Organisatiecultuur binnen risicomanagementsystemen

Organisatiecultuur binnen risicomanagementsystemen

Een onderzoek onder AEX-organisaties

Roy Linthorst Groningen 2008

Organisatiecultuur binnen risicomanagementsystemen

Een onderzoek onder AEX-organisaties

Master thesis Accountancy Rijksuniversi eit Groningen t

i

l l

r

Faculteit Economie en Bedrijfskunde Eerste begeleider: Drs. S.S. Bruinsma RA Tweede begeleider: Prof. Dr. J.A. Emanuels RA

Begeleider PricewaterhouseCoopers: Drs. R.J. Renken RA Roy Linthorst Nieuweweg 9A 9711TA Groningen royl@home.nl Studentennummer 1335464 Augustus 2008

Niets uit deze uitgave mag worden verveelvoud gd en/of openbaarbaar gemaakt door middel van druk, fotokopie, microfilm, e ektronisch op ge uidsband of op welke wijze dan ook, zonder voo afgaande schriftelijke toestemming van de auteur.

Voorwoord

Als afronding van mijn master Accountancy aan de Rijksuniversiteit Groningen heb ik gedurende vier maanden deze thesis geschreven bij PricewaterhouseCoopers te Groningen. Bij deze thesis is onderzoek gedaan hoe Nederlandse beursgenoteerde organisaties rekening houden met het cultuuraspect binnen het opgestelde integraal risicomanagementsysteem. Wanneer het personeel niet volgens de opgestelde procedures handelt doordat dit strijdig is met de heersende cultuur, zullen deze procedures binnen het integraal risicomanagementsysteem niet werken.

Ook al is het onderwerp van deze thesis niet direct relevant voor PricewaterhouseCoopers, ben ik haar erg dankbaar dat zij mij de mogelijkheid heeft geboden om er mijn thesis te schrijven. Het verzamelen van gegevens met een aantal interne middelen van de organisatie en een aantal adviezen van verschillende personeelsleden hebben mij erg goed geholpen bij het verwezenlijken van deze thesis. Middels dit voorwoord wil ik een aantal mensen bedanken die mij hebben geholpen om tot dit punt te komen in mijn leven. Allereerst mijn ouders, die mij niet alleen bij het verwezenlijken van deze thesis, maar ook gedurende mijn hele studie gesteund hebben. Daarnaast wil ik de heer Renken bedanken, die mij vanuit PricewaterhouseCoopers heeft begeleid en op bepaalde momenten mij van goed advies heeft voorzien zodat ik weer verder kon werken. Uiteraard ook een woord van dank aan de heer Bruinsma, die als afstudeerbegeleider aan de universiteit mij steeds in de goede richting heeft weten te zetten op momenten dat ik even niet meer zag hoe ik bepaalde zaken aan moest pakken. Ten slotte nog een woord van dank aan ieder die de tijd heeft genomen om naar (delen van) mijn thesis te kijken en mij van waardevol commentaar heeft voorzien.

Ik hoop dat deze thesis uw interesse zal wekken en wens u veel leesplezier toe. Groningen, augustus 2008.

Inhoudsopgave

Voorwoord__________________________________________________________________________________________1 1. Inleiding _______________________________________________________________________________________3 1.1 Inleiding _____________________________________________________________________________ 3 1.2 Afbakening ___________________________________________________________________________ 3 1.3 Vraagstelling _________________________________________________________________________ 3 1.4 Deelvragen___________________________________________________________________________ 4 1.5 Theoretische verantwoording_____________________________________________________________ 4 1.6 Methodologische verantwoording _________________________________________________________ 4 1.7 Relevantie ___________________________________________________________________________ 6 1.8 Opbouw van de thesis __________________________________________________________________ 6

2. Relatie cultuur en risicomanagement___________________________________________________________8

2.1 Organisatiecultuur _____________________________________________________________________ 8 2.2 Integraal risicomanagementsysteem _______________________________________________________ 9 2.3 Rol cultuur in integraal risicomanagementsysteem ___________________________________________ 11 2.4 Conclusie ___________________________________________________________________________ 13

3. AEX-organisaties en risicomanagement_______________________________________________________14

3.1 AEX-organisaties _____________________________________________________________________ 14 3.2 Waarom integraal risicomanagement? ____________________________________________________ 14 3.2.1 Wettelijke verplichtingen ___________________________________________________________ 15 3.2.2 Aanvullende redenen ______________________________________________________________ 16 3.3 Conclusie ___________________________________________________________________________ 16 4. Opzet onderzoek _____________________________________________________________________________17 5. Resultaten Onderzoek________________________________________________________________________22 5.1 Risicomanagement ___________________________________________________________________ 22 5.2 Vermelding van cultuur ________________________________________________________________ 23 5.3 Gedragscode ________________________________________________________________________ 23 5.4 Beloning-/ strafstructuren_______________________________________________________________ 24 5.5 Tone from the top_____________________________________________________________________ 24 5.6 Personeelsbeleid _____________________________________________________________________ 25 5.7 Omgevingsgerichtheid _________________________________________________________________ 26 5.8 Conclusie ___________________________________________________________________________ 27 6. Onbeheersbare cultuuraspecten______________________________________________________________29 7. Conclusies____________________________________________________________________________________31 8. Evaluatie _____________________________________________________________________________________34 8.1 Beperkingen onderzoek ________________________________________________________________ 34 8.2 Aanbevelingen vervolgonderzoek ________________________________________________________ 35 8.3 Aanbevelingen AEX-organisaties ________________________________________________________ 35 Literatuurlijst _______________________________________________________________________________________38

Bijlage 1a t/m 1y. Onderzoeksgegevens AEX-organisaties Bijlage 2. Samenvatting onderzoeksresultaten

1. Inleiding

1.1 Inleiding

De implementatie van een integraal risicomanagementsysteem is de laatste jaren door steeds meer organisaties uitgevoerd. Aanleiding hiervoor zijn onder andere grote boekhoudschandalen als Ahold, Enron, Parmalat en WorldCom geweest. In Nederland zijn beursgenoteerde organisaties verplicht om de Nederlandse Corporate Governance Code na te leven (volgens het “pas toe of leg uit”-principe), waarin van organisaties verwacht wordt dat zij een integraal risicomanagementsysteem implementeren. Het implementeren van een integraal risicomanagementsysteem heeft, naast de wettelijke verplichtingen, vele voordelen. Het stelt een organisatie in staat de gestelde doelstellingen beter te behalen (COSO, 2004). Zo geeft het de aandeelhouder meer zekerheid dat de ontwikkeling van de waarde van de aandelen aan zijn of haar verwachtingen voldoet.

Echter, zoals vele andere zaken, heeft ook een integraal risicomanagementsysteem nadelen. Eén daarvan is dat er altijd een menselijke kant aan het systeem zit, welke lang niet altijd even gemakkelijk te beheersen is. Risicomanagement kan nog zo goed geïmplementeerd zijn, maar als de cultuur binnen een organisatie niet hiernaar handelt, zal de mogelijkheid altijd aanwezig zijn dat het systeem niet werkt zoals men hoopt dat het werkt.

De vraag is dus of organisaties, nadat ze een effectief risicomanagementsysteem geïmplementeerd hebben, ook letten op de invloeden van de cultuur op het systeem. Er is al veel onderzoek gedaan naar de werking van de hardere factoren van risicomanagementsystemen bij organisaties (zoals organisatiestructuur en interne beheersing), maar onderzoek naar zachtere factoren zoals cultuur is onderbelicht gebleven (Emanuels, 2005). Vanwege deze interessante aspecten heb ik ervoor gekozen om dit als onderwerp voor mijn master thesis te kiezen.

1.2 Afbakening

Deze thesis zal zich beperken tot de grote Nederlandse beursgenoteerde organisaties. De keuze voor Nederlandse organisaties is omdat het mij interessant lijkt om te bekijken hoe de organisaties in mijn eigen land het voor elkaar hebben. Ook is uit een voorgaande scriptie, bij vergelijking tussen drie landen, gebleken dat Nederlandse organisaties over het algemeen de meeste informatie over risicomanagement publiceren in hun jaarverslag (Borghuis, 2007). Onder grote Nederlandse beursgenoteerde organisaties worden organisaties verstaan die een notering hebben op de AEX-index. Het feit dat niet alle organisaties die een notering hebben op deze index meer aan zijn te merken als puur Nederlands wordt verder buiten beschouwing gelaten. In de verdere thesis zullen deze organisaties omschreven worden als AEX-organisaties.

De reden dat voor AEX-organisaties is gekozen is dat zij over het algemeen vaker tijd en middelen zullen hebben om te werken aan een goed werkend risicomanagementsysteem en de rol die cultuur binnen dit systeem speelt dan kleinere (niet-beursgenoteerde) organisaties. Bovendien is de verslaglegging vanuit kleinere organisaties over het algemeen zeer beperkt, waardoor het niet te doen is om op basis van jaarverslagen onderzoek hiernaar te doen.

1.3 Vraagstelling

Uit bovenstaande informatie kan de volgende vraagstelling geformuleerd worden:

“In hoeverre kunnen AEX-organisaties realiseren en ook vast stellen dat de cultuur van de organisatie bijdraagt aan een effectief risicomanagementsysteem?”

1.4 Deelvragen

Aan de hand van de onderzoeksvraag kom ik tot de volgende deelvragen: - Wat wordt verstaan onder cultuur in organisaties?

- Welke rol neemt cultuur binnen een risicomanagementsysteem in?

- Wat zijn AEX-organisaties en waarom implementeren ze risicomanagement?

- Op welke wijze stellen AEX-organisaties de effectiviteit van het risicomanagementsysteem vast?

- Op welke wijze beïnvloeden AEX-organisaties de cultuur binnen het risicomanagement-systeem?

- Zijn er aspecten van de cultuur die AEX-organisaties niet (kunnen) beheersen en hoe gaan zij hiermee om?

1.5 Theoretische verantwoording

In dit kader wordt kort toegelicht welke theorieën gebruikt zullen worden bij deze thesis. Allereerst zal gebruik worden gemaakt van het COSO Enterprise Risk Management: Integrated Framework 2004 (COSO ERM). Dit meest recente raamwerk van COSO geeft namelijk erg goed weer met welke aspecten een organisatie rekening moet houden om tot een redelijke mate van zekerheid te komen dat haar doelstellingen gehaald worden. Het raamwerk wordt tevens door veel organisaties gebruikt en er kan gesteld worden dat het een erg goede leidraad is om te komen tot een effectief integraal risicomanagementsysteem.

COSO ERM bestaat uit zeer veel verschillende onderdelen. Uit dit raamwerk zal gedestilleerd worden welke onderdelen te maken hebben met de cultuur binnen een organisatie. Verder zullen verschillende artikelen over risicomanagement en cultuur binnen organisaties gebruikt worden bij deze thesis om tot een goede theoretische basis te komen.

De benodigde informatie voor het onderzoek wordt uit jaarverslagen van het jaar 2007 van de AEX-organisaties gehaald. Daarnaast zal aanvullende informatie van de websites van deze AEX-organisaties, welke betrekking hebben op risicomanagement en cultuur, betrokken worden in het onderzoek. Hierbij valt te denken aan beleidsrichtlijnen en gedragscodes. Er is voor gekozen om de benodigde informatie uit jaarverslagen van AEX-organisaties te halen omdat het te omvangrijk en te intensief is voor één student om informatie over de organisaties te vergaren door middel van vragenlijsten en/of enquêtes. Daarnaast zijn de personen van de organisaties die iets kunnen vertellen over dit onderwerp vaak erg drukbezette mensen, die veelal geen tijd hebben om een student te woord te staan. Hierdoor is het risico op non-respons vrij hoog.

1.6 Methodologische verantwoording

In deze paragraaf zal aan de hand van Cooper en Schindler (2003) toegelicht worden welke keuzes zijn gemaakt met betrekking tot het soort onderzoek dat verricht zal worden bij deze thesis. Coopers en Schindler onderscheiden een achttal categorieën, waarbij er steeds twee keuzes zijn. Zo kan men uiteindelijk tot een duidelijke onderzoeksvorm komen.

Exploratief versus formeel onderzoek

Zoals al in paragraaf 1.1 vermeld, is de factor cultuur bij onderzoek naar risicomanagementsystemen onderbelicht gebleven (Emanuels, 2005). Bij het zoeken naar relevante theorie om tot een theoretische verantwoording te komen bleek dit op zijn zachts gezegd een understatement. Er is geen onderzoek te vinden naar cultuur binnen risicomanagementsystemen, waardoor er op dit moment vrij weinig theorie beschikbaar is over dit onderwerp. Dit is natuurlijk niet erg vreemd, aangezien het

onderwerp zeer actueel is en er dus tijd overheen gaat voordat er wetenschappelijk onderzoek over beschikbaar is. Hierdoor is het onderwerp ook enigszins “vaag”, waardoor er onderzoek nodig is om het onderwerp te verduidelijken. Hierom wordt de keuze gemaakt voor een exploratief onderzoek, om zo meer informatie over dit onderwerp te verkrijgen en wellicht een basis te leggen voor vervolgonderzoek.

Methode van dataverzameling

Bij deze categorie kan een keuze gemaakt worden tussen toezien of daadwerkelijk communiceren met de organisatie (bijvoorbeeld in de vorm van vragenlijsten, interviews of enquêtes). Aangezien er onderzoek gedaan gaat worden op basis van gepubliceerde jaarverslagen van AEX-organisaties, kan gesteld worden dat toezien beter past bij de methode van onderzoek.

Beïnvloeding van variabelen

Het beïnvloeden van de variabelen is niet aan de orde bij dit onderzoek, aangezien er gekeken wordt naar jaarverslagen en eventueel andere publicaties van organisaties die zij via een website publiekelijk hebben gemaakt. Dit is een publicatie van het bedrijf en er is geen mogelijkheid om invloed uit te oefenen, in ieder geval niet als student die volledig buiten de organisatie staat, op de informatie die gepubliceerd wordt. Wel dient er nagedacht te worden over welke informatie uit het jaarverslag bij het onderzoek betrokken wordt.

Doel van het onderzoek

Deze categorie maakt een onderscheid tussen causaal en beschrijvend onderzoek. Dit onderzoek is beschrijvend, aangezien onderzocht gaat worden in hoeverre rekening gehouden wordt met cultuur binnen risicomanagementsystemen. Er zal onderzocht worden hoe de populatie (AEX-organisaties) hier over het algemeen in staat en er zullen geen verbanden worden getrokken met een andere populatie. Indien er wel sprake zou zijn van onderzoek naar verbanden, zou men spreken van een causaal onderzoek.

Tijdsbestek

Binnen deze categorie wordt onderscheid gemaakt tussen onderzoeksresultaten op één moment in de tijd vergaren of op verschillende momenten in de tijd. Bij dit onderzoek is de keuze gemaakt voor het eerste, aangezien gekeken wordt naar de jaarverslagen van 2007. Als de keuze was gemaakt om bijvoorbeeld ook de jaarverslagen van 2005 en 2006 erbij te betrekken was het onderzoek heel anders geweest. Dit onderzoek zou beter passen als er bijvoorbeeld onderzocht zou worden of de mate waarin rekening gehouden wordt met cultuur in de laatste drie jaar is gestegen.

Breedte- of diepteonderzoek

Andere woorden die wellicht beter geschikt zijn om bovenstaande te verwoorden zijn statistische en casus onderzoeken. Het laatste is het soort onderzoek dat het beste weergeeft wat gedaan wordt bij deze thesis. Dit vanwege het feit dat de populatie die onderzocht wordt niet erg groot is, namelijk 25 (van der Zee, 2004). Er wordt diep op de stof in gegaan en er wordt niet gebruik gemaakt van duidelijke gegevens waar statistische modellen op los kunnen worden gelaten zoals bij breedteonderzoek.

Onderzoeksomgeving

Hierbij wordt een onderscheid gemaakt tussen actuele en gemanipuleerde omgevingsfactoren. Deze laatste is bijvoorbeeld het geval wanneer onderzoek wordt gedaan in een laboratorium. Bij deze thesis is het echter duidelijk dat er onderzoek wordt gedaan in actuele omgevingsfactoren die niet beïnvloedbaar zijn.

Perceptie van de onderzoekspopulatie

Bij het doen van onderzoek in de vorm van observatie kan het voorkomen dat personeel in een organisatie zich anders gedraagt als zij weet dat ze geobserveerd wordt. Dit kan leiden tot vertroebeling van de onderzoeksresultaten, aangezien geen goed beeld wordt geschetst van hoe de situatie normaal (dus zonder observatie) is. Bij deze thesis is hier echter geen sprake van, aangezien het jaarverslag en eventueel andere documentatie van de organisaties niet zal veranderen.

Tenslotte moet nog de afweging gemaakt worden of er kwalitatieve of kwantitatieve methoden worden gebruikt bij het onderzoek. Op basis van de acht bovengenoemde categorieën passen kwalitatieve technieken beter bij het onderzoek. De eerste reden hiervan is dat de te onderzoeken populatie relatief klein is (van der Zee, 2004). Daarnaast zijn de gegevens die worden verzameld “zacht” van aard, aangezien het beschrijvingen zijn van organisaties en dus geen harde gegevens of cijfers (Stokking, 1998). Tevens is het doen van kwalitatief onderzoek geschikter om antwoord te kunnen geven op de hoofd- en deelvragen van deze scriptie, aangezien het onderwerp cultuur ook “zacht” is en niet uitdrukbaar in harde cijfers.

1.7 Relevantie

Steeds meer organisaties hebben een integraal risicomanagementsysteem geïmplementeerd. Het implementeren van een risicomanagementsysteem speelt al jaren, maar is pas sinds de laatste paar jaren echt actueel geworden. Dit is met name veroorzaakt door verschillende boekhoudschandalen die in het recente verleden hebben gespeeld. Risicomanagement is steeds formeler geworden en dit gaat gepaard met omvangrijke investeringen. Een risicomanagementsysteem bestaat uit zeer veel onderdelen en het in kaart brengen hiervan heeft organisaties (en controlerend accountants) de laatste jaren steeds meer tijd gekost.

Echter, risicomanagement werkt bij de meeste organisaties niet optimaal. Deels komt dit natuurlijk ook doordat men nog niet zo lang bezig is met de formelere vorm en de daaruit ontstane procedures, wat wederom aangeeft dat het onderwerp zeer actueel is. Nadere bevindingen die aangeven dat risicomanagement over het algemeen nog niet optimaal werkt, zijn bijvoorbeeld die van de Monotoring Commissie Corporate Governance (2007). Hieruit is gebleken dat men met name gericht is op de financiële risico’s binnen een organisatie en dat de niet-financiële risico’s te weinig aandacht krijgen. Een ander punt dat niet optimaal werkt en onderbelicht blijft zijn de “zachtere” randvoorwaarden binnen risicomanagement (Emanuels, 2005), zoals beschreven in paragraaf 1.1. Bij deze thesis zal alleen onderzoek gedaan worden naar het laatstgenoemde punt.

Doordat het onderwerp risicomanagement steeds actueler is geworden de laatste jaren en er tot nu toe weinig onderzoek is gedaan naar de cultuurcomponent binnen risicomanagement, lijkt dit mij een relevant en actueel onderwerp om te onderzoeken. De resultaten die voortkomen uit dit onderzoek kunnen mogelijk bijdragen aan de kennis over het cultuuraspect binnen risicomanagementsystemen.

1.8 Opbouw van de thesis

In deze inleiding is reeds beschreven wat onderzocht zal worden en waarom. Aan de hand van de hoofdvraag en bijbehorende deelvragen zal er verder onderzoek gedaan worden. Hierbij is ook aangegeven welke onderzoeksmethoden en technieken hierbij toegepast worden. Tenslotte is in deze inleiding de relevantie van het onderwerp aangekaart.

Na deze inleiding zal er begonnen worden met het beantwoorden van de eerste twee deelvragen aan de hand van een aantal artikelen over cultuur en door een beschrijving van COSO ERM en andere relevante onderdelen van risicomanagement. De derde deelvraag zal in het daaropvolgende hoofdstuk

beantwoord worden aan de hand van een beschrijving van geldende regelgeving en artikelen over risicomanagement.

Op basis van deze eerstvolgende twee hoofdstukken zal de opzet van het onderzoek beschreven worden in het vierde hoofdstuk, om vervolgens de rest van de deelvragen te kunnen beantwoorden in de daarop volgende hoofdstukken. De informatie voor de beantwoording van de deelvragen in deze hoofdstukken wordt met name verkregen uit jaarverslagen van AEX-organisaties, maar ook andere publicaties (zoals duurzaamheidverslagen en gedragscodes) kunnen betrokken worden bij het onderzoek.

De thesis wordt afgesloten met de beantwoording van de hoofdvraag, om vervolgens enkele beperkingen van het onderzoek en aanbevelingen voor vervolgonderzoek en aanbevelingen aan organisaties te bespreken.

2.

Relatie cultuur en risicomanagement

In dit hoofdstuk zal beschreven worden wat men verstaat onder cultuur en wat de relatie van cultuur met risicomanagement is. Hiervoor zullen de begrippen cultuur en risicomanagement allereerst afzonderlijk behandeld worden, om zo een begrijpelijke basis te hebben voor een beschrijving van de relatie tussen beide begrippen.

2.1 Organisatiecultuur

Cultuur wordt gedefinieerd als de set van gezamenlijke normen, waardes en aannames dat een groep heeft en het bepaalt hoe deze groep kijkt, denkt over en reageert op haar verschillende omgevingen (Schein, 1996). Een groep kan in dit geval variëren van een kleine werkgroep tot de hele organisatie en zelfs een landelijke groep. Men spreekt dan van een nationale cultuur (Hofstede, 1991). Daarnaast is cultuur aan verandering onderhevig en wordt dagelijks door de mensen van de bewuste cultuur opnieuw gevormd (Franssen en Wetzels, 2001). De cultuur die heerst binnen een organisatie kan gedefinieerd worden als organisatiecultuur.

Organisatiecultuur is een begrip dat vele definities kent. Franssen en Wetzels (2001) noemen een vijftal definities op uit verschillende voorgaande literatuur. Al deze definities lijken op elkaar, maar zijn toch net iets anders. Het is moeilijk om organisatiecultuur eenduidig te definiëren. Soeters en Swanink (1988) hanteren een vrij “simpele” definitie: organisatiecultuur is de cultuur van een groep mensen, die als gemeenschappelijk kenmerk hebben dat zij bij hetzelfde bedrijf of instelling werken.

Volgens Kreitner, Kinicki en Buelens (2002) zijn normen en waarden de basis van elke organisatiecultuur. Hierin moet echter wel onderscheid gemaakt worden in normen en waarden die een organisatie wil hebben en normen en waarden die het personeel van een organisatie daadwerkelijk uitstraalt. Het verschil hierin kan ontstaan doordat personeel van een organisatie minder snel geneigd is om de normen en waarden te volgen als zij merken dat de leiding van een organisatie de normen en waarden zelf ook niet volgt (Simons, 1995; Collier en Esteban, 2007) of als het personeel een slecht beeld van het management heeft (Clarke, 1997). Het personeel van een organisatie is sowieso bepalend voor de cultuur, met name de leiding en het middenkader van een organisatie (Schein, 1986; Soeters en Swanink, 1988).

Een ander aspect dat van invloed is op de organisatiecultuur is de etnische afkomst van het personeel binnen de cultuur. De cultuur van een organisatie met alleen maar Nederlanders zal logischerwijs anders zijn dan de cultuur van een organisatie met een grote verscheidenheid aan nationaliteiten. Zo zou het kunnen zijn dat (oudere) werknemers die uit bijvoorbeeld Marokko afkomstig zijn minder goed zaken van vrouwen aan kunnen nemen, omdat zij uit een nationale cultuur komen waar vrouwen als ondergeschikt aan de man worden gezien. Dit wordt door Hofstede (1991) als de dimensie mannelijkheid-vrouwelijkheid van een nationale cultuur genoemd, waarbij de nationale cultuur gekenmerkt wordt door vrouwen die een duidelijk andere sociale rol vervullen of dat er juist helemaal geen onderscheid is. Naast deze dimensie benoemt Hofstede nog een drietal andere dimensies die een nationale cultuur kunnen kenmerken:

- Machtsafstand: de mate waarin de minder machtige personen in een cultuur machtsverschillen accepteren en dit als normaal beschouwen.

- Onzekerheid uit de weg gaan: de mate waarin de mensen van een cultuur nerveus worden van zaken die niet zeker, voorspelbaar of gestructureerd zijn en deze situaties uit de weg proberen te gaan door middel van gedragscodes en het alleen geloven in absolute waarheden.

- Individualistisch of collectivistisch: de mate waarin mensen in een cultuur alleen naar zichzelf en directe familie kijken of rekening houden met de gehele gemeenschap.

Figuur 1: Nationale cul uur kan een oorzaak zijn van conflicten en misverstanden. t

Om tot een bepaalde organisatiecultuur te komen, kunnen organisaties een of meer van de volgende instrumenten gebruiken (Kreitner e.a., 2002):

- Formele berichtgeving over de missie, visie, filosofie, waarden en materialen die gebruikt worden voor recruitment, selectieprocedures en socialisering.

- Ontwerp van fysieke ruimtes, werkomgevingen en gebouwen. - Slogans, taal en gezegdes.

- Voorbeeldgevers, trainingsprogramma’s en coaching door managers. - Beloningsstructuren, titels en promotiecriteria.

- Verhalen, legendes en mythes over belangrijke mensen en evenementen.

- Organisatorische activiteiten, processen of uitkomsten waar de leiders van een organisatie op letten, meten en beheersen.

- De reactie van leiders van een organisatie op kritieksituaties. - Organisatiestructuur.

- Systemen en procedures.

- Doelstellingen en daaraan gerelateerde criteria die gebruikt worden voor recruitment, selectie, ontwikkeling, promotie, ontslag en pensionering van personeel.

Echter, het rekening houden met interne factoren is niet voldoende om een zacht onderwerp als cultuur succesvol te beïnvloeden. De cultuur van een organisatie wordt ook deels bepaald door de wijze waarop de omgeving de organisatie ziet en op welke wijze de organisatie op de omgeving inspeelt. Om invloed uit te oefenen op organisatiecultuur dient er dus niet alleen rekening gehouden te worden met de interne organisatie, maar ook met de omgeving (Franssen en Wetzels, 2001).

Daarnaast stellen Franssen en Wetzels dat het essentieel is om communicatie over de organisatiecultuur en eventuele veranderingen daarop duidelijk te laten verlopen. Niet alleen formeel éénrichtingsverkeer via e-mail of flyers, maar ook in de vorm van werkconferenties, inloopuren, werkgroepen, en dergelijke.

2.2 Integraal risicomanagementsysteem

Alle organisaties hebben te maken met risico. Risico valt nooit volledig uit te sluiten, tenzij men gewoonweg besluit de deuren te sluiten en naar huis te gaan (Shaw, 2005). Het toepassen van alleen risicomanagement is vaak niet genoeg, aangezien er dan emergente risico’s kunnen ontstaan. Dit zijn

acties die op zichzelf het risico verlagen, maar samen met een andere actie het risico flink kunnen verhogen. Een voorbeeld hiervan is dat van Ford. Hier ontdekten begin jaren ’90 twee verschillende afdelingen dat de productie van katalysators veel prijzige grondstoffen nodig had. De ene afdeling legde door middel van langetermijncontracten de prijs en afname vast van deze grondstoffen, terwijl de andere ging werken aan een katalysator die minder prijzige grondstoffen nodig had. Vooraf leken dit beide goede maatregelen. Het lukte echter om een katalysator te realiseren die minder prijzige grondstoffen nodig had, waardoor Ford veel grondstoffen overhield omdat ze vast zat aan de langetermijncontracten (Shaw, 2005). Ford gebruikte dus twee afzonderlijke risicobeheersingsmaat-regelen, die uiteindelijk samen een risicoverhogend effect hadden. Bij een integraal risico-managementsysteem zou dit probleem niet ontstaan zijn, aangezien bij een dergelijk systeem ook rekening gehouden wordt met de relatie tussen risicobeheersingsmaatregelen. Een integraal risicomanagementsysteem is dus een systeem dat inspeelt op de verschillende risicobeheersings-maatregelen en ervoor zorgt dat in de gehele organisatie op een eenduidige manier met risico’s (en de relaties daartussen) wordt omgegaan. Het integraal risicomanagementsysteem draagt zorg om de risico’s te identificeren, analyseren, prioriteren en te beheersen om er zekerder van te zijn dat de gestelde doelstellingen behaald kunnen worden (Emanuels, 2005).

In 2004 heeft COSO het COSO ERM raamwerk ontwikkeld. Dit is een leidraad voor organisaties om een integraal risicomanagementsysteem op te zetten en te beheersen. Volgens COSO bestaat een integraal risicomanagementsysteem uit acht verschillende componenten, welke hieronder kort toegelicht zullen worden. Deze componenten dienen toegepast te worden op elk niveau van de organisatie en voor een redelijke mate van zekerheid te zorgen dat de doelen van de organisatie behaald worden. Doelen zijn volgens COSO in te delen in vier categorieën: strategisch, operationeel, rapportering en verantwoording.

In COSO ERM wordt de eerste component, internal envi onment, aangeduid als de basis voor alle andere componenten van het integraal risicomanagementsysteem. In deze component wordt bepaald hoe een organisatie omgaat met risico en hoeveel risico zij bereid is om te nemen bij het behalen van haar doelen. Het is dus een component die reflecteert hoe het personeel (en dan met name de leiding) binnen een organisatie tegen risico aankijkt.

r

f

Bij de volgende component, objective setting, wordt ervoor gezorgd dat de organisatie een proces heeft waarbij doelen worden vastgesteld en dat deze overeenkomen met de missie en de mate waarin de organisatie bereid is risico te nemen.

Bij event identi ication wordt ervoor gezorgd dat de organisatie alle mogelijke interne en externe factoren identificeert die tot een positieve of een negatieve impact voor de organisatie kunnen leiden. Bij risk assessment wordt bekeken wat de kans en de impact van de geïdentificeerde risico’s is. Zo worden de risico’s geanalyseerd en geprioriteerd, zodat men weet aan welke risico’s de meeste aandacht naar uit moet gaan om ze te beheersen.

Bij risk risponse wordt de keuze gemaakt op welke manier risico’s beheerst gaan worden. Er is een keuze uit vier verschillende methoden voor het beheersen van risico’s: verminderen, accepteren, delen en vermijden. Welke keuze ook gemaakt wordt, de organisatie moet ervoor zorgen dat het risico dat overblijft na het toepassen van de gekozen methode overeenkomt met de vooraf (in de component internal environment) opgestelde mate van risico die een organisatie wil lopen.

Om ervoor te zorgen dat de gekozen risicobeheersingsmaatregelen daadwerkelijk worden uitgevoerd dienen richtlijnen en procedures worden uitgeschreven. Dit wordt gedaan in de component control activities.

i

t

t

t

Bij de zevende component, nformation and communication, zorgt de organisatie ervoor dat alle relevante informatie wordt opgevangen en op een juiste en tijdige wijze verspreid wordt binnen de organisatie. Communicatie dient te gebeuren binnen en tussen alle lagen van de organisatie, zodat elke werknemer weet wat van hem of haar verwacht wordt. Tevens is communicatie erg belangrijk voor de leiding, zodat deze weet dat het personeel handelt volgens de opgestelde richtlijnen en procedures.

De laatste component is monotoring. Deze component is ingesteld om toe te zien op de werking van het gehele integraal risicomanagementsysteem. Hierbij wordt dus niet alleen gekeken of bijvoorbeeld de component control activities goed werkt; monotoring raakt ook internal environment en alle andere componenten van het systeem. Bij monotoring worden eventuele gebreken van het risicomanagementsysteem geïdentificeerd en aangepast.

2.3 Rol cultuur in integraal risicomanagementsysteem

Een integraal risicomanagementsysteem wordt bestuurd door de mensen in een organisatie, door wat ze doen en wat ze zeggen. Het zijn mensen die de missie, strategie en doelstellingen van een organisatie formuleren en ervoor zorgen dat het integraal risicomanagementsysteem helpt bij het realiseren van deze doelen (COSO, 2004). Zoals in paragraaf 2.1 beschreven, wordt een cultuur binnen een organisatie bepaald door de mensen die er werken. Vanuit deze cultuur ontstaat dan ook de noodzaak tot implementatie van een integraal risicomanagementsysteem.

Zoals in paragraaf 2.2 al is vermeld, is de component internal invironment de basis voor het gehele integraal risicomanagementsysteem. Deze component bestaat wederom uit een aantal onderdelen, te weten risk management philosophy, risk appetite, board of directors, integrity and ethical values, commitment to competence, organizational structure, assignment of authority and responsibility en human resource standards. Al door de namen van deze onderdelen te lezen kan gezien worden dat cultuur een belangrijke rol speelt binnen deze eerste component van het raamwerk. De volgende onderdelen van de component hebben te maken hebben met cultuur binnen een organisatie:

Risk management philosophy en risk appeti e

De filosofie van risicomanagement is de mate waarin een organisatie risico ziet in alles wat zij doet. De filosofie reflecteert de normen en waarden en beïnvloedt de cultuur en werkwijze van een organisatie. Risk appeti e zegt wat over de mate van risico dat een organisatie wil accepteren bij het creëren van waarde.

Integri y and ethical values

De integriteit en ethische normen en waarden binnen een organisatie gaat verder dan alleen het voldoen aan wet- en regelgeving. Ethisch handelen is een bijproduct van de organisatiecultuur, waarbij de top van een organisatie vaak de toon zet door hiernaar te handelen. Het bestuur, met name de CEO, is eindverantwoordelijk voor het risicomanagementsysteem en dient hier dan ook naar te handelen. Vaak zullen medewerkers namelijk niet ethisch handelen als het bestuur dit ook niet doet en vice versa.

Assignment of authori y and responsibility t r i l t r r

Door autoriteit en verantwoordelijkheid te delegeren voelen medewerkers zich sneller betrokken bij een organisatie en het behalen van de doelstellingen. Het is echter belangrijk om alleen te delegeren wat nodig is om doelstellingen te behalen en duidelijk te communiceren wat die doelstellingen zijn. De component internal envi onment wordt sterk beïnvloed door de mate waarin medewerkers beseffen dat ze verantwoordelijk worden gehouden voor het behalen van de doelstellingen. Zo is uit onderzoek gebleken dat medewerkers sneller geneigd zijn om de resultaten rooskleuriger te maken wanneer er grote bonussen of zware straffen hangen aan het al dan niet behalen van de gestelde doelstellingen (Simons, 1995; Emanuels, 2005).

Human resource standards

Bij het aannemen en trainen van personeel kan rekening gehouden worden met de soort mensen dat een organisatie wil aannemen. Uiteindelijk heeft iedere werknemer een beetje invloed op de cultuur van een organisatie en daarom dient zorg gedragen te worden dat nieuw personeel hier bij past. Echter, aanname van goed gekwalificeerd personeel is maar een klein onderdeel en er moet niet gedacht worden dat dit genoeg is om een integraal risicomanagementsysteem goed te laten werken (Simons, 1995).

Naast de component internal environment heeft de laatste component van COSO ERM, monotoring, ook te maken met de cultuur binnen een organisatie. Het toezicht op de werking van het algehele systeem, en dus ook de component nternal environment, dient door middel van toezicht gewaarborgd worden. Zo weten belanghebbenden van een organisatie dat er op een juiste manier met risico’s wordt omgegaan en erop wordt toegezien dat dit gebeurt. Echter, wanneer er een cultuur van groot vertrouwen is binnen een organisatie kan deze laatste component wellicht minder toegepast worden. Cultuur is daarom van invloed op de mate van intensiviteit dat deze component uitgevoerd wordt. Emanuels (2005) benoemt cultuur ook als een belangrijk onderdeel van het integraal risicomanagementsysteem, waar nog meer onderzoek naar gedaan moet worden. Hij benoemt hierbij het belang van de “zachtere” randvoorwaarden van het algemene kader van interne beheersing, dat inspeelt op het belang van de menselijke component in een integraal risicomanagementsysteem. Met het algemene kader wordt grotendeels de component internal environment van het COSO ERM raamwerk bedoeld. Emanuels stelt hierbij dat een organisatie een balans kan vinden in de interne beheersingscultuur door een goede trade-off te vinden tussen de behoefte van medewerkers om doelstellingen te behalen tegen de behoefte om verantwoording af te leggen. Indien een goede trade-off bereikt wordt bereikt men volgens hem een ondernemerscultuur, waarin waardemaximalisatie mogelijk is.

Ook in de Code Tabaksblat (2003) wordt een cultureel instrument van risicobeheersing genoemd als best-practice bepaling. In best practice bepaling II.1.3 staat namelijk het volgende:

“In de vennootschap is een op de vennootschap toegesneden intern risicobeheersings- en controlesysteem aanwezig. Als instrumenten van het interne risicobeheersings- en controlesysteem hanteert de vennootschap in ieder geval:

a) risicoanalyses van de operationele en financië e doelstellingen van de vennootschap; b) een gedragscode die in ieder geval op de websi e van de vennootschap wordt geplaatst;

c) handleidingen voor de inrichting van de financiële verslaggeving en de voo de opstelling daarvan te volgen procedures;

Onderdeel b spreekt van een gedragscode, die in ieder geval op de website van de vennootschap wordt geplaatst. Een gedragscode is een document waarin het bestuur van een organisatie vermeld heeft hoe zij verwacht dat personeel binnen een organisatie handelt. Op deze manier kan een organisatie de cultuur sturen.

Kortom, de rol van cultuur binnen een integraal risicomanagementsysteem lijkt zeer belangrijk. Een integraal risicomanagementsysteem kan nog zo goed opgezet zijn, wanneer het personeel dat ernaar moet handelen niet doet zoals gewenst kan het alsnog mis gaan.

2.4 Conclusie

Na dit hoofdstuk zijn twee deelvragen beantwoord. Deze zullen nogmaals kort weergegeven worden: Wat wordt verstaan onder cul uur in organisaties? t

t

r i r

r r

Het begrip organisatiecultuur is er een die vele definities heeft. Het loopt uiteen van “de cultuur van een groep mensen, die als gemeenschappelijk kenmerk hebben dat zij bij hetzelfde bedrijf of instelling werken” tot “het samenspel van waarden, mythen, helden en symbolen die veel betekenen voor mensen die in de betreffende organisatie werken” (Deal en Kennedy, 1982). Wat in ieder geval geconcludeerd kan worden is dat cultuur een “vaag” en “zacht” begrip is. Cultuur wordt elke dag door de mensen binnen de cultuur beïnvloed en opnieuw gevormd. Er zijn vele instrumenten die een organisatie kan gebruiken om invloed uit te oefenen op cultuur, maar het is lang niet altijd even gemakkelijk om een cultuur te vormen zoals een organisatie die graag zou zien. Het kan namelijk zo zijn dat een cultuur die de leiding van een organisatie wil hebben niet tot stand komt doordat het personeel anders handelt dan er verwacht wordt. Dit kan veroorzaakt worden door bijvoorbeeld een grote verscheidenheid aan nationale culturen of verkeerd voorbeeldgedrag van de leiding binnen een organisatie.

Welke rol neemt cul uur binnen een risicomanagementsysteem in?

In 2004 heeft COSO het COSO ERM raamwerk ontwikkeld. Dit is een leidraad voor organisaties om een integraal risicomanagementsysteem op te zetten en te beheersen. In dit hoofdstuk is uitgebreid beschreven wat COSO ERM is en binnen welke onderdelen van COSO ERM cultuur een rol speelt. Het grootste deel van deze onderdelen vallen binnen de eerste component van COSO ERM: internal envi onment. Niet een hele rare conclusie, aangezien nternal envi onment de basis is voor het algehele integraal risicomanagementsysteem en hierin gesproken wordt over de mate waarin een organisatie bereid is risico te accepteren. Belangrijke onderdelen van deze component die te maken hebben met de organisatiecultuur zijn risicofilosofie van het management, integriteit en ethische waarden, verantwoordelijkheid voor doelstellingen en personeelsbeleid.

Naast de component internal envi onment zijn ook culturele aspecten terug te vinden in de laatste component (monoto ing). Deze component houdt namelijk toezicht op de werking van het hele systeem en zorgt er dus voor dat goed om wordt gegaan met risico en dat het personeel zich aan de opgestelde procedures en richtlijnen houdt.

Naast COSO ERM komen aspecten van cultuur aan bod binnen de Code Tabaksblat. In best practice bepaling II.1.3 wordt gesproken over de verplichting van het hebben van een gedragscode. In een gedragscode beschrijft de leiding van een organisatie hoe zij verwacht dat het personeel binnen de organisatie handelt, waardoor dit een belangrijk cultureel aspect is.

3.

AEX-organisaties en risicomanagement

In dit hoofdstuk wordt beschreven wat wordt verstaan onder AEX-organisaties, alsook de motivatie van deze organisaties om een integraal risicomanagementsysteem te implementeren.

3.1 AEX-organisaties

AEX-organisaties zijn organisaties die een notering hebben op de Amsterdam Exchange Index (AEX), tegenwoordig bekend als de Euronext Amsterdam. Deze geeft een gewogen gemiddelde weer van de aandelenkoersen van de grootste aandelen op de Amsterdamse effectenbeurs en is een daarmee een graadmeter voor deze beurs. De Amsterdamse effectenbeurs is in handen van het bedrijf Euronext, welke ook de AEX beheert (wikipedia.org).

In de AEX zijn de 25 grootste aandelenfondsen van de Amsterdamse beurs opgenomen. Uitgangspunt voor opname in AEX is omzet van het aandeel (aantal verhandelde aandelen maal de beurskoers). De uiteindelijke exacte weging wordt tweemaal per jaar bepaald (begin maart en begin september, op basis van de sluitprijzen eind januari en juni). De fondsen wegen zwaarder naarmate ze een grotere marktkapitalisatie hebben (aantal uitstaande aandelen maal de beurskoers). Per 4 maart 2008 telde de AEX-index 25 fondsen, maar op dit moment telt ze echter 21 fondsen, aangezien Hagemeyer, Vedior, Corporate Express en Tele Atlas door een overname zijn verdwenen uit de index. Deze vier organisaties zullen wel meegenomen worden in het onderzoek, aangezien zij in 2007 wel onderdeel uitmaakten van de AEX-index.

Op dit moment hebben de volgende 21 organisaties een notering aan de AEX: Royal Dutch Shell, ING, Fortis, ArcelorMittal, Unilever, Philips, AEGON, KPN, TNT, Akzo Nobel, Ahold, ASML, Reed Elsevier, Heineken, DSM, Wolters Kluwer, Unibail Rodamco, SBM Offshore, Randstad, TomTom en Corio (euronext.com).

De meeste van deze organisaties zijn van oorsprong Nederlands, maar zijn inmiddels uitgegroeid tot grote multinationals die over de hele wereld opereren (bijvoorbeeld Aegon en Philips). Ook zijn er organisaties die niet van oorsprong Nederlands zijn, maar door overname van een Nederlandse organisatie op de AEX-index zijn terecht gekomen (zoals ArcelorMittal en Unibail-Rodamco). Er valt wat voor te zeggen om laatstgenoemde organisaties niet mee te nemen in het onderzoek. De keuze is echter gemaakt om de organisaties te onderzoeken die een notering hebben op de Nederlandse aandelenbeurs. Het uitsluiten van organisaties uit het onderzoek die niet echt meer als Nederlands zijn aan te merken maakt de vorming van de onderzoekspopulatie onnodig ingewikkeld, aangezien er dan kritisch bekeken zou moeten worden of niet ook andere organisaties uitgesloten zouden moeten worden.

3.2 Waarom integraal risicomanagement?

In paragraaf 2.2 is reeds een situatie beschreven waarom het beter is om een integraal risicomanagementsysteem te implementeren dan alleen “normaal” risicomanagement. Onder “normaal” risicomanagement wordt risicomanagement verstaan waar niet rekening wordt gehouden met de relatie tussen de verschillende risico’s en de genomen beheersingsmaatregelen. Het voorbeeld van Ford in paragraaf 2.2 is een voorbeeld waar “normaal” risicomanagement wordt toegepast.

Er zijn nog andere redenen te noemen om een integraal risicomanagementsysteem te implementeren. Één daarvan is dat dit vanuit de wet- en regelgeving verplicht is, in ieder geval voor beursgenoteerde

organisaties. In dit hoofdstuk zullen we allereerst bij dit punt stil staan, om vervolgens aanvullende redenen te noemen voor implementatie van een dergelijk systeem.

3.2.1 Wettelijke verplichtingen

Nadat in het verleden grote boekhoudschandalen als Ahold, Enron, Parmalat en WorldCom optraden, was er vraag naar uitbreiding van de regelgeving om de kans dat dergelijke schandalen zich wederom voor zouden te doen verkleinen.

Door deze en andere accountantschandalen namen Michael G. Oxley (lid van het congres van de Verenigde Staten) en Paul S. Sarbanes (senator in de Verenigde Staten) het initiatief om een nieuwe wet te schrijven: de Sarbanes-Oxley Act (afgekort SOx). Deze wet werd in 2002 ondertekend door president George W. Bush en zo toegevoegd aan de wetgeving, waar alle organisaties die een notering hebben op een Amerikaanse beurs aan moeten voldoen (Hartmann, 2004). SOx is gericht op het afgeven van continue garanties ten aanzien van betrouwbare financiële verslaglegging binnen organisaties en op de ethisch verantwoorde bedrijfsvoering. Daarnaast was een belangrijk onderdeel dat de CEO en CFO van een organisatie moesten garanderen dat interne beheersingsmechanismen geïmplementeerd zijn om zeker te zijn dat zij op de hoogte zijn van materiële veranderingen in de organisatie. Al met al maatregelen om ervoor te zorgen dat accountants en bedrijven het vertrouwen van beleggers (en de samenleving) terug zouden krijgen.

Figuur 2: De introductie van SOx had grote invloed, wat uiteraard leidt tot een aantal leuke spotprenten in de media.

Nederland kende op het moment van het verschijnen van SOx wel een Corporate Governance Code, namelijk de Nederlandse Coprorate Governance Code opgesteld door de Commissie Peters. Er werd, onder andere naar aanleiding van de eerder genoemde boekhoudschandalen, geconcludeerd dat de Code aan vernieuwing toe was. Hiervoor werd een nieuwe commissie aangesteld om een nieuwe code te ontwikkelen, onder leiding van Morris Tabaksblat. In 2003 verscheen de nieuwe Nederlandse Corporate Governance Code (ook wel bekend als de Code Tabaksblat). Alle organisaties die aan de AEX-index genoteerd staan moeten aan de Code Tabaksblat voldoen. Echter, de strenge regelgeving vanuit de Verenigde Staten werd niet overgenomen. De Nederlandse Corporate Governance structuur werkt namelijk volgens het pas-toe-of-leg-uit-principe. Dit houdt in dat een organisatie verwacht wordt te voldoen aan de Code en melding maakt van de onderdelen waaraan ze niet voldoet en waarom. Dit

wordt ook wel gezien als rule-based (in de VS) tegen principle-based (in Nederland). In Nederland wordt er veel waarde gehecht aan de benadrukking dat het juist gaat om de geest en niet om de letter van de code.

Zowel binnen SOx als de Code Tabaksblat wordt van organisaties gevraagd dat ze een systeem van integraal risicomanagement implementeren en in het jaarverslag publiceren op welke wijze invulling wordt gegeven aan dit onderwerp. Een aantal AEX-organisaties moeten aan beide codes voldoen omdat ze een notering hebben aan zowel de beurs van Amsterdam (AEX) als van New York (NYSE). 3.2.2 Aanvullende redenen

Naast de verplichting vanuit de wet- en regelgeving is de grootste reden dat organisaties een integraal risicomanagement systeem implementeren het zekerder stellen dat de doelstellingen van de organisatie gehaald worden (COSO, 2004). Risico’s kunnen een grote impact hebben op een organisatie, zo groot dat haar bestaan zelfs in gevaar kan komen. Door het in kaart brengen en beheersen van de risico’s die de organisatiedoelstellingen in gevaar brengen, kunnen organisaties een concurrentievoordeel behalen (Banham, 2007).

Lang (2001) noemt de vergrote belangstelling voor risicomanagement het gevolg van twee ontwikkelingen. Ten eerste dat de omgeving van organisaties onderhevig is aan snelle veranderingen en toenemende complexiteit, ten tweede de al eerder genoemde boekhoudschandalen. Ook beschrijft Lang (2001) dat op verzoek van het Financial and Managament Accounting Commitee (FMAC) van de International Federation of Accountants (IFAC) een rapport is geschreven als antwoord op de groeiende belangstelling voor risicomanagement. In dit rapport wordt een duidelijk verband tussen risico, de respons op risico en de aandeelhouderswaarde van organisaties geschetst.

3.3 Conclusie

In dit hoofdstuk is de derde deelvraag beantwoord. Het antwoord zal hieronder kort weergegeven worden:

Wat zi n AEX-organisaties en waarom implementeren ze risicomanagement? j

AEX-organisaties zijn organisaties die een notering hebben op de Amsterdamse Exchange Index. Momenteel maken 21 organisaties deel uit van de index. Een van de grootste redenen voor deze organisaties om een integraal risicomanagementsysteem te implementeren is omdat dit van ze wordt verwacht vanuit de Code Tabaksblat (en eventueel SOx voor AEX-organisaties die ook een notering op de beurs van New York hebben). Deze Nederlandse Corporate Governance Code werkt volgens het pas-toe-of-leg-uit-principe, waarbij AEX-organisaties moeten voldoen aan alle bepalingen in de Code of uit moeten leggen waarom ze hier niet aan voldoen. Aanvullende redenen om overgaan tot implementatie van een integraal risicomanagementsysteem zijn het zekerder stellen dat doelstellingen van een organisatie gehaald kunnen worden, het beter in kaart brengen van risico om daarmee eventueel een concurrentievoordeel te behalen en aandeelhouderswaarde te vergroten.

4. Opzet

onderzoek

In de voorgaande twee hoofdstukken is beschreven wat integraal risicomanagement is en de rol die cultuur binnen risicomanagement inneemt. Tevens is beschreven wat wordt verstaan onder AEX-organisaties en waarom deze AEX-organisaties een integraal risicomanagementsysteem implementeren. In dit hoofdstuk zal in gegaan worden op welke wijze het onderzoek uitgevoerd zal worden om de rest van de deelvragen te beantwoorden. Zoals eerder vermeld zal de meeste benodigde informatie uit de jaarverslagen van de verschillende AEX-organisaties gehaald worden. Daarnaast zullen ook de websites en eventueel andere documenten van de organisaties bekeken worden op basis van referenties uit het jaarverslag. Er zit echter een verschil tussen hoe organisaties een integraal risicomanagementsysteem hebben ingericht en welke informatie ze hierover omschrijven in het jaarverslag. Het verschil zit hem dus in de wijze waarop het systeem is ingericht en de verantwoording op dat gebied. Voor dit onderzoek is het echter niet te doen om persoonlijk vast te stellen hoe organisaties hun systemen hebben ingericht. Hierop zal worden teruggekomen bij de evaluatie op pagina 34. Er zal dus vooralsnog vertrouwd moeten worden op de informatie die door de organisaties verschaft wordt middels hun publicaties.

Het verzamelen van gegevens van jaarverslagen is een inhoudsanalyse van documenten (Stokking, 1998). Stokking beschrijft dit als een techniek waarbij teksten systematisch worden geanalyseerd aan de hand van vooraf opgestelde categorieën. Voordat er dus gegevens verzameld zullen worden uit de jaarverslagen, dient er vastgesteld te worden welke gegevens verzameld moeten worden.

In paragraaf 2.1 zijn een aantal instrumenten opgenoemd welke organisaties kunnen gebruiken om invloed uit te oefenen op de organisatiecultuur. Niet alle genoemde instrumenten zullen in het onderzoek worden gebruikt, aangezien het overzicht moeilijk te handhaven valt als er teveel elementen gekozen worden. Daarnaast is de verwachting dat een aantal van de genoemde instrumen-ten niet duidelijk naar voren zullen komen in de jaarverslagen van AEX-organisaties en als dat al gebeurt, dat het heel erg lastig is om te bepalen wat de invloed ervan is op de organisatiecultuur. In paragraaf 2.3 is beschreven welke onderdelen van een integraal risicomanagementsysteem van invloed zijn op de cultuur van een organisatie. Afgezien van de risk philosophy en appeti e zullen deze onderdelen ook meegenomen worden in de elementen waarnaar onderzoek gedaan zal worden. De reden om risk philosophy en appetite niet mee te nemen is dat er verwacht wordt dat AEX-organisaties allen maximalisatie van de aandeelhouderswaarde nastreven en dat er niet duidelijk vermeld zal worden hoeveel risico deze organisaties bereid zijn te nemen om dit te behalen. Hieronder zal vermeld worden voor welke elementen is gekozen om te betrekken bij het onderzoek van deze thesis.

t

Risicomanagementsysteem

Volgens de Code Tabaksblat (2003) is het voor de te onderzoeken ondernemingen verplicht om een risicomanagementsysteem geïmplementeerd te hebben. De vraag is in hoeverre er melding hiervan in de jaarverslagen wordt gedaan. Verder zal er gekeken worden op welke wijze er wordt toegezien dat het risicomanagementsysteem daadwerkelijk werkt. Hierbij wordt gekeken of organisaties een Internal Audit afdeling hebben en een Audit Commitee hebben samengesteld vanuit de Raad van Commissarissen die de werking van het systeem evalueert. Daarnaast wordt gekeken op welke andere wijzen de organisatie zekerder stelt dat het systeem werkt zoals het behoort te werken. Het oordeel van de externe accountant wordt niet meegenomen, aangezien er vanuit wordt gegaan dat alle AEX-organisaties een goedkeurende accountantsverklaring hebben waarin de accountant

aangeeft dat de procedures van interne beheersing goed werken. Het element risicomanagement is belangrijk om mee te nemen omdat het een van de basiselementen van deze thesis en het daarbij behorende onderzoek is.

Vermelding van cultuur

Een ander essentieel onderdeel van deze thesis is de mate waarin AEX-organisaties letten op hun cultuur. Cultuur is een onderdeel van alle organisaties. Echter, niet alle organisaties hebben de invloed van cultuur door en spelen hier op in. Een organisatie zal altijd wel iets doen wat de cultuur beïnvloedt, maar dat wil niet zeggen dat ze zich bewust op de cultuur richten. Daarom is het vermelden van de cultuur en wat een organisatie voor cultuur wil hebben een belangrijke indicatie dat er rekening wordt gehouden met de invloed van en op cultuur. Daarnaast zal er ook op gelet worden of AEX-organisaties rekening houden met cultuurverschillen van werknemers in de organisatie. AEX-organisaties zijn multinationals die ook vestigingen buiten Nederland hebben, dus is het interessant om te bekijken of zij rekening houden met de etnische achtergrond, dan wel de nationale cultuur, van (werknemers werkzaam in) vestigingen buiten Nederland.

Gedragscode

Zoals vermeld in paragraaf 2.3 zegt best practice bepaling II.1.3b van de Code Tabaksblat (2003) dat de gedragscode van een AEX-organisatie in ieder geval op de website van de vennootschap dient te worden geplaatst. In een gedragscode doet een organisatie melding van hoe zij verwacht dat haar medewerkers zich gedragen. Uit onderzoek is tevens gebleken dat het invoeren en bekrachtigen van een gedragscode een positieve invloed heeft op het morele gedrag van het personeel binnen een organisatie (Vitell en Hidalgo, 2006) en dat de gedragscode het element van de organisatie is dat personeel het meest beweegt tot het handelen naar de normen en waardes van de organisatie (Adam en Rachman-Moore, 2004). In paragraaf 2.1 is tevens al aangegeven dat organisaties door middel van procedures (dus ook een gedragscode) invloed kunnen uitoefenen op de organisatiecultuur. Een gedragscode is dus een belangrijk instrument om invloed uit te oefenen op de cultuur. Onderdelen van een gedragscode zijn organisatieprincipes, (financiële) ethische codes en klokkenluiderregelingen. Onderzocht zal worden in hoeverre deze onderdelen verwerkt zijn in de gedragscodes en of deze online beschikbaar zijn. Tevens zal bekeken worden of er procedures zijn om naleving van de gedragscode te toetsen binnen de organisatie, op basis van de aanbeveling van Emanuels (2005). Beloning-/ strafstructuren

Een ander instrument om invloed uit te oefenen op de organisatiecultuur, dat vermeld is in paragraaf 2.1, zijn beloningsstructuren. Organisaties kunnen ook straffen opleggen bij tegenvallende prestaties. Dit heeft ook invloed op de organisatiecultuur en wordt dus ook meegenomen in het onderzoek. Ook kan het naleven of juist niet naleven van de gedragscode of het risicomanagementsysteem gevolgen hebben. Hoewel deze structuren kunnen leiden tot het manipuleren van de gegevens (Simons, 1995), is het wel een instrument dat gebruikt wordt om de cultuur van een organisatie te beïnvloeden. Ook zal er gekeken worden of de aanbeveling van Emanuels (2005) wordt opgevolgd, waarbij beloning zou moeten zijn op basis van de kwaliteit en beoordeling van de interne beheersing en op naleving van gedragscodes en richtlijnen en dus niet alleen op de (financiële) performance op korte termijn. Tenslotte wordt bij dit element erop gelet of organisaties vermelden welke maatregelen getroffen worden als het personeel niet de opgestelde richtlijnen en gedragscode naleeft. Indien dit bestraft en vermeld wordt, is dit een maatregel van de organisatie om aan te geven dat ze ook daadwerkelijk iets aan schendingen van de gedragscode doet en hiermee een voorbeeld probeert te zetten om te voorkomen dat het weer gebeurt.

Tone from the top

Zoals in paragraaf 2.1 is beschreven, zal het personeel in een organisatie minder snel geneigd zijn om de gestelde normen en waarden te volgen als de leiding binnen die organisatie dit ook niet doet (Simons, 1995). Het is daarom essentieel dat de leiding van een organisatie een goed voorbeeld zet bij het handelen naar de gestelde normen en waarden (Collier en Esteban, 2007). Hierom zal bekeken worden of de leiding van een organisatie ook de regels volgt aan de hand van gedragscodes en corporate governance structuren en of er extra regels zijn die alleen de leiding moet volgen. Indien er gevallen zijn voorgekomen waarbij dit niet zo is zal er gekeken worden of er passende maatregelen zijn genomen. Ook zal er gekeken worden of de aanbevelingen van Emanuels (2005) worden opgevolgd, waarbij de CEO of de Raad van Bestuur feitelijk verantwoordelijk is voor het integraal risicomanagement binnen de organisatie en dat leidinggevenden worden opgeleid om te begrijpen en uit te dragen hoe risicomanagement binnen hun afdelingen werkt.

Personeelsbeleid

Zoals al eerder gezegd wordt een cultuur van een organisatie bepaald door de mensen die er werken. Bovendien is al eerder bewezen dat een goed personeelsbeleid ervoor zorgt dat personeel meer betrokken is bij de organisatie waar ze werken (McElroy, 2001). Hierom is het belangrijk om te bekijken wat organisaties doen aan personeelsbeleid en de manier waarop ze haar personeel proberen te beïnvloeden. Er zal onderzocht worden of de organisatie rekening houdt met de cultuur wanneer ze mensen aanneemt. Daarnaast is het beïnvloeden van personeel door het verspreiden van de strategie, doelstellingen en manier van denken in de vorm van brochures (welke soms niet eens relevantie hebben met de doelen en verantwoordelijkheden van het personeel) is één ding, maar het organiseren van werkconferenties, werkgroepen en trainingen zorgt ervoor dat mensen ook daadwerkelijk begrijpen wat ermee bedoeld wordt (Franssen en Wetzels, 2001; Collier en Esteban, 2007). Het is tevens belangrijk dat een organisatie weet wat er onder het personeel leeft, zodat het personeelsbeleid verbeterd kan worden. Tevreden personeel draagt immers bij aan de prestaties van de onderneming. Hierom zal worden bekeken of AEX-organisaties hier iets mee doen, bijvoorbeeld in de vorm van onderzoeken naar personeelstevredenheid. Tevens kunnen deze onderzoeken, meestal afgenomen in de vorm van vragenlijsten of enquêtes, een goed middel voor personeel om hun ei kwijt te raken over zaken die ze liever anders zouden zien in de organisatie (Collier en Esteban, 2007). Hierbij dient wel aangemerkt te worden dat dit soort onderzoeken alleen werkt wanneer dit anoniem gedaan wordt. Wanneer het personeel achteraf vragen krijgt waarom een aantal vragen op een bepaalde manier zijn ingevuld zullen een volgende keer de antwoorden niet meer naar waarheid worden ingevuld. Tenslotte is een onderdeel van goed personeelsbeleid het hanteren van prestatie- en ontwikkelingsplannen voor het personeel. Aan deze plannen kunnen persoonlijke doelstellingen en beloningen gekoppeld worden.

Omgevingsgerichtheid

Zoals beschreven werd in paragraaf 2.1, wordt de cultuur van een organisatie ook deels bepaald door de wijze waarop de organisatie door de omgeving gezien wordt en de wijze waarop de organisatie op de omgeving inspeelt. Organisaties kunnen door middel van maatschappelijk verantwoord ondernemen (corporate social responsibility) een beter beeld van zichzelf vormen voor de omgeving. Onder maatschappelijk verantwoord ondernemen wordt dus niet alleen het integer en ethisch handelen verstaan, ook eventuele projecten die een organisatie onderneemt om een bijdrage te leveren aan de samenleving vallen onder dit aspect. Bovendien zal het personeel zich meer betrokken voelen met de organisatie als de organisatie een goed beeld heeft in de omgeving en dit bereikt door maatschappelijk verantwoord ondernemen (Collier en Esteban, 2007). Bekeken zal worden of AEX-organisaties een rapport uitbrengen over maatschappelijk verantwoord ondernemen en of zij dus bewust bezig zijn met het beeld dat zij willen dat de omgeving van ze heeft. Tevens wordt bekeken of

organisaties door externe instanties erkend worden als een maatschappelijk verantwoorde organisatie.

Nadat de elementen zijn gekozen, dient nog een tweede stap genomen te worden om het meetinstrument te operationaliseren (Stokking, 1998): het hoe naar de verschillende elementen wordt gekeken. Er kan gekozen worden tussen bijvoorbeeld of en hoe vaak een element voorkomt of hoe intensief een element beschreven wordt. Gekozen wordt voor dit laatste, aangezien aangenomen wordt dat AEX-organisaties soms elementen onbewust vermelden. Er is echter een groot verschil tussen elementen tussen de regels door vermelden en elementen vermelden onder een apart (sub)hoofdstuk in het jaarverslag. Het gaat dus om de mate van aandacht dat aan een element besteed wordt, zodat een oordeel geveld kan worden of een organisatie er echt mee bezig is. Deze manier van gegevensverzameling is dan wel aan subjectiviteit onderhevig, maar past beter bij de kwalitatieve aard van dit onderzoek.

Om ook iets met de gegevens te kunnen doen zal er een waardering per element per AEX-organisatie worden gegeven. Hierdoor zullen verschillende AEX-organisaties beter vergelijkbaar zijn en kan er een beter oordeel over het geheel worden gegeven. Omdat dit een kwaliteitsonderzoek betreft is het enigszins subjectief om te bepalen wanneer welke waardering wordt toegekend. Daarnaast zijn de gekozen elementen verschillend van aard en is het niet goed mogelijk om alle elementen volgens dezelfde criteria te waarderen. Hierom zal per gekozen element beschreven voor welke onderdelen een punt toegekend wordt. Het aanwezig zijn van een van deze onderdelen levert dus een punt op. Per element worden vijf onderdelen benoemd, zodat de maximale waardering van een onderdeel 5 is. Risicomanagementsysteem

- Implementatie van een integraal risicomanagementsysteem.

- Integraal risicomanagementsysteem op basis van COSO of een vergelijkbaar model.

- Integraal risicomanagementsysteem volledig aangepast aan de soort organisatie en dit beschreven in het jaarverslag.

- Internal Audit afdeling is aanwezig en controleert met regelmaat de werking van het systeem. - Raad van Commissarissen houdt toezicht op de werking via een Audit Committee.

Vermelding van cultuur

- Vermelding van cultuur in het jaarverslag. Bij uitgebreidere behandeling van cultuur worden twee punten toegekend. Dit is een teken dat de organisatie er meer mee bezig is.

- Duidelijke toelichting van de rol van cultuur en waarom cultuur belangrijk is binnen de organisatie (mate van toelichting bepaalt toekenning van een of twee punten).

- Rekening houden met de verschillende nationale culturen onder haar werknemers. Gedragscode

- Aanwezig zijn van een gedragscode. Bij deze gedragscode dient ook op zijn minst een klokkenluiderregeling aanwezig te zijn.

- Wanneer een organisatie moeite doet om een goede gedragscode neer te zetten en verder gaat dan alleen de regels op te sommen wordt een extra punt toegekend. Onder een uitgebreidere gedragscode wordt houdt in dat de organisatie moeite heeft genomen om de punten in de gedragscode beter te beschrijven zodat werknemers dit beter kunnen begrijpen. - Verspreiding van de gedragscode binnen de organisatie via de mail, website of overhandigen

van documenten.

- Organiseren van trainingen of conferenties zodat het personeel de gedragscode beter begrijpt. - Treffen van maatregelen om erop toe te zien dat de gedragscode nageleefd wordt.

Beloning-/ strafstructuren

- Bij het aanwezig zijn van beloningstructuren. - Bij het aanwezig zijn van strafstructuren.

- Als beloning verder gaat dan financiële individuele prestatie (op de korte termijn).

- Als beloning gerelateerd wordt aan het voldoen aan de interne beheersingsmaatregelen en/of de gedragscode.

- Het vermelden van disciplinaire maatregelen wegens het schenden van de gedragscode. Tone from the top

- Expliciete vermelding in het jaarverslag dat de leiding van de organisatie het goede voorbeeld moet geven.

- De organisatie heeft extra regels opgesteld voor de leiding van de organisatie, welke gepubliceerd worden in de vorm van documenten.

- Er worden maatregelen getroffen als de leiding de opgestelde regels en richtlijnen niet naleeft. - De CEO, en in ieder geval de Raad van Bestuur, neemt verantwoordelijkheid voor de

implementatie en werking van het integraal risicomanagementsysteem.

- Er worden conferenties en/of trainingen voor managers georganiseerd waarbij onderwerpen als risicomanagement en interne procedures centraal staan.

Personeelsbeleid

- Rekening houden met cultuur bij aanname nieuw personeel.

- Organiseren van conferenties en trainingen om begrip en kennis van doelstellingen en strategie te verspreiden onder het personeel.

- Mogelijkheden bieden voor personeel voor het volgen van cursussen en training om zichzelf te ontwikkelen binnen de organisatie.

- Onderzoeken naar personeelstevredenheid en/of bewijzen dat het personeel tevreden is. - Persoonlijke prestatie- en ontwikkelingsplannen worden opgesteld voor elke individuele

werknemer. Omgevingsgerichtheid

- Steun aan goede doelen en rekening houden met het milieu (verbruik van energie en grondstoffen, uitstoot van gassen, enzovoorts).

- Alleen zaken doen met leveranciers die ook maatschappelijk verantwoord zijn.

- Activiteiten omtrent maatschappelijk verantwoord ondernemen uitgebracht in een rapport. - Uitgebracht rapport is beoordeeld door een externe accountant.

- Erkend als maatschappelijk verantwoorde organisatie door een externe partij.

De gegevens zullen eerst in een standaardlijst verwerkt worden. Deze standaardlijst bestaat uit de bovengenoemde onderdelen, waarop gelet wordt bij het onderzoeken van de gegevens van een AEX-organisatie. Hierbij wordt per organisatie beschreven wat zij met de betreffende elementen doen en waar deze informatie is gevonden. Gegevens worden met name verzameld uit jaarverslagen, maar bij verwijzing in de jaarverslagen naar andere publicaties zal hier ook naar gekeken worden. Hierbij valt te denken aan duurzaamheidverslagen, gedragscodes en websites. De lijsten met gegevens van de verschillende AEX-organisaties zijn te vinden in bijlagen 1a t/m 1y.

Nadat de gegevens verzameld zijn in lijsten, zullen deze verwerkt worden in een raamwerk, waar per AEX-organisatie en per gekozen element de waardering weergegeven zal worden. Dit raamwerk is te vinden in bijlage 2.

5. Resultaten

Onderzoek

Uit het onderzoek is gebleken dat AEX-organisaties vele verschillende manieren hebben om invloed uit te oefenen op de organisatiecultuur. De mate van deze invloed verschilt ook in sterke mate. De ene organisatie doet erg veel hieraan omdat zij het erg belangrijk vindt dat er een goede, sterke en duidelijke organisatiecultuur moet zijn en de andere organisatie oefent alleen onbewust invloed uit op de cultuur. Om het geheel overzichtelijk te houden zullen de onderzoeksresultaten per element besproken worden. Een overzicht van de cijfermatige onderzoeksresultaten zijn te vinden in bijlage 2. Hierin wordt de waardering per element per AEX-organisatie weergegeven.

5.1 Risicomanagement

Zoals reeds aangegeven in hoofdstuk 3, is een van de grootste redenen voor AEX-organisaties om een integraal risicomanagement systeem te implementeren dat dit verwacht wordt vanuit de wet- en regelgeving van de Nederlandse Corporate Governance Code (Code Tabaksblat). Deze Code werkt volgens het pas-toe-of-leg-uit-principe, wat inhoudt dat men moet doen wat er in de Code staat of uit moet leggen waarom het niet gedaan wordt. Andere redenen voor de implementatie van een integraal risicomanagementsysteem zijn het beter in kaart brengen van risico om daarmee zekerder stellen dat organisatiedoelstellingen behaald worden en zo aandeelhouderswaarde te vergroten.

Over het algemeen hebben AEX-organisaties bij het onderzoek vrij hoog gescoord op het element risicomanagement. Dit blijkt uit het feit dat van de 25 AEX-organisaties er 21 een waardering hebben behaald van vier of vijf. Er blijken 24 organisaties een integraal risicomanagement geïmplementeerd te hebben. De enige AEX-organisatie die nog niet zo ver was, zat in de fase van implementatie op het moment dat het jaarverslag over 2007 gepubliceerd werd. Verder hebben 21 organisaties hun integraal risicomanagementsysteem geïmplementeerd en beoordeeld aan de hand van de aanbevelingen van COSO. Niet alle organisaties specificeren of ze het eerste raamwerk van COSO (COSO-I, internal control framework, 1992) of het tweede (COSO-II, enterprise risk management, 2004) hebben gebruikt en hierom wordt het onderscheid buiten beschouwing gelaten. Tenslotte hebben 12 AEX-organisaties nog een beschrijving van hun eigen integraal risicomanagementsysteem gegeven in het jaarverslag. Dit houdt in dat zij een model hebben gepresenteerd waarmee zij werken, waarbij de aanbevelingen van COSO zijn overgenomen. Zij steunen op een systeem dat volledig is aangepast op de organisatie zelf en gebruiken dus niet alleen standaarden die worden aanbevolen. Om de effectiviteit van het systeem te waarborgen hebben alle AEX-organisaties een Internal Audit afdeling. Deze afdeling is verantwoordelijk voor het regelmatig controles uitvoeren op de effectiviteit en werking van het systeem. Deze kunnen al dan niet ongevraagd en mogelijkerwijs op verzoek van de Raad van Bestuur (RvB) of Raad van Commissarissen (RvC) uitgevoerd worden. De resultaten van deze audits worden vervolgens besproken met de Raad van Bestuur en de Audit Committee van de RvC. Indien een AEX-organisatie geen Audit Committee heeft, wat in twee gevallen zo is, worden de resultaten direct met de RvC besproken. Overigens worden de resultaten minder uitgebreid en minder regelmatig met de RvC besproken dan met de RvB. Meestal wordt de RvC alleen op de hoogte gebracht van de bijzondere (knel)punten en zijn kleine details vaak niet relevant genoeg om te bespreken. Om verder de effectiviteit van het systeem te waarborgen kennen AEX-organisaties over het algemeen interne autorisatieschema’s om risicogrenzen aan te geven en dienen managers van de verschillende divisies een formulier te ondertekenen waarin verklaard wordt dat het systeem goed werkt en goed gewerkt heeft. Al deze maatregelen van toezicht zijn echter vrij standaard en lijken gewoonweg over te zijn genomen vanuit de Code Tabaksblat. Wat er in de verschillende publicaties