Gestructureerd/ methodisch

7. Rapportages (intern en extern)

Beide methoden lijken daarom meer de aspecten van volwassenheid van risicomanagement te raken dan de 5 stadia van volwassenheid van Beasly et al. en de definitie van Paape en Speklé. Beperking aan deze methoden is echter dat de uitgangspunten van beide scoreleidraden een wetenschappelijk fundament missen. Er is binnen de wetenschap nog geen consensus wat nu precies goed

risicomanagement is en of wat deze beide scoreleidraden impliciet als uitgangspunt hanteren, ‘bigger is better’, ook terecht is. Dit impliciete aspect zit verwerkt in het feit dat alle aspecten hogere punten opleveren als er meer gedaan wordt (vaker geïnventariseerd, meer vastleggen, software gebruiken etc.). In de inleiding is reeds geschetst dat de crisis duidelijk heeft gemaakt dat risicomanagement in haar reputatie een deuk heeft opgelopen. Hierover is de vraag gesteld: ‘Is risicomanagement wel het juiste gereedschap of weten we het gereedschap niet goed in te zetten?’. Dat de crisis ondanks fancy risicomanagementsystemen heeft kunnen verrassen (in lijn met Mikes en Powers) zit voornamelijk in het feit dat er wordt blindgestaard op de hoeveelheid en frequentie van informatieverstrekkingen alsmede het gebruik van modelmatige technieken en software. Het aspect ‘fit for purpose’, is het gereedschap geschikt voor de klus, in relatie tot bijvoorbeeld de organisatiegrootte of een dimensie als organisatiecultuur worden niet geraakt. Noch wordt er rekening gehouden met de kosten die

noodzakelijk zijn om een volledig risicomanagementsysteem op te tuigen.

Om deze reden, alsmede om de vergelijkbaarheid met het onderzoek van Paape en Speklé (2012) te behouden, is er daarom voor gekozen om toch de minder rijke dimensie van de Beasly stadia te hanteren. Overigens blijkt er wel een sterke correlatie tussen het rapportcijfer zoals deze uit de scoreleidraad volgt en de 5 stadia van Beasly, zoals hieronder weergegeven:

- 56 -

Figuur 4.13 Correlatie volwassenheidsscore op basis van Beasly schalen vs. volwassenheid op basis van scoreleidraad

Aanvullend op de resultaten die in dit onderzoek gepresenteerd worden is een lineaire (multiple) regressie uitgevoerd op het rapportcijfer in relatie tot mijn predictor en controlevariabelen. De uitkomsten van die analyse zijn opgenomen in de bijlagen. De uitkomsten (opgenomen in de bijlage) lijken in belangrijke mate consistent met de uitkomsten zoals hiervoor gepresenteerd. Daarmee lijkt het er dus op dat ongeacht dat de scoreleidraad, ondanks zijn beperkingen, een rijkere definitie van

volwassenheid zou geven, dit de uitkomsten van het onderzoek niet beïnvloedt.

Er blijft in de wetenschappelijke literatuur een kennishiaat zitten om te komen tot een uniforme definitie van risicomanagementvolwassenheid. In de scoreleidraad zoals deze is bepaald alsmede het onderzoek van Monda en Giorgino (2013) is hiertoe een eerste aanzet gegeven. Echter de vraag is of deze definities gezien hun inherente beperkingen een goede definitie van

risicomanagementvolwassenheid geven. Hoewel standaarden als COSO ERM en ISO 31000 een poging te doen om tot gestandaardiseerde technieken te komen, missen ook deze standaarden mogelijk een duidelijke definitie van volwassenheid. Misschien is de conclusie wel dat er geen uniforme definitie is voor volwassenheid en dat het aspect ‘fit-for-purpose’ (het juiste gereedschap voor de juiste klus) een uniforme definitie bemoeilijkt. Er is in de wetenschappelijke literatuur inmiddels veel bekend over de determinanten van risicomanagementimplementatie. Nadere wetenschappelijke theorievorming is echter wenselijk over wat nu precies goed risicomanagement is. Pas dan men echt beoordelen of de gevonden effecten ook echt positief bijdragen aan de ontwikkeling van risicomanagement.

Een andere beperking is gelegen in het feit dat hoewel dit onderzoek in staat is aan te tonen dat externe partijen de volwassenheid van risicomanagement positief beïnvloeden, er alleen kan worden

vastgesteld dát deze partijen de volwassenheid van risicomanagement beïnvloeden. In het theoretisch kader is poging gedaan om de waaromvraag te beantwoorden. Echter, een aspect als de invloed van de accountant laat in zich in de huidige opzet moeilijk meten, anders dan het onderscheid tussen een Big4-auditor en een niet-Big4-Big4-auditor en een wisseling van accountantskantoor. Op welke wijze de

beroepsgroep als geheel in staat is om het risicomanagement te beïnvloeden is de vraag. De publieke managementletter van de NBA (2013) maakt duidelijk dat er nog werk aan de winkel is voor de accountantsorganisaties. De ontwikkeling van de nieuwe accountantsverklaring kan hiertoe een positieve impuls geven. De ontwikkeling van de nieuwe accountantsverklaring in relatie tot de discussie over risico’s en risicomanagement zou aanleiding kunnen geven om een nieuwe dimensie (parameter) te kunnen toevoegen in vervolgonderzoek naar risicomanagement en de rol van de accountant.

- 57 -

5. Discussie en conclusies

Risicomanagement heeft in de financiële crisis als instrument in de crisis een deuk opgelopen, alsmede de organisaties (vooral financiële instellingen) die risicomanagement hoog in het vaandel hadden. Maar ook de toezichthouders, wetgevers en accountants zijn niet ongeschonden door de crisis gekomen. De deuk is zo groot dat zelfs de toegevoegde waarde van risicomanagement ter discussie is gesteld (Power, 2009 en Hubert en Scheyt 2013). De crisis maakte duidelijk dat er voor deze partijen een uitdaging is ontstaan om hun rol opnieuw te definiëren en hun relevantie aan te tonen. In dit onderzoek is geprobeerd aan te tonen of deze partijen deze opdracht ter harte hebben genomen. In een onderzoek onder alle Nederlandse bedrijven met > € 10 miljoen omzet op basis van 9.539 uitgezonden enquêtes is een uiteindelijke bruikbare dataset van 684 bedrijven kunnen verkregen. De respondenten vertegenwoordigen een brede vertegenwoordiging van Nederlandse ondernemingen zoals qua omvang en verdeling naar sectoren. De dataset is daarmee een goede representatieve afspiegeling van de populatie die wordt onderzocht. Ook de publieke en semipublieke sector zijn goed vertegenwoordigd. Doordat de setting gelijk is aan het onderzoek dat door Paape en Speklé (2012) is gehouden naar de situatie in 2009, levert dit onderzoek waardevol vergelijkingsmateriaal op, waarmee de voortgang met betrekking tot risicomanagement in de afgelopen vijf jaar goed vergeleken kan worden.

De eerste opvallende conclusie is dat het er op lijkt dat er een tweedeling ontstaat in de discussie rondom risicomanagement als je kijkt naar de uitkomsten van de volwassenheid gemeten in de risicomanagementscore op ‘de schaal van Beasly’. Ten opzichte van 2009 zijn meer ondernemingen waar te nemen die in zijn geheel geen risicomanagementsysteem hebben, waar in 2009 meer ondernemingen in de categorie zaten dat ze risicomanagement overwogen of reeds plannen tot implementatie hadden. Binnen ondernemingen lijkt de toegevoegde waarde blijkbaar in lijn met de wetenschappelijke literatuur ook ter discussie te worden gesteld. Maar daarnaast lijkt de crisis ook duidelijk te hebben gemaakt dat ondernemingen toch minder ver zijn met hun risicomanagement dan ze voor de crisis dachten. Dit wordt zichtbaar in het feit dat ook de groep met ondernemingen die hun volwassenheid classificeren als een volledig geïmplementeerd risicomanagement daalt ten gunste van de groep van ondernemingen die een deels geïmplementeerd risicomanagementsysteem heeft. De resultaten in dit onderzoek maken daarnaast ook duidelijk dat de externe partijen hun rol

grotendeels hebben opgepakt, waardoor er voor de invloed van Big4-auditors, corporate governance codes en externe toezichthouders statistisch significante en positieve resultaten worden gevonden. Dit in tegenstelling tot het onderzoek van Paape en Speklé. Opvallende achterblijvers in dit onderzoek zijn de institutionele beleggers, zowel qua respons als qua uitkomsten. Ondernemingen waarbij het eigendom in handen is van institutionele beleggers zijn blijkbaar, evenals in 2009, terughoudend om zich openlijk uit te spreken over hun risicomanagement door te participeren in dit onderzoek. Anderzijds lijk het erop dat voor de ondernemingen die wel geparticipeerd hebben in dit onderzoek het effect van institutioneel eigendom niet significant is. Wat in lijn lijkt te zijn met de bevinding dat de Nederlandse aandeelhouder passief of terughoudend is om zich te bemoeien met de gang van zaken van de onderneming, dan wel zich hier publiek over uit te spreken.

Hopelijk nemen de institutionele beleggers het advies van PwC (2014) ter harte om te reageren op de uitnodiging die voortvloeit uit de ontwikkeling van de ‘accountantsverklaring nieuwe stijl’ om de discussie met de accountant en de organisatie te voeren over risico’s, risicomanagement en

risicoverslaggeving. In de reactie van Eumedion (2014) op voorstellen ter verandering van de positie van aandeelhoudersrechten blijkt zij haar rol te willen pakken, de eerste significante resultaten

- 58 -

hiervan zullen echter uit een volgend onderzoek moeten blijken. Vooralsnog lijkt er eerst nog werk aan de winkel voor de institutionele beleggers.

In dit onderzoek zijn daarnaast een tweetal nieuwe variabelen geïntroduceerd die nog niet eerder in onderzoeken naar risicomanagement zijn betrokken. Dit betreft enerzijds het effect van een

accountantswissel op de volwassenheid van risicomanagement, welke waardevolle informatie kan geven in relatie tot de onafhankelijkheidsdiscussie die recent opnieuw gevoerd is. Anderzijds de rol die externe toezichthouders spelen. Beide variabelen leiden tot positieve statistisch significante invloeden op de volwassenheid van risicomanagement. Daarnaast lijken (hoewel statistisch insignificant)

ondernemingen die van accountant zijn gewisseld iets negatiever over hun

risicomanagementsystemen te zijn, wat enerzijds zou kunnen betekenen dat een frisse blik van een nieuwe accountant leidt tot het inzicht dat er mogelijk nog tekortkomingen in de interne beheersing- en risicomanagementsfeer zitten. Anderzijds leidt een accountantswissel mogelijk tot een realistischer oordeel over hun eigen risicomanagement leidt. Maar gegeven de insignificantie van de uitkomsten bestaat hier nog ruimte voor nader vervolgonderzoek.

Aanvullend op het onderzoek van Paape en Speklé (2012) is geprobeerd om het corporate governance vraagstuk nader in te kaderen door niet alleen te onderzoeken of het hebben van een code invloed heeft op risicomanagement, maar ook te kijken naar de wijze waarop de code wordt gehandhaafd. In dit onderzoek is aangetoond door onderscheid te maken naar vrijwillige toepassing (waarbinnen onderscheid naar financiële instellingen en publieke sector) en wettelijke toepassing. Uit de resultaten blijkt dat het hebben van een governance code ongeacht de wijze van handhaven statistisch significant is. Daarnaast is door middel van een aanvullende analyse aangetoond dat dit niet alleen een sectoraal gedreven effect is, maar dat hier een duidelijk governance effect in zit. Hieruit blijkt daarom niet direct de noodzaak om de zelfhandhaving die spreekt uit vrijwillige codes te veranderen in een wettelijk verplichte toepassing

Het meest opvallende resultaat uit dit onderzoek is dat de (semi)publieke sector in vijf jaar tijd een duidelijke ontwikkeling heeft doorgemaakt in de volwassenheid van haar risicomanagementsysteem. Dit levert verder bewijs dat zelfregulering door middel van codes positief bijdraagt aan de

volwassenheid van risicomanagement. Wel dient dit resultaat enigszins genuanceerd te worden in de context van de financiële crisis. De financiële crisis heeft namelijk tot gevolg dat door de uitgaven die de overheid heeft moeten doen om de effecten van de crisis te stabiliseren, er vervolgens een omvangrijke bezuinig- en hervormingsagenda door de overheid is gelanceerd. De effecten hiervan grijpen naast op burgers in het bijzonder in op de overheidsuitgaven voor haar eigen ambtelijk apparatuur en verdere decentralisatie van overheidstaken naar lagere overheden. Zo wordt de zorg drastisch hervormd, waarbij de rol van de gemeentes toenemen en beschikbare macrobudgetten soms wel met een kwart worden gereduceerd. Woningbouwcorporaties moeten ineens een verhuurdersbelasting betalen. Deze effecten maken een verdere aandacht voor risicomanagement noodzakelijk. Waar financiering door de overheid in het verleden betrekkelijk risicoloos waren, worden nu diezelfde risico’s doorgedrukt naar lagere overheden. De lagere overheden drukken deze risico’s vervolgens door naar de ondernemingen en initiatieven die zij financieren. De ontwikkelingen op dit gebied in de afgelopen vijf zijn zodanig drastisch van aard dat het risicoprofiel voor deze

ondernemingen soms compleet veranderd is. Positief is wel dat zij deze uitdaging blijkbaar door middel van gestructureerd risicomanagement aangaan. De toegenomen risico’s als gevolg van bestuurdersaansprakelijkheid lijken daarbij te leiden tot meer adherentie aan governance codes om de schijn voor ondeugdelijk bestuur tegen te gaan.

- 59 -

De conclusies uit dit onderzoek kennen echter haar beperking in het feit dat er geen

wettenschappelijk uniforme definitie van het begrip volwassenheid is. Deze uniforme definitie bestaat mogelijk ook niet, waarbij een contigentie benadering mogelijk meer op zijn plaats is, die rekening houdt met de unieke ondernemingseigenschappen.

Een andere beperking is dat dit onderzoek afhankelijk is van secundaire data, die mogelijk

bevooroordeeld is door de kleuring die de respondent hieraan geeft. Compenserend is hierbij wel dat respondenten zich wel in een positie binnen de onderneming bevinden dat van hun verwacht mag worden dat zij een compleet beeld hebben van de risicomanagementactiviteiten van de onderneming. Daarnaast kennen de variabelen natuurlijk een zeer beperkte rijkheid in hun definitie, waardoor men wel het effect van de externe partijen kan vaststellen, maar de vraag waarom dit effect zich voordoet niet statistisch kunnen toetsen. Hier ligt nog een grote uitdaging voor toekomstig onderzoek, om vanuit de kinderschoenen een wetenschappelijke volwassenheid te bereiken.

I. Literatuurlijst (referenties)