6. Risicomanagement

Risicomanagement bij Lefier kent de volgende basisprincipes:

• Het ‘Three Lines model’, waarbij de eerste lijn (management) zowel verantwoordelijk is voor het managen van kansen als risico’s binnen de gestelde risicobereidheid zodat we onze doelstellingen kunnen behalen;

• De risicomanagementcyclus, waarbij vanuit de doelstellingen van Lefier risico’s worden geïdentificeerd, beheersmaatregelen worden genomen en we de risicobereidheid en maatregelen monitoren en rapporteren;

• Een procesgerichte benadering met betrekking tot de operationele risico’s, waarbij we kijken naar de risico’s binnen een proces en de beheersmaatregelen in onderlinge samenhang vaststellen en bewaken.

Lefier streeft bij het vaststellen van haar doelstellingen naar een gezond evenwicht tussen het realiseren van (maatschappelijke) prestaties en het beheersen van risico’s. Ieder jaar brengen we de strategische risico’s rondom de geformuleerde doelstellingen in kaart. De kans op risico’s en de mogelijke impact van de verschillende risico’s die we identificeren, geven we weer op een ‘Strategische risicokaart’.

Het bestuur en de directieleden evalueren jaarlijks de strategische risico’s in een gezamenlijk assessment. Hierbij herijken we de strategische risico’s. Als het nodig is, wijzigen we ze of vullen we ze aan. Ieder jaar beoordelen we de risico’s op de kans dat een risico zich voordoet én als het zich voordoet, wat dan de impact zal zijn voor Lefier. De mogelijke impact bepalen we niet alleen kwantitatief (directe kosten) maar ook kwalitatief. Dat wil zeggen: niet direct meetbaar, maar uitgedrukt in reputatieschade, niet meer voldoen aan de normen van de toezichthouder of het niet realiseren van onze strategische doelen en ambities.

Naast de risico's die van invloed zijn op het realiseren van onze strategische doelen, zien we ook een aantal risico's waar we zelf minder invloed op hebben. Dat soort risico's zijn lastig om te beheersen. We proberen ze in kaart te brengen met behulp van ‘scenario analyses’ en ‘fall back scenario's’. Lefier heeft drie belangrijke ’horizon risico’s benoemd:

• Corporatiesector kent geen duurzaam bedrijfsmodel, als gevolg van ontwikkelingen in de sector wordt het verdienmodel van corporaties beïnvloed.

• Onvoldoende tijdig kunnen reageren op onverwachte ontwikkelingen. Het risico dat Lefier onvoldoende robuust en wendbaar is of dat te veel druk bij de leiding van Lefier komt te liggen.

• Politieke onvoorspelbaarheid waardoor Lefier onvoldoende koersvast kan blijven. We volgen de politieke ontwikkelingen maar de impact kan groot zijn zowel positief als negatief. Een voorbeeld hiervan is de aangekondigde huurbevriezing. We hebben verschillende scenario’s uitgewerkt in het jaarplan 2026. Met voldoende bijstuurmogelijkheden kunnen we meer risico nemen om onze maatschappelijke opgave te realiseren.

Operationeel risicomanagement gaat over het dagelijkse beheer van risico’s in onze primaire en ondersteunende processen en in projecten. Het management van de verschillende bedrijfsonderdelen is verantwoordelijk voor het tijdig signaleren van deze risico’s, het inrichten van passende maatregelen en de periodieke rapportage op basis van risico gerelateerde indicatoren.

Uit de recente inventarisatie blijkt dat een aantal operationele risico’s nog buiten onze risicobereidheid valt. De uitgangspunten van beleid zijn duidelijk, net als de beschrijving en opzet van onze processen. De verbetering zit vooral in het vergroten van het effect van de maatregelen die zijn geformuleerd, vooral op onderdelen waar we nu nog buiten de risicobereidheid acteren.

Het risicomanagementproces op operationeel niveau wordt verder ontwikkeld om te groeien in risicovolwassenheid en om de rol van proceseigenaren te versterken. In de afgelopen periode is gewerkt aan systemen, processen en rollen. De operationele risico’s zijn verder uitgewerkt in het risicomodel en worden periodiek besproken met management, directie en bestuur. We zien dat er meer aandacht en sturing is om verbeteringen in de interne beheersing te realiseren, ook al duurt de uitvoering soms langer dan eerst gedacht. De positieve ontwikkeling is zichtbaar in het dagelijks onderhoud, ICT en informatievoorziening, privacy en informatiebeveiliging en planning en control.

Management en directie hebben de verantwoordelijkheid risicobeleid uit te dragen en risicoanalyses uit te voeren. Het hoort bij de managementtaken. Vast onderdeel van risicoanalyse is het in beeld brengen van mogelijke risico’s op fraude of integriteitsschendingen. Medewerkers van Lefier kunnen bij een vermoeden van fraude of een integriteitsprobleem in de Gedragswijzer van Lefier lezen bij wie ze in zo’n geval terecht kunnen met hun melding. Het risico op fraude en de maatregelen om dat risico te beperken staan ook regelmatig op de agenda van overleg tussen management, directie, bestuurder en RvC. 

De belangrijke frauderisico's, samengevat:

• Inkopen/onderhoud/nieuwbouw: willekeurige leveranciers kiezen, geen objectieve beoordeling, onrechtmatig een opdracht verstrekken, niet (conform afspraak) geleverde prestaties, ontvreemden van materiaal voor eigen verbruik;
• Aan- en verkopen: Ongeautoriseerde vastgoedtransacties, onvolledige verkoopopbrengsten, risicovolle aankopen vastgoed;
• Verhuur en incasso: onterechte toewijzing woning, huurprijs niet juist, onjuiste leegstand, afboekingen en uitbetalingen huurders.
• Facilitair: beheer van bedrijfsmiddelen;
• Personeel: uitbetaling salaris en declaraties, nevenfuncties;
• Financiële administratie: onjuiste of onvolledige informatie, fraude in de verslaggeving, onjuiste of onterechte betaling;
• Treasury: afsluiten van transacties;
• Informatiebeveiliging en ICT: beheer van bedrijfsmiddelen, beveiliging van informatie, ongeautoriseerde toegang. 

Om de risico's te beheersen, hebben we diverse maatregelen genomen. Zoals functiescheiding, het ‘vier ogen’ principe en interne controles. Onderdeel van het auditprogramma van Lefier is onder andere toetsing op het gebied van autorisaties, functiescheiding en cultuur en gedrag. Als we iets vinden wat niet klopt, verbinden we daar verbeteracties en aanbevelingen aan. Uit de audits en interne controles die in 2025 zijn uitgevoerd, zijn geen aanwijzingen van fraude naar voren gekomen.

Wet- en regelgeving wordt binnen Lefier geborgd vanuit beleid en is belegd bij de uitvoering (proceseigenaar) in de eerste lijn. Lefier heeft een compliance team dat bestaat uit een brede vertegenwoordiging uit de organisatie. Het compliance team heeft periodiek afstemming met de MT’s over actualiteiten en lopende acties op het gebied van compliance. Relevante onderwerpen worden gevolgd en waar nodig wordt hierop actie ondernomen. Het compliance team rapporteert periodiek over de voortgang ten aanzien van de ontwikkelingen en implementatie van nieuwe wet- en regelgeving.