Red flags bij risicomanagement

Fraude, omkoping, corruptie, vriendjespolitiek of buitensporige vergoedingen; allemaal onderwerpen waar risicomanagers alert op zijn. Vooraf deze risico’s identificeren blijkt vaak lastig. Vaak wordt actie ondernomen wanneer er een vermoeden is van een incident. Beter is om eerder actie te ondernemen. Red flags helpen je te herkennen wanneer je alert(er) moet zijn.

Je weet hoe ingrijpend fraude is. Je wilt ook frauderisico’s herkennen en liefst voorkomen. Dus ben je kritisch op de cultuur van je organisatie en let je op de ‘board room dynamics’. Je onderbuik gevoel vertelt je wanneer je misstanden kan vermoeden of verwachten. Frauderisico’s op de agenda zetten zonder een concreet incident of geïdentificeerde fraudemogelijkheid, kan lastig zijn. Het helpt wanneer je de omstandigheid waarin fraude waarschijnlijker wordt, concreter kan duiden. Onderstaande red flags helpen hierbij.

Red flags bij de directie

Een charismatische en dominante directeur met externe activiteiten die afleiden, persoonlijke problemen, die boven zijn stand leeft, geen vakantie neemt en bovenmatig veel aandacht voor de boekhouding heeft.
Een sterke algemeen directeur, in combinatie met een zwakke financieel directeur.
De directie zoek conflicten, is overbelast en wordt overgecompenseerde door collega’s.
De directie onderkent niet zij de ‘toon aan de top’ zet en zend wisselende, inconsequente boodschappen uit.
Directie onderkent een onwenselijke cultuur (intimidatie, pestgedrag, machtswellust) niet en geeft hier geen sturing aan.
Besluiten over complexe onderwerpen worden genomen, zonder dat tegenargumenten of onzekerheden onderdeel van de besluitvorming zijn terwijl bestuurders hier niet naar vragen wanneer dit ontbreekt.
Een zelfgenoegzame directie dat met ‘onreglementaire’ vergoedingen en perverse prikkels (ongelimiteerd) risiconemen stimuleert.
De directie heeft weinig kennis en/of ervaring van de branche en risico’s in zijn branche, en negeert adviezen van expert. In combinatie met een auditcommissie die niet weet hoe fraude wordt of kan worden gepleegd is dit extra zorgelijk.
De directie stelt voor de organisatie korte termijn doelen, die niet of nauwelijks kunnen worden behaald.

Red flags bij de audit, compliance risicofunctie

Onafhankelijke toezichtfuncties (audit, compliance, risico) bestaan niet of rapporteren niet aan de directie.
Er zijn geen bijeenkomsten waarbij alléén onafhankelijke bestuurders of alléén interne toezichtfuncties (audit, risk, compliance) aanwezig zijn.
Tekortschietend risicomanagement, niet willen investeren in informatietechnologie, slechte of afwezige controlemaatregelen, met name op gebied van financiën, reputatiemanagement en gedrag.
Ontbrekende, ondermaatse en/of niet-onafhankelijke interne auditfunctie.

Lees meer...

Lees ook:
Een brandende powerbank op vlucht KL735 is meer dan een luchtvaartprobleem

Red flags bij controls en cultuur

De klokkenluidersregeling die niet anoniem en/of biedt geen bescherming aan klokkenluiders.
Een ethische code waarvan de opzet, handhaving, monitoring en controles gebrekkig zijn en waarover niet gerapporteerd wordt.
Geen vastgelegde risicobereidheid met expliciete limieten voor risico's (m.n. voor investeringen en belangrijke leveranciers).
Geen of beperkt integriteitsonderzoek in de wervings- of contractfase, geen of beperkte controles op gebied van integriteit van het hoger management en gebrek aan mogelijkheden om in te grijpen
Een hoog verloop, met name onder werknemers die nog maar kort in dienst zijn, waarbij management de oorzaak hiervan niet onderzoekt.
Er is geen onafhankelijke externe beoordeling op gebied van bestuur, risico’s en controles.
Directie pleegt interventies (geen functiescheiding, vierogenprincipe of andere beheersmaatregelen) bij betalingen, keuze voor leveranciers ed.
De organisatie focust op naleving van wet- en regelgeving, niet op de bedoeling van wet- en regelgeving.
De organisatie houdt geen rekening met externe risico’s en extreme scenario’s. Een andere visie of invalshoeks is niet gewenst en wordt niet meegenomen.
Buitenlands dochterondernemingen/vestigen worden gecontroleerd door zwakke of bedenkelijke auditors uit dat land, en documenten zijn niet beschikbaarheid of niet vertaald.