Integraal risicomanagement; van iedereen voor iedereen!
De positieve invloed van de werkvloer op effectief risicomanagement
Vrijdag 12 april 2019| Leestijd: 5 minuten | Marieke Kessels
Gecontroleerde groei, inspelen op veranderingen van buitenaf en risico’s integraal onderdeel laten uitmaken van alledaagse beslissingen; dat is waar Integraal risicomanagement (IRM) om draait. Het is dan ook niet verwonderlijk dat we de trend zien ontstaan waarbij de business of werkvloer een steeds prominentere rol speelt in IRM. Zo worden in toenemende mate slimme en korte self-assessments geïntroduceerd om de business actiever te betrekken binnen het zogeheten ‘three lines of defense’-model. Niet langer zijn het vooral de tweede (Risk & Compliance Management) en derde lijn (Internal Audit) die de verantwoordelijkheid dragen voor adequaat risk management. Juist door mensen te betrekken die de meeste ‘pijn’ ervaren bij het optreden van risico’s ontstaat een collectief besef van nut en noodzaak. Veel organisaties worstelen echter met de wijze waarop de kostbare tijd van deze first line, ook wel de business owners, minimaal wordt belast en maximaal wordt benut. Wij zien daarvoor volop mogelijkheden, juist door iedereen binnen de organisatie te betrekken.
Borgen en aantonen dat de organisatie in control is, dat is de voornaamste reden om op frequente basis control tests uit te voeren. Vaak zijn dit self-assessments, bedoeld om de effectiviteit van bestaande beheersmaatregelen (controls) te achterhalen. Het vraagt echter een bepaalde mate van risico bewustzijn, en daarmee een zekere mate van risico volwassenheid, van de business om een zinvolle invulling te geven aan deze taak. IRM op alle niveaus tussen de oren krijgen blijkt dan ook bij veel organisaties één van de grootste uitdagingen. Zo worden self-assessments of andere vormen van control testing traditioneel volgens een vast format uitgevoerd. Afwijkingen van het verwachte resultaat worden als issue vastgelegd en afgewikkeld. Dit is waar de schoen vaak wringt. Issues leiden tot verbetermaatregelen of andere activiteiten die uitgevoerd en bewaakt moeten worden. Naarmate de organisatieomvang toeneemt is het behouden van een integraal overzicht uitermate complex.
Dagelijks betrouwbare input vanuit de werkvloer
In onze ogen zijn het juist de mensen op de werkvloer die dagelijks input kunnen leveren en de waarde van IRM kunnen verhogen. Misschien niet altijd bij de risicoanalyses zelf, maar wel door ze te betrekken bij peridieke checks, en door ze de mogelijkheid te bieden zeer eenvoudig melding te maken van diverse voorvallen. Denk aan meldingen van (bijna)incidenten, afwijkingen, verbetersuggesties of klachten die voor veel waardevolle input zorgen en als voeding dienen voor IRM. Zo ontstaat vanuit de business een continue stroom aan inzichten waarmee risico beheersing naar een volgend plan wordt getrokken. Meer data vanuit verschillende invalshoeken maakt het totale risicoprofiel namelijk meer valide en betrouwbaar. Het stelt organisaties in staat om:
Het betrekken van de business en het omzetten van hun input naar waardevolle inzichten valt of staat met de inrichting van een adequaat IRM systeem dat verder gaat dan enkel het vastleggen en beheren van risico’s. Idealiter maken organisaties daarom gebruik van een geïntegreerde oplossing waarin naast risicoanalyse en control testing ook thema’s als issuemanagement, incidentmanagement, en auditmanagement een plek hebben. Door deze componenten integraal onderdeel uit te laten maken van de IRM tooling ontstaan praktische inzichten dankzij (real-time) dashboards. Deze inzichten kunnen vervolgens direct input leveren voor het identificeren en evalueren van risico’s en beheersmaatregelen. Ook kunnen deze inzichten gebruikt worden voor het vergroten van het risico bewustzijn. Door dashboards bijvoorbeeld ook op de werkvloer (en in de kantine) te delen, zien mensen de positieve of negatieve effecten van hun handelen. Zo groeit je organisatie in risico volwassenheid!
Microlearning als stimulans voor risico bewustzijn
In onze praktijk zien we nog een krachtig instrument om het risico bewustzijn op de werkvloer te vergroten. Het gaat hierbij om kennisoverdracht door middel van korte vragen en kennisflitsen. Neem als voorbeeld het naleven van veiligheids- of hygiënevoorschriften, twee uiteenlopende thema’s die in veel organisaties spelen. Uit de praktijk blijkt dat het effect van nieuwsbrieven, handleidingen of (klassikale) leertrajecten zeer beperkt is. Kennis beklijft uitsluitend als deze direct toepasbaar is. Het nieuwe leren verschuift daarmee naar on-the-job microlearning in de vorm van korte, digitale trainingen en toetsen.
Laten we als voorbeeld inzoomen op een onderwerp als GDPR dat organisatie breed allerlei risico’s met zich mee brengt. Van het printen en laten ‘rondslingeren’ van CV’s tot het versturen van gevoelige klantinformatie. Iedereen binnen een organisatie heeft ermee te maken. Door periodiek een korte kennistoets rond te sturen blijft het thema actueel en wordt met de juiste vraagstelling veel data verzameld. Door bijvoorbeeld mensen te vragen om de GDPR-valkuilen middels een aanwijsvraag te selecteren gaan zij actief nadenken en de situatie analyseren (zie afbeelding 1). En omdat zij na hun antwoord direct feedback ontvangen in de vorm van een kennisflits wordt hun risico bewustzijn meteen verhoogd.
Afbeelding 1
Met heatmaps wordt inzichtelijk waar de totale populatie vaak of minder vaak op heeft geklikt (zie afbeelding 2). Kennishiaten, en dus risico’s, zijn hiermee direct inzichtelijk te maken. Dit kan leiden tot extra beheersmaatregelen (controls), lesprogramma’s of andere acties.
Afbeelding 2
Een meer betrouwbaar en valide risicoprofiel
Samengevat biedt een effectief IRM systeem een set toepassingen die iedereen binnen een organisatie ondersteunt in betere en uitgebreidere evaluatie van risico’s. Meer data vanuit verschillende invalshoeken maakt het totale risicoprofiel namelijk meer valide en betrouwbaar. In mensentaal spreken we over de introductie van thermometermomenten waarbij we kijken of professionals op de werkvloer ook écht gehoor geven aan beheersmaatregelen en of risicobewustzijn goed tussen de oren zit. Middelen als issue- en incidentmanagement, auditmanagement en microlearning zijn hiervoor uitermate geschikt. Hiermee ontstaat een continu verbeterende organisatie waarin alle lagen van de organisatie een toegevoegde waarde leveren. En dan werkt IRM daadwerkelijk als drijver voor succes!
