7. Risicomanagement

Inleiding

Binnen de VU zijn risico’s geen zaken die ten alle tijden vermeden moeten worden, maar is risicomanagement een integraal en onmisbaar onderdeel van het op een beheerste en weloverwogen manier realiseren van doelen. Risicomanagement is bij de VU om die reden een belangrijk bestuurlijk aandachtspunt en een vast onderdeel in de planning- en controlcyclus. Voor het goed functioneren van risicomanagement is een cultuur waarin verantwoordelijkheid wordt genomen en waarin men elkaar vertrouwt en aanspreekt belangrijker dan de aanwezigheid van een veelheid aan regels en procedures, die niet altijd het gewenste effect sorteren.

Om risico’s effectief te signaleren, te bespreken en te beheersen, is het formuleren van strategische doelen van belang. Dit heeft voor de VU als geheel plaatsgevonden in het instellingsplan Strategie VU 2020-2025 en voor de eenheden in de eigen meerjarenplannen. Regelmatig worden risicobijeenkomsten gehouden om gezamenlijk de belangrijkste actuele risico’s te benoemen en te prioriteren. Daarbij wordt aangegeven in welke mate aan belangrijke risico’s voldoende dan wel nog onvoldoende aandacht wordt besteed.

Het risicomanagement borgen we door de al benoemde inbedding in de planning- en controlcyclus. Op basis hiervan hebben eenheden bij de jaarplannen risicoparagrafen opgesteld, die in het verdere verloop van de planning en control cyclus worden gevolgd met betrekking tot ontwikkeling en beheersing van risico’s. We hanteren hierbij het een driedeling in soorten risico's: externe risico's, strategische risico's en vermijdbare risico's (Kaplan & Mikes, 2012).

Verdere ontwikkeling van risicomanagement: relatie met implementatie strategische ambities

Wij streven naar continue verbetering van het risicomanagement binnen de VU. In dit proces van verbetering is het belangrijk om de risicobereidheid te bepalen, en de inventarisatie van risico’s en beheersmaatregelen voor de implementatie van de Strategie VU te herijken. In 2025 geven we een nieuwe impuls aan het proces van risicomanagement. Het nieuwe instellingsplan 2026-2030 is hiervoor het startpunt. Per strategische ambitie spreken we over risico’s en kansen en risicobereidheid. De uitkomsten worden gedeeld met de verschillende strategie kernteams, die de implementatie van de ambities trekken, CvB, de faculteitsbesturen en de directeuren van de diensten. Deze uitkomsten vormen de basis voor risicomanagement 2025 en verder binnen de VU. Met behulp van risicodialogen worden de strategische en externe risico’s en bijbehorende beheersingsmaatregelen gestandaardiseerd, geactualiseerd en geconcretiseerd per eenheid en VU-breed.

Risicobereidheid

Binnen de VU wordt risicobereidheid expliciet geformuleerd in zogeheten risicobereidheids-verklaringen of ‘risk appetite statements’. De risicobereidheid of ‘risk appetite’ is de mate, waarin de VU bereid is risico’s te nemen in de realisatie van haar doelstellingen. Deze risicobereidheid wordt jaarlijks bij het opstellen van het jaarverslag opnieuw herijkt door zowel de eenheden als VU breed. De mate waarin de VU bereid is risico’s te lopen bij de realisatie van haar doelstellingen verschilt per doelstelling, onderwerp en per risicocategorie. Zo ontstaat een algeheel en een (mogelijk) per onderwerp gedifferentieerd beeld van risicobereidheid.

Hierbij maakt de VU onderscheid tussen enerzijds de belangrijkste algemene aandachtsgebieden voor het risicomanagement, en anderzijds de specifiek gekozen strategische ambities en speerpunten. Hieronder zijn deze risicobereidheidsverklaringen beide weergegeven.

Risicobereidheid inzake de belangrijkste algemene aandachtsgebieden

Aandachtsgebieden

Risicocategorie

Risicobereidheid

Toelichting

Financieel

Vermijdbaar

Extern

Laag

De VU stuurt op een solide financiële positie om primair de continuïteit van onderwijs en onderzoek inclusief ondersteuning te waarborgen en secundair de toegang tot de financiële markten zeker te stellen. De VU is niet bereid risico’s te lopen die de convenanten met onze externe financiers in gevaar brengen. Voor de signaleringsgrenzen van de onderwijsinspectie geldt dat deze niet structureel onder- dan wel overschreden mogen worden, afhankelijk van de ratio.

Operationeel

Vermijdbaar

Laag

De VU richt zich vooral op het behoud van de continuïteit van onze primaire en ondersteunende processen. We streven ernaar de risico’s die deze continuïteit in gevaar kunnen brengen zoveel mogelijk te beperken. Onze risicoacceptatie is in dit verband dan ook laag. Voorbeelden zijn personeel, huisvesting, IT-infrastructuur, facilitaire ondersteuning en (financiële) informatievoorziening.

Compliance

Vermijdbaar

Extern

Zeer laag

De VU streeft ernaar te voldoen aan alle van toepassing zijnde wet- en regelgeving. We hebben daarbij speciale aandacht voor wet- en regelgeving op het gebied van onderwijs- en onderzoekskwaliteit, integrale veiligheid, aanbestedingen, financial reporting, data- en cyberveiligheid en privacybescherming.

We hanteren een ‘zero tolerance’-beleid bij omkoping en corruptie, fraude en alle andere vormen van (strafbaar) ongewenst gedrag. Hierbij realiseren we ons dat een risicobereidheid van “nul” niet garandeert dat elke overtreding kan worden uitgesloten. Daarom is de bereidheid “zeer laag”.

Risicobereidheid inzake de implementatie van de strategische ambities en speerpunten

Op basis van de uitkomsten van de genoemde VU-brede strategische conferentie over de risico’s bij de implementatie van de Strategie 2020-2025 is een risicobereidheidsverklaring per strategische ambitie en speerpunt bepaald. Deze is weergegeven in de onderstaande tabel.

Nr.

Strategische ambities en speerpunten

Risicobereidheid

Toelichting[1]

1

Duurzaam

Hoog

Duurzaamheid is voor de VU van vitaal belang. We zetten in op het duurzaam en gezond functioneren van onze universiteit, onze gemeenschap, werknemers en studenten en op het duurzaam en efficiënt inzetten van schaarse middelen. Ook in onderwijs en onderzoek wordt duurzaamheid een steeds belangrijker thema. In investeringsafwegingen worden duurzaamheidsaspecten dan ook expliciet meegewogen, ook als dit betekent dat op korte termijn een duurzame oplossing meer middelen vraagt. De VU hanteert hiervoor een hoge risicoacceptatie.

2

Ondernemend

Hoog

Wij willen meerwaarde creëren voor de samenleving. Daartoe moeten de inhoudelijke expertise, competenties en persoonlijke vaardigheden van studenten, promovendi, wetenschappers en professionals op de juiste manier aangesproken worden. Dit vraagt een ondernemende houding. Op de VU betekent dat: kansen zien, creëren en benutten. Creatief zijn en lef hebben. Je verantwoordelijkheid nemen. Risico’s durven nemen en durven experimenteren. Daarbij accepteert de VU dat ook kan betekenen dat sommige ondernemende initiatieven mislukken. Door een goede governance en begeleiding van start-ups en ondernemende initiatieven maakt de VU deze risico’s verantwoord en zullen deze opwegen tegen ‘valorisatie’ successen.

3

Divers

Gematigd tot hoog

Diversiteit is nauw verbonden met de identiteit van de VU. De VU is ervan overtuigd dat diversiteit bijdraagt aan de kwaliteit van onderwijs, onderzoek en samenwerkingen ten goede komt. De VU includeert nadrukkelijk alle medewerkers en studenten met al hun onderlinge verschillen. De VU hanteert hiervoor een gematigd tot hoge risicoacceptatie.

4

Ontwikkelen van toekomstbestendige onderwijsvormen

Gematigd

We maken ons onderwijs toekomstbestendig en sluiten het aan op de veranderende vraag met:

a. A Broader Mind for Students

b. Gepersonaliseerd leren en leren op maat

De VU is bereid gematigde risico’s te nemen bij het nastreven van deze ambitie.

5

Ontwikkelen van Leven Lang Ontwikkelen (LLO)

Gematigd tot hoog

Voor een structureel en VU-breed LLO-beleid bundelen we onze kennis en krachten en versterken we ons netwerk met alumni en met partners buiten de universiteit. Ook gaan we zorgen voor de juiste facilitaire voorzieningen die aansluiten bij de behoeften en passend zijn voor dit type onderwijs. Dit vergt investeringen die zich pas op langere termijn zullen terugbetalen, maar wenselijk zijn voor realiseren van deze maatschappelijke doelstelling.

De VU hanteert hiervoor een gematigd tot hoge risicoacceptatie.

6

Versterken van de focus en positie in onderzoek

Hoog

In toenemende mate wordt het onderzoek geclusterd rond onze vier profielthema’s. We streven niet alleen naar versteviging van de interne samenwerking om de vier profielthema’s beter uit te werken en neer te zetten, maar ook naar hechtere banden met externe partners om die van meet af aan bij het (toepassingsgerichte) onderzoek te betrekken (‘inclusief onderzoek’). De VU hanteert hiervoor een hoge risicoacceptatie.

7

Verbeteren van onze wetenschappelijke reputatie

Laag

Voor een universiteit die de ambitie heeft om tot de internationale top te blijven behoren en die op wetenschappelijke en grote maatschappelijke onderwerpen een impactvolle bijdrage levert, is het cruciaal dat deze bijdragen nationaal en internationaal bekend zijn. Het bewaken en versterken van onze wetenschappelijke integriteit is essentieel voor de toekomst van onze universiteit. Het doel is de reputatie van de VU in binnen- en buitenland in overeenstemming te brengen met het hoge niveau van haar wetenschappelijk onderzoek. De VU hanteert hiervoor een lage risicoacceptatie.

8

Impact door onderwijs en onderzoek d.m.v. valorisatie

Hoog

Onze ambitie voor 2025 is dat valorisatie een gelijkwaardige plaats heeft in onze activiteiten en ons beleid, naast onderwijs en onderzoek. Oók in de erkenning en waardering van onze medewerkers en op onze campus. Tegelijkertijd gaan we ondernemerschap en een ondernemende houding vanzelfsprekend maken voor onze studenten en medewerkers. De hierbij gemaakte risico afweging is analoog aan speerpunt 2 ‘ondernemend’. De VU hanteert hiervoor een hoge risicoacceptatie.

9

Ontwikkelen van een evenwichtig systeem van erkennen en waarderen

Hoog

Onderzoek, onderwijs en valorisatie zijn gelijkwaardige kerntaken. We vragen van onze medewerkers leiderschap, een ondernemende geest en samenwerkingsgerichte houding. Daarom gaan we een meer diverse en evenwichtige manier van erkennen en waarderen ontwikkelen, die recht doet aan ieders talent én die ook de werkdruk/werklast breder verdeelt. Deze verandering kan negatieve impact op de positie van de VU (en VU-wetenschappers) hebben in de huidige rankings. De VU hanteert hiervoor een hoge risicoacceptatie.

10

Verder digitaliseren van onze bedrijfsvoering, onderwijs, onderzoek en valorisatie

Laag

De wereld digitaliseert in hoog tempo. Ook voor de VU ligt er een opgave om via digitalisering een soepele en veilige infrastructuur te bieden voor studenten, professionals en individuen die zich verder willen ontwikkelen. Het grote belang van digitalisering voor onderwijs, onderzoek, valorisatie en bedrijfsvoering wordt door de VU onderkend, echter vanwege cybersecurity risico’s op de continuïteit van de universiteit, hecht de VU een groot belang aan digitalisering op een veilige doordachte manier boven snelheid. Voor de veiligheidsrisico’s hanteert de VU een lage risicoacceptatie.

11

Ontwikkelen van een bruisende en innovatieve campus

Gematigd

De VU-campus heeft een inclusief, open karakter en een internationale aantrekkingskracht. We willen met onze campus een gastvrije, groene en inspirerende omgeving zijn, waarin wetenschappelijk onderwijs en onderzoek, en valorisatie excelleren, en waar mensen zich thuis voelen. De VU hanteert hiervoor een gematigde risicoacceptatie.

12

We maken onze organisatie slagvaardig en wendbaar

Gematigd

Om goed te kunnen inspelen op een veranderende toekomst, hebben we een slagvaardige en wendbare organisatie nodig. Dit vraagt om heldere keuzes, snelle besluitvorming, korte lijnen, daadkracht, eigenaarschap en een efficiënte manier van werken binnen de (gegeven) risicokaders. De VU hanteert hiervoor een gematigde risicoacceptatie.
1 Bron: VU Strategie 2020-2025

Structurele aandacht voor risico’s

Binnen de VU wordt structureel aandacht besteed aan signalering en beheersing van vermijdbare en externe risico’s op het gebied van onderwijskwaliteit (binnen de cyclus onderwijskwaliteitszorg), (integrale) veiligheidsthema’s binnen de desbetreffende eenheden zoals fysieke veiligheid en arbeidsomstandigheden (Arbodienst), sociale veiligheid (HRMAM, FCO, BJZ en SOZ) wetenschappelijke integriteit (BZ), data- en cyberveiligheid (IT), privacybescherming (Bestuurszaken), compliance en fraude (o.a. Bestuurszaken, Financiën). In de Commissie Integrale Veiligheid VU wordt de integraliteit van veiligheidsthema’s besproken, afgestemd en getoetst aan de Veiligheidsvisie VU. De risicobereidheid van dit type risico’s varieert, afhankelijk van het onderwerp, van laag naar zeer laag.

Specifieke risico’s & risico-inventarisatie

Daarnaast is sprake van meer specifieke risico’s die op dit moment actueel zijn, maar na verloop van tijd naar verwachting minder belangrijk zullen worden in termen van bewaking en te nemen (extra) maatregelen.

Uit de meest recente risico-inventarisatie komen de onderstaande risico’s als de op dit moment meest belangrijke risico’s naar voren:

Strategische risico’s, met betrekking tot het behalen van strategische doelen

  • Personeel (met name de aanhoudende krapte op de arbeidsmarkt en werkdruk). Ondanks de aanwending van extra middelen in het afgelopen jaar ten behoeve van uitvoering van werkdrukplannen en extra middelen uit het Jaarplan t.b.v. de uitbreiding van capaciteit, blijft de aanhoudend hoge werkdruk onder wp en obp een belangrijk en urgent aandachtspunt.
    Naast de hiervoor genoemde factoren is ook de schaarste op de arbeidsmarkt een belangrijk risico. Deze schaarste, in combinatie met de stijging van de loonkosten als tegemoetkoming voor de hoge inflatie, kan ervoor zorgen dat het nog lastiger wordt om posities in te vullen en de werkdruk acceptabel te houden. Aan de andere kant zijn en worden in het kader van de bijsturingsopgave maatregelen getroffen die een rem zetten op het aantal vacatures. Dit maakt de (specifieke) vacatures die er wel zijn echter niet per definitie eenvoudiger te vervullen.

  • Campusontwikkeling (projectuitvoering, kosten). Hoewel het besef in de organisatie groeit dat voorzieningen niet lineair mee kunnen groeien en ‘anders gebruiken’ van wat er is cruciaal is, kan dit in voorkomende gevallen alsnog tot onvrede leiden bij studenten, personeel, partners en huurders. Belangrijk blijft de aandacht voor de projectuitvoering op de aspecten tijd (vertraging) en geld (aanhoudende kostenstijgingen in de bouwsector i.c.m. met de stijgende inflatie en stagnatie materiaalstromen).

  • Bijsturingsopgave: Om financieel gezond te blijven moet in de periode 2025-2028 voor ongeveer €60 miljoen worden bijgestuurd. De brede kerngroep bijsturing heeft hiervoor een aanpak ontwikkeld. De maatregelen kennen een centrale lijn met een decentrale invulling, waarbij de focus ligt op het verhogen van baten en het verlagen van kosten. Deze bijsturing is noodzakelijk om de continuïteit van de VU te waarborgen.

Externe risico’s, met oorzaken van buitenaf

  • Bekostiging van onderwijs, onderzoek en valorisatie: dit risico stijgt en blijft daarmee ook een belangrijk aandachtspunt. Het huidige kabinet bespaart fors op hoger onderwijs. De regering voert beleidswijzigingen door met negatieve gevolgen voor onderwijs- en onderzoeksfinanciering. Daarnaast zien we een omslag in de externe onderwijsbekostiging via OCW. De VU is net als de overige universiteiten jarenlang op basis van een verwachte groei (van o.a. instroom van studenten) gefinancierd, gebaseerd op de Referentieraming OCW. In de huidige ramingen zien wij een kentering optreden; in plaats van een sterke groei zoals in de voorgaande ramingen, gaat OCW nu uit van een veel beperktere groei. Dit heeft een direct effect op onze inkomsten gehad, want OCW heeft het onderwijsbudget verlaagd. Ook zien we een stijging van de lasten op de VU-begroting, met name vanwege de (beleids)investeringen in onderwijs en onderzoek en de ondersteuning daarvan en ook vanwege de stijging van de huisvestingslasten door de oplevering van de nieuwe VU-gebouwen. Al deze investeringen hadden als doel versterking van de kwaliteit van onderwijs en onderzoek in combinatie met beheersbaar houden van de oplopende werkdruk, als gevolg van dalende budgetten per student. Dit, in combinatie met onzekerheid over de studenteninstroom en het veranderde economische perspectief, leidt ertoe dat het CvB is gestart met een besparingsopgave voor het meerjarenperspectief, zie ook het risico bijsturingsopgave.

  • Internationalisering van het onderwijs: Het kabinet zet de Wet Internationalisering in Balans (WIIB) door. Inzet van de minister OCW is om een bestuurlijk akkoord te sluiten met de hogescholen en universiteiten over het verminderen van het aantal internationale studenten. Daarnaast gelden de maatregelen uit de WIIB om het Nederlands als taal op de instellingen te behouden en de verengelsing te beperken. In de OCW-begroting wordt in verband met deze ontwikkelingen vanaf 2026 rekening gehouden met een (forse) bezuiniging.
    De academische gemeenschap van de VU is divers, met een mix van Nederlandse en internationale stafleden en studenten. De VU erkent en waardeert deze diversiteit, die niet alleen betrekking heeft op nationaliteit, maar ook op taal, religie en achtergrond. Deze diversiteit is een enorme meerwaarde voor het VU-onderwijsklimaat, zodat studenten tijdens hun studie ervaring opdoen met andere perspectieven en deze leren gebruiken om een waardevolle bijdrage te kunnen leveren aan de uitdagingen waar we als samenleving voor staan. De VU ziet echter ook de uitdagingen waar we voor staan in het faciliteren van internationale studenten. Als universiteit nemen we zelf ook onze verantwoordelijkheid om de knelpunten op te lossen en de langverwachte wettelijke sturingsinstrumenten gaan daar hopelijk bij helpen. Het beleid wordt dan ook in samenwerking met de UNL nauwlettend gevolgd; waar nodig wordt actief met de politiek gecommuniceerd om voor de VU nadelige gevolgen van het rijksbeleid te mitigeren.

  • Sociale veiligheid: dit risico blijft op een hoog niveau, alleen al vanwege de zeer grote impact van incidenten. Toenemende bewustwording en afnemende (maatschappelijke) acceptatie van diverse vormen van ongelijkwaardig gedrag leiden tot een toenemende meldingsbereidheid. De trendduiding is daardoor met enige onzekerheid omgeven. Ook in 2024 blijft de VU alert op het voorkomen van ongewenst gedrag. Incidenten worden zorgvuldig onderzocht. Verder werkt de VU middels het Programma Sociale veiligheid aan het verder optimaliseren van beleid, structuren en voorzieningen ten behoeve van zowel preventie als de respons op en afhandeling van eventuele incidenten.
    Op het gebied van sociale veiligheid is er in 2024 onder meer gewerkt aan een verbeterde structuur van hulp- en opschalingsmogelijkheden binnen de VU. In 2025 voeren we de veranderingen door zodat studenten en medewerkers die ongewenst gedrag ervaren makkelijker de juiste ondersteuning kunnen vinden en weten wat ze kunnen verwachten. Daarnaast zetten we onverminderd in op het trainen van leidinggevenden en medewerkers, onder meer via een nieuwe e-learning module over sociale veiligheid.

Vermijdbare risico’s, met betrekking tot continuïteit en de kwaliteit van de primaire en ondersteunende processen

  • Beheersingsprocessen en informatievoorziening: de afgelopen jaren is dit risico voornamelijk benaderd vanuit het project optimalisatie bedrijfsvoering, terwijl dit risico meer omvat. Het risico omvat het hebben van onvoldoende of niet de juiste informatievoorziening, met name op het gebied van (strategische) managementinformatie. Dit vormt op termijn tevens een strategisch risico.

  • IT-infrastructuur: dit risico neemt ondanks de genomen maatregelen nog steeds toe, met name als gevolg van het gestegen risico op cyberaanvallen en dataveiligheid. Daarnaast is de bemensing van de dienst IT een knelpunt (vacatures) waardoor de voortgang van projecten beïnvloed wordt en de kwaliteit van de dienstverlening onder druk staat. Om dit risico te beperken is er een programma gestart voor het bepalen en verbeteren van het informatiebeveiligings (IB) volwassenheidsniveau.

  • Compliance: dit risico is stabiel, maar blijft gezien de potentiële impact op de reputatie van de VU een continu aandachtspunt.

  • Bedrijfscontinuïteit in relatie tot de bezuinigingsdoelstelling: Vanuit de opgave om € 60m bij te sturen ontstaan in toenemende mate uitdagingen om bedrijfsprocessen op het gewenste niveau van kwaliteit en kwantiteit te continueren.

Overige (geopolitieke) risico’s

Het risico- en dreigingslandschap voor hoger onderwijsinstellingen wordt complexer en uitdagender door veranderende sociale dynamieken, de snelle vooruitgang van technologieën en toenemende geopolitieke spanningen. Dit resulteert in o.a. een toename van cyberdreigingen, zorgen om kennisveiligheid, geopolitieke spanningen, protesten en bezettingen, polarisatie binnen de samenleving en aandacht voor sociale veiligheid. Veel van deze vraagstukken gaan naast veiligheid ook hand in hand met andere risico's zoals reputatie, gezondheid, (zorgwekkend)gedrag, etc.

Kennisveiligheid: De overheid vraagt hogescholen en universiteiten om bij internationale samenwerking niet alleen te kijken naar kansen, maar ook naar risico’s. Daar vraagt de internationale geopolitieke situatie ook om. Deze risico’s betreffen de nationale veiligheid, want universiteiten kunnen een belangrijk doelwit zijn van spionage door buitenlandse inlichtingendiensten. Dat kan tot ongewenste overdracht van gevoelige kennis en technologie leiden, maar ook tot heimelijke beïnvloeding van onderwijs en onderzoek. Verder kunnen er ethische kwesties spelen, zoals bij de samenwerking met landen die de grondrechten niet respecteren. Daarom besteden wij veel aandacht aan kennisveiligheid.

In de bijlagen is de inventarisatie en analyse van de belangrijkste specifieke risico’s 2024 te vinden.