Risk

Risk

Risicomanagement

Holland Casino opereert in een dynamische omgeving. Dat biedt kansen, maar brengt ook risico’s met zich mee. Door hier evenwichtig mee om te gaan, kan Holland Casino zijn maatschappelijk rol vervullen en komen de strategische doelstellingen niet in gevaar. Factoren van onzekerheid in 2023 waren verscherpte eisen van toezichthouders, veranderende economische omstandigheden, wijzigende arbeidsmarktvereisten en een toenemend negatief maatschappelijk en politiek sentiment rondom kansspelen. Ook de maatschappelijk discussie over (online) kansspelen, technologische ontwikkelingen, toegenomen concurrentie en (verscherpte) wet- en regelgeving waren van invloed. Risicomanagement vormt een integraal onderdeel van de dagelijkse activiteiten en wordt gedragen door alle medewerkers.

Context

De context van het risicomanagement wordt gevormd door de missie, kernwaarden, strategie, kansen, de doelstellingen op verschillende niveaus, de risicobereidheid van Holland Casino en de verwachtingen van gasten en andere belanghebbenden.
De omgeving waarin Holland Casino opereert is voortdurend in beweging, waarbij de risico’s en kansen waaraan de organisatie wordt blootgesteld ook continu veranderen. Door een gedegen risicoanalyse uit te voeren en optimaal risicomanagementproces in te richten, beheerst Holland Casino deze risico’s zo goed als mogelijk. De beheersingsmethoden worden cyclisch geëvalueerd en waar nodig aangepast, om zowel de huidige situatie te verbeteren als de kansen te vergroten om (strategische) bedrijfsdoelen op beheerste wijze te bereiken.

Proces

Het risicomanagementproces doorloopt een cyclus waarbij de significante risico’s en kansen continu worden geïdentificeerd en bijbehorende beheersmaatregelen worden vastgesteld. Het proces van risico’s en kansen identificeren gebeurt zowel bottom-up (lijnmanagement) als top-down (directieteam). Holland Casino hanteert de inrichting van de interne beheersing gebaseerd op COSO ERM 2017 en is in lijn met de principes van de Nederlandse Corporate Governance Code 2016.

Risico’s zijn per domein opgesteld met in achtneming van de gewenste risicobereidheid (beter bekend als ‘risk appetite’). In zijn algemeenheid is Holland Casino terughoudend in het nemen van risico’s. Niettemin dwingen veranderingen vanuit gasten en de markt het nemen van enig risico af. Daarom is de algehele risicobereidheid vastgesteld op een laag niveau. Risico’s buiten de vastgestelde risicobereidheid worden direct gerapporteerd en indien nodig geëscaleerd. In de tabel op pagina 89 is de risicobereidheid langs zowel de strategische pijlers als impactgebieden van risicobereidheid weergegeven door middel van een heatmap.
De afdeling Risicomanagement monitort continu zowel de risico’s als de bijbehorende resultaten waardoor tijdig inzicht verkregen kan worden in veranderingen en hierop adequaat gereageerd kan worden. Cyclisch worden de risico’s geëvalueerd op doeltreffendheid waarbij eventuele tekortkomingen worden geïdentificeerd en beoordeeld op de mate van beheersing. Daarnaast is gekeken naar overbeheersing, zodat risicomanagement efficiënt en effectief blijft.

Rapportages met resultaten en inzichten worden periodiek verstrekt aan het bestuur en het directieteam. Dit stelt hen in staat tijdig en adequaat te anticiperen op relevante ontwikkelingen en indien nodig bij te sturen.

Risicocultuur

Voor succesvol risicomanagement is een aantal aspecten van belang. Om risicomanagement zo veel mogelijk draagvlak te geven, maakt Holland Casino onderscheid tussen de harde aspecten van risicomanagement (de processen, procedures en rapportages) en de zachte aspecten (risicobewustzijn, kernwaarden, communicatie en onderling vertrouwen). Samen vormen deze aspecten de risicomanagementorganisatie en -cultuur.

Verder bevordert Holland Casino zijn risicocultuur door medewerkers verplichte interactieve e-learnings aan te bieden. Dit zorgt ervoor dat zowel op het hoofdkantoor als in de vestigingen iedereen tijdens zijn of haar werkzaamheden risicobewust handelt.

Three lines of defense

Holland Casino hanteert het ‘Three lines of defense-model’ bij de inrichting van zijn interne beheersing. In dit model bestaat de eerste lijn uit het management, de operatie en een groot deel van de stafafdelingen. Deze lijn is verantwoordelijk voor het inrichten en uitvoeren van primaire en ondersteunende processen met bijbehorende interne beheersmaatregelen (controls). De risico-eigenaren bevinden zich ook binnen deze eerste lijn en vormen een belangrijke schakel bij de beheersing van risico’s. De tweede lijn, waarvan de afdeling Risicomanagement en de Compliance Officer deel uitmaken, faciliteert en adviseert de eerste lijn. Het bestuur bewaakt of verantwoordelijkheden daadwerkelijk worden genomen. Internal audit, de derde lijn, controleert en beoordeelt of de risico-eigenaren hun risico’s goed beheersen en of het samenspel tussen de eerste en tweede lijn goed verloopt. Het bestuur is eindverantwoordelijk voor het integrale risicomanagementsysteem. Deze verantwoordelijkheden zijn in de tabel schematisch weergegeven.

Strategisch model

De strategische risico’s zijn opgenomen in tabel ‘Strategische risico's per categorie’ en met corresponderende cijfers in kaart gebracht in onderstaand strategische model. Hiermee wordt de dekking inzichtelijk gemaakt en kunnen waar nodig gaten worden opgevuld. In de schematische weergave is te zien dat vrijwel alle domeinen worden geraakt door een of meerdere strategische risico’s en gedekt zijn door de bijbehorende beheersmaatregelen. Daarbij is niet alleen het domein benoemd, maar ook aangegeven waar het domein geraakt kan worden door het risico. De monitoring van de strategische risico’s vindt plaats aan de hand van vijf opgestelde impactgebieden, zie tabel 'Impactgebieden'. Deze impactgebieden zijn ook gebieden waarop de risicobereidheid is geplot (tabel 'Risk drivers').

Voortgang

Herzieningen hebben slechts in minimale vorm plaatsgevonden op operationeel niveau. Bij gewijzigde processen en procedures is opnieuw gekeken of gedefinieerde risico’s nog actueel waren en beheersmaatregelen afdoende, om ervoor te zorgen dat management over juiste en actuele sturingsinformatie beschikt op het gebied van risicomanagement. Zo is in het kader van het project Interne beheersing een review gedaan van de processen op het gebied van speelautomaten, tafelspelen, services en food & beverage. Hierbij is gekeken naar gedefinieerde key en managementrisico’s en hoe deze vertaald worden naar dashboards in de nieuwe tool PowerBI. Dit moet ervoor zorgen dat managementgerelateerde risico’s sneller gemonitord kunnen worden.

Daarnaast is in 2023 gestart met een volledige herbeoordeling van strategische risico’s passende bij de nieuwe strategie 2024-2028. Hierbij heeft brede afstemming met het directieteam en betrokken managers plaatsgevonden om te kijken of ingerichte risico’s nog steeds actueel en van toepassing zijn wanneer de nieuwe strategie van kracht wordt. In 2024 zal hieraan verder vervolg worden gegeven en zal een start gemaakt worden om hierover te rapporteren.

Eind 2023 is bovendien een start gemaakt met een project, met als doel de (her)inrichting van de tweedelijns risicomanagement functie. Momenteel worden diverse onderdelen van deze second-line of defence  op verschillende plekken in de organisatie uitgevoerd. Bovendien wordt niet consequent gewerkt met eenduidige methodologieën en definities. Dit brengt het risico met zich mee van een zekere mate van rolonduidelijkheid en suboptimale risicobeheersing.

Uiteindelijk willen we in 2024 de volgende resultaten bereiken:

• Per 1 januari samensmelting van het riskmanagement en procesmanagement team tot een enkele afdeling.

• Het risk- en procesmanagement team dat na de samensmelting deels functioneert als een projectorganisatie is getransformeerd naar een operationele runorganisatie.

• Het overall risk control framework (demarcatie first, second en third line-of-defence) is gedefinieerd.

• De second-line of defence, inclusief vaststelling van rollen, taken, bevoegdheden en verantwoordelijkheden, is beschreven en ingericht.

• Er wordt gewerkt met eenduidige definities en methodes voor wat betreft risico-inventarisatie, -bereidheid, -acceptatie en -beheersing.

• Voor alle onderdelen van de Holland Casino-organisatie zijn procesbeschrijvingen, identificatie van key risico’s, vaststelling van risicobereidheid en beheersingsmaatregelen opgeleverd.

Impactgebieden

Strategische risico's per categorie