Raamwerk of Kooi - Genootschap voor Risicomanagement

Overigens is het opvallend dat slechts 1 van de 5 Provincies, die aan hebben gegeven het
risicomanagement binnen de organisatie te hebben ingericht volgens het COSO-
raamwerk, ook daadwerkelijk de definitie voor risicomanagement hanteert, zoals door
COSO [2004] wordt gehanteerd: “Risicomanagement is een proces dat bewerkstelligd
wordt door het bestuur van de onderneming, het management en ander personeel en
wordt toegepast bij het formuleren van de strategie en binnen de gehele onderneming,
ontworpen om potentiële gebeurtenissen die invloed kunnen hebben op de onderneming
te identificeren en om risico´s te beheren zodat deze binnen de risico-acceptatiegraad
vallen, om een redelijke zekerheid te bieden ten aanzien van het behalen van de
ondernemingsdoelstellingen”.
Gehanteerde risicomanagementstandaard
Het hanteren van een specifiek risicomanagementmodel kan als instrument helpen om de
uitgangspunten van risicomanagement en de beheersing ervan te borgen in de
organisatie. Daarbij dient te worden vermeld dat bij PricewaterhouseCoopers (PwC) bij 8
Provincies als huisaccountant is benoemd. PwC is een mede-opsteller van het COSO-
raamwerk.
5 Provincies geven aan dat, bij het inrichten van risicomanagement, gebruik is
gemaakt van het COSO-raamwerk. Opmerkelijk daarbij is dat er vervolgens bij de
implementatie van risicomanagement slechts zelden gebruik wordt gemaakt van de
stappen, zoals in COSO beschreven.
4 Provincies geven aan, geen risicomanagementstandaard te hanteren bij de inrichting
van risicomanagement.
1 Provincie gebruikt een combinatie van COSO en een eigen standaard, geïntegreerd
in de planning- en controlcyclus.
1 Provincie heeft de inrichting van risicomanagement gestoeld op de regelgeving
vanuit het Besluit Begroting en Verantwoording (BBV) in combinatie met een
specifieke risicobenadering voor projecten (RISMAN).
1 Provincie weet niet of er gebruik gemaakt wordt van een specifieke
risicomanagementstandaard.
Belangrijkste bevindingen:
1. Ondanks de risicoagenda van de Provincies is het opvallend dat een kwart van de
Provincies nog steeds geen formeel risicomanagementbeleid heeft opgesteld.
Hierdoor ontbreekt het aan uniforme kaders en aanpak om risicomanagement
organisatiebreed te borgen binnen de organisatie.
2. De scope, aanpak en rollen/verantwoordelijkheden maakt bij 1/3 van de Provincies
geen onderdeel uit van het vastgestelde risicomanagementbeleid, Terwijl juist met
48