Erik van Marle – Blog over risicomanagement

www.naris.com

Categorie archief: Projectmanagement


door 1 reactie

Hoe krijg je tijd voor Key Risks?

Kansen

Risicomanagement wordt as we speak echt op de proef gesteld. Alle aandacht gaat, volkomen terecht, uit naar het Coronavirus. De wereld om ons heen verandert heel snel, iedere dag nieuwe regels / omstandigheden waarmee we direct mee moeten kunnen omgaan. Onze flexibiliteit is nog nooit zo op de proef gesteld en ik weet ook heel zeker dat dit de maatschappij nog veel gaat brengen. Iedereen ervaart nu verplicht hoe eenvoudig het toch is om thuis te werken, niet voor iedere afspraak in de auto te stappen, de continuiteit van dienstverlening te flexibiliseren, etc. De bijkomende gevolgen zijn helemaal niet slecht….. minder CO2 uitstoot, minder geluidsoverlast, etc. Zou dit de push zijn die wij als wereldbevolking nodig hadden? Interesting!

Bedreigingen

Spannend is ook om te zien hoe goed bedrijven hun risicomanagement op orde hebben. Het Coronavirus is een Extern risico in de definitie van Kaplan. We ervaren hoe lastig de beheersing is omdat de beïnvloedbaarheid van het risico zeer laag is. Toch hadden we het in Europe op een gegeven moment zeker kunnen zien aankomen en ook al kunnen leren van de maatregelen die China had genomen, ondanks dat dit nog maar enkele weken oud was!

Waarom is dit zo weinig gebeurd?

Tijd?

Hebben we in onze organisaties voldoende tijd ingebouwd om de strategische en externe risico’s te managen? Risicobewuste organisaties, High Reliability Organizations, nemen in gevaarlijke situaties een TimeOut. Hebben we daar de tijd voor?

In Control

Er zit veel semantiek in de woorden ‘In Control’, ‘Alles onder controle’, ‘Controle’, ‘In Control Statement’, ‘In Control Framework’, etc. Wellicht moet de definitie zijn dat je ‘In Control’ bent op het moment dat er voldoende tijd over is om de echte risico’s te managen.

Afwijkingen verdienen aandacht!

Waarschijnlijk heeft > 80% van de risicoprofielen in organisaties een operationeel karakter. Het is heel menselijk / natuurlijk om juist daar te kijken waar het om de grote getallen gaat. Deze risico’s gaan namelijk ook vaak door onze belangrijkste processen en dus is het ook gebruikelijk dat er veel aandacht aan besteed wordt. Door audit, door de accountants, door de controller en daarmee door bestuur, management en RvC.

Toch zou ik willen adviseren om er op te vertrouwen dat deze risico’s en processen over het algemeen heel goed gemanaged worden door de organisatie. Het is hun Core Business. Aan de randen van de ‘normaal verdeling’ vinden de interessante afwijkingen plaats. Deze afwijkingen (incidenten), in positieve of negatieve zin, zijn de eerste signalen of er ergens iets stagneert. Durf het lef te hebben om minder tijd te besteden aan de controle op operationele risico’s.

En hebben we tijd voor een risicobewuste organisatie voor alle continue veranderingen en bijbehorende soorten risico’s. Lees:

  • Klimaatverandering
  • Cybersecurity
  • TCFD
  • Toeleveranciers
  • Economische teruggang
  • Veranderende wet- en regelgeving
  • Datalekken
  • Beschikbaarheid van kapitaal
  • etc.


door 1 reactie

Risico’s en Kansen van de Afsluitdijk

Vanuit de NVRB (Nederlands Vereniging voor Risicoanalyse en Bedrijfszekerheid) is in samenwerking met Rijkswaterstaat een excursie naar de afsluitdijk georganiseerd. Geheel in het teken van de drijfveren van de NVRB; kennisdelen en je netwerk uitbreiden.

Historie

Het verbeteren van de toekomst begint met een bezinning op het verleden. De afsluitdijk heeft inmiddels 90 jaar dienst gedaan en heeft iedere 15 tot 20 jaar een grote storm doorstaan en overleefd. En nog steeds voldoet de dijk (officieel een dam). Een nice to know is dat de dijk indertijd door Defensie is gefinancierd en er daarom draaibruggen in de dijk zitten opdat er geen ‘schietschijven’ zouden ontstaan.

 Opgave

De opgave is groot. Tegenwoordig hebben we meer inzicht in het bepalen van de benodigde sterkte. Bestaan er wetten waaraan voldaan moet worden en is er meer capaciteit nodig om water af te voeren. En gezien de te verwachten klimaatveranderingen neemt dit alleen nog maar toe. Sinds 2006 weten we dat de huidige afsluitdijk niet meer voldoet aan de wettelijke vereisten. Vanuit compliance oogpunt wellicht een risico, praktisch gezien volstaat de dijk nog steeds.

Waar vroeger de berekeningen uitgingen van de kans op overschrijding en er een afweging werd gemaakt mede gebaseerd op economische schade en de kans op slachtoffers is de nieuwe waterwet gebaseerd op de overstromingskans. RWS als opdrachtgever beoogt weer een levensduur van 100 jaar en dient daarbij tegelijk rekening te houden met de te verwachten zeespiegelstijging. Het grootste risico? Dat we de 90 jaar oude dijk weer als basis voor de vernieuwing gebruiken?

Aanbesteding

Om dit soort contracten goed te kunnen aanbesteden is er derhalve veel overleg voorafgaan aan de aanbesteding. Kansen en risico’s worden gedeeld en besproken. Eisen uitgelegd. RWS stelt esthetische eisen om wederom een kunstwerk te kunnen presenteren. Technisch is het de uitdaging om het toonbeeld voor de rest van de wereld te blijven. Nu al is dit project een ‘kraamkamer’ voor innovatie. Zo zijn de levelblokken om de dijk te versterken als innovatie uit de project gekomen en hebben meerdere partijen reeds opstellingen om energie op een alternatieve wijze op te wekken. Turbines op getijdestroom of zoet/zout water samenbrengen zijn hier mooie voorbeelden van.

Uiteindelijk is er een DBFM (Design Built Finance Maintenance) contract gesloten met een onderhoudsduur van 25 jaar voor het consortium. De afsluitdijk is een redelijk scopevast project en dus zou de contractvorm goed moeten passen. Ervaringen met andere grote infrastructurele projecten zijn minder goed en kunnen leiden tot grote financiële risico’s voor de aannemers in het begin van het project. Het merendeel van het geld wordt in deze constructie namelijk verdiend tijdens de onderhoudsperiode.

Risico’s en kansen

Het consortium Levvel doet er alles aan om op voorhand de risico’s en kansen goed in kaart te brengen. Zo wordt er gewerkt met gaming technologie om de bediening van de machines in de dijk zo levensecht mogelijk na te bootsen. Veel gaat automatisch maar de mens blijft een cruciale schakel.

Technisch worden er door RWS eisen gesteld inzake faalkansen mbt hoogwaterkering, passeren scheepvaart, afvoeren water, etc. Doormiddel van foutenbomen probeert men alle mogelijk scenario’s door te denken en beheersing hierop af te stemmen. Genoemde risico’s zijn onder andere:

  • Technische verstoringen
  • Onbedoelde obstakels
  • Vastlopen van de keersluis
  • Veiligheid van het onderhoudsteam

Naast de faalkanseisen worden er ook prestatieeisen gesteld. Worden deze niet gehaald dan volgt er een boete voor het consortium. Dit kan snel hoog oplopen en dwingt het consortium om cruciale beheersmaatregelen bijvoorbeeld redundand uit te voeren.

Machineveiligheid

Een dijk is ook een machine! En degene die substantiële wijzigingen aanbrengt wordt beschouwd als de fabrikant. Wellicht een beetje kort door de bocht voor de echte experts maar de conclusie is wel dat er een overkoepelend CE certificaat moet komen voor de afsluitdijk om ervoor te zorgen dat er aan alle wettelijke eisen wordt voldaan. Dat heeft nogal wat voeten in aarde. Zie onderstaande risico’s die dan moeten worden meegenomen.

Conclusie

De afsluitdijk is reeds een kunstwerk waar de rest van de wereld naar komt kijken om te zien wat de standaard is. Met de verzwaring en verhoging waar nu mee begonnen wordt anticiperen we op de (klimaat) risico’s van de toekomst en zetten we weer de standaard neer. Iets om trots op te zijn! No risk No Fun No Glory!

Ps. Vergeet niet het Wadden Center te bezoeken, een hele leuke plek voor jong en oud, waar we heel erg risicobewust worden van de gevaren die we beheersen!


door Een reactie plaatsen

Risicomanagement bij onderhoudsstops

Op het ambassadeursnetwerk voor woningcorporaties is als ‘peer review’ een presentatie geweest van Adriaan Lefeber van HVC. Het duurzame energie- en afvalbedrijf van 44 gemeenten en 6 waterschappen.

De opgave waar HVC voor staat is complex. ‘Van Gas Los’, verduurzaming van het afvalbeheer, de afvalstroom circulair maken, rest energie terugleveren en alles wat daarbij komt kijken.

1 grote Machine

1 grote Machine

De productielocaties kunnen bijna als 1 grote machine worden gekenmerkt. De afvalstroom wordt verbrand waarbij er zo weinig mogelijk uitstoot mag plaatsvinden. Een leuk weetje; de hoeveelheid rook die je ziet zegt niets over de hoeveelheid uitstoot. Sterker, vaak is het zo dat hoe minder je ziet hoe meer uitstoot!

Groot Onderhoud

De afvalcentrales hebben meerdere lijnen die regelmatig onderhoud nodig hebben. Dit onderhoud is enerzijds om de beschikbaarheid op de lange termijn te waarborgen maar ook om continue het energierendement te verbeteren. Elke lijn heeft iedere 2 jaar groot onderhoud. De turbines in de lijn iedere 6 jaar.

Even voor de verbeelding. De ketels zijn tientallen meters hoog en er worden metershoge stellingen in aangebracht om de wanden te controleren en te repareren. Werkzaamheden dien in de juiste volgorde op elkaar te worden afgestemd om te voorkomen dat men boven elkaar werkt en er gevaarlijke situaties ontstaan.

Risico’s

Bij HVC is risicomanagement onderdeel van het kernproces. Zonder gedegen risicomanagement kunnen deze industriele processen niet veilig worden uitgevoerd. Belangrijke risico’s die continue op de agenda staan zijn:

  • Lekkage van de ketel eerder dan gepland onderhoud
  • Energiederving waardoor opbrengsten uit elektriciteit en warmte lager zijn
  • Onderdelen die niet op tijd beschikbaar zijn (sommige moeten 2 jaar voor het onderhoud worden besteld)
  • Uitloop in tijd
  • Onvoldoende personeel bij aannemers
  • Vakbekwaamheid personeel inclusief de verplichte papieren
  • Hoeveelheid mensen. Tijdens een onderhoudsstop kan de hoeveelheid extra mensen op het terrein van HVC oplopen naar 300.
  • Veiligheidsprestaties van aannemers en HVC mensen. Ongevallen liggen snel op de loer.

Beheersing

De beheersing van deze risico’s gaat niet alleen op individueel risiconiveau. Veel beheersing vindt plaats door zorgvuldige lange termijn planning. Zo worden een aantal risico’s beheerst door goed Assetmanagement. Het op orde hebben van het voorraadbeheer, continue monitoren van de kwaliteit van gebruikte materialen, het doen van metingen, etc.

Er is ook een rechtstreek verband met de strategische plannen van HVC. Marktontwikkelingen rondom afval (denk aan de recente publicaties over AEB / Afval EnergieBedrijf Amsterdam) en de daaruit verwachte vraag aan verbrandingscapaciteit. Ook de kwaliteit van het ingekochte afval is zeer bepalend voor resultaten die behaald kunnen worden.

Tenslotte gaat het om hele grote investeringen rondom een onderhoudsstop. Een zorgvuldige planning en begroting van budgetten is noodzakelijk om de noodzakelijke financiële stromen te kunnen borgen.

Veiligheid

Veiligheid is continue cruciaal. Adriaan heeft 2 keer een dodelijk ongeval meegemaakt in zijn carrière en dat blijft je altijd bij. Afspraken rondom Veiligheid en Gedrag zijn leidend. Een gedegen voorbereiding en continue monitoring zijn essentieel. Hieronder een kort overzicht van hoe dit eruit kan zien:

  • Voor de Werkvoorbereiding
    • Onderhoudsplanning in preventieve en correctieve werkorders
    • Bevroren scope
    • Selectie van aannemers obv hoge kwaliteitseisen
    • HVC veiligheids&gedragsregels zijn leidend
    • V&G plan
    • Werkvergunningenlijst en veiligstellijst
    • Stopplanning
  • Tijdens de onderhoudsstop
    • Stopplanning
    • Daily standup met aannemers
    • Dagelijks veiligheidstoezicht door HVC
    • Gasmeetrondes in besloten ruimten
    • Check op werkvergunningen
    • Mangatwachten
    • Veiligheidsapp om incidenten te melden
    • Bedrijfsnoodplan en Crisismanagementplan
  • Evaluatie
    • Inspectieverslagen
    • Evaluatieoverleg met alle betrokkenen en vaststellen van de verbetermogelijkheden

Conclusie

Voor HVC geldt dat het uitvoeren van hun core-business alleen kan in een integrale aanpak. Van het registreren van incidenten, het doen van veiligheidscontroles, het afwikkelen van schades, etc. Het is een integraal proces waarbij continue verbeteren het uitgangspunt is. Een bedrijf midden in de samenleving hoort dit gewoon zo te doen. Ze doen het gewoon!

Het ambassadeursnetwerk voor woningcorporaties is een initiatief van Aedes Vereniging van Woningcorporaties en Naris, Het Governance, Risico en Compliance Platform. Het netwerk van >100 corporaties komt 2 keer per jaar bijeen om te leren van elkaar maar ook van andere sectoren. Er worden updates gedeeld en natuurlijk het netwerk verbreed.

Kennis wordt iets waard als je het deelt!


door Een reactie plaatsen

Succesvol GRC-implementeren

Voor wie en waarom….en dan pas hoe en wat!

Voor wie en waarom doen wij (GRC specialisten) het eigenlijk?

De twee belangrijkste vragen die iedere 2e lijn zichzelf zou moeten stellen. Maar ook de ontwikkelaars van GRC systemen. Jarenlang zijn deze systemen ontwikkeld vanuit het gezichtspunt dat we veel informatie willen administreren, voor externe toezichthouders, die voldoet aan alle goverance codes en wetgeving waar de organisaties mee te maken hebben. Geen wonder dat systemen hierdoor complex, onoverzichtelijk en bovenal heel ongebruiksvriendelijk zijn geworden. Toezichthouders willen steeds meer weten en dus steeds meer informatie ophalen. Bestuurders kunnen steeds harder afgerekend worden dus zekerheid over de werking van controls is cruciaal. Zie hier de spagaat.

Hoe mooi zou het zijn als onze systemen de day-to-day business zou ondersteunen? Dat iedereen er profijt van heeft? Hoe zou dat eruit zien? Ongeveer zo:

  1. Ik kan snel opzoeken of we hiermee voldoen aan onze compliance
  2. Ik kan snel taken uitzetten bij collega’s
  3. Als team hebben we inzicht in onze prioriteiten en kunnen we werk van elkaar overnemen
  4. Altijd hebben we real time zicht op de belangrijkste acties
  5. Incidenten kan ik eenvoudig melden en ik word over de voortgang automatisch op de hoogte gehouden
  6. Het goedkeuringsproces wordt automatische bijgehouden
  7. Ik kan putten uit kennis van andere afdelingen

GRC-systemen moeten je helpen om sneller en meer efficient je werk te kunnen doen. Misschien niet leuker, wel makkelijker! De belastingdienst is het ook gelukt, waarom ons niet?

De ‘Wie en Waarom-vraag’ moet dan ook beantwoord worden vanuit de ‘day-to-day’ business. Het gaat niet om volledigheid maar om toegevoegde waarde voor de administrateurs / business. Want dat is het uiteindelijk voor een deel. Net als je financien thuis! Als risk of compliance manager genoegen nemen met minder is best moeilijk maar wel een goede eerste stap. Als je weet hoe het de business helpt kun je in kleine stapjes de reis vervolgen. Beter goed zicht op een klein beetje dan troebel zicht op het totaal!

Hoe laten we dit dan goed aansluiten bij de business?

  • Voor de chauffeur is belangrijk dat er snel incidenten kunnen worden gemeld. De planner heeft het totaal overzicht en in geval van calamiteiten moet het eenvoudig zijn om te escaleren.
  • De afdeling hypotheken moet weten welke risico’s standaard zijn bij aanvragen en snel inzicht in de procedure bij afwijkingen is key. Sommige controls moeten altijd beoordeeld worden en dit moet eenvoudig kunnen.
  • Als sales wil je weten welke contracten op scherp staan. Of de partijen met wie we zaken doen geen risico’s met zich meebrengen en ratio’s niet snel veranderen waardoor betalingsproblemen zich kunnen voordoen.
  • Als afdeling inkoop wil je het toeleveranciersrisico spreiden. Leveranciers mogen niet teveel afhankelijk zijn van jou en bovendien moet je altijd een fallback hebben.
  • De projectleider wil bij de start weten welke wet- en regelgeving van toepassing is en hoe dit de scope beinvloedt. Daarnaast zijn verstoringen van belang zodat er snel over alternatieven nagedacht kan worden.
  • De bestuurder / CEO is in control als het totaal aan afwegingen en keuzes eenduidig wordt gedaan en dit proces ook automatisch wordt vastgelegd. Hiermee kan de CEO zich verantwoorden.

De dashboards binnen het GRC vraagstuk moeten dus veel persoonlijker worden. Consolideren op risk / compliance / kwaliteit / audit is het makkelijkst!


door Een reactie plaatsen

Praktisch Stappenplan Risicomanagement Woningcorporaties

Risicomanagement is niet nieuw! Iedere organisatie doet bewust of onbewust al heel veel aan risicomanagement. Bewust vaak op de financiële processen. Op alle andere processen vaak heel onbewust. Gelukkig maar want dit zijn over het algemeen wel de meest risicovolle processen.

Voordat je begint is het verstandig te bepalen wat je wilt bereiken met Risicomanagement. Wat mij betreft zijn dit maar een paar zaken:
1. Risicobewuste medewerkers;
2. Inzicht in de mate en vooruitgang van beheersing van je belangrijkste risico’s;
3. Inzicht in waar je moet bijsturen om je doelstellingen te realiseren.

De grootste valkuilen zijn:
* Eindeloze excellijsten met alleen maar risico’s;
* Op zoek naar schijnzekerheid door ingewikkelde formule’s en oorzaak-gevolg relaties te willen gebruiken;
* Geen aansluiting bij de medewerkers door iets op te leveren wat ze niet gebruiken in hun dagelijks werk;
* Geen aansluiting bij de vraag van intern en extern toezicht waardoor zaken dubbel gebeuren;
* Geen relatie te hebben met beslissingen die je wilt nemen!

Stap 1
Dit is de moeilijkste. Het volledige MT moet het erover eens zijn dat informatie over Risico’s, de mate van beheersing, het inzicht in Compliance en de bevindingen van Audit gebruikt worden om beslissingen te nemen. Dit betekent dus dat deze informatie mede leidend is en gefaciliteerd wordt om deze informatie op te halen.

Schermafbeelding 2017-12-20 om 21.41.46

Stap 2
Visualiseer je strategie. Met de woningwet van tegenwoordig moeten corporaties in staat zijn een duidelijke (SMART) strategie neer te zetten, gebaseerd op de prestatieafspraken. Je bent succesvol als corporatie op het moment dat je je strategie weet te realiseren. Mooie projecten realiseren die niet bijdragen aan de strategie dragen dus niet bij aan het succesvol zijn.

Maak een Strategiekaart waarin het voor alle medewerkers duidelijk is welke activiteiten je cruciaal vindt voor de corporatie. Hang deze op in de gang, in de kantine zodat er vaak over gesproken kan worden.

Schermafbeelding 2016-09-15 om 08.59.09

Stap 3
Gebruik de Strategiekaart als uitgangspunt van waaruit je de risicoanalyse start. 2-5 risico’s per succesfactor zijn meer dan genoeg om inzicht te krijgen waar de uitdagingen in de organisatie zitten. Doe dit met alle mensen die betrokken zijn bij de processen rondom zo’n succesfactor. Let goed op de kwaliteit van omschrijving, je gezamenlijk inschatting van impact en gebruik altijd voorbeelden ter illustratie. Dit maakt het repliceerbaar en blijft de context beschikbaar.

Benoem een eigenaar die verantwoordelijk blijft voor de opvolging van acties en kwaliteit van het beschreven risico.

Schermafbeelding 2016-11-17 om 18.31.59

Stap 4
Inventariseer wat er allemaal al gedaan wordt aan beheersing en bepaal of dit effectief is. Inventariseer vervolgens wat er meer of beter gedaan kan worden en leg duidelijk vast wat er verwacht wordt. Bepaal ook in welke frequentie dit gecontroleerd moet worden en wie ervoor verantwoordelijk is.

Stap 5
Zorg na iedere sessie dat de deelnemers direct een rapportage ontvangen met daarin het gedane werk en uitstaande acties. Zorg dat dit aansluit bij bestaande werkzaamheden. Kijk ook welke rapportages er nu al zijn en niet gebruikt worden. Deze zijn overbodig.

Optimaal is wanneer je met elkaar in 1 systeem werkt. Dit dwingt een uniforme en standaard taal af waarmee iedereen risico’s op dezelfde wijze beschrijft. Dit inzicht in onbetaalbaar, zowel voor begrip als voor het kunnen nemen van besluiten.

Schermafbeelding 2016-11-17 om 18.33.38

Stap 6
Als Riskmanager werk je samen met de Compliance Officer, de business controller en audit. Je hebt afstemming over de prioriteiten en je bent gezamenlijk de helpdesk voor de organisatie. Monitor de intensiteit van wijzigingen in het profiel, dat zegt echt wat of de organisatie risicobewust is.

Dit is direct hele relevante informatie voor toezichthouders, wiens taak het is om toezicht te houden op het risicomanagement en beheersysteem van de organisatie.

Stap 7
Incidenten zijn een onderschatte bron van informatie over wat er gebeurd in een organisatie. En dan hebben we het niet alleen over veiligheidsincidenten. Iedere verstoring in een normaal proces is een incident. Begin gewoon eenvoudig met het vastleggen hiervan en je zult ervaren dat dit veel inzicht geeft welke zaken vaak misgaan en waar over het algemeen ook snel wat aan gedaan kan worden.

Bij een grote projectgedreven organisatie levert het incidentenoverzicht sneller en meer inzicht op over de status van een project dan de mooie rapportages aan het einde van iedere maand. Het niet beschikbaar zijn van personeel of materieel, het niet rond hebben van de vergunning; allemaal incidenten waaruit je direct kan afleiden of het project wel of niet soepel begint.

Schermafbeelding 2017-12-20 om 22.05.15

Tot slot
Wees je er continue van bewust dat de informatie die je ophaalt uit de organisatie en ter bespreking voorlegt relevant moet zijn. Je doet het niet omdat het moet maar omdat het je helpt. Het heeft daarom ook geen zin om hier regels voor te introduceren. De juiste mensen willen dit omdat het ze tot betere prestaties leidt.

Het juiste management wil dit omdat het ze een fijnere, succesvollere, veiligere organisatie oplevert die doet waarvoor de organisatie bestaat.


door 2 reacties

3 stappen om eenvoudig uw Risk Appetite vast te stellen

3 stappen om eenvoudig uw Risk Appetite vast te stellen

Veel organisaties vinden het moeilijk om concreet te worden inzake Risk Appetite; uw bereidheid om risico’s te nemen. En dat is een gebrek want het is cruciaal voor echt een integrale werking van Risk Based Management.

Het ontbreken van een eenduidig door de board vastgesteld kader maakt dat de organisatie geen richtlijn heeft over wat wel en niet acceptabel is. En dus niet weet wanneer er gezocht moet worden naar aanvullende beheersing alvorens een risicovol traject doorgang kan vinden. Als de board al niet weet wat wel en niet acceptabel is……

Stap 1: bepaal de kernwaarden van de organisatie

Er kunnen maar een bepaald aantal waarden zijn die uw organisatie echt belangrijk vindt. Deze kunnen veranderen indien het businessmodel verandert maar dit kan niet regelmatig zijn. In deze context bedoel ik met kernwaarden zaken als klanttevredenheid, financiële continuïteit, voldoen aan wet- en regelgeving, veiligheid van medewerkers en klanten, reputatie, enz. 

Kernwaarden zijn iets anders dan doelstellingen en kunnen ook niet door elkaar gebruikt worden. Kernwaarden zijn de randvoorwaarden die goed moet zijn om de doelstellingen te bereiken.

Stap 2: laat de Board individueel stemmen

Een eenvoudige stap is om alle boardleden individueel aan te laten geven (op een schaal van 1-5  bijvoorbeeld) hoeveel risico acceptabel is voor de organisatie in hun ogen. Op dit moment komen de verschillen boven water. De recente ervaringen zullen in hoge mate invloed hebben op de score. Indien men net uit een financieel roerige periode komt zal de appetite lager liggen. Vervolgens is het zaak om op basis van een zorgvuldige onderbouwing gezamenlijk de appetite vast te stellen. Zorg er wel voor dat de schaalverdeling duidelijk is omschreven.

Schermafbeelding 2017-03-07 om 22.04.19

Stap 3: Eenvoudige toelichting per kernwaarde

Beschrijf in eenvoudige woorden per kernwaarde wat de organisatie wil wat er niet mag gebeuren. De volgende vragen kunnen hierbij helpen (indien mogelijk zo concreet mogelijk met cijfers onderbouwen):

  1. Wat mag er nog wel gebeuren?
  2. Wat mag er niet gebeuren?
  3. Wat moet er minstens tegenover staan?
  4. Welke actie verwacht je bij het nemen van een risico?
  5. Welke escalatie is gewenst?

Let op!

Het kan dus heel goed gebeuren dat er in een noodzakelijk project risico’s worden geïdentificeerd die de Risk Appetite te boven gaan. Dit betekent niet dat het project stopgezet moet worden. Er moet wel een alternatief bedacht worden om toch het doel te bereiken zonder At Risk te zijn op de belangrijke kernwaarden. Deze kunnen immers de organisatie omver trekken.


door 2 reacties

Hoe Risicomanagement bij Van Oord bijdraagt aan betere prestaties

Cyrille Wismans, Risicomanager bij Van Oord, legt uit hoe risicomanagement is opgezet bij Van Oord Hier zijn ze twee jaar geleden structureel mee begonnen. Vijf jaar geleden begon hij als Risk Engineer bij Van Oord, waar hij nu teamleider is bij de Project Planning & Riskafdeling. 

Complexere Projecten vragen om beter Risicomanagement

Risicomanagement is op dit moment binnen Van Oord gepositioneerd in de afdeling Engineering & Estimating.  Vanuit deze afdelingworden alle area’s en business units bediend. De aanleiding om risicomanagement prioriteit te geven komt doordat het bedrijf steeds meer complexe, innovatieve projecten aanneemt van grote omvang en met een lange doorlooptijd. Complexe projecten vormen een substantieel deel van de business van Van Oord, risicomanagement is dus van groot belang.

Belang van Risicomanagement

Van Oord heeft haar werkgebied (de gehele wereld) ingedeeld in 5 area’s  en een drietal business units. Bij de business unit Offshore gaat het vooral om grote projecten in de offshore olie- en gasindustrie. Onder andere de aanleg, het vervangen van en het onderhoud aan onderwaterpijpleidingen. In deze industrie staan vanwege de lage olieprijs de prijzen momenteel enorm onder druk. Hierdoor is het belang van risicomanagement flink toegenomen. Ook  in de offshore windindustrie is Van Oord actief. Een industrie waar risicomanagement een grote rol speelt. Van Oord voert hier grote projecten uit, waar veel verantwoordelijkheid mee gemoeid is. Ze staat garant voor het hele ontwerp, de levering, de inkoop en bouw van windmolenparken. Hierdoor trekt het bedrijf veel risico’s naar zich toe.

Lange adem

Zoals eerder genoemd is structureel risicomanagement relatief nieuw bij Van Oord. Om een succesvolle implementatie te bewerkstelligen is het volgens Wismans essentieel om verder te bouwen op de al bestaande werkwijzen in het bedrijf. Daarnaast dient men zich te realiseren dat de implementatie van risicomanagement  een proces is van de lange adem.

Betrokkenheid van de Board cruciaal

Wanneer er gekeken wordt naar het proces zoals dat door Van Oord wordt gehanteerd in relatie tot risicomanagement, dan legt Wismans uit dat de Board acht key focus areas in Van Oord heeft aangewezen. Hiervan is risicomanagement er één. In het proces van het binnenhalen van een project tot aan de uitvoering, heeft Van Oord een aantal quality gates (stage gates)  ingebouwd. Het risicomanagement proces sluit hierop aan en vormt een belangrijk onderdeel van het besluitvormingstraject. Bij iedere stage gate wordt gebruik gemaakt van risicoinformatie die uit de risicomanagement cyclus komt. Bij stage gate 1 wordt bijvoorbeeld besloten of Van Oord wel of niet zal  tenderen. Hier ligt een commerciële en strategische afweging aan ten grondslag, maar ook het risicoprofiel van een werk wordt in deze afweging meegenomen.

Risk en Opportunity Database

Van Oord heeft een risk and opportunity identification list ontwikkeld. Hierin zitten ongeveer 150 risico’s verdeeld over twaalf risicogebieden waar het bedrijf in veel van haar projecten mee te maken heeft. Voorbeelden zijn: Political and Economical, Physical Conditions, Environmental Impact, Procurement and Subcontracting, Safety & Health and Security, Contractual and Legal. Het proces begint bij de risico identificatie. In een omgeving waar veel technische mensen werken, die de neiging hebben snel van probleem naar oplossing te gaan, is de toegevoegde waarde van risicomanagement het verzamelen van alle input en het daarin aanbrengen van de noodzakelijke structuur.

Lessons learnt

Om meer inzicht te krijgen in de aard en omvang van risico’s is niet alleen de lijst met de twaalf risicogebieden  belangrijk, maar ook de lessons learnt. In de eindewerkrapporten ligt een enorme schat aan informatie, ook over de opgetreden risico’s. Daarnaast zijn er gesprekken met projectleiders die kennis hebben van een bepaald gebied essentieel.

Iedereen aan tafel!

Wismans legt uit hoe hij de analyses begeleidt: “We zitten met begroters en werkvoorbereiders om tafel, analyseren de risico’s en zoeken voortdurend naar optimalisatie. Als je scherp gaat wil je uiteraard ook weten waar je aan toe bent. Tenders met een waarde van meer dan vijftig miljoen euro moeten sowieso langs onze Board. Een van de elementen die daar op tafel komt te liggen is risicomanagement en de noodzakelijke reserveringen. Als de Board kritische vragen stelt, zit de Risico Engineer veelal aan tafel om toelichting te geven”. Volgens Wismans is Van Oord met het risicomanagement op de goede weg, maar er valt nog meer winst te behalen. Deze zit met name in de betrokkenheid tijdens de uitvoering van projecten. Een stijgende lijn is al wel te zien.

Automatisering voor borging en eenvoud

schermafbeelding-2017-01-12-om-23-13-29

Daarnaast wordt er  gewerkt aan automatisering. Wismans vertelt dat Van Oord momenteel samenwerkt met Naris. Het bedrijf heeft een eigen kennisdatabase ontwikkeld, gebaseerd op NARIS GRC, maar met een Van Oord look and feel. Voor elk project worden daar de risico’s in gehangen en de projecten worden weer onverdeeld in area’s of typen projecten. Wanneer er een redelijk aantal projecten in is opgeslagen, kun je binnen area’s of op typen projecten een statistische analyse doen.

Een systeem zoals Van Oord nu heeft, een soort op maat gemaakte NARIS GRC, zorgt ervoor dat mensen meer gestimuleerd en gedwongen worden om over risico’s na te denken, deze systematisch te identificeren en te structureren.  Middelen als de risk and opportunity identification list, geven structuur en houvast. En bovendien een beter begrip van de risico’s. 

Gouden tips:

  • Mensen/managers moeten risicomanagement echt willen adopteren, wil het werken
  • Een risicomanager moet pro-actief zijn, hij moet veel uitleggen en sturen, meer brengen dan halen en zichzelf kunnen verkopen
  • Zorg voor realistische doelstellingen en verwachtingen
  • De risicomanager moet een duidelijk zichtbare plaats in de organisatie hebben

 


door Een reactie plaatsen

Het verschil in risicomanagement bij een private en publieke organisatie!

publiek privaat

Regelmatig wordt deze vraag gesteld en iedere keer wordt er weer gegraven in mijn gestolde kennis (ervaring). Een paar overwegingen die ik met jullie wil delen zonder daar overigens nu al volledig in te willen zijn.

Publieke organisaties zijn veel meer gewend om (risico) verantwoording af te leggen over hun reilen en zeilen dan private organisaties. Waar private organisaties dit pas zijn gaan doen na de invoering van de Code Tabaksblat zit dit van oudsher al veel meer in het natuur van de publieke organisaties. Deze laatsten hebben altijd moeten functioneren met belangrijke stakeholders als gemeenten, zorgpartijen, woningcorporaties die allemaal in hetzelfde speelveld een rol hebben. In deze consternatie is verantwoording een vanzelfsprekendheid. Voor private partijen bleek de code Tabaksblat een struggle. ‘Pas toe of leg uit’ werd in het begin op verschillende wijze uitgelegd.

Private organisaties hebben de laatste jaren een flinke inhaalslag gemaakt. Daar waar veel publieke organisaties blijven hangen in de klassieke risicoparagraaf leggen private organisaties veel sterker de link tussen de performance en de daarbij behorende risico’s. In hun zogenaamde ‘sustainability reports’ gaat het erover hoe duurzaam hun strategie is en welke keuzen ze hierin gemaakt hebben. Qua risicomanagement gaat hun uitleg over hoe ze het hebben georganiseerd. Vanzelfsprekend gaan ze niet in op de risico’s en kansen die ze zien, dit is immers concurrentiegevoelige informatie. Publieke organisaties hebben ook te maken met deze gevoelige informatie maar voelen zich wel vaak verplicht deze risico’s te benoemen. Wat mij betreft niet noodzakelijk. Als stakeholder zou ik liever lezen hoe ze er voor zorgen dat de organisatie te allen tijde alert blijft!

Fraude (Imtech bijvoorbeeld) buiten beschouwing gelaten valt mij ook op dat in private organisaties risico’s veel sneller op tafel komen. Uit de vele gesprekken die ik hierover voer valt mij op dat dit hoofdzakelijk komt doordat risico’s veel sneller voor de betrokkenen relevant worden. Ze voelen veel sneller zelf de gevolgen doordat het rechtstreeks invloed heeft op resultaten. Dit in tegenstelling bij publieke organisaties. De gevolgen van risico’s worden minder persoonlijk gevoeld en doordat publieke organisaties vaak met meerjarige begrotingen werken vallen de (financiële)gevolgen vaak weg in het totaal.

Deze laatste hobbel is de grootste uitdaging. We raken hier immer de cultuur van de organisatie. Het management van een publieke organisatie zal dus veel meer moeite moeten doen om risico’s positief bespreekbaar te krijgen. De juiste vragen stellen is cruciaal.

Welke vragen stelt u?


door 3 reacties

Nooit meer strategiepijn!

Wat ga je doen als de strategieconsultant geweest is? Het koersplan is geschreven, doelstellingen zijn bepaald, waar wat dan. Wat vaak vergeten wordt, is de strategie concreet maken. Maak het operationeel voor de werkvloer, zodat de hele organisatie in de richting komt van waar de organisatie naartoe wil.

Dia1

Centraal in de taak van het management staat strategie(realisatie). De strategiekaart vormt de ontbrekende schakel tussen de formulering en uitvoering van strategie. Met de strategiekaart wordt risicomanagement voor bestuurders ook interessant. De strategiekaart vormt de basis voor de interne agenda en vraagt frequente aandacht van het management.

Door de dialoog over risico`s en prestaties gaande te houden wordt risicomanagement het proactieve en anticiperende stuurinstrument waar het voor bedoeld is. Het is een katalysator voor actiegerichtheid op de continue uitdagingen.

Veel gehoorde reactie van MT`s is dat het construeren van de strategiekaart net zo waardevol is als de kaart zelf. Maar het proces is niet eenvoudig. Het construeren zorgt voor discipline en logica in de strategische besluitvorming dat daarvoor veelal niet aanwezig was. Het eindresultaat is een basis voor interne en externe communicatie over doelstellingen en strategie. MT`s kunnen met de strategiekaart goed uitleggen waarom bepaalde zaken wel en andere niet worden ondernomen. Daar draait het om bij strategie, keuzes maken in de belangrijkste activiteiten die goed te onderbouwen zijn.

Strategie gaat om het selecteren van de activiteiten waarin de organisatie dient uit te blinken. De zogenaamde kritieke succesfactoren. Centraal bij het benoemen van kritieke succesfactoren (KSF) staat gegranuleerdheid. Dat betekent verder gaan dan algemeenheden als `onze medewerkers ontwikkelen` of `onze kernwaarden naleven` en focussen op de specifieke mogelijkheden en kenmerken die essentieel zijn voor het succes van de organisatie.

Vanuit de organisatie / de afdelingen dienen initiatieven te worden benoemd welke ondernomen worden om invulling te geven aan de KSF. Deze initiatieven leiden tot resultaten. Dat betekent dat uitvoering van strategie wordt gemanaged door de uitvoering van initiatieven.

De strategiekaart biedt het visuele kader om de doelstellingen van een organisatie in te integreren.

Meer over ‘nooit meer strategiepijn’ is te lezen in dit mooie boek!


door 1 reactie

5 tips voor risico’s in combinatie met contractmanagement!

Veel risico’s worden beheerst door afspraken die vervolgens vastgelegd worden in een contract. De grote vraag is wat er daarna gebeurd.

De praktijk wijst uit dat er het gevoel overheerst dat het nu geregeld is. Het onderhoud zal gedaan worden, de planning zal worden gehaald, alle partijen zullen doen wat er is overeenkomen. Het contract kan worden opgeborgen.

De link tussen risico’s en contracten is bijna 1 op 1. Toch wordt deze bijna nooit gelegd en niet bijgehouden. Ik heb wel eerder geschreven dat de dynamiek van een goed risicoprofiel zit in de mate waarin de beheersing wordt opgepakt.

5 tips:

  1. Neem de risico’s als uitgangspunt voor het opstellen van het contract;
  2. Vertaal de risico’s naar de te verwachten prestaties van de contractpartijen;
  3. Koppel budget en tijdlijn afspraken aan de prestaties;
  4. Zorg voor automatische rappellen naar alle betrokken contractpartijen;
  5. Maak de risicoeigenaar verantwoordelijk voor het aanspreken van de partijen.

Een overzicht als onderstaand moet toch eenvoudig te maken zijn:

contractencontract tijdlijn