Ergens in de afgelopen weken vroeg een LP je om je risicomanagementbeleid. Je zei dat je het zou toesturen. Je hebt er geen.
Zo begint het meestal. Als dat ook jouw aanleiding is, ben je in goed gezelschap. De meeste fondsen met minder dan een paar honderd miljoen aan vermogen hebben geen schriftelijk risicobeleid totdat iemand van buiten de organisatie erom vraagt.
Het verzoek komt vrijwel altijd tijdens operationele due diligence en is meestal niet persoonlijk bedoeld. Institutionele beleggers vragen dit aan iedereen. Vragenlijsten op basis van het due diligence-raamwerk van ILPA stellen bovendien steeds uitgebreidere eisen aan wat een fonds moet kunnen aantonen.
Goed. Wat je moet opleveren, is korter en minder beangstigend dan je denkt. Het sjabloon dat je via een zoekopdracht vindt, zet je daarentegen juist op het verkeerde been. Dat is het vervelendere probleem en grotendeels de reden voor deze gids.
Wat risicobeleid eigenlijk is
Laat de taal van de raamwerken weg en het document beantwoordt vier vragen.
Wat kan hier misgaan? Welke van die risico’s accepteren we? Wie beslist en wie handelt? En wat gebeurt er als een van die risico’s zich daadwerkelijk voordoet?
Dat is het. Meestal acht tot vijftien pagina’s. Ga je richting de dertig, dan verwar je het waarschijnlijk met iets anders.
Omdat daar vaak verwarring over bestaat, eerst drie dingen die het niet is.
Het is geen risicoregister. Het register is een actuele lijst van concrete risico’s, met verantwoordelijken en een status. Het beleid bevat de regels voor het gebruik van dat register. Uiteindelijk heb je beide nodig, en het beleid komt eerst.
Het is geen compliancehandboek. Compliance gaat over regels die je van buitenaf worden opgelegd. Risicomanagement gaat over risico’s die je zelf hebt gekozen te nemen. Een ander vraagstuk, een andere opzet.
En het is geen document om indruk mee te maken. Dat zou ik willen onderstrepen. De beste risicobeleidsdocumenten die ik heb gelezen, zijn saai, concreet en hier en daar wat onbeholpen. Iemand probeerde namelijk te beschrijven wat de organisatie daadwerkelijk zou doen, in plaats van wat tijdens een vergadering goed te verdedigen zou klinken.
Waarom je het schrijft, en waarom dat belangrijker is dan het klinkt
Sta even stil bij de aanleiding, want die bepaalt wat er in het document terechtkomt.
Fondsen komen hier doorgaans op vier manieren terecht. Een LP vraagt ernaar tijdens operationele due diligence (ODD), verreweg de meest voorkomende aanleiding. Een bank of fondsadministrateur wil het zien voordat die verdergaat. Een toezichthouder vraagt erom, als je onder toezicht valt. De meeste VC- en cryptofondsen vallen daar niet onder; daar kom ik nog op terug. Of er is iets misgegaan en nu komt er beleid.
Die laatste aanleiding is de slechtste en helaas niet zeldzaam. Beleid dat na een incident wordt geschreven, is bijna altijd te sterk toegesneden op wat er net is gebeurd en blind voor wat nog niet is gebeurd. Schrijf je dit na een slecht kwartaal, besteed dan bewust meer tijd aan de risico’s die zich niet hebben voorgedaan dan aan het risico dat wel werkelijkheid werd.
Het probleem met elk sjabloon dat je vindt
Dit onderdeel bespaart je twee weken.
Zoek naar een sjabloon voor risicomanagementbeleid en je vindt er meer dan genoeg. ISO 31000. COSO. Wat je favoriete GRC-leverancier deze maand ook gratis aanbiedt. Eerlijk is eerlijk: het zijn degelijke documenten, geschreven door mensen die wisten wat ze deden.
Maar ze berusten allemaal op dezelfde aanname, en die gaat voor jou niet op.
Ze gaan ervan uit dat je risico’s zich binnen je eigen organisatie bevinden.
Dat is volkomen logisch, want ze zijn voor ondernemingen geschreven. De risico’s van een fabrikant zitten in zijn supply chain, fabriek, personeel en gegevens. Zaken die hij bezit en aanstuurt. De raamwerken verdelen die in operationele, financiële, strategische, compliance- en reputatierisico’s. Voor een bedrijf met drieduizend werknemers is dat een prima indeling.
Kijk nu eens naar je eigen organisatie.
Stel: jullie zijn met elf mensen. Je hebt tweehonderd miljoen geïnvesteerd in achtendertig portefeuillebedrijven. Je interne operationele risico is reëel maar beperkt: een klein team, een paar systemen, enkele overboekingen en een handvol belangenconflicten om te beheersen.
Je werkelijke risico’s zitten in achtendertig bedrijven waarover je geen zeggenschap hebt, die je niet kunt aansturen en waarin je meestal pas inzicht krijgt als je iemand erom vraagt.
Vul een standaardsjabloon in en je krijgt een zorgvuldig, goed gestructureerd document dat misschien vijftien procent van je risico beschrijft. En het ziet er volledig uit. Juist dat is gevaarlijk.
| Binnen de organisatie | Buiten de organisatie | |
| Voorbeelden | Cyberrisico’s. Sleutelpersonen. Waarderingsfouten. Overboekingsfraude. Gedrag van medewerkers. Belangenconflicten. | Omvallen van een portefeuillebedrijf. Wangedrag van oprichters. Sanctierisico’s. Omvallen van een tegenpartij. Identiteitsmisbruik. Herclassificatie door toezichthouders. |
| Wie heeft er zeggenschap over? | Jij. | Jij niet. |
| Gebruikelijke dekking in het beleid | Uitgebreid. | Vrijwel geen. |
| Aandeel in het werkelijke risico | Klein. | Het grootste deel. |
Het interne deel schrijven
Goed. Het weinig opwindende deel, dat je wel moet doen. Dit onderdeel leest een LP het nauwkeurigst, dus het is de moeite waard.
Sleutelpersonen. Wat gebeurt er als een GP vertrekt, overlijdt of uit zijn functie wordt gezet? Institutionele beleggers vragen hier voortdurend naar en bijna niemand heeft het opgeschreven. Twee alinea’s volstaan: wie neemt het over, wat geldt volgens de LPA als een gebeurtenis rond een sleutelpersoon en wat doet het fonds in de tussentijd?
Overboekingsfraude en betalingscontroles. Dit krijgt aanzienlijk meer ruimte dan de rest, omdat dit met afstand de waarschijnlijkste manier is waarop een fonds van jouw omvang daadwerkelijk geld verliest.
De aanval is saai en werkt. Iemand neemt een e-mailaccount over of bootst het na: dat van een oprichter, een advocaat of soms dat van jou. Vervolgens stuurt diegene gewijzigde betaalinstructies voor een overboeking die al werd verwacht. De instructies lijken te kloppen. De context klopt. De timing is geloofwaardig, want de aanvaller heeft de correspondentie meegelezen. Het geld verdwijnt, en snel ook.
Fraude via zakelijke e-mailaccounts behoort steevast tot de grootste categorieën gemelde schade in de jaarlijkse internetcriminaliteitscijfers van de FBI. Het doorsneeslachtoffer is geen bank, maar een organisatie van ongeveer jouw omvang, met ongeveer jouw controles, op een vrijdagmiddag.
Je beleid heeft hier drie dingen nodig, en die kosten niets. Dubbele goedkeuring boven een drempelbedrag dat je zelf kiest. Verificatie via een ander kanaal bij elke wijziging van betaalinstructies: je belt dus een nummer dat je al had, in plaats van het nummer in de e-mail. En een schriftelijke regel dat spoed nooit een reden is om een van beide over te slaan.
Die derde regel is belangrijker dan de andere twee, want de hele aanval draait om spoed.
Cyberrisico’s en gegevens. Stem dit af op je omvang. Een fonds met elf mensen heeft geen informatiebeveiligingsbeleid van een bank nodig. Schrijf je dat toch, dan krijg je een document dat niemand volgt. Overal MFA, endpointbeveiliging, een wachtwoordmanager en duidelijke afspraken over waar fondsgegevens worden opgeslagen en wie erbij kan.
Waardering. Wie waardeert de posities, op welke grondslag en wie controleert die waarderingen? Investeer je in de vroege fase en houd je de waardering van de laatste financieringsronde aan, schrijf dat dan gewoon op zonder het mooier te maken.
Belangenconflicten. Persoonlijke investeringen, bestuurszetels en de verdeling van investeringen tussen het fonds en eventuele co-investeringsvehikels. Vervelend om op te schrijven, en precies het onderdeel dat een LP regel voor regel doorneemt.
Koersgevoelige, niet-openbare informatie. Als je teamleden bestuurszetels hebben, krijgen ze dingen te zien. Beschrijf wat er met die informatie gebeurt.
Het externe deel schrijven, dat de sjablonen volledig overslaan
Dan nu het onderdeel dat het grootste deel van je werkelijke risico beschrijft en in geen van de standaarddocumenten voorkomt.
Voor elke categorie externe risico’s moet het beleid vier dingen vastleggen. Wat we volgen. Hoe vaak. Wie handelt. En wat aanleiding geeft tot escalatie.
Over dat tweede punt wil ik duidelijk zijn, want daar gaat het in de meeste van deze documenten mis.
Bijna elk risicobeleidsdocument van een fonds dat ik heb gelezen, bevat een formulering als ‘doorlopende monitoring van portefeuillebedrijven’. In de praktijk betekent dat: ‘We kijken ernaar als er iets speelt.’ Iedereen in de kamer weet dat. Niemand zegt het hardop.
Als je beleid een beoordeling per kwartaal voorschrijft, accepteer je daarmee een gemiddelde detectievertraging van ongeveer vijfenveertig dagen en in het slechtste geval negentig. Een vermelding op een sanctielijst in de tweede week van een kwartaal blijft dan elf weken ongelezen.
Dat kan voor je strategie en portefeuille een volkomen aanvaardbaar risico zijn. Maar het moet een bewuste keuze zijn. Schrijf het aantal dagen op. Beleid dat ‘doorlopend’ zegt en ‘af en toe’ bedoelt, leest prachtig totdat iemand vraagt of je het kunt aantonen.
Behandel in elk geval de volgende categorieën:
Sancties en watchlists. Vermeldingen van portefeuillebedrijven, hun bestuurders, hun tegenpartijen of de jurisdicties waarin ze actief zijn. OFAC en vergelijkbare instanties publiceren doorlopend, niet volgens jouw planning.
Negatieve media. Rechtszaken, maatregelen van toezichthouders en onderzoeksjournalistiek. Bedenk dat een aanzienlijk deel van de relevante informatie eerst verschijnt in regionale media, in talen die je team niet leest.
Wijzigingen in handelsregisters. Verplaatsing van de statutaire zetel naar een andere jurisdictie, bestuurswisselingen, aandelenoverdrachten en nieuwe dochterondernemingen. In de cryptosector is dit gebruikelijk. Acht maanden na je overboeking kan een bedrijf er wezenlijk anders uitzien.
Achtergrond van oprichters en bestuurders. Nieuwe rechtszaken, niet-gemelde functies en eerdere ondernemingen die opnieuw opduiken op een manier die ook jou raakt.
Tegenpartijrisico. De beurs, bewaarder of bankpartner waarvan je portefeuillebedrijf afhankelijk is. Als die omvalt, wordt dat jouw probleem, en meestal hoor je het pas laat.
Identiteitsmisbruik en aanvallen op het merk. Nepkanalen op Telegram, gekloonde accounts op sociale media en nagebootste helpdesks. Dit speelt volledig na het sluiten van de transactie en is per definitie onzichtbaar voor elk onboardingproces. Het komt inmiddels vaak genoeg voor om in het beleid te horen, in plaats van op iemands mentale lijstje met zorgen.
We hebben uitgebreid beschreven waarom deze hele helft van het risicobeeld structureel buiten het zicht van due diligence bij onboarding valt, voor wie de uitgebreide uitleg wil lezen.
Risicobereidheid, in begrijpelijke taal
Dit is het begrip dat in de meeste beginnersgidsen in vaagheid verdwijnt. Ik probeer het concreet te houden.
Risicobereidheid betekent simpelweg: wat zouden we daadwerkelijk doen?
Zouden we investeren in een bedrijf waarvan de oprichter eerder een maatregel van een toezichthouder opgelegd heeft gekregen? Onder welke voorwaarden en wie keurt dat goed?
Zouden we een positie aanhouden in een bedrijf waarvan de belangrijkste tegenpartij onder sancties komt te vallen? Hoelang? Wat is de aanleiding om uit te stappen?
Vanaf welke concentratie in één jurisdictie voelen we ons er ongemakkelijk bij?
Schrijf de antwoorden op voordat je in die situatie zit. Dat is de hele reden voor dit onderdeel. De meeste gidsen zeggen het volgens mij niet duidelijk genoeg: het antwoord dat je onder druk geeft, met kapitaal dat al is toegezegd en een oprichter aan de telefoon, is anders dan het antwoord dat je op een rustige dinsdag geeft wanneer er niets op het spel staat.
Je schrijft dit document om je toekomstige zelf grenzen op te leggen. Die zal optimistischer zijn dan je nu bent, en aanzienlijk vermoeider.
Escalatie en opvolging
Houd dit kort en concreet.
Ernstniveaus, of hoe je ze ook wilt noemen. Koppel aan elk niveau een specifieke functie, in plaats van ‘het team’. Leg voor elk niveau een reactietermijn vast. En beschrijf duidelijk wanneer escalatie naar het investeringscomité (IC) of de partners nodig is.
Een melding aan een groep is een melding aan niemand. Daar hebben we elders over geschreven, uitgebreider dan strikt noodzakelijk is.
Geef het beleid een eigen herzieningsdatum
Jaarlijks is het minimum. Daarnaast na elk materieel incident en na elke materiële wijziging in strategie of risicoblootstelling.
Hier schuilt een reëel gevaar dat benoemd moet worden. Risicobeleid dat één keer wordt geschreven en daarna nooit meer wordt bekeken, is mogelijk erger dan helemaal geen beleid. Het wekt op papier de indruk dat er een beheersmaatregel bestaat die in werkelijkheid niet wordt uitgevoerd.
Als een LP of toezichthouder later vraagt hoe je portefeuillebedrijven monitort, je beleid ‘elk kwartaal’ zegt en je laatste beoordeling veertien maanden geleden was, moet je het verschil tussen je beschreven en je werkelijke proces uitleggen. Dat gesprek is aanzienlijk lastiger dan wanneer je het beleid nooit had geschreven.
Leg dus geen verplichtingen vast die je niet van plan bent na te komen. Schrijf op wat je daadwerkelijk gaat doen, ook als dat minder indrukwekkend leest.
Hoe het eruitziet als het af is
Ongeveer twaalf pagina’s. Concreet. Saai. Niemand zal het voor zijn plezier lezen, en dat is prima.
Mijn toets zou zijn: kan iemand die maandag in dienst is gekomen dit document openslaan en weten wat er moet gebeuren wanneer er donderdag een sanctiemelding over een portefeuillebedrijf binnenkomt?
Zo ja, dan werkt het.
Is het eerlijke antwoord ‘die zou het aan iemand gaan vragen’, dan heb je een document over het hebben van beleid.
Veelgestelde vragen
Een document dat vier vragen beantwoordt: wat kan er misgaan, hoeveel daarvan accepteer je, wie beslist en wat gebeurt er als er daadwerkelijk iets misgaat? Al het andere in de standaardraamwerken is een uitwerking van die vier vragen.
Meer dan mensen verwachten. Beleid dat wordt geschreven omdat een LP er tijdens due diligence om vroeg, leest anders dan beleid dat na een incident wordt geschreven. En weer anders dan beleid dat nodig is omdat het fonds te groot is geworden om op informele afwegingen te vertrouwen. Door eerlijk te zijn over de aanleiding voorkom je dat het een algemeen verhaal wordt.
Sjablonen behandelen het interne deel degelijk: operationele en financiële risico’s, sleutelpersonen en cyberrisico’s. Het externe deel slaan ze vrijwel volledig over. Juist daar zit het grootste deel van het werkelijke risico van een fonds: in wie je investeert, met wie je transacties aangaat en wat er met hen gebeurt nadat de overboeking is verwerkt.
Wat je controleert voordat je kapitaal toezegt, wat je daarna blijft controleren, aan de hand van welke bronnen, hoe vaak, wie de resultaten beoordeelt en wat aanleiding geeft tot escalatie. Schrijf het zo duidelijk op dat een nieuwe medewerker het kan volgen zonder iemand iets te hoeven vragen.
Zeg wat je accepteert, wat je niet accepteert en waar de grens ligt, in taal waarmee iemand kan handelen. ‘We hebben een gematigde risicobereidheid’ is vaag. ‘We investeren niet als een uiteindelijk belanghebbende op een sanctielijst staat, en alle negatieve media over fraude worden vóór de volgende vergadering van het investeringscomité aan de partners voorgelegd’ is beleid.
Ongeveer twaalf pagina’s, concreet en saai. Niemand zal het voor zijn plezier lezen, en dat is prima. Jaarlijkse herziening is het minimum, plus na elk materieel incident en elke materiële wijziging in strategie of risicoblootstelling. De herzieningsdatum hoort op het document zelf te staan, anders wordt het ongemerkt fictie.
Het interne deel niet. Dat is weinig opwindend werk dat alleen jij kunt doen. Enige achterdocht tegenover wie iets anders beweert, is op zijn plaats. Zodra het externe deel op papier staat, kan een tool het uitvoeren: de controles, de hercontroles en het bijbehorende bewijsspoor.
Conclusie
Risicobeleid schrijven bestaat grotendeels uit weinig opwindend werk dat geen leverancier van je kan overnemen. Ik zou enige achterdocht hebben tegenover wie iets anders beweert. De interne onderdelen zijn jouw verantwoordelijkheid. De beschrijving van de risicobereidheid ook. De afwegingen zijn volledig aan jou.
Maar één regel in het hele document bepaalt of het externe deel echt iets voorstelt of alleen voor de vorm bestaat: de vastgelegde controlefrequentie. Als je eerlijk gezegd alleen ‘elk kwartaal’ kunt opschrijven, beschrijft het beleid een portefeuille die je vier keer per jaar bekijkt.
Wij bestaan om je die regel anders te laten formuleren. Beady AI monitort portefeuillebedrijven, oprichters en tegenpartijen continu op sancties, negatieve media, wijzigingen in handelsregisters en identiteitsmisbruik. Elk signaal is herleidbaar tot de oorspronkelijke bron. Plan een sessie en we passen het toe op je werkelijke portefeuille. Dat is meteen een efficiënte manier om te ontdekken of je het beleid dat je gaat schrijven ook daadwerkelijk kunt naleven.
