vragenlijst vraagt of wij een risicomanagementsysteem hebben, wat telt daar als antwoord

Formeel systeem of alleen een risico-inschatting

Dat verschilt per vragenlijst, maar in de meeste gevallen wordt niet gevraagd of u ooit risico's heeft ingeschat — er wordt gevraagd of dat op een gestructureerde, herhaalbare manier gebeurt. Een systeem in deze zin betekent: risico's zijn geïdentificeerd, er is een manier om ze te beoordelen (kans en impact), er zijn maatregelen aan gekoppeld, en er wordt periodiek herzien. Eén keer een risico op een rijtje gezet naar aanleiding van deze vragenlijst telt meestal niet als "systeem"; een vast onderdeel van de bedrijfsvoering — al is het maar een jaarlijkse update van een Excel-overzicht met eigenaarschap per risico — telt meestal wel.

Bij CSRD-achtige vragenlijsten (afgeleid van de basismodule van EFRAG VSME) wordt risicomanagement vaak specifiek voor duurzaamheidsonderwerpen gevraagd: klimaat, mensenrechten in de keten, governance. Heeft u dat proces alleen op financieel of operationeel risico ingericht en niet op duurzaamheid, dan is "nee" vaak het eerlijke antwoord op dát specifieke onderdeel, ook als u verder wel degelijk risicomanagement doet. Sommige klanten vragen dit als losse vraag, andere als onderdeel van een breder blok over wie in het bestuur zit en hoe dat is samengesteld — governance en risicomanagement worden in vragenlijsten regelmatig gecombineerd omdat de toezichtstructuur vaak ook het risicomanagement bewaakt.

Wat de basismodule van VSME en de anti-witwaswet als bewijs vragen

De basismodule van EFRAG VSME vraagt naar een beschrijving van beleid en praktijken, niet naar een gecertificeerd systeem zoals ISO 31000 — een korte, feitelijke beschrijving van hoe risico's worden geïdentificeerd en beheerst volstaat daar in de meeste gevallen. Komt de vraag van een bank of verzekeraar, dan ligt de link vaak bij de Wet ter voorkoming van witwassen en financieren van terrorisme: die verplicht de klant zelf tot cliëntenonderzoek, en de klant wil daarom vaak weten of uw eigen organisatie risico's — waaronder integriteitsrisico's — beheersbaar houdt. Heeft u geen apart risicomanagementsysteem maar wel losse onderdelen zoals een sanctiebeleid of een meldkanaal, dan is het vaak nauwkeuriger om die losse onderdelen te benoemen dan een systeem te suggereren dat er niet is.