Hoe je als commissaris de weerbaarheid van de organisatie beoordeelt

Dit artikel kwam mede tot stand door Lisette Ens, Partner bij EY Parthenon Nederland.

Niet het vermijden van risico’s staat centraal, maar het doorgronden van onderlinge afhankelijkheden en het versterken van het aanpassingsvermogen van de organisatie.

In het kort:

• Weerbaarheid is een gezamenlijke verantwoordelijkheid van bestuurders en commissarissen.
• Effectief toezicht op weerbaarheid vraagt om kritisch vermogen: het stellen van de juiste vragen en het zorgvuldig beoordelen van de antwoorden.
• Het vraagt ook om het erkennen van de grenzen van de eigen expertise en het benutten van externe kennis; het is niet realistisch om alles zelf te weten.
• Inzicht krijgen in en het beheersbaar maken van de afhankelijkheden van de organisatie is cruciaal.

Wat houdt weerbaarheid eigenlijk in?

Weerbaarheid is het vermogen van een organisatie om zich voor te bereiden op, te reageren op, te herstellen van en zich aan te passen aan verstorende gebeurtenissen die de continuïteit van haar kern en kritieke diensten raken. Dit vermogen wordt ondersteund door een geïntegreerd geheel van organisatiebrede capaciteiten. Weerbaarheid beperkt zich niet langer tot incidentrespons en herstel, maar is een cruciale voorwaarde geworden voor het vormgeven van de toekomst en het creëren van duurzame waarde op de lange termijn.

Lieke Verstegen, Partner Technology Risk en Account Executive Defensie bij EY Nederland: “Voor organisatorische weerbaarheid is een gedisciplineerde, organisatiebrede en systemische benadering noodzakelijk, gericht op het vermogen van een organisatie te anticiperen, voorbereiden, reageren, aanpassen en herpositioneren. Weerbaarheid vraagt om een geïntegreerde holistische benadering.”

De bouwstenen van een weerbare organisatie

In een wereld waarin geopolitieke spanningen, economische onzekerheid, klimaatverandering, technologische ontwikkelingen en maatschappelijke veranderingen elkaar steeds sneller opvolgen, vraagt weerbaarheid om een integrale benadering. Organisaties die duurzaam succesvol willen blijven, moeten niet alleen in staat zijn verstoringen op te vangen, maar ook kansen te herkennen en zich aan te passen aan veranderende omstandigheden om zo hun strategische doelen te kunnen blijven realiseren. Om die brede weerbaarheid te versterken, onderscheiden we acht strategische thema’s. Samen vormen ze een samenhangend kader waarmee organisaties hun weerbaarheid kunnen beoordelen, versterken en toekomstbestendiger maken.

De 8 strategische thema’s van weerbaarheid

1. Strategie: aanpassen van het bedrijfsmodel aan geopolitieke, economische, klimaatgerelateerde en technologische ontwikkelingen door middel van scenarioplanning, een heldere portefeuillestrategie en datagedreven innovatie.
   
   
2. Toeleveringsketen: waarborgen van continuïteit door middel van alternatieve sourcing, risicomonitoring en strategieën die waarde creëren binnen de gehele waardeketen.
   
   
3. Financieel: waarborgen van financiële stabiliteit door middel van stresstests, risicobeheer en diversificatie om economische schokken en crises te kunnen opvangen.
   
   
4. Belasting, tarieven en regelgeving: beheersen van blootstelling aan fiscale wijzigingen, veranderende regelgeving en tarieven, terwijl structuren worden geoptimaliseerd voor compliance, in afstemming met de belangen van de business stakeholders.
   
   
5. Klimaat, natuur & innovatie: beheersen van klimaat-, energie- en biodiversiteitsrisico’s, het adresseren van ESG-prioriteiten en het benutten van circulariteit voor risicobeperking en waardecreatie.
   
   
6. Fysieke activa: beschermen van kritieke infrastructuur door middel van robuuste systemen, back-up en inzicht in onderlinge afhankelijkheden, om verstoringen van dienstverlening tot een minimum te beperken.
   
   
7. Technologie (o.a. AI), Cyber en Data: beschermen van data en systemen door middel van digitale weerbaarheid, het verantwoord toepassen van AI en het waarborgen van naleving van data governance- en regelgevingskaders.
   
   
8. Talent: opbouwen van een wendbare en toekomstbestendige workforce door middel van toekomstgerichte talentmodellen, opvolgingsplanning en strategieën om demografische en technologische ontwikkelingen op te vangen.

Weerbaarheid en digitale soevereiniteit

Lisette Ens, Partner bij EY-Parthenon Nederland: “Digitale soevereiniteit gaat niet alleen over data, alles zelf doen of weg van big tech, maar gaat over controle houden waar het ertoe doet. Digitale soevereiniteit begint in de boardroom niet met antwoorden, maar met de juiste vragen, expliciete keuzes en voorbereidingen. De vraag is niet óf je afhankelijk bent, maar waarvan, of je dat kunt accepteren en of je eruit kunt als het moet?”

Wat houdt digitale soevereiniteit in?

Wanneer er over digitale soevereiniteit wordt gesproken, gaat het vaak al snel over de vraag waar data wordt opgeslagen en welke leverancier de systemen beheert. Hoewel dat belangrijke aspecten zijn, is digitale soevereiniteit veel breder. Het draait in de kern om de mate waarin een organisatie zelf de regie houdt over haar digitale omgeving, ook wanneer omstandigheden veranderen, risico’s zich voordoen of externe partijen andere belangen krijgen. Een organisatie is pas echt digitaal soeverein wanneer zij zelfstandig kan blijven handelen, keuzes kan maken en de continuïteit van haar dienstverlening kan waarborgen, ongeacht afhankelijkheden van leveranciers, technologie of wet- en regelgeving.

Digitale soevereiniteit is geen one-size-fits-all; sector, kritikaliteit en regelgeving bepalen het niveau. Het vereist end-to-end controle over de gehele stack: data & toegang, applicaties & kernprocessen, integraties & keten, platform & software (incl. AI), infrastructuur (cloud en runtime) en de fysieke laag (hardware & locatie).

Digitale soevereiniteit rust daarbij op drie samenhangende pijlers.

1. Keuzevrijheid: de mogelijkheid om technische, operationele en governance- of risicobeslissingen zelfstandig te nemen, zonder afhankelijk te zijn van toestemming van leveranciers of beïnvloeding door externe juridische kaders.
   
   
2. Continuïteit: het vermogen om dienstverlening, processen en toegang tot systemen te behouden, ook wanneer leveranciers uitvallen, marktomstandigheden veranderen of nieuwe risico’s ontstaan.
   
   
3. Een aantoonbare exit- en fallbackstrategie: Organisaties moeten kunnen bewijzen dat zij snel kunnen overstappen naar een alternatief, workloads kunnen verplaatsen of kunnen terugkeren naar een veilige situatie zonder verlies van controle, zelfs in uitzonderlijke omstandigheden.

Samen zorgen deze drie elementen ervoor dat digitale soevereiniteit niet alleen gaat over eigenaarschap van data, maar vooral over duurzame controle, weerbaarheid en handelingsvrijheid in een steeds complexer digitaal landschap.

Implicaties voor commissarissen: inzicht in digitale soevereiniteitsrisico’s

Voor commissarissen is het essentieel te onderkennen dat digitale soevereiniteit aanzienlijk breder is dan de keuze van aanbieder of opslaglocatie van data. Effectief toezicht vraagt om integraal inzicht in digitale soevereiniteitsrisico’s over business, technologie en controles heen en in de mate waarin deze risico’s beheersbaar en gemitigeerd zijn. Daarbij geldt: houd het pragmatisch en begin klein. Niet elke organisatie hoeft direct een grootschalig transformatieprogramma te starten of te sturen op volledige soevereiniteit.

Digitale soevereiniteit vraagt om concrete, bestuurlijke keuzes: identificeer de echt kritieke onderdelen, bepaal een realistisch ambitieniveau, voer een gerichte afhankelijkheidsanalyse uit, test relevante scenario’s en richt passende governance in. Gebruik deze inzichten om als bestuur een proportionele aanpak te bepalen die past bij het risicoprofiel en de strategische prioriteiten. Zo wordt stapsgewijs en doelgericht waarde gecreëerd, zonder onnodige complexiteit.