Blok 1 - Enterprise riskmanagement
H1 Inleiding
1.1 Waarom risicomanagement?
Het nut en de noodzaak voor risicomanagement zijn gelegen in een tweetal basisprincipes:
Conformance-motief Het voldoen aan wet- en regelgeving. Door risico’s te inventariseren ten
aanzien van relevante wet- en regelgeving en hiertoe beheersingsmaatregelen in te richten kan op
efficiënte en effectieve wijze worden voldaan aan wet- en regelgeving. Hierbij kent
risicomanagement een defensief karakter: ‘het moet’, en heeft daardoor mogelijk een ‘check te box-
mentaliteit’ tot gevolg.
Performance-motief het creëren van toegevoegde waarde voor klanten en burgers.
Bedrijfsleven: vooral betrekking op het creëren van aandeelhouderswaarde
Publieke sector: betrekking op het realiseren van maatschappelijke doelstellingen
Hierbij kent risicomanagement een offensief karakter: het is gericht op bedreigingen die het bereiken
van deze doelstellingen in de weg kunnen staan.
Uit onderzoek van Hamilton blijkt dat het bestaansrecht van organisaties worden bedreigd door
andere soorten risico’s dan ze traditioneel gewend zijn naar te kijken. Het niet bereiken van ambities
en het niet nakomen van beloftes aan aandeelhouders gaan samen met het goed beheersen van
strategische en operationele risico’s. Daarom dient risicomanagement integraal te worden benaderd.
Integraal risicomanagement
- risico’s worden van verschillende risicogebieden in onderlinge samenhang bezien en gemanaged.
- risicomanagementprocessen worden op verschillende hiërarchische niveaus binnen de organisatie
ingericht en de niveaus werken interactief met elkaar samen bij het identificeren, analyseren en
beheersen van de risico’s. Zo wordt het eenvoudiger risicomanagement vanuit een performance-
motief te beleven i.p.v. vanuit een conformance-motief.
1.2. Risicomanagementmodellen
De basiscomponenten van de modellen zijn hetzelfde (risicomanagementcyclus):
1. Het formuleren van strategie en doelstellingen
2. Het inventariseren van risico’s
3. Het beoordelen van risico’s
4. Een keuze maken in hoe om te gaan met de risico’s (risicostrategie)
5. Het beheersen van risico
6. Communicatie en monitoren
COSO
Wereldwijd is COSO een van de meest gebruikte risicomanagementmodellen. In 1985 is het COSO-
platform in de VS opgericht met als doel de Treadway-commissie (gericht op het bestrijden van
frauduleuze financiële verslaggeving) te ondersteunen op het gebied van interne beheersing. In 2004
publiceerde COSO, ‘COSO ERM’, waarbij wordt uitgegaan dat de organisatie al strategische keuzes en
doelstellingen heeft gedefinieerd, die als basis dienen voor het formuleren van strategische risico’s.
,Het COSO ERM-raamwerk bestaat uit twintig ‘principes’, die geclusterd zijn tot vijf
basiscomponenten. Deze vormen het risicomanagement ’raamwerk’ en hebben tot doel
risicomanagement volledig te integreren binnen de bestaande bedrijfsactiviteiten en
bedrijfsprocessen. Het inrichten van risicomanagement is maatwerk, het hangt o.a. af van de omvang
van de organisatie.
Kritiek COSO ERM:
- Geen eenduidig normenkader; betreft het theoretisch karakter van het model.
- Ontbreken stappenplan
- De interne beheersing binnen het raamwerk wordt in beperkte mate gespecificeerd naar de
verschillende hiërarchische niveaus van een organisatie.
ISO 31000
Op initiatief van Japan en Australië werd in 2005 een werkgroep samengesteld om een algemene
richtlijn voor risicomanagement te ontwikkelen. De aanleiding was enerzijds de groeiende
belangstelling voor het onderwerp risicomanagement en anderzijds het besef dat de bestaande ISO-
standaarden hier nog onvoldoende invulling aan gaven.
ISO 31000 beoogt twee doelstellingen:
- Het ontwikkelen van een algemeen kader voor het implementeren van risicomanagement
- Het ontwikkelen van een overkoepelde risicomanagementkapstop voor sector- en onderwerp
specifieke ISO-standaarden.
Het fundament van de ISO 31000-standaard bestaat uit de volgende principes:
1. Proportionaliteit: het raamwerk en proces dienen te passen bij de aard en omvang van de
organisatie.
2. Aansluiting: het risicomanagement dient aan te sluiten en in lijn te zijn met de overige
activiteiten van de organisatie.
3. Diepgang: voor effectief risicomanagement dienen taken gestructureerd plaats te vinden en
voldoende diepgang te hebben.
4. Integratie: het risicomanagement dient geïntegreerd te zijn in de reguliere bedrijfsvoering.
5. Dynamisch: het risicomanagementsysteem dient te worden verbeterd en onderhouden
gezien de veranderende omgeving.
, 6. Beperkingen: er wordt expliciet rekening gehouden met het gegeven dat beschikbare
informatie beperkt kan zijn.
7. Cultuur en gedrag: menselijk gedrag en cultuur beïnvloeden het risicomanagement.
8. Leren: het risicomanagement verbetert continu door te leren van opgedane ervaringen.
De wijze waarop de principes kunnen worden bereikt, wordt vormgegeven door het raamwerk:
- ontwerpen
- implementeren
- evalueren
- verbeteren
- integreren
Kritiek ISO 31000:
- Smalle definitie van interne beheersing
- Geen eenduidig normenkader: betreft het beoordelen van de effectiviteit van risicomanagement
H2 Ontwikkelingen en achtergronden
2.1 Inleiding
De publieke aandacht voor continuïteit, waardecreatie en het realiseren van bedrijfsdoelstellingen is
in de afgelopen decennia steeds verder toegenomen. Dit komt door de crisis van 2008, maar ook
door boekhoudschandalen en overmatige bonussen voor bestuurders waardoor stakeholders vaak
bedrogen zijn uitgekomen en er banen zijn verloren. Als gevolg van grote schandalen werd in de VS in
2002 de Sarbanes-Oxley Act geïntroduceerd. Het doel van deze wet is het verkrijgen van meer
zekerheid over de financiële verslaggeving en de totstandkoming ervan.
De wens van stakeholders voor transparantie beperkt zich niet tot de betrouwbaarheid van de
financiële verslaggeving. Ze willen openheid over beloningen, verantwoordelijkheden,
maatschappelijke betrokkenheid en maatschappelijk verantwoord ondernemen. Deze toegenomen
behoefte is terug te vinden in de wet- en regelgeving.
Corporate governance de verantwoordelijkheden van organisaties ten aanzien van stakeholders.
Dit heeft vooral betrekking op verantwoordelijkheden van directies, toezichthouders, externe
accountants bij de verantwoording over beheersing. Waardecreatie staat hierbij centraal. De inhoud
van het begrip ‘waarde’ wordt ingevuld door de betrokken stakeholders.
Waardecreatie gaat verder dan het beheersen van risico’s, het gaat om het benutten van kansen.
Kansen moeten zorgvuldig worden afgewogen in het licht van verwachte opbrengsten en de daarbij
gekoppelde risico’s.
Bedreigingen kunnen veelal direct worden gerelateerd aan beheersingsmaatregelen die door het
management dienen te worden gemanaged. Kansen dienen te worden uitgewerkt in scenario’s,
strategieën en bedrijfsplannen, en moet worden gemonitord.
2.2 Corporate governance
Financiële schandalen hebben geleid tot strengere wet- en regelgeving op het gebied van corporate
governance. Bij deze regelgeving kan onderscheid worden gemaakt tussen:
H1 Inleiding
1.1 Waarom risicomanagement?
Het nut en de noodzaak voor risicomanagement zijn gelegen in een tweetal basisprincipes:
Conformance-motief Het voldoen aan wet- en regelgeving. Door risico’s te inventariseren ten
aanzien van relevante wet- en regelgeving en hiertoe beheersingsmaatregelen in te richten kan op
efficiënte en effectieve wijze worden voldaan aan wet- en regelgeving. Hierbij kent
risicomanagement een defensief karakter: ‘het moet’, en heeft daardoor mogelijk een ‘check te box-
mentaliteit’ tot gevolg.
Performance-motief het creëren van toegevoegde waarde voor klanten en burgers.
Bedrijfsleven: vooral betrekking op het creëren van aandeelhouderswaarde
Publieke sector: betrekking op het realiseren van maatschappelijke doelstellingen
Hierbij kent risicomanagement een offensief karakter: het is gericht op bedreigingen die het bereiken
van deze doelstellingen in de weg kunnen staan.
Uit onderzoek van Hamilton blijkt dat het bestaansrecht van organisaties worden bedreigd door
andere soorten risico’s dan ze traditioneel gewend zijn naar te kijken. Het niet bereiken van ambities
en het niet nakomen van beloftes aan aandeelhouders gaan samen met het goed beheersen van
strategische en operationele risico’s. Daarom dient risicomanagement integraal te worden benaderd.
Integraal risicomanagement
- risico’s worden van verschillende risicogebieden in onderlinge samenhang bezien en gemanaged.
- risicomanagementprocessen worden op verschillende hiërarchische niveaus binnen de organisatie
ingericht en de niveaus werken interactief met elkaar samen bij het identificeren, analyseren en
beheersen van de risico’s. Zo wordt het eenvoudiger risicomanagement vanuit een performance-
motief te beleven i.p.v. vanuit een conformance-motief.
1.2. Risicomanagementmodellen
De basiscomponenten van de modellen zijn hetzelfde (risicomanagementcyclus):
1. Het formuleren van strategie en doelstellingen
2. Het inventariseren van risico’s
3. Het beoordelen van risico’s
4. Een keuze maken in hoe om te gaan met de risico’s (risicostrategie)
5. Het beheersen van risico
6. Communicatie en monitoren
COSO
Wereldwijd is COSO een van de meest gebruikte risicomanagementmodellen. In 1985 is het COSO-
platform in de VS opgericht met als doel de Treadway-commissie (gericht op het bestrijden van
frauduleuze financiële verslaggeving) te ondersteunen op het gebied van interne beheersing. In 2004
publiceerde COSO, ‘COSO ERM’, waarbij wordt uitgegaan dat de organisatie al strategische keuzes en
doelstellingen heeft gedefinieerd, die als basis dienen voor het formuleren van strategische risico’s.
,Het COSO ERM-raamwerk bestaat uit twintig ‘principes’, die geclusterd zijn tot vijf
basiscomponenten. Deze vormen het risicomanagement ’raamwerk’ en hebben tot doel
risicomanagement volledig te integreren binnen de bestaande bedrijfsactiviteiten en
bedrijfsprocessen. Het inrichten van risicomanagement is maatwerk, het hangt o.a. af van de omvang
van de organisatie.
Kritiek COSO ERM:
- Geen eenduidig normenkader; betreft het theoretisch karakter van het model.
- Ontbreken stappenplan
- De interne beheersing binnen het raamwerk wordt in beperkte mate gespecificeerd naar de
verschillende hiërarchische niveaus van een organisatie.
ISO 31000
Op initiatief van Japan en Australië werd in 2005 een werkgroep samengesteld om een algemene
richtlijn voor risicomanagement te ontwikkelen. De aanleiding was enerzijds de groeiende
belangstelling voor het onderwerp risicomanagement en anderzijds het besef dat de bestaande ISO-
standaarden hier nog onvoldoende invulling aan gaven.
ISO 31000 beoogt twee doelstellingen:
- Het ontwikkelen van een algemeen kader voor het implementeren van risicomanagement
- Het ontwikkelen van een overkoepelde risicomanagementkapstop voor sector- en onderwerp
specifieke ISO-standaarden.
Het fundament van de ISO 31000-standaard bestaat uit de volgende principes:
1. Proportionaliteit: het raamwerk en proces dienen te passen bij de aard en omvang van de
organisatie.
2. Aansluiting: het risicomanagement dient aan te sluiten en in lijn te zijn met de overige
activiteiten van de organisatie.
3. Diepgang: voor effectief risicomanagement dienen taken gestructureerd plaats te vinden en
voldoende diepgang te hebben.
4. Integratie: het risicomanagement dient geïntegreerd te zijn in de reguliere bedrijfsvoering.
5. Dynamisch: het risicomanagementsysteem dient te worden verbeterd en onderhouden
gezien de veranderende omgeving.
, 6. Beperkingen: er wordt expliciet rekening gehouden met het gegeven dat beschikbare
informatie beperkt kan zijn.
7. Cultuur en gedrag: menselijk gedrag en cultuur beïnvloeden het risicomanagement.
8. Leren: het risicomanagement verbetert continu door te leren van opgedane ervaringen.
De wijze waarop de principes kunnen worden bereikt, wordt vormgegeven door het raamwerk:
- ontwerpen
- implementeren
- evalueren
- verbeteren
- integreren
Kritiek ISO 31000:
- Smalle definitie van interne beheersing
- Geen eenduidig normenkader: betreft het beoordelen van de effectiviteit van risicomanagement
H2 Ontwikkelingen en achtergronden
2.1 Inleiding
De publieke aandacht voor continuïteit, waardecreatie en het realiseren van bedrijfsdoelstellingen is
in de afgelopen decennia steeds verder toegenomen. Dit komt door de crisis van 2008, maar ook
door boekhoudschandalen en overmatige bonussen voor bestuurders waardoor stakeholders vaak
bedrogen zijn uitgekomen en er banen zijn verloren. Als gevolg van grote schandalen werd in de VS in
2002 de Sarbanes-Oxley Act geïntroduceerd. Het doel van deze wet is het verkrijgen van meer
zekerheid over de financiële verslaggeving en de totstandkoming ervan.
De wens van stakeholders voor transparantie beperkt zich niet tot de betrouwbaarheid van de
financiële verslaggeving. Ze willen openheid over beloningen, verantwoordelijkheden,
maatschappelijke betrokkenheid en maatschappelijk verantwoord ondernemen. Deze toegenomen
behoefte is terug te vinden in de wet- en regelgeving.
Corporate governance de verantwoordelijkheden van organisaties ten aanzien van stakeholders.
Dit heeft vooral betrekking op verantwoordelijkheden van directies, toezichthouders, externe
accountants bij de verantwoording over beheersing. Waardecreatie staat hierbij centraal. De inhoud
van het begrip ‘waarde’ wordt ingevuld door de betrokken stakeholders.
Waardecreatie gaat verder dan het beheersen van risico’s, het gaat om het benutten van kansen.
Kansen moeten zorgvuldig worden afgewogen in het licht van verwachte opbrengsten en de daarbij
gekoppelde risico’s.
Bedreigingen kunnen veelal direct worden gerelateerd aan beheersingsmaatregelen die door het
management dienen te worden gemanaged. Kansen dienen te worden uitgewerkt in scenario’s,
strategieën en bedrijfsplannen, en moet worden gemonitord.
2.2 Corporate governance
Financiële schandalen hebben geleid tot strengere wet- en regelgeving op het gebied van corporate
governance. Bij deze regelgeving kan onderscheid worden gemaakt tussen:
