Internal Control & Risk Management
Volledige chronologische Stuvia-achtige
samenvatting
Slideset 1 t.e.m. 7 + gastcollege Internal Audit / ERM
Doel van deze versie: de slides vervangen als primaire leerbron. De hoofdstukken volgen de chronologische
slideset-volgorde. De figuren zijn opnieuw nagetekend en leesbaar gemaakt, zodat ze niet vervormen bij afdrukken.
Hoofdstuk Bron Wat je na dit hoofdstuk moet kunnen
1 Slideset 1 Risk, control, ERM, corporate governance en control responsibilities uitleggen
2 Slideset 2 8R/4T, RASP, COSO, ISO 31000 en link ERM-strategie toepassen
3 Slideset 3 Bad governance, WorldCom, agency theory, countervailing power en SOX analyseren
4 Slideset 4 ERM-framework ontwerpen en challenges/risk categories herkennen
5 Slideset 5 Fraud types, triangle, COSO control activities en whistleblowing uitleggen
6 Slideset 6 Risk assessment, risk register, tools, biases en 4T risk response toepassen
7 Slideset 7 Financial/market/credit/operational risks en types controls beheersen
8 Gastcollege IA-ERM Internal audit planning, RCM, testing, evidence, reporting en ERM-objectiviteit kennen
Internal Control & Risk Management - volledige chronologische samenvatting p. 1
, Hoofdstuk 1 - Slideset 1: Introduction to Risk Management & Internal
Control
1.1 Doel en examencontext
Het vak bekijkt risk management en internal control als geïntegreerde managementinstrumenten. Niet elk risico wordt apart in
een silo beheerd; Enterprise Risk Management (ERM) probeert risico’s across the enterprise te integreren in één analytisch
framework. De cursus legt daarom de link tussen risico, control, governance, internal audit, external audit, senior management
en board oversight.
- Examenvorm volgens de slides: schriftelijk gesloten boekexamen met multiple choice en open vragen.
- Voorbeeldvragen uit de slides: discuss the three lines of defense; discuss the role of corporate governance in ERM.
- Leerstrategie: ken definities, maar vooral de relaties tussen doelstellingen, risico’s, controls, governance en assurance.
1.2 Wat is risk?
Risk = the effect of uncertainty on objectives. Het begrip is dus altijd gelinkt aan doelstellingen.
- Een effect kan negatief zijn, positief zijn of een afwijking van verwachtingen vormen.
- Risico is dus niet enkel verlies; ook opportunity en onzekerheid zijn vormen van risk.
- Elke risk heeft eigen kenmerken en vereist een specifieke analyse of management approach.
Risicotype Betekenis Voorbeelden Hoe managen?
Hazard / pure risks Risico’s die enkel negatieve uitkomsten theft, fire, injury, IT failure, Tolerantie bepalen; risico
hebben. Vaak operationeel en vaak supplier disruption, damage to reduceren tot laagste cost-effective
verzekerbaar. premises niveau en in compliance met
wetgeving.
Control / uncertainty risks Risico’s die onzekerheid creëren over de project delay, implementation Uncertainty en consequences
uitkomst van een situatie. Vaak moeilijk failure, change management risk beperken zonder alle
te kwantificeren. ondernemerschap te
onderdrukken.
Opportunity / speculative Risico’s die bewust genomen worden om new market, acquisition, new Opportunity management: upside
risks positieve return te behalen. product, geographic expansion maximaliseren binnen risk
appetite.
Valkuil: Er bestaat geen universeel juiste risk classification. COSO, ISO, FIRM en time-scale classifications zijn allemaal
mogelijk; een organisatie moet een systeem kiezen dat bij haar context past.
1.3 Wat is control?
Control mechanisms = alle arrangements en procedures die ervoor moeten zorgen dat business objectives behaald kunnen
worden.
- Controls bestaan in veel vormen: authorization, supervision, segregation of duties, sequential numbering, reconciliations,
procedure manuals, recruitment and training.
- Twee dimensies zijn belangrijk: formal controls en informal controls.
- Formal controls zijn expliciet gedocumenteerde procedures/systemen; informal controls zitten in cultuur, normen, gedrag en
tone at the top.
Control type Timing/logica Voorbeelden
Preventive Vooraf: voorkomen dat het ongewenste event access control, segregation of duties, authorization, automated
gebeurt. validation
Detective Achteraf: ontdekken dat iets fout is gegaan. reconciliation, exception report, inventory count, internal audit
Corrective Na detectie: herstellen of impact beperken. backup restore, remediation plan, policy correction, disciplinary
action
Directive Gedrag richting gewenst resultaat sturen. policies, training, standard operating procedures, management
directives
Internal Control & Risk Management - volledige chronologische samenvatting p. 2
, 1.4 Ontwikkeling van ERM
Historisch werd risk management vooral gebruikt voor hazard risks. Door globalisering, outsourcing, e-commerce, corporate
scandals en financial crises werd duidelijk dat risico’s verbonden zijn. ERM ontstond begin jaren 2000 als geïntegreerde aanpak
om hazard, control en opportunity risks samen te beheren.
COSO ERM 2004 = een proces, uitgevoerd door board, management en personeel, toegepast in strategy setting en across the
enterprise, ontworpen om potential events te identificeren, risk binnen risk appetite te managen en reasonable assurance te
geven over achievement of objectives.
- Major drivers: corporate scandals, economic crisis, legal/corporate governance requirements, ERM standards, regulatory
pressure, accountability van board/management en stijgende complexiteit van risks.
- Benefits: betere financiële beheersing, lagere cost of capital, betere supplier/staff morale, reputatievoordelen, competitief
voordeel, meer klanttevredenheid en betere strategische beslissingen.
1.5 Corporate governance en regulatory context
Corporate governance = the way organizations are directed and controlled. Het omvat codes, regulations, standards, board
oversight, accountability en ethical behavior.
Aspect Internal controls External controls
Source Vanuit de organisatie zelf Opgelegd door regulators, wetgever, external auditors of
externe stakeholders
Purpose Efficiëntie, compliance, internal risk management Compliance met wetten, standaarden of maatschappelijke
normen afdwingen
Scope Specifiek voor eigen operations en goals Breder: externe regels, beursvereisten, governance codes
Authority Management en employees Regulators, audit bodies, legislation
- CG moet accountability en responsibility faciliteren voor performance en ethical behavior.
- CG requirements zijn vooral sterk bij beursgenoteerde ondernemingen.
- SOX 2002 verhoogde accountability van top management, onafhankelijkheid van auditors en board oversight.
Internal Control & Risk Management - volledige chronologische samenvatting p. 3
Volledige chronologische Stuvia-achtige
samenvatting
Slideset 1 t.e.m. 7 + gastcollege Internal Audit / ERM
Doel van deze versie: de slides vervangen als primaire leerbron. De hoofdstukken volgen de chronologische
slideset-volgorde. De figuren zijn opnieuw nagetekend en leesbaar gemaakt, zodat ze niet vervormen bij afdrukken.
Hoofdstuk Bron Wat je na dit hoofdstuk moet kunnen
1 Slideset 1 Risk, control, ERM, corporate governance en control responsibilities uitleggen
2 Slideset 2 8R/4T, RASP, COSO, ISO 31000 en link ERM-strategie toepassen
3 Slideset 3 Bad governance, WorldCom, agency theory, countervailing power en SOX analyseren
4 Slideset 4 ERM-framework ontwerpen en challenges/risk categories herkennen
5 Slideset 5 Fraud types, triangle, COSO control activities en whistleblowing uitleggen
6 Slideset 6 Risk assessment, risk register, tools, biases en 4T risk response toepassen
7 Slideset 7 Financial/market/credit/operational risks en types controls beheersen
8 Gastcollege IA-ERM Internal audit planning, RCM, testing, evidence, reporting en ERM-objectiviteit kennen
Internal Control & Risk Management - volledige chronologische samenvatting p. 1
, Hoofdstuk 1 - Slideset 1: Introduction to Risk Management & Internal
Control
1.1 Doel en examencontext
Het vak bekijkt risk management en internal control als geïntegreerde managementinstrumenten. Niet elk risico wordt apart in
een silo beheerd; Enterprise Risk Management (ERM) probeert risico’s across the enterprise te integreren in één analytisch
framework. De cursus legt daarom de link tussen risico, control, governance, internal audit, external audit, senior management
en board oversight.
- Examenvorm volgens de slides: schriftelijk gesloten boekexamen met multiple choice en open vragen.
- Voorbeeldvragen uit de slides: discuss the three lines of defense; discuss the role of corporate governance in ERM.
- Leerstrategie: ken definities, maar vooral de relaties tussen doelstellingen, risico’s, controls, governance en assurance.
1.2 Wat is risk?
Risk = the effect of uncertainty on objectives. Het begrip is dus altijd gelinkt aan doelstellingen.
- Een effect kan negatief zijn, positief zijn of een afwijking van verwachtingen vormen.
- Risico is dus niet enkel verlies; ook opportunity en onzekerheid zijn vormen van risk.
- Elke risk heeft eigen kenmerken en vereist een specifieke analyse of management approach.
Risicotype Betekenis Voorbeelden Hoe managen?
Hazard / pure risks Risico’s die enkel negatieve uitkomsten theft, fire, injury, IT failure, Tolerantie bepalen; risico
hebben. Vaak operationeel en vaak supplier disruption, damage to reduceren tot laagste cost-effective
verzekerbaar. premises niveau en in compliance met
wetgeving.
Control / uncertainty risks Risico’s die onzekerheid creëren over de project delay, implementation Uncertainty en consequences
uitkomst van een situatie. Vaak moeilijk failure, change management risk beperken zonder alle
te kwantificeren. ondernemerschap te
onderdrukken.
Opportunity / speculative Risico’s die bewust genomen worden om new market, acquisition, new Opportunity management: upside
risks positieve return te behalen. product, geographic expansion maximaliseren binnen risk
appetite.
Valkuil: Er bestaat geen universeel juiste risk classification. COSO, ISO, FIRM en time-scale classifications zijn allemaal
mogelijk; een organisatie moet een systeem kiezen dat bij haar context past.
1.3 Wat is control?
Control mechanisms = alle arrangements en procedures die ervoor moeten zorgen dat business objectives behaald kunnen
worden.
- Controls bestaan in veel vormen: authorization, supervision, segregation of duties, sequential numbering, reconciliations,
procedure manuals, recruitment and training.
- Twee dimensies zijn belangrijk: formal controls en informal controls.
- Formal controls zijn expliciet gedocumenteerde procedures/systemen; informal controls zitten in cultuur, normen, gedrag en
tone at the top.
Control type Timing/logica Voorbeelden
Preventive Vooraf: voorkomen dat het ongewenste event access control, segregation of duties, authorization, automated
gebeurt. validation
Detective Achteraf: ontdekken dat iets fout is gegaan. reconciliation, exception report, inventory count, internal audit
Corrective Na detectie: herstellen of impact beperken. backup restore, remediation plan, policy correction, disciplinary
action
Directive Gedrag richting gewenst resultaat sturen. policies, training, standard operating procedures, management
directives
Internal Control & Risk Management - volledige chronologische samenvatting p. 2
, 1.4 Ontwikkeling van ERM
Historisch werd risk management vooral gebruikt voor hazard risks. Door globalisering, outsourcing, e-commerce, corporate
scandals en financial crises werd duidelijk dat risico’s verbonden zijn. ERM ontstond begin jaren 2000 als geïntegreerde aanpak
om hazard, control en opportunity risks samen te beheren.
COSO ERM 2004 = een proces, uitgevoerd door board, management en personeel, toegepast in strategy setting en across the
enterprise, ontworpen om potential events te identificeren, risk binnen risk appetite te managen en reasonable assurance te
geven over achievement of objectives.
- Major drivers: corporate scandals, economic crisis, legal/corporate governance requirements, ERM standards, regulatory
pressure, accountability van board/management en stijgende complexiteit van risks.
- Benefits: betere financiële beheersing, lagere cost of capital, betere supplier/staff morale, reputatievoordelen, competitief
voordeel, meer klanttevredenheid en betere strategische beslissingen.
1.5 Corporate governance en regulatory context
Corporate governance = the way organizations are directed and controlled. Het omvat codes, regulations, standards, board
oversight, accountability en ethical behavior.
Aspect Internal controls External controls
Source Vanuit de organisatie zelf Opgelegd door regulators, wetgever, external auditors of
externe stakeholders
Purpose Efficiëntie, compliance, internal risk management Compliance met wetten, standaarden of maatschappelijke
normen afdwingen
Scope Specifiek voor eigen operations en goals Breder: externe regels, beursvereisten, governance codes
Authority Management en employees Regulators, audit bodies, legislation
- CG moet accountability en responsibility faciliteren voor performance en ethical behavior.
- CG requirements zijn vooral sterk bij beursgenoteerde ondernemingen.
- SOX 2002 verhoogde accountability van top management, onafhankelijkheid van auditors en board oversight.
Internal Control & Risk Management - volledige chronologische samenvatting p. 3
