Samenvatting

Het basisprofiel vindt, bij alle genoemde rollen en aandachtsgebieden, dat de rvc daar goed mee om moet gaan. Die wenselijkheid delen de andere opgenomen benchmarks breed. Slechts een enkele keer scoort men lager dan een 4.0. Van de afzonderlijke rollen/aandachtsgebieden scoort de ambassadeursrol meestal in de achterhoede en bij vijf benchmarks onder de 4.0. Bij de persoonsgebonden benchmarks is de toezichtsrol de primus inter pares. Opvallend is dat onderwijs en rvb/directielid bij vier rollen/aandachtsgebieden lager dan een 4.0 scoren. Met name de lage score voor de werkgeversrol bij rvb/directielid duidt op enig ongemak.

Voor alle benchmarks gezamenlijk is het veranderpercentage 60 procent. Dat is hoog. Alle veranderwensen die er zijn, zijn tegelijk ook verbeterwensen. Bij de bedrijfsbenchmarks hebben de profitbenchmarks (beursgenoteerd bedrijf, grootbedrijf, MKB) elk zes verbeterwensen en bij de non-profitbenchmarks (woningcorporatie, zorg en welzijn, onderwijs en overige non-profit) elk telkens vier of vijf. Bij de persoonsgebonden benchmarks heeft de commissaris die lid is van de remuneratiecommissie er drie en de commissaris die tevens elders lid is van de rvb er zes.

De meest gedeelde verbeterwensen, bij vijftien van de zestien benchmarks, vinden we bij de ambassadeursrol en bij het onderwerp datamanagement. Maar ook technische competenties van de rvc (13), risicomanagement (12) en de adviesrol (10) kunnen op veel verbeterwensen rekenen. De toezichtsrol is het enige waar geen verbeterwens is geformuleerd. Ook de informatievoorziening lijkt grosso modo goed te zijn met slechts vijf verbeterwensen.

Bij het basisprofiel vallen alleen de toezichtsrol en het onderwerp informatievoorziening in de klasse duidelijk mee eens qua instemming. De andere zes stellingen zitten een klasse lager (min of meer mee eens). Bij de bedrijfsbenchmarks is het beursgenoteerde bedrijf gemiddeld daarmee de meest tevreden benchmark. Bij de persoonsgebonden benchmarks zijn dat de voorzitter van de rvc en de commissaris die tevens lid is van de auditcommissie. Het minst tevreden over de huidige situatie zijn het onderwijs en de internal auditor.

Zowel de commissarissen uit de profitsector als die uit de non-profitsector als de niet-commissarissen lijken net iets vaker wakker te liggen van interne zaken dan van externe zaken. Uiteraard is ‘wakker liggen van’ een rekbaar begrip wat door enige respondenten ook opgemerkt werd (‘ik lig nergens wakker van’). Veel van de opmerkingen hebben betrekking op het bestuur en/of bestuurscultuur. Daarnaast zijn er ook gedeelde zorgen over ICT/digital (cyber en AI) en de bedrijfscultuur.

Extern gaan de gedachten vooral uit naar marktomstandigheden, waaronder geopolitieke ontwikkelingen en naar de overheid (gedrag en wetgeving).

We hebben de volgende stellingen onderzocht: het geven door de interne risicobeheersings- en controlesystemen van een redelijke mate van betrouwbaarheid van de financiële verslaggeving en van de duurzaamheidsverslaggeving, het effectief beheersen van operationele risico’s, compliance risico’s en strategische risico’s en dat het risicomanagement meer is dan een administratieve exercitie.

Bij het basisprofiel krijgen alle zes de stellingen de hoogste mate van instemming. De mening van het basisprofiel onderschrijven de andere benchmarks grotendeels. Bij vijf van de zes stellingen scoren alle benchmarks een 4.0 of hoger. De enige stelling waar dat maar net niet gebeurt is bij ‘de interne risicobeheersings- en controlesystemen geven ten minste een beperkte mate van zekerheid dat de duurzaamheidsverslaggeving geen onjuistheden van materieel belang bevat.’

Er zijn twee stellingen die er bovenuit springen wat betreft gedeelde verbeterwensen. Zowel bij de beheersing van strategische risico’s als bij het zijn van risicomanagement als meer dan een administratieve exercitie zien we veertien benchmarks die vinden dat dat beter kan. Drie andere stellingen, over beheersing van compliance risico’s en over de interne risicobeheersings- en controlesystemen, hebben respectievelijk negen of acht verbeterwensen.

De enige stelling met weinig veranderwensen (2) is dat operationele risico’s effectief worden beheerst.

Bij het basisprofiel vallen nagenoeg alle stellingen in de klasse duidelijk mee eens qua instemming. Alleen de stelling over het beheersen van strategische risico’s valt daarbuiten en neigt slechts naar instemming.

Bij vier van de zes stellingen is meer dan de helft van de benchmarks het minimaal duidelijk eens. Dat betreft de volgende vier:

• de interne risicobeheersings- en controlesystemen geven een redelijke mate van zekerheid dat de financiële verslaggeving geen onjuistheden van materieel belang bevat (86 procent van de benchmarks)
• operationele risico’s worden effectief beheerst (inclusief signalering) (75 procent)
• risicomanagement is meer dan een administratieve exercitie (69 procent)
• compliance risico’s worden effectief beheerst (inclusief signalering) (56 procent)

Het percentage veranderwensen is met 63 procent aan de hoge kant. Ook in 2019 was dit met 59 procent zo. In het onderzoek zijn we niet expliciet ingegaan op het samenvallen van risico’s. Dit is wel in veel interviews aan de orde gekomen. Gebleken is dat dit binnen de bedrijven geen standaardpraktijk is bij de analyse van risico’s en risicomanagement. Daarmee rijst de vraag hoe adequaat sommige scenario’s zijn.

Daarnaast vielen diverse organisaties terug op een crisisteam met crisisprocedures. Ook dit hebben we niet expliciet in het onderzoek opgenomen. De vraag is of elk risico zich leent om pas aangepakt te worden op het moment dat dit zich manifesteert. Het managen van een aantal risico’s kan naar ons idee niet zonder dat er al wat infrastructurele maatregelen zijn getroffen.

Het basisprofiel is het er volstrekt dan wel duidelijk mee eens dat er een scenario moet liggen voor calamiteiten veroorzaakt door: brand, cybercrime, stroomtekort, het wegvallen van internet, negatieve publiciteit, levering van defecte producten/diensten, een publiek optreden van een klokkenluider, handelen in strijd met de gedragscode van het bedrijf, handelen in strijd met de wet, handelen in strijd met de privacywetgeving en het onverwacht wegvallen van de ceo. Allemaal scenario’s waar minstens de helft van de benchmarks met dezelfde mate van instemming achterstaat. Een scenario klaar hebben liggen voor calamiteiten veroorzaakt door een watertekort is niet direct noodzakelijk.

De resultaten van dit hoofdstuk zijn in lijn met de in het vorige hoofdstuk besproken verbeterwensen bij de stelling dat risicomanagement meer is dan een administratieve exercitie. Wij denken alleen dat de respondenten enigszins optimistisch zijn over de huidige situatie en dat het gat naar de wenselijke situatie wat groter is dan zij dachten/vermoedden.

Bij vijf van de twintig stellingen hebben minstens tien benchmarks een veranderwens. Dat zijn de stellingen over het hebben van een scenario bij calamiteiten veroorzaakt door: terrorisme (13 benchmarks), negatieve publiciteit, publiek optreden van een klokkenluider, handelen in strijd met de principes van duurzaam ondernemen (elk 11 benchmarks) en wateroverlast (10 benchmarks).

De enige stelling met weinig veranderwensen (3 benchmarks) is die voor een scenario voor brand. Dat is alleen voor de benchmarks woningcorporatie, overige non-profit en jongere commissaris een verbeterwens.

Het basisprofiel geeft alleen een duidelijke mate van instemming af bij de scenario’s voor calamiteiten veroorzaakt door: brand, cybercrime, levering van defecte producten/diensten en handelen in strijd met de wet. Het ontbreken van een duidelijke instemming vinden we ook bij de andere benchmarks terug. Alleen bij brand, cybercrime en handelen in strijd met de wet zien we dat meer dan de helft van de benchmarks daar duidelijk mee instemt. Een lage mate van instemming over de aanwezigheid komt dus veel voor. Opvallend zijn de benchmark woningcorporatie, die op veel scenario’s zeer laag scoort, en aan de andere kant de benchmarks commissaris die tevens lid is van de auditcommissie en commissaris die tevens lid is van de remuneratiecommissie, die bij veel scenario’s juist hoger scoren.

Elf van de voorgelegde scenario’s hebben we in 2019 ook voorgelegd. En we zien veel verschillen bij de benchmarks hoe ze daar nu tegenaan kijken en hoe ze daar toen tegenaan keken. Met name in de huidige situatie. De aanwezigheid van een scenario in verband met calamiteiten veroorzaakt door cybercrime is een stuk waarschijnlijker geworden. De aanwezigheid van een scenario voor calamiteiten veroorzaakt door optreden van een klokkenluider of door handelen in strijd met de wet zijn juist minder waarschijnlijk.

We zien dat acht benchmarks, net als het basisprofiel, het wenselijker vinden dan in 2019 om een scenario te hebben in het geval van calamiteiten veroorzaakt door cybercrime en zes benchmarks om een scenario voor een onverwacht wegvallen van de ceo. Daarnaast volgen negen benchmarks de lijn van het basisprofiel dat een scenario voor terrorisme minder nodig is dan in 2019. Zes benchmarks volgen de lijn dat een scenario voor handelen in strijd met de principes van duurzaam ondernemen minder nodig is dan in 2019.

De aan de orde gestelde onderwerpen: aftekenen declaraties van rvb door de rvc, jaarlijks onderzoek integriteit bij rvc en rvb en aanlevering van een VOG-verklaring waren naast meestal geen dagelijkse kost voor de respondenten zelfs onderwerpen die men soms nooit besprak. Wat betreft de VOG-verklaring waren de non-profitsector en de financiële instellingen daarop een uitzondering. Bij de meeste respondenten werd integriteit impliciet verondersteld aanwezig te zijn. Het onderwerp werd meestal niet expliciet besproken. Het algemene gevoel was dat dit onderwerp niet alleen in de organisatie structureel en periodiek aandacht moest krijgen, maar zeker ook in rvc en rvb. Over de manier waarop was geen eenduidig antwoord. Wel was het gevoel dat casuïstiek een zinvolle pijler kan zijn.

Bij het basisprofiel zien we dat vier van de vijf stellingen in de klasse min of meer mee eens (3.5 ≤ score < 4.0) vallen. Het gaat om een jaarlijks onderzoek van integriteit bij rvc en rvb en het overleggen van een VOG-verklaring voordat men een rvc-lid of rvb-lid benoemt. Het basisprofiel neigt bij het ondertekenen door de rvc van rvb-declaraties naar instemming. Deze mate van wenselijkheid van het basisprofiel delen de andere benchmarks breed. Er is één stelling waarbij minimaal de helft van de benchmarks een 4.0 of hoger scoort. Dat is dat voordat men een nieuw rvb-lid benoemt, deze een VOG-verklaring overlegt. 60 procent van de benchmarks is het daar duidelijk mee eens. Uiteraard mede geholpen door wettelijke verplichtingen in bepaalde organisaties in de non-profitsector.

Voor alle benchmarks gezamenlijk is het veranderpercentage met 84 procent zeer hoog. De scores van die veranderingen liggen in de wenselijke situatie niet allemaal boven de 3.2. Dat betekent dat een klein deel ook bespreekbare punten betreft (score < 3.2). Die vinden we overigens niet bij de stellingen over de VOG-verklaring. Daar zijn alle veranderwensen ook verbeterwensen. Er zijn vier stellingen waarbij minimaal dertien benchmarks een (urgente) verbeterwens hebben:

• De integriteit van de rvc wordt jaarlijks onderzocht (16 benchmarks).
• De integriteit van de rvb wordt jaarlijks onderzocht (15 benchmarks).
• Voordat een nieuwe commissaris wordt benoemd, overlegt deze een VOG-verklaring (14 benchmarks).
• Voordat een nieuw rvb-lid wordt benoemd, overlegt deze een VOG-verklaring (13 benchmarks).

De stelling over het ondertekenen door de rvc van rvb-declaraties kent zeven benchmarks die daar een verandering willen zien.

In de huidige situatie kan bij slechts één stelling dertien procent van de benchmarks aangeven het minimaal duidelijk eens te zijn. Dat is dat alvorens een nieuw rvb-lid wordt benoemd, deze een VOG-verklaring overlegt. Dat komt, niet verbazingwekkend, grotendeels voor rekening van de woningcorporatie en zorg en welzijn.

Het basisprofiel neigt alleen bij de stelling over het ondertekenen van declaraties van de rvb door de rvc naar instemming. De andere vier stellingen wijst deze benchmark af.
Vooral in de huidige situatie geven de respondenten blijk van zeer uiteenlopende opvattingen. In de wenselijke situatie is dat aanzienlijk minder, maar nog steeds aan de hoge kant in vergelijking met de andere onderwerpen in dit onderzoek. Dit is een indicatie dat men onvoldoende breed met deze onderwerpen bezig is geweest.

In 2020 hebben we de stellingen over het overleggen van een VOG-verklaring voordat een nieuw rvc-lid of rvb-lid wordt benoemd ook voorgelegd. Het laat zien dat de wenselijkheid om dat te implementeren bij zowel de profit- als de non-profitsector niet is veranderd. Duidelijk mee eens bij de laatste sector en min of meer mee eens bij de eerste sector. Over de daadwerkelijke implementatie in die tussenliggende vier jaar kunnen we zeggen dat er zeker wat de rvb betreft maar weinig veranderd is. Zowel de profitsector als de non-profitsector zijn bij de beantwoording in dezelfde klasse gebleven. Voor de profitsector betekent dat deels eens, deels oneens. Voor de non-profitsector betekent dat duidelijk mee eens, dat gebeurde toen en nu ook.

Ook de verbeterwensen zijn grotendeels onveranderd. Die waren in 2020 bij de profitsector al voor de helft urgent en dat is in 2024 ‘gestegen’ naar tweemaal urgent. De non-profitsector had geen verbeterwensen, maar in 2024 is dat met betrekking tot de commissaris wel van toepassing (een forse verbeterwens). De vraag lijkt dus met name: waarom heeft de profitsector het overleggen van een VOG-verklaring inmiddels geen onderdeel van de benoemingsprocedure gemaakt?

Ten aanzien van het jaarlijks onderzoeken van de integriteit bij de rvc en bij de rvb zien we dat de wenselijkheid daarvoor licht is gestegen en dat er, net als nu, sprake is van urgente veranderwensen bij de meeste benchmarks.

In dit deel van het onderzoek is ingegaan op datamanagement met specifieke aandacht voor het (versleuteld) staan van data in de cloud, het hebben van een strategie voor datamanagement (en ook een cloud-exit), het als rvc en als individu zicht hebben op waar de data zich bevinden, het compleet, betrouwbaar, op tijd beschikbaar en actueel zijn van de data en het hebben van een cultuur binnen rvc, rvb en organisatie die de waarde van data erkent.

Bij het basisprofiel zien we dat de wenselijkheid bij de opgenomen stellingen hoog is. Acht van de dertien stellingen vallen zelfs in de hoogste mate van instemming volstrekt eens (score ≥ 4.5) bij acht van de dertien stellingen. De andere benchmarks delen de wenselijkheid van het basisprofiel breed. Er zijn maar liefst negen stellingen waarbij alle benchmark minimaal een 4.0 of hoger scoren. En bij de andere vier stellingen geeft minimaal de helft van de benchmarks een 4.0 of hoger. De grootste verschillen tussen de benchmarks doen zich voor bij de stellingen over het zicht dat je als rvc of als individuele commissaris moet hebben over waar de data van de organisatie zich bevindt.

Bij zes van de dertien stellingen hebben minstens tien benchmarks een veranderwens. Koplopers zijn de stellingen over het hebben van zicht over waar de data van de organisatie zich bevinden, zowel als rvc als geheel als individuele commissaris. Vijftien benchmarks hebben daar een veranderwens. Dertien benchmarks hebben een verbeterwens bij het compleet zijn van de aanwezige data en bij het aanwezig zijn in de organisatie van een cultuur die de waarde van data erkent. Voor twaalf benchmarks geldt dit ook voor de cultuur binnen de rvc. Nog eens elf benchmarks hebben een verbeterwens voor het aanwezig zijn binnen de organisatie van een cloud-exitstrategie.

De enige stellingen met weinig veranderwensen zijn of de data van de organisatie in de cloud staan (0) en of de aanwezige data actueel zijn (1).

In de huidige situatie is bij zeven stellingen meer dan de helft van de benchmarks, inclusief het basisprofiel, het minimaal duidelijk eens. Dat gaat om:

- de aanwezige data zijn actueel (88 procent van de benchmarks)
- onze data staan in de cloud (86 procent)
- binnen de rvb is sprake van een cultuur die de waarde van data erkent (76 procent)
- de aanwezige data zijn op tijd beschikbaar (75 procent)
- onze data staan versleuteld in de cloud (69 procent)
- de aanwezige data zijn betrouwbaar (69 procent)
- binnen de rvc is sprake van een cultuur die de waarde van data erkent (59 procent)

In dit deel van het onderzoek gaan we in op frauderisicoanalyse en of organisaties of een externe die wel of niet moet opstellen. Verder zijn we benieuwd of rvc en rvb fraude als prioriteit op de beleidsagenda zien en of men vindt dat de accountant bekwaam genoeg is om fraude te detecteren. Als laatste waren we ook benieuwd of fraude voor de rvc een belangrijk bespreekpunt met de accountant is.

Het basisprofiel is het er volstrekt mee eens dat fraude een belangrijk bespreekpunt van de rvc met de accountant moet zijn, dat de accountant bekwaam moet zijn om fraude te detecteren en dat de organisatie over een door een externe opgestelde frauderisicoanalyse moet beschikken. Het basisprofiel is het er verder duidelijk mee eens dat de organisatie over een door de organisatie zelf opgestelde frauderisicoanalyse moet beschikken en dat de rvc en de rvb fraude als prioriteit op de beleidsagenda moeten zien.

Deze overtuigende mate van instemming/wenselijkheid van het basisprofiel volgen de andere benchmarks maar gedeeltelijk. Het grootbedrijf en het MKB volgen het basisprofiel/beursgenoteerde bedrijf in grote mate, maar dat geldt veel minder voor de non-profitbenchmarks. Vooral bij organisaties in de domeinen zorg- en welzijn en het onderwijs zijn die verschillen groot. Beide zijn niet overtuigt dat rvc en rvb fraude als prioriteit op de beleidsagenda moeten zien. Ook ziet zorg en welzijn de inzet van een externe die een frauderisicoanalyse maakt niet echt zitten. Ook de woningcorporatie en de overige non-profit zijn het daar maar min of meer mee eens.
Als we kijken naar de persoonsgebonden benchmark zien we dat commissarissenbenchmarks in grote lijnen het basisprofiel volgen en we de afwijkingen vooral bij de rvb/directie en de internal auditor vinden. Met name de lage wenselijkheid van de prioritering van fraude door rvc en rvb valt bij rvb/directie op. Van een door een externe opgestelde frauderisicoanalyse is rvb/directie maar net aan overtuigd.

Voor alle benchmarks gezamenlijk is het veranderpercentage met 57 procent hoog. Het zwaartepunt daarvan ligt bij de bedrijfsbenchmarks. Vooral het MKB (bij alle 6) en het beursgenoteerde bedrijf (basisprofiel). Bij de persoonsgebonden benchmarks zien we dat vooral de jongere commissaris veel verbeterwensen heeft (5). Dat staat in schril contrast met de minder ervaren commissaris (0) en de commissaris die tevens lid is van de auditcommissie (1) of tevens lid is van de remuneratiecommissie (1).

De meest gedeelde veranderwensen zijn dat de organisatie beschikt over een door externe opgestelde frauderisicoanalyse (12 benchmarks), de rvb fraude als prioriteit op de beleidsagenda ziet (11 benchmarks) en de rvc fraude als prioriteit op de beleidsagenda ziet (10 benchmarks).
De enige stelling met weinig veranderwensen (2) is dat fraude voor de rvc een belangrijk bespreekpunt met de accountant is.

Bij het basisprofiel vallen alleen de stellingen dat de accountant bekwaam genoeg is om fraude te detecteren en de stelling dat fraude voor de rvc een belangrijk bespreekpunt met de accountant is in de klasse duidelijk mee eens qua instemming. In de klasse min of meer mee eens vinden we de andere vier onderwerpen waarbij de score voor de rvb ziet fraude als prioriteit op de beleidsagenda het laagst is.

Bij slechts twee van de zes stellingen is meer dan de helft van de benchmarks het minimaal duidelijk eens. Dat zijn dezelfde twee stellingen als bij het basisprofiel. Tussen deze twee zit overigens alsnog een groot verschil. 71 procent van de benchmarks is het duidelijk eens met dat de rvc fraude een belangrijk bespreekpunt met de accountant is, dat geldt bij de stelling over bekwaamheid voor 53 procent.