Uitsluitend doelstellingen vaststellen op strategisch niveau is niet voldoende om een organisatie effectief en efficiënt te laten functioneren. Strategische doelstellingen dienen te worden vertaald naar lagere hiërarchische niveaus binnen de organisatie.
Inherent aan het vertalen van strategische doelstellingen naar procesdoelstellingen, worden strategische risico’s nader uitgewerkt in procesrisico’s, daarbij rekening houdend met de gekozen risicostrategie.
Relatie tussen strategische risico’s en procesrisico’s
Ter illustratie van de relatie tussen strategische risico’s en procesrisico’s hierbij een kort voorbeeld. Stel, een organisatie wordt geconfronteerd met valutarisico’s doordat inkomende geldstromen overwegend in Amerikaanse dollars plaatsvinden en de uitgaande geldstromen in euro’s. Wil de directie deze risico’s laten beheersen door een treasury-afdeling, dan zal de directie ervan uitgaan dat deze afdeling adequaat functioneert.
Dat adequate functioneren is echter niet vanzelfsprekend en moet worden gemonitord. Als gevolg hiervan ontstaan er nieuwe procesgerelateerde varianten van het strategische valutarisico. In dit voorbeeld zal de directie zich ervan willen vergewissen dat de aangegane verkoopverplichting in dollars aan een handelaar in volume en koers overeenstemt met de binnenkomende geldstroom van de klanten in dollars. In geval van een mismatch kan de situatie ontstaan dat deze onderneming meer dollars zal moeten leveren, wat bij een stijgende dollarkoers tot onvoorziene verliezen kan leiden. Doordat dergelijke risico’s betrekking hebben op het niet-adequaat uitvoeren van het treasury- proces, worden ze ‘procesrisico’s’ genoemd.
Procesrisico’s
Procesrisico’s hangen nauw samen met procesdoelstellingen en kunnen betrekking hebben op effectief en efficiënt gebruik van middelen en bedrijfsprocessen (operationele doelstellingen), betrouwbaarheid van verslaglegging (rapportagedoelstellingen) en naleving van wet- en regelgeving (toezichtdoelstellingen).
Hierbij merk ik op dat procesdoelstellingen met name gerelateerd zijn aan transacties of stromen die samenhangen met de operationele bedrijfsvoering. Als gevolg hiervan vraagt een effectieve beheersing van dergelijke risico’s ook om procesgerelateerde handmatige of geautomatiseerde beheersingsmaatregelen.
Deelstappen
De vertaalslag van strategische doelstellingen naar procesdoelstellingen vindt plaats in drie deelstappen:
- het alloceren van strategische doelstellingen (en strategische risico’s) naar resultaatgebieden per afdeling;
- het definiëren van producten of diensten en bijbehorende specificaties per afdeling;
- het bepalen van doelstellingen voor de processen die de producten of diensten voortbrengen.
Resultaatgebieden
Resultaatgebieden zijn de kernfuncties van de organisatie(-eenheid), ofwel de gebieden waarop (potentiële) vraag bestaat van één of meer afnemersgroepen buiten de organisatie(-eenheid). Resultaatgebieden zijn een middel om de strategische doelstellingen van de organisatie te concretiseren en te vertalen in operationele doelstellingen op afdelingsniveau.
Resultaatgebieden hebben tot doel:
- het vaststellen van de te behalen resultaten per organisatieonderdeel;
- het vaststellen van daaraan gerelateerde kwaliteits- en kwantiteitseisen;
- het verduidelijken van relaties en afhankelijkheden tussen de diverse organisatieonderdelen;
- het definiëren van verantwoordelijkheden van managers in meetbare (kwalitatieve en kwantitatieve) resultaten;
- het delegeren van bevoegdheden;
- het vaststellen van de vereiste beheers- en verantwoordingsinformatie.
Resultaatgebied ruimer dan taak
Resultaatgebieden worden ruimer geformuleerd dan taken. De vraag waarom iets door een afdeling wordt gedaan en wat het eindresultaat van dat iets moet zijn, staat hierbij centraal. Door resultaatgebieden te formuleren in termen van een eindresultaat blijkt vaak dat meerdere alternatieve werkwijzen (taken/activiteiten) mogelijk zijn om het doel te realiseren. We onderscheiden twee soorten resultaatgebieden:
- externe resultaatgebieden: gebieden of resultaten waar één of meer externe afnemersgroepen behoefte aan hebben;
- interne resultaatgebieden: gebieden of resultaten waar interne collega’s of afdelingen behoefte aan hebben.
Interne resultaatgebieden hebben veelal betrekking op verantwoordelijkheden die binnen de organisatie gedelegeerd zijn van hogere naar lagere hiërarchische niveaus. Naar analogie van het bedrijfsmodel hebben externe resultaatgebieden betrekking op de primaire bedrijfsprocessen van de organisatie. Interne resultaatgebieden daarentegen, hebben betrekking op de ondersteunende processen uit het bedrijfsmodel. Dergelijke processen worden uitgevoerd door stafafdelingen.
Hiërarchische niveaus
Resultaatgebieden hebben betrekking op lagere hiërarchische niveaus binnen de organisatie. Dit impliceert dat de tone at the top vooral uitgedragen wordt via het risicobeleid en het voorbeeldgedrag van het hoogste management. De risicostrategie vormt voor het middenmanagement een gegeven. Door het uitwerken van resultaatgebieden kan de wat-vraag uit het risicobeleid nader worden geconcretiseerd naar de organisatorische eenheden: wat zijn specifieke aandachtsgebieden voor risicomanagement voor de betreffende afdeling of businessunit?
De maatstaven waarmee een geleverde prestatie op het resultaatgebied kan worden gemeten dienen een afspiegeling te zijn van de strategische doelstellingen. Hierbij merk ik op dat strategische doelstellingen abstracter zijn gedefinieerd dan resultaatgebieden. Een consistente uitwerking van strategische doelstellingen in resultaatgebieden draagt zorg voor een consistente ‘controlketen’.
Producten en diensten
Nadat strategische doelstellingen nader zijn geconcretiseerd in resultaatgebieden, dienen de resultaatgebieden op hun beurt nader te worden gealloceerd naar de bedrijfsprocessen binnen de organisatorische eenheid. Om deze vertaalslag te kunnen maken, dienen de producten en diensten te worden benoemd die het resultaat zijn van de diverse processen. Deze producten kunnen gelijk zijn aan de resultaatgebieden. Met name in productgerichte organisaties, waarin afdelingshoofden verantwoordelijk zijn voor afgeronde producten en de daarbij behorende totstandkomingsprocessen, vormen de resultaatgebieden een goede beschrijving van de producten.
Het is echter ook mogelijk dat binnen een resultaatgebied meerdere producten kunnen worden onderscheiden, dan wel dat meerdere resultaatgebieden tezamen één product vormen. Het laatste komt vooral voor in functioneel ingerichte organisaties, waarin een proces over meerdere afdelingen loopt.
Productspecificaties
In de tweede plaats dienen de eisen die aan de producten worden gesteld te zijn gespecificeerd. Deze productspecificaties moeten aansluiten op de behoeften van de afnemers. De productspecificaties zijn direct af te leiden van het desbetreffende resultaatgebied van de verantwoordelijke manager. Voor de productspecificaties geldt dat het voor een goede beheersing is vereist dat ze zijn geoperationaliseerd in meetbare grootheden, waarvan eenduidig kan worden vastgesteld of deze al dan niet zijn gerealiseerd.
Doordat productspecificaties afgeleid worden van de resultaatgebieden vindt een nadere operationalisering plaats van het risicobeleid. Concreet betekent dit dat de wat-vraag uit het risicobeleid wordt vertaald naar de eisen en wensen op productniveau. Met andere woorden: wat zijn specifieke aandachtsgebieden voor het risicomanagement van de benoemde producten en diensten?
Processen
Het resultaat tot dusverre zijn productspecificaties die gezamenlijk een normering vormen van de diverse bedrijfsprocessen. Om processen te kunnen beheersen dienen de productspecificaties te worden vertaald naar procesnormen, specificaties waaraan de procesgang dient te voldoen zodat de uitkomst van het proces, het product, voldoet aan de gestelde productnormen. Procesnormen kunnen hierbij betrekking hebben op de invoer, de doorvoer en de uitvoer van het proces. Procesnormen bieden een concrete opstap voor het definiëren van operationele procesrisico’s.
Ter illustratie een kort voorbeeld. Stel, je wilt een taart bakken. Omdat de taart bedoeld is voor je verjaardagsfeest en je gasten hebt uitgenodigd, moet de taart net zo goed smaken als een vergelijkbare taart van de lokale bakker. Dit betekent dat je je bij het maken van de taart strikt moet houden aan de receptuur uit het kookboek en het bijbehorende bereidingsprocédé, het ‘bedrijfsproces’. De receptuur en het bereidingsprocédé vormen de procesnormen: 200 gram bloem, 100 gram boter, 3 eieren enzovoort. Fouten als het gebruik van te veel bloem, bedorven eieren of het te lang in de oven laten staan van de taart zijn in strijd met de procesnormen en vormen de operationele risico’s bij het bakken van de taart. Indien deze risico’s niet adequaat worden beheerst, zal de taart niet smaken zoals de taart van de lokale bakker en zullen de verjaardagsgasten niet tevreden zijn.
Beheersingsmaatregelen bewaken procesrisico’s
Beheersingsmaatregelen moeten de procesrisico’s bewaken. In tegenstelling tot het risicobeleid, waarin wordt ingegaan op de wat-vraag, wordt het beheersen van procesrisico’s veelal uitgewerkt in procedures en werkinstructies. Door het concreet benoemen van de benodigde beheersingsmaatregelen wordt antwoord gegeven op de hoe-vraag bij risicobeheersing: op welke wijze dient het risico te worden beheerst?
Bron: Handboek risicomanagement
Door: Urjan Claassen
