Algemeen
We vinden het belangrijk om zicht te hebben op risico’s en de maatregelen die we treffen om deze te beheersen, inclusief de restrisico’s. Ons ‘Risicomanagementsysteem’ helpt ons hierbij. In het ‘Risicomanagementbeleid’ beschrijven we hoe we ons risicomanagement hebben opgebouwd en ingericht, gebaseerd op onze doelen en risicocultuur. Dit beleid geeft ons meer inzicht in situaties die de doelstellingen van de organisatie negatief kunnen beïnvloeden. In dit hoofdstuk beschrijven we de uitgangspunten en basisprincipes van risicomanagement bij Lefier, gevolgd door de voornaamste risico’s op strategisch en operationeel niveau.
6.1 Risicobeheersingskader
Risicomanagement bij Lefier kent de volgende basisprincipes:
Three Lines of Defense:Het management (eerste lijn) is verantwoordelijk voor het managen van kansen en risico’s binnen de gestelde risicobereidheid, zodat Lefier haar doelstellingen kan behalen.
Risicomanagementcyclus: Deze cyclus helpt Lefier risico’s te identificeren, risicobereidheid te bepalen, beheersmaatregelen te formuleren, en te monitoren en rapporteren. Dit sluit aan bij de Planning & Control cyclus van Lefier.
Procesgerichte benadering: Bij operationele risico’s kijken we naar de risico’s binnen een proces, stellen we beheersmaatregelen vast en bewaken we deze in onderlinge samenhang.
6.2 Integraal risicomanagement
We vinden het belangrijk om zicht te hebben op risico’s en de maatregelen die we treffen om deze te beheersen, inclusief de restrisico’s. Ons ‘Risicomanagementsysteem’ helpt ons hierbij. In het ‘Risicomanagementbeleid’ beschrijven we hoe we ons risicomanagement hebben opgebouwd en ingericht, gebaseerd op onze doelen en risicocultuur. Dit beleid geeft ons meer inzicht in situaties die de doelstellingen van de organisatie negatief kunnen beïnvloeden. In dit hoofdstuk beschrijven we de uitgangspunten en basisprincipes van risicomanagement bij Lefier, gevolgd door de voornaamste risico’s op strategisch en operationeel niveau.
Lefier streeft naar een balans tussen het realiseren van maatschappelijke prestaties en het beheersen van risico’s. Elk jaar brengen we de strategische risico’s rondom onze doelstellingen in kaart en visualiseren we deze op een ‘Strategische risicokaart’.
Naast de risico's die onze strategische doelen beïnvloeden, zijn er ook risico's waar we minder controle over hebben. Deze zijn moeilijk te beheersen, maar we proberen ze te identificeren met ‘scenario analyses’ en ‘fall back scenario's’. Lefier heeft drie belangrijke ‘horizon risico’s’ benoemd:
- De corporatiesector heeft geen duurzaam bedrijfsmodel;
- Onvoldoende tijdige reactie op onverwachte ontwikkelingen;
- Onvoorspelbaarheid door politieke beslissingen.
Het bestuur en de directie evalueren jaarlijks de strategische risico’s in een gezamenlijk assessment. Hierbij herijken we de risico’s en passen we ze aan indien nodig. We beoordelen de risico’s op kans en impact, zowel kwantitatief (directe kosten) als kwalitatief (reputatieschade, niet voldoen aan normen, niet realiseren van doelen).
Op basis van deze risico’s hebben we onze risicobereidheid geformuleerd, die aangeeft welke risico’s we bereid zijn te nemen. Dit is zowel kwantitatief (solvabiliteit, liquiditeit, operationeel verlies) als kwalitatief (reputatierisico’s, maatschappelijke prestaties).
Operationeel risicomanagement betekent dagelijks risicobeheer in primaire en ondersteunende processen of projecten. Dit betreft risico’s door menselijke fouten, falende systemen of externe gebeurtenissen. Het management van de bedrijfsonderdelen is verantwoordelijk voor het identificeren en beheersen van deze risico’s en rapporteert periodiek over de voortgang.
Verantwoordelijk voor het identificeren van deze risico’s is het management van de afzonderlijke bedrijfsonderdelen van Lefier. Net als voor het inrichten van de maatregelen om de risico’s te beheersen en de periodieke rapportage over het verloop van de risico’s, aan de hand van risico-gerelateerde indicatoren.
6.3 Strategische risico's
Lefier heeft een visie en een strategie waar we deze visie mee realiseren. Met strategische risico’s bedoelen we de risico’s die we lopen, door verschillende omstandigheden, op het niet kunnen uitvoeren van de afgesproken strategie.
Aan het begin van elk kalenderjaar kijken we vooruit: zijn onze strategische risico’s nog actueel. Of zijn er misschien risico’s die minder relevant zijn geworden? We doen ieder jaar een omgevingsanalyse die leidt tot een prioriteitenbrief, waaraan we onze strategische risico’s ook toetsen. Een en ander leidt uiteindelijk tot een herijkte Strategische risicokaart. In de bijlage is een overzicht opgenomen van de belangrijkste strategische risico’s die wij zien. Voor deze risico's bespreken we periodiek de maatregelen, het restrisico en of eventueel bijsturing nodig is.
Naast strategische risico's hebben we ook een aantal horizonrisico’s geïdentificeerd. Dit zijn risico’s waar we als Lefier minder invloed op hebben. Voorbeeld van horizon risico’s zijn (landelijke) politieke keuzes en veranderingen. Deze kunnen van grote invloed zijn op de bedrijfsvoering én het halen van de doelstellingen van Lefier.
Risico’s die we zien en buiten onze risicobereidheid vallen, accepteren we tijdelijk. In de wetenschap dat we acties in gang zetten om deze risico’s te beheersen, zodat ze zo snel mogelijk binnen onze risicobereidheid vallen.
6.4 Frauderisico's
Management en directie zijn verantwoordelijk voor het uitdragen van risicobeleid en het uitvoeren van risicoanalyses. Dit is een vast onderdeel van hun taken. Een belangrijk aspect van de integrale risicoanalyse is het identificeren van mogelijke risico’s op fraude of integriteitsschendingen. Medewerkers van Lefier kunnen in de Gedragswijzer lezen bij wie ze terecht kunnen met vermoedens van fraude of integriteitsproblemen. Het risico op fraude en de maatregelen om dit te beperken, worden regelmatig besproken in overleggen tussen management, directie, bestuurder en RvC.
De belangrijke frauderisico's, samengevat:
- Inkopen/onderhoud/nieuwbouw: willekeurige leveranciers kiezen, geen objectieve beoordeling, onrechtmatig een opdracht verstrekken, niet (conform afspraak) geleverde prestaties, ontvreemden van materiaal voor eigen verbruik;
- Aan- en verkopen: Ongeautoriseerde vastgoedtransacties, onvolledige verkoopopbrengsten, risicovolle aankopen vastgoed;
- Verhuur en incasso: onterechte toewijzing woning, huurprijs niet juist, onjuiste leegstand, afboekingen en uitbetalingen huurders.
- Facilitair: beheer van bedrijfsmiddelen.
- Personeel: uitbetaling salaris en declaraties, nevenfuncties.
- Financiële administratie: onjuiste of onvolledige informatie, fraude in de verslaggeving, onjuiste of onterechte betaling.
- Treasury: afsluiten van transacties.
- Informatiebeveiliging en ICT: beheer van bedrijfsmiddelen, beveiliging van informatie, ongeautoriseerde toegang.
Om al deze risico's te beheersen, hebben we diverse maatregelen in gebruik genomen. Zoals functiescheiding, het ‘vier ogen’ principe en interne controles. Onderdeel van het auditprogramma van Lefier is onder andere toetsing op het gebied van autorisaties, functiescheiding en cultuur en gedrag. Als we iets vinden wat niet klopt, verbinden we daar verbeteracties en aanbevelingen aan. Uit de audits en interne controles die in 2024 zijn uitgevoerd, zijn geen aanwijzingen van fraude naar voren gekomen.
6.5 Operationele risico's
Uit de inventarisatie van onze operationele risico’s (inclusief analyse van de beheersing) blijkt dat een aantal van dit type risico’s nog buiten onze risicobereidheid vallen. De uitgangspunten van beleid zijn helder, net als de beschrijving en opzet van onze processen. Om de beheersing van deze risico’s te verbeteren, zal met name het effect van de maatregelen die we hebben geformuleerd moeten bijdragen. Dat geldt voor de onderwerpen, waar we nu nog buiten onze risicobereidheid acteren.
6.6 Ontwikkelingen wet- en regelgeving
Lefier heeft een compliance team dat bestaat uit een brede vertegenwoordiging uit de organisatie. Het compliance team heeft een monitorende en bewakende rol binnen Lefier. We volgen de ontwikkelingen op het gebied van wet- en regelgeving. Periodiek vindt afstemming plaats met de MT’s over actualiteiten en lopende acties op het gebied van wet- en regelgeving. Relevante onderwerpen worden gevolgd en waar nodig wordt hierop actie ondernomen. Wet- en regelgeving wordt binnen Lefier geborgd vanuit beleid en is belegd bij de uitvoering (proceseigenaar) in de eerste lijn.
Afgelopen jaar zijn een aantal onderwerpen benoemd die onze specifieke aandacht hebben gehad waaronder implementatie van Wet betaalbare huur, het nieuwe Woningwaarderingsstelsel WWSO en WWS, de Omgevingswet, EPV 2.0, Beleidswaarde 2.0, de Wet DBA en de nieuwe Governance Code Woningcorporaties. We volgen daarnaast ook ontwikkelingen op het gebied van wet- en regelgeving waaronder de Wet Versterking Regie Volkshuisvesting, Wet modernisering Servicekosten en de Salderingsregeling zonnepanelen.
