Risicobereidheid

Om invulling te geven aan onze risicobereidheid op de verschillende doelstellingen uit ons ondernemingsplan, hebben we richtinggevende uitspraken geformuleerd. Deze richtinggevende uitspraken geven de organisatie een handvat bij besluitvorming en de inrichting van beheersmaatregelen. Hiermee zijn ze een eenvoudig toepasbaar en belangrijk onderdeel van ons integraal risicomanagement. Per doelstelling luiden de uitspraken als volgt, waarbij ‘Kwaliteit’ is uitgewerkt in de drie belangrijkste doelen die wij hiervoor willen bereiken.

In de bepaling van onze risicobereidheid blijven wij bewust weg van termen als hoog, midden of laag, om verkeerde interpretatie van deze termen te voorkomen. De richtinggevende uitspraken zijn daarom zo geformuleerd dat bij besluiten afgewogen kan worden of hiermee invulling wordt gegeven aan de uitspraak.

Strategische risico’s

Strategische risico’s zijn in samenwerking tussen het bestuur, managementteam en Internal Control herijkt op basis van actuele ontwikkelingen. Hieronder zijn de 11 belangrijkste risico’s omschreven. In totaal hebben wij 24 risico’s gedefinieerd: 

Risico’s op tactisch niveau

Op tactisch niveau geven we met statuten en beleid kaders mee aan de organisatie. Deze worden periodiek vastgelegd op strategisch, tactisch en operationeel niveau. Onderstaande tabel geeft de belangrijkste documenten weer die in 2022 per niveau zijn uitgewerkt als onderdeel van een jaarlijkse cyclus.

Operationele risico’s

Operationele risico’s worden beheerst met een raamwerk van beheersmaatregelen. Onder de noemer ‘Samen in Control’ is per bedrijfsproces in kaart gebracht wat de processpecifieke risico’s zijn en welke operationele beheersmaatregelen er genomen zijn om deze risico’s te beheersen. De risicobereidheid wordt afgestemd op het onderliggende proces. Processen met veel impact op huurders danwel een streng wettelijk kader kennen een lagere tolerantie dan processen zonder deze kenmerken.”

De beheersmaatregelen zijn bijvoorbeeld:

• de toepassing van het 4-ogenprincipe bij het toewijzen van woningen;

• controle op juistheid en correctie-autorisatie van facturen;

• IT-maatregelen omtrent wijzigingsbeheer; en

• de beheersing van toegang tot systemen.

Internal Control heeft de werking van deze beheersmaatregelen ook in 2022 getoetst door procescontroles uit te voeren. Daarbij zijn in het geval van bevindingen direct verbeteracties afgesproken met de procesverantwoordelijke. Deze verbeteracties worden minimaal elk half jaar gemonitord in de rapportage van Internal Control.

Organisatie risicomanagement

Pré Wonen past het zogenoemde three-lines-of-defense-model toe, de drie verdedigingslinies:

De managers, de proceseigenaren en de medewerkers van Pré Wonen vormen de eerste verdedigingslinie. Zij zijn verantwoordelijk voor tijdige signalering en beheersing van risico’s.

De tweede verdedigingslinie wordt gevormd door de functies die gericht zijn op het coördineren, monitoren en ondersteunen bij de risicobeheersing door de eerste verdedigingslinie. Dit is primair belegd bij Business Control. De strategen en de bestuursadviseur hebben een rol bij de identificatie van risico’s die volgen uit in- en externe ontwikkelingen.

Het team van Internal Control geeft samen met de concerncontroller invulling aan de derde verdedigingslinie. Aan de hand van een IC-jaarplan vinden controles plaats, waarbij de werking van de beheersmaatregelen wordt getoetst. Het gaat daarbij om hard controls en soft controls. De bevindingen worden besproken met de betrokkenen en gerapporteerd aan het directieteam en de Auditcommissie/Raad van Commissarissen.

In 2022 zijn stappen gemaakt om de verdeling van verantwoordelijkheden te verduidelijken. Zo is projectcontrol naar de tweede lijn gebracht en zijn controlestappen die initieel bij Internal Control waren belegd, nu in de eerste lijn teruggebracht.

Bestuur en directie zijn verantwoordelijk voor de tijdige bijsturing van de organisatie. Dit gebeurt op basis van de resultaten van de werkzaamheden van de drie linies. De informatievoorziening van bestuur en directie vindt plaats via een combinatie van 1-op-1-contact met de operatie, periodieke deelname aan overleg met de managementcommissie en deelname aan de commissie Financiën en Risico (elke 2 maanden). Daarin worden ook de bevindingen uit de Fiscale (elke 6 weken) en Treasury (elke 2 maanden)-commissies behandeld.

Cultuur en gedrag

Risicomanagement betreft niet alleen de opzet van een structuur of systeem. Het systeem werkt het beste bij de juiste houding en gedrag van medewerkers (op alle niveaus) in de organisatie.

Bestuur, directeuren en management geven het goede voorbeeld als het gaat om risicobewustzijn en risicomanagement. Vertrouwen en openheid tussen management en medewerkers en vice versa zijn de juiste ingrediënten voor betrokkenheid bij risicomanagement. Er is sprake van een dialoog tussen management en medewerkers en er geldt het adagium ‘van fouten leren we’ (in tegenstelling tot ‘ik mag geen fouten maken’).

Het cultuurtraject binnen Pré Wonen (‘werken vanuit de bedoeling’) draagt daaraan bij. Iedere medewerker volgt de meerdaagse training ‘Mijn expeditie’. Tijdens dit traject komt onder meer aan de orde: eigen verantwoordelijkheid, houding en gedrag, zowel individueel als binnen de context van een team en de gehele organisatie. Een volwassen communicatiestijl is onderdeel van de training. Deze individuele training wordt aangevuld met de teamtraining ‘Winnende teams’, waarbij zowel binnen het team als tussen teams het belang van verbinding benadrukt wordt.

Beheersing van frauderisico’s

Een aantal fraudegerelateerde risico’s zijn voor onze sector inherent hoog. Dit betreft bijvoorbeeld de gevoeligheid bij niet-transparante aanbesteding van bouw- en onderhoudsprojecten, de mogelijkheid dat facturen onterecht worden uitbetaald door beperkt zicht op de geleverde tegenprestatie en niet-marktconforme aan- en verkooptransacties.

Op basis van bestaande beheersmaatregelen worden deze risico’s als beheersbaar beoordeeld. Zo dwingen we transparantie af bij inkoop door middel van een inkoopbeleid, is een schema van mandaten en bevoegdheden ingesteld dat wordt afgedwongen middels factuurcontrole en passen wij externe taxaties toe bij verkooptransacties.

De toetsing van frauderisico’s wordt gedaan aan de hand van de weging van de drie belangrijkste factoren:

• Motivatie: wat kan voor een medewerker, manager of bestuurder een reden zijn om over te gaan tot frauduleus handelen?

• Rationalisatie: hoe kan een fraudegeval beredeneerd worden? Welke redenen kan iemand voor zichzelf aandragen om frauduleus handelen voor zichzelf goed te praten?

• Mogelijkheid: hoe makkelijk is het om fraude te plegen?

Ten aanzien van motivatie en rationalisatie is een integriteitsbeleid aanwezig dat wordt uitgedragen. Ook streven we een cultuur na waarin medewerkers elkaar kunnen en mogen aanspreken bij mogelijke misstanden. Wat betreft mogelijkheden tot frauduleus handelen heeft Pré Wonen ‘harde’ beheersmaatregelen geïmplementeerd, zoals hierboven omschreven. Internal Control heeft deze maatregelen in het boekjaar getoetst als onderdeel van het controleplan. De resultaten worden gedeeld met de organisatie, het bestuur en de auditcommissie.

AVG

Het voldoen aan de Algemene Verordening Gegevensbescherming (‘AVG’)-wetgeving heeft doorlopende aandacht. Om onze dienstverlening naar klanten en huurders te faciliteren hebben we gegevens nodig van en over personen. We willen dat onze klanten en huurders erop kunnen vertrouwen dat we zorgvuldig omgaan met hun (persoons)gegevens. We houden ons aan alle relevante privacywetgeving.

We hebben hier onze organisatie, processen en systemen op ingericht. Op allerlei manieren blijven we werken aan de bewustwording van onze medewerkers over het zorgvuldig omgaan met (persoons)gegevens, waaronder gegevens van klanten. De functionaris Gegevensbescherming bewaakt vanuit de afdeling Internal Control objectief de naleving van de privacywetgeving. Ook meldt hij zo nodig datalekken aan de Autoriteit Persoonsgegevens en monitort hij de mogelijke informatievoorziening hierover richting de betrokkenen. In 2022 zijn intern in totaal 8 datalekken gemeld, waarvan er geen enkele een hoog risico had. Van deze datalekken moesten er 2 gemeld worden bij de Autoriteit Persoonsgegevens. Al deze meldingen zijn volledig en tijdig gedaan en afgehandeld.

De Privacy Officer ondersteunt en adviseert daarnaast de organisatie bij de toepassing van de AVG, inclusief afgeleide processen en procedures. Zo is in 2022 met behulp van robotische software een database geschoond van persoonsgegevens die zijn meegekomen uit historische vastlegging.

Beheersing risico’s cybersecurity

De beheersing van risico’s op het gebied van cybersecurity is gericht op preventie en snel handelen bij incidenten.

Nauw verwant met de bescherming van persoonsgegevens is de bescherming van onze systemen en applicaties als geheel tegen digitale dreigingen. Het risico dat onze systemen voor langere tijd niet beschikbaar zijn of dat gevoelige gegevens worden buitgemaakt door cybercriminelen is onderkend als een strategisch risico, mede ingegeven door de ervaringen binnen de sector. Naar aanleiding van een onderzoek naar de staat van onze beveiliging zijn verschillende maatregelen genomen om onze bescherming verder te versterken. Voorbeelden zijn de continue monitoring van systemen voor eventuele oneigenlijke toegang en de implementatie van een cybersecurityprotocol. Het reageren op cyberrisico’s is een doorlopende cyclus, want waar een oplossing bedacht wordt, vinden kwaadwillenden vaak weer een nieuwe weg om beveiliging te omzeilen. Het borgen van deze cyclus is een belangrijk onderdeel van onze risicobeheersing.