8 Risicomanagement

Hoe succesvol is onze organisatie en hoe ziet onze toekomst eruit? Dat wordt mede bepaald door de manier waarop we in staat zijn onze strategie uit te voeren om onze doelen te behalen. We realiseren ons dat risico’s en vooral het nemen van risico’s erbij horen om onze strategie succesvol uit te voeren. Risicomanagement is daarom een geïntegreerd onderdeel van onze bedrijfsvoering. Zodat onverwachte gebeurtenissen van buitenaf en vanuit de organisatie geen beperking of verhindering leveren voor het behalen van onze doelen.

In het Risicomanagementbeleid is beschreven hoe we het risicomanagement hebben opgebouwd en ingericht. Risicomanagement is te omschrijven als het effectief omgaan met onzekere gebeurtenissen. Dit op een manier die de kans op negatieve effecten vermindert en inspeelt op positieve effecten. Hier willen we effectief op inspelen door het nemen van beheersmaatregelen.

Dit is onze definitie van een risico:
Een risico is een mogelijke gebeurtenis die impact, positief of negatief, heeft op het bereiken van de doelen.

De doelen van het risicobeleid definiëren we zo:

• een beheersingskader vormen voor gebeurtenissen die het behalen van de doelen, strategierealisatie en het functioneren van de verschillende processen (kunnen) beïnvloeden
• leren van positieve en negatieve ervaringen die impact hebben gehad op de organisatie en de doelstellingen
• open en transparant communiceren over de afgewogen risico’s en de getroffen maatregelen
• risicomanagement en risicobewustzijn bestempelen als integraal onderdeel van ieders werk bij Dudok Wonen
• voorbereid zijn op en het mogelijk voorkomen van gebeurtenissen en incidenten met een impact op de realisatie van doelen en strategie
• een efficiënte inrichting en werking van processen en dienstverlening

Manier van rapporteren
In 2022 werkten we volgens de uniforme risicovoortgangrapportages als onderdeel van de planning en control-cyclus.

Het afgelopen jaar werkten we met het ‘three lines’-model. Dit model zorgt voor een adequate inrichting van het risicomanagement en is daarbij ingebed in de (primaire) processen. Dit zijn de ‘lines’:

• De ‘first line’ bestaat uit de risico-eigenaren. De risico-eigenaren (het lijnmanagement) zijn verantwoordelijk voor hun eigen processen, het identificeren van de risico’s en het definiëren van de maatregelen die getroffen moeten worden. Op dit niveau willen we onze risico’s beheersen. De risico-eigenaren zetten maatregelen in als dat kan en/of nodig is en doen zelftoetsen of de beheersmaatregelen effectief zijn. Ook laten ze voorbeeldgedrag zien aan de medewerkers.
• De ‘second line’ is de functie die de eerste lijn ondersteunt, adviseert, coördineert en bewaakt of de eerste lijn zijn/haar verantwoordelijkheid neemt. De tweede lijn identificeert, analyseert en bewaakt ook de risico’s die uit de bedrijfsvoering en investeringsprojecten voortkomen. Ook beoordeelt de tweede lijn de kwaliteit van de zelftoetsing van de beheersmaatregelen door de eerste lijn. Doel daarvan is te borgen dat het proces van zelftoetsing naar behoren werkt. De rol van de tweede lijn wordt vervuld door de controllers en de business analist.
• De ‘third line’ is verantwoordelijk voor het opzetten en bewaken van de integrale risicomanagement-aanpak. Deze lijn controleert of het samenspel tussen de eerste en tweede lijn soepel functioneert. Daarnaast coördineert de derde lijn de jaarlijkse risicosessie en de overall-analyse tot het bewaken van de beheersing van de toprisico’s. Ook de onafhankelijke audit op de werking van het risicomanagementsysteem en processen valt onder de verantwoordelijkheid van de derde lijn. Deze rol wordt vervuld door de organisatiecontroller en de externe accountant. Jaarlijks stelt de organisatiecontroller het audit jaarplan op. Dit plan bevat specifieke werkzaamheden op het gebied van de derde lijn. Input voor dit plan komt uit bevindingen in de managementletter van de externe accountant, verzoeken van het directieteam, management en rvc, en eigen inbreng van de organisatiecontroller. Het audit jaarplan wordt goedgekeurd door de rvc. De governancecode vereist dat de accountant wordt betrokken bij het opstellen van dit plan. Dit jaar heeft deze betrokkenheid alleen indirect plaatsgevonden (input vanuit de management letter). 

Inventarisatie van risico’s en beheersmaatregelen
Jaarlijks inventariseren we de belangrijkste risico’s in een risico-inventarisatiesessie. Hierbij worden de benoemde risico’s gescoord op de kans dat een risico zich daadwerkelijk voordoet en de impact die ontstaat voor Dudok Wonen als het risico zich voordoet.

Risicobereidheid
Dit is onze definitie van risicobereidheid:
De aard en omvang van de risico’s die wij bereid zijn aan te gaan (actief) en/of willen tolereren (passief).

We hebben een lage risicobereidheid als het gaat om onze financiële continuïteit en de daarbij horende normen, de wettelijke normen voor de toegelaten instelling en de governance. We zijn bereid meer risico te nemen bij de strategische onderdelen waar mogelijk een hoog maatschappelijk rendement te realiseren is. De risicobereidheid toetsen we in 2023 bij het directieteam en de rvc, waarop de maatregelen worden bepaald.

Hieronder lichten we onze belangrijkste risico’s toe. Ze komen voort uit de risicosessies die in 2022 zijn gehouden. Ook geven we aan welke beheersmaatregelen we treffen om de kans op het risico te voorkomen en/of de impact van het risico te verkleinen.
De risico’s die we noemen, komen voort uit de Top 10 van de meest recente risico-inventarisaties. Hier geven we ook in 2023 aandacht aan.

Onzekerheden rondom politieke besluitvorming
In de politiek is veel aandacht voor de situatie op de woningmarkt. Hierdoor lopen we het risico dat de politiek de sector meer gaat aansturen. Enerzijds biedt dit kansen, anderzijds is het risico dat ingrepen plaatsvinden met onvoldoende oog voor de (financiële) impact voor corporaties op korte en langere termijn.
De nationale prestatieafspraken zijn meer dan alleen afspraken. Het laat zien dat volkshuisvesting terug van weggeweest is op de politieke agenda. Voorbeeld van politieke besluitvorming is de afschaffing van de verhuurderheffing per 1 januari 2023 in combinatie met gemaakte afspraken met de corporaties over woningbouw en verduurzaming. Ander voorbeeld zijn de ingrepen op de huurverhoging (in 2023 eenmalige huurverlaging voor huurders met een inkomen tot maximaal 120% van het minimum inkomen) en de wet versterking regie volkshuisvesting die in behandeling is.

Beheersmaatregel
Als organisatie hebben we vrij weinig invloed op dit het risico. Wel hebben we getracht invloed uit te oefenen op de politieke afwegingen, met respect voor de lokale dynamiek van de volkshuisvesting. Dit deden we via Aedes en door stakeholdermanagement.

Onzekerheden rondom ambtelijke capaciteit
Het gebrek aan ambtelijke capaciteit als gevolg van wisselingen en vertrek blijft een belangrijk risico voor Dudok Wonen. Hierbij gaat het om gebrek aan kwaliteit en gebrek aan capaciteit. Dit leidt tot vertraging in de afstemming en besluitvorming van en met gemeentes. Het gevolg is, dat de doelen uit de prestatieafspraken met gemeentes niet of gedeeltelijk worden behaald.

Beheersmaatregelen
Met deze acties beheersten we deze effecten in 2022:

• We bieden kennis en kunde aan namens Platform Woningcorporaties Gooi & Vechtstreek om gemeenten te ondersteunen.
• We managen de verwachtingen en communiceren daar regelmatig over.

Stijging verkoopprijzen
Net als vorig jaar blijven de verkoopprijzen van woningen stijgen. Hierdoor kunnen we onze koopproducten niet altijd meer in de markt zetten op de manier die we gewend waren. Op de ontwikkeling van de verkoopprijzen hebben we geen invloed.

Beheersmaatregelen
In 2022 kwamen we op verschillende manieren in actie om deze effecten te beperken:

• We stelden nieuw verkoopbeleid op, waarmee we meer grip willen krijgen op de doorverkoop aan de doelgroep.
• In een Samen Vooruit Lab bespraken we met alle stakeholders hoe we de risico’s van de stijgende prijzen, de gevolgen en maatregelen beter in kaart kunnen brengen.
• Als gevolg van nieuwe garantieregels van de NHG beoordeelden we de voorwaarden van onze huidige koopproducten om een robuust product voor de toekomst te hebben.

Onvoldoende investeringsmogelijkheden en/of bouwlocaties voor de realisatie van woningen
Er zijn onvoldoende bouwlocaties beschikbaar. Dit is een risico voor onze doelstelling om nieuw te bouwen en zo toevoegingen aan de woningvoorraad te doen. Hierdoor komt het bedrijfsmodel onder druk te staan.

Beheersmaatregelen
In 2022 kwamen we op deze manieren in actie om deze effecten te beperken:

• We investeren in de relaties met gemeenten en omwonenden van (toekomstige) bouwlocaties. Door op een goede en constructieve manier in contact te blijven, nemen we eventuele weerstand weg en kunnen we medewerking bespoedigen.
• We kopen zo nu en dan woningen terug en houden op die manier het aanbod op peil.
• Door de inzet van onze vastgoedacquisiteur hebben we een ‘pijplijn’ van 2000 mogelijke woningen in allerlei stadia.
• We breiden het geografisch gebied waarin we actief zijn, uit. Zo zijn we vergevorderd om ons tweede complex in Almere te bouwen en is er zicht op meer locaties. De contacten met de gemeente met wie we samenwerken zijn goed. Hierdoor verwachten we tot een duurzame samenwerking te komen.

Een substantiële publieke warmtebron ontbreekt in de regionale energiestrategie
Onze duurzaamheidsambitie is: CO2-neutraal in 2050. Als er geen substantiële publieke warmtebron is waar we gebruik van kunnen maken, moeten we deze duurzaamheidsambitie op een andere manier realiseren. Dit kan betekenen dat we uitkomen in het duurste scenario.

Beheersmaatregel
Hier willen we zo goed mogelijk invloed op uitoefenen. Daarom zitten we aan tafel bij de regionale overleggen over duurzaamheid en innovatie: de Regionale Energiestrategie (RES) en het Bestuurlijk Overleg Energietransitie Gooi en Vechtstreek (BOEG). Tijdens deze bijeenkomsten werken we aan goed relatiebeheer en brengen de belangen voor de maatschappij over op externe stakeholders.

Onvoldoende inzicht in contact met klanten
Aannemers hebben steeds meer van ons klantcontact overgenomen bij het dagelijkse en mutatie-onderhoud. Hierdoor zijn we minder goed op de hoogte van wat er technisch speelt in de complexen en bij bewoners. Wij lopen het risico op imagoschade als de communicatie door aannemers te wensen over laat. Een ander risico is, dat we onvoldoende snel kunnen inspelen op leefbaarheidskwesties en sociaal welbevinden van onze huurders.

Beheersmaatregelen
Om dit risico te beheersen, namen we in 2022 deze maatregelen:

• Het Kwaliteitscentrum Woningcorporaties Huursector (KWH) doet namens ons onderzoek naar de tevredenheid van onze huurders.
• Op 1 januari 2022 startte de samenwerkingsovereenkomst met onze 3 gebiedsaannemers. Periodiek beoordelen we de samenwerking met deze aannemers. Klanttevredenheid is hierbij één van de onderwerpen.
• In 2022 startten we met het klantenregistratiesysteem Embrace Customer. Medewerkers zijn getraind om eenduidig op één punt klantcontactmomenten vast te leggen en mededelingen aan te maken. Hiermee verbeterden we de dienstverlening aan de bewoners.

Meer kwetsbare huurders
Steeds meer huurders hebben een ‘rugzakje’. Hierdoor lopen medewerkers die veel klantcontact hebben meer risico. Ze kunnen eerder te maken krijgen met incidenten (zie ook onder paragraaf 2.7.2). Daarnaast zijn medewerkers met veel klantcontact begin 2022 harder getroffen door de coronamaatregelen dan medewerkers die minder of geen klantcontract hebben. Zij hebben een hoge werkdruk ervaren.

Beheersmaatregel
Ook in 2022 hebben we veel medewerkers bij Woonzaken ingezet om de werkdruk te beheersen, meer veiligheid te creëren en uitval te voorkomen.

Digitale transformatie en competentieprofielen medewerkers
In onze nieuwe strategie krijgt de digitale transformatie een prominente rol. Op deze manier kunnen we processen meer standaardiseren en onze bewoners beter bedienen. Het risico dat we daarbij lopen, is dat het huidige competentieprofiel van de medewerker nog niet aansluit bij de digitale transformatie van de organisatie. En daardoor lopen we het risico, dat we onze doelstellingen voor de omgang met digitalisering onvoldoende behalen.

Beheersmaatregel
Vorig jaar startten we met het programma Digitale Transformatie. Binnen dit programma werken we aan veranderingen op het snijvlak van technische en sociale innovatie, zodat we onze activiteiten in primaire en ondersteunende processen beter kunnen uitvoeren. Medewerkers worden betrokken bij dit programma. Er komen 2 kanten van digitalisering aan bod:

• De hardware-kant gaat over implementeren van de digitale mogelijkheden.
• De software-kant gaat over het benutten van de mogelijkheden van digitalisering en werken aan een dynamische organisatie.

De risico’s op een rij
De voornaamste financiële en compliancerisico’s in 2022 waren:

• De inkomsten en uitgaven zijn minder zeker. Dit komt door wisselend en moeilijk voorspelbaar overheidsbeleid over fiscale regelgeving en huurprijsregulering. Hierdoor is de voorspelbaarheid van het DAEB-exploitatieresultaat onzeker en wordt de Interest Coverage Ratio (ICR) aangetast. Dit is het rentedekkingskengetal, dat aangeeft hoeveel maal een onderneming haar rentelasten verdient. Ook de LTCF (Loan to Cashflow) komt hierdoor in gevaar.
• Niet meer voldoen meer aan de (eigen) streefwaarde voor de Interest Coverage Ratio.
• Niet voldoen aan de externe ICR-norm van het Waarborgfonds Sociale Woningbouw (WSW), waardoor het WSW kan ingrijpen.
• Gebrek aan keuze in geschikte investeringsprojecten bij een goede financiële positie. Dit kan leiden tot goedkeuring van te onrendabele investeringen.

Beheersmaatregelen
Deze maatregelen namen we in 2022 om deze risico’s te voorkomen of beperken:

• Voor onze Interest Coverage Ratio (ICR) hebben een ‘remweg’ door met een hogere ICR-streefwaarde in de begroting te werken dan die van de toezichthouders. Daarmee creëren we een buffer om tegenvallende resultaten op te vangen. Ondersteunend stelden we in 2021 een plan op met acties die we kunnen ondernemen als de ICR in de ‘gevarenzone’ komt.
• We actualiseerden het Investeringskader geactualiseerd. Bij investeringsbeslissingen wordt het investeringsvoorstel zichtbaar getoetst aan het investeringsstatuut en het afwegingskader waarbij risico's worden besproken en expliciet op tafel liggen.

Bij de beoordeling door het Waarborgfonds Sociale Woningbouw is het risicoprofiel ongewijzigd vastgesteld; de kwalificatie is laag tot middenrisico.

De risico’s op een rij
Om fraude- en/of corruptierisico’s te beheersen, maakten in 2022 een inventarisatie en actualisatie van deze risico’s:

• Bij ontwikkeling van vastgoed of voor onderhoud op oneigenlijke gronden verplichtingen aangaan en partijen selecteren. Om deze fraude te voorkomen, is een zorgvuldig aanbestedingsproces ingericht, waarbij we bij elke stap minimaal het vier-ogen principe toepassen. Periodiek wordt de naleving van dit proces getoetst. Daarnaast beschrijft het aanbestedingsbeleid de wijze van aanbesteding. Dit beleid is eind 2021 geactualiseerd. Voorafgaand aan leveranciersselectie stellen we een Programma van Eisen op. En beoordeling van leveranciersbiedingen gebeurt altijd in teamverband. Bij 1-op-1 aanbestedingen vragen we altijd advies aan een extern kostendeskundige.
• Fraude bij toewijzen van woningen bij huur en koop. Ook voor deze activiteit is een zorgvuldig proces ingericht, waarbij functiescheiding en controlemaatregelen de kans op fraude of corruptie verkleinen. Zo verhuren we sociale huur- en middenhuurwoningen altijd Woningnet. Bij sociale koop vindt loting plaats uit de pool van geschikte belangstellenden onder toezicht van een makelaar die niet bij deze woning betrokken is of een andere onafhankelijke derde. En voor het bepalen van verkoopprijzen schakelen we een onafhankelijk taxateur in.
• Onjuiste betalingen in het betalingsproces bij uitgaande geldstroom. Facturen betalen we alleen na goedkeuring door een bevoegd persoon in overeenstemming met de bevoegdhedenregeling. De feitelijke betalingen vinden plaats nadat ‘6 ogen’ ernaar gekeken hebben. Het opvoeren van nieuwe of wijzigen van bestaande crediteurengegevens kent strikte functiescheiding en controles.
• Fraude bij financiering. Om dit te voorkomen, richtten we een proces in dat uitgaat van functiescheidingen. Ook is altijd een externe adviseur betrokken bij het aangaan van leningen.
• Onjuiste autorisaties en fraude als gevolg van snelle ICT-ontwikkelingen. De ICT-omgeving is uitbesteed aan een externe professionele partij. Periodiek vinden back-up- en recoverytesten plaats. Daarnaast wijzen we medewerkers regelmatig op de gevaren van internetfraude. In 2023 starten we met een bewustwordings- en calamiteitenprogramma. Ook is het proces rondom het uitgeven van autorisaties aangescherpt.

Beheersmaatregelen
Bij de risico’s in de opsomming hierboven noemden we al enkele beheersmaatregelen per risico. Veel van de maatregelen om fraude en corruptie zijn ‘hard controls’: maatregelen die wij als organisatie nemen. Hierdoor ervaren onze medewerkers geen grote fraude- en corruptierisico’s. Dit is bevestigd in de recente risico-inventarisatie van fraude- en corruptierisico’s.
Maar dit betekent niet dat er geen fraude of corruptie kan optreden. Daarom zijn ook ‘soft controls’ belangrijk, waarbij de nadruk ligt op het creëren van een motiverende en stimulerende omgeving. Ons integriteitsbeleid dat dit jaar is geactualiseerd, is hierbij een van de pijlers. Mocht er onverhoopt toch iets gebeuren op het gebied van fraude, dan hebben we een zero-tolerance beleid.

Vooruitblik 2023: risicobereidheid
Hoe gaan we in 2023 om met risico’s?
In viermaandelijkse rapportages en het jaarlijks risicorapport evalueren we de effectiviteit van de getroffen maatregelen. Daarnaast bespreekt het directieteam elke maand een strategisch risico. Aanvullend gaan we komend jaar meer aandacht besteden aan de risicobereidheid van de organisatie en ‘soft controls’ binnen de organisatie. Voorbeelden hiervan zijn: problemen en fouten bespreekbaar maken, elkaar aanspreken op (ongewenst) gedrag en voorbeeldgedrag van leidinggevenden. Er is steeds meer ruimte en aandacht voor de kansen van risico’s - en niet alleen voor de bedreigingen. Meer aandacht voor de kansen kan het realiseren van onze doelstellingen dichterbij brengen. Ook in 2023 blijven we streven naar zorgvuldig, verstandig en rechtmatig handelen.