Hoe richt je risicomanagement in? top down versus bottom up

Een vraag: hoe zorg je ervoor dat de strategische risico’s een match hebben met het bottom-up profiel?  Dit klinkt bedrieglijk simpel, maar in de praktijk blijkt dit toch best lastig te zijn. Het allerbeste is dit met een voorbeeld te illustreren.

Help geen strategie en dus geen structuur?

Bij een recente opdracht zijn we gestart met een brede risicoanalyse bottom-up.  Het probleem was wel dat er op dit moment werd gewerkt aan een nieuwe strategie en er geen goede doelstellingen waren om de risico’s aan op te hangen.

Na een plenaire introductie werd per afdeling gewerkt. Dit gebeurde aan de hand van een aantal context vragen zoals: Waarin wil je succesvol zijn? Wie en wat heb je daar voor nodig? Er werd volop gebrainstormd. Hieruit destilleerden we uiteindelijk een aantal relevante risico’s, die ook gelijk werden ingevoerd in onze risicomanagement software Naris. Het resultaat aan het einde van de dag was een prima integraal  risicoprofiel van zo’n 130 risico’s.

Deze risico’s werden vervolgens tot 30 key risks geclusterd en dit werd gepresenteerd aan de directie. Om een lang verhaal kort te maken: deze waren not amused. Ze misten een framework en herkenden zich onvoldoende in de wat globale risico’s. En eerlijk gezegd kon ik me daar goed in vinden. Maar hoe nu verder?

Hoe verder?

Allereerst zijn we met de opdrachtgever op zoek gegaan naar andere sturingsdocumenten. En gelukkig; er bestond wel een stroomschema van hun waardeketen. Hier konden we een risico-strategiekaart (zie onderaan voorbeeld) van maken om daar vervolgens de risico’s aan op te hangen (stap 1). Voor de directie was dus een eerste slag gemaakt. Maar om het echt in de organisatie te laten leven moest er meer gebeuren.  De waardeketen moest eerst vertaald worden naar afdelingsdoelen, waar op gestuurd kan worden (stap 2). Hierna konden ook  de eerder  decentraal opgehaalde risico’s  aan deze afdelingsdoelstelling worden gekoppeld (stap 3).

Lessen geleerd:

  • Zorg dat je altijd risico’s koppelt aan strategie, en als die er niet is aan waardeketen, of waarden. Er bestaat altijd iets van sturing in elke organisatie.
  • Pas op met het samenvoegen van risico’s tot globale risico’s, ze worden vaak wollig en daardoor minder herkenbaar.

Meer informatie over onze aanpak en tooling ? bel me of stuur een app…. 06 43259786

 

Share on linkedin
LinkedIn
Share on twitter
Twitter
Share on facebook
Facebook
Share on email
Email
Share on print
Print

In het kort:

Over de auteur
Over de auteur

Robert ’t Hart is directeur van Naris. Hij is een veel gevraagde spreker op congressen vanwege zijn positieve kijk op het onderwerp risicomanagement. Daarnaast is hij een enthousiaste blogger over de nieuwste ontwikkelingen. Als docent is Robert verbonden aan de Universiteit Twente en Haagse Hogeschool en tevens is hij trainer aan de Naris Risk Academy. Hij is thuis op het gebied van governance en risicomanagement en helpt organisaties bij het daadwerkelijk implementeren daarvan. Risico-cultuur en het creëren van draagvlak behoort tot zijn expertise.

Meer artikelen: