Risicomanagement

Het directieteam van Woonbron stelde een ‘top-5 risico’s’ vast. De keuze voor een top-5 betekent dat deze risico’s de volle aandacht krijgen van bestuur en directie en dat deze ook met de RvC periodiek worden besproken. Op basis van een opgestelde omgevingsanalyse via de DESTEP-methode zijn de risico’s (risicoraamwerk) opnieuw beoordeeld. Hieronder meer informatie over de waargenomen risico's en beheersing daarvan.

De commissie kwam vrijwel maandelijks bijeen en stuurde op verdere ontwikkeling van integraal risicomanagement, onder andere via de 8‑baan. Belangrijke activiteiten waren: actualisatie van strategische risico’s, verwerken van bevindingen uit de managementletter, voorbereiden van een handleiding voor operationele risico’s, kalibratie van kernprocessen, het updaten van de frauderisicoanalyse en een nulmeting van de volwassenheid.

In dit kader zijn in 2025 verschillende activiteiten uitgevoerd om integraliteit in risicomanagement te versterken. Zo zijn presentaties gegeven aan WSW en de Raad van Commissarissen, zijn voorbereidingen getroffen voor een mogelijke herijking van strategische risico’s en is de voortgang van detailbevindingen uit de managementletter van de externe accountant gevolgd. Daarnaast is gewerkt aan het verder aanscherpen van risicobegrippen, zelfreflectie binnen team Control, de ontwikkeling van een praktische handreiking voor operationele risico’s, kalibratie van kernprocessen ten opzichte van standaarden, het actualiseren van de frauderisicoanalyse en het uitvoeren van een nulmeting voor ‘Basis op orde’ (fase 3).

In lijn met deze activiteiten zijn in 2025 ook de strategische risico’s opnieuw beoordeeld. In april 2025 vond hierover een gezamenlijke sessie plaats met het directieteam en de Raad van Bestuur. De herijking is vastgesteld in de DT/RvB vergadering van 19 juni 2025. Daarbij is besloten de bestaande top 5 strategische risico’s ongewijzigd te handhaven.
Het risico van rente en inflatie is wel besproken, maar buiten de top 5 gehouden. Dit risico werd gemonitord via bestaande beheersmaatregelen, waaronder tertiaal en treasuryrapportages, liquiditeitsprognoses, scenario en gevoeligheidsanalyses en herberekeningen van de meerjarenbegroting.
De top 5 strategische risico’s bleef ongewijzigd:

Daarnaast werden procesrisico’s binnen de reguliere bedrijfsvoering gevolgd via Control en Audit. Audit werkte in 2025 met een nieuwe meerjarige auditplanning en voerde diverse assurance en adviesopdrachten uit. Governance structuren, interne regelingen en periodieke monitoring vormden daarbij de basis van het risicobeheersings en controlesysteem.

1. (Landelijk) politiek risico
De landelijke én lokale politieke dynamiek beïnvloedt Woonbron sterk, onder meer via mogelijke huurmaatregelen, stijgende lokale lasten en beperkte gemeentelijke capaciteit. Deze factoren kunnen de investeringsruimte en doelstellingen onder druk zetten.
Woonbron beperkt deze risico’s via intensieve lobby (o.a. via Aedes), bestuurlijke gesprekken en het toepassen van het Duurzaam Prestatie Model. Ook is de organisatie gericht op het verlagen van bedrijfslasten om de investeringscapaciteit te versterken.

2. Kwaliteit en samenstelling vastgoedportefeuille
De aanpak richt zich op vier lijnen:
1. Veiligheid en gezondheid: voortgang afhankelijk van funderingsscans; brandveiligheid vertraagd door capaciteitsproblemen.
2. Nieuwbouw en ‘nieuw voor oud’: opleveringen liggen dicht bij ambitie; hold sell strategie herzien en focus op verdichting.
3. Eenduidige onderhoudsramingen: vernieuwing MJOB’s loopt vertraging op; versnelling voorzien voor 2026–2027.
4. Sturing binnen VvE’s: verbeteringen gericht op financiële gezondheid en planmatig onderhoud; taskforce actief voor urgente VvE’s.

3. Omvangrijk VvE bezit
Voor circa een derde van de portefeuille is een risicoscan uitgevoerd (19 risico’s). De focus ligt op drie prioriteiten:
1. Stuurinformatie: nieuwe procesindicatoren en dashboards worden ingericht.
2. Toekomstbestendigheid: doelen en KPI’s uitgewerkt voor juridisch, technisch en financieel perspectief.
3. Organisatie: versterking via communicatie en roadshows.

4. Toename kwetsbare bewoners
Het aandeel kwetsbare bewoners stijgt, dat impact heeft op leefbaarheid. Maatregelen zijn gericht op:
1. Wonen Eerst: extra woningen voor licht kwetsbare bewoners en afspraken over begeleiding.
2. Zorgzame buurten: samenwerking met zorginstellingen en corporaties; diverse pilots gestart.
3. Armoede en huurachterstanden: stijging van huurachterstanden (+13%); gericht op vroegsignalering en betalingsafspraken om huisuitzettingen te voorkomen.
Daarnaast wordt gewerkt aan nieuwe monitors, samenwerkingsafspraken met zorgpartners en programma’s voor bijzondere doelgroepen.

5. Digitalisering & Data (incl. cyberrisk)
In 2025 zijn verdere stappen gezet in het AI beleid. Copilot is de enige AI tool die medewerkers mogen gebruiken. Het beleid is aangescherpt met aandacht voor datagebruik, governance en compliance. In beleid is de toegevoegde waarde van AI voor productiviteit en medewerkerstevredenheid onderbouwd, waarna AI breder binnen Woonbron is ingezet.

Op het gebied van cybersecurity is een nieuw contract afgesloten met Northwave. Hiermee is de strategische borging van informatiebeveiliging versterkt door de inzet van een CISO. Een in 2025 uitgevoerde pentest leverde geen kritieke bevindingen op. Vanwege personele wisselingen heeft informatiebeveiliging tijdelijk onder druk gestaan; de bezetting van de I&A functie is daarop herzien met extra aandacht voor securityrisico’s.
Het strategisch risico rond digitalisering en data kwam ook tot uiting in operationele processen, zoals aangescherpte uitdienst en autorisatieprocedures. Internal Audit is gestart met een adviesonderzoek naar de inrichting van het autorisatieproces, in afstemming met de nieuwe IT sourcingpartner Ilionx, waarvoor de overdracht in 2025 is gestart.

Proces- en beheersrisico’s
Naast strategische risico’s blijft aandacht bestaan voor procesrisico’s in de reguliere bedrijfsvoering. Deze worden door de lijnorganisatie gemitigeerd, met ondersteuning vanuit Control (tweede lijn) en toezicht door Audit (derde lijn).
De afdeling Audit werkte in 2025 op basis van een meerjarige auditplanning (2025–2028). Binnen het Auditjaarplan 2025 zijn diverse audits afgerond, waaronder op General IT Controls, AVG maatregelen en mutatieonderhoud. Enkele audits zijn doorgeschoven naar begin 2026.
Verder bestaat het interne risicobeheersings en controlesysteem uit vastgestelde beleidskaders, aangepaste overlegstructuren, periodieke monitoring via maand en tertiaalrapportages, scenariovorming in de meerjarenbegroting en een heldere besluitvormingsstructuur met betrokkenheid van Raad van Bestuur en Raad van Commissarissen.