Risicomanagementbeleid Woonbedrijf ieder1 22 februari 2018 Goedgekeurd door RvC d.d. 5 maart 2018
Risicomanagementbeleid Woonbedrijf ieder1 2 Inhoudsopgave 1 Inleiding... 4 2 Doelstellingen risicomanagement... 4 3 Kader risicomanagementbeleid... 5 3.1 Aansluiting met het COSO-model... 5 3.2 Draagvlak... 6 3.3 Raamwerk voor managen risico s... 6 3.4 Monitoring en beoordeling van het kader... 7 4 Risicomanagement proces... 8 4.1 Context... 8 4.2 Risico-identificatie en -analyse... 8 4.3 Risicotolerantie... 9 4.4 Risicobeheersing... 10 4.5 Monitoring en rapportage... 10 4.6 Evaluatie... 11 4.7 Projectrisico s... 11 5 Taken en verantwoordelijkheden... 12 5.1 Raad van Commissarissen... 12 5.2 Het Bestuur... 12 5.3 Managementteam... 13 5.4 Risico-eigenaar... 13 5.5 Risicomanagementcoördinator (Organisatie controller)... 14
Risicomanagementbeleid Woonbedrijf ieder1 3 6 Integratie... 15 6.1 Koppeling Planning- & Controlcyclus... 15 6.2 Risicomanagement in relatie tot het interne controleplan... 16 7 Risicoparagraaf in het jaarverslag... 16 BIJLAGE A: DEFINITIES... 17 BIJLAGE B: Voorbeeld vragenlijst... 18 BIJLAGE C: Format vijf-vragenanalyse... 22 BIJLAGE D: Strategiekaart Woonbedrijf ieder1... 23
Risicomanagementbeleid Woonbedrijf ieder1 4 1 Inleiding Het bestuur en management team (MT) van Woonbedrijf ieder1 wil risicomanagement systematisch inbedden in de organisatie. De missie en de doelstellingen van Woonbedrijf ieder1 worden daarbij als uitgangspunt gehanteerd. Het beheersen van de risico s voor de realisatie van de doelstellingen is van belang. Risicomanagement moet standaard onderdeel zijn van de besluitvorming, waarbij niet alleen het benoemen en kwantificeren van de risico s centraal staat, maar tevens de beheersmaatregelen worden benoemd. Bij elk relevant risico kan een keuze worden gemaakt uit het vermijden van een bepaald risico (bijvoorbeeld het beëindigen van een bepaald beleid), mitigeren van risico s (bijvoorbeeld door het treffen van beheersmaatregelen), overdragen en/of afkopen van risico s (bijvoorbeeld treffen van een verzekering of contractueel elders beleggen van het risico) maar ook het bewust accepteren van een risico. Voor effectief risicomanagement worden heldere en structurele rapportages ontwikkeld. Risicomanagement gaat onderdeel uitmaken van de reguliere Planning- & Controlcyclus en komt, in de vorm van een strategiekaart, jaarlijks terug bij de bespreking van het jaarplan. Om risicomanagement breed in de organisatie op de agenda te krijgen, moet het risicobewustzijn bij de medewerkers worden verhoogd. Om risicomanagement organisatie breed te kunnen invoeren is een cultuur noodzakelijk waarin risico s open en eerlijk met elkaar gedeeld en besproken worden. Risicomanagement is een verantwoordelijkheid van iedereen. Het Bestuur en de MT-leden zijn de trekkers van risicomanagement, zodat het een integraal onderdeel wordt van het management van de organisatie. Risico s beschouwen we in dit document niet als iets negatiefs dat zoveel mogelijk moet worden vermeden. Risicomanagement gaat niet alleen om het wegnemen van gevaren maar ook om het realiseren van kansen. Het gaat erom de risico s goed in kaart te brengen, beheersmaatregelen te nemen en bij de uitvoering goed de vinger aan de pols te houden. Woonbedrijf ieder1 beperkt zich daarbij niet alleen tot de eigen omgeving en organisatie maar kijkt ook naar de externe omgeving. Woonbedrijf ieder1 wil risicomanagement organisatiebreed toepassen. Om dit te kunnen doen moeten de doelstellingen van risicomanagement en de kaders waarbinnen risicomanagement zich afspeelt duidelijk zijn. In dit beleidsdocument worden deze kaders neergezet. Een aantal relevante definities en kernbegrippen zijn in de bijlagen nader toegelicht. 2 Doelstellingen risicomanagement In dit hoofdstuk wordt ingegaan op de doelstellingen en uitgangspunten. De doelstellingen geven weer wat Woonbedrijf ieder1 wil bereiken met risicomanagement. De uitgangspunten vormen de basis voor een goede implementatie van risicomanagement in de Woonbedrijf ieder1 organisatie.
Risicomanagementbeleid Woonbedrijf ieder1 5 Met het toepassen van risicomanagement streeft Woonbedrijf ieder1 de volgende doelstellingen na: Het inzichtelijk maken van de risico s die het realiseren van de doelstellingen van Woonbedrijf ieder1 in gevaar brengen en waar nodig treffen van adequate maatregelen (mitigeren, vermijden, afkopen, overdragen); Risicobewustzijn van (medewerkers van) de organisatie stimuleren en vergroten; Het maken van verantwoorde keuzes met betrekking tot het dan al niet nemen van risico s. Risico s kunnen ook bewust worden geaccepteerd; Het voorkomen en/of verkleinen van financiële tegenvallers en niet-financiële risico s zoals imagoschade; Het voldoen aan de regels van de toezichthouders; Het afleggen van verantwoording aan de Raad van Commissarissen (RvC) en externe stakeholders (WSW, AW); Het professionaliseren van de organisatie; Het realiseren van de strategische doelstellingen; Het aanbrengen van managementfocus. Daarbij hanteert Woonbedrijf ieder1 de volgende uitgangspunten: Risicomanagement draagt bij aan het realiseren van de doelstellingen van Woonbedrijf ieder1; Risicomanagement maakt integraal deel uit van alle processen van de organisatie; Risicomanagement is een basis voor keuzes en maakt deel uit van de besluitvorming; Interne transparantie rondom risico s en beheersing is van belang om van elkaar te leren en synergie te bewerkstelligen. 3 Kader risicomanagementbeleid Het risicomanagementbeleid is de basis voor het verankeren van risicomanagement op alle niveaus in de organisatie en vormt het kader waarbinnen risicomanagement wordt uitgevoerd. Het risicomanagementbeleid wordt iedere vier jaar opnieuw vastgesteld door het Bestuur en goedgekeurd door de RvC danwel eerder indien de strategie in belangrijke mate wijzigt. 3.1 Aansluiting met het COSO-model In de controlvisie van Woonbedrijf ieder1 is aangegeven dat het risicomanagement aansluit bij het zogenaamde COSO-model. In dit model worden vier categorieën van risico s benoemd: strategisch, operationeel, rapportage en compliance. In juni 2017 is het traditionele COSO-model gewijzigd (na de vaststelling van de controlvisie van Woonbedrijf ieder1). Het nieuwe framework van COSO gaat er meer vanuit dat risicomanagement geïntegreerd dient te worden in de strategie en de executie daarvan. Ten opzichte van het traditionele COSO-model kiest Woonbedrijf ieder1 voor het nog niet volledig implementeren van een formeel systeem van risicomanagement. Dit wordt hierna nader toegelicht.
Risicomanagementbeleid Woonbedrijf ieder1 6 Het traditionele COSO-model kent naast de risicocategorieën een drietal vlakken: 1 Risicomanagementproces. Dit is beschreven in hoofdstuk 4 Risicomanagement proces. 2 Organisatie versus afdeling. De focus is momenteel op het risicomanagement voor de organisatie als geheel en vooralsnog niet op het niveau van specifieke afdelingen. Per jaar zal worden beoordeeld in hoeverre het inrichten van een formele risicomanagementcyclus voor een bepaalde of alle afdelingen nodig is. 3 Doelstellingen t.a.v. de beheersing van strategische doelstellingen (strategic), effectiviteit en efficiency van bedrijfsprocessen (operations), betrouwbaarheid van de financiële informatieverzorging (reporting) en naleving van relevante wet- en regelgeving (compliance). Onderhavig algemeen beleidskader is hanteerbaar voor alle 4 de aandachtsgebieden. Woonbedrijf ieder1 heeft hierin vooralsnog echter een aantal keuzes gemaakt, welke hierna zijn toegelicht. Initieel richt Woonbedrijf ieder1 zich primair op het inrichten van een formele risicomanagementcyclus t.a.v. de realisatie van de strategische doelstellingen (strategic) en met betrekking tot operations uitsluitend projectrisico s m.bt. vastgoed (zie s.v.p. hierna paragraaf 4.7 en 5.4). Vastgoedprojecten kennen een groot financieel belang en hebben eveneens een belangrijke impact op huurderstevredenheid, kwaliteit bezit, etc. Woonbedrijf ieder1 besteed al veel aandacht aan compliance en reporting. De managementletter van BDO geeft geen belangrijke risico s op dit vlak aan. Op basis daarvan hebben wij besloten om vooralsnog het uitrollen van het formele risicomanagement te beperken tot de hiervoor genoemde items en niet specifiek verder te formaliseren (anders dan de reeds bestaande maatregelen) voor compliance en reporting. 3.2 Draagvlak Voor de implementatie en het uitdragen van effectief risicomanagement is het van groot belang dat draagvlak gecreëerd wordt in de gehele organisatie. Woonbedrijf ieder1 heeft dit beleidskader in samenspraak tussen directie, MT en RvC opgesteld. Hiermee is het draagvlak in de top van de organisatie geborgd waarna het belang van risicomanagement uitgedragen wordt naar de medewerkers. De MT-leden hebben de belangrijke taak om het belang van risicomanagement in samenspraak met de Organisatie controller en de medewerkers van de huidige afdeling Control uit te dragen in de gehele organisatie. Door regelmatig overleg tussen Organisatie controller/control en de MT-leden wordt inzicht verkregen in de status van de afdelingen ten aanzien van implementatie en risicobeheersing. 3.3 Raamwerk voor managen risico s Raamwerk In het schema hierna is weergegeven hoe de strategie zich verhoudt tot de risicomanagement cyclus. Vanuit strategisch perspectief is het belangrijk om te onderkennen wat de risicobereidheid en acceptatie is van Woonbedrijf ieder1 m.b.t. de risico s voor de realisatie van strategie en doelen. In het schema is dit benoemd als risk appetite en risicotolerantie.
Risicomanagementbeleid Woonbedrijf ieder1 7 Op basis van de doelstellingen zoals vastgelegd in het ondernemingsplan bepaalt het MT de zogenaamde kritieke succesfactoren (KSF). Deze kritieke succesfactoren zijn de activiteiten waaraan de organisatie adequate aandacht moet besteden om haar doelstellingen te behalen. Het beheersen van de risico s bij deze kritieke succesfactoren is daarom van essentieel belang. Deze zijn in het schema benoemd als top risico s. Het verloop van de kritieke succesfactoren en toprisico s wordt gemeten aan de hand van zogenaamde keyperformance-indicators (KPI) en keyrisk-indicators (KRI). Omwille van de eenvoud gaan wij in het document hierna primair in op KPI s en waar nodig KRI. Het proces ten aanzien van de bepaling van de KPI s en top risico s wordt jaarlijks, indien nodig, herijkt. Het bepalen van de risico s behorende bij de succesfactoren vindt plaats door het ophalen van risico s door middel van een vragenlijst (zie bijlage). Het MT selecteert en prioriteert de strategische risico s. De risicoanalyse van het MT wordt uitgevoerd in een speciale werksessie. Tijdens deze sessie worden de risico s geanalyseerd die Woonbedrijf ieder1 loopt voor de realisatie van haar doelstellingen. Dit leidt tot een definitief strategisch profiel waarbij de doelstellingen en de risico s aan elkaar worden gekoppeld. Het beheersen van risico s is een afweging tussen de kosten en de effectiviteit van de beheersmaatregel. Staat de beheersmaatregel op zichzelf, of worden hiermee meerdere risico s beheerst? Dit laatste komt de effectiviteit ten goede. Het besluit voor de beheersing van de risico s wordt voor de strategische risico s genomen door het MT. Door periodieke overleggen binnen het MT en met het Bestuur en de bespreking van de periodieke rapportage wordt de beheersing van de risico s en het behalen van de KPI s gemonitord. De periodieke rapportage is momenteel op periodieke basis. Door middel van de interne audits (opgenomen in jaarplan Control) wordt de effectiviteit van de beheersing van de risico s worden getoetst. De bevindingen worden gerapporteerd in separate rapportages. 3.4 Monitoring en beoordeling van het kader Periodiek wordt verantwoording afgelegd over de ontwikkeling van de risico s. Onder verantwoordelijkheid van de individuele MT-leden wordt gerapporteerd over de risico s en de voortgang op de implementatie van aanvullende beheersmaatregelen en de ontwikkeling van het risico.
Risicomanagementbeleid Woonbedrijf ieder1 8 Door middel van de periodieke rapportage worden door het Bestuur en de RvC ook de meest relevante risico s gemonitord. 4 Risicomanagement proces In de voorgaande hoofdstukken is ingegaan op het risicomanagementbeleid. Het risicomanagement proces omvat de volgende stappen: bepalen van de context; risico-identificatie; risicoanalyse; risicotolerantie; risicobeheersing; monitoring; evaluatie. Hiermee bevat het risicomanagementproces alle aspecten die nodig zijn om risico s op een gedegen en gestructureerde wijze in kaart te brengen. Hierna worden de stappen en enkele basisprincipes die Woonbedrijf ieder1 bij het doorlopen van het proces in acht neemt toegelicht. 4.1 Context De eerste stap bij het uitvoeren van een risicoanalyse is het bepalen van de context. In deze stap wordt gekeken naar interne en externe factoren die van belang zijn voor de risicoanalyse en die gevolgen kunnen hebben voor het presteren van de organisatie. Woonbedrijf ieder1 bepaalt haar context door het vaststellen van de KPI s. Het vaststellen van de KPI s gebeurt in aparte werksessies. Jaarlijks wordt dit beoordeeld door de coördinator en waar nodig worden voorstellen tot aanpassing aangedragen. 4.2 Risico-identificatie en -analyse In deze fase worden alle potentiële risico s geïdentificeerd die invloed hebben op de KPI s. Bij de identificatie is zowel aandacht voor interne als externe risico s. Woonbedrijf ieder1 kiest ervoor haar risicoprofiel ieder jaar te actualiseren door binnen een door de MT- ledengeselecteerde groep medewerkers een vragenlijst uit te zetten. Door middel van deze vragenlijst wordt een breed pallet aan risico s opgehaald. Het gebruik van een vragenlijst heeft als voordeel dat het minder tijdrovend is dan interviews. Deze medewerkers zullen worden geselecteerd door de respectievelijke MT-leden. Vanuit dit brede pallet aan risico s worden in een werksessie met het MT de strategische risico s geselecteerd. Deze selectie vindt plaats door vast te stellen welke risico s de grootste impact hebben op het behalen van de doelstellingen. Deze risico s worden vervolgens gekoppeld aan de KPI s. Aan de werksessie nemen deel de MT-leden en een aantal sleutelfiguren uit de organisatie. Alle specialismen zijn op deze wijze vertegenwoordigd.
Risicomanagementbeleid Woonbedrijf ieder1 9 Uit de resterende risico s selecteren de afdelingen Vastgoed, de Rayons, Bedrijfsdiensten, Financiën, Onderhoud, Staf en Strategie in een werksessie de risico s welke de meeste impact hebben op het behalen van de afdelingsdoelstellingen. Voor deze werksessie worden uitgenodigd de MT- leden en een aantal sleutelfiguren van de afdeling. Indien gewenst kan de groep deelnemers worden aangevuld met staffunctionarissen en/of medewerkers van andere afdelingen om specifieke expertise toe te voegen. Voor alle geselecteerde risico s wordt een verantwoordelijke benoemd. Het is aan het betreffende MT-lid te bepalen wie dit exact zijn. Dit ontslaat hen niet van de verantwoordelijkheid voor het risicomanagement m.b.t. hun afdeling. In hoofdstuk 5 Taken en verantwoordelijkheden wordt de rol van de diverse betrokkenen binnen het risicomanagement proces beschreven. Woonbedrijf ieder1 kiest voor een werksessie, omdat zij het delen van percepties en kennis rondom de verschillende risico s een belangrijk aspect vindt van het risicomanagementproces. Juist het regelmatig met elkaar in gesprek gaan over risico s vergroot het risicobewustzijn binnen een organisatie. Naast de periodieke evaluatie (te beoordelen door de coördinator en het MT) van het risicoprofiel worden alle medewerkers gevraagd daar waar zich tussentijds nieuwe risico s ontstaan deze te rapporteren, zodat maatregelen kunnen worden getroffen. Door in werkoverleggen regelmatig aandacht te besteden aan doelstellingen, KPI s en risico s wordt het risicobewustzijn van medewerkers vergroot en zijn ze beter in staat risico s te identificeren. 4.3 Risicotolerantie Risicomanagement heeft niet tot doel alle risico s te minimaliseren. Risicomanagement richt zich op het terugbrengen van de risico s naar een voor de organisatie acceptabel niveau, de risicotolerantie. Deze tolerantie kan verschillen per risico en moet daarom per risico worden vastgesteld. Bij elk relevant risico kan een keuze worden gemaakt uit het vermijden van een bepaald risico (bijvoorbeeld het beëindigen van een bepaald beleid), mitigeren van risico s (bijvoorbeeld door het treffen van beheersmaatregelen), overdragen en/of afkopen van risico s (bijvoorbeeld treffen van een verzekering of contractueel elders beleggen van het risico) en het accepteren van een risico. MT-leden doen een voorstel voor de risicotolerantie op tactisch en strategisch niveau welke uiteindelijk door het Bestuur wordt vastgesteld. Daar waar mogelijk is deze tolerantie kwantitatief. Wanneer dit niet mogelijk is wordt een kwalitatieve tolerantie gehanteerd. Deze laatste is voornamelijk beschrijvend. Voorstellen voor de risicotolerantie van strategische risico s worden besproken in het MT. Wanneer een risico buiten de risicotolerantie komt of dreigt te komen is het noodzakelijk aanvullende beheersmaatregelen (vermijden, mitigeren, overdragen en/of afkopen van risico s zijn ook beheersmaatregelen in deze context) te treffen om het risico terug te brengen tot het gewenste niveau. Het omgekeerde is ook mogelijk. Wanneer een risico zich positief ontwikkeld is mogelijk het aantal beheersmaatregelen te verminderen. In het geval geen aanvullende maatregelen meer kunnen worden getroffen om het risico terug te brengen tot een acceptabel niveau, danwel de kosten van deze maatregelen zijn
Risicomanagementbeleid Woonbedrijf ieder1 10 te hoog, dan kan dit leiden tot een aanpassing van de strategie van de organisatie. Wanneer dit laatste niet gewenst is moet het risicotolerantie niveau van de organisatie naar boven bijgesteld worden. 4.4 Risicobeheersing Voor beheersing van de meeste risico s in een organisatie zijn al maatregelen getroffen. Het risicomanagementproces brengt structuur aan in deze grote hoeveelheid beheersmaatregelen. Dat betekent dat voor de geselecteerde strategische risico s de bestaande beheersmaatregelen in kaart worden gebracht. Vervolgens wordt beoordeeld of deze afdoende zijn om de risico s terug te brengen naar het voor de organisatie gewenst niveau. Daar waar risico s onvoldoende worden beheerst worden aanvullende maatregelen getroffen. Om te beoordelen of de huidige beheersing van een risico afdoende is, zorgt het MT-lid voor het uitvoeren van een analyse, de zogenaamde vijf-vragenanalyse (zie bijlage). In deze vijf-vragenanalyse wordt aandacht besteed aan de omvang van het risico, de huidige beheersmaatregelen, de risicotolerantie, de beoordeling van de beheersing en de eventueel noodzakelijke aanvullende maatregelen. Afhankelijk van de uitkomsten van de eerste vier vragen van deze analyse dienen al dan niet aanvullende beheersingsmaatregelen getroffen te worden. Het is van groot belang dat de betreffende beheersmaatregelen effectief zijn. Dit wil zeggen dat de beheersmaatregelen de kans op het optreden van het risico of de gevolgen van het optreden van het risico verkleinen zodat de realisatie van de doelstellingen niet in gevaar komt. Ook is hierbij van belang dat de maatregelen proportioneel zijn. Dit houdt in dat de kosten van de maatregel in verhouding staan tot de vermindering van de kans of de gevolgen en dat er niet onnodig veel maatregelen voor één risico genomen worden. De eigenaar van het risico doet voorstellen voor aanvullende beheersmaatregelen. De voorstellen voor de strategische risico s worden besproken in het MT. De risico-eigenaar is verantwoordelijk voor het uitvoeren van de vijf-vragenanalyse en heeft voldoende expertise om een voorstel te doen. De risico-eigenaar is echter niet zelfstandig bevoegd om beslissingen te nemen over risicotolerantie en beheersmaatregelen. 4.5 Monitoring en rapportage De omgeving van Woonbedrijf ieder1 verandert en Woonbedrijf ieder1 verandert mee. Hetzelfde geldt voor de risico s. Het is belangrijk deze ontwikkeling van een risico te volgen om er zeker van te zijn dat de beheersing van een risico gelijke tred houdt met de ontwikkeling van het risico. Periodieke rapportages Periodiek wordt de MT-leden gevraagd te rapporteren over de voortgang op de KPI s. Daarnaast wordt hen gevraagd te rapporteren over de status van de risico s die verbonden zijn aan de KPI onder hun verantwoordelijkheid. De MT-leden vragen de risico-eigenaren te rapporteren over de voortgang op de implementatie van de beheersmaatregelen en de ontwikkeling van het risico. De beoordeling van de ontwikkeling van het risico is toekomst gericht. Dit betekent dat wordt gekeken naar de verwachte toekomstige ontwikkeling van het risico.
Risicomanagementbeleid Woonbedrijf ieder1 11 Gezamenlijk beoordelen zij of de huidige beheersmaatregelen afdoende zijn en of aanvullende maatregelen noodzakelijk zijn om de toekomstige ontwikkeling van het risico op te vangen. De vijf-vragenanalyse wordt wederom (impliciet) uitgevoerd. Daarnaast wordt zowel het MT- als de risico-eigenaar gevraagd te rapporteren over mogelijk nieuwe risico s die onderdeel moeten gaan uitmaken van het risicoprofiel. Beoordeling Control Control beoordeelt de juistheid, compleetheid en kwaliteit van deze prestatie- en risicorapportage. Hierbij wordt onder andere gekeken naar de samenhang tussen de verschillende risico s, de actualiteit van de risico s (zijn nieuwe ontwikkelingen voldoende terug te vinden) de beoordeling en beheersing van de risico s. De bevindingen worden meegenomen in de rapportage. Deze rapportage wordt inhoudelijk besproken in het MT en gedeeld met de RvC. Actualisatie strategisch profiel Naast de periodieke rapportage inzake prestatie en risico s wordt het strategisch profiel jaarlijks door het MT geactualiseerd voorafgaand aan de begroting. Op basis van dit geactualiseerde profiel worden de tactische profielen binnen de verschillende afdelingen geactualiseerd. Daar waar er wijzigingen zijn aangebracht wordt opnieuw de koppeling gemaakt tussen de KPI s en de risico s. Control analyseert de strategische en tactische profielen om te bezien of er voldoende samenhang is. 4.6 Evaluatie Per jaar vindt een evaluatie van het risicoprofiel en het risicomanagementproces plaats. In de evaluatie wordt gekeken naar mogelijke verbeteringen ten aanzien van de werkwijze. Daarnaast wordt gekeken naar de kwaliteit van de producten (volledigheid en kwaliteit van de risicoprofielen) die volgen uit het risicomanagement proces. De evaluatie wordt uitgevoerd door Control in nauw overleg met de verschillende betrokkenen bij het risicomanagement proces. Periodiek kan Woonbedrijf ieder1 opdracht geven tot een onafhankelijke beoordeling van het risicomanagement proces. 4.7 Projectrisico s Voor de identificatie en beheersing van de projectrisico s wordt een afwijkend proces gevolgd. Een risicoparagraaf maakt onderdeel uit van de investeringsafwegingen. In deze risicoparagraaf wordt de belangrijkste risico s van een project opgenomen, de tolerantie ten aanzien van het risico en de beheersmaatregelen welke al zijn getroffen dan wel de komende periode zullen worden getroffen. De monitoring van deze risico s vindt plaats binnen het project en maakt geen onderdeel uit van de reguliere risicomanagement rapportage. Ook hier maakt Control een beoordeling van de juistheid en compleetheid van de risico s. Daarnaast beoordeelt Control de samenhang tussen de projectrisico s, strategische en tactische risico s.
Risicomanagementbeleid Woonbedrijf ieder1 12 5 Taken en verantwoordelijkheden In dit hoofdstuk wordt uiteengezet welke taken en verantwoordelijkheden de verschillende actoren binnen Woonbedrijf ieder1 hebben. 5.1 Raad van Commissarissen ACTOR Raad van Commissarissen TAKEN EN WANNEER VERANTWOORDELIJKHEDEN Goedkeuren risicomanagementbeleid Minimaal vierjaarlijks Kennisnemen van risicoparagraaf in het jaarverslag en de periodieke risicorapportage Jaarverslag Periodieke rapportage Vormen van een zelfstandig oordeel over de risico s (primair toetsen van voorgelegd bestuursbesluiten) 5.2 Het Bestuur ACTOR TAKEN EN VERANTWOORDELIJKHEDEN WANNEER Bestuur Vaststellen risicomanagementbeleid Minimaal vierjaarlijks Verantwoordelijk voor uitvoering risicomanagementbeleid Creëren draagvlak voor risicomanagement en vergroten risicobewustzijn binnen de organisatie, vertonen van voorbeeldgedrag Opstellen en actualiseren strategisch risicoprofiel Beheersen van de strategische risico s Informeren van de RvC over de strategische risico s en de risico s bij belangrijke voorstellen Opstellen risicoparagraaf Bij belangrijke wijzigingen in strategie en voorafgaand aan het vaststellen van de begroting Jaarverslag Periodieke rapportage
Risicomanagementbeleid Woonbedrijf ieder1 13 5.3 Managementteam Verantwoordelijkheid voor de realisatie van de kritieke prestatie indicatoren en de beheersing van de risico s ligt bij het MT van Woonbedrijf ieder1. Het management wordt hierbij ondersteund door Control. Voor de daadwerkelijke uitwerking van risicomanagement kan de betreffende manager eventueel gebruik maken van risico-eigenaren. Dit is ter beoordeling van de betreffende manager. De verantwoordelijkheid m.b.t. het risicomanagement en de rapportage hieromtrent blijft echter bij de individuele manager. ACTOR TAKEN EN WANNEER VERANTWOORDELIJKHEDEN MT-leden Opstellen tactische profielen Bij belangrijke wijzigingen Opstellen en actualiseren risicoprofielen afdelingen Bij belangrijke wijzigingen Beheersen strategische risico s voor hun vakgebied Rapporteren over de prestaties op de KPI s en de strategische risico s Periodiek Bespreken tactische risico s op de afdelingen Periodiek Creëren draagvlak voor risicomanagement en vergroten risicobewustzijn binnen de organisatie, vertonen van voorbeeldgedrag Melden risico s aan het Bestuur en Organisatie controller/control die zich onverwacht voordoen 5.4 Risico-eigenaar Zoals aangegeven, kunnen de managers MT-leden binnen hun afdeling zogenaamde risicoeigenaren benoemen. Deze risico-eigenaren zijn dan verantwoordelijk voor de analyse van het risico aan de hand van de vijf-vragenanalyse (zie bijlage). Daarbij doet de risicoeigenaar voorstellen voor de risicotolerantie en de verbetering van de beheersing van het risico. De risico-eigenaar heef geen bevoegdheid tot het nemen van maatregelen. Voor tactische risico s legt de risico-eigenaar zijn voorstel voor aan het afdelingsoverleg en het betreffende MT-lid. T.a.v. strategische risico s worden voorstellen ingebracht in het MT door het betreffende MT-lid. Nadat besluitvorming heeft plaatsgevonden over aanvullende maatregelen draagt de risicoeigenaar zorg voor de implementatie van deze maatregelen. Daarnaast monitort en
Risicomanagementbeleid Woonbedrijf ieder1 14 rapporteert de risico-eigenaar de ontwikkeling van het risico. Bij een negatieve ontwikkeling van het risico kan de risico-eigenaar voorstellen doen voor aanvullende beheersmaatregelen. Bij een positieve ontwikkeling kan de risico-eigenaar voorstellen beheersmaatregelen te laten vervallen. Het is belangrijk op te merken dat de risico-eigenaar niet verantwoordelijk kan worden gehouden voor de ontwikkeling van een risico. Wel kan de risico-eigenaar verantwoordelijk worden gehouden voor het niet melden van de ontwikkeling van een risico wanneer deze daarvan wel op de hoogte had kunnen zijn. Voor vastgoedprojecten (gezien het financiële belang) ligt nog een separate verantwoordelijkheid zoals hieronder weergegeven. ACTOR Projectleiders, voor de respectievelijke vastgoed projecten gezien het financiële belang TAKEN EN VERANTWOORDELIJKHEDEN Uitvoeren risicoanalyse Implementeren aanvullende beheersmaatregelen Rapporteren over de voortgang op de implementatie van beheersmaatregelen en de ontwikkeling van het risico WANNEER Projectrapportage/ Periodieke rapportage Melden risico s aan MT-leden, het Bestuur en Organisatie controller / Control die zich onverwacht voordoen 5.5 Risicomanagementcoördinator (Organisatie controller) Binnen Woonbedrijf ieder1 treedt de Organisatie controller op als risicomanagementcoördinator. Hij bewaakt de uitvoering van het risicomanagementbeleid en biedt ondersteuning bij het doorlopen van het risicomanagementproces. Belangrijk is ook dat de risicomanagementcoördinator overzicht houdt over het totale risicoprofiel van de organisatie en dat de samenhang gewaarborgd blijft. Verder is hij eerste aanspreekpunt voor risicomanagement binnen Woonbedrijf ieder1.
Risicomanagementbeleid Woonbedrijf ieder1 15 ACTOR TAKEN EN VERANTWOORDELIJKHEDEN WANNEER Opstellen en herzien van het risicomanagement beleid Minimaal vierjaarlijks Bijhouden actualiteiten m.b.t. risicomanagement Bijdragen aan creëren draagvlak voor risicomanagement en vergroten risicobewustzijn binnen de organisatie. Signaleren en bijdragen aan oplossen knelpunten uitvoering risicomanagementbeleid. Indien nodig bespreken in MT overleg Ondersteunen managers bij het doorlopen van risicomanagement proces Overzicht houden over totaal risicoprofiel en waarborgen samenhang Aanspreekpunt voor de organisatie m.b.t. risicomanagement Toezien op de uitvoering van het risicomanagement proces op strategisch en tactisch niveau Evaluatie risicomanagement proces Periodieke rapportage Jaarlijks 6 Integratie Hieronder wordt ingegaan op de koppeling van risicomanagement aan de Planning- & Controlcyclus. Tevens wordt de relatie met het interne controleplan toegelicht. 6.1 Koppeling Planning- & Controlcyclus Ten behoeve van een gestructureerde inbedding van risicomanagement in de processen is het wenselijk het risicomanagementproces te koppelen aan de bestaande Planning- & Controlcyclus. De koppeling kan tot stand worden gebracht door aan de begroting, periodieke rapportages en jaarrekening een risicoparagraaf toe te voegen. Parallel aan het opstellen van de begroting/jaarplan, wordt het strategisch profiel bijgewerkt (indien nodig). Deze jaarlijkse bijwerking is ook input voor de begrotingsgesprekken. Het (definitief) bijgewerkte strategisch profiel wordt goedgekeurd door het bestuur (met instemming van het MT) en besproken in de RvC. In de periodieke rapportage wordt verantwoording afgelegd over de status van de KPI s en de gekoppelde risico s. Naast de reguliere koppeling aan de Planning- & Controlcyclus bestaat er ook de mogelijkheid grote (incidentele) risico s die zich snel dreigen te
Risicomanagementbeleid Woonbedrijf ieder1 16 manifesteren te rapporteren. Zo n afwijkende rapportage (alarmkanaal) ontstaat, zodra een manager een groot risico identificeert. In dat geval dient direct gerapporteerd te worden aan het Bestuur en Organisatie controller. Het succes van risicomanagement is mede afhankelijk van de mate waarin feedback wordt gegeven door het managementteam ten aanzien van de risicorapportage in de managementrapportages en het omgaan met grote risico s. 6.2 Risicomanagement in relatie tot het interne controleplan Het risicoprofiel van Woonbedrijf ieder1 vormt input voor het interne controleplan, dat door Control opgezet en beheerd wordt. Het interne controleplan wordt jaarlijks geactualiseerd. Het interne controleplan is hierdoor nauw gerelateerd aan het risicomanagementbeleid van Woonbedrijf ieder1. Via het instrument van interne controle wordt vastgesteld of het management ook daadwerkelijk op (het voorkomen van) risico s stuurt door het toepassen van de afgesproken beheersmaatregelen. De belangrijkste risico s per proces zullen de belangrijkste controles zijn in de uit te voeren interne controles binnen de organisatie. Afstemming tussen de essentiële risico s en de daarbij behorende beheersmaatregelen vindt plaats met het controleplan. Hierbij wordt gewaarborgd dat de essentiële beheersingsmaatregelen in voldoende mate gecontroleerd worden op de juiste werking. Tevens vindt controle plaats op de naleving van het risicomanagement proces door de periodieke rapportage. 7 Risicoparagraaf in het jaarverslag Op grond van de Governancecode Woningcorporaties (AEDES, 2015) en de Richtlijnen Jaarverslaggeving moet het bestuur een risicoparagraaf opnemen in het jaarverslag. Deze paragraaf komt tot stand met behulp van risicomanagement proces. De keuzes worden jaarlijks vastgesteld door het Bestuur en besproken met de RvC. In het jaarverslag rapporteert het bestuur aan de RvC: Hoofdlijnen van de governancestructuur; Een toelichting op het doorlopen proces; Beschrijving van de strategische risico s; Beheersmaatregelen voor deze risico s; De risicotolerantie ten aanzien van de geïdentificeerde risico s; Het beleid omtrent deze verhouding voor de komende jaren. In een aantal gevallen is het niet aan te raden om alle geselecteerde risico s zonder meer in de extern gepubliceerde risicoparagraaf op te nemen. Het schatten van een toe te kennen bedrag aan een schadeclaim kan worden opgevat als toegeven aan de aansprakelijkheid of kan leiden tot een hogere schadeclaim dan oorspronkelijk zou worden ingediend. Uit strategische overwegingen worden dit soort risico s niet voorzien van een kwantitatieve beoordeling of in zijn geheel niet opgenomen in de externe risicoparagraaf. Wel is natuurlijk van belang dat de organisatie inzicht heeft in deze risico s. In de interne risicoparagraaf worden daarom alle risico s opgenomen.
BIJLAGE A: DEFINITIES Hierna worden een aantal kernbegrippen toegelicht. Dit zijn de begrippen risicomanagement, strategiekaart, kritieke succesfactoren, risico- en beheersmaatregel. Woonbedrijf ieder1 hanteert de volgende definities: Risicomanagement: het identificeren en analyseren van risico s en het vaststellen van beheersmaatregelen. Strategiekaart: schematische confrontatie tussen de missie, doelstellingen en de kritieke succesfactoren met de daarbij behorende risico s. Kritieke succesfactoren: activiteiten die essentieel zijn voor het behalen van de doelstellingen van de organisatie en een hoge impact en beheersbaarheid hebben. Risico: een onzekere gebeurtenis die op een of andere manier gevolgen heeft op het realiseren van je doelen. Beheersmaatregel: Een activiteit die zich op enige wijze richt op het elimineren, vermijden of verkleinen van de oorzaak of het gevolg van een ongewenste gebeurtenis. Risicomanagement heeft niet tot doel alle risico s te minimaliseren. Risicomanagement richt zich op het terugbrengen van de risico s naar een voor de organisatie acceptabel niveau, de risicotolerantie. Deze tolerantie kan verschillen per risico en moet daarom per risico worden vastgesteld.
BIJLAGE B: Voorbeeld vragenlijst Vragenlijst risico s Woonbedrijf ieder1 In de vragenlijst vragen wij u om na te denken over de risico s van de Woonbedrijf ieder1. De vragenlijst is opgebouwd uit acht vragen. Het beantwoorden hiervan neemt ongeveer 1 uur in beslag. Loop de vragen af en beoordeel of u specifieke risico`s ziet t.a.v. dat onderwerp. Voorbeeld: Vraag 2 gaat over de omgeving waarin Woonbedrijf ieder1 opereert? Welke risico s ziet u als gevolg van veranderingen in deze omgeving? U kunt bij het beantwoorden van de vragen gebruik maken van de voorbeelden die in de vraag zijn gegeven, maar u kunt natuurlijk ook geheel andere risico s aandragen. Indien u geen risico`s ziet bij een bepaalde vraag dan kunt u die vraag overslaan. Voorbeelden Bij het beschrijven van een risico is het goed om zo expliciet mogelijk te zijn. Het gebruik van de zin Als gevolg van bestaat de kans dat met als gevolg dat helpt daarbij. Hieronder is een voorbeeld opgenomen waarbij we gebruik maken van deze manier om het risico te beschrijven. Onderstaand voorbeeld dient als hulpmiddel. In dit voorbeeld komt ook naar voren dat een risico meerdere oorzaken en gevolgen kan hebben. Beschrijf deze oorzaken en gevolgen zoveel mogelijk. Voorbeeld Als gevolg van Bestaat de kans dat Met als gevolg dat 1. Als gevolg van het huurbeleid, de stijging van de gemeentelijke belastingen en energielasten 2. Als gevolg van investeringen in energieproducten die zichzelf nog niet bewezen hebben, grote afhankelijkheid van bewonersgedrag bij investeringen in energieproducten, bestaat de kans dat de betaalbaarheid voor de doelgroep onder druk komt te staan. bestaat de kans dat er te dure investeringen worden gedaan in energieproducten Met als gevolg een toename van de huurachterstand, leegstand. Met als gevolg onvoldoende rendement op investeringen in energie, duurzaamheid van het verdienmodel onder druk komt te staan.
Algemene vraag 1. Twee grootste risico s: Wat zijn 'vanuit uw expertise' de twee grootste risico's voor Woonbedrijf ieder1? Als gevolg van Bestaat de kans dat Met als gevolg dat 1. 2. 3. Specifieke vragen 2. Externe omgeving: Welke risico's ziet u als gevolg van ontwikkelingen in de omgeving? Risico s kunnen betrekking hebben op wet- en regelgeving, lokale en landelijke politiek, prestatie-afspraken, imago van de sector, etc. Als gevolg van Bestaat de kans dat Met als gevolg dat 1. 2. 3. 3. Klant: Welke risico's ziet u op het gebied van de klant en/of de wijze waarop Woonbedrijf ieder1 met haar klanten omgaat? Risico s kunnen betrekking hebben op klanttevredenheid, producten en diensten, participatie, dienstverlening, etc. Als gevolg van Bestaat de kans dat Met als gevolg dat 1. 2. 3.
4. Leefbaarheid & Wonen: Welke risico's ziet u voor leefbaarheid en wonen? Risico s kunnen betrekking hebben op samenwerking met partners, kleine kernen, krimp, vergrijzing, kwetsbare huurders, huurprijsbeleid, woonruimteverdeling, betaalbaarheid, etc. Als gevolg van Bestaat de kans dat Met als gevolg dat 1. 2. 3. 5. Vastgoed: Welke risico's ziet u voor het vastgoed? Risico s kunnen betrekking hebben op de samenstelling bezit, transformatie, kwaliteit onderhoud, duurzaamheid, energieprestaties, projectontwikkeling, verkoopvijver, etc. Als gevolg van Bestaat de kans dat Met als gevolg dat 1. 2. 3. 6. Financiën: Welke financiële risico s ziet u? Risico s kunnen betrekking hebben op de rente, herfinanciering, borging, kostenniveau, fiscaliteit, etc. Als gevolg van Bestaat de kans dat Met als gevolg dat 1. 2. 3.
7. Organisatieontwikkeling en interne beheersing Welke risico's ziet u voor de ontwikkeling van de organisatie en de interne beheersing? Risico's kunnen betrekking hebben op bijvoorbeeld ICT, interne processen, planning & control, leiderschap, medewerkers, cultuur, innovatie, kennis, etc. Als gevolg van Bestaat de kans dat Met als gevolg dat 1. 2. 3. 8. Overige onderwerpen Zijn er nog andere risico's die hierboven niet aanbod zijn gekomen, maar die u toch graag opgenomen zou willen zien in het risicoprofiel? Als gevolg van Bestaat de kans dat Met als gevolg dat 1. 2. 3. Hartelijk dank voor uw medewerking!
BIJLAGE C: Format vijf-vragenanalyse Risico Omschrijving Impact Invloed op het risico Huidige maatregelen... Wanneer ben ik tevreden over de beheersing van het risico? Huidige beheersing afdoende ja / nee Waarom?. Welke aanvullende maatregelenmoeten worden genomen:...
BIJLAGE D: Strategiekaart Woonbedrijf ieder1