8.3.2 Bepalen van risk appetite en doelstellingen

Een vraag die eerst moet worden beantwoord indien een risicomanagement-systeem wordt opgetuigd, is wat voor een risk appetite en risicoprofiel wenselijk zijn voor de ondernemingsactiviteiten.1 Het COSO-raamwerk definieert risk appetite als volgt:

In de Code Banken wordt met risk appetite (ofwel risicobereidheid) bedoeld:3

Bij de vaststelling daarvan dient rekening te worden gehouden met de strategie, de doelstellingen, de concurrentiepositie en het karakter van de onderneming, en dienen alle relevante risico's in ogenschouw te worden genomen.4

Het bepalen van de risk appetite van een onderneming is niet eenvoudig. Een duidelijke risk appetite bevat zowel kwantitatieve als kwalitatieve elementen.5 De kwalitatieve elementen kan het bestuur houvast bieden bij het beoordelen van het actuele risiconiveau van de onderneming in vergelijking met de geaccepteerde risk appetite. Manieren om een risk appetite kwalitatief uit te drukken zijn categorieën als hoog, laag, gemiddeld, of meer beschrijvend.6 Een bedrijf dat voedingsmiddelen levert, zal in het algemeen een lage risk appetite hebben op het gebied van voedselveiligheid. Een hedgefonds dat zich alleen richt op professionele beleggers met een agressieve beleggingsstrategie heeft een hogere risk appetite dan een pensioenfonds of een farmaceutisch bedrijf.7 Andere manieren om de risk appetite kwalitatief uit te drukken zijn bijvoorbeeld in wat voor een soort markten of activiteiten een onderneming actief wil zijn, of welke klanten het wil bedienen. Hoewel dergelijke kwalitatieve risk appetites niet kwantitatief meetbaar zijn, kunnen ze wel verifieerbaar zijn.

Specifiekere kwantitatieve manieren om de risk appetite weer te geven is door bijvoorbeeld het risico op verlies dat een onderneming gedurende een bepaalde tijdsperiode bereid is te accepteren of bepaalde ratio's in verhouding tot de beurskoers van het aandeel of de solvabiliteit8 In een onderneming waar veiligheidsrisico's spelen kan de risk appetite ook worden geformuleerd in termen van aantallen ongevallen. Een risk appetite kan ook gericht zijn op externe reputatie.9

Belangrijk is om te onderkennen dat in een onderneming er ten aanzien van verschillende risico's, variërend naar verschillende activiteiten, onderscheidende risk appetites en risicotoleranties kunnen bestaan, waarvoor ook verschillende risicobeheersingsaanpakken aangewezen kunnen zijn.10 Zo zal de buitendienst van een onderneming een hogere risk appetite kunnen hebben dan de compliance afdeling. Zelfs binnen een bepaalde afdeling kunnen verschillende risicoprofielen gelden voor verschillende producten. Dit maakt het lastig om één alomvattende risk appetite voor een onderneming te formuleren.11

De risk appetite speelt een rol bij het evalueren van strategie-alternatieven, het stellen van doelen in overeenstemming met de gekozen strategie12 de verdeling van schaarse middelen binnen de onderneming en in het ontwikkelen van mechanismen om de daarmee gepaard gaande risico's te beheersen.13

Het begrip risicotolerantie heeft betrekking op de doelstellingen van de onderneming, het is: "the acceptable level of variation relative to achievement of a specific objective, and ofien is best measured in the same units as those used to measure the related objective."14

De risk appetite en risicotolerantie zijn de basis voor de wijze waarop risico en de beheersing daarvan binnen de onderneming worden benaderd.

Verantwoordelijkheid keuze risk appetite en risicoprofief15

Algemeen wordt aangenomen dat de keuze voor de risk appetite en het risicoprofiel een strategiekeuze behelst, die onderdeel uitmaakt van het algemene beleid.16' 17 Uit de Nederlandse Corporate Governance Code 2008 is af te leiden dat onder de bestuurstaak valt de realisatie van de doelstellingen van de vennootschap, de strategie en de resultatenontwikkeling.18 Risicobeheersing zou zowel onderdeel van die strategie moeten zijn, als een randvoorwaarde daarvoor.

In de gewijzigde Nederlandse Corporate Governance Code 2008, die van toepassing is vanaf het boekjaar beginnend op of na 1 januari 2009, is daaraan toegevoegd dat daaronder ook valt het risicoprofiel dat bij de strategie hoort. Dat viel overigens reeds af te leiden uit de in het Nalevingsrapport 2007 van de Monitoring Commissie Corporate Governance opgenomen aanbevelingen over deze bepaling, die ingingen op de beschrijving van het risicoprofiel.19 In zoverre kan gezegd worden dat het risicoprofiel reeds voor het van kracht worden van de herziene Nederlandse Corporate Governance Code 2008 als best practice onderdeel van de strategie behoorde uit te maken.20

Een ander punt is de externe communicatie door de vennootschap over risico's en haar risicobeleid. De aanbevelingen in het Nalevingsrapport 2007 van de Monitoring Commissie Corporate Governance vermeldden dat de vennootschap in het jaarverslag dient te vermelden welke risico's zij bereid is te nemen om haar doelstelling te realiseren en deze zo mogelijk te kwantificeren, door middel van een gevoeligheidsanalyse.21 Het doel daarvan is dat de lezer van het jaarverslag vervolgens kan bepalen of de risicohouding van de onderneming aansluit bij de risicohouding van de belanghebbende gebruiker van het jaarverslag. In het nalevingsrapport wordt vermeld dat bij de beschrijving van het risicoprofiel ten minste aandacht wordt besteed aan de volgende punten: