Uit de recente uitkomsten van Aon’s Update Benchmark Nederlandse organisaties blijkt dat in 2021 nog steeds slechts 25% van de ondervraagde organisaties als ‘risicovolwassen’ kan worden bestempeld is. Gemiddeld is hun Risk Maturity Index (RMI) een 2,5 (basis).
In 2020 publiceerde Aon de eerste Nederlandse benchmark voor risicovolwassenheid. Deze was gebaseerd op de antwoorden van 450 Europese organisaties, waarvan 202 Nederlandse. Zij beantwoordden de vragen van de Risk Maturity Index, waarin hun risicovolwassenheid over 9 dimensies werd geanalyseerd. Dat zijn resp: betrokkenheid op directieniveau, toewijzen verantwoordelijkheid, transparante risicocommunicatie, cultuur van risico-eigenaarschap, data en analyse, participatie van belanghebbenden, besluitvorming gebaseerd op risico;s, kwantificeren van risico’s en geoptimaliseerd risicoprofiel. “Risicovolwassenheid vergt een hoop inzet en doorzettingsvermogen van uw organisatie en mensen. Een jaar, en de ervaringen van COVID-19 rijker, hebben we de resultaten van de survey opnieuw geanalyseerd. De geüpdatete benchmark geeft inzicht in de meest actuele resultaten over de status van risicovolwassenheid van Nederlandse organisaties in 2021, de vergelijking met scores van Europese organisaties, de duiding van de verschillen en plaatsing van het geheel tegen de achtergrond van een jaar COVID-19
Nederland versus de rest
Hoe scoren ruim 200 Nederlandse respondenten ten opzichte van hun internationale peers? Hieronder treft u de uitkomsten:
• Nederlandse organisaties stellen minder vaak een formele risicomanager aan dan vergelijkbare buitenlandse organisaties De functie is vaak impliciet belegd bij audit, controlling of op boardniveau. De COVID-19-crisis heeft hier deels verandering in gebracht. We zien dat steeds meer organisaties een risicomanager aanstellen en dat de scope van de risicofuncties wordt verbreed naar nieuwe risicofuncties binnen HR en Facility Services;
• Nederlands organisaties scoren relatief laag op boardroom-commitment voor risicomanagement. Bij veel organisaties wordt nog geen regelmatige update van het risicoprofiel gevraagd in de planning en control-cyclus van de divisie rapportages;
• Nederlandse organisaties betrekken minder vaak hun interne en externe stakeholders bij het formuleren van hun risicomanagementstrategie en risicomanagementbeleid. Doordat risico’s steeds complexer en minder voorspelbaar worden, is het nog belangrijker de stakeholders zowel intern als extern te betrekken. Zo wordt de gezamenlijke kennis en inzichten benut om beter voorbereid te zijn in de VUCA (volatility, uncertainty, complexity, en ambiguity)-wereld;
• Nederlandse organisaties maken minder vaak gebruik van risicobereidheid-statements (hoeveel en welk risico zij bereid zijn te nemen en lopen, gezien de strategische doelen) als startpunt voor het risicomanagementbeleid en het meten van de impact van risico’s op het gebied van financiën, reputatie, continuïteit, veiligheid, duurzaamheid en kwaliteit;
• De impact van COVID-19 maakt het nog belangrijker om de risicobereidheid te herijken, gezien de veelal verslechterde financiële situatie;
• Op het gebied van kennis van risk-appetite en het opzetten en bewaken van key controls om hierbinnen te kunnen blijven opereren, blijft Nederland achter bij sommige landen en is verbetering nodig;
• Nederlandse organisaties hebben vaak wel een goed begrip va Nederlandse organisaties hebben vaak wel een goed begrip van, en inzicht in, de belangrijkste top downrisico’s.
Enkele belangrijke leerpunten van de COVID-19 crisis
Het onderzoek wordt afgesloten met een aantal belangrijke leerpunten va de COVID-19 crisis. Dat zijn:
- Kritische besluiten in een crisis moeten genomen worden met zowel een risico- als een opportunitybril. Bedrijven waar het risicodenken in de genen zit, kunnen hier makkelijker mee omgaan en komen beter uit een crisis als deze;
- Het kwantificeren van de risico’s wordt door veel organisaties als minder relevant geacht. Zij worden met name getroffen door onverwachte externe risico’s, zoals pandemie en geopolitieke handelsspanningen. Deze risico’s zijn lastiger te kwantificeren;
- Complexe supply chain-risico’s en cyberrisico’s zijn goed te kwantificeren met een scenarioanalyse. Maar ook voor externe risico’s als pandemie en geopolitiek worden steeds vaker scenario’s opgesteld om goed voorbereid te zijn op de impact en passende controls in te richten. Voor de onverwachte incidenten wordt crisismanagement ingezet.
De volledige benchmark kunt u hier inzien: https://www.aon.com/netherlands/bedrijfsrisicos/financiele-risicobeheersing/risicomanagement/benchmark-risicovolwassenheid.jsp
