Als externe risico’s zich manifesteren, kunnen ze de winstgevendheid en levensvatbaarheid van ondernemingen hard treffen. Op basis van onderzoek naar de rapportage van externe risico’s in de jaarverslagen van alle in Nederland beursgenoteerde ondernemingen, concluderen we dat het risicomanagement op dit gebied nog onvoldoende ontwikkeld is. Dit artikel analyseert mogelijke oorzaken en beschrijft een gefaseerde aanpak om met verschillende externe risico’s om te gaan. Omdat ze in de regel voortkomen uit ambigue, complexe omstandigheden en hun oorsprong vaak buiten de eigen bedrijfstak vinden, vormt het identificeren van externe risico’s een bijzondere uitdaging. Het vereist een organisatiecultuur waarin het breed scannen van omgevingsveranderingen en het doordenken van mogelijke implicaties gemeengoed is.

Voorbereiden op externe veranderingen is essentieel voor ondernemingen omdat ze zowel strategische risico’s als aantrekkelijke kansen met zich meebrengen. Dit artikel beschrijft wat ondernemingen kunnen doen om externe risico’s tijdig te identificeren, evalueren en managen en voorspelbare verrassingen die tot strategisch falen kunnen leiden te voorkomen. Het helpt hen om de langetermijnwaardecreatie, die de Nederlandse Governance Code benadrukt, te vergroten.

Sinds Kodak in januari 2012 faillissement aanvroeg veranderde ‘een Kodak-moment’ op slag van betekenis. De onderneming die de digitale camera uitvond, vertraagde zelf de transitie naar de digitale toekomst om de winst uit de verkoop van fotorolletjes zo lang mogelijk te behouden. Polaroid was Kodak al in 2001 voorgegaan. Omdat de directie dacht dat jongeren altijd nog wel papieren foto’s wilden, maakte de onderneming nooit de volledige overstap naar digitale camera’s (Nagy Smith 2009). Ondanks forse investeringen won digitale fotografie het binnen Polaroid nooit van de overheersende voorkeur voor film en chemie.

Kodak en Polaroid waren niet de eersten en zullen zeker niet de laatsten zijn die ten onder gingen aan ‘voorspelbare verrassingen’ (Watkins and Bazerman 2003) of ondenkbare ‘black swans’ (Taleb 2007). Zoals veel andere ondernemingen ook hebben ervaren, vereist het voorkómen van strategische catastrofes meer dan het herkennen van de risico’s die eraan ten grondslag liggen. Waren het eerst vooral reiswinkels en elektronicazaken, de laatste jaren sneuvelt een steeds bredere variëteit van algemene en gespecialiseerde retailketens. V&D, Halfords, Macintosh, Perry Sport, McGregor, Witteveen en de Marskramer vormen slechts een kleine greep uit een nog steeds groeiende lijst van winkelketens die in de afgelopen jaren alleen al in Nederland ten onder gingen.

De maatschappelijke impact en financiële gevolgen zijn groot: duizenden werknemers verliezen hun baan, leveranciers krijgen niet betaald en stadscentra lopen leeg. Directies wijzen steevast met een beschuldigende vinger naar factoren die buiten hun invloed liggen, zoals de groei van online verkopen. Hun verklaringen vertellen meestal maar de helft van het verhaal. Want terwijl sommige ketens omvallen, breiden succesvolle concurrenten het aantal vestigingen juist uit en kondigen internetspelers als Amazon aan honderden fysieke winkels te willen openen. Waar de winnaars de kansen benutten die externe veranderingen met zich meebrengen, blijken het voor de verliezers risicovolle omstandigheden waar ze niet op voorbereid waren. De ontwikkelingen in de retail staan niet op zich. Ook in andere bedrijfstakken krijgen ondernemingen rake klappen als ze zich laten verrassen door externe veranderingen en nieuwe spelers. Taxi-ondernemingen, hotelketens, autofabrikanten en banken merken de invloed van nieuwe spelers als Uber, AirBnB, Tesla en Adyen al volop. Geen bedrijfstak lijkt veilig ondanks de overtuiging van bestaande ondernemingen dat het hen niet zal overkomen.

Het is voor het voortbestaan van ondernemingen cruciaal dat besturen belangrijke risico’s die verbonden zijn aan strategieën zorgvuldig in kaart brengen en zich er tijdig op voorbereiden. Niet alleen om te voorkomen dat de onderneming ten onder gaat, ook om financiële verliezen en het afbrokkelen van marktaandeel door nadelige externe ontwikkelingen te minimaliseren. Ondernemingen zijn volgens de wet (art. 2:391, lid 2 BW) overigens ook verplicht de voornaamste risico’s en onzekerheden te benoemen waarmee ze worden geconfronteerd. De Nederlandse Corporate Governance Code (Monitoring Commissie Corporate Governance Code 2016) vraagt ondernemingen deze risico’s te specificeren én aan te geven hoe ze hiermee omgaan. Strategische risico’s kunnen zowel interne als externe oorzaken hebben (Frigo and Anderson 2011). Slywotzky and Drzik (2005, p. 78) benadrukken de laatste en spreken van strategische risico’s als “de verzameling van externe gebeurtenissen en trends die het groeipad van een onderneming en aandeelhouderswaarde kan vernietigen”. Vanaf de eerste Code (2003) hebben de Nederlandse Corporate Governance Codes gewezen op het belang van externe risico’s.

Dit artikel onderzoekt hoe ondernemingen zich goed kunnen voorbereiden op externe risico’s die van buiten op de onderneming afkomen en de strategie en financiële resultaten direct en indirect kunnen beïnvloeden. We inventariseren daarvoor eerst wat de huidige praktijk in Nederland is (paragraaf 2) en welke eisen de Nederlandse Corporate Governance Code aan het managen van belangrijke risico’s stelt (paragraaf 3). Vervolgens bespreken we de uitdagingen bij het opsporen van externe risico’s (paragraaf 4) en bepalen we de eisen die aan het risicomanagement moeten worden gesteld om externe risico’s voldoende te beheersen (paragraaf 5). We stellen een gefaseerde aanpak voor die een gedegen inhoudelijke analyse van externe risico’s combineert met een gestructureerd proces van risicomanagement en een gedisciplineerde risicocultuur (paragraaf 6). Adequaat management van externe risico’s moet ervoor zorgen dat ondernemingen belangrijke risico’s enerzijds niet onderschatten om onverwachte tegenvallers te voorkomen en anderzijds kleine risico’s niet overschatten waardoor ze mooie strategische kansen laten liggen.

In welke mate monitoren, managen en rapporteren ondernemingen belangrijke risico’s die de strategie en financiële resultaten kunnen raken? Onderzoek onder Nederlandse ondernemingen is kritisch over de huidige praktijk. Een analyse van de jaarverslagen over 2012 van aan de AEX genoteerde ondernemingen door Deloitte (2013) concludeert dat in de risicoparagraaf de aansluiting met de strategie grotendeels mist. Strategische risico’s vormen weliswaar met 45% de grootste groep van gerapporteerde risico’s, maar ondernemingen benadrukken daarbij met name de negatieve aspecten. Ze besteden aanzienlijk minder aandacht aan “de risico’s die ze bewust nemen om kansen te verzilveren of kansen die ze mogelijk laten lopen” (Deloitte 2013, p. 3) en benoemen daarbij de effecten van deze risico’s vaak niet. Het onderzoek constateert daarbij dat de aandacht voor strategische risico’s met een externe oorzaak ten opzichte van eerdere onderzoeken duidelijk afneemt terwijl die voor bijvoorbeeld operationele risico’s toeneemt.

Van Daelen and De Groot (2014) onderzochten de jaarverslagen over 2013 van 50 AEX- en Midcap-fondsen. Zij concluderen dat slechts 20% van deze ondernemingen in meer of mindere mate een expliciete link legt tussen individuele risico’s en strategische doelen. Een ruime meerderheid (62%) geeft niet expliciet aan wat de belangrijkste risico’s voor de onderneming zijn en noemt 12 of meer risico’s. Kwantificering van risico’s, in sommige gevallen lastig, gebeurt zeer selectief en meestal alleen bij financiële risico’s. Opvallend is dat 90% van de ondernemingen per risico een risicoresponse aangeeft. Meer dan twee derde (72%) verwijst naar reputatieschade die bepaalde risico’s met zich mee kunnen brengen. Risico’s die de continuïteit van de onderneming kunnen bedreigen worden daarentegen zelden genoemd. Dit hoeft overigens niet te betekenen dat ondernemingen deze risico’s niet in kaart brengen en monitoren. Een verklaring kan ook zijn dat ze hun strategische intenties en opties niet willen onthullen en slechts symbolisch willen voldoen aan governance compliance (Westphal and Zajac 2013).

Het Tweede Nationaal Onderzoek Risicomanagement in Nederland (NBA et al. 2014, p. 13) concludeert dat het risicomanagement in Nederland sinds de financiële crisis “niet structureel of significant is verbeterd”. Op basis van hun analyse geven de onderzoekers het risicomanagement in de ruim 700 onderzochte ondernemingen en non-profit organisaties een lage gemiddelde score van 4,6 op een schaal van 10 (NBA et al. 2014, p. 23). Meer dan twee derde geeft aan maar één keer per jaar te inventariseren wat relevante risico’s zijn. Eenzelfde percentage voert geen gerichte risico-inventarisatie en -analyse uit bij het nemen van strategische beslissingen. Opvallend is ook de lage score bij het beoordelen van (de voortgang van) businessplannen: slechts 26% van de ondernemingen geeft aan hierbij risico’s in kaart te brengen (NBA et al. 2014, p. 38). De onderzoekers concluderen daarbij dat risicomanagement “sterk compliance-gedreven” is onder druk van recente schandalen, externe accountants, toezichthouders en governance codes (NBA et al. 2014, p. 15). Het is dan ook niet verwonderlijk dat de financiële sector in dit opzicht het hoogst scoort. Financiële en operationele risico’s worden het meest in kaart gebracht, op de voet gevolgd door strategische risico’s, waarbij het onderzoek overigens niet definieert wat hieronder wordt verstaan.

Postma and Bood (2014; zie ook Bood and Postma 2014) onderzochten op welke wijze alle in Nederland aan de beurs genoteerde ondernemingen in hun jaarverslagen over 2012 rapporteren over externe risico’s en hoe ze met deze risico’s omgaan. Ze onderscheiden daarbij 11 soorten externe risico’s, samen onderverdeeld in 48 subcategorieën (zie tabel 1 voor een overzicht van de belangrijkste risico’s). Over het algemeen blijken ondernemingen zeer terughoudend in het rapporteren over specifieke risico’s en hoe ze zich hierop voorbereiden. Bovendien stellen ze externe risico’s meestal gelijk aan externe onzekerheden, waarover ze slechts in algemene termen rapporteren. Bij risico’s kan een waarschijnlijkheidsverdeling van mogelijke gevolgen voor de strategie van een onderneming worden opgesteld (Knight 1921). Onzekerheden zijn mogelijke gebeurtenissen en ontwikkelingen waarvan onvoorspelbaar is welke invloed deze hebben op de strategie van een onderneming. Het onvoorspelbare karakter kan wel verklaren waarom mitigatie-tactieken grotendeels ontbreken of in zeer algemene bewoordingen zijn geformuleerd. Het vervolgonderzoek dat de auteurs uitvoerden voor de jaarverslagen over 2014 onderschrijft deze conclusies (zie Box 1).

Table 1.Download as CSV 

Selectie van gerapporteerde externe risico’s.

Strategisch (sub)risico	2012	2014
Macro-economische veranderingen	99%	92%
– structureel nadelige veranderingen in wisselkoersen	68%	72%
– langdurig nadelige interestpercentages	36%	66%
– economisch recessie	80%	64%
Structurele marktveranderingen	74%	74%
– falende integratie fusies en acquisities	15%	36%
– druk op prijzen en marge	27%	29%
– entree van nieuwe concurrenten	30%	15%
– introductie van nieuwe businessmodellen	8%	4%
Beschikbaarheid van grondstoffen	54%	53%
Technologische verandering	61%	43%
Beschikbaarheid van gekwalificeerd personeel	65%	71%
Wild cards	64%	70%
– natuurrampen	20%	28%
– reputatieschade	18%	28%
– criminaliteit	16%	20%
– marktincidenten	24%	4%
Veranderende consumentenvoorkeuren en -eisen	27%	42%
– afnemende loyaliteit van klanten	16%	32%
Cybercrime	23%	37%

Box 1.Download as CSV 

Rapportage van externe risico’s.

Postma and Bood (2014, zie ook Bood and Postma 2014) onderzochten de jaarverslagen over 2012 van alle in Nederland beursgenoteerde ondernemingen en herhaalden hun onderzoek voor de jaarverslagen over 2014 met dezelfde onderzoeksopzet en steekproef. Ten opzichte van 2012 hadden in 2014 13 ondernemingen geen beursnotering meer en 14 ondernemingen een beursnotering gekregen. In beide jaren rapporteren nagenoeg alle ondernemingen het meest over onzekerheden die samenhangen met macro-economische veranderingen. Terwijl de aandacht voor langdurig lage interestpercentages in 2014 bijna is verdubbeld ten opzichte van 2012 (genoemd in 66% respectievelijk 36% van alle jaarverslagen), wordt het mogelijk opbreken van de Eurozone alleen nog incidenteel genoemd (van 26% naar 3%). Opvallend is de sterk afgenomen aandacht voor technologische veranderingen (van 61% naar 43%), het niet tijdig inspelen op nieuwe technologische trends (van 43% naar 12%) en de mogelijke entree van nieuwe spelers (van 30% naar 16%).

Terwijl nieuwe businessmodellen de ene na de andere bedrijfstak op de kop zetten en de nieuwste Nederlandse Corporate Governance Code ze expliciet als risico benoemt, maken ondernemingen zich er in hun jaarverslagen bijzonder weinig zorgen over dat het hen zal overkomen (van 6% naar 3%). En waar in 2012 nog 24% van de jaarverslagen business-disruptie als risico benoemde, deed nog maar 4% dat in 2014. De onderzochte ondernemingen maken zich wel meer zorgen over veranderende wensen en eisen van consumenten (van 27% naar 42%), in het bijzonder de mogelijkheden om de relatie met hun huidige consumenten te verliezen (van 16% naar 32%).

Zowel in de jaarverslagen van 2012 als in die van 2014 valt op dat mogelijke plotselinge schokken in verhouding veel aandacht krijgen. Ongeveer twee derde van de jaarverslagen (van 64% naar 70%) noemt een of meer van deze zogenaamde ‘wild cards’ of ‘black swans’, die niet vaak optreden maar als ze zich voordoen een onderneming hard kunnen raken. Het bevestigt de prospect-theorie van Tversky and Kahneman (1992) die stelt dat mensen lage waarschijnlijkheden overschatten terwijl ze gemiddelde en hoge waarschijnlijkheden onderschatten. Het verklaart waarom over ‘wild cards’ veel meer wordt gerapporteerd dan bijvoorbeeld over cybercrime, al is de aandacht voor het laatste van 2012 naar 2014 wel aanmerkelijk gestegen (van 23% naar 37%).

De hiervoor genoemde onderzoeken bevestigen naar onze mening de conclusie van Frigo and Anderson (2011) dat de rol van risicomanagement bij het omgaan met externe risico’s en onzekerheden ook in Nederland nog beperkt is en onvolwassen oogt. Gelet op de nadruk die de Nederlandse Corporate Governance Codes er al vanaf het begin aan geven, is dat even opmerkelijk als verontrustend. De eerste Code van de commissie Tabaksblat (2003) wijst al op het belang van het zorgvuldig beoordelen van externe risico’s. Best Practice bepaling III.1.6 geeft aan dat “het bestuur in het jaarverslag rapporteert over de gevoeligheid van de resultaten van de vennootschap ten aanzien van externe omstandigheden en variabelen” (Monitoring Commissie Corporate Governance Code 2003, p. 16). De Corporate Governance Code 2008 neemt deze bepaling onveranderd over en voegt eraan toe dat het bestuur een beschrijving geeft van “de voornaamste risico’s gerelateerd aan de strategie van de onderneming” (Monitoring Commissie Corporate Governance Code 2008, p. 12). Ondernemingen hoeven daarbij niet alle mogelijke risico’s te noemen maar kunnen zich beperken tot de belangrijkste risico’s waar ze mee te maken hebben. De Code sluit hiermee aan bij artikel 2:391, lid 2 van het Burgerlijk Wetboek en de beschrijving in het bestuursverslag van wezenlijke risico’s in het kader van artikel 5:25c van de Wet op het financieel toezicht (Wft).

De nieuwste Corporate Governance Code uit 2016 neemt meer dan de voorgaande Codes een strategisch perspectief door “een te grote focus op kortetermijnwinstgevendheid” om te buigen naar ??waardecreatie op lange termijn” (Van Manen 2017, p. 124). De voorzitter van de commissie benadrukt het belang hiervan: “We leven in een tijd waarin bestaande ondernemingen in hun voortbestaan worden bedreigd door revolutionaire ontwikkelingen in de techniek. Die gaan gepaard met revolutionaire ontwikkelingen in businessmodellen. Nieuwe spelers zorgen voor ontwrichting” (Van Manen 2017, p. 124). De nieuwste Code geeft daarbij specifiek aan als het gaat om externe risico’s “te anticiperen op ontwikkelingen in nieuwe technologieën en veranderingen in businessmodellen” (Monitoring Commissie Corporate Governance Code 2016, p. 43).

Het is enerzijds opmerkelijk te constateren dat volgens het onderzoek van Postma en Bood (zie Box 1) deze thema’s significant minder aandacht kregen in de jaarverslagen van 2014 ten opzichte van 2012, anderzijds geeft het ook het belang aan om juist deze risico’s specifieker te benoemen en nauwkeuriger te volgen. De Corporate Governance Code 2016 benadrukt dat het bestuur verantwoordelijk is voor het identificeren en beheersen van de risico’s verbonden aan de strategie en activiteiten van de vennootschap (Monitoring Commissie Corporate Governance Code 2016, Principe 1.2) en voegt daar in de toelichting aan toe dat hieronder zowel interne als externe risico’s vallen. Het bestuur bespreekt volgens dit principe regelmatig de belangrijkste risico’s die verbonden zijn aan de strategie van de onderneming met de Raad van Commissarissen. Juist wanneer commissarissen uit andere ondernemingen, bedrijfstakken of landen komen, kunnen ze een belangrijke rol spelen bij het identificeren en interpreteren van externe risico’s en het uitdagen van dominante strategische denkbeelden (Rindova 1999; Postma and Bood 2014). Dit draagt direct bij aan het verbeteren van de rapportage over “de gevoeligheid van de resultaten van de vennootschap voor materiële wijzigingen in externe omstandigheden” (Monitoring Commissie Corporate Governance Code 2016, Principe 1.4.2.iv, p. 15).

Ondernemingen die de Nederlandse Corporate Governance Code volgen, nemen de verantwoordelijkheid op zich om externe risico’s zorgvuldig te inventariseren, mogelijke implicaties terdege te doordenken en “alle risico’s en onzekerheden die relevant zijn voor de continuïteit in de komende twaalf maanden” te vermelden in het bestuursverslag (Monitoring Commissie Corporate Governance Code 2016, p. 44). De in paragraaf 2 behandelde onderzoeken naar de rapportage over strategische en externe risico’s geven aan dat ze hiervoor nog flinke stappen moeten maken. De relatie tussen risico’s en strategie wordt nog onvoldoende gelegd, gunstige gevolgen blijven onderbelicht en externe risico’s worden niet gespecificeerd dan wel verward met algemene externe onzekerheden. Omdat de Code niet aangeeft wat het criterium is voor een “voornaam” risico of hoe diepgaand de “beschrijving” moet zijn (Emanuels 2017, p. 148) zijn ondernemingen zelf verantwoordelijk om belangrijke risico’s te definiëren. Ze bepalen eveneens zelf of hun risicobeheersingssystemen toereikend zijn, geven de opzet en werking ervan aan en rapporteren “eventuele belangrijke tekortkomingen” als dit niet het geval is (Monitoring Commissie Corporate Governance Code 2016, p. 15). Het bestuur inventariseert en analyseert daarbij “de risico’s die verbonden zijn aan de strategie” die ze hebben uitgestippeld, stellen zowel de risicobereidheid vast als de maatregelen die ze tegenover belangrijke risico’s zetten (Monitoring Commissie Corporate Governance Code 2016, p. 14).

Terwijl de Nederlandse Corporate Governance Code ondernemingen voorschrijft om belangrijke externe risico’s en onzekerheden zorgvuldig te identificeren en te doordenken (paragraaf 3), zijn recente onderzoeken kritisch over de praktijk binnen Nederlandse ondernemingen (paragraaf 2). Met name de aard en oorsprong van externe risico’s verklaren waarom het voor ondernemingen zo lastig is om deze risico’s tijdig te onderkennen en er adequaat op te reageren. Externe risico’s zijn zeer divers van aard, komen in de regel voort uit diffuse externe onzekerheden en vinden hun oorsprong vaak buiten de eigen bedrijfstak om de onderneming hard te raken op een zwakke plek. Zo zijn de gevolgen van macro-economische ontwikkelingen vaak niet gemakkelijk te duiden, kunnen technologische ontwikkelingen zich plotseling versnellen en blijken nieuwe spelers met andere businessmodellen onverwacht succesvol.

Postma and Bood (2014) constateren dat ondernemingen in hun jaarverslag in plaats van concrete risico’s vooral bredere externe onzekerheden benoemen en deze in relatief algemene termen beschrijven. Bij externe onzekerheden ontbreekt niet alleen inzicht in de kansen dat risico’s zich materialiseren maar ook in de specifieke gevolgen die ze voor strategische opties hebben (Knight 1921; Hopkins and Nightingale 2006). Door hun ambigue oorsprong en complexe karakter zijn externe onzekerheden gevoelig voor zowel onderschatting als overschatting van waarschijnlijkheid van optreden en mogelijke impact. Dit kan verklaren waarom een aanzienlijk hoger percentage van de ondernemingen in het onderzoek van Postma and Bood (2014 en Box 1) betrekkelijk zeldzame ‘wild cards’ noemt (64% in 2012 en 70% in 2014) dan het veel vaker optredende gevaar van bijvoorbeeld cybercrime (23% in 2012 en 37% in 2014). Het opsporen van specifieke externe risico’s uit bredere externe omgevingsonzekerheden vormt een bijzondere inhoudelijke uitdaging in extern risicomanagement.

Onderzoek binnen het vakgebied van behavioral strategy levert waardevolle inzichten op in de wijze waarop ondernemingen in de praktijk risico’s percipiëren en verkeerd inschatten (Powell et al. 2011). Behavioral strategy gaat uit van realistische veronderstellingen over menselijke cognitie, emoties en sociaal gedrag in organisaties. Hoe complexer omstandigheden en uitdagingen zijn, hoe sterker gedragsmatige factoren een rol spelen. Cognitieve, organisatorische en politieke biases verstoren strategische besluitvormingsprocessen (Watkins and Bazerman 2003) en zorgen er ook voor dat ondernemingen externe factoren en ontwikkelingen onderschatten of zelfs volledig over het hoofd zien (Lovallo and Sibony 2010). In een onderzoek van McKinsey (2009) onder ruim 2.200 executives geeft 60% van hen aan dat ze door die biases net zoveel goede als verkeerde beslissingen nemen. Bekende cognitieve biases zijn het sterker vertrouwen op informatie die al beschikbaar is, zoeken naar gegevens die voorkeuren en aannames bevestigen en bewijs dat dit tegenspreekt minder zwaar meewegen. Door niet alle informatie mee te nemen om tot een nauwkeurige risico-inschatting te komen, overschatten mensen hun vermogen om de toekomst te voorspellen en te beïnvloeden en zijn ze al snel te optimistisch over de kansen die ze zien. Volgens Ariely (2008) denken mensen ten onrechte dat ze altijd in de ‘driver’s seat’ zitten en maximale controle hebben over de besluiten die ze nemen.

Als teams met veel onzekerheid te maken hebben terwijl tegelijkertijd het bereiken van overeenstemming domineert, neemt het gevaar van ‘groupthink’ toe (Maharaj 2008). De samen geconstrueerde werkelijkheid en de overtuigingen die daarbinnen gaandeweg groeien, vergroten het geloof in gemaakte keuzes (Westphal and Frederickson 2001; Westphal and Zajac 2013). Een gevoelde urgentie om ‘eindelijk’ met de implementatie te beginnen en een actiegerichte ‘can do’-cultuur maken het voor degenen die nog niet zijn aangehaakt moeilijk om voldoende tegengas te geven. Kaplan and Mikes (2012) geven aan dat door afwijkingen te normaliseren, ondernemingen risico’s steeds vaker accepteren in plaats van ze te mitigeren waardoor geen alarmbellen gaan rinkelen als signalen van falen sterker worden. Ze voegen eraan toe dat bestuurders van organisaties de neiging hebben “to discount the future” waardoor ze terughoudend zijn om veel tijd en geld te besteden aan het vermijden van onzekere toekomstige problemen (Kaplan and Mikes 2012, p. 60).

De opdeling van ondernemingen in functionele ‘silos’ creëert bovendien organisatorische barrières door informatie en verantwoordelijkheden over belangrijke risico’s te verspreiden over verschillende afdelingen van de onderneming waardoor een totaaloverzicht ontbreekt (Watkins and Bazerman 2003). Afhankelijk van de aard van beslissingen, wegen inzichten uit onderdelen die daar niet of slechts zijdelings bij betrokken zijn al snel minder zwaar mee. Als er sprake is van een structureel machtsonevenwicht in een onderneming kunnen sommige functies langdurig domineren ten koste van andere onderdelen bij het nemen van strategische besluiten. Van Ees et al. (2009) geven aan dat omdat ondernemingen bestaan uit verschillende partijen met mogelijk tegengestelde belangen, strategische besluitvorming een sterk gepolitiseerd proces kan zijn waarin coalities voortdurend onderhandelen om conflicten op te lossen. Zelfs als bepaalde externe risico’s binnen een onderneming breed worden onderkend en duidelijk is dat actie noodzakelijk is, kunnen gevestigde belangen dit voorkomen en nieuwe strategische initiatieven blokkeren. Zo wisten de chemietakken binnen Kodak en Polaroid keer op keer de groei van digitale fotografie te belemmeren. Dat het uiteindelijk tot de ondergang van een onderneming kan leiden illustreert de kracht van een langdurig machtsonevenwicht. Veel vaker nog zijn politieke invloeden minder zichtbaar in organisaties. Managers en specialisten op lagere managementniveaus kunnen zich bijvoorbeeld stilhouden om te voorkomen dat ze (‘weer’) als lastpost of waarschuwer worden beschouwd.

In zijn boek Predictably Irrational stelt Ariely (2008) dat mensen zich niet alleen irrationeel gedragen maar dat steeds op dezelfde, voorspelbare manieren doen. Zijn onderzoek, in de traditie van Cyert and March (1963) en Kahneman and Tversky (1979), is een aaneenschakeling van deels onthutsende, deels hilarische voorbeelden. Hij concludeert dat als mensen en de ondernemingen waarin ze werken systematisch fouten maken in hun besluitvorming, nieuwe aanpakken en methoden moeten worden ontwikkeld om structureel betere beslissingen te nemen. Als we weten wanneer en op welke wijze we de fout ingaan bij het nemen van beslissingen kunnen we maatregelen nemen, procedures ontwerpen en methoden gebruiken om dit te voorkomen. De vraag is hoe een gestructureerde aanpak voor het omgaan met externe risico’s binnen ondernemingen eruit moet zien.

Frigo and Anderson (2011, p. 22) definiëren strategisch risicomanagement als het proces van identificeren, evalueren en managen van risico’s en onzekerheden die de strategie van een onderneming en het behalen van strategische doelstellingen kunnen belemmeren. Externe risico’s vormen een bijzondere categorie binnen het strategisch risicomanagement van ondernemingen omdat ze, vaak op unieke wijze, voortkomen uit ambigue omgevingsonzekerheden (Postma and Bood 2014). Zowel het detecteren als het inschatten van mogelijke consequenties en de waarschijnlijkheid dat ze zich materialiseren is daardoor in de praktijk problematisch. De inzichten uit behavioral strategy geven aan dat het niet alleen om een inhoudelijke uitdaging gaat maar dat gedragsmatige factoren ook het proces van strategisch risicomanagement en besluitvorming verstoren (Hickson et al. 1986; McKinsey 2009).

In navolging van Frigo and Anderson (2011) onderscheiden we drie hoofdfasen in extern risicomanagement: identificeren, evalueren en managen van externe risico’s en onzekerheden. Deze fasen komen in essentie overeen met de stappen die het raamwerk van het Committee of Sponsoring Organizations of the Treadway Commission (COSO 2004) onderscheidt. De eisen aan de inhoud en het proces geven daarbij richting aan het invullen van elk van deze fasen. In deze paragraaf geven we op basis van literatuuronderzoek enkele suggesties voor het vormgeven van elke fase. De drie fasen worden bij voorkeur zowel doorlopen als onderdeel van de jaarlijkse planning-en-controlcyclus als in de context van de ontwikkeling en evaluatie van nieuwe strategieën en businessplannen. Daarbij wordt expliciet een relatie gelegd tussen externe risico’s, specifieke strategische doelen en de langetermijnwaardecreatie.

Onderzoek naar de praktijk van risicomanagement in Nederland geeft aan dat ondernemingen nog veel kunnen en moeten doen om externe risico’s te beheersen. De Nederlandse Corporate Governance Code 2016 benadrukt het belang van externe risico’s en wijst specifiek op het tijdig opsporen van technologische veranderingen en nieuwe businessmodellen. Het vergt bijzondere inspanningen om met cognitieve biases, organisatorische barrières en politieke machtsverschillen om te gaan. Wij stellen in dit artikel een gefaseerde aanpak voor waarin een brede dwarsdoorsnede van de onderneming betrokken is bij het opsporen en doordenken van externe risico’s. Het combineert het oprekken van het voorstellingsvermogen met het analyseren en monitoren van drijvende krachten om externe risico’s af te leiden uit omgevingsonzekerheden. Niet alle externe gebeurtenissen zijn te voorzien maar ondernemingen kunnen veel onaangename verrassingen voorkomen door het opzetten van een gestructureerd risicomanagementsysteem. Het moet ervoor zorgen dat ondernemingen externe risico’s juist waarderen en niet onderschatten of overschatten. Een bijkomend voordeel is dat het beter begrijpen van externe veranderingen ook inzicht in nieuwe kansen oplevert.

De auteurs bedanken Roel Nagy, ten tijde van het onderzoek student aan de Universiteit van Tilburg, voor zijn bijdrage bij het verzamelen en analyseren van empirische data over externe risico’s in de jaarverslagen van in Nederland beursgenoteerde ondernemingen over 2014.