RGP: Resilience belangrijk deel van risicomanagement
Dit artikel gaat over risicomanagement. Technische ontwikkelingen en maatschappelijke veranderingen accelereren. Hierdoor ontstaan steeds sneller nieuwe risico’s en kansen. Verder is een veel gehoorde vraag van het management: Hoe kan ik me wapenen tegen niet-geïdentificeerde risico’s, de zwarte zwanen? Een hoge frequentie van het risicomanagement proces, een grote detaillering van risico identificati e en het afdichten van alsmaar meer individuele risico’s lijkt niet afdoende. In dit artikel laten we zien dat een combinatie van het managen van individuele risico’s met het vergroten van de weerbaarheid van een organisatie tegen risico’s in het algemeen, de resilience, een beter antwoord is.
Snelleveranderingen en kortere respondsetijden
Producten en diensten veranderen steeds sneller. Soms zijn het kleine aanpassingen, maar steeds vaker wezenlijke verbeteringen waardoor bestaande producten en diensten direct verouderen. De maatschappij verandert snel onder invloed van technische innovaties, macro economische ontwikkelingen en demografische veranderingen. De communicatiemiddelen van de organisatie, medewerkers, concurrenten, toeleveranciers en klanten hebben de laatste jaren een grote ontwikkeling doorgemaakt. De afzetkanalen en markten hebben een andere dynamiek gekregen en zijn volatieler geworden.
Naast de kansen die deze snelle ontwikkelingen met zich meebrengen, ontstaan hierdoor ook steeds sneller nieuwe risico’s en kunnen “kanspercentages” van geïdentificeerde risico’s binnen een korte tijd significant vergroten of verkleinen. Het tijdig identificeren en waarderen van risico’s wordt steeds lastiger en de beschikbare tijd voor het (betaalbaar) afwentelen of anderszins mitigeren van risico’s wordt korter. Wanneer jij iets ziet aankomen zijn er anderen die dat ook al gesignaleerd hebben. Is er dan nog een mogelijkheid of betaalbare mogelijkheid om het risico te dichten? De snellere veranderingen werken echter ook andersom. Een risico met een hoog kanspercentage dat (tegen kosten) is gemitigeerd, kan morgen een zodanig laag kanspercentage hebben dat het niet afgedekt had hoeven worden. Hoe gaan we met deze sneller veranderende risico’s om?
Beperkingen van het risicomanagement proces
Even terug naar de basis van risicomanagement. Risicomanagement stoelt over het algemeen op goede governance (bijvoorbeeld de 3 layers of defence en risk committees), op het periodieke risicomanagement proces en het ontwikkelen of onderhouden van een risicobewuste cultuur in de gehele organisatie. De doelstelling van het periodieke risicomanagement proces is het identificeren van risico’s en de risico’s ontwijken of de gevolgen beperken wanneer zij groter zijn dan wat de organisatie wil accepteren (kanspercentage x impact).
Echter, hoe zinvol is het om steeds meer risico’s te identificeren, om frequenter de kansen van risico’s in te schatten, om meer scenario’s door te rekenen in actuariële modellen? Hoe zinvol is het om al deze risico’s te mitigeren? Kun je al deze risiesil
Resilence als element van risico management
Het periodieke risicomanagement proces is gericht op individuele risico’s of combinaties van individuele risico’s. Dit zal ook in de toekomst nodig blijven. Organisaties kunnen zich echter ook verweren tegen risico’s in het algemeen door hun resilience actief te managen.
Wat is resilience?
Resilience is de weerbaarheid van een organisatie die wordt bepaald door een combinatie van de flexibiliteit en het absorptievermogen van een organisatie. Bij flexibiliteit kun je denken aan de handelingssnelheid van het (top)management, tot korte doorlooptijden van het aanpassen van polisvoorwaarden. Het absorptievermogen bepaalt hoeveel klappen een organisatie kan incasseren. Het eigen vermogen, de liquiditeit, de aandeelhouderstructuur bepalen mede welke financiële klappen een organisatie kan incasseren. De weerbaarheid van medewerkers zal lager zijn in situaties van langdurige overbelasting of een ongezonde werkatmosfeer. Een grotere diversiteit aan producten, markten en klanten maakt de kwetsbaarheid op onderdelen kleiner.
Het drieluik strategie, risk appetite en resilience.
Het drieluik organisatiestrategie, risk appetite en resilience kan niet los van elkaar worden gezien. Het vergroten van de flexibiliteit en het absorpti evermogen van een organisatie is geen doel op zich. Dit moet aansluiten bij de organisatiestrategie en meer specifiek bij de risicomanagementstrategie van een organisatie.
Op de korte termijn kan niet voorbij worden gegaan aan de bestaande weerbaarheid van de organisatie. Bij de bepaling van de risk appetite en de strategie moet rekening worden gehouden met zaken als lopende contracten, de capaciteit van de medewerkers, bestaande computersystemen en productiestraten, de bestaande product- en klantbasis en de financiële situatie. Generaliserend kan worden gesteld dat naarmate de bestaande resilience van (onderdelen van) een organisatie groot is, het verantwoord is om (voor onderdelen) een groter risico appetite te nemen.
Voorbeeld 1: Het drieluik strategie, risk appetite en resilience
Een hightech onderneming heeft een strategie van technisch voorop blijven lopen in de markt. Voor verschillende onderdelen van haar organisatie maakt zij verschillende keuzes. Zij is bereidt een groot risico te lopen op R&D investeringen, maar wil tegelijkertijd weinig operati onele risico’s lopen. Om ook in economisch mindere tijden de grote R&D investeringen te kunnen voortzett en houdt zij een hoog eigen vermogen aan (absorpti evermogen). Zij creëert voor de productieorganisati e een hoge flexibiliteit door intensieve samenwerking met toeleveranciers en door medewerkers op een tijdelijke basis aan haar te binden. Bij het minimaliseren van de operationele risico’s maakt deze onderneming gebruik van het periodieke risicomanagement proces, het identificeren en mitigeren van de individuele operationele risico’s.
Hoe stuur je resilience actief?
Het absorptievermogen van een organisatie en de flexibiliteit van producten, processen, systemen en medewerkers mag dan op de korte termijn een gegeven zijn, resilience is wel degelijk te sturen. Door de verschillende componenten van resilience actief te sturen, kan resilience in de toekomst de strategie ondersteunen in plaats van beperken.
Hoofdcomponenten van resilience
Actief managen van resilience begint bij het bepalen van de concrete doelstelling voor flexibiliteit en voor het absorptievermogen op de verschillende componenten (zie figuur 2). Flexibele processen of robuuste processen? Product focus of productdiversiteit? Financiële weerbaarheid kan worden vergroot door bijvoorbeeld het inhouden van winstuitkering of het veranderen van de juridische structuur (organisati evorm) waardoor toegang tot de kapitaalmarkt wordt versneld. Implementatie van maatregelen heeft alleen kans van slagen wanneer vervolgens de negatieve gevolgen van de gemaakte keuzes, in dit voorbeeld de hogere kapitaalskosten, worden geaccepteerd. Mogelijk betaalt het zich in de toekomst uit wanneer een risico zich manifesteert. Daarnaast kan met een grotere resilience mogelijk bespaard worden op mitigerende maatregelen op geïdentificeerde individuele risico’s.
De urgentie van bepaalde veranderingen, eventuele bottlenecks en de doorlooptijd van veranderingen bepalen de prioritering en het stappenplan voor implementatie van resilience gerichte maatregelen. Zoals de strategie, is ook resilience niet statisch. Bij periodieke herziening van de strategie, zal ook de resilience doelstellingen moeten worden gereviewed.
Voorbeeld 2: Een investeringsafweging vanuit resilience perspectief
Een financiële organisatie maakt bij een investeringsbesluit een afweging tussen voordeligere vergaande automatisering versus een duurdere variant (een combinatie van automatisering en handmatig werk). Er worden geen aanpassingen in het productieproces voorzien, toch wordt gekozen voor de duurdere meer handmatige variant waarin eventuele in de toekomst gewenste aanpassingen eenvoudiger zijn door te voeren.
Samenvattend
Resilience is een geïntegreerd deel van risicomanagement. Organisaties doen er goed aan de verschillende componenten van resilience actief te managen in samenhang met hun strategie. Een bewust gekozen flexibiliteit en absorptievermogen maakt organisaties weerbaarder tegen zowel zwarte zwanen, te laat gesignaleerde veranderingen als tegen risico’s die gemitigeerd hadden moeten maar niet gemitigeerd bleken te zijn.
Een artikel van Maaike Hendriks, Practiceleader Finance & Control bij RGP, en Lucien Albers van der Linden, Client Service Director Financial Institutions bij RGP.