12 Risicomanagement

Uitgangspunten van het risicomanagement zijn:

• Inzicht verschaffen in de risico’s en de mate van werking van de beheersmaatregelen.
• Risico en rendement aan elkaar te koppelen: zowel voor het vermogensbeheer, als de inzet van middelen voor beheersmaatregelen en hun effectiviteit.
• Toetsen van de risicobereidheid aan de strategie en de strategische doelen.
• Bewaken van de activa, de bezittingen, en de reputatie van het pensioenfonds.
• Bijdragen aan het vergroten van de operationele efficiency en effectiviteit.
• De waarschijnlijkheid vergroten dat de strategische en operationele doelen worden gehaald.
• Voldoen aan wettelijke en toezichtseisen.
• Het verbeteren van het lerend vermogen en de veerkracht van de organisatie.
• Het verhogen c.q. op peil houden van het risicobewustzijn en de risicovolwassenheid van de organisatie.
• Het verhogen van het zelfinzicht van de organisatie om betere besluitvorming en organisatie-inrichting mogelijk te maken.
• Het voorkomen of verminderen van risico’s bij activiteiten die geen voordeel halen uit het dragen van risico’s.

De cyclus is voor alle soorten risico’s te gebruiken en zorgt voor een gestructureerd proces. Pensioenfonds Vervoer onderscheidt de onderstaande vier toepassingen (zie afbeelding hieronder) waarvoor de cyclus wordt gebruikt.

1. Omgevingsrisico’s ofwel externe ontwikkelingen die de strategie van het pensioenfonds bedreigen of beïnvloeden.
2. De risicogebieden uit de risicotaxonomie van het pensioenfonds.
3. De projectmatige risico’s van verandertrajecten.
4. De risico’s die zijn verbonden aan beleids- of uitvoeringsvoorstellen voor het bestuur.

Het bestuur is als opdrachtgever aan de lijnorganisatie eindverantwoordelijk voor het beleid en de uitvoering van de bedrijfsprocessen van Pensioenfonds Vervoer. De bestuursleden treden gezamenlijk beleidsbepalend en controlerend op. Dit betekent dat het bestuur eindverantwoordelijk is voor de risicobeheersing tot op het niveau van de operationele uitvoering. Het bestuur vervult hierbij ook een monitorende rol op de risicobeheersing.

Bij het pensioenfonds zijn de meeste operationele processen uitbesteed. De eerste lijn van het bestuursbureau is verantwoordelijk voor het risicomanagement van de uitbestede (operationele) processen. Periodiek wordt gecontroleerd of de wijze waarop de uitbestedingspartij de uitbestede werkzaamheden uitvoert nog overeenkomt met de gemaakte afspraken, zoals vastgelegd in de uitbestedingsovereenkomst en in meer detail in de SLA. De monitoring en controle van de uitbestede werkzaamheden is onderdeel van de interne controlecyclus van het pensioenfonds. Het beleid inkoop-en uitbesteding van het pensioenfonds gaat verder in op taken en verantwoordelijkheden rond uitbesteding. Daarnaast is de eerste lijn van het bestuursbureau verantwoordelijk voor het risicomanagement van de eigen activiteiten op het bestuursbureau.

De afdeling risicomanagement van het bestuursbureau heeft een onafhankelijke tweedelijnsrol. De Chief Risk Officer van het bestuursbureau is ook houder van de risicobeheersleutelfunctie en heeft een onafhankelijke escalatielijn naar de voorzitters van het bestuur en de voorzitter van de RvT.

Kapitaalmanagement

De financiële risicohouding volgens het wettelijk kader (het FTK) is vastgesteld in afstemming met de sociale partners. De risicohouding zoals hier bedoeld is de mate waarin een fonds, na overleg met sociale partners en na overleg met de organen van het fonds, bereid is beleggingsrisico’s te lopen om de doelstellingen van het fonds te realiseren en de mate waarin het fonds (beleggings-)risico’s kan lopen, gegeven de kenmerken van het fonds. De risicohouding vormt de basis voor het vaststellen van het strategisch (beleggings-)beleid. De financiële risicobereidheid van het pensioenfonds onder het Ftk laat zich in dit kader kortweg formuleren als: het voorkomen van korten is belangrijker dan het niet (volledig) kunnen indexeren.

In hoofdstuk 15 Financiële ontwikkelingen wordt de zogenoemde korte en lange termijn risicohouding kwantitatief toegelicht. De korte termijn risicohouding komt tot uiting in het zogenoemde Vereist Eigen Vermogen, dat wordt bepaald op basis van het risicomodel van DNB. Dit model bevat de belangrijkste financiële risico’s van het pensioenfonds en wordt, evenals de betreffende risico’s zelf, toegelicht in de jaarrekening hierna. De lange termijn risicohouding betreft de zogenoemde haalbaarheidstoets.

De twee grootste financiële risico’s voor de dekkingsgraad van het pensioenfonds zijn het niet afgedekte deel van het renterisico van de pensioenverplichtingen en het risico van zakelijke waarden zoals aandelen.
De volgende financiële schokmatrix geeft inzicht in de gevoeligheid van de dekkingsgraad voor renteveranderingen en waardeveranderingen van zakelijke waarden.
Het renterisico staat op de verticale as, en wordt weergegeven in basispunten renteverandering. Een basispunt is een meeteenheid die gelijk is aan 1/100ste van 1 procent. Het zakelijke waarden-risico staat op de horizontale as, weergeven in procentuele waardeverandering.

De risico’s in de externe financiële verslaggeving en de financiële risico’s van het fonds worden in detail beschreven in de jaarrekening. In het zogenoemde Limietenkader legt het fonds onder andere de grenzen voor de risico’s op balansniveau vast. Het bestuur monitort de financiële risico’s onder andere via het maandelijkse dashboard financiële risico’s. De bespreking van rapportages vindt sinds najaar 2025 niet meer maandelijks maar per kwartaal plaats. Daarbij worden dan meerdere maanden gezamenlijk besproken met extra aandacht voor wat opvalt. Bij relevante ontwikkelingen die eerder aandacht verdienen wordt het bestuur pro-actief door het bestuursbureau geïnformeerd.

ESG (environment, social en governance)-risico’s houden verband met milieu en klimaat, mensenrechten en sociale verhoudingen. Pensioenfonds Vervoer heeft als langetermijnbelegger te maken met de consequenties van ecologische, economische of maatschappelijke ontwikkelingen op de toekomstige waarde van de beleggingen. Het ESG-risico gaat daarnaast over reputatierisico. Dit hangt ook samen met de diverse (EU-)wet- en regelgeving waaraan Pensioenfonds Vervoer moet voldoen en codes waaraan het fonds zich vrijwillig committeert. Het pensioenfonds heeft een breed scala aan beheersmaatregelen (MVB-beleid voor onder meer engagement, sanctiescreening van beleggingen, stembeleid en uitsluitingen en diverse rapportages hierover) om het ESG-risico te mitigeren.
In het Maatschappelijk Verantwoord Beleggen (MVB) beleid is ook het Klimaatrisicobeleid en ESG-beleid opgenomen. Ook is vastgelegd hoe het pensioenfonds invulling heeft gegeven aan de Good Practice ESG-risicobeheer van DNB.

Reputatiemanagement

Voor het pensioenfonds is het reputatierisico één van de belangrijkste risico’s. Het beheersen van reputatierisico’s vormt dan ook een onderdeel van de totale risicohouding. Reputatiemanagement omvat naast het imago van het pensioenfonds de onderwerpen integriteit (incl. frauderisico) en privacy. Het zo goed mogelijk waarborgen van integriteit en het voldoen aan privacywet- en regelgeving, vormen  pijlers om mogelijke reputatierisico’s voor het pensioenfonds te beheersen.

De monitoring van reputatierisico’s via de incidentenprocedure, de rapportage van de tweedelijns externe compliance officer, de rapportage van de afdeling risicomanagement of anderszins bracht geen significante risico’s aan het licht.

Integriteit en frauderisico

Het pensioenfonds beschikt over een interne gedragscode. Het bestuur heeft daarin de gewenste cultuur vastgelegd. Alle verbonden personen dienen deze gedragscode te ondertekenen. Daarmee verklaren zij dat ze integer handelen.

De gedragscode bevat onder meer regels over het omgaan met vertrouwelijke gegevens, het omgaan met relatiegeschenken en nevenfuncties en het omgaan met financiële belangen in zakelijke relaties van het fonds. Verbonden personen vermijden elke vorm en elke schijn van persoonlijke bevoordeling of belangenverstrengeling met een partij waarmee het fonds een band heeft, op welke manier dan ook.

De compliance officer van het fonds toetst jaarlijks de naleving van de gedragscode aan de hand van een door alle verbonden personen in te vullen vragenlijst (nalevingsverklaring). Het bestuur bespreekt de rapportage over de naleving van de gedragscode. In de gedragscode zijn mogelijke sancties opgenomen voor de niet-naleving. De statuten bevatten daarnaast adequate maatregelen die het bestuur kan treffen wanneer mogelijk sprake is van (schijn van) belangenverstrengeling.

Het bestuur van het pensioenfonds voert iedere twee jaar een systematische integriteitsrisicoanalyse (SIRA) uit om te bepalen of er (nieuwe)integriteitsrisico’s zijn die een mogelijke bedreiging vormen voor het pensioenfonds. Naast integriteitsrisico’s zoals cultuur & gedrag, corruptie(omkoping) en witwassen, maken fiscale fraude, interne fraude en externe fraude expliciet onderdeel uit van de SIRA. Daarnaast kan fraude zich voordoen als gevolg van andere risico’s in de risicotaxonomie, zoals: cybercrime en privacyrisico.
Dit komt tot uitdrukking door bijvoorbeeld: identiteitsfraude, CEO-fraude, Whatsapp-fraude en phishing. De uitkomst van de SIRA 2024 is dat het pensioenfonds een breed scala aan maatregelen heeft getroffen om het integriteitsrisico te beheersen. In de SIRA 2024 is het netto risico voor externe fraude hoger ingeschat dan voorheen vanwege de ontwikkeling van kunstmatige intelligentie. Er bestaan diverse beheersmaatregelen om dit risico in de toekomst te beperken. Geen van de netto risico’s uit de SIRA 2024 is als ‘zeer hoog’ beoordeeld. 

Fraude kan een gevaar vormen voor de integere en beheerste bedrijfsvoering. Daarom heeft het pensioenfonds beheersmaatregelen getroffen om de kans op en de impact van fraude te beperken. Voor de beheersing van integriteitrisico’s in brede zin maakt het pensioenfonds onderscheid tussen ‘zachte’ maatregelen zoals aandacht voor gedrag, cultuur en het bevorderen van gewenst gedrag en ‘harde’ maatregelen en normen (zoals vastgelegd in beleid, procedures en codes). Uitgangspunt is het vertonen van gewenst gedrag door het pensioenfonds en alle personen die hieraan verbonden zijn, inclusief de uitvoerders.

In het Bestuursbureau Control Framework van het pensioenfonds zijn sleutelbeheersmaatregelen voor de beheersing van frauderisico’s opgenomen. De externe vertrouwenspersoon voor integriteit van het pensioenfonds draagt zorg voor de opvolging van eventuele meldingen door klokkenluiders. De incidentenprocedure van het fonds zorgt voor de opvolging van fraudesignalen. In 2025 zijn geen vermoedens van fraude geconstateerd.

Privacyrisico

Voor de beheersing van het privacyrisico heeft het fonds een tweedelijns externe functionaris gegevensbescherming (FG) aangesteld. In 2025 heeft een voortdurende toetsing plaatsgevonden om privacyrisico’s te identificeren, te voorkomen en waar mogelijk te mitigeren. De FG rapporteert zijn bevindingen eens per halfjaar aan het bestuur.

De opinie van de FG over 2025 luidt als volgt:

“De verplichtingen rondom zorgvuldige omgang met gegevens, privacy en voldoen aan wet- en regelgeving op dat gebied zijn in 2025 adequaat ingevuld. Het fonds besteedt doorlopend aandacht aan deze onderwerpen. De eerste en tweede lijn houden elkaar daarin scherp, weten elkaar te vinden wanneer nodig en begrijpen elkaars functies en belangen.

Wet- en regelgeving op privacygebied blokkeert het gebruik van innovaties niet, maar dwingt het fonds wel om voortdurend scherp en kritisch te blijven. Binnen het fonds is men zich bewust van deze noodzaak en is daar doorlopende aandacht voor. De komst van kunstmatige intelligentie is daar het afgelopen jaar een tekenend voorbeeld van geweest.

Naast nieuwe technieken zijn bestaande en al eerder ingerichte processen en procedures in 2025 ook gevolgd om periodiek met elkaar af te stemmen wat de stand van zaken van het fonds was op het gebied van privacycompliance. Deze combinatie van het borgen van bestaande en gemaakte afspraken en het steeds weer zoeken naar nieuwe mogelijkheden en toepassingen binnen de kaders van het toelaatbare hebben in 2025 wederom gezorgd voor een volwassen organisatie waarin veel waarde wordt gehecht aan het herkennen en adequaat beheersen van risico’s.”

Product & regeling

De uitvoering van de pensioenregelingen en het vermogensbeheer bij de uitvoerders vereist goed ingerichte processen met behulp van passende IT-voorzieningen. Als de uitvoering van de pensioenregeling niet adequaat is, verhoogt dit het risico dat deelnemers en werkgevers ontevreden zijn, bijvoorbeeld vanwege fouten in de uitkeringen of een gebrek aan klantgerichtheid. Het vermogen van Pensioenfonds Vervoer is ontstaan uit ingelegde premies, gedane uitkeringen, gemaakte kosten en gerealiseerd beleggingsrendement. Dit vermogen moet goed beheerd worden.

Het pensioenfonds heeft diverse beheersingsmaatregelen ingesteld om de kwaliteit van de pensioen- en vermogensbeheeruitvoering te monitoren en zo mogelijk bij te sturen:

• Reguliere eerstelijns monitoring van het bestuursbureau van de pensioen- en vermogensbeheeruitvoering en de rapportages van de pensioenuitvoeringsorganisatie en integraal manager vermogensbeheer;
• Incidentenbeleid dat wordt uitgevoerd op het bestuursbureau;
• Beoordeling van de risico- en assurancerapportages van uitbestedingspartijen en monitoring van opvolging van bevindingen;
• Beoordeling van de strategische risico’s van de uitbestedingspartijen (zoals continuïteit, kwaliteit en verandervermogen);
• Overleg met het tweedelijns risicomanagement van de pensioenuitvoeringsorganisatie en integraal manager vermogensbeheer;
• Tweedelijns risicomanagement rapportage integraal risicomanagement per vier maanden voor het bestuur.

In 2025 hebben zich geen ernstig impact incidenten voorgedaan bij Pensioenfonds Vervoer of in de dienstverlening van uitbestedingspartijen aan het pensioenfonds.

Strategische verandertrajecten

Strategische verandertrajecten zijn de eigen activiteiten, die zijn gericht op majeure veranderingen om de strategie van Pensioenfonds Vervoer te realiseren. Kenmerkend is dat deze een verhoogd risico qua impact en complexiteit vormen. Daarom vereisen de strategische veranderingen een projectgovernance en eventueel specifieke expertise. Het bestuur is nauw betrokken bij strategische verandertrajecten.

Het nieuwe pensioenstelsel vormt momenteel de grootste bron van dit risico. Het pensioenfonds heeft hiervoor een projectgroep ingesteld. Met behulp van een externe projectbegeleider voert deze projectgroep een gefaseerd projectplan uit, monitort de ontwikkelingen en rapporteert hierover aan het bestuur.