6 Risico's 2021

Het risicomanagementproces is een manier om risico’s op een gestructureerde wijze in kaart te brengen, te beoordelen en te beheersen.

Binnen het risicomanagementproces gaat het om identificatie en beoordeling van risico’s die de realisatie van de doelstellingen bedreigen. Het gaat om identificeren, classificeren, kwantificeren en beheersen van de risico’s. Prioritering van de risico’s gebeurt op basis van de omvang van de risico’s en is in lijn met de risicobereidheid. 
Aan de hand van een kans- en impactmatrix wordt aan de voorkant een inschatting gemaakt van de hoogte van de risico’s. Door het koppelen van de schadestatistiek kan achteraf bepaald worden hoe vaak een ingeschat risico zich heeft voorgedaan en wat de impact ervan is geweest. De beheersmaatregelen en het risicomanagementproces worden periodiek gemonitord. 

Woonforte heeft haar raamwerk voor risicomanagement gebaseerd op het COSO-model. Het COSO-model gaat over strategie, effectiviteit en efficiëntie van de bedrijfsprocessen en de naleving van wet- en regelgeving. Daarbij zijn de volgende invalshoeken relevant:

• governance en cultuur;
• strategie en doelstellingen;
• prestatie;
• review en herziening.

Woonforte wil ‘in control’ zijn. Dit betekent dat Woonforte:

• haar doelstellingen uit de MVS realiseert tegen acceptabele risico’s;
• vaststelt dat de juiste dingen op de juiste manier gedaan worden (o.a. juistheid en betrouwbaarheid van gegevens, naleven procedures);
• de organisatie monitort en zichzelf continu wil ontwikkelen en verbeteren (o.a. uitvoeren audits, risicoanalyses, rapportages, opstellen procesbeschrijvingen, verbetervoorstellen);
• voldoet aan wet- en regelgeving.

Het bepalen van de risicobereidheid maakt deel uit van de strategie. Risicobereidheid is de ruimte die we onszelf als bedrijf geven om te ondernemen. 

In het beleid risicomanagement is de generieke risicobereidheid van Woonforte beschreven met de focus op het bereiken van de strategische en maatschappelijke doelen en de organisatiecultuur. Woonforte wil een professionele, integere, wendbare en toekomstbestendige organisatie zijn waarbij de mens (medewerker en huurder) centraal staat. Woonforte is een maatschappelijke organisatie. Gelet op haar maatschappelijke en sociale taak geeft Woonforte er de voorkeur aan om weinig risico’s te lopen. 

Daarom is de generieke risicobereidheid van Woonforte risicoavers (we vermijden risico’s zoveel mogelijk), risicodefensief (we geven er de voorkeur aan weinig risico’s te lopen) of risiconeutraal (we wegen risico’s en kansen tegen elkaar af, en nemen dan een besluit).
Naast de generieke risicobereidheid hebben we een specifieke tolerantiegrens gesteld per prestatie-indicator. Prestatie-indicatoren worden jaarlijks (opnieuw) bepaald bij het opstellen van de begroting. Afwijkingen in de realisatie ten opzichte van de tolerantiegrenzen worden tussentijds geanalyseerd in de BSC en waar nodig wordt er bijgestuurd. 

Prioritering van de risico’s gaat op basis van de omvang van de risico’s en is in lijn met de risicobereidheid. We werken met (financiële normen) en toetspunten.

Risicomanagement maakt deel uit van het interne beheersingssysteem van Woonforte. Het is geen op zichzelf staand vakgebied, maar heeft raakvlakken met control en processen. Interne beheersing is gericht op het verkrijgen van een redelijke mate van zekerheid over het bereiken van doelstellingen.

Bij Woonforte zijn de risico’s sinds 2021 ingedeeld in drie categorieën:

1. Strategische risico’s die bij de kaderbrief en begroting (tweemaal per jaar) besproken worden (bespreken kerncijfers financiële sturing).
2. Strategische risico’s die per kwartaal besproken worden in het MT door het bespreken van de prestatie-indicatoren die niet aan de norm voldoen en de te treffen beheermaatregelen (bespreken sturingsdashboard).
3. Operationele risico’s die continu aandacht vragen.

Het management is verantwoordelijk voor de feitelijke inrichting van processen waarbij de risicoanalyse en risicobereidheid moet worden omgezet in het feitelijk beheersen van de risico’s.

Frauderisico’s en risico’s die het imago kunnen schaden beïnvloeden meestal de effectiviteit en efficiëntie van de operationele activiteiten en hebben daarmee meestal betrekking op processen, mensen en systemen. Frauderisico’s en risico’s die het imago kunnen schaden zijn daarom gecategoriseerd onder de operationele risico’s. 

In de MVS zijn volkshuisvestelijke doelstellingen opgenomen met een beoogde realisatie op de middellange termijn (tot 2030). Eind 2021 zijn de doelen in de MVS aangepast.  

De strategische risico’s vloeien voort uit de doelen in de MVS. Om die reden zijn na het aanpassen van de doelen ook de strategische risico’s opnieuw inhoudelijk besproken en vastgesteld. Daarbij zijn de risico’s gealloceerd aan risico-eigenaren. De strategische risico’s zijn uitgewerkt in een risicokaart. Dit is een infographic met de belangrijkste strategische doelen en de bijbehorende strategische risico’s van Woonforte, een toelichting per risico, welke beheersingsstrategie er gekozen is, welke beheers- en verbetermaatregelen er zijn en wie de risico-eigenaar is. Daarnaast bespreekt het MT per kwartaal bij de BSC de risico’s.

Er is een eerste stap gezet met het vergroten van het risicobewustzijn door de risicomanager te laten aansluiten bij werkoverleggen van afdelingen. Daarmee kan de risicomanager met de organisatie delen welke risico's geïdentificeerd en beoordeeld zijn en welke beheersmaatregelen zijn getroffen.
Het is essentieel dat iedereen risico’s herkent, bespreekt en deelt. Alleen dan is Woonforte in staat goed zicht te houden op (potentiële) risico’s om deze vervolgens te beoordelen en waar nodig maatregelen te treffen. 

Om het risicobewustzijn meer te vergroten, is op het nieuwe intranet een aparte pagina gemaakt over risicomanagement. 

In 2021 legden wij het accent op het verbeteren van de doelmatigheid en effectiviteit van onze dienstverlening en processen. We zorgen ervoor dat de basis op orde is. Verschillende maatregelen in het kader van de organisatieontwikkeling leveren hieraan een bijdrage. 

Daarnaast is Woonforte is bezig met het actualiseren en optimaliseren van de processen en het implementeren van een G(overnance) R(isicomanagement) C(ontrol)-platform. Doel is om na implementatie te allen tijde voor iedereen in de organisatie inzichtelijk te hebben hoe zaken samenhangen qua rollen van medewerkers in de processen, in de systemen en welke risico’s hiermee verbonden zijn. In het implementatietraject worden ook de rapportages en het bieden van handvaten voor het laten landen in de organisatie betrokken.

Per geüpdatet proces worden de belangrijkste risico’s uitgewerkt en vastgelegd in het GRC-platform. De risico-eigenaar is de proceseigenaar en dit is altijd een MT-lid. 

Over de belangrijkste risico’s rapporteren we in de kwartaalrapportages aan bestuur en de Raad van Commissarissen. Daarbij wordt inzicht gegeven in de genomen maatregelen. Als dat nodig is, wordt tussentijds gerapporteerd. In het jaarverslag legt het bestuur hierover verantwoording af. 

Realisatie nieuwbouwportefeuille
Vanwege de huidige beperking vanuit de provincie om buiten bepaalde grenzen te bouwen, bestaat het risico dat het nieuwbouwprogramma niet geheel, dan wel later in de tijd, gerealiseerd wordt. Met de gemeente en andere partijen wordt permanent gezocht naar nieuwe mogelijkheden. In 2021, maar ook in 2022 en verder, ligt de focus op het realiseren van de nieuwbouwproductie en het op gang brengen van de doorstroming.

Vanwege de omvang van de investeringsprojecten is vanaf 2020 de control van projecten anders georganiseerd. In 2021 is invulling gegeven aan een nieuwe functie Vastgoedcontroller. 

Beschikbaarheid en stijgende kosten van (bouw)materialen en arbeid
De bouwkosten stijgen steeds harder. Ook ontstaat een gebrek aan (bouw)materialen en arbeid. De hoge kosten van materiaal en arbeid hebben niet alleen impact op het aantal nieuwbouwwoningen dat we kunnen bouwen. Ook de betaalbaarheid van de huren en de realisatie van verduurzamingsdoelstellingen komen steeds meer onder druk te staan. Huurstijgingen als gevolg van de hoge kosten van materiaal en arbeid zijn niet of beperkt mogelijk (en willen we ook niet). Dat zorgt er echter wel voor dat de verdiencapaciteit verder onder druk komt te staan.

Imagoschade door onvoldoende woningen en stijgende gasprijzen bij ongeïsoleerde woningen
De druk op de woningmarkt is onverminderd hoog. Kabinet en gemeente kunnen deze druk verlichten, zodat woningcorporaties meer (betaalbare) woningen kunnen bouwen en meer kunnen investeren in verduurzaming. Het verlagen of wegvallen van de verhuurdersheffing geeft een forse verlichting.
Daarnaast zorgen de stijgende gasprijzen ervoor dat voor heel veel mensen de energierekening duurder wordt het komende jaar. Verduurzaming van het bezit hangt af van het beschikbare budget. We willen ons bezit verduurzamen, maar hebben ook andere maatschappelijke taken. We gaan na welke maatregelen we op kortere termijn kunnen treffen om deze ontwikkeling (gedeeltelijk) op te vangen. De woon- en energiecrisis dragen niet bij aan een positief imago van de corporatiesector. Dit zal ook zijn weerslag hebben op Woonforte.

Een slecht imago kan beperkingen geven bij de realisatie van doelstellingen. Ons uitgangspunt is dat we geen risico’s willen lopen die ons imago negatief kunnen beïnvloeden. De afdeling Communicatie houdt alle media in de gaten en maakt daarbij gebruik van monitoringtools. Indien nodig wordt meteen gereageerd. Dit geldt niet alleen voor goed nieuws, maar ook voor negatieve zaken waarmee we soms onvermijdelijk te maken hebben. 
In 2021 waren er geen gebeurtenissen met een negatief effect op ons imago. 

Uitbreken oorlog Oekraïne
Door de oorlog in de Oekraïne is een enorme vluchtelingenstroom ontstaan. De druk op de woningmarkt was al hoog en zal door de toestroom van vluchtelingen uit Oekraïne toenemen. De behoefte aan (betaalbare) woningen wordt hierdoor nog groter. 
Het is te vroeg om de precieze gevolgen van het uitbreken van de oorlog in Oekraïne voor andere doelstellingen en financiële middelen te bepalen, maar de verwachting is dat deze meer onder druk komen te staan.

Dit zijn risico’s en onzekerheden die de effectiviteit en efficiëntie van de operationele activiteiten beïnvloeden en daarmee vooral betrekking hebben op de processen, mensen en systemen en van invloed kunnen zijn op de kortetermijndoelstellingen. 

Frauderisico
Dit risico krijgt interne aandacht, maar ook van de Aw en de accountant. Er zijn allerlei maatregelen getroffen om het frauderisico te beheersen. Jaarlijks doet het management een frauderisicobeoordeling en worden maatregelen voor zover nodig aangepast. 
In 2021 waren er geen incidentmeldingen op het gebied van fraude over medewerkers van Woonforte. Ook waren er geen meldingen bij de anonieme meldlijn.

Informatiebeveiliging en -continuïteit
De Werkgroep Informatiebeveiliging en Privacy heeft in 2021 een risicoanalyse uitgevoerd ten aanzien van informatiebeveiliging. De belangrijkste risico’s die uit deze risicoanalyse naar voren komen zijn:

• menselijke fouten/handelingen;
• cybercriminaliteit (ransomware, virussen en cyberattacks);
• bedrijfsonderbreking;
• onvoldoende regelen/niet goed regelen van contractvorming;
• gedeelde verantwoordelijkheid in samenwerkingsverbanden.

Bij de bepaling van de belangrijkste risico’s is naast de risicoanalyse gebruik gemaakt van de uitgevoerde IT-audit door de accountant, de gehouden pentesten en vulnerabilityscans en de ransomware-inventarisatie van de verzekeringsmaatschappij. Ook onze technische ondersteuner geeft input ten aanzien van informatiebeveiliging. 

Doordat meer mensen vanuit huis werken, spelen andere beveiligingsaspecten een rol. Apparatuur waarmee we thuis werken, is voorzien van de laatste updates, een goede virusscanner en een beveiligd wifinetwerk. Sinds 2021 wordt MFA bij thuiswerksituaties toegepast.

In 2022 moeten beheersmaatregelen de belangrijkste risico’s uit de risicoanalyse informatiebeveiliging verder beperken. Dit zijn:

• verder toepassen van MFA (Multi Factor Authenticatie);
• aanpassen van local administrator-rechten;
• opstellen van een continuïteitsplan;
• vergroten bewustzijn van medewerkers voor risico's;
• inrichting Microsoft Compliance Center (vanuit project SharePoint). We laten dit auditen en borgen dat veranderingen hierin worden bijgehouden en op de juiste wijze worden vastgesteld. 

Dit zijn de risico’s en onzekerheden met betrekking tot de financiële positie van Woonforte, zoals continuïteits-, liquiditeits- en renterisico’s. 
Woonforte wil de financiële positie nu en in de toekomst in lijn brengen en houden met onze organisatiedoelen, en wel zodanig dat de financiële continuïteit wordt gewaarborgd tegen aanvaardbare risico’s en de beschikbare middelen doelmatig worden ingezet. 

Continuïteitsrisico
Woonforte past uitgangspunten gericht op een duurzaam bedrijfsmodel toe. De essentie daarvan is dat het kasstromen genererende vermogen van de vastgoedportefeuille op langere termijn op een bepaald minimaal niveau blijft. Woonforte is financieel gezond maar kan niet alles realiseren. Er zijn keuzes gemaakt met betrekking tot de prioritering van de realisatie van doelstellingen. 

(Her)financieringsrisico en onzekerheden in mogelijkheden om financiering aan te trekken
Gelet op de borgingsmogelijkheden bij het WSW heeft Woonforte geen financieringsrisico. Door de aflossingsverplichting op de interne lening binnen de niet-DAEB-tak en hoge onrendabele investeringen ontstaat ook een ongeborgde financieringsbehoefte. Woonforte startte een traject om een meerjarig financieringsarrangement af te sluiten met de ECB. Hiermee verkrijgen we tegen een relatief gunstige rente meerjarige zekerheid over financiering. Door verschillende oorzaken (onder andere de coronacrisis) heeft de ECB de ontwikkeling van financieringsarrangementen opgeschort. 

Renterisico
Door renterisicomanagement beperkt Woonforte de gevoeligheid voor renteschommelingen in de tijd door een evenwichtige spreiding van de renterisico’s.

Liquiditeitsrisico
Het waken over de beschikbaarheid van liquiditeit is een belangrijk aandachtsgebied van treasury. De korte en middellange liquiditeitsplanning zijn in het treasuryjaarplan opgenomen. Deze worden per kwartaal of als dat gewenst is tussentijds in de treasurycommissie besproken. Woonforte heeft in 2021 geen liquiditeitsproblemen gehad.

Hieronder vallen risico’s en onzekerheden die van invloed kunnen zijn op de interne en externe financiële verslaglegging. 

Onvoldoende kwaliteit en niet tijdige beschikbaarheid verslaggeving
Er zijn verschillende maatregelen getroffen om deze risico’s tot een acceptabel niveau te verlagen. Denk aan het toepassen van definities en standaarden in eigen administratie en informatievoorziening en het verbeteren en borgen van de kwaliteit van data.  

Subjectiviteit waarderingsvraagstukken 
Een betrouwbare uitkomst van de waardering van de vastgoedportefeuille op marktwaarde in verhuurde staat is geborgd door verschillende maatregelen.

1. Organisatie: verschillende rollen (beheer vastgoed, vastgoedsturing, administratie en control) zijn op basis van functiescheiding belegd. 
2. Taxatie: de externe taxateur maakt voor een derde deel jaarlijks een volledige taxatie. Het overige deel van de woningen, BOG/MOG en parkeerplaatsen wordt door de taxateur gewaardeerd met een markttechnische update. 
3. Benchmark: de uitkomsten worden gerelateerd aan marktontwikkelingen en -trends. Daarnaast vindt een analyse plaats met de WOZ-waarden. 
4. Datakwaliteit: Woonforte heeft maatregelen genomen waardoor de datakwaliteit die relevant is voor de marktwaardewaardering op het vereiste niveau is. 
5. Afstemming: aan het einde van het proces vindt afstemming plaats tussen alle betrokkenen in het proces. Het betreft medewerkers, taxateurs en accountant. Besproken worden de kwaliteit van het proces, de datakwaliteit, opvallende trends en afspraken over verbeterpunten. Geconcludeerd is dat de datakwaliteit goed is.

Dit zijn risico’s en onzekerheden die voortvloeien uit wetten en regels (zowel intern als extern) en die een directe invloed hebben op de organisatie en/of de bedrijfsprocessen van de rechtspersoon. 

Woonforte heeft de verantwoordelijkheid voor compliance belegd per discipline. Primair is de proceseigenaar verantwoordelijk. Er wordt onderscheid gemaakt in externe regels (wet- en regelgeving, richtlijnen) en interne regels (reglementen en procedures, toepassen van beleid). Toepassen van beleid wordt gekoppeld aan het risicoregister en het GRC- en procesmodel.

Veiligheid en gezondheid (asbest, legionella, koolmonoxide en brandveiligheid en bouwkundige gebreken)
Er is een stuurgroep Safety & Security die de risico’s van veiligheid en gezondheid gestructureerd beoordeelt aan de hand van de risicokaart Safety & Security. In het vierde kwartaal 2021 is de risicoanalyse opnieuw uitgevoerd en de risicokaart geactualiseerd. De belangrijkste risico’s betreffen de aanwezigheid van asbest, legionella en koolmonoxide en gebrek aan brandveiligheid en andere bouwkundige gebreken. De uit te voeren activiteiten worden in een jaarplan voor het volgende jaar opgenomen. 

Europese privacywet
Woonforte vindt het heel belangrijk dat de privacy van onze huurders, woningzoekenden, relaties en medewerkers goed gewaarborgd is. Het gedrag van medewerkers is een cruciale factor als het gaat om bescherming van persoonsgegevens. 
De Europese Algemene Verordening Gegevensbescherming is bij Woonforte geïmplementeerd.  De privacy officer is verantwoordelijk voor het compliance-overleg en zorgt dat Woonforte doorgroeit in privacy-volwassenheid. Woonforte is daardoor voldoende compliant. 

In 2021 hebben 11 incidenten plaatsgevonden waarvan er 1 daadwerkelijk gemeld is aan de Autoriteit persoonsgegevens. Woonforte volgt een transparant beleid en betrokkenen worden altijd geïnformeerd door de veroorzaker. Dit draagt - naast de zogenoemde awareness-activiteiten – bij aan bewustwording.

Frauderisicoanalyse en organisatie specifieke risico’s
Woonforte is in 2021 met een externe processpecialist gestart de procesbeschrijvingen te updaten. Bij de procesbeschrijvingen worden ook de (fraude)risico’s per proces uitgewerkt. 

Bij ieder proces is specifiek aandacht voor (fraude)risico’s.
Daarnaast is Woonforte in 2021 gestart met een cultuurtraject waarbij in diverse sessies is stilgestaan bij de gewenste houding en het gedrag van Woonforte medewerkers. Thema’s die in het cultuurtraject aan bod kwamen:

• wat mag je van elkaar verwachten;
• hoe werk je samen;
• elkaar durven aan te spreken. 

Woonforte past het Three Lines Model toe. Deze drie lijnen worden ook toegepast in de procesbeschrijvingen. Daarbij wordt rekening gehouden met voldoende functiescheiding tussen de drie lijnen en worden controles meer uitgevoerd in de lijn waar deze horen.

Inherent aan de activiteiten van een woningcorporatie is sprake van een aantal gebieden met verhoogde frauderisico’s.

Belangrijkste frauderisico’s die door Woonforte worden onderkend

• Managementbeïnvloeding

Dit risico doet zich met name voor bij de verwerking van (incidentele) schattingsposten in de jaarrekening en er een mogelijkheid is tot het doorbreken van interne beheersingsmaatregelen. Dit kan zich met name manifesteren in zogenaamde ‘memoriaalboekingen’. De belangrijkste beheersmaatregel die getroffen is om dit risico te verminderen, is het afdwingen van het 4-ogenprincipe bij het doorvoeren van memoriaalboekingen in het ERP-systeem. Daarnaast wordt steekproefsgewijs een controle uitgevoerd op de memoriaalboekingen. Het risico op onterechte memoriaalboekingen is hiermee voldoende gemitigeerd.

• Woningtoewijzingen

Het toewijzen van sociale huurwoningen door woningcorporaties moet vanzelfsprekend eerlijk en transparant gebeuren.

In ons risicomanagementproces is de coronacrisis niet specifiek als risico benoemd. Vorig jaar speelde de grote onzekerheid over de gevolgen van de coronacrisis een grote rol. Om die reden zijn toen financieel gezien voldoende marges aangehouden om onverwachte ontwikkelingen op te kunnen vangen. Deze dynamiek is onveranderd gebleven, maar tot nu toe is Woonforte in staat gebleken de effecten van de coronacrisis op te vangen. Niettemin heeft de langdurige coronacrisis impact op een aantal strategische doelstellingen en op de geïdentificeerde risico’s. 

In de coronaperiode is het verhuurmutatieproces contactloos geworden. De werkwijze is veranderd en strenger bij oplevering, een gestroomlijnd proces werd gestopt en er was sprake van onderbezetting. Dit alles heeft een behoorlijke impact gehad op de klanttevredenheid. Hierdoor werd het beoogde cijfer van 8,0 niet gehaald.

Vanwege de beperkingen door coronamaatregelen is het niet gelukt de geplande vervangingen van keukens, badkamers en toiletten (KGO) volledig uit te voeren. Door het uitstel zijn extra kosten ontstaan bij het dagelijks onderhoud.