Samenvatting (boek en pp) Risicomanagement (Hogeschool)

Samenvatting (boek en pp) Risicomanagement (Hogeschool). Mocht een bedrijf al WEL op de hoogte zijn van de risico maar heeft hiervoor nog geen maatregelen genomen, noemt men dit bruto risico/ inherente risico, nadat er beheersmaatregelen (control measures) genomen zijn voor deze risico’s, blijven we over met netto risico (residual risk). Voorbeeld: Je weet dat het risico bestaat dat al je klanten naar de concurrent zullen gaan omdat jouw apparatuur veroudert is en dus de productie vertraagt (bruto risico), door beheersmaatregelen te nemen zoals; het vernieuwen van je apparatuur d.m.v. vervanging of leasing, is de kans/risico dat je klanten weglopen kleiner geworden (voor dit risico specifiek), dit is het netto risico. Eerder werd er al gezegd dat een risico zowel positief als negatief kan zijn. Bij het woord “risico” denkt men vaak dat het iets negatiefs is. We weten ook dat risico’s er altijd zullen zijn, en dat deze soms ook positief kunnen zijn dus. Er zijn dus veel bedrijven die bewust risico’s nemen (ze wagen een gok om zo meer terug te krijgen dan wat ze erin steken), in de hoop dat het positieve gevolgen heeft. Positieve risico’s noemen we kansen en negatieve risico’s noemen we bedreigingen. Andere benamingen voor positief en negatief is: Dynamisch risico; ook wel speculatief , dit is dus de gok, een risico die zowel positief als negatief kan uitpakken. Statisch risico; ook wel zuiver risico genoemd. Hierbij kan het resultaat slechts negatief uitvallen. Risico betekent dus niet gelijk een negatief gevolg, het wil alleen maar zeggen dat er een onzekerheid is in de toekomst. Het managen van risico wil dus ook niet automatisch zeggen dat je je risico’s minimaliseert, het betekent vaak dat er gezocht wordt naar het optimaliseren van het niveau van onzekerheid. Worden er kansen ontdekt, dan worden deze ingebracht in het strategisch plannenproces van de organisatie. Worden er bedreigingen ontdekt, dan worden altijd alle stappen van het “risicomanagementproces” doorlopen. Bij het formuleren van de doelstellingen en bedreigingen, is het de bedoeling dat men, zoveel mogelijk voldoet aan de SMART eisen. Door doelstellingen SMART te formuleren, is duidelijk te achterhalen wat het “specifieke” doel is, hoe dit getoetst kan worden en binnen welk tijdsbestek gerealiseerd moet worden. HOOFDSTUK 2 Risicomanagementproces De stappen uit het risicomanagementproces en het COSO-raamwerk kunnen beschrijven. Risicomanagementproces is te onderscheiden in 6 stappen die achter elkaar uitgevoerd dienen te worden. Na de 6e stap wordt het proces niet beëindigd, maar begint het proces weer opnieuw. (Zie volgende blz) 1. Doelstelling 2. Risico’s 3. Inschatting (kans/gevolg) 4. Beoordeling (effect op de doelstelling) 5. Beheersing (reactie/maatregelen) 6. Monitoring 1. Doelstelling lOMoARcPSD| 1 e stap is altijd het bepalen van de doelstelling die behaald moet worden. Zonder dit is de rest gewoon niet uit te voeren. Vaak komt een doelstelling voort uit de interne omgeving. 2. Risico’s Hier worden de mogelijke gebeurtenissen met de gevolgen geïdentificeerd. 3. Inschatting In deze stap wordt de kans van optreden (waarschijnlijkheid) van het risico en de mogelijke gevolgen van het risico op de doelstelling ingeschat. 4. Beoordeling Hier beoordeelt degene die verantwoordelijk is voor het behalen van de doelstelling, of het mogelijk effect (de grootte van de kans op financiële schade) van de risico’s acceptabel is. 5. Beheersing Indien het effect niet acceptabel is, wordt een passende reactie op het risico geformuleerd en kunnen maatregelen tegen het risico worden genomen. 6. Monitoring Is de doelstelling bereikt? Zijn de maatregelen nog effectief en in welke richting de risico’s zich hebben ontwikkeld. Dit proces wordt na de 6e stap weer opnieuw gestart bij stap 1. Deze procescirkels kunnen continu worden doorlopen of eens in een bepaalde periode. Voorheen hadden we het over dat risico als 1 geheel moet gezien worden door organisaties, 1 van de redenen hiervan is als je ze zou opsplitsen naar afdeling of risicotype, dat je op 1 afdeling wel een risico beheerst, maar dat er een ander (misschien zelfs groter) risico zou ontstaan op een andere afdeling. Daarom wordt risicomanagement steeds meer organisatie breed toegepast. Daarbij wordt het gezamenlijk effect van alle organisatierisico’s op de doelstelling beoordeeld. Dit heet organisatierisicomanagement, ook wel Ondernemingsrisicomanagement of een bekende term: Enterprise Risk Management (ERM) Omdat een organisatie haar strategische plannen voor de toekomst maakt, loop je automatisch tegen risico’s aan vanwege toekomstige onzekerheden. Dit legt de link tussen risicomanagementproces en strategische planningsproces. Strategisch planningsproces bestaat uit:  Missie; wat is de reden van bestaan van een organisatie  Visie; welke toekomstige rol ziet men weggelegd/waar willen we heen uiteindelijk  Organisatiedoelstelling; wat wil je met deze rol/visie bereiken  Strategie; op welke manier ga je dit doen De strategie die wordt gekozen, vertaalt zich in bv strategische doelstellingen die dan weer worden vertaalt naar operationele doelstellingen. Bij elk van de 4 punten, kan er een doelstelling worden lOMoARcPSD| gevormd en elke van deze doelstellingen kan worden gebruikt als uitgangspunt voor het risicomanagementproces. (De missie doelstelling kan worden toegepast op alle 6 de stappen in het risicomanagementproces, en ook de visie en organisatie en strategie) COSO-raamwerk COSO is een afkorting voor “The Committee of Sponsoring Organizations of the Treadway Commission”. Het toepassen van risicomanagementproces op de gehele onderneming, heeft als doel om risico’s te managen binnen de “risicoacceptiegraad” van de onderneming, dit biedt hun enige zekerheid over hoe groot de (financiële) schade zal zijn en hoe waarschijnlijk het is dat het gebeurt. COSO is ontstaan vanwege vele boekhoudschandalen en fraudegevallen in de jaren 80 en 90. COSO is er voor bedoelt om je aanbevelingen en richtlijnen te geven ten aanzien van interne controle en beheersing. Het geeft organisaties een uniforme wijze voor het uitvoeren van interne controle en om het management te ondersteunen bij de controle op interne controlesystemen. Tegenwoordig richt COSO zich nu op het gehele interne beheersingssysteem. Dit heet nu COSO II, of zoals eerder genoemd ERM. Interne beheersing wordt gedefinieerd als: “Een duidelijke gedefinieerd proces, uitgevoerd door de directie, management en medewerkers van een organisatie met als doel een aanvaardbare mate van zekerheid te krijgen rond het bereiken van doelstellingen in de volgende categorieën:  De effectiviteit en efficiëntie van bedrijfsprocessen  De betrouwbaarheid van de financiële informatievoorziening  De naleving van de relevante wet en regelgeving Vermelde mate van zekerheid rondom het behalen van de doelstelling kan gesplitst worden in het volgende (de bovenkant van het raamwerk)  Strategic  Operational  Reporting  Compliance Strategic; Het behalen en bereiken van de strategische doelstellingen Operational; Deze worden weer vertaald naar operationele bedrijfsprocessen die de effectiviteit en efficiëntie verhogen Reporting; De betrouwbaarheid van de financiële informatievoorziening Compliance; Hoe worden de wet en regelgeving nageleefd lOMoARcPSD| De voorkant van het raamwerk staat in principe de 6 stappen van het risicomanagementproces afgebeeld. De bovenkant geeft weer de verschillende niveaus waarop het proces toegepast kan worden. De zijkant geeft weer dat het proces ook door verschillende groepen binnen een organisatie toegepast kan worden. HOOFDSTUK 3 Interne omgeving en doelstellingen Leerdoel: het kunnen beschrijven van de interne omgeving en het kunnen bepalen van doelstellingen Interne omgeving; Het begint allemaal bij de interne omgeving van een organisatie, hier moeten ze de missie, visie en kernwaarden kunnen vertalen naar een filosofie ten aanzien van risicomanagement. Belangrijke aspecten zijn de interne organisatie en de wijze waarop het bestuur toezicht houdt op het proces. Belangrijk om te weten bij het nemen van risico, is in welke mate een organisatie bereid is een risico te nemen. Dat wil zeggen de hoeveelheid van risico, zo kan je namelijk ook vaststellen hoeveel verlies/schade je kan en wil accepteren. (risico acceptiegraad/risk appetite) Risico acceptiegraad; de mate van risico op een breed niveau, die de organisatie bereid is te accepteren in het nastreven van waarde, missie en visie. Daarnaast moet men ook kijken naar risicotolerantie; de bereidheid voor het aannemen van een risico.  dit noemen we een riskmap/risicomatrix Door verschillende kleuren wordt aangegeven welk gebied binnen en buiten de risico acceptatiegraad valt. Zo kunnen inzien welke waarschijnlijkheid/kans een gevolg heeft en of deze wel of niet accceptabel is. Op de X-as worden de gevolgen afgebeeld, dit vaak in de vorm van financiële termen/geldbedragen. Op basis van de interne omgeving, stelt men doelstellingen op, dit wordt in het risicomanagementproces aangegeven als de 1e stap. (Zonder doelstellingen heb je geen risico etc etc) Doelstellingen kunnen worden weergegeven als kritische succesfactoren (KSF). Dit wordt vaak omschreven als een kenmerk essentieel voor het succes van een organisatie. We kunnen 4 verschillende KSF onderscheiden (deze zijn van oorsprong van de balanced scorecard (BSC):  Financieel; bijv. groeien, overleven in financiële termen  Klant; bijv. vergroten van serviceniveau, aanbieden concurrent tarief  Interne processen; bijv. optimaliseren, kostenniveau, optimaliseren van productie  Innovatie en lerend vermogen; bijv. versterken van marktpositie, verbeteren van “time to market” van een nieuw product Bovenstaande 4 KSF dienen gemeten te worden aan de hand van 1 of meerdere Kritische prestatieindicatoren (KPI)/Key performance indicators. Bijv. KSF = Groeien  KPI = nettowinst/omzet