HOOFDSTUK 2 RISICOMANAGEMENT

Transcriptie

1 In dit hoofdstuk wordt ingegaan op het managen van risico s in algemene zin en de verschillende invalshoeken van risicomana - gement. Daarbij wordt tevens een definitie van het begrip risicomanagement, zoals gehanteerd in dit boek, gegeven. Vervolgens komt de wijze waarop invulling kan worden gegeven aan het risi - comanagementconcept aan de orde. HOOFDSTUK 2 RISICOMANAGEMENT Risicomanagement is een aandachtsgebied binnen organisaties dat vanuit verschillende invalshoeken sterk in de belangstelling staat. De dynamiek van de omgeving en de toenemende complexiteit van organisaties maken een optimale bedrijfsvoering, waarin risico s tijdig worden onderkend en gemanaged, steeds noodzake - lijker. Risicomanagement lijkt het antwoord op de onzekerheid waarin organisaties verkeren en staat daarmee garant om als de nieuwste managementtool bestempeld te worden. Het is dan ook niet vreemd dat de term risicomanagement momenteel veelvuldig wordt gebruikt. Wel is het van belang om op te merken dat hieraan vaak, vanuit verschillende invalshoeken, verschillende betekenissen worden gegeven. Daarom is het belangrijk de vraag te beantwoorden wat risicomanagement is en welke vormen het binnen organisaties kan aannemen. Het managen van risico s Zoals gezegd wordt de term risicomanagement veelvuldig gebruikt en kan deze verschillende betekenissen hebben. De term risico wordt bijvoorbeeld, vooral in de financiële dienstverlening, vaak gehanteerd in relatie tot prijs. In deze context is risicomanagement een benadering om het potentiële verlies van de handelsactiviteiten van bedrijven zichtbaar te maken. Een belangrijke methode om het mogelijke of potentiële verlies uit hoofde van handelsposities te 13

2 berekenen is value at risk. In deze benadering van risicomanagement is het managen van risico s voornamelijk een taak van controllers en treasuryafdelingen binnen banken. Externe toezichthouders hebben de methode tevens opgenomen in regelgeving en richtlijnen. Value at risk is in principe niets anders dan het verliespotentieel of verliesrisico over een bepaalde periode, uitgedrukt in een bepaald bedrag. Traditioneel risicomanagement richt zich op het voorkomen van verlies en het veiligstellen van assets. In de meer klassieke benadering van risicomanagement gaat het om het feit dat er iets mis zou kunnen gaan binnen de organisatie en dat dat iets moet worden herkend, geanalyseerd en bestreden. Bij deze benadering worden de bedreigingen waaraan een onderneming blootstaat in kaart gebracht, geanalyseerd en gerangschikt in volgorde van impact op de organisatie. Vervolgens maakt de directie plannen om de risico s te voorkomen, waarbij ze uitrekent wat de te ondernemen acties, zoals het afsluiten van verzekeringen, zullen gaan kosten. Dit is een wat statische benadering van risicomanagement, waarbij men ervan uitgaat dat de hiervoor genoemde exercitie slechts periodiek (jaarlijks) dient te worden uitgevoerd. Traditioneel risicomanagement is gericht op het voorkomen van verlies en het veiligstellen van assets. In deze context wordt het begrip risico gebruikt in relatie tot het begrip bescherming. Het nieuwe risicomanagement focust op de positieve kant van ondernemingsbesluiten. Modernere opvattingen van risicomanagement bekijken risico s in een minder negatief en vooral breder perspectief. Het dient niet langer alleen te gaan om concrete bedreigingen die dure maatregelen vereisen, maar ook en vooral om activiteiten die direct of in - direct geld opleveren. De taak van het management is strategieën te formuleren en te implementeren die de kans en het effect minimaliseren van gebeurtenissen die een negatieve impact kunnen hebben op de doelstellingen van de organisatie. Deze gebeurtenissen, of risico s, kunnen de strategische doelstelling van overleven ondermijnen. Het nieuwe risicomanagement is gefocust op de positieve kant van ondernemingsbesluiten. De toegevoegde waarde van risicomanagement zit hem in het op een andere manier omgaan met en bekijken van beslissingen. Enkelen stellen zelfs dat 14

3 risico slechts een concept is om het materiële effect van een onzekere omgeving aan te duiden. Tot enkele jaren terug was risicomanagement met name gefocust op de harde assets van de organisatie; de financiële en fysieke assets die op de balans staan. Het nieuwe risicomanagement richt zich op zowel harde als zachte assets. De reden hiervoor is dat de risico s ten aanzien van soft assets als human resources en merk - namen, vaak veel belangrijker voor de organisatie zijn dan de harde assets. Nu moderne bedrijfsvoering steeds meer gebaseerd is op kennis worden niet-tastbare zaken, zoals informatie, belangrijker dan het gebouw waarin deze informatie zich bevindt. Reputatie en vertrouwen, de twee meest fragiele assets van een organisatie, wegen vaak zwaarder dan alle balansposten bij elkaar. Reputatie en vertrouwen wegen vaak zwaarder dan alle balansposten bij elkaar. Een groot deel van de beurskoersen wordt daarnaast tegenwoordig bepaald door immateriële activa die niet op de balans staan. Als risico s niet goed worden gemanaged, zijn de gevolgen voor de beurskoers daardoor ingrijpend. Risicomanagement wordt vandaag de dag dus veel breder opgevat dan alleen in relatie tot fysieke bescherming of verzekeringsbeleid. Deze bredere opvatting komt duidelijk tot uiting in de definitie van risicomanagement van KPMG, die gehanteerd wordt in dit boek: Risk includes the threats to the achievement of a specific objective and the failure to maintain the organization s capacity to identify and exploit opportunities as well as to respond and adapt to unforeseen circumstances. Uit deze definitie blijkt dat risicomanagementactiviteiten de organisatie niet alleen dienen te assisteren bij het minimaliseren van de effecten van wanbeleid of fraude, maar de organisatie ook moeten helpen bij het benutten van kansen. Risico is in feite een conceptueel begrip. Het concept van risico helpt om te gaan met de gevolgen van het niet in staat zijn de toekomst met zekerheid te voorspellen. De definitie laat tevens zien dat organisaties bestaan 15

4 om doelstellingen te bereiken. Managers zetten resources op het spel om deze doelstellingen te bereiken. De taak van het management is deze doelstellingen te bereiken in een onzekere omgeving. Management wordt hiermee dus synoniem met risicomanagement, kortom: all management is risk management. De invulling van het concept Organisaties moeten continu op de hoogte zijn van de risico s waaraan ze blootgesteld zijn. Zoals gezegd moet het management strategieën formuleren en im - plementeren die de kans en het effect minimaliseren van gebeurtenissen die een negatieve impact op de doelen van de organisatie hebben. Deze gebeurtenissen (risico s) kunnen de strategie van de onderneming namelijk ondermijnen. Er dient dus een risico - managementstrategie ontwikkeld te worden. Hieronder wordt een algemeen risicomanagement framework uiteengezet voor het identificeren, analyseren en managen van risico s binnen de organisatie. Om haar doelstellingen te kunnen bereiken moet een organisatie allereerst in staat zijn te kunnen overleven. Dit impliceert dat de organisatie continu op de hoogte moet zijn van de risico s waaraan ze blootgesteld staat. Een risicomanagementstrategie behoort volgens Smith gebaseerd te zijn op de volgende uitgangspunten: overleven in de business is het zwaarst wegende; er zijn methoden om de kwetsbaarheden van de organisatie zowel te identificeren als te managen; onzekerheid kan worden gemanaged; risicobeperkende maatregelen kunnen worden gebalanceerd met de beschikbare resources; er kan inzicht worden verkregen in de relatie tussen gevolg en het uiteindelijke effect. Een risicomanagementstrategie moet ervoor zorgen dat risico s wor den geïdentificeerd en geanalyseerd, teneinde de eventuele im pact te kunnen beoordelen. Vervolgens kan worden besloten hoe deze risico s moeten worden gemanaged (figuur 1). 16

5 Na het identificeren van de belangrijkste risico s is het van belang dat deze risico s worden geanalyseerd en, voorzover mogelijk, ge - kwan tificeerd. Onzekerheid speelt een belangrijke rol in het analyseren en beoordelen van risico s. Er is zowel sprake van onzekerheid ten aanzien van de kans dat het risico zich voordoet, als ten aanzien van het eventuele gevolg van het risico. Nadat de risico s gekwantificeerd zijn (zie figuur 1), heeft het management verschillende mogelijkheden (opties) om de risico s te managen, zoals het accepteren of transporteren van risico s. Onzekerheid speelt een belangrijke rol in het analyseren en beoordelen van risico s. Risico-identificatie Onzekerheid Risicoanalyse Onzekerheid Kans Gevolg Kwantitatieve beoordeling Optieanalyse Verzamel meer informatie Besluit Actie Figuur 1. Het risicomanagement framework van Smith 17

6 praktijkvoorbeeld: transporteren van een risico In het kader van integraal management wil de directie van een grote luchtvaartmaatschappij de Personeel & Organisatie (P&O) taken bij de nieuw gevormde business units onderbrengen. Na het uitvoeren van een uitgebreide risicoanalyse blijkt dat de grootste risico s zich voordoen in het proces van gegevensverwerking, het op een juiste wijze afdragen van alle premies en het tijdig uitbetalen van salarissen. Na bestudering van de uitkomsten van de risicoanalyse, besluiten de recent benoemde business unit managers dat zij de genoemde risico s niet willen dragen. Ondanks hun integrale verantwoordelijkheid wordt besloten gezamenlijk een externe partij te contracteren voor het uitvoeren van de salarisverwerking. De genoemde risico s worden getransporteerd door de verantwoordelijkheid voor de gevolgen van de geïdentificeerde risico s expliciet op te nemen in het contract. Het management moet besluiten tot op welk niveau het risico wordt geaccepteerd. Risicomanagement is het voorkomen en/of beperken van de ge - identificeerde risico s en het identificeren van de management - beslissingen die nodig zijn om met de risico s om te gaan. Het is de taak van het management om te besluiten tot op welk niveau het (overgebleven) risico wordt geaccepteerd. Daarbij is het van belang om op te merken dat het elimineren van alle risico s onmogelijk is. Het management dient de risico s daarom te managen binnen de context van de eigen resources en mogelijkheden. praktijkvoorbeeld: behouden van een risico Bij een middelgrote verzekeringsmaatschappij muteert de klantenservice de cliëntgegevens. Het verouderde systeem dat hiervoor wordt gebruikt kent echter geen systeemtechnische functiescheiding, waardoor de cliëntgegevens door één medewerker kunnen worden gewijzigd. Hoewel de gewijzigde gegevens aan het einde van iedere werkdag met behulp van overzichtslijsten handmatig en steekproefsgewijs worden gecontroleerd, is in de praktijk gebleken dat dit geen waarborg biedt voor het voorkomen van fraude. De manager van de betreffende af - deling is zich bewust van het risico, maar krijgt op korte termijn geen budget toegewezen om het systeem te vervangen. De directie is namelijk van mening dat de potentiële gevolgen van het risico niet opwegen tegen de kosten van een nieuw systeem. Om deze reden wordt besloten om het risico voorlopig te accepteren. 18

7 Conclusie In veel organisaties zijn de te managen risico s traditioneel de te verzekeren risico s, terwijl het topmanagement voornamelijk gericht is op business risks. Er valt ten aanzien van het managen van risico s daarom een verschuiving waar te nemen van de traditionele risico s naar alle soorten business risks. Met business risks worden de concurrerende, operationele, politieke en personele onzeker - heden bedoeld. In het volgende hoofdstuk wordt ingegaan op de verdere invulling van het risicomanagementconcept en de ontwikkeling die risicomanagement momenteel doormaakt. 19