Risk appetite
Risk appetite is het niveau van risico dat een organisatie bereid is te accepteren ter verwezenlijking van haar doelstellingen. In risk-based auditing dient de door het bestuur vastgestelde risk appetite als referentiepunt voor risicobeoordeling en prioritering van auditonderwerpen.
Bron: COSO ERM 2017
Risk appetite is het niveau van risico dat een organisatie bewust bereid is te aanvaarden om haar doelstellingen te realiseren. Het is een door het bestuur vastgesteld uitgangspunt dat aangeeft hoeveel onzekerheid acceptabel is bij het nastreven van de strategie. In risk-based auditing dient de risk appetite als referentiepunt voor risicobeoordeling en voor het prioriteren van auditonderwerpen.
Voor bestuur, Raad van Commissarissen (RvC) en audit committee is risk appetite relevant omdat het besluitvorming toetsbaar maakt. Een expliciet vastgelegde risk appetite geeft het bestuur een kompas voor keuzes en stelt de RvC en de audit committee in staat te beoordelen of de organisatie binnen haar grenzen opereert. Zonder dat referentiepunt blijft risicobeheersing een kwestie van gevoel, en is achteraf moeilijk vast te stellen of een genomen risico paste bij de afgesproken koers.
In de praktijk wordt risk appetite vastgelegd in een appetite-statement en vertaald naar concrete grenzen per doel of risicotype, vaak ondersteund door stuurinformatie. Daarbij is het van belang onderscheid te maken tussen risk appetite (het gewenste niveau) en risicotolerantie (de aanvaardbare afwijking daarvan op een specifiek doel of proces). Frameworks zoals COSO ERM 2017 koppelen risk appetite expliciet aan strategie en performance, zodat het niet losstaat maar onderdeel is van sturing en verantwoording.
Bij ONE Risk Advisory helpen wij organisaties hun risk appetite te formuleren en te vertalen naar concrete grenzen en stuurinformatie. Een expliciet vastgelegde risk appetite geeft het bestuur een kompas voor besluitvorming en maakt risicobeheersing toetsbaar. Zo wordt zichtbaar welke risico's bewust worden aanvaard en welke beheerst moeten worden.
Laatst bijgewerkt:
Verwante dienst Risk Management
Veelgestelde vragen
Wat is het verschil tussen risk appetite en risicotolerantie?
Risk appetite is het risiconiveau dat een organisatie bereid is te accepteren om haar doelen te bereiken; risicotolerantie is de aanvaardbare afwijking daarvan op een specifiek doel of proces. Risk appetite is het richtsnoer op organisatieniveau, tolerantie is de operationele bandbreedte daaromheen.
Waarom moet het bestuur de risk appetite vaststellen?
Omdat risk appetite raakt aan strategische keuzes en aan de vraag hoeveel onzekerheid acceptabel is, hoort vaststelling bij het bestuur, met toezicht door de RvC en de audit committee. Zo is risicobeheersing verankerd in de governance en niet afhankelijk van individuele inschattingen.
Hoe gebruikt internal audit de risk appetite?
In risk-based auditing dient de door het bestuur vastgestelde risk appetite als referentiepunt om risico's te beoordelen en auditonderwerpen te prioriteren. Audit kan zo toetsen of de organisatie binnen de afgesproken grenzen opereert en of overschrijdingen tijdig worden gesignaleerd.
Hoe vertaal je risk appetite naar de praktijk?
Risk appetite wordt vastgelegd in een appetite-statement en vertaald naar concrete grenzen per doel of risicotype, ondersteund door stuurinformatie. Daarmee wordt een abstract uitgangspunt bruikbaar voor dagelijkse besluitvorming en periodieke verantwoording.