Van waagschaal naar weegschaal

2 december 2019 om 11:48 door Arie de Wild 0 reacties

‘Ontwerp een afwegingskader voor risicomanagement!’ Met alle hedendaagse oproepen om organisaties bestuurbaar en risico’s beheersbaar te houden, zou die opdracht zomaar eens op jouw bureau kunnen belanden. ‘Houd rekening met meerdere doelstellingen, zorg dat de werkvloer het adopteert en maak het compliant met onze richtlijnen.’ En vergeet niet: ‘Ontwikkelbudget in geld en tijd is schaars.’ Wat is een slimme aanpak?

Er zijn genoeg hulpmiddelen om een risicoafwegingskader te ontwikkelen. Een zoektocht op Google met de zoektermen ‘risk appetite tools’ levert alvast een groot scala aan mogelijkheden op. Wat hopen we te bereiken met die tools?

We voorkomen dat te veel of juist te weinig risico wordt genomen in het realiseren van ambities en beleid.
We schrijven realistische plannen waarin op een efficiënte en effectieve wijze wordt omgegaan met risicobeheersing.
We voorkomen dat risicobuffers zich onnodig opstapelen.

Een aantal van deze hulpmiddelen is erg specialistisch en vooral gericht op financiën, zoals technieken als Value-at-risk en Economic capital. De volgende twee praktische hulpmiddelen worden door veel organisaties gebruikt:

De risicomatrix

Een erg populair instrument. Het bestaat uit een assenstel waarin risico’s worden geplot aan de hand van twee belangrijke kenmerken: de kans van optreden en het gevolg van een risico. Het assenstelsel is opgebouwd uit gekleurde cellen. Vaak zijn dit signaalkleuren, die grofweg aangeven waar risico op geen enkele (rood), slechts beperkte (oranje) of meer vrije (groen) wijze mag worden genomen.

Het risicoregister

Een overzicht van alle door de organisatie geïdentificeerde risico’s met hun kenmerken, waaronder de bijbehorende kleur in de risicomatrix.

Met beide hulpmiddelen kunnen risico’s tegen elkaar worden afgewogen aan de hand van hun kenmerken. Voor het ontwerpen van een risicoafwegingskader is met name de risicomatrix uitermate geschikt. Ten eerste toont de inkleuring van de risicomatrix hoe kans en gevolg tegen elkaar worden afgewogen. Ten tweede kunnen in de risicomatrix meerdere gevolg-assen worden gedefinieerd, voor iedere doelstelling een. Tot slot past dit alles meestal ook nog eens op één A4. Samen maken deze kenmerken het mogelijk risico’s vanuit meerdere doelstellingen, dus integraal, te beoordelen, risico’s te objectiveren en op strategisch niveau met elkaar de dialoog aan te gaan over risico’s.

Het ontwerpen van een risicomatrix om te komen tot een risicoafwegingskader bereiken we in zeven stappen. De eerste drie stappen vragen niet zo veel uitleg.

Stap 1: Bepaal het aantal kleuren in de risicomatrix

Iedere kleur in de risicomatrix staat voor een risiconiveau dat aangeeft welk niveau in de organisatie daar verantwoordelijk voor is. Aan wie wordt gerapporteerd? Welke acties worden genomen? Zijn deze strategisch, tactisch of operationeel van aard? Vaak kiest men voor drie risiconiveaus in combinatie met de drie kleuren van een stoplicht.

Stap 2: Bepaal het aantal velden in de risicomatrix

Vaak kiest men voor symmetrie, dus evenveel cellen horizontaal als verticaal. De dimensies variëren dan tussen 3-bij-3 en 10-bij-10. Een veelvoorkomende variant is 5-bij-5.

Stap 3: Bepaal de waarden op de as voor de kans van optreden

In de risicomatrix zijn dit de onder- en bovengrenzen van de cellen, uitgedrukt in kanspercentages en/of frequenties. Deze grenzen definiëren de klasse-indeling voor de kans van optreden.

Bij een 5-bij-5 risicomatrix doorloopt de as voor de kans van optreden in vier stappen de weg van 0% naar 100%, van ‘nooit’ naar ‘zeker’. In risicomanagement nemen we die stappen niet gelijkmatig maar van klein naar steeds groter. Daarmee weeg je makkelijker af wat er wel en niet toe doet. We kiezen dus niet voor de reeks kanspercentages: 0 – 20 – 40 – 60 – 80 – 100. Maar in plaats daarvan starten we klein en eindigen met grote stappen, bijvoorbeeld: 0 – 1 – 10 – 25 – 50 – 100. Dat 50% en 100% hierbij tot dezelfde klasse horen hoeft niemand te verbazen. Immers, de accountant verlangt toch al een voorziening bij een kans die more likely is than not?

Pijn zichtbaar maken

De gevolgen die een risico met zich meebrengt doen pijn. Deze pijn voelt het bestuur, maar ook de rest van de organisatie. Door die pijn te beschrijven wordt een concreet ijkpunt gecreëerd. Daaraan kunnen andere gevolgcategorieën zoals Imago, Budget en Veiligheid worden geijkt. Om een inschatting van deze pijn te maken is het van belang casussen uit het verleden te analyseren. Dit is dan ook een belangrijk vernieuwend aspect van deze methode: de ervaringen van ambtenaren vormen de handvatten om de pijnniveaus te bepalen. De vraag die we hen stellen is: ‘Wat is concreet waar te nemen rond gebeurtenissen die pijnlijk zijn?’

Stap 4: Beschrijf de pijnniveaus voor bestuurders en de organisatie op basis van historische gebeurtenissen

Het voorbeeld in het kader geeft voor vijf klassenniveaus aan op welke manier pijn zich bij bestuurders en binnen de organisatie kan manifesteren. Door beide expliciet te beschrijven en te gebruiken bij risicomanagement, worden bestuurders en ambtenaren zich meer bewust van elkaars problematiek.

Kleur de grenzen in

We maken gebruik van een bestaand instrument, de risicomatrix, maar kleuren deze op een vernieuwende wijze in. We beschikken over een beschrijving van kansklassen (stap 3) en pijnklassen (stap 4). Voor iedere combinatie van kans en pijn wordt nu bepaald welk risiconiveau daarbij past, ofwel welke kleur.

Stap 5: Bepaal de inkleuring van de cellen in de risicomatrix

Houd de beschrijving van de risiconiveaus (stap 1) bij de hand. Bij het bepalen welk risiconiveau bij iedere cel in de risicomatrix past, starten we bij de hoogste kansklasse, bijvoorbeeld 50-100%. Vervolgens doorlopen we de beschrijvingen van de pijnniveaus (zie vorig kader) van hoog naar laag. De vraag die we daarbij beantwoorden is: ‘Welk risiconiveau past bij iedere combinatie van kans van optreden en pijnniveau?’ We doorlopen telkens, voor iedere kansklasse apart, alle pijnniveaus. Zijn de grenzen tussen de kleuren niet duidelijk, dan geven we die cellen tijdelijk twee kleuren. Vervolgens leggen we de risicomatrix terzijde. We kijken er later nog eens naar met een frisse blik.

Het resultaat is een risicomatrix waarvan alle cellen zijn ingekleurd. Bepaal als check voor alle drie risiconiveaus afzonderlijk welke cellen zonder meer passen bij ieder van die risiconiveaus. Gaandeweg wordt dan bevestigd waar de grenzen liggen.

Alle gevolgen overzien

De risicomatrix toont op een as de kans van optreden en op de andere as de negatieve gevolgen van een risico. Die laatste as toont het effect dat een risico heeft op de doelstelling. Als er meerdere doelstellingen zijn, kunnen meerdere gevolg-assen worden geformuleerd. De vraag is dan: ‘Hebben we alle mogelijke categorieën gevolgen in beeld?’

Bij het ontwikkelen van een provinciaal risicoafwegingskader droegen ambtenaren twee vernieuwende inzichten aan. Ten eerste: ‘Inzicht in de pijn die een bestuurder ervaart als gevolg van een risico, helpt bij het beschrijven van klassenniveaus van de diverse gevolgcategorieën in de risicomatrix’. Ten tweede: ‘De pijn voor een bestuurder hangt samen met de pijn voor de organisatie’. Een bestuurder zal immers een beroep doen op de organisatie ter verlichting van de pijn, met verhoogde werkdruk en personele belasting tot gevolg. Het resultaat van deze inzichten vormde een tabel waarin de pijn voor de bestuurders en de organisatie is beschreven in vijf klassenniveaus.

Stap 6: Bepaal met hoeveel categorieën aan gevolgen rekening moet worden gehouden

De neiging bestaat eerst binnen de organisatie te kijken wat er nu al aan gevolgcategorieën beschikbaar is op het gebied van risicomanagement. Bij projecten denken we dan al gauw aan gevolgcategorieën als Budget, Kwaliteit, Tijd en Veiligheid.

Een alternatief is te kijken naar wat een organisatie succesvol maakt. Eerst bepalen we dan de kritieke succesfactoren (KSF) en de daarbij behorende kritieke prestatie-indicatoren (KPI). Vervolgens vergelijken we de gevonden KPI met de al bestaande lijst gevolgcategorieën. Ontbreekt er een gevolgcategorie? Of is er wellicht een overbodig?

Zeker zo interessant is het wanneer er wel een gevolgcategorie is maar geen bijpassende KSF. Want hebben we dan wel alles in beeld dat ons succesvol maakt?

Met pijn gevolgen classificeren

Wanneer de gevolgcategorieën bekend zijn (stap 6) kunnen per categorie de klassenniveaus worden bepaald. De klassenniveaus van iedere gevolgcategorie worden geijkt met de pijnniveaus voor de bestuurder en de organisatie (stap 4).

Risicomanagement is niet alleen vooruitkijken. Om te begrijpen hoe risico’s worden afgewogen in een organisatie kijken we juist naar het verleden. Bij het bespreken van historische casussen met provinciale ambtenaren viel het deze op dat effecten op Veiligheid, Omgeving, Doorstroming zowel voor bestuurders als organisatie pijnlijk waren. Extra pijnlijk voor bestuurders waren effecten op Imago, terwijl de pijn voor de organisatie daarentegen meer bepaald leek te worden door effecten op Geld, Tijd en Kwaliteit. Dat maakte duidelijk waar gemeenschappelijke belangen zaten en ook waar partijen meer hun best moesten doen om de belangen van de ander te leren zien.

Stap 7: Beschrijf voor iedere gevolgcategorie de klassenniveaus

Als er binnen de organisatie al schalen voor gevolgcategorieën bestaan, dan kunnen die als uitgangspunt worden gebruikt. Pas wel op voor verankering, want het is puur menselijk om de al bestaande schalen niet al te veel te willen aanpassen. In ieder geval moet de vraag worden beantwoord welke kenmerken van gevolgcategorieën, zoals Budget, Tijd, Kwaliteit, Veiligheid en Imago, resulteren in een bepaald pijnniveau. Dus bijvoorbeeld, welke vorm van imagoschade leidt tot ambtelijke vervangingen en ontregelt de organisatie zodanig dat tien medewerkers twee maanden bezig zijn met de oplossing? Voor het beantwoorden van die vraag is inhoudelijke expertise van de betreffende gevolgcategorie nodig, kennis van historische gebeurtenissen en inlevingsvermogen ten aanzien van de pijn voor bestuur en organisatie.

De risicomatrix als afwegingskader

Nadat risico’s zijn geïdentificeerd en hun kans van optreden en gevolgen zijn ingeschat, worden deze geplot in de risicomatrix. Doordat gevolgen voor de verschillende doelstellingen naast elkaar worden getoond, is direct duidelijk waar de spanningsvelden zich bevinden. Waar nemen de risico’s toe? Wat wil ik in het groen? Wat mag in het rood? Door die afwegingen visueel te maken, kun je het gesprek over de juiste onderwerpen voeren.

Aan de hand van de fictieve risicomatrix in het kader worden drie toepassingsmogelijkheden van de risicomatrix geïllustreerd. De genummerde cirkels in de voorbeeldmatrix geven de risicokenmerken van de drie casussen weer.

Casus 1: Beheersingsmaatregelen vooraf toetsen op doelmatigheid

Voor risico’s met niet-financiële gevolgen is niet altijd duidelijk of de kosten van beheersing zullen opwegen tegen de baten. Stel dat er 1-10% kans is op een ‘Blijvend effect op leefcomfort en rust’, een niet-financieel gevolg van het hoogste klassenniveau. De ondergrens van ditzelfde klassenniveau is voor negatieve financiële gevolgen € 20M. De ondergrens van de kansklasse is 1%. Vermenigvuldiging van de twee resulteert in een verwachte waarde van € -200K. Vallen de beheersingskosten lager uit dan deze verwachte waarde, dan is er sprake van doelmatige risicobeheersing. Het risico zelf valt in de risicomatrix in het rode gebied. De verwachte waarde van de beheerskosten, die zeker zijn, vallen in een oranje cel. De beheerskosten behoren dus tot een lager risiconiveau dan het risico dat met deze kosten wordt beheerst.

Casus 2: Toetsen op doelmatigheid van maatregelen om achteraf schade te beperken

Het is voor risico’s met niet-financiële gevolgen achteraf lastig te bepalen hoeveel geld nog doelmatig aan het beperken van schade besteed kan worden wanneer een dergelijk risico zich al heeft gemanifesteerd. Neem als voorbeeld een bestuurder die naar aanleiding van klachten over veiligheid naar middelen zoekt om de gevolgen van dat risico te beperken. In de risicomatrix vallen ‘Klachten’ onder het laagste klassenniveau en die staan in deze voorbeeldmatrix gelijk aan een financieel gevolg van € -2M. Stel dat het risico vooraf was voorzien met een kans van 10-25%. Vermenigvuldiging van de ondergrens van deze kansklasse (10%) met het financiële gevolg van de laagste gevolgklasse (€ -2M) resulteert in een verwachte waarde van € -200K. Wanneer er op voorhand geen uitgaven zijn gedaan om dit risico te beheersen, kan maximaal dit bedrag worden ingezet bij het bestrijden van de gevolgen van het opgetreden risico.

Casus 3: Risico’s inzichtelijk maken die ontstaan door beheersmaatregelen

Door het stellen van de vraag binnen welke gevolgcategorieën in de risicomatrix additionele risico’s zullen ontstaan door een voorgenomen beheersmaatregel, kunnen deze risico’s tijdig worden voorkomen. Stel dat op een trajectdeel jaarlijks meer dan vijf doden vallen, een risico dat in de voorbeeldmatrix valt in de hoogste klasse. Als beheersmaatregel wordt voorgesteld botsingen op dit traject tegen te gaan door langs de weg bomen te kappen. De inschatting kan vervolgens zijn dat deze boomkap leidt tot een ‘Meningsverschil in de coalitie’ (middelste klasse), berichtgeving in ‘Regionale pers’ (op een na hoogste klasse) en een ‘Blijvend effect op leefcomfort en rust’ (hoogste klasse). Wanneer de gevolgen die mogelijk resulteren naar aanleiding van deze beheersmaatregel in combinatie met hun kans van optreden niet acceptabel zijn, kan beter worden gezocht naar alternatieve beheersmaatregelen.

Ervaringen uit de praktijk

Het volgen van het stappenplan om een risicomatrix te ontwerpen is een. Twee is de werkvloer mee te krijgen en compliance met richtlijnen en procedures te borgen.

Bij een provinciaal infrastructuurprogramma zijn hiermee initiële ervaringen opgedaan. Omdat het risicoafwegingskader als conceptueel en abstract werd ervaren, zijn sessies met schrijvers van assetplannen uitgevoerd om zo veel mogelijk concrete praktijkvoorbeelden te vinden die de toepassing van de risicomatrix illustreren.

Een van die voorbeelden is het conflict tussen de asset-eis ‘bevorderen veiligheid’ en de klimaateis ‘verminderen lichtvervuiling’. Na een integrale afweging van de doelstellingen Veiligheid en Klimaat in de risicomatrix, besluiten de schrijvers van assetplannen verlichting alleen op onveilige plekken te plaatsen. Een ander voorbeeld is het risico van een weidevogelclaim in een investeringsproject. De risicomatrix helpt dan bij de beslissing het project te staken wanneer de claim valt of vooraf aanvullende maatregelen te treffen die het behalen van doelstellingen op Kwaliteit, Financiën en Leefomgeving mogelijk maken.

Schrijvers van assetplannen maken in de dagelijkse praktijk hun keuzes vooral aan de hand van bestaande normen en kaders, die soms met elkaar conflicteren. Het is nieuw voor hen dat die keuzes risico’s met zich meebrengen. Ook wanneer hun keuzes in lijn zijn met geldende normen en kaders, kunnen zij desalniettemin negatieve gevolgen hebben voor de doelstellingen van het bestuur en de organisatie. Die keuzes zelf zijn niet per definitie fout. Zonder een kader is een integrale afweging tussen de risico’s die samenhangen met die keuzes echter niet goed mogelijk. Een risicoafwegingskader maakt daarom verdere optimalisatie van het keuzeproces mogelijk.

Dr. A.F. de Wild is lector Risicomanagement & Gedrag bij Hogeschool Rotterdam.

Tips voor succesvolle implementatie

Zorg voor commitment op alle managementniveaus.
Start de implementatie bij voldoende momentum.
Maak de toepassingsmogelijkheden concreet en passend bij de totaalvisie.
Betrek medewerkers direct bij de ontwikkeling van het risicoafwegingskader.
Neem de tijd, maar zorg tevens voor voldoende voortgang.
Creëer een veilige omgeving: gooi het ‘oude’ niet weg maar plaats dit in een nieuwe context.