Bij deze titel heeft u waarschijnlijk niet direct herkenning en zult u zich afvragen: "wat is dat nou, een risicoverklaring?" Dat komt omdat een risicoverklaring in Nederland nog maar weinig wordt gebruikt. En dat is jammer, want een risicoverklaring kan een belangrijke rol spelen in de risicobewustwording en het managen van het echte risicoprofiel van een organisatie.
Wat is een risicoverklaring?
Een risico verklaring is een A4 document waarop een manager van een afdeling, proces of project aangeeft dat de daarop opgesomde risico’s het juiste en volledige beeld geven van de risico’s waarvoor hij / zij verantwoordelijk is. Hij / zij bekrachtigt dit door een echte handtekening op het document te plaatsen en te verklaren dat het document naar eer en geweten is opgemaakt en is gebaseerd op de kennis die hij / zij redelijkerwijs zou (moeten) hebben.
Hoe is een risicoverklaring ontstaan?
Zo’n twintig jaar geleden heeft het Amerikaanse bedrijf Enron risico’s verzwegen in haar jaarrekening. Het bedrijf had onder andere gelden uit de pensioenkas ingezet voor andere activiteiten die ertoe leiden dat het geld niet meer kon worden terugbetaald en het bedrijf uiteindelijk omviel. 2,2 miljoen (oud) medewerkers kwamen daardoor zonder pensioen te zitten. Dit risico was niet opgenomen in de jaarrekening zodat aandeelhouders en commissarissen, maar ook toezichthouders hier niet op konden bijsturen. Dit soort incidenten gebeurde wel vaker, maar dit keer was de impact erg groot en kende vele gedupeerden. In het verleden kreeg het bedrijf hiervoor een boete en werd de zaak afgedaan. Maar Enron was een keerpunt van hoe hier in de toekomst mee om te gaan.
Twee senatoren, Sarbanes en Oxley, hebben een wet opgesteld die dergelijke zaken in de toekomst moest voorkomen. Bedrijven kenden al de verplichting om risico’s bij de jaarrekening op te nemen, maar namen dat niet altijd serieus en betaalden als bedrijf de boete wel. Sarbanes en Oxley stelden echter dat in de toekomst de boete niet uit de bedrijfskas, maar uit het privé vermogen van de bestuurder moest worden betaald. Daarnaast werd aanvullend bepaalt dat bestuurders serieuze gevangenisstraf krijgen bij het verzwijgen van relevante risico’s. De destijds verantwoordelijke CEO van Enron kreeg 24,3 jaar gevangenisstraf opgelegd.
Hoe wordt een risicoverklaring toegepast?
Deze wetgeving, afgekort SOX genoemd, leidde tot een grote verandering. Bestuurders van Amerikaanse beursgenoteerde bedrijven hadden er opeens belang bij dat risicomanagement goed was ingericht. Ze wilden immers niet hun privé vermogen verspelen of achter de tralies belanden. Maar hoe kun je als bestuurder van een grote organisatie weten dat alle relevante risico’s in beeld zijn? Denk eens terug aan de affaire met Nick Leeson in 1995 die de interne beleggingsprotocollen overtrad en veel risico nam. Dat leidde tot een verlies van $ 1,4 miljard en de ondergang van Barings bank. Of de subprime hypotheken in 2008 die leidden tot de kredietcrisis. Voorbeelden met grote impact waarvan bestuurders geen of onvoldoende weet hadden. Maar het wel hadden moeten weten!
Een bestuurder moet een juist en volledig inzicht geven in alle relevante risico’s en is daarvoor eindverantwoordelijk. In Nederland komt hier ook steeds meer aandacht voor met bijvoorbeeld het ‘In Control Statement’. Steeds vaker worden ook wij verrast door allerlei affaires die al jaren bekend zijn zoals diverse affaires bij de Belastingdienst, waaronder de toeslagenaffaire waar geen enkele bestuurder van op de hoogte leek. Tal van datalekken die veel te laat boven water kwamen, of het gesjoemel met prestatiecijfers van dieselmotoren.
Daarom gebruiken bestuurders van grote beursgenoteerde bedrijven risicoverklaringen van al hun ondergeschikte managers om te komen tot een volledig overall risicoprofiel. Als de manager van Nick Leeson in de huidige tijd het risico niet zou rapporteren, kan de bestuurder daarvoor de bak in draaien. Daarom leggen de bestuurders een bepaalde druk bij hun ondergeschikte managers om naar waarheid alle relevante risico’s te melden. En om dit belang te benadrukken wordt dit vastgelegd in een ‘risicoverklaring’ die in persoon door de desbetreffende manager moet worden ondertekend. En om de vrijblijvendheid eraf te halen hebben veel organisaties ook sancties gezet op het niet naar waarheid afgeven van een risicoverklaring. Bijvoorbeeld ontslag op staande voet of andere minder vergaande sancties.
Risicoverklaring in Nederland
De introductie van een ‘In Control Statement’ en de toevoeging van een risicoverklaring kunnen in Nederland ook helpen om wat minder vrijblijvend met risicomanagement om te gaan. Een ‘In Control Statement’ maakt een bestuurder immers explicieter eindverantwoordelijk voor de risico’s. En een bestuurder kan alleen een goed In Control Statement afgeven als alle ondergeschikte managers ook verklaren in hoeverre zij voor hun In Control zijn. Aangezien In Control zijn synoniem staat met het beheersen van de relevante risico’s, kan een risicoverklaring ondersteunend zijn voor de bestuurder om een goed en volledig totaal beeld over de risico’s van zijn organisatie te kunnen schetsen. Enige vorm van sanctie in het leveren van een naar waarheid opgesteld In Control Statement of een risicoverklaring is daarbij wel essentieel. In Amerika bestond een soort van In Control Statement immers ook al langer, maar werd pas echt serieus genomen toen de SOX wetgeving er stevige consequenties aan verbond.
Hoe ziet een risicoverklaring eruit?
Een risicoverklaring is geen ingewikkeld document. Het is niet meer dan een A4 waarop alle belangrijke risico’s staan die voor de organisatie als geheel relevant zijn. De essentie van de verklaring is het officiële ceremoniële karakter van het naar eer en geweten verklaren en persoonlijk ondertekenen. Dit werkt vrijblijvendheid tegen en ondersteund het belang van risicomanagement. Hieronder een voorbeeld van hoe zo’n verklaring eruit kan zien.
