Minder beheersmaatregelen, meer beheersing: sturen op key controls

Na het aanbrengen van focus via principal risks ontstaat voor veel pensioenfondsen vaak een volgende uitdaging. Ook bij een beperkt aantal risico’s blijft het aantal beheersmaatregelen in veel risicoraamwerken groot.

Per risico worden maatregelen vastgelegd, gemonitord en periodiek beoordeeld. Daardoor ontstaat opnieuw complexiteit. Een omvangrijke set beheersmaatregelen vergroot niet vanzelf de bestuurlijke grip. Integendeel, het kan het zicht op de kern van de beheersing verminderen.

De centrale vraag is daarom hoe risicobeheersing kan worden vereenvoudigd zonder verlies van inhoudelijke controle. Het werken met key controls biedt hiervoor een praktisch en bestuurlijk relevant uitgangspunt.

De beheersmaatregelenparadox

Veel risicoraamwerken zijn ingericht vanuit de behoefte om risico’s volledig af te dekken. Elk geïdentificeerd risico krijgt meerdere beheersmaatregelen toegewezen. Dit leidt tot lange lijsten waarin het onderscheid tussen cruciale en ondersteunende maatregelen beperkt zichtbaar is.

In de jaarlijkse effectiviteitsbeoordeling worden deze maatregelen vaak afzonderlijk beoordeeld. Daardoor ontstaat beperkt inzicht in de daadwerkelijke beheersing van het risico. De aandacht verschuift naar de werking van individuele maatregelen, terwijl de beheersing van het risico als geheel centraal zou moeten staan.

Dit effect is vergelijkbaar met een overvol risicoregister. De aandacht van bestuur en organisatie raakt versnipperd. Risicomanagement krijgt daarmee het karakter van een administratieve exercitie, in plaats van een instrument voor bestuurlijke sturing.

Van beheersmaatregelen naar key controls

Een belangrijke stap naar vereenvoudiging is het expliciet onderscheiden van reguliere beheersmaatregelen en key controls. Niet iedere maatregel draagt in gelijke mate bij aan de beheersing van een risico.

Veel maatregelen ondersteunen processen of leggen verantwoordelijkheden vast. Dat maakt ze relevant, maar niet altijd doorslaggevend. Key controls zijn de maatregelen die essentieel zijn voor de beheersing van een principal risk.

Wanneer een key control faalt, neemt het risico substantieel toe. Juist daarom verdienen deze maatregelen expliciete bestuurlijke aandacht. In de praktijk kan vaak worden volstaan met een beperkte set key controls per principal risk.

Overige maatregelen blijven onderdeel van het beheersingsraamwerk. Zij hoeven echter niet afzonderlijk op bestuursniveau te worden beoordeeld. Daardoor ontstaat meer ruimte voor bespreking van de maatregelen die werkelijk bepalend zijn.

Criteria voor key controls

Een beheersmaatregel kwalificeert als key control wanneer sprake is van een duidelijke bijdrage aan de beheersing van het risico. De selectie vraagt om expliciete criteria.

Een key control voldoet in ieder geval aan de volgende kenmerken:

• de maatregel heeft een directe relatie met het risico;
• de werking is aantoonbaar en verifieerbaar;
• de maatregel is begrijpelijk op bestuursniveau;
• de maatregel beïnvloedt de kans of impact van het risico wezenlijk;
• het falen van de maatregel leidt tot een materiële toename van het risico.

Door deze criteria consequent toe te passen, ontstaat een scherpe selectie. Dit voorkomt dat detailmaatregelen dezelfde status krijgen als fundamentele beheersmechanismen.

De selectie van key controls is daarmee meer dan een technische beoordeling. Zij vraagt ook om een bestuurlijke afweging. De vraag is welke maatregelen noodzakelijk zijn om vertrouwen te hebben in de beheersing van het principal risk.

Toepassing in een uitbestede omgeving

Voor pensioenfondsen met vergaande uitbesteding is het onderscheid tussen key controls en overige maatregelen extra relevant. Operationele processen liggen vaak bij uitvoeringsorganisaties, fiduciair managers en asset managers.

Het fonds stuurt in die situatie primair op governance, contractuele afspraken, rapportages en assurance. De key controls moeten daarom aansluiten op die sturingspositie.

Voorbeelden van key controls in een uitbestede omgeving zijn:

• ISAE 3402 Type II-rapportages;
• service level agreements (SLA’s) met duidelijke escalatiepaden;
• key performance indicators (KPI’s) voor kritieke processen;
• periodieke bestuursrapportages over incidenten en afwijkingen;
• vastgelegde exit- en herstelplannen;
• structurele opvolging van bevindingen uit assurance-rapportages.

Procesmatige controles bij de uitvoerder blijven van belang. Deze worden echter primair via assurance en rapportages afgedekt. Het fonds hoeft deze controles niet opnieuw afzonderlijk op bestuursniveau te beoordelen.

Daarmee verschuift de aandacht naar de vraag of het fonds voldoende zekerheid krijgt over de uitbestede processen. De beoordeling richt zich niet op elk procesdetail, maar op de effectiviteit van de sturings- en verantwoordingsketen.

Effectiviteitsbeoordeling met meer informatiewaarde

Het werken met key controls maakt een gerichtere effectiviteitsbeoordeling mogelijk. De jaarlijkse beoordeling hoeft dan niet langer alle beheersmaatregelen afzonderlijk te omvatten.

De aandacht verschuift naar de vraag of de geselecteerde key controls functioneren zoals bedoeld.

Een beperkte set beoordelingsvragen kan hiervoor volstaan:

• is de key control passend ontworpen?
• wordt de key control aantoonbaar uitgevoerd?
• zijn er signalen dat de key control niet effectief is?
• zijn bevindingen tijdig opgevolgd?
• is de key control nog passend bij het actuele risicoprofiel?

Verdiepende toetsing kan cyclisch plaatsvinden. In andere jaren kan worden vastgesteld of de key control nog operationeel is en of er relevante wijzigingen zijn opgetreden.

Deze aanpak vermindert de administratieve belasting. Tegelijkertijd neemt de informatiewaarde van de beoordeling toe. Bestuur en organisatie richten zich op de maatregelen die bepalend zijn voor de beheersing van het risico.

Implicaties voor bestuurlijke sturing

Het werken met key controls verandert het gesprek over risicomanagement. De focus verschuift van volledigheid naar relevantie. Het bestuur bespreekt niet langer primair de werking van afzonderlijke maatregelen, maar de beheersing van het risico als geheel.

Dit versterkt de samenhang tussen risico’s, beheersing en besluitvorming. Het wordt duidelijker waar het fonds afhankelijk is van een beperkt aantal cruciale controles. Ook ontstaat beter zicht op de punten waar aanvullende bestuurlijke aandacht nodig is.

Minder maatregelen betekent in dit verband niet minder grip. Het betekent meer duidelijkheid over de maatregelen die werkelijk bepalend zijn. Daarmee wordt risicomanagement beter bruikbaar als instrument voor sturing en verantwoording.

Vervolgstap

Een herijking van het bestaande beheersingsraamwerk maakt zichtbaar welke beheersmaatregelen als key control kwalificeren. Per principal risk kan worden vastgesteld welke maatregelen als key control kwalificeren.

Daarbij ligt de nadruk op drie vragen:

• welke maatregelen zijn doorslaggevend voor de beheersing van het risico?
• welke informatie is nodig om de werking daarvan vast te stellen?
• welke beoordeling hoort thuis op bestuursniveau?

Deze herijking maakt het risicoraamwerk compacter en bestuurlijk relevanter. Het vormt daarmee de basis voor een effectievere effectiviteitsbeoordeling.

Vooruitblik

Met focus op principal risks en key controls ontstaat een overzichtelijker risicobeeld. De volgende stap is de vraag wanneer risicomanagement daadwerkelijk bijdraagt aan betere besluitvorming, strategische keuzes en tijdige bijsturing wanneer risico’s zich ontwikkelen. Dit onderwerp staat centraal in de volgende en laatste blog in deze reeks.