ondernemingsrisicomanagement

Ondernemingsrisicomanagement (ERM) is een systematische en geïntegreerde aanpak voor het identificeren, evalueren, beheersen en monitoren van risico's die de doelstellingen van een organisatie kunnen beïnvloeden. Het omvat strategische, operationele, financiële, compliance-, IT-, juridische en reputatierisico's en geldt voor alle functies en niveaus. Het doel is onzekerheid te beheersen en waarde te creëren door risico's af te stemmen op de strategie en het risicobereik (risk appetite).

Het ERM-kader vereist governance met de raad van bestuur als eindverantwoordelijke, ondersteund door een risk committee en management die risico- eigenaren aanwijst. Een cultuur waarin risico’s tijdig worden gemeld en besproken is essentieel. Belangrijke elementen zijn een duidelijke risk appetite en tolerantie, beleid en normen, en een robuuste interne controle die besluitvorming informeert.

De kernactiviteiten bestaan uit context bepalen, risico's identificeren en evalueren, en risico's prioriteren op basis van kans en impact. Behandelingsopties zijn vermijden, beperken, overdragen of accepteren, gevolgd door actieplannen en toewijzing van middelen. Het proces omvat continue monitoring, periodieke rapportage aan bestuur en stakeholders, en het bijhouden van een live risicoregister en relevante KPI's of heatmaps.

Kaders en standaarden zoals ISO 31000 en COSO ERM bieden modellen en praktijken die kunnen worden toegepast. Een effectief ERM is geïntegreerd in strategische planning, prestatiemanagement en interne controles, en werkt via een cyclisch proces van identificatie, evaluatie, behandeling, monitoring en verbetering.

Voordelen zijn betere besluitvorming, grotere veerkracht en efficiëntere inzet van middelen. Uitdagingen omvatten datakwaliteit, cultuur, samenwerking tussen afdelingen, complexiteit van de waardeketen en veranderingen in regelgeving of marktomstandigheden.