Van verantwoorden naar sturen: het Risk Control Framework als operating system van de organisatie
Veel organisaties hebben hun Risk Control Framework (RCF) goed ingericht. Rollen en verantwoordelijkheden zijn belegd, controls zijn beschreven en rapportages laten zien dat aan wet- en regelgeving wordt voldaan. Daarmee kan een organisatie aantoonbaar 'in control' zijn; het framework biedt structuur, verantwoording en bestuurlijk comfort. Dat comfort is begrijpelijk en waardevol. Maar is het stevig genoeg om op te varen wanneer omstandigheden veranderen?
Wie tijdig en effectief wil inspelen op wat er op de organisatie afkomt, heeft risk & control nodig als meer dan verantwoordingsmechanisme: als stuurinstrument voor keuzes, prioriteiten en de wendbaarheid van de organisatie.
Incidenten, audits en bevindingen van toezichthouders leggen toch vaak dezelfde kwetsbaarheden bloot. Denk hierbij aan keuzes die niet in lijn zijn met de risicobereidheid of het onvoldoende functioneren van beheersmaatregelen in de praktijk. Dat roept een ongemakkelijke, maar wezenlijke vraag op: zijn we daadwerkelijk in control, of vooral compliant?
Waarom risk & control vaak blijft hangen in verantwoording
Bij veel organisaties zien we dat risk & control primair wordt ingericht vanuit het doel om aantoonbaar compliant te zijn, in plaats van om daadwerkelijk te sturen op beheersing. Zolang de toezichthouder geen signalen afgeeft of zich meldt, lijkt dat voldoende. Risk & control vervult daarmee vooral een verantwoordingsfunctie: het kunnen uitleggen van wat er is ingericht, in plaats van te sturen op hoe het daadwerkelijk functioneert.
Deze manier van sturen is begrijpelijk, maar fundamenteel reactief. Actie volgt vaak pas na incidenten, auditbevindingen of wijzigingen in wet- en regelgeving. In die momenten ontstaan plotseling urgentie en ruimte voor verandering, terwijl dezelfde thema’s in perioden zonder incidenten, audits of externe signalen nauwelijks op de agenda staan.
Zonder expliciete vertaling van risicobereidheid naar processen, governance en besluitvorming blijft risk & control daarmee iets dat vooral achteraf geruststelt in plaats van vooraf richting geeft. Besturing verschuift van de vraag “hoe willen wij onze risico’s beheersen?” naar “wat verwacht de toezichthouder op dit moment van ons?”. Dat is vaak geen expliciet gekozen richting, maar ontstaat in de praktijk als gevolg van prioriteiten, capaciteit en de complexiteit van de organisatie.
De inrichting van risk & control leidt niet automatisch tot beheersing
Een goed ingericht RCF is nog geen garantie voor daadwerkelijke beheersing. De oorzaken liggen zelden in het ontbreken van beleid of controlbeschrijvingen, maar in structurelere factoren. Eigenaarschap is vaak formeel vastgelegd, maar wordt niet actief gevoeld of genomen. Daarnaast worden verbeterinitiatieven vaak gedreven door (audit)bevindingen of incidenten, waardoor zij vooral reactief blijven. De thema’s risk & control en processen krijgen dus wel aandacht, maar nog onvoldoende in onderlinge samenhang, waardoor de link tussen design effectiveness en operational effectiveness ontbreekt.
Bestuur en MT ontvangen comfort op papier, maar hebben beperkt inzicht in hoe processen daadwerkelijk functioneren. Controls bestaan, maar sturen het dagelijks handelen onvoldoende en krijgen in de praktijk te weinig prioriteit. Belangrijk is dat dit zelden een uitvoeringsprobleem is, en ook geen typisch “tweedelijnsprobleem”. Het is primair een bestuurlijk vraagstuk: hoe is risk & control gepositioneerd in de organisatie, en welke rol zou het moeten spelen in de besturing om toekomstbestendig te opereren?
Risk & control als (be)sturingsmechanisme
Wanneer risk & control daadwerkelijk onderdeel wordt van de dagelijkse besturing, verandert de rol ervan fundamenteel. Het staat dan niet langer naast de processen, maar fungeert als operating system van de organisatie. Hierdoor draagt risk & control bij aan een betere onderbouwing van strategische besluitvorming, bijvoorbeeld bij groeiambities of IT-veranderingen. Daarnaast helpt het organisaties scherper te prioriteren in verbeterprogramma’s en investeringen, signalen uit processen tijdiger te benutten voor bijsturing en evenwichtigere afwegingen te maken tussen risico en rendement.
Dit stelt organisaties niet alleen in staat om processen en de bijbehorende risico’s beter te beheersen, maar ook om sneller en met meer vertrouwen te reageren op veranderingen. Dat vraagt om een expliciete bestuurlijke keuze voor wat, gegeven de strategie en risicobereidheid, ‘in control’ precies betekent. Zonder een expliciet vastgesteld ambitieniveau blijft sturing impliciet, worden verbeteringen ad-hoc gekozen en blijven audits bepalend in plaats van richtinggevend.
Maar let op: inrichting werkt pas wanneer eigenaarschap meebeweegt
In vrijwel alle organisaties waar risk & control onvoldoende effectief blijkt, zien we eenzelfde patroon. Het framework is doordacht ontworpen, maar onvoldoende ingebed. Daarmee wordt de essentie zichtbaar: risk & control faalt zelden door ontwerp, maar vrijwel altijd door onduidelijke verantwoordelijkheden, onvoldoende eigenaarschap en het gedrag dat hieruit voortvloeit.
Zonder expliciet afdwingbaar eigenaarschap in governance en zonder verankering in processen blijft risk & control een parallel systeem. Het levert rapportages op, maar geen voorspelbaarheid. Juist hier ligt de bestuurlijke hefboom: niet in nieuwe controls, maar in het verbinden van risk & control aan hoe de organisatie daadwerkelijk wordt aangestuurd.
Tot slot: een bestuurlijke reflectie
Voor bestuurders en senior management ligt hier geen quick fix, maar een fundamentele reflectie: welke waarde levert het op om ‘in control’ te zijn? En welke keuzes en inrichting zijn nodig om dat daadwerkelijk te realiseren? Beheersing gaat steeds minder over enkel het afdekken van risico’s, maar steeds meer over een werkwijze om met onzekerheid om te gaan en daarin snel en gericht te kunnen handelen en bijsturen. Vragen die bij deze reflectie helpen zijn:
• Waar willen wij, gegeven onze strategie, primair op sturen: aantoonbare compliance of daadwerkelijke beheersing?
• Welke rol willen wij dat externe partijen, zoals de toezichthouder, spelen in ons verbetertempo?
• Hoe organiseren wij eigenaarschap zodanig dat het zichtbaar en voelbaar is in de dagelijkse aansturing?
• En misschien wel de belangrijkste: wat vinden wij, gezien onze strategie, ambitie, en het veranderende speelveld waarin wij actief zijn, ‘in control’?
Zolang deze bestuurlijke keuzes impliciet zijn, blijft risk & control vooral een rapportage-instrument. Wanneer deze keuzes expliciet worden gemaakt, kan het uitgroeien tot wat het zou moeten zijn: het operating system waarop bestuurd wordt. Daarmee is 'in control' geen statische eindstaat, maar een continue bestuurlijke ontwerpvraag. Het vraagt om bewuste keuzes over het gewenste volwassenheidsniveau, de rol van governance, de aansluiting met processen en de manier waarop gedrag en eigenaarschap worden gestimuleerd. Juist op dat snijvlak ontstaat de ruimte om risk & control niet alleen beter in te richten, maar het ook daadwerkelijk effectiever te laten werken.
Meer lezen
