RISK MANAGEMENT
1 Inleiding
Foto met vliegtuigen: leg uit
Je moet tussen het rode en het oranje weten te floteren
zodat de onderneming kans heeft op slagen. Hoe hoger
ze gaan, hoe hoger de risk appetite. Maar kan zijn dat de
onderneming een vlakke curve neemt en niet wilt stijgen
omdat ze tevreden zijn, status quo. De curve zal
waarschijnlijk duren tot wanneer men opnieuw begint af
te zwakken ofwel gaat men terug omhoog of terug
zakken of ze beslissen om helemaal te stoppen en alles
te verkopen = gecontroleerd landen
1.1 Wat is het onderscheid tussen een risico en een issue?
Issue: een relevante gebeurtenis die niet was gepland en die de aandacht van het management vereist
o Mogelijk probleem of kans of een vraag
o Afwijking van specificatie
o Wijzigingsverzoek
Risico: een onzekere gebeurtenis dat, als het voorkomt, een effect heeft op het bereiken van doelstellingen
o Bedreiging = risico met een negatieve impact
o Kans = risico met een positieve impact
! Risico wordt gemeten door kans x impact
1.2 Verschil issuemanagement en risicomanagement
Issuemanagement = beschikbare gegevens over huidige situatie → oplossen van huidig probleem
Risicomanagement = beschikbare gegevens over toekomstige mogelijkheden → neem nu actie + plannen
voor toekomstige actie
1.3 Enkele begrippen:
Risicoblootstelling = het gecombineerde effect van kansen en bedreigingen voor een set doelstellingen,
ofwel de totale mate waarin risico wordt gelopen door een organisatie.
Risicobereidheid = de maximale hoeveelheid risico die een organisatie bereid is te accepteren
Risicocapaciteit = de maximale hoeveelheid risico die een organisatie kan dragen bij het realiseren van haar
bedrijfsdoelstellingen, gerelateerd aan factoren zoals reputatie, geld en middelen.
Risicotolerantie(drempel) = het drempelniveau van risicoblootstelling, die als deze dreigt te worden
overschreden maakt dat de risicoblootstelling moet worden geëscaleerd naar het naast hogere
management.
1.4 Wanneer risicomanagement toe passen?
Bij het nemen van kritieke beslissingen
o Strategisch = LT beslissingen > bepalen de context van de besluiten op andere niveaus in de organisatie
o Tactisch = middellange termijnbeslissingen > gericht op de door te voeren veranderingen (projecten en
programma’s)
o Operationeel = KT beslissingen > gericht op de continuïteit van de bedrijfsvoering
1
, 1.5 Wat zijn de principes van risicomanagement?
1. Sluit aan bij de doelstellingen
Stelt zeker dat de juiste risico’s worden geïdentificeerd en dat adequate mitigerende maatregelen worden
genomen om de kans op het realiseren van de doelstellingen te optimaliseren.
2. Afgestemd op de context
Voorkomt bureaucratisering of juist een te vrijblijvende aanpak van risicomanagement waardoor of
verspilling optreedt of risico’s niet optimaal worden gemanaged.
3. Betrekt belanghebbenden
Stelt zeker dat in de risico-identificatie alle aspecten worden meegenomen, verschillen van inzicht zo veel
mogelijk worden voorkomen
4. Geeft heldere richtlijnen
Logisch, gestructureerd en consistent, stelt zeker dat resultaten kunnen worden vergeleken met de
risicoplannen
5. Levert informatie voor besluitvorming
Stelt zeker dat belangrijke beslissingen worden genomen met een expliciete afweging van de kans op de
impact van de verschillende risico’s
6. Maakt voortdurende verbetering mogelijk
Stelt zeker dat de organisatie niet keer op keer dezelfde fouten maakt, toetst dit via health checks en
volwassenheidsbeoordelingen
7. Zorgt voor een ondersteunende cultuur
Complexiteit en onzekerheid kan en mag worden besproken, ‘groen verven’ is geen gewenst gedrag
8. Realiseert meetbare toegevoegde waarde
Stelt zeker dat de toegevoegde waarde van risicomanagement kan worden aangetoond
ISO 31000 principes risicomanagement
2
1 Inleiding
Foto met vliegtuigen: leg uit
Je moet tussen het rode en het oranje weten te floteren
zodat de onderneming kans heeft op slagen. Hoe hoger
ze gaan, hoe hoger de risk appetite. Maar kan zijn dat de
onderneming een vlakke curve neemt en niet wilt stijgen
omdat ze tevreden zijn, status quo. De curve zal
waarschijnlijk duren tot wanneer men opnieuw begint af
te zwakken ofwel gaat men terug omhoog of terug
zakken of ze beslissen om helemaal te stoppen en alles
te verkopen = gecontroleerd landen
1.1 Wat is het onderscheid tussen een risico en een issue?
Issue: een relevante gebeurtenis die niet was gepland en die de aandacht van het management vereist
o Mogelijk probleem of kans of een vraag
o Afwijking van specificatie
o Wijzigingsverzoek
Risico: een onzekere gebeurtenis dat, als het voorkomt, een effect heeft op het bereiken van doelstellingen
o Bedreiging = risico met een negatieve impact
o Kans = risico met een positieve impact
! Risico wordt gemeten door kans x impact
1.2 Verschil issuemanagement en risicomanagement
Issuemanagement = beschikbare gegevens over huidige situatie → oplossen van huidig probleem
Risicomanagement = beschikbare gegevens over toekomstige mogelijkheden → neem nu actie + plannen
voor toekomstige actie
1.3 Enkele begrippen:
Risicoblootstelling = het gecombineerde effect van kansen en bedreigingen voor een set doelstellingen,
ofwel de totale mate waarin risico wordt gelopen door een organisatie.
Risicobereidheid = de maximale hoeveelheid risico die een organisatie bereid is te accepteren
Risicocapaciteit = de maximale hoeveelheid risico die een organisatie kan dragen bij het realiseren van haar
bedrijfsdoelstellingen, gerelateerd aan factoren zoals reputatie, geld en middelen.
Risicotolerantie(drempel) = het drempelniveau van risicoblootstelling, die als deze dreigt te worden
overschreden maakt dat de risicoblootstelling moet worden geëscaleerd naar het naast hogere
management.
1.4 Wanneer risicomanagement toe passen?
Bij het nemen van kritieke beslissingen
o Strategisch = LT beslissingen > bepalen de context van de besluiten op andere niveaus in de organisatie
o Tactisch = middellange termijnbeslissingen > gericht op de door te voeren veranderingen (projecten en
programma’s)
o Operationeel = KT beslissingen > gericht op de continuïteit van de bedrijfsvoering
1
, 1.5 Wat zijn de principes van risicomanagement?
1. Sluit aan bij de doelstellingen
Stelt zeker dat de juiste risico’s worden geïdentificeerd en dat adequate mitigerende maatregelen worden
genomen om de kans op het realiseren van de doelstellingen te optimaliseren.
2. Afgestemd op de context
Voorkomt bureaucratisering of juist een te vrijblijvende aanpak van risicomanagement waardoor of
verspilling optreedt of risico’s niet optimaal worden gemanaged.
3. Betrekt belanghebbenden
Stelt zeker dat in de risico-identificatie alle aspecten worden meegenomen, verschillen van inzicht zo veel
mogelijk worden voorkomen
4. Geeft heldere richtlijnen
Logisch, gestructureerd en consistent, stelt zeker dat resultaten kunnen worden vergeleken met de
risicoplannen
5. Levert informatie voor besluitvorming
Stelt zeker dat belangrijke beslissingen worden genomen met een expliciete afweging van de kans op de
impact van de verschillende risico’s
6. Maakt voortdurende verbetering mogelijk
Stelt zeker dat de organisatie niet keer op keer dezelfde fouten maakt, toetst dit via health checks en
volwassenheidsbeoordelingen
7. Zorgt voor een ondersteunende cultuur
Complexiteit en onzekerheid kan en mag worden besproken, ‘groen verven’ is geen gewenst gedrag
8. Realiseert meetbare toegevoegde waarde
Stelt zeker dat de toegevoegde waarde van risicomanagement kan worden aangetoond
ISO 31000 principes risicomanagement
2
