Drie risicocycli: strategisch, operationeel, thematisch
Om risicomanagement te bevrijden van schijnzekerheid en om impliciete aannames expliciet te maken, is het zinvol om onderscheid te maken tussen drie risicocycli. Deze helpen organisaties om risico’s op verschillende niveaus gestructureerd te benaderen:
Strategische risicomanagementcyclus
De strategische cyclus weerspiegelt de bestuurlijke visie op risico’s en vormt de sturende basis voor geïntegreerd risicomanagement. Hierbij wordt gezorgd dat risicomanagement zich expliciet gaat verhouden tot organisatiedoelstellingen (voortkomend uit de missie, visie en strategie) en wordt toegepast in besluitvorming en bedrijfsvoering.
De eerste stap is het opstellen van een passend strategisch normenkader. Daarin worden drie kernelementen onderling verbonden:
- Risicohouding: de positie tussen risicomijdend en risicozoekend gedrag waarin bestuurders zich comfortabel voelen;
- Risicobereidheidsprincipes: principes, ook wel stoepranden genoemd, die aangeven wanneer risico’s acceptabel zijn en wanneer ingrijpen nodig is;
- Risicotolerantiegrenzen: een concrete uitwerking van de stoepranden, waarbij deze meetbaar gemaakt zijn met indicatoren.
Het normenkader begint bij het bepalen van de risicohouding; een indicatie van de positie tussen risicomijdend en -zoekend waar iedereen van het bestuur zich gemakkelijk bij voelt. Ieder bestuurslid heeft een individuele houding en door met elkaar in gesprek te gaan, wordt een gezamenlijke houding bepaald die iedereen kan accepteren, waaruit de risicobereidheidsprincipes volgen.
Het concretiseren van deze principes gebeurt bijvoorbeeld middels het RAVC-model, dat in een eerder artikel al kort aan bod kwam. Dit model helpt om gezamenlijk in gesprek te gaan over de houding ten opzichte van de risico’s per domein:
- Kapitaalmanagement (financieel)
- Reputatiemanagement (imago, identiteit en integriteit)
- Besturingsfilosofie (gedrag, leiderschap en cultuur)
- Uitvoeringsprocessen (operationeel)
- IT en innovatie (technologisch)
Per domein wordt besproken: zijn we hier eerder risicomijdend of risicozoekend? En vooral: waarom? Door deze gesprekken structureel te voeren ontstaat inzicht in verschillen, gedeeld begrip en richtinggevende principes. Een bestuurder die bijvoorbeeld risicomijdend is als het om reputatie gaat, maar risicozoekend is op het gebied van IT-ontwikkeling, laat daarmee impliciet al prioriteiten zien. Door deze houding expliciet te maken, kunnen bijpassende indicatoren (KPI’s/KRI’s) en beheersmaatregelen worden bepaald.
Tot slot wordt de risicobereidheid geconcretiseerd in een vastgestelde set van risicotolerantiegrenzen. Dit gebeurt door de stoepranden meetbaar te maken met indicatoren. Er zijn twee soorten indicatoren die hierbij van belang zijn. De KPI’s, ofwel de key performance indicators, drukken uit welke prestaties of doelstellingen de organisatie nastreeft. In risicomanagement zijn de KRI’s, key risk indicators, de andere kant van de medaille. Zij geven aan wanneer de organisatie zodanig afwijkt van het realiseren van een doelstelling dat het een risico vormt. Idealiter worden de KPI’s en KRI’s verenigd, zo voorkom je dat er een gescheiden ‘performancewereld’ en ‘risicowereld’ ontstaat.
Cruciaal in al deze stappen is het gesprek zelf. Daarin komen achterliggende overtuigingen, argumenten en voorkeuren naar voren. Door samen te reflecteren en keuzes expliciet te maken, leren bestuurders elkaars risicohouding beter begrijpen en ontstaat er een bestuurlijke samenhang, ook als houdingen per domein verschillen.
Operationele risicomanagementcyclus
De operationele cyclus richt zich op de dagelijkse risico’s waar een organisatie mee te maken heeft. Denk aan incidenten zoals een verkeerde factuur, een datalek, een IT-storing of miscommunicatie met klanten of stakeholders. Deze risico’s dienen te worden gesignaleerd en vragen om procesmatige beheersing. Doordat de dagelijkse risico’s zich vaker en op kortere termijn voordoen dan strategische risico’s moet deze cyclus sneller en frequenter zijn. Ze vindt plaats op het niveau van een afdeling of van meerdere afdelingen binnen een keten. Tegelijkertijd is het van belang dat deze risico’s niet los komen te staan van de strategische koers. Door een koppeling te maken tussen de dagelijkse beheersing en bestuurlijke richting, kunnen deze elkaar in het systeem versterken.
Thematische cyclus
Deze cyclus is bedoeld voor verdieping op specifieke risicothema’s die extra aandacht vragen, zoals integriteit, cyberveiligheid of contractbeheer. Binnen zo’n thema wordt een ‘duik in de diepte’ genomen, waarbij het onderwerp wordt onderzocht over de hele breedte van een organisatie. De thematische cyclus stelt organisaties in staat om risico’s rondom een vastgesteld thema te analyseren en gezamenlijk verbetermaatregelen te formuleren.
Door deze drie cycli bewust te doorlopen, ontstaat samenhang tussen strategie en operatie. Risico’s worden dan niet langer ad hoc of sectoraal aangepakt, maar in samenhang en met oog voor hun context, betekenis en impact op de organisatiedoelen.
Risicobeoordeling als betekenisvol gesprek
Het is van belang dat het normenkader niet beperkt blijft tot de strategische cyclus, maar ook actief wordt toegepast binnen de operationele en thematische cycli. Dat vraagt om meer dan het toekennen van kans- en impactscores aan risico’s. Het is waardevol om risico’s te identificeren en te beoordelen, maar pas wanneer risico’s expliciet worden verbonden aan de specifieke context van de organisatie – haar doelstellingen en risicobereidheid – krijgen ze echte betekenis.
Een risico is immers nooit van universeel belang: eenzelfde risico kan voor de ene organisatie van vitaal belang zijn, terwijl het er voor een andere organisatie nauwelijks toe doet. Waar de ene organisatie genoegen neemt met een geringe risicobeheersing, zal een andere organisatie staan op een absoluut waterdichte. Dit heeft alles te maken met het verschil in doelstellingen en risicobereidheid tussen organisaties.
Daarom is het cruciaal dat risicobeoordelingen niet geïsoleerd plaatsvinden, maar ingebed zijn in een gedeeld gesprek. Een goed risicogesprek maakt zichtbaar hoe risico’s de realisatie van doelstellingen raken, hoe de risicobereidheid per domein verschilt, en welke prioriteit aan beheersing moet worden gegeven. Het expliciteren van deze verbanden zorgt ervoor dat risicobeoordelingen niet langer een abstracte exercitie zijn, maar een betekenisvol en richtinggevend onderdeel van de organisatiepraktijk - op strategisch, operationeel én thematisch niveau.
Risicocommunicatie: visualisatie met betekenis
De risicokaart, waarin risico’s visueel worden weergegeven op basis van de uitkomsten van kans * impact middels een heatmap, blijft een nuttig instrument. Om écht waardevol te zijn, moet de kaart meer doen dan alleen kleuren toewijzen. Ze moet de bestuurlijke werkelijkheid weerspiegelen en uitnodigen tot betekenisvolle gesprekken. Dat vraagt om maatwerk en kritische reflectie op de gebruikte visualisatie:
- Sluit de kleurverdeling in de heatmap aan op de specifieke risicobereidheid van de organisatie? Of wordt de beoordeling van risico’s op een andere manier in relatie gebracht tot de risicobereidheid?
- Spreekt de legenda de taal van de organisatie? Zijn de definities van ‘kans’ en ‘impact’ helder, herkenbaar en gedeeld?
- Wordt onderscheid gemaakt tussen kwalitatieve en kwantitatieve schalen?
- Kunnen risico’s in samenhang besproken worden? Of blijven het losse punten zonder duidelijke relatie tot doelstellingen en risicobereidheid van de organisatie?
Het doel van de risicokaart is niet om af te vinken, maar het is een gespreksstarter. Ze moet bijvoorbeeld helpen bij het prioriteren van risico’s, het identificeren van samenhang en het kritisch heroverwegen van de relevantie van beheersmaatregelen.
Een goede risicokaart groeit mee met de organisatie. Begin klein en kwalitatief, en breid later uit richting kwantificering naarmate er data en ervaring beschikbaar komen. Belangrijk is dat de kaart ondersteunend blijft – nooit leidend. De waarde zit in de dialoog die de kaart op gang brengt, niet in de kaart zelf.
Van analyse naar actie
Een volwassen risicomanagementproces stopt niet bij registratie, maar verbindt risicobewustzijn met concrete keuzes en acties. Dat vraagt om een doorlopende cyclus van planning, analyse, reflectie en bijsturing.
Risico’s worden niet alleen geïdentificeerd en gewogen, maar krijgen betekenis voor de organisatie doordat ze:
- in samenhang besproken worden – risico’s worden niet los gezien, maar gewogen in relatie tot elkaar en tot de doelstellingen en risicobereidheid van de organisatie;
- geprioriteerd worden – welke risico’s vragen nu om aandacht, en welke kunnen (nog) wachten?
- meetbaar beheerst worden met maatregelen en indicatoren – er wordt expliciet gemaakt welke maatregelen worden genomen en hoe de werking daarvan zichtbaar en toetsbaar is;
- periodiek worden herijkt – klopt de inschatting nog, gezien de veranderende contexten, data of doelstellingen?
Daarbij hoort ook het bewust omgaan met het risicobudget: welke middelen worden ingezet om risico’s te beheersen, en wat leveren die op? Risicomanagement is daarmee ook een economische afweging. Beheersmaatregelen kosten tijd, geld en aandacht – en het is daarom van belang dat deze kosten zich vertalen in waarde voor de organisatie.
Door risico’s dus niet alleen te signaleren, maar ook te plaatsen in context, te vertalen naar beheersing, en periodiek te heroverwegen, ontstaat een volwassen risicomanagementcyclus die de organisatie helpt sturen en aanzet tot actie.
Vragen ter verdieping
Voor risicomanagers die met deze methodiek aan de slag willen, kunnen de volgende vragen richting geven aan reflectie en verbetering. Ze helpen om niet alleen op inhoud, maar ook op proces, samenhang en cultuur te evalueren:
- Welke van de drie risicocycli zijn in onze organisatie het best ontwikkeld? En welke vragen om meer aandacht?
- Hebben wij bestuurlijk gedeelde beelden van risicohouding en risicobereidheid per domein?
- Welke stoepranden hanteren we daadwerkelijk, en zijn die bekend en gedragen binnen de organisatie?
- Gebruiken we KPI’s ook als KRI’s? En omgekeerd? Of bestaan er nog gescheiden werelden van prestatie en risico?
- Wanneer hebben we voor het laatst een beheersmaatregel bewust ‘ontstapeld’? Oftewel: welke controlemechanismen zijn nuttig en welke zijn overbodig geworden?
- Zijn risicobeoordelingen expliciet in relatie gebracht tot onze organisatiedoelstellingen en risicobereidheid?
- Sluit onze risicokaart aan bij de risicocultuur van de organisatie? En stimuleert ze het juiste gesprek?
Tot slot: risicomanagement als legitimerende kracht
De waarde van risicomanagement zit niet in de volledigheid van het risicoregister, maar in de kwaliteit van het gesprek dat eraan ten grondslag ligt. Een gesprek waarin risico’s expliciet en betekenisvol worden gemaakt– in relatie tot houding, grenzen, maatregelen en prioriteiten.
Wanneer risico’s op deze manier worden besproken, draagt risicomanagement bij aan vertrouwen, transparantie en legitimiteit. Het stelt bestuurders en managers in staat om te verantwoorden waarom bepaalde risico’s bewust zijn genomen, gemeden of juist getolereerd.
En precies dáárin schuilt de strategische waarde: wie kan uitleggen waarom keuzes zijn gemaakt, bouwt aan draagvlak – intern én extern. Dat verhaal begint bij het expliciteren van wat je eerder misschien nog niet zag.
Zie jij wat je nog niet expliciet hebt gemaakt?
