Outsourcing van risicomanagement

Ik nodig bij deze de sceptici uit om eens vanuit de geest van ‘wat je ook denkt, denk het tegenovergestelde’ te redeneren. Als u alle beren op de weg even negeert, kunt u dan goede redenen bedenken om Risk-werkzaamheden uit te besteden aan anderen?

In dit blog bespreek ik de vraag hoe outsourcing tot zowel kostenreductie als waardecreatie kan leiden. In mijn betoog herkent u misschien nog wel het concept ‘cost out, value in’ uit een eerder blog. Vandaag ga ik eerst in op outsourcing - en eventueel offshoring - van risicomanagementtaken die getypeerd worden door een hoog volume en een operationele karakter. Vervolgens bespreek ik de optie om schaarse expertise in huis te halen voor meer strategische taken, of deze ‘als een service’ uit te laten voeren door derden. Tenslotte ga ik in op uw rol als leider in het omarmen van deze kansen.

Waarom uitbesteden economisch nut heeft

Zelf houd ik van tuinieren. Maar ik weet ook wel dat mijn kwaliteiten als tuinier op z’n best gemiddeld zijn. Dat is tenminste wat mensen mij vertellen… Vanuit een economisch perspectief had het voor mij meer zin om een beroep te kiezen waarover ik net zo enthousiast was, maar waarin ik meer verschil kon maken. Zo begon ik met een studie informatica. (En nu werk ik in Risk Consulting - een verhaal voor een andere keer).

Met dit voorbeeld probeer ik het principe van comparative advantage te illustreren. Dit concept is ook belangrijk in de context van outsourcing. Want veel mensen kunnen gestandaardiseerd routinewerk uitvoeren, maar slechts weinigen bezitten de unieke capaciteit om alle risico’s voor een organisatie te overzien en effectief te managen. Ik zie vaak risicomanagers die veel energie, kennis, ervaring en potentieel hebben, maar die de hele dag routinematige taken uitvoeren. In plaats van werk te doen dat past bij hun vaardigheden en waarbij ze echt kun expertise kunnen inzetten. Zonde, vindt u ook niet?

Het uitbesteden van operationele taken

Terugkerende Risk-activiteiten met een operationeel karakter, zoals controluitvoering, -testing en -monitoring, standaardrisicorapportages, modelmonitoring en modelvalidatie, periodieke stresstests, en de screening van klanten en transactiemonitoring, kunt u uitbesteden aan anderen. Dergelijke taken zijn namelijk relatief voorspelbaar, planbaar en schaalbaar, hetgeen samenwerken met partijen buiten uw organisatie gemakkelijker maakt.

Naast comparative advantage speelt hier ook competitive advantage een rol. Organisaties overal ter wereld kunnen de hierboven beschreven operationele taken sneller en goedkoper uitvoeren dan u. Dit zorgt ook voor een verhoogde kwaliteit door standaardisering en specialisatie. Concurrentie en de commerciële spanning die op de relatie tussen de uitbestedende partij en de uitvoerder staat, leiden immers tot meer innovatie en automatisering, omdat de leverancier de taken op een meer efficiënte manier wil en moet uitvoeren.

In tegenstelling tot wat vaak wordt gedacht, geloof ik dat standaardisering en automatisering daarom geen voorwaarden of ‘pre-condities’ zijn voor outsourcing. Leveranciers aan wie u operationele taken uitbesteedt, hebben alleen baat bij een dergelijke overeenkomst als zij deze activiteiten efficiënter uitvoeren. Er is voor hen daarmee een inherente stimulans om te standaardiseren, innoveren en automatiseren. 

Essentieel daarbij is wel dat u een goede contract- en beloningsstructuur opzet met leveranciers, zodat zij daadwerkelijk gemotiveerd zijn om het werk goedkoper, sneller en beter uit te voeren. Dan ontstaat de win-winsituatie die outsourcing succesvol maakt. U stuurt dan op output, kwaliteit en kosten.

U kunt ook activiteiten ‘uitbesteden’ aan een entiteit binnen uw eigen organisatie, een gecentraliseerd shared service center. Dit gaat dan meestal om een locatie in een ander land, met een goede arbeidsmarkt en een adequate technische infrastructuur, maar waar de kosten significant lager liggen. Dit is een goede optie, vooral voor grotere internationale organisaties. 

Er is een ontwikkeling gaande dat near-shoring naar landen dichterbij terrein wint op off-shoring naar landen verder weg. Dit vanwege zorgen over arbeidsomstandigheden, mensenrechten, ecologische voetafdruk  van vliegreizen van werknemers, taal- en cultuurverschillen en tenslotte ook de tijdverschillen. Dit zijn ook belangrijke aandachtspunten bij uitbesteding.

Hoe bepaalt u welke opties tot uitbesteden er zijn?

Het is belangrijk dat u bepaalt welke processen u zelf wilt innoveren en automatiseren, en welke u liever door een derde partij wilt laten stroomlijnen. Om te bepalen welke activiteiten u kunt uitbesteden, begint u met het maken van een ‘catalogus’ van al uw producten en diensten op het gebied van risicomanagement. 

Bepaal daarna wie uw interne klant is en wat de kosten (en als het lukt de waarde) zijn per product of dienst. Dit geeft u een eerste inzicht over waar er ruimte ligt voor kostenbesparingen. Wat hierbij ook helpt, is uzelf te vergelijken met andere organisaties waarvan het bedrijfsmodel lijkt op dat van u.

De lijst van producten en diensten kunt u vervolgens afpellen door te kijken naar ‘rationalisatie’ (dus waar kunnen we mee ophouden, bijvoorbeeld het verwijderen van overtollige controls), opties voor automatisering en mogelijk outsourcing. Voor al deze mogelijke keuzes raad ik u aan een korte en duidelijke businesscase te maken, waarin u investeringen en transitiekosten afweegt tegen besparingen, afgezet tegen de tijd waarin u wilt dat deze besparingen worden gerealiseerd. Als uit uw businesscase blijkt dat outsourcing een kostenbesparende optie is, kunt aan de slag gaan met derde partijen. 

U kunt verantwoordelijkheid niet uitbesteden

Maar houd in uw achterhoofd dat u alleen de uitvoering en optimalisatie van risicomanagementtaken kunt uitbesteden en nooit de verantwoordelijkheid. Het eigenaarschap van het risico en daarmee ook de verantwoordelijkheid voor de beheersing ervan, blijft altijd bij uzelf. Toezichthouders (en ik verwacht ook aandeelhouders en andere stakeholders) zullen u verantwoordelijk houden, ongeacht wat u operationeel uitbesteedt. Dit betekent dat u nieuwe vaardigheden moet opbouwen binnen uw organisatie. Bijvoorbeeld omtrent het managen van contracten en leveranciers.

Risk as a Service

We hebben het er vaak over dat risicomanagement efficiënter moet worden. Maar tegelijkertijd zijn er ook steeds meer specialistische vaardigheden nodig in Risk. Risicomanagement is een complex vak waarvoor diepgaande technische vaardigheden nodig zijn. 

Voor Risk-teams in vooral kleinere organisaties is het lastig om het juiste talent met kwantitatieve, technologische of andere gespecialiseerde skills aan te trekken, voor bijvoorbeeld het managen van cyberrisico's, klimaatrisico’s en gedragsrisico’s. De vraag naar deze experts is momenteel al groter dan het aanbod. 

Daarom denk ik dat, naast het uitbesteden van routinematige taken met een hoog volume, het ook een overweging kan zijn om specialistische expertise via derde partijen (tijdelijk) in huis te halen. Zij overzien de ontwikkelingen in de sector en kunnen uw risico’s in een ‘outside-in’-perspectief plaatsen. En het leidt tot een flexibele schil van experts die u kunt op- of afschalen wanneer dat nodig is. U kunt er ook voor kiezen om met de hulp van externe expertise zelf zo’n nieuwe competentie op te bouwen in uw team.

En om nog een stapje verder te gaan, behalve de allergrootsten hebben veel organisaties niet de technologische mogelijkheden (denk aan de benodigde rekencapaciteit voor complexe modellering en analyses van data) om state-of-the-art-risicomanagement te doen of om de mogelijkheden van big data te gebruiken. 

Er zijn nu partijen die dat voor u kunnen doen, onder de paraplu van Risk as a Service. Met bijvoorbeeld  nieuwe innovatieve technologie en outsourcing van risicodata naar de cloud. Door voor een dergelijke oplossing te kiezen hoeft u zelf niet te investeren in IT-infrastructuur, applicaties en licenties.

Waar bent u eigenlijk het beste in?

Stelt u zichzelf eens de vraag: wat zou mijn Risk-team zelf moeten blijven doen? U als Risk-professional bepaalt de risicostrategie, overziet het risicolandschap waarmee uw organisatie te maken heeft, en evalueert continu waar uzelf en uw team goed in zijn, en tegen welke kosten. Om zo vervolgens te bepalen welke activiteiten u beter aan anderen kunt overlaten. 

Dit vereist misschien wel een paradigmaverschuiving, maar het idee dat kerntaken per se in huis moeten blijven, is echt achterhaald. We zijn aan dit idee gewend geraakt, maar in een snel veranderende wereld, waarin steeds meer organisaties onderdeel worden van ecosystemen, moet u zich concentreren op waar u het beste in bent. Sommige organisaties zullen zich focussen op de relatie met de klant, anderen op een excellente operationele uitvoering, en weer anderen op het aanbieden van een technische platform. 

Tenslotte zou ik - als ingenieur en risk consultant - u vraag een vraag willen meegeven: als NASA het bouwen van haar raketten kan uitbesteden, waarom kunt u dan uw risicomanagement niet outsourcen?

Lees ook de eerdere delen van deze blogreeks:

• Een nieuwe kijk op risico's
• Zeven ingrediënten voor transformatie van risicomanagement
• Waarde creëren in tijden van kostendruk
• De marketing van risicomanagement
• De rol van taxonomie in de transformatie van risicomanagement
• Hoe u risicomanagement laat slagen
• Uw risicomanagers van de toekomst
• Risk als strategische partner