‘Risicomanagement in Nederland nog teveel financieel benaderd’

Voor de top 10 risico’s geldt dat Nederlandse organisaties zich minder goed voorbereiden dan wat internationaal de norm is. Voor het risico waarvan internationaal de meeste organisaties wakker liggen – reputatieschade – hebben veel Nederlandse bedrijven geen plan klaarliggen om het risico te beheersen.

Opvallende verschillen in de top 10 risico’s
 
De risico-top 10 van Nederlandse organisaties verschilt op meerdere plekken van die van de rest van de wereld. Opvallend is dat cyberrisico’s niet in de top 10 staan (plaats 12), terwijl dit risico internationaal voor het eerst een top 10 notering kent (plek 9). Ook het risico op bedrijfsonderbreking (plek 18 in Nederland versus 7 internationaal) en schade aan een van de eigendommen (plek 24 versus 10) worden in Nederland lager ingeschat dan internationaal het geval is.

‘Het Nederlandse bedrijfsleven is zich in vergelijking met de rest van de wereld meer bewust van de risico’s van disruptieve bedrijfsmodellen zoals Uber en Airbnb,’ zegt Alex van den Doel, Managing Director bij Aon Global Risk Consulting. Dat blijkt onder meer uit twee risico’s die in de Nederlandse top 10 hoger staan dan internationaal: toenemende concurrentie (plaats 2 versus plaats 4) en gebrekkige innovatie (plaats 4 versus plaats 6).

Te weinig prioriteit

Dat Nederlandse organisaties minder goed voorbereid zijn op incidenten, blijkt uit het feit dat bij ruim een kwart van de Nederlandse organisaties (28%) de Raad van Bestuur geen risicomanagementbeleid heeft geformuleerd. Internationaal is dat slechts bij 16% van de organisaties het geval. Bovendien heeft bijna de helft van de Nederlandse organisaties (49%) geen formele risicomanagementfunctie, terwijl wereldwijd 71% van de organisaties dat wel heeft.

Zeven op de tien Nederlandse organisaties (72%) hebben geen Chief Risk Officer, noch plannen om die aan te stellen. Internationaal is dat bij zes op de tien het geval (59%). Bijna de helft van de Nederlandse organisaties meet bovendien de effectiviteit van hun risicomanagementactiviteiten niet (46%), fors meer dan het internationale gemiddelde (29%).

Risicomanagement teveel financieel benaderd

Het lijkt erop dat Nederlandse organisaties hun risicomanagement vooral vormgeven vanuit financiële overwegingen. Bij ruim de helft van de Nederlandse organisaties (51%) is de Chief Financial Officer (CFO) ervoor verantwoordelijk. In slechts 13% van de gevallen ligt deze taak bij de Chief Executive Officer (CEO). Internationaal is dat respectievelijk 33% en 26%.

‘Incidenten hebben onmiskenbaar een financiële impact op organisaties, maar de schade gaat veel verder dan dat,’ zegt Van den Doel. ‘Risico’s als reputatieschade of onderbreking van de toeleveringsketen kunnen de continuïteit van de bedrijfsvoering serieus bedreigen. Risicomanagement is daarmee een onderwerp dat de aandacht vraagt van het hoogste niveau in de organisatie.’ Van den Doel adviseert bedrijven om zich goed voor te bereiden op incidenten. ‘Denk in scenario’s en doe een stresstest. De volgende stap is het treffen van maatregelen voor de scenario’s die de grootste impact hebben op de strategische doelstellingen van de organisatie.’