Hoe groot was de appetite voor risk appetite?

Transcriptie

1 Hoe groot was de appetite voor risk appetite?

2 Hoe groot was de appetite voor risk appetite? In 2016 zijn de eerste bestuursverslagen gepubliceerd waarin ondernemingen de nieuwe RJ vereisten ten aanzien van de risicoparagraaf hebben toegepast. Dit artikel is een samenvatting van deze eerstejaars praktijkimplementatie van die vereisten. 1 RJ vereisten Voor beursgenoteerde, grote en middelgrote ondernemingen gelden met ingang van het boekjaar 2015 aanvullende eisen aan de risicoparagraaf in het bestuursverslag. Ondernemingen waren op grond van bestaande regelgeving al verplicht om een beschrijving op te nemen van de voornaamste risico s en onzekerheden waarmee de rechtspersoon wordt geconfronteerd. Als gevolg van de nieuwe Richtlijn die als aan/invulling van de wettelijke bepalingen geldt, dient de onderneming in de risicoparagraaf te beschrijven: 1. De risicobereidheid met betrekking tot de significante risico s en onzekerheden. 2. De getroffen risicobeperkende maatregelen. 3. Een beschrijving van de verwachte impact op het resultaat en/of de financiële positie indien de risico s of onzekerheden zich verwezenlijken. De aanbeveling deze impact te kwantificeren door middel van een gevoeligheidsanalyse. 4. Risico s en onzekerheden met een belangrijke impact in het afgelopen boekjaar en de gevolgen daarvan. 5. Verbeteringen in het systeem van risicomanagement die zijn of worden aangebracht. 2 Achtergrond EY heeft in aanloop naar de 2015 bestuursverslagen, de publicatie Het bestuursverslag in de schijnwerpers geschreven. Door middel van een tweetal voorbeelden geeft deze publicatie invulling aan de risicoparagraaf. In ons vaktechnische magazine Inform van Oktober 2016 geven we, aan de hand van praktijkvoorbeelden, in het artikel Wat leren we van de bestuursverslagen over 2015? een eerste indruk in hoeverre de bestuursverslagen voldoen aan de nieuwe eisen. De AFM heeft onderzoek gedaan naar de implementatie van de vereisten voor de risicoparagraaf. In de bijlage van dat rapport zijn ook per element van de risicoparagraaf een aantal good practices opgenomen. Dit artikel bevat naar aanleiding van de publicatie van de bestuursverslagen over 2015, een nadere beschouwing omtrent de risicoparagraaf en de implementatie in de praktijk. 3 Onderzoek In totaal zijn de bestuursverslagen van 36 ondernemingen onderzocht. De classificatie blijkt uit onderstaande figuur.

3 Pagina 2 De categorie Overig bestaat uit commerciële entiteiten, die niet in de andere categorieën vallen maar wel interessant zijn ten aanzien van de risicoparagraaf, zo zijn er twee entiteiten opgenomen waarvan de statutaire zetel in Nederlands is maar het grootste gedeelte van de activiteiten buiten Nederland plaatsvindt. Daarnaast zijn er drie Nederlandse ondernemingen opgenomen die vergelijkbaar zijn qua branche maar beperkter van omvang zijn dan de ondernemingen die deel uitmaken van een beursindex. 4 Wijze van invulling In 56% van de onderzochte bestuursverslagen zijn de RJ vereisten ten aanzien van de risicoparagraaf beschrijvend weergegeven. In de andere 44% is gekozen voor een combinatie van beschrijven en visuele weergave, bijvoorbeeld door het opnemen van een tabel of risk radar. Ondernemingen die naast een beschrijving ook visuele elementen hebben opgenomen in hun risicoparagraaf scoren 1 over het algemeen een betere implementatie rating dan wanneer alleen tekst is opgenomen. 5 Significante risico s en onzekerheden Alle onderzochte bedrijven hebben, in verschillende mate van detail, de significante risico s en onzekerheden die volgens hen van invloed zijn op de ondernemingen, opgenomen in hun bestuursverslag. 6 Risk appetite Op basis van de RJ vereisten wordt verwacht dat van de opgenomen significante risico s en onzekerheden de risicobereidheid wordt opgenomen in het bestuursverslag. Van de 36 ondernemingen hebben 27 ondernemingen (75%) informatie opgenomen over de risk appetite. Acht ondernemingen (22%) deden dat, zoals vereist, per risico/onzekerheid. 1 Zie paragraaf rating en analyse.

4 Pagina 3 Zestien ondernemingen (45%) beschreven de risk appetite op risico categorie niveau. Dat wil zeggen dat ze de risk appetite samengevat beschrijven op respectievelijk strategisch, operationeel, financieel en compliance niveau. De link naar de individuele risico s wordt niet gemaakt. Hiervoor kunnen twee oorzaken zijn, ten eerste dat ondernemingen niet bereid zijn om meer informatie te delen of ten tweede dat het risicomanagement systeem niet volwassen genoeg is om in die mate van detail de risk appetite te beschrijven. Drie ondernemingen (8%) beschreven de risk appetite alleen op het niveau van de onderneming als geheel en niet per risico/onzekerheid. De toegevoegde waarde van die informatie in het licht van de RJ vereisten is beperkt omdat dit geen invulling geeft aan de risk appetite op risico niveau maar alleen op totaalniveau. Negen ondernemingen (25%) gingen in het geheel niet in op de risk appetite of noemden alleen het concept zonder een nadere invulling te geven. Een enkele van deze laatste categorie ondernemingen gaf aan in het bestuursverslag over 2016 meer of gedetailleerdere informatie te verschaffen wat mogelijk duidt op geplande verbeteringen in het risico management systeem. 7 Beheersingsmaatregelen 34 van de in totaal 36 onderzochte ondernemingen verstrekten in het bestuursverslag informatie over de beheersingsmaatregelen die zijn genomen om de onderkende risico s en onzekerheden te mitigeren. Slechts één onderneming deed dat beperkt, de overige 33 uitgebreid. Twee ondernemingen beschreven alleen hun control framework zonder in detail in te gaan op de beheersingsmaatregelen of slechts in enkele gevallen in algemeenheden in te gaan op de beheersingsmaatregelen. 8 Impact verwacht en gedurende afgelopen jaar Zowel de verwachte impact van de beschreven risico s en onzekerheden als de impact gedurende het afgelopen jaar zijn in vrijwel alle bestuursverslagen opgenomen. De toekomstgerichte, verwachte impact wordt in alle gevallen beschreven in de risicoparagraaf. De impact in het afgelopen jaar wordt in meer dan de helft van de bestuursverslagen opgenomen in een andere sectie dan de risicoparagraaf, bijvoorbeeld in de business overview.

5 Pagina 4 9 Verbeteringen Vooruitkijkend vereist de RJ dat ondernemingen verbeteringen in het systeem van risicomanagement die zijn of worden aangebracht opnemen in hun bestuursverslag. 22 ondernemingen (61%) heeft expliciet verbeteringen (een beschrijving van de geplande verbeteringen en/of verbeteringen aangekondigd) opgenomen die zijn gepland/verwacht worden voor het komende jaar. Een relatief hoog percentage aangezien ondernemingen over het algemeen terughoudend zijn met betrekking tot (interne) toekomstige ontwikkelingen. Dit zegt mogelijk iets over het risicomanagement speelveld. Er lijkt veel beweging te zijn, dit wordt mogelijk veroorzaakt door de toegenomen aandacht en focus op het onderwerp door economische ontwikkelingen waar ook in wet- en regelgeving op is ingespeeld. Daarnaast wordt ook in de herziene Nederlandse Corporate Governance Code veel meer aandacht afgedwongen voor risicomanagement en risicobeheersing. Zo is risicobereidheid op meerdere plaatsen in de code opgenomen. 10 Kwantificering Aanbevolen wordt om in de risicoparagraaf de verwachte impact op het resultaat en/of de financiële positie te kwantificeren door middel van een gevoeligheidsanalyse indien de risico s of onzekerheden zich verwezenlijken. Slechts elf ondernemingen (31%) hebben in hun bestuursverslag enige vorm van kwantificering/gevoeligheidsanalyse van de verwachte impact opgenomen. Er zijn mogelijk meerdere redenen te noemen voor het achterwege laten van een gevoeligheidsanalyse: de informatie om een gevoeligheidsanalyse uit te voeren ontbreekt; het is praktisch niet mogelijk om een gevoeligheidsanalyse uit te voeren; de invloed van de kwantificering op de concurrentiepositie. Onder de elf ondernemingen die wel een kwantificering hebben opgenomen zijn er drie financiële instellingen. Voor deze categorie geldt dat het eerder regel dan uitzondering is om de financiële exposure van de risico s op te nemen in het bestuursverslag, met name van de financiële (gerelateerde) risico s. 11 Rating en analyse Op basis van bovenstaande factoren is een implementatie rating toegekend aan de ondernemingen. Onderstaande tabel geeft uitleg over de ratingschalen: Rating Onvoldoende Marginaal Voldoende Leader Best practice Omschrijving Voldoet niet aan RJ vereisten Voldoet marginaal aan RJ vereisten verbeteringen gewenst Voldoet aan RJ vereisten Voorbeeldfunctie ten aanzien van implementatie RJ vereisten maar mist een implementatiecriterium (bijvoorbeeld kwantificering/gevoeligheidsanalyse) Voldoet volledig aan alle RJ vereisten en aanbevelingen Samenvattend zijn de resultaten van de eerstejaars implementatie van de RJ vereisten ten aanzien van de risicoparagraaf bemoedigend. 27 van de 36 ondernemingen (75%) hebben een rating van voldoende of hoger. Er zijn geen ondernemingen met een onvoldoende rating. De risicoparagrafen van negen ondernemingen (25%) zijn beoordeeld als marginaal.

6 Pagina 5 Als we inzoomen op de ratingresultaten ziet deze er als volgt uit per categorie ondernemingen: Hierbij valt op dat: in de AEX fondsen er geen best practice ratings voorkomen; de AMX fondsen en de staatsdeelnemingen de best presterende categorieën zijn; de AScX fondsen achterblijven bij de AEX en AMX fondsen; de Overige categorie meer dan de helft van de marginaal rating (verbeteringen gewenst) voor haar rekening neemt.

7 Pagina 6 12 Conclusies Op basis van het uitgevoerde onderzoek van 36 bestuursverslagen mag worden gesteld dat de implementatie van de RJ vereisten ten aanzien van de risicoparagraaf redelijk succesvol is verlopen. Er zijn geen ondernemingen die een onvoldoende scoren. Daarnaast is het percentage verslagen dat als best practice of leader is beoordeeld 31%. Voor een implementatiejaar is dat een bemoedigend resultaat. Er is uiteraard nog voldoende ruimte voor verbetering. Met name de mate van detail omtrent de beschrijving van de risk appetite verschilt aanzienlijk. Het is de vraag of het opnemen van de risk appetite op risico categorie niveau het doel van de nieuwe vereisten het vergroten van de transparantie van de risico s, onzekerheden, de impact en risicobereidheid daarmee gediend is. Het zal volgend jaar (en mogelijk de jaren daaropvolgend) blijken of de keuze voor deze aanpak is ingegeven door een risicomanagement systeem dat nog niet volwassen genoeg is of dat het een bewuste keuze is van ondernemingen om informatie te delen op een hoger/abstracter niveau. Daarnaast is er ruimte voor verbeteringen ten aanzien van de presentatie van de risicoparagraaf. Kijkend naar de leaders en best practice voorbeelden zijn er goede voorbeelden van visuele weergaven van bepaalde elementen van de risicoparagraaf. Naar verwachting zullen ondernemingen van elkaar leren en zal de presentatie verder verbeteren. Op basis van bovenstaande analyse en samenvatting mag worden gesteld dat, binnen de verwachting van een eerste jaar, de implementatie van de nieuwe RJ vereisten ten aanzien van de risicoparagraaf succesvol is verlopen en dat het doel het vergroten van de transparantie van ondernemingen ten aanzien van hun risico s voorlopig is bereikt. De komende jaren zal, naar verwachting, de volwassenheid toenemen met name bij de kleinere grote ondernemingen en middelgrote ondernemingen. Voor vragen en/of meer informatie: drs. Martijn de Jong RA EY Professional Practice Group/Board & Governance Services martijn.de.jong@nl.ey.com