Van verantwoorden naar sturen: wat maakt risicomanagement effectief?

Veel pensioenfondsen beschikken over een uitgebreid risicomanagementraamwerk. Principal risks, de risico's die een materiële impact kunnen hebben op deelnemersbelangen, financiële positie, reputatie of compliance, zijn geïdentificeerd. Key controls zijn ingericht en risicorapportages worden periodiek besproken. Toch zegt dit nog weinig over de effectiviteit van risicomanagement.

Onder invloed van de Wtp, toenemende uitbesteding en hogere eisen aan operationele weerbaarheid neemt het belang van effectief risicomanagement verder toe. De kernvraag is niet of risico's zijn vastgelegd, maar of het bestuur voldoende inzicht heeft in het actuele risicoprofiel en de gevolgen daarvan voor besluitvorming. Effectief risicomanagement ondersteunt bestuurders bij het maken van afgewogen keuzes en helpt tijdig te reageren op ontwikkelingen die de doelstellingen van het pensioenfonds kunnen beïnvloeden. 

Effectiviteit begint bij focus op het risicoprofiel

Effectief risicomanagement richt zich op het risicoprofiel van het pensioenfonds. Daarbij ligt de nadruk op de principal risks: de risico's die de grootste impact kunnen hebben op het realiseren van de strategische doelstellingen.

In de praktijk bestaat regelmatig de neiging om veel aandacht te besteden aan uitgebreide risicoregisters. Hoewel dergelijke overzichten waardevolle achtergrondinformatie bieden, ontstaat bestuurlijke meerwaarde vooral door focus aan te brengen op de risico's die daadwerkelijk bepalend zijn voor het fonds.

Een helder zicht op de principal risks maakt het mogelijk om ontwikkelingen te prioriteren, besluitvorming te ondersteunen en beschikbare capaciteit gericht in te zetten. 

Risicorapportages moeten besluitvorming ondersteunen

Risicorapportages zijn effectief wanneer zij inzicht geven in veranderingen van het risicoprofiel en de mogelijke gevolgen daarvan.

Dat betekent dat rapportages niet uitsluitend terugkijken op uitgevoerde beheersmaatregelen, maar vooral inzicht bieden in:

• De ontwikkeling van principal risks;
• De effectiviteit van key controls;
• Relevante interne en externe ontwikkelingen;
• Early warning indicators die wijzen op veranderingen in het risicoprofiel;
• Mogelijke gevolgen voor beleid, uitvoering of strategie.

Hierdoor verschuift de aandacht van verantwoording naar bestuurlijke sturing. De centrale vraag wordt niet langer of key controls zijn uitgevoerd, maar of ontwikkelingen aanleiding geven tot een bestuurlijke afweging.

Een toekomstgerichte benadering van risico's

Het risicoprofiel van een pensioenfonds is voortdurend in beweging. Ontwikkelingen in wet- en regelgeving, financiële markten, technologie en uitbestedingsrelaties kunnen invloed hebben op bestaande principal risks of aanleiding geven tot nieuwe risico's.

Effectief risicomanagement maakt deze ontwikkelingen tijdig zichtbaar. Daardoor ontstaat ruimte om risico's opnieuw te beoordelen, key controls aan te passen of bestaande uitgangspunten te heroverwegen.

De toegevoegde waarde van risicomanagement ligt niet in het registreren van gebeurtenissen achteraf, maar in het ondersteunen van tijdige en goed onderbouwde besluitvorming. 

De bestuurlijke dialoog als succesfactor

De effectiviteit van risicomanagement wordt uiteindelijk bepaald door de kwaliteit van de bestuurlijke dialoog.

Risico-informatie creëert pas waarde wanneer deze leidt tot een inhoudelijk gesprek over de vraag of het huidige risicoprofiel nog aansluit bij de doelstellingen en risicobereidheid van het fonds.

Daarbij is ruimte nodig voor professioneel oordeel. Niet iedere ontwikkeling vereist aanvullende key controls. In sommige situaties kan expliciete risicoacceptatie een bewuste en goed verdedigbare bestuurlijke keuze zijn.

Risicomanagement heeft daarmee niet alleen een controlerende functie, maar ondersteunt ook strategische besluitvorming. 

Handelingsperspectief

Pensioenfondsen kunnen de effectiviteit van hun risicomanagement vergroten door periodiek te toetsen of de beschikbare risico-informatie daadwerkelijk aansluit bij de bestuurlijke informatiebehoefte.

Daarbij kunnen de volgende vragen als toetsingskader worden gebruikt:

1. Sluiten de huidige principal risks nog aan bij de strategische doelstellingen van het fonds? Zijn er risico’s die over het hoofd worden gezien, of juist risico’s die minder relevant zijn geworden? 
2. Zijn key controls gericht op de risico's die bestuurlijk het meest relevant zijn?
3. Geven risicorapportages voldoende en tijdig inzicht in veranderingen van het risicoprofiel?
4. Leiden risicorapportages aantoonbaar tot bestuurlijke afwegingen, keuzes en vervolgacties?

Wanneer deze vragen periodiek worden besproken, ontstaat een risicomanagementproces dat niet alleen bijdraagt aan verantwoording, maar ook aan de kwaliteit van de bestuurlijke besluitvorming. Daarmee verschuift de focus van registreren en beheersen naar bestuurlijke sturing op de doelstellingen.