Erik van Marle – Blog over risicomanagement

www.naris.com


1 reactie

De meeste risico’s deugen!

Een verwijzing naar het zeer interessante boek en aanrader ‘De meeste mensen deugen’ van Rutger Bregman. Zou een aantal van zijn conclusies ook toepasbaar zijn op risico’s? Bij voorbaat geef ik aan dat geen van wat ik beweer op enige wetenschappelijk onderbouwing is gebaseerd 😉. Gewoon een blog om de gedachten weer eens de vrije loop te laten.

Rutger Bregman doet in zijn boek een aantal constateringen die je volgens mij ook op het onderwerp risicomanagement zou kunnen loslaten.

  1. Niemand staat ‘s-ochtends op met het idee een ander pijn te doen of schade te veroorzaken
  2. Slecht nieuws krijgt meer aandacht dan goed nieuws terwijl dit laatste er stiekem meer is
  3. Zodra je ergens regels / omheining omheen zet begint het gevecht, als iets gemeenschappelijks is zorg je er ook met elkaar voor
  4. Wie vriendelijk doet, wie goed ontmoet

Ad 1. Te grote risico’s neemt niemand zomaar.

De mens is van nature heel risicobewust. Iedereen op zijn of haar eigen wijze maar niemand zal risico’s nemen waarbij mensen of zaken die men belangrijk vindt in gevaar komen. Dit geldt mijns inziens voor zowel de privésfeer als in de zakelijke omgeving. Zakelijk liggen de consequenties vaak verder weg waardoor men de directe gevolgen wellicht niet altijd scherp heeft maar dit heeft ook te maken met in welke mate men voldoende is opgeleid voor de functie. Als je weet dat door jouw nalaten klanten niet verzekerd zijn zal iedereen er van nature alles aan doen om dit te voorkomen. Soms heeft men onvoldoende kennis om het geheel te overzien maar dit zie ik meer als een afstemmingsvraagstuk. Weet iedereen van elkaar waar en waarom men de dingen doet zoals ze gedaan worden?

Ad 2. De meeste risico’s nemen we goed.

Ik ben er van overtuigd dat >80% (en dat is de voorzichtige schatting) van de risico’s goed gemanaged worden. We hebben het hier alleen niet over. Organisaties hebben (net als Rutger Bregman vaak aangeeft) meer oog voor wat er mis gaat dan voor wat er allemaal goed gaat. Hoeveel zaken gaan er goed bij het bouwen van een huis? Huizen worden tegenwoordig opgeleverd met minder dan 10 opleverpunten. 10 van de hoeveel?? Heel veel!
Natuurlijk moeten we leren van onze fouten en incidenten. Maar we moeten ook vieren wat er goed gaat! Als Naris hebben wij al 2 keer de lancering van ons nieuwe platform uitgesteld. We gaan voor kwaliteit en voor veilig (lees ook het boek: ‘het is oorlog maar niemand die het ziet’ van Huib Modderkolk dan weet je waarom). Tot 2 keer toe opnieuw begonnen, heel veel leergeld betaald door veel mensen. Nu is het zaak dit ook te gebruiken en iedere keer beter te worden. Ik ben ervan overtuigd dat wij met het mooiste en meest integrale pakket op de markt gaan komen maar ben in dit proces ook al een paar keer in de ‘negatieve spiraal’ terecht gekomen. Het is echt moeilijk om de successen te blijven zien omdat de aandacht blijkbaar heel natuurlijk altijd naar de fouten gaat. Dit vraag continue bewustzijn op dit gebied.

Ad3. Te formele organisaties organiseren grote risico’s!

Als organisaties nog klein zijn, zeg start-ups, is alles heel overzichtelijk. Er zijn nog geen formele rollen en verantwoordelijkheden. We kijken met elkaar naar het totaal en iedereen pakt op waar men goed in is. En als iemand anders iets laat vallen staat een ander klaar om het over te nemen of te helpen. Het doel is duidelijk en gemeenschappelijk en er is geen wij tegen zij. Rutger Bregman geeft mooie voorbeelden van organisaties als Buurtzorg, Agora en burgerbegrotingen als in de stad Torres. Allemaal voorbeelden waarbij de verantwoordelijkheid voor de doelen van de organisatie breed worden gevoeld en dus ook gedragen. De risico’s die hierbij horen worden ook breed gezien en gemanaged, met elkaar. Rutger Bregman geeft in zijn boek tal van voorbeelden dat waar meer regels geïntroduceerd worden de schijnveiligheid toeneemt maar de praktijk het tegenovergestelde laat zien. Op de kostscholen worden de meeste gevechten gevoerd, in strenge gevangenissen zijn de meeste geweldsincidenten, in de strengste politiestaten zien we de meeste misdadigers, juist omdat we ertoe gedwongen worden om daar naar te kijken! Hier gaat het alleen nog maar om incidenten te zien en op iedere afwijking van de regel te handhaven

In organisaties die sterk rule driven zijn zullen we dus ook meer overtredingen / incidenten vinden. Als we van elkaar weten dat we worden aangesproken (laat ik het woord afrekenen niet gebruiken) op de hoeveelheid incidenten die we veroorzaken zullen we er alles aan doen om dit te voorkomen. In lijn met wat Rutger Bregman heeft geconstateerd in de politiestaat New York gaan we dus incidenten niet melden, onder het tapijt vegen, anderen de schuld geven, etc.

Hiermee organiseren we dus onze eigen risico’s!

Ad 4. Open en transparant leidt tot meer begrip

Voor zover ik het kan beoordelen (alleen op basis van de meer dan 200 gesprekken die ik jaarlijks heb met klanten en potentiële opdrachtgevers) worden we steeds transparanter in het delen van risicoprofielen. Door schade en schande wellicht (zeesluis IJmuiden bijvoorbeeld) komen we er achter dat hele risicovolle projecten nu eenmaal niet bij 1 partij kunnen liggen. Aan de andere kant ontstaan er uit risicovolle projecten ook weer vaak nieuwe innovaties. Als we aan de risicokant delen, dan ook aan de opbrengsten kant toch? Wellicht dat we hier nog wat stappen in moeten zetten om ook dit soort winsten nu en in de toekomst met elkaar te delen. De beste samenwerkingen zijn toch die waar je samen wint maar ook samen verliest. Een bedrijfsmodel dat alleen op risicovolle projecten is gestoeld is in mijn ogen gedoemd te mislukken. Er moet ook altijd een basis in de bedrijfsvoering zijn waar je altijd op terug kunt vallen omdat je er gewoon goed in bent en dus geld kunt verdienen. Door je kennis en expertise zijn de risico’s overzichtelijk.

Volledig in Control?

Op basis van bovenstaande moet je dat misschien meer voelen en ervaren dan afdwingen. De meeste Strategische risicoprofielen die ik ken gaan maximaal 20% over nieuwe keuzes en de overige 80% over de zaken beter doen of met een andere focus dan we al deden. Des te belangrijker om ervoor te zorgen dat de aansluiting tussen de operationele risico’s en de strategische keuzes zichtbaar is. Sturen op de belangrijkste risico’s is in 80% van de gevallen sturen op heel veel zaken die al goed gaan en waarvan we ons willen verzekeren dat dit goed blijft gaan 😉

We zouden ook de discussie aan kunnen gaan of het 3-lines of defence model nog wel zoveel toekomst heeft. Of zouden we gewoon de toon kunnen veranderen? Wij zijn laatst geaudit voor ISO27002. Als relatief kleine organisatie is dit een mooie uitdaging waarbij we erg afhankelijk zijn van onze mensen. Verloop heeft direct impact. We hadden 2 hele scherpe maar ook vriendelijke auditors die je af en toe ook gewoon op de goede weg zetten. Vriendelijkheid en hulpvaardigheid zijn de belangrijkste motivators om met veel enthousiasme de laatste puntjes op de bekende i te zetten.

Vriendelijkheid kan ook zijn om het de mensen op de werkvloer, aan het bed, achter het bureau zo makkelijk mogelijk te maken. Wie heeft er geleerd om in risico’s te denken? Niemand dus en daar staan zij ook echt niet mee op….. Toch willen we wel een uitspraak van ze. Standaardiseren en simpel houden zijn cruciaal om toch informatie te krijgen zodat je hen door middel van nieuwe inzichten en kennisdeling verder kunt helpen.

Vriendelijkheid is de taal die iedereen ziet en kan horen!


Een reactie plaatsen

Risicomanagement bij onderhoudsstops

Op het ambassadeursnetwerk voor woningcorporaties is als ‘peer review’ een presentatie geweest van Adriaan Lefeber van HVC. Het duurzame energie- en afvalbedrijf van 44 gemeenten en 6 waterschappen.

De opgave waar HVC voor staat is complex. ‘Van Gas Los’, verduurzaming van het afvalbeheer, de afvalstroom circulair maken, rest energie terugleveren en alles wat daarbij komt kijken.

1 grote Machine

1 grote Machine

De productielocaties kunnen bijna als 1 grote machine worden gekenmerkt. De afvalstroom wordt verbrand waarbij er zo weinig mogelijk uitstoot mag plaatsvinden. Een leuk weetje; de hoeveelheid rook die je ziet zegt niets over de hoeveelheid uitstoot. Sterker, vaak is het zo dat hoe minder je ziet hoe meer uitstoot!

Groot Onderhoud

De afvalcentrales hebben meerdere lijnen die regelmatig onderhoud nodig hebben. Dit onderhoud is enerzijds om de beschikbaarheid op de lange termijn te waarborgen maar ook om continue het energierendement te verbeteren. Elke lijn heeft iedere 2 jaar groot onderhoud. De turbines in de lijn iedere 6 jaar.

Even voor de verbeelding. De ketels zijn tientallen meters hoog en er worden metershoge stellingen in aangebracht om de wanden te controleren en te repareren. Werkzaamheden dien in de juiste volgorde op elkaar te worden afgestemd om te voorkomen dat men boven elkaar werkt en er gevaarlijke situaties ontstaan.

Risico’s

Bij HVC is risicomanagement onderdeel van het kernproces. Zonder gedegen risicomanagement kunnen deze industriele processen niet veilig worden uitgevoerd. Belangrijke risico’s die continue op de agenda staan zijn:

  • Lekkage van de ketel eerder dan gepland onderhoud
  • Energiederving waardoor opbrengsten uit elektriciteit en warmte lager zijn
  • Onderdelen die niet op tijd beschikbaar zijn (sommige moeten 2 jaar voor het onderhoud worden besteld)
  • Uitloop in tijd
  • Onvoldoende personeel bij aannemers
  • Vakbekwaamheid personeel inclusief de verplichte papieren
  • Hoeveelheid mensen. Tijdens een onderhoudsstop kan de hoeveelheid extra mensen op het terrein van HVC oplopen naar 300.
  • Veiligheidsprestaties van aannemers en HVC mensen. Ongevallen liggen snel op de loer.

Beheersing

De beheersing van deze risico’s gaat niet alleen op individueel risiconiveau. Veel beheersing vindt plaats door zorgvuldige lange termijn planning. Zo worden een aantal risico’s beheerst door goed Assetmanagement. Het op orde hebben van het voorraadbeheer, continue monitoren van de kwaliteit van gebruikte materialen, het doen van metingen, etc.

Er is ook een rechtstreek verband met de strategische plannen van HVC. Marktontwikkelingen rondom afval (denk aan de recente publicaties over AEB / Afval EnergieBedrijf Amsterdam) en de daaruit verwachte vraag aan verbrandingscapaciteit. Ook de kwaliteit van het ingekochte afval is zeer bepalend voor resultaten die behaald kunnen worden.

Tenslotte gaat het om hele grote investeringen rondom een onderhoudsstop. Een zorgvuldige planning en begroting van budgetten is noodzakelijk om de noodzakelijke financiële stromen te kunnen borgen.

Veiligheid

Veiligheid is continue cruciaal. Adriaan heeft 2 keer een dodelijk ongeval meegemaakt in zijn carrière en dat blijft je altijd bij. Afspraken rondom Veiligheid en Gedrag zijn leidend. Een gedegen voorbereiding en continue monitoring zijn essentieel. Hieronder een kort overzicht van hoe dit eruit kan zien:

  • Voor de Werkvoorbereiding
    • Onderhoudsplanning in preventieve en correctieve werkorders
    • Bevroren scope
    • Selectie van aannemers obv hoge kwaliteitseisen
    • HVC veiligheids&gedragsregels zijn leidend
    • V&G plan
    • Werkvergunningenlijst en veiligstellijst
    • Stopplanning
  • Tijdens de onderhoudsstop
    • Stopplanning
    • Daily standup met aannemers
    • Dagelijks veiligheidstoezicht door HVC
    • Gasmeetrondes in besloten ruimten
    • Check op werkvergunningen
    • Mangatwachten
    • Veiligheidsapp om incidenten te melden
    • Bedrijfsnoodplan en Crisismanagementplan
  • Evaluatie
    • Inspectieverslagen
    • Evaluatieoverleg met alle betrokkenen en vaststellen van de verbetermogelijkheden

Conclusie

Voor HVC geldt dat het uitvoeren van hun core-business alleen kan in een integrale aanpak. Van het registreren van incidenten, het doen van veiligheidscontroles, het afwikkelen van schades, etc. Het is een integraal proces waarbij continue verbeteren het uitgangspunt is. Een bedrijf midden in de samenleving hoort dit gewoon zo te doen. Ze doen het gewoon!

Het ambassadeursnetwerk voor woningcorporaties is een initiatief van Aedes Vereniging van Woningcorporaties en Naris, Het Governance, Risico en Compliance Platform. Het netwerk van >100 corporaties komt 2 keer per jaar bijeen om te leren van elkaar maar ook van andere sectoren. Er worden updates gedeeld en natuurlijk het netwerk verbreed.

Kennis wordt iets waard als je het deelt!


1 reactie

Risico Control Matrix succesvol implementeren

Uitgangspunten:

  • Natuurlijk hoort de verantwoordelijkheid voor risico’s in de 1e lijn
  • Leiderschap is belangrijker dan meer controls
  • We willen weten welke risico’s onze doelstellingen bedreigen
  • Diversiteit van betrokken is noodzakelijk meerdere expertises aan tafel te hebben
  • Dialoog is cruciaal om tegenspraak te organiseren
  • Het gaat om vertrouwen – trust – confidence – etc.
  • Maar….

Imago

> 80 % van het risicoprofiel gaat om de ‘te minimaliseren’ risico’s (Kaplan). Dit gaat over het functioneren van de organisatie en is daarmee een grote verantwoordelijkheid van management om aan te geven of we hier de goede dingen doen en deze goed doen! Als in de operatie zaken niet goed lopen staan organisaties snel in de krant. Of we dit nog risicomanagement moeten noemen is de vraag. Business as Usual is wellicht beter.

Het belang van deze risico’s is dus groot. Niet alleen vanuit het perspectief Imago maar ook omdat het gaat over alle soorten assets en dus uiteindelijk over balansposities en W&V rekening.

Standaardiseren / Best Practice

De zogenoemde 1e lijn zijn de ‘handen aan het bed’. Nooit opgeleid om risico’s en beheersmaatregelen op te schrijven. Ook niet in de wieg gelegd om de procesbeschrijvingen op te pakken. Met hen workshops doen voor het draagvlak klinkt leuk maar weinigen zitten te wachten op de discussie hoe je een risico beschrijft.

Inmiddels hebben wij mooie voorbeelden hoe door een hele goede voorbereiding de ‘In Control’ doelstelling sneller behaald kan worden. Inclusief een actieve en blijvende rol voor de 1e lijn!

Vanuit onze professionele opdrachtgevers kunnen wij heel duidelijk zien dat sturing op de Key processen, risico’s en controls voldoende comfort geeft. Alleen in geval van bepaalde incidenten of aandachtspunten vanuit de toezichthouder wordt de scope verbreed. Een 2e lijn die de business begrijpt kan voor deze processen 95% van de risico’s en te verwachten controls beschrijven.

Met de business voeren we alleen nog de discussie wat applicable of non-applicable is. We vragen ze tests op de controls uit te voeren en effidence up te loaden. Het dossier voor een eventuele (externe) audit is gereed.

NARIS GRC

Laten we de workshops bewaren voor innovaties, projecten, scenariodenken, strategieontwikkeling, etc.


Een reactie plaatsen

Succesvol GRC-implementeren

Voor wie en waarom….en dan pas hoe en wat!

Voor wie en waarom doen wij (GRC specialisten) het eigenlijk?

De twee belangrijkste vragen die iedere 2e lijn zichzelf zou moeten stellen. Maar ook de ontwikkelaars van GRC systemen. Jarenlang zijn deze systemen ontwikkeld vanuit het gezichtspunt dat we veel informatie willen administreren, voor externe toezichthouders, die voldoet aan alle goverance codes en wetgeving waar de organisaties mee te maken hebben. Geen wonder dat systemen hierdoor complex, onoverzichtelijk en bovenal heel ongebruiksvriendelijk zijn geworden. Toezichthouders willen steeds meer weten en dus steeds meer informatie ophalen. Bestuurders kunnen steeds harder afgerekend worden dus zekerheid over de werking van controls is cruciaal. Zie hier de spagaat.

Hoe mooi zou het zijn als onze systemen de day-to-day business zou ondersteunen? Dat iedereen er profijt van heeft? Hoe zou dat eruit zien? Ongeveer zo:

  1. Ik kan snel opzoeken of we hiermee voldoen aan onze compliance
  2. Ik kan snel taken uitzetten bij collega’s
  3. Als team hebben we inzicht in onze prioriteiten en kunnen we werk van elkaar overnemen
  4. Altijd hebben we real time zicht op de belangrijkste acties
  5. Incidenten kan ik eenvoudig melden en ik word over de voortgang automatisch op de hoogte gehouden
  6. Het goedkeuringsproces wordt automatische bijgehouden
  7. Ik kan putten uit kennis van andere afdelingen

GRC-systemen moeten je helpen om sneller en meer efficient je werk te kunnen doen. Misschien niet leuker, wel makkelijker! De belastingdienst is het ook gelukt, waarom ons niet?

De ‘Wie en Waarom-vraag’ moet dan ook beantwoord worden vanuit de ‘day-to-day’ business. Het gaat niet om volledigheid maar om toegevoegde waarde voor de administrateurs / business. Want dat is het uiteindelijk voor een deel. Net als je financien thuis! Als risk of compliance manager genoegen nemen met minder is best moeilijk maar wel een goede eerste stap. Als je weet hoe het de business helpt kun je in kleine stapjes de reis vervolgen. Beter goed zicht op een klein beetje dan troebel zicht op het totaal!

Hoe laten we dit dan goed aansluiten bij de business?

  • Voor de chauffeur is belangrijk dat er snel incidenten kunnen worden gemeld. De planner heeft het totaal overzicht en in geval van calamiteiten moet het eenvoudig zijn om te escaleren.
  • De afdeling hypotheken moet weten welke risico’s standaard zijn bij aanvragen en snel inzicht in de procedure bij afwijkingen is key. Sommige controls moeten altijd beoordeeld worden en dit moet eenvoudig kunnen.
  • Als sales wil je weten welke contracten op scherp staan. Of de partijen met wie we zaken doen geen risico’s met zich meebrengen en ratio’s niet snel veranderen waardoor betalingsproblemen zich kunnen voordoen.
  • Als afdeling inkoop wil je het toeleveranciersrisico spreiden. Leveranciers mogen niet teveel afhankelijk zijn van jou en bovendien moet je altijd een fallback hebben.
  • De projectleider wil bij de start weten welke wet- en regelgeving van toepassing is en hoe dit de scope beinvloedt. Daarnaast zijn verstoringen van belang zodat er snel over alternatieven nagedacht kan worden.
  • De bestuurder / CEO is in control als het totaal aan afwegingen en keuzes eenduidig wordt gedaan en dit proces ook automatisch wordt vastgelegd. Hiermee kan de CEO zich verantwoorden.

De dashboards binnen het GRC vraagstuk moeten dus veel persoonlijker worden. Consolideren op risk / compliance / kwaliteit / audit is het makkelijkst!


1 reactie

ING’s mislukte 3-line of Defence model in Witwas schandaal!

Financieel Dagblad Zaterdag 8 september

IMG_20CD16F24B89-1

De 3 afdelingen ‘business’, ‘compliance’ en ‘internal audit’ binnen ING hebben langs elkaar heen gewerkt. Niemand voelt zich verantwoordelijk voor het geheel. ‘Velen waren gezamenlijk verantwoordelijk voor een deel van het verwijtbare gedrag’ geeft het OM aan.

Laat dit nu net het probleem zijn waar de Monitoring Commissie Corporate Governance Code in de laatste update heel veel aandacht aan heeft besteed. De code is tegenwoordig zelfs wettelijk verankerd.

Corporate Governance Code

De Code besteed veel aandacht aan Risicomanagement. Ze geeft daarbij zelfs aan dat ondernemerschap het realiseren van kansen is door op een bewuste wijze risico’s te nemen. Hiervoor is essentieel een adequaat risicobeheersingssysteem. Dit moet onder andere een vooruitblik geven op die risico’s die het voortbestaan van de organisatie in de weg kunnen staan. Expliciet wordt hierbij aangeven dat de auditfunctie hier een steeds belangrijkere rol in gaat spelen. Immers, het bestuur en de raad van commissarissen krijgen door deze functie echt inzicht in de werking van het risicobeheersingssysteem van de organisatie.

3-Lines of Defence

De uitgangspunten van het 3-lines of defence model zijn volgens mij al heel lang erg duidelijk. De ‘business’ (1st line) is eindverantwoordelijk voor de keuzes die ze maken en de risico’s die ze businesswise aangaan. Hier zou bij een organisatie als ING toch geen onduidelijkheid over moeten bestaan?

‘Compliance'(2de line) ontwikkelt de systemen voor een goed proces van risicomanagement en beheersing, altijd ter ondersteuning van de ‘business’.

‘Internal Audit’ (3de line) voorziet de hoogste leiding van zekerheid over de kwaliteit van sturing en beheersing. Ze is dus niet in directe zin verantwoordelijk voor de kwaliteit van het in control zijn van de organisatie maar wel verantwoordelijk voor de mate waarin ze in staat is om de inconsistenties in de opzet en het bestaan van de control frameworks te analyseren en zichtbaar te maken.

De praktijk is altijd weerbarstig maar heeft vaak wel te maken met ego’s/cultuur. De praktijk leert dat iedere lijn z’n eigen systemen wil en het liefst de Rolls-Royce. Het kost organisaties ontzettend veel tijd om hier keuzes in te maken. Hierdoor verschuift uiteindelijk de aandacht en de urgentie. ‘Business’ voelt zich altijd superieur en dus volgt Compliance en Audit. Het gevolg hiervan is dat de systemen om het risicomanagement en beheerssysteem niet gaan functioneren. Bestuur en management missen het zicht op de kansen en bijbehorende beheersing.

4 Aanbevelingen:

  1. Alle afdelingen zullen moeten werken in hetzelfde systeem!
  2. Het bijhouden van kansen die genomen worden en de beheersing die hierbij past is een verantwoordelijkheid van de ‘business’;
  3. ‘Audit’ en ‘Compliance’ zijn leading in de keuze van de systematiek en het systeem;
  4. ‘Audit’ legt rechtstreeks uit het systeem verantwoording af over de bevindingen en aanbevelingen aan bestuur en raad van commissarissen.

ING

Dit is het ultieme moment voor ING om het juiste risicobewuste gedrag in de organisatie te stimuleren en de cultuur te veranderen. Maak de ‘business’ expliciet verantwoordelijk voor het benoemen en beheersen en dus vastleggen van dit soort risico’s. Bepaald dat ‘Compliance’ en ‘Audit’ bepalen via welk proces en systeem er gewerkt dient te worden. Het heeft geen zin nog meer afvink gedrag te stimuleren door meer compliance officers aan te stellen. Zorg dat de ‘business’ begrijpt wat ze aan het doen zijn en dat het hun verantwoordelijkheid is.

‘Never let a good crisis go to waste’ Winston Churchill


Een reactie plaatsen

Praktisch Stappenplan Risicomanagement Woningcorporaties

Risicomanagement is niet nieuw! Iedere organisatie doet bewust of onbewust al heel veel aan risicomanagement. Bewust vaak op de financiële processen. Op alle andere processen vaak heel onbewust. Gelukkig maar want dit zijn over het algemeen wel de meest risicovolle processen.

Voordat je begint is het verstandig te bepalen wat je wilt bereiken met Risicomanagement. Wat mij betreft zijn dit maar een paar zaken:
1. Risicobewuste medewerkers;
2. Inzicht in de mate en vooruitgang van beheersing van je belangrijkste risico’s;
3. Inzicht in waar je moet bijsturen om je doelstellingen te realiseren.

De grootste valkuilen zijn:
* Eindeloze excellijsten met alleen maar risico’s;
* Op zoek naar schijnzekerheid door ingewikkelde formule’s en oorzaak-gevolg relaties te willen gebruiken;
* Geen aansluiting bij de medewerkers door iets op te leveren wat ze niet gebruiken in hun dagelijks werk;
* Geen aansluiting bij de vraag van intern en extern toezicht waardoor zaken dubbel gebeuren;
* Geen relatie te hebben met beslissingen die je wilt nemen!

Stap 1
Dit is de moeilijkste. Het volledige MT moet het erover eens zijn dat informatie over Risico’s, de mate van beheersing, het inzicht in Compliance en de bevindingen van Audit gebruikt worden om beslissingen te nemen. Dit betekent dus dat deze informatie mede leidend is en gefaciliteerd wordt om deze informatie op te halen.

Schermafbeelding 2017-12-20 om 21.41.46

Stap 2
Visualiseer je strategie. Met de woningwet van tegenwoordig moeten corporaties in staat zijn een duidelijke (SMART) strategie neer te zetten, gebaseerd op de prestatieafspraken. Je bent succesvol als corporatie op het moment dat je je strategie weet te realiseren. Mooie projecten realiseren die niet bijdragen aan de strategie dragen dus niet bij aan het succesvol zijn.

Maak een Strategiekaart waarin het voor alle medewerkers duidelijk is welke activiteiten je cruciaal vindt voor de corporatie. Hang deze op in de gang, in de kantine zodat er vaak over gesproken kan worden.

Schermafbeelding 2016-09-15 om 08.59.09

Stap 3
Gebruik de Strategiekaart als uitgangspunt van waaruit je de risicoanalyse start. 2-5 risico’s per succesfactor zijn meer dan genoeg om inzicht te krijgen waar de uitdagingen in de organisatie zitten. Doe dit met alle mensen die betrokken zijn bij de processen rondom zo’n succesfactor. Let goed op de kwaliteit van omschrijving, je gezamenlijk inschatting van impact en gebruik altijd voorbeelden ter illustratie. Dit maakt het repliceerbaar en blijft de context beschikbaar.

Benoem een eigenaar die verantwoordelijk blijft voor de opvolging van acties en kwaliteit van het beschreven risico.

Schermafbeelding 2016-11-17 om 18.31.59

Stap 4
Inventariseer wat er allemaal al gedaan wordt aan beheersing en bepaal of dit effectief is. Inventariseer vervolgens wat er meer of beter gedaan kan worden en leg duidelijk vast wat er verwacht wordt. Bepaal ook in welke frequentie dit gecontroleerd moet worden en wie ervoor verantwoordelijk is.

Stap 5
Zorg na iedere sessie dat de deelnemers direct een rapportage ontvangen met daarin het gedane werk en uitstaande acties. Zorg dat dit aansluit bij bestaande werkzaamheden. Kijk ook welke rapportages er nu al zijn en niet gebruikt worden. Deze zijn overbodig.

Optimaal is wanneer je met elkaar in 1 systeem werkt. Dit dwingt een uniforme en standaard taal af waarmee iedereen risico’s op dezelfde wijze beschrijft. Dit inzicht in onbetaalbaar, zowel voor begrip als voor het kunnen nemen van besluiten.

Schermafbeelding 2016-11-17 om 18.33.38

Stap 6
Als Riskmanager werk je samen met de Compliance Officer, de business controller en audit. Je hebt afstemming over de prioriteiten en je bent gezamenlijk de helpdesk voor de organisatie. Monitor de intensiteit van wijzigingen in het profiel, dat zegt echt wat of de organisatie risicobewust is.

Dit is direct hele relevante informatie voor toezichthouders, wiens taak het is om toezicht te houden op het risicomanagement en beheersysteem van de organisatie.

Stap 7
Incidenten zijn een onderschatte bron van informatie over wat er gebeurd in een organisatie. En dan hebben we het niet alleen over veiligheidsincidenten. Iedere verstoring in een normaal proces is een incident. Begin gewoon eenvoudig met het vastleggen hiervan en je zult ervaren dat dit veel inzicht geeft welke zaken vaak misgaan en waar over het algemeen ook snel wat aan gedaan kan worden.

Bij een grote projectgedreven organisatie levert het incidentenoverzicht sneller en meer inzicht op over de status van een project dan de mooie rapportages aan het einde van iedere maand. Het niet beschikbaar zijn van personeel of materieel, het niet rond hebben van de vergunning; allemaal incidenten waaruit je direct kan afleiden of het project wel of niet soepel begint.

Schermafbeelding 2017-12-20 om 22.05.15

Tot slot
Wees je er continue van bewust dat de informatie die je ophaalt uit de organisatie en ter bespreking voorlegt relevant moet zijn. Je doet het niet omdat het moet maar omdat het je helpt. Het heeft daarom ook geen zin om hier regels voor te introduceren. De juiste mensen willen dit omdat het ze tot betere prestaties leidt.

Het juiste management wil dit omdat het ze een fijnere, succesvollere, veiligere organisatie oplevert die doet waarvoor de organisatie bestaat.


3 reacties

Geen gesjoemel met compliance!

Als bedrijf moet je gewoon aan de wet voldoen. En als bedrijf ben je er verantwoordelijk voor dat je dit bent.
Van iedere medewerker mag verwacht worden dat deze weet welke eisen vanuit wet of normen aan het werk gesteld worden. De organisatie moet hen hierbij helpen door het faciliteren van opleiding en training.

Overactieve Compliance Officer?

Wat ik het meeste tegenkom is dat de compliance officer, riskmanager, ICT manager, etc. zelf of door middel van interviews de informatie proberen vast te leggen. Fout! Op deze wijze krijg je nooit verantwoordelijkheidsgevoel op de plek waar het hoort. Bovendien zorgt dit er ook voor dat het altijd een individueel feestje blijft. Budget en  capaciteit vrijmaken blijft dan altijd een gebedel.

Verantwoordelijkheid bij de medewerker

De ideale situatie krijg je door de medewerkers zelf te laten aangeven of ze wel of niet compliant zijn. Reik ze handvatten en tooling aan. Verzorg trainingen. Organiseer een vraagbaak. Maar zorg ervoor dat de mensen zelf schrijven! Dan maak je verantwoordelijkheid expliciet.
Zo krijg je zelf tijd om inzicht te verschaffen. Aan management en medewerkers. Je legt de zwakke plekken bloot en er is een samenhangend verhaal over waar budget en capaciteit nodig is om de organisatie te verbeteren.
Schermafbeelding 2016-09-13 om 21.27.33

100% Compliant bestaat niet! 100% inzicht wel!

Compliance kan niet zonder Risk en Audit functioneren. 100% compliant bestaat niet.
100% inzicht wel!
Risk als basis voor waar je absoluut compliant wilt zijn en daar waar je het niet bent zul je moeten kunnen uitleggen waarom (nog) niet. Welk plan ligt hierachter? Audit is nodig om de toezichthouder en het management comfort te geven over de kwaliteit van de beheersmaatregelen. Tegenwoordig is het niet acceptabel dat je als organisatie niet zeker bent over de status van de beheersmaatregelen op je belangrijkste risico’s.
De belangrijkste risico’s worden bepaald aan de hand van de relatie met de doelstellingen van de organisatie. Een powerfull instrument om keuzes te maken waar de schaarse middelen van de organisatie aan besteed kunnen worden om strategie te realiseren.
Schermafbeelding 2016-09-15 om 08.59.09