Integriteitsrisicobereidheid

De financiële toezichthouders hebben het belang benadrukt van de kwaliteit van de Systematische Integriteitsrisicoanalyse (SIRA) als uitgangspunt voor effectief risicobeheer. Een belangrijk onderdeel hiervan is de integriteitsrisicobereidheid. Hier lees je meer over wat een integriteitsrisicobereidheid inhoudt en hoe je deze bepaalt. Ook worden de valkuilen bij het opstellen ervan beschreven.

Wat houdt een integriteitsrisicobereidheid in?

Een integriteitsrisicobereidheid geeft antwoord op de vragen welke integriteitsrisico's de instelling acceptabel vindt nadat beheersmaatregelen zijn toegepast, en welke risico's de onderneming onder geen beding wil nemen.

Met een verklaring over de integriteitsrisicobereidheid geeft de instelling expliciet aan welke integriteitsrisico's zij bereid is te accepteren. Idealiter wordt de integriteitsrisicobereidheid vastgesteld voordat de SIRA wordt opgesteld. Toezichthouder DNB merkt op dat het in de praktijk ook vaak een interactief proces is.

Hoe stel ik een integriteitsrisicobereidheid vast?

Je bepaalt de risicobereidheid voor de integriteitsrisico's die je voor je organisatie heeft geïdentificeerd. Voorbeelden van integriteitsrisico's zijn: interne en externe fraude, witwassen en cybercrime.

Twee voorbeelden van een verklaring over de integriteitsrisicobereidheid:

1. Wij werken niet mee aan het faciliteren van witwassen en terrorismefinanciering door onze cliënten. Wij hebben daarom geen tot een laag risicobereidheid voor afwijkingen van de Wwft en de Sanctiewet. Enige afwijking is mogelijk in de situatie waarin de cliënt en/of UBO wordt vervolgd voor financieel-economische activiteiten, maar waarin het vonnis nog niet onherroepelijk is. Een afwijking is alleen mogelijk als de besluitvorming aan de directie is voorgelegd en er voldoende maatregelen zijn getroffen om het proces te volgen totdat het vonnis onherroepelijk wordt. 
2. Onze belangrijkste kernwaarde is betrouwbaarheid. Daarom houden wij ons niet bezig met frauduleuze activiteiten. Niet door onze medewerkers, en niet door onze leveranciers en andere partners. Onze risicobereidheid voor interne fraude is nul. Alle signalen van niet-integer gedrag nemen wij serieus. Vastgestelde fraude wordt onderzocht en afgehandeld binnen de daarvoor gestelde termijnen, en er worden maatregelen genomen om nieuwe gevallen te voorkomen.

Een risicobereidheid is per definitie dynamisch. Ontwikkelingen in de onderneming en in de buitenwereld kunnen immers leiden tot aanpassingen van je risicobereidheid.

Valkuilen bij het opstellen van een integriteitsrisicobereidheid

Bij het opstellen van een integriteitsrisicobereidheid zijn er verschillende valkuilen. Projective Group beschrijft waar je op moet letten.

1. Integriteitsrisicobereidheid staat los van de doelstellingen van de organisatie.

Veel ondernemers zien een risicobereidheid als een belemmering om doelstellingen te bereiken. Wij zien dat nadenken over risicobereidheid ook betekent nadenken over welke risico's passend kunnen worden genomen om organisatiedoelen te bereiken.

2. Integriteitsrisicobereidheid hoort bij een afdeling of een individu

Te vaak wordt een risicobereidheid opgesteld door een individu, zonder te overwegen of deze effectief kan worden overgebracht en gedragen door het management. Daardoor verliest een risicobereidheid haar waarde. Een goede risicobereidheid is per definitie een gedeelde, persoonsonafhankelijke visie. Alle medewerkers moeten er in hun dagelijks werk verbinding mee kunnen maken. De tone at the top is hierbij bepalend.

3. Een integriteitsrisicobereidheid is een wettelijke verplichting

Het hebben van een integriteitsrisicobereidheid vloeit voort uit de wettelijke bepalingen in het kader van een integere en beheerste bedrijfsvoering en ondersteunt je bij het naleven van de Wwft en de Sanctiewetgeving. Bij cliëntintegriteit gaat het niet alleen om wat wettelijk wel of niet is toegestaan, maar vooral om principes waar je als organisatie bewust voor staat. Deze principes zijn niet altijd zwart-wit of statisch. Zo zien we dat belastingontwijking steeds minder wordt geaccepteerd, ook al is het niet per se een illegale activiteit.

4. Integriteitsrisicobereidheid is geen prioriteit

Er zijn dagelijks situaties waarin het nodig is om terug te grijpen op je risicobereidheid. Een eenvoudig voorbeeld: een project om een nieuw CRM-systeem te implementeren heeft vertraging opgelopen. Dit kan leiden tot een situatie waarin je moet afwegen of de beveiliging van je huidige systeem nog past binnen je risicobereidheid van 'geen enkele interne fraude toestaan' en/of of dit je risicotolerantie overschrijdt. In dat geval moet je mogelijk aanvullende beheersmaatregelen treffen.

Een heldere risicobereidheid kan een kompas zijn voor je medewerkers in hoe zij bijvoorbeeld omgaan met de situatie waarin een trouwe klant een nieuw incassorekeningnummer doorgeeft op naam van een andere rekeninghouder. Dit vergroot immers het risico op het faciliteren van witwassen.

5. Integriteitsrisicobereidheid is te algemeen

Een organisatie die alleen stelt dat zij geen enkel integriteitsrisico wil lopen en dit niet specificeert, geeft geen richting aan de risico's die zij daadwerkelijk loopt. Een goede risicobereidheid is gebaseerd op een grondige analyse van de inherente risico's op het niveau van haar producten en diensten, distributiekanalen en samenwerkingsverbanden, klanten en medewerkers. Dit helpt je ook onnodige kosten en gemiste voordelen te voorkomen.

Meer weten?

Kun je ondersteuning gebruiken bij het uitvoeren van een integriteitsrisicoanalyse of het bepalen van je risicobereidheid? Onze consultants ondersteunen je graag. Neem gerust contact met ons op.