher het Watermeloen Model. Een nadere toelichting van dit model is gewenst en deze blog is hier een aanzet voor. In een vervolg blog zal ik ingaan op de resultaten die we gezien hebben bij klanten en hoe we het in NARIS GRC standaard beschikbaar maken.

Ons startpunt is altijd: Wat verwacht je? En van Wie? Maar vooral: Wat is het doel?

In onze ervaring cruciale uitgangspunten bij het bepalen van welk model het best past op je organisatie. Besef daarbij dat de 1e lijn geen expert is in het benoemen van risico’s….. en dit ook niet zal worden. Hetzelfde geldt voor het benoemen, monitoren en testen van controls.

De eerste vraag zegt iets over het feitelijke werk dat je verwacht. Hier komen de verschillende implementatiemodellen in beeld. Afhankelijk van het type bedrijf, cultuur, opleidingsniveau, sector, maatschappelijke impact, aantal externe toezichthouders, mate van toezicht, veiligheidsissues en ambitie moet er bepaald worden wat er geregistreerd moet worden en op welke wijze. Onderstaand geven we de mogelijkheden weer zonder daarin uitputtend te willen zijn.

Uit de tweede vraag leiden we af welke functies betrokken zijn bij het invulling geven aan Governance, Risicomanagement en Compliance. Willen we 1e lijn medewerkers echt betrekken en een rol laten spelen, of alleen de manager, of de businessunit manager? Dit kan ook nog verschillen per thema. Voor risicomanagement kan dit anders liggen dan voor compliance, kwaliteit, procesmanagement, etc.

Het antwoord op deze vraag bepaalt in belangrijke mate de reporting. Immers, de betrokken functies gaan alleen iets registreren als ze er ook inzicht en overzicht voor terugkrijgen. Nut en noodzaak moeten duidelijk zijn. Compliance is een driver maar zeker niet de enige.

Workshop Methode

Dit is van origine de meest gekozen methode. Vanuit de optiek dat zoveel mogelijk draagvlak moet worden gecreëerd en dat dit bereikt wordt door met elkaar te brainstormen over risico’s. Dit is een methode waarmee, mits goed uitgevoerd, veel creativiteit wordt bereikt, het risicobewustzijn wordt verhoogd en dus ook draagvlak. Nuttig en noodzakelijk in organisaties die veel en/of grote unieke projecten doen. Voor het reguliere proces is deze methode op het risico-identificatie proces niet echt nodig. Voor het identificeren en bepalen van de nut en noodzaak van controls kan het wel een aanvulling zijn.

VoordelenNadelen
Creatief procesKost veel tijd
Veel interactie met collega’sKost veel onderhoud
Mogelijkheid tot maatwerkOpenheid in de groep vraagt veel aandacht
Interactie tussen disciplinesHeeft een sterk eenmalig karakter
Groepsstandpunt / draagvlakIndividuele expertise kan ondersneeuwen

Wat verwacht je?

Parate kennis en goede verbale eigenschappen in een open cultuur. Je verwacht dat individuele expertise naar voren komt en dat iedereen elkaar aanvult.

Van wie: van alle workshopdeelnemers. Selectie is daarom cruciaal waarbij het voor het draagvlak altijd belangrijk is geen personen over te slaan. Teveel bias, zowel in samenstelling als iqua onderwerpen, moet je voorzichtig mee zijn. Vreemde ogen dwingen!

Risk Self Assessment Methode

In grotere organisaties of organisaties met veel stakeholders (supply chain, verbonden partijen) een veel gebruikt instrument. Sterker nog, veel van onze nationale toezichthouders gebruiken dit instrument vaak. Wij zijn overtuigd dat een regelmatige Self Assessment veel informatie kan opleveren over trends, wijzigingen en blind spots. Het blijft echter vaak wel aan de oppervlakte hangen en de grote vraag is dan ook of het voldoende inzicht geeft om goede conclusies te trekken? Onze ervaring leert dat het inzicht geeft maar dat daarna nog steeds een risico- en control analyse moet plaatsvinden om echt iets over de kwaliteit en volledigheid te kunnen zeggen.

Veel vragenlijsten worden doorgezet naar medewerkers waardoor je nog niet weet wie met welke expertise de vragen heeft beantwoord. Daarnaast kost het invullen toch ook altijd best veel tijd want zaken moeten wel uitgezocht worden.

VoordelenNadelen
SnelVeelal gericht op risico’s en niet op controls
EenvoudigAfstandelijk
Groot bereikExpertise lastig in te schatten
Tooling eenvoudig in te zettenPushen om informatie te verzamelen
Snelle reportingMultiple interpretabel

Wat verwacht je?

Adequate respons op de gestelde vragen en indien mogelijk een goede onderbouwing. Van de opstellers (veelal de 2e lijn) verwacht je een goede interpretatie van de antwoorden.

Van wie: van de geselecteerde respondenten. De kunst is om de uitvraag heel gericht te houden.

Watermeloen Model

Het Watermeloen model is gericht op de kwaliteit en volledigheid van bekende risico’s en controls. Het is dus veel directiever omdat risico’s en controls worden voorgeschreven door de 2e lijn. De 1e lijn zal moeten aangeven welke risico’s al dan niet van toepassing en zijn. En ook welke controls ‘in place’ zijn. Kijk voor meer informatie op: https://naris.com/nl/incontrol/

VoordelenNadelen
Duidelijke structuur en daardoor RCMVeel voorbereidingstijd 2e lijn
Hogere mate van volledigheidMinder inbreng 1e lijn
Hogere kwaliteitMeer compliance driven
Eenvoudig in gebruik 
Herleidbaar Risk Control Framework 

Wat verwacht je en van wie?

Van de 2e lijn voorbereiding en organisatietalent om key risico’s en controls goed te beschrijven. De 1e lijn zal moeten aangeven welke risico’s en controls van toepassing zijn en in welke mate.

Watermeloen+ Model

Een uitbreiding op het Watermeloen model kan door de 1e lijn nog meer informatie te vragen. Dit met name op de assurance van controls. De 1e lijn moet aangeven of ze de controls ook daadwerkelijk getest hebben en of ze evidence kunnen bijvoegen. Hiermee bereiken we een zo goed als volledige In Control Verklaring met benodigd dossier, opgesteld en verantwoord door de 1e lijn. De 2e lijn vervult een duidelijk rol van adviseur en begeleider. De 3e lijn kan een objectief advies geven over opzet, bestaan en werking.

VoordelenNadelen
Duidelijke structuur en daardoor Risk Control MatrixVeel voorbereidingstijd 2e lijn
Hogere mate van volledigheidMinder inbreng 1e lijn
Hogere kwaliteitMeer compliance driven
Eenvoudig in gebruikBegrip van controltesting nodig in 1e lijn
Herleidbaar Risk Control FrameworkKost tijd om evidence te verzamelen
Volledig dossier voor de accountant 
Duidelijke scheiding van verantwoordelijkheden tussen 1e, 2e en 3e lijn 

Wat verwacht je en van wie?

Van de 2e lijn voorbereiding en organisatietalent om key risico’s en controls goed te beschrijven. De 1e lijn zal moeten aangeven welke risico’s en controls van toepassing zijn en in welke mate. De 1e lijn zal tevens controls moeten testen en evidence kunnen toevoegen. Omdat de 2e lijn de rol van adviseur en begeleider heeft is dit echter geen drempel.

Advertentie


door 1 reactie

Het Coronavirus als Extern Risico beschouwd

Ik hoop dat iedereen beseft hoe moeilijk het is om als overheid een afweging te maken in de huidige situatie rondom het Coronavirus. Het is echt niet het moment om op zoek te gaan naar fouten van de beslissers!

De waarde van Experts

En laten we ons alsjeblieft niet gek laten maken! Tetlock (2005) onderzocht over een periode van twintig jaar tienduizenden voorspellingen van honderden experts. Hij beoordeelde hoe goed ze waren in het schatten van waarschijnlijkheden en of ze in staat waren specifieke uitkomsten te voorspellen. De uitkomsten waren ronduit onthutsend maar bevestigen de conclusies van een groot aantal andere studies: de gemiddelde expert deed het niet veel beter dan een “dart-throwing chimp” die altijd op het statistisch gemiddelde uitkomt. Hoe gespecialiseerder en beroemder experts waren, hoe slechter ze bovendien bleken te presteren.

Specialisatie vernauwt het blikveld en vergroot de kans op het vinden van meer bewijs en gelijkgestemden om bestaande overtuigingen en gedane voorspellingen te bevestigen. Experts vallen niet alleen ten prooi aan dezelfde cognitieve biases als ieder ander, ze blijken door het koesteren van hun bekendheid en reputatie nog gevoeliger voor het maken van verkeerde inschattingen. Als experts eenmaal in boeken, presentaties en interviews een stelling hebben ingenomen, geven ze die niet snel op. Dezelfde media verleiden hen tegelijkertijd om bijzondere, afwijkende posities in te nemen om hun aantrekkingskracht en entertainmentwaarde voor toekomstige optredens te vergroten. (Bron artikel over externe risico’s in het maandblad voor accountancy en bedrijfseconomie, juli 2018, door Bood en Postma).

Risicomanagement

Als we naar de theorie van Risicomanagement kijken geeft dit namelijk al best duidelijke richtlijnen voor de aanpak van Externe risico’s. Als je ziet waar WEF (World Economic Forum) Infectioen diseases plaatst is dit in het quadrant Hoge Impact / Lage Kans.

Global Risk Report World Economic Forum

Beheersing

Kenmerkend voor de risico’s in dit quadrant is dat de beïnvloedbaarheid heel laag is. COSO geeft al aan dat dit soort risico’s allen geaccepteerd kunnen worden als de impact klein is, anders mitigeren of continuïteitsplannen klaar hebben liggen. De voor de hand liggende beheersing is om je te focussen op het inperken van de gevolgen. De oorzaak ligt immers buiten je invloedssfeer. Volledig in lijn met wat er nu met het Coronavirus aan de hand is.

Het ‘normale proces’ in het geval van Externe risico’s:

  • Bepaal in welke mate ze de bedrijfsvoering kunnen beïnvloeden;
  • Doordenk de verschillende scenario’s; worst / normal / best case;
  • Zorg dat er plannen (op hoofdlijnen is voldoende) klaarliggen om een eerste respons te kunnen geven. Over het algemeen bewegen dit soort risico’s zich langzaam en is er dus tijd om je voor te bereiden. Dit was ook zo bij het Coronavirus voor Europa;
  • Zorg dat er een vooraf doordachte lijst met mogelijke gevolgen klaar ligt;
  • Bedenk hoe de verschillende gevolgen beperkt kunnen worden;
  • Realiseer je dat bij dit soort risico’s maatregelen eigenlijk nooit rigide genoeg kunnen zijn. Watkins en Bazerman (2003) en Kaplan en Mikes (20120 gaven al aan dat et belangrijk is om hier het voorstellingsvermogen wat op te rekken.

Een aantal andere voorbeelden waaruit al blijkt dat we niet ver genoeg kunnen gaan in het bedenken / toepassen van maatregelen:

In geval van een brand wordt er meteen worst case gedacht en direct al het personeel geëvacueerd, direct naastgelegen gebouwen natgehouden, etc.

De recente cyber attacks hebben geleerd dat het alleen helpt als je alles platlegt en van daaruit opnieuw begint met opbouwen.

De terroristische aanslagen leren ons dat alleen volledige opschaling resultaat oplevert. Het heeft geen zin om stapsgewijs een gebied af te sluiten of mondjesmaat de hulpdiensten in te schakelen.

Ik ben heel blij dat we nu alles afsluiten en zo de verspreiding hopelijk kunnen tegengaan. Het openbaar vervoer ook nog? We hebben gewoon de kennis nog niet over hoe dit virus zich verspreidt en welke impact het heeft op levens. De enige manier om verspreiding tegen te gaan is het stopzetten van vervoer / contacten tussen personen.

Een mooi voorbeeld vind ik ook de maatregel uit de UK om de meest risicovolle groep van 70+ers echt thuis in quarantaine te zetten de komende 4 weken zodat de ziekenhuizen beschikbaar blijven voor de anderen. Zo zorg je ervoor dat de vitale ziekenhuis infrastructuur voor kan blijven functioneren!

Wens

Ik hoop vurig dat we deze crisis aangrijpen om van te leren zodat wij een volgende keer dit soort risico’s nog sneller onder controle zullen hebben. Zou het ons lukken om niet weer te verzanden in de eeuwige Schuldvraag? Media help eens!


door 1 reactie

Hoe krijg je tijd voor Key Risks?

Kansen

Risicomanagement wordt as we speak echt op de proef gesteld. Alle aandacht gaat, volkomen terecht, uit naar het Coronavirus. De wereld om ons heen verandert heel snel, iedere dag nieuwe regels / omstandigheden waarmee we direct mee moeten kunnen omgaan. Onze flexibiliteit is nog nooit zo op de proef gesteld en ik weet ook heel zeker dat dit de maatschappij nog veel gaat brengen. Iedereen ervaart nu verplicht hoe eenvoudig het toch is om thuis te werken, niet voor iedere afspraak in de auto te stappen, de continuiteit van dienstverlening te flexibiliseren, etc. De bijkomende gevolgen zijn helemaal niet slecht….. minder CO2 uitstoot, minder geluidsoverlast, etc. Zou dit de push zijn die wij als wereldbevolking nodig hadden? Interesting!

Bedreigingen

Spannend is ook om te zien hoe goed bedrijven hun risicomanagement op orde hebben. Het Coronavirus is een Extern risico in de definitie van Kaplan. We ervaren hoe lastig de beheersing is omdat de beïnvloedbaarheid van het risico zeer laag is. Toch hadden we het in Europe op een gegeven moment zeker kunnen zien aankomen en ook al kunnen leren van de maatregelen die China had genomen, ondanks dat dit nog maar enkele weken oud was!

Waarom is dit zo weinig gebeurd?

Tijd?

Hebben we in onze organisaties voldoende tijd ingebouwd om de strategische en externe risico’s te managen? Risicobewuste organisaties, High Reliability Organizations, nemen in gevaarlijke situaties een TimeOut. Hebben we daar de tijd voor?

In Control

Er zit veel semantiek in de woorden ‘In Control’, ‘Alles onder controle’, ‘Controle’, ‘In Control Statement’, ‘In Control Framework’, etc. Wellicht moet de definitie zijn dat je ‘In Control’ bent op het moment dat er voldoende tijd over is om de echte risico’s te managen.

Afwijkingen verdienen aandacht!

Waarschijnlijk heeft > 80% van de risicoprofielen in organisaties een operationeel karakter. Het is heel menselijk / natuurlijk om juist daar te kijken waar het om de grote getallen gaat. Deze risico’s gaan namelijk ook vaak door onze belangrijkste processen en dus is het ook gebruikelijk dat er veel aandacht aan besteed wordt. Door audit, door de accountants, door de controller en daarmee door bestuur, management en RvC.

Toch zou ik willen adviseren om er op te vertrouwen dat deze risico’s en processen over het algemeen heel goed gemanaged worden door de organisatie. Het is hun Core Business. Aan de randen van de ‘normaal verdeling’ vinden de interessante afwijkingen plaats. Deze afwijkingen (incidenten), in positieve of negatieve zin, zijn de eerste signalen of er ergens iets stagneert. Durf het lef te hebben om minder tijd te besteden aan de controle op operationele risico’s.

En hebben we tijd voor een risicobewuste organisatie voor alle continue veranderingen en bijbehorende soorten risico’s. Lees:

  • Klimaatverandering
  • Cybersecurity
  • TCFD
  • Toeleveranciers
  • Economische teruggang
  • Veranderende wet- en regelgeving
  • Datalekken
  • Beschikbaarheid van kapitaal
  • etc.


door 1 reactie

De meeste risico’s deugen!

Een verwijzing naar het zeer interessante boek en aanrader ‘De meeste mensen deugen’ van Rutger Bregman. Zou een aantal van zijn conclusies ook toepasbaar zijn op risico’s? Bij voorbaat geef ik aan dat geen van wat ik beweer op enige wetenschappelijk onderbouwing is gebaseerd 😉. Gewoon een blog om de gedachten weer eens de vrije loop te laten.

Rutger Bregman doet in zijn boek een aantal constateringen die je volgens mij ook op het onderwerp risicomanagement zou kunnen loslaten.

  1. Niemand staat ‘s-ochtends op met het idee een ander pijn te doen of schade te veroorzaken
  2. Slecht nieuws krijgt meer aandacht dan goed nieuws terwijl dit laatste er stiekem meer is
  3. Zodra je ergens regels / omheining omheen zet begint het gevecht, als iets gemeenschappelijks is zorg je er ook met elkaar voor
  4. Wie vriendelijk doet, wie goed ontmoet

Ad 1. Te grote risico’s neemt niemand zomaar.

De mens is van nature heel risicobewust. Iedereen op zijn of haar eigen wijze maar niemand zal risico’s nemen waarbij mensen of zaken die men belangrijk vindt in gevaar komen. Dit geldt mijns inziens voor zowel de privésfeer als in de zakelijke omgeving. Zakelijk liggen de consequenties vaak verder weg waardoor men de directe gevolgen wellicht niet altijd scherp heeft maar dit heeft ook te maken met in welke mate men voldoende is opgeleid voor de functie. Als je weet dat door jouw nalaten klanten niet verzekerd zijn zal iedereen er van nature alles aan doen om dit te voorkomen. Soms heeft men onvoldoende kennis om het geheel te overzien maar dit zie ik meer als een afstemmingsvraagstuk. Weet iedereen van elkaar waar en waarom men de dingen doet zoals ze gedaan worden?

Ad 2. De meeste risico’s nemen we goed.

Ik ben er van overtuigd dat >80% (en dat is de voorzichtige schatting) van de risico’s goed gemanaged worden. We hebben het hier alleen niet over. Organisaties hebben (net als Rutger Bregman vaak aangeeft) meer oog voor wat er mis gaat dan voor wat er allemaal goed gaat. Hoeveel zaken gaan er goed bij het bouwen van een huis? Huizen worden tegenwoordig opgeleverd met minder dan 10 opleverpunten. 10 van de hoeveel?? Heel veel!
Natuurlijk moeten we leren van onze fouten en incidenten. Maar we moeten ook vieren wat er goed gaat! Als Naris hebben wij al 2 keer de lancering van ons nieuwe platform uitgesteld. We gaan voor kwaliteit en voor veilig (lees ook het boek: ‘het is oorlog maar niemand die het ziet’ van Huib Modderkolk dan weet je waarom). Tot 2 keer toe opnieuw begonnen, heel veel leergeld betaald door veel mensen. Nu is het zaak dit ook te gebruiken en iedere keer beter te worden. Ik ben ervan overtuigd dat wij met het mooiste en meest integrale pakket op de markt gaan komen maar ben in dit proces ook al een paar keer in de ‘negatieve spiraal’ terecht gekomen. Het is echt moeilijk om de successen te blijven zien omdat de aandacht blijkbaar heel natuurlijk altijd naar de fouten gaat. Dit vraag continue bewustzijn op dit gebied.

Ad3. Te formele organisaties organiseren grote risico’s!

Als organisaties nog klein zijn, zeg start-ups, is alles heel overzichtelijk. Er zijn nog geen formele rollen en verantwoordelijkheden. We kijken met elkaar naar het totaal en iedereen pakt op waar men goed in is. En als iemand anders iets laat vallen staat een ander klaar om het over te nemen of te helpen. Het doel is duidelijk en gemeenschappelijk en er is geen wij tegen zij. Rutger Bregman geeft mooie voorbeelden van organisaties als Buurtzorg, Agora en burgerbegrotingen als in de stad Torres. Allemaal voorbeelden waarbij de verantwoordelijkheid voor de doelen van de organisatie breed worden gevoeld en dus ook gedragen. De risico’s die hierbij horen worden ook breed gezien en gemanaged, met elkaar. Rutger Bregman geeft in zijn boek tal van voorbeelden dat waar meer regels geïntroduceerd worden de schijnveiligheid toeneemt maar de praktijk het tegenovergestelde laat zien. Op de kostscholen worden de meeste gevechten gevoerd, in strenge gevangenissen zijn de meeste geweldsincidenten, in de strengste politiestaten zien we de meeste misdadigers, juist omdat we ertoe gedwongen worden om daar naar te kijken! Hier gaat het alleen nog maar om incidenten te zien en op iedere afwijking van de regel te handhaven

In organisaties die sterk rule driven zijn zullen we dus ook meer overtredingen / incidenten vinden. Als we van elkaar weten dat we worden aangesproken (laat ik het woord afrekenen niet gebruiken) op de hoeveelheid incidenten die we veroorzaken zullen we er alles aan doen om dit te voorkomen. In lijn met wat Rutger Bregman heeft geconstateerd in de politiestaat New York gaan we dus incidenten niet melden, onder het tapijt vegen, anderen de schuld geven, etc.

Hiermee organiseren we dus onze eigen risico’s!

Ad 4. Open en transparant leidt tot meer begrip

Voor zover ik het kan beoordelen (alleen op basis van de meer dan 200 gesprekken die ik jaarlijks heb met klanten en potentiële opdrachtgevers) worden we steeds transparanter in het delen van risicoprofielen. Door schade en schande wellicht (zeesluis IJmuiden bijvoorbeeld) komen we er achter dat hele risicovolle projecten nu eenmaal niet bij 1 partij kunnen liggen. Aan de andere kant ontstaan er uit risicovolle projecten ook weer vaak nieuwe innovaties. Als we aan de risicokant delen, dan ook aan de opbrengsten kant toch? Wellicht dat we hier nog wat stappen in moeten zetten om ook dit soort winsten nu en in de toekomst met elkaar te delen. De beste samenwerkingen zijn toch die waar je samen wint maar ook samen verliest. Een bedrijfsmodel dat alleen op risicovolle projecten is gestoeld is in mijn ogen gedoemd te mislukken. Er moet ook altijd een basis in de bedrijfsvoering zijn waar je altijd op terug kunt vallen omdat je er gewoon goed in bent en dus geld kunt verdienen. Door je kennis en expertise zijn de risico’s overzichtelijk.

Volledig in Control?

Op basis van bovenstaande moet je dat misschien meer voelen en ervaren dan afdwingen. De meeste Strategische risicoprofielen die ik ken gaan maximaal 20% over nieuwe keuzes en de overige 80% over de zaken beter doen of met een andere focus dan we al deden. Des te belangrijker om ervoor te zorgen dat de aansluiting tussen de operationele risico’s en de strategische keuzes zichtbaar is. Sturen op de belangrijkste risico’s is in 80% van de gevallen sturen op heel veel zaken die al goed gaan en waarvan we ons willen verzekeren dat dit goed blijft gaan 😉

We zouden ook de discussie aan kunnen gaan of het 3-lines of defence model nog wel zoveel toekomst heeft. Of zouden we gewoon de toon kunnen veranderen? Wij zijn laatst geaudit voor ISO27002. Als relatief kleine organisatie is dit een mooie uitdaging waarbij we erg afhankelijk zijn van onze mensen. Verloop heeft direct impact. We hadden 2 hele scherpe maar ook vriendelijke auditors die je af en toe ook gewoon op de goede weg zetten. Vriendelijkheid en hulpvaardigheid zijn de belangrijkste motivators om met veel enthousiasme de laatste puntjes op de bekende i te zetten.

Vriendelijkheid kan ook zijn om het de mensen op de werkvloer, aan het bed, achter het bureau zo makkelijk mogelijk te maken. Wie heeft er geleerd om in risico’s te denken? Niemand dus en daar staan zij ook echt niet mee op….. Toch willen we wel een uitspraak van ze. Standaardiseren en simpel houden zijn cruciaal om toch informatie te krijgen zodat je hen door middel van nieuwe inzichten en kennisdeling verder kunt helpen.

Vriendelijkheid is de taal die iedereen ziet en kan horen!


door 1 reactie

Risico’s en Kansen van de Afsluitdijk

Vanuit de NVRB (Nederlands Vereniging voor Risicoanalyse en Bedrijfszekerheid) is in samenwerking met Rijkswaterstaat een excursie naar de afsluitdijk georganiseerd. Geheel in het teken van de drijfveren van de NVRB; kennisdelen en je netwerk uitbreiden.

Historie

Het verbeteren van de toekomst begint met een bezinning op het verleden. De afsluitdijk heeft inmiddels 90 jaar dienst gedaan en heeft iedere 15 tot 20 jaar een grote storm doorstaan en overleefd. En nog steeds voldoet de dijk (officieel een dam). Een nice to know is dat de dijk indertijd door Defensie is gefinancierd en er daarom draaibruggen in de dijk zitten opdat er geen ‘schietschijven’ zouden ontstaan.

 Opgave

De opgave is groot. Tegenwoordig hebben we meer inzicht in het bepalen van de benodigde sterkte. Bestaan er wetten waaraan voldaan moet worden en is er meer capaciteit nodig om water af te voeren. En gezien de te verwachten klimaatveranderingen neemt dit alleen nog maar toe. Sinds 2006 weten we dat de huidige afsluitdijk niet meer voldoet aan de wettelijke vereisten. Vanuit compliance oogpunt wellicht een risico, praktisch gezien volstaat de dijk nog steeds.

Waar vroeger de berekeningen uitgingen van de kans op overschrijding en er een afweging werd gemaakt mede gebaseerd op economische schade en de kans op slachtoffers is de nieuwe waterwet gebaseerd op de overstromingskans. RWS als opdrachtgever beoogt weer een levensduur van 100 jaar en dient daarbij tegelijk rekening te houden met de te verwachten zeespiegelstijging. Het grootste risico? Dat we de 90 jaar oude dijk weer als basis voor de vernieuwing gebruiken?

Aanbesteding

Om dit soort contracten goed te kunnen aanbesteden is er derhalve veel overleg voorafgaan aan de aanbesteding. Kansen en risico’s worden gedeeld en besproken. Eisen uitgelegd. RWS stelt esthetische eisen om wederom een kunstwerk te kunnen presenteren. Technisch is het de uitdaging om het toonbeeld voor de rest van de wereld te blijven. Nu al is dit project een ‘kraamkamer’ voor innovatie. Zo zijn de levelblokken om de dijk te versterken als innovatie uit de project gekomen en hebben meerdere partijen reeds opstellingen om energie op een alternatieve wijze op te wekken. Turbines op getijdestroom of zoet/zout water samenbrengen zijn hier mooie voorbeelden van.

Uiteindelijk is er een DBFM (Design Built Finance Maintenance) contract gesloten met een onderhoudsduur van 25 jaar voor het consortium. De afsluitdijk is een redelijk scopevast project en dus zou de contractvorm goed moeten passen. Ervaringen met andere grote infrastructurele projecten zijn minder goed en kunnen leiden tot grote financiële risico’s voor de aannemers in het begin van het project. Het merendeel van het geld wordt in deze constructie namelijk verdiend tijdens de onderhoudsperiode.

Risico’s en kansen

Het consortium Levvel doet er alles aan om op voorhand de risico’s en kansen goed in kaart te brengen. Zo wordt er gewerkt met gaming technologie om de bediening van de machines in de dijk zo levensecht mogelijk na te bootsen. Veel gaat automatisch maar de mens blijft een cruciale schakel.

Technisch worden er door RWS eisen gesteld inzake faalkansen mbt hoogwaterkering, passeren scheepvaart, afvoeren water, etc. Doormiddel van foutenbomen probeert men alle mogelijk scenario’s door te denken en beheersing hierop af te stemmen. Genoemde risico’s zijn onder andere:

  • Technische verstoringen
  • Onbedoelde obstakels
  • Vastlopen van de keersluis
  • Veiligheid van het onderhoudsteam

Naast de faalkanseisen worden er ook prestatieeisen gesteld. Worden deze niet gehaald dan volgt er een boete voor het consortium. Dit kan snel hoog oplopen en dwingt het consortium om cruciale beheersmaatregelen bijvoorbeeld redundand uit te voeren.

Machineveiligheid

Een dijk is ook een machine! En degene die substantiële wijzigingen aanbrengt wordt beschouwd als de fabrikant. Wellicht een beetje kort door de bocht voor de echte experts maar de conclusie is wel dat er een overkoepelend CE certificaat moet komen voor de afsluitdijk om ervoor te zorgen dat er aan alle wettelijke eisen wordt voldaan. Dat heeft nogal wat voeten in aarde. Zie onderstaande risico’s die dan moeten worden meegenomen.

Conclusie

De afsluitdijk is reeds een kunstwerk waar de rest van de wereld naar komt kijken om te zien wat de standaard is. Met de verzwaring en verhoging waar nu mee begonnen wordt anticiperen we op de (klimaat) risico’s van de toekomst en zetten we weer de standaard neer. Iets om trots op te zijn! No risk No Fun No Glory!

Ps. Vergeet niet het Wadden Center te bezoeken, een hele leuke plek voor jong en oud, waar we heel erg risicobewust worden van de gevaren die we beheersen!


door Een reactie plaatsen

Risicomanagement bij onderhoudsstops

Op het ambassadeursnetwerk voor woningcorporaties is als ‘peer review’ een presentatie geweest van Adriaan Lefeber van HVC. Het duurzame energie- en afvalbedrijf van 44 gemeenten en 6 waterschappen.

De opgave waar HVC voor staat is complex. ‘Van Gas Los’, verduurzaming van het afvalbeheer, de afvalstroom circulair maken, rest energie terugleveren en alles wat daarbij komt kijken.

1 grote Machine

1 grote Machine

De productielocaties kunnen bijna als 1 grote machine worden gekenmerkt. De afvalstroom wordt verbrand waarbij er zo weinig mogelijk uitstoot mag plaatsvinden. Een leuk weetje; de hoeveelheid rook die je ziet zegt niets over de hoeveelheid uitstoot. Sterker, vaak is het zo dat hoe minder je ziet hoe meer uitstoot!

Groot Onderhoud

De afvalcentrales hebben meerdere lijnen die regelmatig onderhoud nodig hebben. Dit onderhoud is enerzijds om de beschikbaarheid op de lange termijn te waarborgen maar ook om continue het energierendement te verbeteren. Elke lijn heeft iedere 2 jaar groot onderhoud. De turbines in de lijn iedere 6 jaar.

Even voor de verbeelding. De ketels zijn tientallen meters hoog en er worden metershoge stellingen in aangebracht om de wanden te controleren en te repareren. Werkzaamheden dien in de juiste volgorde op elkaar te worden afgestemd om te voorkomen dat men boven elkaar werkt en er gevaarlijke situaties ontstaan.

Risico’s

Bij HVC is risicomanagement onderdeel van het kernproces. Zonder gedegen risicomanagement kunnen deze industriele processen niet veilig worden uitgevoerd. Belangrijke risico’s die continue op de agenda staan zijn:

  • Lekkage van de ketel eerder dan gepland onderhoud
  • Energiederving waardoor opbrengsten uit elektriciteit en warmte lager zijn
  • Onderdelen die niet op tijd beschikbaar zijn (sommige moeten 2 jaar voor het onderhoud worden besteld)
  • Uitloop in tijd
  • Onvoldoende personeel bij aannemers
  • Vakbekwaamheid personeel inclusief de verplichte papieren
  • Hoeveelheid mensen. Tijdens een onderhoudsstop kan de hoeveelheid extra mensen op het terrein van HVC oplopen naar 300.
  • Veiligheidsprestaties van aannemers en HVC mensen. Ongevallen liggen snel op de loer.

Beheersing

De beheersing van deze risico’s gaat niet alleen op individueel risiconiveau. Veel beheersing vindt plaats door zorgvuldige lange termijn planning. Zo worden een aantal risico’s beheerst door goed Assetmanagement. Het op orde hebben van het voorraadbeheer, continue monitoren van de kwaliteit van gebruikte materialen, het doen van metingen, etc.

Er is ook een rechtstreek verband met de strategische plannen van HVC. Marktontwikkelingen rondom afval (denk aan de recente publicaties over AEB / Afval EnergieBedrijf Amsterdam) en de daaruit verwachte vraag aan verbrandingscapaciteit. Ook de kwaliteit van het ingekochte afval is zeer bepalend voor resultaten die behaald kunnen worden.

Tenslotte gaat het om hele grote investeringen rondom een onderhoudsstop. Een zorgvuldige planning en begroting van budgetten is noodzakelijk om de noodzakelijke financiële stromen te kunnen borgen.

Veiligheid

Veiligheid is continue cruciaal. Adriaan heeft 2 keer een dodelijk ongeval meegemaakt in zijn carrière en dat blijft je altijd bij. Afspraken rondom Veiligheid en Gedrag zijn leidend. Een gedegen voorbereiding en continue monitoring zijn essentieel. Hieronder een kort overzicht van hoe dit eruit kan zien:

  • Voor de Werkvoorbereiding
    • Onderhoudsplanning in preventieve en correctieve werkorders
    • Bevroren scope
    • Selectie van aannemers obv hoge kwaliteitseisen
    • HVC veiligheids&gedragsregels zijn leidend
    • V&G plan
    • Werkvergunningenlijst en veiligstellijst
    • Stopplanning
  • Tijdens de onderhoudsstop
    • Stopplanning
    • Daily standup met aannemers
    • Dagelijks veiligheidstoezicht door HVC
    • Gasmeetrondes in besloten ruimten
    • Check op werkvergunningen
    • Mangatwachten
    • Veiligheidsapp om incidenten te melden
    • Bedrijfsnoodplan en Crisismanagementplan
  • Evaluatie
    • Inspectieverslagen
    • Evaluatieoverleg met alle betrokkenen en vaststellen van de verbetermogelijkheden

Conclusie

Voor HVC geldt dat het uitvoeren van hun core-business alleen kan in een integrale aanpak. Van het registreren van incidenten, het doen van veiligheidscontroles, het afwikkelen van schades, etc. Het is een integraal proces waarbij continue verbeteren het uitgangspunt is. Een bedrijf midden in de samenleving hoort dit gewoon zo te doen. Ze doen het gewoon!

Het ambassadeursnetwerk voor woningcorporaties is een initiatief van Aedes Vereniging van Woningcorporaties en Naris, Het Governance, Risico en Compliance Platform. Het netwerk van >100 corporaties komt 2 keer per jaar bijeen om te leren van elkaar maar ook van andere sectoren. Er worden updates gedeeld en natuurlijk het netwerk verbreed.

Kennis wordt iets waard als je het deelt!


door 1 reactie

Risico Control Matrix succesvol implementeren

Uitgangspunten:

  • Natuurlijk hoort de verantwoordelijkheid voor risico’s in de 1e lijn
  • Leiderschap is belangrijker dan meer controls
  • We willen weten welke risico’s onze doelstellingen bedreigen
  • Diversiteit van betrokken is noodzakelijk meerdere expertises aan tafel te hebben
  • Dialoog is cruciaal om tegenspraak te organiseren
  • Het gaat om vertrouwen – trust – confidence – etc.
  • Maar….

Imago

> 80 % van het risicoprofiel gaat om de ‘te minimaliseren’ risico’s (Kaplan). Dit gaat over het functioneren van de organisatie en is daarmee een grote verantwoordelijkheid van management om aan te geven of we hier de goede dingen doen en deze goed doen! Als in de operatie zaken niet goed lopen staan organisaties snel in de krant. Of we dit nog risicomanagement moeten noemen is de vraag. Business as Usual is wellicht beter.

Het belang van deze risico’s is dus groot. Niet alleen vanuit het perspectief Imago maar ook omdat het gaat over alle soorten assets en dus uiteindelijk over balansposities en W&V rekening.

Standaardiseren / Best Practice

De zogenoemde 1e lijn zijn de ‘handen aan het bed’. Nooit opgeleid om risico’s en beheersmaatregelen op te schrijven. Ook niet in de wieg gelegd om de procesbeschrijvingen op te pakken. Met hen workshops doen voor het draagvlak klinkt leuk maar weinigen zitten te wachten op de discussie hoe je een risico beschrijft.

Inmiddels hebben wij mooie voorbeelden hoe door een hele goede voorbereiding de ‘In Control’ doelstelling sneller behaald kan worden. Inclusief een actieve en blijvende rol voor de 1e lijn!

Vanuit onze professionele opdrachtgevers kunnen wij heel duidelijk zien dat sturing op de Key processen, risico’s en controls voldoende comfort geeft. Alleen in geval van bepaalde incidenten of aandachtspunten vanuit de toezichthouder wordt de scope verbreed. Een 2e lijn die de business begrijpt kan voor deze processen 95% van de risico’s en te verwachten controls beschrijven.

Met de business voeren we alleen nog de discussie wat applicable of non-applicable is. We vragen ze tests op de controls uit te voeren en effidence up te loaden. Het dossier voor een eventuele (externe) audit is gereed.

NARIS GRC

Laten we de workshops bewaren voor innovaties, projecten, scenariodenken, strategieontwikkeling, etc.


door Een reactie plaatsen

Succesvol GRC-implementeren

Voor wie en waarom….en dan pas hoe en wat!

Voor wie en waarom doen wij (GRC specialisten) het eigenlijk?

De twee belangrijkste vragen die iedere 2e lijn zichzelf zou moeten stellen. Maar ook de ontwikkelaars van GRC systemen. Jarenlang zijn deze systemen ontwikkeld vanuit het gezichtspunt dat we veel informatie willen administreren, voor externe toezichthouders, die voldoet aan alle goverance codes en wetgeving waar de organisaties mee te maken hebben. Geen wonder dat systemen hierdoor complex, onoverzichtelijk en bovenal heel ongebruiksvriendelijk zijn geworden. Toezichthouders willen steeds meer weten en dus steeds meer informatie ophalen. Bestuurders kunnen steeds harder afgerekend worden dus zekerheid over de werking van controls is cruciaal. Zie hier de spagaat.

Hoe mooi zou het zijn als onze systemen de day-to-day business zou ondersteunen? Dat iedereen er profijt van heeft? Hoe zou dat eruit zien? Ongeveer zo:

  1. Ik kan snel opzoeken of we hiermee voldoen aan onze compliance
  2. Ik kan snel taken uitzetten bij collega’s
  3. Als team hebben we inzicht in onze prioriteiten en kunnen we werk van elkaar overnemen
  4. Altijd hebben we real time zicht op de belangrijkste acties
  5. Incidenten kan ik eenvoudig melden en ik word over de voortgang automatisch op de hoogte gehouden
  6. Het goedkeuringsproces wordt automatische bijgehouden
  7. Ik kan putten uit kennis van andere afdelingen

GRC-systemen moeten je helpen om sneller en meer efficient je werk te kunnen doen. Misschien niet leuker, wel makkelijker! De belastingdienst is het ook gelukt, waarom ons niet?

De ‘Wie en Waarom-vraag’ moet dan ook beantwoord worden vanuit de ‘day-to-day’ business. Het gaat niet om volledigheid maar om toegevoegde waarde voor de administrateurs / business. Want dat is het uiteindelijk voor een deel. Net als je financien thuis! Als risk of compliance manager genoegen nemen met minder is best moeilijk maar wel een goede eerste stap. Als je weet hoe het de business helpt kun je in kleine stapjes de reis vervolgen. Beter goed zicht op een klein beetje dan troebel zicht op het totaal!

Hoe laten we dit dan goed aansluiten bij de business?

  • Voor de chauffeur is belangrijk dat er snel incidenten kunnen worden gemeld. De planner heeft het totaal overzicht en in geval van calamiteiten moet het eenvoudig zijn om te escaleren.
  • De afdeling hypotheken moet weten welke risico’s standaard zijn bij aanvragen en snel inzicht in de procedure bij afwijkingen is key. Sommige controls moeten altijd beoordeeld worden en dit moet eenvoudig kunnen.
  • Als sales wil je weten welke contracten op scherp staan. Of de partijen met wie we zaken doen geen risico’s met zich meebrengen en ratio’s niet snel veranderen waardoor betalingsproblemen zich kunnen voordoen.
  • Als afdeling inkoop wil je het toeleveranciersrisico spreiden. Leveranciers mogen niet teveel afhankelijk zijn van jou en bovendien moet je altijd een fallback hebben.
  • De projectleider wil bij de start weten welke wet- en regelgeving van toepassing is en hoe dit de scope beinvloedt. Daarnaast zijn verstoringen van belang zodat er snel over alternatieven nagedacht kan worden.
  • De bestuurder / CEO is in control als het totaal aan afwegingen en keuzes eenduidig wordt gedaan en dit proces ook automatisch wordt vastgelegd. Hiermee kan de CEO zich verantwoorden.

De dashboards binnen het GRC vraagstuk moeten dus veel persoonlijker worden. Consolideren op risk / compliance / kwaliteit / audit is het makkelijkst!


door Een reactie plaatsen

Trends in Risico’s en de kansen die dit biedt

Schermafbeelding 2018-10-15 om 21.41.25Verandering is tegenwoordig nog de enige constante. Digitalisering van bedrijfsvoering is een continue ontwikkeling. Systemen worden steeds meer met elkaar verbonden. Niet alleen binnen organisaties zelf maar ook tussen organisaties. En hoe houd je zicht op de risico’s die dit met zich meebrengt.

Operational controls worden steeds meer geautomatiseerd. Enerzijds door de softwareleveranciers en de garanties / certificaten die ze afgeven. Anderzijds door binnen de GRC software deze controls in hoogfrequentie te laten reviewen.

Toeleveranciers management

Sinds een kleine 10 jaar wordt het merendeel van de software als SAAS (Software as a Service) aangeboden. Cyber security / informatiebeveiliging is een issue voor al je toeleveranciers van deze software. Hoe goed ken je je toeleveranciers? En kun je dezelfde aanpak gebruiken voor je andere leveranciers? De aanpak kan immers vergelijkbaar zijn.

Assetmanagement

Data is een asset. Data heeft tegenwoorden een grotere waarde voor organisaties dan de reguliere assets die op de balans staan. Er zijn uitdagingen op het gebied van transparantie, kwaliteit, juistheid, privacy, wetgeving en maatschappelijke acceptatie. Alle zul je moeten beveiligen. Welke risicoafweging maak je? Doe je dit vanuit dezelfde risk appetite?

Wetgeving als concurrentievoordeel

Wet- en regelgeving loopt achter de actualiteit aan. Zeker in het geval van nieuwe technologien. Het anticiperen hierop kan een kernkwaliteit zijn en ervoor zorgen dat je kunt outperformen ten opzichte van je concurrenten.

Nieuwe technologie biedt kansen. Maar alleen als je heel goed in samenhang de risico’s die erbij horen kunt managen. Dit vraagt een continue afweging tussen deze risico’s, de mate van control en de prestatie waar je voor wilt staan als bedrijf.

Wat een energie als je dit in de vingers hebt. Het is niet voor niks dat de snelst groeiende bedrijven volop investeren in het automatiseren van Governance, Risk en Compliance!

 


door 1 reactie

Business in Control

Sonja Janicijevic, adviseur risicomanagement bij AON, geeft samen met Robert ’t Hart en Erik van Marle (beide directeur bij Naris) een boeiende presentatie over business in control. Samen lichten ze het hoe, waarom, en vooral de grote meerwaarde van hun samenwerking toe.

De samenwerking

Sinds ongeveer een jaar werken Naris en AON samen om hun opdrachtgevers nog meer toegevoegde waarde te kunnen bieden. AON adviseert in de opzet en de implementatie, en in de toepassing van risicomanagement, en Naris biedt tooling aan om datzelfde proces goed te integreren en te borgen. Robert ’t Hart vertelt dat het Naris softwarepakket kennis deelt tussen alle gebruikers. Aon heeft deze kennis volop in huis. Kennisdeling en borging van risicomanagement en compliance met de Business in Control aanpak helpt de opdrachtgevers bij het maken van goede keuzes.

AON past het risicomanagement pragmatisch toe. De uitdaging is om deze lijn door te trekken en structureel toe te passen. De tooling van Naris helpt erbij om het risicomanagement echt iets van de organisatie te maken, een vibrerende, levende zaak. Kortom een samenwerking die duurzaamheid beoogt.

Schermafbeelding 2019-03-26 om 22.45.37

Een hoger plan

Maar hoe breng je risicomanagement nu samen naar een hoger plan? De kunst is om het risicomanagement goed en pragmatisch te implementeren, zodat het naadloos aansluit bij de organisatie. Traditioneel risicomanagement focust op het proces (hoe richt ik het proces goed in, hoe organiseer ik de verantwoordelijkheden eromheen, en hoe krijg ik die risico-informatie naar boven waar ik op moet sturen). Om dit naar de volgende fase te tillen moet vooral worden gekeken naar de effectiviteit van de te nemen maatregelen. Zijn deze maatregelen echt genomen, hebben ze daadwerkelijk tot het doel geleid, en hebben ze het risicoprofiel verbeterd? Zekerheid hierover geeft bestuurders en management vertrouwen om risico’s te blijven nemen. Zo krijgt risicomanagement betekenis.

De risicoloze wereld

We opereren in deze tijd in een enorme dynamiek, en binnen grote complexiteit. Binnen die complexiteit worden voortdurend risico’s en kansen op ons afgevuurd. In de maatschappij zie je dat als er een incident voorvalt, we scherpe vragen gaan stellen en het incident willen uitbannen. We lijken te verlangen naar een risicoloze wereld. Als reactie hierop proberen we regels te verzinnen, maar ook fysieke maatregelen te treffen om deze risico’s voor te zijn.

In de business in control-aanpak van AON en Naris wordt gefocust op sturing maar ook op verantwoording van de inrichting van het risicomanagementproces. Allereerst wordt ervoor gezorgd dat het traditionele stuk op orde is, en vervolgens verschuift de aandacht naar de borging van de controls. Dit door middel van periodieke checks met ‘lichte audits’ / assessments.  Er hoeft hier niet per se een auditafdeling voor aanwezig te zijn, de assessment is onderdeel van de aanpak die Aon en Naris bieden. Borging van de key controls is essentieel en geeft aan in hoeverre risicomanagement daadwerkelijk effectief is.

Three Lines of Defense

Wat betreft de risico’s die het bedrijf bedreigen: het management zal bewust en proactief moeten zijn. De kunst is om als tweede lijn alleen maar te faciliteren bij het in beeld brengen en managen van risico’s, en het proces vooral niet over te nemen. Het doorvoeren van maatregelen is en blijft de verantwoordelijkheid van de eerste lijn, integraal met de verantwoordelijkheid voor de aansturing van de onderneming.

De waarde van dialoog

Het is belangrijk om het gesprek over risico’s op gang te houden, of het nu één op één of in een groepssessie gebeurt. De facilitator (2de lijn) stelt vragen en helpt gedachten te orderen. De risico-eigenaren formuleren zelf de risico’s en voelen daarmee het eigenaarschap en de verantwoordelijkheid voor actie. Voortdurende risico-dialoog leidt tot bewustwording over risico’s en over de noodzaak tot actie nemen. Deze aanpak draagt bij aan de insteek van de nieuwe COSO: zorg dat je dicht bij de strategie en sturing van je organisatie blijft, zorg dat het leeft!

De voordelen

Een groot voordeel van deze werkwijze is dat de focus ligt bij de resultaten van risicomanagement: de realisatie van maatregelen en daadwerkelijk verbeteren van het risicoprofiel. Dit verkoopt naar de business! Ook wat betreft het in control statement wordt zo aangetoond dat de organisatie goed zicht heeft op de belangrijkste risico’s. Daarnaast is het belangrijk dat je als bedrijf leert van het wel of niet werken van de beheersing, en dat ’three lines of defence’ goed en duidelijk samenwerken.

De praktijk

Erik van Marle vertelt dat de kracht zit in de combinatie. Als adviezen niet geborgd worden is het lastig om erop terug te komen. Bij leiderschap is het nakomen van gemaakte afspraken essentieel. Door monitoring van de status van risicobeheersing is focus op de effectiviteit van risicomanagement gevestigd. Als je dit doet met de Naris software kun je in één afbeelding zien wat mensen met elkaar willen bereiken. Je kunt daarnaast heel helder herkennen welke risico’s de doelstellingen van het bedrijf bedreigen. Deze combinatie zal het bestuur het vertrouwen geven bij het nemen van belangrijke beslissingen. Tegenwoordig zit er dus veel meer dynamiek in de control: Max Verstappen rijdt zo hard omdat hij honderd procent vertrouwt op de remmen die hij heeft.