Gevolgen opname VOR in corporate governance code 2025

• De nieuwe bestpracticebepaling 1.4.3 schrijft voor dat het bestuur in het bestuursverslag met een duidelijke onderbouwing in zes verklaringen (in de Code 2022 waren dit er nog vier) het volgende verklaart:
  • dat het verslag een ‘voldoende mate van inzicht’ geeft in tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen (bestpracticebepaling 1.4.3 (i) – gewijzigd);
  • voor de financiële verslaggeving: dat deze systemen een ‘redelijke mate van zekerheid’ geven dat de financiële verslaggeving geen onjuistheden van materieel belang bevat (bestpracticebepaling 1.4.3 (ii) - ongewijzigd);
  • voor de duurzaamheidsverslaggeving: dat deze systemen ‘tenminste een beperkte mate van zekerheid’ geven dat de duurzaamheidsverslaggeving geen onjuistheden van materieel belang bevat (bestpracticebepaling 1.4.3 iii – nieuw);
  • voor de operationele risico’s en compliancerisico’s:  ‘welk niveau van zekerheid’ deze systemen geven dat deze risico’s effectief worden beheerst (bestpracticebepaling 1.4.3 (iv) – nieuw);
  • dat het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op ‘going concern basis’ (bestpracticebepaling 1.4.3 (v) – ongewijzigd); en
  • dat in het verslag de materiële risico’s als bedoeld in bestpracticebepaling 1.2.1 en de onzekerheden zijn vermeld, voor zover die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag (bestpracticebepaling 1.4.3 (vi) – ongewijzigd).
• In de Code 2022 schreef bestpracticebepaling 1.4.3 (i) nog ‘voordat het verslag in voldoende mate inzicht geeft in tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen met betrekking tot de risico’s als bedoeld in bestpracticebepaling 1.2.1’ (dit zijn de strategische, operationele, compliance- en verslaggevingsrisico’s). In de Code 2025 is de verduidelijking van de specifieke risico’s waarop deze bepaling van toepassing is vervallen. Als je deze bepaling leest in samenhang met de nieuwe toelichting op bestpracticebepaling 1.2.1, kun je daaruit opmaken dat risicobeheersings- en controlesystemen niet expliciet zien op strategische risico’s. Dit zou betekenen dat de verklaring van bestpracticebepaling 1.4.3. (i) zich richt op operationele, compliance- en verslaggevingsrisico's. Hierover is echter geen expliciete opmerking of verwijzing opgenomen.
• De verklaring dat de verslaggeving geen materiële onjuistheden bevat, is uitgebreid van de financiële verslaggeving naar financiële verslaggeving én duurzaamheidsverslaggeving met bestpracticebepaling 1.4.3 (iii). De interne risicobeheersings- en controlesystemen moeten met betrekking tot duurzaamheidsinformatie ‘tenminste een beperkte mate van zekerheid’ geven. Als bestuur mag je echter aangeven dat deze systemen een redelijke mate van zekerheid geven. De toelichting bij bestpracticebepaling 1.4.3 geeft aan dat de ‘beperkte mate van zekerheid’ die is vereist voor de duurzaamheidsverslaggeving, in lijn is met de corporate sustainability reporting directive (CSRD). In de European sustainability reporting standards (ESRS) zijn ook enkele rapportageverplichtingen opgenomen over risicobeheersing en interne controles voor de duurzaamheidsverslaggeving op basis van de CSRD.
  
  Het ligt voor de hand dat vennootschappen bij het implementeren en toepassen van de VOR de bestaande complianceraamwerken voor duurzaamheidsverslaggeving (voor zover aanwezig en relevant in verband met de CSRD) aanvullen.
• Opvallend is dat er verschillende maten van zekerheid worden gebruikt in bestpracticebepaling 1.4.3 van de Code 2025: ‘redelijke mate van zekerheid’, ‘beperkte mate van zekerheid’ en ‘welke mate van zekerheid’. Bij de laatste kies je als bestuur zelf welke mate van zekerheid de systemen geven. Daarnaast wordt het definiëren van de term ‘zekerheid’ overgelaten aan de vennootschap. Volgens ons zorgt dit voor onduidelijkheid aangezien er interpretatieverschillen kunnen ontstaan tussen vennootschappen.

Bestpracticebepaling 1.4.2 gaat over de verantwoording die het bestuur aflegt over de risicobeoordeling en -beheersing in het bestuursverslag. De Code 2022 schreef in bestpracticebepaling 1.4.2.(ii) nog voor dat het bestuur verantwoording aflegt over de ‘opzet en de werking van de interne risicobeheersings- en -controlesystemen over het afgelopen boekjaar’. De nieuwe bestpracticebepaling 1.4.2.(ii) schrijft voor dat het bestuur in het bestuursverslag verantwoording aflegt over de ‘opzet en werking van de interne risicobeheersings- en controlesystemen op het gebied van operationele, compliance- en verslaggevingsrisico’s over het afgelopen boekjaar en welke raamwerken daarbij zijn gehanteerd’. Nieuw is dat deze verantwoording ook specifiek geldt voor de operationele en compliancerisico’s. Daarnaast schrijft de geheel nieuwe bestpracticebepaling 1.4.2 (iii) voor dat je als bestuur verantwoording aflegt over de beoordeling van de effectiviteit van de interne risicobeheersings- en controlesystemen voor deze operationele, compliance- en verslaggevingsrisico’s. Deze toevoegingen betekenen voor veel vennootschappen dat - naast de verantwoordingswerkzaamheden voor de verslaggevingsrisico’s - de verantwoordingswerkzaamheden betreffende de operationele en compliancerisico's uitgebreid moeten worden. Wij zien hierbij een rol voor afdelingen risicomanagement, compliance, interne controle en interne audit in de ondersteuning van het bestuur bij de invulling van deze verantwoordelijkheid.

• Door het opnemen van de VOR in de Code 2025 zijn de verantwoordelijkheden van commissarissen en de auditcommissie (of een afzonderlijke commissie van de raad van commissarissen die zich bezighoudt met duurzaamheidsvraagstukken) voor het toezicht op risicomanagement en de verantwoording daarover in het bestuursverslag uitgebreid en verduidelijkt. Op grond van bestpracticebepaling 1.5.3 (iv) heeft de auditcommissie nu de expliciete taak om verslag uit te brengen aan de raad van commissarissen over hoe de VOR is onderbouwd.
• Onveranderd is bestpracticebepaling 1.4.1 waarin staat dat het bestuur de effectiviteit van de opzet en de werking van de systemen voor interne risicobeheersings en -controle met de auditcommissie bespreekt en daarover verantwoording aflegt aan de raad van commissarissen.  De inhoud van deze bespreking en verantwoording is met de introductie van de VOR wel verruimd.