Er zijn verscheidene modellen die gebruikt worden bij risicomanagement. Hieronder een korte impressie.
De hieronder beschreven modellen rondom de implementatie van risicomanagement lijkt in gebruik ingewikkeld en tijdrovend, maar in de praktijk zal het echter neer komen op het updaten van lijsten met risico's.
In 2001 heeft COSO (Committee of Sponsoring Organizations of the Treadway Commission ) een project geïnitieerd en heeft zij daarbij PWC ingeschakeld om het ondernemingsrisicomanagement te verbeteren en te evalueren. Hieruit resulteerde een model; het Enterprise Risk Management – Integrated Framework.
COSO komt met de onderstaande Kubus.
Het model is voor elk onderdeel van de organisatie van toepassing:
- Subsidiairy (dochteronderneming)
- Business Unit (bedrijfseenheid)
- Division (afdeling)
- Entity level
Dit is de rechterzijde van de kubus.
Binnen de context van de door de onderneming geformuleerde missie of visie, formuleert het management strategische doelstellingen, selecteert een strategie en stelt men afgeleide doelstellingen voor de gehele onderneming. Dit is de bovenzijde van de kubus
- Strategisch
- Operationeel
- Rapportage
- Toezicht
Ondernemingsrisicomanagement bestaat uit acht met elkaar verband houdende te nemen stappen. Deze stappen zijn afgeleidt van de wijze waarop het management een onderneming bestuurt en zijn derhalve verbonden met het managementproces.
1.) Internal Environment (Interne omgeving): met ‘internal environment’ wordt de houding en het gedrag van de interne organisatie bedoeld. Onder meer de risicomanagement filosofie, de risicobereidheid en de integriteit en de ethische waarden van de organisatie maken deel uit van de ‘internal environment’.
2.) Objective Setting (Formuleren van doelstellingen): doelstellingen moeten aanwezig zijn voordat potentiële gebeurtenissen kunnen worden geïdentificeerd die het behalen ervan kunnen beïnvloeden.
3.) Event Identification (Identificeren van gebeurtenissen): interne en externe gebeurtenissen die van invloed zijn op het behalen van de doelstellingen dienen te worden geïdentificeerd. Daarbij dient onderscheid te worden gemaakt tussen risico’s en kansen.
4.) Risk Assessesment (Risicobeoordeling): risico’s worden geanalyseerd in termen van kans en impact. Op basis daarvan kan een passende reactie worden geformuleerd. Risico’s kunnen worden beoordeeld voor en na de effecten van de risicoreactie.
5.) Risk Respons (Reactie op risico): per risico wordt de meest geschikte reactie geselecteerd – vermijden, accepteren, beheersen of overdragen- en uitgewerkt in concrete acties om de omvang van de risico’s in lijn te brengen met de risicobereidheid van de organisatie.
6.) Control Activities (Beheersingsactiviteiten): beleid en procedures worden opgesteld en geïmplementeerd teneinde de gekozen risicoreactie daadwerkelijk in de organisatie te verankeren.
7.) Information and Communication (Informatie en communicatie): relevante informatie wordt geïdentificeerd, opgeslagen en gecommuniceerd op en wijze die betrokkenen in staat stelt om hun werkzaamheden uit te voeren.
8.) Monitoring (Bewaking): de effectiviteit van enterprise risk management wordt bewaakt en wijzigingen worden aangebracht ter verbetering.
Risicomanagement volgens de RISMAN methodiek is een werkwijze die wordt gebruikt bij projecten. Het wordt al enige jaren toegepast in projecten van onder andere Rijkswaterstaat en ProRail.
De RISMAN-methode bestaat uit vier stappen:
1.) vaststellen doel
2.) in kaart brengen risico’s
3.) vaststellen belangrijkste risico’s
4.) in kaart brengen beheersmaatregelen
Risicomanagement speelt in alle fasen van een project een rol. Het is een cyclisch proces dat gedurende het project continu doorlopen wordt. Elke projectfase begint met het uitvoeren van een risico-analyse die steeds weer de belangrijkste risico's op het gebied van geld, tijd en kwaliteit, voor het project in beeld brengt.
De risico's worden systematisch en vanuit verschillende invalshoeken in kaart gebracht voor het gehele projectproces. Er wordt een lijst opgesteld van de kwalitatief of kwantitatief belangrijkste risico's. Voor deze risico's kunnen maatregelen worden getroffen. Nadat een keuze is gemaakt uit de beheersmaatregelen dient voor de gekozen beheersmaatregel te worden aangegeven wie ervoor verantwoordelijk is dat de maatregel ook daadwerkelijk wordt uitgevoerd. Er wordt tevens indien nodig een budget vastgesteld voor de uitvoering van de beheersmaatregel. Dit alles resulteert in een overzicht van de belangrijkste risico's voor het project, maatregelen om die te beheersen en zijn personen aangewezen die daarvoor verantwoordelijk zijn.
De stand van zaken van de beheersmaatregelen wordt regelmatig gerapporteerd en besproken. Zijn de beheersmaatregelen uitgevoerd en hebben zij het gewenste effect?
Er zijn verschillende manieren om risicomanagement binnen een projectorganisatie te implementeren en te organiseren:
- risicomanagement als staffunctie.
- de projectmanager is tevens risicomanager en is verantwoordelijk voor de uitvoering van risicomanagement
- risicomanagement is een zaak van alle lagen binnen de organisatie
- een combinatie van bovenstaanden
Het Management is verantwoordelijk voor het eindresultaat. Daaronder hangt vaak een aantal (project)groepen dat verantwoordelijk is voor producten, deelresultaten of bijdragen aan resultaten.
Het rapporteren over risico’s dient op hetzelfde niveau en op hetzelfde tijdstip als het rapporteren over de overige beheersaspecten te gebeuren. De gesignaleerde risico’s zijn immers allen waarschijnlijk van een ander niveau en niet onderling te vergelijken. Dit komt mede doordat verschillende personen op verschillende niveaus risico’s verschillend van grootte qua impact inschatten.
Vervolgens kan op basis hiervan en gevoerde gesprekken tussen de direct verantwoordelijke en de direct leidinggevende één integrale risicorapportage worden opgesteld.
PPS staat voor publiek private samenwerking. Het publike private netwerk heeft een risicomanagementmodel ontwikkeld voor projectleiders en projectmedewerkers voor gebiedsontwikkeling. Risicomanagement kun je op verschillende manieren en in de verschillende fases van een project toepassen. Risicomanagement heeft in de volgende functies in de verscheidene fases:
Initiatieffase: Het helpt de projectleider met het maken van de juiste strategische keuze
Haalbaarheidsfase: Het helpt de projectleider om de bevoegdheden, verantwoordelijkheden en de risico’s via overeenkomsten op een verantwoorde wijze tussen de verschillende (publieke en private) partijen te verdelen alsmede de realisatie van het project te beheersen.
Realisatiefase: Risicomanagement dient als instrument om de projectdoelstellingen van verschillende partijen met elkaar te verbinden alsmede de projectdoelstellingen binnen de gestelde randvoorwaarden te realiseren.
PPS hanteert een zestal stappen voor het risicomanagement. In deze zes stappen is het cyclische proces goed te herkennen. Na het doorlopen van de eerste 3 stappen worden met name de laatste 4 stappen doorgenomen. Bij een belangrijke wijziging of verandering van fase, worden alle stappen doorgenomen.
Stap 1: Doelstellingen alalyseren: inzicht verkrijgen in de doelstellingen en randvoorwaarden van een project. Op grond van de analyse van de doelstelling bepaalt de projectleider onder ander de risicoanalysemethode die gebruikt gaat worden.
Stap 2: Inventarisatie van potentiele kansen en bedreigingen: hierbij kan bijvoorbeeld gebruik gemaakt worden van een risicomatrix.
Stap 3: Risicoanalyse: een risicoanalyse brengt ordening aan in de potentiele risico’s. Hierbij komen inschattingen over de kans en impact naar voren.
Stap 4: Monitoren van risico-indicatoren: de genoemde risico’s dienen bewaakt te worden op
- de kans dat ze voor gaan doen veranderd
- de impact, is deze grootte van de impact veranderd en is de impact nog gelijk (geld, imao etc.)
Stap 5: Kiezen en uitvoeren van beheersmaatregelen.
Stap 6: Evalueren van beheersmaatregelen: zijn de beheersmaatregelen genomen en wel effect sorteerden die?
Samenhang
Risicomanagement is gericht op het identificeren van risico's en het vervolgens zoeken naar een beheersmaatregel voor die risico's. Treasury is er ook op gericht om de risico's te beheersen.
Voorbeeld:
Een woningbouwcorporatie gaat een groot project aan in 2011. Kosten hiervan bedragen zo'n 20 miljoen. De corporatie loopt nu allerhande projectrisico's aan de debetzijde van hun balans, waar ze op stuurt. Aan de creditzijde loopt ze echter ook risico's want wellicht is er gerekend met een rentepercentage voor de af te sluiten lening van 4,5 %. Mogelijkerwijze kan dat hoger zijn. Beheersmaatregel is hier bijvoorbeeld een Treasurer aannemen of inhuren.
