Risicomanagement
Visie op risicomanagement
Ondernemerschap en risicobeheersing zijn onlosmakelijk met elkaar verbonden. In het jaarverslag van de verzekeraar is risicomanagement dan ook beschreven als een integraal onderdeel van het gevoerde kapitaalbeleid. Daarnaast benadert Bovemij risicomanagement als een waarde creërende activiteit. Dit is een onderdeel van de digitaliserings- en automatisering strategie, die Bovemij binnen Bovemij Groep heeft ingezet.
Belangrijke elementen van ons risicomanagement zijn de risicomanagement governance, ons risicoprofiel en risicobereidheid, het risicomanagementproces, de voornaamste strategische risico’s, het Bovemij Control Framework, risicorapportage, en onze risico gebaseerde dividend uitkering. Deze zijn in dit hoofdstuk nader beschreven, en zijn bedoeld om de risico’s waarmee Bovemij wordt geconfronteerd, zoveel mogelijk te vermijden of beperken.
Voor de toepassing van risicomanagement binnen de realisatie van de strategie en de besturing van de organisatie, richt Bovemij het risicomanagement in op basis van ISO 31000, COBIT for Risk Management en aangevuld met COSO ERM.
Risicomanagement governance
Bovemij hanteert het zogenoemde “Three Lines of Defence” model (3LoD). Het 3LoD-model beoogt een efficiënte beheersing van risico’s door duidelijkheid te geven over de verschillende verantwoordelijkheden ten aanzien van risicomanagement binnen de organisatie. Door een zo optimale inrichting van de 3LoD streeft Bovemij ernaar de risico’s zo goed mogelijk te beheersen. Dit hebben we als volgt gedaan:
De Raad van Bestuur is binnen Bovemij eindverantwoordelijk voor alle risicomanagement activiteiten in de realisatie van de doelstellingen en strategie. De Raad van Bestuur stelt de risicobereidheid van de groep vast, zorgt dat een risicomanagementraamwerk voor de beheersing van risico’s aanwezig is en bewaakt de effectiviteit ervan. De organisatie onder leiding van de Directieraad is als eerste lijn primair verantwoordelijk voor de besturing en uitvoering van risicomanagement binnen de betreffende bedrijfsentiteiten.
Cruciaal is dat het 3LoD-model het eigenaarschap van het risico van de risico-eigenaar versterkt en dat de tweede en derde lijn onafhankelijk en objectief zijn gepositioneerd. Daarom is de filosofie van Bovemij:
het management in de eerste lijn is primair verantwoordelijk voor de aantoonbare effectieve uitvoering van beleid en beheersingsmaatregelen. Verschillende eerste lijn risk & compliance functionarissen ondersteunen het managen van specifieke risicogebieden.
de specifieke tweede lijn functies binnen de afdelingen Risicomanagement en Compliance, bestaande uit deskundigen op het gebied van verschillende risico categorieën, ondersteunen de Raad van Bestuur en de Directieraad in het nemen van hun verantwoordelijkheden. Dit doen zij onder andere door het regelmatig uitvoeren van risicoanalyses, het ontwikkelen van methodieken en onafhankelijke toetsing van de effectiviteit van beheersingsmaatregelen;
de afdeling Interne Audit in de derde lijn toetst de opzet, bestaan en werking van de governance en het risicomanagementsysteem. De interne audit functie beoordeelt de kwaliteit van het risicomanagement en de controles binnen het Bovemij Control Framework door middel van een risico gebaseerd auditplan, zoals deze is goedgekeurd door het Audit & Risico Comité van Bovemij.
Risicoprofiel en risicobereidheid
Over 2022 heeft Bovemij haar risicoprofiel opgesteld voor de groep. Het risicoprofiel van Bovemij bestaat uit een viertal risicogebieden en onderliggende risico categorieën. Hoewel alle risico’s impact kunnen hebben op het behalen van de doelstellingen, zijn niet alle risico’s even groot.
De risicobereidheid van Bovemij in algemene zin is gematigd. Dit houdt in dat Bovemij voorzichtig omgaat met risico’s en uitsluitend risico’s met de risico-indicatie laag tot matig geaccepteerd kunnen worden door de eerste lijn. Alleen in overleg met het Audit & Risico Comité kan worden besloten risico’s met een hogere dan matig risico-indicatie te accepteren. Bovemij heeft deze risicobereidheid en -houding gebaseerd op de volgende uitgangspunten:
Bovemij voldoet in de basis altijd aan wet- en regelgeving en aan maatschappelijk verantwoord ondernemen;
Bovemij staat in voor toekomstbestendige en integere besturing, beleid en besluitvorming; en
Bovemij staat in voor een verantwoord rendement uit haar producten en –diensten.
De relatie tussen de strategische gebieden en de risico’s is als volgt weergegeven:
Strategisch risico
Het strategisch risico betreft het risico dat organisatiedoelstellingen niet worden gerealiseerd en/of dat de organisatie niet afdoende reageert op veranderingen in/buiten het bedrijfsklimaat of veranderingen die verband houden met bijvoorbeeld sociaal-maatschappelijk, politiek, maatschappelijk verantwoord ondernemen, fusies, overnames, klimaat- en technologische ontwikkelingen. Dit zijn risico’s die uitsluitend verlies met zich meebrengen of tot een neutraal (bedrijfs-)resultaat leiden.
De risico bereidheid voor strategische risico’s is gelimiteerd. Bovemij is flexibel in het aangaan van strategische risico’s, maar deze risico’s worden alleen gerechtvaardigd genomen als hiervoor expliciete goedkeuring voor is gegeven door de RvB en RvC. Er zal enkel goedkeuring worden gegeven indien er een gedegen plan van aanpak is en een beschrijving van de benodigde (beheers)maatregelen.
Operationeel risico
Het operationeel risico omvat gebeurtenissen die zich voordoen als gevolg van onder andere falende of deels functioneren van interne processen of systemen, menselijke fouten, crimineel handelen of externe gebeurtenissen en risico’s die verband houden met zaken zoals het voorkomen van fraude en criminaliteit, personeel IT/infrastructuur, bedrijfsbescherming, projecten en programma’s, bedrijfsprocessen, derden (uitbestedingsrisico’s) en distributie.
De risicobereidheid voor operationele risico’s is gematigd. Bovemij gaat voorzichtig om met operationele risico’s en wenst haar doelstellingen hieromtrent veilig te realiseren.
Financieel risico
Het financieel risico verwijst naar het vermogen van Bovemij om activa en passiva adequaat te beheren en voldoende inkomsten te genereren om de bedrijfskosten te dekken. Dit risico wordt veelal beïnvloed door verliezen of ongunstige veranderingen in de financiële status van de organisatie (intern) of als gevolg van veranderingen in de financiële markten (extern).
De risico bereidheid voor financiële risico’s is gematigd. Daarom gaat Bovemij voorzichtig om met deze risico’s en zal ze ervoor kiezen om haar doelstellingen op een veilige manier te realiseren.
Integriteitsrisico
Het integriteit risico ontstaat door het niet-tijdig onderkennen van relevante (veranderende) wet- en regelgeving, dan wel het mogelijk niet voldoen aan de relevante wet- en regelgeving. Daarnaast betreft dit het niet naleven van het intern beleid en regels en de consequenties ervan.
De risico bereidheid voor integriteit risico’s is laag. Bovemij is avers als het op integriteit risico’s aankomt en het is daarom een kerndoelstelling om deze risico’s te vermijden.
Risicomanagementproces
Om een zo volledig mogelijk beeld te hebben van de risico’s van Bovemij, vinden systematische en gestructureerde risicoanalyses plaats volgens het standaard risicomanagementproces. Als groep hanteren we in de basis hetzelfde risicomanagementproces. Dit standaard proces is in beginsel gebaseerd op de best practices uit COBIT, COSO ERM en ISO. Hierbij hanteert Bovemij een top-down en een bottom-up benadering, waarbij het risicomanagementproces van een technologiebedrijf of de verzekeraar kan verschillen in het aantal stappen en de snelheid van uitvoer. De essentie is dat de activiteiten in het risicomanagementproces leiden tot het managen van (en enige vorm van controle hebben in de omgang met) risico's. Ook kunnen de methodieken verschillen (bijvoorbeeld kwantitatief, kwalitatief of strategische versus operationeel) die worden gebruikt in het risicomanagementproces, afhankelijk van de context en het te bereiken doel.
Voornaamste strategische risico's
Voor Bovemij is het van belang om de strategie en lange termijn organisatiedoelstellingen te realiseren en daarmee te voldoen aan de toenemende verwachtingen van klanten en eisen vanuit toezichthouders. De realisatie hiervan gaat echter gepaard met risico’s die zich kunnen ontwikkelen binnen de interne en externe context van Bovemij. In 2022 zijn in samenwerking met de Raad van Bestuur de strategische risico’s geïdentificeerd en uitgebreid doorgesproken.
Risico | Omschrijving | Managementreactie |
|---|---|---|
Verdienmodel Veranderingen in de mobiliteitsmarkt kunnen een negatief effect hebben op het verdienmodel van Bovemij. | Onze zakelijke klanten (waaronder garagebedrijven en leasemaatschappijen) ervaren een sterk veranderende mobiliteitsmarkt, hogere consumentverwachtingen, minder onderscheidend vermogen en een dalend aantal aanbieders. Deze ontwikkelingen verlangen aanpassingen aan het businessmodel van Bovemij. Daarbij krijgt zowel Bovemij als haar zakelijke klanten steeds meer binnen de mobiliteitsketen te maken met online concurrentie uit binnen- en buitenland. De reactie van Bovemij op deze ontwikkelingen brengt steeds meer inspanning en kosten met zich mee, waardoor de juiste investeringskeuzes essentieel zijn. |
|
Mensen Bovemij is afhankelijk van haar personeel voor leiderschap en specialistische vaardigheden en is mogelijk niet in staat dergelijk personeel te behouden en aan te trekken. | Indien Bovemij er te weinig in zou slagen om gekwalificeerd personeel met de juiste expertise aan te trekken, op sleutelposities te behouden of te motiveren of de benodigde aanpassingen te doen in onze bedrijfscultuur en bepaalde gedragingen is het mogelijk dat wij niet effectief leren en groeien en onze executiekracht verliezen om onze strategische doelstellingen te behalen. En als Bovemij de gestegen loonkosten niet weet te compenseren met hogere inkomstenstromen dan heeft dit ook een wezenlijk effect op het niveau van onze dienstverlening en de bedrijfsresultaten. |
|
Operational excellence Bovemij kan te maken hebben met uitdagingen op het gebied van operational excellence en snelheid om de strategie te kunnen realiseren. | Het succes van de executie van de nieuwe strategie van Bovemij is afhankelijk van het samenspel tussen de basisprocessen in de bestaande organisatie en de programma’s die moeten zorgen dat de strategie voor onze klanten wordt geïmplementeerd. Als Bovemij er als gevolg van onder andere capaciteitstekort (bezettingsgraad en kennis) in mindere mate slaagt haar strategie te realiseren en te commercialiseren, kan zij haar marktaandeel en concurrentiepositie verliezen. Dit kan een negatief effect hebben op haar financiële positie en bedrijfsresultaten. |
|
Transformatie Bovemij is blootgesteld aan risico’s als gevolg van de bedrijfstransformatie terwijl de bestaande organisatie gecontinueerd moet blijven. | Bovemij wordt geconfronteerd met veranderingen en transformatieprocessen in verschillende tempo's, veranderende prioriteiten, en nieuwe technologieën terwijl de winkel open moet blijven. Dit kan leiden tot een vermindering van onze huidige betrouwbaarheid, verstoring van onze lopende activiteiten inclusief verlies van managementfocus op bestaande activiteiten. Dit legt een aanzienlijke druk op ons management, personeel en financiële prestaties en controle over het geheel. Als Bovemij er te weinig in slaagt op de juiste wijze en snel genoeg te transformeren, kan zij haar marktaandeel en concurrentiepositie verliezen. |
|
Security Bovemij kan worden blootgesteld aan een aanzienlijke security breach. | De nieuwste dataprivacy en security-uitdagingen stellen steeds hogere eisen aan onze ICT-infrastructuur en bedrijfsprocessen. Als deze aanpassing te langzaam gaat, kan dit het vertrouwen van onze stakeholders en klanten schaden en ons blootstellen aan aansprakelijkheidsrisico's. Software bugs of defecten, beveiligingsinbreuken en aanvallen op onze systemen kunnen resulteren in ongeoorloofde openbaarmaking en ongeoorloofd gebruik van onze dan wel persoons-/klantgegevens. Eveneens kan dit leiden tot verstoringen in het gebruik van ons platform, waardoor klanten onze diensten en producten niet meer kunnen afnemen. Net als andere bedrijven heeft Bovemij tegenwoordig voortdurend te maken met de operationele dreiging van cybercriminaliteit en heeft tot nu toe aanzienlijke schade of hoge kosten kunnen voorkomen door maatregelen te nemen. |
|
Strategische allianties De veranderingen binnen Bovemij leiden tot uitbesteding waardoor voor Bovemij een risico ontstaat van afhankelijkheid van derden met betrekking tot de levering van diensten. | Het aangaan van samenwerkingsverbanden (opzetten proposities, intern centralisatie, strategische allianties en joint ventures met externe partijen) vereist nieuwe vaardigheden om dit succesvol te laten verlopen, en dit efficiënt te laten integreren met de bedrijfsactiviteiten binnen Bovemij. Hoe minder bedreven Bovemij hierin is, hoe hoger de investeringen en herstructureringskosten. In een uiterste geval kan het in de samenwerking leiden tot juridische kwesties met de samenwerkingspartners wat Bovemij te allen tijde wil voorkomen. Hoewel Bovemij haar beheersingsmaatregelen met betrekking tot inkoop-, contract- en leveranciersmanagement versterkt, kunnen deze maatregelen vooralsnog onvoldoende of niet succesvol blijken. |
|
Rente en inflatie Geopolitieke-, inflatie en rente ontwikkelingen kunnen een negatief effect hebben op de bedrijfsactiviteiten, producten en diensten van Bovemij. | De grondstoffenmarkt is gevoelig voor geopolitieke ontwikkelingen die leiden tot prijsstijgingen. Dit heeft een drukkend effect op de economie. Gezien de stijgende rente en inflatie met onzekere doorwerkingseffecten voor Bovemij en haar klanten, bestaat het risico dat de huidige investeringen de realisatie van de strategie aanhoudend vertraagd. Deze ontwikkeling vereist ook een voldoende (tijdige) doorberekening van de inflatie in onze prijsstelling om het rendement van Bovemij veilig te stellen. Bovendien worden onze zakelijke klanten ook geconfronteerd met gestegen inflatie, waardoor zij meer uitdagingen ondervinden op gebied van rendement en liquiditeit. Zonder maateregelen zouden de genoemde ontwikkelingen ook een negatief effect op het kostenresultaat hebben. Het beleggingsresultaat van de verzekeraar binnen Bovemij toont in 2022 al de negatieve effecten. Het is de verwachting dat in 2023 de effecten op het kostenresultaat zichtbaar zullen worden als gevolg van de indexatie van contracten. |
|
Wet- en regelgeving Bovemij loopt het risico dat haar producten en diensten niet voldoen aan diversie wet- en regelgeving. | Verschillende bedrijfsentiteiten binnen Bovemij opereren in een sterk gereguleerde omgeving waardoor producten, diensten, processen, systemen en data zijn onderworpen aan regelgeving van diverse overheids- en toezichthoudende instanties (RDW, AFM, Belastingdienst en DNB). Bovemij constateert een toename van vereisten in nieuwe en komende wetgeving die betrekking heeft op markttoegang, consumentenbescherming en verantwoorde omgang met data. Bovemij wil hier te allen tijde aan voldoen, omdat we ook de toegevoegde waarde hiervan zien. Maar mogelijk niet-naleving van voorwaarden kan ons blootstellen aan rechtszaken, administratieve sancties, boetes en of civielrechtelijke maatregelen. De aandacht die ook hieraan moet worden besteed, gaat ten koste van andere activiteiten in onze primaire dienstverlening aan onze klanten. |
|
Bovemij Control Framework
Het Bovemij Control Framework (‘BCP’) stelt de norm voor de interne beheersing binnen de processen die effect hebben op de financiële verslaggeving van Bovemij. Het BCF is gebaseerd op COSO Internal Control Framework (2012). Het doel van het BCF is het handhaven van een geïntegreerde beheersingsaanpak voor de activiteiten van de organisatie om zodoende de kwaliteit van diensten & producten, integriteit van de financiële verslaggeving en de naleving van wet- en regelgeving te waarborgen.
Als onderdeel van het BCF zijn standaard controles uitgevoerd over de verschillende bedrijfsprocessen en zijn in 2022 een nieuwe set aan beheersingsmaatregelen opgenomen in het BCF. Hiermee beoogt Bovemij zekerheid te verschaffen dat activa zijn veilig gesteld, dat de financiële administratie een getrouw en juist beeld geeft van de transacties die nodig zijn voor het opstellen van het jaarverslag, dat beleid en procedures door geschikt en betrouwbaar personeel wordt uitgevoerd, en dat de gepubliceerde jaarrekening naar behoren is opgesteld en geen onjuistheden van materieel belang bevat. Binnen Bovemij is elke afdelingsmanager en directeur verantwoordelijk voor het aanpassen van de beheersingsmaartegelen aan hun beleid, operationele activiteiten en systemen.
Risicorapportage en communicatie
In alle stadia en activiteiten binnen het risicomanagementsysteem vindt communicatie en overleg plaats met interne en externe belanghebbenden. Bovemij heeft een aantal overleggremia en rapportagelijnen ingesteld waarin men gericht aandacht besteedt aan de beheersing van verschillende risico categorieën (inclusief oorzaken en gevolgen daarvan) en eventuele aanvullende maatregelen om te treffen.
Voor het bespreken van verschillende risico’s en bijbehorende maatregelen zijn de volgende comités ingesteld:
Operationeel Risico & Compliance Comité (ORC)
Groep Risico & Compliance Comité (GRC)
Audit & Risico Comité (ARC)
Quarterly Business Review (QBR)
Ieder kwartaal rapporteren de tweede lijn risicomanagement en compliance over risicobeheersing door de verschillende bedrijfsentiteiten binnen de groep en mate van effectiviteit van haar beheersingsmaatregelen. De directieleden bespreken de groepsrapportage binnen hun ORC, gedelegeerden vanuit de Raad van Bestuur bespreken de groepsrapportage in het GRC en de rapportage wordt door de Raad van Bestuur vastgesteld nadat deze is besproken binnen de ARC. Binnen de governance leggen de directieleden (binnen de directieraad) verantwoording af over de integere en beheerste bedrijfsvoering met de leden van de Raad van Bestuur binnen de QBR-gesprekken.
Risico gebaseerde dividend uitkering
Bovemij wil haar financiële verplichtingen op korte en lange termijn nakomen. Een gezonde kapitaalpositie is hiervoor een randvoorwaarde. Kapitaalmanagement is bij Bovemij gebaseerd op het wettelijke kader, economische grondslagen en uitgangspunten vanuit de aandeelhouders bezien.
Bij het beheer van het kapitaal hanteert Bovemij een dividend pay-out ratio van 30% (van het resultaat na belasting). De uitkering van het dividend is eveneens afhankelijk van de solvabiliteitspositie van SVM. De uitkering van dividend is niet mogelijk indien de solvabiliteitsratio van SVM beneden het intern vastgestelde vereiste niveau van 150% ligt. Boven de zogenoemde bovengrens van 175% is uitkering van dividend mogelijk. Tussen het intern vastgestelde streefniveau van 170% en het intern vastgestelde vereiste niveau van 150% kan er alleen dividend worden uitgekeerd indien dit verantwoord wordt geacht door de statutaire directie van SVM.