Erik van Marle – Blog over risicomanagement

www.naris.com


Een reactie plaatsen

Het verschil in risicomanagement bij een private en publieke organisatie!

publiek privaat

Regelmatig wordt deze vraag gesteld en iedere keer wordt er weer gegraven in mijn gestolde kennis (ervaring). Een paar overwegingen die ik met jullie wil delen zonder daar overigens nu al volledig in te willen zijn.

Publieke organisaties zijn veel meer gewend om (risico) verantwoording af te leggen over hun reilen en zeilen dan private organisaties. Waar private organisaties dit pas zijn gaan doen na de invoering van de Code Tabaksblat zit dit van oudsher al veel meer in het natuur van de publieke organisaties. Deze laatsten hebben altijd moeten functioneren met belangrijke stakeholders als gemeenten, zorgpartijen, woningcorporaties die allemaal in hetzelfde speelveld een rol hebben. In deze consternatie is verantwoording een vanzelfsprekendheid. Voor private partijen bleek de code Tabaksblat een struggle. ‘Pas toe of leg uit’ werd in het begin op verschillende wijze uitgelegd.

Private organisaties hebben de laatste jaren een flinke inhaalslag gemaakt. Daar waar veel publieke organisaties blijven hangen in de klassieke risicoparagraaf leggen private organisaties veel sterker de link tussen de performance en de daarbij behorende risico’s. In hun zogenaamde ‘sustainability reports’ gaat het erover hoe duurzaam hun strategie is en welke keuzen ze hierin gemaakt hebben. Qua risicomanagement gaat hun uitleg over hoe ze het hebben georganiseerd. Vanzelfsprekend gaan ze niet in op de risico’s en kansen die ze zien, dit is immers concurrentiegevoelige informatie. Publieke organisaties hebben ook te maken met deze gevoelige informatie maar voelen zich wel vaak verplicht deze risico’s te benoemen. Wat mij betreft niet noodzakelijk. Als stakeholder zou ik liever lezen hoe ze er voor zorgen dat de organisatie te allen tijde alert blijft!

Fraude (Imtech bijvoorbeeld) buiten beschouwing gelaten valt mij ook op dat in private organisaties risico’s veel sneller op tafel komen. Uit de vele gesprekken die ik hierover voer valt mij op dat dit hoofdzakelijk komt doordat risico’s veel sneller voor de betrokkenen relevant worden. Ze voelen veel sneller zelf de gevolgen doordat het rechtstreeks invloed heeft op resultaten. Dit in tegenstelling bij publieke organisaties. De gevolgen van risico’s worden minder persoonlijk gevoeld en doordat publieke organisaties vaak met meerjarige begrotingen werken vallen de (financiële)gevolgen vaak weg in het totaal.

Deze laatste hobbel is de grootste uitdaging. We raken hier immer de cultuur van de organisatie. Het management van een publieke organisatie zal dus veel meer moeite moeten doen om risico’s positief bespreekbaar te krijgen. De juiste vragen stellen is cruciaal.

Welke vragen stelt u?

Advertenties


3 reacties

Nooit meer strategiepijn!

Wat ga je doen als de strategieconsultant geweest is? Het koersplan is geschreven, doelstellingen zijn bepaald, waar wat dan. Wat vaak vergeten wordt, is de strategie concreet maken. Maak het operationeel voor de werkvloer, zodat de hele organisatie in de richting komt van waar de organisatie naartoe wil.

Dia1

Centraal in de taak van het management staat strategie(realisatie). De strategiekaart vormt de ontbrekende schakel tussen de formulering en uitvoering van strategie. Met de strategiekaart wordt risicomanagement voor bestuurders ook interessant. De strategiekaart vormt de basis voor de interne agenda en vraagt frequente aandacht van het management.

Door de dialoog over risico`s en prestaties gaande te houden wordt risicomanagement het proactieve en anticiperende stuurinstrument waar het voor bedoeld is. Het is een katalysator voor actiegerichtheid op de continue uitdagingen.

Veel gehoorde reactie van MT`s is dat het construeren van de strategiekaart net zo waardevol is als de kaart zelf. Maar het proces is niet eenvoudig. Het construeren zorgt voor discipline en logica in de strategische besluitvorming dat daarvoor veelal niet aanwezig was. Het eindresultaat is een basis voor interne en externe communicatie over doelstellingen en strategie. MT`s kunnen met de strategiekaart goed uitleggen waarom bepaalde zaken wel en andere niet worden ondernomen. Daar draait het om bij strategie, keuzes maken in de belangrijkste activiteiten die goed te onderbouwen zijn.

Strategie gaat om het selecteren van de activiteiten waarin de organisatie dient uit te blinken. De zogenaamde kritieke succesfactoren. Centraal bij het benoemen van kritieke succesfactoren (KSF) staat gegranuleerdheid. Dat betekent verder gaan dan algemeenheden als `onze medewerkers ontwikkelen` of `onze kernwaarden naleven` en focussen op de specifieke mogelijkheden en kenmerken die essentieel zijn voor het succes van de organisatie.

Vanuit de organisatie / de afdelingen dienen initiatieven te worden benoemd welke ondernomen worden om invulling te geven aan de KSF. Deze initiatieven leiden tot resultaten. Dat betekent dat uitvoering van strategie wordt gemanaged door de uitvoering van initiatieven.

De strategiekaart biedt het visuele kader om de doelstellingen van een organisatie in te integreren.

Meer over ‘nooit meer strategiepijn’ is te lezen in dit mooie boek!


Een reactie plaatsen

DE eigenschap van een professionele toezichthouder moet zijn…..

Verwondering

……VERWONDERING

Zou het kunnen?
Iedere keer weer aan tafel te gaan zitten en jezelf te verwonderen?
Echt vragen stellen zonder vooroordeel?
Vragen niet gebaseerd op je stokpaardjes?
Vragen oprecht vanuit je persoonlijke verantwoordelijkheidsgevoel?
Vragen vanuit de juiste intentie?
Vragen vanuit vertrouwen?
Niet om te controleren maar om te begrijpen?

Om dit kunnen moeten toezichthouders volgens mij veel afleren (het moeilijkste wat er is). Zullen we raden anders moeten samenstellen. De traditionele inrichting (accountant, oud-bestuurder, jurist, branchespecialist, etc) zou misschien niet meer volstaan. Immers, als je vanuit kennis en expertise wordt aangesteld ga je daar ook naar handelen. En je ziet dan alleen waar je naar kijkt.

Natuurlijk geldt ook hier dat een combinatie waarschijnlijk het beste werkt. Dit vraagt echt heel veel zorgvuldigheid bij de samenstelling en het functioneren van de Raad. Karaktereigenschappen, omgangsvormen, assertiviteit, sensitiviteit, introvert, extravert, emotioneel, etc. Allemaal zaken die naar mijn mening nu niet expliciet worden meegenomen bij de samenstelling van de Raad.

En degene die de Raad mag voorzitten mag de grootste verwonderaar zijn. Het schaap met de vijf poten? Alleen voorzitten en zorgen dat de goede beslissing genomen wordt en de juiste vragen door iedereen worden gesteld. Ga er maar aan staan. Je eigen ego volledig dienstbaar aan de vergadering opofferen.

zien jullie oud bestuurders/directeuren of moet ik zeggen beslissers dit al doen?


Een reactie plaatsen

Risicomanagement draait om discipline en mentaliteit!

Vele organisaties geven hoog op over hun risicomanagement. Systemen zijn ingericht, mensen worden getraind op kennis en vaardigheden, het is onderdeel van de Planning en Control Cyclus, jaarlijks worden risicoanalyse gehouden, etc. We kennen allemaal het COSO model, de ISO 31000 norm, MOR wellicht ook nog. Aan alle vereisten wordt voldaan. Toch? geloof-in-eigen-kunnen

En we twijfelen allemaal of al deze inspanningen voldoende zijn. En bij twijfel gaan we nog meer doen / inrichten /rapporteren.

Waar draait het naar mijn mening echt om?

Discipline
Welke organisaties hebben de discipline risicobewust te handelen. Bij iedere beslissing de afweging te maken of de risico’s opwegen tegen de kansen. Staan ze in verhouding tot elkaar? Welke organisatie heeft de toewijding, het commitment om deze risicoafweging echt onderdeel uit te laten maken van iedere besluitvorming. En niet te wachten tot de volgde P&C Cyclus.

Mentaliteit
Om de discipline op te kunnen brengen is de juiste mentaliteit nodig. Risicoalertheid ontstaat als het onderdeel wordt van het denk- en gedragspatroon van de organisatie. Alleen dan bereik je dat we elkaar durven aan te spreken en erop te attenderen dat risicoalert handelen ons successen brengt. Deze mentaliteit maakt organisaties succesvol.

Systemen zijn op te zetten en te omzeilen, af te vinken. Kennis is te trainen en te vergeten. Vaardigheden zijn aan te leren en weer te vergeten. Als Mentaliteit en Discipline onderdeel zijn van het gedachtegoed van een organisatie valt er niet aan te ontkomen. Je bent onderdeel van de organisatie en anders past het niet! Rollen, verantwoordelijkheden en bevoegdheden zijn duidelijk en bespreekbaar op ieder moment.

En daarom, risicomanagement valt alleen als organisatie in z’n totaliteit te implementeren en niet ergens te beginnen en te hopen dat het overwaait.


Een reactie plaatsen

Hoe maak je risicomanagement verrassend voor directie?

Voorbereiding is alles voor degene die een risicomanagement workshop mag begeleiden. Het is altijd spannend! Wat komt eruit? Hoe gaat men reageren? Gaat men het leuk vinden of ziet men het als iets verplicht? Is het een groepsproces of is het vechten voor aandacht? Kortom, een dynamische omgeving waarbij iedereen wel verwacht dat het iets oplevert.

Natuurlijk gaat risicomanagement erover dat er een gezamenlijk integraal beeld komt over de risico’s en de mate waarin deze worden beheerst. Er moet een open cultuur zijn en een goede link naar de strategie van het bedrijf. In mijn andere blogs en die van mijn collega’s wordt op deze zaken uitgebreid ingegaan.

Maar hoe zorg je er nu voor dat de directie (de mannen die echt wel denken te weten welke risico’s er binnen hun organisatie aanwezig zijn) positief verrast wordt?

Voorbereiding is alles. Doe een stakeholder analyse van het bedrijf en interview objectief de belangrijkste partner van het bedrijf. Vraag hoe zij tegen de organisatie aankijken, welke risico’s zij op de organisatie zien afkomen, welke trend ze in de branche zien, welke uitdagingen zij zien aankomen, etc. Onderstaand een niet limitatieve opsomming met wie je kunt praten:verrassing

  • De huisfinancier / bank;
  • Belangrijke klanten;
  • De huisjurist;
  • Het middenkader;
  • De accountant;
  • Een (groot) aandeelhouder;
  • Lid van de RvC;
  • etc.

Mijn ervaring leert dat met deze informatie je een prachtige aanvulling kunt doen op het risicoprofiel dat een directie zelf kan opstellen. En doordat men beseft waar deze inzichten vandaan komen faciliteer je een geweldige discussie over nieuwe risico’s waar ze zelf niet eerder gezamenlijk over gesproken hebben.

Dan zie je de kracht van goed voorbereid risicomanagement en is het niet meer de vraag of risicomanagement op de agenda komt.

Risicomanagement bepaalt de agenda!


Een reactie plaatsen

Competenties of verstand van zaken?

Vandaag in het FD stelt Hans Dijkstra ‘als kennis van zaken en gezond boardroomverstand als selectiecriteria net zo zwaar wegen als veronderstelde ‘boardroomsocialisatie’ is er een overschot aan beschikbare competente commissarissen in Nederland.

Water loopt van boven naar beneden…….. Als het aan de top al zo is, wat kunnen we dan verwachten van de organisatie zelf?

Wie durft er OENige vragen te stelen (open, eerlijk en neutraal). We zeggen wel dat we dit willen en doen maar wat mij opvalt alleen op de makkelijke momenten. Als het echt ergens over gaat, wie staat er dan op?

Gisteren heb ik een verhaal gehouden over Strategisch Risicomanagement. Ik betrap mezelf erop dat ook ik begin met Missie, Visie, Speerpunten, Doelstellingen, Succesfactoren en Risicofactoren. Zou strategie bepaling niet moeten beginnen met de zelfevaluatie en misschien wel nieuwe selectie van degenen die het moeten bedenken en gaan doen?

Zomaar wat vragen:verandering

  1. Hoe goed is de mens in veranderen?
  2. Hoe snel adopteren we nieuwe werkwijzen?
  3. Als je er niet in gelooft, kun je het dan wel uitdragen?
  4. Wat doet het met je ego als je na 10 jaar het een te hebben gedaan nu het anders gaat doen?

En volgens mij speelt het bovenstaande in alle lagen van de organisatie. Immers, bij een nieuwe strategie horen nieuwe risico’s en een nieuwe risk appetite. Hoe moeilijk is het om te veranderen als mens van risico mijdend naar risico nemend?

In aansluiting op waar Hans Dijkstra mee begon; fundamentele veranderingen vraagt ook om andere mensen, dit is zo bij commissarissen, bij de rabobank en ook bij organisaties in het publieke bestel.


Een reactie plaatsen

De controller moet meer durven!

De tijd dat de controller alle open eindjes oploste is en moet voorbij. Uit de vele incidenten, waarbij organisaties te grote risico’s hebben genomen, is gebleken dat de rol van de managementlaag niet goed wordt ingevuld. Wie voelt en neemt waarvoor verantwoordelijkheid?

In mijn optiek heeft het management onder meer de taak om elkaar en in het bijzonder een ambitieuze bestuurder van reflectie te voorzien. Doen we de goede dingen, past het binnen onze strategie, hebben we voldoende kennis, kunnen we het qua mensen aan, komen we tot goede besluitvorming, past het binnen onze risk appetite, etc.

In de praktijk kom ik te vaak tegen dat de controller de rapportages voorbereid en daar waar MT leden gaten laten vallen de controller ze wel even snel opvult. Dit gebeurt zowel in de besluitvorming binnen het MT als in verantwoordingsstukken naar de RvC. Deze vliegende keep functie lijkt heel vriendelijk. Echter, in werkelijkheid ontneem je verantwoordelijken, toezichthouders, het zicht op de echte risico’s. Wat heb je als integraal verantw

Vaardigheden

oordelijk MT aan een mooi ingevulde spreadsheet als deze is ingevuld door 1 persoon vanuit een financiële bril? NIETS, je krijgt alleen een beeld van de financiële gevolgen maar niet of de oorzaken van deze risico’s ook bekend zijn bij de echte verantwoordelijken en of ze goed beheerst worden.

De rol van de controller is om iets te vinden van de taakopvatting van de verantwoordelijken. Alleen dan creëer je een risicobewuste organisatie! Het is immers een vaststaand feit dat er zaken misgaan in een organisatie. De organisaties die het snelst hun fouten weten op te lossen zijn het meest succesvol!

Controllers, ga de uitdaging aan om op een positief kritische manier iets te vinden van het risicobewuste gedrag van je organisatie. Dit vraagt aanvullende
vaardigheden
en veel overleg met bestuur, MT en toezichthouders. Immers, iets vinden van iemands functioneren doe je om het geheel beter te laten functioneren. Afrekenen hoort hier dus niet bij.

De nieuwe controller wordt een uitermate belangrijke voelspriet voor bestuur en toezichthouders.