Woningcorporaties opereren in een steeds dynamischer speelveld waarin nieuwe kansen en risico’s zich continu voordoen. Hoe blijft een corporatie risico’s de baas? Corporatiegids.nl sprak daarover met Marcel Beukers, Controller Governance & Compliance bij Domesta: “De essentie van risicomanagement is het op zo’n wijze inrichten dat het faciliterend is aan de organisatie.”
Risicomanagement moet faciliterend zijn
Domesta verhuurt een kleine 10.000 vhe in Emmen, Coevorden en Hoogeveen. “Betaalbaarheid is het thema in ons ondernemingsplan,” begint Marcel. “Om onze doelstelling van betaalbaar wonen te kunnen realiseren onderzoeken wij continu wat wij als Domesta voor bijdrage kunnen leveren. Zo verhoogden wij de huur alleen met inflatie voor huurders met een inkomen tot ruim 40.000 euro. Een groot deel van de huurverhoging gaat naar ons Betaalbaarheidsfonds. Daaruit betalen wij het maatwerk dat we leveren op het gebied van betaalbaarheid. Om dit te kunnen doen, is het van belang dat wij de continu veranderende omgeving in kaart brengen en onzekere gebeurtenissen die de realisatie van onze doelstellingen kunnen voorkomen benoemen. Het continu kunnen inspringen op veranderingen in de corporatiesector vraagt om flexibiliteit van onze organisatie. Mijn doel is dat risicomanagement faciliterend is aan de organisatie om maatwerk te kunnen blijven bieden.”
Organisatie van Openbaar Belang
Kort voordat CorporatieGids.nl met Marcel sprak werd het voornemen bekendgemaakt dat woningcorporaties met meer dan 5.000 vhe worden aangemerkt als Organisatie van Openbaar Belang (OOB). Dit nieuws is volgens Marcel een goed voorbeeld van het dynamische speelveld waarin corporaties opereren. “De gevolgen kunnen voor woningcorporaties best fors zijn. Zo zullen de werkzaamheden van onze externe accountants uitgebreider zijn met betrekking tot risicobeheersing en documentatie van interne beheersmaatregelen. Maar ook de gevolgen van het niet verkrijgen van vrijstelling van de nieuwe ATAD-belasting is een goed voorbeeld van het steeds veranderende speelveld. Dit laatste is bijvoorbeeld van directe invloed op onze doelstelling van betaalbaar wonen. Risicomanagement kan helpen bij het vroegtijdig in kaart brengen van mogelijke risico’s zodat hierop kan worden ingespeeld zodra deze risico’s werkelijkheid worden.”
Structureren van werkzaamheden
Marcel noemt de essentie van risicomanagement het op zo’n wijze inrichten dat het faciliterend is aan de organisatie. “In andere woorden: inzichtelijk maken en structureren wat wij als organisatie al doen aan risicomanagement. Niet iedereen beseft zich dat zij dagelijks bezig zijn met risicomanagement. Denk bijvoorbeeld aan maatregelen die genomen zijn om te voorkomen dat wij niet passend toewijzen. Risicomanagement faciliteert bij het structureren van deze werkzaamheden en gedachten.”
Three Lines of Defence
“In het afgelopen jaar heb ik samen met de organisatie mooie stappen gezet op het verder professionaliseren van risicomanagement,” vertelt Marcel. “Dit is begonnen met het formaliseren van ons risicomanagementbeleid en ons audit plan. Samen met ons ondernemingsplan vormt dit de basis voor risicomanagement.”
“Het vaststellen van dit beleid is een belangrijke voorwaarde om risicomanagement verder in te bedden in de organisatie. Ik vind het belangrijk dat risicomanagement niet de verantwoordelijkheid is van één functionaris. Alle collega’s spelen hierin een rol. Om dit te faciliteren heb ik een Compliance Team opgericht. Dit team bestaat uit collega’s die samen met mij de tweede lijn vormen in het Three Lines of Defence-model. In dit team is iedere discipline van onze organisatie vertegenwoordigd. Het Compliance Team ondersteunt en adviseert de eerste lijn, de directie en het management. De derde lijn is de toetsende rol en vormt over het samenspel tussen de eerste en tweede lijn een objectief oordeel. Voordeel van deze werkwijze is dat risicomanagement breed gedragen wordt en ervaringen worden uitgewisseld. Daarnaast is het Compliance Team ook de plek om de impact van wijzigingen in wet- en regelgeving te beoordelen. Doordat alle disciplines uit de organisatie zijn vertegenwoordigd, zullen wij in staat zijn om snel te handelen.”
Interactie met KPI’s
“Risicomanagement draagt dus bij aan het integrale risicodenken en -bewustzijn,” gaat Marcel verder. “Het ondernemingsplan en de hierin geformuleerde visie en doelstellingen zijn het uitgangspunt. Daar vanuit zijn allereerst KPI’s geformuleerd die in een digitaal dashboard worden gerapporteerd en in real-time worden geactualiseerd. Hierdoor is informatie over de realisatie van onze doelstellingen actueel en relevant. Parallel hieraan zijn risico’s geformuleerd die onze doelstellingen in gevaar kunnen brengen.”
“De interactie met de KPI’s is relevant om verschillende redenen. Ten eerste het levend houden van risicomanagement. Niets doen is immers geen optie. Daarnaast wordt hiermee de link met onze ondernemingsdoelstellingen inzichtelijk. Hierdoor voorkomen wij ook een te hoge complexiteit en volgen wij de denkwijze, risico is geen probleem (gebaseerd op de whitepaper van Martin van Staveren, Risico is geen probleem, red.). Wij focussen op onzekere gebeurtenissen en juist niet op werkelijk geworden risico’s. De werkelijk geworden risico’s zijn onderdeel van de besturing in de organisatie, problemen die opgelost moeten worden.”
Strategische risico’s
Domesta maakt daarnaast ook onderscheid in strategische risico’s. “Deze kunnen gevonden worden in thema’s als politieke ontwikkelingen of regionale demografische ontwikkelingen. Het zijn risico’s die zich openbaren als gevolg van strategische keuzes die een impact kunnen hebben op het realiseren van de organisatie als geheel. De voor ons belangrijkste strategische risico’s worden opgenomen in het verslag van de directie in de jaarrekening. Hierbij kun je denken aan risico’s met betrekking tot ons zorgvastgoed (veranderen financiering zorginstelling, impact van verevening en de betaalbaarheid van onze woningen in relatie tot demografische ontwikkelingen in de regio). Hierbij gaat het niet alleen om risico’s die het realiseren van onze doelstellingen in gevaar kan brengen, maar ook om het missen of niet realiseren van kansen.”
Monitoren van doelstellingen
Domesta gebruikt een digitaal dashboard om risico’s steeds beter te beheersen tot een acceptabel niveau. “Hiermee monitoren wij de realisatie van onze doelstellingen. Veel van deze KPI’s zijn zo geformuleerd dat ze kunnen fungeren als risico-indicator. Denk bijvoorbeeld aan het aantal en de omvang van openstaande vorderingen en het aantal betalingsregelingen. Deze kengetallen geven ons informatie over het succes van onze acties rondom betaalbaarheid en de realisatie van onze doelstellingen. Hiermee kunnen we – indien nodig – ons beleid aanpassen en zo financiële risico’s voorkomen.”
GRC-pakket
De Drentenaren werken hierbij samen met Naris. Marcel: “Zoals eerder gezegd nemen we van hen het GRC-pakket af, wat wij gebruiken bij het documenteren van ons risicomanagement. Wij maken hierbij gebruik van de strategiekaart, risicomanagementmodule en auditmodule. Deze helpen om risicomanagement gestructureerd vorm te geven, waarbij functiescheiding tussen verschillende rollen is geborgd. Daarnaast helpt dit programma om risicomanagement onderdeel te laten zijn van onze dagelijkse werkprocessen. Ik vind het echt mooi om te zien hoe collega’s van de afdeling wonen hun controles op passend toewijzen documenteren en inzichtelijk maken. Echt een voorbeeld dat risicomanagement helpt om te structureren en inzichtelijk te maken. Het geeft ons inzicht om de ruimte voor maatwerk goed te benutten en hierover verantwoording af te leggen. Hiermee zijn risico’s beheersbaar.”
“Het voordeel van Naris is dat met behulp van de rapportage module snel een samenvattend beeld gepresenteerd kan worden. Het gebruik van de strategiekaart helpt ons daarnaast om heel duidelijk een link te leggen tussen risico’s en onze ondernemingsdoelstellingen en hierover te rapporteren.”
Professionalisering
Vooruitkijkend naar de toekomst verwacht Marcel dat risicomanagement steeds professioneler zal worden. “De voordelen van goed risicomanagement zullen beter inzichtelijk worden. Hierbij heb ik als doel dat wij meer risico gestuurd gaan werken. Dit betekent dat risicomanagement onderdeel gaat uitmaken van onze dagelijkse processen. Hierdoor kunnen wij blijven inspelen op een steeds dynamischer en complexer wordende omgeving. Of zoals Martin van Staveren het beschrijft: risicomanagement in je dagelijkse werk als suiker in de koffie, je ziet het niet maar je proeft het wel!”
Bron: Johan van den Beld | CorporatieMedia – 7 november 2018
