9.2 Over ondernemen en beperkingen aan risicobeheersing: kritische faalfactoren voor bestuursbeslissingen

Verwezenlijking van een risico die tot verliezen leidt bij de vennootschap en derden, leidt niet noodzakelijkerwijs tot de conclusie dat er sprake is geweest van falend risicomanagement.1 Het kan een geoorloofd gevolg zijn van de ondernemersactiviteit. De OECD Steering Group Corporate Governance formuleerde dit aldus:

In het COSO-raamwerk wordt dit gegeven ook mooi verwoord:

In het rapport "Risk Management & Corporate Governance", dat hij in opdracht van de OECD schreef, gaf Anderson als aanbeveling:

De onderzoeksvraag van dit hoofdstuk is hoe de hoogte van de drempel voor aansprakelijkheid van bestuurders voor falend risicomanagement kan worden vastgesteld. In de praktijk is moeilijk bepaalbaar wanneer die drempel precies wordt overschreden. In het gezaghebbende boek over risicomanagement van Crouhy c.s. is dat als volgt omschreven: "This is because the results of a farm provide signals to its board and to the equity markets concerning the skills of its management, and it is not easy for shareholders to differentiate between volatility that's healthy and volatility that's caused by management incompetence. "5

In dit verband kan het nuttig zijn om te bezien welke factoren bepalen of een bestuursbeslissing tot een ongewenst negatief resultaat leidt. Dergelijke factoren zouden globaal kunnen worden ingedeeld in 3 categorieën: 1) psychologische factoren, die een optimale besluitvorming vertroebelen; 2) externe factoren die buiten de directe controle van de onderneming liggen (o.a. Acts of God); en 3) factoren die binnen de controle van de onderneming liggen. Ik noem deze factoren de kritische faalfactoren6 voor bestuursbeslissingen.

Bestuurders hebben die kritische faalfactoren niet altijd in de hand; zij kunnen bepaalde factoren en de effecten daarvan zelfs niet altijd beheersen. Dat is een belangrijke reden waarom vanuit aansprakelijkheidsperspectief bestuursbeslissingen niet moeten worden beoordeeld aan de hand van de uitkomst van die beslissingen. Waar het wel om gaat is de gevolgde procedure en logica van die besluiten.7 Dat verklaart ook waarom in rechtspraak over bestuurshandelen de proceszorgvuldigheid zo'n belangrijke rol speelt. Daar komt bij dat proceszorgvuldigheid relatief eenvoudig te toetsen is door rechters.

Welke logica volgen bestuurders eigenlijk bij besluitvorming over risico's? Interessant is in dit verband de indeling van categorieën denkwijzen die in de psychologie wel wordt gemaakt, bijvoorbeeld door Stanovich en West.8 Met system 1 thinking wijzen zij op ons intuïtieve systeem, dat wordt gekenmerkt door snelheid en automatisme en moeiteloos, impliciet en emotioneel is.9 Met system 2 thinking wordt denken aangeduid dat langzamer, bewust, inspanningsvol, expliciet en logisch is. Bij een dergelijk, rationeel, denkproces is een aantal stappen te onderscheiden. Voorbeelden van zulke stappen zijn: het bepalen van het probleem, het identificeren van de criteria, het vaststellen van de besluitvormingscriteria, het bepalen van alternatieven voor de oplossing van het probleem, het beoordelen van de alternatieven volgens de opgestelde criteria en ten slotte het nemen van een beslissing.10System 2 thinking kan ook bureaucratische vormen aannemen, wat zich weer moeilijk kan verhouden met ondernemerschap.

Uit onderzoek blijkt dat managers vaak system 1 thinking toepassen in de drukte en routine van de alledaagse bedrijfsvoering.11 Zo stelde een beschrijvend onderzoek van de Amerikaanse hoogleraar bedrijfskunde Mintzberg naar het werk van CEO 's vast, dat de helft van hun activiteiten korter dan 9 minuten duurde, waarbij slechts 10% van hun activiteiten meer dan een uur duurde.12 De snelheid waarmee zij hun taken moeten uitvoeren is onophoudelijk hoog, terwijl ontelbare afzonderlijke handelingen kort, gevarieerd en gefragmenteerd waren en zij frequent werden onderbroken bij de uitvoering daarvan.13

Voor veel managementbeslissingen is het niet nodig om system 2 thinking toe te passen.14 Het is om die reden dan ook niet noodzakelijkerwijs onbehoorlijk als bestuurders beslissingen nemen volgens system 1 thinking.

In aansprakelijkheidskwesties wordt hieraan in het algemeen voorbij gegaan. Bij bestudering van jurisprudentie onstaat al snel het beeld dat de betrokkenen zich alleen maar met het in het geding zijnde aspect van hun werk hadden moeten bezighouden, wat vervolgens onder een microscoop wordt gelegd en ontleed. Bovendien leggen rechters bij de beoordeling van het gevolgde beslissingsproces van bestuurders doorgaans criteria aan die passen in system 2 thinking. Dat zou echter geen automatisme moeten zijn. Eerst zou de vraag beantwoord moeten worden of er wel sprake is van een situatie die vereist dat system 2 thinking wordt toegepast.15

Op hun beurt moeten bestuurders in de praktijk ook vaststellen wanneer zij die vorm van rationeel denken moeten toepassen.16 Dat hangt onder meer af van de aard en complexiteit van de beslissing, de gevolgen van de beslissing, de tijdsdruk en preoccupatie met andere bestuurskwesties.17 Indien bestuurders voor materiële beslissingen geen sytem 2 thinking zijn gaan toepassen, lopen zij het gevaar dat dit als toerekenbare onbehoorlijke taakvervulling zal worden aangemerkt.

Bepaalde psychologische en praktische factoren verhinderen in de praktijk veelal dat een optimale beslissing wordt genomen. Zo wordt er regelmatig voorbij gegaan aan de best mogelijk oplossing ten faveure van een oplossing die acceptabel of redelijk is. Bij het nemen van beslissingen beschikken bestuurders om te beginnen niet over een menukaart met alle beschikbare alternatieven, en over duidelijke regels volgens welke daaruit een keuze zou moeten worden gemaakt. Het zoeken naar alternatieven kost tijd, energie en geld.18 Bestuurders zullen dus in de praktijk — met als gegeven dat hun tijd een schaars goed is — zoeken totdat zij een optie vinden die zal leiden tot een redelijk resultaat, in het licht van onder meer de ervaringen van de bestuurders en hun redelijke verwachtingen.19 Dat wordt wel aangeduid met satisfice: "rather than examining all possible alternatives, we simply search until we find a satisfactory solution that will suffice because it achieves an acceptable level of performance. "20

Het vennootschapsrecht stelt wel een ondergrens aan de kwaliteit van de beslissing die tot stand komt als gevolg van satisficing. Zo is een belangrijke gedragsnorm voor het bestuur dat het dient te handelen in het belang van de vennootschap en de met haar verbonden onderneming. Voor de raad van commissarissen is dit wettelijk vastgelegd in art. 2:140 lid 2 BW en volgens het Wetsvoorstel Bestuur en Toezicht zal dat ook voor het bestuur gebeuren.21 Uit deze ondergrens volgt dat het bestuur en de raad van commissarissen genoegen mogen nemen met een optie die in het belang van de vennootschap is en dat zij geen optie mogen kiezen die in strijd met het belang van de vennootschap is.22 Handelen in strijd met die norm kan aanleiding zijn tot aansprakelijkheid van bestuurders op grond van art. 2:9 BW.23

Naar mijn mening vergt het vennootschaprecht thans niet dat telkens die zakelijke beleidsafweging gemaakt dient te worden waarbij het belang van de vennootschap het meest is gebaat. Volgens Assink is dat echter één van de voor het bestuur geldende "uit de wet voortspruitende gedragsnormen", die voldoet aan het vereiste van een "voldoende duidelijke algemene rechtsopvatting dienaangaande"24.Deze stelling volgt niet uit de wet, of de jurisprudentie.25

Dat neemt niet weg dat een interessante vraag is, of het wenselijk zou zijn om een dergelijke gedragsnorm in het Nederlandse vennootschapsrecht te introduceren. Dat hangt uiteraard af van de inhoud van die gedragsnorm. Hoewel Assink aanvankelijk in zijn proefschrift betoogde dat de contouren daarvan voldoende scherp zouden zijn31, beschrijft hij in zijn oratie dat noch de wet, noch de literatuur voldoende houvast bieden32 en komt hij tot een eigen invulling van het begrip "belang van de vennootschap".33

Ik plaats een aantal kritische kanttekeningen bij het criterium "meest in het belang van de vennootschap". Een eerste probleem is dat het moeilijk is toe te passen. Het belang van de vennootschap is in het Nederlandse recht volgens de meest gangbare opvatting een resultante van diverse deelbelangen.34 Hoe kan worden vastgesteld of een beleidsafweging "het meest in het belang van de vennootschap" is? Hoe om te gaan met het verschijnsel dat dit belang kan "verkleuren" al naar gelang de aard van de vennootschap of de situatie waarin deze verkeert?35 Hoe dienen de verschillende belangen die in het Rijnlandse model een rol spelen te worden gewogen? Hoe dienen de principes van maatschappelijk verantwoord ondernemen (people, planet, profit) daarbij te worden toegepast? De vraag is ook vanuit welk perspectief het criterium moet worden bezien; objectief of subjectief (vanuit het perspectief van de bestuurder).36In dit verband speelt tevens de vraag of indien handelen in strijd met datgene wat het "meest in het belang van de vennootschap is" een tekortkoming in de behoorlijke taakvervulling zou zijn, in bepaalde situaties niet te snel een tekortkoming zou kunnen worden aangenomen. Dat zou ertoe kunnen leiden afhankelijk van de andere criteria van de "aansprakelijkheidsnorm" en de rechterlijke toetsingsnorm — dat uiteindelijk de drempel voor aansprakelijkheid van bestuurders niet hoog genoeg komt te liggen.

In Assinks benadering lijkt de oplossing voor deze problematiek — naast zijn autonome, perspectivische benadering van het begrip "belang van de vennootschap" — met name een terughoudende rechterlijke toetsing te zijn volgens de in zijn proefschrift verdedigde variant van de business judgment rule. Toetsing of de vennootschap het meest was gebaat bij de gemaakte zakelijke beleidsafweging zal in die systematiek doorgaans slechts aan de orde zijn indien er sprake is van een substantieel tegenstrijdig belang — dit is een uitzondering op de door Assink geformuleerde hoofdtoetsingsregel.37 De systematiek van een business judgment rule wordt thans echter niet toegepast in het Nederlandse recht.38 Mijn punt van zorg daarbij is dat in ieder geval moet worden voorkomen dat er enerzijds een nieuwe, zwaardere gedragsnorm wordt geïntroduceerd, terwijl anderzijds niet een voldoende terughoudende rechterlijke toetsing wordt toegepast.

Een tweede aandachtspunt betreft de weging van belangen van de bij de vennootschap betrokken stakeholders, zoals het Rijnlands model dat kent. In de Verenigde Staten en Engeland wordt het belang van de vennootschap bezien vanuit het perspectief van de aandeelhouders of members.

Zie in dit verband het recht van Delaware dat ervan uitgaat dat directors hun fiduciairy duties moeten vervullen "in the best interests of the corporation for the benefit of its shareholders".39 Illustratief is ook de Engelse wetgeving. Section 172(1) van de Companies Act 2006 — die in het Engelse parlement tot grote controverse heeft geleid40 — bepaalt: "A director of a company must act in the way he considers, in good faith, would be most likely to promote the success of the company for the benefit of its members as a whole [...]" Voornoemd artikel somt vervolgens een aantal specifieke belangen van bij de vennootschap betrokken partijen op, waarop onder meer acht geslagen (having regard to) moet worden. In Engeland is bij het opstellen van de Companies Act 2006 bewust gekozen om niet de voordien in de common law gebruikte formule "best interests of the company" te gebruiken, omdat dit onvoldoende houvast bood aan directors als richtsnoer bij hun handelen.41

Zowel in Delaware als Engeland dienen de inspanningen van directors primair gericht te zijn op de belangen van de aandeelhouders.42 Weliswaar kunnen directors rekening houden met de belangen van andere stakeholders, maar hun belangen hebben niet een gelijkwaardige status aan die van de belangen van de aandeelhouders.43 Onder de Enlightened shareholder value filosofie44— waarop Section 172(1) Companies Act 2006 is gebaseerd — hoeft er alleen rekening te worden gehouden met andere stakeholders, voor zover dat wenselijk is om het succes van de vennootschap te bevorderen in het belang van de members.45 Deze vooronderstelling past niet in het Rijnlandse model zoals wij dat thans kennen, dat wat dat betreft dus bij de belangenafweging een minder duidelijk richtpunt heeft:4647

Een derde kanttekening betreft het model dat ten grondslag ligt aan de theorie van "belangmaximalisatie". Het Angelsaksische shareholders model is gebaseerd op de gedachte van de homo economicus. Dat is een model waarin de mens eerst en vooral een rationeel, economisch wezen is, gericht op de maximalisatie van zijn economische belangen.48 Dit model gaat uit van rationeel handelen op basis van bekendheid met alle feiten. Er zijn twee belangrijke problemen met dit model: a) er is geen volledige bekendheid met feiten — de mens wordt geconfronteerd met een onzekere wereld; en b) er wordt niet altijd rationeel gehandeld. Het model van de homo economicus ligt ook onder vuur van onder meer vooraanstaande economen, sociologen en psychologen.49 Onderkend moet worden dat de theorie van de rationele keuze slechts een deelverzameling uitmaakt van de studie naar besluitvorming (decision theory). De afweging of het wenselijk is om een gedragsnorm voor bestuurders te introduceren in het Nederlandse vennootschapsrecht, dat gebaseerd is op dit economische model, waaraan belangrijke beperkingen verbonden zijn, dient zeer zorgvuldig te worden gemaakt.

Het vennootschapsrecht dient naar mijn mening het aspiratieniveau in ieder geval niet zo hoog te leggen dat van bestuurders en commissarissen wordt gevergd dat zij net zo lang moeten blijven zoeken naar alternatieven en blijven wikken en wegen totdat zij het alternatief hebben gevonden waarmee het belang van de vennootschap het meest is gebaat. Dat zou binnen de context van om hun aandacht concurrerende activiteiten geen realistische eis zijn en kan bovendien op zichzelf weer in strijd met het belang van de vennootschap zijn, gezien de daarmee gepaard gaande schaarse middelen tijd, energie en geld.

Dat is overigens ook niet wat Assink voor ogen staat50: wat hem betreft impliceren de woorden "het meest gebaat" niet het instaan voor enig resultaat, maar verduidelijken deze waarnaar de bestuurder dient te streven in het kader van die gedragsnorm, op basis van de voorhanden informatie, verkregen — naar ik begrijp — in het kader van het proces van het maken van de zakelijke beleidsafweging op een geïnformeerde grondslag en doordachte wijze. Volgens Assink wordt van de bestuurder verwacht dat hij op geïnformeerde grondslag en doordachte wijze die zakelijke beleidsafweging maakt waarbij, vooruitkijkend en naar verwachting — vanuit een ex ante prespectief bezien — het belang van de vennootschap het meest is gebaat.51

Ik kom nu terug op de hiervoor genoemde eerste kritische faalfactor voor bestuursbeslissingen: de psychologische factoren die een optimale besluitvorming vertroebelen. Er zijn verschillende biases die bestuurders parten kunnen spelen bij het nemen van besluiten.52 Deze spelen een rol bij het verzamelen en interpreteren van gegevens, de weging die men aan verschillende factoren geeft en het schatten van kansen of waarschijnlijkheid.53 Veelal is de beslisser zich niet bewust van de verschillende biases die hem belemmeren in een optimale besluitvorming. Dit soort biases kunnen leiden tot een "foute" beslissing. Gezegd kan worden dat het bestaan van dat soort biases behoort tot de sfeer — en dus het risico — van degene die de beslissing neemt. Maar als het gaat om aansprakelijkheid van bestuurders, wordt daarvoor juist een hoge drempel opgeworpen. Zeker wanneer men bedenkt dat het nemen van een "foute" beslissing in belangrijke mate kan worden veroorzaakt door psychologische factoren, ligt het voor de hand om ook bij psychische maatstaven verwijtbaarheid oftewel schuldmaatstaven — aan te sluiten bij het bepalen van aansprakelijkheid en daarbij voor het effect van die factoren een marge aan te houden. Dit pleit ook tegen toerekening krachtens verkeersopvattingen: eerst als er een bepaald bewustzijn is bij de bestuurder (bijvoorbeeld van die bias), dient de aansprakelijkheid in beeld te komen.54 Zoals in hoofdstuk 2 uiteengezet, lijkt in de praktijk echter veeleer sprake te zijn van een verdergaande vorm van toerekening, krachtens objectieve schuld, of zelfs verkeersopvattingen.

Ik vind in het voorgaande ook een belangrijk argument om te stellen dat voor aansprakelijkheid van bestuurders vereist is dat er sprake moet zijn geweest van een zware schuldgradatie bij de bestuurder; bewuste roekeloosheid of opzet.55 Net als voor aansprakelijkheid van werknemers uit hoofde van art. 7:661 BW.56 Dat zou dan ook als toerekeningsmaatstaf moeten gelden.57

Er is echter nog een andere drempel. Een ander punt is immers dat het moeilijk is om vast te stellen wat een "foute" beslissing is. Een voorbeeld. Ten behoeve van een investering sbeslissing maakt een bestuurder een schatting van het aantal producten dat de onderneming in de volgende 5 jaren zal verkopen. Hij schat dat er een kans is van 80% dat de onderneming in die periode tenminste 200.000 producten zal verkopen en een kans van 20% dat de onderneming dan minder dan 200.000 producten zal verkopen. Als de onderneming overgaat tot de investering, en de onderneming minder dan 200.000 producten verkoopt, zal de onderneming failliet gaan (ceteris paribus). Na 5 jaar blijkt dat er maar 100.000 producten zijn verkocht en de onderneming gaat failliet. Hoe is nu vast te stellen dat het een "foute" beslissing was? Het kan zijn dat de bestuurder de kansverdeling goed had geschat, maar dat door externe factoren de kwade (20%) kans zich verwezenlijkte. Maar ook mogelijk is dat de bestuurder de kansverdeling verkeerd heeft geschat: dat in werkelijkheid er een kans van 80% was dat de onderneming minder dan 200.000 zou verkopen en maar 20% dat de onderneming tenminste 200.000 producten zou verkopen.58

De moeilijkheid hierbij is dat in werkelijkheid de "echte" kansverdeling niet objectief is vast te stellen, zodat eigenlijk niet duidelijk wordt welke van laatstgenoemde twee scenario's zich verwezenlijkt heeft. Het moet wel om hele evidente gevallen van "foute" beslissingen gaan, wil dat gedrag benoemd kunnen worden als onbehoorlijke taakvervulling.59En dat is dan eigenlijk niet eens zozeer omdat een bestuurder ontegenzeggelijk beleidsvrijheid heeft, maar omdat er nu eenmaal een grote bandbreedte kan bestaan bij de beoordeling van bestuurlijk handelen.

Daar komt nog het gevaar bij van de hindsight bias en de curse of knowledge bij rechters die moeten oordelen over dat handelen. De hindsight bias is het verschijnsel dat kennis over de uitkomst van een bepaalde gebeurtenis bij een persoon de overtuiging doet toenemen dat hij de uitkomst daarvan ook had kunnen voorspellen indien hij niet had geweten wat de daadwerkelijke uitkomst is.60 De curse of knowledge houdt ermee verband dat indien men tracht te schatten over welke wetenschap anderen op een bepaald moment beschikten, mensen niet in staat zijn om de kennis te negeren die zij zelf wel, doch de anderen destijds niet hadden.61

Dit alles pleit ervoor dat ook voor de beantwoording van de vraag of een bestuurder een "foute" beslissing heeft genomen — of hij zijn taak onbehoorlijk heeft vervuld en daarmee een gedragsnorm heeft geschonden — een hoge drempel dient te worden opgeworpen in de rechtspraktijk.

Aan vervulling van de bestanddelen voor aansprakelijkheid van bestuurders kan naar mijn mening dus eerst worden toegekomen als twee hoge drempels zijn gepasseerd: zowel de hoge drempel van de gedragsnormschending (die van de behoorlijke taakvervulling) als de hoge drempel van de toerekenbaarheid (opzet of bewuste roekeloosheid). Daarnaast dient uiteraard nog sprake te zijn van schade, een causaal verband tussen schending van de gedragsnorm en die schade en relativiteit.

De effecten van de verschillende biasen die bestuurders parten kunnen spelen, kunnen overigens worden verminderd door rationele beslissingsmodellen (system 2 thinking) toe te passen.62 Te denken valt aan (al dan niet gecomputeriseerde) besluitvormingsmodellen. Dergelijke modellen zorgen ervoor dat bepaalde voor de beslissing relevante criteria of richtlijnen systematisch worden toegepast in het maken van analyses, zonder dat deze worden vertroebeld door de gemoedstoestand en subjectieve interpretaties van de beslisser, de omgeving, deadlines etc.63 Eén van de andere manieren om de kwaliteit van het besluitvormingsproces te verbeteren is het raadplegen van een deskundige.64 De gevolgde proceszorgvuldigheid kan in belangrijke mate bijdragen aan de kwaliteit van het aldus tot stand gekomen besluit.65 Dat in een belangrijk deel van rechterlijke beslissingen de proceszorgvuldigheid van bestuurlijke besluitvorming centraal staat, is derhalve te verantwoorden gezien het belang daarvan binnen het psychologische proces van besluitvorming.66

Dit gezegd zijnde, kom ik op de laatste twee kritische faalfactoren: de externe omstandigheden die de onderneming niet in de hand heeft en de factoren die wel binnen de controle van de onderneming liggen; ofwel externe en interne risico's. Voor beide categorieën geldt in principe dat bestuurders strategieën kunnen kiezen ten aanzien van de vraag hoe zij met deze risico's willen omgaan. Daarvoor kunnen procedures en systemen worden opgezet: risicobeheersingssystemen. Met het opzetten van dergelijke systemen geven bestuurders op een aantal niveaus feitelijk een invulling aan de behoorlijke taakvervulling die van hen wordt gevergd.

Allereerst is het doel van het opzetten van dergelijke systemen dat op redelijke wijze wordt gewaarborgd dat er ten aanzien van risico's op bestuursniveau volgens een rationele beslissingsmethode (system 2 thinking) besluiten kunnen worden genomen; dat er verantwoorde schattingen kunnen worden gemaakt. Dat kan onder meer doordat de beschikbare informatie voor het bestuur wordt vergroot door data van binnen de hele organisatie te verzamelen, door in een bottom-up proces schattingen van binnen de organisatie worden geaggregeerd tot het bestuursniveau, zodat beslissingen in mindere mate worden beïnvloed door persoonlijke biases die van toepassing zijn op de relevante bestuurders en mogelijk ook (gecomputeriseerde) beslissingsmodellen worden toegepast.

In de tweede plaats hebben deze systemen tot gevolg dat er een redelijke waarborg kan worden gegeven dat de bestuurders in staat zijn om op basis van de aldus verzamelde informatie te komen tot inhoudelijk verantwoorde externe mededelingen over de onderneming en haar activiteiten.

Ten derde geeft het opzetten van risicobeheersings- en interne controlesystemen invulling aan en uitvoering van de taak van het bestuur om toezicht te houden op de lagere niveaus binnen de onderneming.

In dat licht is het ook van belang te onderkennen dat er duidelijke beperkingen zitten aan risicobeheersing. Risico's zijn niet altijd volledig te ontwijken of te beheersen. Het COSO-raamwerk identificeert in dat verband drie verschillende concepten:67

Hierbij spelen twee van de kritische faalfactoren: de factoren die binnen de controle van de onderneming liggen en externe factoren, die buiten de directe controle van de onderneming liggen. Daarbij kan een onderscheid worden gemaakt tussen de beheersbaarheid van verschillende typen risico's. Allereerst risico's op het gebied van verslaggeving en compliance met wet- en regelgeving. Op dat gebied kan risicobeheersing een redelijke mate van zekerheid geven dat de door de onderneming te stellen doelstellingen op dat gebied worden gehaald — de vennootschap kan in principe immers controle hebben over de eigen organisatie en dat daarbinnen wordt voldaan aan wet- en regelgeving en er ligt een relatief vastomlijnd, algemeen aanvaard normenkader voor.68 Anders ligt dat met het bereiken van strategische en operationele doelen van de vennootschap. Het bereiken daarvan is ook afhankelijk van externe gebeurtenissen, die niet altijd door de vennootschap kunnen worden gecontroleerd, en voor de beheersing waarvan geen duidelijke normen gelden. Weliswaar kunnen die externe gebeurtenissen worden meegenomen in het besluitvormingsproces over de doelstellingen van de onderneming, en kan worden geschat wat de waarschijnlijkheid is dat bepaalde risico's zich zullen voordoen en kan een contingencyplan worden opgesteld voor het geval deze zich zullen verwezenlijken, maar dat zal op zijn best tot gevolg hebben dat de effecten van die risico's zullen worden gemitigeerd — er is geen zekerheid dat de strategische en operationele doelen zullen worden verwezenlijkt.69

Een risicobeheersingssysteem vindt zijn beperking in de omstandigheid dat de onderneming niet altijd controle heeft over externe omstandigheden, de kosten/baten-analyse die moet worden gemaakt bij het opzetten van het systeem en het nemen van beslissingen binnen dat systeem en ten slotte fouten die worden gemaakt bij de risicobeheersing. Die beperking maakt dat het bestuur nooit absolute zekerheid heeft dat het de gestelde doelen zal bereiken.

Het gaat er wel om dat het risicobeheersingssysteem, in de bewoordingen van het COSO-raamwerk:

In het COSO-raamwerk wordt ook beschreven wat onder reasonable assurance moet worden verstaan:

De in best practice bepaling 11.1.5 van de Nederlandse Corporate Governance Code 2008 voorgeschreven inhoud van de "in control"-verklaring ziet inmiddels ook op een redelijke mate van zekerheid.

Een behoorlijke taakvervulling op het gebied van risicobeheersing vergt dus niet een resultaatsverplichting dat alle risico's te allen tijde volledig worden beheerst, maar betreft veeleer een inspanningsverplichting,72 waarbij het erop aankomt of er procedures zijn opgezet opdat belangrijke risico's binnen de onderneming worden gesignaleerd, transparant gemaakt binnen de organisatie en gerapporteerd aan het bestuur en de raad van commissarissen. Dat is een belangrijk uitgangspunt in de aansprakelijkheidsproblematiek.

Het resultaat van een effectief risicobeheersingssysteem is dat het bestuur een redelijke mate van zekerheid heeft met betrekking tot het bereiken van de gestelde doelen.73

Zoals hierna in par. 9.5.2 nader zal worden uitgewerkt, geldt ook bij aansprakelijkheid voor risicobeheersing dat niet het resultaat van de risicobeheersingssystemen bepaalt of er sprake is van onbehoorlijke taakvervulling. Ook hierbij gaat het met name om de gevolgde procedures en de logica van de besluiten terzake.