Het veertig-paginas-paper is een symptoom.
We zien het vaak: een keurig opgesteld risk appetite framework van 35 tot 50 pagina’s, vol referenties naar COSO ERM, ISO 31000, het Three Lines Model. Inhoudelijk vaak correct. Operationeel onbruikbaar, omdat niemand het tijdens een bestuursvergadering opensla. De directie-discussie gaat over één vraag: “Mogen we deze acquisitie nemen?” Het paper geeft daar geen antwoord op.
Twee A4 is het maximum dat werkt.
Pagina één, kwalitatief. Per risico-categorie (strategisch, operationeel, financieel, compliance, IT-cyber, ESG) één zin die de tolerantie uitdrukt: “Wij accepteren X om Y te bereiken, maar niet als Z.” Geen jargon, geen percentages. Een uitspraak die de Chief Financial Officer (CFO) én de Chief Operating Officer (COO) begrijpen.
Pagina twee, kwantitatief. Per categorie maximaal twee meetbare grenzen: een hard limit (overschreden → bestuurs-eskalatie binnen 24 uur) en een soft limit (overschreden → rapportage in de volgende RM-cyclus). Met de bron van de meting erbij, uit welk systeem, met welke frequentie.
Wat we weglaten.
- De definitie van risk appetite. Wie het paper leest, weet wat het is.
- De methodologie-verantwoording. Hoort in een bijlage of in het Risk Charter.
- De governance van het document. Verwijs naar de Risk Management Charter, herhaal het niet.
- Lange casuïstiek-voorbeelden. Hét voorbeeld komt mondeling in de RM-meeting.
De acid test.
Een goede risk appetite is direct beslissingsondersteunend. We toetsen het met de volgende vraag: kan iemand uit het management, zonder verdere context, op basis van deze twee pagina’s binnen vijf minuten oordelen of een voorgesteld initiatief binnen of buiten de appetite valt? Zo nee, dan zit er nog te veel ruis op.