Grip op risico’s met soft controls in risicomanagement [+tips]

Maandag 3 augustus 2020 | Leestijd:  6 minuten | Silvie van de Haterd

Risicomanagement, het blijft een hot topic. Dat het nu zo leeft, komt mede door de pandemie die de wereld dit jaar in zijn greep heeft. Want ook al gaat de wereld stapje voor stapje weer open, op verschillende plekken worden maatregelen weer aangescherpt omdat het virus de kop weer opsteekt. En dit zal naar verwachting nog wel even zo blijven.

De beheersing van de coronacrisis is een staaltje risicomanagement van de bovenste plank. Langzaamaan kregen we grip op het virus, het risico, maar daar kwam (en komt) nogal wat bij kijken. En daar kunnen we allemaal nog wat van leren.

De coronacrisis: risicomanagement ten top

Wat het coronavirus ons heeft geleerd, is dat sommige dingen gewoonweg niet te voorspellen zijn. Premier Rutte en minister De Jonge noemden het verschillende malen ‘100% van de beslissingen nemen met slechts 50% kennis’, en dat bleek duidelijk uit het feit dat er steeds bijgestuurd werd aan de hand van nieuwe informatie. Nu we maanden verder zijn, weten we meer van het virus, en toch kan het ons alsnog verrassen. Neem bijvoorbeeld de besmetting van nertsen in de fokkerijen, terwijl lange tijd werd gedacht dat dieren vrijwel niet besmet konden worden.

En toch, met de kennis die we nu hebben, durven veiligheidsregio’s, ministers en andere experts wel te zeggen dat een totale lockdown waarschijnlijk niet meer nodig gaat zijn, ook niet bij een tweede golf. Al doende leert men, kunnen we wel concluderen. En dat is een mooi gegeven. Maar wat heeft dit nu met risicomanagement te maken? Nou, heel veel. Laten we een statement maken: als je je alleen concentreert op de harde eisen, de tastbare elementen, van risicomanagement, dan kun je nooit écht grip hebben op risico’s. Hoe je dat wel voor elkaar krijgt? Met soft controls, en wij leggen je hier graag uit hoe je dat aanpakt.

Harde eisen versus soft controls

Als je het gaat hebben over de harde eisen tegenover de soft controls in risicomanagement, dan heb je het eigenlijk ook over risicomanagement op papier tegenover risicomanagement in de praktijk. Want niet alles wat op papier zou moeten werken, doet dat in de praktijk ook. En dat komt vaak omdat datgene op papier staat de theorie is, de feiten. Maar in de praktijk moeten mensen aan de slag met risico’s, en die hebben om uiteenlopende redenen een andere aanpak nodig. En daar komen de soft controls om de hoek kijken.

Soft controls zijn dus de ongeschreven regels, de omgangsvormen en –normen, binnen een organisatie. Het bepaalt hoe mensen met elkaar omgaan, en dit kan per organisatie verschillen. En toch is de werking wel overal zo ongeveer hetzelfde. Als je namelijk de soft controls herkent en kunt toepassen, heb je een krachtig middel om mensen mee te krijgen.

Bij soft controls leg je de nadruk op het creëren van een werkomgeving die motiverend en stimulerend werkt, ze hebben namelijk invloed op onder andere de loyaliteit, integriteit, inspiratie en normen en waarden van de medewerker. Hiermee probeer je een situatie te creëren waarbij de medewerker altijd handelt in het belang van de organisatie, waarbij hij/zij gemotiveerd wordt om de persoonlijke doelstellingen te halen en die in lijn te brengen met de doelstellingen van de afdeling of de organisatie.

Wat zijn precies soft controls?

Nu we weten waarom soft controls belangrijk zijn, is het ook goed om even stil te staan bij wat er dan precies onder soft controls verstaan wordt. Soft controls hebben alles te maken met het eigen gedrag, waarmee je dus anderen kunt beïnvloeden, op een positieve manier.

Je kunt hierbij denken aan:

• Aansturing op basis van vertrouwen
• Stijl van leidinggeven
• Voorbeeldgedrag vertonen
• Sterk leiderschap
• Elkaar aanspreken
• Een goed geformuleerde visie, strategie en missie
• Goede arbeidsvoorwaarden
• Persoonlijke ontwikkeling, training en opleiding
• Belonen (en eventueel straffen)

Een voorbeeld van een sterke leider is de huidige CEO van Microsoft, Satya Nadella. Hij wist het stoffige bedrijf weer hip en happening te maken. Hij maakte keuzes voor het bedrijf die zijn voorganger niet durfde te maken, en stelt daarbij tegelijkertijd de medewerkers en klanten altijd voorop. Bovendien laat hij zich zien als een hardwerkende directeur, die zich niet beter voelt dan iedere andere medewerker binnen zijn bedrijf. Tel daarbij op dat Microsoft inmiddels bekend staat als een organisatie waar vertrouwen wordt gegeven, de visie, missie en strategie helder zijn en door iedereen wordt uitgedragen, de arbeidsvoorwaarden en persoonlijke ontwikkeling prima geregeld zijn en hard werken beloond wordt. Kortom: het is niet moeilijk om te begrijpen waarom Microsoft onder Nadella veel bevlogen en loyale medewerkers kent.

Hoe dragen soft controls bij aan integraal risicomanagement?

Risicomanagement bestaat uit een aantal fases, afhankelijk van de risicovolwassenheid van je organisatie. Echter is het een doorlopend proces, waarbij je enkele fases regelmatig opnieuw zult uitvoeren. In elke fase kun je aandacht geven aan de soft controls, om zo het belang van risicomanagement binnen alle lagen van de organisatie te laten landen, en zo iedereen mee te krijgen. Dit is noodzakelijk voor gedegen, integraal risicomanagement.

Hieronder de fases van risicomanagement en wat soft controls daarin kunnen betekenen:

1. Governance: zijn alle verantwoordelijkheden binnen de organisatie belegd bij de juiste personen?
2. Identificatie: welke risico’s kunnen we identificeren binnen de organisatie? Vormen cultuur en gedrag van personen eventueel een risico? Op welk vlak?
3. Assessment: welke impact hebben de risico’s die je geïdentificeerd hebt? Hoe werken de soft controls op die impact? Nemen risico’s hierdoor af, of juist niet?
4. Inbedding: hoe zorgen we dat de juiste personen de risico’s managen en risicoleiderschap vertonen? Hierbij is het van belang dat iedereen zich bewust is van de gevolgen van zijn of haar eigen gedrag én samenwerking op risico’s. Formele leiders kunnen hier het verschil maken door het goede voorbeeld te geven.
5. Monitoring: risicomanagement kan niet zonder harde eisen, de regels, protocollen en meer. In deze fase controleer je of deze hard controls goed ingeregeld zijn en ook blijven. Maar wat gebeurt er als bepaald gedrag deze regels ondermijnt? Het is belangrijk om continu vinger aan de pols te houden of alle neuzen nog dezelfde kant op staan.
6. Optimalisatie: door continu monitoren en steekproefsgewijs te meten hoe het staat met met name de soft controls binnen je risicomanagement, kun je daar waar nodig ingrijpen. Door dit op tijd te doen gaat de werking van soft controls omhoog en verlaag je daarmee risico’s.

Als we kijken naar hoe de coronacrisis in Nederland aangepakt wordt door de overheid, zie je dat hier ook soft controls worden toegepast, zelfs op ons als burgers. We worden opgeroepen om allemaal een steentje bij te dragen, samen gaan we de crisis te lijf. Ook nu het aantal besmettingen weer oploopt, is de strategie eerst om ieder op zijn verantwoordelijkheid aan te spreken voordat er dwingende maatregelen worden getroffen. En we herinneren ons allemaal nog wel hoe Rutte even niet het goede voorbeeld gaf door Jaap van Dissel van het RIVM een hand te geven, terwijl hij net opgeroepen had om geen handen meer te schudden.

Risicomanagement is (deels) mensenwerk

Dit laatste laat ook zien dat Rutte, ook in zijn rol als risicomanager, gewoon mens is. En dat mensen onbewust niet altijd (direct) het juiste doen, vaak vanwege ingesleten gedrag. De menselijke factor is dus nergens weg te denken.

Risicomanagement kan er op papier dan ook nog zo goed uitzien, maar als niet de juiste personen er mee aan de slag gaan, komt het nooit echt van de grond. Het is belangrijk dat iedereen zijn of haar verantwoordelijkheid neemt in het proces van risicomanagement, dat iedereen bezig is met de risico’s die er voor hem/haar toe doen. Door het inzetten van soft controls kun je (onbewuste) risicoleiders creëren die die verantwoordelijkheden op zich nemen en daarin ook weer anderen meenemen. Zo spreidt risicomanagement zich, als je dit goed doet, als een olievlek over je organisatie en dat is wat nodig is voor integraal risicomanagement!

Daarnaast is het evenzo belangrijk dat de harde, theoretische kant goed geregeld is. Wil jij wel eens zien hoe software bij kan dragen aan een gedegen (integraal) risicomanagement, zodat er meer focus kan komen op de menselijke kant? Wij laten het je in een gratis demo graag zien!