12 Risicomanagement

Uitgangspunten van het risicomanagement zijn:

• Inzicht verschaffen in de risico’s en de mate van werking van de beheersmaatregelen.
• Risico en rendement aan elkaar te koppelen: zowel voor het vermogensbeheer, als de inzet van middelen voor beheersmaatregelen en hun effectiviteit.
• Toetsen van de risicobereidheid aan de strategie en de strategische doelen.
• Bewaken van de activa, de bezittingen, en de reputatie van het pensioenfonds.
• Bijdragen aan het vergroten van de operationele efficiency en effectiviteit.
• De waarschijnlijkheid vergroten dat de strategische en operationele doelen worden gehaald.
• Voldoen aan wettelijke en toezichtseisen.
• Het verbeteren van het lerend vermogen en de veerkracht van de organisatie.
• Het verhogen c.q. op pijl houden van het risicobewustzijn en de risicovolwassenheid van de organisatie.
• Het verhogen van het zelfinzicht van de organisatie om betere besluitvorming en organisatie-inrichting mogelijk te maken.
• Het voorkomen of verminderen van risico’s bij activiteiten die geen voordeel halen uit het dragen van risico’s.

De cyclus is voor alle soorten risico’s te gebruiken en zorgt voor een gestructureerd proces. Pensioenfonds Vervoer onderscheidt de onderstaande vier toepassingen (zie afbeelding hieronder) waarvoor de cyclus wordt gebruikt. 

1. Omgevingsrisico’s ofwel externe ontwikkelingen die de strategie van het pensioenfonds bedreigen of beïnvloeden.
2. De risicogebieden uit de risicotaxonomie van het pensioenfonds.
3. De projectmatige risico’s van verandertrajecten.
4. De risico’s die zijn verbonden aan beleids- of uitvoeringsvoorstellen voor het bestuur.

Het bestuur is als opdrachtgever aan de lijnorganisatie eindverantwoordelijk voor het beleid en de uitvoering van de bedrijfsprocessen van Pensioenfonds Vervoer. De bestuursleden treden gezamenlijk beleidsbepalend en controlerend op. Dit betekent dat het bestuur eindverantwoordelijk is voor de risicobeheersing tot op het niveau van de operationele uitvoering. Het bestuur vervult hierbij ook een monitorende rol op de risicobeheersing.

Bij het pensioenfonds zijn de meeste operationele processen uitbesteed. De eerste lijn van het bestuursbureau is verantwoordelijk voor het risicomanagement van de uitbestede (operationele) processen. Periodiek wordt gecontroleerd of de wijze waarop de uitbestedingspartij de uitbestede werkzaamheden uitvoert nog overeenkomt met de gemaakte afspraken, zoals vastgelegd in de uitbestedingsovereenkomst en in meer detail in de SLA. De monitoring en controle van de uitbestede werkzaamheden is onderdeel van de interne controlecyclus van het pensioenfonds. Het beleid inkoop- en uitbesteding van het pensioenfonds gaat verder in op taken en verantwoordelijkheden rond uitbesteding. Daarnaast is de eerste lijn van het bestuursbureau verantwoordelijk voor het risicomanagement van de eigen activiteiten op het bestuursbureau. 

De afdeling risicomanagement van het bestuursbureau heeft een onafhankelijke tweedelijnsrol. De Chief Risk Officer van het bestuursbureau is ook houder van de risicobeheersleutelfunctie en heeft een onafhankelijke escalatielijn naar de voorzitters van het bestuur en de voorzitter van de RvT.

Kapitaalmanagement

De financiële risicohouding volgens het wettelijk kader (het FTK) is vastgesteld in afstemming met de sociale partners. De risicohouding zoals hier bedoeld is de mate waarin een fonds, na overleg met sociale partners en na overleg met de organen van het fonds, bereid is beleggingsrisico’s te lopen om de doelstellingen van het fonds te realiseren en de mate waarin het fonds (beleggings-)risico’s kan lopen, gegeven de kenmerken van het fonds. De risicohouding vormt de basis voor het vaststellen van het strategisch (beleggings-)beleid. De financiële risicobereidheid van het pensioenfonds laat zich in dit kader kortweg formuleren als: het voorkomen van korten is belangrijker dan het niet (volledig) kunnen indexeren.

In hoofdstuk 15 Financiële ontwikkelingen wordt de zogenoemde korte en lange termijn risicohouding kwantitatief toegelicht. De korte termijn risicohouding komt tot uiting in het zogenoemde Vereist Eigen Vermogen, dat wordt bepaald op basis van het risicomodel van DNB. Dit model bevat de belangrijkste financiële risico’s van het pensioenfonds en wordt, evenals de betreffende risico’s zelf, toegelicht in de jaarrekening hierna. De lange termijn risicohouding betreft de zogenoemde haalbaarheidstoets.

De twee grootste financiële risico’s voor de dekkingsgraad van het pensioenfonds zijn het niet afgedekte deel van het renterisico van de pensioenverplichtingen en het risico van zakelijke waarden zoals aandelen.
De volgende financiële schokmatrix geeft inzicht in de gevoeligheid van de dekkingsgraad voor renteveranderingen en waardeveranderingen van zakelijke waarden.
Het renterisico staat op de verticale as, en wordt weergegeven in basispunten renteverandering. Een basispunt is een meeteenheid die gelijk is aan 1/100ste van 1 procent. Het zakelijke waarden-risico staat op de horizontale as, weergeven in procentuele waardeverandering.

De risico’s in de externe financiële verslaggeving en de financiële risico’s van het fonds worden in detail beschreven in de jaarrekening. In het zogenoemde Limietenkader legt het fonds onder andere de grenzen voor de risico’s op balansniveau vast. Het bestuur monitort de financiële risico’s onder andere via het maandelijkse dashboard financiële risico’s.

ESG (environment, social en governance)-risico’s  houden verband met milieu en klimaat, mensenrechten en sociale verhoudingen. Pensioenfonds Vervoer heeft als langetermijnbelegger te maken met de consequenties van ecologische, economische of maatschappelijke ontwikkelingen op de toekomstige waarde van de beleggingen. Het ESG-risico gaat daarnaast over reputatierisico. Dit hangt ook samen met de diverse (EU-)wet- en regelgeving waaraan Pensioenfonds Vervoer moet voldoen en codes waaraan het fonds zich vrijwillig committeert. Het pensioenfonds heeft een breed scala aan beheersmaatregelen (MVB-beleid voor onder meer engagement, sanctiescreening van beleggingen, stembeleid en uitsluitingen en diverse rapportages hierover) om het ESG-risico te mitigeren. Pensioenfonds Vervoer heeft in 2024 zijn Maatschappelijk Verantwoord Beleggen (MVB) beleid geactualiseerd. In dit beleid is ook het Klimaatrisicobeleid opgenomen. Daarnaast heeft de ontwikkeling van het ESG-beleid en monitoring daarvan (zoals voor klimaatrisico’s) de aandacht van het bestuur. Ook is vastgelegd hoe het pensioenfonds invulling heeft gegeven aan de Good Practice ESG-risicobeheer van DNB.

Reputatiemanagement

Voor het pensioenfonds is het reputatierisico één van de belangrijkste risico’s. Het beheersen van reputatierisico’s vormt dan ook een onderdeel van de totale risicohouding. Reputatiemanagement omvat naast het imago van het pensioenfonds de onderwerpen integriteit (incl. frauderisico) en privacy. Zowel het zo goed mogelijk waarborgen van integriteit, als het voldoen aan privacywet- en regelgeving, vormen twee belangrijke pijlers om mogelijke reputatierisico’s voor het pensioenfonds te beheersen.

De monitoring van reputatierisico’s via de incidentenprocedure, de rapportage van de tweedelijns externe compliance officer, de rapportage van de afdeling risicomanagement of anderszins bracht geen significante risico’s aan het licht.

Integriteit en frauderisico

Het pensioenfonds beschikt over een interne gedragscode. Het bestuur heeft daarin de gewenste cultuur vastgelegd. Alle verbonden personen dienen deze gedragscode te ondertekenen. Daarmee verklaren zij dat ze integer handelen.

De gedragscode bevat onder meer regels over het omgaan met vertrouwelijke gegevens, het omgaan met relatiegeschenken en nevenfuncties en het omgaan met financiële belangen in zakelijke relaties van het fonds. Verbonden personen vermijden elke vorm en elke schijn van persoonlijke bevoordeling of belangenverstrengeling met een partij waarmee het fonds een band heeft, op welke manier dan ook.

De compliance officer van het fonds toetst jaarlijks de naleving van de gedragscode aan de hand van een door alle verbonden personen in te vullen vragenlijst (nalevingsverklaring). Het bestuur bespreekt de rapportage over de naleving van de gedragscode. In de gedragscode zijn mogelijke sancties opgenomen voor de niet-naleving. De statuten bevatten daarnaast adequate maatregelen die het bestuur kan treffen wanneer mogelijk sprake is van (schijn van) belangenverstrengeling.

Het bestuur van het pensioenfonds voert iedere twee jaar een systematische integriteitsrisicoanalyse (SIRA) uit om te bepalen of er (nieuwe) integriteitsrisico’s zijn die een mogelijke bedreiging vormen voor het pensioenfonds. Naast integriteitsrisico’s zoals cultuur & gedrag, corruptie (omkoping) en witwassen, maken fiscale fraude, interne fraude en externe fraude expliciet onderdeel uit van de SIRA. Daarnaast kan fraude zich voordoen als gevolg van andere integriteitsrisico’s, zoals: cybercrime en privacyrisico. Dit komt tot uitdrukking door bijvoorbeeld: identiteitsfraude, CEO-fraude, Whatsapp-fraude en phishing. De uitkomst van de SIRA 2024 is dat het pensioenfonds een breed scala aan maatregelen heeft getroffen om het integriteitsrisico te beheersen. In de SIRA 2024 is het netto risico voor externe fraude hoger ingeschat dan voorheen vanwege de ontwikkeling van kunstmatige intelligentie. Er bestaan diverse beheersmaatregelen om dit risico in de toekomst te beperken. Geen van de netto risico’s uit de SIRA 2024 is als ‘zeer hoog’ beoordeeld.

Fraude kan een gevaar vormen voor de integere en beheerste bedrijfsvoering. Daarom heeft het pensioenfonds beheersmaatregelen getroffen om de kans op en de impact van fraude te beperken. Voor de beheersing van integriteitrisico’s in brede zin maakt het pensioenfonds onderscheid tussen ‘zachte’ maatregelen zoals aandacht voor gedrag, cultuur en het bevorderen van gewenst gedrag en ‘harde’ maatregelen en normen (zoals vastgelegd in beleid, procedures en codes). Uitgangspunt is het vertonen van gewenst gedrag door het pensioenfonds en alle personen die hieraan verbonden zijn, inclusief de uitvoerders.

In het Bestuursbureau Control Framework van het pensioenfonds zijn sleutelbeheersmaatregelen voor de beheersing van frauderisico’s opgenomen. De externe vertrouwenspersoon voor integriteit van het pensioenfonds draagt zorg voor de opvolging van eventuele meldingen door klokkenluiders. De incidentenprocedure van het fonds zorgt voor de opvolging van fraudesignalen. In 2024 zijn geen vermoedens van fraude geconstateerd.

Privacyrisico

Voor de beheersing van het privacyrisico heeft het fonds een tweedelijns externe functionaris gegevensbescherming (FG) aangesteld. In 2024 heeft een voortdurende toetsing plaatsgevonden om privacyrisico’s te identificeren, te voorkomen en waar mogelijk te mitigeren. De FG rapporteert zijn bevindingen eens per halfjaar aan het bestuur.

De opinie van de FG over 2024 luidt als volgt:

“De FG is van mening dat het pensioenfonds privacyrisico’s in 2024 op de juiste manier heeft weten te beheersen. Voortdurend is er oog geweest voor mogelijke en daadwerkelijk aanwezige privacyrisico’s. De lijn die de voorgaande jaren is ingezet is in 2024 onverminderd doorgetrokken. Doorlopende aandacht voor en controle op bestaande en nieuwe processen hebben ervoor gezorgd dat het pensioenfonds adequaat om is gegaan met mogelijke en daadwerkelijke risico’s.

Dat niet alle privacyrisico’s zijn te voorkomen heeft het informatiebeveiligingsincident rondom AddComm aangetoond. Het incident liet zien dat grip de gehele keten van partijen die namens het pensioenfonds persoonsgegevens verwerken belangrijk is. Onjuiste, onzorgvuldige of te late communicatie in de keten kan potentieel verstrekkende gevolgen voor het pensioenfonds hebben. De uitgebreide evaluatie van het incident door alle betrokken partijen in de keten maakt aantoonbaar dat er wordt geleerd van dit soort situaties. De scherpe blik vanuit het fonds richting de uitbestedingspartijen toont aan dat men binnen het fonds voortdurend alert is op de zorgvuldige omgang met persoonsgegevens en daarbij horende risico’s.

Privacy wordt binnen het pensioenfonds niet gezien als belemmerende of blokkerende factor om nieuwe initiatieven te verkennen die ten goede komen aan het fonds en haar deelnemers. Dit maakt dat er creatief en zorgvuldig na wordt gedacht, waarbij ruimte is voor een goede dialoog of risico’s en afwegingen. Tot slot is er in 2024 vooruitgekeken naar nieuwe technologische en juridische ontwikkelingen op het gebied van kunstmatige intelligentie en de invloed daarvan op mogelijke privacyrisico’s. Dit toont aan dat er ook buiten de huidige en bestaande kaders gekeken wordt als het gaat om het identificeren en beheren van privacyrisico’s."

Product & regeling

De uitvoering van de pensioenregelingen en het vermogensbeheer bij de uitvoerders vereist goed ingerichte processen met behulp van passende IT-voorzieningen. Als de uitvoering van de pensioenregeling niet adequaat is, verhoogt dit het risico dat deelnemers en werkgevers ontevreden zijn, bijvoorbeeld vanwege fouten in de uitkeringen of een gebrek aan klantgerichtheid. Het vermogen van Pensioenfonds Vervoer is ontstaan uit ingelegde premies, gedane uitkeringen, gemaakte kosten en gerealiseerd beleggingsrendement. Dit vermogen moet goed beheerd worden.

Het pensioenfonds heeft diverse beheersingsmaatregelen ingesteld om de kwaliteit van de pensioen- en vermogensbeheeruitvoering te monitoren en zo mogelijk bij te sturen:

• Reguliere eerstelijns monitoring van het bestuursbureau van de uitvoering en de rapportages van de pensioenuitvoeringsorganisatie en vermogensbeheerder.
• Incidentenprocedure die wordt uitgevoerd op het bestuursbureau.
• Beoordeling van de assurancerapportages van uitbestedingspartijen en monitoring van opvolging van bevindingen.
• Beoordeling van de strategische risico’s van de uitbestedingspartijen (zoals continuïteit, kwaliteit en verandervermogen).
• Overleg met het tweedelijns risicomanagement van de pensioenuitvoeringsorganisatie en integraal manager vermogensbeheer.
• Kwartaalrapportage integraal risicomanagement voor het bestuur. 

In 2024 hebben zich geen ernstig impact incidenten voorgedaan bij Pensioenfonds Vervoer of in de dienstverlening van uitbestedingspartijen aan het pensioenfonds.  

Strategische verandertrajecten

Strategische verandertrajecten zijn de eigen activiteiten, de trajecten, die zijn gericht op majeure veranderingen om de strategie van Pensioenfonds Vervoer te realiseren. Kenmerkend is dat deze een verhoogd risico qua impact en complexiteit vormen. Daarom vereisen de strategische veranderingen een projectgovernance en eventueel specifieke expertise. Het bestuur is nauw betrokken bij strategische verandertrajecten.

Het nieuwe pensioenstelsel vormt de grootste bron van dit risico. Het pensioenfonds heeft hiervoor een projectgroep ingesteld. Met behulp van een externe projectbegeleider voert deze projectgroep een gefaseerd projectplan uit, monitort de ontwikkelingen en rapporteert hierover aan het bestuur.