Geïntegreerd risicomanagement geeft het bestuur één samenhangend beeld van de risico’s en kan daarmee de onderbouwing van de Verklaring omtrent Risicobeheersing (VOR) uit de Nederlandse Corporate Governance Code (2025) versterken. Het is geen voorwaarde voor een goed onderbouwde verklaring, maar maakt die wel consistenter, efficiënter en beter uitlegbaar. Etienne Herlaar, associate partner Risk Management bij ONE Risk Advisory, beschrijft waarom versnipperd risicomanagement de onderbouwing bemoeilijkt, waarom inzicht alleen niet genoeg is en welke rol Internal Audit daarbij speelt.
Het eerste VOR-seizoen zit erop
Sinds februari 2026 is de Corporate Governance Code 2025 wettelijk verankerd. Bestuurders verantwoorden zich in het bestuursverslag via de Verklaring omtrent Risicobeheersing (VOR) over de beheersing van operationele, compliance- en verslaggevingsrisico’s, inclusief de betrouwbaarheid van de duurzaamheidsverslaggeving. De eerste verklaringen over boekjaar 2025 zijn inmiddels gepubliceerd; de voorbereiding op het tweede jaar is in volle gang.
Nederland staat daarin niet alleen. In de Verenigde Staten vraagt de Sarbanes-Oxley Act (SOx) onder Section 404 al jaren om een Management’s Report on Internal Control over Financial Reporting (ICFR). In het Verenigd Koninkrijk vraagt Provision 29 van de UK Corporate Governance Code 2024 vanaf boekjaar 2026 een Declaration of effectiveness of material controls, die naast financiële ook operationele, rapportage- en compliancebeheersmaatregelen omvat. De boodschap is overal dezelfde: het bestuur moet kunnen onderbouwen dat het in control is.
Die verklaring is resultaatgericht. Bij ontoereikend risicomanagement of een onjuiste verklaring komt de aansprakelijkheid van bestuurders sneller in beeld; de Practice Guide van IIA Nederland over de VOR (november 2024) noemt het aansprakelijkheidsrisico als aandachtspunt bij het bepalen van de mate van zekerheid. Bovendien fungeert de Code ook als maatstaf voor goed bestuur bij niet-beursgenoteerde organisaties.
De uitdaging: versnipperd risicomanagement
De onderliggende informatie is in de praktijk vaak versnipperd. Enterprise Risk Management (ERM), financial reporting, asset management, cyber, safety en de CSRD dubbele materialiteitsanalyse (DMA) hanteren ieder een eigen methodiek, eigen registers en eigen rapportages. Risico’s worden daardoor ad hoc en gefragmenteerd gerapporteerd, terwijl centrale sturing en een expliciete risk appetite ontbreken. Het bestuur is accountable, maar beschikt niet altijd over een integraal beeld.
Toenemende regeldruk
Daarnaast neemt de regeldruk toe. Sinds 15 augustus 2026 zijn de Cyberbeveiligingswet (NIS2) en de Wet weerbaarheid kritieke entiteiten (Wwke) van kracht. Kritieke entiteiten moeten een eigen risicobeoordeling uitvoeren, en onder de Cyberbeveiligingswet moet het bestuur de zorgplichtmaatregelen goedkeuren, toezien op de uitvoering en zelf over voldoende kennis beschikken (art. 24 Cbw). Samen met de AVG en de CSRD vraagt alle regelgeving om een risicogebaseerde benadering. Wanneer iedere verplichting afzonderlijk wordt ingevuld, nemen de complexiteit en de kosten verder toe.
Harmonisatie waar het kan, differentiatie waar het moet
Een geharmoniseerd risicomanagementraamwerk brengt deze werelden samen, zonder ze gelijk te maken. Niet elke discipline laat zich in hetzelfde model vangen: asset management werkt met faalkansen en conditiegegevens, cyber met dreigingsscenario’s en safety met barrièreanalyses. Die verschillen hebben een inhoudelijke reden. De kunst is te harmoniseren waar het kan en te differentiëren waar het moet.
Harmoniseren loont vooral op:
- Eén risicotaal en een gemeenschappelijke risicotaxonomie.
- Eén waarderingsschaal, gekoppeld aan een door het bestuur vastgestelde risk appetite.
- Eenduidige vastlegging van risico’s, beheersmaatregelen, actieplannen en incidenten in een GRC-systeem.
- Integratie in de managementrapportage, zodat verbeterinitiatieven direct worden verbonden met risicobeheersing.
Binnen dat kader behoudt elke discipline haar eigen analysemethode en vakstandaard. Het resultaat is integraal inzicht in risico’s en kansen, zonder dat de diepgang per vakgebied verloren gaat.
Geen overkoepelende standaard
In de markt bestaan veel verschillende methodieken, maar er is geen overkoepelende standaard. ISO 31000 en COSO ERM worden veel gebruikt voor Enterprise Risk Management en het COSO Internal Control-raamwerk voor financial reporting, maar andere disciplines hebben hun eigen standaarden, zoals ISO 55000 voor asset management en ISO/IEC 27001 of het NIST Cybersecurity Framework voor cyber. Voor de betrokken vakgebieden zijn die vaak onaantastbaar. Welke standaard uiteindelijk leidend wordt, is daardoor niet zelden een politieke keuze.
Juist daar biedt een onafhankelijke partij een kans. Als neutrale verbinder tussen de disciplines, zonder belang bij één bepaalde methodiek, kan zij helpen de bestaande standaarden te respecteren en tegelijk te komen tot één samenhangend kader dat het bestuur integraal inzicht geeft.
Van inzicht naar aantoonbare effectiviteit
Integraal risico-inzicht is een belangrijke stap, maar voor de VOR niet voldoende. De verklaring gaat over de werking van de risicobeheersing: zijn de belangrijkste beheersmaatregelen goed opgezet, bestaan ze en werken ze ook effectief? Het bestuur moet dat kunnen beoordelen en onderbouwen.
Dat vraagt om een vaste cyclus: de sleutelbeheersmaatregelen per significant risico benoemen; opzet, bestaan en werking periodiek beoordelen, bijvoorbeeld via self-assessments in de eerste lijn en monitoring en testen door de tweede lijn; tekortkomingen vastleggen en opvolgen; en op basis daarvan een onderbouwde conclusie trekken over de mate van zekerheid. Een geharmoniseerd kader en een GRC-systeem maken die cyclus efficiënter en de uitkomsten vergelijkbaar, maar het beoordelen van de effectiviteit blijft de kern.
De rol van Internal Audit
Internal Audit heeft in deze keten een eigen, onafhankelijke rol. Als derde lijn geeft Internal Audit het bestuur en de auditcommissie zekerheid over de opzet en werking van de risicobeheersing, inclusief de beoordelingen die de eerste en tweede lijn uitvoeren. Dat is des te relevanter nu de auditcommissie onder de Code 2025 rapporteert over de onderbouwing van de VOR. IIA Nederland werkt dit uit in de Practice Guide VOR en de Internal Auditfunctie.
Een geïntegreerd kader helpt ook hier. Wanneer eerste, tweede en derde lijn dezelfde taal, waardering en vastlegging gebruiken, sluiten hun werkzaamheden op elkaar aan (combined assurance), wordt dubbel werk voorkomen en kan Internal Audit gericht steunen op of aanvullen wat de andere lijnen al doen. Voorwaarde is wel dat Internal Audit onafhankelijk blijft van de inrichting die zij beoordeelt.
Wat het oplevert
Integraal inzicht, aantoonbare effectiviteit en onafhankelijke toetsing stellen het bestuur in staat de VOR met meer comfort af te geven en stakeholders in het jaarverslag integraal te informeren over de effectiviteit van de risicobeheersing. Tegelijkertijd verdwijnen duplicaties en verborgen kosten: wanneer iedereen op een eigen manier aan risicomanagement doet, zijn de kosten hoog en is het overzicht beperkt.
Een centraal aansturingsmodel vraagt een investering vooraf, maar levert structureel efficiëntie op en vergroot de zekerheid over het realiseren van de strategische doelstellingen. Nieuwe regelgeving kan bovendien op hetzelfde fundament worden aangesloten.
ONE Risk Advisory is gespecialiseerd in Risk Management en Internal Audit en ondersteunt organisaties over alle drie de lijnen, met advies en ervaren interim-professionals.
Over ONE Risk Advisory
ONE Risk Advisory is een gespecialiseerde dienstverlener in Risk Management en Internal Audit, die uitsluitend ervaren specialisten inzet. Wij zijn gespecialiseerd in geïntegreerd risicomanagement over alle drie de lijnen: van de business in de eerste lijn, via compliance en ERM in de tweede lijn, tot Internal Audit in de derde lijn.
- Advisory: harmonisatie van risicomethodieken, inrichting van geïntegreerde risicomanagementmodellen en GRC-ondersteuning (Governance & Control Design en Embedding & Transformation).
- Interim-oplossingen: ervaren professionals die risicomanagement, compliance of Internal Audit tijdelijk versterken of opbouwen (senior inzet op opdracht).
- Maturity assessments en nulmetingen: inzicht in waar de organisatie staat en wat nodig is om de gewenste ambitie te bereiken (Risk Management Quality Assessment).
Binnenkort: het Risk & Resilience Assessment, een onafhankelijke toets van de risicomanagementfunctie. Wij gaan graag met u in gesprek over de mogelijkheden voor uw organisatie. Plan een gesprek.
Veelgestelde vragen
Wat is de Verklaring omtrent Risicobeheersing (VOR)?
De Verklaring omtrent Risicobeheersing (VOR) is de verklaring van het bestuur in het bestuursverslag over de interne risicobeheersings- en controlesystemen, in best practice bepaling 1.4.3 van de Nederlandse Corporate Governance Code 2025. Zij geldt voor boekjaren vanaf 1 januari 2025, onder pas toe of leg uit, en gaat over de beheersing van operationele, compliance- en verslaggevingsrisico’s, inclusief de duurzaamheidsverslaggeving.
Wat is geïntegreerd risicomanagement?
Geïntegreerd risicomanagement brengt de risicobeelden van disciplines als Enterprise Risk Management, financial reporting, asset management, cyber, safety en de dubbele materialiteitsanalyse samen in één kader: één risicotaal, één waarderingsschaal gekoppeld aan de risk appetite van het bestuur, eenduidige vastlegging in een GRC-systeem en integratie in de managementrapportage. Elke discipline behoudt haar eigen analysemethode en vakstandaard.
Is geïntegreerd risicomanagement nodig voor de VOR?
Nee. Geïntegreerd risicomanagement is geen voorwaarde voor een goed onderbouwde verklaring, maar maakt die wel consistenter, efficiënter en beter uitlegbaar. De kern van de VOR blijft het beoordelen van de effectiviteit van de beheersmaatregelen: zijn de belangrijkste beheersmaatregelen goed opgezet, bestaan ze en werken ze ook effectief?
Welke rol heeft Internal Audit bij de VOR?
Internal Audit geeft als derde lijn het bestuur en de auditcommissie zekerheid over de opzet en werking van de risicobeheersing, inclusief de beoordelingen die de eerste en tweede lijn uitvoeren. De auditcommissie rapporteert onder bepaling 1.5.3 van de Code 2025 aan de raad van commissarissen over de onderbouwing van de VOR. IIA Nederland werkt de rol van Internal Audit uit in de Practice Guide VOR en de Internal Auditfunctie (november 2024).
Welke standaard is leidend bij geïntegreerd risicomanagement?
Er is geen overkoepelende standaard. ISO 31000 en COSO ERM worden veel gebruikt voor Enterprise Risk Management, het COSO Internal Control-raamwerk voor financial reporting, ISO 55000 voor asset management en ISO/IEC 27001 of het NIST Cybersecurity Framework voor cyber. Een geharmoniseerd kader respecteert die standaarden en brengt ze samen, zodat het bestuur één samenhangend beeld krijgt.