Het grootste risico binnen risicomanagement? Onderbuik-risicomanagement.

Onderbuik-risicomanagement. Volgens mij komt het vaker voor dan we denken.

Het is een term die ik zelf weleens gebruik en waarvan ik denk dat veel risk professionals hem zullen herkennen. In de jaren dat ik binnen risicomanagement actief ben (geweest), heb ik namelijk regelmatig gezien dat risico’s niet zozeer verkeerd worden ingeschat omdat mensen ze niet serieus genoeg nemen, maar juist omdat ze vanuit voorzichtigheid zwaarder worden gemaakt dan een goede analyse van kans en impact rechtvaardigt.

Niet omdat mensen risico’s niet serieus nemen

Dat gebeurt meestal met de beste intenties. Niemand wil degene zijn die achteraf moet uitleggen waarom een risico is onderschat. Een auditbevinding ligt op tafel, er is ergens een control die niet volledig werkt en voordat je het weet spreken we over een hoog risico waarvoor aanvullende beheersmaatregelen nodig zijn.

De vraag die naar mijn mening dan te weinig wordt gesteld, is vrij simpel: hoe groot is dit risico nu eigenlijk écht?

Juist daar zit voor mij een belangrijk deel van de toegevoegde waarde van een volwassen risicomanagementfunctie. Niet alleen risico’s identificeren, registreren en rapporteren, maar vooral voldoende inhoudelijke kennis en senioriteit aan tafel brengen om risico’s in perspectief te plaatsen en waar nodig tegenwicht te bieden.

De samenwerking tussen de tweede en derde lijn

Een herkenbaar voorbeeld is de samenwerking tussen de tweede en derde lijn. Internal Audit vervult een onmisbare rol door onafhankelijk te toetsen of processen en beheersmaatregelen effectief zijn ingericht. Tegelijkertijd kijkt Internal Audit, inherent aan de aard van het vak, vaak op basis van steekproeven en naar de situatie op een bepaald moment. Een geconstateerde tekortkoming is daarmee een relevant feit, maar de vertaling daarvan naar de daadwerkelijke omvang van het risico vraagt wat mij betreft om een volgende stap.

Stel dat uit een audit blijkt dat de periodieke beoordeling van een aantal leveranciers niet binnen de voorgeschreven termijn is uitgevoerd. De procedure is daarmee niet volledig gevolgd en de auditbevinding is terecht. De vervolgvraag voor Risk zou voor mij echter moeten zijn wat dit concreet betekent voor het risico. Gaat het om kritieke leveranciers waarvan de organisatie sterk afhankelijk is, of om partijen met een beperkte rol? Zijn er incidenten geweest, zijn prestaties op andere manieren gemonitord en welke risico’s zijn door het uitblijven van die formele beoordeling daadwerkelijk ontstaan? Pas daarna kun je onderbouwd bepalen hoe zwaar de bevinding moet wegen en welke actie proportioneel is.

Dat zijn voor mij geen vragen om een auditbevinding te bagatelliseren of ter discussie te stellen. Integendeel. Juist door die vragen te stellen, wordt de bevinding vertaald naar een risico-inschatting waarop het management een proportionele beslissing kan nemen.

Als voorzichtigheid leidt tot overbeheersing

Ik heb in de praktijk vaak genoeg gezien wat er gebeurt wanneer die inhoudelijke tegenkracht ontbreekt. Vanuit het principe better safe than sorry worden extra controles toegevoegd, rapportages uitgebreid en processen aangepast. Iedere afzonderlijke maatregel is misschien verdedigbaar, maar bij elkaar kunnen organisaties veel tijd, geld en capaciteit investeren in het mitigeren van risico’s die bij een goede analyse relatief beperkt blijken te zijn. Niet omdat de oorspronkelijke bevinding onjuist was, maar omdat onvoldoende onderscheid is gemaakt tussen de bevinding zelf en het risico dat daaruit voortvloeit.

Diezelfde dynamiek zie je richting de business. Risicoregisters hebben de neiging ieder jaar verder te groeien en vrijwel ieder risico eindigt uiteindelijk ergens tussen ‘middel’ en ‘hoog’. Vanuit voorzichtigheid begrijp ik die reflex, maar vanuit goed risicomanagement vind ik hem juist problematisch. Want als vrijwel alles belangrijk is, is uiteindelijk niets meer écht belangrijk. Het wordt dan steeds moeilijker om onderscheid te maken tussen risico’s die de continuïteit of doelstellingen van de organisatie daadwerkelijk kunnen bedreigen en risico’s die een organisatie bewust kan en misschien zelfs moet accepteren.

Less is more

Daarom geloof ik binnen risicomanagement sterk in het principe less is more. Een volwassen risicomanagementfunctie bewijst haar waarde wat mij betreft niet door ieder jaar meer risico’s, controls en rapportages te produceren, maar door de organisatie te helpen scherpere keuzes te maken. Dat vraagt om een gedegen analyse van kans en impact, zowel bruto als netto, en om risk professionals die voldoende inhoudelijke kennis en senioriteit hebben om een risico ook lager te durven inschatten wanneer de feiten dat rechtvaardigen.

Want goed risicomanagement betekent niet dat je ieder denkbaar risico probeert uit te sluiten. Het betekent dat je begrijpt welke risico’s er werkelijk toe doen, welke beheersing proportioneel is en welke risico’s je als organisatie bewust kunt accepteren.

Beschermen tegen risico’s én tegen onderbuik-risicomanagement. Misschien is dat uiteindelijk wel een van de belangrijkste taken van een sterke risicomanagementfunctie: de organisatie beschermen tegen risico’s, maar óók tegen onderbuik-risicomanagement.