12 Risicomanagement

De mogelijke risicohoudingen gaan van ‘nul’, ‘kritisch’, ‘gebalanceerd’, ‘opportuun’ tot ‘maximaal’. De uitkomsten van de risicohouding van het bestuur voor de verschillende risicodomeinen zijn:

Behalve voor het domein ‘Product & regeling’ kenmerkt het bestuur zich door een gebalanceerde risicohouding. De risicohouding van het bestuur voor het gehele pensioenfonds is dan ook ‘gebalanceerd’. 

Op basis van de risicohouding zijn door het bestuur risicobereidheidprincipes per domein vastgesteld. Deze vormen het referentiekader bij de evaluatie van de risico’s van beleidsvoorstellen. Ook heeft het bestuur de tolerantiegrenzen bij de risicobereidheidsprincipes vastgesteld. De tolerantiegrenzen zijn te beschouwen als strategische Key Performance Indicators. De risico’s ten opzichte van de risicohouding en tolerantiegrenzen zijn opgenomen in de kwartaalrapportage over integraal risicomanagement. Deze rapportage fungeert ook als de rapportage van de sleutelfunctiehouder risicomanagement.

In de volgende afbeelding is het bestuurlijk- en beleidsproces rondom risicohouding, risicobereidheid en tolerantiegrenzen weergegeven. Het nieuwe vijfde domein strategische verandertrajecten maakt oorspronkelijk geen expliciet onderdeel uit van het RAVC-model. Het bestuurlijk- en beleidsproces werkt hierbij hetzelfde. 

Pensioenfonds Vervoer dient te zorgen voor een goede interne beheersing op het niveau van het pensioenfonds zelf. Hiervoor is in 2020 een Risk Control Framework in gebruik genomen. Een passende interne beheersing geeft op transparante wijze inzicht in de opzet, het bestaan en de werking van beheersmaatregelen voor het in-control zijn over de diverse sleutelprocessen. De sleutelprocessen van het bestuur en het bestuursbureau hebben betrekking op het beleid, de regie en monitoring van de uitbesteding, de bestuursondersteuning en overige zaken die vanuit wet- en regelgeving specifiek moeten worden geborgd. De interne audit functie van het Pensioenfonds toetst het jaarlijks de opzet, bestaan en werking van het Risk Control Framework en rapporteert hierover aan het bestuur.

Kapitaalmanagement

De financiële risicohouding volgens het wettelijk kader (het FTK) is in 2015 vastgesteld in afstemming met de sociale partners. De risicohouding zoals hier bedoeld is de mate waarin een fonds, na overleg met sociale partners en na overleg met de organen van het fonds, bereid is beleggingsrisico’s te lopen om de doelstellingen van het fonds te realiseren, en de mate waarin het fonds (beleggings-)risico’s kan lopen, gegeven de kenmerken van het fonds. De risicohouding vormt de basis voor het vaststellen van het strategisch (beleggings-)beleid. De financiële risicobereidheid van het pensioenfonds laat zich in dit kader kortweg formuleren als: het voorkomen van korten is belangrijker dan het niet (volledig) kunnen indexeren. 

In hoofdstuk 15 Financiële ontwikkeling wordt de zogenoemde korte en lange termijn risicohouding kwantitatief toegelicht. De korte termijn risicohouding komt tot uiting in het zogenoemde Vereist Eigen Vermogen, dat wordt bepaald op basis van het risicomodel van DNB. Dit model bevat de belangrijkste financiële risico’s van het pensioenfonds en wordt, evenals de betreffende risico’s zelf, toegelicht in de jaarrekening hierna. De lange termijn risicohouding betreft de zogenoemde haalbaarheidstoets.

De twee grootste financiële risico’s voor de dekkingsgraad van het pensioenfonds zijn het niet afgedekte deel van het renterisico van de pensioenverplichtingen en het risico van zakelijke waarden zoals aandelen. De volgende financiële schokmatrix geeft inzicht in de gevoeligheid van de UFR-dekkingsgraad voor renteveranderingen en waardeveranderingen van zakelijke waarden. Zowel de startdekkingsgraad als de overige cijfers zijn bepaald op basis van de vanaf 1 januari 2023 van toepassing zijnde DNB-discontovoet.

De risico’s in de externe financiële verslaggeving en de financiële risico’s van het fonds worden in detail beschreven in de jaarrekening. In het zogenoemde Limietenkader legt het fonds onder andere de grenzen voor de risico’s op balansniveau vast. Het bestuur monitort de financiële risico’s onder andere via het maandelijkse dashboard financiële risico’s.

ESG-risico’s (ESG = environment, social en governance) houden verband met milieu en klimaat, mensenrechten en sociale verhoudingen. Pensioenfonds Vervoer heeft als langetermijnbelegger te maken met de consequenties van ecologische, economische of maatschappelijke ontwikkelingen op de toekomstige waarde van de beleggingen. ESG-risico gaat daarnaast over reputatierisico. Dit hangt ook samen met de diverse (EU-)wet- en regelgeving waaraan Pensioenfonds Vervoer moet voldoen en codes waaraan het fonds zich vrijwillig committeert. Het fonds heeft een breed scala aan beheersmaatregelen (MVB-beleid voor onder meer engagement, screening, stembeleid en uitsluitingen en diverse rapportages hierover) om het ESG-risico te mitigeren. Het Pensioenfonds heeft in 2022 zijn Maatschappelijk Verantwoord Beleggen (MVB) beleid bijgewerkt. In dit beleid is ook het Klimaatrisicobeleid opgenomen. Daarnaast heeft de ontwikkeling van het ESG-beleid en monitoring daarvan (zoals voor klimaatrisico’s) de aandacht van het bestuur. 

Reputatiemanagement

Voor het pensioenfonds is het reputatierisico één van de belangrijkste risico’s. Het beheersen van reputatierisico’s vormt dan ook een centraal element in de totale risicohouding. Reputatiemanagement omvat naast het imago van het pensioenfonds de onderwerpen compliance en integriteit. Zowel het voldoen aan wet- en regelgeving (compliance in brede zin), als het zo goed mogelijk waarborgen van integriteit (compliance in enge zin) vormen twee belangrijke pijlers om mogelijke reputatierisico’s voor het pensioenfonds te beheersen. 

Het pensioenfonds heeft 2022 opnieuw bekeken of het voldoet aan de huidige wet- en regelgeving. Een belangrijk thema hierbij is het voldoen aan de EU-wetgeving over duurzaamheid. Dit betreft de zogenoemde Sustainable Finance Disclosure Regulation (SFDR).

De monitoring van reputatierisico’s via de incidentenprocedure, de rapportage van de tweedelijns externe compliance officer, de rapportage van de afdeling risicomanagement, of anderszins bracht geen significante risico’s aan het licht.

Frauderisico’s

Fraude kan een gevaar vormen voor de integere en beheerste bedrijfsvoering. Daarom heeft het Pensioenfonds beheersmaatregelen getroffen om de kans op en de impact van fraude te beperken. Voor de beheersing van integriteitrisico’s in brede zin maakt het Pensioenfonds onderscheid tussen ‘zachte’ maatregelen zoals aandacht voor gedrag, cultuur en het bevorderen van gewenst gedrag en ‘harde’ maatregelen en normen (zoals vastgelegd in beleid, procedures en codes). Uitgangspunt is het vertonen van gewenst gedrag door het Pensioenfonds en alle personen die hieraan verbonden zijn, inclusief de uitvoerders.

Het bestuur het Pensioenfonds voert iedere twee jaar een systematische integriteitsrisicoanalyse (SIRA) uit om te bepalen of er (nieuwe) integriteitsrisico’s zijn die een mogelijke bedreiging vormen voor het Pensioenfonds. Naast integriteitsrisico’s zoals cultuur & gedrag, corruptie (omkoping) en witwassen, maken fiscale fraude, interne fraude en externe fraude expliciet onderdeel uit van de SIRA. Daarnaast kan fraude zich voordoen als gevolg van andere integriteitsrisico’s, zoals: cybercrime en privacyrisico. Dit komt tot uitdrukking door bijvoorbeeld: identiteitsfraude, CEO-fraude, Whatsapp-fraude en phishing. De uitkomst van de SIRA 2022 is dat het pensioenfonds een breed scala aan maatregelen heeft getroffen om het integriteitsrisico te beheersen. Geen van de netto risico’s uit de SIRA 2022 is als ‘hoog’ of ‘zeer hoog’ beoordeeld. De opvolging van de actiepunten uit de SIRA 2022 is gevolgd via de Integrale Risicomanagement Rapportage. 

Voor de beheersing van de frauderisico’s heeft het Pensioenfonds beheersmaatregelen geformuleerd. Voorbeelden van beleid van het Pensioenfonds zijn: gedragscode, regeling vermoeden misstanden, integriteitsbeleid, integraal risicomanagementbeleid, screeningsbeleid, governance handboek, incidentenprocedure, beleid uitbesteding,  informatiebeveiligingsbeleid, privacybeleid, fiscaalbeleid en klachtenregeling ongewenste omgangsvormen. In het separate fraudebeleid is het geheel aan beleid en maatregelen geïntegreerd vastgelegd. In het Risk Control Framework van het Pensioenfonds zijn diverse sleutelbeheersmaatregelen voor de beheersing van frauderisico’s opgenomen. De externe vertrouwenspersoon voor integriteit van het Pensioenfonds draagt zorg voor de opvolging van eventuele meldingen door klokkenluiders. De incidentenprocedure van het fonds zorgt voor de opvolging van fraudesignalen. In 2022 is eenmaal een vermoeden van fraude gedetecteerd in de pensioenuitvoering. Dit had betrekking op een poging tot identiteitsfraude. De poging tot fraude is tijdig gedetecteerd door het systeem van interne beheersing. Geen andere meldingen van vermoeden van fraude zijn gemeld bij het Pensioenfonds.

Privacyrisico’s

Voor de beheersing van het privacy risico heeft het fonds een tweedelijns externe functionaris gegevensbescherming aangesteld. Zo vindt er een voortdurende toetsing op het gebied van Data Protection Impact Assessments (DPIA’s)³, verwerkersovereenkomsten, datalekken en verzoeken van betrokkenen. Deze toetsing vindt plaats door middel van regelmatig overleg tussen de externe FG en de Information Security & Technology Officer van Pensioenfonds Vervoer. De FG rapporteert zijn bevindingen tevens eens per halfjaar aan het bestuur. 

De externe functionaris gegevensbescherming (FG) van Pensioenfonds Vervoer heeft zich positief uitgesproken over de naleving van privacy gerelateerde wet- en regelgeving door Pensioenfonds Vervoer. Bestaande processen zijn in 2022 aangescherpt. De documentatie van periodieke overleggen met de functionaris gegevensbescherming is nog verder verbeterd en er is positief kritisch gekeken naar huidige beleidsdocumenten, met minimale aanpassingen daarop als gevolg. 

Dat privacy continu de aandacht krijgt die het verdient blijkt ook uit de vragen die aan de FG worden gesteld. Men zoekt regelmatig contact om de mening of advies van de functionaris gegevensbescherming te vragen. Door deze ontwikkelingen en de scherpe blik van Pensioenfonds Vervoer op zijn eigen processen en procedures is het positieve beeld dat de functionaris gegevensbescherming van Pensioenfonds Vervoer heeft ontstaan.   

Product & regeling

De uitvoering van de pensioenregelingen en het vermogensbeheer bij de uitvoerders vereist goed ingerichte processen met behulp van passende IT-voorzieningen. Als de uitvoering van de pensioenregeling niet adequaat is, verhoogt dit het risico dat deelnemers en werkgevers ontevreden zijn, bijvoorbeeld vanwege fouten in de uitkeringen of een gebrek aan klantgerichtheid. Het vermogen van het fonds is ontstaan uit ingelegde premies, gedane uitkeringen, gemaakte kosten en gerealiseerd beleggingsrendement. Dit vermogen moet goed beheerd en bewaard worden. 

Het pensioenfonds heeft diverse beheersingsmaatregelen ingesteld om de kwaliteit van de pensioen- en vermogensbeheeruitvoering te monitoren en zo mogelijk bij te sturen:

• Reguliere eerstelijns monitoring van het bestuursbureau van de uitvoering en de rapportages van de pensioenuitvoerder en vermogensbeheerder.
• Incidentenprocedure die wordt uitgevoerd op het bestuursbureau.
• Beoordeling van de assurance rapportages van kernuitbestedingspartijen en monitoring van opvolging van bevindingen.
• Beoordeling van de strategische risico’s van de kernuitbestedingspartijen (zoals continuïteit, kwaliteit en verandervermogen).
• Overleg met het tweedelijns risicomanagement van de kernuitbestedingspartijen.
• Kwartaalrapportage integraal risicomanagement voor het bestuur.

In 2022 is een datakwaliteitsbeleid ontwikkeld, zijn verschillende IT risk self assessments en crisisoefeningen gehouden, zoals de risk self assessments IT en cybercrime, en een cybercrisisoefening. Daarnaast is in 2022 is een tweedelijns risicomanagement informatiebeveiligingshalfjaarrapportage aan bestuur geïntroduceerd. Door middel van deze rapportage wordt het bestuur geïnformeerd over de belangrijkste risico’s en ontwikkelingen op het gebied van informatiebeveiliging en onder meer de uitvoering van het informatiebeveiligingsjaarplan. 

De realisatie van de nieuwe IT-infrastructuur bij TKP loopt achter op schema (zie hoofdstuk 3 ‘Profiel’ bij het onderdeel ‘Realisatie strategie in 2022’). Dit vormt een IT-risico voor het pensioenfonds. Mede in het licht van het WTP-programma volgt het bestuursbureau deze ontwikkelingen nauwgezet. 

Strategische verandertrajecten
Strategische verandertrajecten zijn de eigen activiteiten, de trajecten, die zijn gericht op majeure veranderingen om de strategie van het Pensioenfonds te realiseren. Kenmerkend is dat deze een verhoogd risico qua impact en complexiteit vormen. Daarom vereisen de strategische veranderingen een projectgovernance en/of specifieke expertise. Het bestuur is nauw betrokken bij strategische verandertrajecten. Het nieuwe pensioenstelsel is een bron van onzekerheid op veel gebieden en vormt de grootste bron van dit risico. Het pensioenfonds heeft hiervoor een projectgroep ingesteld. Met behulp van een externe projectbegeleider voert deze projectgroep een gefaseerd projectplan uit, en risk self assessments, en monitort en rapporteert over de ontwikkelingen aan het bestuur.

Uit de jaarlijkse herijking van de omgevingsrisico’s van 2022 kwamen als belangrijkste onzekerheden naar voren:

• politieke ontwikkelingen (uitwerking Wet Toekomst Pensioenen, overige nieuwe wetgeving)
• Impact Europese regelgeving op de verplichtstelling en eis van dienstbetrekking
• maatschappelijke ontwikkelingen en nieuwe inzichten op het gebied van ESG en duurzaam beleggen (o.a. uitwerking Glasgow 2021)
• economische scenario’s (ten behoeve van onze beleggingsstrategie en impact op toereikendheid pensioenen)
• inzichten met betrekking tot zorgplicht, keuzearchitectuur, risicohouding
• cybercrime
• inflatie
• oorlog in Oekraïne