Er ontstaan steeds meer nieuwe risico’s – blijft uw risicobeheer op peil?

Organisaties moeten nog steeds traditionele operationele risico’s beheren, maar deze overlappen in toenemende mate met risico’s die verband houden met toeleveringsketens, kunstmatige intelligentie (AI) en ESG.

Een faillissement van een leverancier kan de bedrijfscontinuïteit verstoren. AI kan risico’s met zich meebrengen op het gebied van informatiebeveiliging, gegevensbescherming, naleving van regelgeving, veiligheid en betrouwbaarheid. ESG-gerelateerde risico’s kunnen van invloed zijn op bedrijfsactiviteiten, toeleveringsketens, naleving van regelgeving en reputatie. Dit zijn geen op zichzelf staande kwesties; ze kunnen verschillende functies raken en elkaar versterken.

Risico’s staan niet op zichzelf

Naarmate risico’s opduiken en hoger op de agenda komen te staan, kan het moeilijker worden om ze te beheersen als ze elk als een afzonderlijk vakgebied worden behandeld. Als voor elk risicogebied een nieuw programma, een nieuwe commissie of een nieuw proces wordt bedacht, kan dit leiden tot versnippering van het toezicht, dubbel werk en overlappingen tussen verschillende functies.

Het ViewPoint-onderzoek wijst op een effectiever alternatief. Koplopers – organisaties die aangeven een zeer goed gestructureerde aanpak te hanteren in alle fasen van het risicobeheerproces – pakken een breder scala aan bestaande en opkomende risicogebieden aan. Dit wijst erop dat opkomende risico’s worden geïntegreerd in bestaande bestuurs- en beheerssystemen, in plaats van via parallelle systemen te worden aangepakt.

Dit is niet alleen een efficiëntere aanpak. Het zorgt ook voor een beter reputatiemanagement. Zo kan bijvoorbeeld een datalek, een milieu-incident of een slecht beheerde AI-toepassing het vertrouwen in de hele organisatie ondermijnen. Een geïntegreerde visie maakt het gemakkelijker om deze verbanden te zien, controles te coördineren en de organisatie als geheel te beschermen.

Voortbouwen op bestaande managementsystemen

Voor de meeste organisaties die al over een gecertificeerd managementsysteem beschikken, is een groot deel van de basis voor een geïntegreerde aanpak al aanwezig.

Managementsystemen op basis van internationale normen leggen processen vast voor het toewijzen van verantwoordelijkheden, het identificeren en beheren van risico’s en kansen, het monitoren van prestaties en het stimuleren van continue verbetering.

In het ViewPoint-rapport noemt 57% risicogerelateerde ISO-eisen als belangrijkste reden voor het invoeren van risicobeheerprocessen, waarmee dit de meest genoemde reden is. Zeven op de tien geven bovendien aan dat de eisen in de ISO-normen voor managementsystemen een belangrijke of fundamentele bijdrage leveren aan hun risico-managementcultuur.

Omdat ISO-normen voor managementsystemen een gemeenschappelijke structuur hebben, kunnen organisaties opkomende risico’s integreren in bestaande processen in plaats van helemaal opnieuw te beginnen.

Dit stelt hen in staat om hun governance-routines, controles, gegevens, hulpmiddelen en interne expertise te hergebruiken en tegelijkertijd verwante risicogebieden met elkaar te verbinden.

ISO/IEC 42001 biedt bijvoorbeeld een kader voor een managementsysteem voor kunstmatige intelligentie, terwijl ISO/IEC 27001 zich richt op informatiebeveiliging. In combinatie met andere relevante managementsystemen kunnen deze normen verantwoordelijkheden, controles en verbeteringsprocessen op elkaar afstemmen voor onderling afhankelijke risico’s.

AI laat zien waarom risicobeheer moet worden geïntegreerd

Uit het onderzoek blijkt dat 36% slechts af en toe rekening houdt met AI-gerelateerde risico’s, terwijl 33% deze helemaal niet meeneemt.

Tegelijkertijd laat het afzonderlijke ViewPoint-onderzoek van DNV, „Starting the Artificial Intelligence Journey“, zien hoe nauw AI-gerelateerde risico’s verbonden zijn met gevestigde disciplines.

Cybersecurity was het meest genoemde AI-gerelateerde risico: 50% van alle respondenten noemde dit, terwijl 61% van degenen die zich bezighouden met de implementatie van AI dit risico noemde. AI-risicobeheer kan daarom niet uitsluitend bij de IT-afdeling worden ondergebracht.

Afhankelijk van hoe AI wordt ingezet, kan dit gevolgen hebben voor cybersecurity, informatiebeveiliging, privacy, naleving van regelgeving, operationele betrouwbaarheid, veiligheid en de werknemers. Door deze aspecten gezamenlijk te beheren, kunnen organisaties afhankelijkheden in kaart brengen en tegenstrijdige of dubbele controlemaatregelen voorkomen.

Integratie zorgt voor duidelijkheid en veerkracht

Integratie betekent niet dat de verantwoordelijkheid vervaagt. Effectief bestuur blijft afhankelijk van een consistente risicoclassificatie, duidelijke verantwoordelijkheid, vastgestelde processen voor risicobeheersing en monitoring, en duidelijke criteria voor escalatie. Het integreren van een relevant managementsysteem dat is afgestemd op ISO-normen biedt een gemeenschappelijke structuur voor het toepassen van deze disciplines op zowel bestaande als opkomende risico’s.

Deze gemeenschappelijke structuur helpt organisaties versnipperd bestuur te voorkomen en een gedisciplineerde, herhaalbare aanpak toe te passen over functies en risicogebieden heen. Het stelt hen in staat voort te bouwen op bestaande competenties, beheersmaatregelen en verbeteringsprocessen, in plaats van telkens een apart kader te creëren wanneer er een nieuw risico ontstaat.

Onafhankelijke certificering door een derde partij versterkt deze basis door de zekerheid te bieden dat het managementsysteem voldoet aan erkende eisen en in de praktijk wordt toegepast. Het resultaat is niet alleen een beter beheer van de risico’s van vandaag, maar ook een veerkrachtige basis voor de toekomst.