Eind 2014 is het 2e nationale onderzoek naar risicomanagement in Nederland gepresenteerd, tijdens een symposium op business school Nyenrode. De conclusies van dit waardevolle onderzoek waren het symposium al vooruit gesneld. Het komt er op neer dat, vijf jaar na het eerste onderzoek, het risicomanagement in Nederland geen stap verder lijkt te zijn gekomen. Evenals in 2009 geven bestuurders en managers die de vragenlijsten hebben ingevuld hun eigen risicomanagement een ruime voldoende (6,85 op de schaal van 1 tot 10). Dit terwijl uit hun antwoorden volgt dat het risicomanagement feitelijk ruim onvoldoende scoort, namelijk 4,60. Dit zijn de gemiddelden van 720 organisaties, zowel publieke instellingen als bedrijven, uit allerlei sectoren. Onthutsend? Hebben we met z’n allen in vijf jaar tijd echt niets kunnen leren?
Nu het stof wat is neergedaald is het tijd voor een reflectie op de oorzaken en mogelijke oplossingen voor deze situatie. Eerst de oorzaken. In het voorwoord van het onderzoeksrapport Hoeveel zijn we opgeschoten na de crisis? geeft directielid Jan Sijbrand van De Nederlandsche Bank twee oorzaken: risicomanagement wordt onvoldoende serieus genomen én risicomanagement is lastig. Is het gek dat risicomanagement onvoldoende serieus wordt genomen? Verder in het rapport wordt bijvoorbeeld aangegeven dat er geen eenduidige relatie is tussen integraal Enterprise Risk Management (ERM) en de resultaten ervan. Kortom, een kosten-baten analyse van risicomanagement blijkt nog steeds niet mogelijk. Dat risicomanagement lastig is, een tweede oorzaak van de standstill van risicomanagement, heeft te maken met het feit dat veel managers en bestuurders niet dol zijn op tegenspraak. Dat verstoort immers hun feestje. Hierbij raken we het hart van elke organisatie: de heersende cultuur. Die blijkt vaak niet ontvankelijk voor het gestructureerd en expliciet omgaan met onzekerheden, wat de kern van risicomanagement is.
Als we ons nu voor het gemak eens beperken tot deze twee oorzaken. Wat zijn dan kansrijke oplossingsrichtingen, om over vijf jaar uit het derde onderzoek wél te kunnen concluderen dat Nederland met risicomanagement vooruitgang heeft geboekt? Wat betreft het serieus nemen, we zouden de komende jaren eens serieus werk moeten maken van het evalueren van de effectiviteit van risicomanagement. Wat levert het nu eigenlijk op, voor wie en wanneer? Het onderzoeksrapport geeft hiervoor al een voorzet, door te stellen dat risicomanagement aan prestatiemanagement dient te worden gekoppeld. Echter, is het niet zo dat élk management prestatiemanagement is, of in elk geval zou moeten zijn? Risicomanagement moet dus aan management worden gekoppeld, of beter gezegd, er volledig in worden ingebed.
Hiermee raken we gelijk aan de tweede oorzaak voor het gebrek aan risicomanagement vooruitgang: het is zo lastig, omdat we met tegenspraak te maken krijgen. Dit heeft alles te maken met het “zo doen wij dat hier”, het fenomeen organisatiecultuur. En daarmee vooral met (gebrek aan) leiderschap dat die cultuur (mis)vormt. Hiermee komen we dus ook weer uit bij het gangbare management. Met wat slagen om de arm zijn in het onderzoek van 2014 drie van de 39 vragen aan organisatiecultuur gewijd. Dat is in elk geval een begin. Als de cultuurscores zouden zijn meegenomen, dan zou het gemiddelde cijfer van 4,60 dalen tot 4,32 of 4,06 (afhankelijk van de weging).
Voor mij staat nu één cruciale stap als een paal boven water: we moeten de moed hebben om zowel het risicomanagement zelf, als het management waar het uit voortkomt, zeer kritisch onder de loep te leggen en stevig ter discussie te stellen. Vijf jaar stilstand van risicomanagement in Nederland, terwijl crises elkaar opvolgen, legt een fundamenteel risicomanagementprobleem én een soortgelijk managementprobleem bloot. Is ons gangbare (risico)huidige management niet over de uiterste houdbaarheidsdatum heen? Lopen we niet tegen grenzen van vermeende maakbaarheid aan? Wat zijn we opgeschoten met management, als intussen ruim 12 % van de beroepsbevolking met burn-out verschijnselen kampt, zoals onlangs door TNO is aangetoond? Wat betekent dit voor de ontwikkeling van risicomanagement, dat door velen als een bureaucratische papieren tijger wordt ervaren? Moeten we dat nog wel serieus willen nemen? Proberen we met het huidige risicomanagement niet een vierkant door een driehoek van het management te duwen? Dit zijn de vragen, waar we het als (risico)managers en bestuurders de komende vijf jaar over moeten gaan hebben. Nu het goede nieuws: we kunnen er morgen al mee beginnen.
