9 Risico's 2023

Het risicomanagementproces is een manier om risico’s op een gestructureerde wijze in kaart te brengen, te beoordelen en te beheersen. Binnen het risicomanagementproces gaat het om identificatie en beoordeling van risico’s die de realisatie van de doelstellingen bedreigen. Het gaat om identificeren, classificeren, kwantificeren en beheersen van risico’s. 

Prioritering van de risico’s gebeurt op basis van de omvang van de risico’s en is in lijn met de risicobereidheid. Aan de hand van een kans- en impactmatrix wordt aan de voorkant een inschatting gemaakt van de hoogte van de risico’s. Door het koppelen van de schadestatistiek kan achteraf bepaald worden hoe vaak een ingeschat risico zich heeft voorgedaan en wat de impact ervan is geweest. De beheersmaatregelen en het risicomanagementproces worden periodiek gemonitord. 

Woonforte heeft haar raamwerk voor risicomanagement gebaseerd op het COSO-model. Het COSO-model gaat over strategie, effectiviteit en efficiëntie van de bedrijfsprocessen en de naleving van wet- en regelgeving. Daarbij zijn de volgende invalshoeken relevant: 

• governance en cultuur; 
• strategie en doelstellingen; 
• prestatie; 
• review en herziening. 

Woonforte wil ‘in control’ zijn. Dit betekent dat Woonforte: 

• haar doelstellingen uit de MVS realiseert tegen acceptabele risico’s; 
• vaststelt dat de juiste dingen op de juiste manier gedaan worden (o.a. juistheid en betrouwbaarheid van gegevens, naleven procedures); 
• de organisatie monitort en zichzelf continu wil ontwikkelen en verbeteren (o.a. uitvoeren audits, risicoanalyses, rapportages, opstellen procesbeschrijvingen, verbetervoorstellen); 
• voldoet aan wet- en regelgeving. 

Het bepalen van de risicobereidheid maakt deel uit van de strategie. Risicobereidheid is de ruimte die we onszelf als bedrijf geven om te ondernemen. 

In het beleid risicomanagement is de generieke risicobereidheid van Woonforte beschreven met de focus op het bereiken van strategische en maatschappelijke doelen en de organisatiecultuur. Woonforte wil een professionele, integere, wendbare en toekomstbestendige organisatie zijn waarbij de mens (medewerker en huurder) centraal staat. Woonforte is een maatschappelijke organisatie. Gelet op haar maatschappelijke en sociale taak geeft Woonforte er de voorkeur aan om weinig risico’s te lopen. Daarom is de generieke risicobereidheid van Woonforte risicoavers (we vermijden risico’s zoveel mogelijk), risicodefensief (we geven er de voorkeur aan weinig risico’s te lopen) of risiconeutraal (we wegen risico’s en kansen tegen elkaar af, en nemen dan een besluit). 

Naast de generieke risicobereidheid hebben we een specifieke tolerantiegrens gesteld per prestatie-indicator. Prestatie-indicatoren worden jaarlijks (opnieuw) bepaald bij het opstellen van de begroting. Afwijkingen in de realisatie ten opzichte van de tolerantiegrenzen worden tussentijds geanalyseerd in de Balanced Score Card en waar nodig vindt bijsturing plaats. 

Prioritering van de risico’s gaat op basis van de omvang van de risico’s en is in lijn met de risicobereidheid. We werken met (financiële normen) en toetspunten.

Woonforte is bezig met het actualiseren en optimaliseren van de processen en het implementeren van een G(overnance) R(isicomanagement) C(ontrol)-platform. Onder procesmanagement verstaan we de interne beheersing en optimalisatie van de bedrijfsvoering van Woonforte.

Processen 
Per geüpdatet proces worden de belangrijkste risico's uitgewerkt en vastgelegd in Mavim. De risico-eigenaar is de proceseigenaar en dit is altijd een MT-lid. Het management is verantwoordelijk voor de feitelijke inrichting van processen waarbij de risicoanalyse en risicobereidheid moeten worden omgezet in het feitelijk beheersen van de risico's. 

De procesmanagers hebben een 2-daagse training "resultaatgericht sturen" gevolgd. Zij hebben geleerd hoe ze kunnen sturen op processen (met bijbehorende prestatie-indicatoren) en hoe dit te organiseren om zo continu te blijven verbeteren. Inmiddels is het kwartaaloverleg procesverbetering ingepland, waarbij de procesmanagers ieder kwartaal hun ervaringen delen en de procesmanagers van elkaar kunnen leren.   

Risicomanagement 
Risicomanagement is ook een belangrijk onderdeel van procesmanagement. Ieder proces start met het bepalen van het doel van het proces. Aan de hand van de doelstelling worden de risico’s van het proces in kaart gebracht en door erop te anticiperen zorgen we ervoor dat de processen soepel en ongestoord verlopen en we voortdurend in control blijven. Per proces worden alle betrokkenen binnen de organisatie in verbinding gebracht om gezamenlijk de werkwijze vast te leggen. De betrokkenen worden daarbij ook uitgedaagd om na te denken over operationele risico's die er binnen het proces zijn. De betrokkenheid wordt verder vergroot door gezamenlijk KPI's af te spreken. Met ingang van het 2e kwartaal 2023 voert de medewerker Bedrijfsvoering (accent risicomanagement) gesprekken met de afzonderlijke managers gericht op de top 3 van risico's. Doel van dit gesprek is om dynamiek te creëren en de afdelingen uit te dagen aandacht te besteden aan risico's. 

Interne controle
Procesmanagement kan niet zonder interne controle. We controleren regelmatig of de procesafspraken goed worden nageleefd. De informatie over de interne controle heeft een plek in de Mavim Portal.  

Het interne controleplan 2023 is opgesteld door de controller en bevat een zichtbare relatie tussen proces, risico en beheersmaatregelen. Als doorvertaling naar en de uitvoering van de controlewerkzaamheden worden door de controller controleprogramma's opgesteld waarin de rolverdeling in de interne beheersing en controlepunten zijn uitgewerkt en vastgelegd. In 2023 is de interne beheersing volgens het 3-lines model verder verbeterd en beschreven vooral ten aanzien van de interne beheersmaatregelen in de 1e en 2e lijn. Dit krijgt steeds meer vorm met de controleprogramma's. De controleprogramma's zijn in 2023 in Mavim opgenomen waarmee de toegankelijkheid en transparantie is vergroot. 

In de managementletter 2023 van de externe accountant is, in de vorm van een risicomatrix, een samenvatting opgenomen van de belangrijkste bevindingen met betrekking op de interne beheersing van de bedrijfsprocessen. Deze matrix is opgenomen in het interne controleplan evenals de daarin genoemde onderwerpen. Door deze matrix op te nemen wordt direct gezorgd voor monitoring van de opvolging van de geconstateerde bevindingen. De opvolging van de bevindingen zal worden gemonitord door de manager Financiën en Bedrijfsvoering De controller rapporteert over de opvolging bij de controle werkzaamheden. 

Privacy en informatiebeveiliging 
Informatiebeveiliging en privacy moeten we in alle processen goed borgen. Als we dat niet doen, lopen we grote risico’s op imagoschade. Omdat het zulke belangrijke randvoorwaarden in alle processen zijn, is privacy opgenomen in Mavim.

Over de belangrijkste risico’s rapporteren we in de kwartaalrapportages aan het bestuur en de Raad van Commissarissen, daarbij wordt inzicht gegeven in de genomen maatregelen. Als dat nodig is, wordt tussentijds gerapporteerd. In het jaarverslag legt het bestuur hierover verantwoording af.

De belangrijkste strategische risico’s op dit moment:  

Politieke onvoorspelbaarheid en instabiliteit
Het risico dat veranderingen in het politieke speelveld onze corporatie raken is onverminderd groot. Als de politiek de corporatiesector verplichtingen oplegt, kan dat ertoe leiden dat wij onze eigen strategie niet geheel uit kunnen voeren door gebrek aan tijd en/of geld. 

De verhuurdersheffing werd in 2023 afgeschaft, maar hier tegenover staan de Nationale Prestatieafspraken waarin bindende prestatieafspraken staan gericht op een verdubbeling van de bouwproductie van sociale huurwoningen, vergaande verduurzaming, huurmatiging, een verplichte huurverlaging voor de laagste inkomens, investeringen in woningverbetering en het aanpakken van vocht- en schimmelproblemen. Woonforte heeft in 2023 de huurverlaging uit de Nationale Prestatieafspraken doorgevoerd. In 2023 volgden de huren niet de inflatie, maar de cao-loonontwikkeling -0,5%. Voor 2023 betekende dit een huurverhoging die ver onder inflatie ligt. Ook de belastingdruk is hoog door de vennootschapsbelasting en ATAD. 

Realisatie nieuwbouwportefeuille
In 2023 en verder, ligt de focus op het realiseren van de nieuwbouwproductie en het op gang brengen van de doorstroming. Vertraging van nieuwbouwprojecten is echter een groot risico. Haalbaarheidsbesluiten leiden om financiële redenen momenteel minder vaak tot uitvoeringsbesluiten, onder meer door gronden die in handen zijn van commerciële partijen die geen sociale grondprijzen doorrekenen. Een reden dat een project niet binnen tijd wordt gehaald is het vergunningentraject. Woonforte heeft in 2023 wel veel nieuwbouwprojecten in voorbereiding, die de komende jaren tot uitvoering zouden moeten komen. Zo werkt Woonforte gestaag door aan het vergroten van de beschikbaarheid van woningen in de gemeente Alphen aan den Rijn. Door de forse stijging van (bouw)prijzen, inflatie en rente gaat Woonforte in 2024 wel bijsturen door te temporiseren op alle programma's, dus ook op het nieuwbouwprogramma. 

Duurzaamheidsopgave
Het risico dat we onvoldoende invulling kunnen geven aan de verduurzaming van de portefeuille en de prestatieafspraken waardoor duurzaamheidsambities niet gerealiseerd worden is hoog. Verduurzaming van bezit hangt af van het budget wat beschikbaar is. We willen ons bezit verduurzamen maar hebben ook andere maatschappelijke taken. In 2022 herijkten we met de Position paper Verduurzaming onze verduurzamingsplannen. Het investeringsstatuut werd in 2023 aangepast met verduurzamingsprojecten. Gelet op de oplopende bouwkosten en rentestijging heeft Woonforte in de begroting 2024 moeten snijden in het verduurzamingsprogramma. Het uitfaseren van de E, F en G labels loopt door, maar de verduurzaming van andere complexen naar de standaard is vanaf 2025 beperkt opgenomen in de begroting. Om duidelijk te maken wat de beste manier is om over te stappen van aardgas op een duurzame warmtebron, stelt de gemeente Alphen aan den Rijn - samen met Woonforte, inwoners en ondernemers - wijkuitvoeringsplannen op voor een aantal verkenningsgebieden. De pilot in de Planetenbuurt bleek niet haalbaar. Momenteel loopt een onderzoek voor de Zeeheldenbuurt. Vooralsnog gaat Woonforte ervan uit dat het daadwerkelijk gasvrij maken voorlopig niet realistisch is. 

Kwaliteit van het bezit
Eind 2023 zijn er funderingsproblemen (als gevolg van verzakkingen) geconstateerd in een complex waardoor de woningen in dit complex constructief onveilig blijken te zijn. Voor dit complex zijn inmiddels maatregelen getroffen om de veiligheidsrisico’s voor bewoners weg te nemen.  Op dit moment is het nog wel de vraag of de kwaliteit van het bezit voldoende in beeld is, de conditiescores actueel en verwerkt in het strategisch voorraadbeheer. 

Dit zijn risico’s en onzekerheden die de effectiviteit en efficiëntie van de operationele activiteiten beïnvloeden en daarmee vooral betrekking hebben op de processen, mensen en systemen en van invloed kunnen zijn op de kortetermijndoelstellingen.

Informatiebeveiliging en -continuïteit
De belangrijkste risico's het gebied van informatiebeveiliging en -continuïteit zijn: menselijke fouten/handelingen, cybercriminaliteit (ransomware, virussen en cyberattacks), bedrijfsonderbreking, onvoldoende regelen/niet goed regelen van contractvorming en gedeelde verantwoordelijkheid in samenwerkingsverbanden. Het bestuur heeft in 2023 het informatiebeveiligingsbeleid en jaarplan informatiebeveiliging 2023 vastgesteld. Belangrijk onderdeel is bewustwording en aandacht houden voor informatiebeveiliging. Een aantal externe partijen heeft aan Team Informatiebeveiliging gepresenteerd wat zij voor Woonforte kan betekenen op het gebied van cybersecurity en awareness. Begin februari 2024 zijn de offertes besproken in het Team Informatiebeveiliging.  Het vergroten van het bewustzijn van medewerkers op gebied van informatiebeveiliging is een doorlopende activiteit. In 2022 is Woonforte samen met andere corporaties een traject gestart om tot een format te komen voor een Business Continuïteitsplan (BCP). In 2023 heeft het Team Informatiebeveiliging, met behulp van dit format, een BCP voor Woonforte opgesteld met het doel het onderbreken van bedrijfsactiviteiten tegen te gaan en bescherming van kritische bedrijfsprocessen tegen de gevolgen van omvangrijke verstoringen in informatiesystemen of rampen en om tijdig herstel te bewerkstellingen. In 2023 is een IT-audit uitgevoerd door de accountant, zijn pentesten en vulnerabilityscans uitgevoerd en heeft de technisch ondersteuner input gegeven ten aanzien van informatiebeveiliging.

Livegang Tobias365
Op 9 oktober was de livegang van Tobias365. Tobias365 is een cloudoplossing, daarmee kunnen we nog beter onafhankelijk van plaats, tijd en apparaat vragen stellen, informatie raadplegen, uitwisselen of bewerken. Kortom meer gebruiksgemak. Ook is de cloudoplossing veiliger. Eind 2023 is het project Tobias 365 afgerond en overgedragen aan de beheerorganisatie. 

IT-audit BDO in relatie tot de migratie van Tobias AX naar Tobias365

BDO heeft een risicoanalyse uitgevoerd op de data die BDO relevant acht voor de jaarrekeningcontrole. De door Woonforte uitgevoerde migratiecontroles maken deel uit van de IT-audit van BDO. BDO voert begin 2024 een controle uit op de data als gevolg van de migratie van Tobias AX naar Tobias 365. 

Dit zijn de risico’s en onzekerheden met betrekking tot de financiële positie van Woonforte, zoals continuïteits-, liquiditeits- en renterisico's. Of Woonforte haar doelen kan realiseren, hangt sterk af van de financiële perspectieven in de komende jaren. In ieder geval moet de financiële continuïteit worden gewaarborgd tegen aanvaardbare risico's en worden de beschikbare middelen doelmatig ingezet. 

Continuïteitsrisico
Woonforte past uitgangspunten gericht op een duurzaam bedrijfsmodel toe. De essentie van dit model is dat het kasstromen genererende vermogen van de vastgoedportefeuille op langere termijn op een bepaald minimaal niveau blijft. 

(Her)financieringsrisico en onzekerheden in mogelijkheden om financiering aan te trekken
Gelet op de borgingsmogelijkheden bij het WSW heeft Woonforte geen financieringsrisico. In 2023 is € 17 miljoen niet opnieuw aangetrokken door vertraging/uitstel van projecten. 

Renterisico
Door renterisicomanagement beperkt Woonforte de gevoeligheid voor renteschommelingen in de tijd door een evenwichtige spreiding van de renterisico’s. Zowel het relatief bedrijfseconomische renterisico, als het portefeuille renterisico is in 2023 binnen de intern gestelde norm gebleven. 

Liquiditeitsrisico
Het waken over de beschikbaarheid van liquiditeit is een belangrijk aandachtsgebied van treasury. De korte en middellange liquiditeitsplanning zijn in het treasuryjaarplan opgenomen. Deze worden per kwartaal of als dat gewenst is tussentijds in de treasurycommissie besproken. Woonforte heeft in 2023 geen liquiditeitsproblemen gehad. 

Hieronder vallen risico’s en onzekerheden die van invloed kunnen zijn op de interne en externe financiële verslaglegging. 

Onvoldoende kwaliteit en niet tijdige beschikbaarheid verslaggeving
Er zijn verschillende maatregelen getroffen om deze risico's tot een acceptabel niveau te verlagen. Denk aan het toepassen van definities en standaarden in de eigen administratie en informatievoorziening en het verbeteren en borgen van de kwaliteit van data. In 2023 is gestart met de ontwikkeling van een managementdashboard voor de afdeling Wonen en Vastgoed. 

Subjectiviteit waarderingsvraagstukken
Een betrouwbare uitkomst van de waardering van de vastgoedportefeuille op marktwaarde in verhuurde staat is geborgd door verschillende maatregelen. 

1. Organisatie: verschillende rollen (beheer vastgoed, vastgoedsturing, administratie en control) zijn op basis van functiescheiding belegd. 
2. Taxatie: de externe taxateur maakt voor een derde deel van de woningen jaarlijks een volledige taxatie. Het overige deel van de woningen, BOG/MOG en parkeerplaatsen wordt door de taxateur gewaardeerd met een markttechnische update. 
3. Benchmark: de uitkomsten worden gerelateerd aan marktontwikkelingen en -trends. Daarnaast vindt een analyse plaats met de WOZ-waarden. 
4. Datakwaliteit: Woonforte heeft maatregelen genomen waardoor de datakwaliteit die relevant is voor de marktwaardewaardering op het vereiste niveau is. 
5. Afstemming: aan het einde van het proces vindt afstemming plaats tussen alle betrokkenen in het proces. Het betreft medewerkers, taxateurs en accountant. Besproken worden de kwaliteit van het proces, de datakwaliteit, opvallende trends en afspraken over verbeterpunten. Geconcludeerd is dat de datakwaliteit goed is. 

Dit zijn risico’s en onzekerheden die voortvloeien uit wetten en regels (zowel intern als extern) en die een directe invloed hebben op de organisatie en/of de bedrijfsprocessen. 
Woonforte heeft de verantwoordelijkheid voor compliance belegd per discipline. Primair is de proceseigenaar verantwoordelijk. Er wordt onderscheid gemaakt in externe regels (wet- en regelgeving, richtlijnen) en interne regels(reglementen en procedures, toepassen van beleid).

Veiligheid & gezondheid (asbest, legionella, koolmonoxide & brandveiligheid en bouwkundige gebreken)
Er is een stuurgroep Safety en Security die de risico’s van veiligheid en gezondheid gestructureerd ter hand neemt aan de hand van de risicokaart Safety & Security. Ieder jaar wordt een risicoanalyse uitgevoerd en de risicokaart geactualiseerd. De uit te voeren activiteiten uit de risicoanalyse worden in een jaarplan voor het volgende jaar opgenomen. 

Ieder kwartaal wordt er door Burghgraef van Tiel een risicoanalyse uitgevoerd t.b.v. de brandverzekering. Er wordt een aantal complexen geselecteerd en er wordt een schouw uitgevoerd. De resultaten worden vastgelegd in een schouwrapport. De stuurgroep Safety en Security analyseert de zaken uit de schouwrapporten, prioriteert de eventuele vervolgacties, legt de bevindingen vast in een apart document en rapporteert aan de manager Vastgoed.

In 2023 is een aantal onderwerpen besproken dat betrekking hebben op de veiligheid- en gezondheidsrisico's.

Ten eerste brandveiligheid van isolatiemateriaal naar aanleiding van de uitkomsten van een uitgevoerde risico-inventarisatie. Wat is de risicobereidheid van Woonforte m.b.t. de brandveiligheid van isolatiemateriaal? We voldoen aan het bouwbesluit (brandklasse 2 vlamdovend) en daarmee aan de wettelijke (minimum) eisen.  Maar Woonforte wil op gebied van veiligheid meer dan de wettelijke (minimum) eisen. Met ingang van 2025 wordt voor dit soort projecten altijd gekozen voor brandklasse niet brandbaar in plaats van vlamdovend. Voorwaarde veiligheid zo hoog mogelijk, zonder in te leveren op de isolatiewaarde.

Ten tweede een incident doorvalbeveiliging waarbij de doorvalbeveiliging niet voldeed aan het bouwbesluit (enkel glas). Er is geïnventariseerd in welke complexen dit verder voorkomt en per complex zijn de mogelijkheden in beeld gebracht om maatregelen te nemen om meer incidenten te voorkomen.

Verder is onderzoek gedaan naar ‘in dak’ zonnepanelen en complexen waar veel zonnepanelen liggen n.a.v. een brand in Arnhem.