Passende risicotooling als organisatievraagstuk

In de moderne bedrijfsvoering is risicomanagement een integraal onderdeel geworden van strategische en operationele processen. Het is in veel sectoren de norm geworden zodat integriteit kan worden gewaarborgd. Steeds meer organisaties maken gebruik van risicotooling, software die hen helpt risico’s efficiënt te identificeren, te beheren en te monitoren. Zeker met de opkomst van AI als een nieuw gereedschap waar softwareleveranciers zich mee kunnen onderscheiden, kan risicotooling grote meerwaarde én lastige vragen opleveren voor bedrijven en organisaties. Dit artikel onderzoekt drie belangrijke kernvragen die organisaties moeten beantwoorden bij de selectie en implementatie van risicotooling om ermee aan de slag te kunnen gaan:

1. Wanneer is mijn organisatie klaar om risicotooling te selecteren en te implementeren?
2. Hoe selecteren we risicotooling die aansluit bij onze vereisten?
3. Is er een goede aansluiting met onze organisatie?

1 – Beoordeel het risicomanagement

Er is niet maar één juist antwoord op de vraag wanneer een organisatie klaar is om passende risicotooling te kiezen en in te zetten. Voordat een organisatie kiest voor risicotooling, is het aan te raden eerst een solide raamwerk voor risicomanagement op te zetten. Dit raamwerk weerspiegelt idealiter de missie, visie en waarden van de organisatie en vormt de basis voor de juiste keuze van risicotooling. Een goed risicoraamwerk zorgt ervoor dat het risicomanagement op de lange termijn effectief en relevant blijft.

Om een beeld te krijgen van de kwaliteit en ontwikkeling van het huidige risicomanagement biedt De Nederlandsche Bank een methode aan om het volwassenheidsniveau te bepalen. Door te kijken naar thema’s zoals risicocultuur, governance, strategie, beleid en processen kan een organisatie inzicht krijgen in de staat van haar risicomanagement. Een beoordeling hiervan helpt bij het bepalen van het juiste moment om risicotooling te selecteren. Het is belangrijk om te benadrukken dat de gekozen software niet ten koste gaat van de visie en doelstellingen van de organisatie. Het is dus niet raadzaam om een softwaretool te kiezen die een organisatie dwingt haar risicomanagement aan te passen. Het risicoraamwerk moet hiervoor zijn ontwikkeld tot een adequaat niveau.

2 – Risicotooling als organisatievraagstuk

De tweede vraag – Hoe selecteren we risicotooling die aansluit bij onze vereisten? – gaat over de praktische toepassingen van de risicotooling in een organisatie. De keuze voor een tooling moet namelijk niet alleen gebaseerd zijn op meer abstractere specificaties, maar vooral ook op de behoeften van de organisatie. Wanneer hier rekening mee wordt gehouden, functioneert het effectief in verschillende use-cases die uniek zijn voor een bedrijf of instelling. Er zijn verschillende aspecten om te overwegen, zoals ‘Wie moet de software (kunnen) gebruiken?’ en ‘Waar kan en mag AI bijdragen aan risicomanagement?’ In een ideale situatie levert iedereen in de organisatie input voor de keuze en vormgeving van de risicotooling, van medewerkers tot managers, om ervoor te zorgen dat de tool effectief kan worden ingezet in alle delen van de organisatie.

Praktische toepassingen van risicotooling

De meeste risicotools worden gebruikt voor procesmatige functies zoals het monitoren van risico’s en het automatiseren van meldingen. Een goed gekozen systeem kan veel administratie taken overnemen met beperkt menselijk toezicht, zoals het bijhouden van risicoregisters en het genereren van databases waar alle informatie over de verschillende geïdentificeerde risico’s staat opgeslagen. Deze database kan vervolgens met behulp van AI gemakkelijk worden doorzocht en gebruikt worden als bron van informatie.  Ook kan het monotone ‘afvinkwerk’ bij de risicomonitoring in grote mate overgelaten worden aan het digitale systeem. Dit maakt de organisatie efficiënter en voorkomt dat belangrijke risicogegevens over het hoofd worden gezien.

AI kan verder bijdragen door het ontdekken van patronen in grote hoeveelheden data en het interpreteren daarvan. Dit is waardevol bij het voorspellen van risico’s en het uitvoeren van scenarioanalyses. In grote organisaties kan het bijvoorbeeld worden ingezet om prestaties van productcategorieën of afdelingen te voorspellen. Dit helpt bij het nemen van strategische beslissingen over het aanpassen of vervangen van slecht presterende producten. Het is belangrijk om te begrijpen dat de risicotool goed geïntegreerd moet zijn in het bredere IT-systeem van de organisatie om effectief te kunnen functioneren.

Daarnaast kunnen risicotools ook bijdragen aan de ‘menskant’ van risicomanagement. Zo’n digitaal systeem kan bijvoorbeeld dienen als een onpartijdige en veilige toehoorder voor medewerkers klachten of zorgen in te dienen. Soms is een dergelijk meldplatform gemakkelijker te benaderen dan de gebruikelijke vertrouwenspersoon. Bovendien kan de juiste tooling de verbinding tussen medewerkers en beleidsmakers versterken en helpen om een overeengekomen rol- en taakverdeling in stand te houden.

Ook voor bestuurders kan worden gedacht aan een integratie van de software met governance en besluitvorming. Zo kan er worden gezorgd dat de juiste en volledige informatie altijd beschikbaar is bij strategische overleggen. De besluiten en onderliggende argumentatie die in de besprekingen naar voren komen kunnen worden vastgelegd en desgewenst publiekelijk beschikbaar worden gemaakt om zo te voldoen aan de maatschappelijke en wettelijke vereisten van transparantie.

Sectorspecifieke toepassingen

Elke sector heeft naast deze generieke toepassingen ook unieke risicomanagementbehoeften. Door naar de unieke behoeften per sector te kijken, kan inspiratie worden opgedaan voor innovatieve oplossingen en kunnen valkuilen worden gesignaleerd waar het in het verleden fout is gegaan.

De zorg, bijvoorbeeld, is een sector waar veel gevraagd wordt van een IT-systeem wat betreft risicomanagement. Risicomanagementsystemen moeten omgaan met grote hoeveelheden gevoelige data van patiëntgegevens. Dit maakt de zorgsector een goede bron van kennis voor organisaties die waarde hechten aan dataveiligheid en -betrouwbaarheid.

In de financiële sector ligt de focus vaak op toezicht en wetgeving, maar door de competitieve aard van veel financiële instellingen is er wel degelijk ruimte voor innovatie. AI kan worden ingezet voor het analyseren en modelleren van rente-, inflatie- en belegingsrisico’s. Bovendien kan het helpen in het kader van ESG-risico’s (Environmental, Social en Governance), hierbij wordt AI ingezet om in real-time een aandelenportefeuille of uitbestedingsketen te monitoren op de sociaal-maatschappelijke vereisten die je als organisatie hebt gesteld.

3 – De aansluiting testen

Wanneer het systeem voor risicotooling is geselecteerd en geïmplementeerd, blijft het belangrijk om de aansluiting continu te evalueren. Doelstellingen van een organisatie kunnen verschuiven, en de tijden veranderen snel – zeker op het gebied van data en AI. In de fijnere operationalisatie van een risicotoolingsysteem worden de details voor een sterke hechting met de organisatie ingericht. Hierbij kan het van nut zijn om een bepaalde methodologie in te zetten om dit proces te structureren.

Het RAVC-model, dat al in eerdere artikelen ter sprake is gekomen, kan hierin een nuttige leidraad zijn om de aansluiting van de tool met de organisatie te beoordelen. Dit model is gebaseerd op vier kwadranten:

• Governance gaat over eigenaarschap, onafhankelijkheid en samenhang in verschillende rollen. Zorg ervoor dat de tool alle betrokkenen ondersteunt in hun functie, zoals risico-eigenaren, risicomanagers en auditors. Het moet inzicht bieden in maatregelen, risicoprofielen en audit trails.

• Strategie draait om de verbinding tussen risicomanagement, organisatiedoelen en prestaties. De tool moet het mogelijk maken om gebeurtenissen, risico’s, kansen en maatregelen te koppelen aan de organisatievisie.

• Processen hebben betrekking op de PDCA-cyclus (Plan-Do-Check-Act). De tool moet helpen bij het formuleren van doelstellingen, het inventariseren en inschatten van risico’s, het bepalen van prioriteiten, het monitoren van voortgang en dit rapporteren, bijvoorbeeld via dashboards of incidentenregisters.

• Bewustzijn richt zich op de risicocultuur en het lerend vermogen van de organisatie. Een goede tool stimuleert risicosensitiviteit, reflectie, dialoog en betrokkenheid en voorkomt dat risicomanagement niet beperkt blijft tot een afvinklijstje.

Wie inzicht heeft in het volwassenheidsniveau van risicomanagement en gebruikmaakt van een gestructureerd selectieproces, kan met de vier RAVC-kwadranten beoordelen of een tool werkelijk past.

Conclusie

Risicotooling kan een organisatie aanzienlijk helpen in het verbeteren van risicomanagementprocessen, maar het is essentieel dat de juiste keuzes worden gemaakt op basis van een goed risicomanagementraamwerk. Door het volwassenheidsniveau van risicomanagement in kaart te brengen en een gestructureerd selectieproces te volgen, kunnen organisaties ervoor zorgen dat de risicotool hen daadwerkelijk ondersteunt in hun doelen.

Blijf altijd waakzaam dat het risicomanagementraamwerk leidend is. Het is cruciaal dat de tool het risicoraamwerk versterkt en niet de koers en de aangeboden producten en diensten van de organisatie beperkt. Een goed gekozen risicotool moet de organisatie helpen om haar risicomanagement verder te professionaliseren, het volwassenheidsniveau verder brengen en helpen de strategische doelen te bereiken. Dan is de gekozen risicotooling niet sturend of beperkend maar waarde creërend.

Dit artikel is in een eerdere versie verschenen op www.financieel-management.nl