Risicobeheersing

Het risicomanagementsysteem ondersteunt ons om meer zekerheid krijgen over het bereiken van onze ondernemingsdoelstellingen. Ook geeft het inzicht in efficiëntie en effectiviteit van processen, het voldoen aan wet- en regelgeving en borgt het de betrouwbaarheid van financiële informatieverzorging.

Integraal risicomanagement

Integraal risicomanagement legt de verbinding tussen strategische, tactische en operationele risico’s.

Lange‑termijndoelen vertalen we naar beleid en sturen we aan via tactische keuzes, waarna we deze op operationeel niveau efficiënt en effectief uitvoeren. Wij definiëren risico’s als de mogelijke effecten van onzekere gebeurtenissen op het behalen van onze doelstellingen.

Strategische doelen hebben een horizon van ongeveer 4 jaar en zijn afgeleid van onze langetermijnvisie voor de komende 15 jaar. Op tactisch niveau geven we hier invulling aan via beleid en statuten. Operationeel richten we ons op een doelmatige uitvoering van deze beleidslijnen.

Risicobereidheid

Onze risicobereidheid op een onderwerp geeft aan hoeveel risico wij bereid zijn te lopen in het behalen van een doelstelling. Deze bereidheid verwoorden wij in richtinggevende uitspraken. Deze richtinggevende uitspraken geven de organisatie een handvat bij besluitvorming en de inrichting van beheersmaatregelen. Hiermee zijn ze een eenvoudig toepasbaar en belangrijk onderdeel van ons integraal risicomanagement. Onze risicobereidheid bleef ten opzichte van 2024 ongewijzigd; doelen en omgevingsdynamiek geven geen aanleiding tot aanpassing.

Ten aanzien van fraude en het voldoen aan wet- en regelgeving blijft onze risicobereidheid laag. Wel kijken we hierbij altijd naar de werkbaarheid van preventieve maatregelen om processen zo min mogelijk te verstoren.

^{Tabel 14. Risicobereidheid}

^{Tabel 15. Risicobereidheid}

^{Tabel 16. Risicobereidheid}

Strategische risico’s

In 2025 beoordeelde het Bestuur of aanpassing van de strategische risico’s nodig was. Een aantal eerder ingeschatte risico’s deden zich in 2025 ook echt voor. Een voorbeeld hiervan is de aangekondigde huurbevriezing, die laat zien hoe onvoorspelbaar de nationale politiek is. De beoordeling van de strategische risico’s leidde tot enkele aanpassingen.

De belangrijkste wijziging volgt uit de vergrote aandacht voor criminele ondermijning en ander onrechtmatig gebruik van bezit van Pré Wonen. Dit soort activiteiten is een risico voor de veiligheid van medewerkers, de leefbaarheid in wijken en de beschikbaarheid van woningen. Omdat de impact en gevolgen hiervan groot zijn, zien we dit als strategisch risico. Door dit onderwerp nadrukkelijk te benoemen, krijgt het binnen de organisatie meer aandacht en kunnen we ons beter voorbereiden op mogelijke gevolgen.

De beoordeling door het Bestuur resulteerde in onderstaande strategische risicokaart:

^{Figuur 2. Risicokaart}

Weging: Kans 1 = Onwaarschijnlijk tot 5 = Zeer waarschijnlijk | Impact 1 = Zeer klein tot 5 = Zeer groot (Tabel toont kans/impact vanaf 3).

Het is lastig om de beheersing van strategische risico’s precies te meten. De oorzaken van deze risico’s liggen vaak buiten onze invloed en zijn daarom niet altijd te voorkomen. We richten ons vooral op het tijdig signaleren van risico’s en het snel kunnen reageren. Zo bereiden we ons voor op mogelijke maatregelen vanuit de landelijke politiek door scenario-analyses op te nemen in onze begroting.

Voor strategische risico’s die wel binnen de organisatie liggen, zoals “9. Risico op onvoldoende geïnformeerde besluitvorming”, brengen we in kaart welke interne beheersmaatregelen beschikbaar zijn. Op basis daarvan bepalen we of er aanvullende acties nodig zijn om het risico terug te brengen tot een acceptabel niveau.

Op tactisch niveau geven we met statuten en beleid kaders mee aan de organisatie. In onderstaande tabel staan de belangrijkste documenten benoemd. Per strategische pijler zorgen deze documenten voor duidelijke richtlijnen, zodat de operationele afdelingen de strategie kunnen vertalen naar de dagelijkse praktijk.

^{Figuur 3. Integraal risicomanagement}

Organisatie risicomanagement

Het Bestuur is verantwoordelijk voor de tijdige bijsturing van de organisatie. Dit gebeurt op basis van de resultaten van de werkzaamheden van de 3 lijnen zoals onderstaand beschreven. De informatievoorziening van het Bestuur vindt plaats op meerdere niveaus. In 2025 gebeurde dit door:

• Mondeling informatie ophalen via bilaterale overleggen met en periodieke deelname aan overleggen met het Management Team.

• Schriftelijke informatie ophalen vanuit de organisatie via tertaalrapportages, besproken stukken uit het bestuurlijk overleg en de halfjaarrapportage van IC.

Pré Wonen past het zogenoemde Drie lijnen -model toe:

• De eerste lijn bestaat uit managers en medewerkers in de primaire en ondersteunende processen, zoals Verhuur, Onderhoud, Human Resources, Financiën, I&A en Vastgoedprojecten. Zij staan het dichtst bij de dagelijkse praktijk en merken onverwachte gebeurtenissen als eerste op. Zij zijn verantwoordelijk voor het tijdig signaleren en beheersen van risico’s.

• De tweede lijn ondersteunt de eerste lijn bij risicobeheersing. Deze rol ligt vooral bij Business Control. Ook Strategen en de Bestuursadviseur spelen hierin een belangrijke rol, doordat zij risico’s signaleren die voortkomen uit interne en externe ontwikkelingen.

• De derde lijn wordt ingevuld door het team Interne Controle. Dit team toetst op basis van een jaarplan of beheersmaatregelen goed werken. Daarbij gaat het om zowel harde maatregelen (hard controls) als afspraken en gedrag (soft controls). De uitkomsten bespreekt het team met betrokkenen en rapporteren zij aan het Bestuur en de Auditcommissie/Raad van Commissarissen.

In 2025 besteedden we veel aandacht aan het herijken van procesbeschrijvingen. Per jaareinde zijn 36 kernprocessen beschreven en namen we voor een deel van deze processen ook de stap om opnieuw naar de risicobeoordeling te kijken. Met de tool die wij hiervoor gebruiken maken we inzichtelijk:

• welke risico’s er zijn,

• welke beheersmaatregelen beschikbaar zijn om deze risico’s te beheersen,

• wie de eigenaar is.

In 2026 breiden we deze opzet verder uit, zodat de eerste lijn meer eigenaarschap kan nemen in risicobeheersing. Ook kunnen we hiermee de tweedelijns rol van Business Control beter vormgeven.

Beheersing van frauderisico’s

Naast de specifieke risico’s die de Autoriteit Woningcorporaties jaarlijks benoemd, houden we ook rekening met frauderisico’s op andere werkgebieden. We beoordelen deze risico’s aan de hand van 3 belangrijke factoren:

• Motivatie: wat kan voor een medewerker, manager of bestuurder een reden zijn om frauduleus te handelen?

• Rationalisatie: hoe kan iemand fraude voor zichzelf verklaren of goedpraten?

• Mogelijkheid: hoe makkelijk is het om fraude te plegen?

Op basis van de bestaande beheersmaatregelen beoordelen we geïdentificeerde frauderisico’s als beheersbaar. We borgen transparantie bij inkoop via ons inkoopbeleid, werken met duidelijke mandaten en bevoegdheden die we controleren via factuurcontroles, en maken bij verkooptransacties gebruik van externe taxaties.

Als onderdeel van de integriteitscyclus organiseerde Interne Controle in 2025 dilemmadiscussies met verschillende teams. De vertrouwenspersonen ondersteunden hierbij. Aan de hand van afdelingsspecifieke thema’s bespraken we mogelijke integriteitsvraagstukken en hoe medewerkers hiermee om kunnen gaan volgens de integriteitscode. In 2026 breiden we deze aanpak verder uit, met als doel dat afdelingen deze dilemmadiscussies zelf periodiek kunnen voeren.

Algemene Verordening Gegevensbescherming (AVG)

De interne Privacy officer bewaakt vanuit de afdeling Interne Controle de naleving van de privacywetgeving. Ook meldt zij zo nodig datalekken aan de Autoriteit Persoonsgegevens en monitort zij de mogelijke informatievoorziening hierover richting de betrokkenen. In 2025 zijn er intern 4 (2024: 1) datalekken gemeld. Deze hoefden we niet bij de Autoriteit Persoonsgegevens te melden.