9.3.1 Indeling categorieën risicobeheersingsfouten

Gezien de praktische beperkingen aan risicobeheersingssystemen, komt het voor dat hetbestuur ermee wordt geconfronteerd dat gestelde doelen niet worden gehaald doordat bepaalde risico's zich verwezenlijken. Ik kom tot een globale indeling van aan risicobeheersing gerelateerde fouten in de volgende vijf categorieën:

Als er gesproken wordt over verantwoordelijkheid en aansprakelijkheid van individuen voor zaken die betrekking hebben op risicobeheersing, kan het inzichtelijk zijn om te bezien binnen welke categorie een dergelijke kwestie valt. De vijf categorieën zullen hierna worden toegelicht.

Om te beginnen is de aanwezigheid van een risicobeheersingssysteem soms hoe eenvoudig ook — vanzelfsprekend de basis van verantwoorde risicobeheersing. In het algemeen kan gezegd worden dat de afwezigheid van een dergelijk systeem een belangrijke fout is in de organisatiestructuur. Zie daarvoor ook par. 9.5.2, derde punt.

Een fout in de opzet van de systemen van risicobeheersing en interne controle kan vervolgens worden aangeduid als een systeemfout: een flaw in de systemen van risicobeheersing en interne controle, welke systemen de exposure aan risico's monitoren.1 Hiervan kan bijvoorbeeld sprake zijn indien de toegepaste wiskundige risicoanalyse modellen bepaalde risico's niet of niet adequaat verdisconteren of kwantificeren2, of indien bijvoorbeeld de handelsfunctie en de back office, of de interne controle en de commerciële activiteiten, niet gescheiden zijn.3

Een fout in de werking van de risicobeheersing en interne controle systemen is aan te duiden als een werkingsfout. Dit kan worden beschreven als een fout die de processen beïnvloedt die betrekking hebben op de risicobeheersing en interne controle, welke processen het bestuur in staat stellen de informatie over alle belangrijke risico's te verkrijgen en alle belangrijke handelingen of verzuimen in strijd met het risicobeheersingssysteem te monitoren.4 Hiervan is sprake wanneer de systemen voor risicobeheersing en interne controle goed zijn opgezet, maar de procedures en maatregelen die daarvan deel uitmaken niet zijn toegepast. Te denken valt aan menselijke fouten of vergissingen bij de uitvoering van protocollen, het niet tijdig en op begrijpelijke wijze doorgeven van belangrijke risicobeheersingsinformatie aan het bestuur,5 het opzettelijk ontwijken van de systemen door personeel om bepaalde handelingen te verbergen of gerapporteerde resultaten hoger te doen lijken en management override — het overrulen van beleid of procedures in het risicobeheersingssysteem door hoger management voor ongeoorloofde doeleinden.6 Daarvan is ook sprake wanneer de modellen die onderdeel uitmaken van de risicoanalyse verkeerd worden geïmplementeerd, bijvoorbeeld omdat daarin data over een te korte tijdsperiode worden ingevoerd of onvergelijkbare informatie wordt ingevoerd, die de resultaten van de modellen vervuilen — ook wel aangeduid met "garbage in, garbage out".7

Een vierde categorie, beoordelingsfouten, heeft betrekking op de beoordelingen (schattingen) die door het management gemaakt moeten worden gedurende de werking van het risicobeheersingssysteem. Er moeten continu op belangrijke momenten beoordelingen worden gedaan (judgment calls) en daarop gebaseerde beslissingen worden genomen.8 Voorbeelden zijn de keuzes voor de risk appetite, de doelstellingen, de voor te schrijven gewenste reacties op geïdentificeerde risico's, de toedeling van beschikbare schaarse middelen aan risicobeheersing (kosten/baten-analyse)9, de middelen voor interne controle, de manier waarop in de praktijk wordt gereageerd wanneer zich daadwerkelijk een risico verwezenlijkt en of, en zo ja welke, sancties worden toegepast wanneer de interne richtlijnen en procedures worden overschreden.10 Deze strategie- en managementkeuzes, gebaseerd op de voor handen zijnde risicoanalyses, worden niet gemaakt door risicomanagers.11 Deze worden gemaakt in de business en afhankelijk van het belang ervan worden besluiten terzake genomen op bestuursniveau. De taak van risicomanagers is beperkt tot het signaleren en beperken van risico's.12

De beoordelingen die worden gemaakt ten behoeve van de besluitvorming over deze keuzes zijn gebaseerd op de op dat moment beschikbare gegevens en worden veelal onder tijdsdruk gemaakt. Het COSO-raamwerk vermeldt in dit verband dat de effectiviteit van het risicobeheersingssysteem wordt beperkt door human judgment.13 Hubbard beschrijft het psychologische verschijnsel dat mensen systematisch risico's onderschatten.14 Dat speelt ook mee in de beslissingen die moeten worden genomen op basis van de informatie die beschikbaar komt uit de risicobeheersingssystemen.

Bij de voorgaande drie categorieën fouten moet steeds goed worden beoordeeld wat de aard van de fout is, waar binnen de organisatie de fout is gemaakt — dat kan namelijk goed in een (management)laag onder het bestuur zijn — en in hoeverre het bestuur kennis droeg of behoorde te dragen van die fout. Bij beoordelingsfouten speelt nog iets anders.

Zoals hiervoor beschreven, wordt algemeen aangenomen dat het bestuur een bepaalde beleidsvrijheid heeft; dat er een hoge drempel bestaat voor aansprakelijkheid. Er is een ruime bandbreedte en een bepaalde tolerantie voor ongelukkige bestuursbeslissingen, voor beoordelingsfouten die niet zijn gevolgd op onzorgvuldige voorbereiding van de besluitvorming. Er is echter geen duidelijke maatstaf die aangeeft hoe groot die precies is. Bij beoordelingsfouten komt de vraag op wat de relevante toetsingsnorm is voor de beoordeling van dergelijke fouten.15 Moet de gemaakte keuze integraal worden getoetst, uitgaande van de kennis op het moment dat de beslissing werd genomen, of moet er een vorm van marginale toetsing plaatsvinden? Timmerman heeft in een aantal publicaties geschreven over het verschil tussen de voor de functionaris jegens de vennootschap geldende gedragsnorm en de door de rechter toe te passen aansprakelijkheids- of toetsingsnorm.16 Hij betoogt dat als de gedragsnorm voor een functionaris die hij jegens de vennootschap in acht dient te nemen strenger is dan de door de rechter toe te passen toetsingsnorm, er sprake is van terughoudende toetsing. Assink heeft in zijn proefschrift uitgebreid de introductie van een variant van de business judgment rule verdedigd, die een zeer terughoudende toetsing tot gevolg heeft.17 In het advies "Evenwichtig Ondernemingsbestuur" heeft de SER betoogd dat de Ondernemingskamer haar toetsingsbeleid dient af te stemmen op de Amerikaanse business judgment rule en dat de rechter bij toepassing van die regel dient te toetsen of objectief bezien het aangevallen bestuurlijk gedrag geen rationeel zakelijk doel heeft.18 Dit zou in een wetstoelichting moeten worden opgenomen, terwijl de begrippen gegronde redenen om aan een juist beleid te twijfelen en wanbeleid ongewijzigd zouden blijven.19 Als voordeel hiervan werd aangevoerd dat de rechter zijn uitspraken diepgaander zou moeten motiveren.20 De adviserende leden van de SER hebben bezwaren geuit tegen de invoering van de business judgment rule, omdat deze niet in de Europese context — het stakeholder model past en deze toetsingsnorm in de Verenigde Staten als een beschermingsconstructie zou werken en de mogelijkheden van aandeelhouders om effectief op te treden tegen mismanagement zou beperken. Ten slotte menen zij dat er geen rechtsreeks verband is aangetoond tussen de toepassing van het enquêterecht en het gebrek aan ruimte voor bestuurders om hun taken uit te oefenen.21 Kroeze22, Mohr23 Bartman en Holtzer24 hebben zich kritisch uitgelaten over dit advies.25

Op 30 oktober 2009 is een concept wetsvoorstel aanpassing van het recht van enquête openbaar gemaakt. In de concept-toelichting wordt overwogen dat de Delaware business judgment tule niet één op één kan worden gekopieerd naar het Nederlandse recht.26 Als één van de redenen wordt vermeld dat er primair sprake is van rechtersrecht en niet van een gecodificeerd systeem. Voorts wordt van belang geacht dat het Delaware systeem op onderdelen uitgaat van een ander toetsingskader en andere uitgangspunten dan het Nederlandse recht, onder meer op het punt van het Nederlandse concept van het belang van de vennootschap. Bovendien zou een vervanging van het Nederlandse systeem door een kopie van het Amerikaanse ook ten onrechte de in Nederland ontwikkelde jurisprudentie terzijde schuiven. De concept-toelichting indiceert wel dat voor de motivering door de rechter waarom hij meent dat er gegronde redenen zijn om aan een juist beleid te twijfelen danwel wanbeleid heeft plaatsgevonden, aandachtspunten die uit de Amerikaanse jurisprudentie naar voren komen, ook in het Nederlandse kader behulpzaam kunnen zijn.271k plaats daarbij de kanttekening dat het daarbij wel van groot belang is dat de rechter zich in concrete gevallen vergewist of de relevant geachte overwegingen in die Amerikaanse jurisprudentie wel in overeenstemming zijn met de grondslagen en principes van het Nederlandse vennootschapsrecht. Verwezen zij naar de hiervoor in par. 9.2 behandelde problematiek van het vennootschappelijk belang.

Ten aanzien van de huidige situatie geldt dat er in ieder geval geen eenduidigheid bestaat in toetsingsnormen. Zo speelt voor art. 2:9 BW het begrip ernstig verwijt - waarvan de precieze aard onduidelijk is - een cruciale ro1.28 Gezien de ontwikkelde catalogus van omstandigheden waaraan een rechter bestuurshandelen dient te toetsen, geeft de Hoge Raad het ernstig verwijt-criterium een invulling die meer lijkt te duiden op een volledige - en geen marginale - toetsing van het bestuurshandelen. Aan de omstandigheid dat het bestuur een bepaalde beleidsvrijheid toekomt, lijkt daarbij geen rekenschap te worden gegeven, zoals Timmerman terecht opmerkte.29

In het Staleman/Van de Ven-arrest noemde de Hoge Raad als een relevante omstandigheid voor de beoordeling of er sprake is van een ernstig verwijt: "[. . 1 het inzicht en de zorgvuldigheid die mogen worden verwacht van een bestuurder die voor zijn taak berekend is en deze nauwgezet vervult."30In de Lauruszaak werd de norm geformuleerd "[...] de wijze waarop een redelijk bekwame en redelijk handelende functionaris die taak in de gegeven omstandigheden had behoren te vervullen."31 Deze formuleringen lijken te duiden op integrale toetsing. Bij toepassing van deze Laurus-norm dient de rechter zich een eigen oordeel te vormen over wat er van een redelijk bekwame en redelijk handelende functionaris mag worden verwacht en vervolgens het handelen van de bestuurder in de voorliggende casus daaraan te toetsen.

Voor art. 2:138/248 BW heeft de Hoge Raad voor kennelijk onbehoorlijk bestuur echter de maatstaf aangelegd "als geen redelijk denkend bestuurder onder dezelfde omstandigheden - aldus gehandeld zou hebben."32 Zelf ben ik het meest gecharmeerd van de laatste maatstaf, omdat het duidelijker maakt dat alleen in extreme situaties sprake is van aansprakelijkheid. Het is een vorm van marginale toetsing33, bij de toepassing waarvan een grotere (veiligheids)marge wordt gegund aan de bestuurder. Uitgangspunt voor iedere toets moet in ieder geval de kennis zijn die op het moment van de beslissing aanwezig was.

Een laatste categorie risicobeheersingsfouten betreft onvoldoende transparantie. Het betrachten van onvoldoende transparantie aan de markt over risico's en risicobeheersing kan verschillende verschijningsvormen aannemen. In de eerste plaats kan het zo zijn dat de vennootschap nalaat om bepaalde ter zake van risico's en risicobeheersing wettelijk voorgeschreven mededelingen te doen. In de tweede plaats kan een vennootschap nalaten om bepaalde koersgevoelige informatie op dit gebied (tijdig) mede te delen. Ten slotte kunnen gedane publieke mededelingen op dit gebied onjuist zijn.

Sommige situaties kunnen in meer dan één van bovengenoemde categorieën vallen. Zo kunnen systeem- of werkingsfouten leiden tot een beoordelingsfout, en kunnen bijvoorbeeld werkingsfouten ook leiden tot onvoldoende transparantie over de risico's en risicobeheersingssystemen van de onderneming. Het hanteren van deze categorieën kan desondanks een nuttig hulpmiddel zijn om een ingewikkeld feitencomplex te analyseren, de gemaakte fouten te benoemen, te kwalificeren en de verantwoordelijkheid van de betrokken functionarissen vast te stellen.