Risicobeheersing

Bedrijfsstrategie en beheersing

Onze bedrijfsstrategie bepaalt waar we als organisatie heen gaan. NS focust zich tot 2035 op drie strategische speerpunten:

1. het uitvoeren van een betrouwbare dienstverlening

2. het bieden van een betaalbaar product

3. en maatschappelijke betrokkenheid.

De risicostrategie bepaalt vervolgens hoeveel risico en onzekerheid we daarbij accepteren (onze risicobereidheid). Het geeft een kader bij strategische keuzes en bij investeringsbeslissingen. Ook stelt het ons in staat om bewust om te gaan met risico’s en onzekerheden die een negatieve invloed kunnen hebben op het realiseren van onze strategische doelstellingen.

Risicobereidheid

NS werkt met een risicobereidheid per risicothema. Deze risicobereidheid wordt jaarlijks door de raad van bestuur bekeken en waar nodig aangepast. Voor 2025 blijft de risicobereidheid grotendeels gelijk aan 2024, behalve voor reputatie, waar deze is verhoogd naar neutraal. De definities die wij hierbij hanteren:

• we accepteren minimale risico’s bij een besluit, investering of uitvoering van de bedrijfsvoering.

• we accepteren beperkte risico’s wanneer het potentiële voordeel van een besluit, investering of bedrijfsvoering in redelijke verhouding staat tot de mogelijke nadelige gevolgen.

• we accepteren verhoogde risico’s bij een besluit, investering of bedrijfsvoering wanneer de potentiële bijdrage aan het realiseren van strategische doelstellingen, groei of waardecreatie ook groot is.

Risicomanagementsysteem

De belangrijkste doelstellingen van risicomanagement zijn het waarborgen van bedrijfscontinuïteit, ondersteunen van de besluitvorming, voldoen aan wettelijke eisen, waken voor financiële stabiliteit en beschermen van de reputatie.

Hiervoor heeft NS een risicomanagementsysteem ingericht. Dit is gebaseerd op het COSO/ERM raamwerk dat organisaties helpt bij het beheersen van risico's om hun doelstellingen te bereiken. Het biedt een gestructureerde aanpak voor het identificeren, beoordelen en beheersen van risico's, waarbij strategie, prestaties en risico’s op een integrale manier worden gemanaged. Het richt zich op het creëren van waarde en helpt bij het bewaken van efficiëntie, naleving van wet- en regelgeving, betrouwbare rapportages en het realiseren van strategische doelstellingen. 

NS gebruikt het 'three lines model':

• De eerste lijn (lijnmanagement) is direct verantwoordelijk voor het beheersen van risico’s binnen hun processen.

• De tweede lijn, zoals Risk & Compliance, ondersteunt en bewaakt deze beheersing.

• De derde lijn, NS Audit, controleert onafhankelijk of het risicobeheersingssysteem goed functioneert.

Risico’s en onzekerheden worden zowel kwalitatief als kwantitatief in kaart gebracht. Bij het businessplan, de strategische asset plannen en materieelprojecten zijn kwantitatieve modellen opgezet en gebruikt om de effecten van risico’s en onzekerheden in kaart te brengen. Zo krijgt NS een beter beeld van de betrouwbaarheid van plannen, beleidskeuzes en risicoreserveringen bij projecten. Dit ondersteunt de besluitvorming.

Daarnaast heeft NS een procedure die tot doel heeft om te leren van incidenten om daarmee de risicobeheersing continu te verbeteren.

De raad van bestuur rapporteert en legt verantwoording af over het systeem van risicobeheersing en interne controle aan de raad van commissarissen. Dit gebeurt na bespreking daarvan in de Risk- en Auditcommissie.

Vastlegging en rapportage

Significante risico’s zijn vastgelegd in risicoregisters en zijn ingeschat met behulp van een uniforme NS risicomatrix. De risicobereidheid is doorvertaald naar concrete waarden in deze risicomatrix. Per kwartaal rapporteert NS de voornaamste risico’s voor het Reizigersbedrijf, NS Stations en NS Groep in de kwartaalrapportages. Deze worden besproken in de Raad van Bestuur als onderdeel van de planning- en control cyclus.

Daarnaast worden veiligheidsrisico’s, maatregelen en uit te voeren acties vastgelegd in de veiligheidsrapportage en op kwartaalbasis besproken in het veiligheidsoverleg.

Ook wordt op kwartaalbasis een Risk rapportage opgesteld welke wordt besproken in de RvB en RvC. Hierin staan de belangrijkste risico’s en de ontwikkelingen, maar ook de risk appetite thema’s en toleranties. Daar waar de waarden buiten de toleranties vallen, wordt nagegaan welke extra maatregelen genomen kunnen worden (tegen acceptabele kosten). 

Risicorapportage

NS heeft te maken met strategische-, externe- en interne risico’s. De belangrijkste strategische/externe risico’s:

• Voor NS is het verliezen van onderdelen van het HRN als gevolg van de uitspraak van het CbB over noordelijke lijnen (stoptreinen) en verwijzingsuitspraak over gunning HRN een strategisch risico. Wij blijven proactief meedenken wat het beste is voor de bereikbaarheid van Nederland en waarom NS daar een belangrijke rol in heeft.

• Economische vertraging of recessie waardoor het aantal reizigerskilometers fors daalt. In de concessie is een risicoverdelingsafspraak opgenomen om significante dalingen in reizigerskilometers op te vangen.

Naast deze strategische / externe risico’s kent NS risico’s die direct de bedrijfsvoering raken.

De genoemde risico’s zijn de risico’s die aan het einde van het verslagjaar van toepassing zijn. De geopolitieke ontwikkelingen wereldwijd en de onzekerheid die daarmee gepaard gaat, kunnen impact hebben op het risicoprofiel van NS in de komende jaren.

De individuele toprisico’s zijn gescoord (kans x impact) aan de hand van de NS Risicomatrix en worden hierna verder toegelicht. Hoe verder naar rechts een risico staat (van A tot F), des te groter de kans van optreden. Hoe verder naar boven (van 1 tot 7), des te groter de impact op de doelstellingen van NS als het risico optreedt. De kleuren geven aan hoe het risico zich verhoudt tot de risicobereidheid en op welk niveau binnen NS het eventuele restrisico moet worden geaccepteerd indien niet meer mitigerende maatregelen (kunnen) worden genomen.

Legenda Toprisico’s en scores:

• 1. Infrastructuur E7

• 2. Kosten E6

• 3. Materieel C6

• 4. Cyber C6

• 5. Omzet E5

• 6. Psychisch verzuim C5

• 7. IT D4

• 8. Sociale veiligheid D4

• 9. Personeel C4

Belangrijkste ontwikkelingen in risicoprofiel ten opzichte van 2024

Het risicoprofiel binnen de thema’s operatie, financiën en veiligheid blijft hoog. De in 2025 toegepaste maatregelen binnen de thema’s reputatie en MVO zorgen voor een stabiel risicoprofiel. Het komende jaar neemt het risicoprofiel voor het thema compliance toe door nieuwe wet- en regelgeving zoals Corporate Sustainability Reporting Directive (CSRD), Cyber Beveiligingswet (Cbw) en Wet Weerbaarheid Kritieke Entiteiten (Wwke).

• Operatie: het grootste risico voor het uitvoeren van de treindienst blijft het infra risico. Dit leidt tot hinder voor de treinreiziger en uitstel van productstappen. Naar verwachting zal dit de komende jaren toenemen. Hier ligt een grote afhankelijkheid van ProRail. Het risico op personeelstekort is kleiner geworden, maar het risico op een tekort aan materieel blijft groot. Daarnaast signaleren we een toenemende kwetsbaarheid van IT wat kan leiden tot ernstige verstoringen in kernprocessen.

• Financiën: onvoldoende nieuwe reizigers kunnen aantrekken als gevolg van structureel thuiswerken, duurdere treinkaartjes en een dalende koopkracht blijft een significant risico. Genomen besparingsmaatregelen verlagen de kosten, maar aan de andere kant stegen de kosten voor salarissen, materieel, materialen, onderdelen en financiering in 2025. De inflatie is weliswaar gedaald, maar nog boven de gewenste 2% waardoor dit in de komende jaren mogelijk nog impact kan hebben op het kostenniveau.

• Veiligheid: de toenemende verruwing en polarisatie van de samenleving raakt de veiligheid van reizigers en medewerkers en verplaatst zich steeds vaker naar de treinstations en zorgt daar voor onrust. Het aantal agressie incidenten stijgt licht, maar het aantal letselgevallen daalt. Cyberaanvallen stonden al hoog op de agenda, maar door de geopolitieke ontwikkelingen neemt dit risico verder toe.

Toelichting toprisico's

We begonnen de paragraaf met de relatie tussen de bedrijfsstrategie en risicomanagement. Hieronder worden de belangrijkste risico’s getoond in relatie tot de belangrijkste strategische speerpunten.

Verklaring Omtrent Risicobeheersing

Het bestuur is van mening dat het verslag voldoende inzicht geeft in eventuele tekortkomingen in de werking van de interne risicobeheersings- en controlesystemen en dat voldoende inzicht is gegeven in de operationele, compliance en verslaggevingsrisico’s waar NS mee te maken heeft. Hieronder specificeren wij dit nog.

Financiële verslaggeving

Het bestuur is van oordeel dat het interne beheersingssysteem ten aanzien van de financiële verslaggeving gedurende het verslagjaar een redelijke mate van zekerheid geeft dat de financiële verslaggeving geen onjuistheden van materieel belang bevat. De raad van bestuur verklaart dat, voor zover bekend:

• de jaarrekening een getrouw beeld geeft van de activa, de passiva, de financiële positie en de winst van NS, en de gezamenlijk in de consolidatie opgenomen ondernemingen;

• het jaarverslag een getrouw beeld geeft van de toestand op balansdatum en de gang van zaken gedurende het boekjaar;

• het naar de huidige stand van zaken gerechtvaardigd is dat de financiële verslaggeving is opgesteld op going concern basis;

• in het jaarverslag de materiële risico’s en onzekerheden zijn vermeld die relevant zijn ter zake van de verwachting van de continuïteit van de vennootschap voor een periode van twaalf maanden na opstelling van het verslag.

Duurzaamheidsverslaggeving

Het bestuur is van oordeel dat het interne beheersingssysteem rondom de totstandkoming van duurzaamheidsinformatie een beperkte mate van zekerheid geeft dat de duurzaamheidsverslaggeving geen onjuistheden van materieel belang bevat.

Operationele en complianceprocessen

De afdelingen binnen NS werken volgens het riskmanagementbeleid waardoor de belangrijkste binnen de organisatie bekende risico’s van processen, IT systemen en programma’s tevens bij het management bekend zijn. Hierover wordt op kwartaalbasis gerapporteerd en periodiek worden deze risico’s besproken met de riskmanagers.

NS kent een Veiligheid Beheer Systeem en een Kwaliteitsmanagementsysteem waar diverse certificeringen onder vallen (VBS, ECM, ISO 55001, ISO 9001). Om voor de belangrijkste operationele en compliance processen ook aantoonbaar in control te zijn, zet NS een internal control framework op. Dit interne beheersingsraamwerk bevindt zich in verschillende stadia van uitwerking. Voor een aantal processen is het framework reeds ingericht en ligt de nadruk op testen, monitoring en de beoordeling van de effectiviteit van controls. Voor andere processen en compliance frameworks worden de deelraamwerken de komende twee tot drie jaar verder ontwikkeld en geïmplementeerd. Het bestuur volgt de voortgang en beoordeelt minimaal jaarlijks de effectiviteit van de getroffen maatregelen. Het bestuur is er niet mee bekend dat de interne risicobeheersings- en controlesystemen in 2025 niet voldoende zekerheid gaven dat de hierboven genoemde operationele- en compliancerisico's effectief werden beheerst, waarbij ‘voldoende zekerheid’ betekent: zekerheid passend bij onze risicobereidheid, de complexiteit van onze onderneming, inherente beperkingen aan deze systemen en andere informatie over deze systemen in dit verslag.

Het bestuur heeft de opzet en werking van de interne risicobeheersings- en controlesystemen besproken met de Raad van Commissarissen, inclusief de interne auditfunctie.

Opgemerkt moet worden dat het bovenstaande niet betekent dat deze systemen en procedures absolute zekerheid bieden over de realisatie van operationele en strategische doelstellingen, of dat deze alle risico’s, onjuistheden, fouten, fraude en niet-naleving van wetgeving, regels en voorschriften kan voorkomen. Ze kunnen evenmin zekerheid bieden dat we onze doelstellingen zullen bereiken.

Gelet op het bovenstaande is de raad van bestuur van mening dat deze verklaring voldoet aan de vereisten van best practice bepaling 1.2 en 1.4 van de Nederlandse Corporate Governance Code.