Het is voor auditors en toezichthouders allang geen nieuws meer dat soft controls minstens zo belangrijk zijn als hard controls.

“Sorry, wat?”

Anders gezegd: regels afdwingen is minder vruchtbaar dan mensen intrinsiek motiveren om bij te dragen aan risicobeheersing. (Cora Wielenga legt hier precies uit wat soft controls zijn.) Soft controls zijn een onmisbaar aspect geworden in de wereld van audit, inspectie, en toezichthouders. Ze raken o.a. de normen en waarden van medewerkers, die zich vertalen in gedrag. In gedrag dat bijdraagt aan de beheersing van risico’s, of juist niet. Soft controls worden beïnvloed door de cultuur, en via die weg is cultuur dus van belang voor de beheersing van risico’s.

Ook toezichthouders hechten steeds meer belang aan de focus op soft controls. KPMG speelde hierop in en komt met 8 pijlers die een cultuur van risicobeheersing bevorderen. Dit model wordt, als ik KPMG mag geloven, inmiddels omarmd door De Nederlandsche Bank als toezichthouder op de financiële sector. Ook helpt KPMG ons aan een manier om de volwassenheid van de soft controls te evalueren.

Dus, even inventariseren. We hebben:

-       Helder welke cultuur bijdraagt aan een goede beheersing van risico’s; en

-       Een model om de status van soft controls te evalueren.

Hierbij laten we de schaduwzijde onbelicht. Want weten waar je naartoe wil is erg fijn, maar weten wat je tegenhoudt is minstens zo belangrijk. Daarnaast is verdiept inzicht in de oorzaak ook van belang bij het maken van een stappenplan.

 

Gedurende mijn korte carrière als auditor werd de oorzaak van auditbevindingen (de conclusie dat niet voldaan wordt aan een risicocriterium) vaak toegewezen aan ‘men was zich niet bewust van de risico’s’. Toch zag je dat na het uitleggen van die risico’s mensen nog steeds hun schouders optrokken en doorgingen zoals ze dat altijd al deden. Het jaar daarop had je weer dezelfde bevinding.

Dat vond ik vreemd, dus ik ging het gesprek aan. Er bleken veel meer zaken te zijn die deze mensen tegenhielden dan een gebrek aan bewustzijn. Zo bleek de cultuur o.a. getypeerd te worden door tijdsdruk. Dit leidde niet alleen tot achterstanden, maar ook tot gestreste medewerkers en via die weg meer fouten.

Je hebt dus ook inzicht nodig in die schaduwzijde. In de oorzaken die de werking van soft controls tegengaan. Hoe weet je anders welke stappen je moet zetten om bij een cultuur uit te komen die de beheersing van risico’s stimuleert?

Een goede risicobeheersing vraagt dus om de volgende stappen:

-       Breng in kaart wat de gewenste cultuur tegenhoudt;

-       Ga hierover in gesprek;

-       Ontwikkel een programma om afscheid te nemen van wat je tegenhoudt; en tot slot

-       Doe dat met ons! Want wij weten hoe je dat aan kunt pakken.

Middels een Cultuur Waardenonderzoek brengen we in kaart wat de organisatiecultuur typeert, wat je tegenhoudt, en wat je nodig hebt om te transformeren. Met die resultaten op zak ontwerpen we samen met jullie een cultuurprogramma waar we afscheid nemen van waarden en gedrag dat niet bijdraagt aan het beoogde doel. En bouwen we aan die zaken die juist wel bevorderlijk zijn.