Als bedrijf moet je gewoon aan de wet voldoen. En als bedrijf ben je er verantwoordelijk voor dat je dit bent.
Van iedere medewerker mag verwacht worden dat deze weet welke eisen vanuit wet of normen aan het werk gesteld worden. De organisatie moet hen hierbij helpen door het faciliteren van opleiding en training.
Overactieve Compliance Officer?
Wat ik het meeste tegenkom is dat de compliance officer, riskmanager, ICT manager, etc. zelf of door middel van interviews de informatie proberen vast te leggen. Fout! Op deze wijze krijg je nooit verantwoordelijkheidsgevoel op de plek waar het hoort. Bovendien zorgt dit er ook voor dat het altijd een individueel feestje blijft. Budget en capaciteit vrijmaken blijft dan altijd een gebedel.
Verantwoordelijkheid bij de medewerker
De ideale situatie krijg je door de medewerkers zelf te laten aangeven of ze wel of niet compliant zijn. Reik ze handvatten en tooling aan. Verzorg trainingen. Organiseer een vraagbaak. Maar zorg ervoor dat de mensen zelf schrijven! Dan maak je verantwoordelijkheid expliciet.
Zo krijg je zelf tijd om inzicht te verschaffen. Aan management en medewerkers. Je legt de zwakke plekken bloot en er is een samenhangend verhaal over waar budget en capaciteit nodig is om de organisatie te verbeteren.
100% Compliant bestaat niet! 100% inzicht wel!
Compliance kan niet zonder Risk en Audit functioneren. 100% compliant bestaat niet.
100% inzicht wel!
Risk als basis voor waar je absoluut compliant wilt zijn en daar waar je het niet bent zul je moeten kunnen uitleggen waarom (nog) niet. Welk plan ligt hierachter? Audit is nodig om de toezichthouder en het management comfort te geven over de kwaliteit van de beheersmaatregelen. Tegenwoordig is het niet acceptabel dat je als organisatie niet zeker bent over de status van de beheersmaatregelen op je belangrijkste risico’s.
De belangrijkste risico’s worden bepaald aan de hand van de relatie met de doelstellingen van de organisatie. Een powerfull instrument om keuzes te maken waar de schaarse middelen van de organisatie aan besteed kunnen worden om strategie te realiseren.
Natuurlijk wordt de wereld transparanter en willen we ook ook steeds meer weten van bedrijven. En zolang bedrijven en dus personen INTEGER handelen heeft dit een zeer positieve uitwerking op de uitstraling van de organisatie.
Er is tegenwoordig echter ook een andere vorm van transparantie. De transparantie die de media, de externe toezichthouder, parlementaire enquete, branchvereniging, etc zoekt nadat zich incidenten hebben voorgedaan. Het resultaat van deze laatste vorm van transparantie is een bijna niet te stoppen vallend imago van de betrokken organisaties in het bijzonder en de branche in het algemeen. Denk hierbij aan de bankensector, de woningcorporaties, de tussenpersonen en financiële adviseurs, de bouwsector, etc. De voorbeelden staan iedere week in de krant. Naam en toenaam worden niet geschuwd.
Het grote risico van ‘Naming and Shaming”
Het effect van deze ‘naming and shaming’ heeft een veel grotere impact dan de veroorzakers hiervan zich volgens mij realiseren. Een paar effecten voor de vuist weg:
Het imago van het bedrijf is voor vele jaren besmeurd;
Huidige stakeholders verliezen vertrouwen;
Klanten vertrekken;
Enorme juridische kosten;
Reorganisatie voor medewerkers;
etc.
Maar het grootste risico is dat voor de komende jaren niemand meer iets durft te melden binnen zo’n organisatie!
Alle ervaringen leren ons immers dat mensen dit soort ervaringen nooit meer willen meemaken. Iedere kans om zo’n mediacircus te voorkomen wordt dan toch aangegrepen? En we weten hoe het met de klokkenluiders afloopt…..
Waar is de Raad van Toezicht?
Naar mijn mening is een van de belangrijkste taken van de Raad van Toezicht / Raad van Commissarissen bereikbaar te zijn voor meldingen van incidenten. Zelfs pro-actief hier naar op zoek te gaan. Het is een van de belangrijkste indicatoren om te zien en te voelen of een organisatie zich veilig voelt en continue wil verbeteren.
Aan iedere materiële claim gaan 100 incidenten vooraf!
Ziet u als toezichthouder de belangrijkste 5 oorzaken van de meest voorkomende incidenten in uw organisatie?
De organisatie uit de wind houden!
Door het inzicht te hebben in deze incidenten bent u als toezichthouder in staat om de organisatie op de belangrijke momenten uit de wind te houden. In geval van incidenten staat u voor de bestuurder. Indien het voor de wind gaat staat u achter de bestuurder. Op dit soort moment is de RvC de enige die voor continuïteit van de organisatie kan zorgen. Een van de belangrijkste doelstellingen die een RvC moet hebben?
Gelukkig is er in de nieuwe code ingegaan op deze elementen. De RvC is verantwoordelijk voor de goede werking van het Risicomanagement en Beheerssysteem. Daar hoort bij het toetsen van de juiste cultuur die past bij de desbetreffende organisatie. Een onderdeel hiervan is vanzelfsprekend het monitoren van onregelmatigheden / incidenten.
Good Governance, niet in het bijzonder voor je medebestuurders maar voor de belangrijkste stakeholders (medewerkers) van je organisatie!
ps. Incidenten betreffen dus de onregelmatigheden in de breedste zin van het woord. Veiligheid, Arbo, Financiele missers, HR, etc. zijn in deze zin uitwisselbaar.
3 stappen om eenvoudig uw Risk Appetite vast te stellen
Veel organisaties vinden het moeilijk om concreet te worden inzake Risk Appetite; uw bereidheid om risico’s te nemen. En dat is een gebrek want het is cruciaal voor echt een integrale werking van Risk Based Management.
Het ontbreken van een eenduidig door de board vastgesteld kader maakt dat de organisatie geen richtlijn heeft over wat wel en niet acceptabel is. En dus niet weet wanneer er gezocht moet worden naar aanvullende beheersing alvorens een risicovol traject doorgang kan vinden. Als de board al niet weet wat wel en niet acceptabel is……
Stap 1: bepaal de kernwaarden van de organisatie
Er kunnen maar een bepaald aantal waarden zijn die uw organisatie echt belangrijk vindt. Deze kunnen veranderen indien het businessmodel verandert maar dit kan niet regelmatig zijn. In deze context bedoel ik met kernwaarden zaken als klanttevredenheid, financiële continuïteit, voldoen aan wet- en regelgeving, veiligheid van medewerkers en klanten, reputatie, enz.
Kernwaarden zijn iets anders dan doelstellingen en kunnen ook niet door elkaar gebruikt worden. Kernwaarden zijn de randvoorwaarden die goed moet zijn om de doelstellingen te bereiken.
Stap 2: laat de Board individueel stemmen
Een eenvoudige stap is om alle boardleden individueel aan te laten geven (op een schaal van 1-5 bijvoorbeeld) hoeveel risico acceptabel is voor de organisatie in hun ogen. Op dit moment komen de verschillen boven water. De recente ervaringen zullen in hoge mate invloed hebben op de score. Indien men net uit een financieel roerige periode komt zal de appetite lager liggen. Vervolgens is het zaak om op basis van een zorgvuldige onderbouwing gezamenlijk de appetite vast te stellen. Zorg er wel voor dat de schaalverdeling duidelijk is omschreven.
Stap 3: Eenvoudige toelichting per kernwaarde
Beschrijf in eenvoudige woorden per kernwaarde wat de organisatie wil wat er niet mag gebeuren. De volgende vragen kunnen hierbij helpen (indien mogelijk zo concreet mogelijk met cijfers onderbouwen):
Wat mag er nog wel gebeuren?
Wat mag er niet gebeuren?
Wat moet er minstens tegenover staan?
Welke actie verwacht je bij het nemen van een risico?
Welke escalatie is gewenst?
Let op!
Het kan dus heel goed gebeuren dat er in een noodzakelijk project risico’s worden geïdentificeerd die de Risk Appetite te boven gaan. Dit betekent niet dat het project stopgezet moet worden. Er moet wel een alternatief bedacht worden om toch het doel te bereiken zonder At Risk te zijn op de belangrijke kernwaarden. Deze kunnen immers de organisatie omver trekken.
Cyrille Wismans, Risicomanager bij Van Oord, legt uit hoe risicomanagement is opgezet bij Van Oord Hier zijn ze twee jaar geleden structureel mee begonnen. Vijf jaar geleden begon hij als Risk Engineer bij Van Oord, waar hij nu teamleider is bij de Project Planning & Riskafdeling.
Complexere Projecten vragen om beter Risicomanagement
Risicomanagement is op dit moment binnen Van Oord gepositioneerd in de afdeling Engineering & Estimating. Vanuit deze afdelingworden alle area’s en business units bediend. De aanleiding om risicomanagement prioriteit te geven komt doordat het bedrijf steeds meer complexe, innovatieve projecten aanneemt van grote omvang en met een lange doorlooptijd. Complexe projecten vormen een substantieel deel van de business van Van Oord, risicomanagement is dus van groot belang.
Belang van Risicomanagement
Van Oord heeft haar werkgebied (de gehele wereld) ingedeeld in 5 area’s en een drietal business units. Bij de business unit Offshore gaat het vooral om grote projecten in de offshore olie- en gasindustrie. Onder andere de aanleg, het vervangen van en het onderhoud aan onderwaterpijpleidingen. In deze industrie staan vanwege de lage olieprijs de prijzen momenteel enorm onder druk. Hierdoor is het belang van risicomanagement flink toegenomen. Ook in de offshore windindustrie is Van Oord actief. Een industrie waar risicomanagement een grote rol speelt. Van Oord voert hier grote projecten uit, waar veel verantwoordelijkheid mee gemoeid is. Ze staat garant voor het hele ontwerp, de levering, de inkoop en bouw van windmolenparken. Hierdoor trekt het bedrijf veel risico’s naar zich toe.
Lange adem
Zoals eerder genoemd is structureel risicomanagement relatief nieuw bij Van Oord. Om een succesvolle implementatie te bewerkstelligen is het volgens Wismans essentieel om verder te bouwen op de al bestaande werkwijzen in het bedrijf. Daarnaast dient men zich te realiseren dat de implementatie van risicomanagement een proces is van de lange adem.
Betrokkenheid van de Board cruciaal
Wanneer er gekeken wordt naar het proces zoals dat door Van Oord wordt gehanteerd in relatie tot risicomanagement, dan legt Wismans uit dat de Board acht key focus areas in Van Oord heeft aangewezen. Hiervan is risicomanagement er één. In het proces van het binnenhalen van een project tot aan de uitvoering, heeft Van Oord een aantal quality gates (stage gates) ingebouwd. Het risicomanagement proces sluit hierop aan en vormt een belangrijk onderdeel van het besluitvormingstraject. Bij iedere stage gate wordt gebruik gemaakt van risicoinformatie die uit de risicomanagement cyclus komt. Bij stage gate 1 wordt bijvoorbeeld besloten of Van Oord wel of niet zal tenderen. Hier ligt een commerciële en strategische afweging aan ten grondslag, maar ook het risicoprofiel van een werk wordt in deze afweging meegenomen.
Risk en Opportunity Database
Van Oord heeft een risk and opportunity identification list ontwikkeld. Hierin zitten ongeveer 150 risico’s verdeeld over twaalf risicogebieden waar het bedrijf in veel van haar projecten mee te maken heeft. Voorbeelden zijn: Political and Economical, Physical Conditions, Environmental Impact, Procurement and Subcontracting, Safety & Health and Security, Contractual and Legal. Het proces begint bij de risico identificatie. In een omgeving waar veel technische mensen werken, die de neiging hebben snel van probleem naar oplossing te gaan, is de toegevoegde waarde van risicomanagement het verzamelen van alle input en het daarin aanbrengen van de noodzakelijke structuur.
Lessons learnt
Om meer inzicht te krijgen in de aard en omvang van risico’s is niet alleen de lijst met de twaalf risicogebieden belangrijk, maar ook de lessons learnt. In de eindewerkrapporten ligt een enorme schat aan informatie, ook over de opgetreden risico’s. Daarnaast zijn er gesprekken met projectleiders die kennis hebben van een bepaald gebied essentieel.
Iedereen aan tafel!
Wismans legt uit hoe hij de analyses begeleidt: “We zitten met begroters en werkvoorbereiders om tafel, analyseren de risico’s en zoeken voortdurend naar optimalisatie. Als je scherp gaat wil je uiteraard ook weten waar je aan toe bent. Tenders met een waarde van meer dan vijftig miljoen euro moeten sowieso langs onze Board. Een van de elementen die daar op tafel komt te liggen is risicomanagement en de noodzakelijke reserveringen. Als de Board kritische vragen stelt, zit de Risico Engineer veelal aan tafel om toelichting te geven”. Volgens Wismans is Van Oord met het risicomanagement op de goede weg, maar er valt nog meer winst te behalen. Deze zit met name in de betrokkenheid tijdens de uitvoering van projecten. Een stijgende lijn is al wel te zien.
Automatisering voor borging en eenvoud
Daarnaast wordt er gewerkt aan automatisering. Wismans vertelt dat Van Oord momenteel samenwerkt met Naris. Het bedrijf heeft een eigen kennisdatabase ontwikkeld, gebaseerd op NARIS GRC, maar met een Van Oord look and feel. Voor elk project worden daar de risico’s in gehangen en de projecten worden weer onverdeeld in area’s of typen projecten. Wanneer er een redelijk aantal projecten in is opgeslagen, kun je binnen area’s of op typen projecten een statistische analyse doen.
Een systeem zoals Van Oord nu heeft, een soort op maat gemaakte NARIS GRC, zorgt ervoor dat mensen meer gestimuleerd en gedwongen worden om over risico’s na te denken, deze systematisch te identificeren en te structureren. Middelen als de risk and opportunity identification list, geven structuur en houvast. En bovendien een beter begrip van de risico’s.
Gouden tips:
Mensen/managers moeten risicomanagement echt willen adopteren, wil het werken
Een risicomanager moet pro-actief zijn, hij moet veel uitleggen en sturen, meer brengen dan halen en zichzelf kunnen verkopen
Zorg voor realistische doelstellingen en verwachtingen
De risicomanager moet een duidelijk zichtbare plaats in de organisatie hebben
“Momenteel concurreert een koopwoning van € 250.000 rechtstreeks met een sociale huurwoning” hoor ik Ger Hukker deze week op BNR zeggen. Dat klinkt absurd maar na een paar minuten hoofdrekenen moet ik hem bijna gelijk geven. Tenminste als het op maandlasten aankomt. Als dit het nieuwe normaal is geworden, dan kan dit het einde betekenen van de woningcorporatie zoals wij die nu kennen. En, vanuit risicomanagement bezien leidt dat natuurlijk tot de vraag hoe je hier als beslisser op kunt reageren?
Eerst maar even rekenen
De actuele hypotheekrente voor een lening met NHG en een 10 jaar rentevastperiode bedraagt momenteel ca. 2,25%. Voor de eenvoud stellen we de lening gelijk aan de koopsom uit het voorbeeld van Hukker: € 250.000. De maandelijkse annuïteit (rente + aflossing) bedraagt dan bruto € 960. Houden we vervolgens rekening met het eigen-woningforfait van 0,75% (€ 1.875 per jaar) en renteaftrek tegen 40%, dan leidt dit tot een netto maandlast van € 835. De redenering van Hukker blijkt dus toch iets te kort door de bocht. De maximale huurprijs van een sociale huurwoning is immers € 700.
Maar voor een volledige vergelijking moeten we ook rekening houden met de onderhoudskosten en eigenaarslasten en dan blijkt de koopwoning in dit voorbeeld zelfs nog iets meer te kosten. Laten we voor het gemak zeggen: netto € 1.000 per maand. Hier tegenover staat dat in de maandelijkse annuïteit ook een bedrag van € 495 aan aflossing is begrepen. Zo bouwt de eigenaar bewoner in het eerste jaar al direct ruim € 5.900 vermogen op door de (verplichte) aflossing. De moraal van dit verhaal: de feitelijke maandelijkse kosten voor een woning van € 250.000 bedragen €1.000 -/- € 495 (aflossing) = € 505. En dat concurreert wel rechtstreeks met een sociale huurwoning.
De corporatie dicht de fiscale kloof
Voor de corporatiepraktijk is het beter om bovenstaande rekensom te maken voor een woning van € 150.000. Dat is namelijk bij benadering de landelijk gemiddelde WOZ-waarde van een corporatiewoning. We komen dan uit op een netto maandlast incl. onderhoud en eigenaarslasten van iets meer zo’n € 700, waarin begrepen een aflossing van € 300 per maand. Per saldo kost deze woning dus maar € 400 per maand.
Bij een gelijke woningwaarde (=wooncomfort) is een huurwoning dus peperduur. Veel consumenten hebben dat inmiddels ook door. De vraag naar betaalbare koopwoningen is dan ook sterk gestegen: mensen die kunnen kopen doen dat weer massaal. Kun je niet kopen, en dat geldt voor de meeste corporatiehuurders, dan moet je sociaal (?) blijven huren.
Het einde van de woningcorporatie?
Het wrange van deze situatie is dat de hoge -sociale- huren niet zo zeer het gevolg zijn van het tekortschieten van de corporaties maar vooral van bizar overheidsbeleid. Op elke huurwoning van € 150.000 drukt namelijk een jaarlijkse fiscale last (verhuurderheffing) van € 740. Als dezelfde woning door een koper wordt bewoond, slaat deze last abrupt om in een fiscale “subsidie”. De koper heeft dan als gevolg van de hypotheekrenteaftrek namelijk een voordeel van € 900 per jaar. Per woning dicht de corporatie dus een fiscale kloof van € 1.640 per jaar (zie afbeelding)
Zo bezien werkt het huidige fiscale beleid als een sluipmoordenaar voor de woningcorporatie. Zeker nu corporaties, sinds de invoering van de nieuwe Woningwet, in toenemende mate zijn gedwongen tot ‘monocultuur’: Ze moeten zich beperken tot 100% sociale verhuur en zijn terughoudend (geworden) met het toepassen van alternatieve vormen van vastgoedexploitatie. Ook kwetsbare “net-niet-doelgroepen” vinden bij veel corporaties geen gehoor meer. Het mag geen verrassing zijn dat deze monocultuur de kwetsbaarheid van de corporatie flink vergroot. Een risicovol toekomstperspectief met hoge impact en nauwelijks direct te beïnvloeden kan op termijn einde betekenen van de woningcorporatie zoals wij die nu kennen.
Wat te doen?
Laten we ervan uit gaan dat elke beslisser of toezichthouder in de corporatiesector niet lijdzaam wil wachten tot de laatste huurder zijn sleutels komt inleveren. Want natuurlijk zijn er natuurlijk er alternatieve strategische beleidskeuzes mogelijk.
Dergelijke beleidskeuzes kunnen worden gezocht met behulp van scenarioplanning. De corporatie verzamelt zo veel mogelijk van de belangrijkste relevante informatie over de verwachte ontwikkeling van de bevolking, de economie, de sociale structuren etc. Een bekende methode is de DESTEP-methode en het is van groot belang dat deze externe factoren zo veel mogelijk worden vertaald naar het eigen lokale niveau. De verwachte bevolkingsontwikkeling in Parkstad Limburg zal immers sterk afwijken van de Metropoolregio Amsterdam.
Scenario’s, en dan?
De externe ontwikkelingen worden vervolgens geconfronteerd worden met het producten en dienstenaanbod van de corporatie. Verwachten we blijvend lage rente en blijven koopwoningen relatief goedkoop ten opzichte van huur met als resultaat dat huurwoningen zichzelf uit de markt prijzen? De legitimatie van de sociale huurwoning komt dan in het geding. Als reactie hier op kan er voor gekozen worden om een deel van de woningen te verkopen. Of is een andere aanpak mogelijk, bijvoorbeeld het verlagen van de huren in grote delen van de woningvoorraad. Een langdurig lage rente levert de corporatie immers veel ruimte in de exploitatie op.
De corporatie die van mening is dat zowel haar legitimatie als haar toekomst in gevaar is wacht niet lijdzaam af. Nietsdoen kan immers op termijn grote risico’s met zich meebrengen. Door weloverwogen en met respect voor de eigen (on)mogelijkheden de verschillende externe risico’s te vertalen naar concrete beleidskeuzes kan ook op langere termijn ‘het verschil worden gemaakt’. Scenarioplanning is daarbij niet ‘een kunstje’ van de beleidsafdeling maar maakt een wezenlijk onderdeel uit van het van het (strategisch) risicomanagement van de corporatie.
Erik van Marle en Rein Bakker, Nederlands Adviesbureau Risicomanagement
Regelmatig wordt deze vraag gesteld en iedere keer wordt er weer gegraven in mijn gestolde kennis (ervaring). Een paar overwegingen die ik met jullie wil delen zonder daar overigens nu al volledig in te willen zijn.
Publieke organisaties zijn veel meer gewend om (risico) verantwoording af te leggen over hun reilen en zeilen dan private organisaties. Waar private organisaties dit pas zijn gaan doen na de invoering van de Code Tabaksblat zit dit van oudsher al veel meer in het natuur van de publieke organisaties. Deze laatsten hebben altijd moeten functioneren met belangrijke stakeholders als gemeenten, zorgpartijen, woningcorporaties die allemaal in hetzelfde speelveld een rol hebben. In deze consternatie is verantwoording een vanzelfsprekendheid. Voor private partijen bleek de code Tabaksblat een struggle. ‘Pas toe of leg uit’ werd in het begin op verschillende wijze uitgelegd.
Private organisaties hebben de laatste jaren een flinke inhaalslag gemaakt. Daar waar veel publieke organisaties blijven hangen in de klassieke risicoparagraaf leggen private organisaties veel sterker de link tussen de performance en de daarbij behorende risico’s. In hun zogenaamde ‘sustainability reports’ gaat het erover hoe duurzaam hun strategie is en welke keuzen ze hierin gemaakt hebben. Qua risicomanagement gaat hun uitleg over hoe ze het hebben georganiseerd. Vanzelfsprekend gaan ze niet in op de risico’s en kansen die ze zien, dit is immers concurrentiegevoelige informatie. Publieke organisaties hebben ook te maken met deze gevoelige informatie maar voelen zich wel vaak verplicht deze risico’s te benoemen. Wat mij betreft niet noodzakelijk. Als stakeholder zou ik liever lezen hoe ze er voor zorgen dat de organisatie te allen tijde alert blijft!
Fraude (Imtech bijvoorbeeld) buiten beschouwing gelaten valt mij ook op dat in private organisaties risico’s veel sneller op tafel komen. Uit de vele gesprekken die ik hierover voer valt mij op dat dit hoofdzakelijk komt doordat risico’s veel sneller voor de betrokkenen relevant worden. Ze voelen veel sneller zelf de gevolgen doordat het rechtstreeks invloed heeft op resultaten. Dit in tegenstelling bij publieke organisaties. De gevolgen van risico’s worden minder persoonlijk gevoeld en doordat publieke organisaties vaak met meerjarige begrotingen werken vallen de (financiële)gevolgen vaak weg in het totaal.
Deze laatste hobbel is de grootste uitdaging. We raken hier immer de cultuur van de organisatie. Het management van een publieke organisatie zal dus veel meer moeite moeten doen om risico’s positief bespreekbaar te krijgen. De juiste vragen stellen is cruciaal.
Wat ga je doen als de strategieconsultant geweest is? Het koersplan is geschreven, doelstellingen zijn bepaald, waar wat dan. Wat vaak vergeten wordt, is de strategie concreet maken. Maak het operationeel voor de werkvloer, zodat de hele organisatie in de richting komt van waar de organisatie naartoe wil.
Centraal in de taak van het management staat strategie(realisatie). De strategiekaart vormt de ontbrekende schakel tussen de formulering en uitvoering van strategie. Met de strategiekaart wordt risicomanagement voor bestuurders ook interessant. De strategiekaart vormt de basis voor de interne agenda en vraagt frequente aandacht van het management.
Door de dialoog over risico`s en prestaties gaande te houden wordt risicomanagement het proactieve en anticiperende stuurinstrument waar het voor bedoeld is. Het is een katalysator voor actiegerichtheid op de continue uitdagingen.
Veel gehoorde reactie van MT`s is dat het construeren van de strategiekaart net zo waardevol is als de kaart zelf. Maar het proces is niet eenvoudig. Het construeren zorgt voor discipline en logica in de strategische besluitvorming dat daarvoor veelal niet aanwezig was. Het eindresultaat is een basis voor interne en externe communicatie over doelstellingen en strategie. MT`s kunnen met de strategiekaart goed uitleggen waarom bepaalde zaken wel en andere niet worden ondernomen. Daar draait het om bij strategie, keuzes maken in de belangrijkste activiteiten die goed te onderbouwen zijn.
Strategie gaat om het selecteren van de activiteiten waarin de organisatie dient uit te blinken. De zogenaamde kritieke succesfactoren. Centraal bij het benoemen van kritieke succesfactoren (KSF) staat gegranuleerdheid. Dat betekent verder gaan dan algemeenheden als `onze medewerkers ontwikkelen` of `onze kernwaarden naleven` en focussen op de specifieke mogelijkheden en kenmerken die essentieel zijn voor het succes van de organisatie.
Vanuit de organisatie / de afdelingen dienen initiatieven te worden benoemd welke ondernomen worden om invulling te geven aan de KSF. Deze initiatieven leiden tot resultaten. Dat betekent dat uitvoering van strategie wordt gemanaged door de uitvoering van initiatieven.
De strategiekaart biedt het visuele kader om de doelstellingen van een organisatie in te integreren.
Bedrijven worden steeds afhankelijker van elkaar. Er zijn immers steeds meer kleinere bedrijven die in een specialisme heel erg groot zijn. Deze keten aan kleinere bedrijven zijn heel goed met elkaar in staat om een hele grote groep consumenten te bedienen.
Door deze nieuwe ontwikkeling ontstaan er nieuwe uitdagingen. Hoe waarborg je de kwaliteit? Hoe de veiligheid? Werken we conform dezelfde normen en waarden? Zien we dezelfde risico’s? Hebben we risicomanagement allemaal even hoog op de agenda staan?
Een sprekend voorbeeld is de zalmbacterie die aangetroffen werd in de zalm van Albert Heijn. Een van de vele leveranciers van AH. AH heeft haar standaarden waaraan voldaan moet worden. Dit bedrijf valt onder de inspectie Volksgezondheid en moet derhalve voldoen aan de standaarden voor voedselveiligheid. Hoe ver moet AH gaan in de controle? Ligt de bal bij AH of bij de toeleverancier?
Een ander voorbeeld is het risico rondom product integriteit. De risico’s aan het begin van de keten kunnen rampzalige gevolgen hebben voor het bedrijf aan het einde van de keten. Dit is immers het bedrijf dat in de publiciteit komt. Hoe leg je uit dat jouw producten niet maatschappelijk verantwoord zijn gemaakt? Een levensgroot imago probleem!
De huidige praktijk wijst uit dat dit soort voorbeelden leiden tot steeds meer bureaucratie. De risicoregelreflex is er volgens mij dus niet alleen vanuit de overheid. De checklisten zullen worden uitgebreid. Er worden nog meer voorwaarden gesteld op straffe van nog hogere boetes.
Wie stelt nog de vraag: had dit met de bestaande regels ook voorkomen kunnen worden?
Zo ja……
Naar mijn mening ligt de bal in eerste instantie bij de toeleverancier. Hier moet het verantwoordelijkheidsbesef komen dat er een continue verantwoordingsplicht is om aan te tonen dat er integer werk wordt verricht. Integriteit op het gebied van veiligheid, sustainability, risicomanagement, milieu, een gezonde financiële huishouding, energie, mensenrechten / arbeidsomstandigheden, etc. Deze verantwoordingsplicht moet niet worden gevoeld als een verplichting, maar als een kernwaarde zonder welke je niet wilt werken.
Afnemers zullen moeten leren dit voorafgaand aan de samenwerking duidelijk te maken en er ook echt op te sturen. 1 incident waarbij duidelijk de integriteit wordt geschonden en de samenwerking wordt ontbonden.
Er ligt volgens mij nog wel een uitdaging bij de hele grote toeleveranciers. Toeleveranciers waarvoor te weinig of geen alternatieven aanwezig zijn. Too Big To Ignore? Dit soort toeleveranciers wil je eigenlijk niet want op een gegeven moment kun je niet meer zonder. Hoe zorg je hier voor het juiste integriteitsbesef?
Of is dit meteen de juiste Red Flag waardoor je zelf meer moet gaan controleren en hier dus niet aan bureaucratie ontkomt?
dat de toezichthouder te inhoudelijk mee kijkt naar alle risico’s?
dat er op het laatste moment nog even het lijstje met risico’s door een MT lid wordt aangevuld?
dat risicomanagement alleen bij de controller/manager financien ligt?
etc.
Het antwoord:
Management van verwachtingen!
De dynamiek van een goed risicoprofiel zit in de beheersing van de risico’s. Hoe goed kun je laten zien als organisatie dat de beheersmaatregelen die je afspreekt ook daadwerkelijk z’n vruchten afwerpt? Het ultieme resultaat is er wanneer de organisatie haar ambities / doelstellingen weet te realiseren. Immers, ondernemen gaat met risico’s. Als je het resultaat behaald wat je voor ogen had heb je de bijbehorende risico’s goed weten te managen. ‘An every day job’.
Dit betekent dat de link met de strategie cruciaal is voor de communicatie over risico’s. Liefst visueel gemaakt door bijvoorbeeld een strategiekaart zoals hiernaast staat afgebeeld.
In 1 oogopslag wordt duidelijk dat de doelen gerealiseerd kunnen worden door de onderliggende cruciale activiteiten subliem uit te voeren. Dat hier risico’s bijhoren is logisch.
Onder normale omstandigheden vinden er slechts kleine aanpassingen gedurende een jaar plaats aan de strategie. En daarmee veranderen de risico’s ook slechts beperkt. De meeste verandering gaat zitten in de acties die genomen worden om de beheersmaatregelen adequaat en effectief uit te voeren.
Het goede gevoel:
De toezichthouder ziet hoe de organisatie zichzelf continue verbeterd door de beheersing te verbeteren om zo de strategie te kunnen realiseren;
De bestuurder gaat risicomanagement leuk vinden omdat het rechtstreeks gekoppeld is aan de ambities van de organisatie / hemzelf;
Het MT lid moet continue pro-actief bij de les zijn anders draagt hij niet bij aan de prestaties van de organisatie. Dit wordt heel snel duidelijk als de kaart maandelijks op tafel ligt!;
De controller hoeft alleen het net maar op te halen en de dialoog is een feit;
Regelmatig stoor ik mij aan de voorzichtige woorden die toezichthouders gebruiken. Om maar niemand voor het hoofd te stoten. Om maar geen vertrouwensbreuk te veroorzaken. Om maar niet de ‘goede’ te beschadigen. Etc.
Ik neem als voorbeeld de privacy wetgeving rondom persoonsgegevens. Welke informatie mag wel en welke niet gebruikt worden? Er zijn hier allerlei regels en procedures voor ingericht dat het zelfs zover gaat dat informatie opgehaald door de ene helft van de organisatie niet gebruikt mag worden door de andere helft. Op dit moment is er waarschijnlijk geen landschap dat door social media zo snel verandert als privacy. Dit valt niet bij te houden door meer regels en procedures!
We moeten eens leren om nieuwe lijntjes te tekenen. Als je begint met een nieuw blad ligt alles nog open.
Durf eens;
toezicht te houden gebaseerd op waarden en normen;
als uitgangspunt te nemen dat er geen oneigenlijk gebruik wordt gemaakt van vrijheden die afgegeven worden;
te accepteren dat klanten / consumenten zelf gaan aangeven wat ze wel en niet accepteren;
aan tafel te zitten en de dialoog kwetsbaar te voeren.
Onze context zal blijven veranderen. De risicobereidheid gaat op sommige vlakken toenemen en op andere juist afnemen. Als toezichthouder moet je vooruit durven kijken en maatschappelijke trends volgen en interpreteren.
Dashboards zijn de krant van gisteren, de interpretatie de sturing op morgen. Daarmee beheers je de echt significante risico’s.
Dit betekent dat de link met de strategie cruciaal is voor de communicatie over risico’s. Liefst visueel gemaakt door bijvoorbeeld een 
Erik van Marle - Blog over risicomanagement 