De noodzaak van risicobeheersing

Het risicolandschap is voor vennootschappen de laatste jaren drastisch veranderd. Vennootschappen dienen steeds meer rekening te houden met uiteenlopende risico’s, zoals klimaatverandering, duurzaamheid, cybercrime en fraude. Effectieve risicobeheersing is daarom belangrijk om interne en externe risico’s te kunnen inventariseren en te analyseren. Het voorstel van de VOR ziet op een verklaring van het bestuur over de risico’s die de vennootschap en de met haar verbonden onderneming loopt en hoe deze worden beheerst. Er is gekozen om niet de term in control te gebruiken: het gaat om het weergeven van een bepaald inzicht in de risico’s die zich mogelijk kunnen voordoen. Overigens ligt de focus in overeenstemming met de Corporate Sustainability Reporting Directive (CSRD) niet langer alleen op de financiële verslaggeving, maar ook op duurzaamheidsverslaggeving van de vennootschap. Deze richtlijn vereist van beursgenoteerde vennootschappen en grote organisaties transparantie over hun impact op mens en milieu. Daaronder valt het rapporteren over duurzaamheidsrisico’s in het bestuursverslag.

De VOR als alternatief voor de in control-verklaring

In de Verenigde Staten verklaren bestuurders van beursgenoteerde vennootschappen op basis van de SOx-wetgeving over de betrouwbaarheid van de interne controle rondom de financiële verslaggeving. Het Nederlandse Burgerlijk Wetboek kent geen wettelijk vereiste om een in control-verklaring - zoals deze in de Verenigde Staten wordt gehanteerd - af te geven. Op vennootschappen met een beursnotering is wel het zelfregulerende risicobeheersingsprincipe uit de Nederlandse Corporate Governance Code van toepassing. De beursgenoteerde vennootschap dient over adequate interne risicobeheersings- en controlesystemen te beschikken. Het bestuur inventariseert en analyseert de risico’s die verbonden zijn aan de strategie en de activiteiten van de vennootschap en de met haar verbonden onderneming. De inventarisatie en analyse dekt in ieder geval de strategische, operationele, compliance en verslaggevingsrisico’s. Tot op heden is slechts vereist dat de vennootschap rapporteert over de belangrijkste kenmerken van deze systemen in het bestuursverslag van de vennootschap. De aanbeveling om de VOR te introduceren is gedaan in het rapport ‘Versterking verantwoordingsketen’ van de Universiteit Leiden. Naar aanleiding van deze aanbeveling heeft de Minister van Financiën verzocht om de VOR in de Corporate Governance Code te verankeren.

Desalniettemin is de VOR niet in de actualisatie van de Corporate Governance Code meegenomen. De monitoringscommissie wilde haar handen niet branden aan dit controversiële onderwerp, omdat de VOR geen onderdeel was geweest van de consultatie en het een té ingrijpende inhoudelijke verandering zou zijn ten opzichte van het voorliggende voorstel. De monitoringscommissie leek gevoelig te zijn voor de weerstand tegen de VOR. Vennootschappen vrezen namelijk eventuele aansprakelijkheidsclaims die kunnen ontstaan naar aanleiding van de verklaring dat de vennootschap in control is. Ondanks de weerstand is vervolgens een motie aangenomen door de Tweede Kamer om de VOR nog voor het begin van 2024 als verplichting in de Corporate Governance Code op te nemen of, indien dit niet haalbaar zou blijken te zijn, wetgeving op dit gebied voor te bereiden. De politieke druk heeft er dus voor gezorgd dat de VOR alsnog aan de Corporate Governance Code wordt toegevoegd. Opmerkelijk genoeg vóór de aanstelling van een nieuwe monitoringscommissie.

Toenemende transparantie, maar ook onduidelijkheden

Het voorstel is een goede aanzet om transparantie rondom risicobeheersing te stimuleren, maar in zijn voorgestelde vorm bestaan er nog enkele onduidelijkheden. Ten eerste bevat de herformulering van best practice -bepaling 1.4.3 verschillende maten van zekerheid. Het gaat van het verklaren van voldoende inzicht, naar redelijke mate van zekerheid, naar beperkte mate van zekerheid. Deze niveaus komen voort uit de verschillende verklaringen die de accountant kan afgeven. De VOR in voorgestelde vorm bestaat dus uit verschillende zekerheidsniveaus. Het is de vraag of dit ook voor stakeholders te volgen is. Het bestuursverslag dient namelijk eventuele risico’s en de risicobereidheid van de vennootschap inzichtelijk te maken voor stakeholders. Dit kan het vertrouwen van de stakeholders in de vennootschap versterken. Het is twijfelachtig of deze aanpak daarbij helpt. Daarnaast benoemt de best practice-bepaling niet uitdrukkelijk een niveau van zekerheid ten aanzien van de strategische risico’s, in tegenstelling tot de operationele, compliance en verslaggevingsrisico’s die in het risicobeheersingsprincipe zijn terug te vinden. Kan hieruit geconcludeerd worden dat de VOR niet over de strategische risico’s van een vennootschap wordt afgegeven? Ten slotte valt het op dat de Koninklijke Nederlandse Beroepsorganisatie van Accountants (NBA) ook het voorstel ondertekend heeft. Dit verklaart mogelijk het gebruik van accountancybegrippen. Echter, luidde de NBA vorig jaar nog de noodklok door het groeiende tekort aan accountants. Dit kan een probleem voor de controle van de VOR opleveren. Desondanks dient risicobeheersing hoog op de agenda van beursgenoteerde vennootschappen te staan.

De ontwikkelingen omtrent risicobeheersing hebben de komende jaren mijn aandacht in het kader van het onderzoek voor mijn proefschrift dat ziet op het thema risicobeheersing.