Risicomanagement voor bestuurders en toezichthouders

1. Introductie 15

DEEL 1: BASISINZICHTEN VOOR BESTUURDERS EN TOEZICHTHOUDERS 19
2. Risicomanagement – een algemeen overzicht 21
2.1 Definities van het begrip ‘risico’ 21
2.2 Basisproces risicomanagement 22
2.3 Relatie tussen risico en rendement 24
2.4 Governance van risicomanagement 25
2.4.1 Three lines of defence-model 25
2.4.2 Uitdagingen bij het toepassen van het three lines of defence-model 27
2.4.3 Rol van de interne toezichthouder 27
2.5 Risicomanagement volwassenheidsniveaus 29

3. Risicomanagement in de planning- en controlcyclus 33
3.1 Risicomanagement op drie verschillende niveaus 33
3.2 Risicomanagement borgen in de planning- en controlcyclus 35
3.3 In control statement 38

4. Risico’s identificeren en analyseren 41
4.1 Risicoraamwerk 41
4.2 Methoden voor het identificeren van risico’s 43
4.3 Analyseren van risico’s 45
4.3.1 Kwalitatieve methoden 46
4.3.2 Kwantitatieve methoden 48

5. Risico’s evalueren en behandelen 51
5.1 Risicobereidheid 51
5.1.1 Risicofilosofie 52
5.1.2 Strepen in het zand trekken 53
5.1.3 Toepassen van risicobereidheid op de begroting, investeringsbeslissingen en strategische beslissingen 55
5.2 Risicoreacties 57
5.3 Beheersmaatregelen treffen 59
5.3.1 Typologie van maatregelen volgens BIV/AO 59
5.3.2 Typologie van maatregelen volgens Simons’ levers of control 60
5.3 Risk & control framework 61
5.4 Signalen voor onvoldoende risicobeheersing 63

6. Risico’s monitoren en beoordelen 65
6.1 Permanente monitoring met indicatoren 65
6.2 Separate evaluaties/audits 68

7. Risico’s communiceren en rapporteren 71
7.1 Risicomanagement in de kwartaalrapportage aan de RvC 71
7.2 Risicomanagement in het bestuursverslag 72
7.3 In-control statement 73

8. Risicocultuur en soft controls in organisaties 77
8.1 Het begrip risicocultuur 77
8.2 Hard controls en soft controls 78
8.3 Aandacht voor risicocultuur en soft controls groeit 80
8.4 Model om risicocultuur inzichtelijk te maken 81
8.4.1 Leiderschap 83
8.4.2 Beleidskaders 84
8.4.3 Medewerkers 85
8.4.4 Inzicht en besluitvorming 85
8.4.5 Organisatie 86
8.5 Risicocultuur beïnvloeden 87

9. De psychologie van het nemen van risico’s 89
9.1 Persoonlijke risicobereidheid 89
9.2 Risicoperceptie 90
9.3 Risicoattitude 97
9.4 Relevantie voor bestuurders en commissarissen 97
9.5 Risico’s in besluitvorming verminderen 98

DEEL 2: VERDIEPENDE INZICHTEN VOOR BESTUURDERS EN LEDEN VAN DE AUDITCOMMISSIE 101
10. Risicomanagementmodellen 103
10.1 NEN-ISO 31000 Risicomanagement 103
10.2 COSO Enterprise Risk Management 106

11. Uitdagingen in het three lines of defence-governancemodel 109
11.1 Zuivere splitsing ‘three lines of defence’ 109
11.2 Recente kritiek op 3LoD 113

12. Risicocategorieën en risicoanalysetechnieken 115
12.1 Strategie 115
12.1.1 Model van Porter 116
12.1.2 DESTEP-model 118
12.2 Operationele activiteiten 119
12.2.1 Frauderisico 121
12.2.2 Klanten, producten en marktbenadering 126
12.2.3 Medewerkers en veiligheid op de werkvloer 126
12.2.4 Schade aan bedrijfsmiddelen 127
12.2.5 Bedrijfsonderbreking en systeemfalen 128
12.2.6 Uitvoeringsfouten en procesbeheersing 136
12.3 Financiële positie 140
12.4 Financiële verslaggeving 145
12.5 Wet- en regelgeving 146
12.6 Reputatierisico 148

13. Methoden om risico’s te analyseren 151
13.1 Kwalitatieve methoden 151
13.2 Kwantitatieve methoden 155

14. Mitigeren van risico’s bij belangrijke investeringsbesluiten 159
14.1 Factoren in een afwegingskader 159
14.2 Praktisch invulling geven aan het afwegingskader 161
14.3 Toepassen van het afwegingskader 166

Gebruikte afkortingen 167
Literatuur en bronnen 169
Over de auteurs 173