Van theoretisch naar resultaatgericht: waarom COSO nu praktische handvatten voor ERM biedt

COSO staat wereldwijd bekend om zijn gezaghebbende raamwerken voor internal control en enterprise risk management (ERM). Het ERM‑raamwerk uit 2017 (Integrating with Strategy and Performance) wordt breed gebruikt, maar krijgt in de praktijk ook kritiek: helder in principes, minder bruikbaar om de dagelijkse realiteit van tijdsdruk en beperkte capaciteit het hoofd te bieden. Met de nieuwe gids From Guidance to Action wordt de focus bewust verlegd. Niet het raamwerk staat centraal, maar de vraag: hoe zorg je dat ERM daadwerkelijk beslissingen positief beïnvloedt?

De kern van de gids: ERM moet keuzes verbeteren

De essentie van de COSO‑gids is eenvoudig, en tegelijk confronterend: veel ERM‑programma’s produceren wél output (risicoregisters, heatmaps, rapportages), maar leveren te weinig besluitrelevante inzichten. Risicomanagement verwordt daarmee tot gewichtloze documentatie of ‘compliance theater’, grafieken en matrixen die niet voldoende gekoppeld worden aan de acute werkelijkheid. Bestuurders hebben behoefte aan helderheid en directheid: wat is er veranderd, wat doet ertoe en wat vraagt dit van ons?

De gids introduceert daarom een fundamentele verschuiving: van risico’s vastleggen naar onzekerheid expliciet maken in strategische en operationele keuzes. Risico is geen losstaand onderwerp, maar onlosmakelijk verbonden met strategie, investeringen en uitvoering. Elke strategische keuze ís een risico‑keuze, het verschil is of je het risico expliciet maakt.

COSO werkt deze gedachte uit langs vier kerninzichten:

1. ERM creëert waarde, niet alleen door bescherming (minder verrassingen), maar ook door waardecreatie: betere keuzes, sneller bijsturen en bewuster risico nemen.
2. Strategie en risico zijn onafscheidelijk. Effectieve ERM ervaart men niet in rapportages achteraf, maar vóór en tijdens beslismomenten.
3. Er is een structurele implementatiekloof. Veel organisaties kennen het raamwerk en produceren output, maar missen vertaling naar concrete verbeteringen van gedrag, communicatie en besluitvorming.
4. Effectieve ERM is besluitgedreven en ingebed in bestaande overlegstructuren en ritmes, in plaats van een parallelle ‘ERM‑cyclus’.

Tien operating disciplines: van principes naar gedrag

Het meest onderscheidende element van de gids is de introductie van tien zogeheten ERM Operating Disciplines. Dit zijn geen nieuwe COSO‑principes, maar praktische gedrags- en ontwerpkeuzes die bepalen of ERM werkt in de praktijk. Voorbeelden zijn:

• risico koppelen aan strategie zolang er nog keuzeruimte is;
• risicobereidheid vertalen naar concrete grenzen, triggers en acties;
• beslissingen prioriteren boven documentatie;
• governance benaderen als een gedragssysteem, niet als een vergaderstructuur;
• openheid en eerlijkheid expliciet ontwikkelen als organisatievermogen.

Deze disciplines helpen risicomanagers om het COSO‑raamwerk te gebruiken als model bij het ontwerpen van een werkend risicomanagementsysteem, in plaats van als een tweedimensionale checklist.

Voor wie is deze gids bedoeld?

COSO richt zich expliciet op een brede doelgroep:

• Chief Risk Officers en ERM‑leiders, die worstelen met relevantie en impact;
• Bestuurders en toezichthouders, die minder rapportages en meer richtinggevende inzichten willen;
• Strategie-, finance‑ en auditfuncties, die risico daadwerkelijk willen betrekken bij keuzes over groei, investeringen en transformatie.

De gids is daarmee niet alleen “voor risicomanagers”, maar juist voor iedereen die risico moet overwegen in besluitvorming. Dat is een belangrijke verschuiving: ERM wordt gepositioneerd als een gezamenlijke managementdiscipline in plaats van een specialistisch eiland.

Welk gebrek vult COSO hiermee?

Met deze publicatie erkent COSO impliciet een pijnpunt dat veel professionals al jaren ervaren: het raamwerk was sterk in wat goed ERM is, maar bood weinig hulp bij hoe je het laat werken onder reële omstandigheden. Denk aan:

• beperkte boardtijd;
• weinig risicocapaciteit;
• snel veranderende markten;
• lage psychologische veiligheid om slecht nieuws vroeg te delen.

From Guidance to Action vult dat gat door concrete voorbeelden, praktijksituaties en minimale werkvormen te beschrijven, zoals ERM “onder tijdsdruk”, een vijf‑uur‑per‑week‑ritme voor kleine teams, en boardrapportages die starten met “wat is er veranderd?”.

Waarom is dit juist nu relevant?

Dat COSO deze stap nú zet, is geen toeval. Organisaties opereren in een context van geopolitieke onzekerheid, snelle technologische verandering (AI), ketenverstoring en toenemende maatschappelijke verwachtingen. Tegelijkertijd is de tolerantie voor verrassingen klein.

In zo’n omgeving schiet traditioneel, periodiek risicomanagement tekort. Besturen hebben behoefte aan duidelijke signalen en expliciete benoeming van de risico’s en kansen in de keuzes waarmee ze geconfronteerd worden. Zonder praktische handvatten dreigt ERM vast te komen zitten in een defensief proces en haar bestuurlijke impact te verliezen.

Door het raamwerk expliciet te verbinden aan besluitvorming, gedrag en cultuur, positioneert COSO ERM opnieuw als een strategische capaciteit in plaats van een rapportage‑discipline.

Tot slot

From Guidance to Action is geen vervanging van het COSO ERM‑raamwerk, maar een waardevolle aanvulling. De boodschap is helder: wie ERM wil laten werken, moet stoppen met optimaliseren van rapportages en beginnen met het verbeteren van keuzes. Juist daarin ligt de blijvende waarde van COSO, nu vertaald naar de praktijk van alledag.

Lees hier de volledige gids van COSO: https://www.coso.org/new-erm-guidance