7. Risico & beheersing

We vinden het belangrijk om zicht te hebben op risico’s. Bovendien op de maatregelen die we treffen om risico’s zoveel mogelijk te beheersen, inclusief de restrisico’s die dan nog overblijven. We hebben op dit gebied veel baat bij het ‘Risicomanagementsysteem’. In het ‘Risicomanagementbeleid’ beschrijven we hoe we ons risicomanagement hebben opgebouwd en ingericht, op basis van onze doelen en onze eigen risicocultuur. Het geeft ons meer inzicht in de belangrijkste situaties, die de doelstellingen van de organisatie mogelijk negatief kunnen beïnvloeden. In dit hoofdstuk beschrijven we de uitgangspunten en basisprincipes van risicomanagement bij Lefier. Met daarna de voornaamste risico’s op strategisch en operationeel niveau.

Risicomanagement op operationeel niveau wil zeggen: het dagelijkse risicobeheer in de primaire en ondersteunende processen of in projecten. Dit zijn voornamelijk risico’s als gevolg van menselijke fouten, falende systemen of processen of gebeurtenissen van buitenaf. 

Verantwoordelijk voor het identificeren van deze risico’s is het management van de afzonderlijke bedrijfsonderdelen van Lefier. Net als voor het inrichten van de maatregelen om de risico’s te beheersen en de periodieke rapportage over het verloop van de risico’s, aan de hand van risico-gerelateerde indicatoren.

Een aantal risico’s vallen nog buiten onze risicobereidheid. Dat blijkt uit onze strategische risico-inventarisatie en de analyse van de beheersing van deze risico’s. In de afgelopen periode hebben we aan deze risicogebieden aandacht besteed. Lefier heeft gewerkt aan een betere beheersing van de strategische risico’s. We hebben ook te maken met externe factoren die van invloed zijn op onze risico’s. Die ontwikkelingen volgen we onder andere door onze jaarlijkse Omgevingsanalyse. Zo bepalen we hoe we hierop kunnen anticiperen, als we dat willen. Aan het begin van elk kalenderjaar kijken we weer vooruit: zijn onze strategische risico’s nog actueel genoeg? Of zijn er misschien risico’s die minder strategisch blijken te zijn? Een en ander zal uiteindelijk moeten resulteren in het herijken van onze Strategische risicokaart. Belangrijke aandachtspunten vanuit onze strategische risicoanalyse en de maatregelen die we nemen om ze te beheersen:

• Risico: We zijn afhankelijk en niet flexibel als het gaat om systemen en de leveranciers hiervan. We laten ons beperken door systemen en procedures. Werkprocessen zijn niet gebruiksvriendelijk. Mogelijk lopen we risico’s op het gebied van ICT (cyberrisico’s). Waardoor we onvoldoende in staat zijn onze dienstverlening adequaat uit te voeren. We kunnen afspraken met huurders niet nakomen. Mogelijk ontevreden huurders. . Met de implementatie van een nieuw primair systeem en procesmatig werken zijn belangrijke stappen gezet om meer flexibiliteit en eigen regie te nemen als het gaat om onze systemen en procedures. Het databeheer vraagt nog aandacht in komende periode.

• Risico: Niet in staat de juiste medewerkers aan te trekken of te behouden waardoor we onvoldoende in staat zijn de huurdercentraal te stellen. De druk op medewerkers was eind 2023 groot, met name door extra inzet op de (her)implementatie van ons nieuwe primaire systeem. Ziekteverzuim is hoger dan de norm en werkdruk een terugkerend thema. Kritische functies zijn in beeld gebracht en maatregelen worden genomen om risico’s te verminderen.

• Risico: Ontwikkelingen in de sector die het verdienmodel van corporaties beïnvloeden waardoor we de doelstellingen in ons ondernemingsplan niet kunnen realiseren. Lefier zet zich in om ambities te realiseren waardoor het prestatiemodel en de ratio's verder onder druk komen te staan. Mogelijk moeten er in de toekomst maatregelen komen vanuit de overheid of keuzes worden gemaakt in de realisatie van onze doelen uit het ondernemingsplan. Maatregelen om bij te kunnen sturen, in relatie tot onze portefeuillestrategie 

• Risico: We voelen onvoldoende gezamenlijke verantwoordelijkheid waardoor we onvoldoende vanuit de processen werken waardoor we inefficiënt en niet effectief uitvoering geven aan de opgave. We maken zeker progressie op dit thema en zien steeds meer multidisciplinaire samenwerking. We hebben in 2023 een belangrijke basis gelegd voor onze basisprocessen, met ondersteunende systemen, werkinstructies (op basis van best practices). Daarbij is er aandacht voor cultuur en gedrag.

Risico’s die op dit moment nog buiten onze risicobereidheid vallen accepteren we tijdelijk. In de wetenschap dat we acties in gang hebben gezet om deze risico’s te beheersen. En wel op zo’n manier, dat ze binnen afzienbare tijd wél binnen onze risicobereidheid kunnen vallen.

Om al deze risico's te beheersen, hebben we diverse maatregelen in gebruik genomen. Zoals functiescheiding, het ‘vier ogen’ principe en interne controles. Onderdeel van het auditprogramma van Lefier is onder andere toetsing op het gebied van autorisaties, functiescheiding en cultuur en gedrag. Als we iets vinden wat niet klopt, verbinden we daar verbeteracties en aanbevelingen aan. Uit de audits en interne controles die in 2023 zijn uitgevoerd, zijn geen aanwijzingen van fraude naar voren gekomen.

Uit de inventarisatie van onze operationele risico’s (inclusief analyse van de beheersing) blijkt dat een aantal van dit type risico’s nog buiten onze risicobereidheid vallen. De uitgangspunten van beleid zijn helder, net als de beschrijving en opzet van onze processen. Om de beheersing van deze risico’s te verbeteren, zal met name het effect van de maatregelen die we hebben geformuleerd moeten bijdragen. Dat geldt voor de onderwerpen, waar we nu nog buiten onze risicobereidheid acteren. 

Ook voor Lefier zijn klimaatrisico’s belangrijk. Hieronder geven we een toelichting op de risico’ die voor ons het meest relevante zijn: wateroverlast en droogte, hitte en overstroming.