Doe de enquête

Hoe volwassen zijn uw processen voor risicobeheer en toezicht op interne controle? Beantwoord deze 12 vragen op basis van de UK Corporate Governance Code (Bepaling 29) om erachter te komen.

Hoofdstuk 1: Toezicht van de raad van bestuur en risicobereidheid

1. Definitie van risicobereidheid: In welke mate heeft de raad van bestuur de risicobereidheid van het bedrijf formeel gedefinieerd, gedocumenteerd en gecommuniceerd, en ervoor gezorgd dat deze in lijn is met de strategische doelstellingen en regelmatig wordt herzien?(Vereist)

1. Risicobereidheid is niet gedefinieerd, inconsistent of puur impliciet. Geen formele link met strategie.

2. Basisbegrip bestaat, mogelijk informeel besproken of minimaal gedocumenteerd, maar niet formeel goedgekeurd, gecommuniceerd of duidelijk gekoppeld aan strategie.

3. Risicobereidheid is formeel gedefinieerd, gedocumenteerd (bijvoorbeeld in een verklaring), goedgekeurd door de raad van bestuur en gecommuniceerd naar het senior management. Periodiek herzien (bijv. jaarlijks).

4. Appetite is duidelijk gedefinieerd met kwalitatieve/kwantitatieve elementen, goed gecommuniceerd, actief meegenomen in de strategische planning en regelmatig herzien met bewijs van updates.

5. Eetlust is dynamisch, ingebed in besluitvormingskaders (kapitaalallocatie, fusies en overnames, enz.), hanteert toleranties/limieten, wordt getest via scenario's, actief gemonitord en geeft vorm aan de organisatiecultuur.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Hoofdstuk 1: Toezicht van de raad van bestuur en risicobereidheid

2. Bepaling van de belangrijkste risico's: Hoe systematisch en toekomstgericht is het proces van de raad van bestuur voor het identificeren en evalueren van de belangrijkste risico's van het bedrijf (met inbegrip van opkomende risico's)?(Vereist)

1. Risico-identificatie is ad hoc, reactief, alleen gericht op gebeurtenissen uit het verleden of duidelijke operationele problemen. Geen formele beoordeling door de raad van bestuur.

2. Er vindt informele of inconsistente identificatie van risico's plaats, misschien op afdelingsniveau. Bestuur ontvangt beperkte, mogelijk verouderde risico-informatie.

3. Er bestaat een formeel, gedocumenteerd proces (bijv. jaarlijkse workshops/enquêtes) om de belangrijkste risico's in belangrijke categorieën te identificeren. Het bestuur beoordeelt de lijst en keurt deze goed.

4. Systematisch proces dat gebruikmaakt van meerdere inputs (intern/extern), rekening houdt met waarschijnlijkheid/gevolgen, expliciet rekening houdt met opkomende risico's en vaker dan jaarlijks wordt herzien/bijgewerkt.

5. Voortdurende omgevingsscanning, horizonscanning, scenarioanalyse en stresstests worden gebruikt. Risicosnelheid/interdependenties beoordeeld. Volledig geïntegreerd in strategiecyclus. Gebruik van gegevensanalyse.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Hoofdstuk 1: Toezicht van de raad van bestuur en risicobereidheid

3. Betrokkenheid van de raad van bestuur: Hoe actief en frequent is de raad van bestuur (en relevante commissies zoals audit / risicobeheer) betrokken bij discussies en uitdaging van het management met betrekking tot risico's, mitigatie strategieën, en de effectiviteit van de controle?(Vereist)

1. Bestuur ontvangt passief risicorapporten met minimale discussie of uitdaging. Risico is zelden een inhoudelijk agendapunt.

2. Bestuur bespreekt af en toe belangrijke risico's, meestal naar aanleiding van het management of gebeurtenissen. Aannames worden in beperkte mate onderzocht of ter discussie gesteld.

3. Risico staat regelmatig op de agenda. De raad ontvangt gestructureerde rapporten, stelt verduidelijkende vragen en bespreekt de belangrijkste risicobeperkende maatregelen. Focus voornamelijk op bekende hoofdrisico's.

4. De raad van bestuur onderzoekt actief managementrapportages, daagt aannames constructief uit, vraagt om bewijs van de effectiviteit van risicobeperking en bespreekt de implicaties van de risicobereidheid.

5. Dieptedieptes in specifieke risico's, strategische discussies waarin risico/opbrengst wordt geïntegreerd, onafhankelijke uitdaging, evalueert effectiviteitstrends/metriek, zorgt voor afstemming op cultuur en stimulansen.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Sectie 2: Risicobeheerskader

4. Formaliteit van het kader: Hoe formeel vastgesteld en uitgebreid is het kader voor risicobeheer van het bedrijf (beleid, procedures, rollen, verantwoordelijkheden)?(Vereist)

1. Er bestaat geen formeel kader. Risicomanagement is informeel, niet gedocumenteerd en afhankelijk van individuele kennis.

2. Voor sommige risicogebieden bestaan elementaire, gefragmenteerde beleidsregels of procedures. Rollen en verantwoordelijkheden zijn gedeeltelijk gedefinieerd, maar kunnen elkaar overlappen of hiaten vertonen.

3. Er bestaat een gedocumenteerd kader (bijv. beleid, belangrijkste procedures) voor de belangrijkste risicocategorieën. Rollen (bijv. risicofunctie, eigenaren) zijn gedefinieerd. Wordt algemeen begrepen door het relevante personeel.

4. Uitgebreid raamwerk afgestemd op een norm (bijv. ISO 31000, COSO ERM), regelmatig bijgewerkt, goed gecommuniceerd. Omvat duidelijke methodologieën (beoordeling, rapportage).

5. Volledig geïntegreerd raamwerk, actief gebruikt en ingebed in processen, ondersteund door technologie, continu verbeterd en een sterke risicobewuste cultuur bevorderend.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Sectie 2: Risicobeheerskader

5. Integratie met Strategie: In welke mate is risicobeheer geïntegreerd in de strategische planning, besluitvorming en prestatiebeheerprocessen?(Vereist)

1. Risicomanagement is een op zichzelf staande compliance exercitie met weinig of geen invloed op de strategie of de belangrijkste zakelijke beslissingen.

2. Risico's worden oppervlakkig of inconsequent meegenomen in de strategische planning. Bij grote projecten kan er sprake zijn van basale risicobeoordelingen, vaak laat in het proces.

3. Formele eis om de belangrijkste risico's te overwegen tijdens de strategische planningscyclus. Risicobeoordelingen vormen de basis voor sommige operationele beslissingen.

4. De risicobereidheid en belangrijkste risicoblootstellingen vormen een actieve informatiebron voor de analyse van strategische opties, investeringsbeslissingen en het stellen van doelen. Risicometriek maakt deel uit van prestatiebeoordelingen.

5. Risicomanagement is volledig ingebed ('risicobewuste besluitvorming'). Strategie brengt risico/opbrengst expliciet in evenwicht. Risico-overwegingen sturen de toewijzing van middelen en innovatiekeuzes.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Hoofdstuk 3: Interne controle

6. Controleomgeving: Hoe goed is het interne controlebeleid en de interne controleprocedures van het bedrijf opgezet en gecommuniceerd met betrekking tot belangrijke financiële, operationele en nalevingsgebieden?(Vereist)

1. Controles zijn ad hoc, ongedocumenteerd of alleen afhankelijk van individuen. Weinig bewustzijn of communicatie.

2. Sommige belangrijke financiële controles zijn gedocumenteerd, maar operationele/compliance controles zijn fragmentarisch of informeel. De communicatie is inconsistent.

3. Er bestaan gedocumenteerde beleidslijnen/procedures voor belangrijke financiële, operationele en nalevingscontroles. Toegankelijk voor relevant personeel. Training vindt periodiek plaats.

4. Alomvattend controleraamwerk (bijv. gebaseerd op COSO), duidelijk gedocumenteerd (verhalen, stroomschema's), regelmatig bijgewerkt, effectief gecommuniceerd via meerdere kanalen. Controle-eigenaarschap is duidelijk.

5. Controleomgeving legt sterk de nadruk op integriteit/ethiek ('tone at the top'). Controles zijn geïntegreerd in processen, worden voortdurend verbeterd en versterkt door middel van training en prestatiemanagement.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Hoofdstuk 3: Interne controle

7. Controle monitoring: Hoe doeltreffend worden de interne controles gecontroleerd op hun blijvende doeltreffendheid, met inbegrip van regelmatige tests en identificatie van tekortkomingen?(Verplicht)

1. Geen formele monitoring. Problemen worden alleen geïdentificeerd wanneer zich storingen voordoen of door externe partijen.

2. Sommige basiscontroles of checklists worden inconsequent gebruikt voor belangrijke controles. Testen komen niet vaak voor of zijn niet streng genoeg.

3. Regelmatige monitoring door het management en/of periodieke tests door de interne audit van belangrijke controles. Tekortkomingen worden geïdentificeerd en bijgehouden, maar het herstel kan traag verlopen.

4. Op risico gebaseerd controleprogramma dat financiële, operationele en nalevingscontroles omvat. Mix van voortdurende controle en onafhankelijk testen. Tijdige rapportage en opvolging van herstelmaatregelen.

5. Continue controlebewaking (CCM) met gebruik van technologie waar mogelijk. Data-analyse gebruikt voor testen/monitoren. Proactieve identificatie en oorzakenanalyse van tekortkomingen. Metrieken die worden gebruikt om de algehele gezondheid van controles te beoordelen.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Hoofdstuk 4: Jaarlijkse evaluatie en zekerheid

8. Proces van effectiviteitsbeoordeling: Hoe rigoureus en uitgebreid is het *jaarlijkse* evaluatieproces van de raad van bestuur voor de beoordeling van de effectiviteit van de systemen voor risicobeheer en interne controle?(Verplicht)

1. Beoordeling is een vinkvakje, waarbij de bewering van het management zonder bewijs of discussie wordt geaccepteerd.

2. Basisbeoordeling vindt plaats, misschien alleen gericht op financiële controles of gebaseerd op beperkte managementrapportage. Heeft geen duidelijke reikwijdte of diepgang.

3. Formeel jaarlijks beoordelingsproces gedocumenteerd. Bestudeert managementrapporten en samenvattingen van interne audits met betrekking tot de belangrijkste systemen voor de periode. Bespreking door de raad van bestuur.

4. Streng proces dat gebruikmaakt van gedefinieerde criteria voor effectiviteit. Neemt meerdere bronnen van zekerheid in overweging, beoordeelt het ontwerp en de operationele effectiviteit, heeft betrekking op financiële, operationele en nalevingscontroles en identificeert gebieden die voor verbetering vatbaar zijn.

5. Evidence-based review, koppelt effectiviteit van controle expliciet aan belangrijkste risico's, houdt rekening met trends en toekomstgerichte factoren, daagt assurance providers uit, informeert toekomstige strategie/investering.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Hoofdstuk 4: Jaarlijkse evaluatie en zekerheid

9. Zekerheidsbronnen: Hoe doeltreffend gebruikt de raad van bestuur verschillende bronnen van zekerheid (bv. managementverklaringen, interne audit, externe audit, nalevingscontroles) om zijn jaarlijkse effectiviteitscontrole te onderbouwen?(Verplicht)

1. Vertrouwt bijna volledig op zelfbeoordeling door het management met weinig of geen onafhankelijke validatie.

2. Maakt voornamelijk gebruik van managementinformatie, met enige beperkte input van interne of externe audit gericht op specifieke gebieden (bijv. financiën).

3. Bestudeert rapporten van het management, interne audit (belangrijkste bevindingen) en externe audit (financiële controle). Begrijpt de reikwijdte van elk van hen.

4. Zoekt actief naar en integreert zekerheid vanuit meerdere lijnen (management, risico- en nalevingsfuncties, interne audit). Begrijpt beperkingen en overlappingen. Assurance mapping kan worden gebruikt.

5. Coördineert assurance-activiteiten strategisch (Combined Assurance-model). Raad evalueert kritisch de kwaliteit en reikwijdte van elke assurance-bron. Syntheseert bevindingen voor een holistisch beeld van effectiviteit.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Hoofdstuk 4: Jaarlijkse evaluatie en zekerheid

10. Afstemming interne audit: Hoe goed is de reikwijdte en focus van de interne auditfunctie afgestemd op de belangrijkste risico's die door het bestuur zijn geïdentificeerd?(Vereist)

1. Geen interne auditfunctie, of het plan ervan heeft een minimaal verband met de belangrijkste risico's (bijv. louter nalevings-/financiële controles).

2. Het interne auditplan erkent de belangrijkste risico's, maar de dekking is beperkt of de middelen zijn voornamelijk elders gericht (bijv. oude auditgebieden).

3. Bij de ontwikkeling van het interne auditplan wordt rekening gehouden met de belangrijkste risico's; de belangrijkste risico's krijgen in de loop van het jaar enige aandacht.

4. In het op risico's gebaseerde interne auditplan wordt duidelijk prioriteit gegeven aan de belangrijkste risico's (huidige en nieuwe). Auditactiviteiten bieden directe zekerheid over het beperken van deze risico's.

5. Dynamisch auditplan, continu bijgewerkt op basis van veranderend risicoprofiel. Interne audit biedt strategisch inzicht in de effectiviteit van risicomanagement en anticipeert op toekomstige uitdagingen.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Hoofdstuk 5: Rapportage en technologie

11. Toelichting jaarverslag: Hoe duidelijk, volledig en transparant is de toelichting in het jaarverslag over de belangrijkste risico's, het risicobeheer, het toezicht op de interne controle en de beoordeling van de effectiviteit door de raad van bestuur?(Verplicht)

1. De informatie ontbreekt, is minimaal, algemeen ("boilerplate") of voldoet niet aan de basisvereisten van de Code.

2. Informatieverschaffing dekt de vereiste elementen oppervlakkig. Risicobeschrijvingen zijn vaag; in de bevestiging van de beoordeling ontbreken details over het proces.

3. Voldoet aan de eisen van de Code. Belangrijkste risico's met korte risicobeperkende beschrijvingen. Bevestigt dat beoordeling heeft plaatsgevonden en de belangrijkste controlegebieden omvat (Fin, Ops, Comp).

4. Duidelijke, entiteitspecifieke toelichtingen. Legt uit hoe de belangrijkste risico's worden beheerd/beperkt, beschrijft het beoordelingsproces en vermeldt de conclusie van het bestuur over de effectiviteit (en eventuele significante tekortkomingen).

5. Zeer transparante, inzichtelijke informatieverschaffing. Biedt context over risicotrends/veranderingen, geeft details over de reikwijdte/aanpak van de beoordeling, legt de koppeling met de levensvatbaarheidsverklaring uit, maakt mogelijk gebruik van grafieken/metriek.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Hoofdstuk 5: Rapportage en technologie

12. Technologie: In welke mate maakt het bedrijf gebruik van technologie (bijv. GRC-software zoals Corporater) ter ondersteuning en stroomlijning van risicomanagement, controlebewaking, assurance-activiteiten en bestuursrapportage?(Verplicht)

1. Processen zijn volledig afhankelijk van handmatige methoden, losse spreadsheets, e-mail en Word-documenten. Gegevens zijn gefragmenteerd en moeilijk samen te voegen.

2. Sommige basistools worden in silo's gebruikt (bijv. een spreadsheet met risicoregisters, een aparte issue tracker). Beperkte automatisering of integratie.

3. Puntoplossingen gebruikt voor specifieke taken (bijv. risicobeoordelingstool, basisregistratie van controledocumentatie). Rapportage wordt enigszins geautomatiseerd.

4. Specifieke GRC-software of -modules die worden gebruikt voor kernprocessen (risico, controles, audit). Biedt workflow, centrale opslag en verbeterde rapportagemogelijkheden.

5. Geïntegreerd GRC-platform (zoals Corporater) dat strategisch wordt gebruikt door meerdere verdedigingslinies. Maakt continue monitoring, data-analyse, geautomatiseerde workflows, dynamische rapportage en één bron van de waarheid mogelijk.

Geef je antwoord aan(1 = Laag Volwassen, 5 = Hoog Volwassen) met behulp van de gedetailleerde scoringsgids onder elke vraag.

Vul hieronder uw gegevens in om de resultaten te ontvangen van uw enquête over risicomanagement en de mate waarin interne controles voldoen aan de UK Corporate Governance Code.

Voornaam(Verplicht)

Achternaam(Verplicht)

E-mail(Verplicht)

Organisatie(Verplicht)

bevestiging

Benieuwd hoe uw aanpak zich verhoudt tot die van anderen? Praat met een Corporater specialist om uw resultaten vertrouwelijk te bespreken, leer hoe uw programmascore zich verhoudt tot die van uw collega's en ontvang een gratis exemplaar van de lijst met aanbevolen interne controles voor UK CGC Bepaling 29.

Bepaling 29 Volwassenheidsbeoordeling

Doe de enquête

Hoe volwassen zijn uw processen voor risicobeheer en toezicht op interne controle? Beantwoord deze 12 vragen op basis van de UK Corporate Governance Code (Bepaling 29) om erachter te komen.

Hoofdstuk 1: Toezicht van de raad van bestuur en risicobereidheid

Hoofdstuk 1: Toezicht van de raad van bestuur en risicobereidheid

Hoofdstuk 1: Toezicht van de raad van bestuur en risicobereidheid

Sectie 2: Risicobeheerskader

Sectie 2: Risicobeheerskader

Hoofdstuk 3: Interne controle

Hoofdstuk 3: Interne controle

Hoofdstuk 4: Jaarlijkse evaluatie en zekerheid

Hoofdstuk 4: Jaarlijkse evaluatie en zekerheid

Hoofdstuk 4: Jaarlijkse evaluatie en zekerheid

Hoofdstuk 5: Rapportage en technologie

Hoofdstuk 5: Rapportage en technologie