Enterprise Risk Management op Blockchain

###### Is Blockchain een hype? Blockchain is bedoeld om processen efficiënt en veilig te laten verlopen (Nakamoto, 2008). Dit heeft mij aangezet om een Blockchain minor te gaan volgen op Saxion in het kader van de toekomstige professional. Nu ben ik aan het afstuderen voor mijn opleiding Finance & Control; ik hou mij bezig met Enterprise Risk Management (hierna: ERM). Als toekomstige professional ben ik in opdracht van Dr. ing. Jan Veuger MRE FRICS, Professor Blockchain & Leading professor Saxion Blockchain Institute, een onderzoek gestart naar de mogelijkheden van de registratie van ERM op Blockchain. Op basis van het onderzoek worden de redenen beschreven voor ondernemingen om ERM op Blockchain te registreren of juist niet, waarbij in kaart wordt gebracht wat de voordelen en de nadelen zijn.  Dit artikel maakt onderdeel uit van afstudeeropdracht in ERM (Sarojan, 2019). Met de Blockchain is een aanvoelende dimensie toegevoegd aan dit onderzoek. Hieronder worden de belangrijkste aspecten beschreven. Ten eerste wordt het bouwen van Blockchain beschreven. Vervolgens worden de voordelen en de nadelen van het bouwen van Blockchain in kaart gebracht. Tot slot volgt er een conclusie met betrekking tot registratie van ERM op Blockchain. #### Het ontwikkelen van een Blockchain Op basis van mijn onderzoek, waarbij zowel Blockchain experts Chhay Lin Lim, Arthur Janse en Jan Veuger als ERM experts Erik Knopert en Heini Koornberg zijn betrokken, heb ik vastgesteld dat het mogelijk is om een Blockchain te bouwen voor het registreren van ERM op Blockchain (bijlage 1: samenvatting gesprekken). Dit is mogelijk doordat Blockchain een systeem is dat gebruikt kan worden om gegevens vast te leggen (Deloitte, 2019). In de organisaties wordt grootte waarde gehecht aan instrumenten die praktisch zijn (Knopert & Koornberg, 2019). Echter, is de vraag of Blockchain geschikt is voor ERM, onder welke voorwaarden en wat de impact is op een onderneming. Om Blockchain te bouwen zijn een aantal belangrijke aspecten die hierbij komen kijken. Ten eerste moet de organisatie minimaal drie servers beschikbaar stellen (Lim, 2019). Twee van deze servers zijn voor het draaien van de nodes. Het zou beter zijn om per server één of meerdere nodes te draaien, zodat de Blockchain gedistribueerd is over een groter netwerk en er geen Single Point of Failure is. De derde server is voor het draaien van de applicatie die de front-end, user interface van ERM, koppelt met de backend. Ten tweede dienen er programmeurs aangenomen te worden die beschikken over de volgende skills, namelijk: front-end, back-end en een database engineer (Lim, 2019). Ten derde er hoeft maar één node aanwezig te zijn om een private Blockchain te draaien. Echter, maakt dit Blockchain overbodig. Een belangrijke vraag die gesteld dient te worden is hoe gedecentraliseerd met de Blockchain wil hebben. Volgens Lim (2019) zijn drie nodes wel minimaal vereist om enigszins te kunnen genieten van de voordelen van een gedistribueerd grootboek bij een private Blockchain. Ten slotte moet je iemand in dienst hebben die dit gaat onderhouden (Lim, 2019). Dit is een kostbaar project indien een organisatie geen mensen in huis heeft met deze vakinhoudelijke kennis. Hierbij moet goed vastgesteld worden wat de voordelen en de nadelen zijn. ##### De voor- en nadelen van Blockchain Blockchain is een waterdicht systeem waarbij de veiligheid gegarandeerd is (Deloitte, 2019). Elke transactie die op de Blockchain plaats vindt, zal gecontroleerd worden door alle computers die aangesloten zijn op het Blockchain netwerk. Hierdoor is het praktisch onmogelijk om te frauderen. Een ander voordeel is dat bij Blockchain alle deelnemers mee kunnen kijken welke data is geregistreerd. Dat zorgt voor een transparant proces. Blockchain bouwen voor ERM is een kostbaar proces. Ten eerste dient een onderneming servers beschikbaar te stellen of aan te schaffen. Ten tweede is het lastig om één persoon te vinden die alle drie skills beheerst. Een onderneming zal daarom vaak meerdere programmeurs in dienst moeten nemen. Ten derde zijn er binnen een onderneming geen derde partijen, bijvoorbeeld het kadaster of de bank, die hoeft over te slaan (zie figuur 1).  *Figuur 1: De rol van een derde partij die tevens ook de single point of failure binnen het netwerk vormt (Deloitte, 2016)* Binnen een onderneming waar de nodes in handen zijn van dezelfde onderneming heeft Blockchain weinig toegevoegde waarde, omdat het niet kan genieten van het buitenspel te zetten van de derde partij. Hierdoor gaat het effect van Blockchain verloren (Deloitte, 2019). Ten vierde is er een beperkt aantal deelnemers die geïnteresseerd zouden zijn om een Blockchain gezamenlijk op te bouwen. Dit kun je ook met alternatieven oplossen, zoals Excel en Enterprise Resource Planning (hierna: ERP). Indien een onderneming kiest voor een ERP, heeft men de mogelijkheid om met autorisaties te werken (AFAS, 2019). De deelnemers kunnen op deze manier alle transacties volgen waarbij de transparantie gewaarborgd wordt. Excel is een eenvoudige manier om ERM bij te houden. Echter is er ook een mogelijkheid om een hash te maken van het Exceldocument en op te slaan op het Blockchain netwerk, bijvoorbeeld Serey (Lim, 2019).  *Tabel 1: ERM op Blockchain, voor-en nadelen* ##### Conclusie Op basis van mijn onderzoek is vastgesteld dat er meer nadelen verbonden zijn aan deze casus dan voordelen. Ik zie niet goed hoe de praktische en fundamentele problemen van ERM op de Blockchain opgelost kunnen worden. En al zouden de problemen opgelost worden, dan is de vraag of het resultaat de moeite waard is. De Australische overheidsorganisatie Digital Transformation Agency concludeerde na onderzoek het volgende: ‘Voor elk gebruik van Blockchain die men momenteel zou overwegen, bestaat er een betere technologie’ (Zdnet, 2018). Blockchain heeft geen toegevoegde waarde, gezien een ERP-system ook de mogelijkheid biedt om op een transparante en veilige manier ERM te organiseren. Op basis van onderzoeksresultaten kan ik vaststellen dat blockchain daarom niet levensvatbaar voor ERM. Ik heb Blockchain niet volledig afgeschreven. Ik denk dat Blockchain op termijn aantoonbaar aanwezig zal zijn in onze samenleving. De Cryptoassets Taskforce van het Britse ministerie van Financiën, de Bank of England en de Financial Conduct Authority heeft na onderzoek geconcludeerd dat blockchain-achtige technologieën de potentie hebben ‘om betekenisvolle voordelen op te leveren voor financiële diensten, evenals voor een breed scala van andere sectoren’ (Assets publishing service, 2018). Velen denken dat Blockchain de oplossing in van alle complicaties, maar in deze casus is dit niet het geval. Blockchain bouwen is technisch lastig en brengt hoge kosten met zich mee. In de organisaties is onvoldoende kennis om zo een technisch lastig oplossing te implementeren. Dit brengt mij tot de conclusie dat Blockchain niet de oplossing is voor de registratie van ERM. ================== Door: Armen Sarojan 13 juni 2019 ----------------------- ##### Referenties AFAS. (2019). Autorisatie. Geraadpleegd op 13 april 2019, van https://klant.afas.nl/succesbeheer/autorisatie-2-0 Assets publishing service. (2018, 23 october). Cryptoassets Taskforce. Geraadpleegd op 25 mei 2019, van https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/752070/cryptoassets_taskforce_final_report_final_web.pdf Bitcoin. (2008). De originele Whitepaper over Bitcoin van Satoshi Nakamoto. Geraadpleegd op 10 maart 2019, van https://bitcoin.org/bitcoin.pdf COSO. (2017). COSO Guidence. Geraadpleegd op 25 februari 2019 van https://www.coso.org/Pages/default.aspx (COSO-WBCSD-ESGERM-Guidance-Full) Deloitte. (2019, 3 januari).Blockchain een technische inleiding. Geraadpleegd op 30 maart 2019, van https://www.deloitteforward.nl/blockchain/blockchain-een-technische-inleiding/ Deloitte. (2016). Blockchain figures. Geraadpleegd op 25 maart 2019, van https://www2.deloitte.com/content/dam/insights/us/articles/4436_Blockchain-primer/figures/4436_fig1 Deloitte. (2019, 29 januari). Disruptie in Consumer Goods. Geraadpleegd op 25 maart 2019, van https://www.deloitteforward.nl/blockchain/disruptie-in-consumer-goods-blockchain/ Janse, A. (2019). Gesproken op 10 april 2019. Functie: Docent Blockchain Knopert E. (2019). Gesproken tussen 1 februari t/m 20 mei 2019 Functie: Manager Externe Verslaggeving & Risicobeheersing Koorenberg H. (2019). Gesproken tussen 1 februari t/m 20 mei 2019 Functie: Manager Business & Strategic Control Lim, C.L., (2019). Gesproken op 10 april 2019 & 8 mei 2019. Functie: Docent Blockchain & Co-founder Serey NEN-ISO, (2018). Risicomanagement-Richtlijnen ISO 31000. (2e druk). Koninklijke Nederlandse Normalisatie-instituut Sarojan, A. (2019). Enterprise Risk Management (Afstudeeropdracht). Academie Financiën, Economie en Management, Hogeschool Saxion te Deventer/Enschede. Veuger, J, (2019). Gesproken op 22 maart 2019, 15 april 2019 & 8 mei 2019. Functie: Professor Blockchain | Leading professor Saxion Blockchain Institute Zdnet. (2018, october). DTA dunks on blockchain hype saying for every use there is a better alternative. Geraadpleegd op 25 mei 2019, van https://www.zdnet.com/article/dta-dunks-on-blockchain-hype-saying-for-every-use-there-is-a-better-alternative/ ---------------- ##### Bijlage 1: Samenvatting gesprekken ###### Door: Armen Sarojan 21 mei 2019 Dit samenvatting is samengesteld aan de hand van de opnames die ik tijden de gesprekken met Blockchain experts Chhay Lin Lim & Arthur Janse en ERM experts Erik Knopert & Heini Koornberg gemaakt heb. De gesprekken hebben plaats gevonden over de periode van 1 februari t/m 20 mei. In dit onderzoek wordt veelal gebruik gemaakt van een kwalitatief onderzoek. Het onderzoek is meer beschrijvend van aard en richt zich op interpretaties, ervaringen en betekenis. De kwalitatieve resultaten worden weergegeven in woorden. De gesprekken heb ik op semigestructureerde wijze uitgevoerd. De doelstelling van deze gesprekken was om meer kennis en inzicht over Enterprise Risk Management en Blockchain technologie te vergaren. ###### Samenvatting gesprekken met C.L. Lim & A. Janse ###### Mogelijkheid om ERM op Blockchain te organiseren Het is mogelijk om ERM te organiseren op de Blockchain. In principe kan een organisatie alles programmeren op de Blockchain. Dit is mogelijk doordat Blockchain een systeem is dat gebruikt kan worden om gegevens vast te leggen. Echter de vaag is of een organisatie dat op Blockchain wil. Het is heel belangrijk om in kaart te brengen welke voordelen daarmee zal hallen, want dat gaat allemaal geld kosten. Het is ook belangrijk om te kijken of er al opensourcesoftware bestaan die al ermee komen. ###### Stappen om ERM op Blockchain te organiseren Om ERM te organiseren op de Blockchain zijn een aantal belangrijke aspecten die hierbij komen kijken. Een organisatie moet een Proof of Concept maken, in kaart brengen wat de kosten zijn, programma schrijven, vervolgens testen en reflecteren om te verbeteren. Om dit in de praktijk toe te passen moet een organisatie minimaal drie servers beschikbaar stellen. Twee van deze servers zijn voor het draaien van de nodes. Het zou beter zijn om per server één of meerdere nodes te draaien zodat de Blockchain gedistribueerd is over een groter netwerk en er geen Single Point of Failure is. De derde server is voor het draaien van de applicatie die de front-end, userinterface van ERM, koppelt met de backend. Om te kunnen programmeren heeft een organisatie programmeurs met drie verschillende skills nodig, namelijk: front-end, back-end en een database engineer. Vervolgens om de Blockchain te draaien heeft een organisatie minimaal één nodes nodig. Echter, maakt dit Blockchain overbodig. Een belangrijke vraag die gesteld dient te worden is hoe gedecentraliseerd met de Blockchain wil hebben. Volgens Lim zijn drie nodes wel minimaal vereist om enigszins te kunnen genieten van de voordelen van een gedistribueerd grootboek bij een private Blockchain. ###### Publieke-en private Blockchain Er moet onderscheid gemaakt worden tussen publieke-en private Blockchain. Bij private blockchain gaat de organisatie de nodes aanwijzen, maar aan de andere kant als een organisatie een private Blockchain gebruikt heeft geen toegevoegde waarde in vergelijking met een Exceldocument. Excel is een eenvoudige manier om ERM bij te houden, want Excel is ook een database. Echter is er ook een mogelijkheid om een hash te maken van het Exceldocument en op te slaan op het Blockchain netwerk, bijvoorbeeld Serey. ###### Tot slot ERM op Blockchain wordt door weinig mensen gebruik en er zit geen tussenpartij in. Dit doen de banken met ontzettend grootte transacties en veel mensen die dezelfde invoelen die foutgevoelig of fraudegevoelig zijn met tussenpartijen erin. Organisaties moeten in hun afweging meenemen wat het hun gaat kosten in tijd, geld en mensen, want het system moet ook onderhouden worden. Dit is een kostbaar project indien een organisatie geen mensen in huis heeft met deze vakinhoudelijke kennis. Hierbij moet goed vastgesteld worden wat de voordelen en de nadelen zijn. Er zijn al alternatieven om ERM te registreren. ###### Samenvatting gesprekken met E. Knopert & H. Koornberg: Het risicobeheerproces omvat de systematische toepassing van beleid, procedures en praktijken op de activiteiten van communicatie en raadpleging, het vaststellen van de context en het beoordelen, behandelen, bewaken, vastleggen en rapporteren van risico's. ###### Communicatie en raadpleging Het doel van communicatie en raadpleging is om relevante belanghebbenden te helpen begrijpen van risico’s, op basis waarop de beslissingen worden genomen en de reden waarom specifieke acties vereist zijn. Communicatie is gericht op het bevorderen van bewustzijn en begrip van risico’s, terwijl raadpleging inhoudelijke feedback en informatie vergaart ter ondersteuning van besluitvorming. Nauwe coördinatie tussen beide moet voor tijdige, relevante, nauwkeurige en begrijpelijke informatie-uitwisseling vergemakkelijken, waarbij rekening wordt gehouden met het vertrouwelijke en integere karakter van informatie en met de privacy rechten van individuen. ###### Scope, context en criteria Het doel van het vaststellen van de reikwijdte, het context en de criteria is om het risicobeheerproces aan te passen, waardoor een effectieve en geschikte risicobeoordeling mogelijk wordt, de context van de scope en criteria omvatten het definiëren van de reikwijdte van het proces en het begrijpen van de externe en interne context. Het is belangrijk om duidelijk te zijn over de scope, de relevante doelstellingen die moeten worden overwogen en hun overeenstemming met organisatiedoelstellingen. De context van het risicobeheerproces dient te worden gevormd vanuit het inzicht in de externe- en interne omgeving waarin de organisatie opereert. De organisatie moet het bedrag en het soort risico aangeven dat al dan niet genomen kan worden in verhouding tot de doelstellingen. Het moet ook criteria definiëren om het belang van risico's te evalueren en om besluitvormingsprocessen te ondersteunen. Risicocriteria moeten worden afgestemd op het kader voor risicobeheer en aangepast aan het specifieke doel en de reikwijdte van de activiteit in kwestie. Risicocriteria moeten de waarde, doelstellingen en middelen van de organisatie weerspiegelen en consistent zijn met het beleid en de uitspraken over risicobeheer. ###### Risicobeoordeling Risicobeoordeling is het algemene proces van risico identificatie, risicoanalyse en risicobeoordeling. Risico assessment moet systematisch, iteratief en samenwerkend worden uitgevoerd. De best beschikbare informatie moet gebruikt worden. Het doel van risico-identificatie is het vinden, herkennen en beschrijven van risico's die een organisatie kunnen helpen of verhinderen haar doelstellingen te bereiken. Relevante, geschikte en actuele informatie is belangrijk bij het identificeren van risico's. Het doel van risicoanalyses is om de aard van het risico en de kenmerken ervan te begrijpen. Risk-analyse omvat een gedetailleerde beschouwing van afwegingen, risicobronnen, gevolgen, waarschijnlijkheid, gebeurtenissen, scenario's, controles en hun doeltreffendheid. Een gebeurtenis kan meerdere oorzaken en gevolgen hebben en kan meerdere doelen beïnvloeden. Het doel van risicobeoordeling is het ondersteunen van beslissingen. ###### Risicobeheersing Het doel van de risicobeheersing is om opties voor het aanpakken van risico's te selecteren en te implementeren. De keuze van de meest geschikte optie voor risicobeheersing houdt in dat een afweging wordt gemaakt tussen de potentiële voordelen die worden verkregen in verband met de verwezenlijking van de doelstellingen tegen kosten, inspanningen of nadelen van de uitvoering. Het doel van de risicobeoordelingsplannen is om aan te geven hoe de ingrijpende behandelingsopties zullen worden geïmplementeerd, zodat de betrokkenen onder de arm blijven en de voortgang ten opzichte van het plan kan worden gemonitord. ###### Monitoring en beoordeling Het doel van monitoring en review is het verzekeren en verbeteren van de kwaliteit en effectiviteit van procesontwerp, implementatie en uitkomsten. Voortdurende monitoring en periodieke beoordeling van het risicobeheerproces en de uitkomsten ervan moet een belangrijk onderdeel van het risicobeheerproces zijn. ###### Opnemen en rapporteren Het risicobeheerproces en de resultaten ervan moeten worden gedocumenteerd en gerapporteerd via een passende wijze. In de organisaties wordt grootte waarde gehecht aan de instrumenten die praktisch zijn en aandacht hebben voor het proces.