Raad van toezicht, bestuur, management en medewerkers zijn samen bepalend of risicomanagement in de praktijk werkt. Elk niveau heeft een eigen rol in het implementeren en stimuleren van risicomanagement.

Raad van Commissarissen

Om een goede balans te bereiken in de verhouding tussen intern toezicht en bestuur, is meer nadruk nodig op het verankeren van risicomanagement in de cultuur. Niet het vastleggen van checklists op gebieden zoals integriteit en de adviesrol van de RvC, wel het verankeren van risicobewustzijn in alle lagen van de organisatie, zodat bestuurders zowel door medewerkers als toezichthouders aangesproken kunnen worden op het nemen van te grote risico's.

Bestuur

Bestuurders worden in toenemende mate verantwoordelijk gehouden voor tekortkomingen in hun organisatie. Zij dienen de balans te behouden tussen het nemen en het beheersen van risico's. Het management van de onderneming moet zich meer dan ooit bewust zijn van de balans tussen risico en rendement. Gehanteerde risicomodellen moeten daartoe transparanter, beter uitlegbaar en zo mogelijk simpeler worden.

Rapporten zoals van de Commissie Frijns en de Commissie Maas benadrukken het grote belang van risicomanagement voor bedrijven en overheidsorganisaties. De algemene lijn in deze en andere rapporten is dat risicomanagement moet worden geplaatst op het hoogste niveau: raad van bestuur/directie. Deze ontwikkeling sluit aan bij de gedachte dat bestuurders bepalend zijn voor het risicoprofiel en de cultuur van hun organisatie. Zij moeten inschatten welke risico's genomen kunnen worden en in welke mate ("risk appetite").

Risico's nemen hoort bij ondernemen. Dit ligt overigens anders bij overheidsorganisaties die zich in beginsel afzijdig moeten houden van het nemen van ondernemersrisico's (zie de debacles van gemeenten en provincies die belegden via Icesave). Bestuurders dienen ook het voorbeeld te zijn voor hun organisatie, zij bepalen de "tone at the top".

Management

90 Procent van de materiële calamiteiten veroorzaakt wordt door menselijk handelen. Dit handelen wordt grotendeels gestuurd door management. Shell onderscheidt bijvoorbeeld wolven en schapen, waarbij innovatieve risiconemende managers (wolven) dwingen tot het breken van regels. En als een manager regels breekt, wordt dit voorbeeld vaak gevolgd door de werkvloer (de schapen).

Risiconemende managers zorgen voor een risiconemende organisatie. De vraag is hoe bewust het management zich van dit voorbeeldgedrag is, of waar dit gedrag vandaan komt? Beloning speelt een rol. Verbondenheid met de organisatie is belangrijk: zo zal iemand met eigen geld in een bedrijf meer risicobewust zijn dan iemand die risico's neemt met het geld van een ander. Narcisme speelt ook mee.

Medewerkers

Het management moet ervoor zorgen dat medewerkers vrijuit kunnen communiceren over die risico's die bij hen op het netvlies staan. Er moet een cultuur en structuur zijn waarin mensen de vrijheid voelen om over risico's te communiceren.

Een sterke risicocultuur betekent dat medewerkers:

• Begrijpen waar de organisatie voor staat
• De grenzen kennen waar zij rekening mee dienen te houden
• Open kunnen praten over de risico's die genomen dienen te worden om de doelstellingen te realiseren.

De houding ten opzicht van risico's verschilt per persoon en wordt in belangrijke mate gevoed door onder andere opleiding, geslacht en omgeving. De cultuur van een organisatie is dan ook sterk bepalend voor de keuzes die in een organisatie gemaakt worden.