Erik van Marle – Blog over risicomanagement

www.naris.com

Categorie archief: Software


door Een reactie plaatsen

De kracht van de 2e lijn!

De verschillende implementatiemodellen op een rij en Best Practice Watermeloen+ model

Naar aanleiding van ons webinar ‘is de 2e lijn wel sterk genoeg?’ https://naris.com/nl/is-de-2e-lijn-wel-sterk-genoeg/

Er zijn ontzettend veel reacties binnengekomen op de verschillende modellen die wij gepresenteerd hebben. Met als eye-catcher het Watermeloen Model. Een nadere toelichting van dit model is gewenst en deze blog is hier een aanzet voor. In een vervolg blog zal ik ingaan op de resultaten die we gezien hebben bij klanten en hoe we het in NARIS GRC standaard beschikbaar maken.

Ons startpunt is altijd: Wat verwacht je? En van Wie? Maar vooral: Wat is het doel?

In onze ervaring cruciale uitgangspunten bij het bepalen van welk model het best past op je organisatie. Besef daarbij dat de 1e lijn geen expert is in het benoemen van risico’s….. en dit ook niet zal worden. Hetzelfde geldt voor het benoemen, monitoren en testen van controls.

De eerste vraag zegt iets over het feitelijke werk dat je verwacht. Hier komen de verschillende implementatiemodellen in beeld. Afhankelijk van het type bedrijf, cultuur, opleidingsniveau, sector, maatschappelijke impact, aantal externe toezichthouders, mate van toezicht, veiligheidsissues en ambitie moet er bepaald worden wat er geregistreerd moet worden en op welke wijze. Onderstaand geven we de mogelijkheden weer zonder daarin uitputtend te willen zijn.

Uit de tweede vraag leiden we af welke functies betrokken zijn bij het invulling geven aan Governance, Risicomanagement en Compliance. Willen we 1e lijn medewerkers echt betrekken en een rol laten spelen, of alleen de manager, of de businessunit manager? Dit kan ook nog verschillen per thema. Voor risicomanagement kan dit anders liggen dan voor compliance, kwaliteit, procesmanagement, etc.

Het antwoord op deze vraag bepaalt in belangrijke mate de reporting. Immers, de betrokken functies gaan alleen iets registreren als ze er ook inzicht en overzicht voor terugkrijgen. Nut en noodzaak moeten duidelijk zijn. Compliance is een driver maar zeker niet de enige.

Workshop Methode

Dit is van origine de meest gekozen methode. Vanuit de optiek dat zoveel mogelijk draagvlak moet worden gecreëerd en dat dit bereikt wordt door met elkaar te brainstormen over risico’s. Dit is een methode waarmee, mits goed uitgevoerd, veel creativiteit wordt bereikt, het risicobewustzijn wordt verhoogd en dus ook draagvlak. Nuttig en noodzakelijk in organisaties die veel en/of grote unieke projecten doen. Voor het reguliere proces is deze methode op het risico-identificatie proces niet echt nodig. Voor het identificeren en bepalen van de nut en noodzaak van controls kan het wel een aanvulling zijn.

VoordelenNadelen
Creatief procesKost veel tijd
Veel interactie met collega’sKost veel onderhoud
Mogelijkheid tot maatwerkOpenheid in de groep vraagt veel aandacht
Interactie tussen disciplinesHeeft een sterk eenmalig karakter
Groepsstandpunt / draagvlakIndividuele expertise kan ondersneeuwen

Wat verwacht je?

Parate kennis en goede verbale eigenschappen in een open cultuur. Je verwacht dat individuele expertise naar voren komt en dat iedereen elkaar aanvult.

Van wie: van alle workshopdeelnemers. Selectie is daarom cruciaal waarbij het voor het draagvlak altijd belangrijk is geen personen over te slaan. Teveel bias, zowel in samenstelling als iqua onderwerpen, moet je voorzichtig mee zijn. Vreemde ogen dwingen!

Risk Self Assessment Methode

In grotere organisaties of organisaties met veel stakeholders (supply chain, verbonden partijen) een veel gebruikt instrument. Sterker nog, veel van onze nationale toezichthouders gebruiken dit instrument vaak. Wij zijn overtuigd dat een regelmatige Self Assessment veel informatie kan opleveren over trends, wijzigingen en blind spots. Het blijft echter vaak wel aan de oppervlakte hangen en de grote vraag is dan ook of het voldoende inzicht geeft om goede conclusies te trekken? Onze ervaring leert dat het inzicht geeft maar dat daarna nog steeds een risico- en control analyse moet plaatsvinden om echt iets over de kwaliteit en volledigheid te kunnen zeggen.

Veel vragenlijsten worden doorgezet naar medewerkers waardoor je nog niet weet wie met welke expertise de vragen heeft beantwoord. Daarnaast kost het invullen toch ook altijd best veel tijd want zaken moeten wel uitgezocht worden.

VoordelenNadelen
SnelVeelal gericht op risico’s en niet op controls
EenvoudigAfstandelijk
Groot bereikExpertise lastig in te schatten
Tooling eenvoudig in te zettenPushen om informatie te verzamelen
Snelle reportingMultiple interpretabel

Wat verwacht je?

Adequate respons op de gestelde vragen en indien mogelijk een goede onderbouwing. Van de opstellers (veelal de 2e lijn) verwacht je een goede interpretatie van de antwoorden.

Van wie: van de geselecteerde respondenten. De kunst is om de uitvraag heel gericht te houden.

Watermeloen Model

Het Watermeloen model is gericht op de kwaliteit en volledigheid van bekende risico’s en controls. Het is dus veel directiever omdat risico’s en controls worden voorgeschreven door de 2e lijn. De 1e lijn zal moeten aangeven welke risico’s al dan niet van toepassing en zijn. En ook welke controls ‘in place’ zijn. Kijk voor meer informatie op: https://naris.com/nl/incontrol/

VoordelenNadelen
Duidelijke structuur en daardoor RCMVeel voorbereidingstijd 2e lijn
Hogere mate van volledigheidMinder inbreng 1e lijn
Hogere kwaliteitMeer compliance driven
Eenvoudig in gebruik 
Herleidbaar Risk Control Framework 

Wat verwacht je en van wie?

Van de 2e lijn voorbereiding en organisatietalent om key risico’s en controls goed te beschrijven. De 1e lijn zal moeten aangeven welke risico’s en controls van toepassing zijn en in welke mate.

Watermeloen+ Model

Een uitbreiding op het Watermeloen model kan door de 1e lijn nog meer informatie te vragen. Dit met name op de assurance van controls. De 1e lijn moet aangeven of ze de controls ook daadwerkelijk getest hebben en of ze evidence kunnen bijvoegen. Hiermee bereiken we een zo goed als volledige In Control Verklaring met benodigd dossier, opgesteld en verantwoord door de 1e lijn. De 2e lijn vervult een duidelijk rol van adviseur en begeleider. De 3e lijn kan een objectief advies geven over opzet, bestaan en werking.

VoordelenNadelen
Duidelijke structuur en daardoor Risk Control MatrixVeel voorbereidingstijd 2e lijn
Hogere mate van volledigheidMinder inbreng 1e lijn
Hogere kwaliteitMeer compliance driven
Eenvoudig in gebruikBegrip van controltesting nodig in 1e lijn
Herleidbaar Risk Control FrameworkKost tijd om evidence te verzamelen
Volledig dossier voor de accountant 
Duidelijke scheiding van verantwoordelijkheden tussen 1e, 2e en 3e lijn 

Wat verwacht je en van wie?

Van de 2e lijn voorbereiding en organisatietalent om key risico’s en controls goed te beschrijven. De 1e lijn zal moeten aangeven welke risico’s en controls van toepassing zijn en in welke mate. De 1e lijn zal tevens controls moeten testen en evidence kunnen toevoegen. Omdat de 2e lijn de rol van adviseur en begeleider heeft is dit echter geen drempel.

Advertentie


door Een reactie plaatsen

Succesvol GRC-implementeren

Voor wie en waarom….en dan pas hoe en wat!

Voor wie en waarom doen wij (GRC specialisten) het eigenlijk?

De twee belangrijkste vragen die iedere 2e lijn zichzelf zou moeten stellen. Maar ook de ontwikkelaars van GRC systemen. Jarenlang zijn deze systemen ontwikkeld vanuit het gezichtspunt dat we veel informatie willen administreren, voor externe toezichthouders, die voldoet aan alle goverance codes en wetgeving waar de organisaties mee te maken hebben. Geen wonder dat systemen hierdoor complex, onoverzichtelijk en bovenal heel ongebruiksvriendelijk zijn geworden. Toezichthouders willen steeds meer weten en dus steeds meer informatie ophalen. Bestuurders kunnen steeds harder afgerekend worden dus zekerheid over de werking van controls is cruciaal. Zie hier de spagaat.

Hoe mooi zou het zijn als onze systemen de day-to-day business zou ondersteunen? Dat iedereen er profijt van heeft? Hoe zou dat eruit zien? Ongeveer zo:

  1. Ik kan snel opzoeken of we hiermee voldoen aan onze compliance
  2. Ik kan snel taken uitzetten bij collega’s
  3. Als team hebben we inzicht in onze prioriteiten en kunnen we werk van elkaar overnemen
  4. Altijd hebben we real time zicht op de belangrijkste acties
  5. Incidenten kan ik eenvoudig melden en ik word over de voortgang automatisch op de hoogte gehouden
  6. Het goedkeuringsproces wordt automatische bijgehouden
  7. Ik kan putten uit kennis van andere afdelingen

GRC-systemen moeten je helpen om sneller en meer efficient je werk te kunnen doen. Misschien niet leuker, wel makkelijker! De belastingdienst is het ook gelukt, waarom ons niet?

De ‘Wie en Waarom-vraag’ moet dan ook beantwoord worden vanuit de ‘day-to-day’ business. Het gaat niet om volledigheid maar om toegevoegde waarde voor de administrateurs / business. Want dat is het uiteindelijk voor een deel. Net als je financien thuis! Als risk of compliance manager genoegen nemen met minder is best moeilijk maar wel een goede eerste stap. Als je weet hoe het de business helpt kun je in kleine stapjes de reis vervolgen. Beter goed zicht op een klein beetje dan troebel zicht op het totaal!

Hoe laten we dit dan goed aansluiten bij de business?

  • Voor de chauffeur is belangrijk dat er snel incidenten kunnen worden gemeld. De planner heeft het totaal overzicht en in geval van calamiteiten moet het eenvoudig zijn om te escaleren.
  • De afdeling hypotheken moet weten welke risico’s standaard zijn bij aanvragen en snel inzicht in de procedure bij afwijkingen is key. Sommige controls moeten altijd beoordeeld worden en dit moet eenvoudig kunnen.
  • Als sales wil je weten welke contracten op scherp staan. Of de partijen met wie we zaken doen geen risico’s met zich meebrengen en ratio’s niet snel veranderen waardoor betalingsproblemen zich kunnen voordoen.
  • Als afdeling inkoop wil je het toeleveranciersrisico spreiden. Leveranciers mogen niet teveel afhankelijk zijn van jou en bovendien moet je altijd een fallback hebben.
  • De projectleider wil bij de start weten welke wet- en regelgeving van toepassing is en hoe dit de scope beinvloedt. Daarnaast zijn verstoringen van belang zodat er snel over alternatieven nagedacht kan worden.
  • De bestuurder / CEO is in control als het totaal aan afwegingen en keuzes eenduidig wordt gedaan en dit proces ook automatisch wordt vastgelegd. Hiermee kan de CEO zich verantwoorden.

De dashboards binnen het GRC vraagstuk moeten dus veel persoonlijker worden. Consolideren op risk / compliance / kwaliteit / audit is het makkelijkst!


door Een reactie plaatsen

Trends in Risico’s en de kansen die dit biedt

Schermafbeelding 2018-10-15 om 21.41.25Verandering is tegenwoordig nog de enige constante. Digitalisering van bedrijfsvoering is een continue ontwikkeling. Systemen worden steeds meer met elkaar verbonden. Niet alleen binnen organisaties zelf maar ook tussen organisaties. En hoe houd je zicht op de risico’s die dit met zich meebrengt.

Operational controls worden steeds meer geautomatiseerd. Enerzijds door de softwareleveranciers en de garanties / certificaten die ze afgeven. Anderzijds door binnen de GRC software deze controls in hoogfrequentie te laten reviewen.

Toeleveranciers management

Sinds een kleine 10 jaar wordt het merendeel van de software als SAAS (Software as a Service) aangeboden. Cyber security / informatiebeveiliging is een issue voor al je toeleveranciers van deze software. Hoe goed ken je je toeleveranciers? En kun je dezelfde aanpak gebruiken voor je andere leveranciers? De aanpak kan immers vergelijkbaar zijn.

Assetmanagement

Data is een asset. Data heeft tegenwoorden een grotere waarde voor organisaties dan de reguliere assets die op de balans staan. Er zijn uitdagingen op het gebied van transparantie, kwaliteit, juistheid, privacy, wetgeving en maatschappelijke acceptatie. Alle zul je moeten beveiligen. Welke risicoafweging maak je? Doe je dit vanuit dezelfde risk appetite?

Wetgeving als concurrentievoordeel

Wet- en regelgeving loopt achter de actualiteit aan. Zeker in het geval van nieuwe technologien. Het anticiperen hierop kan een kernkwaliteit zijn en ervoor zorgen dat je kunt outperformen ten opzichte van je concurrenten.

Nieuwe technologie biedt kansen. Maar alleen als je heel goed in samenhang de risico’s die erbij horen kunt managen. Dit vraagt een continue afweging tussen deze risico’s, de mate van control en de prestatie waar je voor wilt staan als bedrijf.

Wat een energie als je dit in de vingers hebt. Het is niet voor niks dat de snelst groeiende bedrijven volop investeren in het automatiseren van Governance, Risk en Compliance!

 


door 2 reacties

3 stappen om eenvoudig uw Risk Appetite vast te stellen

3 stappen om eenvoudig uw Risk Appetite vast te stellen

Veel organisaties vinden het moeilijk om concreet te worden inzake Risk Appetite; uw bereidheid om risico’s te nemen. En dat is een gebrek want het is cruciaal voor echt een integrale werking van Risk Based Management.

Het ontbreken van een eenduidig door de board vastgesteld kader maakt dat de organisatie geen richtlijn heeft over wat wel en niet acceptabel is. En dus niet weet wanneer er gezocht moet worden naar aanvullende beheersing alvorens een risicovol traject doorgang kan vinden. Als de board al niet weet wat wel en niet acceptabel is……

Stap 1: bepaal de kernwaarden van de organisatie

Er kunnen maar een bepaald aantal waarden zijn die uw organisatie echt belangrijk vindt. Deze kunnen veranderen indien het businessmodel verandert maar dit kan niet regelmatig zijn. In deze context bedoel ik met kernwaarden zaken als klanttevredenheid, financiële continuïteit, voldoen aan wet- en regelgeving, veiligheid van medewerkers en klanten, reputatie, enz. 

Kernwaarden zijn iets anders dan doelstellingen en kunnen ook niet door elkaar gebruikt worden. Kernwaarden zijn de randvoorwaarden die goed moet zijn om de doelstellingen te bereiken.

Stap 2: laat de Board individueel stemmen

Een eenvoudige stap is om alle boardleden individueel aan te laten geven (op een schaal van 1-5  bijvoorbeeld) hoeveel risico acceptabel is voor de organisatie in hun ogen. Op dit moment komen de verschillen boven water. De recente ervaringen zullen in hoge mate invloed hebben op de score. Indien men net uit een financieel roerige periode komt zal de appetite lager liggen. Vervolgens is het zaak om op basis van een zorgvuldige onderbouwing gezamenlijk de appetite vast te stellen. Zorg er wel voor dat de schaalverdeling duidelijk is omschreven.

Schermafbeelding 2017-03-07 om 22.04.19

Stap 3: Eenvoudige toelichting per kernwaarde

Beschrijf in eenvoudige woorden per kernwaarde wat de organisatie wil wat er niet mag gebeuren. De volgende vragen kunnen hierbij helpen (indien mogelijk zo concreet mogelijk met cijfers onderbouwen):

  1. Wat mag er nog wel gebeuren?
  2. Wat mag er niet gebeuren?
  3. Wat moet er minstens tegenover staan?
  4. Welke actie verwacht je bij het nemen van een risico?
  5. Welke escalatie is gewenst?

Let op!

Het kan dus heel goed gebeuren dat er in een noodzakelijk project risico’s worden geïdentificeerd die de Risk Appetite te boven gaan. Dit betekent niet dat het project stopgezet moet worden. Er moet wel een alternatief bedacht worden om toch het doel te bereiken zonder At Risk te zijn op de belangrijke kernwaarden. Deze kunnen immers de organisatie omver trekken.


door 2 reacties

Hoe Risicomanagement bij Van Oord bijdraagt aan betere prestaties

Cyrille Wismans, Risicomanager bij Van Oord, legt uit hoe risicomanagement is opgezet bij Van Oord Hier zijn ze twee jaar geleden structureel mee begonnen. Vijf jaar geleden begon hij als Risk Engineer bij Van Oord, waar hij nu teamleider is bij de Project Planning & Riskafdeling. 

Complexere Projecten vragen om beter Risicomanagement

Risicomanagement is op dit moment binnen Van Oord gepositioneerd in de afdeling Engineering & Estimating.  Vanuit deze afdelingworden alle area’s en business units bediend. De aanleiding om risicomanagement prioriteit te geven komt doordat het bedrijf steeds meer complexe, innovatieve projecten aanneemt van grote omvang en met een lange doorlooptijd. Complexe projecten vormen een substantieel deel van de business van Van Oord, risicomanagement is dus van groot belang.

Belang van Risicomanagement

Van Oord heeft haar werkgebied (de gehele wereld) ingedeeld in 5 area’s  en een drietal business units. Bij de business unit Offshore gaat het vooral om grote projecten in de offshore olie- en gasindustrie. Onder andere de aanleg, het vervangen van en het onderhoud aan onderwaterpijpleidingen. In deze industrie staan vanwege de lage olieprijs de prijzen momenteel enorm onder druk. Hierdoor is het belang van risicomanagement flink toegenomen. Ook  in de offshore windindustrie is Van Oord actief. Een industrie waar risicomanagement een grote rol speelt. Van Oord voert hier grote projecten uit, waar veel verantwoordelijkheid mee gemoeid is. Ze staat garant voor het hele ontwerp, de levering, de inkoop en bouw van windmolenparken. Hierdoor trekt het bedrijf veel risico’s naar zich toe.

Lange adem

Zoals eerder genoemd is structureel risicomanagement relatief nieuw bij Van Oord. Om een succesvolle implementatie te bewerkstelligen is het volgens Wismans essentieel om verder te bouwen op de al bestaande werkwijzen in het bedrijf. Daarnaast dient men zich te realiseren dat de implementatie van risicomanagement  een proces is van de lange adem.

Betrokkenheid van de Board cruciaal

Wanneer er gekeken wordt naar het proces zoals dat door Van Oord wordt gehanteerd in relatie tot risicomanagement, dan legt Wismans uit dat de Board acht key focus areas in Van Oord heeft aangewezen. Hiervan is risicomanagement er één. In het proces van het binnenhalen van een project tot aan de uitvoering, heeft Van Oord een aantal quality gates (stage gates)  ingebouwd. Het risicomanagement proces sluit hierop aan en vormt een belangrijk onderdeel van het besluitvormingstraject. Bij iedere stage gate wordt gebruik gemaakt van risicoinformatie die uit de risicomanagement cyclus komt. Bij stage gate 1 wordt bijvoorbeeld besloten of Van Oord wel of niet zal  tenderen. Hier ligt een commerciële en strategische afweging aan ten grondslag, maar ook het risicoprofiel van een werk wordt in deze afweging meegenomen.

Risk en Opportunity Database

Van Oord heeft een risk and opportunity identification list ontwikkeld. Hierin zitten ongeveer 150 risico’s verdeeld over twaalf risicogebieden waar het bedrijf in veel van haar projecten mee te maken heeft. Voorbeelden zijn: Political and Economical, Physical Conditions, Environmental Impact, Procurement and Subcontracting, Safety & Health and Security, Contractual and Legal. Het proces begint bij de risico identificatie. In een omgeving waar veel technische mensen werken, die de neiging hebben snel van probleem naar oplossing te gaan, is de toegevoegde waarde van risicomanagement het verzamelen van alle input en het daarin aanbrengen van de noodzakelijke structuur.

Lessons learnt

Om meer inzicht te krijgen in de aard en omvang van risico’s is niet alleen de lijst met de twaalf risicogebieden  belangrijk, maar ook de lessons learnt. In de eindewerkrapporten ligt een enorme schat aan informatie, ook over de opgetreden risico’s. Daarnaast zijn er gesprekken met projectleiders die kennis hebben van een bepaald gebied essentieel.

Iedereen aan tafel!

Wismans legt uit hoe hij de analyses begeleidt: “We zitten met begroters en werkvoorbereiders om tafel, analyseren de risico’s en zoeken voortdurend naar optimalisatie. Als je scherp gaat wil je uiteraard ook weten waar je aan toe bent. Tenders met een waarde van meer dan vijftig miljoen euro moeten sowieso langs onze Board. Een van de elementen die daar op tafel komt te liggen is risicomanagement en de noodzakelijke reserveringen. Als de Board kritische vragen stelt, zit de Risico Engineer veelal aan tafel om toelichting te geven”. Volgens Wismans is Van Oord met het risicomanagement op de goede weg, maar er valt nog meer winst te behalen. Deze zit met name in de betrokkenheid tijdens de uitvoering van projecten. Een stijgende lijn is al wel te zien.

Automatisering voor borging en eenvoud

schermafbeelding-2017-01-12-om-23-13-29

Daarnaast wordt er  gewerkt aan automatisering. Wismans vertelt dat Van Oord momenteel samenwerkt met Naris. Het bedrijf heeft een eigen kennisdatabase ontwikkeld, gebaseerd op NARIS GRC, maar met een Van Oord look and feel. Voor elk project worden daar de risico’s in gehangen en de projecten worden weer onverdeeld in area’s of typen projecten. Wanneer er een redelijk aantal projecten in is opgeslagen, kun je binnen area’s of op typen projecten een statistische analyse doen.

Een systeem zoals Van Oord nu heeft, een soort op maat gemaakte NARIS GRC, zorgt ervoor dat mensen meer gestimuleerd en gedwongen worden om over risico’s na te denken, deze systematisch te identificeren en te structureren.  Middelen als de risk and opportunity identification list, geven structuur en houvast. En bovendien een beter begrip van de risico’s. 

Gouden tips:

  • Mensen/managers moeten risicomanagement echt willen adopteren, wil het werken
  • Een risicomanager moet pro-actief zijn, hij moet veel uitleggen en sturen, meer brengen dan halen en zichzelf kunnen verkopen
  • Zorg voor realistische doelstellingen en verwachtingen
  • De risicomanager moet een duidelijk zichtbare plaats in de organisatie hebben

 


door Een reactie plaatsen

Het verschil in risicomanagement bij een private en publieke organisatie!

publiek privaat

Regelmatig wordt deze vraag gesteld en iedere keer wordt er weer gegraven in mijn gestolde kennis (ervaring). Een paar overwegingen die ik met jullie wil delen zonder daar overigens nu al volledig in te willen zijn.

Publieke organisaties zijn veel meer gewend om (risico) verantwoording af te leggen over hun reilen en zeilen dan private organisaties. Waar private organisaties dit pas zijn gaan doen na de invoering van de Code Tabaksblat zit dit van oudsher al veel meer in het natuur van de publieke organisaties. Deze laatsten hebben altijd moeten functioneren met belangrijke stakeholders als gemeenten, zorgpartijen, woningcorporaties die allemaal in hetzelfde speelveld een rol hebben. In deze consternatie is verantwoording een vanzelfsprekendheid. Voor private partijen bleek de code Tabaksblat een struggle. ‘Pas toe of leg uit’ werd in het begin op verschillende wijze uitgelegd.

Private organisaties hebben de laatste jaren een flinke inhaalslag gemaakt. Daar waar veel publieke organisaties blijven hangen in de klassieke risicoparagraaf leggen private organisaties veel sterker de link tussen de performance en de daarbij behorende risico’s. In hun zogenaamde ‘sustainability reports’ gaat het erover hoe duurzaam hun strategie is en welke keuzen ze hierin gemaakt hebben. Qua risicomanagement gaat hun uitleg over hoe ze het hebben georganiseerd. Vanzelfsprekend gaan ze niet in op de risico’s en kansen die ze zien, dit is immers concurrentiegevoelige informatie. Publieke organisaties hebben ook te maken met deze gevoelige informatie maar voelen zich wel vaak verplicht deze risico’s te benoemen. Wat mij betreft niet noodzakelijk. Als stakeholder zou ik liever lezen hoe ze er voor zorgen dat de organisatie te allen tijde alert blijft!

Fraude (Imtech bijvoorbeeld) buiten beschouwing gelaten valt mij ook op dat in private organisaties risico’s veel sneller op tafel komen. Uit de vele gesprekken die ik hierover voer valt mij op dat dit hoofdzakelijk komt doordat risico’s veel sneller voor de betrokkenen relevant worden. Ze voelen veel sneller zelf de gevolgen doordat het rechtstreeks invloed heeft op resultaten. Dit in tegenstelling bij publieke organisaties. De gevolgen van risico’s worden minder persoonlijk gevoeld en doordat publieke organisaties vaak met meerjarige begrotingen werken vallen de (financiële)gevolgen vaak weg in het totaal.

Deze laatste hobbel is de grootste uitdaging. We raken hier immer de cultuur van de organisatie. Het management van een publieke organisatie zal dus veel meer moeite moeten doen om risico’s positief bespreekbaar te krijgen. De juiste vragen stellen is cruciaal.

Welke vragen stelt u?


door 3 reacties

Nooit meer strategiepijn!

Wat ga je doen als de strategieconsultant geweest is? Het koersplan is geschreven, doelstellingen zijn bepaald, waar wat dan. Wat vaak vergeten wordt, is de strategie concreet maken. Maak het operationeel voor de werkvloer, zodat de hele organisatie in de richting komt van waar de organisatie naartoe wil.

Dia1

Centraal in de taak van het management staat strategie(realisatie). De strategiekaart vormt de ontbrekende schakel tussen de formulering en uitvoering van strategie. Met de strategiekaart wordt risicomanagement voor bestuurders ook interessant. De strategiekaart vormt de basis voor de interne agenda en vraagt frequente aandacht van het management.

Door de dialoog over risico`s en prestaties gaande te houden wordt risicomanagement het proactieve en anticiperende stuurinstrument waar het voor bedoeld is. Het is een katalysator voor actiegerichtheid op de continue uitdagingen.

Veel gehoorde reactie van MT`s is dat het construeren van de strategiekaart net zo waardevol is als de kaart zelf. Maar het proces is niet eenvoudig. Het construeren zorgt voor discipline en logica in de strategische besluitvorming dat daarvoor veelal niet aanwezig was. Het eindresultaat is een basis voor interne en externe communicatie over doelstellingen en strategie. MT`s kunnen met de strategiekaart goed uitleggen waarom bepaalde zaken wel en andere niet worden ondernomen. Daar draait het om bij strategie, keuzes maken in de belangrijkste activiteiten die goed te onderbouwen zijn.

Strategie gaat om het selecteren van de activiteiten waarin de organisatie dient uit te blinken. De zogenaamde kritieke succesfactoren. Centraal bij het benoemen van kritieke succesfactoren (KSF) staat gegranuleerdheid. Dat betekent verder gaan dan algemeenheden als `onze medewerkers ontwikkelen` of `onze kernwaarden naleven` en focussen op de specifieke mogelijkheden en kenmerken die essentieel zijn voor het succes van de organisatie.

Vanuit de organisatie / de afdelingen dienen initiatieven te worden benoemd welke ondernomen worden om invulling te geven aan de KSF. Deze initiatieven leiden tot resultaten. Dat betekent dat uitvoering van strategie wordt gemanaged door de uitvoering van initiatieven.

De strategiekaart biedt het visuele kader om de doelstellingen van een organisatie in te integreren.

Meer over ‘nooit meer strategiepijn’ is te lezen in dit mooie boek!


door 3 reacties

Kans X Impact = Verleden Tijd

We weten het al heel lang. Meerdere onderzoekers als Taleb, Kahneman en kaplan hebben het ook al aangetoond. Mensen zijn niet goed in het inschatten van kansen. We proberen rationeel in ons irrationele te zijn!

En ik ben er eigenlijk wel blij mee dat we met deze conclusie eens stoppen met het eindeloos rekenen aan risico’s. Immers, als je gaat rekenen met aannames waarvan je zeker weet dat ze niet kloppen kun je nooit vertrouwen op de uitkomst. We zullen het dus anders moeten doen.
Inmiddels is wel aangetoond dat Risicomanagement net zo veel cultuur is als structuur. Bij het inschalen van risico’s zullen we dus mijns inziens meer moeten aanhaken bij de elementen die de houding en het gedrag beïnvloeden. Ik gebruik daarom onderstaande Risicokaart.
Dia2
De kaart deelt risico’s in naar de mate waarin je het risico kunt beïnvloeden en de impact die het heeft. Ongeacht waar het impact op heeft. Het grote voordeel van deze inschaling is de actiegerichtheid die je creëert. Alle risico’s die de organisatie aan de rechterkant van de kaart heeft geplaatst leiden vanzelfsprekend tot actie. Immers, de beïnvloedbaarheid is hoog.
Een ander groot voordeel is dat de kaart veel breder kan worden gebruikt. Ik deel risico’s graag in naar het model van kaplan; te voorkomen risico’s, externe risico’s en strategische risicos. Onderstaande kaart laat zien hoe de kaplan indeling hierin terugkomt.
Dia3
En wederom biedt deze kaart daarmee veel meer aanleiding tot een dialoog over de beheersing. Op Te voorkomen risico’s heb je veel invloed en moet je dus direct aanpakken. Op externe risico’s bijna geen invloed en zul je dus scenario’s moeten uitwerken en het risico blijven monitoren. De strategische risico’s hebben van nature veel impact maar de beïnvloedbaarheid is vaak beperkt. Dit vraagt om keuzes en misschien wel meer risico!
Ik ben benieuwd naar de mening van de lezers.


door Een reactie plaatsen

Ontspannen toezichthouders krijgen scherpe bestuurders

We gaan hier niet het antwoord geven op wanneer u een goede toezichthouder bent. Dat weet ik gewoonweg niet. Ik zie echter wel veel toezichthouders voorbij komen en deel hier de ervaringen.

comfortzoneEen rode draad die mij opvalt is de mate van ontspannenheid. En dan niet alleen wanneer het goed gaat maar ook wanneer het niet goed gaat. Weten wanneer je voor de bestuurder staat en wanneer er achter.

Ontspannen toezichthouders:

Stellen betere vragen, kennen ieder moment hun rol, helpen maar nemen niet over, zijn bereikbaar voor iedereen, zorgen voor een goede sfeer, houden van ondernemen en dus van risico’s, houden ook van verantwoording maar niet van bureaucratie, houden van een zelfverzekerde kwetsbare bestuurder, zien toezicht als 24/7/365 per jaar, durven zelf ook!, houden van alternatieven, hebben waardering voor gevoel, spreken zich uit, etc.

Een bestuurder met een ontspannen toezichthouder hoeft niet op scherp te worden gezet, dat staat hij continue!

 

Wat doet een toezichthouder die niet ontspannen is?


door Een reactie plaatsen

Uiteindelijk draait risicomanagement om WAARDE

Wij zijn er met z’n allen goed in om alles in cijfers uit te drukken. Projecten worden het liefst gemeten iKlunenn TIJD/GELD EN KWALITEIT.

En weer verlaat een tevreden klant het pand…

(Herman Finkers)

Maar zo kan het voorkomen dat een project keurig binnen de afgesproken kaders blijft maar bij oplevering geen waarde meer heeft. Dit speelt veelal bij langlopende projecten. Maar ik voorspel dat dit steeds meer gaat gebeuren. Immers, de context waarin we opereren verandert steeds sneller en innovaties volgens elkaar steeds sneller op.

Waardesturing

De reden die ik zie dat men de waarde uit het oog verliest is dat er alleen maar binnen het project naar de risico’s en kansen wordt gekeken. Ik zie veel te weinig analyses waarbij ook de vooraf bedachte waarde die het project zou moeten opleveren wordt gemonitord. Doet men dit wel dan kan men pas echt sturen en zou ook veel vaker de vraag voorliggen of men moet versnellen, vertragen of zelfs stoppen. Beter ten halve gekeerd dan ten hele gedwaald!

De grote risico’s zitten dus in de aansluiting van het project op de omgeving. Risicomanagement analyses moeten derhalve altijd risk versus return aspecten in zich hebben. Deze return zit in de eerste plaats op het niveau of er nog wel waarde wordt gecreëerd. En natuurlijk is ook ieder individueel risico een afweging maar mijns inziens echt van een andere orde.

Dit gezegd hebbende; wellicht zijn scopewijzigingen helemaal zo slecht nog niet!