Risicomanagement in de praktijk.NCD.16.3.2017.v2.pptx

RISICOMANAGEMENT IN DE PRAKTIJK
16-3-2017
Michel Kee | 10e Nationale Dag van Commissarissen en Toezichthouders | Doorn
Discussie over hoe
risicomanagement
waardevol vorm te
geven aan de hand van
praktijkvoorbeelden
1
PERSOONLIJKE INTRODUCTIE
Michel Kee RA
• Partner Mazars / Governance, Risk
& Internal Control praktijk (heden)
• Verantwoordelijk voor internal audit
bij internationale bedrijven:
Heineken/9 jaar, TNT/4 jaar en
Orpic/Oman/3 jaar (2001 – 2016)
• KPMG/ accountancy en advies
praktijk (1984 – 2000)
• 5 jaar bestuurslid van Instituut van
Internal Auditors (IIA), waarvan 3
jaar voorzitter (2010 – 2014)
• Voorzitter Raad van Advies IIA
(heden)
2
15-3-2017
GROEP INTRODUCTIE
Graag even de handen in de lucht
• Publieke sector?
• Private sector?
• Commissaris of Toezichthouder?
• 3 jaar of minder in rol?
• 5 jaar of langer in rol?
3
15-3-2017
SCHETSEN CONTEXT
Wat speelt er voor Commissarissen en Toezichthouders?
• Diversiteit
• Cultuur, ethiek en gedrag
• Beloning senior management
• Aanpassingsvermogen van
organisaties
• Meer regelgeving
• Aansprakelijkheid
• …
4
15-3-2017
VRAAG VOOR DE GROEP
Even stemmen
Oneens
Eens
De herziene Corporate
Governance Code is niet
relevant voor mij
15-3-2017
STAKEHOLDERS PERSPECTIEF
Stakeholders vragen om versterking van risicobeheersing en cultuur
• Corporate governance codes
 Herziene Nederlandse Corporate
Governance Code
 Code Banken en Code Verzekeraars
 Branch-specifieke governance codes
in (semi) publieke sector
• Commissarissen/toezichthouder,
in het bijzonder Audit Commissies
• Credit rating, investeerders
en banken
6
15-3-2017
MANAGEMENT PERSPECTIEF
Effectief risicomanagement nodig om succesvol te zijn
• Ondernemerschap heeft natuurlijke focus op kansen
met impliciete aandacht voor risico’s
• Meer gestructureerde/expliciete risicobenadering nodig
door toenemend risicoprofiel:
 Groei en meer spreiding van business, ook internationaal
 Meer afhankelijkheden door partnerships
 Regels/boetes/reputatieschade
 Organisatieveranderingen volgen elkaar op
 Opkomende risico’s (cyber security)
• Perceptie is dat risicomanagement een dure
compliance exercitie is
• Vraag is hoe het van meerwaarde kan zijn?
7
15-3-2017
CONCRETE PRAKTIJKVOORBEELDEN
‘Van Wat naar Hoe’ - 7 bouwstenen van risicomanagement *
8
1
Risicocultuur
2
Risicomanagementproces
3
Risicobereidheid
4
Oorzaak en gevolg analyse
5
Ontdekken risico’s
6
Performance management
7
Continuïteit operatie
* Referentie: RIMS Risk Management Maturity Model
15-3-2017
VRAAG VOOR DE GROEP
Even stemmen
Oneens
Eens
Management moet vooral
het goede voorbeeld geven
over risicomanagement en
interne beheersing
15-3-2017
1
RISICOCULTUUR
10
• Gedragscode is alleen stuk papier,
klokkenluider in nek aangekeken
• Gedragscode leeft, ethiek zit in dna,
klokkenluider beschermd
• CFO twee handen op één buik met
opportunistische CEO
• Goede balans in Management Team
voor gecontroleerde groei
• Afrekencultuur, problemen blijven onder
de pet
• Open en transparant, lerende
organisatie
• Finance op het tweede plan; de
commercie voert de boventoon
• Finance heeft gewicht en is goede
sparring partner
• Manager serieus gefraudeerd, maar blijft
in dienst omdat hij commercieel goed is
• Zero-tolerance voor fraudeurs, ethische
waarden staan hoog in het vaandel
15-3-2017
VRAAG VOOR DE GROEP
Even stemmen
Oneens
Eens
Onze dialoog met
management over de
belangrijkste risico’s is
onvoldoende
15-3-2017
2
RISICOMANAGEMENTPROCES
12
• Organisatie werkt in silo’s
• Samenwerking van functies met focus
op effectieve procesgang
• Specialisten verantwoordelijk voor
risicomanagement/interne beheersing
• Business management pro actief met
managen risico’s/interne beheersing
• Ongestructureerd, ad hoc, informele en
geïsoleerde activiteit
• Gestructureerd, continue, geïntegreerd
en geformaliseerd proces
• Top 10 risico update voor jaarverslag
opgesteld door controller alleen
• Top 10 risico update discussie per
kwartaal in MT, met input uit organisatie
• Geen risicobeoordeling bij grote
projecten
• Risicobeoordeling en monitoring
onderdeel van project-aanpak
15-3-2017
3
RISICOBEREIDHEID
• Geen gesprek over risicobereidheid, is
moeilijk en blijft impliciet
• Risicobereidheid helder gedefinieerd en
gecommuniceerd
• Besluitvorming op buikgevoel
• Besluitvorming op basis van goede
risico (en kansen) afweging
• Angst, alles dichttimmeren, bureaucratie
• Gecalculeerd risico voor optimaal lange
termijn succes
• ‘Zero-tolerance’ voor veiligheidsrisico’s
• In scenario’s denken
13
15-3-2017
4
OORZAAK EN GEVOLGANALYSE
14
• Kop in het zand steken bij debacles en
problemen
• Managers en medewerkers geven
elkaar feedback en willen leren
• Bij problemen worden symptomen
bestreden, niet de oorzaken
• Lessen trekken uit debacles/problemen
op basis van oorzaak/gevolg analyse
• Analyse blijft aan de oppervlakte, richt
zich op de harde kant (systeem/proces)
• Analyse met goede diepgang (5Why’s)
en dekt ook de zachte kant (cultuur)
• Weinig kritisch vermogen in organisatie
• Kritisch, analytisch, objectief en
teamwerk
• Geen evaluatie na afloop projecten
• Evaluatie na afloop projecten / wat kan
volgende keer beter?
15-3-2017
VRAAG VOOR DE GROEP
Even stemmen
Oneens
Eens
Wij ontvangen goede
rapportages over de
belangrijkste risico’s
15-3-2017
5
ONTDEKKEN RISICO’S
16
• Management wordt geconfronteerd met
risico’s/issues; leed is al geleden
• Management anticipeert op mogelijke
risico’s en heeft minder verassingen
• Geen inzicht in proceskwaliteit en
klanttevredenheid
• Reguliere monitoring van proceskwaliteit
en klanttevredenheid
• Geen onafhankelijke/objectieve
assessments/audits
• Audits/assessments voor verbeterslagen
en om ‘in control’ te blijven
• Performance contract is eenzijdig
gericht om groei/commercie
• Performance contract is in balans, met
oog voor processen en kwaliteit
• Geen oog voor data
• Data analyse ingezet voor opsporen
knelpunten/leemtes in processen
15-3-2017
6
PERFORMANCE MANAGEMENT
17
• Organisatiedoelstellingen zijn niet helder
geformuleerd
• Doelstellingen, KPIs en targets zijn
helder en basis voor risicobeoordeling
• Plannen/KPIs niet aangesloten
• Plannen/KPIs aangesloten/geïntegreerd
• Gebrek aan eigenaarschap
• Eigenaarschap helder, inclusief risico’s
• Business plan zonder risicoparagraaf
• Risicobeoordeling geïntegreerd in
business plan
• Risico niet op agenda tijdens MT
bespreking van kwartaalresultaat
• Risico’s en responses op de agenda
tijdens MT bespreking kwartaalresultaat
15-3-2017
7
CONTINUÏTEIT OPERATIE
18
• Geen geïntegreerd plan voor bewaken
continuïteit van de bedrijfsvoering
• Continuïteitsrisico’s zijn bekend,
maatregelen getroffen en bewaakt
• Bij een crisis ontbreekt het bij
management aan een goed overzicht
• Management team voorbereid om een
crisis te bezweren
15-3-2017
RISICOMANAGEMENT IN DE PRAKTIJK
16-3-2017
Michel Kee | 10e Nationale Dag van Commissarissen en Toezichthouders | Doorn
Het was een
nuttige sessie?
Oneens
19
Eens