Corporatie Governance In Control Statement

Transcriptie

1 Corporatie Governance In Control Statement

2 Contact Piet Klop RA Voorzitter branchegroep Wonen en Ruimte Deloitte mr.drs. Birthe van der Voort RO Projectleider handboek ICS

3 Inhoud Voorwoord 4 1. Inleiding Doel handboek Corporatie Governance ICS Totstandkoming Leeswijzer 6 2. Achtergrond ICS Inleiding Corporate governance en ICS in andere sectoren Wat is een ICS? Wat zegt een ICS? Wat levert een ICS op? Lessen uit de praktijk 9 3. Governance en ICS in de corporatiesector Inleiding Ontstaansgeschiedenis ICS voor woningcorporaties Scope en formulering ICS Voor wie is een ICS bestemd? Scope ICS Inleiding Rollen en verantwoordelijkheden Intern en extern toezicht bij de interne beheersing van risico s ICS-huis en controleraamwerk Maatschappelijke doelstellingen Governance Projectontwikkeling Financiering Woonruimteverdeling Beheer bestaande voorraden Afstoten Juridische processen HRM-processen Fiscale processen Inkoopprocessen Informatievoorziening Compliance Stappenplan ICS Inleiding Te ondernemen stappen Succesfactoren bij invoering Ondersteunende software in het ICS-traject Inleiding Doelstellingen Randvoorwaarden ICS in de praktijk Inleiding Opbouw van de quick-scan Resultaten Praktijkvoorbeelden Conclusie 63 Eindnoten 64 Bijlagen 65 Bijlage A Deelnemers projectgroep 65 Bijlage B Deelnemers Deloitte 70 Bijlage C Overzicht gehanteerde framework 71 Bijlage D Uitkomsten praktijkgedeelte ICS 73 Bijlage E Huurincasso 74 Bijlage F Informatievoorziening in de praktijk 76 Bijlage G Voorbeeld ICS 78 Corporatie Governance In Control Statement 3

4 Voorwoord Good governance bij woningcorporaties maakt de laatste jaren een ontwikkeling door van verbetering en professionalisering. Een belangrijk onderdeel van good governance is de kwaliteit van de verantwoording (aan de verschillende belanghouders) over het gevoerde beleid en de risicobeheersing. Het is van belang dat de raad van commissarissen (RvC) van de corporatie kan nagaan dat de corporatie haar maatschappelijke doelstellingen realiseert. Daarnaast wil de RvC weten en bevestigd zien - ook in het kader van de externe verantwoording - dat de organisatie in control is. Anders gezegd: of de gepresenteerde informatie, bijvoorbeeld in voortgangsrapportages of investeringsvoorstellen, ook feitelijk juist is, of de (strategische) doelstellingen worden gerealiseerd, of voldaan wordt aan geldende wet- en regelgeving en of de operationele processen beheerst worden. Dit handboek behandelt een instrument dat aan deze behoefte tegemoet kan komen: het In Control Statement (ICS). Een ICS is een formele verklaring van het bestuur (of de bestuurder) over de kwaliteit van de bedrijfsvoering, zoals de interne organisatie en de automatisering, waarmee inzicht gegeven wordt in de mate waarin de verschillende bedrijfsprocessen op orde zijn. Door het afgeven van een dergelijk statement geeft de bestuurder in feite inzicht in de mate waarin de organisatie in control is en wordt beheerst. Het ICS is een variant op het zogeheten Statement of Control, zoals dat in de Verenigde Staten wettelijk verplicht wordt gehanteerd bij beursgenoteerde ondernemingen. Dat gaat zelfs zo ver dat de betreffende bestuurder na het zetten van een handtekening het risico op bestuurlijke aansprakelijkheid aanvaardt, indien later zou blijken dat de feiten niet overeenkomen met de situatie zoals geformuleerd in het Statement of Control. in het jaarverslag. Het is dan ook zeer de moeite waard om verder te onderzoeken wat de waarde van een ICS kan zijn voor de verantwoording van het bestuur van woningcorporaties en als sturingsinstrument met als doel de governance te verbeteren. Vooruitlopend op mogelijke wetgeving waarin van bestuurders en raden van commissarissen verklaringen omtrent het presteren van corporaties worden verwacht, gaat dit handboek in heldere bewoordingen in op de voordelen van een ICS, de toepasbaarheid, welke stappen er dienen te worden genomen, de wenselijkheid van dit instrument voor gebruik binnen de corporatiesector en geeft dit handboek een eerste aanzet om tot een uniform In Control-raamwerk te komen. Daarmee is het tevens een mogelijke basis voor een breed gedragen standaard. Het ICS heeft de potentie bij te dragen aan een verdere verbetering van het governanceklimaat in Nederland en van de corporatiesector in het bijzonder. Het is wel van belang te bedenken - nadrukkelijk zonder de waarde ervan te willen nuanceren - dat het ICS een instrument is. Voor interne toezichthouders van de corporatie is het van belang te bedenken dat een ICS een hulpmiddel is, waar niet blind op gevaren kan en mag worden. Het is van belang de achtergronden en onderbouwing van een ICS te kennen. Kennis van zaken, gezond verstand en betrokkenheid blijven onder alle omstandigheden de basis van deugend intern toezicht vormen. Heino van Essen Voorzitter Vereniging van Toezichthouders in Woningcorporaties Het ICS is voor corporaties in Nederland betrekkelijk nieuw en wordt nu nog in een beperkt aantal gevallen - op eigen initiatief - gehanteerd. Door de toegenomen belangstelling voor governancethema s en de steeds hogere eisen die belanghouders aan organisaties stellen met betrekking tot het afleggen van verantwoording door het bestuur en interne toezichthouders, ligt het in de verwachting dat het in de toekomst meer gebruikelijk zal worden een ICS te hanteren en het ten behoeve van de externe verantwoording te publiceren 4

5 1. Inleiding 1.1 Doel handboek Corporatie Governance ICS Aanleiding De roep om transparantie en verantwoording door bestuurders van grote organisaties is de afgelopen jaren alsmaar groter geworden. Het vertrouwen in de deskundigheid en integriteit van bestuurders staat door een aantal incidenten onder druk. Het belang om een efficiënte en effectieve bedrijfsvoering te voeren is door de crisis bovendien extra groot. De maatschappij wil juist, tijdig en volledig worden geïnformeerd. De overheid, toezichthoudende instanties, branchegroepen, beroepsorganisaties en belangen behartigers vaardigen richtlijnen en wetten uit en vertellen hoe organisaties zich zouden moeten gedragen op het gebied van het nemen van risico s, de interne beheersing, het interne en externe toezicht en het afleggen van verantwoording. Ook de bedrijfsvoering van woningcorporaties ligt onder vuur. Diverse incidenten hebben het vertrouwen in de woningcorporatiesector schade toegebracht. Toezichthouders en belanghebbenden eisen kwaliteit en transparantie in bedrijfsvoering en verantwoording. De minister van Wonen, Wijken en Integratie (WWI) heeft in juni 2009 in dit kader aan de Tweede Kamer voorstellen gedaan voor een verdere uitwerking van het toezicht op de corporaties. Over transparantie en het afleggen van verantwoording over de bedrijfsvoering is het nodige opgenomen in verschillende corporate governancecodes, waaronder de code-tabaksblat. Zo is vereist dat het bestuur in het jaarverslag een verklaring opneemt over de effectiviteit van de interne risicobeheersing- en controlesystemen. Ook in de governancecode voor de corporatiesector staan principes van goed bestuur en de noodzaak van het afleggen van maatschappelijke verantwoording over het gevoerde beleid en de risicobeheersing. Het beheersen van risico s wordt gezien als meer dan een extern opgelegde verplichting. In toenemende mate is er een intrinsieke behoefte aan een adequate beheersing van de processen. Een In Control Statement (ICS) is een geschikt middel gebleken om invulling te geven aan de verantwoording over de mate van beheersing van de processen en de vraag of een corporatie in control is. Figuur 1 geeft een overzicht van de mogelijke interne en externe aanleidingen van een woningcorporatie om een ICS-traject te starten. Figuur 1: Externe en interne aanleiding ICS Externe aanleiding Interne aanleiding Wet- en regelgeving Maatschappelijke invloeden Voldoen aan principes van goed bestuur Opgetreden onrechtmatigheden/ incidenten In control Statement Wens tot verbetering interne beheersing Doelstelling In de praktijk bestaan er veel onduidelijkheden over een ICS. Organisaties weten niet waar ze moeten beginnen, wie een ICS uiteindelijk moet afgeven en wat er precies in moet worden verklaard. Doelstelling van dit handboek is om richting te geven aan de invulling van een ICS. Het boek geeft een beschouwing over ICS, geeft een volledig controleraamwerk en biedt concrete handvatten voor de implementatie van een ICS. Doelgroep Dit handboek is bedoeld voor toezichthouders, bestuurders, controllers, managers en iedereen die is geïnteresseerd in besturing, beheersing, verantwoording en toezicht in relatie tot de activiteiten die woningcorporaties uitvoeren. 1.2 Totstandkoming In oktober 2008 heeft Deloitte de organisatie voor en de praktische uitvoering van het ontwikkelen van dit handboek op zich genomen. Deloitte is verantwoordelijk voor de coördinatie en redactie hiervan. Gedurende het afgelopen jaar heeft de projectgroep met daarin vertegenwoordigers van het ministerie van WWI, CFV, Aedes, VTW, ING, Cannock Chase, DataBalk, woningcorporaties en AKD Prinsen Van Wijmen meegewerkt aan de totstandkoming van dit handboek (zie ook bijlage A). Toezichthouders RvC CFV Governance: Aedescode Governance code SAS 70 Voldoen aan eisen en wensen RvB & RvC Corporatie Governance In Control Statement 5

6 Samen met de partijen uit het veld is het handboek ontwikkeld. Dit heeft geleid tot een handboek dat wordt herkend en gedragen door de deelnemers als vertegenwoordigers van het veld. Tijdens dit traject heeft Deloitte een nulmeting ontwikkeld die bij de deelnemende woningcorporaties is uitgevoerd. Het doel van deze nulmetingen was inzicht te verkrijgen in het in control zijn van de corporatiesector. De resultaten van deze praktische toets zijn opgenomen in hoofdstuk 7 van dit handboek. Daarnaast is een normenkader ICS ontwikkeld dat een praktische handreiking vormt bij het vormgeven en invullen van een ICS. Het normenkader bevat heldere definities betreffende in control en in control statement en een duidelijke beschrijving van de rollen en verantwoordelijkheden voor de bestuurders en de toezichthouders. 1.3 Leeswijzer Het handboek is opgebouwd uit zeven hoofdstukken en zeven inhoudelijke bijlagen. Grofweg is het handboek onder te verdelen in drie stukken: de achtergrond, een praktische handreiking en een praktijkgedeelte. Het eerste deel, bestaande uit de hoofdstukken 1, 2 en 3, beschrijft het kader van een In Control Statement (verder te noemen ICS). Het gaat in op de aanleiding en achtergrond, nut en noodzaak en de definiëring van een ICS. Opinies, aanbevelingen en lopende discussies binnen de corporatiesector worden meegenomen in de beschrijving. Het tweede deel, hoofdstuk 4 tot en met hoofdstuk 6, bestaat uit het In Control-raamwerk (verder te noemen controleraamwerk) en een praktische handreiking om er mee aan de slag te gaan. Een generiek stappenplan hoe kom je tot een ICS? met daarbij aandacht voor de succes- en faalfactoren bij implementatie wordt in hoofdstuk 5 beschreven. Het stappenplan wordt in hoofdstuk 4 voorafgegaan door een toelichting op de rollen en verantwoordelijkheden van de verschillende betrokken partijen en de verschillende onderdelen van een woningcorporatie. Per onderdeel wordt toegelicht over welke risico s moet worden verantwoord en welke minimale beheersmaatregelen aanwezig dienen te zijn bij een gemiddelde woningcorporatie voordat een ICS kan worden afgegeven. Hoofdstuk 6 gaat in op ondersteunende instrumenten die een efficiënte uitvoering, monitoring en verantwoording mogelijk maken. In het derde en laatste deel wordt ingegaan op de huidige stand van zaken: ICS in de praktijk. In hoofdstuk 7 worden de resultaten van de quick-scan weergegeven die Deloitte heeft uitgevoerd bij de deelnemende woningcorporaties. De quick-scan is opgebouwd conform de onderdelen die behandeld zijn in hoofdstuk 4. De bijlagen bestaan uit een overzicht van de deelnemers aan de totstandkoming van dit handboek, het overzicht van het gehanteerde controleraamwerk, de cijfermatige uitkomsten van het praktijkgedeelte ICS, een gedetailleerde toelichting op het onderdeel huurincasso en het onderdeel informatievoorziening in de praktijk en een voorbeeld van een mogelijke ICS. 6

7 2. Achtergrond ICS 2.1 Inleiding In dit hoofdstuk worden de recente ontwikkelingen beschreven op het gebied van governance en specifiek op het gebied van het afleggen van verantwoording in vorm van een ICS door de bestuurder(s). Het gaat hier nadrukkelijk om een breder spectrum dan alleen de corporatiesector. Ontwikkelingen in andere sectoren zijn mede van invloed en vormgevend voor het afleggen van verantwoording binnen corporaties. Het hoofdstuk start met een beknopte beschrijving van de belangrijkste ontwikkelingen op het gebied van governance buiten de corporatiesector. Vervolgens wordt ingegaan op wat een ICS daadwerkelijk is, wat een ICS zegt en wat een ICS oplevert. Ter afsluiting worden de beperkingen van een ICS behandeld. Voor meer informatie over het onderwerp governance verwijzen wij naar het handboek Corporatie Governance gepubliceerd in Corporate governance en ICS in andere sectoren In de afgelopen jaren is vooral door een aantal schandalen de aandacht voor het onderwerp ondernemingsbestuur steeds verder toegenomen. Dit speelt zowel binnen als buiten de woningcorporatiesector. De toegenomen aandacht heeft nationaal en internationaal geleid tot wetgeving, codes en rapporten op het gebied van governance met als doel het herstellen van het wankelend vertrouwen. Een van de belangrijkste ontwikkelingen is de roep om verantwoording van het bestuur in de vorm een verklaring. De wet Sarbanes-Oxley en de Nederlandse corporate governance code hebben de meeste impact gehad op ondernemingen in Nederland betreffende het afleggen van een bestuursverklaring. Nederlandse, aan de Amerikaanse beurs genoteerde, ondernemingen hebben in 2002 te maken gekregen met de Amerikaanse wetgeving Sarbanes-Oxley (SOx). Deze wet stelt het management verplicht om jaarlijks expliciet een uitspraak te doen over de betrouwbaarheid van de interne controles van de financiële verslaglegging die in het bedrijf gehanteerd worden. In 2003 is de Nederlandse corporate governance code vastgesteld. De Code bevat principes en concrete bepalingen die de bij een vennootschap betrokken personen (onder andere bestuurders en commissarissen) en partijen (onder andere institutionele beleggers) tegenover elkaar in acht zouden moeten nemen. De principes kunnen worden opgevat als de moderne, en inmiddels breed gedragen, algemene opvattingen over goede corporate governance. De vennootschap vermeldt elk jaar in haar jaarverslag op welke wijze zij de principes van de Code in het afgelopen boekjaar heeft toegepast. De Code is in december 2008 geactualiseerd. 2.3 Wat is een ICS? De bestuursverklaringen die betrekking hebben op het interne risicobeheersing- en controlesysteem worden veelal aangeduid als ICS. De Nederlandse corporate governance code stelt de volgende eisen aan een ICS (best practice bepaling II.1.4): In het jaarverslag geeft het bestuur: a) een beschrijving van de voornaamste risico s gerelateerd aan de strategie van de vennootschap; b) een beschrijving van de opzet en werking van de interne risicobeheersing- en controlesystemen met betrekking tot de voornaamste risico s in het boekjaar; en c) een beschrijving van eventuele belangrijke tekortkomingen in de interne risicobeheersing- en controlesystemen die in het boekjaar zijn geconstateerd, welke eventuele significante wijzigingen in die systemen zijn aangebracht, welke eventuele belangrijke verbeteringen van die systemen zijn gepland en dat één en ander met de auditcommissie en de raad van commissarissen is besproken. In de praktijk blijken organisaties op hun eigen wijze, afhankelijk van de sector, de ambitie van de bestuurder(s), de cultuur van de organisatie en de wensen van de belanghouder invulling te geven aan de verklaring. De strekking van een ICS is echter altijd hetzelfde en kan als volgt worden gedefinieerd: Het betreft een certificaat inzake de kwaliteit van de bedrijfsvoering en geeft daarmee antwoord op de vraag in hoeverre het management voldoende grip heeft op de bedrijfsprocessen. Corporatie Governance In Control Statement 7

8 2.4 Wat zegt een ICS? Op de vraag Wat zegt een ICS? is geen eenduidig antwoord te geven. Dat komt doordat de verklaringen qua vorm en inhoud in de praktijk uiteenlopen voor alle ICS s. Wij menen dat een organisatie in een ICS verklaart dat haar bedrijfsvoering op alle niveaus dusdanig op orde is dat met redelijke mate van zekerheid kan worden gesteld dat de doelstellingen (strategisch, operationeel, rapportage, compliance) worden gerealiseerd. Vrij vertaald wordt door de bestuurder(s) het volgende verklaard: Doen we de goede dingen? Doen we de dingen goed? Hebben we de juiste stuur- en verantwoordingsinformatie? Leven we de relevante wet- en regelgeving na? Deze vier vragen komen voort uit het COSO-managementmodel dat veelal als gangbaar raamwerk wordt gebruikt bij het opzetten van een risicobeheersing- en controlesysteem. Zie figuur 2 voor een schematische weergave van onze visie op in control. 2.5 Wat levert een ICS op? Een ICS is meer dan een droge verklaring over het risicobeheersing- en controlesysteem. Een ICS is de resultante van een raamwerk dat management en organisatie handvatten biedt voor het nemen van beslissingen en het uitvoeren van activiteiten om op een effectieve en efficiënte wijze de doelstellingen te realiseren. Het is daarmee zowel een instrument om de interne beheersing te verbeteren, als een instrument waarmee de corporatie zich naar buiten toe verantwoordt over de kwaliteit van die beheersing. Omdat het een instrument is dat de organisatie zelf ontwikkelt, beheert en draagt, verhoogt dit de betrokkenheid en relevantie van de verklaring, in tegenstelling tot instrumenten die vanuit externe stakeholders worden geïnitieerdeen ICS-traject levert een organisatie ook andere voordelen op, zoals: de noodzaak na te denken over de inrichting en kwaliteit van de beheersing; het identificeren en oplossen van achterstallig onderhoud ; de redelijke zekerheid dat de processen op orde zijn; de redelijke zekerheid dat de relevante risico s in beeld zijn; de mogelijkheid om tijdig te reageren dan wel bij te sturen waardoor maatschappelijke en bedrijfseconomische doelstellingen efficiënter en effectiever kunnen worden behaald; Strategisch Operationeel Rapportage Compliance Doen we de goede dingen? Doen we de dingen goed? Hebben we de juiste stuur- en verantwoordinginformatie? Is alles conform wet en regelgeving? Figuur 2: Managementvisie op in control (COSO) 8

9 een verbeterde besluitvorming door een toename van de kwaliteit van de onderliggende informatie; versterking van de betrokkenheid van het management en medewerkers bij de organisatie; aansluiting op de verwachting van het maatschappelijke verkeer en de markt; creatie van een cultuur waarin het nemen van verantwoordelijkheid en een transparante opstelling vanzelfsprekend is; versterking van het controlebewustzijn. Bovenstaande voordelen zijn met name gericht op de interne bedrijfsvoering. Echter ook in de relatie met de externe toezichthouder kan een verklaring voorspelbaarheid, zekerheid en rust geven. Geen 100% waterdicht systeem. Een intern risicobeheersing- en controlesysteem kan nooit leiden tot een 100% waterdicht systeem. Risico s zijn en blijven onvoorspelbaar. Schaarste dwingt het management bovendien tot het maken van keuzes betreffende de beheersing ( cost of control ). Bovenstaande praktijklessen leren dat ICS geen panacee is voor alle problemen rond verantwoording over sturing en beheersing. Indien rekening wordt gehouden met deze beperkingen is het echter een zeer waardevol instrument dat gebruikt kan worden om in control te komen, te blijven en transparant te zijn richting stakeholders. 2.6 Lessen uit de praktijk In de praktijk blijken er, naast voordelen, ook beperkingen te zijn aan het gebruik van een ICS. Lessen uit de praktijk zijn: Geclausuleerde verklaring. Als gevolg van het ontbreken van een normatief kader voor een ICS, kan in principe niet (objectief) worden bepaald wat goed is in welke omstandigheden. Professor Dr Leen Paape RA RO CIA (gepromoveerd op het onderwerp Corporate Governance: The impact on Role, Position, and Scope of Services of Internal Auditing ) geeft aan dat het afgeven van een verklaring bepaald niet eenvoudig is en dat maakt dat een ICS niet anders dan zwaar geclausuleerd kan zijn. Focus op proces in plaats van inhoud. De huidige ICS s van beursgenoteerde en niet-beursgenoteerde ondernemingen blijken in praktijk meestal beperkt tot een verklaring over het aanwezige risicomanagementproces. In de meeste gevallen ontbreekt een daadwerkelijke beschrijving van de belangrijkste bedreigingen op de doelstellingen, de beheersmaatregelen en de gebieden waar nog werk aan de winkel is. In enkele gevallen is wel een risicoparagraaf toegevoegd, waarin risico s op hoofdlijnen worden benoemd. Corporatie Governance In Control Statement 9

10 3. Governance en ICS in de corporatiesector 3.1 Inleiding Aansluitend op de belangrijkste ontwikkelingen op het gebied van governance buiten de corporatiesector worden de ontwikkelingen binnen de corporatiesector beschreven in hoofdstuk 3. Het hoofdstuk begint met een beschouwing van belangrijke onderzoeksrapporten en recente ontwikkelingen betreffende governance en ICS gericht op de woningcorporatiesector. Vervolgens wordt ingegaan op de stand van zaken betreffende een ICS voor de corporatiesector en het verschil met een ICS buiten de corporatiesector. De scope en formulering van een ICS is het volgende onderwerp dat wordt behandeld en het hoofdstuk sluit af met een overzicht van de partijen voor wie het ICS bestemd zou kunnen zijn. 3.2 Ontstaansgeschiedenis Buiten en binnen de corporatiesector is in de afgelopen jaren veel te doen geweest rondom de onderwerpen toezicht, sturing, beheersing en verantwoording. Verschillende commissies hebben onderzoek gedaan naar bijvoorbeeld de beheersing van de interne organisatie en de inrichting van het interne en externe toezicht. De onderzoeksrapporten hebben stuk voor stuk bijgedragen aan de ontwikkeling van het toezicht bij woningcorporaties en ze leveren aanknopingspunten voor een ICS. Voorbeelden van belangrijke onderzoeksrapporten met relevantie voor een instrument als het ICS specifiek gericht op de woningcorporatiesector door de jaren heen zijn: Naar professioneel toezicht, commissie-glasz (juni 1998) Aanbeveling 22: De raad van commissarissen bevordert dat het bestuur van de corporatie schriftelijk rapporteert aan de raad over de ondernemingsdoelstellingen, de relatie tot de maatschappelijke taakstellingen, de strategie, de daaraan verbonden risico s en de mechanismen om deze risico s te beheersen. Daarnaast bevordert de raad van commissarissen dat het bestuur rapporteert over de uitkomsten van de beoordeling van het bestuur van de opzet en werking van de interne beheersingsystemen. Lokaal wat kan, centraal wat moet, commissie-de Boer (mei 2005) Een strak en professioneel opgetuigde interne governance, met een centrale rol voor de raad van commissarissen (intern toezicht), is essentieel voor het degelijk ondernemerschap dat de commissie voor ogen staat. De raad van commissarissen dient er op toe te zien dat de corporatie bedrijfsmatigheid en de realisatie van maatschappelijke doelen met elkaar in evenwicht brengt en houdt. Wij zien voor Aedes een rol weggelegd om instrumenten te ontwikkelen en in te zetten die de effectiviteit, efficiëntie en transparantie van de corporaties bevorderen. Daarnaast dient jaarlijks door de woningcorporatie in het openbaar te worden gerapporteerd over de bevindingen. Advies toezicht op woningcorporaties, prof. dr. A. Schilder RA (20 juni 2006) Het interne toezicht is gebaat bij een verdere kwaliteitsslag. De sector beweegt zich duidelijk in de goede richting, maar kan nog belangrijke stappen voorwaarts zetten. De verantwoordelijkheid hiervoor ligt primair bij de sector zelf. Daarnaast verdient het aanbeveling het externe toezicht uit te breiden naar de terreinen waar het onvoldoende is ontwikkeld. Daarbij geeft de complexe en weinig transparante structuur van het toezicht aanleiding te komen tot een overzichtelijker en efficiënter systeem. Bundeling van het externe toezicht bij één instantie ligt in de rede. Het Centraal Fonds Volkshuisvesting (CFV) lijkt hiervoor de meest geschikte kandidaat. Bij een bundeling van de toezichttaken bij het CFV is een zorgvuldige fasering van belang. Eerst dient de governancestructuur van het CFV te worden aangepast en vervolgens kan de inhoudelijke transitie van de werkzaamheden plaatsvinden. Nieuw arrangement overheid-woningcorporaties, werkgroep-meijerink (november 2008) Corporaties zijn voor de samenleving aanspreekbaar. De corporatie is transparant naar haar lokale omgeving in wat zij doet, waarom en wat de gerealiseerde prestaties zijn. De corporatie legt daarover verantwoording af naar haar lokale omgeving, onder meer door de verplichte openbare en onafhankelijke visitatie en de jaarverslaglegging (periodieke en openbare verantwoording). 10

11 Aedes en de Vereniging Toezichthouders Woningcorporaties (VTW) hebben in 2006 een commissie gevraagd een advies uit te brengen over regels van goed bestuur bij woningcorporaties en voorstellen te doen voor een code. Een en ander met inachtneming van de schaalverschillen en verscheidenheid binnen de branche. De commissie is gevraagd daarbij uit te gaan van reeds ontwikkelde codes en adviezen voor maatschappelijke ondernemingen in het algemeen en de corporatiebranche in het bijzonder, en van de Nederlandse corporate governance code. De commissie heeft vervolgens de Governancecode Woningcorporaties opgesteld, die in november 2006 door Aedes en VTW is vastgesteld. Deze code bevat normen voor goed bestuur en toezicht, transparantie, externe verantwoording en financiële beheersing bij woningcorporaties. De Governancecode is onlangs geëvalueerd door de VTW. Uit het evaluatieonderzoek van de VTW naar de toepassing van de Governance Code door toezichthouders bij woningcorporaties (september 2009) blijkt dat toezichthouders van corporaties zich goed houden aan hun eigen code voor goed bestuur en toezichthouders vinden dat deze een positief effect heeft op hun toezicht. Op bepaalde onderdelen is verduidelijking danwel aanscherping nodig. Bijvoorbeeld bij de regels rondom de risicobeheeersings- en controlesystemen en de benoemingsperiode van het bestuur. Ondanks het bestaan van de code is er nog altijd veel discussie over beheerst ondernemen, transparantie, verantwoording en toezicht. Allemaal onderwerpen die geraakt worden door het verzamelbegrip corporate governance. Recente schandalen hebben de discussie rondom de vraag wie controleert de woningcorporaties verhevigd. Een belangrijke aanvulling op de relevante onderzoeksrapporten en de codes is de toekomstvisie die de minister van WWI recentelijk heeft opgesteld. De minister kondigt hierin maatregelen aan ter versterking van het externe en interne toezicht. Ook in die visie kan het ICS naar onze mening een belangrijke rol vervullen. De voorstellen voor het woningcorporatiestelsel in de toekomstvisie zijn op hoofdlijnen als volgt: Het is wenselijk om een nieuwe balans te vinden tussen het zelfstandige maatschappelijke ondernemerschap van corporaties en de publieke waarborgen in een duurzaam corporatiestelsel. Het kabinet wil onder meer toe naar een nieuwe vorm van toezicht. Het interne toezichthoudend orgaan (RvC) zal jaarlijks verklaringen moeten afleggen over de inzet van het vermogen, de financiële continuïteit, de weglek van het maatschappelijk bestemde vermogen, de doelmatigheid, de rechtmatigheid, de integriteit en de governance. Het externe toezicht wordt ook aangepast: het CFV wordt omgevormd tot een Autoriteit. Deze Autoriteit krijgt deels de taken en bevoegdheden die thans bij het ministerie thuishoren, evenwel met uitzondering van de zware sanctiebevoegdheden. De beoogde ingangsdatum is 1 januari De VTW heeft de minister voor WWI alternatieven aangereikt voor de in de toekomstvisie genoemde verklaringen van de Raad van Commissarissen van woningcorporaties. De door Jaap Winter (De Brauw, Blackstone, Westbroek) beschreven alternatieven bieden volgens de VTW een goede basis om het doel van de gewenste verklaringen te realiseren, door middel van het op de juiste formele manier organiseren van de aanspreekbaarheid van de RvC door de belanghouders en door de nieuwe Volkshuisvestingsautoriteit. Deze aanspreekbaarheid kan worden gerealiseerd door jaarlijks een formele verantwoordingsdag van de Raad van Commissarissen te organiseren, waarin de RvC in gesprek gaat met alle benoemde belanghouders en in dit gesprek verantwoording aflegt over het interne toezicht van de afgelopen periode. Daarnaast kan jaarlijks in een formeel gesprek met de nieuwe Volkshuisvestingsautoriteit aan de externe toezichthouder verantwoording worden afgelegd over het interne toezicht van de afgelopen periode. En in het verlengde hiervan pleit de VTW ervoor om in het visitatieproces de governance-prestaties explicieter op te nemen, waarbij de aanspreekbaarheid van de RvC door de belanghouders ook nadrukkelijk in beeld moeten komen. Corporatie Governance In Control Statement 11

12 Een ICS kan hierbij een ondersteunende rol vervullen (zie voor nadere uitwerking paragraaf 4.2). Naast de ontwikkelingen rond de toekomstvisie is er mogelijk een andere ontwikkeling die een kader vormt waarin het afgeven van een ICS voor de hand ligt. Recentelijk is een wetsvoorstel rechtsvorm maatschappelijke onderneming (MO) naar de Raad van State gestuurd. Corporaties zijn in de brief van 12 juni 2009 aangewezen als MO s in het kader van deze wijziging van het Burgerlijk Wetboek (BW). Hiermee komt er mogelijk een wettelijke belanghebbendenvertegenwoording waaraan verantwoording moet worden afgelegd en die wettelijke inspraak heeft. Ondanks de voorstellen voor het woningcorporatiestelsel zijn er nog voldoende discussiepunten inzake het houden van toezicht op woningcorporaties en de vraag waar woning corporaties zich over moeten verantwoorden. Met name de vraag hoe breed de verantwoording (in de vorm van een verklaring) dient te zijn is nog onduidelijk. Dit hangt samen met de vraag tot hoever de verantwoordelijkheid van woningcorporaties reikt. Verschillende partijen in het veld zien een ICS als een belangrijk instrument voor het toezicht op woningcorporaties. Het wordt gezien als een verklaring van een organisatie dat de zaken op orde zijn. Indien het ICS aan bepaalde voorwaarden voldoet (bijvoorbeeld een bepaalde mate van uniformiteit) kunnen belanghebbenden erop steunen bij de beoordeling van het functioneren van een woningcorporatie. 3.3 ICS voor woningcorporaties De Governancecode Woningcorporaties, bepaling II.1.5, vermeldt dat de bestuurder(s) het volgende dienen te verklaren: In het jaarverslag geeft het bestuur inzicht in de interne risicobeheersing- en controlesystemen en de werking hiervan. De conclusie is dat een verklaring conform de Governancecode Woningcorporaties aangeeft dat er een gestructureerd proces in opzet en bestaan aanwezig is en dat het in de verslagperiode heeft gewerkt. De verschillen tussen best practise bepaling II.1.4 uit de Nederlandse corporate governance code en bepaling II.1.5 uit de Governancecode Woningcorporaties zijn groot. De Nederlandse corporate governance code gaat een stuk verder door van organisaties openheid te verlangen over concrete risico s die zij lopen gerelateerd aan hun strategie. Deze verklaring bestaat uit een inhoudelijke uiteenzetting van de belangrijkste risico s die de doelstelling van de organisatie bedreigen en een overzicht van de acties (beheersmaatregelen) die zijn of worden ingezet om de risico s te beheersen. Het inzicht in de strategie, risico s, genomen beheersmaatregelen en het restrisico wordt hier duidelijk. Gezien de recente ontwikkelingen en de geactualiseerde Nederlandse corporate governance code die als leidend mag worden gezien, zijn wij van mening dat de huidige eis ten aanzien van het ICS onvoldoende is. In een ICS zou(den) de bestuurder(s) naar onze mening minimaal dienen te verklaren dat de bedrijfsvoering op orde is, dat de werkzaamheden worden uitgevoerd conform de wettelijke eisen uit het Besluit beheer sociale huursector (Bbsh) en dat de werkzaamheden zijn gericht op het halen van de doelstellingen. De verschillende onderdelen van een ICS waarover de bestuurder(s) een verklaring moet(en) geven wordt verder uitgewerkt in hoofdstuk Scope en formulering ICS Het ICS is binnen de private sector, bij beursgenoteerde ondernemingen, inmiddels wijdverbreid. Binnen de corporatiesector staat het ICS momenteel nog in de kinderschoenen waardoor er veel verschillende vormen zichtbaar zijn. Door een brede introductie van een ICS als verantwoordingsmiddel en de invoering van uniformiteit in de verklaringen worden deze onderling vergelijkbaar en neemt de waarde toe. Kijk bijvoorbeeld naar de SOx-verklaring en de accountantsverklaring. Deze zijn uniform geformuleerd, waardoor de vergelijkbaarheid voor belanghebbenden groot is. Wel is het zo dat iedere corporatie anders is dan de andere en er dus een vorm van maatwerk nodig is. Denk bijvoorbeeld aan grote en kleine corporaties, met 12

13 veel of juist weinig risicovolle investeringsprojecten. In de scope en formulering is het dus zoeken naar een evenwicht tussen een bepaalde vorm van maatwerk versus uniformiteit. In navolging van de commissie- Tabaksblat zijn wij van mening dat het principe: pas toe of leg uit ook binnen de corporatiesector geldt. De conclusie is dat een ICS in potentie vele voordelen heeft, maar tegelijkertijd zijn er wel randvoorwaarden om deze voordelen in de praktijk ook te bereiken. Dit handboek biedt een handvat voor een uniform kader. 3.5 Voor wie is een ICS bestemd? Een ICS wordt in de regel afgegeven door de bestuurder(s) van een corporatie. Verantwoording afleggen met een ICS kan verschillende doeleinden dienen voor verschillende belanghebbenden. Belanghebbenden zijn bijvoorbeeld de raad van commissarissen, de verschillende externe toezichthouders, maar ook de maatschappij als instituut die verlangens heeft en eisen stelt. De inhoud kan afhankelijk van de doelgroep worden aangepast. Onderscheid wordt bijvoorbeeld gemaakt tussen interne en externe gebruikers of vertrouwelijke en publieke informatie. Interne toezichthouder: raad van commissarissen De raad van commissarissen 1 vervult de rol van interne toezichthouder. Het interne toezicht wordt gezien als een belangrijke peiler in het toezicht aangezien dit preventief kan plaatsvinden terwijl het externe toezicht altijd achteraf gebeurt. Over het interne toezicht is altijd veel discussie, vooral veroorzaakt door de invulling van het toezicht bij incidenten. In de Governancecode Woningcorporaties staat de rol van de RvC beschreven. Een belangrijke taak heeft de RvC bij de besluitvorming rond majeure beslissingen. Om deze taak gedegen te kunnen uitvoeren dient een RvC voldoende te zijn geïnformeerd, voldoende kennis van zaken te hebben en onafhankelijk te zijn. Uit de code blijkt dat het toezicht van de raad van commissarissen op het bestuur in ieder geval omvat: de realisatie van de doelstellingen van de woningcorporatie; de strategie en de risico s verbonden aan de activiteiten van de woningcorporatie; de opzet en de werking van de interne risicobeheersing- en controlesystemen. Bovenstaande punten maken deel uit van het ICS. Een jaarlijkse verklaring over de kwaliteit van het risicomanagement en het beheersingsysteem van het bestuur ondersteunt de RvC dan ook bij het invullen van het toezicht. Externe toezichthouders Het externe toezicht wordt uitgeoefend door het Ministerie van VROM, het CFV en het WSW. Specifiek wordt toezicht gehouden op de financiële en volkshuisvestelijke prestaties en op de rechtmatigheid. Deze aspecten zijn alle onderdeel van het ICS. Ook de externe toezichthouders kunnen dus worden gezien als potentiële gebruikers van een jaarlijks door de corporatie afgegeven ICS. Stakeholders De stakeholders van een woningcorporatie hebben er belang bij dat die woningcorporatie in control is en in continuïteit haar werkzaamheden kan voortzetten en aan haar verplichtingen kan voldoen. Een ICS dat jaarlijks wordt opgenomen in het jaarverslag, geeft de stakeholders een indruk van de wijze waarop de woningcorporatie daadwerkelijk haar risico s beheerst. In het volgende hoofdstuk wordt nader ingegaan op de rollen van de verschillende partijen met betrekking tot een ICS. 1 Daar waar in het handboek raad van commissarissen is genoemd, kan ook raad van toezicht worden gelezen. Corporatie Governance In Control Statement 13

14 4. Scope ICS 4.1 Inleiding In hoofdstuk 4 worden de rollen en verantwoordelijkheden van de verschillende partijen die betrokken zijn bij de beheersing van risico s en het toezicht op deze activiteiten, toegelicht. In paragraaf 4.4 staat het normenkader beschreven. Per onderdeel van het ICS-huis wordt nader ingegaan op de aandachtsgebieden, doelstellingen, risico s en minimaal te nemen beheersmaatregelen. Alle beheersmaatregelen tezamen vormen het controleraamwerk, van toepassing voor een gemiddelde woningcorporatie. 4.2 Rollen en verantwoordelijkheden Van belang is dat een corporatie richting haar stakeholders transparant is over haar rol in en verantwoordelijkheid voor de onderdelen uit het ICS-huis. De corporatie dient hier regelmatig verslag van te doen. In deze paragraaf worden de rollen en verantwoordelijkheden ten aanzien van de interne beheersing van risico s en het interne en externe toezicht hierop beschreven. De interne beheersing van risico s De interne beheersingstructuur wordt volgens het three lines of defence model uiteengezet (zie figuur 3). Dit model structureert de rollen en verantwoordelijkheden rond het op orde hebben van de interne beheersing. Daarmee vormt het de basis voor de afgifte van een ICS. Figuur 3: Het three-lines-of-defence-model Eerste verdedigingslinie: management / bestuurder(s) Het lijnmanagement (waarbij de bestuurder hoofdelijk verantwoordelijk is) is primair verantwoordelijk voor de uitvoering, resultaten en effectiviteit van risicobeheersing. Het management is verantwoordelijk voor de toetsing van de huidige mate van beheersing van processen in relatie tot de geïdentificeerde risico s volgens een opgesteld normenkader. Uit hoofde van de bestuurder(s) dient het management een verklaring af te geven in hoeverre binnen de corporatie de juiste beheersmaatregelen zijn geïmplementeerd om de aanwezige risico s af te dekken en doelstellingen effectief en efficiënt te realiseren. Tweede verdedigingslinie: risicomanagement en controlefuncties De tweede lijn bestaat uit de risicomanagementactiviteiten, de compliance officer en een security officer. Deze functies hebben een adviserende en ondersteunende taak bij de interne beheersing. Verder verzorgen zij adequate informatie over de kwaliteit van de interne beheersing (managementrapportages). Risicomanagementfuncties coördineren en houden op een objectieve wijze toezicht op het management en de beheersing van en de verslaglegging over risico s. In de praktijk van de corporaties worden deze taken vaak vervuld binnen de controlefunctie. Indien er geen aparte compliance officer aangesteld is, zijn ook de taken rond compliance belegd binnen deze functie. Als lid van het managementteam is de functie meer adviserend dan controlerend. Derde verdedigingslinie: interne controle De derde lijn bestaat uit het onafhankelijke toezicht uitgevoerd door internal audit. Deze fungeert als extra slot op de deur. Ook de raad van commissarissen kan gezien worden als onderdeel van de derde lijn. De controlefunctie draagt zorg voor een onafhankelijk oordeel over het ontwerp en de effectiviteit van de interne controle ten aanzien van risico s die van invloed zijn op de corporatieresultaten. Bij een ICS ligt de rol van de intern controleur met name in het verhogen van het beheersingbewustzijn bij het management zolang de methode van toetsing nog moet worden geïntroduceerd. De intern controleur kan dan bijvoorbeeld de rol van facilitator van de 14

15 risico-assessments op zich nemen. Wanneer een ICS een reeds bestaand managementinstrument is, kan de intern controleur zich richten op het toetsen en bewaken van de kwaliteit van de self-assessments en het statement (Driessen e.a., 2003). Naast de drie interne verdedigingslinies bestaan twee externe lijnen, deze worden ingevuld door de externe accountant (vierde lijn) en de externe toezichthouder (vijfde lijn). De praktijk bij corporaties In de praktijk vullen woningcorporaties de rollen en verantwoordelijkheden rond governance en toezicht veelal anders in. Het merendeel heeft bijvoorbeeld geen internal audit functie (derde lijn) en vaak zijn de risicomanagementtaken en compliance-taken ondergebracht bij de controller. Meestal zorgt een medewerker die direct onder de controller valt, voor internal control. Het feit dat één persoon vele taken uitvoert, brengt de nodige risico s met zich mee voor de interne beheersing. Het ontbreken van een internal audit afdeling heeft gevolgen voor de invulling van de taak van de raad van commissarissen, immers het onafhankelijke oordeel dient op een betrouwbaar fundament te rusten. Indien de voornemens van de minister (brief Tweede Kamer 12 juni 2009) worden geimplementeerd, dient deze beoordeling zelfs voorzien te worden van een verklaring. In de volgende paragraaf wordt beschreven welke vragen de RvC aan bestuurders kan stellen om de kwaliteit te beoordelen van een door hen afgegeven ICS. 4.3 Intern en extern toezicht bij de interne beheersing van risico s Rol van raad van commissarissen (intern toezicht) De raad van commissarissen heeft tot taak toezicht te houden op het beleid van het bestuur, op de algemene gang van zaken en heeft een adviserende functie richting het bestuur. In de praktijk betekent dit vasthouden aan een kritische instelling, beschikken over gedegen kennis van de corporatieactiviteiten en toezien op de aanwezigheid van een actuele en toereikende evaluatie van de risico s die de corporatie loopt. De toezicht houder moet hierbij ook aandacht geven aan het onderkennen van de zogenaamde risk appetite en het doorgronden en bewaken van de risicostrategie, vertaald naar de feitelijke dienstverlening van een organisatie. In de brief (12 juni 2009) van de minister van WWI zijn de voornemens voor intern toezicht opgenomen. Zo kan intern toezicht voorkomen dat via extern toezicht moet worden opgetreden. De RvC moet dan jaarlijks verklaringen afleggen over de inzet van het vermogen, de financiële continuïteit, de weglek van maatschappelijk bestemd vermogen, de doelmatigheid, de rechtmatigheid, de integriteit en de governance. Om deze verklaringen te kunnen afleggen, moet de RvC beschikken over voldoende informatie. Een ICS van de bestuurders over deze onderwerpen is daarbij een belangrijk instrument waarop de RVC kan bouwen. Woningcorporaties en hun RvC s staan daarom de komende jaren voor de uitdaging hun prestatie- en risicomanagementsystemen zodanig verder te structureren dat daarmee de RvC gericht toezicht kan houden en dat zowel het bestuur als de RvC een ICS kunnen afgeven. Mede op verzoek van minister van der Laan heeft de VTW criteria voor goed intern toezicht opgesteld. Deze criteria vormen de basis voor de verdere professionalisering van het interne toezicht bij woningcorporaties. Uit discussies met deskundigen op het gebied van governance en uit de dagelijkse praktijk komt naar voren dat harde, meetbare criteria en eisen onvoldoende garanties bieden voor goed intern toezicht. Minstens zo belangrijk zijn de heersende groepscultuur in een RvC, de houding en het gedrag van de individuele commissarissen. Criteria krijgen pas echt toegevoegde waarde als de genoemde criteria goed kunnen worden getoetst op een transparante wijze en in een continu proces van interne en externe instrumenten. De Monitoring Commissie Corporate Governance Code (juni 2008) omschrijft de taak van de toezichthouder bij de opzet en werking van de interne risicobeheersingen controlesystemen als volgt: Corporatie Governance In Control Statement 15

16 III.1.8 De raad van commissarissen bespreekt in ieder geval éénmaal per jaar de strategie en de voornaamste risico s verbonden aan de onderneming en de uitkomsten van de beoordeling door het bestuur van de opzet en werking van de interne risicobeheersing- en controlesystemen alsmede de significante wijzigingen hierin. Van het houden van de besprekingen wordt melding gemaakt in het verslag van de raad van commissarissen. Naarmate het interne toezicht beter functioneert, kan het externe toezicht daarvan gebruik maken en kan de minister dit toezicht doelmatiger inrichten. Hieraan zijn uiteraard wel voorwaarden verbonden; de resultaten van het interne toezicht dienen transparant en betrouwbaar te zijn en voor de externe toezichthouder reproduceerbaar en te volgen. Leidraad beoordeling ICS Met een ICS verklaart de bestuurder in hoeverre de juiste beheersmaatregelen zijn geïmplementeerd binnen de corporatie om de aanwezige risico s af te dekken en doelstellingen effectief en efficiënt te realiseren. Om als RvC de waarde van een ICS te kunnen doorgronden, kan de RvC de volgende vragen stellen aan de bestuurders: 1. Hoe luidt de formulering en scope van het ICS? Is aangesloten bij een standaardformulering? 2. Heeft het ICS betrekking op de gehele bedrijfsvoering? Heeft het ICS betrekking op de afgelopen periode en geeft het eventueel een blik vooruit? 3. Wat is de grondslag van het ICS? Welke werkzaamheden zijn verricht door de organisatie? 4. Is het ICS van de bestuurders onderbouwd door ICS ondersteunende verklaringen van lager management en eventueel interne en/of externe audits, uitgevoerd door gekwalificeerde, onafhankelijke auditors en/of interne controlefunctionarissen? 5. Zijn er helder te meten prestatiefactoren omschreven die te herleiden zijn naar de strategische doelstellingen van de corporatie? 6. Is expliciet bepaald hoeveel risico de corporatie mag lopen (welke risico s zijn acceptabel en waarom, en welke risico s niet)? 7. Is in voldoende mate gewaarborgd dat alle relevante en potentiële risico s worden meegenomen in de risicoanalyse, bijvoorbeeld ook de verbindingsrisico s (kwaliteit risicomanagementproces)? 8. Hoe verkrijgen de bestuurders inzicht in de werking van het interne risicobeheersing- en controlesysteem (waaronder naleving wet- en regelgeving, gedragscodes en klokkenluiderregeling)? 9. Doen risico s zich daadwerkelijk voor en in welke omvang en wat is het effect van de interne beheersmaatregelen hierop? 10. Worden er concrete acties ter verbetering van de beheersing van onderkende risico s geformuleerd, inclusief planning, aanwijzing van probleemeigenaren en regelmatige voortgangsrapportages? 11. Sluit de strekking van het ICS aan op rapportages van interne auditors, de externe accountant en rapportages van externe toezichthouders en past het format van het ICS bij de specifieke corporatie (uitgangspunt is uniformiteit aangevuld met maatwerk waar dat noodzakelijk is)? 12. Hoe worden de opmerkingen van de externe accountant (ten aanzien van het interne risicobeheersing- en controlesysteem) opgevolgd? Indien een auditcommissie aanwezig is binnen de RvC, verdiept deze zich waarschijnlijk in eerste instantie in de grondslag van het ICS dat het bestuur heeft afgegeven. Vervolgens kan de gehele RvC bepalen of het bestuur op adequate wijze invulling heeft gegeven aan het ICS en het daaraan ten grondslag liggende proces. Dit past binnen een systeemgerichte toezichtfilosofie, waarbij de RvC het binnen de woningcorporatie aanwezige prestatie- en risicomanagementsysteem gebruikt bij het uitoefenen van haar toezichthoudende taak. Pas op het moment dat blijkt dat de woningcorporatie in onvoldoende mate beschikt over een prestatie- en risicomanagementsysteem, moet de RvC overgaan tot een vorm van gegevensgericht toezicht. Daarbij wordt meer inhoudelijke informatie verlangd van de bestuurders. Aan de externe accountant kan eventueel worden gevraagd om additioneel onderzoek. Voor alles geldt dat de kwaliteit van de informatievoorziening cruciaal is voor de invulling van de rol van de RvC. De RvC moet deze invulling dus adequaat organiseren en duidelijk aangeven wanneer welke informatie van de organisatie wordt verlangd. Het is van belang dat de RvC op eigen initiatief informatie inwint en niet slechts haar toezicht baseert op de informatie verkregen van de bestuurder(s). Naast een eigen informatie-inwinningslijn via bijvoorbeeld de controller is het periodiek vergaderen zonder de aanwezigheid van de bestuurder(s) een vereiste om de onafhankelijke rol adequaat te kunnen uitvoeren. 16

17 Rol Ministerie VROM / Centraal Fonds Volkshuisvesting (extern toezicht) Het externe toezicht wordt uitgevoerd door het Ministerie van VROM/WWI en het Centraal Fonds Volkshuisvesting (CFV). Jaarlijks beoordeelt het CFV de financiële positie van individuele corporaties en rapporteert over de sector als geheel. Het CFV adviseert daarnaast de minister van WWI op het gebied van rechtmatigheidtoezicht. Mede door recente incidenten waarbij het interne toezicht tekort schoot, heeft minister Van der Laan (WWI) voorstellen gedaan voor scherper extern toezicht op woningcorporaties. Onderdeel van zijn voorstellen is het stelllen van minimale eisen aan commissarissen en een betere bundeling van het externe toezicht bij een nieuwe autoriteit. Het CFV wil bij het uitvoeren van het externe toezicht steunen op de kwaliteit van de interne beheersing en het interne toezicht. Een ICS kan bij uitstek het instrument zijn waarbij de woningcorporatie verantwoording aflegt richting een externe toezichthouder als het CFV. Rol Waarborgfonds Sociale Woningbouw (extern toezicht) Het Waarborgfonds Sociale Woningbouw (WSW) geeft garanties aan financiers die woningcorporaties leningen verstrekken voor sociale woningbouwprojecten en investeringen in maatschappelijk vastgoed. Het vrijgegeven bedrag aan faciliteringsvolume is gebaseerd op de risicobeoordeling van de relatie- en/ of risicomanager. Dit faciliteringsvolume is de ruimte die een WSW-deelnemer vooraf krijgt om leningen aan te trekken. Het WSW beoordeelt continu hoe deelnemers er financieel en organisatorisch voor staan in de heersende markt en of zij nu en in de toekomst kunnen voldoen aan hun rente- en aflossingsverplichtingen. Dit is aan de orde bij nieuwe financieringen, maar ook bijvoorbeeld bij verkoop van onroerende goederen. Het WSW kan op basis van de risicohouding van corporaties besluiten dat zonder bijsturing de kredietwaardigheid in het geding komt. Naast de financiële beoordeling wordt ook de organisatie zelf in de beoordeling meegenomen. De managementletter van de accountant geeft inzicht in de risico s van de administratieve organisatie en interne controle. Als blijkt dat de organisatie onvoldoende in control is, kan dit ernstige gevolgen hebben voor de kredietwaardigheid. In een dergelijk geval kan dit leiden tot vermindering van het faciliteringsvolume. Een ICS geeft inzicht in de risico s van de administratieve organisatie en interne controle en de mate van beheersing van deze risico s. Een ICS kan een belangrijk verantwoordingsstuk zijn in de organisatorische beoordeling door het WSW, waarbij aangetekend moet worden dat het toetsen van de werking daarbij wel essentieel is. Rol externe accountant De externe accountant beoordeelt in opdracht van de RvC de jaarrekening van de woningcorporatie en geeft een verklaring over de getrouwheid van de jaarrekening. De rol van de accountant bij de in het jaarverslag opgenomen informatie over de naleving van de Nederlandse corporate governance code is vastgelegd in Audit Alert 18 van het Koninklijk Nederlands Instituut van Registeraccountants. De accountant heeft een goed beeld van de interne risicobeheersing- en controlesystemen die van belang zijn voor de jaarrekeningcontrole. Echter voor het deel van de verklaring van het bestuur dat systemen betreft die niet vallen onder de jaarrekeningcontrole, is bepaald dat deze geen object vormen van de controle. Een ICS kan, evenals andere interne controledocumenten, wel door de accountant worden gebruikt om richting te geven aan de uit te voeren werkzaamheden. De externe accountant van de corporatie rapporteert in het verslag bij de jaarrekening aan de RvC over de werking van de interne risicobeheersing- en controlesystemen en de kwaliteit van de interne informatievoorziening van de woningcorporatie. Bij de uitvoering van zijn controlewerkzaamheden kan de externe accountant de beoordeling gebruiken die de corporatie heeft uitgevoerd voor het ICS. De accountant stemt de controleaanpak, de methode van vastlegging en de gedefinieerde beheersmaatregelen af met de RvC. Het accountantsrapport is hiermee een controleinstrument voor de RvC bij de toezichthoudende taak op het bestuur van de onderneming. De RvC kan de accountant een additionele opdracht geven onderzoek te doen naar de grondslag van het ICS. De inhoudelijke passages uit een verklaring van de directeur-bestuurder worden in de praktijk dus niet automatisch getoetst door een onafhankelijke externe Corporatie Governance In Control Statement 17

18 partij (accountant). De waarde van het instrument neemt daardoor wellicht af, maar kan door uniforme verklaringen binnen de gehele sector worden vergroot. Uniforme verklaringen zijn onderling vergelijkbaar en naarmate de sector deze vaker gebruikt zal de rol van een verklaring groter worden. Kijk bijvoorbeeld naar de SOx-verklaring en de accountantsverklaring. Deze zijn uniform geformuleerd, waardoor de vergelijkbaarheid voor belanghebbenden is vergroot. Aan de andere kant is het zo dat iedere onderneming en/of corporatie anders is dan de andere en er dus een vorm van maatwerk nodig is. Denk bijvoorbeeld aan grote en kleine corporaties, met veel of weinig risicovolle investeringsprojecten. Het is zoeken naar een evenwicht tussen een bepaalde vorm van maatwerk versus uniformiteit. Overige stakeholders Naast de hierboven beschreven belanghebbenden, kunnen anderen ook gebruik maken van het ICS. Gemeenten maar ook andere belanghebbenden (zie bijvoorbeeld het wetsvoorstel rechtsvorm maatschappelijke onderneming (MO) in het BW) krijgen in de toekomst wellicht een formele rol toebedeeld (zie brief minister WWI van juni 2009). Deze formele rol is niet zo zeer financieel, maar meer gericht op de maatschappelijke kant. 4.4 ICS-huis en controleraamwerk Het ICS moet gaan over de gehele bedrijfsvoering van corporaties, met name die onderdelen die essentieel zijn voor de adequate invulling van de (wettelijke) taken. De gehele bedrijfsvoering is opgebouwd uit processen die de doelstellingen van de corporatie ondersteunen zoals in figuur 4 het ICS-huis is weergegeven. Dit is de essentie van het door ons ontwikkelde controleraamwerk. Alle benoemde bouwstenen dienen aanwezig te zijn in een ICS om te kunnen spreken van in control. De elementen van het in hoofdstuk 2 benoemde COSO-model, komen terug in dit huis. In het huis wordt invulling gegeven aan die onderdelen van een ICS die specifiek zijn voor de corporatiesector. Dit heeft geleid tot een normenkader dat bestaat uit maatschappelijke doelstellingen, compliance en rechtmatigheid, secundaire processen, primaire processen en governance, ofwel in het kort: Strategische doelstellingen Het dak van het huis wordt gevormd door governance, de overkoepelende eisen voor sturing en beheersing. De omvang van de maatschappelijke doelstellingen worden geïllustreerd door de tuin, waarmee deze direct ook kunnen worden afgebakend. Operationele processen De bedrijfsvoering (de begane grond) is ondersteunend aan de uitvoering van de primaire processen (de eerste verdieping van het huis). Compliance Hier gaat het om het voldoen aan relevante wet- en regelgeving. Informatievoorziening en verantwoording In dit onderdeel gaat het over de mate waarin een corporatie in staat is relevante, juiste, tijdige en betrouwbare gegevens te genereren en zich daarover te verantwoorden aan interne en externe stakeholders. 18

19 Figuur 4: COSO-model en ICS-huis Governance Structuur Risicomanagement Prestatiemanagement Juridische processen HRM processen Fiscale processen Inkoop processen informatievoorziening Projectontwikkeling Financiering Woonruimte verdeling Beheer bestaande voorraad Afstoten Compliance en rechtmatigheid Maatschappelijke doelstellingen Governance Primaire processen Secundaire processen Compliance Afbakening In de volgende paragrafen zijn per aandachtsgebied van een woningcorporatie (onderdelen van het ICS-huis) aan de hand van de doelstellingen, risico s en minimaal te nemen beheersmaatregelen geformuleerd in een tabel. Hierbij is op hoofdlijnen de indeling van het COSO-model gehanteerd. Achtereenvolgens betreft het de aandachtsgebieden: maatschappelijke doelstellingen; governance; projectontwikkeling; financiering; woonruimteverdeling; beheer bestaande voorraden; afstoten; juridische processen; HRM-processen; fiscale processen; inkoopprocessen; informatievoorziening; compliance. Afhankelijk van de grootte van een corporatie en aard van de werkzaamheden, zijn sommige onderdelen van het huis meer of minder relevant. Het is dus niet zo dat iedere corporatie zich altijd over alle onderwerpen verantwoordt in het ICS. Afwijkingen zijn mogelijk maar dienen wel te worden toegelicht in het ICS door comply or explain. Corporatie Governance In Control Statement 19

20 4.4.1 Maatschappelijke doelstellingen Doelstellingen proces Uitgangspunt voor het ICS is het wettelijke kader waarbinnen de corporatie actief is en de doelstellingen die een corporatie heeft geformuleerd. Corporaties mogen op grond van de Woningwet artikel 70 lid 1 uitsluitend op het gebied van de volkshuisvesting werkzaam zijn. Het Bbsh geeft in artikel 11 lid 2 een limitatieve opsomming van de zaken die tot het gebied van de volkshuisvesting behoren, de zogenaamde kerntaken. Typerend voor woningcorporaties is de limitering van de kerntaken die een specifieke, primaire doelgroep dienen: woningzoekenden die niet in staat zijn om zelf passende huisvesting te verzorgen. Corporaties voeren de wettelijke kerntaken uit binnen een maatschappelijk kader dat moet leiden tot een beter functioneren van de woningmarkt. De kerntaken en zes prestatievelden vanuit het Bbsh vormen de basis voor de maatschappelijke doelstellingen van woningcorporaties. Het maatschappelijke karakter van woningcorporaties wordt bepaald door de volgende prestatievelden: passend huisvesten van de doelgroep; betrekken van bewoner bij beleid en beheer; bevorderen van de leefbaarheid; bijdragen aan de combinatie wonen en zorg. De maatschappelijke doelstellingen verschillen per corporatie en zijn afhankelijk van omvang en ambitie. Voorbeelden uit de praktijk lopen uiteen van vitale wijken en een toegankelijke woningmarkt tot het huisvesten van de meest kwetsbaren in de samenleving en het bijdragen aan de vermindering van de CO2-uitstoot. Corporaties zijn maatschappelijke ondernemingen en hebben daardoor te maken met maatschappelijke doelstellingen. Maatschappelijke doelstellingen hebben een belangrijke plaats in de beleids- en bedrijfsvoering van corporaties. In de toelichting op artikel 21 uit het Bbsh is specifiek aangegeven dat alle toegelaten instellingen naar vermogen bijdragen aan een zo groot mogelijk maatschappelijk rendement van de sociale huursector als geheel. Uit dit lid blijkt dat de toegelaten instellingen de middelen die zij niet nodig hebben om hun voortbestaan in financieel opzicht te waarborgen, dienen in te zetten ten behoeve van de volkshuisvesting. 20