Erik van Marle – Blog over risicomanagement

www.naris.com


Een reactie plaatsen

Trends in Risico’s en de kansen die dit biedt

Schermafbeelding 2018-10-15 om 21.41.25Verandering is tegenwoordig nog de enige constante. Digitalisering van bedrijfsvoering is een continue ontwikkeling. Systemen worden steeds meer met elkaar verbonden. Niet alleen binnen organisaties zelf maar ook tussen organisaties. En hoe houd je zicht op de risico’s die dit met zich meebrengt.

Operational controls worden steeds meer geautomatiseerd. Enerzijds door de softwareleveranciers en de garanties / certificaten die ze afgeven. Anderzijds door binnen de GRC software deze controls in hoogfrequentie te laten reviewen.

Toeleveranciers management

Sinds een kleine 10 jaar wordt het merendeel van de software als SAAS (Software as a Service) aangeboden. Cyber security / informatiebeveiliging is een issue voor al je toeleveranciers van deze software. Hoe goed ken je je toeleveranciers? En kun je dezelfde aanpak gebruiken voor je andere leveranciers? De aanpak kan immers vergelijkbaar zijn.

Assetmanagement

Data is een asset. Data heeft tegenwoorden een grotere waarde voor organisaties dan de reguliere assets die op de balans staan. Er zijn uitdagingen op het gebied van transparantie, kwaliteit, juistheid, privacy, wetgeving en maatschappelijke acceptatie. Alle zul je moeten beveiligen. Welke risicoafweging maak je? Doe je dit vanuit dezelfde risk appetite?

Wetgeving als concurrentievoordeel

Wet- en regelgeving loopt achter de actualiteit aan. Zeker in het geval van nieuwe technologien. Het anticiperen hierop kan een kernkwaliteit zijn en ervoor zorgen dat je kunt outperformen ten opzichte van je concurrenten.

Nieuwe technologie biedt kansen. Maar alleen als je heel goed in samenhang de risico’s die erbij horen kunt managen. Dit vraagt een continue afweging tussen deze risico’s, de mate van control en de prestatie waar je voor wilt staan als bedrijf.

Wat een energie als je dit in de vingers hebt. Het is niet voor niks dat de snelst groeiende bedrijven volop investeren in het automatiseren van Governance, Risk en Compliance!

 

Advertenties


1 reactie

ING’s mislukte 3-line of Defence model in Witwas schandaal!

Financieel Dagblad Zaterdag 8 september

IMG_20CD16F24B89-1

De 3 afdelingen ‘business’, ‘compliance’ en ‘internal audit’ binnen ING hebben langs elkaar heen gewerkt. Niemand voelt zich verantwoordelijk voor het geheel. ‘Velen waren gezamenlijk verantwoordelijk voor een deel van het verwijtbare gedrag’ geeft het OM aan.

Laat dit nu net het probleem zijn waar de Monitoring Commissie Corporate Governance Code in de laatste update heel veel aandacht aan heeft besteed. De code is tegenwoordig zelfs wettelijk verankerd.

Corporate Governance Code

De Code besteed veel aandacht aan Risicomanagement. Ze geeft daarbij zelfs aan dat ondernemerschap het realiseren van kansen is door op een bewuste wijze risico’s te nemen. Hiervoor is essentieel een adequaat risicobeheersingssysteem. Dit moet onder andere een vooruitblik geven op die risico’s die het voortbestaan van de organisatie in de weg kunnen staan. Expliciet wordt hierbij aangeven dat de auditfunctie hier een steeds belangrijkere rol in gaat spelen. Immers, het bestuur en de raad van commissarissen krijgen door deze functie echt inzicht in de werking van het risicobeheersingssysteem van de organisatie.

3-Lines of Defence

De uitgangspunten van het 3-lines of defence model zijn volgens mij al heel lang erg duidelijk. De ‘business’ (1st line) is eindverantwoordelijk voor de keuzes die ze maken en de risico’s die ze businesswise aangaan. Hier zou bij een organisatie als ING toch geen onduidelijkheid over moeten bestaan?

‘Compliance'(2de line) ontwikkelt de systemen voor een goed proces van risicomanagement en beheersing, altijd ter ondersteuning van de ‘business’.

‘Internal Audit’ (3de line) voorziet de hoogste leiding van zekerheid over de kwaliteit van sturing en beheersing. Ze is dus niet in directe zin verantwoordelijk voor de kwaliteit van het in control zijn van de organisatie maar wel verantwoordelijk voor de mate waarin ze in staat is om de inconsistenties in de opzet en het bestaan van de control frameworks te analyseren en zichtbaar te maken.

De praktijk is altijd weerbarstig maar heeft vaak wel te maken met ego’s/cultuur. De praktijk leert dat iedere lijn z’n eigen systemen wil en het liefst de Rolls-Royce. Het kost organisaties ontzettend veel tijd om hier keuzes in te maken. Hierdoor verschuift uiteindelijk de aandacht en de urgentie. ‘Business’ voelt zich altijd superieur en dus volgt Compliance en Audit. Het gevolg hiervan is dat de systemen om het risicomanagement en beheerssysteem niet gaan functioneren. Bestuur en management missen het zicht op de kansen en bijbehorende beheersing.

4 Aanbevelingen:

  1. Alle afdelingen zullen moeten werken in hetzelfde systeem!
  2. Het bijhouden van kansen die genomen worden en de beheersing die hierbij past is een verantwoordelijkheid van de ‘business’;
  3. ‘Audit’ en ‘Compliance’ zijn leading in de keuze van de systematiek en het systeem;
  4. ‘Audit’ legt rechtstreeks uit het systeem verantwoording af over de bevindingen en aanbevelingen aan bestuur en raad van commissarissen.

ING

Dit is het ultieme moment voor ING om het juiste risicobewuste gedrag in de organisatie te stimuleren en de cultuur te veranderen. Maak de ‘business’ expliciet verantwoordelijk voor het benoemen en beheersen en dus vastleggen van dit soort risico’s. Bepaald dat ‘Compliance’ en ‘Audit’ bepalen via welk proces en systeem er gewerkt dient te worden. Het heeft geen zin nog meer afvink gedrag te stimuleren door meer compliance officers aan te stellen. Zorg dat de ‘business’ begrijpt wat ze aan het doen zijn en dat het hun verantwoordelijkheid is.

‘Never let a good crisis go to waste’ Winston Churchill


3 reacties

Geen gesjoemel met compliance!

Als bedrijf moet je gewoon aan de wet voldoen. En als bedrijf ben je er verantwoordelijk voor dat je dit bent.
Van iedere medewerker mag verwacht worden dat deze weet welke eisen vanuit wet of normen aan het werk gesteld worden. De organisatie moet hen hierbij helpen door het faciliteren van opleiding en training.

Overactieve Compliance Officer?

Wat ik het meeste tegenkom is dat de compliance officer, riskmanager, ICT manager, etc. zelf of door middel van interviews de informatie proberen vast te leggen. Fout! Op deze wijze krijg je nooit verantwoordelijkheidsgevoel op de plek waar het hoort. Bovendien zorgt dit er ook voor dat het altijd een individueel feestje blijft. Budget en  capaciteit vrijmaken blijft dan altijd een gebedel.

Verantwoordelijkheid bij de medewerker

De ideale situatie krijg je door de medewerkers zelf te laten aangeven of ze wel of niet compliant zijn. Reik ze handvatten en tooling aan. Verzorg trainingen. Organiseer een vraagbaak. Maar zorg ervoor dat de mensen zelf schrijven! Dan maak je verantwoordelijkheid expliciet.
Zo krijg je zelf tijd om inzicht te verschaffen. Aan management en medewerkers. Je legt de zwakke plekken bloot en er is een samenhangend verhaal over waar budget en capaciteit nodig is om de organisatie te verbeteren.
Schermafbeelding 2016-09-13 om 21.27.33

100% Compliant bestaat niet! 100% inzicht wel!

Compliance kan niet zonder Risk en Audit functioneren. 100% compliant bestaat niet.
100% inzicht wel!
Risk als basis voor waar je absoluut compliant wilt zijn en daar waar je het niet bent zul je moeten kunnen uitleggen waarom (nog) niet. Welk plan ligt hierachter? Audit is nodig om de toezichthouder en het management comfort te geven over de kwaliteit van de beheersmaatregelen. Tegenwoordig is het niet acceptabel dat je als organisatie niet zeker bent over de status van de beheersmaatregelen op je belangrijkste risico’s.
De belangrijkste risico’s worden bepaald aan de hand van de relatie met de doelstellingen van de organisatie. Een powerfull instrument om keuzes te maken waar de schaarse middelen van de organisatie aan besteed kunnen worden om strategie te realiseren.
Schermafbeelding 2016-09-15 om 08.59.09


5 reacties

Corporate Governance en veilig incidenten melden

Corporate Governance en veilig incidenten melden

Natuurlijk wordt de wereld transparanter en willen we ook ook steeds meer weten van bedrijven. En zolang bedrijven en dus personen INTEGER handelen heeft dit een zeer positieve uitwerking op de uitstraling van de organisatie.

Incident melden

Er is tegenwoordig echter ook een andere vorm van transparantie. De transparantie die de media, de externe toezichthouder, parlementaire enquete, branchvereniging, etc zoekt nadat zich incidenten hebben voorgedaan. Het resultaat van deze laatste vorm van transparantie is een bijna niet te stoppen vallend imago van de betrokken organisaties in het bijzonder en de branche in het algemeen. Denk hierbij aan de bankensector, de woningcorporaties, de tussenpersonen en financiële adviseurs, de bouwsector, etc. De voorbeelden staan iedere week in de krant. Naam en toenaam worden niet geschuwd.

Het grote risico van ‘Naming and Shaming”

Het effect van deze ‘naming and shaming’ heeft een veel grotere impact dan de veroorzakers hiervan zich volgens mij realiseren. Een paar effecten voor de vuist weg:

  • Het imago van het bedrijf is voor vele jaren besmeurd;
  • Huidige stakeholders verliezen vertrouwen;
  • Klanten vertrekken;
  • Enorme juridische kosten;
  • Reorganisatie voor medewerkers;
  • etc.

Maar het grootste risico is dat voor de komende jaren niemand meer iets durft te melden binnen zo’n organisatie!

Alle ervaringen leren ons immers dat mensen dit soort ervaringen nooit meer willen meemaken. Iedere kans om zo’n mediacircus te voorkomen wordt dan toch aangegrepen? En we weten hoe het met de klokkenluiders afloopt…..

Waar is de Raad van Toezicht?

Naar mijn mening is een van de belangrijkste taken van de Raad van Toezicht / Raad van Commissarissen bereikbaar te zijn voor meldingen van incidenten. Zelfs pro-actief hier naar op zoek te gaan. Het is een van de belangrijkste indicatoren om te zien en te voelen of een organisatie zich veilig voelt en continue wil verbeteren.

Aan iedere materiële claim gaan 100 incidenten vooraf!

Ziet u als toezichthouder de belangrijkste 5 oorzaken van de meest voorkomende incidenten in uw organisatie?

De organisatie uit de wind houden!

Door het inzicht te hebben in deze incidenten bent u als toezichthouder in staat om de organisatie op de belangrijke momenten uit de wind te houden. In geval van incidenten staat u voor de bestuurder. Indien het voor de wind gaat staat u achter de bestuurder. Op dit soort moment is de RvC de enige die voor continuïteit van de organisatie kan zorgen. Een van de belangrijkste doelstellingen die een RvC moet hebben?

Governance Code Van Manen

Gelukkig is er in de nieuwe code ingegaan op deze elementen. De RvC is verantwoordelijk voor de goede werking van het Risicomanagement en Beheerssysteem. Daar hoort bij het toetsen van de juiste cultuur die past bij de desbetreffende organisatie. Een onderdeel hiervan is vanzelfsprekend het monitoren van onregelmatigheden / incidenten.

Good Governance, niet in het bijzonder voor je medebestuurders maar voor de belangrijkste stakeholders (medewerkers) van je organisatie!

ps. Incidenten betreffen dus de onregelmatigheden in de breedste zin van het woord. Veiligheid, Arbo, Financiele missers, HR, etc. zijn in deze zin uitwisselbaar.

 


1 reactie

Voorkom het einde van de Corporatie

“Momenteel concurreert een koopwoning van € 250.000 rechtstreeks met een sociale huurwoning” hoor ik Ger Hukker deze week op BNR zeggen. Dat klinkt absurd maar na een paar minuten hoofdrekenen moet ik hem bijna gelijk geven. Tenminste als het op maandlasten aankomt. Als dit het nieuwe normaal is geworden, dan kan dit het einde betekenen van de woningcorporatie zoals wij die nu kennen. En, vanuit risicomanagement bezien leidt dat natuurlijk tot de vraag hoe je hier als beslisser op kunt reageren?

Eerst maar even rekenen

De actuele hypotheekrente voor een lening met NHG en een 10 jaar rentevastperiode bedraagt momenteel ca. 2,25%. Voor de eenvoud stellen we de lening gelijk aan de koopsom uit het voorbeeld van Hukker: € 250.000. De maandelijkse annuïteit (rente + aflossing) bedraagt dan bruto € 960. Houden we vervolgens rekening met het eigen-woningforfait van 0,75% (€ 1.875 per jaar) en renteaftrek tegen 40%, dan leidt dit tot een netto maandlast van € 835. De redenering van Hukker blijkt dus toch iets te kort door de bocht. De maximale huurprijs van een sociale huurwoning is immers € 700.

Maar voor een volledige vergelijking moeten we ook rekening houden met de onderhoudskosten en eigenaarslasten en dan blijkt de koopwoning in dit voorbeeld zelfs nog iets meer te kosten. Laten we voor het gemak zeggen: netto € 1.000 per maand. Hier tegenover staat dat in de maandelijkse annuïteit ook een bedrag van € 495 aan aflossing is begrepen. Zo bouwt de eigenaar bewoner in het eerste jaar al direct ruim € 5.900 vermogen op door de (verplichte) aflossing. De moraal van dit verhaal: de feitelijke maandelijkse kosten voor een woning van € 250.000 bedragen €1.000 -/- € 495 (aflossing) = € 505. En dat concurreert wel rechtstreeks met een sociale huurwoning.

De corporatie dicht de fiscale kloof

Voor de corporatiepraktijk is het beter om bovenstaande rekensom te maken voor een woning van € 150.000. Dat is namelijk bij benadering de landelijk gemiddelde WOZ-waarde van een corporatiewoning. We komen dan uit op een netto maandlast incl. onderhoud en eigenaarslasten van iets meer zo’n € 700, waarin begrepen een aflossing van € 300 per maand. Per saldo kost deze woning dus maar € 400 per maand.

Bij een gelijke woningwaarde (=wooncomfort) is een huurwoning dus peperduur. Veel consumenten hebben dat inmiddels ook door. De vraag naar betaalbare koopwoningen is dan ook sterk gestegen: mensen die kunnen kopen doen dat weer massaal. Kun je niet kopen, en dat geldt voor de meeste corporatiehuurders, dan moet je sociaal (?) blijven huren.

Het einde van de woningcorporatie?

Het wrange van deze situatie is dat de hoge -sociale- huren niet zo zeer het gevolg zijn van het tekortschieten van de corporaties maar vooral van bizar overheidsbeleid. Op elke huurwoning van € 150.000 drukt namelijk een jaarlijkse fiscale last (verhuurderheffing) van € 740. Als dezelfde woning door een koper wordt bewoond, slaat deze last abrupt om in een fiscale “subsidie”. De koper heeft dan als gevolg van de hypotheekrenteaftrek namelijk een voordeel van € 900 per jaar. Per woning dicht de corporatie dus een fiscale kloof van € 1.640 per jaar (zie afbeelding)

Schermafbeelding 2016-03-24 om 17.37.54

Zo bezien werkt het huidige fiscale beleid als een sluipmoordenaar voor de woningcorporatie. Zeker nu corporaties, sinds de invoering van de nieuwe Woningwet, in toenemende mate zijn gedwongen tot ‘monocultuur’: Ze moeten zich beperken tot 100% sociale verhuur en zijn terughoudend (geworden) met het toepassen van alternatieve vormen van vastgoedexploitatie. Ook kwetsbare “net-niet-doelgroepen” vinden bij veel corporaties geen gehoor meer. Het mag geen verrassing zijn dat deze monocultuur de kwetsbaarheid van de corporatie flink vergroot. Een risicovol toekomstperspectief met hoge impact en nauwelijks direct te beïnvloeden kan op termijn einde betekenen van de woningcorporatie zoals wij die nu kennen.

Wat te doen?

Laten we ervan uit gaan dat elke beslisser of toezichthouder in de corporatiesector niet lijdzaam wil wachten tot de laatste huurder zijn sleutels komt inleveren. Want natuurlijk zijn er natuurlijk er alternatieve strategische beleidskeuzes mogelijk.

Dergelijke beleidskeuzes kunnen worden gezocht met behulp van scenarioplanning. De corporatie verzamelt zo veel mogelijk van de belangrijkste relevante informatie over de verwachte ontwikkeling van de bevolking, de economie, de sociale structuren etc. Een bekende methode is de DESTEP-methode en het is van groot belang dat deze externe factoren zo veel mogelijk worden vertaald naar het eigen lokale niveau. De verwachte bevolkingsontwikkeling in Parkstad Limburg zal immers sterk afwijken van de Metropoolregio Amsterdam.

Scenario’s, en dan?

De externe ontwikkelingen worden vervolgens geconfronteerd worden met het producten en dienstenaanbod van de corporatie. Verwachten we blijvend lage rente en blijven koopwoningen relatief goedkoop ten opzichte van huur met als resultaat dat huurwoningen zichzelf uit de markt prijzen? De legitimatie van de sociale huurwoning komt dan in het geding. Als reactie hier op kan er voor gekozen worden om een deel van de woningen te verkopen. Of is een andere aanpak mogelijk, bijvoorbeeld het verlagen van de huren in grote delen van de woningvoorraad. Een langdurig lage rente levert de corporatie immers veel ruimte in de exploitatie op.

Schermafbeelding 2016-03-24 om 17.39.40

 Scenarioplanning als onderdeel van risicomanagement

De corporatie die van mening is dat zowel haar legitimatie als haar toekomst in gevaar is wacht niet lijdzaam af. Nietsdoen kan immers op termijn grote risico’s met zich meebrengen. Door weloverwogen en met respect voor de eigen (on)mogelijkheden de verschillende externe risico’s te vertalen naar concrete beleidskeuzes kan ook op langere termijn ‘het verschil worden gemaakt’. Scenarioplanning is daarbij niet ‘een kunstje’  van de beleidsafdeling maar maakt een wezenlijk onderdeel uit van het van het (strategisch) risicomanagement van de corporatie.

Erik van Marle en Rein Bakker, Nederlands Adviesbureau Risicomanagement


Een reactie plaatsen

Het verschil in risicomanagement bij een private en publieke organisatie!

publiek privaat

Regelmatig wordt deze vraag gesteld en iedere keer wordt er weer gegraven in mijn gestolde kennis (ervaring). Een paar overwegingen die ik met jullie wil delen zonder daar overigens nu al volledig in te willen zijn.

Publieke organisaties zijn veel meer gewend om (risico) verantwoording af te leggen over hun reilen en zeilen dan private organisaties. Waar private organisaties dit pas zijn gaan doen na de invoering van de Code Tabaksblat zit dit van oudsher al veel meer in het natuur van de publieke organisaties. Deze laatsten hebben altijd moeten functioneren met belangrijke stakeholders als gemeenten, zorgpartijen, woningcorporaties die allemaal in hetzelfde speelveld een rol hebben. In deze consternatie is verantwoording een vanzelfsprekendheid. Voor private partijen bleek de code Tabaksblat een struggle. ‘Pas toe of leg uit’ werd in het begin op verschillende wijze uitgelegd.

Private organisaties hebben de laatste jaren een flinke inhaalslag gemaakt. Daar waar veel publieke organisaties blijven hangen in de klassieke risicoparagraaf leggen private organisaties veel sterker de link tussen de performance en de daarbij behorende risico’s. In hun zogenaamde ‘sustainability reports’ gaat het erover hoe duurzaam hun strategie is en welke keuzen ze hierin gemaakt hebben. Qua risicomanagement gaat hun uitleg over hoe ze het hebben georganiseerd. Vanzelfsprekend gaan ze niet in op de risico’s en kansen die ze zien, dit is immers concurrentiegevoelige informatie. Publieke organisaties hebben ook te maken met deze gevoelige informatie maar voelen zich wel vaak verplicht deze risico’s te benoemen. Wat mij betreft niet noodzakelijk. Als stakeholder zou ik liever lezen hoe ze er voor zorgen dat de organisatie te allen tijde alert blijft!

Fraude (Imtech bijvoorbeeld) buiten beschouwing gelaten valt mij ook op dat in private organisaties risico’s veel sneller op tafel komen. Uit de vele gesprekken die ik hierover voer valt mij op dat dit hoofdzakelijk komt doordat risico’s veel sneller voor de betrokkenen relevant worden. Ze voelen veel sneller zelf de gevolgen doordat het rechtstreeks invloed heeft op resultaten. Dit in tegenstelling bij publieke organisaties. De gevolgen van risico’s worden minder persoonlijk gevoeld en doordat publieke organisaties vaak met meerjarige begrotingen werken vallen de (financiële)gevolgen vaak weg in het totaal.

Deze laatste hobbel is de grootste uitdaging. We raken hier immer de cultuur van de organisatie. Het management van een publieke organisatie zal dus veel meer moeite moeten doen om risico’s positief bespreekbaar te krijgen. De juiste vragen stellen is cruciaal.

Welke vragen stelt u?


3 reacties

Nooit meer strategiepijn!

Wat ga je doen als de strategieconsultant geweest is? Het koersplan is geschreven, doelstellingen zijn bepaald, waar wat dan. Wat vaak vergeten wordt, is de strategie concreet maken. Maak het operationeel voor de werkvloer, zodat de hele organisatie in de richting komt van waar de organisatie naartoe wil.

Dia1

Centraal in de taak van het management staat strategie(realisatie). De strategiekaart vormt de ontbrekende schakel tussen de formulering en uitvoering van strategie. Met de strategiekaart wordt risicomanagement voor bestuurders ook interessant. De strategiekaart vormt de basis voor de interne agenda en vraagt frequente aandacht van het management.

Door de dialoog over risico`s en prestaties gaande te houden wordt risicomanagement het proactieve en anticiperende stuurinstrument waar het voor bedoeld is. Het is een katalysator voor actiegerichtheid op de continue uitdagingen.

Veel gehoorde reactie van MT`s is dat het construeren van de strategiekaart net zo waardevol is als de kaart zelf. Maar het proces is niet eenvoudig. Het construeren zorgt voor discipline en logica in de strategische besluitvorming dat daarvoor veelal niet aanwezig was. Het eindresultaat is een basis voor interne en externe communicatie over doelstellingen en strategie. MT`s kunnen met de strategiekaart goed uitleggen waarom bepaalde zaken wel en andere niet worden ondernomen. Daar draait het om bij strategie, keuzes maken in de belangrijkste activiteiten die goed te onderbouwen zijn.

Strategie gaat om het selecteren van de activiteiten waarin de organisatie dient uit te blinken. De zogenaamde kritieke succesfactoren. Centraal bij het benoemen van kritieke succesfactoren (KSF) staat gegranuleerdheid. Dat betekent verder gaan dan algemeenheden als `onze medewerkers ontwikkelen` of `onze kernwaarden naleven` en focussen op de specifieke mogelijkheden en kenmerken die essentieel zijn voor het succes van de organisatie.

Vanuit de organisatie / de afdelingen dienen initiatieven te worden benoemd welke ondernomen worden om invulling te geven aan de KSF. Deze initiatieven leiden tot resultaten. Dat betekent dat uitvoering van strategie wordt gemanaged door de uitvoering van initiatieven.

De strategiekaart biedt het visuele kader om de doelstellingen van een organisatie in te integreren.

Meer over ‘nooit meer strategiepijn’ is te lezen in dit mooie boek!