4 Bijlage onderdeel b - Risicomanagement Wat zou Harrie doen

Wat zou H arrie doen? Risicomanagement in de gemeente Haarlem Maart 2017

I nhoud 1

Wie is Harrie? .................................................................................................................................. 3

2

Wat is risicomanagement? .............................................................................................................. 4

3

Harrie hanteert zijn eigen uitgangspunten ..................................................................................... 5

4

Harrie gaat aan de slag .................................................................................................................... 6 4.1

Harrie bepaalt de context........................................................................................................ 7

4.2

Harrie identificeert zijn risico’s................................................................................................ 8

4.3

Harrie analyseert en beoordeelt ............................................................................................. 9

4.4

Harrie weegt zijn alternatieven af ......................................................................................... 11

4.5

Harrie voert zijn beheersing uit ............................................................................................. 12

4.6

Harrie evalueert..................................................................................................................... 13

5

Harrie organiseert risicomanagement .......................................................................................... 15

6

Harrie communiceert .................................................................................................................... 17

7

Meer weten over risicomanagement? ......................................................................................... 18 7.1

Risicocoördinatoren .............................................................................................................. 18

7.2

Naslagwerken en contactpersonen ....................................................................................... 18

Bijlage: begrippenlijst ............................................................................................................................ 19 Colofon .................................................................................................................................................. 25

2

1 Wie is Harrie? Wij stellen je graag voor aan Harrie. HARRIE staat voor: HAaRlems RIsicomanagement Expertisenetwerk. Harrie is een dynamisch kennisnetwerk op het gebied van risicomanagement, dat getrokken wordt door onze risico-coördinatoren en concerncontrol. Iedereen die zich bezig houdt met risicomanagement kan zich hierbij aansluiten. Wie meer wil weten over risicomanagement of het invoeren daarvan, kan een beroep doen op Harrie, want Harrie wil graag dat we binnen de gemeente bewust omgegaan met risico’s. In dit boekje hanteert Harrie een aantal uitgangspunten. Hierin zijn de basisprincipes van risicomanagement verwerkt. Voor wie concreet met risicomanagement aan de slag wil, licht Harrie alle stappen toe die doorlopen moeten worden in het cyclische proces van risicomanagement. Voor alle stappen geeft Harrie een aantal geschikte methodieken en enkele praktische adviezen. Voor diegenen die graag willen weten hoe je risico management kunt verankeren in je project of organisatie, reikt Harrie een model aan dat gebaseerd is op de ISO 31000 norm die we hanteren in de Richtlijn Risicomanagement. Hierin heeft Harrie ook een aantal vragen opgenomen waarmee je op hoofdlijnen kunt bepalen of je de juiste condities hebt gecreëerd voor effectief risicomanagement. Mocht je in de praktijk vastlopen, dan zijn die vragen tegelijk een handig hulpmiddel om te achterhalen hoe dat komt.

Dit boekje is geen handboek risicomanagement. Doel van het boek is tweeledig: er voor zorgen dat we in Haarlem bewust omgaan met risico’s en spraakverwarring voorkomen door het creëren van een gemeenschappelijke taal. Voor dat laatste heeft Harrie in de bijlage een begrippenlijst bijgevoegd. Wie meer wil weten, wordt door Harrie doorverwezen naar relevante vakliteratuur, websites, opleidingen of naar Harrie zelf. Harrie neemt daarmee wel een risico, want hoe meer Harrie er in slaagt om risicomanagement te stimuleren, hoe meer er een beroep op hem zal worden gedaan. Harrie neemt dit risico bewust. Harrie pleegt plagiaat! Harrie is het kleine broertje van Arie, het Amsterdams RIsicomanagement Expertisenetwerk. Dit boekje is een bijna één-op-één kopie van het verwijsboekje ‘Wat zou Arie doen?’. Harrie was zo gecharmeerd van de grappige en toegankelijke invulling van risicomanagement, dat hij graag gebruik maakt van zijn grote broer. Arie spoort daartoe aan: “Door de kennis die er in de hoofden van onze collega’s zit samen te brengen wordt de kennis over risicomanagement ontsloten, zichtbaar en toegankelijk. Want waarom zou u het wiel opnieuw willen uitvinden of veel tijd en energie steken in onderzoek terwijl u mensen kunt leren kennen die de benodigde kennis meteen paraat hebben.” Dank gemeente Amsterdam!

3

2 Wat is risicomanagement? Heb je wel eens een situatie gehad die maar net goed afliep? Of een fout gemaakt waarvan je veel hebt geleerd? Of is je wel eens iets overkomen in je werk waarvan je achteraf denkt: had ik daar nou maar van tevoren over nagedacht, dan had ik een andere keuze gemaakt… Soms zie je behoorlijk voor de hand liggende struikelblokken over het hoofd, andere keren zijn de voetangels en klemmen beter verborgen. Wat je hiervan kunt leren, is dat het heel zinvol is om van tevoren na te denken over wat je binnen een project of organisatie allemaal zou kunnen overkomen. Dan kun je passende maatregelen treffen om ellende te voorkomen. Dat is nu precies waar risicomanagement bij helpt: je inventariseert systematisch gebeurtenissen die het behalen van je doelstellingen in gevaar kunnen brengen. Risicomanagement start bij het inventariseren van gebeurtenissen met een negatief gevolg (ook wel risico genoemd), de oorzaak van die gebeurtenis en de kans van optreden. De omvang van je risico’s kun je inschatten door de kans (van optreden) met het (negatieve) gevolg te vermenigvuldigen. Daarna volgt het bedenken van de maatregelen waarmee de risico’s kunnen worden gereduceerd. De rekensom kans (van optreden) x (negatief) gevolg helpt ook bij het prioriteren van de beheersmaatregelen. Het is immers vaak niet mogelijk of zinvol om alles te beheersen.

Na uitvoering van de beheersmaatregelen worden de effecten ervan geëvalueerd. Vervolgens bepaal je de zogenaamde restrisico’s. Ook kijk je of zich ondertussen nieuwe risico’s hebben aangediend, waarvoor nieuwe beheersmaatregelen moeten worden bedacht, enzovoorts. Risicomanagement is een continu en cyclisch proces. Risico’s managen geeft geen garantie dat gebeurtenissen met een negatief gevolg niet meer zullen optreden. Het geeft wel de zekerheid dat je er van tevoren alles aan hebt gedaan om deze te voorkomen of de effecten ervan te verminderen.

4

3 Harrie hanteert zijn eigen uitgangspunten Kun je aan risicobeheersing doen zonder het instrument risicomanagement in te zetten? Harrie denkt van wel. Sterker nog: veel risico’s worden in de dagelijkse praktijk impliciet al goed beheerst. Vaak gebeurt dit onbewust. Door het ontwikkelen van risicobewustzijn kun je de beheersing van risico’s wel sterk verbeteren. Wat moet je doen om bewuster om te gaan met de risico’s in je werk? Stapels boeken lezen, ISO-normen uit je hoofd leren, publicaties bijhouden, ingewikkelde rekenmodellen opstellen of een intensieve opleiding volgen? Nee, Harrie is graag bezig met zijn werk en houdt het dus liever praktisch. Als Harrie in zijn dagelijks werk een aantal eenvoudige uitgangspunten hanteert, gaat hij al heel bewust met zijn risico’s om. Dat weet hij uit ervaring. Hij weet ook dat hij bij een grotere en complexere opgave meer nodig heeft dan alleen deze uitgangspunten, zeker als er veel partijen betrokken zijn. Op zo’n moment kiest hij er bewust voor om risicomanagement in te zetten. Ook in dit geval zal hij volgens zijn eigen uitgangspunten blijven werken. Harrie’s uitgangspunten voor risicomanagement: 1. 2. 3. 4. 5. 6.

Niemand is belangeloos. Harrie weet dat veel risico’s voortkomen uit belangentegenstellingen en zorgt er dus voor dat hij alle belangen kent en erkent. Als je niet naar risico’s vraagt, krijg je ze ook niet te horen. Harrie beseft dat hij de wijsheid niet in pacht heeft en praat dus bewust met zijn collega’s over risico’s. Twee weten meer dan één. Harrie is zich ervan bewust dat hij meerdere bronnen moet raadplegen om een reële inschatting te kunnen maken van zijn risico’s. Wie zijn risico’s niet kent, heeft geen keuze. Harrie weet uit ervaring dat hij alleen kan sturen, als hij wat te kiezen heeft. Risico’s worden het best beheerst door hen die er belang bij hebben. Harrie probeert zijn risico’s te beheersen door ze neer te leggen bij direct belanghebbenden. Wie niet reflecteert op successen en fouten, stopt met leren. Harrie organiseert regelmatig evaluaties om van elkaars ervaringen te kunnen leren.

Bovenstaande uitgangspunten lijken voor de hand te liggen, maar Harrie realiseert zich dat de praktijk vaak weerbarstig is. Met enige regelmaat krijgt hij te horen dat: • • • • • • • • •

hij zich beter met zijn werk kan bezighouden, dan allerlei onzinnige scenario’s uit te werken die toch niet zullen optreden; hij veel te negatief is en het allemaal wel zal meevallen; hij de moeilijkheid van het werk schromelijk overschat en dat er dus geen risicomanagement nodig is; hij altijd het verkeerde moment kiest om risico’s aan te dragen; hij zich vooral geen zorgen moet maken, want veel zaken worden al beheerst. Harrie laat zich echter niet van de wijs brengen, omdat hij weet dat: bewust omgaan met risico’s onderdeel is van zijn werk; opgaven met meerdere partijen vaak complexer zijn dan ze in eerste instantie lijken; er nooit een verkeerd moment is om over risico’s te praten; 5

•

er inderdaad al veel zaken worden beheerst, maar dat het altijd beter kan.

Dus werkt Harrie steevast volgens zijn eigen uitgangspunten en als het nodig is zet hij daar het instrument risicomanagement bij in. Hij ziet risicomanagement als een middel dat hem helpt zijn (project)doel te halen. Het is geen doel op zich.

4 Harrie gaat aan de slag De wereld verandert continu. Dat geldt ook voor de omgeving van een project of organisatie. Elke risicoanalyse is een momentopname. Om risico’s voortdurend te kunnen beheersen, is risicomanagement nodig zolang het project of de organisatie voortbestaan. Risicomanagement is een continu en cyclisch proces, waarin de diverse stappen steeds weer opnieuw worden doorlopen. Harrie neemt een voor een alle processtappen door en merkt dat ze veel gemeen hebben met zijn 6 uitgangspunten. De 6 stappen van de risicomanagementcyclus: • • • • • •

Context: waarover gaat de risicoanalyse en wat willen we ermee bereiken? Identificatie: wat kan ons allemaal overkomen? Analyse en beoordeling: wat zijn onze grootste risico’s? Afwegen alternatieven: hoe kunnen we onze grootste risico’s beheersen? Uitvoeren beheersing: hoe nemen we de beheersing ter hand? Evaluatie: wat is er veranderd en wat hebben we geleerd?

De uitleg van Harrie zal op alle aspecten beknopt zijn. Wil je meer weten? In hoofdstuk 7 geeft Harrie een overzicht van diverse kennisbronnen voor verdere verdieping. Communicatie is een basisprincipe: goede communicatie is noodzakelijk voor succesvol risicomanagement. Het staat daarom centraal in dit model. In hoofdstuk 6 gaat Harrie hier dieper op in.

6

4 .1 Harrie bepaalt de context “Niemand is belangeloos” Risicomanagement is geen doel, maar een middel. Daarom is het verstandig om na te gaan wat je ermee wilt bereiken, nog voordat je met dit instrument aan de slag gaat. Kijk eerst eens naar de actuele context van je opdracht, project, afdeling of organisatie: wat is je doel en waar sta je nu? Word je wel eens verrast? Heb je goed zicht op de risico’s? Ga je er bewust mee om? Heb je het gevoel in control te zijn? Kun je alles overzien? Krijgen anderen de kans hun risico’s te benoemen? Vaak wordt al heel veel gedaan aan het beheersen van risico’s, impliciet en onbewust. Dat is prima. Nog beter is het om juist bewust met risico’s om te gaan, niet alleen om ze te beheersen, maar ook om ze bewust te nemen. Soms is hiervoor een goed gesprek met de projectteamleden al voldoende. Bij grotere en complexere opgaven kan risicomanagement een uitstekend middel zijn om bewust op risico’s te sturen. Voor het bepalen van de context kun je achtereenvolgens de volgende stappen doorlopen: •

• • • •

•

• • • •

Creëer inzicht in en begrip voor de actuele context waarbinnen het proces van risicomanagement kan plaatsvinden. o Wat zijn de strategische doelstellingen van het programma? o Wat zijn daarbij de succesfactoren? Zijn deze SMART gemaakt? Wat is de huidige stand van zaken van het programma? Waarom is risicomanagement nodig? Wat gaat er mis als je dit middel niet inzet? Stel je doel vast. Wat zijn de strategische doelstellingen van het programma of het project? Zijn daarbij KPI’s geformuleerd. Maak een heldere afbakening. Wat is de scope en waar ligt de focus van het risicomanagement? Stel risicocriteria vast. Bepaal voor elk onderdeel of onderwerp van je project of organisatie hoeveel risico je mag, wil en/of kunt lopen. Anders gezegd, vanuit je projectdoel, organisatiedoel of beleid: wat mag niet mis gaan en wat mag wel (een beetje) mis gaan. Bepaal wie bij het proces van risicomanagement worden betrokken. Wie is opdrachtgever? Wie begeleidt het proces? Wie neemt er aan deel? Wie krijgt inzage in de resultaten? Wie gaat ze gebruiken of ondervindt er de gevolgen van? Inventariseer welke informatie beschikbaar en bruikbaar is. Wat is er al? Bepaal welke instrumenten je gaat inzetten voor de risicoanalyse. Hoe ga je aan de slag? Maak vooraf eventueel een omgevings- of krachtenveldanalyse.

Wie hebben invloed op het proces van risicomanagement? Formuleer een duidelijke opdracht voor het proces van risicomanagement. Wat ga je doen en wie is waarvoor verantwoordelijk?

7

Harrie’s praktische adviezen: •

• •

•

•

Begin niet zomaar aan een risicoanalyse. Denk vooraf goed na over je doel. Het is best mogelijk dat je tot de conclusie komt dat risicomanagement hiervoor (nog) niet het meest geschikte instrument is. Betrek in een zo vroeg mogelijk stadium je leidinggevende, opdrachtgever en/of bestuurder bij het opzetten van risicomanagement. Betrek daarnaast zoveel mogelijk anderen bij het bepalen van de context en bij het maken van de afweging om risicomanagement in te zetten. Hierdoor ontwikkel je een bredere blik en creëer je meteen draagvlak en energie. Zorg voor een heldere afbakening vooraf en begin klein. Beschouw de hierboven genoemde stappen als een praktisch hulpmiddel voor het proces van afweging en voorbereiding. Het is niet nodig om voor het beantwoorden van elke vraag een uitgebreide studie te doen. Zorg vanaf het begin voor een open en veilige sfeer. Probeer duidelijk te maken dat risicomanagement slechts een hulpmiddel is om bewust om te gaan met risico’s. Het is zeker geen instrument om het functioneren van betrokkenen te beoordelen.

4 .2 Harrie identificeert zijn risico’s “Als je niet naar risico’s vraagt, krijg je ze ook niet te horen” Nadat je de context hebt bepaald en op basis daarvan de voorbereidingen hebt getroffen, kun je de volgende stap zetten: het in kaart brengen van de risico’s. Deze stap heeft tot doel een uitgebreid overzicht te verkrijgen van gebeurtenissen die het behalen van doelstellingen kunnen belemmeren of vertragen. Het gaat hierbij dus om het bedenken van zoveel mogelijk risico’s. Elk risico formuleer je als een gebeurtenis met een oorzaak en een gevolg. Om een zo breed mogelijk spectrum van risico’s te verkrijgen, is het handig om vanuit meerdere invalshoeken te kijken. Voorbeelden van invalshoeken zijn: bedrijfsproces, financieel, imago/politiek, informatie/strategie, juridisch/aansprakelijkheid, letsel/veiligheid, materieel, milieu, personeel/ARBO en product. Daarnaast kan het handig zijn om het vraagstuk waarvoor risico’s worden geïdentificeerd op te delen in een aantal deelvraagstukken. Voor het identificeren van de risico’s kun je achtereenvolgens de volgende stappen doorlopen: • • • •

• •

Bepaal vooraf wie meedoen aan het identificeren van de risico’s. Bepaal vooraf wie het proces gaat begeleiden. Bepaal vooraf welke invalshoeken en mogelijke opdeling van je vraagstuk je wilt hanteren. Bepaal vooraf hoe je de risico’s wilt identificeren. Dat kan op basis van individuele interviews, maar ook in een groepsbijeenkomst. Ook een combinatie van beide vormen is mogelijk. Plan afspraken voor het identificeren van risico’s en nodig betrokkenen uit. Begin elk interview en/of elke bijeenkomst met een duidelijke inleiding. Geef aan wat het doel is en hoe het vervolg eruit gaat zien.

8

• • • •

Begin de identificatie met de vraag aan de betrokkenen wat voor hen de belangrijkste risico’s zijn. Waar liggen ze wakker van? Gebruik hierbij de verschillende invalshoeken om de risicomatrix te vullen. Registreer de genoemde risico’s en voeg daaraan toe een omschrijving van de oorzaken en gevolgen. Neem gezamenlijk alle genoemde risico’s door en formuleer zo mogelijk de risico’s nog concreter.

Harrie’s praktische adviezen: •

•

•

• • •

•

•

Nodig een zo divers mogelijk gezelschap uit voor het identificeren van risico’s, dus bijvoorbeeld niet alleen maar technische of juridische specialisten. Daag de deelnemers uit om zo integraal mogelijk te denken. Het is ook raadzaam om een paar zogenaamde wilde ganzen uit te nodigen. Dat zijn deelnemers die wat verder van het vraagstuk afstaan. Hun inbreng voorkomt tunnelvisie en leidt tot een breder beeld van de risico’s. Denk hierbij ook aan controllers. De keuze van de werkwijze hangt van een aantal factoren af. Bijeenkomsten hebben als voordeel dat in korte tijd veel risico’s worden geïdentificeerd. Daarnaast vindt communicatie plaats tussen de deelnemers. Interviews hebben als voordeel dat snel een eerste beeld kan worden verkregen en bieden de mogelijkheid tot verdieping. Laat de groep voor een bijeenkomst niet groter zijn dan 8 tot 10 personen. Stuur mogelijk vooraf al informatie of een voorbereidende opdracht op. Kies voor de bijeenkomst een begeleider die bij voorkeur neutraal is, die in staat is een open en veilige sfeer te creëren, maar ook kritische vragen durft te stellen. Verwerken van gegevens tijdens een bijeenkomst kan op verschillende manieren: schrijven op geeltjes of flipovervellen, schrijven op voorgedrukte risicotabellen of gelijk invoeren in een computer. Houd interviews bij voorkeur met z’n tweeën.

Stel open vragen en geen suggestieve of gesloten vragen. Vraag door tot het risico echt helder is. Reserveer voor elk interview tenminste 1 tot 2 uur. Wees niet te snel tevreden, daag uit het (bijna) onmogelijke te bedenken.

4 .3 Harrie analyseert en beoordeelt “Twee weten meer dan één” Om meer inzicht te krijgen in de geïdentificeerde risico’s, ga je ze stuk voor stuk analyseren en beoordelen. Voor elk risico bepaal je de kans van optreden en de mogelijke gevolgen. De omvang van een risico is dan kans x gevolg. Door de risico’s op deze wijze te kwantificeren, kun je bepalen welke de belangrijkste zijn en op welke je de beheersing moet concentreren. Dat zijn de zogenaamde toprisico’s.

9

Er zijn verschillende methodes om risico’s te analyseren. Hieronder wordt de meest toegepaste werkwijze toegelicht: • •

• •

•

•

Maak voor alle geïdentificeerde risico’s een inschatting van de kans van optreden en een inschatting van de gevolgen in geld en/of tijd. Gebruik hiervoor absolute waarden: een percentage voor de kans, een bedrag in euro’s voor het gevolg in geld en een tijdseenheid (bijvoorbeeld aantal maanden) voor het gevolg in tijd. Bepaal vervolgens de omvang van de risico’s door de kans te vermenigvuldigen met het gevolg in geld respectievelijk tijd. Indien onvoldoende gegevens beschikbaar zijn om exacte waarden in te schatten, kun je ook gebruik maken van een kwantificeringstabel. Hierin zijn de waarden geplaatst binnen een bepaalde bandbreedte. In de ‘Uitwerking praktische richtlijn’ (hoofdstuk 3.4.3) zijn de kwantificeringstabellen van de gemeente Haarlem te vinden. De (relatieve) omvang van de risico’s wordt nu bepaald door de kansklasse te vermenigvuldigen met de gevolgklasse. Elk risico krijgt zo een relatieve omvang tussen de 1 en 16 punten. Bepaal de 10 of 20 grootste risico’s. Dit zijn de toprisico’s met de hoogste absolute of relatieve omvang.

Harrie’s praktische adviezen: •

• •

•

•

•

Kies in eerste opzet liefst voor eenvoud: geen ingewikkelde theoretisch verantwoorde kansberekening, maar een eenvoudige berekening van kans maal gevolg die voor iedereen hanteerbaar is. Raadpleeg bij de beoordeling en kwantificering van de risico’s altijd meerdere bronnen om een zo reëel mogelijke inschatting van de omvang te kunnen maken. Stem de uitkomsten van de risicoanalyse af met de relevante betrokkenen (opdrachtgever, afdeling, projectteam, externe stakeholders, enzovoort) om draagvlak te behouden. Je kunt ook gevolgklassen maken voor een kwalitatieve analyse van risico’s waarvan de gevolgen niet in geld en/of tijd zijn uit te drukken, zoals bijvoorbeeld kwaliteits-, veiligheids­ of imagorisico’s. Maak een risicokaart waarmee je in een oogopslag inzicht hebt in het risicoprofiel van je project of organisatie. Een risicokaart is een matrix waarin de kansklassen zijn uitgezet tegenover de gevolgklassen. Plaats in elk vakje van de matrix het aantal risico’s met bijbehorende kans- en gevolgklasse. Wees je ervan bewust dat veel risico’s impliciet al beheerst worden. Richt je in de risicoanalyse vooral op die risico’s die nog niet onder controle zijn.

10

4 .4 Harrie weegt zijn alternatieven af “Wie zijn risico’s niet kent, heeft geen keuze” Nu de risico’s in kaart zijn gebracht, kun je gaan nadenken over de manier waarop je de toprisico’s zo goed mogelijk kunt beheersen. Daar is het immers allemaal om begonnen. Voor de goede orde: doel is niet om koste wat het kost risico’s te vermijden of te voorkomen; dan kun je maar beter nergens aan beginnen! Doel is wel vooraf te overwegen wat je met een risico doet. De belangrijkste alternatieven zijn: •

•

Zelf dragen van de risico’s: o Vermijden risico: staken van de activiteiten, doelen veranderen, schaal verkleinen. o Verminderen risico: treffen van beheersmaatregelen  ter voorkoming (aanpak oorzaak) of  beperking van het gevolg. o Aanvaarden risico: acceptatieniveau bepalen en risico’s die daar onder vallen accepteren. Overdragen van de risico’s: o Stoppen met zelf uitvoeren (uitbesteden, inkopen). o Verzekeren.

11

De manier waarop je met risico’s omgaat, wordt mede bepaald door de eerder vastgestelde risicocriteria. Deze bepalen immers hoeveel risico je als project of organisatie kan, mag en wilt lopen. Voor het bepalen van de beheersmaatregelen kun je achtereenvolgens de volgende stappen doorlopen: •

Weeg per risico de alternatieven af.

Als je besluit het risico zelf te dragen en te verminderen: • • • • • • • • • •

• • •

Bedenk voor elk risico zoveel mogelijk beheersmaatregelen. Bespreek alle geïnventariseerde maatregelen en formuleer ze zo mogelijk nog concreter. Maak voor elke beheersmaatregel een inschatting van de gevraagde investering en het beoogde effect. Maak op basis hiervan een keuze voor de beheersmaatregelen die je wilt implementeren. Bepaal wat de restrisico’s zijn na implementatie van de gekozen beheersmaatregelen. Wijs voor de beheersing van elk risico een verantwoordelijke aan en benoem bijbehorende taken, verantwoordelijkheden en bevoegdheden. Laat zo nodig elke verantwoordelijke een plan maken waarin staat hoe hij zijn risico’s gaat beheersen en hoe hij de implementatie en effecten ervan monitort. Harrie’s praktische adviezen: Streef niet naar volledigheid, maar beperk je in eerste instantie tot de beheersing van de risico top 10 of top 20, zodat het proces voor iedereen te overzien is. Praat met betrokkenen over de risico’s en de beheersing ervan. Dit levert dubbel voordeel op. Je verkrijgt informatie ter onderbouwing en nadere uitwerking en de gesprekken zorgen ervoor dat risico’s gaan leven. Leg de verantwoordelijkheid bij degene die het risico het beste kan beheersen en/of die er het meeste belang bij heeft. Kijk bij de keuze van beheersmaatregelen vooral naar factoren als: uitvoerbaarheid, tijd en geld, beïnvloedbaarheid, omgevingsfactoren en mogelijke nieuwe risico’s.

Weeg de kosten goed af. Soms is het “goedkoper” het risico te nemen. Wees alert op risico’s die zelden zullen optreden maar grote gevolgen hebben. Stel eventueel ‘what if’­scenario’s op om de gevolgen van dergelijke risico’s te beperken.

4 .5 Harrie voert zijn beheersing uit “Risico’s worden het best beheerst door hen die er belang bij hebben” Voor de belangrijkste risico’s heb je de verschillende alternatieven afgewogen. Risico’s die niet overgedragen, vermeden of geaccepteerd kunnen worden, zullen op de een of andere manier door de organisatie zelf moeten worden beheerst. Hiervoor heb je diverse beheersmaatregelen bedacht. Nu komt het aan op het uitvoeren van deze maatregelen. Hierbij zijn twee vragen van belang: 1. 2.

Wie gaat het risico beheersen? (Wie wordt de risico-eigenaar?) Hoe pak je de uitvoering aan?

Het antwoord op de eerste vraag is in principe vrij eenvoudig. Een risico kan het best worden beheerst door diegene die er het meeste last van heeft als het risico of de ongewenste gebeurtenis

12

daadwerkelijk optreedt. Die persoon of partij heeft er immers het meeste belang bij dat het risico niet optreedt en/of dat de gevolgen beperkt worden. Het wordt lastiger als de meest belanghebbende niet de mogelijkheid heeft het risico te beheersen. Dan zal dit moeten gebeuren door de persoon of partij die daar het best toe in staat is. In je afwegingen om een risico te alloceren, zul je altijd een combinatie moeten maken van belang (willen) en mogelijkheid (kunnen). Zorg in elk geval dat duidelijk is wie welk risico gaat beheersen. Wijs risico-eigenaren aan en maak afspraken over de bijbehorende taken, verantwoordelijkheden en bevoegdheden. In antwoord op de tweede vraag adviseert Harrie je om zoveel mogelijk planmatig te werk te gaan. Maak een plan, waarin staat wat je gaat doen, wat je daarvoor nodig hebt, hoe je de effecten van de getroffen maatregelen bewaakt en hoe je daarover rapporteert. Indien een risico niet volledig kan worden beheerst, is er sprake van een restrisico. Door extra maatregelen kunnen ook restrisico’s worden beheerst. Harrie’s praktische adviezen: • • • •

Bepaal per risico wat de kans van slagen van alle beheersmaatregelen is, wat de kosten zijn en hoe groot het eventuele restrisico is. Houd de plannen van aanpak voor het uitvoeren van beheersmaatregelen zo beknopt mogelijk. Vermijd uitgebreide studies en onderzoeken. Stel voor elke beheersmaatregel de kaders vast: budget, tijdsduur, kwaliteitseisen (GOKIT). Maak het uitvoeren van beheersmaatregelen zoveel mogelijk onderdeel van het dagelijks werk. Koppel rapportages over beheersing van risico’s aan reguliere voortgangsrapportages.

4 .6 Harrie evalueert “Wie niet reflecteert op successen en fouten, stopt met leren” De context is bepaald, de risico’s zijn geïdentificeerd en beoordeeld en voor de toprisico’s zijn passende beheersmaatregelen genomen. Is daarmee de kous af? Nee, zoals eerder al aangegeven is risicomanagement een cyclisch proces. Het is dus goed als je op gezette tijden terugkijkt om beter vooruit te kunnen kijken. Hierdoor wordt het risicobewustzijn van jou en je team verder aangescherpt. Je leert je prioriteiten beter te stellen, de effecten van beheersing beter in te schatten, enzovoort. Ondertussen draait de wereld om je heen door. Onder gewijzigde omstandigheden kunnen weer nieuwe risico’s ontstaan of bestaande risico’s wijzigen of verdwijnen. Om risicobewust te kunnen handelen, moet je voortdurende ‘gevoed’ worden. Vandaar dat de cyclus ook een evaluatiemoment bevat. De evaluatie betreft zowel het proces van risicomanagement als de inhoudelijke resultaten. Voor het evalueren van het proces en de resultaten kun je achtereenvolgens de volgende stappen doorlopen: • •

Organiseer een evaluatiebijeenkomst of agendeer de evaluatie van risicomanagement voor je reguliere teamoverleg. Evalueer het proces: wat ging goed en wat kan in het vervolg beter?

13

• • • • •

•

Herijk het risicoprofiel van je project of organisatie: is het risicoprofiel kleiner of groter geworden? Leg het risicoprofiel naast de eerder vastgelegde risicocriteria: zijn de restrisico’s eigenlijk wel acceptabel? Kijk nog eens kritisch naar het effect van de beheersmaatregelen: zijn de beoogde effecten behaald en zo nee, waarom niet? Bepaal wanneer en met welke frequentie de risicomanagementcyclus wordt herhaald: wanneer gaan we de cyclus hervatten? Onderzoek hoe de risicomanagementcyclus ingepast kan worden in de reguliere werkprocessen: hoe maken we risicobewustzijn en risicomanagement een onlosmakelijk onderdeel van ons dagelijks werk? Maak concrete afspraken over de te nemen vervolgstappen (bijvoorbeeld het actualiseren van de risicoanalyse): wat gaan we concreet doen, wanneer gaan we weer aan de slag, wie neemt hiertoe het initiatief, enzovoort?

Harrie’s praktische adviezen: •

•

•

•

•

1. 2. 3. 4.

Betrek een zo breed mogelijke groep bij de evaluatie. Ten eerste om een zo goed mogelijk beeld te krijgen van het proces en de resultaten. Ten tweede om de betrokkenheid bij het risicomanagementproces te blijven stimuleren. Soms is het verstandig om externen te betrekken bij de evaluatie, bijvoorbeeld in de vorm van een (collegiale) audit of een gateway review. Een frisse blik van buiten kan geheel nieuwe inzichten opleveren. Laat de evaluatiebijeenkomst bij voorkeur begeleiden door een externe gespreksleider, zodat alle deelnemers op een gelijkwaardige manier hun input kunnen leveren. Bijkomend voordeel is dat een onafhankelijke derde zich vrijer voelt om kritische vragen te stellen, waardoor er meer uit de evaluatie kan worden gehaald. Voor een natuurlijke verbinding tussen de risicomanagementcyclus en de dagelijkse praktijk kan het handig zijn om de resultaten (toprisico’s en beheersmaatregelen) te koppelen aan een reguliere rapportagecyclus, zoals bijvoorbeeld de P&Ccyclus. Het mes snijdt hierbij aan twee kanten: de risicomanagementcyclus is een goede inhoudelijke bron voor de voortgangsrapportage, en hij krijgt de regelmatige aandacht die hij verdient. Streef bij de evaluatie naar een integrale benadering, steeds redenerend vanuit het beoogde doel. Stel elkaar daarbij de volgende vragen:

Wat willen we bereiken? Wat gaan we daarvoor doen? Wat mag het kosten? Welke risico’s lopen we daarbij?

14

5 Harrie organiseert risicomanagement In het voorafgaande hoofdstuk zijn de zes stappen besproken voor het uitvoeren van risicomanagement. Zoals eerder aangegeven is het doorlopen van deze cyclus geen eenmalige of incidentele activiteit. De wereld om ons heen blijft immers in beweging, zodat je voortdurend alert moet zijn op het ontstaan van nieuwe risico’s. Met andere woorden: het risicobewustzijn moet continu gevoed worden. Dat kan door risicomanagement een volwaardig onderdeel te maken van de reguliere bedrijfsprocessen binnen je organisatie. Hoe doe je dat? Het ISO (bekend van de NEN normen) heeft in 2010 een model gepubliceerd voor risicomanagement: ISO 31000. Het biedt een algemeen kader voor organisaties die risicomanagement in de meest brede zin in de praktijk willen brengen. Onderstaand figuur is op dit model gebaseerd en helpt bij het verankeren van risicomanagement in je project of organisatie.

15

De bovenste helft van het model geeft een richtlijn voor het implementeren en structureel verbeteren van risicomanagement in je project of organisatie, deze richtlijn komt neer op het vaststellen van een aantal principes of uitgangspunten en het creëren, monitoren en als nodig verbeteren van de juiste condities voor het verankeren van risicomanagement in je organisatie. In de onderste helft herkennen we het cyclische proces van risicomanagement. In hoofdstuk 3 heeft Harrie de uitgangspunten weergegeven die hij hanteert, maar het staat je geheel vrij om eigen principes vast te stellen. Het is in elk geval goed om hier met elkaar over te praten. Als je wilt weten welke condities binnen de bestaande organisatie nodig zijn voor goed risicomanagement, kunnen de volgende vragen helpen: 1.

2. 3. 4. 5.

6. 7.

8. 9. 10.

Commitment: Heeft de opdrachtgever of het leidinggevend management zich gecommitteerd aan het nut en de noodzaak van het toepassen van risicomanagement? Zo ja, waar blijkt dat uit? Bewustzijn: Is vooraf bepaald hoeveel risico de organisatie wil lopen? Zo ja, hoeveel dan? Mandaat: Heeft de opdrachtgever van het proces voldoende mandaat om de complete cyclus bij herhaling te doorlopen? Zo ja, waar is dat vastgelegd? Draagvlak: Is er voldoende bereidheid om open over risico’s te praten? Zo ja, waar blijkt dat uit? Verantwoordelijkheid: Is vooraf bepaald welke medewerkers verantwoordelijk zijn voor het implementeren van risicomanagement, dan wel het uitvoeren van het proces? Zo ja, wie zijn dat? Instrumenten: Is vooraf bepaald welke instrumenten worden gebruikt bij het doorlopen van het proces? Zo ja, welke zijn dat? Middelen: Zijn er voldoende middelen (tijd, geld, capaciteit) beschikbaar om het proces te doorlopen en te handelen op basis van de uitkomsten ervan? Zo ja, hoeveel en waar is dat vastgelegd? Frequentie: Is vooraf bepaald met welke frequentie het proces doorlopen wordt? Zo ja, wat is die? Rapportage: Is vooraf bepaald hoe en aan wie over de uitkomsten en maatregelen van risicomanagement wordt gerapporteerd? Zo ja, hoe en aan wie? Positionering: Sluit risicomanagement aan bij de bestaande processen? Zo ja, hoe?

Indien het antwoord op bovenstaande vragen “nee” is of de vervolgvraag niet beantwoord kan worden, adviseert Harrie om eerst nog eens goed naar de onderliggende condities te kijken. Wat is ervoor nodig om de betreffende vraag bevestigend en onderbouwd te kunnen beantwoorden? Het negeren van onvolledig beantwoorde vragen kan leiden tot teleurstellende resultaten en dus verspilde energie, zo stelt Harrie. Bovenstaand model is zeker niet bedoeld om een (apart) managementsysteem voor te schrijven, maar juist om de organisatie te helpen risicomanagement te integreren in haar algemene managementsysteem. Harrie beveelt dan ook aan om de componenten van een gekozen model aan te passen aan de specifieke behoeften van de organisatie en de bestaande systemen. Bovendien, en dat is belangrijk, kun je het risicomanagement dan inbedden in wat er al is, zodat het niet als een extra belasting wordt ervaren.

16

Als je het nut van risicomanagement onderschrijft, adviseert Harrie je om de principes en condities met behulp van het model of raamwerk te implementeren en onderhouden. Als dat niet gebeurt, is de kans groot dat bij concrete toepassing van risicomanagement het proces halverwege hapert, tot onbevredigende resultaten leidt of niet effectief is.

6

Harrie communiceert

Wie nog eens goed naar Harrie’s uitgangspunten uit hoofdstuk 3 kijkt, zal zien dat hieronder een belangrijk basisprincipe ligt, namelijk: als je niet goed communiceert, heeft het toepassen van risicomanagement geen zin! Het is ook niet voor niets dat het woord communicatie centraal staat in de rechterhelft van het model gebaseerd op de ISO 31000 uit het vorige hoofdstuk. Het lijkt misschien een open deur, maar goede communicatie is essentieel. Wat is goede communicatie? Tja, Harrie is geen deskundige op dit gebied, maar weet uit zijn praktijkervaring dat de volgende adviezen van pas kunnen komen: •

• • •

•

•

•

•

•

Beschouw risico’s als een “fact of life”. Draag uit dat risico’s nou eenmaal bij het leven horen. Er is dus geen enkele reden om er niet over te praten. Het hoort bij het dagelijks werk. Maak het daar dan ook onderdeel van. Maak risico’s bespreekbaar. Voordat je überhaupt met risicomanagement aan de slag gaat, start eerst eens een goed gesprek over risico’s. Wat verstaan we eronder? Kunnen ze onze doelstellingen bedreigen? Moeten we er wat mee? Maak risicomanagement belangrijk. Door te praten over risico’s en ze concreet te maken (wat kan ons allemaal overkomen?) neemt het risicobewustzijn toe en ontstaat als vanzelf de vraag: hoe gaan we ermee om? Houd risicomanagement praktisch en hanteerbaar. Begin eerst eens met het bespreken van risico’s in je reguliere teamoverleg. Tast af wat qua inzet van medewerkers haalbaar en realistisch is. Vermijd ‘Poolse landdagen’. Betrek de juiste mensen. Beperk je niet tot je eigen team, maar voed ook het risicobewustzijn van je opdrachtgever of leidinggevende of van bepaalde stakeholders. Zorg dat ze betrokken worden bij het proces. Stimuleer openheid en vertrouwen. Vragen over risico’s kunnen als bedreigend worden ervaren. Maak duidelijk dat risicomanagement tot doel heeft om te anticiperen, niet om achteraf verantwoording af te leggen. Wees expliciet. Probeer met elkaar zo concreet mogelijk over risico’s te praten.

Draai niet om de hete brij heen. Als iets niet duidelijk is, stel vragen. Vraag net zolang door totdat voor iedereen helder is waar het om gaat. Blijf realistisch. Maak bij voortduring aan betrokkenen en stakeholders duidelijk dat ze geen wonderen mogen verwachten van risicomanagement. Toepassen ervan biedt geen garantie op het voorkomen van risico’s.

Bovenstaande adviezen hebben vooral betrekking op de interne communicatie tussen degenen die betrokkenen zijn bij het risicomanagementproces. Sta ook even stil bij de externe communicatie. Denk daarbij bijvoorbeeld aan presentaties of rapportages aan een opdrachtgever of

17

managementteam. Maak hierover van tevoren goede afspraken, zodat betrokkenen weten wat ze van elkaar kunnen verwachten. Ga extra zorgvuldig om met communicatie naar de buitenwereld. Het is op zich goed om open te communiceren over risico’s en de beheersing daarvan. Het kan zorgen voor begrip, betrokkenheid en draagvlak. Let wel op dat het naar buiten brengen van informatie de positie van je project of organisatie kan schaden. Met andere woorden, communiceer open maar niet naïef. Harrie sluit dit hoofdstuk af met wat voor hem de essentie is van goede communicatie over risicomanagement:

‘Het grootste risico is dat je de risico’s voor jezelf houdt.’

7 M eer weten over risicomanagement? 7 .1 Risicocoördinatoren Sinds 2016 vormen de risicocoördinatoren van Haarlem een gezamenlijk overleg. Doel van deze overlegtafel is om de kennis en expertise op het gebied van risicomanagement binnen Haarlem te vergroten en te verspreiden. Als je vragen hebt over risicomanagement of het toepassen daarvan, kan je contact opnemen met de risicocoördinator van jouw programma. Wie dat zijn, vind je op de Insite-pagina van risicomanagement: https://intranethaarlem.pleio.nl/groups/profile/40136732/risicomanagement.

7 .2 N aslagwerken en contactpersonen Risicomanagement is in Haarlem georganiseerd op basis van de Praktische richtlijn risicomanagement. Deze richtlijn is opgesteld in samenwerking tussen concern control en de risicocoördinatoren van de verschillende (begrotings)programma’s en vastgesteld op 22 maart 2017. De richtlijn, gebruikershandleidingen van NARIS en ander naslagwerken zijn te vinden op Insite. Mocht je aanvullende vragen hebben over de wijze waarop risicomanagement georganiseerd is binnen Haarlem, of specifiek over het gebruik van NARIS, dan kun je contact opnemen Melvin Welsink of Peter de Kruijf.

18

Bijlage: begrippenlijst Actiehouder De persoon die of het organisatie-onderdeel dat is aangewezen om de risicobeheersmaatregel uit te voeren onder verantwoordelijkheid van de risicobeheerder. Actor Zie actiehouder. Beheersaspect De resultaten en middelen waarop een organisatie wordt gestuurd. Beheersmaatregel Een activiteit die zich op enige wijze richt op het elimineren, vermijden of verkleinen van de oorzaak of het gevolg van een ongewenste gebeurtenis. Maatregel waarmee een risico wordt gewijzigd. Belanghebbende Een persoon of organisatie die invloed kan uitoefenen op, invloed ondervindt van, of invloed meent te ondervinden van een besluit of activiteit. Context Het geheel aan interne en externe parameters waarmee rekening moet worden gehouden bij het managen van risico’s en het vaststellen van de reikwijdte en de risicocriteria voor het risicomanagementbeleid. Correctieve maatregel Een maatregel die als doel heeft om na het optreden van een ongewenste gebeurtenis alsnog de beoogde doelstellingen te realiseren. Endogeen risico Een risico waarvan de beïnvloedbaarheid en verantwoordelijkheid binnen de eigen organisatie ligt (gezien vanaf degene die er over rapporteert). Effect Een afwijking ten opzichte van de verwachting. Ernst Zie Gevolg.

Exogeen risico Een risico waarvan de beïnvloedbaarheid en verantwoordelijkheid buiten de eigen organisatie ligt (gezien vanuit het gezichtpunt van degene die erover rapporteert).

19

Externe context Externe omgeving waarin de organisatie streeft naar het behalen van haar doelstellingen. Facilitator Een persoon die risicobijeenkomsten begeleidt. Gateway review Toets, uitgevoerd door deskundigen van buiten de organisatie of het project, waarbij wordt nagegaan of de noodzakelijke randvoorwaarden zijn vervuld, of het project goed op koers ligt en wat de kansen en risico’s zijn. De gateway review is qua aanpak breder dan een risicoanalyse. De methode combineert een organisatorische met een technische en psychologische invalshoek en levert een gedegen beeld van de stand van zaken in een project. Gebeurtenis Een voorval dat invloed heeft of kan hebben op het behalen van de beoogde doelstellingen van een organisatie. Gevolg Het effect dat voortvloeit uit het optreden van een gebeurtenis. Gevolgklasse Ordegrootte gevolg. Waar geen exacte kwantitatieve gegevens voor handen zijn, wordt vaak gebruik gemaakt van een aantal gevolgklassen om een ordegrootte mee te geven. Initieel risico De inschatting van het risico zonder de effecten van beheersmaatregelen. Interne context Interne omgeving waarin de organisatie streeft naar het behalen van haar doelstellingen. Invalshoeken Perspectieven om op verschillende manieren naar een project of organisatie te kijken als hulpmiddel bij de identificatie van risico’s. Impact Zie Gevolg. Incident Zie Gebeurtenis. ISO

31000

Wereldwijde norm voor risicomanagement Kader voor

risicomanagement

Zie Raamwerk. 20

Kans De mogelijkheid dat een gebeurtenis zich voordoet uitgedrukt in een waarde tussen 0 en 1 of tussen de 0% en 100%. Kansklasse Ordegrootte kans. Waar geen exacte kwantitatieve gegevens voorhanden zijn, wordt vaak gebruik gemaakt van een aantal kansklassen om een ordegrootte mee te geven. Krachtenveldanalyse Analyse die tot doel heeft inzicht te verwerven in de betrokken partijen, hun positie en belangen ten aanzien van het project. Kwalitatieve

risicoanalyse

Een risicoanalyse waarbij de risico’s op basis van een kwalitatieve beoordeling in volgorde van belangrijkheid worden gezet. Kwantificeringstabel Tabel die wordt gebruikt om de gevolgen van risico’s te kwantificeren als er onvoldoende gegevens beschikbaar zijn om kans van optreden en/of de gevolgen van de risico’s exact in kaart te brengen. In een kwantificeringstabel worden de kans van optreden van risico’s en de gevolgen in bijvoorbeeld tijd en geld binnen bepaalde bandbreedtes aangegeven. Kwantitatieve risicoanalyse Een risicoanalyse waarbij de omvang van de kans en van het gevolg van de risico’s en onzekerheden kwantitatief, dus in getallen, worden ingeschat. Mitigerende

maatregel

Zie Beheersmaatregel. Monitoring Voortdurend controleren van, toezicht houden op, kritisch waarnemen of vaststellen van een toestand om eventuele wijzigingen ten opzichte van het vereiste of verwachte prestatieniveau te identificeren. Ongewenste gebeurtenis Een voorval dat negatieve invloed heeft of kan hebben op het behalen van de beoogde doelstellingen. Ongewenste topgebeurtenis Een voorval dat in de risicoanalyse wordt gehanteerd als de meest ongewenste gebeurtenis. Onzekerheid Onbekendheid met de feitelijke en/of toekomstige situatie door het geheel of gedeeltelijk ontbreken van informatie over, inzicht in of kennis van een gebeurtenis, de gevolgen daarvan of de waarschijnlijkheid dat deze zich voordoet.

21

Oorzaak Een gebeurtenis of situatie die kan leiden tot het optreden van een ongewenste gebeurtenis. Preventieve maatregel Een maatregel die als doel heeft om het risico vooraf te elimineren, vermijden of verkleinen. Zie ook beheersmaatregel. Quickscan Een globale risicoanalyse gericht op het verkrijgen van een globaal beeld van de risico’s. Raamwerk Geheel van componenten die de basis en organisatorische maatregelen bieden voor ontwerp, implementatie, monitoring, beoordeling en continue verbetering van risicomanagement in alle lagen van de organisatie. Restrisico De inschatting van het risico met medeneming van de effecten van beheersmaatregelen. Risico dat overblijft na risicobeheersing. Risico Een onzekere gebeurtenis die kan leiden tot het afwijken van de gestelde doelstellingen en eisen. De zwaarte van het risico wordt bepaald door een combinatie van de waarschijnlijkheid dat een gebeurtenis plaatsvindt en de impact ervan op doelstellingen en eisen. Risicoallocatie De verdeling over betrokken partijen van de verantwoordelijkheid van het beheer van het risico en voor het dragen van de gevolgen indien een risico optreedt. Risicoanalyse Systematische inventarisatie en analyse gericht op het verkrijgen van de risico’s die kunnen leiden tot een vooraf vastgestelde ongewenste gebeurtenis. Risicobehandeling Proces waarin de alternatieven worden afgewogen. De alternatieven m.b.t.

de risico’s zijn: overdragen, vermijden, accepteren of beheersen. Risicobeheerder De persoon die operationeel verantwoordelijk is voor het risico. De risicobeheerder stuurt de actiehouder aan en rapporteert aan de risico-eigenaar. Risicobeheersmaatregel Zie Beheersmaatregel. Risicobeoordeling Proces waarin de resultaten van een risicoanalyse worden vergeleken met risicocriteria om vast te stellen of het risico en/of de omvang ervan aanvaardbaar of tolereerbaar is. Het rangschikken van 22

risico’s door in absolute of relatieve zin de omvang te bepalen door de kans van optreden te vermenigvuldigen met het gevolg. Risicobeschrijving Een beschrijving van een risico waarbij de bijzondere gebeurtenis of normale onzekerheid, de oorzaak ervan en het gevolg ervan zijn opgenomen. Risicobron Element dat afzonderlijk of in combinatie met andere elementen de mogelijkheid in zich heeft tot een risico te leiden. Risicocategorieën Zie Invalshoeken. Risicocriteria Referentiekader op basis van de doelstellingen van de organisatie waarmee wordt bepaald welke type risico’s in welke orde van grootte acceptabel zijn en/of gelopen mogen en/of kunnen worden. Risicodatabase Een hulpmiddel ten behoeve van risicomanagement waarin een overzicht wordt bijgehouden van ten minste de risico’s, de status van de risico’s en de beheersmaatregelen. Risico-eigenaar De persoon die eindverantwoordelijk en bevoegd is om het risico te managen. Risicohouding Benadering van een organisatie bij de beoordeling en het uiteindelijk nastreven, behouden, nemen of vermijden van risico’s. Risico-identificatie Proces waarmee risico’s worden opgespoord, herkend en beschreven. Risicokaart Een matrix waarin de kansklassen zijn uitgezet tegenover de gevolgklassen en die in een oogopslag inzicht verschaft in het risicoprofiel van het project of de organisatie.

Risicomanagement Het geheel aan activiteiten en maatregelen gericht op het expliciet en systematisch omgaan met en het beheersen van risico’s. Risicomanagementbeleid Verklaring van algemene bedoelingen en richting van een organisatie met betrekking tot risicomanagement.

23

Risicomanagementproces Systematisch toepassing van beleidslijnen, procedures en werkwijzen op de activiteiten met betrekking tot communicatie, overleg, vaststelling van de context, en het identificeren, beoordelen, behandelen, monitoren en evalueren van risico’s. Risico-coördinator Een persoon die het risicomanagementproces van een (begrotings)programma coördineert. Risiconiveau Omvang van een risico of combinatie van risico’s, uitgedrukt als een combinatie van gevolgen en hun waarschijnlijkheid. Risicoprofiel Een maat (kwalitatief of kwantitatief) voor het geheel aan risico’s van het betreffende project, proces, programma of beleidstraject. Risicoverantwoordelijke Zie Risico-eigenaar Risicovermindering Zie Risicobehandeling. Risicoreductie Zie Risicobehandeling. RISMAN-methode Methode voor het systematisch uitvoeren van een risicoanalyse voor o.a. tijd, geld en kwaliteit van projecten, processen, programma’s of beleidstrajecten. Stakeholder Zie Belanghebbende. Voorzorgsmaatregel Zie Preventieve maatregel. Waarschijnlijkheid Zie Kans.

24

Colofon Uitgave van het kennisnetwerk Risicomanagement van de OntwikkelingsAlliantie*, gemeente Amsterdam. Bewerking door gemeente Haarlem: Melvin Welsink en Laura Wytema (januari 2017) Coördinatie: Simone van Harten (OGA) / Christine Dekkers (PMB) Inhoudelijke voorbereiding: Maarten Kraneveld (kennismakelaar tot december 2010), Rob Giebels (BDA) en Twan Kleeven (IBA), Ruben Zijlmans (kennismakelaar tot december 2010). Met dank aan: Hans Meijer (PMB) heeft het concept gecontroleerd met enkele zeer waardevolle toevoegingen, Robert ’t Hart (directeur NARIS), Désirée Barendregt (DIVV) en Bart Vertelman (PMB) begin fase brainstorm Tekst: Maarten Kraneveld, Rob Giebels en Twan Kleeven Eindredacteur: Vincent Westzaan, ABC-pool *De OntwikkelingsAlliantie is een intensief samenwerkingsverband van de diensten Infrastructuur Verkeer en Vervoer (DIVV), Ruimtelijke Ordening (DRO), Economische Zaken (EZ), het Ontwikkelingsbedrijf Gemeente Haarlem (OGA), het Project Management Bureau (PMB) en het Ingenieursbureau Amsterdam (IBA). Door het college van B en W ingesteld september 2007.

25