Digitaliseren van het risicomanagement door inzet GRC-tooling

Stijgende rentes, torenhoge inflatie, onzekerheid rondom COVID-19, extreme(re) weerssituaties en de oorlog in Oekraïne. Een greep uit de externe factoren die allemaal hun weerslag hebben op de financiële sector. Voeg daarbij de ingrijpende wijzigingen op het gebied van wetgeving, met IFRS 17 voor verzekeraars, de Wet toekomst pensioenen voor pensioenfondsen en de wetgeving inzake informatieverstrekking over duurzaamheid voor de gehele sector (de SFDR), en we kunnen vaststellen dat er veel wordt gevraagd van de financieel en risicomanagementexperts van de organisaties. Aan de ene kant spelen er dus diverse transformaties die vragen om nieuwe modellen en rapportageprocessen. Aan de andere kant zijn er de externe factoren die gemonitord dienen te worden.

De veranderingen op het gebied van wetgeving zijn van dien aard dat de huidige IT-systemen vaak niet meer toereikend zijn om op efficiënte wijze aan de nieuwe eisen te voldoen. De introductie van IFRS 17 en de Wtp zorgen er daarnaast voor dat financiële instellingen meer dan ooit in control moeten zijn over de datastromen en financiële processen. Dit zorgt niet alleen voor uitdagingen in de implementatie en beheersing, maar biedt ook kansen. Er kan bijvoorbeeld worden gekozen voor een digitaliseringsslag in de administratie. Waar digitalisering in de markt al veelvuldig wordt ingezet om de klantervaring te verbeteren, kan dit ook worden gedaan voor de financiële processen, zodat de rapportagestroom efficiënter en beter beheersbaar wordt.

Deze digitaliseringsslag zal ervoor zorgen dat er makkelijker en efficiënter aan wet- en regelgeving kan worden voldaan, maar er zijn nog meer voordelen op te noemen. Zo zal er (op de wat langere termijn) een significante kostenreductie ontstaan vanwege een hogere efficiëntie en versnelling in de rekenprocessen. Niet alleen op het gebied van efficiëntie, maar ook op het gebied van kwaliteit valt veel winst te behalen. Door middel van de digitale processen worden handmatige handelingen geminimaliseerd en daardoor zullen fouten in het rapportageproces afnemen, zo niet verdwijnen. De digitalisering van de rapportageprocessen zorgt ook voor overzichtelijkere processen en datastromen, wat goed van pas komt op bij risicomanagement. Zo kunnen controles eenvoudiger en sneller worden uitgevoerd en zijn (financiële) risico’s makkelijker en directer inzichtelijk te maken aan de hand van dashboards. Dit zal leiden tot verbeterde risicomanagementprocessen.

In de introductie van deze blog werd een aantal actuele thema’s aangehaald die voor veel organisaties een wake-up call zijn geweest om goed naar de risico’s te kijken. Voor het management van een organisatie is het van belang om grip te hebben op deze thema’s en inzicht te hebben in de mogelijke consequenties van deze risico’s op het moment dat zij zich voordoen. Het zou mooi zijn als deze ontwikkelingen door de organisatie zijn geïdentificeerd als mogelijke risico’s en worden gemonitord via het risicomanagementsysteem. Op het moment dat meerdere risico’s zich op hetzelfde moment manifesteren, wordt het belangrijk om snel te schakelen. Welk risico krijgt de hoogste prioriteit? En welke risicoreactie is op zijn plaats? Het is verstandig om in relatief rustige tijden al over deze zaken na te denken en deze vast te leggen, zodat in het geval van een stresssituatie snel en adequaat gehandeld kan worden.

Deze blog richt zich op de mogelijkheden die digitalisering binnen risicomanagement biedt. Zo is er op het gebied van risicomanagement diverse tooling beschikbaar die het beheren en monitoren van risico’s eenvoudiger maakt. Met GRC-tooling kan inzicht worden gegeven in de actuele stand van zaken rondom de belangrijkste risico’s, kunnen automatische signalen worden gegeven als tolerantiegrenzen worden overschreden en kan inzicht worden geboden in de status van de interne beheersing. De grenswaarden worden door de organisatie zelf bepaald, evenals de risico’s, KRI’s, risicoreacties en mogelijke beheersmaatregelen. De tooling ondersteunt bij het gestructureerd en periodiek bepalen van de stand van zaken, biedt real-time inzicht en stelt zo het management in staat om tijdig (bij) te sturen. Een mooie bijkomstigheid van GRC-tools is dat er een centraal overzicht is van alle in kaart gebrachte risico’s, inclusief de historie van bijvoorbeeld risico-assessments, bevindingen en incidenten. Deze gegevens en alle acties worden vastgelegd in een audit trail waarmee eenvoudig aan externe stakeholders kan worden aangetoond welke wijzigingen zijn aangebracht in het risicoraamwerk. De workflows in deze tools zorgen ervoor dat iedereen automatisch een notificatie krijgt wanneer een actie moet worden uitgevoerd en dat deze processen centraal kunnen worden gemonitord en de informatie altijd up-to-date is.

Afhankelijk van de ambitie, omvang en complexiteit van de organisatie zal een andere mate van digitalisering gewenst zijn. Uiteraard geldt dat bepaalde zaken voor elke partij noodzakelijk zijn, omdat deze zaken nu eenmaal vereist zijn vanuit de wet. Deze eisen vormen de ondergrens. Om vervolgens te bepalen welk doel en bijbehorende stappen daarnaartoe bij uw organisatie passen, is maatwerk nodig. KPMG kan hierbij helpen door de mate van volwassenheid op het gebied van digitalisering vast te stellen. Samen met de behoeftes en ambities bepaalt dit de eerste stappen die uw organisatie kan zetten in het digitaliseringsproces. Hebt u vragen of interesse in een gesprek? Stuur dan een bericht naar Bianca Meijer of Douwe van Wijngaarden, Senior Manager en Consultant in het Financial Risk Management-team van KPMG, of Emiel van Kampen, Senior Manager bij KPMG SOFY.