Inleiding

Binnen de VU zijn risico’s geen zaken die te allen tijde vermeden moeten worden, maar is risicomanagement een integraal en onmisbaar onderdeel van het op een beheerste en weloverwogen manier realiseren van doelen. Risicomanagement is bij de VU om die reden een belangrijk bestuurlijk aandachtspunt en een vast onderdeel in de planning-en-controlcyclus. Wil het risicomanagement goed functioneren, dan moet de organisatiecultuur er een zijn van verantwoordelijkheid nemen en elkaar vertrouwen en aanspreken. Dat is belangrijker dan een veelheid aan regels en procedures, die niet altijd het gewenste effect sorteren.

Om risico’s effectief te signaleren, te bespreken en te beheersen, is het helder formuleren van strategische doelen van belang. De VU als geheel beschrijft haar doelen in het instellingsplan Strategie VU 2020-2026. Afzonderlijke eenheden hebben hun eigen meerjarenplannen waarin ze hun doelen formuleren. Eenmaal per twee jaar worden VU-breed, en jaarlijks door de decentrale eenheden, bijeenkomsten gehouden om gezamenlijk de belangrijkste actuele risico’s te benoemen en te prioriteren. Deelnemers geven hun oordeel: aan welke risico’s besteden we voldoende aandacht, en aan welke nog niet?

Het risicomanagement wordt verder geborgd door activiteiten op het gebied van control en audit. Bij de jaarplannen van de eenheden zijn risicoparagrafen opgesteld, die in het verloop van de planning-en-control­cyclus, worden gemonitord op de ontwikkeling en beheersing van risico’s.

Verdere ontwikkeling van risicomanagement: relatie met implementatie strategische ambities

Wij streven naar continue verbetering van het risicomanagement binnen de VU. Een belangrijk aandachtspunt is het bepalen van de risicobereidheid, de inventarisatie van risico’s en beheersmaatregelen voor de implementatie van de Strategie VU 2020-2025. Door middel van een VU-brede strategische conferentie per strategische ambitie en speerpunt uit de strategie wordt gesproken over risico’s en risicobereidheid. De uitkomsten van deze conferentie zijn gedeeld met de verschillende strategie kernteams, die de implementatie van de ambities trekken, de faculteitsbesturen en de directeuren van de diensten. Hiermee zijn de uitkomsten van de conferentie betrokken in de verdere uitwerking van de ambities en speerpunten uit de strategie. Deze uitkomsten vormen de basis voor risicomanagement binnen de VU.

Risicobereidheid

Binnen de VU wordt risicobereidheid expliciet geformuleerd in zogeheten risicobereidheidsverklaringen of ‘risk appetite statements’. De risicobereidheid of ‘risk appetite’ is de mate, waarin de VU bereid is risico’s te nemen in de realisatie van haar doelstellingen. Deze risicobereidheid wordt jaarlijks bij het opstellen van het jaarverslag opnieuw beoordeeld. De mate waarin de VU bereid is risico’s te lopen bij de realisatie van haar doelstellingen verschilt per doelstelling, onderwerp en per risicocategorie. Zo ontstaat een algeheel en een (mogelijk) per onderwerp gedifferentieerd beeld van risicobereidheid.

Hierbij maakt de VU onderscheid tussen enerzijds de belangrijkste algemene aandachtsgebieden voor het risicomanagement, en anderzijds de specifiek gekozen strategische ambities en speerpunten. Hieronder zijn de algemene en de specifieke risicobereidheidsverklaringen allebei weergegeven.

(a) Risicobereidheid inzake de belangrijkste algemene aandachtsgebieden

(b) Risicobereidheid inzake de implementatie van de strategische ambities en speerpunten

Op basis van de uitkomsten van de VU-brede strategische conferentie over de risico’s bij de implementatie van de Strategie 2020-2026 is een risicobereidheidsverklaring per strategische ambitie en speerpunt bepaald. Deze is weergegeven in de onderstaande tabel.

Structurele risico’s

Binnen de VU wordt structureel aandacht besteed aan signalering en beheersing van vermijdbare en externe risico’s op het gebied van onderwijskwaliteit (binnen de cyclus onderwijskwaliteitszorg), integrale veiligheid (binnen de desbetreffende eenheden en gecoördineerd door een VU-brede, multidisciplinaire commissie integrale veiligheid), fysieke veiligheid en arbeidsomstandigheden (Arbodienst), sociale veiligheid (HRMAM, FCO en SOZ) wetenschappelijke integriteit, data- en cyberveiligheid (IT), privacybescherming (Bestuurszaken), compliance en fraude (o.a. Bestuurszaken, Financiën). De risicobereidheid van dit type risico’s varieert, afhankelijk van het onderwerp, van laag naar zeer laag.

Specifieke risico’s & risico-inventarisatie

Daarnaast is sprake van meer specifieke risico’s die op dit moment actueel zijn, maar na verloop van tijd naar verwachting minder belangrijk zullen worden in termen van bewaking en te nemen (extra) maatregelen.

Uit de recentste risico-inventarisatie komen de onderstaande risico’s als actuele belangrijke risico’s naar voren. De gedetailleerde uitwerking van de risico-inventarisatie (inclusief onder andere trends en maatregelen) is opgenomen als separate bijlage bij dit jaarverslag. Hieronder worden de belangrijkste specifieke risico’s die de VU onderkent en hun ontwikkeling samengevat:

Strategische risico’s, met betrekking tot het behalen van strategische doelen:

• Personeel (met name krapte op de arbeidsmarkt en werkdruk)
  De aanhoudend hoge werkdruk onder wp en obp is een belangrijk en urgent aandachtspunt. Die werkdruk blijft hoog ondanks de aanwending van extra middelen in het afgelopen jaar ten behoeve van uitvoering van werkdrukplannen en extra middelen uit het jaarplan t.b.v. de uitbreiding van capaciteit.
  Ook de krapte op de arbeidsmarkt is een belangrijk risico. Deze schaarste, in combinatie met de verwachte stijging van de loonkosten, kan ervoor zorgen dat het risico toeneemt dat posities niet of niet tegen acceptabele kosten kunnen worden ingevuld. De uitdaging om de werkdruk op een acceptabel niveau te houden wordt daardoor alleen maar groter.

• Campusontwikkeling (projectuitvoering, kosten)
  We voeren verschillende projecten uit om de campus verder te ontwikkelen. Die projecten lopen een toenemend risico op vertraging en op budgetoverschrijding. Dat laatste risico wordt veroorzaakt door aanhoudende kostenstijgingen in de bouwsector i.c.m. met de stijgende inflatie en stagnatie materiaalstromen. Daarnaast leidt een hoger aantal studenten dan voorzien tot een toenemende druk op de bestaande onderwijsfaciliteiten. 

• ‘VUture’
  De wereld binnen en buiten de VU verandert snel. Van universiteiten wordt verwacht dat ze snel kunnen inspelen op maatschappelijke veranderingen. Bij realisatie hiervan zijn bij de VU een aantal issues geconstateerd in de interne bedrijfsvoering ten aanzien van structuur, cultuur en samenwerking. Om deze aan te pakken en om de strategische ambities van de VU gezamenlijk te kunnen realiseren, is de VU een veranderprogramma gestart dat is gericht op vermindering van de bureaucratie en de regels, op terugdringen van de verkokering tussen eenheden en op vergroting van de flexibiliteit en slagkracht.

Vermijdbare risico’s, met betrekking tot continuïteit en de kwaliteit van de primaire en ondersteunende processen:

• Beheersingsprocessen en informatievoorziening
  De afgelopen jaren is het risico op onvoldoende beheersing van ondersteunende processen voornamelijk benaderd vanuit het project optimalisatie bedrijfsvoering. Maar dit risico omvat meer. Het risico omvat ook onvoldoende of onjuiste sturingsinformatie, met name op het gebied van (strategische) managementinformatie. Het vermijdbare risico rondom de optimalisatie bedrijfsvoering is gestabiliseerd. In 2023 zal de continuous improvement binnen het beheercontract gebruikt worden om het systeem structureel verder te verbeteren en acceptatie ervan binnen de organisatie te vergroten.

• IT-infrastructuur
  Het risico op beschadiging van onze IT-infrastructuur neemt ondanks de genomen maatregelen nog steeds toe, met name als gevolg van het gestegen risico op cyberaanvallen en dataveiligheid. Daarnaast is de bemensing van de dienst IT een knelpunt (langdurig openstaande vacatures) waardoor de voortgang van projecten beïnvloed wordt en de kwaliteit van de dienstverlening onder druk staat. Om dit risico te beperken is er een programma gestart voor het bepalen en verbeteren van het informatiebeveiligings (IB) volwassenheidsniveau.

• Compliance
  Het compliancerisico is stabiel, maar blijft gezien de potentiële impact op onder meer de reputatie van de VU een continu aandachtspunt.

Externe risico’s, met oorzaken van buitenaf:

• Bekostiging van onderwijs, onderzoek en valorisatie
  Bekostiging van onderwijs, onderzoek en valorisatie: dit risico blijft per saldo gelijk maar daarmee ook een belangrijk aandachtspunt. Dit is het saldo van enerzijds: Accent op onderwijskwaliteit en toename van onderwijslast legt beperking op aan beschikbare tijd voor onderzoek en valorisatie. Anderzijds: de uitkomsten vanuit het OCW kostenonderzoek door PwC bevestigen de noodzaak om zowel structureel als incidenteel de bekostiging van het WO te verhogen om het huidige niveau van het Nederlandse WO vast te houden en de in het regeerakkoord opgenomen ruimte voor investeringen bieden perspectief (afhankelijk van de daadwerkelijke implementatie) voor afname van de druk op de bekostiging van het WO. Daarnaast is inzet van publieke middelen voor publiek-private valorisatie activiteiten onderwerp van discussie en is een gewijzigde regelgeving van kracht die de mogelijkheden hiervoor inkadert en daarmee mogelijk beperkt.
  De afgelopen jaren is regelmatig sprake geweest van incidentele aanvullende inkomsten vanuit het Rijk op een laat moment in het jaar waardoor het exploitatieresultaat per jaareinde werd verhoogd, omdat extra middelen niet meer (volledig) konden worden uitgegeven. De huidige trend is dat er steeds meer sprake is van geoormerkte bijdragen vanuit het Rijk, waarbij overschotten op middelen niet aan de orde zijn. Dit leidt tot een trendbreuk ten opzichte van de afgelopen jaren ten aanzien van bijdragen vanuit het Rijk. De trend ten aanzien van een groter aantal geoormerkte bijdragen vanuit het Rijk leidt ertoe dat er in toenemende mate een tekort ontstaat op de financiering van centrale ondersteuning (overhead), waaronder centrale bedrijfsvoering en huisvesting. Dit, in combinatie met onzekerheid over de ontwikkeling van de energieprijzen en de studenteninstroom en het veranderde economische perspectief, leidt ertoe dat het CvB is gestart met een besparingsopgave voor het meerjarenperspectief.

• Sociale veiligheid
  Het risico op sociale onveiligheid blijft op een hoog niveau, onder meer door de zeer grote impact van incidenten. Daarnaast neemt de meldingsbereidheid toe, door toenemende bewustwording en afnemende (maatschappelijke) acceptatie van diverse vormen van ongewenst gedrag. Ook in 2023 blijft de VU alert op het voorkomen van ongewenst gedrag. Eventuele incidenten worden zorgvuldig onderzocht en waar nodig worden gepaste maatregelen genomen.

• Welzijn
  Het risico op het gebied van welzijn is gestabiliseerd, maar blijft een belangrijk aandachtspunt. De gevolgen van de corona-maatregelen op met name het sociale welzijn van studenten en medewerkers zijn nog zichtbaar. Hierbij is de vraag relevant, hoever de zorgplicht van de VU als onderwijsinstelling en werkgever kan en moet reiken.

• Marktwerking energiemarkt
  Het is de verwachting dat de energielasten de komende de jaren een (structurele) stijging laten zien ten gevolge van de prijsontwikkeling op de energiemarkt. Voor deze extra kosten is het nog onzeker of en in welke mate hier compensatie tegenover komt te staan vanuit de overheid.
  Gegeven de urgentie van duurzaamheid en voornoemde prijsontwikkeling in de energiemarkt, is het belang van het maken van de omslag naar duurzame energievoorziening nog groter geworden. De VU zal nog meer dan voorheen energiebesparende maatregelen treffen en de ontwikkelingen nauwlettend in de gaten houden. In het verband van de koepelorganisatie UNL zal de VU hierover de discussie voeren met de politiek.

Overige onderwerpen

Rijksbeleid
Er is voortdurende aandacht voor externe risico’s die voortkomen uit (mogelijke) veranderingen van het rijksbeleid op het gebied van het wetenschappelijk onderwijs, onderzoek en valorisatie. Dit betreft niet alleen de bekostiging, maar ook de wet- en regelgeving omtrent het WO en studiefinanciering. Veranderingen in dit beleid kunnen grote gevolgen hebben voor de instelling. Het rijksbeleid wordt dan ook in samenwerking met de UNL nauwlettend gevolgd; waar nodig wordt actief met de politiek gecommuniceerd om voor de VU nadelige gevolgen van het rijksbeleid onder de aandacht te brengen.

Kennisveiligheid ten aanzien van internationaal samenwerken
Binnen de VU wordt intensief en internationaal samengewerkt zowel ten aanzien van onderwijs, onderzoek en valorisatie. De mondiale en geopolitieke ontwikkelingen vergen bij internationale samenwerking in toenemende mate aandacht ten aanzien van kennisveiligheid in de brede zin van dit begrip. Daarbij gaat het niet alleen om het voorkomen van ongewenste overdracht van sensitieve kennis en technologie die op onze universiteit aanwezig is maar ook om ethische kwesties in samenwerking met landen die grondrechten niet respecteren. Het te allen tijde garanderen van de academische vrijheid en wetenschappelijke integriteit van de samenwerkingen die de VU aangaat met internationale partners vormen daarbij een absolute randvoorwaarde. Aan de hand van recente ervaringen en op basis van de gepubliceerde ‘Nationale leidraad Kennisveiligheid’ zal de VU haar beleid en maatregelen ter verhoging van de kennisveiligheid versterken. Met oog voor proportionaliteit.