Ontstapelen als uitnodiging tot reflectie
In veel organisaties stapelen in de loop der jaren de beheersingsmaatregelen op: elk incident, elke richtlijn leidt tot een extra control, een nieuw formulier of een aanvullende audit. Zelden vindt er echter een systematische reflectie plaats op de vraag: Wat draagt écht bij aan onze doelstellingen en wat is inmiddels overbodig geworden?
Ontstapelen betekent niet dat maatregelen zonder nadenken overboord gaan. Het betekent dat er periodiek een pas op de plaats wordt gemaakt. Zijn de maatregelen nog in lijn met onze risicobereidheid? Dragen ze daadwerkelijk bij aan de doelstellingen? Verminderen ze risico’s of bieden ze slechts schijnzekerheid?
Ontstapelen is een strategische keuze om ruimte te maken voor wat er wél toe doet. En dat vraagt bestuurlijke moed – de bereidheid om die schijnzekerheid los te laten ten gunste van scherpe, bewuste keuzes.
Prioriteren is durven kiezen
Wanneer niet alles even belangrijk is, moet er geprioriteerd worden. Dit vraagt om inzicht in de samenhang tussen risico's, de context waarin ze zich voordoen, en de mate waarin ze strategische doelstellingen raken. Door risico’s in samenhang te bespreken én gezamenlijk te beoordelen op relevantie en materialiteit, ontstaat ruimte voor doordachte keuzes. De vraag is niet alleen wat er mis kan gaan, maar ook: welk risico mogen we nemen? Waar laten we kansen liggen? Ofwel: waar investeren we in beheersing, en waar kiezen we bewust voor acceptatie?
Expliciteren als instrument voor transparantie
Expliciteren is het proces waarbij impliciete overtuigingen, aannames en voorkeuren bespreekbaar worden gemaakt. In risicomanagement betekent dat: de risicohouding, -bereidheid en -tolerantie van bestuurders en organisaties benoemen, delen en vastleggen. Dit vormt de kern van het RAVC-denkmodel.
Een expliciete risicohouding ontstaat door dialoog. Het doel is niet een uniforme houding ten opzichte van een risico, maar een gedeeld begrip van verschillen en deze te verenigen in een gemeenschappelijk normenkader.
Waarom acht de één een bepaald risico onaanvaardbaar, terwijl de ander het acceptabel vindt? Door hierover het gesprek aan te gaan, ontstaat wederzijds begrip, transparantie in besluitvorming en draagvlak voor lastige keuzes. Het is cruciaal voor bestuurders om te weten waarom een bepaalde beheersingsmaatregel bestaat of niet - ook als die niet aansluit bij hun persoonlijke risicobeeld.
Three Lines model
Effectieve risicogovernance draait om proportie, samenhang en heldere rolverdeling. Wie verantwoordelijkheid draagt, moet ook kunnen sturen. Het Three Lines Model, ook wel bekend als de oude Three Lines of Defence, wordt vaak gebruikt om rollen en verantwoordelijkheden in het risicomanagement te structureren. Het model onderscheidt drie verantwoordelijkheidsniveaus:
- Eerste lijn: uitvoerend risicomanagement in het primaire proces;
- Tweede lijn: ondersteuning, begeleiding, beoordeling op het gebied van risicomanagement en besluitvorming;
- Derde lijn: onafhankelijke toetsing van het functioneren van eerste en tweede lijn.
Hierbij blijft het bestuursorgaan middels aansturing, monitoring en evalueren eindverantwoordelijk voor het risicomanagement. In de praktijk blijkt de werkelijkheid echter toch complexer dan het model suggereert. Rigide toepassing leidt gemakkelijk tot bureaucratie of rolverwarring. Het model biedt namelijk geen pasklaar antwoord op de vraag hoe een organisatie risicomanagement inricht, en in welke verhouding de eerste en tweede lijn hierin samenwerken.
Een valkuil is bijvoorbeeld dat de eerste lijn te veel verantwoordelijkheden afschuift op de tweede lijn. Professionals in de eerste lijn worden dan onvoldoende benut. Omgekeerd kan de tweede lijn inactief blijven zolang zij geen input krijgt van de eerste lijn. Anderzijds is het ook een gemiste kans wanneer de tweede lijn risico’s signaleert, maar deze niet proactief agendeert bij de eerste lijn en enkel in reflectie op het werk van de eerste lijn risico’s bespreekbaar maakt.
Deze situaties ontstaan vaak doordat de eerste en tweede lijn te strikt gescheiden worden, terwijl risicomanagement gebaat is bij samenwerking. De eerste lijn heeft zicht op het primaire proces en kan risico’s direct signaleren en beheersen. De tweede lijn hanteert vaak een breder perspectief dan de eerste lijn en overziet samenhang tussen risico’s. Door beide perspectieven te combineren, ontstaat meerwaarde: het geheel is meer dan de som der delen.
Samenkomende lijnen
Het Three Lines model is het meest waardevol als het op deze manier behandeld wordt als een hulpmiddel. Het doel dat de inrichting van risicogovernance uiteindelijk moet dienen is integere en beheerste bedrijfsvoering, en de juiste aansturing daarvan in de besluitvorming. Dan is governance niet alleen het invullen van rollen in het Three Lines Model, maar het organiseren van een reflectieve dialoog over mandaten, beslisruimte en tegenkracht. Goede governance is reflectief en contextgevoelig. Niet de lijnen zijn leidend, maar de effectiviteit ervan. Dit vraagt om een meer contextgevoelige benadering. Lijnen mogen niet opereren in hun ‘silo’, maar moeten – ieder vanuit hun eigen rol – samenwerken. De essentie is het mandateren en delegeren van rollen en verantwoordelijkheden en niet het dogmatisch langs rigide lijnen denken.
Een belangrijke verbindende rol hierbij is die van de linking pin: een functionaris die commissies of afdelingen verbindt, zonder zelf formele besluitbevoegdheid te hebben in meerdere gremia. Deze rol borgt de informatie-uitwisseling tussen eerste en tweede lijn en voorkomt silo-denken.
Omgaan met complexiteit en verandering
De omgeving waarin organisaties opereren wordt steeds complexer - technologisch, juridisch en maatschappelijk. Volledige beheersing is onmogelijk. Daarom is het des te belangrijker om te onderscheiden wat ertoe doet. Strategisch risicomanagement vraagt om bestuurlijke lenigheid en het vermogen om paradoxen te herkennen en hanteren. Hoe stuur je tegelijk op innovatie én beheersing? Hoe borg je ethiek en integriteit in een datagedreven besluitvormingscultuur?
In deze context is risicomanagement geen systeem van zekerheden, maar een proces van betekenisgeving. Wat vandaag een acceptabel risico is, kan morgen onaanvaardbaar zijn. Governance die nu effectief is, kan volgend jaar onvoldoende blijken. De relevantie van risico’s verschuift mee met strategische koers en maatschappelijke opgaven.
Relevantie vereist daarom een cyclisch proces van herijken, reflecteren en bijstellen. Alleen als deze flexibiliteit is verankerd in het bestuursmodel - met in iedere commissie een risicofunctie die in contact staat met de risicocommissie – kan een organisatie wendbaar zijn.
Reflectievragen
- Welke beheersmaatregelen in uw organisatie zijn door de jaren heen gestapeld zonder heroverweging?
- Worden risico’s bij u in samenhang besproken, of blijven het losse punten?
- Wat zijn bij u de meest relevante risico’s per strategisch doel? En wie bepaalt dat?
- Hebben uw bestuurders een gedeeld beeld van risicohouding en risicobereidheid?
- Worden KPI’s en KRI’s bij u in samenhang gebruikt, of bestaan er nog gescheiden werelden van prestatie en risico?
Risicomanagement als organisatievermogen
Wie risicomanagement wil laten leven in de organisatie, moet durven kiezen. Niet elke maatregel hoeft behouden te blijven. Niet elk risico hoeft beheerst te zijn. Niet elk instrument hoeft gebruikt te worden.
Door expliciet te maken wat er werkelijk toe doet, ontstaat ruimte voor betekenisvolle gesprekken en strategische sturing. Relevantie boven volledigheid is geen afrekening met methoden of modellen, maar een pleidooi voor doelgerichtheid, kritisch inzicht en contextbewustzijn.
De vraag die risicomanagers zichzelf kunnen stellen is niet langer alleen: wat is het risico? Maar ook: wat draagt bij? Wat mag er absoluut niet gebeuren? En wat zijn we bereid te accepteren? Vanuit dat perspectief wordt risicomanagement een bron van richting en vertrouwen.
Lees ook de eerdere artikelen in deze reeks:
