Het is de klassieke taak van de jurist: identificeren en beheersen van risico’s. Contracten bekijken, nagaan of een bedrijf voldoet aan de regelgeving. Maar de afgelopen decennia zijn er steeds meer verplichtingen voor grote organisaties gekomen om aan ‘risicomanagement’ te doen. Zo moet vaak in het jaarverslag worden gerapporteerd wat de (organisatiebrede) risico’s zijn of een systematiek worden opgetuigd om die risico’s te identificeren, te beheersen en te voorzien van voldoende financiële dekking. Kunnen klassieke juristen dat wel?
Prioriteiten
Volgens docent risicomanagement Robert ’t Hart (Universiteit Twente, eigenaar Naris GRC software) zijn juristen ‘risicotechnisch’ goed ingesteld: ze denken aan datgene wat mis kan gaan en leggen dat goed vast in contracten. “Met risicomanagement kun je laten zien dat bepaalde risico’s groot zijn en extra aandacht vragen, en dat andere risico’s wel meevallen. De kracht van risicomanagement is het stellen van prioriteiten. Ik zie wel een cultuurclash: de risk manager besteedt aandacht aan de grote risico’s en durft kleine risico’s los te laten, terwijl de jurist vaak álles wil vastleggen. Die laatste streeft perfectie na, terwijl hij beter kan kiezen, en dus loslaten.” Het risk appetite van de gemiddelde jurist kan wel wat omhoog, denkt ’t Hart. Risicomanagement is voor velen iets nieuws, het valt buiten hun comfortzone.
Gemiste kans
Dat concludeert ook Ivar Timmer, die onderzocht hoe juridisch risicomanagement beter kan worden georganiseerd. Begin maart promoveerde hij (aan de Vrije Universiteit) op een proefschrift waarin aan de orde komt hoe het ‘moderne’ juridische risicomanagement zich verhoudt tot de meer klassieke taken van juristen. Die verbinding tussen het klassieke en nieuwe wordt maar beperkt gelegd, ontdekte Timmer, wat hij een ‘gemiste kans’ kans noemt. “Juristen worden niet systematisch meegenomen in besluitvorming van organisaties, juist omdat ze onvoldoende aanhaken bij risicomanagement. Het juridisch risicomanagement is nog niet volwassen. Juristen zouden de afdeling risicomanagement moeten opzoeken, de afdeling risicomanagement moet juristen opzoeken. Nu zijn het twee gescheiden silo’s. Waar er twee tekortschieten hebben er twee schuld.”
Bredere kijk
Hans Albers, director Legal Management Consulting bij Deloitte Legal, herkent dat beeld. Ook hij weet uit ervaring dat bedrijfsjuristen ondernemingsrisico’s vooral casuïstisch benaderen. Met uitzondering van bepaalde financiële instellingen, die moeten wettelijk gezien een register bijhouden van alle integriteitsrisico’s, juist om het publiek te beschermen. In de private sector ontbreekt die plicht, daar zijn de risico’s voor rekening van de aandeelhouders en werknemers. “Daar kijken juristen puur naar de juridische risico’s, een enkele keer ook naar de financiële risico’s of kans op handhaving of boetes – als er in het contract zaken staan die wettelijk niet mogen, zoals wanneer dataverwerking in strijd is met privacywetten. Maar een bredere kijk dan sec het juridische begint wel steeds meer aandachtspunt te worden.”
Juridische expertise
Toch constateert onderzoeker Timmer: het juridisch risicomanagement functioneert verre van optimaal. Juristen werken te reactief, ze komen pas in actie als de brand is uitgebroken. “Bij correct risicomanagement moeten ze proactief en preventief leren werken. Dat wordt al jaren geroepen, maar komt maar niet van de grond. Risicomanagement is daarbij een heel goed voertuig. Je scant dan periodiek en systematisch de organisatie: waar zijn de risico’s en zetten we op die gebieden voldoende juridische expertise in. Nu is het toch vaak dat juristen hun specialisatie hebben en doen wat ze nuttig vinden. Er is fors winst te boeken als juridische afdelingen meer gebruik maken van methoden van risicomanagement.”
In de kinderschoenen
Ook uit Timmers onderzoek blijkt dat het juridisch risicomanagement bij banken het verst is ontwikkeld, vanwege de zware wettelijke verplichtingen. “Afdelingen compliance, operationeel risicomanagement en juridisch praten met elkaar. Maar ook daar valt nog veel te winnen bij betere afstemming.” Het juridisch risicomanagement bij gemeenten en bedrijven staat nog in de kinderschoenen, en bij non-profit-organisaties zit het nog in de ‘embryonale fase’.
Kwantificeren
Net als Albers wijst Timmer op de casuïstiek, waar juristen goed in zijn maar wat onvoldoende is voor een efficiënt risicomanagement. “Als je een casus behandelt, moet je eigenlijk bedenken: hoe vaak komt zoiets voor? Dan moet je kwantificeren en dat kunnen juristen niet goed. Ook moeten ze inschatten welke risico’s daarmee zijn gemoeid. Hoe groot is die kans en hoe erg zijn de gevolgen? Wat betekent dit voor de hele organisatie? Klassieke juristen werken casuïstisch en kwalitatief. Doen ze aan risicomanagement dan werken ze systematisch, procesmatig en kwantitatief. Dat verschil moet worden overbrugd. Daarvoor moeten juristen eerst leren wat risicomanagement is en welke methoden en instrumenten nodig zijn.”
Spin in het web
Ook ‘t Hart constateert dat juristen te weinig worden betrokken bij het organisatiebrede risicomanagement. “In de financiële verslaglegging moeten ook risico’s staan. Risicomanagement zit vaak bij de afdelingen finance en control. Hier kunnen juristen een grotere rol spelen, maar ze worden er niet bij betrokken. De gemiddelde jurist kan, omdat deze doorgaans sociaal vaardig is, een goede spin in het web zijn.”
Kiezen
Dat dit onvoldoende gebeurt – hoewel het probleem allang bestaat – komt volgens ’t Hart door de hoeveelheid werk die juristen moeten verstouwen. “De hele omgeving is juridisch: contracten moeten op orde zijn, wet- en regelgeving neemt toe, er spelen altijd geschillen.” Toch zouden juristen – desnoods na een uitbreiding van de juridische afdeling – moeten leren strategisch te denken, vindt ’t Hart: “Dichter bij de business”. Bij grote bouwbedrijven stellen risk managers en juristen vaak al samen het risicoprofiel op, zo zou het moeten: een proactieve adviesrol. En kiezen. “Het is nagenoeg onmogelijk om voor honderd procent compliant aan de AVG te zijn. Wetgeving is niet meer zwartwit maar grijs. Dus je moet altijd risico’s accepteren, zowel als jurist maar ook als gehele organisatie. Breng in kaart wat de tien grootste juridische risico’s zijn en pak daar je verantwoordelijkheid, en vergeet die kleine dingen even. Focus, dát is risicomanagement.”
Brandjes blussen
Dat risicomanagement nog niet goed van de grond komt, komt volgens Timmer ook door de ‘relatief dun bezette’ juridische afdelingen. “Er is veel werk voor weinig mensen. Veel brandjes blussen, weinig tijd voor preventieve activiteiten. Dat komt ook omdat juridische afdelingen vaak worden gezien als een kostenpost. In de perceptie van de directie is zo’n afdeling duur, maar levert het niet direct op.” Volgens Timmer is het niet verkeerd om meer juristen aan te nemen, maar het is beter als er meer proactieve juristen komen om de risico’s te managen en naar de organisatie als geheel kijken. “Dan leveren ze ook meer op.”
Kostenpost
Wil juridisch risicomanagement goed van de grond komen, dan moet wel de interne informatievoorziening op orde zijn. “Stel: er is een probleem met een contract. Het zou mooi zijn als je met één druk op de knop kunt achterhalen welke vergelijkbare contracten er zijn met zo’n probleem. Dan pas kun je goed bedrijfsrisico’s inschatten. Dan worden risicojuristen waardevoller en minder gezien als een kostenpost.”
Niet meetbaar
In de kern komt het volgens Albers van Deloitte neer op de vraag: hoe kunnen legal departments efficiënter werken? Wie niet werkt volgens processen, loopt meer risico’s. Wie over veel data beschikt kan risico’s beter analyseren en dan meer gefundeerde beslissingen nemen. “Maar nog steeds zeggen veel juristen: ik doe mijn ding en dat is niet meetbaar. Die kijken te weinig over hun juridische schotten.”
Traditioneel
De oorzaak daarvan ligt nog te vaak in opleiding en trainingen, die nog vrij traditioneel zijn. Wel ziet Albers verschuivingen: steeds vaker zit een general counsel of een hoofd juridische zaken in de raad van bestuur of daar dicht tegenaan. “Die wordt dan een bredere strategische adviseur die risico’s eerder kan afvangen.”
Blik juristen
Méér juristen is volgens Albers niet de oplossing, wel dat de huidige juristen anders leren denken. “Een jurist besteedt een groot deel van zijn tijd aan standaardwerk. Dat kun je soms automatiseren en outsourcen, de Big Four kunnen daar veel van overnemen. Dan krijgen bedrijfsjuristen meer tijd voor strategische vraagstukken, risico-inschatting en risicomanagement. Vroeger zeiden we: trek maar een blik juristen open of geef het maar aan de advocaten als het te veel wordt. Dat denken is nu wel achterhaald.”
