6. Risicobeheer

Hieronder volgen de belangrijkste thema’s binnen risicomanagement in 2025:

1. Afronding DORA
2. Wtp
3. AI-beleid
4. Herijking risicotaxonomie

De sleutelfunctiehouder Interne audit heeft in 2025 de geplande audits uitgevoerd over het datamanagement en de implementatie Wtp. De audits zijn positief verlopen en het bestuur geeft opvolging aan de aanbevelingen. Voor de implementatie Wtp zijn dit:

1. Tijdig (vóór invaren) de impact van de stelselwijziging op de benodigde omvang en competenties van zowel bestuur als bestuursondersteuning verder in kaart brengen (zoals reeds gestart);
2. Nadrukkelijk monitoren of TKP de operationele en IT-readiness tijdig, juist en volledig kan aantonen;
3. Vaststellen of voldoende comfort/assurance verkregen kan worden ten aanzien van de afwijkingen in de Oak-regeling van de TKP-standaard;
4. Tijdig, juist en volledig de opzet van financiële (verantwoordings-)processen uit (laten) werken.

Voor datamanagement worden onderstaande aanbevelingen opgevolgd. De aanbevelingen zien met name toe op de toekomstige situatie ná invaren:

1. Verricht een uitgebreide gedocumenteerde nulmeting op de (nieuwe) ISAE (van TKP voor de Wtp-regeling) om vast te stellen dat de scope van alle preventieve, detectieve en correctieve beheersmaatregelen toereikend is teneinde vast te kunnen stellen dat de Wtp-regeling beheerst en integer wordt uitgevoerd.
2. Stel jaarlijks vast of sprake is van wijzigingen in risicohouding, regeling, externe factoren, andere effecten en/of de ISAE-scope. Indien dat het geval is, beoordeel dan of de ISAE nog steeds de juiste en volledige scope bevat én of er wijzigingen nodig zijn in de KDE-lijst van het fonds.

De audit over DORA is in 2025 gestart en wordt in 2026 afgerond.

Binnen de risicocategorie Integriteitsrisico volgt het bestuur nadrukkelijk het risico van interne, externe en fiscale fraude. In 2025 is geen fraude geconstateerd. Het bestuur hanteert ter beheersing van frauderisico de volgende maatregelen:

• In de gedragscode van het pensioenfonds zijn regels vastgelegd ter voorkoming van belangenconflicten, handelen met voorwetenschap en moreel handelen.Iedere verbonden persoon moet een verklaring ondertekenen, waarin zij/hij zich verbindt alle voor haar/hem relevante regels uit deze gedragscode strikt na te leven. De compliance officer toetst per kwartaal of alle verbonden personen en insiders de gedragscode hebben nageleefd en rapporteert de uitkomsten hiervan.

• Minimaal eens per drie jaar stelt het UB vast dat het uitbestedings- en inkoopbeleid actueel passend is bij wet- en regelgeving, guidance van de toezichthouder en best practices in de sector en dat dit beleid algemene criteria bevat omtrent continuïteit, integriteit, kwaliteit en IT waaraan uitbestedingspartijen moeten voldoen.

• De portefeuille risicobeheer monitort uitbestedingspartijen minimaal eens per halfjaar op integriteitsrisico's op basis van rapportages van en/of periodieke overleggen met de uitbestedingspartijen.

• Op kwartaalbasis monitort het uitvoerend bestuurslid pensioen & communicatie aan de hand van de SLA rapportages dat wijzigingen in arbeidsgeschiktheid gemeld en verwerkt worden via de SUAG-koppeling.

• Wijzigingen van NAW-gegevens geschiedt via een GBA-interface.

• In het pensioenreglement is de verplichting opgenomen voor de werkgever, de deelnemer en (andere) aanspraakgerechtigden aan het fonds alle inlichtingen en bewijsstukken te verstrekken die voor de uitvoering van de pensioenregelingen worden gevraagd. Het fonds aanvaardt geen aansprakelijkheid voor de gevolgen van het niet aanleveren van informatie, dan wel het aanleveren van onvolledige, onjuiste of niet tijdige informatie.

• Bij aangaan van nieuwe of aanpassen van bestaande overeenkomsten controleert het verantwoordelijke uitvoerend bestuurslid dat in de overeenkomst met adviseurs/uitbestedingspartners is opgenomen dat zij aansprakelijk zijn voor schade als gevolg van onder anderen fraude en voor zover deze (mede)is ontstaan door hun eigen handelen of nalaten.

• Alle ontvangen facturen worden afgehandeld volgens de Goedkeuringsprocedure facturen. TKP legt de facturen voor akkoord voor aan de betreffende portefeuillehouder of, indien de procedure dit vereist, aan het bestuursbureau. Pas na akkoord wordt de factuur door TKP betaald.

• De custodian van het fonds voert onafhankelijk toezicht uit op de beleggingen en beleggingsresultaten.

• Toepassing van het (minimaal) vier-ogenprincipe door uitbestedingspartijen is onderdeel van de ISAE/SOC- controle door een externe accountant. De rapportages worden door het bestuursbureau getoetst en aan het UB Plus voorgelegd.

• Het bestuursbureau beoordeelt jaarlijks de van TKP, BlackRock, BNYM (tot 1 juli 2025) en BNP Paribas (vanaf 1 juli 2025) ontvangen ISAE 3402 of SOC 2 verklaring en eventuele bevindingen en adviezen worden geadresseerd binnen het UB Plus. 

• Het fonds heeft een klokkenluidersregeling, een incidentenbeleid en een proces voor het afhandelen van incidenten en datalekken. Deze beleidsdocumenten worden eens per drie jaar door het bestuursbureau getoetst op actualiteit.

• Incidenten, misstanden en datalekken worden gemeld en afgehandeld conform de voor het fonds geldende incidentenregeling en/of klokkenluidersregeling en/of procedure datalekken.

• De jaarlijks verplichte accountantscontrole bij uitbestedingspartners van Oak Pensioenfonds mitigeert het risico op fiscale fraude.

• Het fonds heeft een fiscaal adviseur aangesteld voor onder andere de btw gerelateerde belastingzaken.  

• Externe informatievoorziening door externe partijen op het gebied van fiscale wetgeving.