De VOR en de gevaarlijke aanname dat gedrag niet te sturen is

Het idee dat gedrag niet te sturen of te beheersen is, kan gevaarlijk zijn. Juist door in kaart te brengen welke factoren van invloed zijn op gedrag en interne beheersing, ontstaat een veel beter beeld van de risico’s die een organisatie loopt. Dit aspect opnemen in de Verklaring Omtrent Risicomanagement (VOR) juichen wij toe.​

Recente discussies over de Verklaring Omtrent Risicomanagement (VOR) draaiden onder meer om de vraag of gedrag te sturen is. Dit werd op de agenda gezet door de Commissie Toezicht Accountancysector (CTA), en later in opdracht van het Ministerie van Financiën besproken in een rapport van de Universiteit Leiden. Onlangs verscheen op basis hiervan de conceptversie van de VOR. ​

In het concept van de VOR is opgenomen dat het mogelijk is dat bepaalde risico’s vanuit hun aard niet effectief kunnen worden beheerst. Een voorbeeld hiervan is de naleving van wet- en regelgeving waarbij de vennootschap mede afhankelijk is van het gedrag van haar medewerkers wereldwijd, terwijl hun gedrag niet voortdurend beheerst kan worden of volledig in procedures kan worden verankerd. ​

In onze ogen kan dit leiden tot het idee bij bestuurders dat gedrag niet te sturen of te beheersen is. Onterecht, omdat er juist methoden zijn om dit wel te doen. Steeds vaker verkrijgen organisaties inzicht in hun soft controls (niet tastbare factoren die gedrag bepalen) aan de hand van kwalitatief onderzoek. Bijvoorbeeld met behulp van de 8 factoren (soft controls), die in de figuur zijn toegelicht. Dat is in het begin nog wat wennen maar uiteindelijk draagt het bij aan de effectiviteit van interne beheersing. En aan het draagvlak onder medewerkers om met risicomanagement aan de slag te gaan. ​

Het is gevaarlijk om te denken dat gedrag niet te sturen of te beheersen is. In kaart brengen welke culturele factoren gedrag en daarmee interne beheersing beïnvloeden, geeft een completer beeld van de risico's. Een evaluatie van soft controls draagt bij aan de sturing van de organisatie. En daarom juichen wij het opnemen van dit aspect in de VOR toe. Uiteindelijk wordt de risicobeheersing hiermee robuuster. En daar was het toch allemaal om te doen.​