In 2025 hebben we gesprekken gevoerd met onder andere de Raad van Bestuur, directeuren en experts om de risico’s en beheersmaatregelen, zoals geïdentificeerd in voorgaande jaren, te herijken. Bij de herijking is rekening gehouden met externe en interne ontwikkelingen (zoals de herinrichting van onze organisatie), wet- en regelgeving en belangen van onze stakeholders. Door risico’s te koppelen aan onze strategie en doelstellingen, borgen we dat risicobeheersing een vast onderdeel blijft van onze besluitvorming. De risico’s zijn besproken in het directieoverleg en met de RvB.

Daarnaast is gewerkt aan het verder integreren van de interne risicobeheersings- en controlesystemen in onze werkprocessen. Binnen de meeste afdelingen is een risicomanagement en compliance specialist aangewezen welke als eerste aanspreekpunt binnen de afdelingen fungeert. Deze (eerste lijn) contactpersonen gaan nauw samenwerken met de (tweede lijn) Risicomanager en Compliance officer om de beheersing van risico’s in de processen te verbeteren. We hebben sessies gehouden met externe risicospecialisten om verbetermogelijkheden te signaleren in de risico controle matrices op procesniveau en een plan van aanpak te maken ter verdere versterking van interne beheersing in de komende jaren.

Verder is een frauderisicoprofiel per afdeling opgesteld dat ons in staat stelt om, op een risicogebaseerde manier, onze fraudegevoelige activiteiten en processen integraal te monitoren en beheersen.

Risicomanagement is een cyclisch proces om risico’s te identificeren, maatregelen te selecteren en implementeren om onze risico’s te beheersen, met als doel verrassingen te voorkomen en besluitvorming te ondersteunen.

Het bestuur is verantwoordelijk voor het identificeren en beheersen van de risico’s verbonden aan Vitens’ strategie en activiteiten. Zij bepaalt hoe risicobereid we zijn als organisatie en stelt het beleid vast. Daarbij zorgt zij voor de juiste voorwaarden om risico’s goed te kunnen beheersen. De Raad van Commissarissen houdt toezicht op dit proces via de auditcommissie en bespreekt regelmatig de strategie, de uitvoering van de strategie en de daarmee samenhangende voornaamste risico’s.

Afdelingsdirecteuren signaleren risico’s binnen hun eigen werkgebied en nemen maatregelen om deze te beheersen. Zij vormen samen de eerste verdedigingslinie (first line): zij zorgen ervoor dat Vitens binnen de afgesproken risico grenzen blijft en signaleren samen met de procesmanagers risico’s op procesniveau en implementeren maatregelen in de processen.

De afdeling Interne Beheersing & Verbetering ondersteunt dit proces, zij zijn de tweede verdedigingslinie (second line). Zij zorgen dat we voldoen aan wet- en regelgeving, onderhouden het risicobeheersingsbeleid, begeleiden de afdelingen bij het uitvoeren van risicoanalyses, monitoren dit en rapporteren belangrijke kwesties aan het bestuur en auditcommissie.

De afdeling Interne Audit vormt de derde verdedigingslinie (third line) en voert interne audits uit en adviseert over verbeteringen in onze interne processen. 

Binnen Vitens speelt risicomanagement een belangrijke rol bij het realiseren van onze strategische doelstellingen. Ieder jaar evalueren wij de risico’s die de grootste invloed kunnen hebben op het bereiken van onze strategische doelen, de topbedrijfsrisico’s. De sturing op deze beheersmaatregelen en de monitoring van de risico's zijn een essentieel onderdeel van onze planning- en controlcyclus. We werken elk risico uit door het te voorzien van een beheeraanpak en bijbehorende maatregelen, die we gedurende het jaar implementeren en monitoren. Onze risicobereidheid is zeer laag, gezien de aard van ons bedrijf. 

De voor 2024 geïdentificeerde bedrijfsrisico’s zijn onveranderd in 2025 en zijn als volgt:

1. Klimaatimpact
2. Bestuurlijke maakbaarheid (van infrastructuur)
3. Technische maakbaarheid (van infrastructuur)
4. Financiële maakbaarheid (van infrastructuur)
5. Cybersecurity
6. Aantrekkelijk werkgeverschap
7. Drukte in de ondergrond

Met ingang van verslagjaar 2025 is de herziene Nederlandse Corporate Governance Code van kracht, waarin de Verklaring omtrent Risicobeheersing (VOR) een centrale rol speelt. Voor Vitens betekent dit dat de nieuwe vereisten van toepassing zijn op het boekjaar 2025. De VOR verplicht het bestuur om in het bestuursverslag expliciet te verklaren in hoeverre de interne risicobeheersings- en controlesystemen effectief functioneren.

Vitens werkt gefaseerd toe naar een volledige onderbouwing van de effectiviteit van het interne risicobeheersings- en controlesysteem. In 2025 is het systeem verder ontwikkeld, maar Vitens acht het op dit moment nog niet mogelijk een volledige VOR af te geven.