Werkwijze in 7 stappen

0 reactie(s) | Tekstgrootte:

De werkwijze
In grotere organisaties zal de internal-auditafdeling een dirigerende functie hebben op het gebied van risicobeheersing. Bij kleinere organisaties is het meestal de controller die op het gebied van risicomanagement grote verantwoordelijkheden heeft. Maar wie het voortouw ook neemt, veel afdelingen zullen betrokken zijn bij het identificeren van de risico’s en het bedenken van oplossingen om de risico’s te beperken. Dat is ook logisch gezien de aard van de risico’s die er zijn. Voor de controller is er echter wel een speciale rol weggelegd, omdat hij als dé financieel deskundige van de organisatie een belangrijke rol speelt bij de analyse, de opties om de risico’s te beperken en de voorbereidende besluitvorming hieromtrent. Maar de controller is ook belangrijk omdat hij grote invloed heeft op de inrichting van het managementinformatieproces, waarin natuurlijk ook uitgebreid aandacht wordt besteed aan de risico’s van de organisatie. Voor een goede, systematische aanpak is het verstandig om via een stappenplan te werk te gaan.

Stap 1 Risico-identificatie
Risico’s kunnen op verschillende manieren worden ingedeeld. Het betreft hier niet alleen de traditionele en vaak te verzekeren risico’s (zoals voor productaansprakelijkheid, brand enzovoort), maar de veel bredere business risks. Hiermee worden concurrerende, operationele, politieke en personele onzekerheden bedoeld. De risico’s worden meestal per aandachtsgebied vastgelegd via een zogenaamde quick scan.

Stap 2 Risicoanalyse
Risico’s kunnen op diverse manieren worden ingedeeld. Een belangrijke indeling is die in speculatieve risico’s en zuivere risico’s. Met speculatieve risico’s wordt het ondernemingsrisico bedoeld: de kans bestaat dat zaken gaan zoals verwacht, maar ook slechter of beter. Denk bijvoorbeeld aan de investering in een nieuwe machine om een bepaald product te maken. De omzet kan meevallen, maar ook tegenvallen. De negatieve risico’s die samenhangen met speculatieve risico’s kun je best reduceren– bijvoorbeeld door een adequaat marktonderzoek of door het vooraf goed nadenken over de inhoud van te volgen opleidingen – maar te verzekeren zijn de risico’s niet. Dat is anders bij zuivere risico’s. Bij zuivere risico’s zijn er in tegenstelling tot bij speculatieve risico’s maar twee effecten mogelijk: als het niet fout gaat, gebeurt er niets. Gaat het wel fout, dan treedt verlies op. Dus er is wel kans op schade, maar geen kans op winst. In veel gevallen zijn zuivere risico’s verzekerbaar. Denk aan een diefstal- of brandverzekering. Of risico’s ernstig zijn voor een organisatie, hangt van twee zaken af: de kans dat het risico zich voordoet en het effect dat het risico naar verwachting heeft of kan hebben. Kortom: risico = kans x effect.

Stap 3 Kwantitatieve beoordeling
De kansen en de risico’s zullen nu door de auditgroep met elkaar in verband gebracht worden. Per onderdeel, gevonden bij de quick scan, wordt het risico bepaald. Soms is het echt mogelijk om met bedragen te werken, maar ook een minder expliciete benadering kan, waardoor je een soort kwalitatieve indeling krijgt.

Stap 4 Optieanalyse
Nu de risico’s zijn onderkend en de kansen en effecten zijn bepaald, is de volgende stap in het risicomanagementproces de analyse van de opties rond deze risico’s. Er is een aantal mogelijke opties:
• Het vermijden van risico’s: Door bepaalde zaken af te stoten, kan een organisatie risico’s vermijden. Het niet meer leveren aan bepaalde groepen klanten, het uit het assortiment nemen van bepaalde producten of het aanpassen van de processen of te leveren goederen, zodat risico’s niet meer kunnen behoren hierin tot de mogelijkheden. Het vermijden van risico’s is natuurlijk niet gratis; aan nee-verkopen kleven opportunity costs. Ook het aanpassen van processen kost geld, want het beïnvloedt soms de efficiency nadelig, of het kan ‘klantonvriendelijk’ overkomen.
• Het verminderen van risico’s: Soms vallen risico’s niet volledig uit te sluiten of is het volledig vermijden van risico’s in financieel opzicht onverstandig. In die gevallen kan overwogen worden om de risico’s te beperken. Dat kan via preventieve maatregelen, beschermende maatregelen of verminderingsmaatregelen. Het is overigens niet zo dat er altijd sprake is van een kosten-batenanalyse om tot het besluit te komen om wel of geen risicoverminderende maatregelen te nemen.
• Het overdragen van risico’s: De risico’s zijn onder te verdelen in twee vormen van overdracht. De overdracht van de werkzaamheden en de verantwoordelijkheden die de risico’s veroorzaken aan bijvoorbeeld de leverancier, de klant of de onderaannemer en via leveringsvoorwaarden. Ook kunnen via garantiebepalingen risico’s worden overgedragen.

Stap 5/6 Besluit en actie
Deze stap gaat over de implementatie van beheersmaatregelen of het nemen van risicomitigerende maatregelen (risk respons). Het gaat daarbij, zoals bij veel verandertrajecten, om de volgende vier items. Een nadere uitwerking van de implementatie valt buiten de scope van dit artikel.
• risicobewustzijn (cultuur);
• opzet van het system en de organisatie van processen (structuur);
• kennis en vaardigheden (competenties);
• hulpmiddelen (techniek).

Stap 7 Monitoren en evalueren of bewaking en bijsturing
Aangezien riskmanagement per uitstek een continu proces is, is deze laatste stap zeer belangrijk