Begin met een cijfer waar elke fondsbeheerder van zou moeten schrikken. Wanneer de portfoliobedrijven van een fonds veel milieu- en sociale incidenten veroorzaken, neemt de kans om een volgend fonds op te halen sterk af. Uit onderzoek van HEC Paris, de World Bank en Singapore Management University bleek dat ongeveer 40% van de ondernemingen met een incidentenaantal boven de mediaan geen vervolgfonds kon ophalen, tegenover normaal gesproken ongeveer 25%. Verrassend was waar de klap viel. Niet bij de prestaties, die grotendeels op peil bleven, maar bij de fondsenwerving. Reputatie, niet rendement.
Dan het scenario achter dat cijfer. Een fonds doet maandenlang due diligence, krijgt goedkeuring van het investeringscomité, maakt het geld over en richt zich op de volgende deal. Twee jaar later staat het bedrijf in de krant vanwege een onderzoek naar omkoping of een fraudeclaim. De naam van het fonds duikt in elk bericht op. Bestaande LP’s worden nerveus. De volgende kapitaalronde, die een formaliteit leek, loopt twee kwartalen vertraging op.
Dit maakt het extra pijnlijk. Binnen dezelfde organisatie onderwerpt het operationele team de declaratiesoftware aan een formele beoordeling van leveranciersrisico’s, inclusief vragenlijst en jaarlijkse herbeoordeling. Het bedrijf waarvan het fonds een derde bezit, dat de krantenkoppen haalt, krijgt elk kwartaal aandacht via een bestuurspresentatie en een bijpraatgesprek.
Het risico dat een fonds daadwerkelijk de kop kan kosten, wordt minder zorgvuldig bewaakt dan de software waarvoor het per gebruiker betaalt. Dit artikel dicht die kloof. Het geruststellende is dat de oplossing niets uitzonderlijks vraagt. De benodigde aanpak wordt elders binnen je organisatie al toegepast.
Een portfoliobedrijf is een derde partij. Begin daar.
Risico’s van derden hebben een eenvoudige definitie. Het gaat om de risico’s die je loopt door een partij waarvan het gedrag jou kan schaden, maar waarover je geen volledige zeggenschap hebt. Je cloudprovider, je externe salarisverwerker, je advocatenkantoor. Je stuurt hun bedrijfsvoering niet aan, maar hun fouten worden wel jouw probleem. Daarom screen je ze, deel je ze in risicoklassen in en houd je ze in de gaten.
Lees die definitie nog eens met een portfoliobedrijf in gedachten. Je brengt kapitaal in. Misschien heb je een bestuurszetel en bepaalde informatierechten. Wat je vrijwel nooit hebt, is operationele zeggenschap. Een minderheidsbelang geeft je die duidelijk niet, en zelfs een meerderheidsbelang betekent zelden dat jij de dagelijkse beslissingen neemt die risico’s veroorzaken. De oprichter neemt nog steeds personeel aan. De directie tekent nog steeds de contracten, kiest de tegenpartijen en spreekt met de pers. Jij draagt het risico. Iemand anders heeft de touwtjes in handen.
Dat is blootstelling aan derdenrisico’s in haar zuiverste vorm. We zien dit vaak over het hoofd door het idee van een ‘eigendomsvrijstelling’: de stilzwijgende overtuiging dat een kapitaalinvestering je op de een of andere manier ontslaat van de zorgvuldigheid die je bij elke andere externe partij zou eisen. Dat is niet zo. In werkelijkheid zijn portefeuillerisico’s vaak veel gevaarlijker dan leveranciersrisico’s, omdat je kapitaal en je reputatie rechtstreeks op het spel staan.
Je hebt de aanpak al in huis
Dit maakt die kloof niet alleen betreurenswaardig, maar ook frustrerend. De aanpak om precies dit soort risico’s te beheersen bestaat al, is volwassen en wordt waarschijnlijk in een of andere vorm binnen je organisatie toegepast.
Risicobeheer voor derden is geen nieuw idee. Bankentoezichthouders werken al jaren aan de formalisering ervan. De gezamenlijke richtsnoeren uit 2023 van de Federal Reserve, de FDIC en de OCC beschrijven goede praktijken voor het beheer van relaties met derden gedurende hun volledige levenscyclus. Ze berusten op een principe dat ook ver buiten de bankensector geldt: je beoordeelt een partij voordat je ermee in zee gaat en blijft die partij beoordelen zolang je risico loopt.
Fondsen doen een deel hiervan al instinctief. Due diligence voorafgaand aan een investering is in feite due diligence naar een derde partij, uitgevoerd volgens een zeer hoge standaard. Dankzij de verwachtingen van investeerders en regels zoals het EU-stelsel voor informatieverschaffing over duurzaamheid volgen de meeste fondsen bovendien al de ESG-factoren van hun portfoliobedrijven en rapporteren ze daarover. De ervaring is er dus. De ILPA-vragenlijst voor due diligence die investeerders toesturen, bevat volledige onderdelen over hoe een beheerder toezicht houdt op de risico’s binnen zijn deelnemingen. De vraag was dus nooit of fondsen gestructureerd toezicht kunnen houden. De vraag is waarom dat toezicht zo vaak stopt zodra de deal rond is, en waarom het zo’n beperkt deel van de risico’s bestrijkt wanneer het wel doorgaat.
De levenscyclus sluit vrijwel naadloos aan
Het handige aan het overnemen van risicobeheer voor derden is dat de opzet al aansluit op de werkwijze van een fonds. De levenscyclus kent duidelijke fasen, die elk een equivalent hebben in het investeringsproces.
Planning en risicobeoordeling komen overeen met je investeringsthese en het zoeken naar investeringsmogelijkheden. Due diligence en selectie zijn het werk voorafgaand aan de investering, de fase waarin fondsen bijzonder goed zijn. Contractvorming bestaat uit je term sheet en aandeelhoudersovereenkomst, waarin je informatierechten, inspectierechten en rapportageverplichtingen vastlegt. Doorlopende monitoring is je toezicht na afronding van de deal. Beëindiging is je exit.
Leg de twee naast elkaar en de zwakke schakel is duidelijk. Fondsen steken veel middelen in due diligence en behandelen doorlopende monitoring als bijzaak, meestal in de vorm van een bestuurszetel en een kwartaalrapportage. In een volwaardig programma voor risicobeheer voor derden is het omgekeerd: monitoring is waar het om draait. Due diligence vertelt je hoe de situatie is op de dag van ondertekening. Monitoring vertelt je hoe die situatie elke dag daarna is. Juist daar liggen de meeste risico’s die voor jou van belang zijn, omdat ze zich bij ondertekening nog niet hebben voorgedaan.
De levenscyclus laat ook zien wanneer je onderhandelingsmacht hebt, en dat is eerder dan fondsen die doorgaans benutten. Het moment om de informatie en monitoring vast te leggen die je later nodig hebt, is de term sheet, niet de nasleep van een probleem. Stevige rapportagerechten en toegang voor audits vooraf vastleggen is gebruikelijk bij risicobeheer voor derden. Zodra je hebt geïnvesteerd en er al iets is misgegaan, wordt dat een stuk lastiger.
Deel je portefeuille in op basis van risico
Nog een idee dat je rechtstreeks kunt overnemen: niet elke derde partij vraagt om even intensief toezicht. Doen alsof dat wel zo is, verspilt capaciteit aan relaties met een laag risico, terwijl relaties met een hoog risico aandacht tekortkomen. Programma’s voor risicobeheer voor derden lossen dit op door partijen in te delen naar hun kritieke belang en het toezicht op die klasse af te stemmen.
Portefeuilles vragen om dezelfde aanpak. Een binnenlandse seed-investering in productiviteitssoftware met een bekend oprichtersteam van onbesproken gedrag brengt andere risico’s met zich mee dan een grensoverschrijdend fintechbedrijf in een beperkt gereguleerde markt, waarvan de oprichters nauwe banden hebben met politiek prominente personen. Als je ze identiek behandelt, monitor je het eerste bedrijf te intensief of, veel gevaarlijker, het tweede onvoldoende.
Deel bedrijven in op basis van de werkelijke blootstelling. De sector en de mate van regulering. De jurisdictie, met de kwaliteit van de rechtsstaat en het sanctieprofiel. Concentratie van klanten en tegenpartijen. Afhankelijkheid van sleutelfiguren. Stem vervolgens de intensiteit van de monitoring daarop af, met continue monitoring voor de hoogste risicoklasse en lichtere, periodieke controles voor de rest. Het doel is niet om alles even nauwlettend te volgen. Het doel is om mogelijke schadebronnen te bewaken in verhouding tot de schade die ze kunnen veroorzaken.
De risico’s die na de investering opduiken
Waar zoekt doorlopende monitoring eigenlijk naar, zodra je die invoert? Naar signalen die due diligence per definitie niet kan opvangen, omdat ze pas na je investering ontstaan.
Negatieve media over een oprichter of een pas aangestelde directeur. Een wijziging in iemands sanctiestatus of status als politiek prominente persoon. Nieuwe rechtszaken waarin het bedrijf wordt genoemd. Een toezichtsmaatregel of onderzoek. Een verschuiving in het uiteindelijk belang die ongemerkt verandert met wie je werkelijk zakendoet. Problemen bij een grote klant of leverancier die doorwerken in de omzet of reputatie van je bedrijf. Niets hiervan ligt bij ondertekening in de dataroom. Alles is vrijwel direct te achterhalen, als iemand de juiste openbare bronnen volgt in plaats van te wachten op de kwartaalpresentatie of het telefoontje van een journalist.
Hier wordt ook concreet hoe reputatieschade zich verspreidt, zoals aan het begin beschreven. Het schandaal dat een fonds besmet, komt vrijwel nooit uit het niets. Het bouwt zich eerst in het openbaar op: in ingediende stukken, in de lokale pers, op watchlists en in rechtbankstukken. Meestal gebeurt dat ruim voordat het landelijk nieuws wordt en de naam van het fonds in de kop belandt. Het verschil tussen beheersing en overvallen worden, is simpelweg of iemand in die tussenliggende periode oplette.
Concentratierisico en risico’s van vierde partijen
Nog twee ideeën zijn het overnemen waard. Fondsen brengen ze zelden in kaart, terwijl beide hard kunnen aankomen.
Begin met concentratierisico. Een gedegen programma voor risicobeheer voor derden let op een te grote afhankelijkheid van één aanbieder. In een portefeuille gaat het om samenhangende blootstelling: een groep bedrijven in dezelfde sector, in hetzelfde land of met afhankelijkheid van dezelfde paar tegenpartijen, waardoor één schok meerdere deelnemingen tegelijk raakt. Als je jouw portefeuille altijd hebt bekeken als een lijst afzonderlijke investeringen en nooit als een overzicht van gedeelde risico’s, is dat een lacune die je moet dichten.
Dan zijn er de risico’s van vierde partijen: de derde partijen van jouw derde partij. De onderaannemer van je leverancier is jouw vierde partij, en een goed programma volgt die keten. Elk portfoliobedrijf heeft een eigen netwerk van leveranciers, klanten en partners. Een gesanctioneerde tegenpartij of een leverancier die twee schakels verderop door een beveiligingsinbreuk wordt getroffen, kan nog steeds gevolgen voor jou hebben. Elke schakel in kaart brengen is niet realistisch. Maar bij je bedrijven in de hoogste risicoklasse hoort weten van wie ze afhankelijk zijn bij het kennen van je eigen blootstelling.
Dit is een compliancevraagstuk op fondsniveau, geen extraatje
Je zou dit allemaal gemakkelijk kunnen afdoen als operationeel onderhoud. Daarmee onderschat je het belang. Het gaat om risico’s voor het voortbestaan van je fondsbeheerder en voor de naleving van je fiduciaire verplichtingen. De buitenwereld behandelt het ook steeds vaker zo.
Toezichthouders hebben laten zien dat ze bereid zijn de verantwoordelijkheidsketen naar boven te volgen. Wanneer een portfoliobedrijf de wet overtreedt, hebben toezichthouders en handhavingsinstanties de sponsor aangesproken in plaats van bij het bedrijf zelf te stoppen. Investeerders stellen op hun beurt steeds scherpere vragen over de manier waarop je toezicht houdt op je deelnemingen. Hun due-diligencevragenlijsten vragen inmiddels rechtstreeks naar portefeuillerisicobeheer. Onderzoek naar besmettingseffecten herinnert ons er bovendien aan dat de markt dit meeweegt, ongeacht of jij dat doet. De reputatieschade van een debacle binnen de portefeuille raakt je vermogen om een volgend fonds op te halen, en daarmee het verdienmodel van de fondsbeheerder.
Risicobeheer voor derden toepassen op je portefeuille is geen voorzichtigheid om de voorzichtigheid. Het beschermt de twee zaken waarop een fonds werkelijk draait: rendement en reputatie. En het stelt je in staat een investeerder of toezichthouder te laten zien dat je toezicht hield.
Hoe je deze aanpak toepast
In de praktijk komt het toepassen van risicobeheer voor derden op een portefeuille neer op een aantal stappen.
- Deel elk portfoliobedrijf in een risicoklasse in op basis van de werkelijke blootstelling, niet op basis van het investeringsbedrag of je waardering voor de oprichters.
- Stem de frequentie van de monitoring af op de risicoklasse, met continue monitoring voor deelnemingen met een hoog risico en een lichtere periodieke beoordeling voor de rest.
- Onderhandel bij de term sheet over informatie-, rapportage- en auditrechten, zolang je nog onderhandelingsmacht hebt.
- Screen oprichters, directieleden en belangrijke tegenpartijen doorlopend op negatieve media, sancties, rechtszaken en toezichtsmaatregelen, niet alleen eenmalig tijdens de due diligence.
- Breng concentraties binnen de portefeuille in kaart, en de blootstelling aan vierde partijen bij je bedrijven met het hoogste risico.
- Houd een controleerbaar dossier bij met bronverwijzingen waarin staat wat je wanneer hebt gezien, zodat het standhoudt bij een beoordeling door een investeerder of een vraag van een toezichthouder.
- Leg escalatieprocedures vast en bepaal, waar het risico dat rechtvaardigt, wat aanleiding zou zijn voor een steviger gesprek of een vervroegde exit.
Met deze aanpak verandert een investeringsmaatschappij niet in een starre compliancebureaucratie. Het toezicht groeit mee met de werkelijke risicoblootstelling en beperkt zo mogelijke verliezen zonder de groei te vertragen.
Pas de aanpak ook intern toe
Je beheerst dit soort risico’s al zorgvuldig. Alleen hier nog niet. Een portfoliobedrijf is een derde partij waarin je toevallig een belang hebt. De eigendomsvrijstelling blijft alleen bestaan zolang je jouw belang dat feit laat verhullen. Zodra je die illusie wegneemt, ligt de stap voor de hand: pas de zorgvuldigheid die je hanteert bij elke andere partij waarover je geen zeggenschap hebt ook toe op de bedrijven waarvan de problemen jouw naam zullen dragen. Dat is het model waarvoor we pleitten in Voorbij onboarding.
Die aanpak uitvoeren is wat Beady doet. Beady monitort bedrijven en de mensen achter die bedrijven via meer dan 100.000 openbare bronnen en signaleert negatieve media, wijzigingen in sanctie- en PEP-status, rechtszaken en toezichtsmaatregelen zodra die zich voordoen. De monitoring is ingedeeld in risicoklassen, zodat de inspanning aansluit op de blootstelling. Elk signaal verwijst naar de oorspronkelijke bron. Daardoor kun je een bevinding verifiëren en aan een investeerder of toezichthouder voorleggen, in plaats van blind op een cijfer te vertrouwen. Voor de hele portefeuille verandert monitoring zo van een kwartaalpresentatie in een actueel beeld.
Wil je zien wat dit toezicht bij jouw eigen deelnemingen aan het licht zou brengen? Vraag een demo aan, dan passen we het op ze toe.
