Integraal Risicomanagement: kan jouw organisatie nog zonder?

Het opzoeken van grenzen is nodig om te kunnen groeien en kan niet zonder het bewust nemen van risico’s. Mocht het mislukken, dan kun je de fouten gebruiken om van te leren. Als een topsporter een topprestatie wil leveren, zal hij/zij de grenzen gaan opzoeken, nieuwe inzichten en methoden gaan toepassen waarbij bewust risico’s genomen worden. Daarnaast zijn het juist de succesvolle organisaties die hun risico’s heel goed kennen en daar effectieve controlemechanismen voor hebben ontwikkeld.

De huidige wereld verandert continu, is onvoorspelbaar en mensen zijn feilbaar. We weten meer niet dan wel. Het is lastig om alles bij te houden. Door de snelheid van verandering ontstaan er nieuwe risico’s en wijzigen bestaande risico’s. Dit betekent dat risicomanagement een zeer dynamisch proces moet zijn.

Doordat processen steeds complexer worden, is samenwerking, zowel in- als extern, steeds vaker aan de orde. En juist aan overdrachten (tussen mensen, afdelingen, organisaties) kleven veel risico’s. Doordat de wereld steeds complexer wordt, zijn we ook steeds meer afhankelijk van deskundigen en experts die onderdeel zijn van het proces. Goed inzicht krijgen in risico’s vraagt om deskundig en multidisciplinair overleg.

Er is altijd een spanningsveld tussen de kosten die risicobeheersing met zich meebrengt en het zo efficiënt mogelijk inrichten van een organisatie om bijvoorbeeld winst te optimaliseren. Daarbij wordt soms enkel gekeken naar het rendement op korte termijn, terwijl risicobeheersing op langere termijn juist veel kostenefficiënter blijkt te zijn.

Risicomanagement is een moeilijk onderwerp an sich omdat je praat over onzekerheid. Voorbeeld 1: als het KNMI een weeralarm afgeeft, zegt dat eigenlijk dat er kans is op extreem weer. Als het dan wel meevalt, komt daar achteraf vaak commentaar op. Maar je kunt ook bedenken dat de schade meevalt omdat er goede voorbereidingen zijn getroffen. Voorbeeld 2: een brandalarm dat regelmatig voor niets afgaat. Na een paar keer reageren veel mensen niet meer, laat staan dat ze gaan evacueren. Wat nu als er wel eens écht brand is en het alarm weer afgaat? Voorbeeld 3: daar is het weer, corona. Wie eind 2019 had gezegd dat de hele wereld in maart 2020 op slot zou gaan vanwege een virus werd waarschijnlijk niet geloofd en uitgemaakt voor doemdenker. En waar staan we nu?

Oftewel: als je het hebt over risico’s, en die risico’s worden niet direct waarheid, word je al snel niet meer geloofd.

Je moet tijd nemen en vooral vooraf creëren om aan risicomanagement te (kunnen) doen. Iedereen is druk met alles voor elkaar krijgen. Daarbij vergeten we bewust afstand te nemen en tijd te geven aan proactieve analyse en onderzoek, waarmee we op tijd interventies kunnen doen die noodzakelijk zijn, en niet achteraf met veel meer kosten en ellende geconfronteerd worden. Uit onderzoek blijkt bovendien dat het vooraf betrekken van mensen bij risico’s een positief effect heeft op de alertheid en meldingsbereidheid van mensen wanneer risico’s dreigen waarheid te worden. Onder het motto: voorkomen is beter dan genezen zul je dus de genomen tijd kunnen verantwoorden door een kosten-baten balans te maken en te laten zien wat het de organisatie op termijn oplevert.

Er is vaak discussie of de juiste risico’s geïdentificeerd zijn. Het gaat niet om het creëren van een zo compleet mogelijke lijst met risico’s. Wat is het uitgangspunt om risico’s te identificeren? Dit zouden de doelstellingen moeten zijn, van de organisatie, of het proces, of het project. De kolom met deze informatie ontbreekt veelal bij de risico’s die zijn opgenomen. Met het koppelen van risico’s aan doelstellingen of te bereiken resultaten wordt ook direct het belang van beheersen duidelijker. In lijsten staan vaak ook problemen in plaats van risico’s.

Een probleem is reeds aanwezig en moet opgelost worden. Een risico is een abstracte kans dat iets een probleem kan gaan worden.

Alles staat of valt met eigenaarschap. Risicomanagement doe je niet alleen en kun je ook niet alleen doen. Integraal risicomanagement is risicomanagement dat in alle lagen van de organisatie moet leven. Maar alleen als medewerkers zich ook verantwoordelijk voelen voor de risico’s en de beheersing daarvan, zullen ze er ook daadwerkelijk actief mee aan de slag gaan. Je kunt hierbij gebruik maken van een netwerk aan informele risicoleiders, die het goede voorbeeld geven en waar anderen tegenop kijken, waardoor ze het voorbeeld gemakkelijker gaan volgen. Door eigenaarschap bij de juiste verantwoordelijke medewerkers te beleggen, creëer je draagvlak en draagkracht dwars door de organisatie heen. Eigenaarschap betekent verantwoordelijkheid nemen en regelmatig verantwoording afleggen op risiconiveau. Het is daarbij belangrijk dat de eigenaar gevraagd wordt wat hij/zij nodig heeft om regelmatig feedback te geven op de status van het risico.

Veel organisaties werken met Excel om risicomanagement uit te voeren. Vaak zijn dit lijsten met tientallen of soms zelfs honderden risico’s. Dat is een mooie inventarisatie, maar wat doe je er vervolgens actief en concreet mee? Hoe vaak wordt deze lijst geactualiseerd?

Eenmalig een lijst met risico’s maken is mooi, maar dat is geen risicomanagement. We zullen niet zeggen dat je dan beter helemaal niet kunt doen, maar je kunt je wel afvragen of je inspanningen in dat geval nuttig zijn. Risicomanagement is namelijk een continu proces, als je het goed wil doen.

Een best practice is om structuur aan te brengen in overleg en verantwoording, door dit bijvoorbeeld ieder kwartaal te doen. Als risicomanager kun je dan vragen aan de verantwoordelijken per domein (zoals een project of afdeling) hoe het ervoor staat. De verantwoordelijken zullen hiervoor op hun beurt regelmatig feedback moeten opvragen bij de risico-eigenaren zodat zij in het periodieke overleg ook weten wat de stand van zaken is. En de risico-eigenaren zullen zelf ook om data of feedback uit de organisatie gaan vragen om hun periodieke bijdrage te ondersteunen.

Een lijst met risico’s doet niets. Het gaat erom dat we via data en feedback informatie krijgen hoe effectief de maatregelen zijn in de praktijk. Werken ze, waardoor de kans dat het risico voorkomt verkleind wordt of de schade wordt verminderd? En hoeveel kost het om de maatregelen uit te voeren, zodat je een afweging te maken of die kosten verantwoord zijn in relatie tot de kosten wanneer het risico voorkomt.

Bij maatregelen wordt vaak verwezen naar documenten, beleid, werkinstructies etc. Dit is niet voldoende om als beheersmaatregel bij risico’s te fungeren. Deze maatregelen doen namelijk niets. Het zijn beschrijvingen, statische maatregelen. Een voorbeeld hierbij:
Tijdens een BHV- of EHBO-cursus leer je o.a. hoe je moet reanimeren, hoe je iemand in de stabiele zijligging legt en hoe je verschillende typen branden moet blussen. Het certificaat dat je krijgt is 1 of 2 jaar geldig, daarna ga je op herhaling om je kennis op te frissen. Maar, vrijwel niemand zal precies onthouden hoe het ook alweer zat. Een app of een boek met protocollen bij calamiteiten biedt dan houvast. Maar voor iemand die nooit een cursus heeft gehad, is zo’n app of protocol niet heel nuttig, omdat diegene de basiskennis mist. Een actieve maatregel is dus een korte oefening die periodiek wordt uitgevoerd.

Bij het bepalen van de juiste maatregelen inclusief het checken van de effectiviteit is het belangrijk om alleen die controles uit te voeren die als nuttig worden beschouwd, en dat er geen controles worden gedaan enkel om het controleren op zichzelf. Dat komt het verantwoordelijkheidsgevoel bij de eigenaar namelijk niet ten goede.

Je zorgvuldig opgebouwde reputatie is in de huidige tijd met social media heel snel naar de knoppen. Spreek goed af met de medewerkers hoe er gecommuniceerd wordt over risico’s, calamiteiten en incidenten. We schreven hierboven al dat we zien dat praten over onzekerheid moeilijk is. Praten over incidenten is nog veel moeilijker. Maar de tijd dat je fouten intern kon oplossen zonder dat de buitenwereld er lucht van kreeg (ook wel onder het tapijt schuiven genoemd, of in de doofpot stoppen), is echt wel voorbij. Oftewel: je kunt beter zelf open en eerlijk communiceren dan dat het op een andere manier naar buiten komt. Hiervoor is het dus van belang dat je afspreekt wie wat gaan communiceren, mocht het zover komen. Borg verder dat je bij het uitvoeren van risicoanalyses altijd de mogelijke gevolgen voor imago meeneemt.