Risicomanagementproces

Het risicomanagement proces binnen Accolade is een continue cyclus van bewustwording, sturing en verbetering. In onderstaande afbeelding wordt dit proces weergegeven. Aan de hand van de stappen uit de afbeelding wordt het proces toegelicht.

Voor de inventarisatie van risico's wordt in kaart gebracht welke gebeurtenissen invloed kunnen hebben op het behalen van de strategische doelstellingen of kunnen leiden tot enige vorm van schade voor Accolade. Planning & Control plant elk jaar in het derde kwartaal een gesprek met elke risico-eigenaar om de relevante risico’s te analyseren, actualiseren en nieuwe risico’s te identificeren. Naast een omschrijving van het risico wordt in kaart gebracht wat mogelijk oorzaken en gevolgen van het risico zijn. Dit wordt uitgewerkt volgens de Bow-Tie methode.

De totale jaarlijkse actualisatie wordt in het MT besproken in het vierde kwartaal. Daarnaast wordt in het vierde kwartaal de actualisatie gedeeld met de RvC, waarna ook vanuit de RvC input kan worden gegeven.

Risico’s worden beoordeeld op kans en impact, zonder rekening te houden met de huidige beheersmaatregelen. Dit is de bruto score. De kans wordt gescoord aan de hand van een vijfpuntschaal, variërend van een zeer lage kans tot een zeer hoge kans. Dit wordt gedaan aan de hand van de volgende kans-scoretabel. 

De impact wordt ook gescoord aan de hand van een vijfpuntschaal, waarbij verschillende impact categorieën worden gehanteerd. Uit de verschillende impact categorieën wordt de hoogste score gehanteerd in de beoordeling. In de volgende tabel zijn de categorieën én de scores weergegeven.

De totale bruto score wordt bepaald door de kans maal impact. De uitkomst is minimaal 1 en maximaal 25. 

Er wordt bepaald of de bruto scores van de risico’s binnen de vastgestelde risicobereidheid vallen. Als dit het geval is worden dit acceptabele risico’s genoemd. Als de bruto score boven de risicobereidheid valt, betreft het in eerste instantie een verhoogd risico. Van alle verhoogde risico’s worden de bestaande beheersmaatregelen in kaart gebracht.

Vervolgens worden de verhoogde risico’s opnieuw gescoord, dit keer rekening houdend met de bestaande beheersmaatregelen, ook wel de netto score genoemd. De beheersmaatregelen worden per verhoogd risico volgens de 6W-methode uitgewerkt en tevens toegevoegd aan Bow-Tie uitwerking van het risico. 

Een verhoogd risico met een netto score die lager is dan de risicobereidheid wordt een beheerst risico genoemd. Hier zijn geen aanvullende beheersmaatregelen nodig. Indien de netto score gelijk is aan of hoger is dan de risicobereidheid, dan wordt het een top risico. Een top risico krijgt aanvullende aandacht, dit kan op één van de volgende manieren:

• Aanvaarden: het restrisico wordt bewust geaccepteerd en de gevolgen worden gedragen als het risico zich voordoet. Dit kan bijvoorbeeld als een risico erg lastig is te beïnvloeden.
• Beheersen: het nemen van strengere- of extra maatregelen, waarmee de kans of impact wordt verkleind totdat de netto-score binnen de risicobereidheid valt.
• Delen: feitelijk is dit een vorm van beheersen, waarbij het risico wordt gedeeld met een andere partij. Een voorbeeld hiervan is het afsluiten van een verzekering, waarbij het financiële risico wordt verschoven naar de verzekeraar.
• Vermijden: de activiteit die het risico veroorzaakt wordt gestaakt, zodat het risico niet meer kan voorkomen.

Accolade werkt volgens het Three Lines of Defence model, welke in het hoofdstuk Governance, verantwoordelijkheden en risicocultuur is toegelicht. Hierin staat beschreven dat de afdeling Planning & Control verantwoordelijk is voor de monitoring en rapportering van het risicomanagement. 

De werking van het risicomanagement wordt gemonitord op basis van de interne controles uit het intern controleplan en de input die eens per tertiaal wordt opgehaald bij de managers. Aan de hand van de interne controles kan worden bepaald in hoeverre de beheersmaatregelen effectief zijn. De input vanuit de managers zorgt voor een kwalitatief, inhoudelijk oordeel over de stand van zaken. Ook wordt bij deze input beoordeeld of de huidige risico's en de bijbehorende inschatting nog actueel zijn. 

In elke tertiaalrapportage wordt over het risicomanagement gerapporteerd. Er wordt een terugkoppeling gegeven op de bevindingen van de uitgevoerde interne controles. Daarnaast worden relevante ontwikkelingen of gewijzigde omstandigheden gedeeld, die invloed hebben op één of meerdere risico's. Tot slot wordt aangegeven wat de stand van zaken is rondom de top risico's die voor het jaar zijn bepaald. De tertiaalrapportage wordt gedeeld met het MT, het bestuur en de RvC.