Risicomanagement: zien, sturen en beheersen 

Op 17 september stond risicomanagement centraal tijdens het vierde webinar van NCOD Audit. Maartje Brouwers ging hierover in gesprek met Wim Pauw. In dit artikel delen we de belangrijkste inzichten: risicomanagement is meer dan het registreren van risico’s. Het gaat om het herkennen van risico’s die je doelstellingen kunnen bedreigen, bewuste keuzes maken, actief sturen en passende maatregelen treffen.

Risicomanagement krijgt bovendien steeds meer aandacht door ontwikkelingen zoals de Cyberbeveiligingswet (Cbw). Toch is wetgeving niet de belangrijkste reden om ermee aan de slag te gaan. Goed risicomanagement helpt bestuurders, directies en managers om hun doelstellingen met meer zekerheid te realiseren. Risico’s volledig uitsluiten kan niet; ze bewust herkennen en beheersen wel.

Een risico bestaat niet op zichzelf. De eerste vraag is daarom niet: welke risico’s hebben we? De betere vraag is: wat willen we bereiken en wat kan ons daarin belemmeren? Daarmee wordt risicomanagement direct verbonden aan strategie en organisatiedoelstellingen.

Wat passend risicomanagement is, verschilt per organisatie. Een kleine gemeente heeft een ander risicoprofiel dan een grote uitvoeringsorganisatie. Omgeving, maatschappelijke opdracht, omvang en doelstellingen bepalen welke risico’s relevant zijn en hoeveel beheersing nodig is. Er bestaat dus geen universeel format dat automatisch leidt tot goed risicomanagement.

Volledige zekerheid bestaat niet. Organisaties moeten daarom bepalen hoeveel risico zij bereid en in staat zijn te accepteren: de risk appetite. De praktische bestuurlijke vraag daarachter is: welk risico zijn wij bereid te lopen om onze doelstellingen te bereiken? 

Niet ieder risico vraagt dezelfde reactie. Soms is stevige beheersing noodzakelijk, soms kan een risico bewust worden geaccepteerd. Ook binnen de geaccepteerde bandbreedte kunnen maatregelen verstandig zijn, zolang inspanning en kosten in verhouding staan tot het risico. De kracht zit niet in het elimineren van ieder risico, maar in het bewust en aantoonbaar maken van de afweging. 

Meer maatregelen betekent niet automatisch betere beheersing. Bij ieder relevant risico moet worden bepaald welke maatregelen effectief, uitvoerbaar en proportioneel zijn. Maatregelen kunnen de kans op een gebeurtenis verkleinen of de gevolgen beperken wanneer deze zich toch voordoet. 

De kernvraag blijft: wat is hier passend? Risicomanagement vraagt dus niet om een zo groot mogelijk pakket aan controles, maar om maatregelen die aansluiten bij de aard en impact van het risico en die in de praktijk daadwerkelijk werken. 

Een veelvoorkomende valkuil is dat risicomanagement wordt neergelegd bij de risicomanager, controller of information security officer. De verantwoordelijkheid hoort echter bij de organisatie zelf te liggen.  

De risicomanager neemt risico’s dus niet over. Maar de manager helpt om risico’s zichtbaar te maken, stelt kritische vragen, verbindt informatie en zorgt dat belangrijke onderwerpen op tafel blijven. Het eigenaarschap blijft bij degene die verantwoordelijk is voor het proces en de doelstellingen. 

Bestuurders, collegeleden, directies en managers hoeven niet zelf alle risico’s te identificeren of beheersen. Hun rol is vooral richtinggevend: duidelijk maken wat de organisatie wil bereiken, bepalen hoeveel risico acceptabel is, verantwoordelijkheden beleggen en zorgen dat relevante risico-informatie beschikbaar is voor besluitvorming. 

Risicomanagement heeft daarom vooral waarde vóórdat een besluit wordt genomen. Dan worden alternatieven bekeken, blinde vlekken zichtbaar en consequenties meegewogen. De vraag is niet alleen “welke risico’s zien we?”, maar vooral “welke keuzes maken we en waar sturen we op?” 

Risicomanagement is geen project met een begin- en einddatum. Risico’s veranderen doordat de organisatie, omgeving en wetgeving veranderen. Ook maatregelen die vandaag effectief zijn, kunnen later onvoldoende blijken. Daarom vraagt risicomanagement om een continue cyclus: zien → beoordelen → kiezen → beheersen → monitoren → evalueren → bijsturen. 

Die cyclus sluit aan op reguliere sturing en de planning-en-controlcyclus. Hoe beter risicomanagement daarin wordt geïntegreerd, hoe minder het een afzonderlijke administratieve verplichting wordt en hoe meer het daadwerkelijk als stuurinstrument werkt. 

Een organisatie hoeft niet direct een perfect systeem of nieuw risicoregister te bouwen. Begin bij wat er al is. Managementletters, accountants- en auditrapportages, informatiebeveiligingsanalyses en verbeterplannen bevatten vaak al relevante risico’s en maatregelen. 

Start vervolgens bijvoorbeeld bij één belangrijke doelstelling of kritisch proces. Bespreek wat het behalen ervan kan belemmeren, welke gevolgen relevant zijn, wat de organisatie bereid is te accepteren, wie eigenaar is en welke maatregelen passend zijn. Klein beginnen, leren en verbeteren. 

Nieuwe wet- en regelgeving kan een aanleiding zijn om risicomanagement te versterken, maar het werkelijke doel is fundamenteler: organisaties helpen hun doelstellingen met een hogere mate van zekerheid te realiseren. Daarvoor moeten risico’s zichtbaar zijn, verantwoordelijkheden helder zijn en moeten bestuur en management bewust kiezen wat zij accepteren, wat zij beheersen en waarop zij actief sturen. Dan wordt risicomanagement wat het zou moeten zijn: een praktisch instrument voor goed bestuur, betere besluitvorming en een weerbare organisatie. 

NCOD Audit helpt organisaties om risicomanagement praktisch in te richten en te borgen. We ondersteunen bij het inzichtelijk maken van de huidige situatie, het bepalen van risico’s en risk appetite, het beleggen van rollen en verantwoordelijkheden en de verbinding met informatiebeveiliging, BIO2, de Cyberbeveiligingswet en de planning-en-controlcyclus. 

Geen zwaar systeem omdat het moet, maar een aanpak die past bij de organisatie en in de praktijk werkt. Wil je weten waar jouw organisatie staat of hoe je risicomanagement praktisch kunt versterken? Neem dan contact op met NCOD Audit.