Methodiek en interne beheersing

De verhoogde risico’s worden bij Accolade uitgewerkt aan de hand van de Bow-Tie methode. Met deze methode wordt het risico (de gebeurtenis) overzichtelijk weergegeven, inclusief oorzaken (links) en gevolgen (rechts). Links van de oorzaken staan de beheersmaatregelen benoemd die dit zouden moeten voorkomen (preventief, rechts van de gevolgen staan de beheersmaatregelen die de impact beperken (detectief en correctief). 

De inhoud van de uitwerking wordt aangedragen door de risico-eigenaar. Planning & Control verwerkt dat de input in de Bow-Tie uitwerking, waarna de risico-eigenaar de definitieve uitwerking goedkeurt. 

Met de Bow-Tie methode worden risico’s visueel weergegeven en worden deze direct verbonden aan de bestaande beheersmaatregelen. Zo wordt ook direct inzichtelijk of beheersmaatregelen ontbreken, bijvoorbeeld als er geen preventieve maatregelen in de weergave staan. Ook zijn de kans- en impactscores in de uitwerking opgenomen. In het hoofdstuk Risicomanagementproces is toegelicht hoe deze scores tot stand komen. Onderstaand is een voorbeelduitwerking van de Bow-Tie methode weergegeven.

De beheersmaatregelen die in de Bow-Tie benoemd worden, worden volgens de 6W methode uitgewerkt. Deze methode zorgt ervoor dat de uitwerking concreet en controleerbaar is. Het betreft hier de uitwerking van de beheersmaatregelen uit de 1e lijn, waar de risico-eigenaar verantwoordelijk voor is. Voor de uitwerking worden de volgende vragen beantwoord:

• Waarom worden beheersmaatregelen uitgevoerd?
• Wie voeren deze beheersmaatregelen uit?
• Welke beheersmaatregelen worden uitgevoerd?
• Wanneer worden de beheersmaatregelen uitgevoerd?
• Waar worden de bevindingen vastgelegd?
• Waarop wordt de conclusie gebaseerd?

Vervolgens worden de 2e lijn controles benoemd die bij de uitwerking horen. Deze worden ook opgenomen in het intern controleplan dat wordt opgesteld. 

Onderstaand een voorbeeld van een risico uitwerking volgens de 6W-uitwerking.

De input voor de Bow-Tie uitwerkingen en de 6W-uitwerkingen komt vanuit de risico-eigenaren, waarbij Planning & Control het proces coördineert en zij samen met de risico-eigenaar tot een definitieve uitwerking komen. De bruto- en netto scores worden door de risico-eigenaar en Planning & Control afzonderlijk opgesteld, waarna de definitieve score in overleg wordt bepaald.

Bij Accolade hanteren we voor de beheersmaatregelen drie categorieën: preventieve-, detectieve- en correctieve maatregelen. Onderstaand worden ter verduidelijking diverse voorbeelden benoemd.

Preventieve maatregelen

• Functiescheidingen in het systeem
• Procuratieregeling en goedkeuring op facturen
• Integriteitscode
• Agressietraining

Detectieve maatregelen

• Interne controles op datakwaliteit
• Steekproeven op toewijzingen
• Factuurcontroles
• Monitoring van datalekken m.b.v.datalekgregister

Correctieve maatregelen

• Opstellen verbeterplan n.a.v. opmerking Autoriteit Woningcorporatie
• Melding maken bij interne- of externe vertrouwenspersoon
• Informatiebrief vocht- en schimmelaanpak naar huurders
• Escalatie van Concerncontroller naar RvC