5 Risicoverslaglegging

Het pensioenfonds beschikt over een risicomanagementbeleid. Hierin is op hoofdlijnen beschreven hoe het pensioenfonds risico’s beheerst en welke kaders hiervoor bij het pensioenfonds en bij alle uitbestedingspartners worden gehanteerd. In het beleid zijn de uitgangspunten opgenomen en wordt beschreven op welke wijze het pensioenfonds invulling geeft aan de risico-governance en aan het risicomanagementraamwerk.

Het pensioenfonds werkt volgens het ‘three lines model’, een methode binnen het risicomanagement die eraan bijdraagt dat de belangrijkste risico’s goed beheerst worden zodat de organisatie in control is. De governancestructuur van het pensioenfonds is zodanig ingericht dat de onafhankelijkheid van de tweede lijn respectievelijk derde lijn ten opzichte van de eerste respectievelijk eerste en tweede lijn is gewaarborgd. Dit wordt onderstaand nader toegelicht.

In de risico-governance is het uitvoerend bestuur eerste lijn verantwoordelijk. Vanuit die verantwoordelijkheid bestaat de rol van het uitvoerende bestuur uit:

• Implementeren in de dagelijkse bedrijfsvoering en de prioritering van het management van het integraal risicomanagementraamwerk;
• Uitvoeren van het risicomanagementproces bestaande uit het identificeren en beoordelen van risico’s, het vaststellen en implementeren van risicobeheersmaatregelen en bewaken en rapporteren van de risico’s en de genomen beheersmaatregelen, rekening houdend met de uniformiteit waaronder de risicobereidheid;
• Rapporteren aan zowel het bestuur als andere interne en externe belanghebbenden over de risico’s waaraan het pensioenfonds is blootgesteld;
• Waarborgen van risicobewustzijn, integriteit, ethisch gedrag en het verkondigen van het belang van risicomanagement.

De sleutelfunctiehouder risicobeheer is tweede-lijn verantwoordelijk en ondersteunt het bestuur bij de vaststelling of alle risico’s afdoende worden beheerst en geeft gevraagd en ongevraagd zijn risico-opinie ten aanzien van door het bestuur te nemen besluiten. Dat blijkt uit het periodiek vaststellen of de diverse risicorapportages zijn ontvangen, zijn behandeld en of hiervan een zichtbare beoordeling is geweest (is vastgelegd). De sleutelfunctiehouder risicobeheer stelt op kwartaalbasis een eigen risicorapportage op met daarin onder meer een eigen oordeel over risicobeheersing van het pensioenfonds. 

Andere tweede-lijnfuncties zijn de sleutelfunctiehouder actuarieel, de compliance officer en de functionaris gegevensbescherming.

De sleutelfunctiehouder interne audit is derde-lijn verantwoordelijk. Hij/zij ondersteunt en adviseert de eerste en tweede lijn en bewaakt of de eerste en tweede lijn hun verantwoordelijkheden ook daadwerkelijk nemen.

Risicomanagementonderdelen
Het raamwerk bestaat uit zeven risicomanagementonderdelen:

1. Het risicobeheer is doeltreffend en goed geïntegreerd in de organisatiestructuur en de besluitvormingsprocessen;
2. Het pensioenfonds stelt strategieën, processen en rapportageprocedures vast die noodzakelijk zijn voor het regelmatig onderkennen, meten, bewaken en beheren van de risico’s en het rapporteren hierover;
3. Het pensioenfonds heeft haar risicobereidheid gedefinieerd en heeft daaraan meetbare prestatie-indicatoren gekoppeld;
4. Het pensioenfonds draagt zorg voor de uitvoering van het beleid, evalueert het beleid ten minste driejaarlijks en past het beleid bij belangrijke wijzigingen onverwijld aan;
5. Het pensioenfonds heeft de instrumenten en technieken benoemd ter concrete en praktische ondersteuning van de uitvoering van het risicoproces;
6. Het pensioenfonds beschikt over systemen en data voor het vastleggen, opslaan en analyseren van kwantitatieve en kwalitatieve risicodata;
7. Het pensioenfonds besteedt aandacht aan mensen, cultuur en bewustzijn als essentieel onderdeel van adequaat risicomanagement.

Risicomanagementproces
Voor het borgen van kwaliteit wordt gewerkt met een cyclus voor het beheer van de verschillende onderdelen van het raamwerk. Voor een eenduidige benadering van de beheersing van risico’s binnen het pensioenfonds is daartoe een risicomanagementproces gedefinieerd, bestaande uit de volgende onderdelen:

• Risico-identificatie: het op basis van de strategie en doelstellingen identificeren van de potentiële risico’s die de realisatie van de strategie en doelstellingen kunnen belemmeren.
• Risicobeoordeling: het analyseren, beoordelen en mogelijk kwantificeren van de (oorzaken van de) risico’s.
• Risicoresponse: het bepalen van de maatregelen om met het risico om te gaan, waarbij opties zijn:
  • risicovermijding (stoppen met activiteiten);
  • risico-acceptatie (geen maatregelen);
  • risicobeheersing (beheersingsmaatregelen / controls); of
  • risico delen (herverzekeren).
• Implementatie: het daadwerkelijk inrichten, implementeren en verankeren van de maatregelen.
• Bewaken & rapporteren: het gedurende het gehele risicomanagementproces bewaken en verantwoording afleggen over de kwaliteit en voortgang.

Eigenrisicobeoordeling
Een wezenlijk onderdeel van het risicomanagementraamwerk is de eigenrisicobeoordeling (ERB). De ERB is een instrument voor het pensioenfonds om inzicht te krijgen in de samenhang tussen de strategie, de materiële risico’s die het pensioenfonds kunnen bedreigen, de mogelijke gevolgen hiervan voor de financiële positie van het pensioenfonds en de pensioenaanspraken en pensioenrechten. De ERB geeft inzicht in de effectiviteit van het risicobeheer inclusief de (feitelijke) beheersmaatregelen. Dit inzicht is van essentieel belang voor de vormgeving van het risicobeheer van het pensioenfonds. Het pensioenfonds voert tenminste driejaarlijks een reguliere ERB uit. Deze frequentie is geënt op de (strategische) beleidscyclus van het pensioenfonds, zodat de ERB een onderbouwing is voor strategische beleidsbesluiten.
Eind 2020 heeft het bestuur de eindrapportage ERB vastgesteld van de driejaarlijkse reguliere ERB.

Naast de driejaarlijkse reguliere ERB zijn er twee soorten omstandigheden die om een tussentijdse actualisatie van (een deel van) de ERB vragen:
a. Een significante wijziging in het risicoprofiel (bijvoorbeeld een significante wijziging in de risicohouding).
b. Een strategisch besluit met een materiële impact op het risicoprofiel.

In 2019 heeft het bestuur een eerste ERB uitgevoerd als onderdeel van het strategische besluit om over te gaan tot opdrachtaanvaarding van de per 1 januari 2020 te wijzigen pensioenregeling naar een pensioenregeling met de CDC-karakter.
Het pensioenfondsbestuur heeft op 15 december 2021 de strategie voor de periode 2022 – 2027 vastgesteld. Een tussentijdse actualisatie van de ERB op basis van de strategie 2022 – 2027 is niet noodzakelijk. Jaarlijks vertaalt het bestuur de strategie vanuit de Roadmap in de jaarplannen voor het daaropvolgende jaar. Voor risicomanagement vindt deze vertaling zijn weerslag in het IRM jaarplan.

IRM-jaarplan
In het IRM-jaarplan worden de thema’s vastgelegd en ingepland, waarbij expliciet aandacht zal worden besteed aan de daarmee gepaard gaande risico’s. De belangrijkste risico-gerelateerde thema’s in 2022 waren:

• mogelijke risico’s die gepaard gaan met de introductie van het Pensioenakkoord in relatie tot:
• inflatie en (de resistentie van) de huidige portefeuille(verdeling);
• transitie van de PGGM fondsen;
• de ontwikkelingen bij Caceis op operationeel en IT-vlak;
• verdere uitwerking en invulling van het MVB-beleid (inclusief SFDR);
• cyberrisico;
• datakwaliteit: borgen juistheid en volledigheid van data – specifiek ook met het oog op een mogelijk toekomstig invaarbesluit als gevolg van het nieuwe Pensioenakkoord;
• zelfevaluatie en competentiemeting van het bestuur.
• Omgeving: de relatie met sociale partners, verantwoordingsorgaan, (gewezen) deelnemers, pensioengerechtigden, werkgevers en toezichthouders;
• Operationeel: de bestuurlijke besluitvormingsprocessen en de ondersteuning daarbij vanuit adviseurs;
• Uitbesteding: de relatie met de partijen waaraan werkzaamheden zijn uitbesteed;
• Juridisch: de implementatie van wet- en regelgeving en de verankering daarvan in beleid.

Daarnaast zijn in 2022 de analyses van het matching-/renterisico, en het marktrisico integraal herijkt.

In 2023 zal het bestuur aandacht geven aan de mogelijke risico’s die gepaard gaan met de introductie van Wet toekomst pensioenen (Wtp) in relatie tot:

• Houdbaarheid strategie: de relatie met sociale partners, verantwoordingsorgaan, (gewezen) deelnemers, pensioengerechtigden, werkgevers en toezichthouders.
• Interne governance: de implementatie van wet- en regelgeving en de verankering daarvan in beleid.
• Operationeel: de bestuurlijke besluitvormingsprocessen, de ondersteuning daarbij vanuit adviseurs en het overleg met en de uitvoering door de partijen waaraan werkzaamheden zijn uitbesteed.

De risicoanalyse die specifiek in het kader van Wtp is opgesteld, wordt tweemaal per jaar besproken.

Daarnaast wordt risico-gerelateerde aandacht gegeven aan de ALM-studie (waarbij nadrukkelijk wordt gekeken naar de transitie a.g.v. Wtp en de impact van extreme scenario’s), de communicatie met stakeholders, het ZZP-vraagstuk, evaluatie van het herverzekeringsbeleid, de mogelijke transitie van de illiquide PGGM-fondsen en de opleidingsplannen voor het bestuur.

In 2023 zijn integrale herijkingen gepland van het IT-risico bestuur(sorganen), het kredietrisico en het operationeel risico en van de risicoanalyses levensvatbaarheid bedrijfsmodel, houdbaarheid strategie en interne governance. Ook vindt in 2023 een herijking plaats van de reguliere ERB.

Voor het identificeren van risico’s zijn de door DNB gedefinieerde FIRM-risicocategorieën als uitgangspunt gebruikt. Het pensioenfonds onderscheidt de volgende hoofdrisico-categorieën:

• Matching-/renterisico
• Marktrisico
• Kredietrisico
• Verzekeringstechnisch risico
• Omgevingsrisico
• Operationeel risico
• Uitbestedingsrisico
• IT-risico
• Integriteitrisico
• Juridisch risico

De eerste vier categorieën zijn financieel van aard, de overige zijn niet-financieel. De hoofdcategorieën zijn verder onder te verdelen naar deelrisico’s.

Risico’s worden kwantitatief en kwalitatief (aan de hand van vooraf in het risicomanagementbeleid vastgestelde referentieschalen) beoordeeld op basis van de waarschijnlijkheid van het optreden van het risico (kans) en de impact daarvan op het behalen van de doelstellingen.

De analyse van de financiële risico’s is gemaakt op basis van UFR. Indien deze op basis van marktrente wordt gemaakt, zouden de risico’s groter zijn. Bovendien zijn de analyses gemaakt op geïsoleerde risico’s waarbij in samenhang het cumulatieve risico nog aanzienlijk is. 

Bij de risicoanalyse wordt onderscheid gemaakt tussen het bruto risico, het netto risico en de risicotolerantie (als weergave van de risicobereidheid).

Het bruto risico is het risico zonder rekening te houden met eventuele beheersmaatregelen die het bestuur treft om de waarschijnlijkheid en/of impact te beperken. Het bruto risico is afhankelijk van de context waarbinnen het pensioenfonds opereert en de doelstellingen. Het netto risico is het risico dat overblijft nadat is gereageerd op de bruto risico’s. Indien het netto risico vanuit de risicobereidheid (nog) niet acceptabel is, worden aanvullende acties gedefinieerd om tot de risicotolerantie te komen.

Rente-/matchingrisico
Het renterisico is het risico dat voortvloeit uit:

1. het niet gematcht zijn van activa en passiva (inclusief off‑balanceposten) dan wel
2. inkomsten en uitgaven in termen van rentevoet, rente typische looptijden, basisvaluta, liquiditeit typische looptijden en
3. de gevoeligheid voor ontwikkeling in prijspeil.

Het matchingrisico is nader onderverdeeld in rente-, valuta-, liquiditeit- en inflatierisico. Deze risico’s zijn met name extern gedreven.

Het strategisch afdekkingsbeleid ten aanzien van de nominale verplichtingen is afhankelijk van de rente. Het afdekkingsbeleid wordt periodiek getoetst aan de hand van een ALM-studie. Het pensioenfonds kiest bewust om een gedeelte van het renterisico, mede gelet op de samenstelling van het deelnemersbestand, niet af te dekken om herstelcapaciteit te behouden. De rente-overlay wordt uitgevoerd door middel van rentederivaten, hoofdzakelijk renteswaps, staatsobligaties en bedrijfsobligaties. Via maand- en kwartaalrapportages wordt door de vermogensbeheerder verantwoording afgelegd over de rentehedge. Aan de orde komen onder meer: hedgeratio, de rentegevoeligheid van de totale verplichtingen, de hedge per bucket en het ex post hedge percentage.

Het valutarisico wordt afgedekt door de exposure naar vreemde valuta van een aantal beleggingscategorieën af te dekken met vooraf vastgelegde afdekkingspercentages. Voor het afdekken van valuta exposure kan gebruik worden gemaakt van instrumenten met een maximale looptijd van 2 jaar: spot-transacties en forwards. Per kwartaal vindt rapportage door de vermogensbeheerder plaats over hedgeratio en norm.

In het kader van central clearing wordt op dagbasis de benodigde cash voor derivaten gemonitord en worden de derivatenposities dagelijks direct afgerekend. In de kwartaalrapportage is een liquiditeitstoets in stress per ultimo kwartaal opgenomen.
De beleggingsportefeuille bevat categorieën waarbij bewust wordt gestreefd naar het beperken van het inflatierisico. Het pensioenfonds belegt daarnaast gedeeltelijk in risicovolle beleggingen mede vanuit inflatiematching oogpunt. Het inflatierisico ligt voor een belangrijk deel bij de pensioengerechtigden, gewezen deelnemers en deelnemers via het voorwaardelijke toeslagbeleid van het pensioenfonds. Het bestuur beslist jaarlijks in hoeverre pensioenaanspraken en pensioenrechten worden aangepast.

Per 31 december 2022 bevinden alle netto risico’s zich binnen de door het bestuur vastgestelde risicotolerantie.

Marktrisico
Het marktrisico is het risico ten gevolge van het blootstaan aan wijzigingen in marktprijzen van verhandelbare financiële instrumenten binnen een handelsportefeuille. Voor pensioenfondsen geldt dat het marktrisico alleen betrekking heeft op de niet-rentedragende activa.

Dit risico is nader onderverdeeld in prijsvolatiliteit, marktliquiditeit en concentratie en correlatie. Deze risico’s zijn met name extern gedreven.

Het pensioenfonds kiest voor spreiding in de beleggingsportefeuille qua risicoprofiel van de achterliggende beleggingen in relatie tot de verplichtingen van het pensioenfonds. Beleggen in risicovollere producten wordt bewust gedaan in de veronderstelling dat daar een hoger rendement tegenover staat.
Keuzes met betrekking tot de asset allocatie worden gemaakt op basis van een ALM-studie. Er wordt voor elk jaar een beleggingsplan vastgesteld. Voor bestaande categorieën wordt ten minste één keer per drie jaar een investment case behandeld. Eventuele opname van nieuwe categorieën gebeurt eveneens middels een investment case. Opname van een nieuwe beleggingscategorie en herziening of beëindiging van bestaande categorieën worden door het bestuur besloten. Hierbij geldt het principe “discretionair waar het kan” (ook gelet op transparantie) waarbij kosten en proportionaliteit worden meegewogen.
Compliance-statements bevatten een overzicht met eventuele overtredingen op mandaten en/of beleggingsrichtlijnen door de vermogensbeheerders zelf. Daarnaast vindt controle van de beleggingsrichtlijnen plaats door de onafhankelijke beleggingsadministrateur Caceis.
Columbia Threadneedle Investments rapporteert per kwartaal de risico-inschattingen aangaande balansrisico, allocatierisico en concentratierisico. Daarnaast rapporteert Columbia Threadneedle Investments per kwartaal over de wijze van uitvoering van de mandaten door de onderliggende managers. Afspraken over spreiding in sectoren en geografische gebieden zijn vastgelegd in de mandaten en worden op maandbasis getoetst door Caceis.

Derivaten mogen gebruikt worden om op efficiënte wijze een marktpositie in te nemen of af te dekken, maar niet om te speculeren. Het pensioenfonds maakt gebruik van central clearing. Om te allen tijde te kunnen voldoen aan hieruit volgende onderpand verplichting is een kredietfaciliteit bij de bewaarder ingericht. Beheer van liquide middelen vindt op dag basis plaats. Per kwartaal wordt hierover gerapporteerd.

In het kader van het prudent person beginsel zorgt het bestuur op advies van de beleggingscommissie voor een beheerste blootstelling aan minder liquide producten. In de jaarlijkse toetsing wordt hieraan door de certificerend actuaris aandacht besteed.
Het bestuur past een maatschappelijk verantwoord beleggingsbeleid (MVB-beleid) toe. Dit beleid bestaat uit engagement, corporate governance en het uitsluiten van ondernemingen van het belegbaar universum. Het verantwoord beleggingsbeleid wordt vormgegeven binnen de geselecteerde beleggingsfondsen en de discretionaire mandaten. Bij de selectie en evaluatie van (externe) beheerders worden duurzaamheidscriteria door de fiduciair meegenomen. (Externe) beheerders moeten ESG-criteria in hun beleggingsbeslissingen meenemen bij (semi-) actieve strategieën. Tot slot wordt van (externe) (semi-) actieve portefeuillebeheerders verwacht dat zij MVB-beleid handhaven en naleven en hierover in hun rapportage verantwoording afleggen. Het pensioenfonds rapporteert over MVB in het jaarverslag, via de website en schenkt er aandacht aan in de nieuwsbrieven.

Per 31 december 2022 bevinden alle netto risico’s zich binnen de door het bestuur vastgestelde risicotolerantie.

Kredietrisico
Het risico dat een tegenpartij contractuele of andere overeengekomen verplichtingen (waaronder verstrekte kredieten, leningen, vorderingen, ontvangen garanties) niet nakomt al dan niet als gevolg van het aan beperkingen onderhevig zijn van buitenlandse betalingen.

Dit risico is nader onderverdeeld in default probability en loss given default. Deze risico’s zijn met name extern gedreven.

Het pensioenfonds let scherp op kredietwaardigheid en liquiditeit en stuurt op creditratings. Met betrekking tot onderpand zijn duidelijke afspraken gemaakt en vindt spreiding over meerdere tegenpartijen plaats. Monitoring van het tegenpartijrisico geschiedt dagelijks en de fiduciair heeft de verplichting afwijkende zaken te rapporteren aan het pensioenfonds. Op kwartaalbasis wordt een rapportage geleverd met posities per tegenpartij. Het pensioenfonds heeft kennisgenomen van en maakt gebruik van het beleid van de fiduciair op dit punt.
Het pensioenfonds maakt gebruik van central clearing, waarbij het tegenpartijrisico door het Clearing House wordt gedragen. Beheer van liquide middelen vindt op dag basis plaats. Per kwartaal wordt hierover gerapporteerd.

Caceis treedt als de tegenpartij op voor het uitlenen van effecten. Hiertoe zijn specifieke afspraken gemaakt over de kwaliteit en de spreiding van het onderpand. Naast rapportages van Caceis zelf zorgt het pensioenfonds op reguliere basis voor controle op die afspraken.

Per 31 december 2022 bevinden alle nettorisico’s zich binnen de door het bestuur vastgestelde risicotolerantie.

Verzekeringstechnisch risico
Het risico dat de uitkeringen (nu dan wel in de toekomst) niet gefinancierd kunnen worden vanuit de premie- en/of beleggingsinkomsten als gevolg van onjuiste en/of onvolledige (technische) aannames en grondslagen bij de ontwikkeling en de premiestelling van het product.

Dit risico is nader onderverdeeld in sterfte-, arbeidsongeschiktheids-, concentratie- en correlatierisico. Deze risico’s zijn met name extern gedreven.

De belangrijkste risico’s voor het pensioenfonds zijn de levensverwachting en arbeidsongeschiktheid. Wanneer ontwikkelingen op deze gebieden de noodzaak geven tot aanpassing van de grondslagen zal het pensioenfonds hiertoe direct overgaan. De adviserend actuaris ondersteunt bij de vaststelling van de actuariële grondslagen.

Jaarlijks doet de waarmerkend actuaris verslag via een certificeringsrapport over de financiële positie van het pensioenfonds. Het actuarieel rapport wordt opgesteld door TKP Pensioen. Op basis hiervan monitort het bestuur het verzekeringstechnisch risico.

Per 31 december 2022 bevinden alle netto risico’s zich binnen de door het bestuur vastgestelde risicotolerantie.

Omgevingsrisico
Het omgevingsrisico is het risico als gevolg van buiten de instelling of groep komende veranderingen op het gebied van concurrentieverhoudingen, belanghebbenden, reputatie en ondernemingsklimaat.

Dit risico is nader onderverdeeld in concurrentie, afhankelijkheid en reputatie. Deze risico’s zijn met name extern gedreven.

Het pensioenfonds volgt ontwikkelingen in de nabije omgeving van het pensioenfonds op de voet. Dit betreft met name ontwikkelingen bij aangesloten werkgevers, media-aandacht voor pensioen in algemene zin en media-aandacht voor het pensioenfonds in het bijzonder. Het pensioenfonds bewaakt in hoeverre wordt voldaan aan het representativiteitscriterium. De beleggingsprestaties van het pensioenfonds worden jaarlijks getoetst met behulp van de Z-score en performancetoets.

Het bestuur beheerst dit risico door een naar haar mening voorzichtig beleid te voeren en flexibel te reageren op ontwikkelingen. Het bestuur bewaakt dat beleidsbeslissingen onafhankelijk en vrij van belangenverstrengeling worden genomen.

Communicatie en engagement zijn belangrijke instrumenten voor het pensioenfonds in de beheersing van het omgevingsrisico. Het pensioenfonds stelt eenmaal per drie jaar een communicatiebeleidsplan op. Vanuit het communicatiebeleidsplan wordt jaarlijks een voorstel voor een jaarplan met een begroting ontwikkeld dat door het bestuur wordt vastgesteld. Het bestuur informeert de aangesloten werkgevers, de deelnemers en de pensioengerechtigden via de website en het jaarverslag over het beleid. Het pensioenfonds heeft bij haar beleggingsbeleid aandacht voor corporate governance en duurzaamheid. Bij het nemen van beleggingsbeslissingen wordt rekening gehouden met ongewenste elementen als wapenproductie, schending van mensenrechten en het bevorderen van strafbare of moreel verwerpelijke gedragingen. Het pensioenfonds onthoudt zich van transacties in dergelijke beleggingsfondsen en/of heeft CTI de opdracht gegeven de dialoog aan te gaan met dergelijke beleggingsfondsen.

Per 31 december 2022 bevinden alle netto risico’s zich binnen de door het bestuur vastgestelde risicotolerantie.

Operationeel risico
Een operationeel risico is een risico dat samenhangt met ondoelmatige of onvoldoende doeltreffende procesinrichting of procesuitvoering. Dit risico is nader onderverdeeld in (pre)acceptatie/transactie, verwerking, uitkering / betaling / settlement, informatie, productontwikkeling, kosten en personeel. Deze risico’s zijn met name intern gedreven.

De tekenbevoegdheden van het pensioenfonds zijn vastgelegd middels inschrijving bij de Kamer van Koophandel. In de tussen het pensioenfonds en de externe uitvoerders gesloten overeenkomsten zijn afspraken opgenomen over betalingsverkeer en volmachten.
Het bestuur kan haar bevoegdheden delegeren aan één of meer door het bestuur al dan niet uit zijn midden aangewezen portefeuilles, adviseurs of uitbestedingspartners. Deze gedelegeerde bevoegdheden worden echter uitgeoefend onder toezicht en verantwoordelijkheid van het bestuur. De commissie, adviseur of uitbestedingspartner legt voor de uitoefening van haar taken verantwoording af aan het voltallige bestuur. Dit gebeurt aan de hand van de notulen van een commissievergadering en notities danwel presentaties met adviezen voor het bestuur.
Bij het nemen van bestuursbesluiten wordt altijd in ogenschouw genomen of er door het besluit mogelijk sprake is van benadeling van derden. Iedere vergadering toetst het bestuur of agendapunten worden besproken waarbij sprake kan zijn van belangenverstrengeling. Daarnaast wordt iedere bestuursvergadering als apart agendapunt “nevenfuncties/giften” besproken.

Het pensioenfonds kent een verplicht gestelde pensioenregeling voor werkgevers en hun werknemers als omschreven in de verplichtstelling.
Het pensioenfonds voert de door werkgevers en werknemers overeengekomen pensioenregeling uit. De bepalingen liggen vast in het pensioenreglement en het uitvoeringsreglement. Het bestuur bewaakt ontwikkelingen in wet- en regelgeving, die van invloed zijn op de reglementen. Relevante wijzigingen in wet- en regelgeving worden afgestemd met werkgevers- en werknemersvertegenwoordigers en de uitvoerders aan wie activiteiten zijn uitbesteed.
Het pensioenfonds beschikt over een uitbestedingsbeleid, waarin het proces rondom uitbestedingen is vastgelegd alsmede de eisen die daarbij aan een uitvoerder worden gesteld. Het uitbestedingsbeleid wordt elke twee jaar door het bestuur geëvalueerd.

Het bestuur kan afhankelijk van het (meerjarig) resultaat de kostenopslagen in premie en voorziening pensioenverplichtingen aanpassen. Om de werkelijke kosten te bewaken wordt jaarlijks een begroting opgesteld en vindt elk kwartaal een beoordeling plaats of de kosten binnen de begroting blijven. Afwijkingen van de begroting zijn slechts mogelijk indien onderbouwd en door het bestuur geaccordeerd. In de tussen het pensioenfonds en de externe uitvoerders gesloten overeenkomsten zijn afspraken opgenomen over tarieven, kosten en vergoedingen.

Het bestuur heeft een geschiktheidsplan opgesteld. In het geschiktheidsplan wordt uiteengezet welke deskundigheden, competenties en professioneel gedrag van het bestuur worden verwacht en welke mogelijkheden daartoe worden aangereikt. (Nieuwe) bestuursleden volgen, indien noodzakelijk, een pensioenopleiding. Daarnaast heeft het bestuur minimaal eens per jaar een studiedag en is sprake van een zelfevaluatie door het bestuur. Het pensioenfonds heeft een gedragscode ingesteld voor het bestuur en het verantwoordingsorgaan en al degenen die voor, namens of in opdracht van het pensioenfonds werken en alle door het bestuur aan te wijzen betrokkenen, ter voorkoming van conflicten tussen het belang van het pensioenfonds en de privébelangen van betrokkenen alsmede ter voorkoming van het gebruik van vertrouwelijke informatie van het pensioenfonds voor privédoeleinden. De bij de gedragscode behorende verklaring wordt jaarlijks ondertekend. Een externe compliance officer toetst of het bestuur de gedragscode naleeft. Het pensioenfonds brengt twee keer per jaar de hoofd- en nevenfuncties in kaart en nieuwe nevenfuncties moeten door betrokkenen worden gemeld. Bij het aangaan van contracten met derden wordt in kaart gebracht welke mogelijke tegenstrijdige belangen gepaard kunnen gaan met de opgegeven hoofd- en nevenfuncties. Het bestuur heeft daarnaast een klokkenluidersregeling en een incidentenregeling. Het pensioenfonds beschikt over een klachten- en geschillenprocedure en -commissie.

Per 31 december 2022 bevinden alle netto risico’s zich binnen de door het bestuur vastgestelde risicotolerantie.

Uitbestedingsrisico
Het risico dat de continuïteit, integriteit en/of kwaliteit van de aan derden (al dan niet binnen een groep, al dan niet aan de sponsor) uitbestede werkzaamheden dan wel door deze derden ter beschikking gestelde apparatuur en personeel worden geschaad.

Dit risico is per externe uitvoerder nader onderverdeeld in continuïteits-, integriteits-, kwaliteits- en IT-risico. Deze risico’s zijn met name extern gedreven.

Het uitbestedingsrisico vormt een zeer belangrijk aandachtsgebied voor het pensioenfonds. Zowel het pensioenbeheer (aan TKP en Montae & Partners B.V.) als het vermogensbeheer (aan Columbia Threadneedle Investments en Caceis) zijn uitbesteed. Dit risico vormt als het ware de keerzijde van met name het operationeel risico, het IT-risico en het integriteitsrisico van het pensioenfonds zelf; het pensioenfonds laat zich regelmatig informeren over de wijze waarop de externe uitvoerders deze risico’s beheersen.

Het pensioenfonds heeft een uitbestedingsbeleid inclusief selectie- en evaluatieproces opgesteld en heeft commissies ingesteld die onder meer belast zijn met de voorbereiding van selectie- en evaluatietrajecten. De selectie van externe uitvoerders vindt plaats op basis van eisen gesteld door DNB en criteria geformuleerd door het pensioenfonds zelf. De criteria van het pensioenfonds hangen samen met beschikbare deskundigheid, de cultuur van de organisatie, schaalvoordelen en flexibiliteit. Het pensioenfonds legt de selectie en evaluatie van externe uitvoerders vast.
Contractueel is vastgelegd dat uitbestedingspartners zijn gehouden aan de uitbestedingsregels ingevolge de Pensioenwet, die van toepassing zijn op het pensioenfonds. Het pensioenfonds toetst de externe uitvoerders op hun beheersmaatregelen op het gebied van continuïteit, integriteit, kwaliteit en IT (beschikbaarheid, (data)integriteit, vertrouwelijkheid en aanpasbaarheid), onder andere via jaarlijkse ISAE- of soortgelijke rapporten. Tenminste jaarlijks voert (een delegatie uit) het bestuur evaluatiegesprekken met de externe partijen.

Het bestuur stelt zich, onder meer door het beoordelen van jaarverslagen, op de hoogte van de (financiële) gezondheid van de uitbestedingspartners, om zodoende tijdig te kunnen anticiperen op negatieve ontwikkelingen.
Het pensioenfonds heeft met de uitbestedingspartners schriftelijke afspraken gemaakt over de opzegging en beëindigingsvoorwaarden, die een goede transitie naar een andere uitvoerder mogelijk maken. Daarnaast bevatten de overeenkomsten aansprakelijkheidsbepalingen.

Het pensioenfonds verlangt van haar uitbestedingspartners dat zij een gedragscode voert dan wel beleid heeft dat in de lijn is met haar eigen gedragscode; dit is onderdeel van de jaarlijkse evaluatie. Hierbij besteedt het pensioenfonds tevens aandacht aan beheerst beloningsbeleid, fraudebeleid en belangenverstrengeling bij deze uitbestedingspartners.
Uitbestedingspartners verstrekken periodieke rapportages inzake niet-financiële risico’s, waarin aandacht is voor integriteitrisico’s. Het pensioenfonds ontvangt ieder kwartaal in control statements, compliance statements of soortgelijke rapportages van de uitbestedingspartners. Eventuele volmachten zijn contractueel vastgelegd.

Er wordt gewerkt met een Service Level Agreement (SLA) en periodieke rapportages over de in de SLA vastgelegde afspraken.

Het pensioenfonds beschikt verder over een IT-beleid, waarin de eisen die door het pensioenfonds aan uitbestedingspartners worden gesteld zijn vastgelegd. Het pensioenfonds heeft haar eigen beschikbaarheids-, (data)integriteits- en vertrouwelijkheidseisen vastgesteld. Uitbestedingspartners hebben een meldplicht ten aanzien van incidenten en rapporteren over de uitkomsten van doorlopen testen (bijvoorbeeld penetratie, patch en uitwijk). Het pensioenfonds heeft verwerkersovereenkomsten met de uitbestedingspartners.

Per 31 december 2022 bevinden alle netto risico’s zich binnen de door het bestuur vastgestelde risicotolerantie.

IT-risico
Het risico dat bedrijfsprocessen en informatievoorziening onvoldoende integer, niet continu of onvoldoende beveiligd en ondersteund worden door IT.

Het IT-risico is voor het bestuur / de bestuursorganen nader onderverdeeld in beschikbaarheid, integriteit en vertrouwelijkheid. Deze risico’s zijn met name intern gedreven.

Het pensioenfonds maakt gebruik van een eigen bestuurlijke IT-omgeving. Bij de inkoop van de dienstverlening is een cloud computing risicoanalyse uitgevoerd. De geïdentificeerde risico’s bevinden zich, nadat op onderdelen aanvullende mitigerende maatregelen zijn genomen, binnen de tolerantiegrenzen van het pensioenfonds. Leden van het bestuur, het verantwoordingsorgaan en de auditcommissie zijn verplicht gebruik te maken van de bestuurlijke IT-omgeving. Het pensioenfonds beschikt over een IT-beleid waarin is vastgelegd hoe bestuurs(orgaan)leden dienen om te gaan met IT-middelen die zij ten behoeve van de uitoefening van hun functie bij het pensioenfonds gebruiken. Daarnaast beschikt het pensioenfonds over een datakwaliteitbeleid en monitort de functionaris gegevensbescherming de naleving van privacywetgeving, waaronder de opvolging van datalekken.

Ten aanzien van de IT-omgeving van de externe uitvoerders steunt het pensioenfonds op de beheersmaatregelen ten aanzien van beschikbaarheid, integriteit, vertrouwelijkheid en aanpasbaarheid van de diverse dienstverleners en hun rapportages daarover (zie uitbestedingsrisico). 

Per 31 december 2022 bevinden alle netto risico’s zich binnen de door het bestuur vastgestelde risicotolerantie.

Integriteitrisico
Het risico dat de integriteit van de instelling dan wel het financiële stelsel wordt beïnvloed als gevolg van niet integere, onethische gedragingen van de organisatie, medewerkers dan wel van de leiding in het kader van wet- en regelgeving en maatschappelijke en door de instelling opgestelde normen.

Dit risico is nader onderverdeeld in belangenverstrengeling, witwassen, omzeiling sancties / terrorismefinanciering, interne fraude, externe fraude, fiscale fraude, corruptie (omkoping), maatschappelijk onverantwoord gedrag en cybercrime. Deze risico’s zijn met name intern gedreven.

Integer handelen is binnen het pensioenfonds verankerd in de totale compliance structuur. Alle betrokkenen bij het pensioenfonds, zowel intern als extern, worden geacht te voldoen aan het geheel van interne en externe wet- en regelgeving, dat op het pensioenfonds van toepassing is. Het pensioenfonds brengt jaarlijks de hoofd- en nevenfuncties in kaart en nieuwe nevenfuncties moeten door betrokkenen gemeld worden. Bij het aangaan van contracten met derden wordt in kaart gebracht welke mogelijke tegenstrijdige belangen gepaard kunnen gaan met de opgegeven hoofd- en nevenfuncties. Bij het nemen van bestuursbesluiten wordt altijd in ogenschouw genomen of door het besluit mogelijk sprake is van benadeling van derden. Iedere vergadering toetst het bestuur of agendapunten worden besproken waarbij sprake kan zijn van belangenverstrengeling. Daarnaast worden iedere bestuursvergadering als apart agendapunt nevenfuncties/giften besproken.

Het pensioenfonds heeft een gedragscode ingesteld voor het bestuur en het verantwoordingsorgaan en al degenen die voor, namens of in opdracht van het pensioenfonds werken en alle door het bestuur aan te wijzen betrokkenen, ter voorkoming van conflicten tussen het belang van het pensioenfonds en de privébelangen van betrokkenen alsmede ter voorkoming van het gebruik van vertrouwelijke informatie van het pensioenfonds voor privédoeleinden. Elke betrokkene dient tweemaal per jaar digitaal te verklaren dat de gedragscode is nageleefd. Een externe compliance officer toetst twee keer per jaar of de gedragscode wordt nageleefd op basis van vragenlijsten. Hiervan wordt een rapport opgesteld. Het bestuur heeft daarnaast een klokkenluidersregeling, een incidentenregeling en een klachten- en geschillenregeling.

Het pensioenfonds volgt de wet- en regelgeving rondom terrorismefinanciering (sanctiewetgeving) en toetst bij wijzigingen in wet- en regelgeving de opvolging daarvan door de externe uitvoerders.

Per 31 december 2022 bevinden alle netto risico’s zich binnen de door het bestuur vastgestelde risicotolerantie.

Binnen de risicocategorie Integriteitsrisico volgt het bestuur nadrukkelijk het risico van interne, externe en fiscale fraude. In 2022 is geen fraude geconstateerd. Het bestuur hanteert ter beheersing van frauderisico de volgende maatregelen:

• Het fonds hanteert bij alle bindende handelingen namens het fonds het vier-ogen-principe. In geval van ondertekening geldt een gezamenlijke tekenbevoegdheid.
• Het pensioenfonds heeft een gedragscode ingesteld voor het bestuur en al degenen die voor, namens of in opdracht van het pensioenfonds werken en alle door het bestuur aan te wijzen verbonden personen, ter voorkoming van conflicten tussen het belang van het pensioenfonds en de privébelangen van betrokkenen alsmede ter voorkoming van het gebruik van vertrouwelijke informatie van het pensioenfonds voor privédoeleinden.
• Het pensioenfonds heeft een externe compliance officer aangesteld. De compliance officer toetst tweemaal per kalenderjaar de gedragscode en stelt daar een rapportage over op.
• Het bestuur heeft een klokkenluidersregeling en een incidentenregeling ingesteld; alle functionarissen hebben de mogelijkheid te rapporteren aan de vertrouwenspersoon over onregelmatigheden, te weten gebeurtenissen van algemene, operationele of financiële aard die een ernstig gevaar vormen of kunnen vormen voor de beheerste en integere bedrijfsvoering van het fonds. De gedragscode, de klokkenluidersregeling en de incidentenregeling maken deel uit van het integriteitsbeleid dat door het fonds is vastgesteld.
• Tijdens de benoemingsprocedures wordt expliciet aandacht geschonken aan integriteitsaspecten. Onderdeel van de benoemingsprocedures is een toetsing van geschiktheid en betrouwbaarheid door DNB.
• Fiscale risico’s die het gevolg zijn van fouten (zoals de BTW problematiek) worden in de jaarrekening vermeld onder de niet in de balans opgenomen verplichtingen.
• Het fonds beschikt over een beloningsbeleid en het bestuur toetst tevens het beloningsbeleid bij de uitbestedingspartners.
• Tijdens de benoemingsprocedures wordt expliciet aandacht geschonken aan integriteitsaspecten. Onderdeel van de benoemingsprocedures is een toetsing van geschiktheid en betrouwbaarheid door DNB.
• Het fonds beschikt over een uitbestedingsbeleid, waarin het proces rondom een nieuwe uitbesteding is vastgelegd alsmede de eisen die daarbij aan een uitvoerder worden gesteld.
• Betalingen worden getoetst aan vooraf gemaakte schriftelijke afspraken. Bij het ontbreken daarvan wordt navraag gedaan of daadwerkelijk opdracht gegeven is en vindt alsnog schriftelijke vastlegging plaats.
• In de overeenkomsten met de uitbestedingspartners is opgenomen dat zij aansprakelijk zijn voor schade als gevolg van onder andere fraude.
• Het bestuur toetst of uitbestedingspartners beschikken over een procuratieregeling en een (minimaal) 4 ogen principe hanteren.
• De werkgever is verplicht om alle werknemers die aan de pensioenregelingen deel moeten nemen bij het fonds aan te melden. Daarbij dient de werkgever ervoor zorg te dragen dat het fonds de beschikking krijgt over alle door het bestuur nodig geoordeelde gegevens. De werkgever dient ervoor te zorgen dat alle vereiste gegevens volledig, juist en tijdig worden verstrekt.
• De werkgever is aansprakelijk voor schade die het fonds lijdt als gevolg van het aanleveren van onvolledige, onjuiste of niet tijdige informatie door de werkgever.
• Het pensioenreglement bevat de informatieverplichtingen voor deelnemers, gewezen deelnemers en pensioengerechtigden.
• Via SUAG worden maandelijks wijzigingen in arbeidsgeschiktheid gemeld en verwerkt.

Juridisch risico
Het risico samenhangend met (veranderingen in en naleving van) wet- en regelgeving, het mogelijk bedreigd worden van haar rechtspositie, met inbegrip van de mogelijkheid dat contractuele bepalingen niet afdwingbaar of niet correct gedocumenteerd zijn.

Dit risico is nader onderverdeeld in wet- en regelgeving, naleving, aansprakelijkheid, afdwingbaarheid contracten en verplichtstelling. Deze risico’s zijn zowel intern als extern gedreven.

Het bestuur blijft op de hoogte van wijzigingen in wet- en regelgeving door het volgen van media, vakliteratuur en nieuwsbrieven op het gebied van pensioen- en vermogensbeheer. Het pensioenfonds maakt bij de opstelling van alle voor het pensioenfonds relevante juridische documenten gebruik van de diensten van daarin gespecialiseerde partijen. Nieuwe producten, initiatieven, projecten worden voorafgegaan door een gedegen analyse van gerelateerde juridische risico’s. Voor complexere zaken wordt altijd advies ingewonnen bij gerenommeerde externe juristen.

Voorleggers bij bestuursbesluiten bevatten een paragraaf waarin wordt vastgelegd of het gevraagde besluit in overeenstemming is met het beleid van het pensioenfonds. Juridisch risico wordt, indien aanwezig en onderkend, in de bestuursnotities vermeld en wordt daardoor meegenomen in de afwegingen van het bestuur voorafgaand aan de besluitvorming. Het pensioenfonds ziet erop toe dat wijzigingen in relevante wet- en regelgeving door de externe uitvoerders voldoende worden vertaald naar en geïmplementeerd in interne processen en procedures. Voor de bestuursleden is een bestuurdersaansprakelijkheidsverzekering afgesloten. In de contracten met externe uitvoerders zijn expliciet voorwaarden rondom aansprakelijkheid en wederzijdse verplichtingen rondom uitvoering en eventuele beëindiging vastgelegd.

Het pensioenfonds beschikt over een verplichtstellingsbeschikking en wordt door het Ministerie van Justitie en Veiligheid geïnformeerd over afgegeven vergunningen. TKP voert namens het pensioenfonds het handhavingsbeleid uit. De afspraken hierover zijn vastgelegd in een overeenkomst. De verplichtingen van de werkgever zijn onderdeel van het uitvoeringsreglement.

Per 31 december 2022 bevinden alle nettorisico’s zich binnen de door het bestuur vastgestelde risicotolerantie.