5.2.2 De methode van de risicoanalyse

De risicoanalyse moet systematisch worden uitgevoerd, zowel op het niveau van de eigen organisatie in haar geheel als op het niveau van de onderscheiden bedrijfsonderdelen.1

Een systematische aanpak van de risicoanalyse verkleint de kans dat belangrijke risico’s worden gemist of onderschat. Een sluitende zekerheid dat alle risico’s in kaart zijn gebracht, is niet mogelijk. Wel kan men proberen om zoveel mogelijk relevante risico’s in kaart te brengen. Een systematische aanpak helpt daarbij. Het is zinvol omhet management en betrokkenen van alle betrokken organisatie-onderdelen in de risicoanalyse te betrekken.2 Ook de inschakeling van een adviseur met ervaring op het gebied van uitbesteding (van vermogensbeheer)3 draagt bij aan de kwaliteit van de risicoanalyse. Niettemin blijft het noodzakelijk omde risicoanalyse periodiek te herhalen.4 De omstandigheden die in de vorige risicoanalyse zijn meegenomen, kunnen immers veranderen. Dat betreft niet enkel ontwikkelingen bij het pensioenfonds of zijn vermogensbeheerder, maar ook ontwikkelingen op de financiële markten of in regelgeving.

Het lijkt voor de hand te liggen om bij de risicoanalyse het Handboek FIRM van DNB te gebruiken.5 Die methode leent zich echter meer voor het bepalen waar de toezichtsaandacht van de toezichthouder naar moet uitgaan,6 dan voor de uitvoering van een risicoanalyse door een onder toezicht staande instelling.7

Het Handboek FIRM biedt niettemin wel aanknopingspunten voor een systematische risicoanalyse. In het Handboek wordt “uitbestedingsrisico” onderscheiden in risico’s voor a. de continuïteit van de bedrijfsvoering, b. de integriteit en c. de kwaliteit van de dienstverlening. In deze onderverdeling worden risico’s aangeduid in termen van het gevolg in plaats van de oorzaak.8 Deze onderverdeling biedt daardoor geen aanknopingspunten voor het nemen van concrete maatregelen. Ze biedt echter wel aanknopingpunten voor het opsporen van concrete risico’s. Zo is het vanuit de risicocategorie “continuïteit van de bedrijfsvoering” geen grote stap meer om “opzegging door de dienstverlener” als een concreet en te beheersen risico te benoemen. Eventueel kunnen ook meer of subcategorieën worden benoemd. Zo legt DNB veelvuldig nadruk op fraude en vertrouwelijkheid van informatie.9

Een andere methode is om de gehele uitbestedingscyclus te doordenken en daarbij bij elke fase mogelijke risico’s op te sporen. Vanuit de fase samenwerking is het geen grote stap om te bedenken dat een opgelopen conflict en een eventuele beslaglegging op middelen van het pensioenfonds een risico kunnen vormen.

Het beste resultaat wordt waarschijnlijk behaald door beide methoden te combineren. Per fase uit de uitbestedingscyclus spoort men dan naar mogelijke risico’s voor de continuïteit, de integriteit of de kwaliteit van de dienstverlening.

Nadat de risico’s geïdentificeerd zijn, kunnen prioriteiten worden gesteld. Door de omvang van het risico in te schatten, kan het pensioenfondsbestuur bepalen welke risico’s voor hem onacceptabel zijn en welke risico’s de meeste aandacht behoeven.