De ethiek en de cultuur van een organisatie wordt in de loop van de tijd gemakkelijk ondermijnd door een opeenvolging van op zich onopvallende kleine (in)acties, die sluipenderwijs grotere overtredingen kunnen oproepen. Cultuur en gedrag versterken elkaar in een cyclus die uiteindelijk een positief, dan wel een negatief effect zullen hebben.
Die cultuur zit in het DNA van elk bedrijf en van elk bestuur, en een gezonde cultuur is van cruciaal belang voor het succes van een bedrijf. Cultuur is daarmee ook een ‘key’ factor in effectief risicobeheer. In het 2017 COSO Enterprise Risk Management-raamwerk komt ‘cultuur’ niet minder dan 124 keer voor! Zeker in de recente update van het model is Enterprise Risk Management niet langer hoofdzakelijk gericht op het voorkomen van verlies aan financiële waarde en het minimaliseren van risico’s tot een aanvaardbaar niveau – ERM wordt voortaan eerder gezien als een integraal onderdeel van de strategiebepaling, en van de zo noodzakelijke identificatie van mogelijkheden om meer/extra waarde te creëren en te behouden.
Een zwakke bedrijfscultuur laat ongewenst gedrag voortwoekeren, wat een verscheidenheid aan tastbare en minder tastbare risico’s creëert. Het is dan ook cruciaal om de verwachtingen over gewenst en ongewenst gedrag voortdurend te expliciteren en te benadrukken, en om te waken voor een geleidelijke erosie van normen, waarden en control-maatregelen.
De cultuur van elke organisatie is uniek, en dient afgestemd te zijn op haar missie en bedrijfsmodel, evenals op de verwachtingen van klanten, partners, toezichthouders en andere belanghebbenden. Als je een retailer bent, is een belangrijke waarde dat de klant koning is en altijd gelijk heeft; maar dat werkt natuurlijk niet voor een accountant die professioneel sceptisch moet blijven.
In plaats van medewerkers bij incidenten meteen te ‘blamen’, kan men deze beter als handvat gebruiken om de normen en waarden nog eens te benadrukken en versterken. Directie en management moeten cultuur, normen en waarde regelmatig reviewen, net als de verwoording van waarom zij zo belangrijk zijn en hoe de bijbehorende performance gemeten zal worden, zowel organisatie-breed als per werknemer. Inclusief de directie zelf, natuurlijk. Daarbij moet er positieve synergie gecreëerd worden tussen organisatie, leiding en de externe en interne auditfunctie als bewakers van het culturele ecosysteem’.
Want die bedrijfscultuur is een van de sleutelfactoren voor succes of falen van het risicobeheer(singssysteem). Het is de cultuur die onethische verkooppraktijken of administratieve verwerking bevordert dan wel tegengaat, die een oogje dichtknijpt voor gevaarlijke arbeidsomstandigheden of te weinig aandacht voor kostenbesparing toelaat. Het is ook de bedrijfscultuur, die medewerkers aanspoort tot of weerhoudt om fouten, problemen en verbetermogelijkheden te melden. De bedrijfscultuur is zo zelf een risicofactor.
