Risicoparagraaf
Wij hebben een duidelijke strategie om onze volkshuisvestelijke doelen te realiseren. Hierbij is het aangaan van risico’s onvermijdelijk. De directeur-bestuurder is eindverantwoordelijk voor het bepalen van wat daarbij maximaal acceptabel is. Met behulp van risicomanagement maken we inzichtelijk welke risico’s we lopen en welke maatregelen we treffen om deze risico’s te beperken tot een aanvaardbaar niveau.
Risicomanagementbeleid
In ons risicomanagementbeleid staan de gemaakte beleidskeuzes en de verantwoordelijkheden over het risicomanagement. Het risicomanagement is geïntegreerd in onze planning & control-cyclus. In tussentijdse rapportages doen we verslag van de voortgang van de realisatie van onze doelen en geven we een financiële verantwoording. Ook leggen we in deze rapportages verantwoording af over risico’s en beheersmaatregelen. De risico-inschatting en de werking van de beheersmaatregelen worden op deze wijze periodiek beoordeeld en waar nodig herijkt. Door het uitvoeren van interne controle en audits, gebaseerd op risk-based auditing, beoordelen we beheersmaatregelen op hun opzet, bestaan en werking.
Risicobereidheid
Gezien onze maatschappelijke doelstellingen kiest Actium ervoor een risicobewuste corporatie te zijn. Om ons vermogen optimaal in te kunnen zetten ten behoeve van onze volkshuisvestelijke doelen gaan we weloverwogen om met de mogelijke risico's. Wij proberen risico’s zoveel mogelijk te beperken, onder de voorwaarde dat de (kosten van de) beheersmaatregelen in een gezonde relatie staan tot de hoogte van de mogelijke risico’s, passend bij onze taakstelling. Hierbij hebben we een voorkeur voor een zekere bedrijfsvoering in plaats van een eventuele resultaatmaximalisatie.
In 2025 hebben we als onderdeel van het risicomanagementbeleid op 6 thema's risicobereidheidstatements vastgesteld. Risicobereidheid geeft aan in welke mate Actium bereid is risico te willen en durven lopen om haar doelstellingen te behalen en vormt kaders waarbinnen (strategische) keuzes gemaakt kunnen worden. Risicobereidheid is geformuleerd op de thema's beschikbaarheid, innovatie, integriteit, veiligheid & gezondheid, reputatie en financiële continuïteit. Onze bereidheid is overwegend risico-avers en neutraal, op innovatie zijn we bereid meer risico te nemen, waarbij we onze primaire opgave niet uit het oog verliezen.
Soft controls
Hoewel we geen expliciet systeem voor het vastleggen van soft controls kennen, zijn we ons zeker bewust van het belang hiervan. Het is de basis voor een goed werkend risicomanagement systeem. Ons uitgangspunt is dat risicobeheersing voor een groot deel wordt bepaald door gedrag. Een belangrijke soft control is de ‘tone at the top’. De soft controls zijn een belangrijk onderdeel van de zogenaamde ‘checks and balances’ op bestuursniveau. Zo organiseren we formele en informele contactmomenten tussen de leden van de RvC en het managementteam, zodat de RvC breder wordt geïnformeerd dan alleen door de directeur-bestuurder. Ook worden medewerkers uitgenodigd bij RvC-vergaderingen om nadere toelichting te geven op specifieke onderwerpen. Zo streven wij naar optimale transparantie over ons beleid, ook richting de toezichthouders.
Strategische risico's
We hebben twaalf strategische risico's onderkend die invloed kunnen hebben op het realiseren van onze koers. De strategische risico analyse wordt tweemaal per jaar in het MT besproken en waar van toepassing actualiseren we de kans en impact. In de RvC zijn de strategische risico's besproken. In de tussentijdse rapportages verantwoorden we over de actualisatie. Binnen deze twaalf strategische risico's onderkennen we vier toprisico's waar we ons in de managementrapportages op focussen. Deze top vier strategische risico's betreffen de risico's onvoorspelbaarheid landelijke politiek, informatiebeveiliging, het duurzaam bedrijfsmodel en maatschappelijke ontwrichting.
Onderstaande tabel toont de strategische risicomatrix.
Toelichting belangrijkste risico's
Op basis van een inschatting van de kans dat het risico zich voordoet en de geschatte impact van het risico is de top vier risico’s bepaald. De top 4 wordt hieronder toegelicht.
Duurzaam bedrijfsprofiel
Dit risico bestaat uit 1) het risico dat we onze investeringsopgaven niet realiseren, 2) de stapeling van maatschappelijke opgaven en duurzaamheidsopgaven, 3) het (her)financieringsrisico, 4) een lage realisatiegraad, waardoor een lager borgingsplafond en 5) het exploitatieresultaat dat onder druk staat. Deze risico’s worden veroorzaakt door:
- huuropbrengsten die onder druk staan;
- een toenemende druk die is ontstaan op het doorvoeren van duurzaamheidsinvesteringen en een toename van uitbreidingsinvesteringen;
- de onrust in de wereld en onzekere economische tijden, waarin onder meer beperkte beschikbaarheid van arbeidskrachten en materiaal, hogere inflatie en stijgende rente, bouwkosten en bedrijfslasten.
Een actueel (financieel) beleid, een robuust meerjaren-begrotingsproces inclusief scenarioplanning, tussentijdse monitoring van de ontwikkelingen, het volgen van het investeringsstatuut, passende functionele kwaliteit van woningen en een verdere verzakelijking zijn enkele beheersmaatregelen om dit risico te beheersen.
Informatiebeveiliging / schade aan data
Dit risico gaat over schade aan data en informatiebeveiligingsissues, mogelijke datalekken, de beschikbaarheid van systemen en data wat kan leiden tot het ongewenst weglekken van informatie en data. Mogelijke oorzaken zijn de toename van cyberaanvallen en gijzeling van data, de afhankelijkheid van menselijk handelen waardoor dit kwetsbaar is en de grote afhankelijkheid van data.
Beheersmaatregelen zijn onder meer het zorgen voor bewustzijn in de organisatie op de risico's van menselijk handelen t.a.v. informatiebeveiliging, backup procedures, juistheid bewaartermijnen en actueel informatiebeveiligingsbeleid dat wordt nageleefd.
Onvoorspelbaarheid landelijke politiek
Dit betreft het risico ten aanzien van de verplichte prestaties en wet- en regelgeving op het gebied van nieuwbouw, verduurzaming, warmtetransitie, huurbeleid ten opzichte van de inkomstenstroom (ingrepen in huurstijging/normhuren/huurtoeslag), huurbevriezing, fiscaliteiten en/of andere vormen van solidariteitsheffingen. Oorzaken zijn onder meer nieuwe ambities en strakkere regie op het gebied van de volkshuisvesting en maatschappelijke onrust. Ambities, uitdagingen en keuzes van de overheid beïnvloeden afspraken.
Beheersmaatregelen hebben betrekking op het tijdig signaleren van ontwikkelingen in wet- en regelgeving en blijvend actief in de lobby zijn. Daarnaast worden scenario analyses in de begrotingsronde doorgerekend en houden we een passende financiële buffer.
Maatschappelijke ontwrichting
Het risico op maatschappelijke ontwrichting ontstaat door verstoringen in belangrijke infrastructuur (bv langdurige stroomuitval of watertekort) en toenemende maatschappelijke spanningen. Deze verstoringen kunnen worden veroorzaakt door ontwikkelingen zoals oorlog, klimaatverandering, vluchtelingenstromen en maatschappelijke onrust.
Dit kan leiden tot situaties waarin huurders, medewerkers, buurten en de organisatie worden geraakt, bijvoorbeeld door langdurige uitval van voorzieningen. Dit kan resulteren in spanningen in buurten en kwetsbare doelgroepen die in deze situaties nog kwetsbaarder worden.
Beheersmaatregelen zijn een actueel intern calamiteitenplan en het uitvoeren van calamiteiten oefeningen. We zijn en blijven in gesprek met andere relevante organisaties (onder andere de veiligheidsregio, de gemeente en het waterbedrijf).
Bij het bepalen van het meerjarenperspectief en onderliggende scenario's (zie hoofdstuk 4) houden we rekening met onze strategische risico's. Deze jaarlijkse herijking en scenario analyse geeft ons tijd en ruimte om tijdig bij te kunnen sturen op ontwikkelingen.
Operationele- en frauderisico's
De procesflows en risicobeheermatrices van de belangrijkste processen zijn in beeld en worden periodiek geactualiseerd. We hebben beheersmaatregelen op de belangrijkste risico's ingericht en we toetsen de kwaliteit van de uitvoering van deze maatregelen periodiek volgens een door de RvC vastgesteld controleplan. In de tertiaalrapportage worden de voortgang en eventuele bijzonderheden gerapporteerd.
Onderdeel van de operationele risicoanalyses is het bepalen van frauderisico's in de processen. Jaarlijks wordt de frauderisicoanalyse opgesteld, hierin wordt per risico aangegeven welke maatregelen zijn getroffen om de risico's te beperken. Uit de frauderisico-analyse komen twee toprisico’s:
- Proces dagelijks onderhoud: het risico dat we geen inzicht hebben in de realisatie van tijden en afspraken met externe leveranciers.
Bij facturatie van dagelijks onderhoud onderkennen we een frauderisico; bijvoorbeeld doordat de leverancier teveel uren of afwijkende prijzen per werksoort factureert. Door uren en prijzen per werksoort vooraf vast te leggen in het prestatiecontract met de leverancier kan dit risico via prestatiecontracten deels gemitigeerd worden. Ook controle op prestatielevering is een beheersmaatregel. De inrichting van de beheersmaatregel is onderhanden.
- Proces vastgoedrealisatie: het risico dat we niet voldoen aan de aanbestedingsvereisten en de vooraf vastgestelde gunningscriteria.
Dit betreft het risico dat gunning niet plaatsvindt volgens afgesproken procedures waardoor een nadeel of de schijn van belangenverstrengeling ontstaat. Beheersmaatregelen zijn ingericht in het aanbestedingsproces en goedkeuringsproces. Een interne controle op het aanbestedingsproces vindt jaarlijks plaats. Ondanks de aanwezige beheersmaatregelen blijft het risico toch hoog, met name door de potentiële impact (grote financiële belangen en imagoschade) en de afhankelijkheid van het gedrag dat niet volledig kan worden afgedekt met procedures en controles.
Door periodieke controles volgens het controleplan wordt de kwaliteit van de beheersing getoetst. In de frauderisicobereidheid hebben we het uitgangspunt vastgelegd dat fraude binnen Actium niet wordt geaccepteerd. We laten ons niet in met frauduleuze activiteiten. Niet door onze medewerkers, niet door onze samenwerkingspartners en niet door de huurders. Signalen van mogelijke fraude worden serieus genomen en onderzocht. Geconstateerde fraude wordt onderzocht en passend afgehandeld. De frauderisicoanalyse bevat hiervoor een frauderesponsplan.