Valkuilen in de risicomatrix

download deze column als pdf

	Ik vind deze column een aanrader
	1377 personen hebben deze column positief beoordeeld

Het beheer van risico’s heeft in de afgelopen jaren aan belang gewonnen binnen het vak van asset management. In Nederland bijvoorbeeld is het onderwerp op de kaart gezet door het werk van de Veiligheidsraad onder leiding van Pieter van Vollenhove en sinds enkele jaren is er ook een opleiding op dit gebied. Binnen risicomanagement is het beoordelen van het risiconiveau een essentiële stap. Een risico is een tweedimensionale entiteit (risico is kans maal effect) en het vaststellen van het risiconiveau betekent dus het inschatten van kans en effect en vervolgens die combinatie beoordelen tegen een toelaatbaarheidcriterium.  Een instrument dat hier vaak voor wordt gebruikt is de risicomatrix. Dit is een tabel met langs de ene as omschrijvingen van effecten en hun classificatie en op de andere as de omschrijving van kansen en frequenties. In de tabel zelf staat welk risiconiveau wordt toegekend aan de combinaties van kans en effect, vaak middels een kleur (groen, oranje rood) en een omschrijving (laag midden hoog). Omdat de matrix zo gemakkelijk is in het gebruik, zullen er weinig risicomanagers rondlopen die geen matrix op zak hebben.

Toch is er ondanks het algemene gebruik verrassend weinig standaardisatie in de risicomatrices die gebruikt worden[1], en ook een framework om een risicomatrix vast te stellen ontbreekt. Vreemd genoeg stelt ook de internationale norm voor risicomanagement (ISO31000) geen eisen op dit gebied. De meeste risicomanagers zullen dus zelf een matrix moeten ontwikkelen. Aan de ene kant is dat goed. Zoals we al eerder betoogd hebben, is de risicomatrix de vastlegging van het waardesysteem van de organisatie, en dat is voor iedere organisatie anders. Bovendien geeft de zoektocht naar de matrix belangrijke informatie over de subtiliteiten in de beoordeling. Maar aan de andere kant, zijn de waardesystemen wel zo verschillend? Organisaties opereren in dezelfde maatschappij en via externe factoren (aandeelhouders, markten, klanten) worden ze toch gedeeltelijk in hetzelfde keurslijf gedwongen. Bovendien zullen er op het gebied van veiligheid en milieu eisen worden gesteld en je mag verwachten (of hopen) dat hun risicoattitude met betrekking tot deze waarden niet heel erg verschillend is met wat de maatschappij aanvaarbaar vindt. Omdat een robuuste procedure om een risicomatrix op te stellen ontbreekt, kan je verwachten dat het wel eens fout gaat. Er zijn namelijk nog wel wat valkuilen waar je in kunt trappen bij de risicomatrix. Deze kunnen onderscheiden worden in fouten bij het ontwerp en fouten bij het gebruik.

Ontwerpfouten
Een belangrijke ontwerpfout is dat de matrix een onjuiste opbouw heeft. De risico’s waarmee een bedrijf te maken heeft kunnen een spreiding van meerdere ordes van grootte hebben, zowel in termen van kans als effect. Denk bijvoorbeeld aan het verkeerd afdrukken van een document (kleine schade, meerdere keren per dag) en aan brand (grote schade, minder dan eens per 1000 jaar). Bovendien zit er (in ieder geval initieel) een behoorlijke onzekerheid in de inschatting van kans en effect. De schalen van de matrix moeten hier mee overweg kunnen, en dat lukt eigenlijk alleen met een logaritmische schaal. Een lineaire schaal kan geen onderscheid meer maken tussen risico’s in de laagste categorieën van kans en effect, terwijl die nog steeds ordegroottes kunnen schelen in verwacht effect. Verder is een lineaire schaal constant in absolute onzekerheid, maar een logaritmische onzekerheid constant in relatieve onzekerheid wat veel beter aansluit. Bij het onjuiste format hoort ook het aantal categorieën voor effect, kans en risiconiveau. Als je alles afbeeldt naar 3 risiconiveaus (hoog, midden, laag) dan is het onzin om kans en effect bij wijze van spreken in negen banden op te knippen.

Ten tweede is een risicomatrix alleen bruikbaar indien de verschillende waarden die aan de effectzijde beschreven zijn ook goed uitgelijnd zijn. Dat is het geval als de beslisser indifferent wordt tussen effecten die optreden in dezelfde effectband. Indifferent betekent hier dat er geen antwoord meer gegeven kan worden op de vraag welk incident men liever heeft, bijvoorbeeld een ernstig veiligheidsincident of een ernstige reputatieschade. Als hier nog wel een antwoord op komt zijn de waarden nog niet uitgelijnd. In het ideale geval is deze indifferentie ook de bereidheid tot betalen, in ieder geval in de vergelijking tussen de financiële effecten en de niet financiële effecten. Dat wil zeggen dat men het bedrag dat overeenkomt met het effectniveau wil uitgeven om het effect te voorkomen. Dat helpt namelijk in het ontwikkelen van maatregelen. Als deze uitlijning niet goed is, dan wil dat zeggen dat een hoog risico niet voor alle waarden hetzelfde betekent.

Hieronder is een voorbeeld opgenomen van een matrix die aan de ontwerpeisen voldoet.

Gebruiksfouten
De risicomatrix is een instrument om risico’s te evalueren. Risico’s zijn gebeurtenissen met een kans en effect. Een risicomatrix is niet bedoeld om (systeem)prestaties te beoordelen, dat zijn namelijk geen gebeurtenissen. Als je dat toch doet kom je al snel op een ontoelaatbaar niveau uit. De totale kosten van een bedrijf zitten bijvoorbeeld vrijwel altijd in de hoogste effectcategorie, en als dat elk jaar voorkomt is er wel iets aan de hand. Bovendien worden prestaties gemeten in percentages (of minimaal de variatie) en risico’s meet je met de orde van grootte. Een risicomatrix zal dus (tenminste met gebruik van de logaritmische schaal) nauwelijks onderscheid maken tussen prestaties die een factor 2 uit elkaar liggen terwijl dat vanuit management perspectief een wereld van verschil is. Als je met alle geweld toch de prestatiebeoordeling in de matrix wilt persen dan leidt dat tot een serieuze vervorming en onbalans die het gebruik waarvoor de matrix bedoeld was vrijwel onmogelijk maken.

Verder geeft de matrix een oordeel, maar het kan er één niveau naast zitten. Het opdelen van het continuüm van kans en effect in hokjes kan namelijk betekenen dat een kleine verschuiving van de grenzen tot een ander oordeel leidt. Een hoog risico kan bijvoorbeeld medium worden, en een medium risico hoog, ook tegelijkertijd. Een hoog risico zal echter nooit laag worden, en een medium risico niet ontoelaatbaar. Het gebruik van het oordeel voorbij deze nauwkeurigheid kan resulteren in fouten. Dit is vrijwel zeker het geval in het oordeel over de beheersmaatregelen (met als uitzondering maatregelen die heel veel goedkoper zijn dan het risico) waarvoor de matrix toch wel veel gebruikt wordt. Als een hoge nauwkeurigheid vereist is dan kan je beter werken met de verwachte waarde, mits die inschatting wel de vereiste nauwkeurigheid heeft. Maar als nauwkeurige informatie beschikbaar is heeft het geen waarde orde van grootte labels te gebruiken. Dat is eigenlijk alleen goed genoeg om te bepalen welke risico’s je gaat analyseren.

Een pleidooi voor standaardisatie
Samenvattend kan je stellen dat in het ontwerp en gebruik zo veel mis kan gaan dat je op fouten kunt wachten. Wellicht is een verdere standaardisatie op dit vlak nog niet zo’n gek idee. 
 

[1] Uitzondering is de energiedistributiesector, waar de matrix van Enexis (vormgegeven door de auteur van dit stuk) brede ingang heeft gevonden.


Ype Wijnia is partner bij AssetResolutions B.V., een bedrijf dat hij samen met John de Croon heeft opgericht. Beurtelings geven ze in deze wekelijkse column hun visie op een aspect van asset management. De columns staan gepubliceerd op de website van AssetResolutions, www.assetresolutions.nl/nl/column

<< terug naar overzicht