Paul Joore

Organisaties opereren in een omgeving waarin onzekerheid eerder de norm lijkt te worden dan de uitzondering. Leveranciers vallen weg. Sleutelfiguren vertrekken. Cyberincidenten nemen toe. Geopolitieke ontwikkelingen verstoren markten en ketens. Nieuwe wet- en regelgeving volgt elkaar in hoog tempo op. Tegelijkertijd groeit het besef dat traditionele vormen van risicomanagement niet altijd voldoende zijn om organisaties daadwerkelijk weerbaar te maken. Risico's kunnen immers worden geïdentificeerd, beoordeeld en gerapporteerd, terwijl de organisatie ondertussen toch kwetsbaar blijft.

De fundamentele vraag verschuift daarmee van risico's naar continuïteit. Weerbaarheid begint dan met een andere vraag: Welke voorwaarden moeten behouden blijven om waarde te kunnen blijven creëren?

Risico's beschrijven wat organisaties willen vermijden

En juist daar ontstaat vaak een blinde vlek. Want organisaties creëren geen waarde dankzij risico's. Zij creëren waarde dankzij klanten, medewerkers, processen, middelen, kennis, systemen, partners en financiële stabiliteit. Wanneer deze voorwaarden onder druk komen te staan, komt uiteindelijk ook de waardecreatie onder druk te staan.

Het positieve spiegelbeeld van risico's

We zouden de continuïteitsdoelstellingen kunnen zien als het positieve spiegelbeeld van risico's. Waar risico's beschrijven wat organisaties willen voorkomen, beschrijven continuïteitsdoelstellingen wat organisaties willen beschermen.

• Risico: Verlies van cruciale kennis. Continuïteitsdoelstelling: Kritieke kennis blijft beschikbaar binnen de organisatie.
• Risico: Uitval van belangrijke leveranciers. Continuïteitsdoelstelling: Leveringszekerheid blijft gewaarborgd.
• Risico: Verlies van klantvertrouwen. Continuïteitsdoelstelling: Klanten behouden vertrouwen in de organisatie.

Door deze voorwaarden expliciet te maken, ontstaat een andere vorm van besturing. Niet uitsluitend gebaseerd op potentiële verstoringen. Maar gebaseerd op wat behouden moet blijven. Risico's beschrijven wat organisaties willen vermijden. Continuïteitsdoelstellingen beschrijven wat organisaties willen beschermen.

Het businessmodel als fundament voor weerbaarheid

Vrijwel iedere organisatie beschikt over een businessmodel. Daarin wordt beschreven hoe waarde wordt gecreëerd, geleverd en behouden. Veel organisaties gebruiken hun businessmodel om inzicht te krijgen in hun verdienmodel, klanten en activiteiten. Veel minder organisaties gebruiken het businessmodel als fundament voor weerbaarheid.

'Waar risico's beschrijven wat organisaties willen voorkomen, beschrijven continuïteitsdoelstellingen wat organisaties willen beschermen.'

Juist daar ligt een interessante kans. Want ieder element van het businessmodel vertegenwoordigt een voorwaarde die essentieel is voor waardecreatie. Een waardepropositie moet relevant blijven. Kernactiviteiten moeten betrouwbaar kunnen worden uitgevoerd. Klantrelaties moeten behouden blijven. Kernpartners moeten blijven leveren. Kernbehoeften moeten beschikbaar blijven. Inkomstenstromen moeten voldoende voorspelbaar blijven.

Door per element van het businessmodel expliciet vast te leggen welke voorwaarden behouden moeten blijven, ontstaat een samenhangende continuïteitsarchitectuur. Niet los van de organisatie. Maar rechtstreeks verbonden met de manier waarop de organisatie waarde creëert.

Van businessmodel naar continuïteitsarchitectuur

Wanneer continuïteitsdoelstellingen expliciet worden gekoppeld aan de elementen van het businessmodel, ontstaat een praktische vorm van weerbaarheid. Niet gebaseerd op losse risico's. Maar gebaseerd op de onderdelen van de organisatie die waarde creëren.

Zo ontstaat een architectuur waarin iedere continuïteitsdoelstelling direct verbonden is met een onderdeel van het businessmodel. Dat maakt weerbaarheid concreter, bestuurbaarder en beter integreerbaar in de dagelijkse praktijk.

Protect, Develop, Deliver

Organisaties hebben in essentie drie verantwoordelijkheden:

• Protect Value: Het beschermen van de voorwaarden die waardecreatie mogelijk maken. Dit zijn de continuïteitsdoelstellingen.
• Develop Value: Het ontwikkelen van nieuwe mogelijkheden voor toekomstige waardecreatie. Dit zijn de strategische doelstellingen.
• Deliver Value: Het dagelijks leveren van waarde aan klanten en andere stakeholders. Dit gebeurt in de uitvoering van processen, activiteiten en samenwerking.

Weerbaarheid ontstaat wanneer deze drie verantwoordelijkheden met elkaar in balans zijn. Organisaties die uitsluitend focussen op ontwikkeling lopen het risico de fundamenten te verwaarlozen. Organisaties die uitsluitend beschermen, verliezen hun vermogen om zich aan te passen. Duurzame waardeontwikkeling vraagt om beide. En om een organisatie die iedere dag in staat blijft waarde te leveren.

Waarom dit steeds belangrijker wordt

Naarmate organisaties groeien, nemen afhankelijkheden toe. Meer medewerkers. Meer systemen. Meer leveranciers. Meer klanten. Meer overdrachtsmomenten. Meer uitzonderingen.

'Structurele weerbaarheid ontstaat pas wanneer duidelijk is welke voorwaarden onder alle omstandigheden behouden moeten blijven.'

Daardoor neemt ook de kwetsbaarheid toe. Veel organisaties reageren daarop met extra controles, rapportages en coördinatie. Maar structurele weerbaarheid ontstaat pas wanneer duidelijk is welke voorwaarden onder alle omstandigheden behouden moeten blijven. Pas dan ontstaat focus. Pas dan ontstaat prioritering. Pas dan ontstaat bestuurbare complexiteit. Onderstaande Resilience Architecture werkt dit principe uit voor alle negen elementen van het businessmodel.

Een nieuwe advieskans voor accountants

Accountants speelden van oudsher een belangrijke rol bij het identificeren van risico's, het beoordelen van beheersing en het versterken van vertrouwen. Het is zeer wel denkbaar dat die rol de komende jaren verder verschuift richting het expliciet maken van continuïteitsvoorwaarden. Niet alleen de vraag: "Welke risico's lopen we?" Maar ook: "Welke voorwaarden moeten beschermd blijven om waarde te kunnen blijven creëren?"
Dat gesprek raakt direct aan continuïteit, governance, langetermijnwaardeontwikkeling en de weerbaarheid van organisaties.

Van risicomanagement naar weerbaarheid

Organisaties worden niet weerbaar doordat zij alle risico's kennen. Zij worden weerbaar doordat zij expliciet maken wat onder alle omstandigheden behouden moet blijven. Misschien ligt daar wel de volgende stap in de ontwikkeling van risicomanagement. Niet alleen begrijpen wat organisaties bedreigt. Maar expliciet maken wat organisaties moeten beschermen. Want duurzame waardeontwikkeling vraagt niet alleen om het ontwikkelen van waarde, maar ook om het beschermen van de voorwaarden die waardecreatie mogelijk maken.