9.1 Aansprakelijkheidsregels als middel voor risicoallocatie

Aansprakelijkheidsregels zijn een instrument van de overheid om bepaalde risico's te alloceren binnen de maatschappij.1 Bij aansprakelijkheid van bestuurders voor falend risicomanagement gaat het erom dat volgens de toepasselijke aansprakelijkheidsregels de overheid bepaalt dat in bepaalde situaties niet uitsluitend de vennootschap, aandeelhouders of crediteuren, maar juist (of: tevens) bestuurders de gevolgen van het nemen of niet adequaat beheersen van risico's zullen moeten dragen.

Het Nederlandse wet- en regelgevingskader bevat een aantal specifieke voorschriften over risicobeheersing. In deze paragraaf zullen daarnaast de aansprakelijkheidsregels neergelegd in art. 2:9 en 6:162 BW worden behandeld. Duidelijk is dat deze regelingen veel open normen bevatten, die soms weinig houvast bieden in concrete situaties. Die normen moeten dus worden ingevuld door de ontwikkeling van best practices en jurisprudentie.

Als algemeen uitgangspunt geldt dat zowel de Nederlandse wetgever als de Hoge Raad2 te kennen hebben gegeven dat ondernemen ook risico nemen is en dat er ruimte moet zijn voor creativiteit, vernuft en durf; zonder dat daarvoor persoonlijke aansprakelijkheid van bestuurders ontstaat. Dit kan wel worden aangeduid als de risicofilosofie van de Nederlandse overheid ten aanzien van ondernemersrisico. De Nederlandse wetgever heeft herhaaldelijk geuit dat ondernemen geoorloofd risico lopen is:

In het NOM/Willemsen-arrest overwoog de Hoge Raad over aansprakelijkheid van bestuurders jegens de vennootschap op grond van art. 2:9 BW: "Door een hoge drempel te aanvaarden voor aansprakelijkheid van een bestuurder tegenover de door hem bestuurde vennootschap wordt mede het belang van die vennootschap en de daarmee verbonden onderneming gediend omdat daardoor wordt voorkomen dat bestuurders hun handelen in onwenselijke mate door defensieve overwegingen laten bepalen. "9 De Hoge Raad overwoog voorts dat die drempel ook geldt ten opzichte van aandeelhouders, die zelf verkozen hebben om betrokken te raken bij de vennootschap. Een bestuurder hoeft dus geen homo prudens te zijn; een persoon die er constant naar streeft om ongelukken te voorkomen10

De achterliggende idee is dat door het nemen van risico's, zoals die verbonden aan innovatie binnen een onderneming, de maatschappij als geheel daar baat bij heeft, dat het welvaartsniveau daardoor wordt verhoogd. Dat vennootschappen, aandeelhouders en crediteuren verliezen lijden ten gevolge van ondernemend gedrag van bestuurders wordt maatschappelijk gezien tot een bepaalde hoogte voor lief genomen11 Als bestuurders altijd aansprakelijk zouden zijn voor de kosten van een mislukte innovatie, zouden bestuurders waarschijnlijk zeer terughoudend worden op dat gebied. In dat licht is het niet in het belang van de samenleving om risicoavers te zijn en op dit punt vergaande aansprakelijkheidsregels op te leggen.12 Kroeze wees in zijn oratie in dit verband op het gevaar van bange bestuurders.13 Een bepaalde angst van bestuurders voor aansprakelijkheid is echter nuttig: "Commercial succes and freedom of litigation result in complacency."14 Aansprakelijkheidsregels kunnen immers een zekere afschrikkende werking hebben opdat ongewenst gedrag van bestuurders wordt tegengegaan.

Daarbij dient ook rekening te worden gehouden met het feit dat het stellen van hoge eisen aan risicobeheersing zal leiden tot hoge kosten voor ondernemingen in verband met het opstellen en implementeren van procedures, de monitoring en handhaving daarvan.15 Strikte gedragsnormen voor risicobeheersing kunnen de competatieve slagkracht van met name opstartende of kleine ondernemingen negatief beïnvloeden.16 Daarnaast is het de vraag of de uiteindelijke kosten daarvan wel door de juiste groep zullen worden gedragen. Zo is het waarschijnlijk dat ondernemingen deze kosten uiteindelijk zullen doorberekenen aan consumenten in hun producten — in plaats van dat dit ten koste gaat van de aan aandeelhouders ter beschikking staande winst.

Bij de rechtsvorming over gedragsnormen voor bestuurders ten aanzien van risicobeheersing dient deze maatschappelijke kosten/baten-analyse goed voor ogen te worden gehouden. Bestuurders verzekeren zich bovendien veelal tegen aansprakelijkheid. Behalve in situaties waarin de polis geen dekking biedt, wordt het bestraffende (financiële) effect van strengere aansprakelijkheidsregels daardoor ten dele te niet gedaan.

Uit de risicofilosofie van de Nederlandse overheid ten aanzien van ondernemingsrisico's volgt dat aansprakelijkheid pas aan de orde is indien een bepaalde, hoge, drempel wordt overschreden. Denkbaar is dat de hoogte van de drempel voor de gedragsnorm varieert naar gelang de aard van het gelopen risico. Globaal kunnen de risico's worden ingedeeld in die welke vrijwillig worden aanvaard, speculerend op een positief effect17, en die welke door externe krachten worden opgelegd, met steeds een nadelig effect.18 Uit onderzoek is gebleken dat het beheersen van risico's door het opleggen van regels met name weerstand oproept, indien het gaat om risico's die vrijwillig door de betrokkenen zijn aanvaard.19 Dit gegeven kan op verschillende manieren relevant zijn voor het denken over aansprakelijkheid voor falende risicobeheersing.

In de eerste plaats zou een globaal onderscheid kunnen worden gemaakt tussen compliance en financiële verslaggevingsrisico's enerzijds en operationele en strategische risico's anderzijds. Eerstgenoemde risico's houden verband met het voldoen aan door de overheid opgelegde wet- en regelgeving. In het algemeen zou gezegd kunnen worden dat voor dergelijke opgelegde risico's de overheid via de invulling van aansprakelijkheidsregels ook strengere eisen aan risicobeheersing zou mogen stellen dan aan de beheersing van risico's die niet daaruit voortvloeien. Het bestuur zou in die visie minder beleidsvrijheid hebben om een bereidheid aan te nemen tot het aanvaarden van het risico om niet te voldoen aan wet- en regelgeving — de risicobereidheid dient dan gering te zijn. Dit onderscheid is goed hanteerbaar waar het gaat om wet- en regelgeving met duidelijke normen en specifieke criteria. Compliance kan echter ook betrekking hebben op wet- en regelgeving met open normen. Denk aan eisen die worden gesteld aan banken voor integere bedrijfsvoering en zorgplicht. De onderneming moet zelf een manier vinden om daar invulling aan te geven en heeft daarbij weer wel beleidsvrijheid.20

Een tweede punt betreft de aansprakelijkheid die verband houdt met vrijwillig door de onderneming aanvaarde risico's, bijvoorbeeld volgens de risicostrategie, daaronder begrepen de risk appetite en risicotolerantie, of bij het nemen van specifieke beslissingen. Naarmate bij de onderneming betrokken stakeholders of wederpartijen een bepaald door het bestuur gekozen risico (beleid) hebben geaccepteerd, zou dit hun mogelijkheden om functionarissen aansprakelijk te stellen moeten beperken. Voormalig staatssecretaris van Verkeer en Waterstaat Schultz van Haegen formuleerde dit beginsel in de Cleveringalezing van 2003 over risico in de maatschappij aldus: "Ten eerste moeten we heel duidelijk maken waar de verantwoordelijkheid van de overheid ophoudt en die van de burger begint. Het criterium moet volgens mij zijn dat degene die bewust een risico loopt, het ook zelf draagt."21 Ze sprak uit dat de overheid kan variëren in beleid al naar gelang de vrijwilligheid van het aangaan van een risico.22 Deze notie onderstreept overigens het belang van transparantie door het bestuur over belangrijke risicofactoren, risicobeleid en risicobeheersing.

Een derde gezichtspunt betreft de betrokkenheid van derden bij door de onderneming verkozen risico's. Voor de strengheid van het aansprakelijkheidsregime zou een onderscheid gemaakt kunnen worden tussen situaties waarin het vrijwillig nemen van een risico door het bestuur gevaarzetting voor anderen betekent — welke gevaarzetting die anderen onvrijwillig wordt opgedrongen en situaties waarin een dergelijke gevaarzetting niet aan de orde is.23 Daarbij zijn ook gradaties denkbaar. Indien een fabriek wordt gebouwd in een dichtbevolkt gebied, is het niet de keuze van die omwonenden geweest om te worden bloot gesteld aan schadelijke stoffen die worden uitgestoten door die fabriek.24 Daartegenover staan de aandeelhouders van die fabriek, die zelf hebben verkozen om in die hoedanigheid betrokken te raken bij de onderneming en wel met risicodragend kapitaal. Ook crediteuren hebben er vrijwillig voor gekozen om zaken te doen met dat bedrijf; zij het dat zij geen risicodragend kapitaal aan de onderneming hebben verstrekt.

Daarbij kan ook rekening worden gehouden met de impact van een risico. Uit onderzoek is gebleken dat mensen minder tolerantie hebben voor risico's die catastrofale of onomkeerbare gevolgen hebben.25 De maatschappelijke impact van de verwezenlijking van bepaalde strategische of operationele risico's zou in dat opzicht ook een relevant gezichtspunt kunnen zijn bij de beantwoording van de aansprakelijkheidsvraag, bijvoorbeeld als het gaat om gezondheids- , milieu- of systeemrisico's.

Voornoemde noties zouden een rol kunnen spelen bij het formuleren van (gradaties in) specifieke gedragsnormen.

Bij de bepaling of er sprake is van vrijwillig door het bestuur genomen risico's, kunnen vervolgens ook de vragen opkomen of bepaalde risico's welbewust of juist onbewust door het bestuur zijn genomen, en of een bepaald risico heeft geleid tot een bedoeld of een onbedoeld effect. Dan komen subjectieve factoren in beeld, die in de volgende paragraaf aan de orde komen.

Tot slot nog een andere gedachte. De aandacht voor risicomanagement in corporate governance codes, wet- en regelgeving en rechtspraak leidt ertoe dat het concept van risicobeheersing binnen ondernemingen verder wordt ontwikkeld, dat risico's inzichtelijker worden en dat er meer aandacht is voor de beheersing daarvan. Gezegd zou kunnen worden dat één van de gevolgen van deze maatregelen vanuit de overheid is dat aandeelhouderschap daardoor "veiliger" wordt. De vraag kan worden gesteld of bepaalde aandeelhouders nadat de regelgeving is aangescherpt niet een onveranderd risico/opbrengstniveau wensen te behouden voor hun beleggingen door te blijven investeren in bedrijven met een bepaald risicoprofiel. Zij zouden dan een voorkeur kunnen hebben om niet te investeren in bedrijven die beschikken over state-of-the-art wellicht naar bureaucratie neigende — risicobeheersingssystemen, die volledig voldoen aan wet- en regelgeving, maar in mogelijk kleinere of start-up bedrijven zonder beursnotering, die flexibeler en daardoor mogelijk innovatiever kunnen zijn.26 Dat zou een vorm van risicocompensatie zijn:27 bij een gelijkblijvende risk appetite wordt een belegging gezocht met een vergelijkbaar risicoprofiel. Dat is een interessante vraag voor nader onderzoek.