Risicomanagement voor bestuurders en toezichthouders

Voorwoord 7

Leeswijzer 9

1. Introductie 15

DEEL 1: BASISINZICHTEN VOOR BESTUURDERS EN TOEZICHTHOUDERS 19

2. Risicomanagement – een algemeen overzicht 21

2.1 Definities van het begrip ‘risico’ 21

2.2 Basisproces risicomanagement 22

2.3 Relatie tussen risico en rendement 24

2.4 Governance van risicomanagement 25

2.4.1 Three lines of defence-model 25

2.4.2 Uitdagingen bij het toepassen van het three lines of defence-model 27

2.4.3 Rol van de interne toezichthouder 27

2.5 Risicomanagement volwassenheidsniveaus 29

3. Risicomanagement in de planning- en controlcyclus 33

3.1 Risicomanagement op drie verschillende niveaus 33

3.2 Risicomanagement borgen in de planning- en controlcyclus 35

3.3 In control statement 38

4. Risico’s identificeren en analyseren 41

4.1 Risicoraamwerk 41

4.2 Methoden voor het identificeren van risico’s 43

4.3 Analyseren van risico’s 45

4.3.1 Kwalitatieve methoden 46

4.3.2 Kwantitatieve methoden 48

5. Risico’s evalueren en behandelen 51

5.1 Risicobereidheid 51

5.1.1 Risicofilosofie 52

5.1.2 Strepen in het zand trekken 53

5.1.3 Toepassen van risicobereidheid op de begroting, investeringsbeslissingen en strategische beslissingen 55

5.2 Risicoreacties 57

5.3 Beheersmaatregelen treffen 59

5.3.1 Typologie van maatregelen volgens BIV/AO 59

5.3.2 Typologie van maatregelen volgens Simons’ levers of control 60

5.3 Risk & control framework 61

5.4 Signalen voor onvoldoende risicobeheersing 63

6. Risico’s monitoren en beoordelen 65

6.1 Permanente monitoring met indicatoren 65

6.2 Separate evaluaties/audits 68

7. Risico’s communiceren en rapporteren 71

7.1 Risicomanagement in de kwartaalrapportage aan de RvC 71

7.2 Risicomanagement in het bestuursverslag 72

7.3 In-control statement 73

8. Risicocultuur en soft controls in organisaties 77

8.1 Het begrip risicocultuur 77

8.2 Hard controls en soft controls 78

8.3 Aandacht voor risicocultuur en soft controls groeit 80

8.4 Model om risicocultuur inzichtelijk te maken 81

8.4.1 Leiderschap 83

8.4.2 Beleidskaders 84

8.4.3 Medewerkers 85

8.4.4 Inzicht en besluitvorming 85

8.4.5 Organisatie 86

8.5 Risicocultuur beïnvloeden 87

9. De psychologie van het nemen van risico’s 89

9.1 Persoonlijke risicobereidheid 89

9.2 Risicoperceptie 90

9.3 Risicoattitude 97

9.4 Relevantie voor bestuurders en commissarissen 97

9.5 Risico’s in besluitvorming verminderen 98

DEEL 2: VERDIEPENDE INZICHTEN VOOR BESTUURDERS EN LEDEN VAN DE AUDITCOMMISSIE 101

10. Risicomanagementmodellen

10.1 NEN-ISO 31000 Risicomanagement 103

10.2 COSO Enterprise Risk Management 106

11. Uitdagingen in het three lines of defence-governancemodel

11.1 Zuivere splitsing ‘three lines of defence’ 109

11.2 Recente kritiek op 3LoD 113

12. Risicocategorieën en risicoanalysetechnieken

12.1 Strategie 115

12.1.1 Model van Porter 116

12.1.2 DESTEP-model 118

12.2 Operationele activiteiten 119

12.2.1 Frauderisico 121

12.2.2 Klanten, producten en marktbenadering 126

12.2.3 Medewerkers en veiligheid op de werkvloer 126

12.2.4 Schade aan bedrijfsmiddelen 127

12.2.5 Bedrijfsonderbreking en systeemfalen 128

12.2.6 Uitvoeringsfouten en procesbeheersing 136

12.3 Financiële positie 140

12.4 Financiële verslaggeving 145

12.5 Wet- en regelgeving 146

12.6 Reputatierisico 148

13. Methoden om risico’s te analyseren 151

13.1 Kwalitatieve methoden 151

13.2 Kwantitatieve methoden 155

14. Mitigeren van risico’s bij belangrijke investeringsbesluiten 159

14.1 Factoren in een afwegingskader 159

14.2 Praktisch invulling geven aan het afwegingskader 161

14.3 Toepassen van het afwegingskader 166

Gebruikte afkortingen 167

Literatuur en bronnen 169

Over de auteurs 173