Focus aanbrengen: van eindeloze scenario’s naar principal risks

Bij veel pensioenfondsen bestaat het risicoraamwerk uit een groot aantal risicoscenario’s. Per proces, per uitbestedingspartij en per wetgevingsdomein worden risicoscenario’s geïdentificeerd en vastgelegd. Die aanpak lijkt grondig, maar roept een fundamentele vraag op: welke risico’s doen er werkelijk toe voor het bestuur?

Zonder expliciete focus verliest risicomanagement zijn sturende functie en verschuift de aandacht naar te veel detail.

Beperkingen van scenario-gebaseerd risicomanagement

Risico’s worden in veel organisaties uitgewerkt in scenario’s per risico-categorie. Deze benadering biedt structuur, maar kent ook duidelijke beperkingen waarbij risicoscenario’s:

• inhoudelijk overlappen;
• vooral verschillen in formulering;
• lastig zijn te aggregeren.

Het gevolg is een omvangrijk risicoregister waarin nuance belangrijker is dan prioriteit. Hierdoor ontstaat een impliciete gelijkwaardigheid: elk risicoscenario krijgt een plek, een beoordeling en bijbehorende beheersmaatregelen. Voor bestuurlijke sturing is dat problematisch. Wanneer alles expliciet wordt uitgewerkt, verdwijnt het onderscheid tussen wat kritisch is en wat beheersbaar of afgeleid is.

Van volledigheid naar materialiteit

Effectief risicomanagement vraagt om een andere invalshoek. Niet de vraag welke risico’s zijn denkbaar? staat centraal, maar welke risico’s zijn bepalend voor het realiseren van de doelstellingen van het fonds? Dat vraagt om expliciete keuzes op basis van materialiteit.

Het concept principal risks biedt hiervoor een bruikbaar kader. Principal risks zijn de risico’s die, indien zij optreden, een materiële impact hebben op:

• deelnemersbelangen;
• financiële positie;
• reputatie;
• naleving van wet- en regelgeving.  

Dit zijn risico’s die bestuurlijke aandacht en sturing vereisen, juist omdat correctie achteraf beperkt mogelijk is.

Criteria voor selectie van principal risks

Het selecteren van principal risks vraagt om heldere en consistent toegepaste criteria. Veelgebruikte criteria zijn:

• omvang van de potentiële impact;
• relatie met kern­doelstellingen van het fonds;
• herstelmogelijkheden;
• gevolgen voor vertrouwen van deelnemers en toezichthouder.

Toepassing van deze criteria leidt tot een duidelijke reductie van het aantal risico’s. In de praktijk leidt dit vaak tot een set van tien tot vijftien principal risks. Overige risico’s verdwijnen niet, maar worden beschouwd als afgeleide of onderdeel van een breder risicothema.

Clusteren in plaats van detailleren

Het werken met principal risks verschuift de focus van detaillering naar clustering (samenhang). Bijvoorbeeld: In plaats van tientallen afzonderlijke IT‑, data‑ en procesrisico’s, wordt gewerkt met één overkoepelend risico, zoals de betrouwbaarheid van de pensioenadministratie. Dat maakt het risico niet minder reëel, maar wel bestuurbaar.

Clustering vergroot bovendien de samenhang in het risicobeeld en maakt zichtbaar welke kwetsbaarheden elkaar versterken en waar concentraties ontstaan. it resulteert in een bestuurlijk overzicht dat gericht is op afweging in plaats van afvinkgedrag.

Effect op bestuurlijke besluitvorming

Een beperkter aantal principal risks verandert het karakter van bestuurlijke discussies:

• De focus verschuift van detail naar richting: welke risico’s worden bewust geaccepteerd, waar is aanvullende beheersing nodig en waar volstaat monitoring? Risicomanagement wordt daarmee weer een integraal onderdeel van besluitvorming.
• Het eigenaarschap wordt scherper. Per principal risk wordt een duidelijke riskeigenaar aangewezen, met verantwoordelijkheid voor samenhang en rapportage. Dat voorkomt versnippering en versterkt de verbinding tussen risico’s, strategie en uitvoering.

Rol van professioneel oordeel

Het werken met principal risks vereist in professioneel oordeel. Niet elk risico wordt afzonderlijk benoemd en beoordeeld om beheersing te waarborgen. Juist het expliciet maken van keuzes vergroot de uitlegbaarheid richting toezicht en stakeholders.

Deze benadering sluit aan bij de kern van IORP II: risicomanagement als onderdeel van een samenhangend governancestelsel, gericht op het beschermen van deelnemersbelangen. Niet de hoeveelheid vastlegging is daarbij bepalend, maar de kwaliteit van de afweging.

Doorvertaling naar de praktijk

Het aanbrengen van focus in het risicoraamwerk vraagt om een expliciete vertaalslag naar de inrichting van risicoselectie en -sturing. Een eerste stap is het expliciet definiëren van selectiecriteria voor principal risks en het toepassen daarvan op het bestaande risicoregister. De uitkomst vormt de basis voor een eerste bestuurlijk valide set principal risks.

Vooruitblik

Het aanbrengen van focus door te werken met principal risks is een belangrijke stap. De volgende vraag is hoe deze focus doorwerkt in key controls en de inrichting van beheersmaatregelen. In de volgende blog staat centraal hoe het aantal beheersmaatregelen drastisch kan worden verminderd door te sturen op key controls, zonder grip te verliezen op de belangrijkste risico’s.