Navigeren in onzekerheid

Fraudeonderzoek is belangrijk. Toch scoort het onderwerp laag bij Risk in Focus. Wat scoort hoger? Geopolitieke onzekerheden, macro-economische schommelingen, digitale disruptie en cyber, maar ook human capital en organisatiecultuur. Ik ben geen fan van rekenmodelachtige inschattingen van kans en impact, maar het toont een interessant patroon: complexe vraagstukken gaan meer een rol spelen in auditland.

Onlangs was ik op een academische conferentie die over dit onderwerp ging. Het leeft. Maar doorleven we de implicaties ervan? Allereerst is allang duidelijk dat ‘standaard’ risicomanagement niet is toegerust op deze complexiteit. Risicoregisters en quasi-mathematische inschattingen van kans en impact bieden geen soelaas: ze leiden tot schijnzekerheid. Of, in termen van de filosoof en lector Robert van Putten: ze leiden organisaties naar de ban van beheersing. Maar wat dan? Moeten organisaties op hun handen gaan zitten, lijdzaam toezien? Geenszins.

Er zijn twee behulpzame perspectieven voor organisaties en auditors. Het eerste perspectief is dat van professor Robert Kaplan en Anette Mikes. Helder betogen zij dat klassiek risicomanagement niet voor alle risico’s passend is. Zij pleiten voor een adequate omgang met deze onzekerheden. Immers, risico’s zijn onzekerheden omtrent doelrealisatie. Daarbij stellen zij dat die omgang voor beheersbare onzekerheden anders is dan voor strategie- en externe onzekerheden. Júist de toprisico’s van Risk in Focus zijn die typen onzekerheden. Wat vraagt dat? Verbinding én verbeelding. Dat kan bijvoorbeeld met scenariodenken of gaming. De hamvraag: stel X gebeurt, hoe kunnen we gezamenlijk handelen zodat we onze doelen behalen? Of, stel Y gebeurt, zijn onze doelen dan nog wel de juiste? Met dergelijke dialoog wordt ‘risicomanagement’ juist geen mathematische exercitie in de krochten van de organisatie, maar een doorleefde praktijk voor allen.

Het vraagt niet alleen verbinding en verbeelding. Dan het tweede perspectief: dat van onderzoeker en managementconsultant Dave Snowden en communicatiedeskundige Mary Boone. Zij stellen dat niet alle vraagstukken van dezelfde aard zijn: sommige zijn voorspelbaar en eenvoudig, andere zijn complex en in hoge mate onzeker. So far, so good, maar ze gaan een stap verder. Die vraagstukken vragen om anders handelen. Waar we bij voorspelbare en ingewikkelde vraagstukken eerst moeten nadenken voordat we handelen, is het belangrijk om bij complexe vraagstukken incrementeel stappen vooruit te zetten. En om dan na een tijdje met een stap terug te reflecteren: doen we het goed? Doen we het goede? En met de goede redenen?

Dat brengt me tot de link naar auditing. Om in deze vraagstukken te navigeren, moeten organisaties wendbaar en weerbaar zijn. Internal audit speelt daar een rol, zie ook de recente topical requirement. Van auditors mag verwacht worden dat zij de paraatheid van organisaties toetsen mochten strategie- en externe onzekerheden zich manifesteren. Dat verklaart ook dat operationele weerbaarheid in de Top-5 staat van risico’s die auditors proportioneel toetsen. Maar houdt het daar op? Ik denk het niet.

Een brede opvatting van interne audit kan nog zo veel meer bieden. Denk daarbij aan het begeleiden van de scenariosessies. En optreden als de learning partner voor organisaties. Als motor voor reflectie kunnen auditors dieperliggende patronen, dynamieken en organisatieculturen duiden. Die zijn relevant voor de omgang van hun organisatie met deze complexe onzekerheden. Dat vraagt wel wat anders dan een traditioneel, toetsende aanpak. Want hoe kun je zeggen of een organisatie het goed doet, wanneer je niet weet wat goed of fout is? Precies die vraag tref je bij complexe onzekerheden!