Van registreren naar sturen: Hoe risicomanagement weer effectief wordt

Risicomanagement is stevig verankerd in de governance van pensioenfondsen. Met risicoraamwerken, Risk Self Assessments (RSA’s), Eigen risicobeoordelingen (ERB’s) en risico opinies wordt systematisch gewerkt aan het identificeren van risico’s en het vastleggen van beheersmaatregelen, monitoring en opvolging.

Toch wordt binnen pensioenfondsen vaak ervaren dat alles is vastgelegd, maar waar moet het bestuur nu echt op sturen? Juist daar ontstaat de paradox die centraal staat in deze blog.

Het paradoxale gevoel van ‘in control’

In de praktijk beschikken pensioenfondsen vaak over omvangrijke lijsten van risico’s. Veel risico’s zijn uitgewerkt in diverse Risk Self Assessments (RSA’s) op verschillende onderwerpen en projecten, voorzien van kans- en impactinschattingen en gekoppeld aan beheersmaatregelen. Het aantal beheersmaatregelen loopt vaak op tot vele honderden. Jaarlijks worden effectiviteitsbeoordelingen uitgevoerd, vaak ondersteund door uitgebreide Excel-overzichten en rapportages.

Deze inrichting oogt robuust, maar vertaalt zich niet in meer grip. Bestuurlijke discussies rondom risicobeheersing blijven hangen op detailniveau, terwijl het overzicht ontbreekt. Het onderscheid tussen kritische en minder relevante risico’s vervaagt. Hierdoor wordt risicomanagement ervaren als administratief proces, in plaats van als stuurinstrument. Dat roept de vraag op hoe deze situatie is ontstaan.

Hoe zijn organisaties hier beland?

De ontwikkeling naar steeds uitgebreidere risicoraamwerken kent meerdere oorzaken.

• Toegenomen toezichtdruk

  Allereerst speelt de toegenomen toezichtdruk een rol. Wet- en regelgeving, waaronder IORP II, heeft geleid tot hogere eisen aan documentatie, onderbouwing en aantoonbaarheid. De introductie van de sleutelfunctiehouder risicobeheer heeft deze professionalisering verder versterkt.
  
  

• Toenemende complexiteit in uitbesteding

  Daarnaast speelt uitbesteding een belangrijke rol. Naarmate meer activiteiten worden ondergebracht bij uitvoeringsorganisaties, fiduciair managers en asset managers en de uitbestedingsketens langer worden, groeit de behoefte om grip te houden via vastlegging en rapportages. Dat vertaalt zich vaak in extra risico’s, aanvullende beheersmaatregelen en meer monitoring.
  
  

• Evolutie op het vakgebied

  Ten slotte is ook risicomanagement zelf geëvolueerd. Wat ooit bedoeld was als een middel om bestuurlijke keuzes te ondersteunen, is in veel organisaties uitgegroeid tot een systeem dat vooral gericht is op volledigheid en verantwoording. Daarmee verschuift de focus ongemerkt van sturen naar registreren.

De keerzijde van volledigheid

Een belangrijk gevolg van deze ontwikkeling is verdunning van aandacht. Wanneer alles als risico wordt aangemerkt, verdunt de bestuurlijke aandacht en is het moeilijk om te bepalen wat werkelijk kritisch is. Besturen zien letterlijk en figuurlijk door de bomen het bos niet meer. Prioritering raakt ondergesneeuwd en het overzicht verdwijnt.

Daarmee ontstaat ook bestuurlijke afstand. Risicomanagement wordt iets van lijsten, formats en periodieke beoordelingen, in plaats van een integraal onderdeel van het gesprek over doelstellingen en scherpe keuzes. De effectiviteitsbeoordeling van beheersmaatregelen verliest betekenis wanneer deze vooral bestaat uit het afvinken van vooraf gedefinieerde criteria.

Het risico van deze benadering is schijnzekerheid. De aanwezigheid van uitgebreide documentatie suggereert beheersing, terwijl het zicht op de werkelijk kwetsbare punten juist afneemt. In dat spanningsveld verandert risicomanagement geleidelijk in een compliance oefening.

De centrale stelling: focus boven volledigheid

Tegen deze achtergrond dringt zich een fundamentele vraag op: draagt een steeds uitgebreider risicoraamwerk daadwerkelijk bij aan beter bestuur? Het antwoord ligt niet in méér scenario’s of extra maatregelen, maar in scherpere keuzes.

Effectief risicomanagement kenmerkt zich niet door volledigheid, maar door focus. Dit vraagt om expliciete afwegingen over welke risico’s bepalend zijn voor het realiseren van de doelstellingen van het fonds. Niet elk geïdentificeerd risico verdient dezelfde bestuurlijke aandacht.

Door het gesprek te verleggen van alles wat mis kan gaan naar wat er echt toe doet, ontstaat ruimte voor betekenisvolle sturing. Dat vergt minder vastlegging en zorgt tegelijkertijd voor meer gerichte sturing.

Vooruitblik

De constatering dat meer risicomanagement niet automatisch leidt tot meer grip, is slechts het begin. De vervolgvraag is wat dan wél centraal moet staan.

Tegen deze achtergrond ligt een eerste stap in het expliciet terugbrengen van het aantal risico’s waarop bestuurlijk gestuurd wordt. Door een beperktere set kritische risico’s te definiëren en deze centraal te stellen in rapportages en besluitvorming, ontstaat meer focus en daarmee een betere basis voor effectieve sturing.

In de volgende blog wordt ingegaan op het aanbrengen van focus door te werken met een beperkte set principal risks, als basis voor effectief en bestuurlijk relevant risicomanagement.