Risicomanagers worden door de rappe verspreiding van het coronavirus wereldwijd met de neus op de feiten gedrukt. Terwijl veel managers vooral bezig zijn met de essentie van het vak, hebben zij nauwelijks oog gehad voor de risico’s die er echt toe doen. ‘Penny wise, pound foolish’ noemen de Britten dat. Risicomanagers hebben in het algemeen zo hun voorkeuren voor het type risico dat ze het liefst aanpakken. Ook ik zet in mijn dagelijkse werk vooral in op dienstverlening rond het management van financiële, operationele en compliancerisico’s. De vraag hierbij is echter of voldoende tijd en aandacht uitgaan naar dié risico’s die de organisatie uiteindelijk het hardst kunnen raken. Een van de lessen van de verspreiding van het coronavirus is dat dit niet het geval is.
Door: Bart van Loon
Nu een micro-organisme hele bedrijfstakken verlamt en hele landen platlegt, stellen risicomanagers zich de vraag wat zij gemist hebben. Toch zullen ze vervolgens constateren – en terecht – dat ze eigenlijk niet zoveel gemist hebben. Klimaatverandering, disruptieve technologie, geopolitieke schokken, terrorisme, besmettelijke ziektes, ga maar door: we beseffen wel degelijk dat deze risico’s er zijn en waarschijnlijk zijn ze ook wel eens onderwerp geweest van een sessie met de raad van bestuur of een ander belangrijk gremium. Maar vervolgens is het thema geparkeerd. Immers, wat doe je er aan? En ook: gaat het hier niet om risico’s die, als het fout gaat, onze concurrenten net zo hard treffen als wij erdoor getroffen worden? Kunnen we ons dan niet beter richten op de risico’s waar we wél beheersingsmaatregelen voor kunnen bedenken?
Verkeerde aandacht
Hoe begrijpelijk deze redenering ook is, ze is niet logisch. Een keeper die vier aanvallers op zich af ziet komen, terwijl zijn verdedigers in geen velden of wegen te bekennen zijn, holt niet op de eerste de beste aanvaller af zodat die ‘in ieder geval niet kan scoren’. In plaats daarvan houdt de keeper zijn oog op de bal en zal hij de aanvaller aanpakken die dreigt te gaan scoren. Keepers zijn er immers voor om doelpunten te voorkomen, niet om willekeurige (ongevaarlijke) aanvallers uit te schakelen. Wat we wel hebben gemist is dat het ‘parkeren’ van deze risico’s geen goed idee is. We hebben gemist dat we onevenredig veel van onze tijd en aandacht besteden aan risico’s die niet van levensbelang zijn voor ons business model. Misschien hebben we gemist dat we best wat ambitieuzer mogen zijn. Want zijn dit inderdaad risico’s ‘waar je toch niets aan kunt doen’?
De voorbeelden zijn voorhanden die het tegendeel suggereren. Zoals de bierbrouwer die onderkent dat het maatschappelijk debat over de gezondheidseffecten van alcohol niet zonder gevolgen kan blijven – en alcoholvrije producten gaat ontwikkelen. Of zoals de kledingfabrikant die productielocaties verdeelt over de hele wereld, om geopolitieke risico’s te spreiden. Overigens was die kledingfabrikant ook voorbereid op de uitbraak van het coronavirus – wellicht zonder het te beseffen – omdat de productie niet in China is geconcentreerd.
LEES OOK: KPMG: Welk model voor risicomanagement kunt u het beste toepassen?
Breng de risico’s in kaart
Met andere woorden: ik pleit voor risicomanagement dat zich concentreert op de risico’s die het business model raken, de risico’s die invloed hebben op de echte waarde van de organisatie. Sla niets over, parkeer niets en denk nooit: dit soort rampen gaat wel aan ons voorbij. Want dat leert het coronavirus ons ook: de kans dat in onze steeds verder globaliserende wereld rampen (groot of klein) aan ons voorbij gaan, wordt steeds kleiner. Breng dus uw risico’s in kaart, weeg ze en cluster ze en geef elk cluster de tijd en aandacht die het verdient. Vergroot op die manier de kans dat u bij een volgende ‘ramp’ beter voorbereid bent dan uw concurrenten.
Bart van Loon is partner bij KPMG en deskudige op het gebied van interne controle en risicomanagement.
