Erik Hessels

Sinds maart 2025 is de VOR toegevoegd als een vereiste in de herziene Corporate Governance Code: de Verklaring Omtrent Risicobeheersing (VOR) in het bestuursverslag van Nederlandse beursgenoteerde ondernemingen.

Hoe geef je daar als organisatie op een betekenisvolle manier invulling aan? Op donderdag 17 juli 2025 presenteerde een werkgroep van de NBA de brochure VOR - Inspiratie en handvatten voor accountants in business en intern accountants om bij te dragen aan de VOR. Tijdens een interactieve bijeenkomst werd de publicatie besproken met een breed gezelschap van vooral professionals uit de eerste, tweede en derde lijn: van internal auditors en risk managers tot financieel bestuurders en governance experts.

Geen afvinklijst

De bijeenkomst, geleid door werkgroepvoorzitter Daco Daams, stond in het teken van reflectie, inspiratie en praktijkvoorbeelden. De inleiding werd verzorgd door prof. dr. Marlies de Vries RA, onder meer oud-lid van de Commissie toekomst accountancysector (Cta) en hoogleraar behavioural risicomanagement aan Nyenrode. In haar bijdrage hield zij een krachtig pleidooi voor het versterken van eigenaarschap binnen organisaties: "De VOR is geen vinklijst of een Nederlandse versie van SOx, maar gaat over gedrag, cultuur en transparantie. Niet over afvinken, maar over vertrouwen."

De Vries benadrukte dat risicobeheersing geen doel op zich is, maar onderdeel van een goed geleide organisatie: "Culture eats control for breakfast." De VOR biedt daarmee geen sluitende garantie, maar wél een uitgelezen kans om strategisch en integraal te reflecteren op risicomanagement en interne beheersing.

Tijdens de bijeenkomst werd ook gereflecteerd op het verschil in benadering tussen het oorspronkelijke doel van de VOR - het stimuleren van interne reflectie en transparantie - en de toenemende behoefte aan eenduidige toetsingskaders. Daarbij werd benadrukt dat de positionering van de externe accountant zorgvuldig moet worden afgewogen, om rolvermenging en onbedoelde toename van assurance te voorkomen.

Brochure ter inspiratie en houvast

De nieuwe brochure biedt praktische handvatten voor accountants in business (AIB) en intern accountants (IA) om hun bestuurders, commissarissen en auditcommissies te ondersteunen bij het opstellen en onderbouwen van een VOR. Aan de hand van vijf voorbeeldteksten kunnen organisaties een passend niveau van zekerheid kiezen, variërend van minimale tot meer gefundeerde zekerheid, afhankelijk van de volwassenheid van hun Intern Risicobeheersings- en Controlesysteem (IR&CS), sector en risicobereidheid.

Naast de voorbeeldteksten bevat de publicatie ook concrete bouwstenen voor het IR&CS, zoals strategie, cultuur, governance en performance management. De brochure biedt verder herkenbare praktijkvoorbeelden uit jaarverslagen van onder andere ASML, Ahold Delhaize, Heineken, Alliander en NN Group.

De praktijk: reflectie en nuance

Tijdens de bijeenkomst werden ook praktijkervaringen gedeeld. Eén organisatie koos voor een meer traditionele benadering, op basis van COSO. Een ander volgde een holistische aanpak, waarin cultuur, gedrag en dialoog centraal stonden. Deze verschillen onderstrepen dat er geen one size fits all-benadering is voor de VOR: organisaties maken hun eigen afwegingen op basis van sector, toezichtcontext, volwassenheid van risicobeheersing en hun governancecultuur.

In een poll gaven deelnemers aan welk zekerheidsniveau hun organisatie momenteel ambieert:

• Confined certainty (48 procent) biedt comfort, zonder te pretenderen volledige controle te hebben en sluit goed aan bij organisaties met een solide, maar niet perfecte IR&CS.
• Some certainty (32 procent) werd vooral gekozen door organisaties die actief zijn in een internationaal speelveld. Voor hen is de VOR een ontwikkeltraject ('een reis'), waarbij verschillen in cultuur, governance, toezicht en aansprakelijkheid meespelen. Deze context vraagt om zorgvuldigheid in de formulering van de verklaring.
• Certainty (16 procent) werd vooral genoemd binnen de financiële sector - een omgeving waar strenge toezichtkaders al langere tijd vragen om expliciete risicobeheersing.
• Minimal certainty (3 procent) kwam slechts één keer voor.
• Certainty per risk (0 procent) werd niet gekozen, mogelijk vanwege de praktische complexiteit.

Deze spreiding onderstreept dat de VOR niet één invulling kent. Organisaties maken afwegingen op basis van toezichtintensiteit, internationale context, volwassenheid van hun systemen én hun risicobereidheid. De poll leidde tot waardevolle gesprekken over dilemma's in formulering, eigenaarschap en transparantie.

Meer dan een verklaring

De bijeenkomst onderstreepte dat de VOR geen compliance-instrument is, maar een uitnodiging tot dialoog, reflectie en versterking van de risicocultuur en governance. De publicatie helpt organisaties om de stap te zetten van "pas toe" naar "praktisch toepassen" en geeft ruimte om als organisatie je eigen verhaal te vertellen over risico's en beheersing.

Tegelijk werd benadrukt dat het expliciet nemen van verantwoordelijkheid op bestuursniveau cruciaal is. De VOR hoort geen project te worden dat buiten het bestuur wordt geplaatst; daarmee verdwijnt juist het eigenaarschap dat centraal zou moeten staan. Goed bestuur vraagt om actieve betrokkenheid van bestuurders, in samenhang met professionals uit risicomanagement, compliance en audit - de zogenoemde eerste, tweede en derde lijn - die gezamenlijk bijdragen aan een gebalanceerd en effectief systeem van interne beheersing.

Zoals werkgroeplid Mandy Dijkman het verwoordde: "De VOR is geen doel, maar een middel om in gesprek te gaan over wat er écht toe doet binnen een organisatie."

• Brochure: VOR - Inspiratie en handvatten voor AIB en IA (pdf)
• Lees ook het eerder verschenen dialoogpaper: De impact van de VOR vanuit het externe accountantsperspectief