B1 Aanwezigheid en werking van het interne risicobeheersings- en controlesysteem

Werking en opzet

Risicomanagement is gericht op het continu en proactief beheersen van de risico’s. Het is een aanvulling op de bestaande bedrijfsvoering en is als zodanig geïntegreerd in de bestaande processen. Een risico wordt als volgt gedefinieerd: 'een gebeurtenis die een positief of negatief effect heeft op het bereiken van de organisatiedoelstellingen. Er wordt dan gesproken over een kans dan wel een bedreiging'. Centraal staat derhalve het realiseren van de strategische doelstellingen, die worden bepaald als onderdeel van het Planning & Control Proces (zie schema).

In 2024 zullen we doorgaan met het uitwerken van de bestuurlijke prioriteiten zoals we dat ook in 2023 hebben gedaan. In 2024 zal de nadruk daarbij vooral liggen op het financieel gezond houden van de organisatie. Met behulp van periodieke managementrapportages monitoren we de implementatie van het vastgestelde beleid en rapporteren we over de realisatie van de plannen. Op basis daarvan wordt bepaald of risico mitigerende en/of andere maatregelen nodig zijn. Betrouwbare, relevante en tijdige managementinformatie is hierbij van belang. Er wordt blijvend gewerkt aan de verdere versterking van een meer sturingsgerichte P&C-cyclus en daarin opgenomen producten.

Risicogebieden; bedreigingen en kansen

Interne ontwikkelingen

Periodiek wordt een min of meer vaste set van geïdentificeerde strategische risico’s gemonitord door middel van de managementrapportage (MARAP). De MARAP kent per rapportage eigen accenten, kenmerkend voor bijsturingsmogelijkheden in de P&C cyclus. Als risicogebieden onderscheiden we: onderwijs, onderzoek, personeel, financiën, ICT, valorisatie en kennisveiligheid. Deze onderwerpen worden onder 'beschrijving van de belangrijkste risico’s en onzekerheden (B2)' individueel uitgewerkt.

Externe ontwikkelingen

De externe kansen en/of bedreigingen die de UT ziet, komen vooral voort uit het landelijke politieke domein en de geopolitieke situatie. Enkele actuele ontwikkelingen zijn:

Formatie 2023-2024

Als gevolg van de Tweede Kamerverkiezingen vindt een nieuwe kabinetsformatie plaats. Welke gevolgen dit heeft voor het hoger onderwijs en wetenschappelijk onderzoek is onzeker, maar de gevolgen kunnen aanzienlijk zijn.

Humanitaire rampen

Op dit moment vinden op diverse plaatsen oorlogen plaats, onder meer in Oekraïne en in het Midden-Oosten. Dit heeft gevolgen voor de wereldeconomie en daarmee ook voor de economie van Nederland. Het heeft ook impact op het welzijn van de studenten, de medewerkers en alle mensen die (direct of indirect) te maken hebben met deze situaties. Om de toegang tot het hoger onderwijs te waarborgen, is het collegegeldtarief voor vluchtelingstudenten die beschikken over een tijdelijk beschermde status ook voor het collegejaar 2023/2024 verlaagd naar het wettelijk tarief.

Inflatie

2022 was een jaar met hoge inflatie. Zo zijn de grondstoffen- en energieprijzen fors gestegen, mede als gevolg van de oorlog in Oekraïne. De inflatie is in 2023 afgenomen. Het is nog onzeker in hoeverre de overheid hierop zal acteren middels de loon- en prijscompensatie de komende jaren.

Rijksbekostigingsmodel

Voor de financiering van de universiteit zijn we voor een groot deel afhankelijk van de Rijksbijdrage. Over de toereikendheid van de Rijksbekostiging en de optimale verhouding tussen vaste en variabele bekostiging hebben diverse onderzoeken plaatsgevonden. Deze onderzoeken kunnen consequenties hebben voor de toekomstige ontwikkeling van de Rijksbekostiging voor de universiteiten.

OCW: Financieel beleid

Elk jaar opnieuw is het maar de vraag of en hoeveel OCW de universiteiten compenseert voor gestegen lonen, prijzen en studentenaantallen. Omdat we nooit vooraf weten in hoeverre OCW de instellingen compenseert, is de druk en onzekerheid op de financiële ruimte van de UT toegenomen. Deze compensaties worden dermate laat in het jaar bekend (juni), dat het in de lopende begroting moeilijk tot zinvolle bestedingen leidt. De UT onderkent dit risico en maakt een eigen inschatting van de compensaties  voor het eerstvolgende jaar (2024 M€ 12). Hiermee komt de UT weliswaar tegemoet aan de oproep van de minister om risicovoller te begroten, maar OCW verlegt hiermee echter wel de financiële risico’s steeds meer naar de universiteiten.

Internationalisering

Internationalisering is sinds lange tijd een van de pijlers van de UT-strategie, met nadruk op de kwaliteit van het onderwijs (international classroom) en de bijdrage aan de maatschappelijke vraag naar academisch opgeleide technici voor de arbeidsmarkt. Een risico is de huidige politieke discussie rondom internationalisering van het hoger onderwijs. Eind 2022 is vanuit de politiek verzocht om bijsturing op instroom van internationale studenten in bachelor opleidingen. De Universiteiten van Nederland hebben op verzoek van de Minister en Tweede Kamer een leidraad met maatregelen gepresenteerd, om als onderwijsinstellingen zelfregie te pakken op dit onderwerp. De UT pakt hierin verantwoordelijkheid door aan de slag te gaan met het gezamenlijk ontwikkelen van plannen voor de invulling van deze leidraad, met oog voor onze kernwaarden en UT-specifieke vraagstukken. Zo spelen we een belangrijke regionale en grensoverschrijdende rol als universiteit vlakbij de Duitse grens en dragen we bij aan de grote behoefte aan technisch talent voor de (regionale) arbeidsmarkt. De situatie dwingt ons te veranderen. In dit proces is het belangrijk ons internationale karakter en onze talentvolle internationale gemeenschap te blijven koesteren.

Een instrument dat de UT inzet voor het creëren van een diverse, internationale classroom is het voorbereidend jaar 'Twente Pathway College' in samenwerking met Navitas. In 2023 is besloten het contract met Navitas met twee jaar te verlengen, mede ingegeven door de onzekerheid over de koers van de politieke discussie over internationalisering. Inmiddels is het stoppen met het voorbereidend jaar opgenomen in het maatregelenpakket waarmee de Universiteiten van Nederland gezamenlijk grip willen krijgen op internationale instroom. De UT zal het voorbereidingsjaar na afloop van het contract dan ook stoppen .

Het huidige politieke klimaat kan (net als beide bovengenoemde punten) leiden tot meer centrale regie vanuit Den Haag, wat consequenties kan hebben voor de autonomie van de universiteit. Dit kan leiden tot vergroting van de verantwoordingsdruk.

In breder perspectief is het doorontwikkelen van onze visie en strategie op hoe de UT zich tot de regio en Europa verhoudt, belangrijk om als universiteit ‘resilient’ te blijven. Eén van de strategische prioriteiten van de UT en een belangrijk vehikel voor de realisatie van onze internationaliseringsstrategie is ECIU University. De UT speelt als coördinator van de ECIU Foundation én het grootste consortium van European Alliances een belangrijke rol in de ontwikkeling van een Europese Universiteit. Steeds vaker wordt input op Europees beleid gevraagd via deze Alliances op verschillende onderwerpen, zoals gezamenlijke opleidingen, samenwerkingsverbanden en de wettelijke status van Europese universiteiten. De meerwaarde wordt ook erkend door de Europese Commissie en OCW gezien de toegezegde financiering op deze initiatieven. Het organiseren en faciliteren van de samenwerking met ambitieuze en innovatieve doelen op deze schaal en in dit tempo, brengt ook uitdagingen met zich mee. Denk hierbij aan het absorptievermogen van deze ontwikkelingen in de eigen faculteiten.

Duurzaamheid

Duurzaamheid is een belangrijke pijler van Shaping2030 en biedt kansen voor de UT. De brede UT-gemeenschap heeft met tal van initiatieven de urgentie van dit vraagstuk aangetoond. De universiteit wil een significante impact hebben op duurzaamheidsuitdagingen en heeft binnen het SEE-programma ambitieuze plannen ontwikkeld om deze kwestie aan te pakken. 

Beheersmaatregelen

Beheersmaatregelen zijn zowel preventief als repressief. Intern zijn er twee soorten: hard controls (afspraken en richtlijnen) en soft controls (gericht op het functioneren van medewerkers). Voorbeelden van hard controls binnen de universiteit zijn het Bestuurs- en beheersreglement (BBR), de mandaatregeling, de regeling nevenwerkzaamheden en richtlijnen vanuit de externe wetgeving. Het accent ligt op hard controls, maar we onderzoeken hoe we invulling kunnen geven aan een verschuiving naar meer soft controls. Zo is een workshop 'Een waarde gedreven risicodialoog om te navigeren in onzekere tijden' georganiseerd voor een groot deel van de organisatie.

De beheersmaatregelen zijn gericht op het beheersen van operationele en financiële risico’s en risico’s als gevolg van wet- en regelgeving. De periodieke monitoring op de effectiviteit van de beheersmaatregelen vindt zowel centraal als op het niveau van de afzonderlijke eenheden (faculteiten, instituten en diensten) plaats en is erop gericht om tijdig afwijkingen van het plan te detecteren. Waar nodig vindt een onderzoek plaats naar de oorzaken en worden bijsturingsmaatregelen getroffen.

De ontwikkelingen in bovenstaande indicatoren, de werking van de ingezette beheersmaatregelen en de onderkende risico’s worden periodiek via de managementrapportage geagendeerd in het CvB, het CvB-decanenoverleg, de RvT en de Universiteitsraad. Ze worden ter informatie gezonden aan het management binnen de universiteit. Daarnaast zijn ze onderwerp van gesprek in de Shaping Dialogues tussen het CvB en de faculteitsbesturen.

Beheersingsmaatregelen met betrekking tot de externe ontwikkelingen worden vooral gezocht in het gezamenlijk optrekken met andere universiteiten (UNL, 4TU, VU), Hogescholen, samenwerking met gemeente, eigen scenarioanalyses en lobby-trajecten

Toekomstig risicomanagement

Ons risicomanagementsysteem is strategisch ingebed, voorziet in sturingsmechanismen en wordt omarmd door het bestuur, het management, de medezeggenschap en de toezichthouder. Desondanks vragen het risicobewustzijn en interne- en externe ontwikkelingen om aanvullende doorontwikkelingen, die door de werkgroep Governance, Risk en Compliance verder worden uitgewerkt.

• In 2022 is een werkgroep samengesteld met als doel een UT-breed Governance, Risk en Compliance (GRC) raamwerk te ontwikkelen. De werkgroep bestaat uit medewerkers vanuit verschillende vakgebieden: financiën, integrale veiligheid, kennisveiligheid en Internal Audit. De aandachtsgebieden zijn algemeen (zoals finance en business continuity) en strategisch van aard.  De werkgroep is begonnen met het schetsen van huidige instrumenten, processen, beleidsdomeinen en personen die zich bezighouden met risicobeoordelingen en risicomanagement aan de UT. Daarbij is nadrukkelijk bekeken op welke wijze risico’s en bijbehorende beheersmaatregelen in de algemene processen worden meegenomen. Deze werkgroep heeft gekeken wat voor de UT een goede manier is om risicomanagement verder te implementeren en verder te optimaliseren in de organisatie. 

• De werkgroep ziet de UT als een lerende organisatie die kennisdeling en uitwisseling als het hart van het risicomanagement ziet. Om die reden heeft de werkgroep voor het hoger management een workshop georganiseerd.  'Een waarde gedreven risicodialoog om te navigeren in onzekere tijden' geleid door Martin van Staveren – kerndocent executive masteropleidingen Risicomanagement en Public Management. In deze workshop stond de risicodialoog centraal, een vorm om tot een expliciet, realistisch en gestructureerd gesprek (over kansen en risico’s) te komen. 

• Aan deze workshops zal een vervolg gegeven worden om vaker de risicodialogen als aanvullend middel te hanteren in het risicomanagement van de UT. Aan de hand van drie essentiële vragen - Wat is ons doel? Wat is onzeker? Wat ga je doen? –  kan een vrijmoedig en openhartig gesprek gevoerd worden over onzekerheden en de mogelijkheden om hier mee om te gaan. Het voeren van een expliciete, realistische en gestructureerde risicodialoog kan ons in deze onzekere tijd helpen om richting te geven.

Internal Audit

Internal Audit is de eigen auditfunctie van de Universiteit Twente. Deze afdeling houdt zich primair bezig met uitvoering van (voornamelijk niet-repeterende) onderzoeken naar zaken waarover het management additionele zekerheid wenst (management control), waarbij naast beheersingsmaatregelen zoals richtlijnen en procedures, ook in toenemende mate cultuur- en gedragsaspecten zoals leiderschap en integriteit in beschouwing worden genomen. Naast deze primaire rol ondersteunt de interne auditfunctie het management in het analyseren van oorzaken van problemen (verkrijgen inzichten) en doet zij aanbevelingen om processen en interne beheersing te verbeteren. Bovendien adviseert ze het CvB en de auditcommissie van de RvT over de meer structurele ontwikkelingen in de risico’s en de bijbehorende beheersingsmaatregelen, bijvoorbeeld op het gebied van cybersecurity. Deze nieuwe invulling houdt in dat naast onafhankelijke en objectieve audit diensten ook consulting diensten worden aangeboden die bedoeld zijn om zowel de waarde van de organisatie te beschermen als waarde aan de organisatie toe te voegen en de bedrijfsactiviteiten te verbeteren. Internal Audit doet dit door haar functie vraag gestuurd in te vullen (in afstemming met key-stakeholders) en een coördinerende rol te vervullen in de optimalisatie van de onderlinge samenwerking tussen functies belast met de uitvoering van control werkzaamheden.

Internal Audit kent een brede scope van dienstverlening, om te kunnen focussen op de relevante onderwerpen voor de onderwijsinstelling en in te spelen op nieuwe ontwikkelingen en opkomende risico’s. Naast financial audits worden bijvoorbeeld ook behavioural, operational en IT-audits uitgevoerd en inzichten en/of adviezen gegeven. In 2023 is hieraan de discipline sustainability toegevoegd, om te kunnen voorzien in de advisering en de controle van niet-financiële duurzaamheidsinformatie. De onderwerpen voor onderzoek en advisering door Internal Audit worden vastgelegd in een risico-gebaseerd (meerjarig) intern auditplan, dat periodiek wordt herzien.

Het verslagjaar 2023 heeft voornamelijk in het teken gestaan van de verdere vormgeving van de nieuwe disciplines sustainability, behavioural, IT auditing en advisory. Door middel van het uitvoeren van onderzoeken op voornoemde gebieden voorziet Internal Audit in een behoefte en draagt ze tegelijkertijd bij aan de stimulering van het goede gesprek over de governance van universiteiten (hoe uitvoering te geven aan de vastgelegde principes van goed bestuur) in lijn met de brede maatschappelijke opdracht en het eigen karakter en identiteit van de Universiteit Twente.

RvT-Auditcommissie

De Auditcommissie van de RvT monitort ons interne risicobeheersings- en controlesysteem. Daarnaast bereidt de commissie de bespreking in de Raad voor van:

• Naleving van de relevante wet- en regelgeving;

• Financiële informatieverschaffing door de universiteit en haar deelnemingen;

• Naleving van aanbevelingen en opvolging van opmerkingen van de (externe) accountant;

• Financiering van de universiteit conform beleggings- en financieringsstatuten;

• De financiële informatieverschaffing (waaronder het Spring Memorandum, Begroting en de Jaarrekening);

• Administratieve organisatie en de daaraan ten grondslag liggende informatiesystemen.

Externe accountant

De externe accountant is een belangrijke schakel in het interne risicobeheersings- en controlesysteem. De controleverklaring van de externe accountant is erop gericht om de rechtmatige totstandkoming van de in de jaarrekening verantwoorde baten en lasten alsmede balansmutaties te controleren en om vast te stellen of de jaarrekening een getrouw beeld geeft van de financiële situatie. De zekerheid die de externe accountant met deze verklaring verschaft, is belangrijk voor het dechargeproces en ondersteunt de RvT bij het uitvoeren van zijn verantwoordelijkheid. Naast de controleverklaring levert de externe accountant ook een accountantsverslag en een rapportage van interim bevindingen, de zogeheten management letter. In deze documenten rapporteert de externe accountant vanuit zijn onafhankelijke rol over de kwaliteit van de interne beheersing en wordt advies gegeven over door te voeren verbeteringen. De externe accountant voert periodiek overleg met de Auditcommissie van de RvT, het CvB, Internal Audit, de dienst Finance en de dienst LISA.