Risicomanagement is niet van de Risicomanager

In de praktijk wordt risicomanagement nog te vaak ervaren als een afzonderlijke discipline: iets wat door een risicomanager wordt vastgelegd, gemonitord en gerapporteerd. Daarmee blijft het te veel losstaan van de verantwoordelijkheid van besluitvormers en proceseigenaren om risico’s zelf mee te wegen bij het realiseren van organisatiedoelstellingen. Zolang risico’s pas na het besluit zichtbaar worden, blijft risicomanagement een systeem naast de organisatie in plaats van een manier waarop de organisatie kiest.

Neem een organisatie die de betrokkenheid van de risicofunctie bij een bestaand proces wil versterken. De eerste gedachte is om een afzonderlijke risicoanalyse in te richten: risico’s inventariseren, beheersmaatregelen beoordelen, risicoscores toekennen en de analyse periodiek herijken – een mooie taak voor de risicomanager. Op papier een logische aanpak. Maar is een nieuw risico-instrument daarmee ook automatisch het juiste middel?

Het bestaande proces kent mogelijk al momenten waarop de werking wordt geëvalueerd, verbeterpunten worden vastgesteld en besluiten over aanpassingen worden genomen. Dan ligt het meer voor de hand om eerst te onderzoeken hoe de risicoafweging in dat proces kan worden geïntegreerd. De risicofunctie kan daarbij een expliciete rol krijgen als kritische challenger of advocaat van de duivel: aannames bevragen, relevante onzekerheden inbrengen en toetsen of risico’s voldoende zijn meegewogen voordat over verbeteringen of aanpassingen wordt besloten.

De boodschap is niet dat een nieuwe risicobeoordeling geen waarde heeft maar dat het instrument nooit het vertrekpunt moet zijn. Begin bij de doelstelling en het bestaande proces: wat gebeurt daar al, waar worden de relevante keuzes gemaakt en waar kan de risicofunctie daadwerkelijk waarde toevoegen? Soms is een afzonderlijke risicoanalyse daarvoor nodig. Vaak is het effectiever om de risicoafweging onderdeel te maken van een proces dat al bestaat.

Dat maakt risicomanagement niet minder stevig, maar juist relevanter. De proceseigenaar blijft verantwoordelijk voor het proces en de keuzes die daarbinnen worden gemaakt; de risicofunctie helpt om die keuzes kritisch te toetsen en relevante onzekerheden zichtbaar te maken. Zo wordt risicomanagement geen extra proces naast het werk, maar onderdeel van de manier waarop het werk wordt uitgevoerd.

Risicomanagement ontstaat niet in het risicoregister

Risicomanagement begint bij de ambitie en strategie van een organisatie. Iedere keuze over wat een organisatie wil bereiken, brengt onzekerheid met zich mee: over de weg daarnaartoe en over de uiteindelijke uitkomst. Bij het operationaliseren van die strategie worden vervolgens voortdurend keuzes gemaakt over kansen die worden benut, risico's die worden geaccepteerd en middelen die worden ingezet.

Risicomanagement ontstaat daarom niet in het risicoregister, de bestuursvergadering of de rapportage. Het krijgt betekenis op drie niveaus: in de strategische, tactische en operationele keuzes waarmee een organisatie haar doelstellingen probeert te realiseren. Strategisch gaat het om de keuzes over wat de organisatie wil bereiken en welke onzekerheden zij daarbij accepteert. Tactisch gaat het om de vertaling daarvan naar prioriteiten en inrichting. Operationeel gaat het om de keuzes die professionals dagelijks maken in de uitvoering. Iedere relevante beslissing bevat daarmee een afweging tussen het beoogde resultaat en de onzekerheden die daarbij worden geaccepteerd. Dáár begint betekenisvol risicomanagement.

Als risicomanagement betekenis krijgt in de keuzes waarmee organisatiedoelstellingen worden gerealiseerd, volgt vanzelf de vraag wie verantwoordelijk en bevoegd is om die keuzes te maken. Daarmee komt de governance van de organisatie in beeld.

Waarom levert goed ingerichte governance nog geen goed risicomanagement op?

Governance is essentieel. Zonder duidelijke verantwoordelijkheden, heldere rollen en een goed ingerichte governance ontstaat al snel onduidelijkheid over wie waarop aanspreekbaar is. Een goed ingerichte governance leidt echter niet vanzelf tot goed risicomanagement. Governance organiseert verantwoordelijkheden, maar bepaalt niet hoe professionals binnen die verantwoordelijkheden omgaan met onzekerheid. Ook bepaalt governance niet welke afwegingen zij maken wanneer belangen, doelstellingen en risico’s samenkomen.

Iedere organisatie kent daarin een zekere gelaagdheid. Vanuit de strategie worden verantwoordelijkheden en bevoegdheden gemandateerd en gedelegeerd zodat organisatiedoelstellingen kunnen worden gerealiseerd.

Daarmee ontstaat niet alleen verantwoordelijkheid voor het behalen van resultaten. Wie verantwoordelijk is voor een doelstelling, draagt ook verantwoordelijkheid voor de afweging welke onzekerheden daarbij worden geaccepteerd. Daar ontstaat risico-eigenaarschap. Niet bij degene die het risico registreert, maar bij degene die de keuze maakt waarmee het risicoprofiel verandert. Eigenaarschap betekent daarbij niet dat iedere verantwoordelijke zelfstandig bepaalt hoeveel risico acceptabel is. De door het bestuur bepaalde risicobereidheid moet richting geven. Binnen die kaders maken professionals hun afwegingen. Wanneer een keuze buiten die kaders dreigt te vallen, hoort escalatie onderdeel te zijn van volwassen risicomanagement.

Het hart van risicomanagement ligt daarom niet in de formele inrichting van governance, maar in de manier waarop professionals binnen hun verantwoordelijkheid keuzes maken. Een mandaat geeft ruimte om te handelen, maar die ruimte brengt onvermijdelijk onzekerheid met zich mee. Een project versnellen, een leverancier selecteren, capaciteit anders inzetten of in de praktijk een uitzondering op de regel toestaan: het zijn keuzes die worden gemaakt om een doelstelling te realiseren, maar die tegelijkertijd het risicoprofiel van de organisatie beïnvloeden.

Dat is ook waarom formeel toegewezen verantwoordelijkheden op zichzelf geen eigenaarschap creëren. Op papier kan uitstekend zijn vastgelegd wie verantwoordelijk is voor een bepaald risico of proces. Risicomanagement krijgt echter pas betekenis wanneer degene die verantwoordelijk is voor het resultaat ook de bijbehorende risico’s expliciet betrekt bij de eigen afweging. Eigenaarschap blijkt daarmee niet uit een schema of functieomschrijving, maar uit de manier waarop verantwoordelijkheid in de praktijk wordt ingevuld.

Een organisatie kan haar governance dus uitstekend hebben ingericht, terwijl risicomanagement in de praktijk onvoldoende tot wasdom komt. De verantwoordelijkheden zijn helder, processen functioneren en rapportages zijn op orde. Als risicoafwegingen geen vanzelfsprekend onderdeel zijn van de keuzes waarmee doelstellingen worden gerealiseerd, is risicomanagement echter vooral georganiseerd en nog niet gerealiseerd.

Naast heldere verantwoordelijkheden en bevoegdheden is daarom iets anders nodig: professionals moeten zich bewust zijn van de risico’s die samenhangen met de keuzes waarvoor zij verantwoordelijk zijn.

Risicobewustzijn wordt pas zichtbaar bij een moeilijke beslissing

Veel organisaties investeren terecht in risicobewustzijn. Medewerkers volgen trainingen, nemen deel aan risicosessies en kennen de belangrijkste risico’s binnen hun organisatie. Dat vormt een noodzakelijke basis voor goed risicomanagement. Risico’s kennen of kunnen benoemen is nog niet hetzelfde als het daadwerkelijk meewegen ervan.

De waarde van risicobewustzijn wordt pas zichtbaar wanneer een keuze moet worden gemaakt. Op dat moment komen doelstellingen, beschikbare middelen, kansen en onzekerheden bij elkaar. Dan moet worden bepaald welke risico’s de organisatie bereid is te accepteren om het beoogde resultaat te realiseren.

Neem een organisatie die vanwege tijdsdruk besluit een belangrijke implementatie te versnellen. Dat kan een rationele en verdedigbare keuze zijn. De beoogde mijlpaal wordt eerder bereikt en schaarse capaciteit kan elders worden ingezet. Tegelijkertijd blijft er mogelijk minder tijd over voor testen, herstelwerkzaamheden of aanvullende beheersmaatregelen. De relevante vraag is dan niet of deze risico’s ergens in het risicoregister zijn opgenomen, maar of ze vooraf expliciet zijn meegewogen in het besluit om te versnellen.

Daar wordt zichtbaar wat risicobewustzijn in de praktijk betekent. Niet dat iedere professional voortdurend in risico’s moet denken of bij iedere beslissing een formele risicoanalyse moet uitvoeren. Wel dat onzekerheden en mogelijke consequenties bij relevante keuzes bewust onderdeel zijn van de afweging. Risicomanagement is dan geen afzonderlijke handeling naast het werk, maar wordt zichtbaar in de manier waarop het werk wordt uitgevoerd.

Dat onderscheid is belangrijk. Een organisatie kan beschikken over een actueel risicoregister, uitgebreide rapportages en goed ingerichte GRC-tooling, terwijl risico’s bij de daadwerkelijke besluitvorming onvoldoende worden meegewogen. Tooling kan ondersteunen bij het identificeren, vastleggen, monitoren en rapporteren van risico’s, maar kan de afweging die aan een besluit voorafgaat niet vervangen.

Risicobewustzijn blijkt daarom niet uit de hoeveelheid risico’s die een organisatie kan benoemen, maar uit de kwaliteit van de afweging wanneer er echt iets te kiezen valt.

De vraag die dan resteert, is hoe je ervoor zorgt dat deze manier van denken en handelen daadwerkelijk geïntegreerd wordt in de organisatie.

Hoe realiseer je betekenisvol risicomanagement?

Betekenisvol risicomanagement ontstaat niet door meer beleid, meer controls of een uitgebreidere governance. Die elementen zijn belangrijk, maar vormen niet de bepalende succesfactor. Het verschil wordt gemaakt wanneer de afweging tussen doelstellingen, kansen en risico's ingebed wordt in de manier waarop besluiten tot stand komen.

Daarom moet ieder in de organisatie niet alleen de vraag stellen:

"Hebben wij risico’s goed vastgelegd?"

Maar vooral:

"Welke afweging tussen risico en rendement ligt aan onze besluitvorming ten grondslag?"

Dat verschil in benadering is fundamenteel. Risicomanagement verschuift daarmee van een verantwoordingsproces achteraf naar een afwegingsproces vooraf. Niet de registratie van het risico vormt het vertrekpunt, maar de doelstelling die de organisatie wil realiseren en de onzekerheden die zij daarbij bereid is te accepteren.

Dat betekent niet dat organisaties nieuwe risicoprocessen of instrumenten moeten introduceren. Juist bestaande besluitvormings-, evaluatie- en veranderprocessen bieden vaak logische momenten om de risicoafweging expliciet te maken. Kijk daarom eerst naar wat al gebeurt: waar worden relevante keuzes gemaakt, hoe worden deze voorbereid en geëvalueerd en waar is dan het aangrijpingspunt voor de risicoafweging? Voeg enkel een afzonderlijk risico-instrument toe wanneer bestaande processen onvoldoende aangrijpingspunt bieden.

Maak bij relevante besluiten de risicoafweging expliciet. Leg niet alleen vast wat wordt besloten, maar ook welk doel wordt nagestreefd, welke belangrijke aannames onder het besluit liggen, welke onzekerheden worden geaccepteerd en welke alternatieven zijn overwogen. Dat hoeft geen afzonderlijk risicodocument of extra proces op te leveren. Juist door deze vragen onderdeel te maken van bestaande besluitvormings- en evaluatiemomenten, wordt risicomanagement onderdeel van het werk in plaats van een activiteit ernaast.

De vraag is vervolgens hoe een organisatie professionals helpt om dit steeds zelfstandiger te doen. Dat vraagt om leiderschap én om een leerproces waarin de eerste lijn het vermogen ontwikkelt om zelf goede risicoafwegingen te maken.

Van voordoen en samendoen naar zelf doen

Leidinggevenden moeten niet alle risico’s kennen, maar zij dienen een omgeving te creëren waarin onzekerheden bespreekbaar zijn, dilemma's expliciet worden benoemd en afwijkende inzichten welkom zijn voordat een besluit wordt genomen.

Leidinggevenden bepalen mede hoe binnen de organisatie met onzekerheid wordt omgegaan. Wordt alleen gevraagd of een doelstelling wordt gehaald, of ook welke afwegingen daarvoor zijn gemaakt? Is er ruimte om twijfel uit te spreken? Worden afwijkende inzichten benut voordat een besluit wordt genomen? De vragen die leidinggevenden stellen, bepalen mede of risicomanagement richtinggevend is voor de besluitvorming of dat het een verantwoordingsproces achteraf blijft.

Daarnaast moet iedereen die verantwoordelijk is voor bepaalde keuzes of activiteiten, en voor de risico’s die daarmee gepaard gaan, in staat worden gesteld om die verantwoordelijkheid daadwerkelijk te dragen. Het formeel beleggen van verantwoordelijkheid is immers iets anders dan het ontwikkelen van het vermogen om goede afwegingen tussen risico en rendement te maken.

Daar ligt ook een belangrijke rol voor de risicofunctie. Niet door de risicoafweging van iedere verantwoordelijke over te nemen, maar door te helpen die afweging steeds beter zelf te maken. Dat kan beginnen met voordoen: als risicomanager laten zien hoe je het aanpakt. Vervolgens gaat het om samendoen: met elkaar een aanpak doornemen en uitvoeren. Uiteindelijk zelf laten doen. Naarmate de verantwoordelijke zelfstandiger risico's betrekt bij de eigen keuzes en minder begeleiding van de risicomanager nodig heeft, kan de risicofunctie zich nadrukkelijker richten op adviseren, challengen en het bewaken van de kwaliteit van het risicomanagement.

De risicomanager is dan geen eigenaar van de afweging, maar bewaker van de kwaliteit ervan. Hij of zij helpt expliciteren welke aannames onder een besluit liggen, welke onzekerheden onvoldoende zijn onderzocht en of de gekozen risicobereidheid past bij de doelstellingen en waarden van de organisatie. De uiteindelijke afweging blijft echter waar zij hoort: bij degene die verantwoordelijk is voor de keuze.

Uiteindelijk gaat het daarbij niet om het vermijden van risico. Organisaties bestaan juist om doelstellingen te realiseren en zullen daarvoor onzekerheid moeten accepteren. De relevante vraag is daarom welke risico's passen bij de ambitie, welke ruimte daarvoor beschikbaar is en welk vertrouwen bestaat dat de organisatie daarmee verantwoord kan omgaan. Governance, processen, controls en tooling ondersteunen die afweging, maar kunnen haar nooit vervangen.

Conclusie

De volwassenheid van risicomanagement wordt zichtbaar in de kwaliteit van de afwegingen die aan strategische besluiten en operationele keuzes voorafgaan. Betekenisvol risicomanagement krijgt vorm wanneer professionals risicomanagement niet ervaren als een aanvullend proces dat zij kunnen overdragen aan de risicomanager, maar als een vanzelfsprekend onderdeel van de verantwoordelijkheid die zij dragen voor het realiseren van organisatiedoelstellingen.

De risicomanager kan die ontwikkeling ondersteunen door eerst voor te doen, vervolgens samen te doen en professionals uiteindelijk in staat te stellen de risicoafweging zelfstandig te maken. Daarmee verschuift risicomanagement van een afzonderlijke discipline naar een verantwoordelijkheid die daadwerkelijk in de organisatie wordt gedragen.

Want zoals de titel al aangeeft: risicomanagement is niet van de risicomanager. De vakinhoudelijke expertise kan bij de risicofunctie liggen, maar de verantwoordelijkheid voor de risicoafweging ligt bij degene die de keuze maakt.

Verder lezen?

Wil je verder lezen over betekenisvol risicomanagement en de rol van risicomanagementtooling in de praktijk? Op Riskworld zijn hierover verschillende artikelen verschenen:

Risicocultuur: van de bedoeling naar betekenisvol risicomanagement

Risicomanagement: passende risicotooling als organisatievraagstuk.