6. Risicobeheersing

Risicomanagement is een belangrijk onderdeel van de besluitvorming en uitvoering. Risico-management draagt bij aan het realiseren van onze doelstellingen, een beheerste en integere bedrijfsvoering en aan het voldoen aan wet- en regelgeving. Het integraal risicomanagementbeleid is onder meer gebaseerd op de principes van het Enterprice Risk Management (ERM) van COSO het werk- en denkmodel van de 8 stappen uit het COSO (The Committee of Sponsoring Organizations of the Treadway Commission) uit 2017.

Het risicomanagement is opgebouwd uit drie verdedigingslinies:

1. Het bestuur is beleidsbepalend en draagt de eindverantwoordelijkheid voor het bestaan en de werking van de processen en de bijbehorende beheersmaatregelen. De bestuurscommissies en het dagelijks bestuur hebben een uitvoerende en monitorende verantwoordelijkheid voor het risicobeheer op hun gebied. Het bestuursbureau ondersteunt de bestuurscommissies en het bestuur. 
   
2. De sleutelfuncties risicobeheer en actuarieel en de compliance officer vormen de tweede linie. De sleutelfunctie Risicobeheer heeft een toetsende, onderzoekende, en adviserende rol richting de eerste lijn. Het houderschap van de sleutelfunctie risicobeheer is belegd bij een bestuurder. De functie van vervuller wordt ingevuld door de risicomanager binnen het bestuursbureau. De compliance officer is verantwoordelijk voor het stimuleren van en toezien op naleving van geldende maatschappelijke normen en wettelijke en interne regels op het gebied van integriteit. De sleutelfunctie actuarieel is uitbesteed aan de certificerend actuaris. De sleutelfunctie actuarieel ziet toe op het doeltreffend toepassen van het verzekeringstechnische risicobeheer.
   
3. De sleutelfunctiehouder interne audit vormt de derde linie. De sleutelfunctiehouder Interne Audit toetst of het risicomanagement in de eerste en de tweede lijn in opzet, bestaan en werking effectief is. Het houderschap van de sleutelfunctie interne audit is belegd bij een bestuurder. De functie van vervuller is uitbesteed aan Forvis Mazars.

Onze missie, visie en strategische doelstellingen en de risicohouding zijn leidend voor de mate waarin we risico’s accepteren. Onze risicohouding is in totaliteit als ‘Gebalanceerd’ aan te merken. Dit betekent dat het bestuur geen onnodige risico’s accepteert, maar tegelijkertijd erkent dat sommige risico’s niet volledig te mitigeren zijn tegen aanvaardbare voorwaarden. En dat er ook risico’s bestaan die, wanneer bewust genomen, een beloning kunnen opleveren. Hierbij streven we naar het realiseren van een waardevast pensioen door de kans op korten zo veel mogelijk te beperken. Vanuit een langetermijnvisie veronderstellen we dat het nemen van risico's op den duur leidt tot meer rendement en bijdraagt aan het waarmaken van de (financiële) ambities van het fonds.

We hanteren een integrale risicomanagementmethodiek die is verankerd in onze strategische en operationele besturing. We hebben inzicht in de mate van beheersing van onze organisatie door het op structurele en uniforme wijze in kaart brengen van de risico’s en de effectiviteit van de getroffen beheersmaatregelen. Dit raamwerk is de basis waarop we beslissingen nemen. Periodiek evalueren wij de uitvoering van het risicomanagement. Reflectie leidt, waar nodig, tot herijking van (onderdelen van) de bedrijfsvoering in het algemeen en risicomanagement in het bijzonder. Evaluatie draagt bij aan het verhogen van het volwassenheidsniveau van ons risicomanagement en bijstelling van het risicomanagementbeleid.

Het programma INPC heeft tot doel de solidaire premieregeling inclusief het invaren van de opgebouwde pensioenaanspraken en -rechten beheerst en integer te implementeren op 1  januari 2027. Eind 2024 hebben de sociale partners hun transitieplan aan het bestuur verstrekt. Onze focus lag dit jaar op de vormgeving van het beleid en de uitvoering om de opdracht van sociale partners, in lijn met het transitieplan, te kunnen aanvaarden.

Op specifieke thema’s voeren wij periodiek risicoanalyses door de gehele procesketen uit, zoals integriteit (SIRA), Informatiebeveiliging en cybersecurity en ESG. De SIRA wordt uitgevoerd in lijn met de herziene guidance van DNB. Het organisatierisicoprofiel is vastgesteld en vervolgens worden in de Systematische integriteitsrisicoanalyse (SIRA) alleen die risico’s behandeld waardoor het fonds daadwerkelijk wordt geraakt. De SIRA is in 2026 afgerond.

Ook is gestart met de herijking van de ESG-risicoanalyse gebaseerd op het actuele ESG-beleid. De bruto risico’s zijn opnieuw geïnventariseerd, de risicoanalyse is in 2026 afgerond. 

Vanaf 17 januari 2025 is de Europese verordening DORA van kracht ordening in de Nederlandse wetgeving. DORA heeft tot doel om de digitale weerbaarheid van de financiële sector te vergroten en richt zich op ICT-risicomanagement, ICT-incidenten, het periodieke testen van digitale operationele weerbaarheid, de beheersing van risico’s bij uitbesteding aan (kritieke) derden en de samenwerking rond uitwisseling van informatie over cyberdreigingen. Wij hebben ons beleid herzien om aan de vereisten van DORA te kunnen voldoen.

Het risicomanagement beleid anticipeert op (externe) ontwikkelen. Om ons risicomanagement actueel te houden en te verbeteren in de toekomst staan onder meer de volgende werkzaamheden op de agenda: 

• IT en Artificial Intelligence (AI): AI wordt steeds meer ingezet in onze procesketen. We gaan een beleid voor het gebruik van AI opstellen. Daarbij brengen we in kaart welke risico’s we lopen, en wat we kunnen doen om die te beheersen.
• Het risicomanagementbeleid en het controleraamwerk aanpassen aan de herijkte missie, visie en strategische doelstellingen onder de Wtp en zo nodig aanscherpen.

Nederlandse Compliance & Integriteit Professionals (NCIP) heeft, in opdracht van het bestuur, gedurende 2025 de rol van externe compliance officer (ECO) Pensioenfonds Notariaat vervuld. NCIP monitort onder andere de integere bedrijfsvoering van ons fonds waar het Integriteitbeleid en de Gedragscode een belangrijk onderdeel van uitmaken. Daarnaast treedt de ECO op als adviseur met betrekking tot compliance, integriteit, gedragsregels, belangenverstrengeling en incidentbehandeling.   

In Q4 zijn de SIRA (Integriteit risicoanalyse) werkzaamheden opgestart waarbij is herbeoordeeld welke integriteitsrisico’s van toepassing zijn op het fonds en welke risicobeheersende maatregelen daar tegenover staan. Het bestuur stelt hierbij vast of de restrisico’s binnen de bereidheid van het bestuur passen en of de beheersmaatregelen voldoende effectief zijn. In Q1 2026 wordt de SIRA afgerond. 

Conform de revisiekalender zijn verschillende documenten binnen het kader van integere bedrijfsvoering herzien en geactualiseerd waaronder de Gedragscode en het Integriteitbeleid. In de uitvoering van onze taak heeft NCIP een begeleidende, adviserende danwel monitorende rol vervuld ten aanzien van de actualisatie van de integere bedrijfsvoering en de SIRA. Daarnaast heeft NCIP de naleving van de Gedragscode door verbonden personen gemonitord en zijn awareness sessies georganiseerd.  

Tijdens de monitoring door NCIP zijn geen inhoudelijke onregelmatigheden geconstateerd ten aanzien van de naleving van de Gedragscode door verbonden personen. Er zijn geen signalen van (potentiële) belangenverstrengeling of de schijn hiervan gesignaleerd. Als incidentmeldpunt heeft NCIP geen meldingen ontvangen van potentiële integriteitincidenten. NCIP constateert dat binnen Pensioenfonds Notariaat een integere bedrijfsvoering bestaat en dat haar Governance is gericht op adequate beheersing van integriteitrisico’s.

We hebben een klachten- en geschillenregeling die is geactualiseerd per 1 januari 2025. Wij zijn aangesloten bij de Stichting Geschillen Instantie Pensioenfondsen (GIP).

Indien een bezwaarmaker de Klachten- en geschillenregeling van ons heeft doorlopen en zich niet met het bestuursbesluit over de behandeling van het  bezwaar kan verenigen, heeft de bezwaarmaker het recht het bezwaar voor te leggen aan GIP. Na behandeling door GIP staat de weg naar een bevoegde rechter nog open. Een geschil kan ook direct bij de burgerlijke rechter aanhangig gemaakt worden.

In 2025 zijn drie werkgeversklachten ontvangen. Ten opzichte van 2024 is het aantal klachten over de nieuwe pensioenregeling (invaren, transitie) toegenomen van 1 naar 4.

Sinds 1 januari 2016 geldt de meldplicht datalekken. Dit houdt in dat organisaties direct een melding moeten doen bij de Autoriteit Persoonsgegevens zodra een ernstig datalek is vastgesteld.. Organisaties moeten het datalek in bepaalde situaties ook melden aan de betrokkenen waarvan de persoonsgegevens zijn gelekt. Bij een datalek gaat het om toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is van deze organisatie. Ook onrechtmatige verwerking van gegevens valt onder een datalek.

Er hebben zich in 2025 geen datalekken voorgedaan. Er hebben zich in 2025 in totaal 10 incidenten voorgedaan, waarvan 9 incidenten zijn beoordeeld als zijnde ‘incident (niet materieel)’ en 1 incident is beoordeeld als zijnde ‘ernstig ICT incident’. Er zijn geen meldingen gedaan bij de Autoriteit Persoonsgegevens.

In 2025 zijn door de toezichthouders geen boetes of dwangsommen opgelegd aan het fonds.