Een innovatieve kijk op risicomanagement

De laatste tijd staat ‘risicomanagement’ volop in de schijnwerpers. Niet alleen bij financiële instellingen en woningcorporaties, maar eigenlijk bij alle ondernemingen en not-for-profit organisaties. Ook alle governance codes vragen om aandacht voor risicobeheersing en -controle. In dit artikel wil ik, naast een korte beschrijving van risicomanagement zoals dat nu binnen veel organisaties wordt toegepast (‘traditioneel risicomanagement’), ook twee innovatieve verbeteringen voorstellen.

Om te beginnen moeten we het onderwerp ‘risicomanagement’ nader omschrijven. Risicomanagement is het proces dat organisaties uitvoeren waarbij risico’s worden geïdentificeerd en gekwantificeerd gevolgd door vaststelling en uitvoering van beheersmaatregelen. Met beheersmaatregelen worden activiteiten bedoeld waarmee de kans van optreden of de gevolgen van risico’s positief worden beïnvloed. Tot slot wordt dit gehele proces continu gemonitord en wordt over het risicomanagement verantwoording afgelegd aan belanghebbenden. Het doel van risicomanagement is het zo zeker mogelijk maken dat de doelstellingen van de organisatie gerealiseerd kunnen worden. Traditioneel worden hierbij de volgende definities gehanteerd:

Risico: een toekomstige, en dus onzekere, gebeurtenis (‘kans’) met negatieve gevolgen voor het realiseren van de doelstellingen van de organisatie (‘impact’)

Beheersmaatregel: een besluit of activiteit bedoeld om het risico te verlagen door de ‘kans’ of de ‘impact’ te verlagen

Restrisico: het risico dat overblijft na uitvoering van de beheersmaatregelen, in formulevorm: restrisico = kans x impact x effect beheersmaatregel

Veel organisaties passen risicomanagement zodanig toe dat vooral (vaak: alleen) aandacht gegeven wordt aan negatieve factoren. Dat past ook wel bij de hierboven genoemde definitie. We kunnen dat als volgt weergeven in een plaatje van de bekende SWOT-analyse:

Verbetering 1: betrek ook positieve factoren

Een eerste verbetering, en noodzakelijke uitbreiding van traditioneel risicomanagement, is dat ook aandacht gegeven wordt aan de ontwikkeling en het effect van positieve factoren. Hoewel de naam anders doet vermoeden, zitten in deze positieve factoren ook risico’s, namelijk de risico’s van ‘gemiste kansen’ en ‘verlies van sterktes’. Het risico van ‘gemiste kansen’ is het risico dat de organisatie kansen die zich voordoen op de markt niet snel genoeg ziet, niet snel genoeg grijpt of dat de reactie op de gewijzigde markt tekort schiet. Dat dit geen gering is risico is, blijkt wel als we denken aan Nokia, eind vorige eeuw de marktleider op het gebied van mobiele telefonie, die de kansen van de smartphone gigantisch miste. Het risico van ‘verlies van sterktes’ is het gevaar dat huidige sterkte punten (kerncompetenties) niet goed onderhouden worden, zich niet verder ontwikkelen of achterop raken ten opzichte van de concurrentie. Denk aan de winkelketen Blokker, dat zich positioneerde met een breed en goedkoop assortiment van huishoudelijke artikelen, maar in enkele jaren ingehaald werd door de winkelketen Action. Bij veel organisaties zijn, net zoals bij Nokia en Blokker, de risico’s van gemiste kansen en het verlies van sterktes veel groter dan de risico’s in de ontwikkeling van negatieve factoren.

Door bij het risicomanagement de ontwikkelingen bij positieve factoren te verwaarlozen, worden in de analyse belangrijke risico’s gemist en worden noodzakelijke beheersmaatregelen niet onderkend en uitgevoerd.

Verbetering 2: kijk ook naar ‘upside potential’

Veel organisaties gebruiken risicomanagement ook om de hoogte van hun weerstandsvermogen (eigen vermogen) te bepalen. De som van alle restrisico’s (uitgedrukt als bedrag in euro’s) bepaalt dan het benodigd weerstandsvermogen. Het nadeel hiervan, bij toepassing van traditioneel risicomanagement, is dat het berekende weerstandsvermogen onnodig hoog wordt. Traditioneel risicomanagement richt zich namelijk alleen op het ‘downside risk’: de kans op financieel verlies.

Een tweede verbetering is dan om onverwachte kansen bij de positieve factoren (‘upside potential’) in de analyse te betrekken. Op de markt kunnen bijvoorbeeld nieuwe kansen ontstaan of de sterktes kunnen onverwacht groter voordeel opleveren. De extra verdiencapaciteit (de onvoorziene winst) hieruit kan de mogelijke verliezen uit de negatieve factoren compenseren. Hierdoor kan het eerdere, op basis van traditioneel risicomanagement, berekende benodigde weerstandsvermogen verlaagd worden. In formulevorm:

Weerstandsvermogen = som restrisico’s -/- extra verdiencapaciteit

De extra verdiencapaciteit bestaat uit maatregelen waarmee snel extra geld verdiend kan worden, bijvoorbeeld nieuwe producten of diensten die gemakkelijk ontwikkeld kunnen worden vanuit het huidige aanbod en snel kunnen voldoen aan de nieuwe vraag. Ook hebben veel organisaties onbenutte verdiencapaciteit, zoals ruimte voor prijsverhogingen en mogelijkheden tot efficiencyverbetering.

Het grote gevaar van traditioneel risicomanagement is dat onnodig somber naar de toekomst wordt gekeken waardoor veel financiële armslag voor het ondernemen onnodig verloren gaat.

Tot slot

Uit onderzoek op het gebied van persoonlijke ontwikkeling is gebleken dat meer rendement te behalen is door de verdere ontwikkeling van je sterke punten dan door te investeren in het ontwikkelen van je zwakke punten. Je moet alleen zorgen dat je zwakke punten niet zodanig zwak zijn dat deze de resultaten van je sterke punten hinderen. Ik zie een parallel bij organisaties: een extra focus op kansen en sterktes zou wel eens meer rendement kunnen opleveren dan de overdreven aandacht voor bedreigingen en zwaktes. Je moet alleen voorkomen dat de bedreigingen en zwaktes geen falen opleveren dat ernstiger is dan de zelf gekozen risicotolerantie of lager uitkomt dan het maatschappelijk acceptabele niveau. Anders verliest de organisatie zijn ‘license-to-operate’.

Bij het ondernemen hoort het lopen van risico’s. Eigenlijk is dit artikel een pleidooi om u niet te laten verblinden door traditioneel risicomanagement met de overdreven aandacht voor ‘bedreigingen’ en ‘zwaktes’, maar om vooral ook uw ogen open te houden voor de ‘kansen’ en ‘sterktes’ van uw organisatie!