Hoewel het idee van enterprise risk management (ERM) al heel lang bestaat, duurde het tot de financiële crisis van 2008 voordat het algemeen werd erkend als een belangrijk kader van de algemene bedrijfsstrategie van een bedrijf. Maar ondanks de toegenomen nadruk op Enterprise Risk Management, hebben velen in de branche moeite om een nauwkeurige definitie te geven. Het resultaat was dat de RMA ERM Council zeer realistische handleidingen wilde ontwikkelen voor de implementatie van een rigoureus risicobeheersysteem voor ondernemingen dat organisaties van elke omvang zal helpen bij het holistisch beheren van risico's.
Definitie van ondernemingsrisicobeheer
ERM wordt door de raad beschreven als "het vermogen van het management om alle bedrijfsrisico's af te handelen bij het nastreven van een passend rendement."
Met dat concept als uitgangspunt ontwikkelde de raad een beleid om het management en de raden van bestuur te helpen bij het beantwoorden van relevante zakelijke vragen over de risicobereidheid van een instelling, bedrijfsstrategie en risicodekking, governance en beleid, risicogegevens en -infrastructuur, beoordeling en evaluatie, controleomgeving, respons en stresstesten.
Dus, afgezien van definities, zullen we in de loop van dit artikel het Enterprise Risk Management-raamwerk doornemen. Daar hoort ook een strategie bij die je direct kunt volgen.
Kader voor Enterprise Risk Management
Cultuur vormt de kern van het Enterprise Risk Management-raamwerkmodel. Eigenlijk. geen van de andere elementen zou ertoe doen als een organisatie de juiste cultuur en goed leiderschap aan de top mist. Met andere woorden, bedrijven die ERM als een manier van denken begrijpen en implementeren, presteren beter dan bedrijven die dat niet doen.
Aan het eind van de dag zal een raamwerk voor ondernemingsrisicobeheer drie belangrijke zakelijke vragen beantwoorden:
- Moeten we het doen (in overeenstemming met ons bedrijfsbeleid, risicobereidheid, geschiedenis, principes en ethiek)?
- Kunnen we het (in termen van individuen, procedures, structuur en technologie)?
- Zijn we daarin geslaagd (evaluatie van geplande resultaten, voortdurend leren en een rigoureus systeem van checks and balances)?
Ongeacht de grootte van de instelling of hoe zij haar risico's wil categoriseren, is de structuur van het raamwerk voor ondernemingsrisicobeheer van toepassing. De circulaire weergave van het raamwerk is bewust gekozen. Bovendien moeten afzonderlijke componenten (zoals dekking of risicobereidheid) in beide richtingen stromen, niet in een sequentiële volgorde. Bovendien wordt cultuur afgeschilderd als het centrum/hart/fundament van het model, aangezien de andere componenten enigszins zinloos zijn zonder de juiste cultuur.
Wat een Enterprise Risk Management Framework dekt
Het ERM-raamwerk is gecreëerd om het management en de raden van bestuur te helpen bij het aanpakken van de volgende belangrijke zakelijke kwesties:
- Wat zijn alle risico's (dekking) voor ons marktplan en onze activiteiten?
- Wat is onze risicobereidheid (hoeveel risico kunnen we nemen)?
- Hoe verzamelen we de data (risicodata en infrastructuur) die we nodig hebben om met deze risico's om te gaan?
- Wat zijn de cultuur, het bestuur en het beleid die het nemen van risico's reguleren?
- Hoe houden we de risico's onder controle (controleomgeving)?
- Wat zijn de worstcasesituaties die ons kunnen schaden (stresstesten)?
- Hoe bepalen we de omvang van verschillende dreigingen (meten en beoordelen)?
- Wat zijn onze plannen om met deze gevaren om te gaan (respons)?
- Wat is de relatie tussen verschillende dreigingen (stresstesten)?
De RMA ERM-raad heeft een reeks zeer realistische werkboeken voor risicobeheerbeoefenaars gebruikt om dit ERM-raamwerk en gerelateerde ERM-competenties vast te stellen. Dit zijn de werkboeken:
- Werkboek over Risk Appetite Governance and Policies Workbook
- Meting en evaluatie van risicogegevens en -infrastructuur (geadresseerd als onderdeel van het Governance and Policies Workbook)
- Een basisgids voor scenario-analyse en stresstests voor gemeenschapsbanken
ERM-competenties
Hieronder volgen beschrijvingen van de belangrijkste elementen van een succesvolle strategie voor risicobeheer voor ondernemingen:
#1. Bedrijfsstrategie en dekking
Risicobeheer moet opereren binnen het kader van de bedrijfsstrategie en de fundamentele vraag beantwoorden; "Wat is onze bedrijfsstrategie en welke risico's gaan ermee gepaard?"
Voordat een organisatie haar risicobereidheid verwoordt, moet ze eerst haar prioriteiten en doelstellingen of bedrijfsplan definiëren. In termen van markten, geografische gebieden, divisies, goederen, winsten, enzovoort, moet de instelling haar doelen identificeren. De organisatie beoordeelt vervolgens het risico dat aan dat plan is verbonden en bepaalt hoeveel risico zij bereid is te nemen bij de uitvoering ervan. Ondertussen is een onderneming kwetsbaar voor de volgende bedreigingen, ongeacht haar bedrijfsstrategie:
- Krediet
- Liquiditeit
- Markt
- Operationele
- Naleving/wettelijk/regelgevend
- Financieel
- Kapitaaltoereikendheid
#2. Risicobereidheid
Het Risk Appetite Workbook van RMA legt tot in detail uit wat een risicobereidheid is en hoe een organisatie deze kan laten groeien. Het definieert risicobereidheid als "de hoeveelheid risico (volatiliteit van verwachte resultaten) die een entiteit bereid is te tolereren bij het nastreven van een gewenste financiële output (rendement)."
Ondertussen is het van vitaal belang op te merken dat, hoewel individuen de termen "risicobereidheid" en "risicotolerantie" vaak door elkaar gebruiken, ze verschillende betekenissen hebben. Risicobereidheid verwijst naar hoeveel onzekerheid een organisatie kan accepteren om haar businessplan uit te voeren. Risicotolerantie verwijst naar de dagelijkse operationele limieten van een bedrijf die zijn vastgesteld in de zin van de gespecificeerde risicobereidheid (bijvoorbeeld concentratielimieten).
De essentiële banden tussen beleid, bedrijfsstrategieën en risico's moeten worden begrepen door het management en de raad van bestuur. Een bron die deze link promoot, is een verklaring over de risicobereidheid. In deze context is risicobeheer een belangrijk onderdeel van de algemene strategie en fundamentele bedrijfsdoelstellingen van de instelling, evenals van de prestaties, het rendement en de waardeontwikkeling.
#3. Cultuur, bestuur en beleid
Cultuur kan worden omschreven als 'wat mensen doen als niemand kijkt'. Zoals eerder gezegd, is cultuur het meest cruciale element van elke succesvolle ERM-competentie. Het Governance-werkboek van RMA behandelt bestuur en regelgeving, evenals talrijke voorbeelden van bestuurscommissies op bestuurs- en managementniveau om toezicht te houden op activiteiten die risico's nemen.
Voor het grote publiek drukt het beleid de risicobereidheid van de onderneming uit. Ze vertellen alle belanghebbenden wat de organisatie wel en niet wil doen. Beleid (wat te doen?) en procedures (hoe te doen?) worden gebruikt om de risicobereidheidsverklaring uit te voeren.
Simpel gezegd, de geschiedenis, het bestuur en het beleid van een instelling werken samen om de instelling te helpen bij het uitvoeren van haar risicovolle activiteiten.
#4. Risico en infrastructuur
Risicobeheer wordt uitgevoerd door raden van bestuur en management met een grondig begrip van het risicoprofiel van de onderneming. Hoe informatie wordt verzameld, geïntegreerd, verwerkt en omgezet in een samenhangend verhaal, wordt risicogegevens en infrastructuur genoemd.
Dit is echter waarschijnlijk het moeilijkste onderdeel van ERM. Sommige bedrijven investeren vaak $ 200 miljoen tot $ 300 miljoen zonder een rendement op hun investering te zien.
Een zeer betrouwbaar managementinformatiesysteem komt daarom goed van pas bij het bouwen van een effectief risicomanagementraamwerk. En voor het grootste deel is de ERM Council voornemens om vanwege het belang ervan een heel werkboek aan dit onderwerp te wijden.
#5. Controle omgeving
Een van de meest kritische instrumenten in de managementtoolbox voor risicobeheer is de interne controleomgeving. Interne controles helpen bij het verlagen van het inherente risico tot een niveau dat het management kan omarmen. Een deel van het interne controlekader omvat cultuur, governance, regelgeving, preventieve en opsporingscontroles en scenarioplanning.
Bovendien helpen interne controles het management om het resterende risico op een minimaal niveau te houden.
#6. Meting en evaluatie
Raden van bestuur en management moeten op elk moment omgaan met een portefeuille van risico's. Dit varieert van de kwaliteit van activa, liquiditeit, rente, tot bedrijfscontinuïteit, informatiebeveiliging, privacy, enz.
In ERM zijn berekeningen echter de wetenschap en kunst om te bepalen welke risico's belangrijk zijn en welke niet. Het evalueert ook waar tijd, middelen en moeite aan besteed kunnen worden.
Een organisatie kan bijvoorbeeld een eenvoudig kleurcoderingsmodel (groen, geel en rood), een zeer geavanceerd risicogecorrigeerd rendement op kapitaal (RAROC) of een middelmatige faalmodus en effectenanalyse gebruiken ( FMEA) model om het doel van meten en evalueren te bereiken.
Ondertussen helpen meten en beoordelen, ongeacht het proces, besturen en management bij het beantwoorden van de vraag; "Nou en?" Het systeem van interne controles moet worden opgenomen in het beoordelings- en evaluatieproces, evenals een bepaling van hoe goed met de risico's kan worden omgegaan.
#7. Scenarioplanning en stresstesten
Het vermogen om de vraag te beantwoorden: "Wat kan er mis gaan en daarom afwijkingen van geplande resultaten veroorzaken?" is de kunst van ERM. Het management moet gedocumenteerde, bekende en onbekende bedreigingen oplossen om dit doel te bereiken.
In principe zijn scenariomanagement en stresstesten methoden die zich concentreren op de bekende en in sommige gevallen onbekende risico's. Daarom zijn vanuit het oogpunt van kapitaalplanning een sterke scenarioplanning en stresstestdiscipline belangrijk.
Wat zijn de vier doelstellingen van ERM?
Het huidige raamwerk heeft acht lagen met elk vier doelen: Strategisch | Operaties | Rapportage | Naleving: interne omgeving verwijst naar de toon van de organisatie, haar bereidheid om risico's te nemen en zaken als toezicht op het bestuur.
Wat zijn de 5 componenten van Enterprise Risk Management?
Het ERM-proces heeft vijf specifieke componenten:
strategie/doelstellingen bepalen, risico's identificeren, risico's beoordelen, reageren op risico's en communiceren over risico's en deze bijhouden.
Wat zijn de 3 soorten ondernemingsrisico's?
Het ERM-proces bestaat uit vijf specifieke componenten: strategie/doelstellingen bepalen, risico's identificeren, risico's beoordelen, reageren op risico's en communiceren over risico's en deze volgen.
Wat is ERM en de voordelen ervan?
Welke voordelen biedt ERM?
- Beter begrip van de gevaren die de organisatie bedreigen en het vermogen om effectief te reageren.
- Meer zekerheid bij het behalen van strategische doelstellingen.
- Naleving van wet- en regelgeving en rapportagestandaarden is verbeterd.
- Verbeterde operationele efficiëntie en efficiëntie
