Erik van Marle – Blog over risicomanagement

www.naris.com


Een reactie plaatsen

Het verschil in risicomanagement bij een private en publieke organisatie!

publiek privaat

Regelmatig wordt deze vraag gesteld en iedere keer wordt er weer gegraven in mijn gestolde kennis (ervaring). Een paar overwegingen die ik met jullie wil delen zonder daar overigens nu al volledig in te willen zijn.

Publieke organisaties zijn veel meer gewend om (risico) verantwoording af te leggen over hun reilen en zeilen dan private organisaties. Waar private organisaties dit pas zijn gaan doen na de invoering van de Code Tabaksblat zit dit van oudsher al veel meer in het natuur van de publieke organisaties. Deze laatsten hebben altijd moeten functioneren met belangrijke stakeholders als gemeenten, zorgpartijen, woningcorporaties die allemaal in hetzelfde speelveld een rol hebben. In deze consternatie is verantwoording een vanzelfsprekendheid. Voor private partijen bleek de code Tabaksblat een struggle. ‘Pas toe of leg uit’ werd in het begin op verschillende wijze uitgelegd.

Private organisaties hebben de laatste jaren een flinke inhaalslag gemaakt. Daar waar veel publieke organisaties blijven hangen in de klassieke risicoparagraaf leggen private organisaties veel sterker de link tussen de performance en de daarbij behorende risico’s. In hun zogenaamde ‘sustainability reports’ gaat het erover hoe duurzaam hun strategie is en welke keuzen ze hierin gemaakt hebben. Qua risicomanagement gaat hun uitleg over hoe ze het hebben georganiseerd. Vanzelfsprekend gaan ze niet in op de risico’s en kansen die ze zien, dit is immers concurrentiegevoelige informatie. Publieke organisaties hebben ook te maken met deze gevoelige informatie maar voelen zich wel vaak verplicht deze risico’s te benoemen. Wat mij betreft niet noodzakelijk. Als stakeholder zou ik liever lezen hoe ze er voor zorgen dat de organisatie te allen tijde alert blijft!

Fraude (Imtech bijvoorbeeld) buiten beschouwing gelaten valt mij ook op dat in private organisaties risico’s veel sneller op tafel komen. Uit de vele gesprekken die ik hierover voer valt mij op dat dit hoofdzakelijk komt doordat risico’s veel sneller voor de betrokkenen relevant worden. Ze voelen veel sneller zelf de gevolgen doordat het rechtstreeks invloed heeft op resultaten. Dit in tegenstelling bij publieke organisaties. De gevolgen van risico’s worden minder persoonlijk gevoeld en doordat publieke organisaties vaak met meerjarige begrotingen werken vallen de (financiële)gevolgen vaak weg in het totaal.

Deze laatste hobbel is de grootste uitdaging. We raken hier immer de cultuur van de organisatie. Het management van een publieke organisatie zal dus veel meer moeite moeten doen om risico’s positief bespreekbaar te krijgen. De juiste vragen stellen is cruciaal.

Welke vragen stelt u?

Advertenties


3 reacties

Nooit meer strategiepijn!

Wat ga je doen als de strategieconsultant geweest is? Het koersplan is geschreven, doelstellingen zijn bepaald, waar wat dan. Wat vaak vergeten wordt, is de strategie concreet maken. Maak het operationeel voor de werkvloer, zodat de hele organisatie in de richting komt van waar de organisatie naartoe wil.

Dia1

Centraal in de taak van het management staat strategie(realisatie). De strategiekaart vormt de ontbrekende schakel tussen de formulering en uitvoering van strategie. Met de strategiekaart wordt risicomanagement voor bestuurders ook interessant. De strategiekaart vormt de basis voor de interne agenda en vraagt frequente aandacht van het management.

Door de dialoog over risico`s en prestaties gaande te houden wordt risicomanagement het proactieve en anticiperende stuurinstrument waar het voor bedoeld is. Het is een katalysator voor actiegerichtheid op de continue uitdagingen.

Veel gehoorde reactie van MT`s is dat het construeren van de strategiekaart net zo waardevol is als de kaart zelf. Maar het proces is niet eenvoudig. Het construeren zorgt voor discipline en logica in de strategische besluitvorming dat daarvoor veelal niet aanwezig was. Het eindresultaat is een basis voor interne en externe communicatie over doelstellingen en strategie. MT`s kunnen met de strategiekaart goed uitleggen waarom bepaalde zaken wel en andere niet worden ondernomen. Daar draait het om bij strategie, keuzes maken in de belangrijkste activiteiten die goed te onderbouwen zijn.

Strategie gaat om het selecteren van de activiteiten waarin de organisatie dient uit te blinken. De zogenaamde kritieke succesfactoren. Centraal bij het benoemen van kritieke succesfactoren (KSF) staat gegranuleerdheid. Dat betekent verder gaan dan algemeenheden als `onze medewerkers ontwikkelen` of `onze kernwaarden naleven` en focussen op de specifieke mogelijkheden en kenmerken die essentieel zijn voor het succes van de organisatie.

Vanuit de organisatie / de afdelingen dienen initiatieven te worden benoemd welke ondernomen worden om invulling te geven aan de KSF. Deze initiatieven leiden tot resultaten. Dat betekent dat uitvoering van strategie wordt gemanaged door de uitvoering van initiatieven.

De strategiekaart biedt het visuele kader om de doelstellingen van een organisatie in te integreren.

Meer over ‘nooit meer strategiepijn’ is te lezen in dit mooie boek!


1 reactie

Keten Risicomanagement – and what about Too Big to ignore?

Bedrijven worden steeds afhankelijker van elkaar. Er zijn immers steeds meer kleinere bedrijven die in een specialisme heel erg groot zijn. Deze keten aan kleinere bedrijven zijn heel goed met elkaar in staat om een hele grote groep consumenten te bedienen.
Door deze nieuwe ontwikkeling ontstaan er nieuwe uitdagingen. Hoe waarborg je de kwaliteit? Hoe de veiligheid? Werken we conform dezelfde normen en waarden? Zien we dezelfde risico’s? Hebben we risicomanagement allemaal even hoog op de agenda staan?
Een sprekend voorbeeld is de zalmbacterie die aangetroffen werd in de zalm van Albert Heijn. Een van de vele leveranciers van AH. AH heeft haar standaarden waaraan voldaan moet worden. Dit bedrijf valt onder de inspectie Volksgezondheid en moet derhalve voldoen aan de standaarden voor voedselveiligheid. Hoe ver moet AH gaan in de controle? Ligt de bal bij AH of bij de toeleverancier?
Een ander voorbeeld is het risico rondom product integriteit. De risico’s aan het begin van de keten kunnen rampzalige gevolgen hebben voor het bedrijf aan het einde van de keten. Dit is immers het bedrijf dat in de publiciteit komt. Hoe leg je uit dat jouw producten niet maatschappelijk verantwoord zijn gemaakt? Een levensgroot imago probleem!
De huidige praktijk wijst uit dat dit soort voorbeelden leiden tot steeds meer bureaucratie. De risicoregelreflex is er volgens mij dus niet alleen vanuit de overheid. De checklisten zullen worden uitgebreid. Er worden nog meer voorwaarden gesteld op straffe van nog hogere boetes.
Wie stelt nog de vraag: had dit met de bestaande regels ook voorkomen kunnen worden?
Zo ja……
 
Naar mijn mening ligt de bal in eerste instantie bij de toeleverancier. Hier moet het verantwoordelijkheidsbesef komen dat er een continue verantwoordingsplicht is om aan te tonen dat er integer werk wordt verricht. Integriteit op het gebied van veiligheid, sustainability, risicomanagement, milieu, een gezonde financiële huishouding, energie, mensenrechten / arbeidsomstandigheden, etc. Deze verantwoordingsplicht moet niet worden gevoeld als een verplichting, maar als een kernwaarde zonder welke je niet wilt werken.
sustainabilityAfnemers zullen moeten leren dit voorafgaand aan de samenwerking duidelijk te maken en er ook echt op te sturen. 1 incident waarbij duidelijk de integriteit wordt geschonden en de samenwerking wordt ontbonden.
Er ligt volgens mij nog wel een uitdaging bij de hele grote toeleveranciers. Toeleveranciers waarvoor te weinig of geen alternatieven aanwezig zijn. Too Big To Ignore? Dit soort toeleveranciers wil je eigenlijk niet want op een gegeven moment kun je niet meer zonder. Hoe zorg je hier voor het juiste integriteitsbesef?
Of is dit meteen de juiste Red Flag waardoor je zelf meer moet gaan controleren en hier dus niet aan bureaucratie ontkomt?
 


Een reactie plaatsen

Waar zit de dynamiek van Risicomanagement?

Hoe voorkom je:

  • dat de bestuurder risicomanagement saai vindt?
  • dat de toezichthouder te inhoudelijk mee kijkt naar alle risico’s?
  • dat er op het laatste moment nog even het lijstje met risico’s door een MT lid wordt aangevuld?
  • dat risicomanagement alleen bij de controller/manager financien ligt?
  • etc.

Het antwoord:

Management van verwachtingen!

De dynamiek van een goed risicoprofiel zit in de beheersing van de risico’s. Hoe goed kun je laten zien als organisatie dat de beheersmaatregelen die je afspreekt ook daadwerkelijk z’n vruchten afwerpt? Het ultieme resultaat is er wanneer de organisatie haar ambities / doelstellingen weet te realiseren. Immers, ondernemen gaat met risico’s. Als je het resultaat behaald wat je voor ogen had heb je de bijbehorende risico’s goed weten te managen. ‘An every day job’.

Dia1Dit betekent dat de link met de strategie cruciaal is voor de communicatie over risico’s. Liefst visueel gemaakt door bijvoorbeeld een strategiekaart zoals hiernaast staat afgebeeld.

In 1 oogopslag wordt duidelijk dat de doelen gerealiseerd kunnen worden door de onderliggende cruciale activiteiten subliem uit te voeren. Dat hier risico’s bijhoren is logisch.

Onder normale omstandigheden vinden er slechts kleine aanpassingen gedurende een jaar plaats aan de strategie. En daarmee veranderen de risico’s ook slechts beperkt. De meeste verandering gaat zitten in de acties die genomen worden om de beheersmaatregelen adequaat en effectief uit te voeren.

Het goede gevoel:

  • De toezichthouder ziet hoe de organisatie zichzelf continue verbeterd door de beheersing te verbeteren om zo de strategie te kunnen realiseren;
  • De bestuurder gaat risicomanagement leuk vinden omdat het rechtstreeks gekoppeld is aan de ambities van de organisatie / hemzelf;
  • Het MT lid moet continue pro-actief bij de les zijn anders draagt hij niet bij aan de prestaties van de organisatie. Dit wordt heel snel duidelijk als de kaart maandelijks op tafel ligt!;
  • De controller hoeft alleen het net maar op te halen en de dialoog is een feit;
  • Etc.

Prestaties en risico’s gaan hand in hand


1 reactie

Waar zit de innovatie bij de (externe) toezichthouder?

Regelmatig stoor ik mij aan de voorzichtige woorden die toezichthouders gebruiken. Om maar niemand voor het hoofd te stoten. Om maar geen vertrouwensbreuk te veroorzaken. Om maar niet de ‘goede’ te beschadigen. Etc.

Ik neem als voorbeeld de privacy wetgeving rondom persoonsgegevens. Welke informatie mag wel en welke niet gebruikt worden? Er zijn hier allerlei regels en procedures voor ingericht dat het zelfs zover gaat dat informatie opgehaald door de ene helft van de organisatie niet gebruikt mag worden door de andere helft. Op dit moment is er waarschijnlijk geen landschap dat door social media zo snel verandert als privacy. Dit valt niet bij te houden door meer regels en procedures!

We moeten eens leren om nieuwe lijntjes te tekenen. Als je begint met een nieuw blad ligt alles nog open.

durf

Durf eens;

  • toezicht te houden gebaseerd op waarden en normen;
  • als uitgangspunt te nemen dat er geen oneigenlijk gebruik wordt gemaakt van vrijheden die afgegeven worden;
  • te accepteren dat klanten / consumenten zelf gaan aangeven wat ze wel en niet accepteren;
  • aan tafel te zitten en de dialoog kwetsbaar te voeren.

Onze context zal blijven veranderen. De risicobereidheid gaat op sommige vlakken toenemen en op andere juist afnemen. Als toezichthouder moet je vooruit durven kijken en maatschappelijke trends volgen en interpreteren.

Dashboards zijn de krant van gisteren, de interpretatie de sturing op morgen. Daarmee beheers je de echt significante risico’s.


Een reactie plaatsen

Ontspannen toezichthouders krijgen scherpe bestuurders

We gaan hier niet het antwoord geven op wanneer u een goede toezichthouder bent. Dat weet ik gewoonweg niet. Ik zie echter wel veel toezichthouders voorbij komen en deel hier de ervaringen.

comfortzoneEen rode draad die mij opvalt is de mate van ontspannenheid. En dan niet alleen wanneer het goed gaat maar ook wanneer het niet goed gaat. Weten wanneer je voor de bestuurder staat en wanneer er achter.

Ontspannen toezichthouders:

Stellen betere vragen, kennen ieder moment hun rol, helpen maar nemen niet over, zijn bereikbaar voor iedereen, zorgen voor een goede sfeer, houden van ondernemen en dus van risico’s, houden ook van verantwoording maar niet van bureaucratie, houden van een zelfverzekerde kwetsbare bestuurder, zien toezicht als 24/7/365 per jaar, durven zelf ook!, houden van alternatieven, hebben waardering voor gevoel, spreken zich uit, etc.

Een bestuurder met een ontspannen toezichthouder hoeft niet op scherp te worden gezet, dat staat hij continue!

 

Wat doet een toezichthouder die niet ontspannen is?


Een reactie plaatsen

Uiteindelijk draait risicomanagement om WAARDE

Wij zijn er met z’n allen goed in om alles in cijfers uit te drukken. Projecten worden het liefst gemeten iKlunenn TIJD/GELD EN KWALITEIT.

En weer verlaat een tevreden klant het pand…

(Herman Finkers)

Maar zo kan het voorkomen dat een project keurig binnen de afgesproken kaders blijft maar bij oplevering geen waarde meer heeft. Dit speelt veelal bij langlopende projecten. Maar ik voorspel dat dit steeds meer gaat gebeuren. Immers, de context waarin we opereren verandert steeds sneller en innovaties volgens elkaar steeds sneller op.

Waardesturing

De reden die ik zie dat men de waarde uit het oog verliest is dat er alleen maar binnen het project naar de risico’s en kansen wordt gekeken. Ik zie veel te weinig analyses waarbij ook de vooraf bedachte waarde die het project zou moeten opleveren wordt gemonitord. Doet men dit wel dan kan men pas echt sturen en zou ook veel vaker de vraag voorliggen of men moet versnellen, vertragen of zelfs stoppen. Beter ten halve gekeerd dan ten hele gedwaald!

De grote risico’s zitten dus in de aansluiting van het project op de omgeving. Risicomanagement analyses moeten derhalve altijd risk versus return aspecten in zich hebben. Deze return zit in de eerste plaats op het niveau of er nog wel waarde wordt gecreëerd. En natuurlijk is ook ieder individueel risico een afweging maar mijns inziens echt van een andere orde.

Dit gezegd hebbende; wellicht zijn scopewijzigingen helemaal zo slecht nog niet!