Samenvatting Handboek Risicomanagement ERMplus: een
praktische toepassing van COSO ERM
DRS. Urjan Claassen
1. Inleiding
Risicomanagement is een proces dat bewerkstelligd wordt door het bestuur van de onderneming, het
management en ander personeel en wordt toegepast bij het formuleren van de strategie en binnen de
gehele onderneming, ontworpen om de potentiele gebeurtenissen die invloed zouden kunnen hebben
op de onderneming te identificeren en om risico’s te managen zodat deze binnen de
risicoacceptatiegraad vallen, om een redelijke zekerheid te bieden ten aanzien van het behalen van
de ondernemingsdoelstellingen (COSO ERM). De kern van risicomanagement is het bevorderen
van waardcreatie en het verbeteren van prestaties.
1.1.1 Het ‘CONFORMANCE’ – EN ‘PERFORMANCE’- MOTIEF
Nut en noodzaak van risicomanagement is gelegen in tweetal basisprincipes die het bestaansrecht
van elke organisatie bepalen: het conformance- en performance- motief.
1. Het conformance-motief heeft betrekking op het voldoen aan wet- en regelgeving
( compliance). Het voldoen aan wet- en regelgeving biedt men een ‘licence to operate’, ofwel
een licentie om de bedrijfsvoering te kunnen uitoefenen. Door risico’s te inventariseren ten
aanzien van relevante wet- en regelgeving en hiertoe een stelsel van beheersmaatregelen in
te richten, kan op efficiënte en effectieve wijze worden voldaan aan wet- en regelgeving.
Risicomanagement is in dit kader een nuttige hulpmiddel en kent hierbij een sterk defensief
karakter, ‘het moet’, het heeft mogelijk een check the box mentaliteit tot gevolg.
2. Het performance-motief heeft betrekking op het creëren van toegevoegde waarde. Hierbij
kent het risicomanagement een offensief karakter. Het is gericht op de bedreigingen die het
bereiken van deze doelstellingen in de weg kunnen staan. Het performancemotief is dan ook
gericht op het waarborgen van her bestaansrecht van de organisatie. Ofwel een ‘een licence
to survice’).
1.1.2 Van risicomanagement naar integraal risicomanagement
Integraal risicomanagement heeft betrekking op het inrichten van risicomanagementprocessen op:
1. strategische en
2. operationele doelen,
3. financiële verslaggeving en
4. de naleving van wet- en regelgeving.
Kortom: het conformance- en performance –terrein gecombineerd.
1.2 Het COSO ERM-model
1.2.1 COSO het meest gebruikte referentiemodel voor (integraal) risicomanagement
COSO-ERM-model is een standaard ontwikkelt voor de vormgeving van (integraal) risicomanagement.
,1.2.2 Nadelen COSO ERM
Het COSO ERM kent vijf tekortkomingen, namelijk:
1. Geen eenduidig normenkader
COSO ERM is conceptueel van aard en beschrijft slechts een aantal aandachtspunten voor
de inrichting van risicomanagement en interne beheersing.
2. Ontbreken stappenplan
Voor het implementeren van risicomanagement is een eenduidig en concreet stappenplan van
wezenlijk belang. COSO ERM voorziet niet in een dergelijk stappenplan voor implementatie
3. Smalle definitie van interne beheersing
Interne beheersing wordt binnen het COSO ERM-raamwerk gedefinieerd als richtlijnen en
procedures gericht op het waarborgen dat risico’s adequaat worden beheerst. Beheersing
richt zicht hierbij op het reduceren van de (de gevolgen van) risico’s. De betekenis van interne
beheersing in relatie tot het verzilveren van kansen wordt niet nader uitgewerkt.
4. Permanente actualisering ontbreekt
Binnen het COSO ERM-raamwerk worden in beperkte mate handreiking geboden voor het
borgen en actueel houden van risicomanagement- en interne beheersingssystemen.
5. Gedraag in risicomanagementproces niet ingevuld ( niet in boek)
1.3 ERMplus
Voordelen ERMplus tegenover COSO ERM
1. Wel eenduidig normenkader
2. Wel een concreet stappenplan ( 6 – stapsplan)
3. Wel een intern integraal beheersingskader waarbij expliciet een instrumentarium wordt
geboden voor het verzilveren van kansen.
4. Zoekt aansluiting met de planning en control cyclus van controllers en accountants.
5. Wel een verbeteringssystematiek.
6. Relatief veel aandacht voor governance-aspecten.
1.4 Uitgangspunten ERMplus
Voor het uitwerken van de ERMplus-methodiek is een aantal uitgangspunten gedefinieerd. Deze
uitgangspunten vormen belangrijke principes voor de aard en wijze van invulling van de methodiek.
Deze uitgangspunten zijn:
1. Corporate governance wordt bezien vanuit twee aandachtsgebieden: goed bestuur en het
afleggen van verantwoording.
2. Risicomanagement wordt gezien als onderdeel van goed bestuur. De toepassing van
risicomanagement, als onderdeel van corporate governance, is in de praktijk veelal gericht op
getrouwe (financiële) verantwoording en een deugdelijke interne beheersing.
3. De kern van risicomanagement is het bevorderen van waardecreatie en het verbeteren van
prestaties.
4. Risicomanagement is een proces, bewerkstelligd door mensen op elk niveau van de
organisatie, en gericht op het herkennen van potentiele gebeurtenissen die van invloed zijn op
de organisatie en op het beheersen van het risico binnen de risicoacceptatiegraad.
5. Risicomanagement is erop gericht om een redelijke, maar geen absolute, mate van
zekerheid te bieden aan het management dat organisatiedoelstellingen worden gerealiseerd.
, 6. Risicomanagement en integraal risicomanagement worden in dit boek als synoniemen
gebruikt. Integraal heeft hierbij betrekking op enerzijds een geïntegreerde beheersing van
strategische, operationele, financiële en compliance risico’s; deze risico’s worden niet enkel
vanuit aparte specialistische functies en afdelingen beheerst. Anderzijds heeft integraal
betrekking op de organisatiebrede betrokken mensen.
7. Risicomanagement wordt onderverdeeld in strategisch risicomanagement en
procesmanagement. Dit onderscheid is van belang in verband met het beschikbare
instrumentarium voor het management van risico’s en het verbeteren van prestaties.
8. Verantwoording heeft binnen dit boek betrekking op het afleggen van rekenschap aan
stakeholders omtrent gerealiseerde prestaties alsmede de effectiviteit van het interne
risicomanagement en beheersingssystemen. Verantwoording over prestaties is gekoppeld aan
de bedrijfsdoelstellingen. Verantwoording over interne beheersing heeft betrekking op de
getrouwheid van de (financiële) verantwoording en effectiviteit van de interne beheersing.
9. Risicomanagement is zowel zaak van (top)management, de toezichthouder, de interne en
externe auditor als de uitvoerder zelf. Zowel het management, de auditor als de medewerker
hebben een expliciete verantwoordelijkheid in het beheersen van risico’s en het leveren van
prestaties. Dit wordt in dit boek aangeduid als de eerste tot en met de vijfde verdedigingslinie
van risicomanagement.
10. Raad van commissarissen en raad van toezicht worden in dit boek als synoniem gebruikt.
Beide termen duiden op de rol van een toezichthoudend orgaan.
2. Ontwikkelingen en achtergronden
2.1 Inleiding
2.2 Corporate governance
Ten aanzien van regelgeving kan onderscheid worden gemaakt tussen zelfregulering en een
regelement waarbij de naleving van de aanbevelingen verplicht is op grond van wetgeving. Bij
zelfregulering is geen sprake van wettelijke verplichting, maar dient de onderneming toe te lichten als
voorschriften niet worden gevolgd.
Figuur 2.1 De vier samenhangende governanceprocessen
tT
hB
ic
z
e
o
n
d
u s
flV
rw
ag
praktische toepassing van COSO ERM
DRS. Urjan Claassen
1. Inleiding
Risicomanagement is een proces dat bewerkstelligd wordt door het bestuur van de onderneming, het
management en ander personeel en wordt toegepast bij het formuleren van de strategie en binnen de
gehele onderneming, ontworpen om de potentiele gebeurtenissen die invloed zouden kunnen hebben
op de onderneming te identificeren en om risico’s te managen zodat deze binnen de
risicoacceptatiegraad vallen, om een redelijke zekerheid te bieden ten aanzien van het behalen van
de ondernemingsdoelstellingen (COSO ERM). De kern van risicomanagement is het bevorderen
van waardcreatie en het verbeteren van prestaties.
1.1.1 Het ‘CONFORMANCE’ – EN ‘PERFORMANCE’- MOTIEF
Nut en noodzaak van risicomanagement is gelegen in tweetal basisprincipes die het bestaansrecht
van elke organisatie bepalen: het conformance- en performance- motief.
1. Het conformance-motief heeft betrekking op het voldoen aan wet- en regelgeving
( compliance). Het voldoen aan wet- en regelgeving biedt men een ‘licence to operate’, ofwel
een licentie om de bedrijfsvoering te kunnen uitoefenen. Door risico’s te inventariseren ten
aanzien van relevante wet- en regelgeving en hiertoe een stelsel van beheersmaatregelen in
te richten, kan op efficiënte en effectieve wijze worden voldaan aan wet- en regelgeving.
Risicomanagement is in dit kader een nuttige hulpmiddel en kent hierbij een sterk defensief
karakter, ‘het moet’, het heeft mogelijk een check the box mentaliteit tot gevolg.
2. Het performance-motief heeft betrekking op het creëren van toegevoegde waarde. Hierbij
kent het risicomanagement een offensief karakter. Het is gericht op de bedreigingen die het
bereiken van deze doelstellingen in de weg kunnen staan. Het performancemotief is dan ook
gericht op het waarborgen van her bestaansrecht van de organisatie. Ofwel een ‘een licence
to survice’).
1.1.2 Van risicomanagement naar integraal risicomanagement
Integraal risicomanagement heeft betrekking op het inrichten van risicomanagementprocessen op:
1. strategische en
2. operationele doelen,
3. financiële verslaggeving en
4. de naleving van wet- en regelgeving.
Kortom: het conformance- en performance –terrein gecombineerd.
1.2 Het COSO ERM-model
1.2.1 COSO het meest gebruikte referentiemodel voor (integraal) risicomanagement
COSO-ERM-model is een standaard ontwikkelt voor de vormgeving van (integraal) risicomanagement.
,1.2.2 Nadelen COSO ERM
Het COSO ERM kent vijf tekortkomingen, namelijk:
1. Geen eenduidig normenkader
COSO ERM is conceptueel van aard en beschrijft slechts een aantal aandachtspunten voor
de inrichting van risicomanagement en interne beheersing.
2. Ontbreken stappenplan
Voor het implementeren van risicomanagement is een eenduidig en concreet stappenplan van
wezenlijk belang. COSO ERM voorziet niet in een dergelijk stappenplan voor implementatie
3. Smalle definitie van interne beheersing
Interne beheersing wordt binnen het COSO ERM-raamwerk gedefinieerd als richtlijnen en
procedures gericht op het waarborgen dat risico’s adequaat worden beheerst. Beheersing
richt zicht hierbij op het reduceren van de (de gevolgen van) risico’s. De betekenis van interne
beheersing in relatie tot het verzilveren van kansen wordt niet nader uitgewerkt.
4. Permanente actualisering ontbreekt
Binnen het COSO ERM-raamwerk worden in beperkte mate handreiking geboden voor het
borgen en actueel houden van risicomanagement- en interne beheersingssystemen.
5. Gedraag in risicomanagementproces niet ingevuld ( niet in boek)
1.3 ERMplus
Voordelen ERMplus tegenover COSO ERM
1. Wel eenduidig normenkader
2. Wel een concreet stappenplan ( 6 – stapsplan)
3. Wel een intern integraal beheersingskader waarbij expliciet een instrumentarium wordt
geboden voor het verzilveren van kansen.
4. Zoekt aansluiting met de planning en control cyclus van controllers en accountants.
5. Wel een verbeteringssystematiek.
6. Relatief veel aandacht voor governance-aspecten.
1.4 Uitgangspunten ERMplus
Voor het uitwerken van de ERMplus-methodiek is een aantal uitgangspunten gedefinieerd. Deze
uitgangspunten vormen belangrijke principes voor de aard en wijze van invulling van de methodiek.
Deze uitgangspunten zijn:
1. Corporate governance wordt bezien vanuit twee aandachtsgebieden: goed bestuur en het
afleggen van verantwoording.
2. Risicomanagement wordt gezien als onderdeel van goed bestuur. De toepassing van
risicomanagement, als onderdeel van corporate governance, is in de praktijk veelal gericht op
getrouwe (financiële) verantwoording en een deugdelijke interne beheersing.
3. De kern van risicomanagement is het bevorderen van waardecreatie en het verbeteren van
prestaties.
4. Risicomanagement is een proces, bewerkstelligd door mensen op elk niveau van de
organisatie, en gericht op het herkennen van potentiele gebeurtenissen die van invloed zijn op
de organisatie en op het beheersen van het risico binnen de risicoacceptatiegraad.
5. Risicomanagement is erop gericht om een redelijke, maar geen absolute, mate van
zekerheid te bieden aan het management dat organisatiedoelstellingen worden gerealiseerd.
, 6. Risicomanagement en integraal risicomanagement worden in dit boek als synoniemen
gebruikt. Integraal heeft hierbij betrekking op enerzijds een geïntegreerde beheersing van
strategische, operationele, financiële en compliance risico’s; deze risico’s worden niet enkel
vanuit aparte specialistische functies en afdelingen beheerst. Anderzijds heeft integraal
betrekking op de organisatiebrede betrokken mensen.
7. Risicomanagement wordt onderverdeeld in strategisch risicomanagement en
procesmanagement. Dit onderscheid is van belang in verband met het beschikbare
instrumentarium voor het management van risico’s en het verbeteren van prestaties.
8. Verantwoording heeft binnen dit boek betrekking op het afleggen van rekenschap aan
stakeholders omtrent gerealiseerde prestaties alsmede de effectiviteit van het interne
risicomanagement en beheersingssystemen. Verantwoording over prestaties is gekoppeld aan
de bedrijfsdoelstellingen. Verantwoording over interne beheersing heeft betrekking op de
getrouwheid van de (financiële) verantwoording en effectiviteit van de interne beheersing.
9. Risicomanagement is zowel zaak van (top)management, de toezichthouder, de interne en
externe auditor als de uitvoerder zelf. Zowel het management, de auditor als de medewerker
hebben een expliciete verantwoordelijkheid in het beheersen van risico’s en het leveren van
prestaties. Dit wordt in dit boek aangeduid als de eerste tot en met de vijfde verdedigingslinie
van risicomanagement.
10. Raad van commissarissen en raad van toezicht worden in dit boek als synoniem gebruikt.
Beide termen duiden op de rol van een toezichthoudend orgaan.
2. Ontwikkelingen en achtergronden
2.1 Inleiding
2.2 Corporate governance
Ten aanzien van regelgeving kan onderscheid worden gemaakt tussen zelfregulering en een
regelement waarbij de naleving van de aanbevelingen verplicht is op grond van wetgeving. Bij
zelfregulering is geen sprake van wettelijke verplichting, maar dient de onderneming toe te lichten als
voorschriften niet worden gevolgd.
Figuur 2.1 De vier samenhangende governanceprocessen
tT
hB
ic
z
e
o
n
d
u s
flV
rw
ag
