Geïntegreerd risicomanagement; van iedereen voor iedereen!

De positieve invloed van de werkvloer op effectief risicobeheer

Gecontroleerde groei, inspelen op externe veranderingen en risico’s een integraal onderdeel maken van dagelijkse beslissingen; dat is waar het bij Integrated Risk Management (IRM) om draait. Het is dan ook niet verwonderlijk dat we de trend zien dat de business of werkvloer een steeds prominentere rol speelt bij IRM.

Steeds vaker worden intelligente en korte zelfbeoordelingen ingevoerd om de business actief te betrekken bij het zogenaamde ‘drie lijnen’-model. Hierdoor zijn niet langer vooral de tweede (Risk & Compliance Management) en derde lijn (Internal Audit) verantwoordelijk voor adequaat risicobeheer. In plaats daarvan ontstaat een collectief besef van nut en noodzaak door de mensen te betrekken die de meeste ‘pijn’ ervaren wanneer risico’s zich voordoen.

Veel organisaties worstelen echter met de vraag hoe de kostbare tijd van deze eerste lijn, ook bekend als de bedrijfseigenaren, minimaal wordt belast en maximaal wordt benut. Wij zien hiervoor volop mogelijkheden, juist door iedereen in de organisatie te betrekken.

Het waarborgen en aantonen dat de organisatie in control is, is de belangrijkste reden om veelvuldig controletests uit te voeren. Dit zijn vaak zelfbeoordelingen die bedoeld zijn om de effectiviteit van bestaande controles vast te stellen. Een zekere mate van risicobewustzijn, en dus een zekere mate van risico-volwassenheid, is echter vereist van de business om deze taak zinvol uit te voeren.

IRM in de hoofden van alle niveaus krijgen blijkt daarom voor veel organisaties een van de grootste uitdagingen te zijn. Traditioneel worden zelfbeoordelingen of andere vormen van controletests uitgevoerd volgens een vast format. Afwijkingen van het verwachte resultaat worden geregistreerd en als probleem behandeld. Hier ligt het probleem. Problemen leiden tot verbetermaatregelen of andere activiteiten die moeten worden uitgevoerd en gemonitord. Naarmate de omvang van de organisatie toeneemt, wordt het houden van integraal overzicht zeer complex.

Betrouwbare dagelijkse input van de werkvloer

Volgens ons zijn het juist de mensen op de werkvloer die dagelijks input kunnen leveren en de waarde van IRM kunnen vergroten. Misschien niet altijd in de risicoanalyses zelf, maar wel door hen te betrekken bij periodieke controles en hen de mogelijkheid te bieden diverse incidenten gewoon te melden. Denk aan meldingen van (bijna) incidenten, afwijkingen, verbetersuggesties of klachten die waardevolle input opleveren en dienen als input voor IRM. Zo ontstaat een continue stroom van inzichten uit de onderneming, die risicomanagement naar een hoger plan tilt.

Meer gegevens uit verschillende hoeken maken het volledige risicoprofiel meer valide en betrouwbaarder. Het stelt organisaties in staat om:

• Nieuwe risico’s te identificeren. Incidenten, inspecties of interne auditrondes kunnen leiden tot het identificeren van onbekende risico’s.
• Het resultaat van controles te evalueren en of ze het gewenste effect hebben.
• De frequentie van zelfevaluaties door de bedrijfseigenaren aan te passen. De verzamelde gegevens van de werkvloer kunnen immers voldoende vertrouwen geven om het aantal controletests te verminderen.

Het betrekken van de onderneming en het omzetten van hun input in waardevolle inzichten staat of valt met de opzet van een adequaat IRM-systeem dat verder gaat dan alleen het registreren en beheren van risico’s. Idealiter gebruiken organisaties daarom een geïntegreerde oplossing waarin naast risicoanalyse en controletests ook onderwerpen als probleemmanagement, incidentmanagement en auditmanagement een plaats hebben. Door deze onderdelen een integraal onderdeel te maken van de IRM-tooling ontstaan praktische inzichten dankzij (real-time) dashboards.

Deze inzichten kunnen vervolgens directe input leveren voor het identificeren en evalueren van risico’s en controlemaatregelen. Deze inzichten kunnen ook worden gebruikt om het risicobewustzijn te vergroten. Door dashboards te delen op de werkvloer (en in de kantine) kunnen mensen de positieve of negatieve effecten van hun acties zien. Zo groeit uw organisatie in risico-volwassenheid!

Microlearning als stimulans voor risicobewustzijn

Wij zien een ander krachtig middel om het risicobewustzijn van onze praktijk op de werkvloer te vergroten. Het gaat hierbij om kennisoverdracht via korte vragen en kennisflitsen. Neem het voorbeeld van de naleving van veiligheids- of hygiënevoorschriften, twee uiteenlopende thema’s die in veel organisaties spelen. De praktijk leert dat het effect van nieuwsbrieven, handleidingen of (klassikale) leerprogramma’s minimaal is. Kennis beklijft alleen als deze direct toepasbaar is. Daarom verschuift het nieuwe leren naar on-the-job microlearning in de vorm van korte, digitale trainingen en toetsen.

Laten we bijvoorbeeld eens inzoomen op een onderwerp als AVG, dat allerlei risico’s in een organisatie met zich meebrengt. Van cv’s printen en laten rondslingeren tot het versturen van gevoelige klantinformatie. Iedereen binnen een organisatie heeft ermee te maken. Door periodiek een korte kennistest uit te sturen, blijft het thema actueel en met de juiste vragen wordt veel data verzameld. Door mensen bijvoorbeeld via een aanwijsvraag te vragen de AVG-valkuilen te selecteren, gaan ze actief nadenken en analyseren. En omdat ze na hun antwoord direct feedback krijgen in de vorm van een kennisflits, wordt hun risicobewustzijn direct vergroot.

Heatmaps laten zien waar de totale populatie vaak of minder vaak klikte (zie figuur). Kennislacunes, en dus risico’s, kunnen zo onmiddellijk duidelijk worden gemaakt. Dit kan leiden tot extra controles, opleidingsprogramma’s of andere acties.

Een betrouwbaarder en valide risicoprofiel

Een effectief IRM-systeem biedt een reeks toepassingen die iedereen binnen een organisatie ondersteunt bij een betere en uitgebreidere risico-evaluatie. Meer gegevens uit verschillende hoeken maken het totale risicoprofiel valide en betrouwbaarder. In menselijke termen hebben we het dan over het invoeren van thermometermomenten om na te gaan of professionals op de werkvloer de controlemaatregelen naleven en of het risicobewustzijn goed is ingeburgerd. Instrumenten als probleem- en incidentmanagement, auditmanagement en microlearning zijn hiervoor uitermate geschikt. Zo ontstaat een continu verbeterende organisatie waarin alle lagen van de organisatie toegevoegde waarde leveren. En dan werkt IRM echt als aanjager van succes!