Samenvatting Risicomanagement
Gebaseerd op Janicijevic & Claes | Examenindicatoren 1.1 t/m 1.8 | Hoofdstuk 1 t/m
11
Examenindicatoren
1.1 Kent de verschillende methoden van risicomanagement, zoals COSO ERM.
1.2 Onderscheidt verschillende risico’s in de bedrijfscontext.
1.3 Beschrijft het risicomanagementproces van de organisatie.
1.4 Schat de risicoperceptie van beslissers in en past de communicatie daarop
aan.
1.5 Voert een risicoanalyse uit om risico’s te identificeren en te classificeren op
kans en impact.
1.6 Stelt een integraal risicobehandelingsplan op (actieplan).
1.7 Stelt een integrale aanpak op voor geïdentificeerde risico’s binnen de
organisatiecontext.
1.8 Herkent specifieke financiële risico’s (werkkapitaal, debiteuren, valuta,
derivaten) en stelt maatregelen op anders dan verzekeringen.
Hoofdstuk 1 - Risico’s en risicomanagement: introductie en ontwikkeling
Examenindicatoren: 1.1 | 1.3
Risicomanagement is in de jaren 60 van de vorige eeuw ontstaan als antwoord op
toenemende onzekerheid en complexiteit. De behoefte aan zekerheid is een
fundamentele menselijke behoefte (Maslow). Oorspronkelijk lag de focus op
verzekerbare, statische risico’s. In de jaren 90 ontstond de term Enterprise Risk
Management (ERM): het integraal managen van alle risico’s die de doelstellingen en
prestaties van een organisatie bedreigen. De wereld van vandaag wordt
gekenmerkt als een VUCA-wereld (Volatile, Unpredictable, Complex, Ambiguous).
Kernbegrippen:
Enterprise Risk Management (ERM): Combinatie van het management van
alle risico’s die de doelstellingen en prestaties van een organisatie kunnen
bedreigen, zowel strategische, financiële en marktrisico’s als de traditionele
verzekerbare risico’s. ERM draagt bij aan de aansturing van de organisatie en is
een onderdeel van goed bestuur (corporate governance).
Risico: Een onzekere gebeurtenis met een kans op een positieve of negatieve
uitkomst. De negatieve uitkomst wijst op gevaar (onzekerheid over uitkomst) en
schade of verlies (negatieve uitkomst).
Resilience: Het vermogen van organisaties om te anticiperen, voorbereid te
zijn, te acteren en zich aan te passen op zowel plotselinge als geleidelijke
veranderingen.
GRC (Governance, Risk and Compliance): Samenhangende benadering
gericht op langetermijnwaardecreatie waarbij governance, risicomanagement en
naleving van regelgeving worden geïntegreerd.
VUCA-wereld: Volatile (volatiel) - Unpredictable (onvoorspelbaar) - Complex -
Ambiguous (ambigu). De context waarbinnen modern risicomanagement
plaatsvindt.
Redenen voor risicomanagement:
, Structuur geven aan de bescherming van continuïteit en realisatie van
doelstellingen.
Bescherming van mensen en hun belangen: werknemers, omwonenden,
afnemers en andere betrokkenen.
Three lines of defence:
1e lijn - Bestuur en management: verantwoordelijk voor de aansturing van
de organisatie en de dagelijkse bedrijfsprocessen.
2e lijn - Staffuncties (o.a. risicomanager, compliance officer):
ondersteunen de eerste lijn met expertise, advies en het faciliteren van
risicomanagementprocessen.
3e lijn - Interne audit: controleert onafhankelijk de naleving van afspraken,
richtlijnen en de effectiviteit van de eerste en tweede lijn.
Methoden van risicomanagement (indicator 1.1):
Sarbanes-Oxley (SOX): Verplicht beursgenoteerde ondernemingen tot het
inrichten van risicomanagement en interne controle. Aanleiding voor COSO ERM.
COSO ERM: Het meest gebruikte raamwerk voor Enterprise Risk Management.
Bevat vier pijlers: (1) definitie van risicomanagement, (2) structuur voor de
inrichting, (3) gemeenschappelijke uitgangspunten en (4) gemeenschappelijke
taal. Ontstaan naar aanleiding van de Sarbanes-Oxley-wet.
ISO 31000: Internationale paraplu-richtlijn; overkoepelend kader over alle
managementdisciplines gericht op risicobeheersing. Gepubliceerd in 2009. Geeft
richtlijnen voor principes, het kader en het proces van risicomanagement.
IFRS: Internationale financiële verslagleggingseisen met directe implicaties voor
het omgaan met risico’s, zoals het aanleggen van reserves voor toekomstige
schadegevallen.
Integrated Reporting Framework (IRF): Integrale benadering van
rapportage met aandacht voor toekomst, strategie en waardecreatie op lange
termijn.
GRI-standards: Standaarden voor maatschappelijk verantwoord ondernemen
(MVO), ontwikkeld door de Global Reporting Initiative.
Basel-akkoorden: Internationale kapitaalvereisten voor banken ter bevordering
van financiële stabiliteit (Basel I, II en III).
Solvency-II: Europese richtlijn voor verzekeraars met drie pilaren: (1) financiële
kwantitatieve eisen, (2) governance en risicomanagement (ORSA) en (3)
rapportage en transparantie.
Corporate governance code: Stelsel van regels en omgangsvormen voor
goed bestuur, goed toezicht en verdeling van taken, verantwoordelijkheden en
bevoegdheden (TVB). Bestuurders en commissarissen leggen verantwoording af
aan stakeholders.
Beroepsorganisaties:
RIMS (Risk and Insurance Management Society) - Verenigde Staten
NARIM (Nederlandse Associatie van Risk en Insurance Managers) - Nederland
FERMA (Federation of European Risk Management Associations) - Europa
Functies van standaarden (FERMA/ERMS en ISO 31000) - examenrelevant:
Ze bieden een gemeenschappelijke taal en structuur voor risicomanagement
binnen en tussen organisaties.
, Ze fungeren als referentiekader voor het inrichten, beoordelen en verbeteren
van het risicomanagementproces.
Hoofdstuk 2 - Risico’s nader beschouwd
Examenindicator: 1.2
Definitie risico (COSO): De mogelijkheid dat een gebeurtenis zich voordoet die een
negatief effect heeft, waardecreatie verhindert of bestaande waarden uitholt.
Tegelijkertijd wordt rekening gehouden met kansen: gebeurtenissen met een
positief effect die bijdragen aan het realiseren van doelstellingen.
Basisformule: Risico = kans x gevolg. De kans is een getal tussen 0 en 1; het gevolg
is de financiële waarde van de mogelijke schade.
Dynamische versus statische risico’s:
Dynamisch risico: Kans op zowel winst als verlies; het klassieke
ondernemersrisico. Treedt op bij investeren, innoveren en ondernemen. Niet
verzekerbaar. De risicomanager heeft hier een faciliterende en adviserende rol
bij strategische keuzes en helpt bij de risico-rendement afweging.
Statisch risico: Uitsluitend kans op verlies (zuiver risico). Er is geen
mogelijkheid op voordeel. In principe verzekerbaar. De risicomanager is de
inhoudelijke expert en neemt het voortouw, hij richt zich op preventie,
overdracht en financiering van deze risico’s.
Traditionele versus emerging risks:
Traditionele risico’s: Bekend en redelijk kwantificeerbaar op basis van
historische data en waar organisaties rekening mee houden. Voorbeelden:
ziekteverzuim, materiele schade aan gebouwen en installaties, tijdelijk
personeelsverloop.
Emerging risks: Nieuw of in een nieuwe context herrijzend risico waarvoor nog
weinig historische data beschikbaar is. Lastiger te voorspellen, minder ervaring
met deze risico’s en gevolgen lastiger in te schatten. Voorbeelden: COVID-19,
cyberrisico’s, klimaatverandering.
Indeling naar soort (Kaplan):
Te voorkomen risico’s: Interne operationele risico’s die beheersbaar zijn met
maatregelen.
Strategische risico’s: Samenhangend met de gekozen strategie van de
organisatie.
Externe risico’s: Niet te voorkomen; komen van buiten de organisatie.
Vereisen alertheid, tijdige identificatie en voorbereiding.
Verfijning indeling risico’s:
Interne risico’s
o Activiteiten => strategie, juridische gevolgen rechtsvorm, continuïteit,
kwaliteit, fraude.
, o Middelen => materiele risico’s, veiligheid, financiële risico’s
o Mensen => veiligheid, kritische kennis, capaciteit
Externe risico’s
o Economie, mart, politiek, wet- en regelgeving, natuur, sociale
ontwikkelingen, maatschappij.
Interne financiële risico’s zijn onnauwkeurigheden in de administratie of fraude.
Externe financiële risico’s zijn schommelingen in de valutamarkt of prijzen van
grondstoffen.
Risico’s per bedrijfsfunctie (indicator 1.2):
Financieel: liquiditeitsrisico, kredietrisico, valutarisico, renterisico,
beleggingsrisico.
Operationeel: productiestoringen, ICT-falen, logistieke verstoringen,
kwaliteitsfouten in het productieproces.
Strategisch: concurrentiewijzigingen, marktveranderingen, fusie- en
overnamerisico’s, technologische disruptie.
Compliance: overtreding van wet- en regelgeving, belastingrisico’s, toezicht
risico’s.
Reputatie: negatieve publiciteit, productaansprakelijkheid, social media-crises.
Reputatierisico is de afgelopen jaren sterk toegenomen in belang door sociale
media, transparantie-eisen en de snelheid waarmee negatieve informatie zich
verspreidt. Een reputatieschade kan directe financiële gevolgen hebben
(omzetverlies, koersdaling) en is moeilijk te herstellen.
HR: ziekteverzuim, kennisuitstroom, personeelstekorten, ongewenst gedrag op
de werkvloer.
Extern: macro-economische schokken, politieke instabiliteit, klimaatrisico’s,
natuurrampen.
Aansprakelijkheidsrisico’s:
Werkgeversaansprakelijkheid: aansprakelijkheid voor schade aan medewerkers
tijdens of door het werk.
Productaansprakelijkheid: aansprakelijkheid voor schade die producten
veroorzaken bij afnemers of derden.
Milieuaansprakelijkheid: aansprakelijkheid voor schade aan het milieu door
bedrijfsactiviteiten.
Risicomatrix - vier kwadranten (kans x impact):
Kleine kans/ kleine schade: Accepteren en monitoren; betalen uit lopende
middelen.
Kleine kans/ grote schade: Bijzondere aandacht; bij voorkeur overdragen
(verzekeren).
Grote kans/ kleine schade: Preventieve maatregelen nemen; verzekeren niet
zinvol.
Grote kans/ grote schade: Goede preventie is de enige optie; verzekeren bijna
onmogelijk en vermijden heeft de voorkeur.
Gebaseerd op Janicijevic & Claes | Examenindicatoren 1.1 t/m 1.8 | Hoofdstuk 1 t/m
11
Examenindicatoren
1.1 Kent de verschillende methoden van risicomanagement, zoals COSO ERM.
1.2 Onderscheidt verschillende risico’s in de bedrijfscontext.
1.3 Beschrijft het risicomanagementproces van de organisatie.
1.4 Schat de risicoperceptie van beslissers in en past de communicatie daarop
aan.
1.5 Voert een risicoanalyse uit om risico’s te identificeren en te classificeren op
kans en impact.
1.6 Stelt een integraal risicobehandelingsplan op (actieplan).
1.7 Stelt een integrale aanpak op voor geïdentificeerde risico’s binnen de
organisatiecontext.
1.8 Herkent specifieke financiële risico’s (werkkapitaal, debiteuren, valuta,
derivaten) en stelt maatregelen op anders dan verzekeringen.
Hoofdstuk 1 - Risico’s en risicomanagement: introductie en ontwikkeling
Examenindicatoren: 1.1 | 1.3
Risicomanagement is in de jaren 60 van de vorige eeuw ontstaan als antwoord op
toenemende onzekerheid en complexiteit. De behoefte aan zekerheid is een
fundamentele menselijke behoefte (Maslow). Oorspronkelijk lag de focus op
verzekerbare, statische risico’s. In de jaren 90 ontstond de term Enterprise Risk
Management (ERM): het integraal managen van alle risico’s die de doelstellingen en
prestaties van een organisatie bedreigen. De wereld van vandaag wordt
gekenmerkt als een VUCA-wereld (Volatile, Unpredictable, Complex, Ambiguous).
Kernbegrippen:
Enterprise Risk Management (ERM): Combinatie van het management van
alle risico’s die de doelstellingen en prestaties van een organisatie kunnen
bedreigen, zowel strategische, financiële en marktrisico’s als de traditionele
verzekerbare risico’s. ERM draagt bij aan de aansturing van de organisatie en is
een onderdeel van goed bestuur (corporate governance).
Risico: Een onzekere gebeurtenis met een kans op een positieve of negatieve
uitkomst. De negatieve uitkomst wijst op gevaar (onzekerheid over uitkomst) en
schade of verlies (negatieve uitkomst).
Resilience: Het vermogen van organisaties om te anticiperen, voorbereid te
zijn, te acteren en zich aan te passen op zowel plotselinge als geleidelijke
veranderingen.
GRC (Governance, Risk and Compliance): Samenhangende benadering
gericht op langetermijnwaardecreatie waarbij governance, risicomanagement en
naleving van regelgeving worden geïntegreerd.
VUCA-wereld: Volatile (volatiel) - Unpredictable (onvoorspelbaar) - Complex -
Ambiguous (ambigu). De context waarbinnen modern risicomanagement
plaatsvindt.
Redenen voor risicomanagement:
, Structuur geven aan de bescherming van continuïteit en realisatie van
doelstellingen.
Bescherming van mensen en hun belangen: werknemers, omwonenden,
afnemers en andere betrokkenen.
Three lines of defence:
1e lijn - Bestuur en management: verantwoordelijk voor de aansturing van
de organisatie en de dagelijkse bedrijfsprocessen.
2e lijn - Staffuncties (o.a. risicomanager, compliance officer):
ondersteunen de eerste lijn met expertise, advies en het faciliteren van
risicomanagementprocessen.
3e lijn - Interne audit: controleert onafhankelijk de naleving van afspraken,
richtlijnen en de effectiviteit van de eerste en tweede lijn.
Methoden van risicomanagement (indicator 1.1):
Sarbanes-Oxley (SOX): Verplicht beursgenoteerde ondernemingen tot het
inrichten van risicomanagement en interne controle. Aanleiding voor COSO ERM.
COSO ERM: Het meest gebruikte raamwerk voor Enterprise Risk Management.
Bevat vier pijlers: (1) definitie van risicomanagement, (2) structuur voor de
inrichting, (3) gemeenschappelijke uitgangspunten en (4) gemeenschappelijke
taal. Ontstaan naar aanleiding van de Sarbanes-Oxley-wet.
ISO 31000: Internationale paraplu-richtlijn; overkoepelend kader over alle
managementdisciplines gericht op risicobeheersing. Gepubliceerd in 2009. Geeft
richtlijnen voor principes, het kader en het proces van risicomanagement.
IFRS: Internationale financiële verslagleggingseisen met directe implicaties voor
het omgaan met risico’s, zoals het aanleggen van reserves voor toekomstige
schadegevallen.
Integrated Reporting Framework (IRF): Integrale benadering van
rapportage met aandacht voor toekomst, strategie en waardecreatie op lange
termijn.
GRI-standards: Standaarden voor maatschappelijk verantwoord ondernemen
(MVO), ontwikkeld door de Global Reporting Initiative.
Basel-akkoorden: Internationale kapitaalvereisten voor banken ter bevordering
van financiële stabiliteit (Basel I, II en III).
Solvency-II: Europese richtlijn voor verzekeraars met drie pilaren: (1) financiële
kwantitatieve eisen, (2) governance en risicomanagement (ORSA) en (3)
rapportage en transparantie.
Corporate governance code: Stelsel van regels en omgangsvormen voor
goed bestuur, goed toezicht en verdeling van taken, verantwoordelijkheden en
bevoegdheden (TVB). Bestuurders en commissarissen leggen verantwoording af
aan stakeholders.
Beroepsorganisaties:
RIMS (Risk and Insurance Management Society) - Verenigde Staten
NARIM (Nederlandse Associatie van Risk en Insurance Managers) - Nederland
FERMA (Federation of European Risk Management Associations) - Europa
Functies van standaarden (FERMA/ERMS en ISO 31000) - examenrelevant:
Ze bieden een gemeenschappelijke taal en structuur voor risicomanagement
binnen en tussen organisaties.
, Ze fungeren als referentiekader voor het inrichten, beoordelen en verbeteren
van het risicomanagementproces.
Hoofdstuk 2 - Risico’s nader beschouwd
Examenindicator: 1.2
Definitie risico (COSO): De mogelijkheid dat een gebeurtenis zich voordoet die een
negatief effect heeft, waardecreatie verhindert of bestaande waarden uitholt.
Tegelijkertijd wordt rekening gehouden met kansen: gebeurtenissen met een
positief effect die bijdragen aan het realiseren van doelstellingen.
Basisformule: Risico = kans x gevolg. De kans is een getal tussen 0 en 1; het gevolg
is de financiële waarde van de mogelijke schade.
Dynamische versus statische risico’s:
Dynamisch risico: Kans op zowel winst als verlies; het klassieke
ondernemersrisico. Treedt op bij investeren, innoveren en ondernemen. Niet
verzekerbaar. De risicomanager heeft hier een faciliterende en adviserende rol
bij strategische keuzes en helpt bij de risico-rendement afweging.
Statisch risico: Uitsluitend kans op verlies (zuiver risico). Er is geen
mogelijkheid op voordeel. In principe verzekerbaar. De risicomanager is de
inhoudelijke expert en neemt het voortouw, hij richt zich op preventie,
overdracht en financiering van deze risico’s.
Traditionele versus emerging risks:
Traditionele risico’s: Bekend en redelijk kwantificeerbaar op basis van
historische data en waar organisaties rekening mee houden. Voorbeelden:
ziekteverzuim, materiele schade aan gebouwen en installaties, tijdelijk
personeelsverloop.
Emerging risks: Nieuw of in een nieuwe context herrijzend risico waarvoor nog
weinig historische data beschikbaar is. Lastiger te voorspellen, minder ervaring
met deze risico’s en gevolgen lastiger in te schatten. Voorbeelden: COVID-19,
cyberrisico’s, klimaatverandering.
Indeling naar soort (Kaplan):
Te voorkomen risico’s: Interne operationele risico’s die beheersbaar zijn met
maatregelen.
Strategische risico’s: Samenhangend met de gekozen strategie van de
organisatie.
Externe risico’s: Niet te voorkomen; komen van buiten de organisatie.
Vereisen alertheid, tijdige identificatie en voorbereiding.
Verfijning indeling risico’s:
Interne risico’s
o Activiteiten => strategie, juridische gevolgen rechtsvorm, continuïteit,
kwaliteit, fraude.
, o Middelen => materiele risico’s, veiligheid, financiële risico’s
o Mensen => veiligheid, kritische kennis, capaciteit
Externe risico’s
o Economie, mart, politiek, wet- en regelgeving, natuur, sociale
ontwikkelingen, maatschappij.
Interne financiële risico’s zijn onnauwkeurigheden in de administratie of fraude.
Externe financiële risico’s zijn schommelingen in de valutamarkt of prijzen van
grondstoffen.
Risico’s per bedrijfsfunctie (indicator 1.2):
Financieel: liquiditeitsrisico, kredietrisico, valutarisico, renterisico,
beleggingsrisico.
Operationeel: productiestoringen, ICT-falen, logistieke verstoringen,
kwaliteitsfouten in het productieproces.
Strategisch: concurrentiewijzigingen, marktveranderingen, fusie- en
overnamerisico’s, technologische disruptie.
Compliance: overtreding van wet- en regelgeving, belastingrisico’s, toezicht
risico’s.
Reputatie: negatieve publiciteit, productaansprakelijkheid, social media-crises.
Reputatierisico is de afgelopen jaren sterk toegenomen in belang door sociale
media, transparantie-eisen en de snelheid waarmee negatieve informatie zich
verspreidt. Een reputatieschade kan directe financiële gevolgen hebben
(omzetverlies, koersdaling) en is moeilijk te herstellen.
HR: ziekteverzuim, kennisuitstroom, personeelstekorten, ongewenst gedrag op
de werkvloer.
Extern: macro-economische schokken, politieke instabiliteit, klimaatrisico’s,
natuurrampen.
Aansprakelijkheidsrisico’s:
Werkgeversaansprakelijkheid: aansprakelijkheid voor schade aan medewerkers
tijdens of door het werk.
Productaansprakelijkheid: aansprakelijkheid voor schade die producten
veroorzaken bij afnemers of derden.
Milieuaansprakelijkheid: aansprakelijkheid voor schade aan het milieu door
bedrijfsactiviteiten.
Risicomatrix - vier kwadranten (kans x impact):
Kleine kans/ kleine schade: Accepteren en monitoren; betalen uit lopende
middelen.
Kleine kans/ grote schade: Bijzondere aandacht; bij voorkeur overdragen
(verzekeren).
Grote kans/ kleine schade: Preventieve maatregelen nemen; verzekeren niet
zinvol.
Grote kans/ grote schade: Goede preventie is de enige optie; verzekeren bijna
onmogelijk en vermijden heeft de voorkeur.
