Erik van Marle – Blog over risicomanagement

www.naris.com


1 reactie

Het Coronavirus als Extern Risico beschouwd

Ik hoop dat iedereen beseft hoe moeilijk het is om als overheid een afweging te maken in de huidige situatie rondom het Coronavirus. Het is echt niet het moment om op zoek te gaan naar fouten van de beslissers!

De waarde van Experts

En laten we ons alsjeblieft niet gek laten maken! Tetlock (2005) onderzocht over een periode van twintig jaar tienduizenden voorspellingen van honderden experts. Hij beoordeelde hoe goed ze waren in het schatten van waarschijnlijkheden en of ze in staat waren specifieke uitkomsten te voorspellen. De uitkomsten waren ronduit onthutsend maar bevestigen de conclusies van een groot aantal andere studies: de gemiddelde expert deed het niet veel beter dan een “dart-throwing chimp” die altijd op het statistisch gemiddelde uitkomt. Hoe gespecialiseerder en beroemder experts waren, hoe slechter ze bovendien bleken te presteren.

Specialisatie vernauwt het blikveld en vergroot de kans op het vinden van meer bewijs en gelijkgestemden om bestaande overtuigingen en gedane voorspellingen te bevestigen. Experts vallen niet alleen ten prooi aan dezelfde cognitieve biases als ieder ander, ze blijken door het koesteren van hun bekendheid en reputatie nog gevoeliger voor het maken van verkeerde inschattingen. Als experts eenmaal in boeken, presentaties en interviews een stelling hebben ingenomen, geven ze die niet snel op. Dezelfde media verleiden hen tegelijkertijd om bijzondere, afwijkende posities in te nemen om hun aantrekkingskracht en entertainmentwaarde voor toekomstige optredens te vergroten. (Bron artikel over externe risico’s in het maandblad voor accountancy en bedrijfseconomie, juli 2018, door Bood en Postma).

Risicomanagement

Als we naar de theorie van Risicomanagement kijken geeft dit namelijk al best duidelijke richtlijnen voor de aanpak van Externe risico’s. Als je ziet waar WEF (World Economic Forum) Infectioen diseases plaatst is dit in het quadrant Hoge Impact / Lage Kans.

Global Risk Report World Economic Forum

Beheersing

Kenmerkend voor de risico’s in dit quadrant is dat de beïnvloedbaarheid heel laag is. COSO geeft al aan dat dit soort risico’s allen geaccepteerd kunnen worden als de impact klein is, anders mitigeren of continuïteitsplannen klaar hebben liggen. De voor de hand liggende beheersing is om je te focussen op het inperken van de gevolgen. De oorzaak ligt immers buiten je invloedssfeer. Volledig in lijn met wat er nu met het Coronavirus aan de hand is.

Het ‘normale proces’ in het geval van Externe risico’s:

  • Bepaal in welke mate ze de bedrijfsvoering kunnen beïnvloeden;
  • Doordenk de verschillende scenario’s; worst / normal / best case;
  • Zorg dat er plannen (op hoofdlijnen is voldoende) klaarliggen om een eerste respons te kunnen geven. Over het algemeen bewegen dit soort risico’s zich langzaam en is er dus tijd om je voor te bereiden. Dit was ook zo bij het Coronavirus voor Europa;
  • Zorg dat er een vooraf doordachte lijst met mogelijke gevolgen klaar ligt;
  • Bedenk hoe de verschillende gevolgen beperkt kunnen worden;
  • Realiseer je dat bij dit soort risico’s maatregelen eigenlijk nooit rigide genoeg kunnen zijn. Watkins en Bazerman (2003) en Kaplan en Mikes (20120 gaven al aan dat et belangrijk is om hier het voorstellingsvermogen wat op te rekken.

Een aantal andere voorbeelden waaruit al blijkt dat we niet ver genoeg kunnen gaan in het bedenken / toepassen van maatregelen:

In geval van een brand wordt er meteen worst case gedacht en direct al het personeel geëvacueerd, direct naastgelegen gebouwen natgehouden, etc.

De recente cyber attacks hebben geleerd dat het alleen helpt als je alles platlegt en van daaruit opnieuw begint met opbouwen.

De terroristische aanslagen leren ons dat alleen volledige opschaling resultaat oplevert. Het heeft geen zin om stapsgewijs een gebied af te sluiten of mondjesmaat de hulpdiensten in te schakelen.

Ik ben heel blij dat we nu alles afsluiten en zo de verspreiding hopelijk kunnen tegengaan. Het openbaar vervoer ook nog? We hebben gewoon de kennis nog niet over hoe dit virus zich verspreidt en welke impact het heeft op levens. De enige manier om verspreiding tegen te gaan is het stopzetten van vervoer / contacten tussen personen.

Een mooi voorbeeld vind ik ook de maatregel uit de UK om de meest risicovolle groep van 70+ers echt thuis in quarantaine te zetten de komende 4 weken zodat de ziekenhuizen beschikbaar blijven voor de anderen. Zo zorg je ervoor dat de vitale ziekenhuis infrastructuur voor kan blijven functioneren!

Wens

Ik hoop vurig dat we deze crisis aangrijpen om van te leren zodat wij een volgende keer dit soort risico’s nog sneller onder controle zullen hebben. Zou het ons lukken om niet weer te verzanden in de eeuwige Schuldvraag? Media help eens!


Een reactie plaatsen

Het verschil in risicomanagement bij een private en publieke organisatie!

publiek privaat

Regelmatig wordt deze vraag gesteld en iedere keer wordt er weer gegraven in mijn gestolde kennis (ervaring). Een paar overwegingen die ik met jullie wil delen zonder daar overigens nu al volledig in te willen zijn.

Publieke organisaties zijn veel meer gewend om (risico) verantwoording af te leggen over hun reilen en zeilen dan private organisaties. Waar private organisaties dit pas zijn gaan doen na de invoering van de Code Tabaksblat zit dit van oudsher al veel meer in het natuur van de publieke organisaties. Deze laatsten hebben altijd moeten functioneren met belangrijke stakeholders als gemeenten, zorgpartijen, woningcorporaties die allemaal in hetzelfde speelveld een rol hebben. In deze consternatie is verantwoording een vanzelfsprekendheid. Voor private partijen bleek de code Tabaksblat een struggle. ‘Pas toe of leg uit’ werd in het begin op verschillende wijze uitgelegd.

Private organisaties hebben de laatste jaren een flinke inhaalslag gemaakt. Daar waar veel publieke organisaties blijven hangen in de klassieke risicoparagraaf leggen private organisaties veel sterker de link tussen de performance en de daarbij behorende risico’s. In hun zogenaamde ‘sustainability reports’ gaat het erover hoe duurzaam hun strategie is en welke keuzen ze hierin gemaakt hebben. Qua risicomanagement gaat hun uitleg over hoe ze het hebben georganiseerd. Vanzelfsprekend gaan ze niet in op de risico’s en kansen die ze zien, dit is immers concurrentiegevoelige informatie. Publieke organisaties hebben ook te maken met deze gevoelige informatie maar voelen zich wel vaak verplicht deze risico’s te benoemen. Wat mij betreft niet noodzakelijk. Als stakeholder zou ik liever lezen hoe ze er voor zorgen dat de organisatie te allen tijde alert blijft!

Fraude (Imtech bijvoorbeeld) buiten beschouwing gelaten valt mij ook op dat in private organisaties risico’s veel sneller op tafel komen. Uit de vele gesprekken die ik hierover voer valt mij op dat dit hoofdzakelijk komt doordat risico’s veel sneller voor de betrokkenen relevant worden. Ze voelen veel sneller zelf de gevolgen doordat het rechtstreeks invloed heeft op resultaten. Dit in tegenstelling bij publieke organisaties. De gevolgen van risico’s worden minder persoonlijk gevoeld en doordat publieke organisaties vaak met meerjarige begrotingen werken vallen de (financiële)gevolgen vaak weg in het totaal.

Deze laatste hobbel is de grootste uitdaging. We raken hier immer de cultuur van de organisatie. Het management van een publieke organisatie zal dus veel meer moeite moeten doen om risico’s positief bespreekbaar te krijgen. De juiste vragen stellen is cruciaal.

Welke vragen stelt u?


3 reacties

Nooit meer strategiepijn!

Wat ga je doen als de strategieconsultant geweest is? Het koersplan is geschreven, doelstellingen zijn bepaald, waar wat dan. Wat vaak vergeten wordt, is de strategie concreet maken. Maak het operationeel voor de werkvloer, zodat de hele organisatie in de richting komt van waar de organisatie naartoe wil.

Dia1

Centraal in de taak van het management staat strategie(realisatie). De strategiekaart vormt de ontbrekende schakel tussen de formulering en uitvoering van strategie. Met de strategiekaart wordt risicomanagement voor bestuurders ook interessant. De strategiekaart vormt de basis voor de interne agenda en vraagt frequente aandacht van het management.

Door de dialoog over risico`s en prestaties gaande te houden wordt risicomanagement het proactieve en anticiperende stuurinstrument waar het voor bedoeld is. Het is een katalysator voor actiegerichtheid op de continue uitdagingen.

Veel gehoorde reactie van MT`s is dat het construeren van de strategiekaart net zo waardevol is als de kaart zelf. Maar het proces is niet eenvoudig. Het construeren zorgt voor discipline en logica in de strategische besluitvorming dat daarvoor veelal niet aanwezig was. Het eindresultaat is een basis voor interne en externe communicatie over doelstellingen en strategie. MT`s kunnen met de strategiekaart goed uitleggen waarom bepaalde zaken wel en andere niet worden ondernomen. Daar draait het om bij strategie, keuzes maken in de belangrijkste activiteiten die goed te onderbouwen zijn.

Strategie gaat om het selecteren van de activiteiten waarin de organisatie dient uit te blinken. De zogenaamde kritieke succesfactoren. Centraal bij het benoemen van kritieke succesfactoren (KSF) staat gegranuleerdheid. Dat betekent verder gaan dan algemeenheden als `onze medewerkers ontwikkelen` of `onze kernwaarden naleven` en focussen op de specifieke mogelijkheden en kenmerken die essentieel zijn voor het succes van de organisatie.

Vanuit de organisatie / de afdelingen dienen initiatieven te worden benoemd welke ondernomen worden om invulling te geven aan de KSF. Deze initiatieven leiden tot resultaten. Dat betekent dat uitvoering van strategie wordt gemanaged door de uitvoering van initiatieven.

De strategiekaart biedt het visuele kader om de doelstellingen van een organisatie in te integreren.

Meer over ‘nooit meer strategiepijn’ is te lezen in dit mooie boek!


1 reactie

Keten Risicomanagement – and what about Too Big to ignore?

Bedrijven worden steeds afhankelijker van elkaar. Er zijn immers steeds meer kleinere bedrijven die in een specialisme heel erg groot zijn. Deze keten aan kleinere bedrijven zijn heel goed met elkaar in staat om een hele grote groep consumenten te bedienen.
Door deze nieuwe ontwikkeling ontstaan er nieuwe uitdagingen. Hoe waarborg je de kwaliteit? Hoe de veiligheid? Werken we conform dezelfde normen en waarden? Zien we dezelfde risico’s? Hebben we risicomanagement allemaal even hoog op de agenda staan?
Een sprekend voorbeeld is de zalmbacterie die aangetroffen werd in de zalm van Albert Heijn. Een van de vele leveranciers van AH. AH heeft haar standaarden waaraan voldaan moet worden. Dit bedrijf valt onder de inspectie Volksgezondheid en moet derhalve voldoen aan de standaarden voor voedselveiligheid. Hoe ver moet AH gaan in de controle? Ligt de bal bij AH of bij de toeleverancier?
Een ander voorbeeld is het risico rondom product integriteit. De risico’s aan het begin van de keten kunnen rampzalige gevolgen hebben voor het bedrijf aan het einde van de keten. Dit is immers het bedrijf dat in de publiciteit komt. Hoe leg je uit dat jouw producten niet maatschappelijk verantwoord zijn gemaakt? Een levensgroot imago probleem!
De huidige praktijk wijst uit dat dit soort voorbeelden leiden tot steeds meer bureaucratie. De risicoregelreflex is er volgens mij dus niet alleen vanuit de overheid. De checklisten zullen worden uitgebreid. Er worden nog meer voorwaarden gesteld op straffe van nog hogere boetes.
Wie stelt nog de vraag: had dit met de bestaande regels ook voorkomen kunnen worden?
Zo ja……
 
Naar mijn mening ligt de bal in eerste instantie bij de toeleverancier. Hier moet het verantwoordelijkheidsbesef komen dat er een continue verantwoordingsplicht is om aan te tonen dat er integer werk wordt verricht. Integriteit op het gebied van veiligheid, sustainability, risicomanagement, milieu, een gezonde financiële huishouding, energie, mensenrechten / arbeidsomstandigheden, etc. Deze verantwoordingsplicht moet niet worden gevoeld als een verplichting, maar als een kernwaarde zonder welke je niet wilt werken.
sustainabilityAfnemers zullen moeten leren dit voorafgaand aan de samenwerking duidelijk te maken en er ook echt op te sturen. 1 incident waarbij duidelijk de integriteit wordt geschonden en de samenwerking wordt ontbonden.
Er ligt volgens mij nog wel een uitdaging bij de hele grote toeleveranciers. Toeleveranciers waarvoor te weinig of geen alternatieven aanwezig zijn. Too Big To Ignore? Dit soort toeleveranciers wil je eigenlijk niet want op een gegeven moment kun je niet meer zonder. Hoe zorg je hier voor het juiste integriteitsbesef?
Of is dit meteen de juiste Red Flag waardoor je zelf meer moet gaan controleren en hier dus niet aan bureaucratie ontkomt?
 


Een reactie plaatsen

Waar zit de dynamiek van Risicomanagement?

Hoe voorkom je:

  • dat de bestuurder risicomanagement saai vindt?
  • dat de toezichthouder te inhoudelijk mee kijkt naar alle risico’s?
  • dat er op het laatste moment nog even het lijstje met risico’s door een MT lid wordt aangevuld?
  • dat risicomanagement alleen bij de controller/manager financien ligt?
  • etc.

Het antwoord:

Management van verwachtingen!

De dynamiek van een goed risicoprofiel zit in de beheersing van de risico’s. Hoe goed kun je laten zien als organisatie dat de beheersmaatregelen die je afspreekt ook daadwerkelijk z’n vruchten afwerpt? Het ultieme resultaat is er wanneer de organisatie haar ambities / doelstellingen weet te realiseren. Immers, ondernemen gaat met risico’s. Als je het resultaat behaald wat je voor ogen had heb je de bijbehorende risico’s goed weten te managen. ‘An every day job’.

Dia1Dit betekent dat de link met de strategie cruciaal is voor de communicatie over risico’s. Liefst visueel gemaakt door bijvoorbeeld een strategiekaart zoals hiernaast staat afgebeeld.

In 1 oogopslag wordt duidelijk dat de doelen gerealiseerd kunnen worden door de onderliggende cruciale activiteiten subliem uit te voeren. Dat hier risico’s bijhoren is logisch.

Onder normale omstandigheden vinden er slechts kleine aanpassingen gedurende een jaar plaats aan de strategie. En daarmee veranderen de risico’s ook slechts beperkt. De meeste verandering gaat zitten in de acties die genomen worden om de beheersmaatregelen adequaat en effectief uit te voeren.

Het goede gevoel:

  • De toezichthouder ziet hoe de organisatie zichzelf continue verbeterd door de beheersing te verbeteren om zo de strategie te kunnen realiseren;
  • De bestuurder gaat risicomanagement leuk vinden omdat het rechtstreeks gekoppeld is aan de ambities van de organisatie / hemzelf;
  • Het MT lid moet continue pro-actief bij de les zijn anders draagt hij niet bij aan de prestaties van de organisatie. Dit wordt heel snel duidelijk als de kaart maandelijks op tafel ligt!;
  • De controller hoeft alleen het net maar op te halen en de dialoog is een feit;
  • Etc.

Prestaties en risico’s gaan hand in hand


1 reactie

Waar zit de innovatie bij de (externe) toezichthouder?

Regelmatig stoor ik mij aan de voorzichtige woorden die toezichthouders gebruiken. Om maar niemand voor het hoofd te stoten. Om maar geen vertrouwensbreuk te veroorzaken. Om maar niet de ‘goede’ te beschadigen. Etc.

Ik neem als voorbeeld de privacy wetgeving rondom persoonsgegevens. Welke informatie mag wel en welke niet gebruikt worden? Er zijn hier allerlei regels en procedures voor ingericht dat het zelfs zover gaat dat informatie opgehaald door de ene helft van de organisatie niet gebruikt mag worden door de andere helft. Op dit moment is er waarschijnlijk geen landschap dat door social media zo snel verandert als privacy. Dit valt niet bij te houden door meer regels en procedures!

We moeten eens leren om nieuwe lijntjes te tekenen. Als je begint met een nieuw blad ligt alles nog open.

durf

Durf eens;

  • toezicht te houden gebaseerd op waarden en normen;
  • als uitgangspunt te nemen dat er geen oneigenlijk gebruik wordt gemaakt van vrijheden die afgegeven worden;
  • te accepteren dat klanten / consumenten zelf gaan aangeven wat ze wel en niet accepteren;
  • aan tafel te zitten en de dialoog kwetsbaar te voeren.

Onze context zal blijven veranderen. De risicobereidheid gaat op sommige vlakken toenemen en op andere juist afnemen. Als toezichthouder moet je vooruit durven kijken en maatschappelijke trends volgen en interpreteren.

Dashboards zijn de krant van gisteren, de interpretatie de sturing op morgen. Daarmee beheers je de echt significante risico’s.


Een reactie plaatsen

Ontspannen toezichthouders krijgen scherpe bestuurders

We gaan hier niet het antwoord geven op wanneer u een goede toezichthouder bent. Dat weet ik gewoonweg niet. Ik zie echter wel veel toezichthouders voorbij komen en deel hier de ervaringen.

comfortzoneEen rode draad die mij opvalt is de mate van ontspannenheid. En dan niet alleen wanneer het goed gaat maar ook wanneer het niet goed gaat. Weten wanneer je voor de bestuurder staat en wanneer er achter.

Ontspannen toezichthouders:

Stellen betere vragen, kennen ieder moment hun rol, helpen maar nemen niet over, zijn bereikbaar voor iedereen, zorgen voor een goede sfeer, houden van ondernemen en dus van risico’s, houden ook van verantwoording maar niet van bureaucratie, houden van een zelfverzekerde kwetsbare bestuurder, zien toezicht als 24/7/365 per jaar, durven zelf ook!, houden van alternatieven, hebben waardering voor gevoel, spreken zich uit, etc.

Een bestuurder met een ontspannen toezichthouder hoeft niet op scherp te worden gezet, dat staat hij continue!

 

Wat doet een toezichthouder die niet ontspannen is?


Een reactie plaatsen

Uiteindelijk draait risicomanagement om WAARDE

Wij zijn er met z’n allen goed in om alles in cijfers uit te drukken. Projecten worden het liefst gemeten iKlunenn TIJD/GELD EN KWALITEIT.

En weer verlaat een tevreden klant het pand…

(Herman Finkers)

Maar zo kan het voorkomen dat een project keurig binnen de afgesproken kaders blijft maar bij oplevering geen waarde meer heeft. Dit speelt veelal bij langlopende projecten. Maar ik voorspel dat dit steeds meer gaat gebeuren. Immers, de context waarin we opereren verandert steeds sneller en innovaties volgens elkaar steeds sneller op.

Waardesturing

De reden die ik zie dat men de waarde uit het oog verliest is dat er alleen maar binnen het project naar de risico’s en kansen wordt gekeken. Ik zie veel te weinig analyses waarbij ook de vooraf bedachte waarde die het project zou moeten opleveren wordt gemonitord. Doet men dit wel dan kan men pas echt sturen en zou ook veel vaker de vraag voorliggen of men moet versnellen, vertragen of zelfs stoppen. Beter ten halve gekeerd dan ten hele gedwaald!

De grote risico’s zitten dus in de aansluiting van het project op de omgeving. Risicomanagement analyses moeten derhalve altijd risk versus return aspecten in zich hebben. Deze return zit in de eerste plaats op het niveau of er nog wel waarde wordt gecreëerd. En natuurlijk is ook ieder individueel risico een afweging maar mijns inziens echt van een andere orde.

Dit gezegd hebbende; wellicht zijn scopewijzigingen helemaal zo slecht nog niet!


Een reactie plaatsen

DE eigenschap van een professionele toezichthouder moet zijn…..

Verwondering

……VERWONDERING

Zou het kunnen?
Iedere keer weer aan tafel te gaan zitten en jezelf te verwonderen?
Echt vragen stellen zonder vooroordeel?
Vragen niet gebaseerd op je stokpaardjes?
Vragen oprecht vanuit je persoonlijke verantwoordelijkheidsgevoel?
Vragen vanuit de juiste intentie?
Vragen vanuit vertrouwen?
Niet om te controleren maar om te begrijpen?

Om dit kunnen moeten toezichthouders volgens mij veel afleren (het moeilijkste wat er is). Zullen we raden anders moeten samenstellen. De traditionele inrichting (accountant, oud-bestuurder, jurist, branchespecialist, etc) zou misschien niet meer volstaan. Immers, als je vanuit kennis en expertise wordt aangesteld ga je daar ook naar handelen. En je ziet dan alleen waar je naar kijkt.

Natuurlijk geldt ook hier dat een combinatie waarschijnlijk het beste werkt. Dit vraagt echt heel veel zorgvuldigheid bij de samenstelling en het functioneren van de Raad. Karaktereigenschappen, omgangsvormen, assertiviteit, sensitiviteit, introvert, extravert, emotioneel, etc. Allemaal zaken die naar mijn mening nu niet expliciet worden meegenomen bij de samenstelling van de Raad.

En degene die de Raad mag voorzitten mag de grootste verwonderaar zijn. Het schaap met de vijf poten? Alleen voorzitten en zorgen dat de goede beslissing genomen wordt en de juiste vragen door iedereen worden gesteld. Ga er maar aan staan. Je eigen ego volledig dienstbaar aan de vergadering opofferen.

zien jullie oud bestuurders/directeuren of moet ik zeggen beslissers dit al doen?


Een reactie plaatsen

Risicomanagement draait om discipline en mentaliteit!

Vele organisaties geven hoog op over hun risicomanagement. Systemen zijn ingericht, mensen worden getraind op kennis en vaardigheden, het is onderdeel van de Planning en Control Cyclus, jaarlijks worden risicoanalyse gehouden, etc. We kennen allemaal het COSO model, de ISO 31000 norm, MOR wellicht ook nog. Aan alle vereisten wordt voldaan. Toch? geloof-in-eigen-kunnen

En we twijfelen allemaal of al deze inspanningen voldoende zijn. En bij twijfel gaan we nog meer doen / inrichten /rapporteren.

Waar draait het naar mijn mening echt om?

Discipline
Welke organisaties hebben de discipline risicobewust te handelen. Bij iedere beslissing de afweging te maken of de risico’s opwegen tegen de kansen. Staan ze in verhouding tot elkaar? Welke organisatie heeft de toewijding, het commitment om deze risicoafweging echt onderdeel uit te laten maken van iedere besluitvorming. En niet te wachten tot de volgde P&C Cyclus.

Mentaliteit
Om de discipline op te kunnen brengen is de juiste mentaliteit nodig. Risicoalertheid ontstaat als het onderdeel wordt van het denk- en gedragspatroon van de organisatie. Alleen dan bereik je dat we elkaar durven aan te spreken en erop te attenderen dat risicoalert handelen ons successen brengt. Deze mentaliteit maakt organisaties succesvol.

Systemen zijn op te zetten en te omzeilen, af te vinken. Kennis is te trainen en te vergeten. Vaardigheden zijn aan te leren en weer te vergeten. Als Mentaliteit en Discipline onderdeel zijn van het gedachtegoed van een organisatie valt er niet aan te ontkomen. Je bent onderdeel van de organisatie en anders past het niet! Rollen, verantwoordelijkheden en bevoegdheden zijn duidelijk en bespreekbaar op ieder moment.

En daarom, risicomanagement valt alleen als organisatie in z’n totaliteit te implementeren en niet ergens te beginnen en te hopen dat het overwaait.