Samenvatting
Het percentage veranderwensen is met 63 procent aan de hoge kant, net als in 2019 met 59 procent. In het onderzoek zijn we niet expliciet ingegaan op het samenvallen van risico’s. Dit is wel in veel interviews aan de orde gekomen. Hieruit bleek dat dit binnen de bedrijven geen standaardpraktijk is bij de analyse van risico’s en risicomanagement. Daarmee rijst de vraag: hoe adequaat zijn sommige scenario’s?
Daarnaast vielen verschillende organisaties terug op een crisisteam met crisisprocedures. Ook dit hebben we niet expliciet in het onderzoek opgenomen. De vraag is: leent elk risico zich om pas aan te pakken op het moment dat dit zich manifesteert? Het managen van een aantal risico’s kan volgens ons niet zonder dat al wat infrastructurele maatregelen zijn getroffen.
Wenselijke situatie
Het basisprofiel is het er volstrekt dan wel duidelijk mee eens dat er een scenario moet liggen voor calamiteiten veroorzaakt door brand, cybercrime, stroomtekort, wegvallen van internet, negatieve publiciteit, levering van defecte producten/diensten, publiek optreden van een klokkenluider, handelen in strijd met de gedragscode van het bedrijf, handelen in strijd met de wet, handelen in strijd met de privacywetgeving en het onverwacht wegvallen van de ceo. Allemaal scenario’s waar minstens de helft van de benchmarks met dezelfde mate van instemming achterstaat. Een scenario klaar hebben liggen voor calamiteiten veroorzaakt door een watertekort is niet direct noodzakelijk.
De resultaten van dit hoofdstuk zijn in lijn met de verbeterwensen die we in het vorige hoofdstuk hebben besproken bij de stelling dat risicomanagement meer is dan een administratieve exercitie. Wij denken alleen dat de respondenten enigszins optimistisch zijn over de huidige situatie en dat het gat naar de wenselijke situatie wat groter is dan zij dachten/vermoedden.
Veranderwensen
Bij vijf van de twintig stellingen hebben minstens tien benchmarks een veranderwens. Dat zijn de stellingen over het hebben van een scenario bij calamiteiten veroorzaakt door terrorisme (13 benchmarks), door negatieve publiciteit, door publiek optreden van een klokkenluider, door handelen in strijd met de principes van duurzaam ondernemen (elk 11 benchmarks) en calamiteiten veroorzaakt door wateroverlast (10 benchmarks).
De enige stelling met weinig veranderwensen (3 benchmarks) is die voor een scenario voor brand. Dat is alleen voor de benchmarks woningcorporatie, overige- nonprofit en jongere commissaris een verbeterwens.
Huidige situatie
Het basisprofiel geeft alleen bij de scenario’s voor calamiteiten veroorzaakt door brand, cybercrime, levering van defecte producten/diensten en handelen in strijd met de wet een duidelijke mate van instemming af. Het ontbreken van een duidelijke instemming vinden we ook bij de andere benchmarks terug. Alleen bij brand, cybercrime en handelen in strijd met de wet zien we dat meer dan de helft van de benchmarks daar duidelijk mee instemt. Een lage mate van instemming over de aanwezigheid komt dan ook veelvuldig voor. Opvallend aan de ene kant is de benchmark woningcorporatie die op veel scenario’s zeer laag scoort en aan de andere kant de benchmarks commissaris die tevens lid is van de auditcommissie en de commissaris die tevens lid is van de remuneratiecommissie die bij veel scenario’s juist hoger scoren.
Historische vergelijking
Elf van de voorgelegde scenario’s hebben we in 2019 ook voorgelegd. En we zien veel verschillen bij de benchmarks hoe ze daar nu tegenaan kijken en hoe ze daar toen tegenaan keken. Met name in de huidige situatie. De aanwezigheid van een scenario in verband met calamiteiten veroorzaakt door cybercrime is een stuk waarschijnlijker geworden. De aanwezigheid van een scenario voor calamiteiten veroorzaakt door optreden van een klokkenluider of door handelen in strijd met de wet zijn is juist minder waarschijnlijk.
We zien in navolging van het basisprofiel dat acht benchmarks het wenselijker vinden dan in 2019 om een scenario te hebben voor calamiteiten veroorzaakt door cybercrime en zes benchmarks om een scenario voor een onverwacht wegvallen van de ceo. Daarnaast volgen negen benchmarks de lijn van het basisprofiel dat een scenario voor terrorisme minder nodig is dan in 2019. Zes benchmarks volgen de lijn dat een scenario voor handelen in strijd met de principes van duurzaam ondernemen minder nodig is dan in 2019.
Onderzoeksvraag
We vroegen aan de respondenten of hun organisatie een draaiboek/(nood)scenario heeft voor het omgaan met twintig soorten calamiteiten. Elf van deze calamiteiten hebben we in 2019 ook al voorgelegd. Daarmee kunnen we deze vergelijken in de tijd. De andere negen zijn nieuw en dat betekent dat we die niet kunnen vergelijken in tijd.
We hebben de 5-puntsschaal gebruikt met 1 = volstrekt oneens, 2 = oneens, 3 = deels oneens/deels eens, 4 = eens en 5 = volstrekt mee eens.
6.1 Wenselijke situatie
.
Basisprofiel: scenario voor brand en cybercrime zeer gewenst. Watertekort lijkt geen probleem te zijn.
Basisprofiel
Het basisprofiel heeft de hoogste mate van instemming, volstrekt eens (score ≥ 4.5) met zes stellingen met de maximale score voor de stellingen dat er een scenario ligt voor calamiteiten veroorzaakt door brand en door cybercrime. De andere calamiteiten in deze categorie zijn: handelen in strijd met de wet, wegvallen internet, negatieve publiciteit en levering defecte producten/diensten.
In totaal vallen vijf stellingen in de klasse duidelijk mee eens (4.0 ≤ score < 4.5). Het gaat er hierbij om scenario’s voor calamiteiten veroorzaakt door het onverwacht wegvallen van de ceo, handelen in strijd met de privacywetgeving, handelen in strijd met de gedragscode van het bedrijf, een stroomtekort en een publiek optreden van een klokkenluider.
In de klasse min of meer eens (3.5 ≤ score < 4.0) vinden we zes stellingen. Het gaat daarbij om scenario’s met betrekking tot calamiteiten veroorzaakt door externe stakeholders, de nationale politiek, handelen in strijd met de principes van duurzaam ondernemen, wateroverlast, geopolitiek en terrorisme.
In de klasse neigt naar instemming (3.2 ≤ score < 3.5) zitten de stellingen dat het wenselijk is dat er een scenario ligt voor calamiteiten veroorzaakt door polarisatie bij interne stakeholders en hittestress.
In de klasse oneens/eens (2.8 ≤ score < 3.2) vinden we de stelling over een scenario bij calamiteiten veroorzaakt door een watertekort.
Draagvlak: hoe breed delen de benchmarks de wenselijkheid?
Scenario voor brand, cybercrime en wegvallen internet voor iedereen wenselijk
De procentueel meest gedeelde opvattingen (score veelal > 4.0) door de benchmarks zijn, calamiteiten veroorzaakt door:
- brand (100 procent eens, alle benchmarks)
- cybercrime (100 procent)
- wegvallen internet (100 procent)
- onverwacht wegvallen van de ceo (92 procent)
- negatieve publiciteit (85 procent)
- handelen in strijd met gedragscode bedrijf (83 procent)
- handelen in strijd met de wet (83 procent)
- levering van defecte producten/diensten (75 procent)
- handelen in strijd met de privacywetgeving (75 procent)
- publiek optreden van een klokkenluider (69 procent)
- stroomtekort (54 procent)
Hittestress, wateroverlast, watertekort, polarisatie bij interne stakeholders en nationale politiek worden door geen van de benchmarks als calamiteiten gezien, waarvoor een draaiboek beslist als wenselijk is. Ook terrorisme, polarisatie bij externe stakeholders en geopolitiek scoren met elk slechts één benchmark niet hoog op de urgentieladder. Met twee benchmarks blijft een draaiboek in het geval van handelen in strijd met de principes van duurzaam ondernemen ook in de onderste regionen. Het zou wel eens interessant kunnen zijn de resultaten van een aantal (wetenschappelijke en ook historische) onderzoeken eens rustig en onbevangen te bespreken. Wie weet wat er dan gaat gebeuren?
Andere benchmarks vergeleken met basisprofiel
.
GB redelijk eens met basisprofiel. MKB veel verschillen over wenselijkheid
Bedrijfsbenchmarks
In de profitsector zien we vooral bij het MKB veel materiële verschillen met het basisprofiel (7). Waar het basisprofiel het min of meer mee eens is dat er een (nood)scenario komt voor calamiteiten veroorzaakt door geopolitiek twijfelt het MKB of dat wenselijk is. Een scenario voor een publiek optreden van een klokkenluider, handelen in strijd met de wet en handelen in strijd met privacywetgeving is volgens MKB min of meer wenselijk en voor het basisprofiel (zeer) wenselijk. Het neigt naar instemming bij een scenario voor handelen in de strijd met de principes van duurzaam ondernemen. Het MKB is het nagenoeg oneens dat er een scenario moet komen voor calamiteiten veroorzaakt door hittestress. Dat vindt het basisprofiel min of meer wenselijk. Het MKB is het nog meer oneens dat er een scenario moet komen voor calamiteiten veroorzaakt door een watertekort.
GB wijkt geen enkele keer materieel af van het basisprofiel.
In non-profitsector vaak minder instemming
In de non-profitsector hebben alleen Corp en ONP voldoende waarnemingen. Corp wijkt bij vijftien van de twintig stellingen negatief af, waarvan twaalf materieel. ONP elf keer, waarvan zeven materieel. Alle verschillen duiden op een lagere mate van instemming.
Beide zien geen noodzaak voor het maken van een scenario in verband met calamiteiten veroorzaakt door terrorisme en door polarisatie bij interne stakeholders. Verder hebben ze een materieel lagere wenselijkheid met een min of meer eens standpunt voor een draaiboek ten behoeve van een stroomtekort en van een publiek optreden van een klokkenluider.
Corp wil geen scenario voor calamiteiten veroorzaakt door geopolitiek en vindt het slechts min of meer wenselijk dat er een scenario moet zijn bij levering van defecte producten/diensten, negatieve publiciteit en van het onverwacht wegvallen van de ceo. Dit laatste geldt ook voor handelen in strijd met de wet, met de gedragscode van het bedrijf en met de privacywetgeving. Handelen in strijd met de principes van duurzaam ondernemen, daarentegen, heeft weer een lagere prioriteit.
Van ONP hoeft er geen scenario te komen voor calamiteiten veroorzaakt door watertekort of hittestress. Over een scenario bij wateroverlast twijfelt deze bedrijfsbenchmark, in tegenstelling tot de andere benchmarks die het daar min of meer mee eens zijn.
.
Bij persoonsgebonden commissarissen benchmarks mix van meer en minder instemming met basisprofiel. Met name Remu paar keer lagere instemming
Persoonsgebonden benchmarks
Bij de commissarissen is het beeld wat rustiger in vergelijking met de bedrijfsbenchmarks. Remu en VZ wijken vijf keer materieel af, VR en rvbEL drie keer, AC twee keer en Jong één keer. Bij Remu zijn alle afwijkingen negatief, dus minder instemming met het betreffende scenario dan het basisprofiel. Het gaat hierbij om terrorisme, geopolitiek, nationale politiek, polarisatie bij externe stakeholders en watertekort. VZ is net iets positiever dan het basisprofiel over een scenario bij calamiteiten veroorzaakt door een watertekort (neigt naar instemming) en bij handelen in strijd met de principes van duurzaam ondernemen (is het daarmee eens). Een lagere mate van instemming betreft de scenario’s voor wateroverlast, stroomtekort en levering defecte producten/diensten. VR scoort het hoogst van alle persoonsgebonden benchmarks als het gaat om scenario’s bij terrorisme, watertekort en hittestress en dus ook hoger dan het basisprofiel.
AC is positiever over een scenario bij calamiteiten veroorzaakt door interne stakeholders en handelen in strijd met de principes van duurzaam ondernemen.
Jong is het positiefst van alle persoonsgebonden benchmarks over een scenario voor calamiteiten veroorzaakt door geopolitiek.
RvbEL vindt, net als Remu, het onwenselijk om een scenario te hebben voor calamiteiten veroorzaakt door watertekort en twijfelt daarnaast met minder instemming voor een draaiboek bij calamiteiten veroorzaakt door wateroverlast.
.
Vooral IA wijkt af van basisprofiel (zeven keer)
Individuele bijscholing
Bij de niet-commissarissen valt op dat IA positiever is over een scenario bij calamiteiten veroorzaakt door polarisatie bij interne stakeholders en bij calamiteiten veroorzaakt door watertekort. Daarentegen is IA minder enthousiast over een scenario als het gaat over polarisatie door externe stakeholders. Ook is IA het slechts min of meer mee eens als het gaat over een scenario voor calamiteiten veroorzaakt door levering van defecte producten/diensten. DIR heeft een lagere instemming voor een scenario voor stroomtekort en negatieve publiciteit.
6.2 Veranderwensen en huidige situatie
.
Vier urgente verbeterwensen, tien forse verbeterwensen
Basisprofiel
Bij het basisprofiel geldt dat bij maar liefst veertien stellingen sprake is van verbeterwensen. Vier daarvan zijn een urgente verbeterwens. Het gaat hierbij om terrorisme, wateroverlast, publiek optreden van een klokkenluider en handelen in strijd met de principes van duurzaam ondernemen. Daarnaast zijn er nog tien forse verbeterwensen. Kortom, bij slechts zes van de twintig stellingen bij dit onderwerp heeft het basisprofiel geen veranderwensen.
.
Hoog overall veranderpercentage
Andere benchmarks
Voor alle benchmarks gezamenlijk is het veranderpercentage met 63 procent hoog. De scores van die veranderingen liggen in de wenselijke situatie niet allemaal boven de 3.2. Dat betekent dat een deel ook bespreekbare punten zijn (score < 3.2). Voor de bedrijfsbenchmarks in totaal is het percentage 62 procent. De profitsector heeft een iets hoger veranderpercentage dan de non-profitsector (68 procent om 54 procent).
Voor de persoonsgebonden benchmarks is het overall veranderpercentage 63 procent, waarbij de commissarissen en niet-commissarissen dicht bij elkaar liggen (64 procent om 61 procent).
.
Voor terrorisme, geopolitiek, watertekort, wateroverlast, optreden klokkenluider en handelen in strijd met duurzaam ondernemen telkens twee benchmarks met urgentie
Bedrijfsbenchmarks
In de profitsector hebben het basisprofiel en GB beide veertien veranderwensen, MKB dertien. Een scenario voor wateroverlast is bij alle drie een urgente verbeterwens. Urgentie voelen Bapr en MKB ook bij het nadenken over wat te doen bij terrorisme. Voor GB een forse verbeterwens. Voor Bapr en GB zijn ook urgente verbeterwensen de draaiboeken voor een publiek optreden van een klokkenluider en voor het handelen in strijd met principes van duurzaam ondernemen, voor MKB bij beide een forse verbeterwens. Geopolitiek is bij GB een urgente verbeterwens en voor MKB een urgent bespreekbaar punt. Watertekort is bij GB en MKB een urgent bespreekbaar punt. GB heeft daarnaast nog urgente verbeterwensen voor hittestress en negatieve publiciteit.
In totaal hebben de drie benchmarks uit de profitsector voor acht calamiteiten een gedeelde veranderwens. Alleen met betrekking tot een draaiboek voor calamiteiten bij brand denken zij alles goed geregeld te hebben.
In de non-profitsector zien we dat Corp vijftien veranderwensen heeft en ONP zeven. Die delen zij, op één na, met elkaar. Bij Corp zijn er zes een urgente verbeterwens en drie een urgent bespreekbaar punt. Voor ONP zijn van die zeven één een urgente verbeterwens, één een urgent bespreekbaar punt en de andere vijf forse veranderwensen. Beide delen de urgentie voor geopolitiek en wateroverlast, voor een van de twee is dat een bespreekpunt en voor de ander een urgente verbeterwens.
Opvallend is dat deze benchmarks beide wel een verbeterwens hebben voor een scenario voor calamiteiten bij brand.
.
Ook bij persoonsgebonden benchmarks veel verbeterwensen, met name bij Jong, rvbEL, VZ en VR
Persoonsgebonden benchmarks
Bij de commissarissen heeft Jong de meeste veranderwensen (18) en rvbEL (16), VZ (15) en VR (14) hebben er ook veel. Remu is relatief het meest tevreden (6). Bij alle benchmarks is de stelling over terrorisme een urgent punt. Voor Remu een urgent bespreekbaar punt, voor de anderen een urgente verbeterwens. Twee andere onderwerpen waar alle commissarissen een (urgente) verbeterwens hebben is bij een publiek optreden van een klokkenluider en bij handelen in strijd met de principes van duurzaam ondernemen.
Bij de niet-commissarissen heeft IA elf veranderwensen. Urgent zijn die voor hittestress, stroomtekort, wegvallen internet en onverwacht wegvallen van de ceo. DIR heeft bij zes van de acht stellingen met voldoende waarnemingen veranderwensen. Urgent is die bij terrorisme, publiek optreden van een klokkenluider en onverwacht wegvallen van de ceo.
.
Vijf risico’s waar tien of meer benchmarks veranderwensen hebben
Gedeelde veranderwensen
Bij vijf van de twintig stellingen hebben minstens tien benchmarks een veranderwens. Dat zijn de stellingen over het hebben van een scenario bij terrorisme (13), negatieve publiciteit, publiek optreden van een klokkenluider, handelen in strijd met de principes van duurzaam ondernemen (elk 11) en calamiteiten veroorzaakt door wateroverlast (10).
De enige stelling met weinig veranderwensen (3) is die voor een scenario voor brand. Dat is alleen voor Corp, ONP en Jong een verbeterwens.
Huidige situatie
.
Beperkte overtuiging van bestaan scenario’s door basisprofiel
Basisprofiel
Bij het basisprofiel vallen alleen het hebben van scenario’s voor calamiteiten veroorzaakt door brand en cybercrime in de klasse met de hoogste mate van instemming, volstrekt eens (score ≥ 4.5). Scenario’s voor levering van defecte producten/diensten en handelen in strijd met de wet zitten in de klasse duidelijk mee eens qua instemming.
In de klasse min of meer mee eens (3.5 ≤ score < 4.0) vinden we scenario’s voor handelen in strijd met de privacywetgeving, handelen in strijd met de gedragscode van het bedrijf, onverwacht wegvallen van de ceo, negatieve publiciteit, calamiteiten veroorzaakt door wegvallen van internet, stroomtekort en polarisatie bij externe stakeholders.
In de klasse neigt naar instemming (3.2 ≤ score < 3.5) zitten de scenario’s voor calamiteiten veroorzaakt door nationale politiek en calamiteiten veroorzaakt door polarisatie bij interne stakeholders.
Twee stellingen vallen in de klasse deels oneens/deels eens (2.8 ≤ score < 3.2): publiek optreden van een klokkenluider en geopolitiek. Bij de andere stellingen liggen de scores (ruim) onder de 2.8 en daarmee is het basisprofiel het dan oneens. Het gaat daarmee om het ontbreken van een scenario bij wateroverlast, handelen in strijd met de principes van duurzaam ondernemen, hittestress, watertekort en terrorisme.
Scenario in het geval van brand bij iedereen aanwezig. Bij meerderheid ook scenario voor cybercrime
In de huidige situatie is bij slechts drie van de twintig stellingen meer dan 50 procent van de benchmarks het minimaal duidelijk eens. Dat gaat om de aanwezigheid van een scenario in het geval van brand (100 procent, alle benchmarks), in het geval van cybercrime (79 procent) en in het geval van handelen in strijd met de wet (54 procent).
In totaal 23 procent van de opties score ≥ 4.0
In totaal heeft 23 procent van de opties een score ≥ 4.0. In de wenselijke situatie is dat 49 procent. Leggen we de grens bij een score van 3.5, dan scoort in de huidige situatie 45 procent boven die grens tegen 76 procent in de wenselijke situatie.
Lagere scores dan 2.8 (oneens tot en met volstrekt oneens) komen vaak voor. 77 procent van de benchmarks geeft aan geen scenario te hebben liggen voor calamiteiten veroorzaakt door terrorisme, watertekort, hittestress (71 procent) of wateroverlast (54 procent).
Wat bij de andere bedrijfsbenchmarks opvalt is dat met name Woco op veel gebieden laag scoort. Bij maar liefst acht stellingen scoort Woco onder de 2.8. Alleen bij calamiteiten veroorzaakt door brand zien we een duidelijke instemming.
Bij de persoonsgebonden benchmarks valt vooral AC op met een vaak positievere kijk op de aanwezigheid van diverse scenario’s.
Historische vergelijking
Vergelijking met 2019
Zoals gezegd, we hebben een deel van de scenario’s ook in 2019 voorgelegd. En we zien veel verschillen bij de benchmarks hoe ze daar nu tegenaan kijken en hoe ze daar toen tegenaan keken. Er zijn daarbij meer verschillen in de huidige situatie dan in de wenselijke situatie.
Wenselijke situatie
Het basisprofiel heeft vijf grote verschillen met 2019. Drie daarvan zijn meer instemming en twee zijn minder instemming. Zo was het volgens het basisprofiel al zeer wenselijk om een scenario te hebben liggen in het geval van brand of cybercrime. Dat is zo mogelijk nog wenselijker geworden. Ook de instemming voor een scenario voor een onverwacht wegvallen van de ceo is gestegen. Gezakt, één klasse, is een scenario in het geval van terrorisme en een scenario in het geval van handelen in strijd met de principes van duurzaam ondernemen.
.
Wenselijkheid scenario cybercrime en wegvallen ceo gestegen. Voor terrorisme en handelen in strijd met duurzaam ondernemen juist minder
Gedeelde verschuivingen in wenselijke situatie
Bij de benchmarks zijn nog een aantal opvallende verschillen te zien. We zien in navolging van het basisprofiel dat acht benchmarks het wenselijker vinden dan in 2019 om een scenario te hebben in het geval van calamiteiten veroorzaakt door cybercrime en zes benchmarks om een scenario voor het onverwacht wegvallen van de ceo.
Daarnaast volgen negen benchmarks de lijn van het basisprofiel dat een scenario voor terrorisme minder nodig is dan in 2019. Zes benchmarks volgen de lijn dat een scenario voor handelen in strijd met de principes van duurzaam ondernemen minder nodig is dan in 2019.
Als we de wenselijke situatie in 2019 vergelijken met die in 2024 zien we dat Jong in 2024 over het algemeen meer instemming heeft met bepaalde scenario’s en IA juist heel veel minder.
Huidige situatie
Het basisprofiel heeft zes grote verschillen met 2019. Met name het verschil (0.8) in het klaar hebben liggen van een scenario voor een onverwacht wegvallen van de ceo valt op. Dat was in 2019 twijfelachtig en is inmiddels gestegen qua instemming naar min of meer mee eens dat zo’n scenario er ligt. De kans dat er een scenario ligt voor calamiteiten veroorzaakt door terrorisme, voor een publiek optreden van een klokkenluider, voor handelen in strijd met de gedragscode van het bedrijf en handelen in strijd met de principes van duurzaam ondernemen is aanmerkelijk geslonken.
.
Aanwezigheid scenario cybercrime stuk waarschijnlijker. Voor optreden klokkenluider en handelen in strijd met de wet juist minder
Gedeelde verschuivingen in huidige situatie
Bij de benchmarks is nog een aantal opvallende verschillen te zien.We zien in navolging van het basisprofiel dat het bij zes benchmarks aannemelijker is geworden dat er een scenario ligt voor calamiteiten veroorzaakt door cybercrime.
Het basisprofiel geeft aan dat de aanwezigheid van een scenario voor een publiek optreden van een klokkenluider in 2024 minder waarschijnlijk is dan in 2019. Zes benchmarks volgen deze lijn. Voor zeven benchmarks, maar niet het basisprofiel, is het minder waarschijnlijk dat er een scenario ligt voor handelen in strijd met de wet.
6.3 Enige bespiegelingen/vragen/kanttekeningen
Hoe actueel moet een risico zijn om mee te nemen in het risicomanagement?
Is het wenselijk een(nood)scenario of draaiboek te hebben? Die vraag stelden we in 2019 en recent voor een aantal dezelfde situaties. Wat opvalt als we de resultaten vergelijken, is dat de wenselijke score voor het hebben van zo’n draaiboek voor ‘handelen in strijd met de principes van duurzaam ondernemen’ en ‘calamiteiten veroorzaakt door terrorisme’ bij het basisprofiel sterk terugloopt van ‘duidelijk mee eens’ naar ‘min of meer mee eens’. Wij vragen ons af: lag de aandacht voor deze onderwerpen in de media in 2019 hoger dan in 2024? Stel dat dit zo is, dan rijst de vraag of de waarschijnlijkheid van het plaatsvinden van deze calamiteiten veranderd is en/of de impact van de gevolgen veranderd is. Stel dat de antwoorden op beide laatste vragen ‘nee’ zijn. Hoe is het verschil dan te verklaren? Wordt het kijken naar mogelijke risico’s dan geleid door media aandacht en gaat dit ten koste van grondig en structureel nadenken en kijken? Is actualiteit daarmee gekoppeld aan media zichtbaarheid?
We hebben de laatste jaren genoeg zaken in de wereld gezien waaraan we een paar jaar geleden niet gedacht zouden hebben. Denk bijvoorbeeld aan het ‘saboteren’ van communicatiekabels in zee.En is dan terugvallen op de huidige beschikbare ruimtelijke satelliet communicatiemo
gelijkheden een betrouwbare en gewenste optie? Ook als deze faciliteit beschikbaar wordt gesteld door een bedrijf met een dominante bestuurder, waarvan het de vraag is of deze naast winststreven ook rekening houdt met maatschappelijke belangen of alleen met zijn persoonlijke doelen en wereldbeeld? Vanuit oogpunt van risicomanagement zal de switch die heeft plaatsgevonden in onze leveranciers van (vloeibaar) gas ook niet door iedereen met gejuich en een gerust gevoel zijn bekeken. Is het ene gat gedicht met het volgende gat?
Wij denken dat de actualiteit van de genoemde risico’s, in termen van kans van optreden, niet minder is geworden. Ook denken wij dat de materialiteit van de gevolgen niet is afgenomen. En wij vrezen dat wij belanden in een situatie dat de put gedempt wordt als het kalf verdronken is. En dat laten we gebeuren? En wie betaalt dan de rekening? Wij, de ander, de aandeelhouder, ons nageslacht of….?
Actualisering strategie vraagt ook om jaarlijkse update actualiteit en prioriteitenlijst van risico’s én een actieve inbreng van elke individuele commissaris
De meeste organisaties actualiseren jaarlijks de strategie en ondernemingsplannen. Wij pleiten ervoor dat dit ook de actualiteit en prioriteitenlijst van de te managen risico’s gaat betreffen.Daarbij adviseren wij dat de rvc hierbij op een andere manier acteert dan gebruikelijk. Niet reageren op een stuk van de rvb, maar los van stukken van de rvb zelf als individuele commissaris een lijstje aanleveren aan de secretaris en/of internal auditor (indien aanwezig) met een onderbouwing en prioriteitenvoorstel ten aanzien van de op te nemen risico’s. Vervolgens mag de secretaris of de internal auditor daar een geheel van maken en dit met de namen van de input per commissaris erbij als bespreekpunt op de agenda zetten. Op verzoek kan men overwegen het bedoelde stuk in de voorvergadering van de commissarissen, waarbij de rvb niet aanwezig is, te bespreken. Onze ervaring is dat door dit jaarlijks zo te doen de kans groot is dat eerder wordt afgeweken van de standaard risicolijst en dat nieuwe risico’s eerder op het netvlies komen.
Vervolgens kunnen de bevindingen van de rvc ingebracht worden in de discussie met de rvb. Een aanvulling hierop kan zijn om een vergelijkbare exercitie te doen met bijvoorbeeld management trainees of medewerkers die nog geen jaar in dienst zijn. De input daarvan kan dan bij het stuk van de commissarissen worden gevoegd. Het is wel belangrijk dat deze betrokkenen een bij voorkeur persoonlijke terugkoppeling met onderbouwing van de gemaakte keuzes ontvangen.
Beweegt externe toezichthouder snel genoeg mee met gewijzigd ‘umfeld’?
Bekend is dat officiële organen zoals externe toezichthouders niet uitblinken in snel van hun standpunten en opvattingen af te stappen. Daarmee kunnen ze een remmende invloed hebben op een noodzakelijke versnelling van transities. Daarbij kan het zijn dat de belangenafweging over bijvoorbeeld individueel belang versus algemeen maatschappelijk of landsbelang anders uitvalt dan bij de start van het betreffende extern toezichtsorgaan. Gedacht kan worden aan verdergaande vormen van samenwerking tussen bedrijven op bijvoorbeeld het gebied van kwantummechanica of defensie, waardoor nationaal en/of op Europees gebied de facto een monopolie ontstaat. Vaak is in dit soort situaties wellicht een politieke (her)overweging nodig. Ook op dat gebied is de keuze tussen snelheid en zorgvuldigheid niet altijd gemakkelijk. Maar vasthouden aan eigen ‘schaduwen’ kan dan zelfs letterlijk en figuurlijk dodelijk zijn. De wereld en de spelregels zijn veranderd en veranderen nog steeds. Hebben externe toezichthouders, politici, bedrijfsleven en non-profitorganisaties hier wel eens over nagedacht en gesproken of doen ze dat als er niets meer te redden valt?
Is een crisisteam de oplossing voor het managen van risico’s?
Diverse respondenten wezen tijdens de persoonlijke interviews op het alternatief voor de individuele draaiboeken: het werken met crisisteams en een crisisprocedure. De vraag is of dit voor elk van de onderzochte mogelijke calamiteiten een realistische, werkzame aanpak is. Het is aannemelijk dat calamiteiten veroorzaakt door brand een risico betreft, waar de nodige draaiboeken voor klaarliggen. Er zal zelfs al geïnvesteerd zijn in voorzieningen zoals brandmelders, sprinklerinstallaties, brandslangen en waterputten. Het lijkt voor de hand te liggen dat een crisisteam, als deze situatie actueel wordt, volgens het draaiboek aan de slag kan gaan. Maar dat komt omdat de infrastructuur voor het omgaan met deze calamiteit al beschikbaar is en er vermoedelijk ook regelmatig oefeningen zijn gedaan. Als we naar de verschillende risico’s kijken, zullen er een aantal zijn waarvoor geen infrastructuur aanwezig is en waarvoor geen oefeningen zijn gedaan.Op het moment dat het risico zich voordoet (bijvoorbeeld een tekort aan drinkwater), is het de vraag of een crisisteam dan nuttig werk kan doen, als er geen infrastructurele voorzieningen zijn getroffen. Een drinkwatertekort zal in een dergelijke situatie niet alleen eventuele productieprocessen raken, maar ook de mensen in de betrokken regio, inclusief eigen medewerk(st)ers en de leden va het crisisteam. Bovendien zal het drinkwaterprobleem wellicht niet beperkt zijn tot de eigen organisatie. ‘Even snel naar de supermarkt gaan’ is dan geen optie!
Samenvallen van risico’s nog een braakliggend gebied?
We gaan weer even terug naar calamiteiten in verband met brand. Het is aannemelijk dat bij brand in het scenario is opgenomen dat men de brandweer belt om assistentie te verlenen bij het behandelen van de brand. Maar hoe zeker is het dat de brandweer beschikbaar is in alle omstandigheden? Vanzelfsprekendheden van enige tijd geleden zijn niet meer zo vanzelfsprekend. En stel dat zowel brandweer als bluswater/-schuim niet beschikbaar zijn, wat kan een crisisteam dan doen? En we hebben het nog niet over een gelijktijdige verstoring in de communicatienetwerken. We hebben geen antwoorden, maar wel vragen die we voorheen niet zouden stellen en nu wel. Stelt men deze vragen ook op een vergelijkbare manier wanneer men bij uw organisatie over risico’s en risicomanagement spreekt? En wie stelt deze vragen? De rvc, de rvb, de internal auditor, een externe consultant, een klant, een toeleverancier of andere mensen uit de organisatie?
Geopolitiek risico niet wat onderschat?
Er is slechts één benchmark die een draaiboek/scenario voor omgaan met calamiteiten veroorzaakt door de geopolitiek zonder meer wenselijk acht: de jonge commissaris. Wij vragen ons af in hoeverre de andere organisaties wel voldoende tot zich hebben laten doordringen hoe de afhankelijkheid in de keten is voor hun dienstverlening en/of het kunnen functioneren van hun medewerkers, toeleveranciers en klanten. De indirecte gevolgen van hick-ups zijn soms zeer ingrijpend. Wat dat betreft is het ketendenken niet bij elke organisatie en vermoedelijk ook niet bij elke commissaris voldoende ontwikkeld. Alleen al het opnemen van risico’s in dit onderzoek, waarvoor wij geen plaats hadden ingeruimd in het 2019 onderzoek, was voor een aantal van de geïnterviewden al een eye-opener. En de geopolitieke component daarin heeft alleen het afgelopen jaar al sterk aan invloed gewonnen. Het ziet er niet naar uit dat dit na de ‘lente´ omslaat. Is een ‘oorlogsscenario’ nog ver weg?
Watertekort en -overlast: een scenario voor de laatste, maar niet voor de eerste? Schiet ons maar lek!
Er zijn tien benchmarks die een veranderwens hebben voor het hebben van een scenario in het geval van calamiteiten veroorzaakt door wateroverlast. Daarvan zijn de meeste een (urgente)verbeterwens. Op dit moment heeft geen van de bedrijfsbenchmarks zo’n scenario liggen en bij de meeste persoonsgebonden benchmarks is de instemming afwezig of niet hoog. Alleen de vrouwelijke commissaris en de internal auditor lijken hier enigszins oog voor te hebben. Bij of zo’n scenario wenselijk is, zien we echter ook geen duidelijke bijval. De meeste benchmarks geven aan het daar min of meer mee eens te zijn. Blijkbaar is wateroverlast de afgelopen tijd meer op het netvlies gekomen, maar ziet men nog niet in wat dat voor effect kan hebben op de eigen bedrijfsvoering.
In oktober 2024 verscheen een onderzoek van Investico, nu.nl, de Gelderlander, de Stentor en De Groene Amsterdammer met als titel ‘Nederland niet voorbereid op hevige regenval’. Bij nu.nl kreeg het als titel mee ‘Kwart van de ziekenhuizen komt in ernstige problemen bij zware regenbui’.1 Een van de voorbeelden die werd genoemd in dat nieuwsbericht is dat de afdeling Spoedeisende Hulp (SEH) van het Slingeland Ziekenhuis in Doetinchem in 2024 al twee keer na zware neerslag dicht moest voor patiënten. En ook de Onderzoeksraad voor Veiligheid is inmiddels een onderzoek gestart naar de veiligheidsrisico’s rond wateroverlast.2 Wij denken dat het voor elke organisatie relevant kan zijn om te zien wat voor effect wateroverlast kan hebben op locaties, logistiek, medewerkers, klanten, etcetera. Of rijdt men dan op stel en sprong naar de bouwmarkt voor een paar zandzakken….?
1 https://www.nu.nl/klimaat/6332489/kwart-van-de-ziekenhuizen-komt-in-ernstige-problemen-bij-zware-regenbui.html
2 https://onderzoeksraad.nl/onderzoek/veiligheidsrisicos-rond-wateroverlast/
Aan de andere kant hebben we een scenario bij calamiteiten veroorzaakt door een watertekort. Alleen de internal auditor geeft aan het min of meer eens te zijn dat zo’n scenario aanwezig is. Opvallend is echter dat de instemming om zo’n scenario te maken gemiddeld veel lager ligt dan een scenario voor wateroverlast. Het lijken ons toch twee zijden van dezelfde medaille? Alleen de vrouwelijke commissaris en de internal auditor zijn het (slechts) min of meer mee eens dat zo’n scenario er ook voor een watertekort moet komen. Daarnaast is het aantal veranderwensen voor een scenario voor watertekort ook flink minder dan voor een scenario voor wateroverlast, zes om tien. Drinkwaterbedrijven waarschuwen al enige jaren voor een naderend tekort door onder andere toenemende verzilting, vervuiling van rivierwater in verband met moeilijk te verwijderen chemische stoffen (onder andere pfas) en medicijnresten.Ook de SER heeft in januari van dit jaar een signalering uitgebracht ‘Naar een toekomstbestendige omgang met water’. Daarin schrijven ze onder andere dat ‘Nederland heeft middels een verdringingsreeks vastgelegd hoe water in tijden van ernstige droogte (met andere woorden: voor korte tijd en in geval van nood) wordt verdeeld over verschillende gebruikers. Water blijft in deze reeks het langst beschikbaar voor veiligheidsdoeleinden, natuur en burgers (drinkwater en energievoorziening). Maar als perioden van droogte in de toekomst vaker en in extremere mate voorkomen, zullen met name de landbouw en industrie vaker en langer worden geraakt door maatregelen zoals vastgelegd in de verdringingsreeks.’1 Wie enkele jaren geleden had gezegd dat bedrijven niet konden uitbreiden vanwege een stroomtekort was voor gek verklaard. Nu zien we eenzelfde scenario voor ons waarin dat ook geldt voor drinkwater.Een misschien bekende waarschuwing van Jelle Hannema, voormalig bestuursvoorzitter Vitens, in het Financieel Dagblad van vorig jaar kan daarin als teken aan de wand worden gezien ‘Tientallen bedrijven krijgen al geen drinkwater, nieuwbouwwijken volgen‘.2
1 https://www.ser.nl/nl/publicaties/omgang-water
2 https://fd.nl/economie/1512002/tientallen-bedrijven-krijgen-al-geen-drinkwater-nieuwbouwwijken-volgen
Waarom lukt het maar niet om een scenario voor negatieve publiciteit te ontwikkelen?
Uit een onderzoek van BDO over fraude, corruptie en non-compliance1 komt naar voren dat in de profitsector minder dan de helft van de bedrijven zegt te beschikken over een (formeel) fraudebeleid. In de publieke sector is de verdeling ongeveer fiftyfifty. Verder blijkt uit dat onderzoek dat een deel van de organisaties (ook) niet beschikt over een gedragscode, waarin de gedragsregels rondom fraudepreventie en -detectie, anticorruptie en het voorkomen van overtredingen van wet- en regelgeving zijn vastgelegd. Ook hier scoren organisaties uit de publieke sector beter dan profitbedrijven.We hebben in ons onderzoek niet gevraagd of er daadwerkelijk een beleidsplan lag, alleen of er een scenario ligt als er iets gebeurt.Dat kan van belang zijn voor de organisatie zelf en de organisatiecultuur. Is er een gedragscode waarin bijvoorbeeld gedragsregels zijn opgenomen over fraude? En wat gebeurt er als men daarmee in strijd handelt? Handhaven of wegkijken? Daar ziet met name de profitsector verbetermogelijkheden.
Maar handelen in strijd met de gedragscode, zoals fraude, kan natuurlijk op een gegeven moment ook naar buiten komen. Dan spreken we meer over een scenario voor omgaan met een publiek optreden van een klokkenluider en zeker ook over een scenario hoe om te gaan met negatieve publiciteit. Daar zien we dat maar liefst elf benchmarks vinden dat het beter moet.2 Daarmee staan beide in de top vijf van meest gedeelde verbeterwensen bij (nood)scenario’s. Het punt is echter: ook vijf jaar geleden was een scenario voor omgaan met negatieve publiciteit een veel gedeelde verbeterwens. Waarom lukt het maar niet om een scenario voor negatieve publiciteit te ontwikkelen? Dat geldt met name voor de profitsector. Moeten we dat wijten aan te weinig kennis en aandacht voor communicatie in de rvc, te weinig marketing kennis in de rvc en/of te weinig aandacht voor integriteit? Of gaan we daarmee te kort door de bocht? In dit kader is het ook nog waard om even Deloitte USA te benoemen. Zij schreven in hun jaarverslag over 2023 over hun grote steun aan diversiteit en inclusie en we zien een jaar later dat die woorden blijkbaar toch niet zoveel betekenen. Wat zegt dat over het verankerd zijn van een bepaalde cultuur in die organisatie? Of zegt dit wat over het betrokken management en non-executives in de board? Wat voor effect heeft dat op de aantrekkingskracht voor nieuwe medewerkers, zowel in de USA als bijvoorbeeld in Nederland? Wat voor bedrijven trek je aan als klant?
1 https://www.bdo.nl/Non-compliance-risico-s-voorkom-schade-en-schande.pdf
2 Een nuttig hulpmiddel kan de handreiking ‘Intern onderzoek’ van het Huis voor Klokkenluiders zijn: https://www.huisvoorklokkenluiders.nl/integriteit-in-de-praktijk---intern-onderzoek
De weerbare organisatie onderdeel van weerbaar Nederland?
Eén van de negentien scenario’s waar de standaarddeviatie groot is, en de meningen dus sterk uiteen lopen, is de stelling over een (nood) scenario voor calamiteiten veroorzaakt door het wegvallen van internet. Sinds enige jaren vindt om de zoveel jaar een ISIDOOR-oefening plaats. Dat is een grootschalige cyberoefening georganiseerd door het NCSC in samenwerking met de NCTV. Tijdens ISIDOOR oefent men afspraken, structuren en processen uit het Landelijk Crisisplan Digitaal (LCP-Digitaal).1 Belangrijk daarin is onder andere dat zowel op operationeel als bestuurlijk niveau actie wordt vereist. De inhoud van de laatste oefening zou wat ons betreft ook prima toepasbaar zijn op een individuele organisatie. En we geven sterk in overweging dat ook commissarissen en directie/rvb-leden dan deelnemen aan een dergelijke oefening.
In een breder verband, als we het hebben over weerbaarheid, zou elke organisatie moeten nadenken over een situatie waarin langer dan een dag geen internet aanwezig is. We zijn als maatschappij, burgers, organisaties en overheid, ontzettend afhankelijk van internet. Een alternatief als Starlink lijkt inmiddels niet meer zo betrouwbaar. Wat gaat een organisatie doen als het internet er langer dan een dag uit ligt? Commissarissen lijken gemiddeld meer vertrouwen te hebben dat een dergelijk scenario aanwezig is, dan de rvb en de internal auditors. Wel hebben alle persoonsgebonden benchmarks (behalve de commissaris die lid is van de remuneratiecommissie2)hier een verbeterwens voor. Het lijkt daarmee dat ook commissarissen op gang komen om een meer weerbare organisatie te helpen creëren.
1 https://www.ncsc.nl/wat-doet-het-ncsc-voor-jou/isidoor
2 DIR (rvb/directie) heeft hier acht waarnemingen
Wordt het geen tijd risicomanagement (deels) gezamenlijk aan te pakken?
Organisaties hebben in het algemeen gelimiteerde ‘resources’ beschikbaar om aan de ene kant risico’s in kaart te brengen en aan de andere kant om risico’s te managen als deze zich voordoen. Dat geldt naast voor de betrokken organisaties vermoedelijk ook voor commissarissen. In onze wereld zijn er al een aantal jaren ontwikkelingen gaande, waardoor de kans dat een risico zich manifesteert feitelijk niet meer verwaarloosbaar is. De materialiteit is meestal ook fors toegenomen. Er zijn nieuwe risico’s bijgekomen en dat verandert vermoedelijk niet. De beheersbaarheid van risico’s lijkt eerder afgenomen dan verbeterd. Het palet van risico’s en het managen ervan heeft een dusdanige omvang gekregen, dat menig bestuurder en commissaris er moedeloos van dreigt te worden. Dit vertaalt zich dan soms in uitspraken als ‘indien dat gebeurt dan zitten we allemaal in het schip en helpt niets meer’. Een dergelijke opstelling kunnen wij ons voorstellen, maar is naar ons idee niet acceptabel.
Ook blijken opgestelde draaiboeken/scenario’s niet meer altijd te werken, omdat veronderstelde hulpbronnen/-middelen helemaal niet meer beschikbaar zijn of slechts in beperkte mate.
Wij vragen ons af, allereerst uitgaande van de organisaties, of het een optie is te onderzoeken of op het gebied van risicomanagement op deelgebieden men samen kan optreden, zowel in het verkennen als in het uitwerken van beheersmaatregelen. Daarbij is het goed om naar bestaande samenwerkingsverbanden te kijken op bijvoorbeeld het gebied van cybercrime. Zowel de sterke als de verbeterpunten van dergelijke verbanden moeten kritisch worden geanalyseerd, net als nog niet toegepaste constructies. Juist door met anderen te verkennen hoe je met bedrijfsoverschrijdende risico’s om kunt gaan, kan het zijn dat je met tussenoplossingen kunt komen die in ieder geval tijdwinst opleveren. We kunnen ons afvragen of je samenwerking opzoekt op sector, lokaal, regionaal of op (supra)nationaal niveau. Ook kan het zinvol zijn bredere samenwerkingen op te bouwen met zeer uiteenlopende partners als overheid, profit- en non-profitorganisaties en ook maatschappelijke instellingen. Misschien is het moeten optuigen van een soort oorlogseconomie/-maatschappij wel een goede richting. Daarbij kunt u overwegen een deel van de eigen medewerkers zo te scholen dat u ze organisatie overstijgend kunt inzetten als een bepaalde situatie zich voordoet.
Naast de organisatie zelf pleiten wij ervoor dat misschien wel allereerst commissarissen eens verkennende gesprekken moeten voeren of een dergelijke ontwikkeling in gang gezet kan/moet worden. Maar ook of zij zelf gestructureerd stappen in deze richting kunnen/moeten zetten op het niveau van hoe commissarissen een meer eigentijds en concrete invulling op het gebied van risicosignalering en -management kunnen effectueren.
De resultaten van het onderzoek en de wereldwijde ontwikkelingen brengen ons tot de conclusie dat meer creativiteit ons niet uit de boze lijkt en dat de doorlooptijd niet onze grote bondgenoot is.
In hoeverre verblinden de manier waarop men zaken brengt en de boodschapper ons zicht en oordeel?
‘C’est le ton qui fait la musique’. Er zijn mensen die de gave hebben om zaken op een dusdanige manier te brengen dat alle eventuele animo om een gesprek aan te gaan over het aan de orde gestelde punt/onderwerp op voorhand al geblokkeerd wordt. Dit geldt vooral als het een manier is die tegenstrijdig is aan onze waarden, principes, opvattingen, gewoonten, omgangsvormen of ervaringen. Hebben wij eigenlijk wel de luxe om dit soort signalen te negeren? Soms wel, meestal en in toenemende mate niet. Is alles onder druk vloeibaar? Wanneer moeten we het signaal ‘genoeg is genoeg’ geven. En zijn we bereid om op te staan voor waarin we geloven? Of gaan we met droge ogen beweren dat wat wij een half jaar geleden hebben uitgedragen als onze overtuiging en leidsnoer, we dat bij nader inzien toch maar overboord gooien? Maar weer terugkomend op de relevantie van de opgebrachte punten. Zijn we flexibel genoeg om in te zien dat er op een bepaald gebied misschien een probleem is, waar we terecht aandacht aan moeten schenken, bijvoorbeeld het aanpakken van bureaucratie? Dat we daarin in het verleden tekort zijn geschoten? Beter ten halve gekeerd dan ten hele gedwaald. Maar als de boodschapper niet gehinderd wordt door enige kennis van zaken en voortdurend een eigen wereld en waarheid creëert en zich omringt met een stel claqueurs van egotrippers, hoe moeten we of kunnen we daarmee omgaan? Geopolitiek is daar en blijft vermoedelijk langer dan we wenselijk achten. Blijkt Brexit straks kinderspel bij wat er nu op ons afkomt? En de rekening komt bij de nieuwe Marsbewoners?
Kan of mag een commissaris die zich wat kan voorstellen bij de hier geventileerde opvattingen ook zo denken en daarna handelen? Of is het voorstelbaar dat deze ten behoeve van zijn bedrijf een ander standpunt inneemt? En wat zou dat andere standpunt zijn: gesprek aangaan, meebuigen, voorsorteren op een herschikking van activiteiten en werkgebieden van zijn organisatie? En spelen de toekomst van bedrijf, wereld en (klein)kinderen nog een rol?