De weg naar effectief risicomanagement bij Essent
Maandag 25 maart 2019| Leestijd: 5 minuten
Effectief risicomanagement, hoe bereik je dat op een slimme en realistische manier? Die vraag stond centraal tijdens het referentiebezoek aan Essent op 22 januari 2019. Samen met een groep van 14 risicomanagers reisde Infoland af naar Den Bosch om meer te horen over de aanpak en ervaringen die het Risk Management team van Essent de laatste jaren heeft opgedaan. Al in juli 2015 was Essent gestart met het analyseren van de ‘As is’ situatie en het nemen van logische stappen richting het succes van vandaag de dag. Tegenwoordig krijgt het RM team meer verzoeken dan haalbaar is, is de business actief betrokken en levert de afdeling een belangrijke input voor besluitvorming en aansturing. Hoe ze dat bereikt hebben, werd tijdens de inspirerende sessie duidelijk!
Anno 2019 heeft de risicomanagementafdeling van Essent een sterke focus, namelijk business partner zijn. Om dit te realiseren organiseert de afdeling het borgen van risico’s voor alle 8 de business units en staff units. Het gaat hierbij om het leveren van ondersteuning op operationeel, tactisch en strategisch niveau. Het doel van de afdeling is daarbij teruggebracht naar drie componenten:
- Risk Management onderdeel laten zijn van de dagelijkse gang van zaken
- Risk Management waarde laten toevoegen aan de business
- Inzicht geven in risico’s aan management en directie voor sturing en besluitvorming
Dat het risk management team erin geslaagd is deze doelen waar te maken, blijkt volgens Peter van Marion, business vertegenwoordiger van Team Consumer NL. “Meer dan ooit wordt ik ondersteund in het denken vanuit risico’s.”
De aanpak
De weg naar succes was echter alles behalve vanzelfsprekend en eenvoudig. “We zijn gestart met het vastleggen van de risk domeinen,” aldus Joyce Boere (voormalig Manager Commercial Risk Management). “Voor onze projecten, business risk management en internal control, hebben we de producten en diensten per domein bepaald. Vervolgens hebben we de benodigde risk organisatie bepaald en zijn we het ‘three lines of defense’ model gaan toepassen voor de tweedelijnsrol van CRM. Verder zijn we per Business Unit, key stakeholders in kaart gaan brengen en face-2-face sessies gaan plannen. Daarbij was het belangrijk om de juiste mensen te vinden met de benodigde kennis en competenties. Medewerkers die de rol van business partner goed vorm weten te geven en zich focussen op het toevoegen van waarde voor de business en in staat zijn mee te denken in oplossingen. Door een vast team te koppelen aan de drie clusters (Consumer, Business en HQ) hebben we ook hier focus aangebracht. Daarbij zijn we onderscheid gaan maken in junior, medior en senior profielen voor onze risk managers. Hiermee creëer je ook doorgroeimogelijkheden voor medewerkers.”
Maar hoe heeft Essent het nu écht laten landen? “Pragmatische risicomanagement bleek voor ons een belangrijke sleutel,” aldus Joyce. “Dit uitgangspunt heeft enorm geholpen bij het aan boord krijgen van de business. Een balans bewaren is namelijk essentieel; er moet uiteindelijk wel geld verdiend worden. Door dit duidelijk te communiceren, werd de acceptatie voor een risk management afdeling verhoogd. Pragmatisch betekent soms ook echt iets uitdenken en uitwerken. Bij het ene team moet je meer ondersteunen in het bedenken van de controls, terwijl de andere business unit juist meer zelf doet. Neem het risicodomein Internal Control; hier hebben we ondersteund in het documenteren van business processen, het challengen en monitoren van effectiviteit van business processen en controls én het faciliteren van het Control Self Assessment (CSA) proces. Bij het domein Project Risk bieden we echter meer support in programma’s en projecten en geven we een onafhankelijk inzicht. Voor het domein Business Risk, challengen en monitoren we weer veel meer de strategische doelen, voeren we risico assessments uit en verhogen we de voorspelbaarheid van MTP’s. Indien nodig stappen we ook in om verbeteringen of kansen in gang te zetten. Dit wordt erg gewaardeerd door onze business. Zoals je wel merkt zijn overal andere nuances aangebracht in onze aanpak.”
Control Self Assesments (CSA)
Naast de pragmatische aanpak blijkt Essent nog een ander succesvol middel ingericht te hebben wat voor een verhoogde betrokkenheid zorgt; Control Self Assessments. “We zijn gestart met het in kaart brengen van onze processen,” aldus Bert Croonen, Manager Commercial Risk Management (a.i.). “Op basis van de processen en de regelgeving zijn we na gaan denken over risico’s en zijn we voor de belangrijkste risico’s controls gaan vaststellen. Dit heeft geresulteerd in een set van vragenlijsten bestaande uit CSA tests en beoordelingen die volgens een vast taakschema uitgevoerd worden. Hiermee sporen we de business actief aan om de controls te testen en ontstaat de situatie waarin we actief leren van issues.”
Om dit hele proces goed te faciliteren, pakt de Risk Management afdeling een actieve rol. “We ondersteunen de business in de voorbereiding. We trekken hier al snel zo’n 3 weken voor uit om met een business unit te komen tot de juiste set aan controls. Vervolgens gaat de business unit aan de slag met het uitvoeren van de assessments. In deze periode monitoren wij de voortgang en helpen we waar nodig. Dit leidt vervolgens tot een rapport dat wij opstellen en met de juiste stakeholders delen. Zij zijn vervolgens verantwoordelijk voor de sign-off. Het mag duidelijk zijn; intensieve samenwerking staat daarbij centraal,” aldus Bert.
Hoe de inzet van tooling helpt
Naarmate de RM afdeling groeide en het aantal aanvragen steeg, was het werken met een inflexibel systeem niet langer een optie. “Neem Control Self Assessments, dit was een verplichte invul-exercitie,” aldus Peter van Marion. “Een voorbeeld is een check of alle facturen getekend zijn door de juiste vertegenwoordiger. Voorheen werd ingevuld; ‘JA, dat hebben we gedaan’. Het bewijs hiervoor was er echter niet. Met de komst van specifieke vragenlijsten wordt nu afgedwongen dat voorbeelden worden aandragen die inzicht geven dat dit gebeurd is.” In 2017 heeft Essent daarom iProva van Infoland aangeschaft. Alle processen, risico’s, CSA’s en issues zijn hierin vastgelegd. “Het systeem is enorm gebruiksvriendelijk en helpt ons grip te krijgen op de risico’s. Dankzij handige workflows worden issues geanalyseerd en afgehandeld. Hierdoor leren we actief van onze tekortkomingen.”
Maar, de inzet van tooling heeft nog een belangrijk voordeel. “Een aantal controls werden voorheen uitgevraagd door een externe auditor terwijl we dit zelf bij een CSA ook al hadden uitgevraagd. We moesten dus zaken meerdere keer testen en dat zorgde in de business voor frustratie. Een set van de CSA-resultaten markeren we daarom (in de tooling) als ‘externe audit waardig’. Deze data (lees: dit bewijs) kan de externe auditor vervolgens direct uit de tool halen en dit scheelt veel herhalend werk. We zijn hiermee altijd audit-ready en besparen veel tijd en kosten!”
Zijn er nog uitdagingen?
“Natuurlijk kent onze afdeling ook nog steeds veel uitdagingen,” aldus Joyce. “De software willen we nog verder inrichten voor het inventariseren en vastleggen van de risico’s plus de rapportages kunnen verder verbeterd worden. Verder is onze grootste uitdaging het bijhouden van de expansie die onze organisatie doormaakt. Essent neemt een actieve rol in de energie transitie en heeft in de afgelopen jaren diverse installatie bedrijven overgenomen. Dit zijn kleine organisaties met minder medewerkers waarbij vaak voor een pragmatische aanpak wordt gekozen. Het is voor deze organisaties niet mogelijk of nodig om dezelfde mate van interne beheersing na te streven als de Essent organisatie. Tegelijkertijd wil je bepaalde risico’s wel kunnen uitsluiten. Dit vraagt om een pragmatische aanpak waarbij we moeten oppassen dat we de organisaties niet teveel verzwaren met allerlei aanvullende controls. De challenge is dan om de juiste aanpak en controls te bepalen die ook daadwerkelijk waarde toevoegen. Momenteel zijn we bezig om hier stappen in te maken en verwachten we ook hier een goede invulling voor te vinden!”
