Risicomanagement als strategisch kompas in de zorg

Zorgorganisaties opereren in een omgeving die de afgelopen jaren ingrijpend is veranderd. Toenemende complexiteit, maatschappelijke verwachtingen, personeelstekorten en financiële druk leggen een steeds groter beslag op bestuurders en professionals. In deze context is integraal risicomanagement (IRM) vaak verworden tot een verplicht nummer voor de verantwoording. Echter, een recente analyse door strategisch adviesbureau AethiQs van de zorgsector toont aan dat risicomanagement, mits juist ingericht, de sleutel vormt tot bestuurlijk comfort en strategische wendbaarheid. Zij stellen de vraag: hoe bewegen we van risico-administratie naar risico-inspiratie?

Dit artikel is gebaseerd op de lustrumeditie van de 'Handreiking risicomanagement voor de zorgsector'’ van strategisch adviesbureau AethiQs, gebaseerd op de jaarverslagen over de afgelopen vijf jaar binnen de jeugdzorg, de langdurige zorg (gehandicaptenzorg, verpleeg-, verzorgingshuizen en thuiszorg) en ziekenhuizen, aangevuld met diepte-interviews. De centrale vraag die wordt verkend is hoe risicomanagement in de zorg kan bijdragen aan het realiseren van de maatschappelijke opdracht, in plaats van slechts een administratieve last te zijn. Het onderzoek is voor het vijfde jaar op rij uitgevoerd. Om de volwassenheid van het risicomanagement te duiden, wordt gebruik gemaakt van de ‘Risk Appetite Value Chain’ (RAVC)-methodiek die cross-sectoraal gehanteerd wordt. Dit model benadert risicomanagement holistisch vanuit vier kwadranten langs twee assen: de ‘systeemkant’ (Risicogovernance en Risicoprocessen) en de ‘menskant’ (Risicostrategie en Risicobewustzijn).

Stagnatie in volwassenheid

Uit de analyse van de jaarverslagen blijkt dat zorgorganisaties steeds transparanter rapporteren over risico’s en beheersmaatregelen en stappen zetten op de systeemkant.

• Risicogovernance, het inrichtingsvraagstuk van taken en verantwoordelijkheden scoort consistent het hoogst. Dit is verklaarbaar, aangezien governance een expliciet en streng genormeerd onderdeel is van de wet- en regelgeving.
• Risicoprocessen, dit een belangrijk kwadrant voor een praktische implementatie van risicomanagement.

Zorgelijk is echter dat de groei in volwassenheid op de menskant stagneert.

• Risicostrategie, waaronder de vertaling van risico-inzichten naar strategische keuzes, risicohouding en risicobereidheid, blijft structureel het laagst scorende onderdeel.
• Risicobewustzijn. Dit gedragsvraagstuk staat sterk in verband met de Risicostrategie: hier komt de ‘blauwdruk’ tot uitvoering. Het is daarvoor niet alleen belangrijk wat er moet gebeuren, maar ook waarom. Het uitdragen van de missie van het risicomanagement begint bij het bestuur. De kernwaarden die het leiderschap uitdraagt, vormen de basis voor een organisatie waar men zelf evalueert en reflecteert op de kwaliteit en mogelijke verbeteringen van risicomanagement.

In de jaarverslagen is te zien dat de systeemkant bij veel instellingen sterk staat, maar dat de menskant achterblijft. Risicomanagement wordt hierdoor bij zorginstellingen nog onvoldoende benut als stuurinstrument voor de lange termijn. Een opvallende trendbreuk ten opzichte van voorgaande jaren is de convergentie tussen verschillende typen zorgorganisaties. Waar ziekenhuizen en grote instellingen voorheen significant hoger scoorden dan kleinere organisaties, zijn deze verschillen in de verslagen over 2024 kleiner geworden. Dit suggereert enerzijds een professionalisering bij kleinere instellingen, maar roept anderzijds de vraag op of grotere organisaties voldoende meebewegen met de nieuwe, complexe risico’s van deze tijd.

Besturen in een landschap van dilemma’s

Risicomanagement in de zorg is geen eendimensionale exercitie van kans maal impact. In de praktijk hangt het sterk samen met fundamentele bestuurlijke dilemma’s die de continuïteit en geloofwaardigheid (samengenomen de legitimiteit) van de organisatie raken. Uit gesprekken met bestuurders, toezichthouders en risicomanagers zijn zeven dilemma’s gedestilleerd die de huidige zorgcontext typeren, zie hiervoor ook het volledige onderzoek: 'Handreiking risicomanagement voor de zorgsector'. Uit de zeven dilemma’s in het onderzoek lichten we er hier drie uit, namelijk:

1. Ambitie versus absorptie: De zorgvraag en maatschappelijke verwachtingen groeien sneller dan organisaties kunnen opschalen. Bestuurders moeten de spanning managen tussen de wil om te vernieuwen en het daadwerkelijke absorptievermogen van de organisatie, gezien de personeelstekorten en werkdruk.
2. Kwaliteit versus kwantiteit van leven: Dit dilemma raakt de kern van de zorgverlening. Soms staat het vermijden van risico’s (veiligheid) op gespannen voet met het gunnen van vrijheid en levensgeluk aan cliënten. Een te sterke focus op risicomijding kan leiden tot verschraling van de kwaliteit van leven.
3. Egosysteem versus ecosysteem: Organisaties staan voor de keuze om te sturen op het eigen financiële voortbestaan of de samenwerking te zoeken in de regio om de maatschappelijke opdracht te borgen. Systeemrisico’s zoals arbeidsmarktkrapte laten zich immers niet oplossen binnen de muren van één instelling.

Deze dilemma’s maken zichtbaar dat risico’s verweven zijn met waarden en cultuur. Risicomanagement dat zich beperkt tot het afvinken van lijstjes schiet hier tekort.

Van ‘Vink risk’ naar ‘Think risk’

Een terugkerend thema in de verkenning is het spanningsveld tussen verantwoording en betekenis, in het onderzoek getypeerd als ‘Vink risk’ versus ‘Think risk’. De toenemende druk op compliance en transparantie draagt het risico in zich dat risicomanagement verwordt tot een administratief proces. Organisaties richten zich op volledigheid in plaats van relevantie, waardoor men door de bomen het bos niet meer ziet.

Betekenisvol risicomanagement vraagt om een verschuiving naar Think risk: van registreren naar reflecteren. Dit impliceert het vaststellen van heldere ‘stoepranden’ (risicobereidheid) waarbinnen professionals hun werk kunnen doen. Het gaat erom risico’s expliciet te maken in de besluitvorming en de dialoog te voeren over wat acceptabel is. In deze benadering ondersteunt risicomanagement de bestuurlijke dialoog en biedt het vertrouwen, in plaats van dat het de organisatie belast met bureaucratie.

Meerdere perspectieven verbinden

Om deze slag te maken, is het essentieel om risicomanagement vanuit meerdere perspectieven te benaderen. Bestuurders richten zich primair op de koers en maatschappelijke opdracht, risicomanagers op inzicht en samenhang, toezichthouders op proportionaliteit en governance. Wanneer deze perspectieven los van elkaar staan, ontstaat fragmentatie. Wanneer zij elkaar versterken, draagt IRM bij aan strategische wendbaarheid.

Het expliciet organiseren van de dialoog langs de lijnen van bestuurlijke dilemma’s blijkt een krachtig instrument. Hierbij moet de focus liggen op waardedenken boven controldenken. De vraag moet niet zijn ‘hoe beheers ik alle risico's?’, maar ‘hoe voegt risicomanagement waarde toe aan het realiseren van onze doelstellingen?’.

IRM Handreiking Zorg: Eén doel, drie principes

Om risicomanagement daadwerkelijk als strategisch kompas te laten fungeren, bieden wij in onze sectorverkenning een handreiking gebaseerd op één doel: betekenisvol risicomanagement. Dit wordt ondersteund door drie leidende principes die de RAVC-systematiek in praktijk brengen:

1. Relevantie boven volledigheid: Focus op wat echt belangrijk is in plaats van op een compleet lijstje.
2. Waardedenken boven controldenken: Hoe voegt risicomanagement waarde toe aan de strategische doelen?
3. Niet eendimensionaal: Sluit aan op wat de organisatie al doet in de planning- en controlcyclus.

Integraal risicomanagement in de zorg staat op een kruispunt. De basis is gelegd, maar om van risico-administratie naar risico-inspiratie te bewegen, moeten zorgorganisaties specifieke stappen zetten op alle vier de RAVC-kwadranten:

• Risicogovernance: Verschuif de focus van het formeel beleggen van taken naar het voeren van de dialoog over mandaat. Zorg dat bij samenwerkingsvraagstukken (ecosysteem) duidelijk is wie het mandaat heeft om over organisatiegrenzen heen risico's te accepteren.
• Risicostrategie: Maak impliciete keuzes expliciet. Bepaal harde ‘stoepranden’ (risicobereidheid) voor dilemma's zoals ambitie versus absorptie, zodat duidelijk is welke risico's genomen mogen worden om strategische doelen te bereiken.
• Risicoprocessen: Stop met rapporteren op volledigheid en start met rapporteren op relevantie. Integreer risicoclassificaties direct in besluitvormingsdocumenten, zodat risico's een wegingsfactor worden in plaats van een bijlage.
• Risicobewustzijn: Dit is de cultuuromslag van ‘Vink risk’ naar ‘Think risk’. Stimuleer leiderschap waarin het bespreken van twijfels en 'grijze gebieden' (zoals kwaliteit versus veiligheid) wordt beloond in plaats van bestraft.

Door deze richting te kiezen, transformeert risicomanagement van een papieren verplichting naar een strategisch kompas voor een wendbare zorgsector.

Dit artikel is in een eerdere versie verschenen op actuaris.nl