Samenvatting
Wenselijke situatie
Bij het basisprofiel vallen drie stellingen in de klasse ‘duidelijk mee eens’. Dat gaat er om dat de risicobereidheid moet aansluiten bij de strategie, dat het de rvc duidelijk moet zijn wat de risicobereidheid van de rvb is en dat interne stakeholders moeten worden betrokken bij het bepalen van de risicobereidheid. Zes stellingen vallen in de klasse ‘min of meer mee eens’ en alleen de stelling over het compliancegericht zijn van de risicobereidheid valt in de klasse ‘mee oneens’.
De stellingen waarbij minimaal de helft van de benchmarks het 'duidelijk mee eens' is, zijn:
• de risicobereidheid sluit aan bij de strategie (76 procent van de benchmarks)
• interne stakeholders worden betrokken bij het bepalen van de risicobereidheid (76 procent van de benchmarks)
• het is de rvc duidelijk wat de risicobereidheid van de rvb is (72 procent)
• over de risicobereidheid wordt door rvc en rvb in voldoende mate gesproken (59 procent)
• de risicobereidheid wordt tenminste jaarlijks geëvalueerd (59 procent)
• het is de rvb duidelijk wat de risicobereidheid van de rvc is (50 procent)
Veranderwensen
Voor alle benchmarks gezamenlijk is het veranderpercentage 40 procent. Dat is niet laag. Alle veranderwensen die er zijn, zijn, behalve die bij het compliancegericht zijn, tegelijk ook verbeterwensen. Bij de bedrijfsbenchmarks heeft in de profitsector het beursgenoteerde bedrijf (basisprofiel) slechts één verbeterwens, MKB heeft er echter zes en GB zelfs acht. Bij de non-profitbenchmarks heeft de organisatie in de zorg- en welzijnssector bij alle tien de stellingen veranderwensen en de overige non-profit bij negen van de tien. De woningcorporatie, onderwijs en cultuur hebben er elk vier. Bij de persoonsgebonden benchmarks hebben de minder ervaren commissaris en jongere commissaris respectievelijk vijf en vier veranderwensen. De andere commissarissenbenchmarks hebben er twee of minder. Ook bij de niet-commissarissen is het beeld rustiger, de secretaris heeft met drie de meeste veranderwensen. Als enige persoonsgebonden benchmark heeft deze een verbeterwens bij de stellingen dat het de rvc duidelijk is wat de risicobereidheid van de rvb is en andersom dat het de rvb duidelijk is wat de risicobereidheid is van de rvc.
Dat risicobereidheid vooral compliancegericht is, levert met tien benchmarks de meeste veranderwensen op. Gevolgd door de stellingen dat de risicobereidheid tenminste jaarlijks wordt geëvalueerd en dat externe stakeholders worden betrokken bij het bepalen van de risicobereidheid. Bij beide zijn negen benchmarks van mening dat het anders moet.
Bij de andere zeven stellingen zijn telkens tussen de vier en zeven benchmarks van mening dat zaken anders moeten.
Huidige situatie
Bij het basisprofiel valt het merendeel van de stellingen in de klasse ‘min of meer mee eens’ qua instemming.
Alleen de stelling over het betrekken van interne stakeholders bij het bepalen van de risicobereidheid (‘duidelijk mee eens’) en de stelling over het vooral compliancegericht zijn van de risicobereidheid (oneens) zitten daar niet in.
Bij de bedrijfsbenchmarks hebben Zorg en OW gemiddeld de laagste scores/instemming. MKB is juist het meest tevreden. Bij de persoonsgebonden benchmarks is Merv het minst tevreden en IA het meest.
Onderzoeksvraag
Aan de respondenten zijn zes stellingen voorgelegd met betrekking tot risicomanagement en specifieker risicobereidheid. We hebben deze stellingen niet eerder voorgelegd en hebben daarom geen vergelijkingsmateriaal uit eerdere jaren.
Gebruikt is de 5-puntsschaal met: 1 = volstrekt oneens, 2 = oneens, 3 = deels oneens/deels eens, 4 = eens en 5 = volstrekt mee eens.
4.1Wenselijke situatie
.
Basisprofiel: risicobereidheid moet aansluiten bij strategie, interne stakeholders betrokken en rvc moet bereidheid rvb kennen
Gewenste situatie basisprofiel
Bij het basisprofiel vallen drie stellingen in de klasse ‘duidelijk mee eens’ (4.0 ≤ score < 4.5). Dat gaat er om dat de risicobereidheid moet aansluiten bij de strategie, dat het de rvc duidelijk moet zijn wat de risicobereidheid van de rvb is en dat interne stakeholders moeten worden betrokken bij het bepalen van de risicobereidheid.
Dat over de risicobereidheid door rvc en rvb in voldoende mate wordt gesproken, dat de risicobereidheid tenminste jaarlijks wordt geëvalueerd, dat het de rvc duidelijk is wat de risicobereidheid van de organisatie is, dat de risicobereidheid toetsbaar is, dat het de rvb duidelijk is wat de risicobereidheid van de rvc is en dat externe stakeholders worden betrokken bij het bepalen van de risicobereidheid valt allemaal binnen de klasse ‘min of meer mee eens’ (3.5 ≤ score < 4.0).
Risicobereidheid moet niet alleen compliancegericht zijn
In de klasse ‘neigt naar afwijzing’ (2.5 < score ≤ 2.8) bevindt zich alleen de stelling dat de risicobereidheid vooral compliance gericht is.
Draagvlak: hoe breed delen de benchmarks de wenselijkheid?
Tweederde van benchmarks duidelijk eens dat risicobereidheid moet aansluiten bij strategie en dat interne stakeholders worden betrokken bij het bepalen ervan
De procentueel meest gedeelde opvattingen waarbij minimaal de helft van de benchmarks het duidelijk eens is (score > 4.0) zijn:
• de risicobereidheid sluit aan bij de strategie (76 procent van de benchmarks)
• interne stakeholders worden betrokken bij het bepalen van de risicobereidheid (76 procent van de benchmarks)
• het is de rvc duidelijk wat de risicobereidheid van de rvb is (72 procent)
• over de risicobereidheid wordt door rvc en rvb in voldoende mate gesproken (59 procent)
• de risicobereidheid wordt tenminste jaarlijks geëvalueerd (59 procent)
• het is de rvb duidelijk wat de risicobereidheid van de rvc is (50 procent)
.
MKB bijna overal hogere mate van instemming dan het basisprofiel
Bedrijfsbenchmarks
In de profitsector zien we dat MKB, op één stelling na, een hogere mate van instemming heeft dan het basisprofiel. Zes daarvan zijn materieel van aard. GB heeft wat meer overeenstemming met bapr en heeft slechts drie materiële afwijkingen.
Drie van die verschillen zijn dat het beursgenoteerde bedrijf het ‘slechts’ 'min of meer mee eens' is dat het de rvb duidelijk is wat de risicobereidheid van de rvc is, dat door rvc en rvb in voldoende mate gesproken wordt over de risicobereidheid en dat risicobereidheid toetsbaar is. Terwijl GB en MKB het daar 'duidelijk mee eens' zijn.
Ze zijn het er alle drie ‘duidelijk mee eens’ of ‘volstrekt mee eens’ dat de externe stakeholders worden betrokken bij het bepalen van de risicobereidheid, dat het de rvc duidelijk is wat de risicobereidheid van de rvb is, dat de risicobereidheid aansluit bij de strategie en dat interne stakeholders worden betrokken bij het bepalen van de risicobereidheid.
In non-profitsector bij aantal stellingen ook hogere instemming dan basisprofiel
In de vergelijking met de benchmarks in de non-profitsector zien we enkele grote verschillen met het basisprofiel. En ook hier geldt dat deze verschillen een hogere instemming betekenen bij de non-profitbenchmarks dan bij het basisprofiel.
Zowel Corp, Zorg, Cult als ONP zijn het duidelijk eens dat het de rvb duidelijk is wat de risicobereidheid van de rvc is. Afgezien van Zorg vinden deze benchmarks ook dat er voldoende door rvc en rvb moet worden gesproken over risicobereidheid. Cult en ONP zijn het er ook ‘duidelijk mee eens’ dat de risicobereidheid toetsbaar moet zijn.
.
Veel overeenstemming met opvatting basisprofiel bij andere commissarissen
Persoonsgebonden benchmarks
Bij de commissarissen is het beeld een stuk rustiger in vergelijking met de bedrijfsbenchmarks. VZ, AC, Jong en rvbEL hebben nagenoeg dezelfde opvattingen als bapr. HR wijkt twee keer materieel en positief af. VR één keer materieel en positief en Merv één keer materieel negatief. Die laatste benchmark ‘neigt slechts naar instemming’ bij de stelling dat de risicobereidheid tenminste jaarlijks wordt geëvalueerd terwijl het basisprofiel het daar ‘min of meer mee eens’ is.
Met name IA heeft meer instemming dan basisprofiel
Bij de niet-commissarissen is het beeld minder rustig. Secr wijkt twee keer materieel af, en DIR één keer materieel. IA wijkt daarentegen vier keer materieel en positief af. In alle gevallen betreft dat meer instemming dan bij het basisprofiel. In veel van die gevallen is het het basisprofiel dat het ‘min of meer mee eens’ is met de stelling en dat één of twee van de andere drie benchmarks het daar dan ‘duidelijk mee eens is/zijn’. Bij de stelling dat interne stakeholders worden betrokken bij het bepalen van de risicobereidheid bestaat overigens geen verschil van inzicht.
4.2Veranderwensen en huidige situatie
.
Slechts één veranderwens
Basisprofiel
Het basisprofiel heeft slechts één veranderwens, een bespreekbaar geworden punt ten aanzien van het compliance gerichte karakter van de risicobereidheid.
.
Overall veranderpercentage van 38 procent
Andere benchmarks
Voor alle benchmarks gezamenlijk is het veranderpercentage met bijna 38 procent niet laag. De scores van die veranderingen liggen in de wenselijke situatie niet allemaal boven de 3.2. Dit betreft uitsluitend de stelling over het compliance gericht zijn van de risicobereidheid. Bij tien benchmarks is hier sprake van een bespreekbaar geworden punt. Voor de bedrijfsbenchmarks in totaal is het percentage 64 procent. De profitsector heeft een lager veranderpercentage dan de non-profitsector (50 om 74 procent).
Voor de persoonsgebonden benchmarks is het overall veranderpercentage 19 procent, waarbij de commissarissen en niet-commissarissen dicht bij elkaar liggen.
.
GB bij acht van de tien stellingen verbeterwensen
Bedrijfsbenchmarks
In de profitsector staat het aantal veranderwensen van het beursgenoteerde bedrijf (1) in schril contrast met het aantal van GB (8) en MKB (6). GB en MKB delen hun verbeterwensen ten aanzien van de stellingen dat het de rvb duidelijk moet zijn wat de risicobereidheid van de rvc is, dat de risicobereidheid aan moet sluiten bij de strategie, dat externe stakeholders betrokken worden bij het bepalen van de risicobereidheid en dat de risicobereidheid toetsbaar is.
Zorg overal veranderwensen, waarvan groot deel urgent
Ook bij de benchmarks in de non-profitsector zien we veel veranderwensen, die men vaak deelt. Koploper is Zorg die overal (deels urgente) veranderwensen heeft, op de voet gevolgd door ONP die bij de negen van de tien stellingen veranderwensen heeft. Corp, OW en Cult hebben er elk vier.
Zowel Corp Zorg, Cult als ONP zijn van mening dat rvc en rvb vaker over risicobereidheid moeten praten. Dat gebeurt nu niet voldoende. Verder vinden ze dat de risicobereidheid meer toetsbaar moet zijn en dat externe stakeholders meer of vaker betrokken moeten worden bij het bepalen van de risicobereidheid. In het verlengde van het voorgaande zijn dezelfde vier benchmarks van mening dat de risicobereidheid jaarlijks moeten worden geëvalueerd.
.
Tegengestelde wensen Jong, rvbEL en Merv bij betrekken externe stakeholders
Persoonsgebonden benchmarks
Bij de commissarissen is het aantal veranderwensen veel minder talrijk. Koplopers zijn Merv en Jong met respectievelijk vijf en vier veranderwensen. RvbEL heeft er twee, VZ en VR één en AC en HR geen.
Zowel VZ, Jong, VR, Merv als rvbEL hebben een veranderwens bij het compliancegericht zijn. We zijn niet helemaal zeker of dat een aanmoediging is om beter te voldoen aan wetgeving of dat we het omgekeerd moeten zien en dat het te veel een ‘compliancedingetje’ is geworden.
Verder zijn de tegengestelde meningen opvallend bij de stelling over het betrekken van externe stakeholders bij het bepalen van de risicobereidheid. Voor Jong en rvbEL mag dat wel wat minder terwijl Merv vindt dat dat juist wel wat beter kan.
Opmerkelijk signaal Secr over kennen van elkaars risicobereidheid door rvc en rvb
Bij de niet-commissarissen heeft DIR een verbeterwens bij het tenminste jaarlijks evalueren van de risicobereidheid en, opmerkelijk, een overkwalificatie bij het betrekken van interne stakeholders bij het bepalen van de risicobereidheid. Dat mag wel wat minder.
Voor IA mag de risicobereidheid wel wat minder compliancegericht zijn.
Secr tenslotte heeft drie verbeterwensen. Als enige persoonsgebonden benchmark heeft deze een verbeterwens bij de stellingen dat het de rvc duidelijk is wat de risicobereidheid van de rvb is en andersom dat het de rvb duidelijk is wat de risicobereidheid is van de rvc. Daarnaast heeft Secr een verbeterwens bij de stelling over het tenminste jaarlijks evalueren van de risicobereidheid.
.
Risicobereidheid te veel of te weinig compliancegericht?
Gedeelde veranderwensen
Dat risicobereidheid vooral compliance gericht is levert met tien benchmarks de meeste veranderwensen op. Gevolgd door de stellingen dat de risicobereidheid tenminste jaarlijks wordt geëvalueerd en dat externe stakeholders worden betrokken bij het bepalen van de risicobereidheid. Bij beide zijn negen benchmarks van mening dat het anders moet.
Bij de andere zeven stellingen zijn telkens tussen vier en zeven benchmarks van mening dat zaken anders moeten.
Huidige situatie
Basisprofiel grotendeels 'min of meer mee eens'
Bij het basisprofiel valt alleen de stelling dat de interne stakeholders worden betrokken bij het bepalen van de risicobereidheid in de klasse ‘duidelijk mee eens’ qua instemming. Nagenoeg alle andere stellingen (8) vallen in een klasse lager ‘min of meer mee eens’.
Alleen dat risicobereidheid vooral compliance gericht is, daar is het basisprofiel het ‘mee oneens’.
In de huidige situatie is bij één van de tien stellingen meer dan de helft van de benchmarks het minimaal ‘duidelijk mee eens’. Dat betreft de volgende stelling:
- interne stakeholders worden betrokken bij het bepalen van de risicobereidheid (59 procent van de benchmarks).
In de huidige situatie is daarnaast bij één van de tien stellingen meer dan de helft van de benchmarks het minimaal ‘duidelijk mee oneens’. Dat betreft de stelling:
- risicobereidheid is vooral compliance gericht (89 procent van de benchmarks)
In totaal 24 procent van de opties score ≥ 4.0
In totaal heeft 24 procent van de opties een score ≥ 4.0. In de wenselijke situatie is dat 49 procent. Wanneer we de grens bij een score van 3.5 leggen, scoort in de huidige situatie 71 procent boven die grens tegen 87 procent in de wenselijke situatie.
Bij de bedrijfsbenchmarks hebben Zorg en OW gemiddeld de laagste scores/instemming. MKB is juist het meest tevreden. Bij de persoonsgebonden benchmarks is Merv het minst tevreden en IA het meest.
4.3Enige bespiegelingen/vragen/kanttekeningen
IA huiverig dat compliance dominanter wordt in discussie over risicobereidheid?
IA is de enige benchmark die bij de stelling dat risico vooral compliance gericht is in de huidige situatie (1.85) een hogere score heeft staan dan in de wenselijke situatie (1.61). Deze uitkomst puzzelt ons, gezien de beweging bij de meeste andere benchmarks in de tegengestelde richting. Misschien constateren internal auditors in steeds vaker dat er met name vanuit de commissarissen wijst op de noodzaak om te voldoen aan alle verplichtingen en voorschriften van wet en toezichthoudende instanties. Vermoedelijk zijn dit dan vooral de commissarissen in de auditcommissies die daar op hameren. In de beleving van de IA’s is daarmee het gevaar aanwezig dat de meer bedrijfsmodel georiënteerde risico’s verhoudingsgewijs minder aandacht krijgen dan wenselijk is. Deze laatste risico’s zijn meestal moeilijker te kwantificeren dan wet en voorschriften. De laatste bewegen zich in categorie van ja of nee.
Lage score voor compliance-oriëntatie bij risicobereidheid, maar unheimisch gefühl?
Opvallend is dat met betrekking tot het vooral compliance gericht zijn van de risicobereidheid de overall gemiddelde score van 2.1 in de huidige situatie aangeeft dat daarvan absoluut geen sprake is. Ook de overall gemiddelde score van 2.5 in de wenselijke situatie geeft aan dat daarvan nog steeds geen sprake is. Toch duidt het verschil in waardering op een veranderwens en wel een bespreekbaar geworden punt. Rationeel is te begrijpen dat het antwoord met betrekking tot risicobereidheid bij het compliance gericht zijn zeker niet moet domineren. Wel is er bij deze stelling zowel in de huidige als de wenselijke situatie sprake van een relatief hoge standaarddeviatie, waarbij die in de wenselijke situatie de hoogste is van alle bij dit onderdeel gehanteerde stellingen. Er lijkt sprake te zijn van twijfel of onbehaaglijke gevoelens. Een van de oorzaken kan zijn dat in de laatste jaren bedrijven, bestuurders en commissarissen vaker dan in het verleden juridisch aangesproken zijn op hun falen/tekort schieten en dat dit ook vaker succesvol is gebleken. Dat kan ertoe leiden dat iets wat meestal betrekkelijk gemakkelijk is vast te stellen ‘het wel of niet voldoen aan (wettelijke) voorschriften’ meer aandacht heeft gekregen vanuit het voorkomen van juridisch aangesproken te worden. Vanuit de commissarissen zal dit als het ware een hygiëne maatregel zijn. Voldoen aan de wet zal een zero-tolerance punt zijn wat betreft risicobereidheid. Maar de vraag is of dat in de cultuur van het bedrijf ook zo wordt gezien en nageleefd. Misschien is er enige aarzeling bij commissarissen of ze echt wel zeker weten of dat inderdaad het geval is. En voorstelbaar is dat deze aarzeling bij bedrijven die ook vestigingen in andere landen/culturen hebben groter is.
Is aantal verbeterwensen minder ervaren commissaris een indicatie dat men risicobereidheid niet voldoende uitspreekt?
Opvallend is dat de bedrijfsbenchmarks met een veranderpercentage van 64 procent aanzienlijk meer veranderwensen hebben dan de persoonlijke benchmarks met 19 procent. Een afdoende verklaring hiervoor hebben we niet. Het kan zijn dat de individuele respondent opvattingen heeft die het merendeel van zijn collega-commissarissen misschien niet deelt en dat risicobereidheid niet een aandachtsgebied is dat voor alle commissarissen in gelijke mate leeft. Of dat de betrokken commissaris er niet in slaagt zijn medecommissarissen mee te nemen in zijn/haar zienswijze. Of het misschien zelfs niet probeert. Wat dat betreft zijn de vijf verbeterwensen van de minder ervaren commissaris misschien een indicatie dat commissarissen, bestuurders en deze partijen gezamenlijk het onderwerp risicobereidheid nog niet breed en diep genoeg bespreken. Wat voor de ervaren commissaris dan ‘gesneden, maar misschien wel onbesproken, koek’ is.
Moet een rvc wel of geen innovatieve houding hebben?
In het 2021/2022 onderzoek hebben we zeventien ondernemingswaarden voorgelegd, waaronder ‘innovatief’. Dat leverde destijds de tweede plaats op qua aantal verbeterwensen bij dit onderwerp, na proactiviteit. Dertien benchmarks vonden dat innovatie beter in de organisatie geborgd moest worden. Voor twee benchmarks was dat zelfs urgent.
Vier jaar later hebben we met het onderwerp risicobereidheid een aan innovatief gerelateerd onderwerp te pakken. Immers, je kunt niet zeggen dat de organisatie zich innovatiever moet gaan gedragen zonder dat in de strategie duidelijk is wat de risicobereidheid is op bepaalde punten. Hoe ver mogen medewerkers, afdelingen en vestigingen gaan? Durft de rvc de van nature aanwezige risicomijdende blik wat te laten varen? Of wil hij het één (een meer innovatieve cultuur), maar acteert hij tegenovergestelde? Ondernemerschap veronderstelt risico’s nemen en fouten durven en mogen maken. Hoe kan een rvc daaraan bij dragen en weet hij van zichzelf wat voor signalen hij met betrekking tot innovatie uitzendt?
Betrekken externe stakeholders
In hoeverre moeten externe stakeholders worden betrokken het bepalen van risicobereidheid? Daar zien we bij de antwoorden tegengestelde bewegingen. Alle bedrijfsbenchmarks, behalve het beursgenoteerde bedrijf, geven aan dat dat wat meer dan nu moet gebeuren. Overigens zonder heel duidelijk met de stelling in te stemmen, dus dat betrekken moet wel met enige mate van terughoudendheid plaatsvinden. De jongere commissaris en de commissaris die elders in een rvb zit geven juist het signaal dat het wel een tandje minder mag. Even los van de (extra) tijdsinvestering uiteraard kan het zijn dat hierbij gedacht is aan wetgeving, inspecties en externe toezichthouders die in de beeldvorming een hindernis zijn. We willen wel meer risico nemen, maar het mag/kan niet. Het kan ook te maken hebben met een onvoldoende ontwikkeld beeld van stakeholders. Betreft het bepalen van risicobereidheid alleen de eigen organisatie? Spelen natuur en leveranciers en afnemers ook een rol?
Voert men het gesprek over risicobereidheid vooral in de auditcommissie?
Vorig jaar schreven we, naar aanleiding van de resultaten en van de introductie van de verklaring omtrent risicobeheersing (VOR), dat het er op lijkt dat de respondent van het beursgenoteerde bedrijf aangeeft dat er een tandje bij moet om de doelstellingen van de VOR te halen. Een van de doelstellingen van de VOR is dat bedrijven hun risicomanagement niet één keer per jaar actualiseren, maar dat actueler houden. Daar sluit de in het huidige onderzoek voorgelegde stelling over het tenminste jaarlijks evalueren van de risicobereidheid goed bij aan. Het is de stelling waarbij de standaarddeviatie in de huidige situatie het grootst is. Het beursgenoteerde bedrijf heeft daar overigens geen verbeterwensen, maar bijna alle andere bedrijfsbenchmarks wel. De stelling staat zelfs op de gedeelde twee plaats qua aantal verbeterwensen bij het onderdeel risicobereidheid. Bij de bedrijfsbenchmarks is dat vooral in de non-profit te zien. Bij de persoonsgebonden benchmarks zijn het de jongere en de minder ervaren commissaris die vinden dat het beter kan, maar ook het rvb-lid en de secretaris van de rvc. Opvallend genoeg zijn de internal auditor en de commissaris die lid is van de auditcommissie wel tevreden. Vliegt men de risicobereidheid vooral financieel aan en is deze daarmee grotendeels beperkt tot de auditcommissie?