Hoe bereid ik mijn organisatie voor op risico's die ik niet zie aankomen?

Risicomanagement op organisatieniveau richt zich meestal op bekende en voorzienbare risico’s, met als doel negatieve uitkomsten te vermijden. Het effect kan tegengesteld zijn: een organisatie die alles uitsluit, doet geen ervaring op met tegenslag. Wendbaarheid is het alternatief. Richt processen en middelen zo in dat ze ook passen bij risico’s die je niet hebt voorzien.

Een risicoregister bevat vooral wat we al kennen

Een risicoregister wordt gevuld met wat de organisatie zelf heeft meegemaakt of ergens heeft zien gebeuren. Dat is onvermijdelijk, want je kunt alleen benoemen wat je kunt bedenken. Het gevolg is een lijst van voorzienbare gebeurtenissen, terwijl de schade meestal komt uit een combinatie die niemand had opgeschreven.

Zo’n lijst wordt bovendien van onderaf opgebouwd, uit project- en afdelingsrisico’s. Wat de organisatie als geheel bedreigt staat er zelden in, omdat niemand die het register vult op dat niveau kijkt. Een bestuurder die vraagt of de risico’s in beeld zijn, krijgt dus een bevestigend antwoord over het verkeerde deel van de werkelijkheid.

Een risico is een afwijking met gevolgen voor de hele organisatie

Een risico is een uitkomst die afwijkt van wat je verwachtte en die significante invloed heeft op het resultaat. In die definitie zitten twee criteria, en in de praktijk sneuvelen ze allebei.

De afwijking kan ook naar boven uitvallen. Bijna alle aandacht gaat naar de afwijking omlaag. Benader je het van de andere kant, dan gaat het over positieve afwijkingen en wordt risicomanagement kansenmanagement. Beide zijn nuttig, maar de nadruk ligt te eenzijdig op de negatieve kant.

Significant betekent significant voor de organisatie. Een vertraging in een project is een projectrisico. Een fout van een medewerker is een beheersingsvraag. Beide horen in de lijn thuis en niet op de bestuurstafel. Een organisatierisico raakt de koers, de financiële positie of het bestaansrecht. Een register dat volloopt met projectrisico’s geeft een bestuur het gevoel dat het in control is, terwijl het over de blootstelling van de organisatie nog niets heeft gehoord.

Een derde punt hoort erbij. Risico dragen is niet verkeerd. Risico dragen zonder grip op je exposure is verkeerd. Een organisatie die weet hoe groot haar blootstelling is, wat die kost als het misgaat en tot waar ze dat kan dragen, mag dat risico houden. Een organisatie die dat niet weet, heeft geen risicobeleid. Die heeft hoop.

Alles uitsluiten maakt een organisatie onervaren

Hyman Minsky stelde dat hoe stabieler een situatie is en hoe langer die stabiliteit duurt, hoe instabieler de situatie zal zijn wanneer de crisis toeslaat. Stabiliteit bouwt kwetsbaarheid op, omdat niemand meer oefent.

Een organisatie die haar risico’s stelselmatig uitsluit, bouwt dezelfde kwetsbaarheid op als een markt die lang stabiel is geweest. Wie elk risico wegneemt voordat het zich kan voordoen, doet geen ervaring op in het omgaan met tegenslag. Gebeurt er dan iets wat niet op de lijst stond, dan moet het bestuur improviseren zonder dat het dat ooit heeft gedaan.

Samen met Jan de Dood, Cheimaa Aouni en Pepik Henneman schreef ik het essay Hoop is geen strategie, over wat een economische neergang doet met de woningbouw. In dat scenario loopt de hypotheekrente op naar zes procent, dalen de huizenprijzen in een jaar met dertig procent en het bouwvolume met tien procent, en stijgt de werkloosheid voorbij vijf procent. Geen van die bewegingen staat op zichzelf in een risicoregister. Het is de combinatie die de investeringsruimte van een woningcorporatie wegneemt.

Voorkomen, mitigeren en anti-fragiliteit zijn niet gelijkwaardig

Er zijn drie manieren om met risico om te gaan.

Voorkomen. Zorgen dat een gebeurtenis niet kan plaatsvinden, door bepaalde handelingen uit te sluiten.

Mitigeren. Zorgen dat een gebeurtenis zo min mogelijk impact heeft, door de klap te kunnen opvangen.

Anti-fragiliteit. Zorgen dat een negatieve gebeurtenis omgezet kan worden in iets positiefs, zodat de organisatie sterker uit de situatie komt.

De eerste twee gaan over het vermijden van negatieve gebeurtenissen. Alleen de derde gaat over kansen. En alleen de derde stelt een inrichtingsvraag in plaats van een maatregelenvraag: hoe richt je processen zo in dat ze wendbaar zijn en openstaan voor onconventionele aanpassingen?

Die vraag beantwoord je niet tijdens een crisis. Je beantwoordt hem ervoor, of niet.

Wendbaarheid vraagt iets van het bestuur, niet van de risicomanager

In theorie kiezen bestuurders voor adaptiviteit. In de praktijk blijken ze hun manier van denken vaak niet te kunnen omzetten op het moment dat een crisis zich aandient.

Niet elke crisis is dezelfde crisis. Een noodsituatie waarin het functioneren van een systeem ernstig verstoord raakt, vraagt om het draaiboek: terug naar normaal. Een noodsituatie waarin het functioneren van een systeem fundamenteel verandert, vraagt om iets anders, want normaal komt niet terug. Door geopolitieke verschuivingen, vergrijzing en de doorbraak van AI is die tweede soort vaker aan de orde dan de eerste.

Een bestuurder die in dat geval uit ervaring denkt te weten wat de koers is, is zelf het risico.

Wat je nu kunt inrichten

Wendbaarheid is geen houding maar een inrichting. Ze zit in hoe je contracten schrijft, hoe afhankelijk je productieketen is, hoeveel ruimte je begroting heeft en hoe snel je een besluit kunt herzien. Dat is te onderzoeken en vast te leggen, ook als er geen crisis in zicht is.

Jente Waal adviseert vanuit 5p B.V. bestuur en directie over strategie, financiën en governance. Het vraagstuk weerbaarheid vergroten gaat hier rechtstreeks over: risico’s in kaart brengen en de organisatie bestendig maken. Wil je eerst weten waar je staat, dan geeft de Strategic Maturity Analysis daar in een week antwoord op.