5.8 Risicomanagement

Visie op risicomanagement

Bij het Havenbedrijf Rotterdam zien wij risicomanagement als een essentieel onderdeel van onze ondernemingsstrategie en bedrijfsvoering. Wij volgen vrijwillig de Nederlandse Corporate Governance Code. In 2025 is de Corporate Governance Code gewijzigd. Daarbij zijn de principes en de door het bestuur af te leggen verklaringen met betrekking tot de verantwoording over de risicobeheersing van de vennootschap uitgebreid naar de duurzaamheidsverslaggevings-, operationele en compliance risico’s in aanvulling op de beheersing van de financiële verslaggevingsrisico’s. Als gevolg hiervan is dit hoofdstuk van het verslag ook uitgebreid.

Wij erkennen dat risico’s inherent zijn aan het realiseren van ambities en het uitvoeren van activiteiten. Daarom streven wij ernaar om risico’s niet per definitie te vermijden, maar ze te identificeren, beoordelen, beheersen en hierover transparant te rapporteren.

Risicomanagement is geen doel op zich, maar een vast onderdeel van onze bedrijfsvoering. Het helpt ons om bewust en gestructureerd om te gaan met onzekerheden die onze doelen kunnen beïnvloeden. Deze doelen zijn uiteenlopend: van het realiseren van onze strategie waaronder veilige en efficiënte afhandeling van het scheepsverkeer, tot betrouwbare verslaggeving en een gezonde financiële positie. Risicomanagement zorgt ervoor dat we verrassingen beperken, middelen efficiënt inzetten en meer zekerheid hebben over het bereiken van onze doelen. We beseffen dat geen enkele aanpak volledige zekerheid biedt, noch kan het alle onjuistheden, fraude, incidenten en overtredingen van wetten en regels geheel voorkomen.

Risicobereidheid

Het Havenbedrijf Rotterdam hanteert als uitgangspunt een lage tot gematigde risicobereidheid; waarbij risico’s worden afgewogen tegen strategische kansen, maatschappelijke verantwoordelijkheid en operationele continuïteit. Ons uitgangspunt is terughoudendheid, in het bijzonder voor risico’s die raken aan onze publieke taak als Divisie Havenmeester, veiligheid, naleving van wet- en regelgeving en betrouwbare financiële en duurzaamheidsverslaggeving. Wij zijn bereid om grotere risico’s te nemen die bijdragen aan innovatie, duurzaamheid en concurrentiekracht, mits deze binnen duidelijke kaders vallen en adequaat worden gemonitord. Wij zijn voornemens de risicobereidheid verder te differentiëren en deze dan ook meer expliciet en gestructureerd onderdeel te laten zijn van ons risicobeheersings- en controlesysteem.

Risicobeheersings- en controlesysteem

RJ 400 richtlijn en de Corporate Governance Code 2025 vormen voor ons het kader voor de verantwoording over ons risicobeheersings- en controlesysteem. Ons risicobeheersings- en controlesysteem is gebaseerd op het COSO Enterprise Risk Management raamwerk. Hierna lichten wij belangrijke elementen in onze risicobeheersings- en controlesysteem toe.

Normen, waarden en cultuur

Met de Bedrijfscode laten wij zien wat wij belangrijk vinden in het zakelijke en maatschappelijke verkeer en wat gewenst en ongewenst gedrag is. Jaarlijkse training(en) van onze medewerkers in dit kader versterken deze boodschappen. Via het medewerkersonderzoek evalueren we periodiek aspecten als cultuur, werkdruk en bekendheid met de Bedrijfscode. Het in stand houden en vergroten van het risicobewustzijn van onze medewerkers heeft verder onze blijvende aandacht. Dit geldt ook voor onze kernwaarden: Focus, Respect, Veerkracht en Verbinding. Wij brengen dit actief onder de aandacht bij onze medewerkers.

Organisatie en governance

Het afdelingsmanagement en project-/programmanagers zijn als eerste lijn verantwoordelijk voor een beheerste uitvoering van processen, projecten en programma’s, inclusief risicobeheersing. De eerste lijn maakt in hun activiteiten gebruik van specialistische functies, zoals Corporate Legal met specialisatie op diverse juridische gebieden, inkoopspecialisten of specialisten in nautisch recht, veiligheid, fiscaliteit of contract recht.

Risicomanagement-, compliance-adviseurs en controllers zorgen voor ondersteuning, en vormen samen de Risk, Control & Compliance-community, die vier keer per jaar bijeenkomt voor kennisdeling en afstemming. Dit gebeurt onder voorzitterschap van Corporate Risk en Compliance die vanuit de tweede lijn kaders stelt voor de uitvoering van risicomanagement en compliance activiteiten. Ook de IAD als derde lijn heeft zitting in deze community. Zij is geen onderdeel van de tweede lijn maar heeft zitting in de community om inzicht te verkrijgen in werkzaamheden van eerste en tweedelijn. Naast deze bijeenkomsten vindt informeel bilaterale afstemming plaats. Daarnaast voert de IAD periodiek op onderdelen van het risicobeheersings- en controlesysteem audits en evaluaties uit. Dit gebeurt op basis van een met de Algemene directie en Auditcommissie van de Raad van Commissarissen afgestemd auditplan.

Op basis van de informatie die voortkomt uit de drie hiervoor genoemde lijnen, vult de Algemene directie haar eindverantwoordelijk in voor het risicobeheersings- en controlesysteem en houdt de (Auditcommissie van de) Raad van Commissarissen toezicht op de effectiviteit hiervan. Dit doet zij onder meer door het bespreken van kwartaalrapportages die inzicht geven in de prestaties en voortgang op diverse gebieden, zoals arbeids- nautische en cyberveiligheid, privacy, duurzaamheid, compliance, investeringsprojecten en financiën en de Interne Auditdienst rapportages die inzicht geven in de effectiviteit van (onderdelen van) het risicobeheersings- en controlesysteem. Ook de algehele financiële risicobeheersing krijgt aandacht via het bespreken van de interne toelichting en uitkomsten van de Fraud Risk Assessment. Daarnaast bespreekt de Auditcommissie de belangrijkste risico’s (HbR top risico’s) twee keer per jaar en de compliance volwassenheid eens per jaar met de Algemene directie.

Beleid en richtlijnen

Wij hanteren beleid en richtlijnen die gezamenlijk moeten zorgen voor realisatie van doelstellingen en consistentie, naleving en kwaliteit in onze processen. Zo beperken wij risico’s bij het aangaan van uitgaven en verplichtingen door middel van autorisatielimieten, vastgelegd in het interne bevoegdhedenbeleid en de procuratieregeling. Daarnaast hebben wij beleid en richtlijnen voor onder meer aanbesteding, deelnemingen, privacy, accounting, het financiële beheer en het beheer en de beveiliging van geautomatiseerde systemen. Voor de belangrijkste geautomatiseerde systemen van de externe dienstverleners wordt een ISAE 3402-verklaring gevraagd Operationele risico’s worden onder meer gemitigeerd door de wijze waarop processen zijn ingericht en procedures zoals voor veiligheid, onderhoud, en inkopen. Onze projectmanagement aanpak borgt verder dat de projecten conform plan worden uitgevoerd. Project- en productboards geven sturing aan onze projectenportefeuille.

Risicoanalyses en controleraamwerken

Het risicomanagement begint op strategisch niveau als onderdeel van het strategisch planningsproces. Op directieteam niveau vindt strategievorming, bepaling van organisatiedoelstellingen, vaststelling van de belangrijkste bedrijfsbrede risico’s (HbR top risico’s) en budgettoewijzingen plaats.

Op operationeel niveau voeren afdelingen, projectteams en domeinen zoals arbeidsveiligheid, nautische veiligheid risicoanalyses uit. Tevens hebben we in 2025 risk & control assessments uitgevoerd voor de operationele afdelingen: Divisie Havenmeester, Asset Management en Havenontwikkeling en de Digital & IT afdeling. Deze assessments geven inzicht in de risico’s en maatregelen per afdeling en leggen de basis voor een integraal beeld van de risico’s. De assessments versterken de koppeling tussen strategisch en operationeel risicomanagement. Ze kunnen tevens nieuwe risico’s aan het licht brengen die ontbreken in de top-down vastgestelde lijst volgend uit het risicomanagement op strategisch niveau.

Compliance risico’s zijn onderdeel van risicoanalyses op alle niveaus. In 2024 introduceerden we een aanpak die via jaarlijkse ‘compliance maturity self-assessments’ inzicht geeft in onze compliance volwassenheid en verbeterpunten. Deze assessments door eigenaren en kennishouders van wet- en regelgevingsgebieden (zoals belastingen, privacy, inkoop of aanbesteding) vormen een kernonderdeel van ons compliance raamwerk. Daarnaast heeft de IAD in samenwerking met Finance, een overkoepelende inventarisatie van potentiële frauderisico’s en beheersmaatregelen binnen Havenbedrijf Rotterdam uitgevoerd.

Het bezien van ESG/duurzaamheidsrisico’s en beheersing hiervan is integraal onderdeel van ons risicobeheersings- en controlesysteem. Betrouwbare duurzaamheidsverslaggeving is geborgd binnen het proces van ‘integrated reporting’, waarbinnen sturing en beheersing plaatsvindt van materiële thema's en onze impact op de omgeving, en de jaarlijkse audit van de IAD op tekstclaims en KPI’s.

Voor het signaleren van financiële risico’s en het voorspellen van onze financieringsbehoefte, hanteren wij onder andere een meerjarig Financieel Plan. Wij houden daarbij rekening met verschillende financiële scenario’s. Raamwerken voor financiële controle zijn aanwezig ter beheersing van onder meer financiële verslaggevingsrisico’s. Dit geldt voor de belangrijkste processen zoals contractopbrengsten, havengelden en inkopen. Daarnaast wordt elk kwartaal een interne toelichting opgesteld die analyses en verklaringen bevat over het verloop van de posten op de balans en in de winst- en verliesrekening.

Planning & control inclusief monitoring en rapportage

In 2025 hebben we de Annual Business Review/Quarterly Business Review methodiek geïntroduceerd in onze planning & control cyclus. Jaarlijks worden activiteiten ter realisatie van de ondernemingsstrategie geprioriteerd en budgetten toegekend op basis van vaste (run) en eenmalige (change) activiteiten en vertaald naar het jaarplan. De resultaten van de activiteiten en bestedingen worden vervolgens op kwartaalbasis beoordeeld met bijsturing wanneer dat noodzakelijk blijkt te zijn. Via de kwartaalrapportage wordt verantwoording afgelegd.

De kwartaalrapportage bevat verder alle relevante recente ontwikkelingen, prestaties en voortgang op diverse gebieden, zoals arbeids- nautische en cyberveiligheid, privacy, duurzaamheid, compliance, investeringsprojecten en financiën. De monitoring van ons top risicolandschap als ook onze compliance volwassenheid is onderdeel van de planning- en controlecyclus. Het directieteam, de Algemene directie en Raad van Commissarissen bespreken de toprisico’s twee keer per jaar en onze compliance volwassenheid eens per jaar. Onze toprisico’s en compliance volwassenheid worden ook met onze aandeelhouders gedeeld.

Naast de kwartaalrapportages zijn er verdiepende rapportages die inzicht geven in de status van diverse veiligheidsdomeinen zoals nautische veiligheid, arbeidsveiligheid en cyberveiligheid. Op operationeel niveau vormen onze projectrapportages een belangrijk onderdeel van onze monitoring op investeringsprojecten. Het selecteren en beheerst uitvoeren van de juiste projecten zijn kritieke factoren voor het realiseren van de ondernemingsstrategie. Op portfolioniveau bewaakt het directieteam dat we onze ondernemingsstrategie realiseren en toekomstbestendige keuzes maken. Project- en productboards geven sturing aan de beheersing van onze projectenportefeuille in realisatie.

Ons risicolandschap

In 2025 hebben wij onze belangrijkste risico’s (oftewel toprisico's) opnieuw geïdentificeerd en beoordeeld. Deze risico’s zijn bepalend voor het realiseren van onze ondernemingsstrategie en houden rekening met onze materiele thema’s, interne factoren, externe ontwikkelingen, trends en gebeurtenissen die zowel kansen als bedreigingen met zich meebrengen. De maatregelen en initiatieven ter beïnvloeding van de risico’s maken onderscheid tussen interne beheersing en acties richting de haven en ketenpartners.

Hieronder volgt de beschrijving van de toprisico’s, gecategoriseerd volgens RJ 400: strategisch, operationeel, compliance, financiële en duurzaamheidsverslaggeving. Door de uitbreiding van de Corporate Governance Code 2025 hebben wij duurzaamheidsverslaggeving als risicocategorie toegevoegd.

Strategische risico's

Hieronder vallen risico’s die een belemmering vormen voor de realisatie van de ondernemingsstrategie en/of ons bestaansrecht. Ze omvatten onder andere onzekerheden die betrekking hebben op of gepaard gaan met ontwikkelingen in ons concurrerend vermogen en/of maatschappelijke ontwikkelingen.

Nadere toelichting op Top risico: Ideologische/interstatelijke conflicten, geopolitieke/geo-economische spanningen

Dit risico is in de loop van 2025 toegenomen en zal naar verwachting verder toenemen. De snelheid waarmee dreigingen zich ontwikkelen en de daarmee gepaard gaande onvoorspelbaarheid maken het uitdagend. Toenemende geo‑economische spanningen leiden bovendien tot steeds complexere sanctieregimes. Omdat onvoorspelbaarheid het nieuwe normaal lijkt te worden, kunnen we ons juist daar gerichter op voorbereiden. Dit doen we door ontwikkelingen nauwlettend te volgen, vooruit te denken in verschillende scenario’s, plannen te maken en te oefenen. Daarbij zoeken en onderhouden we actief contact met relevante partners. De aandacht voor onze eigen weerbaarheid én die van de haven blijft onverminderd groot en is stevig verankerd als strategisch speerpunt. Over de specifieke acties en maatregelen die wij nemen, wordt in dit verslag bewust beperkt transparantie geboden.

Nadere toelichting op Toprisico: Negatieve milieu impact haven - PFAS

Havenbedrijf Rotterdam kan - op plaatsen waar de vervuiler niet aanspreekbaar is (bijv. door faillissement) - mogelijk door het bevoegde gezag aangesproken worden voor het nemen van tijdelijke beschermingsmaatregelen om onaanvaardbare risico’s voor de gezondheid (als gevolg van directe of indirecte blootstelling) te voorkomen of beperken. Dit kan een negatieve financiële impact op het Havenbedrijf Rotterdam hebben.

Voor 2026 is de verwachting dat het Havenbedrijf Rotterdam onderzoekskosten zal maken. De noodzaak en omvang van kosten voor tijdelijke beschermingsmaatregelen of saneringskosten kan nog niet goed worden ingeschat. Dit komt omdat de omvang nog niet goed genoeg in beeld is en het beleid rond PFAS nog in ontwikkeling is. Ook geldt voor PFAS dat er nog geen sprake is van een destructieve saneringstechniek. Welke kosten gemaakt moeten worden, is afhankelijk van zowel beleidsmatige als van technische ontwikkelingen. De kosten zijn ook sterk afhankelijk van de locatie(s) waar de verontreiniging wordt aangetroffen. We gaan nu uit van de worst case en schalen daarom de financiële impact op major. We schalen de kans dat Havenbedrijf Rotterdam de kosten draagt vanuit onzekerheid nu in op ‘probable’ kans (50%).

Om de situatie binnen Rotterdam goed in beeld te brengen, laten het Havenbedrijf Rotterdam en de gemeente Rotterdam gezamenlijk een bureaustudie uitvoeren door adviesbureau Arcadis. Dat gebruikt hiervoor openbare bronnen, zoals vergunningen en luchtfoto’s. De resultaten worden in 2026 verwacht. Op basis van de resultaten van de inventarisatie worden een visie en strategie ontwikkeld voor een eventueel vervolgtraject. Het Havenbedrijf Rotterdam vervult hierin een actieve rol als beheerder van de haven en draagt hiermee bij aan een veilige, duurzame en leefbare havenomgeving.

Het nationale beleid rondom de aanpak van PFAS-verontreinigingen is nog volop in beweging. Havenbedrijf Rotterdam werkt samen met DCMR, de gemeente Rotterdam, provincie Zuid-Holland en het ministerie van Infrastructuur en Waterstaat aan een verkenning ten behoeve van een gebiedsgerichte aanpak van PFAS-verontreiniging in het havengebied. De lopende onderzoeken zijn daarvoor belangrijke bouwstenen.

Operationele risico's

Hieronder vallen risico’s die de operationele activiteiten beïnvloeden. Deze omvatten onder andere onzekerheden die gerelateerd zijn aan de interne organisatie, informatiesystemen of producten/diensten.

Inherent aan de geopolitieke ontwikkelingen en de toenemende toegankelijkheid van geavanceerde technologie, ook voor kwaadwillende(n), blijven cyberrisico’s en veiligheidsrisico’s in het fysieke domein zich continu ontwikkelen en kunnen er nieuwe risico’s bijkomen.

Wij realiseren ons dat alertheid voor deze ontwikkelingen en het nemen van acties om ons risicobeheersings- en controlesysteem hierop aan te passen en aan te laten sluiten, essentieel zijn om de operationele risico’s die hieruit voortvloeien zoveel mogelijk te beheersen en in geval risico’s zich materialiseren, de gevolgen zoveel mogelijk te mitigeren. Daarom werken wij voortdurend aan het ontwikkelen van onze preventieve beheersmaatregelen in het cyber en het fysieke domein, evenals het ontwikkelen en testen van response protocollen in geval van incidenten. Daarnaast passen we Business Continuity Management toe om goed voorbereid te zijn op allerlei mogelijke verstoringen, zodat de bedrijfscontinuïteit van HbR wordt geborgd.

Compliance risico's

Hieronder vallen risico’s die voortvloeien uit wet- en regelgeving. Deze omvatten onder andere onzekerheden door het opereren in een omgeving met veel, complexe en veranderende wet- en regelgeving.

Financiële en duurzaamheidsverslagleggingsrisico's

Financiële verslaggevingsrisico’s en duurzaamheidsverslaggevingsrisico’s betreffen risico’s, die van invloed zijn op de betrouwbaarheid van financiële en duurzaamheidsverslaggeving. Deze zijn geen onderdeel van de lijst toprisico's. Net zoals financiële risico’s die betrekking op de financiële positie en onder andere renterisico, valutarisico en onzekerheden in de mogelijkheden om financiering aan te trekken omvatten. Zie grondslagen voor waardering van activa en passiva voor een uitgebreide toelichting op onze financiële risico’s.

Opgetreden risico's en onzekerheden

De toprisico’s ‘Hoge vestigings- en ketenkosten’ en ’Major niet-nautisch incident’ zijn opgetreden.

Het toprisico ‘Hoge vestigings- en ketenkosten’ is opgetreden in de vorm van meerdere chemiebedrijven die hun fabriek in de Rotterdamse haven (gedeeltelijk) hebben gesloten of voornemens zijn te sluiten. Deze gebeurtenissen hadden op de financiële positie over 2025 geen materiële financiële impact op het Havenbedrijf Rotterdam. Voor nadere toelichting wordt verwezen naar de jaarrekening. Wel heeft dit risico een belangrijke impact op de ervaring en perceptie van het ondernemingsklimaat door (potentiële) klanten en onze concurrentiepositie als Havenbedrijf Rotterdam en haven. De impact op de middellange termijn kan daarmee groter zijn.

Het top risico ‘Major niet-nautisch incident’ is opgetreden in de vorm van de twee dodelijke ongevallen bij Steinweg (op 19 juni en 22 september jl.) met meerdere slachtoffers. Havenbedrijf Rotterdam had geen betrokkenheid bij de ongevallen. Veiligheid in de eigen operatie is de verantwoordelijkheid van het desbetreffende bedrijf. Echter wij hechten veel waarde aan veiligheid in de haven. Ook schaadt negatieve media-aandacht hierover de aantrekkelijkheid om te werken in de haven en daarmee ook Havenbedrijf Rotterdam.

Verder zijn er geen risico’s en onzekerheden opgetreden die een dusdanige impact hadden op het afgelopen boekjaar, dat wij daartoe aanpassingen moesten doen aan ons risicobeheersings- en controlesysteem. De getroffen maatregelen en acties waren afdoende om de gevolgen voor het Havenbedrijf Rotterdam te beperken.

Wijze van evaluatie en onderbouwing van de directie op de effectiviteit van het risicobeheersing en controlesysteem

Toprisico’s en risicodialoog in het directieteam

De belangrijkste bedrijfsbrede risico’s (toprisico’s) worden twee keer per jaar vastgesteld door het directieteam. Deze risico’s zijn belegd bij risico‑eigenaren binnen de organisatie, die verantwoordelijk zijn voor de doorontwikkeling en monitoring van bijbehorende maatregelen. In het directieteam wordt periodiek de status van de toprisico’s besproken, inclusief de voortgang van maatregelen die door of namens de risico‑eigenaar zijn geïnitieerd.

Daarnaast bespreekt het directieteam ieder kwartaal de managementrapportage. Deze rapportage geeft inzicht in de beheersing van financiële risico’s – waaronder de risico’s ten aanzien van de financiële verslaggeving – duurzaamheidsverslaggeving, compliance en operationele risico’s. Tevens wordt via deze rapportage de opvolging van aanbevelingen uit audits door de Interne Auditdienst gevolgd.

Nadere toelichting evaluatie per risicocategorie door de directie

Onderstaand volgt een nadere toelichting op de wijze waarop de directie van Havenbedrijf Rotterdam de effectiviteit van het interne risicobeheersings‑ en controlesysteem heeft beoordeeld.

Er wordt vier keer per jaar een financiële toelichting opgesteld met diepgaande analyses en verklaringen van de financiële resultaten over het lopende jaar. Deze toelichting wordt tweemaal per jaar uitgebreid besproken in de directie. Daarnaast zijn voor de belangrijkste financiële processen control‑frameworks ingericht die jaarlijks worden geëvalueerd op opzet, bestaan en werking door de afdeling Finance. Hiermee is inzicht verkregen in de mate waarin deze processen bijdragen aan een betrouwbare financiële verslaggeving. Ook evalueert de directie één keer per jaar het meerjarig Financieel Plan waarbij rekening wordt gehouden met verschillende financiële scenario’s. Aanvullende analyses zijn uitgevoerd in 2025 gezien de geopolitieke en – economische ontwikkelingen. Dit heeft niet geleid tot een afwijkend beeld rond de continuïteitsverwachting.

Financiële verslaggeving

Deze werkzaamheden vormen de basis voor onze evaluatie van de opzet en werking van onze risicomanagement- en controlesysteem ten aanzien van de financiële verslaggeving. Dit systeem heeft tot doel – rekening houdend met onze risicobereidheid - de betrouwbaarheid te borgen van de financiële verslaggeving bij het zekerheidsniveau dat de directie nastreeft en afgeeft in de managementverklaring (redelijke mate van zekerheid)

Duurzaamheidsverslaggeving

De duurzaamheidsinformatie wordt mede opgesteld binnen het proces van integrated reporting, waarin sturing en beheersing plaatsvindt op de - door het directieteam - vastgestelde materiële thema’s. De dubbele materialiteitsanalyse vormt hierbij het uitgangspunt. De voorbereiding van het jaarverslag vindt plaats door de afdeling Finance, waarna het concept vóór publicatie wordt besproken in het directieteam. Onze Interne Auditdienst voert jaarlijks een audit uit op zowel tekstclaims als KPI’s op de materiële thema’s in ons jaarverslag. Wij werken toe naar de evaluatie van de werking van de beheersmaatregelen ter afdekking van de duurzaamheidsverslaggevingsrisico’s.

De opzet van het proces voor integrated reporting en de audit die onze Interne Auditdienst uitvoert, vormen de basis voor onze evaluatie van de opzet van ons risicomanagement- en controlesysteem ten aanzien van de duurzaamheidsverslaggeving. Dit systeem heeft tot doel – rekening houdend met onze risicobereidheid - de betrouwbaarheid van de duurzaamheidsverslaggeving te borgen bij het zekerheidsniveau dat de directie nastreeft en afgeeft in de managementverklaring (beperkte mate van zekerheid).

Operationele risico's

Onze kwartaalrapportage bevat relevante recente ontwikkelingen, prestaties en voortgang op diverse operationele gebieden, zoals projecten, nautische en IT inclusief cyberveiligheid en privacy. Ook bespreekt de directie tweewekelijks de relevante stand van zaken en gebeurtenissen rond operationele activiteiten inclusief risico’s en beheersmaatregelen. In deze vergaderingen worden bepalende gebeurtenissen op de domeinen veiligheid, IT inclusief cyber, projecten en onderhoud wanneer relevant besproken. Daarnaast zijn in 2025 risk‑ en control‑assessments uitgevoerd binnen de operationele afdelingen van de Divisie Havenmeester, Asset Management, Port Development en Digital & IT. De bevindingen zijn besproken in de managementteams van de betrokken afdelingen en vervolgens in de Algemene directie, in aanwezigheid van de hoofden Finance en Interne Auditdienst. Deze assessments hebben inzicht gegeven in de voornaamste risico’s en de opzet van aanwezige beheersmaatregelen per afdeling. De uitkomsten vormen een belangrijke bouwsteen voor het versterken van het integrale beeld van de effectiviteit van ons risicobeheersings‑ en controlesysteem. Zo werken wij bijvoorbeeld verder aan de ontwikkeling van onze IT beheersing met de implementatie van een overkoepelend IT controleraamwerk en de versterking van het autorisatiemanagement binnen onze kernsystemen. Hiermee werken wij toe naar de evaluatie van zowel de opzet als de werking van beheersmaatregelen ten aanzien van operationele risico’s.

De periodieke besprekingen over de operationele activiteiten, de kwartaalrapportages en de inzichten uit de risico‑ en control ­assessments van de operationele afdelingen vormen de basis voor onze evaluatie van de opzet van ons risicomanagement- en controlesysteem ten aanzien van de operationele risico’s. Dit systeem heeft tot doel deze risico’s effectief te beheersen - rekening houdend met onze risicobereidheid - bij het zekerheidsniveau dat de directie nastreeft en afgeeft in de managementverklaring (enige mate van zekerheid).

Compliance risico's

Het compliance beleid is vastgesteld door de directie en is gebaseerd op een totaal overzicht van relevante wet‑ en regelgeving. De actualiteit en volledigheid wordt getoetst met de experts in de organisatie en met ondersteuning van een externe deskundige.

Daarnaast wordt jaarlijks een compliance control self‑assessment uitgevoerd. Met deze assessment is inzicht verkregen in de volwassenheid van de compliance‑organisatie en de mate waarin wordt voldaan aan relevante wet‑ en regelgeving. De uitkomsten, inclusief de voorstellen voor verbetering worden als onderdeel van de Q2‑kwartaalrapportage besproken in het directieteam. Voorstellen voor verdere verbetering zijn het borgen van compliance in de actualisatie van procesbeschrijvingen die momenteel gefaseerd wordt uitgevoerd en op individuele wet- en regelgeving toetsen van de effectiviteit van de beheersing. Met mogelijke verbeteringen als vervolgstap. Hiermee werken wij toe naar de evaluatie van de werking van de beheersing ten aanzien van compliance risico’s.

De inzichten uit deze analyses vormen de basis voor onze evaluatie van de opzet van ons risicomanagement- en controlesysteem ten aanzien van de compliance risico’s. Dit systeem heeft tot doel deze risico’s effectief te beheersen - rekening houdend met onze risicobereidheid - bij het zekerheidsniveau dat de directie nastreeft en afgeeft in de managementverklaring (enige mate van zekerheid).