Zin en onzin van verzekeren

download deze column als pdf

	Ik vind deze column een aanrader
	1223 personen hebben deze column positief beoordeeld

In de wereld om ons heen zijn er allerlei dingen die fout kunnen gaan. Dat varieert van kleine ongemakken zoals een vlieg in je mond tijdens het fietsen, oplopend via valpartijen, verkeersongevallen, economische crises en ijstijden tot het ultieme catastrofale event zoals het ontploffen van de zon. Aan de meeste van deze risico’s besteden de mensen geen aandacht. Hier zit overigens wel een rationele overweging achter. Kleine ongemakken kan je wel oplossen op het moment dat ze zich voordoen, en aan de grote catastrofes kan je toch niets doen, dus dan heeft nadenken ook geen zin. En als je aan alle risico’s zou denken dan zou je geen leven meer over houden, het middel zou erger zijn dan de kwaal. Vanuit het individu bekeken zijn er slechts een paar risico’s die je wel moet beheren. Alhoewel, beheren: voor individuen komt risicomanagement neer op het verzekeren van het risico. Typische voorbeelden zijn ziektekosten, auto- en opstalverzekeringen. En dat werkt omdat grote schades relatief zeldzaam zijn. De deelnemers betalen dus meer premie dan ze gemiddeld aan schade veroorzaken (anders gaat de verzekeraar failliet), maar veel minder dan de schade die ze zouden kunnen hebben en die ze vrijwel nooit zelf zouden kunnen betalen. Een verstandige strategie dus.

Voor grote bedrijven in de kapitaalintensieve sector kan dat heel anders zijn. Vaak hebben dat soort bedrijven hele bijzondere risico’s die ze zelf veel beter kennen dan de verzekeraar. De risico’s zullen wereldwijd ook steeds betrekkelijk zeldzaam zijn, dus een verzekeraar moet wel een hoge toeslag op het gemiddelde schadebedrag zetten om zich in te dekken tegen zijn onzekerheid en de natuurlijke variatie die op kan treden. Voor het bedrijf kan het dus wel eens verstandiger zijn het risico maar gewoon te accepteren, zeker als je bedenkt dat de beurswaarde van een bedrijf per dag meer kan variëren dan de grootst voorstelbare schade. Toch lijkt er soms bij risicomanagers de neiging te bestaan alles wat ze niet op een andere manier af kunnen dekken en toch een catastrofale impact heeft maar te verzekeren. Dat is valkuil nummer 1: je moet alleen die dingen verzekeren die je niet kan dragen, en vaak is wat catastrofaal genoemd wordt niet echt catastrofaal voor het bedrijf, het moet alleen niet te vaak gebeuren.

Een tweede denkfout die vaak gemaakt wordt bij verzekeringen is de gedachte dat een verzekering iets oplost. Als je in een risicoanalyse iets vraagt over de omvang van het effect wordt nogal eens gezwegen over de financiële schade omdat die verzekerd is. Maar uiteindelijk betaal je alle schade zelf (plus een toeslag voor de afhandeling plus een beetje winst voor de verzekeraar), dus die schade telt wel degelijk. Bovendien, de verzekering dekt misschien wel de directe financiële schade, maar meestal niet de gevolgschade. Ook het menselijk leed dat op kan treden bij grote incidenten wordt niet gedempt door de verzekering. Tot slot is de reputatieschade die kan ontstaan bij grote ongelukken vaak vele malen groter dan de directe financiële schade. Denk aan de Deepwater Horizon, of de Costa Concordia. Als je in een bedrijf risico’s wilt beheersen zul je wat aan oorzaak en gevolg moeten doen.

Daarmee komen we bij valkuil nummer 3. Dat is aandacht geven aan grote zeldzame gevolgen in plaats van vaak voorkomende kleine ongemakken. De grote schades zijn vaak een unieke samenloop van omstandigheden, het is maar zelden dat een enkele oorzaak tot grote schade leidt. Vaak zijn er dan achterliggende oorzaken of omstandigheden aan te wijzen waarom die fout tot zoveel schade leidde, bijvoorbeeld omdat procedures niet gevolgd werden of dat beveiligingen niet functioneerden. Als je vanuit de grote schade gaat redeneren kan je vaak wel iets verzinnen waardoor precies dit incident niet had plaats gevonden, maar er zijn zoveel mogelijkheden waarop het incident toch had kunnen plaats vinden dat dit wat onbevredigend voelt. Vaak wordt dan gekeken naar damage control, maar dat is ook weer geen echte oplossing. Die ligt namelijk in het aanpakken van de kleine oorzaken. Als je namelijk 2 fouten nodig hebt voor een incident en je verlaagt de kans per fout met 10% dan verlaag je de kans op het incident met bijna 19% (1-0,9*0,9=0,19). Bij drie fouten 27% enzovoort. Dit is natuurlijk allang bekend in de veiligheidskunde, daar probeert men via het voorkomen van gevaarlijke situaties de kans op overlijden te beperken. Dat zoiets werkt hebben de chemiereuzen van de wereld (Shell, Dupont, DSM) wel laten zien.

Iets wat hier dicht tegenaan ligt is de aandacht voor toekomstige risico’s die nog nooit hebben plaatsgevonden. De menselijke geest is oneindig in zijn creativiteit maar ook in zijn domheid. Dat we ons kunnen voorstellen dat het gebeurt wil namelijk helemaal niet zeggen dat het echt kan gebeuren, laat staan dat het ook zal gebeuren. Neem bijvoorbeeld het millenniumprobleem, waarbij de wereld zou stoppen met draaien omdat computers het jaartal in slechts 2 cijfers vast legden. Er zijn vast applicaties waarin dit uitermate hinderlijk geweest zou zijn, maar het feit dat op 1 januari 2000 helemaal nergens ook maar iets vastliep betekende dat het probleem niet bestond, en niet dat het probleem perfect verholpen was. Vanuit mijn ervaring als risicomanager weet ik namelijk zeker dat het ergens over het hoofd gezien zou zijn, en dus dat ergens problemen op hadden moeten treden. De gouden regel uit risicomanagement is niet voor niets dat je je eerst moet richten op zaken die al eens fout zijn gegaan voordat je gaat kijken naar zaken die eventueel fout zouden kunnen gaan.

De laatste valkuil tenslotte is de gedachte dat het soms beter is een risico niet te kennen, omdat het je dan ook niet verweten kan worden dat je er niets aan gedaan hebt. Alhoewel valkuil, het is meer het gat waar een struisvogel zijn kop in steekt. Maar dan kan je er gelukkig niet meer invallen.

Eigenlijk is risicomanagement dus maar een raar vak. De meeste risico’s beheer je niet maar accepteer je, en datgene wat bijna standaard bij risicomanagement hoort, het verzekeren, moet je nu juist niet doen. Het echte beheer van risico’s zit in het heel netjes werken, en dan heet het geen risicomanagement meer maar operationeel management. Maar er is een kans van 50% dat het niet zo is.

<< terug naar overzicht