De risicobewuste organisatie
Amsterdam, 22 februari 2010
Bedrijven en instellingen krijgen meer en meer te maken met risicomanagement. In ondernemingsplannen worden doelstellingen verwoord, die zich kunnen uitstrekken over kortere of langere periodes. Allerlei omstandigheden kunnen er echter toe leiden dat de gedefinieerde doelstellingen niet gerealiseerd worden. In dit licht zullen we het begrip 'risico' als volgt definiëren:
Risico is de mogelijkheid dat in een gegeven periode en situatie, positieve verwachtingen niet in vervulling gaan.
risico = kans x effect
Een risico is groter wanneer de kans van optreden en de gevolgen van optreden groter zijn. Een groot effect gecombineerd met een minimale kans wordt in het algemeen als niet belangrijk beschouwd, evenals een grote kans met een minimaal gevolg. Door te werken met kans- en gevolgklassen kunnen risico's worden gerangschikt en de grootte ervan worden ingeschat. De gevolgen van een risico ofwel de schade die optreedt, kunnen verschillend zijn en kunnen worden uitgedrukt in:
- Tijd (opgetreden vertraging)
- Geld (extra kosten)
- Kwaliteit (verlies van kwaliteit)
- Informatie (onjuiste of niet tijdige informatie)
De eenheden tijd, kwaliteit en informatie zijn weer te herleiden tot geld.
Zoals kansen in kansklassen kunnen worden verdeeld, kan het gevolg in gevolgklassen verdeeld worden. Hieraan kunnen vervolgens kansscores en gevolgscores worden verbonden. De kansscore en de risicoscore kunnen eventueel in een risicomatrix worden weergegeven,
waarbij geldt: risicoscore = kansscore x gevolgscore
Risicomanagement is een hulpmiddel om op een gestructureerde en expliciete manier risico’s in kaart te brengen, te evalueren en - door er proactief mee om te gaan - ze beter te beheersen. Risicomanagement is gebaseerd op het maken van risicoanalyses. De onderneming inventariseert risico's, kent voor zover mogelijk financiële gevolgen toe aan de risico's en verbindt er maatregelen aan. Door al in een vroeg stadium na te denken over de mogelijke risico’s van bepaald beleid, zijn deze nog te voorkomen of eventuele ernstige gevolgen ervan te beperken. Een eenmalige risicoanalyse is niet voldoende. Pas wanneer de risicoanalyse regelmatig wordt herhaald en geactualiseerd en de eruit voortvloeiende maatregelen een integraal onderdeel
van de activiteiten zijn, is er sprake van risicomanagement. Hierbij worden de volgende zes stappen onderscheiden.
Stap 1: identificatie van risico's
Bij de identificatie van de risico's gaat het om alle strategische, operationele, financiële en raditionele (schade) risico's. De koppeling naar de oelstellingen van de organisatie en bedrijfsonderdelen is essentieel.
Stap 2: analyse en beoordeling van risico's
Het in kaart brengen van de risico's maakt het mogelijk om deze te analyseren. Het is vervolgens van belang om te bezien wat de grootste risico's zijn. Niet alle risico's verdienen namelijk dezelfde aandacht; begin daarom met de belangrijkste.
Stap 3: analyse van huidige beheersmaatregelen
Bedrijven kunnen zich onderscheiden ten opzichte van hun concurrentie door hun risico's efficiënter te beheersen. In deze fase moet worden bepaald of de risico's niet teveel beheerst zijn en of er blinde vlekken zijn.
Stap 4: ontwerpen en uitvoeren actieplannen
Nadat de reeds getroffen beheersmaatregelen in kaart zijn gebracht, moet de risico manager een keuze maken. Wat gebeurt er met de risico's die resten? Hij moet voor elk risico een keuze maken uit de volgende vier opties:
1. Vermijden: dit houdt in dat het beleid waar een risico door ontstaat, wordt beëindigd, op een andere manier wordt vorm gegeven of geen beleid gestart wordt dat een risico met zich meebrengt. Ook kunnen werkprocessen zodanig ingevuld zijn, dat op die manier bepaalde risico's worden vermeden.
2. Verminderen: door het risico af te dekken door een verzekering, een voorziening of een ander budget in de begroting. Hiermee worden de gevolgen van een risico beperkt. Tevens kan men bij verminderen denken aan het aanpakken of wegnemen van de oorzaak van het
risico.
3. Overdragen: dit kan door het beleid dat een risico met zich meebrengt, uit te laten voeren door een andere betrokken partij die daarmee ook de financiële risico's overneemt.
4. Accepteren: kan een risico niet worden vermeden, verminderd of overgedragen, dan kan de manager het risico accepteren. De eventuele financiële schade moet volledig door de weerstandscapaciteit worden afgedekt. Dit betekent niet dat het risico niet beïnvloedbaar is en dat de manager daarom het risico maar helemaal moet accepteren. Het betekent dat het risico op dit moment geaccepteerd wordt en niet op een of andere wijze is afgedekt. Risico's moeten de verantwoordelijkheid worden van die persoon die ze het beste beheersen kan. Het is daarom noodzakelijk een risico-eigenaar aan te wijzen.
Stap 5: meten, controleren en rapporteren
Risicomanagement is een doorlopend proces. Het is van belang te meten of de actieplannen effect hebben op het risicoprofiel. Ook is risico-informatie
te gebruiken voor de planning van de audits.
Stap 6: resultaten integreren in de besluitvormingsprocessen
De risico-informatie is bruikbaar voor analyses over toekomstige besluiten (door middel van de risicoanalyses uit het verleden). Bij elk nieuw investeringsvoorstel of omvangrijk project moet de organisatie bewust stil staan bij de risico's.
Hoe om te gaan met risicomanagement?
Een onderneming neemt per definitie risico's. Hoe kan een organisatie omgaan met risicomanagement, zodat de voorspelbaarheid toeneemt en er dus waarde wordt toegevoegd?
1. Maak risicomanagement geen duur, tijdvretend en geldverslindend project
2. Focus op de top 10 aan risico's
3. Zorg voor een heldere koppeling met de doelstellingen van de onderneming en de
bedrijfsonderdelen
4. Communiceer het belang helder naar de organisatie
5. Zorg voor een heldere taakverdeling
6. Trek het breder dan financiën
7. Gebruik risicomanagement als sturingsmiddel voor het management
Als risicomanagement op de beschreven manier wordt vormgegeven, is de onderneming beter toegerust en in staat om verrassingen te voorkomen ten aanzien van het geformuleerde bedrijfsbeleid en de daarbij behorende plannen.
Gerrat Bodde is Finance Professional bij DPA Finance
| < Vorige |
|---|
DPA Group N.V. | DPA Banking & Insurance | DPA Compliance | DPA Engineering | DPA Finance | DPA IT | DPA Legal | DPA Recht & Ruimte | DPA Sociale Zekerheid | DPA Supply Chain | GEOS