De cyclus van risicomanagement voltooien

Uit het meest recente ViewPoint-onderzoek van DNV blijkt dat veel organisaties een basis leggen voor risicogebaseerde besluitvorming in hun managementsystemen. ISO-normen bevatten eisen om risico’s en kansen te beheren. Zeven op de tien respondenten geven aan dat deze eisen een aanzienlijke of fundamentele bijdrage leveren aan de risicomanagementcultuur van de organisatie.

Tegelijkertijd zegt slechts 18% van de respondenten dat risicomanagement volledig is geïntegreerd in de strategische en operationele besluitvorming. Dit biedt organisaties kansen om informatie over risicobeheer toe te passen in de volledige besluitvormingscyclus.

Is de basis al aanwezig?

Risicogebaseerd denken vormt een onderdeel van de ISO-normen voor managementsysteemcertificeringen. Van organisaties wordt verwacht dat zij rekening houden met hun context, relevante risico’s en kansen identificeren. Deze worden vervolgens omgezet in actie en de resultaten worden gebruikt om de continue verbetering te ondersteunen.

In ISO-normen zoals ISO 9001 (kwaliteit), ISO 14001 (milieu) en ISO 45001 (gezondheid en veiligheid op het werk), beschrijft paragraaf 6.1 de maatregelen die genomen worden om risico’s en kansen te beheersen. Deze paragraaf beschrijft de eisen voor het identificeren van relevante risico’s en kansen en het plannen van maatregelen om hiermee om te gaan. Risicomanagement gaat verder dan het bijhouden van een risicoregister. Het betekent dat risico’s onderdeel zijn van de planning en bedrijfsvoering, dat passende maatregelen worden genomen en dat we beoordelen of deze maatregelen effectief zijn.

ISO 31000, de internationale norm die richtlijnen biedt voor risicomanagement, kan specifieke normen voor managementsystemen aanvullen met een explicieter kader voor het identificeren, beheren, beperken en monitoren van risico’s.

Wat auditbevindingen vertellen

Auditbevindingen uit DNV's benchmarktool Lumina tonen waar organisaties het vaakst tegenaan lopen bij het in praktijk brengen van de eisen. De meest voorkomende bevindingen verschillen per norm.

• Voor ISO 9001 heeft ongeveer een derde van de geanalyseerde afwijkingen op clausule 6.1 betrekking op ontoereikende plannen of maatregelen om risico’s en kansen aan te pakken.
• Voor ISO 14001 hebben de meest voorkomende bevindingen betrekking op nalevingsverplichtingen en het identificeren van milieuaspecten en -effecten.
• Bij ISO 45001 houdt meer dan een kwart van de bevindingen verband met processen voor gevarenidentificatie en risicobeoordeling waarin relevante activiteiten, functies of locaties onvoldoende worden meegenomen.

De onderliggende oorzaken komen meer overeen. Over alle drie de normen heen houdt ongeveer vier op de tien afwijkingen verband met onvoldoende begrip van of bewustzijn van de eisen. Daarnaast hangt ongeveer één op de vijf samen met problemen bij het begrijpen of volgen van procedures.

De corrigerende maatregelen wijzen in een vergelijkbare richting: processen voor het identificeren en aanpakken van risico’s versterken, de identificatie van gevaren of milieurisico’s waar relevant verbeteren, en ervoor zorgen dat verantwoordelijken zowel de eisen als de bijbehorende procedures begrijpen.

Dit suggereert dat de prioriteit niet simpelweg bij meer documentatie moet liggen. Organisaties moeten de eisen begrijpen, de relevante risico’s en kansen identificeren, deze vertalen naar passende maatregelen en nagaan of die maatregelen werken.

De cyclus voltooien in de praktijk

De Plan-Do-Check-Act (PDCA) cyclus biedt een praktische manier om de verschillende fases van risicomanagement met elkaar te verbinden.

• In de Plan-fase identificeren organisaties risico’s en kansen en stellen ze passende maatregelen vast.
• In de Do-fase worden die maatregelen geïmplementeerd en worden verantwoordelijkheden in de praktijk gebracht.
• In de Check-fase monitoren organisaties de resultaten, herzien ze de risico’s en evalueren ze of de genomen maatregelen effectief zijn.
• In de Act-fase gebruiken organisaties de opgedane inzichten om de controles aan te passen, tekortkomingen aan te pakken en de aanpak te verbeteren.

Dit is vooral relevant in het licht van de bevindingen van ViewPoint. Organisaties melden een sterkere structuur bij identificatie en analyse dan bij herbeoordeling, monitoring en rapportage. Juist in deze latere fasen zijn het evalueren van de effectiviteit en het leren van de resultaten cruciaal.

Het voltooien van de PDCA-cyclus vereist daarom niet per se extra documentatie. De kans ligt in het sluiten van de cyclus binnen het managementsysteem: risico’s en kansen vertalen van planning naar praktijk, de effectiviteit evalueren en de resultaten benutten voor continue verbetering en betere bedrijfsbeslissingen.

Hoe een meer gestructureerde aanpak eruitziet

Leiders – organisaties die in het onderzoek aangeven gedurende het hele proces een zeer goed gestructureerde aanpak te hanteren – integreren risicomanagement aanzienlijk vaker in hun besluitvorming.

Zij melden ook in veel grotere mate voordelen zoals verbeterde naleving, betere besluitvorming en grotere veerkracht en continuïteit. Organisaties met een hogere mate van volwassenheid op het gebied van risicomanagement lijken te vertrouwen op verschillende elementen om effectief risicobeheer toe te passen:

• Managementsystemen bieden structuur en een gemeenschappelijke taal.
• Competente medewerkers passen risicogebaseerd denken in de praktijk toe.
• Assurance-activiteiten bieden onafhankelijk inzicht in de implementatie en effectiviteit.
• Digitale hulpmiddelen kunnen verantwoordelijkheden, traceerbaarheid, monitoring en opvolging ondersteunen.

Wanneer deze elementen op elkaar worden afgestemd, zijn organisaties beter in staat om vereisten te koppelen aan beter onderbouwde beslissingen.