Eén van de interessante uitspraken die ik recentelijk hoorde van de CEO van een groot bedrijf — Over het nut en de noodzaak van GRC (Governance, Risk & Compliance) informatie. Welke waarde voegt dit toe op het niveau van de Raad van Bestuur?
risicoradicalist
Lange Excellijsten met veel detail over waar de leeuwen en beren zitten en waar de organisatie niet 100% in control is voegt niets toe. Ingewikkelde berekeningen die leiden tot mogelijke verliezen of grote boetes irriteren als deze niet simpel te begrijpen zijn en te herleiden.
Zelfovertuiging
Er wordt veel gepresenteerd vanuit de eigen theorie, het specialisme en het eigen doel om een zo volledig mogelijk framework op te stellen. Maar wat heeft de organisatie hieraan? En last but not least, hoe draagt dit bij aan de agenda van de CEO?
Na 20 jaar implementaties kan ik wél aangeven dat het cruciaal is om met deze vragen te beginnen. Wat verwacht de CEO van GRC-informatie? Hoe helpt deze informatie de CEO? Als hier geen duidelijk antwoord op komt kun je beter wachten en je CEO eens met anderen hierover te laten praten.
Vragen
Welke informatie wil je zien en welke niet? Hoe wil je de informatie gepresenteerd krijgen? In welke frequentie? Wanneer moet ik escaleren? Welk resultaat verwacht de CEO? Welk effect merk ik daarvan als risicomanager? Wanneer zou de CEO / organisatie trots zijn?
Aandacht
En besef, veel organisaties hebben een risicomanager, een compliance officer, een kwaliteitsmanager, een CISO, een privacy officer / functionaris gegevensbescherming, ICT security, auditors, business controllers, proceseigenaren, security officers etc.
Allemaal met het doel om de organisatie beter te laten functioneren. Allemaal willen ze aandacht van de organisatie en het management. En allemaal willen ze informatie van de ‘werkvloer’.
Word geen risicoradicalist!
Als er thuis drie kids op je afkomen en drie verschillende dingen vragen en allemaal op verschillende momenten iets anders willen is het vaak al onoverzichtelijk. Laat staan…
Het is cruciaal om dit vooraf te organiseren. Implementaties van GRC beginnen bij draagvlak en afstemming. Duidelijkheid over de resultaten die je wilt halen. Duidelijkheid over hoe jij en je collega’s dit SAMEN gaan doen. Verdeeldheid leidt tot radicalisering!
Richt de ‘Stichting Vrienden GRC’ op… en vraag naar ons implementatieplan.
risicoradicalist
