5 keer leiderschap in de tweede lijn

5 keer leiderschap in de tweede lijn; overbelasting van de eerste lijn nekt de professionalisering. Dus het moet anders!

De eerste lijn van veel organisaties raakt overbelast door interne bureaucratie. Er wordt te veel informatie gevraagd, soms wordt informatie zelfs dubbel gevraagd en dit terwijl de kennis om de vragen te beantwoorden binnen de afdelingen niet (voldoende) aanwezig is. Ook kost het veel tijd om bewijsmateriaal dat het op orde is op te sporen en aan te leveren. Veel managers geven aan 30-50% van hun tijd aan deze administratie kwijt te zijn. Dit gaat dus ten koste van hun tijd om daadwerkelijk te sturen en te managen.

Oorzaak

Oorzaak is de juridisering van de maatschappij waardoor er de afgelopen 10 jaar veel extra risicospecialisten bij zijn gekomen bijvoorbeeld op privacy, informatiebeveiliging en compliance. Elke officer vindt zijn eigen vakgebied het allerbelangrijkst en wil een positie in de organisatie verwerven. En terecht want het onderwerp is belangrijk. De stappen zijn bekend: beleid, presentatie voor de directie en dan uitrollen maar.

Gevolg

Maar juist bij het uitrollen gaat het mis. De gewone afdelingsmanager heeft er geen tijd voor. Een bekende valkuil is dat binnen veel organisaties de tweede lijn zelf de verantwoordelijkheid overneemt door bijvoorbeeld het format zelf in te vullen. Met als gevolg dat zij meer bezig zijn met de administratie in plaats van daadwerkelijk de waarde toe te voegen en te verbeteren. Dit is eigenlijk hetzelfde als elke keer de veters van je kinderen strikken in plaats van het ze te leren zelf te doen.

De tweede lijn dient zichzelf te ontwikkelen om daadwerkelijk de organisatie te kunnen beschermen tegen nieuwe operationele risico’s. Zij zal moeten veranderen als gevolg van de overbelasting van de eerste lijn waardoor steeds meer bedrijfsvoeringsprocessen minder aandacht krijgen. Hierdoor wordt het steeds lastiger om informatie op te halen.

Wat kan de tweede lijn nu doen om de verantwoordelijkheid te laten waar deze hoort?

5 keer leiderschap tweede lijn

Als de eerste lijn niet sterk genoeg is ligt het vaak aan de tweede lijn. Het lukt de tweede lijn dan niet om de eerste lijn op niveau te krijgen. Hieronder 5 aandachtspunten om dit wél voor elkaar te krijgen:

1. Governance

Maak duidelijk wie er verantwoordelijk is voor de tweede lijn. Is het de concern controller, de COO of de directeur middelen? Het kan allemaal als het maar duidelijk is. Maak ook duidelijk wat het mandaat is en het budget.

2. Overzicht en prioritering

Allereerst dient de controletoren in beeld gebracht te worden. Welke activiteiten en staffuncties onder de tweede lijn vallen, hoe volwassen ze zijn en hoe overlappend en actueel zijn de verschillende controls. Begin klein en overzichtelijk.

3. Integrale aanpak risk en control frameworks

De tweede lijn bestaat uit veel risk en control frameworks. Zo bestaat privacy uit 100 controls en informatiebeveiliging uit 120 controls. Probleem is dat er vaak controls dubbel in staan en dus twee keer uitgevraagd worden met irritatie bij de eerste lijn tot gevolg.

Integreer de controls waar mogelijk zodat ze maar één keer uitgevraagd kunnen worden.

4. Risicoanalyse

Vanuit de tweede lijn kunnen per specialisme de belangrijkste risico’s en maatregelen worden vastgesteld. Dit betekent dat de eerste lijn niet zelf risico’s hoeft te bedenken en controls uit te schrijven. De tweede lijn maakt zelf de keuzes wat de belangrijkste risico’s en key controls zijn.

5. Eerst helpen dan controleren én inzicht bieden

Het nieuwe Three Lines Model geeft als rollen aan; expertise en ondersteuning. Door de kennis in de tweede lijn kan het de juiste prioriteiten stellen en een selectie maken van de gewenste key controls en deze zo formuleren dat ze gemakkelijk te beantwoorden zijn. Daarnaast dient het de eerste lijn te ondersteunen, door tooling en een dialoog door snel en efficiënt de informatie klaar te zetten en uit te vragen. Oftewel prioriteer en faciliteer de eerste lijn.