Een cyberaanval die de bedrijfsvoering stillegt. Een belangrijke leverancier die onverwacht wegvalt. Fraude die te laat wordt ontdekt. Als bestuurder wilt u niet alleen weten welke risico’s uw onderneming loopt, maar ook of de maatregelen om die risico’s te beheersen daadwerkelijk werken. Een deugdelijk intern controle- en risicobeheersysteem vormt een van de pijlers van goed en verantwoord bestuur. Voor ondernemingen die onder de Nederlandse Corporate Governance Code (“de Code”) vallen, komt het belang van een deugdelijk intern controle- en risicobeheersysteem tot uitdrukking in de verantwoording in het bestuursverslag. Met de introductie van de Verklaring omtrent Risicobeheersing (VOR) in de Code krijgt die verantwoording meer aandacht. Ook voor CEO’s en bestuurders van niet-beursgenoteerde ondernemingen is de introductie van de VOR relevant. Niet omdat iedere niet-beursgenoteerde vennootschap nu een VOR moet afgeven, maar omdat de Code een referentiepunt kan zijn voor de verwachtingen over goed en verantwoord bestuur.
Rapporteren over risico’s
Risicobeheersing is meer dan een overzicht van wat er mis kan gaan. Het gaat ook om de vraag welke maatregelen de onderneming neemt, wie daarvoor verantwoordelijk is en hoe het bestuur vaststelt dat die maatregelen werken. Al geruime tijd schrijft de Code voor dat het bestuur in het bestuursverslag uiteenzet in hoeverre de interne risicobeheersings- en controlesystemen naar behoren hebben gefunctioneerd gedurende het verslagjaar. Die verklaring heeft een breed karakter en ziet op de voornaamste risico’s die de realisatie van de doelstellingen en de continuïteit van de vennootschap bedreigen.
De Code is aangepast en aangescherpt. Waar het bestuur voorheen kon volstaan met een algemene verklaring in het bestuursverslag over de werking van de interne risicobeheersing, dient de VOR nu te voorzien in een bij de strategie en risicobereidheid passende beheersing van risico’s. Door de introductie van de VOR is namelijk de nadruk meer komen te liggen op specifieke, gerichte verantwoording over hoe de vennootschap haar operationele risico’s, compliance-risico’s en verslaggevingsrisico’s in kaart brengt, beheerst en bewaakt.
Op basis van principe 1.2 is het bestuur verantwoordelijk voor het identificeren en beheersen van de risico’s verbonden aan de strategie en de activiteiten van de vennootschap. Het bestuur dient risico’s nader te beoordelen en adequate interne risicobeheersings- en controlesystemen te implementeren en onderhouden.. Principes 1.3 en 1.4 van de Code schrijven voor dat het bestuur zorgdraagt voor een systematische bewaking en beoordeling van de werking van dat systeem, waarbij de interne auditfunctie een onmisbare rol vervult. De nadere inhoudelijke vereisten aan de VOR volgen uit de best practice bepalingen onder principe 1.4. Zo dient het bestuur in haar jaarverslag een beschrijving op te nemen van de voornaamste risico’s, geconstateerde tekortkomingen, misstanden en onregelmatigheden. Tegelijkertijd ligt het in de rede dat het bestuur de werking en beoordeling van de effectiviteit van de opgezette interne risicobeheersings- en controlesystemen aangeeft. Waar nodig worden verbeteringen doorgevoerd in de opgezette controlesystemen na evaluatie van de werking daarvan door het bestuur. De VOR dwingt bestuurders zo tot een expliciete en controleerbare verantwoording. Best practice bepaling 1.4.3 moedigt het bestuur namelijk aan om vooruit te blikken naar de risico’s die relevant zijn voor de continuïteit van de vennootschap. Praktisch aandachtspunt: de VOR moet niet alleen voldoen aan de letter van de wet en de inhoudelijke vereisten uit de Code, maar ook aan de verwachtingen van stakeholders en toezichthouders. Dit betekent niet dat alle risico’s moeten worden vermeden. Ondernemen blijft risico’s nemen. Het gaat om bewuste keuzes, passende beheersmaatregelen en een realistisch beeld van wat die maatregelen wel en niet kunnen ondervangen.
‘Waarom moet ik dit weten als de Code niet voor mijn onderneming geldt?’
Voor een niet-beurgenoteerde vennootschap brengt de VOR op zichzelf geen verplichting mee om een dergelijke verklaring op te stellen. Maar goed en verantwoord bestuur is niet alleen van belang voor beursgenoteerde onderneming. Ook bij niet-beursgenoteerde ondernemingen moet het bestuur oog hebben voor de continuïteit van de vennootschap en de met haar verbonden onderneming, alsmede het creëren van waarde op de lange termijn. Daar hoort bij dat het bestuur risico’s in kaart brengt, passende maatregelen neemt om die te beheersen en daarover verantwoording aflegt. De principes uit de Code hoeven niet als een verplichting te worden beschouwd maar als referentiepunt om invulling te geven aan goed en verantwoord bestuur.
Zoals we in onze eerste blog toelichtten, weerspiegelen de principes uit de Code breed gedragen maatschappelijke opvattingen over goed en verantwoord bestuur. Daarmee heeft de Code een reflexwerking voor niet-beursgenoteerde vennootschappen. Reflexwerking betekent niet dat de principes uit de Code direct doorwerken voor niet-beursgenoteerde ondernemingen: Een familiebedrijf hoeft niet dezelfde risicobeheersingssystemen op te tuigen als een groot beursfonds. Evenmin betekent het ontbreken van een VOR bij een niet-beursgenoteerde onderneming op zichzelf dat het bestuur tekortschiet. De relevante vraag is steeds: welk intern controle- en risicobeheersysteem past bij de aard, omvang en risico’s van déze onderneming?
Voor niet-beursgenoteerde vennootschappen groeit de druk om risico’s structureel te beheersen, zeker bij grotere of maatschappelijk relevante bedrijven. De inrichting is maatwerk: het bestuur van een familiebedrijf kan bijvoorbeeld kiezen voor periodieke directievergaderingen met risicorapportages, terwijl een snelgroeiende scale-up juist inzet op IT-gedreven monitoring en compliance checks. Belangrijk is dat het systeem past bij de strategie, cultuur en risicobereidheid van de onderneming. Hiermee wordt risicomanagement geen papieren tijger, maar een praktisch hulpmiddel voor bestuurders en toezichthouders.
Verantwoording door het bestuur: wat kunt u nu al doen?
Begin niet met het schrijven van een verklaring over risicobeheersing, maar met het kijken naar de werkelijkheid binnen uw onderneming. Welke risico’s loopt uw onderneming, hoe beheerst u die en hoe weet u of de maatregelen daadwerkelijk werken? Pas daarna komt u toe aan de verantwoording daarover.
Een overtuigende verantwoording volgt uit een werkend proces, niet andersom:
- Kijk allereerst verder dan de financiële risico’s. Denk aan cybersecurity, afhankelijkheid van enkele klanten of leveranciers, fraude, naleving van regelgeving en de betrouwbaarheid van managementinformatie. Breng de belangrijkste risico’s in kaart en bepaal welke risico’s u bewust accepteert en waar de grens ligt.
- Bepaal vervolgens wie welk risico bewaakt en welke maatregelen nodig zijn om die risico’s te beheersen. Maak duidelijk wie verantwoordelijk is voor de uitvoering van die maatregelen en hoe het bestuur over de uitkomsten wordt geïnformeerd. Een periodiek overleg binnen het bestuur met een vaste risicorapportage kan daarvoor een praktisch vertrekpunt zijn.
- Beoordeel daarna of de maatregelen daadwerkelijk werken. Een procedure op papier is uiteraard nog geen effectieve controle en verantwoording. Welke informatie heeft het bestuur nodig om de werking te beoordelen? Waar blijken tekortkomingen te zitten en wat wordt daarmee gedaan? Door die beoordeling en de opvolging vast te leggen, ontstaat een onderbouwd beeld van de opzet en werking van de interne controle- en risicobeheersingssystemen. Op die basis kunt u als bestuur verantwoording afleggen over de risicobeheersing van uw onderneming. U kunt dan niet alleen toelichten welke systemen en maatregelen zijn ingericht, maar ook waarop uw oordeel over de werking daarvan berust. De verantwoording kan daarbij ingaan op:
- de belangrijkste strategische, operationele, compliance- en verslaggevingsrisico’s en de risico’s die de onderneming bewust accepteert;
- de opzet en werking van de interne controle- en risicobeheersingssystemen gedurende het afgelopen boekjaar;
- de gebruikte raamwerken of normenkaders, zoals COSO of ISO, en de wijze waarop de effectiviteit is beoordeeld;
- belangrijke tekortkomingen en de maatregelen die zijn genomen om deze te verhelpen;
- de mate van zekerheid die de systemen bieden, passend bij de risico’s en de risicobereidheid van de onderneming;
- de verwachtingen over de continuïteit van de onderneming en de relevante onzekerheden daarbij.
De waarde van de VOR zit voor een niet-beursgenoteerde onderneming vooral in de vraag die erachter ligt: kunt u als bestuur uitleggen waarom u vertrouwen heeft in de risicobeheersing van uw onderneming? Wie die vraag goed en onderbouwd kan beantwoorden, heeft niet alleen een beter verhaal voor aandeelhouders en andere betrokkenen. Het helpt ook om eerder bij te sturen wanneer risico’s veranderen of maatregelen onvoldoende blijken te werken. Daarvoor hoeft u de Code niet integraal over te nemen. Een aanpak die past bij uw onderneming is het uitgangspunt.
Dit artikel is het derde deel van onze blogreeks over De Nederlandse Corporate Governance Code.
Vragen?
Wilt u weten of uw onderneming voldoet aan de laatste standaarden? Of heeft u behoefte aan een second opinion op uw risicorapportage of bestuursverslag, alsook de VOR?
Neem dan contact op met een van onze Corporate Advisory specialisten. Zij helpen u graag om risicomanagement niet alleen op papier, maar ook in de praktijk op orde te krijgen.
