Beheersing van risico’s
NS wil Nederland duurzaam bereikbaar houden. Onze operatie gaat gepaard met onzekerheden. Risicomanagement is het bewust omgaan met onzekerheden die een negatieve invloed kunnen hebben op het realiseren van de strategische doelstellingen.
Inrichting van de risicobeheersing
Om risico’s blijvend integraal te beheersen, beweegt het risicomanagementsysteem mee met interne en externe ontwikkelingen. Met probabilistische planningen en analyses maken we de toekomstige impact van onzekerheden en risico’s expliciet en ontstaat een beter beeld van de betrouwbaarheid van plannen, beleidskeuzes en het risicobudget bij projecten. Dit ondersteunt in besluitvorming.
Vastlegging en rapportage
Geïdentificeerde risico’s zijn met risico-eigenaar in risicoregisters vastgelegd en worden gescoord met behulp van één uniforme risicomatrix. Per kwartaal rapporteert NS de voornaamste risico’s per bedrijfsonderdeel en die rapportages worden besproken in de raad van bestuur als onderdeel van de planning- en controlcyclus. Risico’s buiten de risicobereidheid worden direct gerapporteerd en indien nodig geëscaleerd. De raad van bestuur rapporteert en legt verantwoording af over het systeem van risicobeheersing en interne controle aan de raad van commissarissen na bespreking daarvan in de Risk- en Auditcommissie.
Risicobereidheid en toleranties
De risicobereidheid en nagestreefde risicobeheersing over zes risicothema’s van NS staan in zogeheten ‘risk appetite statements’. Aan alle risicothema’s zijn concrete prestatie-indicatoren gekoppeld met kwantitatieve bandbreedtes. De risicobereidheid wordt jaarlijks per thema door de raad van bestuur geëvalueerd en indien nodig aangepast. In onderstaande tabel staat de huidige risicobereidheid bij elk risicothema en daarbij de belangrijkste concernrisico’s voor NS. De risicobereidheid wordt voor elk van deze thema’s op eenzelfde wijze vastgesteld op het niveau van de dochterondernemingen Abellio UK en Abellio Duitsland. De risicobereidheid van NS is in 2021 hetzelfde als in 2020.
De individuele risico’s staan in de risicomatrix. Hoe verder naar rechts een risico staat (van A tot F), des te groter de kans van optreden. Hoe verder naar boven (van 1 tot 7), des te groter de impact op de doelstellingen van NS als het risico optreedt. De kleuren geven aan hoe het risico zich verhoudt tot de risicobereidheid en op welk niveau binnen NS het eventuele restrisico moet worden geaccepteerd indien niet meer mitigerende maatregelen (kunnen) worden genomen. Toelichting verschijnt als pop-up bij het aanklikken van een risico.
- 1Veiligheid
- 2Non compliance
- 3Omzet
- 4Besparingen
- 5Buitenland
- 6Infra
- 7IT (incl. cyber)
- 8Wendbaarheid
- 9Psychisch verzuim
- 10Personele capaciteit
1. Veiligheid
Concernrisico
Het risico dat NS in Nederland niet afdoende maatregelen treft om veiligheidsincidenten te voorkomen of haar zorgplicht onvoldoende vervult.
Ontwikkeling 2021
NS werkt op basis van een volwassenheidsmodel (Hearts & Minds) aan beheersing van de veiligheidsrisico’s. De toprisico’s zijn per domein in kaart gebracht, eigenaren en adviseurs zijn toegewezen. Er wordt zo goed mogelijk proactief op de risico’s gestuurd.
Beheersmaatregelen
Reizen per spoor is een van de veiligste vormen van mobiliteit. NS wil de veiligheid blijven verbeteren door het beheersen van de veiligheidsrisico’s en het continu verbeteren van de veiligheidsprestaties. We hebben veel vooruitgang geboekt op alle domeinen. Op het gebied van cyber (zie risico 7) is nog meer werk nodig om de gewenste volwassenheid te bereiken en de risico’s verder te beheersen.
De technische en organisatorische maatregelen naar aanleiding van de grote spoorwegincidenten (ontsporing en aanrijding) in 2020 hebben we conform plan ingevoerd. Maatregelen zijn onder andere aanpassing van het onderhoudsregime van treinen en tijdelijke snelheidsbeperkingen bij het passeren van een aantal niet bewaakte overwegen.
Op het gebied van security en sociale veiligheid heeft NS organisatorische verbeteringen doorgevoerd en zijn we aangesloten op de relevante overheidsinstanties. Er wordt regelmatig geoefend op terrorisme-situaties. Daarnaast zijn we een programma gestart om de bewaking van NS-eigendommen te verbeteren.
2. Non compliance
Concernrisico
Het risico dat NS niet voldoet aan wet- en regelgeving of overschrijden van geldende normen en waarden.
Ontwikkeling 2021
De beheersing van compliance is in 2021 verder versterkt, als onderdeel van een meerjarig traject. Daarnaast hebben we de beleidsvoering, monitoring en verantwoording op compliance verder uitgebouwd.
Beheersmaatregelen
Er is een NS-breed dashboard met daarin de toprisico’s en issues ten aanzien van compliance, alsmede de relevante compliance kpi's.
Er worden NS-breed trainingen verzorgd om de kennis van wet- en regelgeving bij medewerkers op peil te houden.
NS heeft een landelijk programma om de omgangsvormen op de werkvloer te verbeteren. De NS Gedragscode vormt daarbij de leidraad.
3. Omzet
Concernrisico
Het risico dat we klanten structureel verliezen en/of klanten minder gaan reizen.
Ontwikkeling 2021
De omzet is in 2020 en 2021 als gevolg van corona fors gedaald en ook de verwachtingen voor komende jaren liggen substantieel lager, onder andere door veranderd reisgedrag en meer thuiswerken. Ervoor zorgen dat de klanten weer terugkeren is een belangrijk speerpunt voor ons bedrijf en voor het mobiliteitsvraagstuk waar Nederland mee te maken heeft. Zo houden we Nederland bereikbaar.
Beheersmaatregelen
Er hebben onderzoeken plaatsgevonden om inzicht te krijgen in veranderend reisgedrag, en we updaten reizigersprognoses met grotere regelmaat.
Deze inzichten worden gebruikt om:
Reizigers terug te winnen met een aanbod dat past bij het nieuwe reisgedrag.
Nieuwe reizigers te winnen door campagnes en verbeteringen door te voeren in het aanbod en dienstverlening (o.a. uitbreiden van het aanbod van ketendiensten, verbetering van de App, nieuwe functionaliteiten voor de zakelijke klanten).
Bij het aangaan van investeringen en eventuele aanpassingen aan de dienstverlening wordt waar mogelijk gebruik gemaakt van deze inzichten.
4. Besparingen
Concernrisico
Het risico dat NS de als gevolg van de coronacrisis benodigde besparingen niet realiseert.
Ontwikkeling 2021
NS heeft een besparingsplan van € 1,4 miljard tot en met 2024. Wendbaarheid is cruciaal. Uitvoering van deze plannen wordt met de medezeggenschap en vakbonden afgestemd, waarbij sommige besparingen niet meer volledig (op tijd) behaald worden.
Beheersmaatregelen
We hebben een speciaal team ingericht om de transformatie aan te jagen en besparingsinitiatieven uit te werken voor directe en indirecte medewerkers. Hierin werken we samen met sociale partners en medewerkers. Investeringsplannen passen we aan en worden zo mogelijk getemporiseerd. Prognoses herijken we periodiek en we monitoren de voortgang.
5. Buitenland
Concernrisico
Het risico dat NS verlies lijdt op de investeringen in het buitenland (Abellio).
Ontwikkeling 2021
In het Verenigd Koninkrijk heeft Abellio nieuwe contracten getekend voor 2 contracten, waarbij de risico’s meer bij de concessieverlener liggen. Abellio Duitsland verkeert in een insolventieprocedure en in Duitsland worden verlieslatende contracten geherstructureerd of beëindigd. Insolventieprocedure heeft het inherente risico van mogelijke claims en procedures.
Beheersmaatregelen
In Duitsland zijn de herstructureringsprocessen in Nordrhein-Westfalen en Baden-Württemberg beëindigd, maar blijft een risico op claims en langdurige procedures. De overige concessies worden voortgezet en, voor zover verlieslatend, aangepast.
In het Verenigd Koninkrijk worden concessies beëindigd met financiële risico’s bij de afsluiting.
6. Infra
Concernrisico
Het risico dat het uitvoeren van de dienstregeling en het realiseren van onze ambities (hoogfrequent en snelheidsverhoging) negatief worden beïnvloed door infraknelpunten.
Ontwikkeling 2021
In 2021 zijn er infraknelpunten naar voren gekomen die het uitvoeren van de treindienst en het realiseren van onze binnenlandse en internationale ambities negatief beïnvloeden.
Beheersmaatregelen
Binnen het Middellange Termijn proces samen met ProRail en I&W bespreken we deze zaken.
7. IT (incl. cyber)
Concernrisico
Het risico dat IT-systemen niet voldoen aan de operationele- en beveiligingseisen.
Ontwikkeling 2021
Maatregelen zijn getroffen voor verdere beheersing. Maar ondertussen nemen de bedreigingen waaronder cyberrisico’s (ook op de trein) toe, omdat het dreigingsbeeld blijft groeien.
Beheersmaatregelen
De belangrijkste kritieke systemen in de logistieke treinbesturing zijn vervangen. De grote operationele legacy-systemen, waaronder reisinformatiesysteem en Data Warehousesystemen, vervangen we medio 2022 en 2023 grotendeels. Business-continuïteit-afspraken met leveranciers zijn aangescherpt.
Om het IT-capaciteitstekort te mitigeren worden externe medewerkers waar mogelijk vervangen door eigen medewerkers en worden junior medewerkers intern opgeleid tot een hoger kennisniveau. Het transformatieplan wordt geïmplementeerd o.a. door Agile werken met extra aandacht voor het behouden van technisch talent.
Aan de hand van een roadmap wordt de cybersecurity verder versterkt. zowel procesmatig via governance en beleid als inhoudelijk bij IT en operationele technologie (OT) op en om de trein. Dit wordt steeds belangrijker gezien de toenemende cyberbedreiging en de aanwijzing van NS als aanbieder van een essentiële dienst.
Er zijn cyber risicoanalyses uitgevoerd op o.a. de operationele vloot en ransomware kwetsbaarheid.
NS heeft meegewerkt aan de totstandkoming van de roadmap Vitaal, die onder leiding van I&W is opgesteld en NS heeft een implementatieplan opgesteld voor de Wet Beveiliging Netwerk- en Informatiesystemen (WBNI). Hiermee wordt de bescherming van de vitale mobiliteitsprocessen verder vorm gegeven.
Awareness campagne veilig thuiswerken en extra alertheid interne IT-veiligheidsbewaking.
Phishing campagne is gestart en loopt door komende jaren.
Elke NS medewerker heeft een beveiligde laptop gekregen waarmee vanuit huis kan worden gewerkt.
Het toegangsbeheer is aangescherpt.
Naar aanleiding van incidenten zijn verbeteracties uitgevoerd op o.a.de website www.ns.nl.
8. Wendbaarheid
Concernrisico
Het risico dat NS er niet in slaagt om voldoende verander- en innovatiekracht te realiseren.
Ontwikkeling 2021
We hebben gedurende de crisis Nederland in beweging gehouden en ons aangepast aan de nieuwe omstandigheden, en daarmee bewezen wendbaar en flexibel te zijn. Vanwege de financiële situatie en neerwaartse reizigersprognoses werken we structureel aan een kleiner en wendbaarder NS.
Beheersmaatregelen
Ondersteund vanuit een Transformatieteam werkt NS gestructureerd aan kostenbesparingen, gedragsverandering en verbeterde resultaatsturing zodat we slagvaardiger samenwerken en sneller inspelen op veranderingen. Ook bevorderen we doorstroom en omscholing zodat mensen in de veranderende context inzetbaar en flexibel blijven.
9. Psychisch verzuim
Concernrisico
Het risico op psychosociale klachten door werkstress en corona.
Ontwikkeling 2021
De transformatie en de (overheidsmaatregelen naar aanleiding van de) coronacrisis hebben een negatieve invloed op medewerkers.
Beheersmaatregelen
Regelmatige metingen onder medewerkers om gericht maatregelen te kunnen treffen.
Maatregelen voor veilig en gezond thuiswerken (fysiek en mentaal).
Ontwikkeling en ondersteuning van leidinggevenden.
Stimuleren van beweging en fysieke fitheid.
Laagdrempelig aanbod aan preventieve coaching.
Gerichte aanpak per doelgroep ter verbetering van het werkvermogen.
10. Personele capaciteit
Concernrisico
Het risico dat er schaarste ontstaat aan personeel door arbeidsmarktkrapte.
Ontwikkeling 2021
Hoge uitstroom van medewerkers en licht stijgende trend in verzuim, in combinatie met een steeds krapper wordende arbeidsmarkt.
Beheersmaatregelen
Strategisch personeelsplan per functie.
Arbeidsmarktcampagne.
Focus op retentie.
Opschalen opleidingscapaciteit.
Belangrijkste ontwikkelingen in risicoprofiel ten opzichte van 2020
In onderstaande tabel staat het risicoprofiel van de top-risico’s van NS in 2021 en welke maatregelen we hebben genomen. Daaronder lichten we de grootste veranderingen toe.
Gemengd risicoprofiel
De ontwikkeling van het risicoprofiel is gemengd. Het verbetert over het algemeen op de domeinen veiligheid en compliance, waar maatregelen in toenemende mate zichtbaar effect sorteren. Op de domeinen financiën en operatie blijven de risico’s echter onverminderd groot:
-
Bij financiën in Nederland blijft de onzekerheid rondom de reizigersaantallen groot en staat de omzet blijvend onder druk door veranderend reisgedrag, zoals een toename in thuiswerken. De kostenbesparingen maken voortgang, maar vertraging dreigt.
-
Bij financiën in het buitenland (Abellio) zijn in Duitsland de herstructureringsprocessen in Nordrhein-Westfalen en Baden-Württemberg beëindigd, maar blijft een risico op claims en langdurige procedures. In het Verenigd Koninkrijk worden concessies ook beëindigd met financiële risico’s bij de afsluiting.
-
Bij operatie liggen de grootste risico’s in de infrastructuur, waar in toenemende mate gebrek aan geld (investeringen en onderhoud door ProRail) begint te knellen.
Verder hebben we in 2021 veel aandacht besteed aan het verder adapteren op klimaatrisico’s en het mitigeren van cyberrisico’s. Vanuit Taskforce on Climate-related Financial Disclosures (TCFD) hebben we een analyse gedaan naar risico’s en kansen die klimaatverandering met zich meebrengt voor NS. Deze risico’s en kansen meegaan in de reguliere risk-assessments.