Deze scriptie is geschreven door beide op persoonlijke titel

3. Event identification: identificatie van de interne en externe gebeurtenissen (mogelijk makenvan een onderscheid tussen kansen en bedreigingen en de laatste is de input voor riskassessment)4. Risk assessment: risico-inschatting of de beoordeling van de geïdentificeerde risico’s (hetbepalen van de kans en impact om vast te kunnen stellen hoe met de risico’s om te gaan)5. Risk response: reactie op risico’s (management maakt keuze hoe te reageren op de risico’srekening houdend met de risicovoorkeur en risicotolerantie. Keuzes zijn: accepteren, vermijden,beheersen en delen)6. Control activities: implementeren en onderhouden van procedures en handelswijzen methet doel op een adequate manier risico’s te onderkennen en hierop te reageren (bijvoorbeeld:review van verantwoordingsverslagen,functiescheiding en fysiekecontroles)7. Information and Communication: analysevan de informatie die functionarissenin een onderneming nodig hebbenom hun taak uit te kunnen voerenen het organiseren hiervan (om demensen in een onderneming in staat testellen hun taken en verantwoordelijkhedenuit te oefenen is informatie eenvereiste. De informatie moet wel gerichtzijn op de taak en verantwoordelijkhedenvan de persoon in de onderneming)8. Monitoring: het gehele bouwwerkERM moet gemonitord worden omvast te stellen dat het bouwwerk nogFiguur 14: COSO Kubus (bron: COSO, 2004)goed functioneert en adequaat is voorde situatie waarvoor het is ontworpen.Een derde dimensie dat in COSO-ERM voorkomt is dat de doelstellingen op verschillende niveausbinnen een onderneming zich manifesteren. Bijvoorbeeld op entiteit, divisie of een businessunit. De relatie tussen de drie dimensies heeft COSO afgebeeld in een kubus. Deze kubusis hierboven weergegeven.De COSO-ERMF methodiek kent een risico-universum voor managementdoeleinden waarbinneneen vijftal risicotypen betrekking hebben op de lagere hiërarchische niveaus. Het betreftprocesrisico’s, projectrisico’s, operationele sturingsrisico’s, management informatierisico’s enverantwoordingsrisico’s:- Procesrisico’s betreffen de gebeurtenissen die een bedreiging vormen voor het bereiken vande procesdoelstellingen. Het niet bereiken van procesdoelstellingen heeft mogelijk tot gevolgdat het achterliggende bedrijfsmodel van een organisatie niet adequaat functioneert;- Projectrisico’s ontstaan bij het uitvoeren van projecten en betreffen externe of interne factorendie het bereiken van projectdoelstellingen in de weg kunnen staan. Projectrisico’s kunnenzowel proces- als productgeoriënteerd zijn. Met procesgeoriënteerde projectrisico’sworden risico’s bedoeld welke samenhangen met de uitvoering van het project. Productgeoriënteerdeprojectrisico’s hebben betrekking op de kwaliteit van de uitkomsten van hetproject zoals een blauwdruk, een plan van aanpak en dergelijke;- Operationele sturingsrisico’s ontstaan bij het ontbreken van betrouwbare, tijdige en relevanteinformatie voor de operationele aansturing van processen en projecten. De gevolgen74