Risico Control Matrix eenvoudig en snel implementeren
Uitgangspunten implementatie Risico Control Matrix:
- Natuurlijk hoort de verantwoordelijkheid voor risico’s in de 1e lijn
- Leiderschap is belangrijker dan meer controls
- We willen weten welke risico’s onze doelstellingen bedreigen
- Diversiteit van betrokken is noodzakelijk meerdere expertises aan tafel te hebben
- Dialoog is cruciaal om tegenspraak te organiseren
- Het gaat om vertrouwen – trust – confidence – etc.
- Maar…
Imago
> 80 % van het risicoprofiel gaat om de ‘te minimaliseren’ risico’s (Kaplan). Dit gaat over het functioneren van de organisatie en is daarmee een grote verantwoordelijkheid van management om aan te geven of we hier de goede dingen doen en deze goed doen! Als in de operatie zaken niet goed lopen staan organisaties snel in de krant. Of we dit nog risicomanagement moeten noemen is de vraag. Business as Usual is wellicht beter.
Het belang van deze risico’s is dus groot. Niet alleen vanuit het perspectief Imago maar ook omdat het gaat over alle soorten assets en dus uiteindelijk over balansposities en W&V rekening.
Standaardiseren / Best Practice
De zogenoemde 1e lijn zijn de ‘handen aan het bed’. Nooit opgeleid om risico’s en beheersmaatregelen op te schrijven. Ook niet in de wieg gelegd om de procesbeschrijvingen op te pakken. Met hen workshops doen voor het draagvlak klinkt leuk maar weinigen zitten te wachten op de discussie hoe je een risico beschrijft.
Inmiddels hebben wij mooie voorbeelden hoe door een hele goede voorbereiding de ‘In Control’ doelstelling sneller behaald kan worden. Inclusief een actieve en blijvende rol voor de 1e lijn!
Vanuit onze professionele opdrachtgevers kunnen wij heel duidelijk zien dat sturing op de Key processen, risico’s en controls voldoende comfort geeft. Alleen in geval van bepaalde incidenten of aandachtspunten vanuit de toezichthouder wordt de scope verbreed. Een 2e lijn die de business begrijpt kan voor deze processen 95% van de risico’s en te verwachten controls beschrijven.
Met de business voeren we alleen nog de discussie wat applicable of non-applicable is. We vragen ze tests op de controls uit te voeren en effidence up te loaden. Het dossier voor een eventuele (externe) audit is gereed.
Laten we de workshops bewaren voor innovaties, projecten, scenariodenken, strategieontwikkeling, etc.
Risico Control Matrix
