Risk Reporting

In de afgelopen columns hebben we een aantal risicogebeurtenissen belicht. Soms heb ik daarbij aangegeven dat de gebeurtenis wellicht voorkomen had kunnen worden met goed risicomanagement. Het is daarbij erg belangrijk dat de rapportages van managers een sectie bevatten voor risicomanagement. In deze sectie zouden een aantal risico-indicatoren moeten worden opgenomen, die iets zeggen over de afdeling of de processen waar de manager verantwoordelijk voor is. Zo kan de manager proberen om risicogebeurtenissen of de schadelijke effecten daarvan te vermijden. Ook krijgt hij meer gevoel bij het risicoprofiel van zijn organisatie-eenheid.

Bepalen van risico-indicatoren

Voor het bepalen een effectieve risico-indicator zijn de volgende eigenschappen van belang:

• de gebruikte data moet de juiste data zijn om het risico te meten
• er moet een drempelwaarde worden gedefinieerd, gaat de indicator daar overheen dan moet er alarm geslagen worden
• het alarm moet tijdig geslagen worden, zodat er nog reactietijd is
• het moet eenvoudig te herkennen zijn dat de risico-indicator op dit moment werkzaam is (b.v. knipperende lampje op de rookmelder)
• de kunst van het weglaten: bepaal op basis van het risicoprofiel waar de indicatoren het best ingezet kunnen worden

Met name het kunnen herkennen dat de risico-indicator nog werkzaam is levert vaak problemen op. Onlangs kwam nog aan het licht dat delen van het Tsunamiwaarschuwingssysteem bij Indonesië helemaal niet werkten omdat vissers enkele onderdelen hadden gestolen. De gevolgen hadden nog veel erger kunnen zijn dan ze nu waren. Verder is het erg belangrijk dat de indicatoren goed verdeeld zijn over de veroorzakers en de werkelijke gebeurtenissen. Naar analogie van de tsunami: de aardbeving en de tsunami. Als je de aardbeving op tijd registreert dan kun je mensen nog op tijd waarschuwen om bij de kust weg te gaan. Maar als je de tsunami ziet dan ben je meestal te laat. Toch kun je dan nog wel ingrijpen om de schade zoveel mogelijk te beperken.

In uw organisatie

Als uw organisatie al gebruik maakt van risicomanagement dan kunt u proberen om een deel van het dashboard van elke manager vrij te maken voor de risicosectie. In enkele sessies kunt u de juiste risico-indicatoren bepalen, ze implementeren en vervolgens evalueren. Maar als er nog niets met risicomanagement wordt gedaan dan verdient het de aanbeveling om eerst wat te werken aan het risicobewustzijn, de risk appetite (hoeveel risico willen we lopen?) en een risicoprofiel.