Belangrijker dan informatieverschaffing over risicobeheersing, is informatie die leidt tot beter begrip van de weerbaarheid van een onderneming, meent Arjan Brouwer.

Discussie Column 17 november 2020

Op de flanken van een vulkaan

Bij ondernemen hoort het nemen van risico. Dat is niet alleen nodig om rendement te behalen op investeringen, maar ook om tot nieuwe oplossingen te komen voor maatschappelijke uitdagingen. Voor sommige ondernemingen zijn die risico’s groter dan voor andere. In een recent rapport geeft TNO bijvoorbeeld aan dat de ontwikkeltijd van een medicijn van laboratorium tot patiënt ongeveer dertien jaar is, met een kans van negentig procent dat het faalt tijdens kostbare klinische studies. Ook andere ondernemingen die zich richten op bijvoorbeeld ontwikkeling van nieuwe technologie, duurzame energie en andere innovaties nemen risico. En ondernemingen die niets doen, nemen mogelijk een nog groter risico.

Het is van belang om begrip te hebben van het risicoprofiel van een onderneming. Artikel 2:391 BW vraagt daarom van het bestuur om in het bestuursverslag een beschrijving op te nemen van de voornaamste risico's en onzekerheden waarmee een rechtspersoon wordt geconfronteerd. RJ 400 voegt daar nog aan toe dat ondernemingen informatie moeten verstrekken over de verwachte impact van risico's als ze materialiseren, de risicobereidheid van de onderneming en getroffen beheersmaatregelen.

Het is niet moeilijk om een heel lange lijst aan risico's op te stellen. En onderzoek laat zien dat veel ondernemingen dat ook doen. Nederlandse beursfondsen rapporteren over het algemeen meer dan tien risico's en in sommige gevallen met twintig tot dertig risico's zelfs veel meer. Een aantal jaren geleden telde de risicoparagraaf in het prospectus van een bank bijna zestig pagina's. Daarmee schiet de risicoparagraaf zijn doel voorbij. Verschillende partijen hebben in de afgelopen jaren dan ook opgeroepen om toelichtingen in het algemeen, en specifiek ook de risicoparagraaf, te beperken tot de essentie en de relevante informatie niet te laten ondersneeuwen in een grote brij van minder relevante details.

Het zijn echter ook diezelfde partijen die regelmatig vragen om over meer risico's te rapporteren. Klimaatrisico's, cybersecurity risico's, disruptie door nieuwe toetreders, frauderisico's. En we hebben ook al partijen gezien die zich afvragen waarom er bedrijven zijn die het risico van een pandemie niet hadden opgenomen in hun risicoparagraaf.

Het punt is dat er veel risico's zijn met een zeer kleine kans, maar met een grote impact wanneer ze materialiseren. Hoe klein de kans is en wanneer het zich materialiseert is echter moeilijk in te schatten. "De kans op een epidemie is klein in Nederland", kopte het Parool op 29 februari 2020. In een maatschappij waarin we steeds meer moeite hebben om te accepteren dat ondernemen gepaard gaat met het nemen van risico's, sterker nog dat leven gepaard gaat met risico's, kunnen we erg van slag raken als risico's materialiseren. We zoeken naar zondebokken en herinneren er graag aan dat er toch echt al eerder door iemand was gewezen op het risico. Die discussies worden meestal gevoerd als een risico is gematerialiseerd. We kunnen overtrokken reageren met maatregelen in reactie op die risico's, maar ook snel het nut daarvan weer vergeten en ter discussie stellen als de dreiging niet (meer) acuut is.

Alle risico's vermijden is geen oplossing. Op de flanken van een vulkaan is de grond vaak het vruchtbaarst en ondernemers die alle mogelijke risico's vermijden, zullen worden afgetroefd door de concurrentie. Het is zelfs niet zinvol om te proberen alle individuele risico's te beheersen. Dat zal veel management aandacht vragen en kosten met zich meebrengen. En het rapporteren over alle mogelijke risico's is al helemaal niet zinvol. Tot welk inzicht en welke actie leidt een lange lijst van risico's met ieder 0,1 procent kans, die wel een grote impact zouden hebben als ze zich voor zouden doen?

Maar wat dan wel? Het is natuurlijk zinvol om de belangrijkste risico's te onderkennen, te beheersen en daarover transparant en bedrijfsspecifiek te rapporteren. En de rest van de risico's? Belangrijker dan informatieverschaffing over die risico's en hoe die beheerst worden is wellicht informatie die leidt tot een beter begrip van de weerbaarheid van de onderneming. De mate waarin ze in staat is om tegenvallers op te vangen. Welke buffers heeft de onderneming, welke kredietfaciliteiten, in welke mate kan ze haar organisatie aanpassen aan onverwachte ontwikkelingen? Wat is het meest negatieve scenario dat nog kan worden opgevangen? Net zoals je je het kunt veroorloven om een groter eigen risico te accepteren bij je verzekering als je enige buffers hebt, en daarmee per saldo geld bespaart, kan dat ook gelden voor organisaties.

Dat vereist echter wel een andere dialoog tussen organisaties en stakeholders. Niet op het microniveau van een waslijst van individuele risico's. Geen verwijten dat niet ieder risico op verlies reeds was vergezeld van een vooraankondiging dat het zou kunnen gebeuren. Maar een dialoog over het risicoprofiel, de weerbaarheid en de wendbaarheid van de organisatie als geheel. Op basis van relevante informatie die de organisatie daarover verstrekt.