Directie­verslag

Luisteren naar klantsignalen: audit Gouden Oor

Onze feedbackmanager (aangesteld in 2024) haalde in 2025 weer feedback van klanten, deelnemers en werkgevers op, die wij vervolgens verwerkten in onze klantreizen. Daarnaast ontwikkelden wij een nieuwe propositie: ondersteuning bij De Gouden Oor Erkenning. Deze erkenning toont aan dat een organisatie goed luistert naar haar klanten, deelnemers en werkgevers. Voor de erkenning is een audit noodzakelijk. Dit gaat om een diepgaand onderzoek naar onze activiteiten, hoe wij omgaan met feedback van deelnemers en werkgevers, en hoe wij ervan leren. Met onze nieuwe propositie helpen we klanten zich goed voor te bereiden op deze audit. Eind 2025 zijn we samen met een eerste fonds gestart.

Klantbediening in 2030: dit is onze visie

Deelnemers zijn mensen met dromen. Ze zijn niet allemaal dagelijks met pensioen bezig, maar zoeken wel financiële duidelijkheid in een complexe wereld. Met onze klantbediening willen we die deelnemers in 2030 passende begeleiding (in de vorm van goed getimede pensioenkeuzes) bieden. Dankzij slimme technologie (AI), menselijke begeleiding en een stevige vertrouwensrelatie wordt pensioen regelen voor deelnemers steeds eenvoudiger. Dit is de kern van onze visie op klantbediening in 2030, die we in 2025 lanceerden. De komende jaren gaan we deze visie steeds concreter maken en samen met klanten uitwerken tot concrete producten en diensten.

Weerbaarder dankzij DORA

DORA, de Digital Operational Resilience Act, is in januari 2025 formeel van kracht geworden. Al in 2024 namen we diverse maatregelen, zodat vanaf 17 januari 2025 processen zijn ingericht in lijn met deze wetgeving. Daarnaast voerden we in 2025 aanvullende acties uit, gebaseerd op specifieke risico’s. We ontwikkelden onder meer een overkoepelend testprogramma voor digitale veerkrachttesten en bouwden ons observability platform op. Ook scherpten we bestaande beheersmaatregelen aan om ze in lijn te brengen met DORA en voegden we nieuwe beheersmaatregelen toe.

Onze klanten groeien – en wij ook

Veel van onze klanten maakten in 2025 een autonome groei door. Pensioenfonds Vervoer en PME Pensioenfonds groeiden daarnaast ook door consolidatie. Zo gingen Pensioenfonds Honeywell en Pensioenfonds TDV op in PME Pensioenfonds, en ging Pensioenfonds voor de Rijn- en Binnenvaart op in Pensioenfonds Vervoer. Deze consolidatie zien we als een positieve ontwikkeling, en ondersteunen en faciliteren we zo goed mogelijk.

Verdere integratie met a.s.r.

In 2025 versterkten we onze focus op de dienstverlening aan pensioenfondsen. Dat deden we door de pensioenuitvoering aan onze ppi-klant en de Verzekerd Pensioen-portefeuille op  1 september over te dragen aan a.s.r. Pensioenen – het a.s.r.-onderdeel dat daarin gespecialiseerd is. De collega’s die voor deze 2 klanten de administratie en klantbediening verzorgden, vallen nu onder directe aansturing van a.s.r.Pensioenen. Door deze strategische overdracht kunnen wij ons volledig richten op pensioenfondsen (inclusief de dienstverlening aan Stap) en verloopt de aansturing en besluitvorming in deze portefeuille efficiënter. Wij blijven voorlopig wel de IT-platformen van de overgedragen portefeuilles beheren. In 2025 hebben deze wijzigingen geen impact op het resultaat.

Nieuwe digitale werkplek: Microsoft 365 en Copilot

Om goed en veilig te kunnen samenwerken, is een digitale werkplek cruciaal. Voorheen kwam onze werkplekoplossing uit ons eigen datacenter. In 2025 stapten we over op de Microsoft 365-werkplek, waarbij alle data die we gebruiken in de officesoftware van Microsoft, in een Europese cloud draait. Daarmee kunnen we eenvoudiger online en offline werken en kregen we meer bandbreedte. Bovendien hebben we een afgeschermde omgeving waarin we veilig met Copilot, de AI-kantoorondersteuning van Microsoft, kunnen werken.

Scores op medewerkersbetrokkenheid: lichte schommeling

In 2025 hebben we de medewerkersbetrokkenheid opnieuw via de jaarlijkse cultuurscan gemeten. De score was 43 (op een schaal van 1 tot 100), waarmee we 7 punten gezakt zijn ten opzichte van vorig jaar. Ook scoren we daarmee in de benchmark met deelnemende bedrijven net wat lager dan gemiddeld. In de loop van het jaar steeg de betrokkenheid weer (naar een score van 61 in begin 2026).

Tegelijk zien we in de wekelijkse eMood-metingen goede beoordelingen van onze medewerkers. Zo gaven ze gemiddeld een 7,5 voor werkgeluk. We scoorden hoog op plezier en steun binnen de teams, lager op verbinding in de organisatie. Voor vitaliteit kregen we een 7,5, onder meer vanwege de focus op mentale gezondheid. En op productiviteit scoorden we een 7,2.

Risicostrategie (inclusief risicobereidheid)

De risicostrategie bevat deze elementen:

• Strategische, tactische en operationele doelstellingen die een organisatie nastreeft.
• De risicobereidheid bij het nastreven van die strategische, tactische en operationele doelstellingen.

Onze risicostrategie is erop gericht om de beslissingen die we nemen, binnen de grenzen van de risicobereidheid te laten vallen. Deze grenzen stelt de directie jaarlijks vast. De risicobereidheid geeft de mate aan waarin onze directie bereid is risico’s te nemen om de strategie te realiseren en welke risicobereidheidsgrenzen per risicothema gelden. Dit is uitgewerkt in Risk Appetite Statements, die we jaarlijks herijken. 

Risicocultuur

Mensen en hun gedrag bepalen of we ons risicomanagement succesvol kunnen verankeren. Daarom is het belangrijk dat alle medewerkers de (voor hun functie benodigde) kennis hebben van risicomanagement en risicobewustzijn. Een risicobewuste cultuur bevorderen we met bewustwordingsactiviteiten. Hiermee, en met onze gedragscodes, staan we stil bij factoren die gedrag kunnen beïnvloeden én van belang zijn voor zowel het realiseren van onze doelen als voor het beantwoorden van de eisen en verwachtingen van onze stakeholders. Medewerkers krijgen door de activiteiten ook meer inzicht in de risico’s verbonden aan hun werk, en leren hoe zij zelf risico’s kunnen herkennen en beheersen.

Risicomanagementproces

De risicomanagementcyclus bevat een aantal stappen voor risicobeoordeling: risicoidentificatie, risicoassessments en risicorespons. Met deze stappen zorgen we ervoor dat we de relevante risico’s voor onze organisatie in kaart brengen, dat we ze beoordelen op kans van optreden en mogelijke impact op de organisatie, en dat we bepalen welke risicoreactie past bij onze risicobereidheid.

De risicoschaal is een instrument dat we bij risicoanalyses gebruiken voor het beoordelen van de risico’s. Op basis van kans en impact werken we met 4 classificaties: laag, gemiddeld, hoog en zeer hoog.

Naast de reguliere risicoanalyses op bijvoorbeeld pensioenprocessen en projecten voert onze directie jaarlijks een strategische risicoanalyse uit. Deze analyse heeft als doel de belangrijkste financiële en niet-financiële risico’s die het behalen van de strategische doelstellingen bedreigen, te identificeren, beoordelen en beheersen. De directie en het management zijn verantwoordelijk voor het bepalen van passende beheersingsmaatregelen om te bewaken dat de risico’s binnen de risicobereidheidsgrenzen blijven. In de hele organisatie zijn op elk niveau en in alle functies beheersingsmaatregelen ingebed, gericht op de onderkende risico's binnen de verschillende processen.

Verantwoording

We leggen expliciet verantwoording af over de beheersing van de processen die onze klanten aan ons uitbesteden. De belangrijkste verantwoordingsdocumenten – die toezien op de pensioenuitvoering aan onze klanten – zijn het ISAE 3402-rapport, diverse thematische ISAE 3000-rapporten, ISO-certificaten, het In control-statement (ICS), de servicelevel agreement (SLA)-rapportage en de niet-financiële risicorapportage.

De directie legt in de interne niet-financiële risicorapportage elk kwartaal verantwoording af over de ontwikkeling van het risicoprofiel en de risicobeheersing. In deze rapportage wordt onder andere het risicoprofiel vergeleken met de risicobereidheid. Daarmee geeft de directie inzicht in de mate waarin zij binnen en buiten de grenzen van de risicobereidheid acteert om de organisatiedoelstellingen te bereiken. De tweede lijn geeft een opinie op de gerapporteerde risicoprofielen.

De niet-financiële risicorapportage wordt inhoudelijk behandeld in het Business Risk Committee, in het directieoverleg en in de raad van commissarissen. 

De interne niet-financiële risicorapportage is de basis voor de niet-financiële risicorapportage voor klanten. Daarnaast stelt de directie elk kwartaal een In control-statement op. Hierin laten we op basis van afgesproken prestatie-indicatoren zien hoe het staat met de interne beheersing. Het ICS is mede gebaseerd op het framework van risicomanagement voor pensioenfondsen.

Evaluatie

Het enterprise risicomanagement wordt jaarlijks geëvalueerd op effectiviteit. In 2025 heeft deze evaluatie niet tot belangrijke aanpassingen geleid. De in 2025 geïntroduceerde aanpassingen zijn veelal gericht op harmonisatie met het risicomanagementsysteem van a.s.r.

Risicoprofiel boekjaar 2025

In 2025 liet ons risicoprofiel geen onacceptabele risico’s zien. De transitie naar het nieuwe stelsel, veranderingen in wet- en regelgeving en de impact hiervan op de (ICT-)organisatie vragen om continue aandacht voor relevante risicothema’s. De belangrijkste risicothema’s lichten we hieronder verder toe. De risico's horend bij de transitie naar het nieuwe pensioenstelsel en bij digitale weerbaarheid en ICT vormen de belangrijkste te beheersen risico's. Dat geldt vanuit het perspectief van TKP én vanuit het perspectief van haar opdrachtgevers. Het onvoldoende beheersen van deze risico's kan ertoe leiden dat TKP en haar klanten hun strategische doelen niet realiseren en is daarmee niet acceptabel.

Transitie nieuw pensioenstelsel

De voorbereidingen voor de overgang van onze klanten naar het nieuwe stelsel zijn in volle gang. Met een projectmatige aanpak en via plateauplanningen, gaan de pensioenfondsen groepsgewijs, beheerst en integer over naar het nieuwe stelsel. We houden pensioenfondsen continu op de hoogte van de voortgang van dit programma en de wijze waarop we de risico’s in dit programma beheersen.

Onderdeel van de transitie is de beheerste overgang naar een nieuw ICT-landschap: een essentiële succesfactor om de administratie voor de nieuwe regelingen goed in te richten én voor het vertrouwen in onze dienstverlening. Daarom nemen we beheersing en assurance al bij de ontwikkeling en bouw van processen in ons nieuwe administratiesysteem Plexus mee: in control by design. Ons eerstelijns en tweedelijns risicomanagement werkt samen met de externe accountant (niet zijnde de jaarrekeningaccountant) om te komen tot assurance vóór livegang.

De overgang naar het nieuwe pensioenstelsel in combinatie met de overgang naar een nieuw ICT-landschap is inherent risicovol. Het risicoprofiel past binnen de grenzen van de risicobereidheid, die ruimer is geformuleerd dan voor de reguliere dienstverlening.

Digitale weerbaarheid en ICT-risico’s

Goed functionerende ICT is essentieel voor de uitvoering van onze bedrijfsprocessen en het behalen van onze doelstellingen. Risico’s die afbreuk doen aan betrouwbare ICT‑processen, ‑systemen en ‑prestaties willen we zoveel mogelijk voorkomen. We beschikken over adequate risicomanagementprocessen waarmee ICT‑risico’s tijdig worden geïdentificeerd, beoordeeld en beheerst. De data die ons zijn toevertrouwd, beschermen we tegen securitybedreigingen.

We ondernemen voortdurend actie om onze digitale weerbaarheid op een adequaat niveau te houden. We signaleren relevante bedreigingen, mitigeren kwetsbaarheden en zorgen dat ons beveiligings- en risicobeheer aansluit bij geldende wet‑ en regelgeving. Waar nodig scherpen we onze maatregelen verder aan, zodat onze digitale weerbaarheid structureel geborgd blijft.

Uitbesteding

We ontwikkelen ons steeds meer naar een regieorganisatie. Daarmee wordt het beheersen van uitbestedingsrisico’s (inclusief cybercrime en afhankelijkheid van (ICT-)leveranciers) steeds belangrijker. Om de risico’s rond uitbestedingen te beheersen, gebruiken we een uitbestedingsraamwerk.

Integriteit

Als betrouwbare en integere pensioenuitvoeringsorganisatie vermijden wij handelingen die afbreuk doen aan de wettelijke en maatschappelijke verantwoordelijkheden die gelden voor financiële instellingen. We hebben een omvangrijke set aan maatregelen ingericht om risico's te mitigeren. We borgen de expliciete integratie van onze kernwaarden en gedrag in jaarplannen, teamafspraken en de individuele beoordelingscyclus. We bewaken de betrouwbaarheid en integriteit van ons handelen met pre- en in-employmentscreening en de integriteit van de bedrijfsvoering met online awareness- en compliance-monitoringprogramma's. 

Periodiek voeren we een systematische integriteitsrisicoanalyse uit om de ontwikkeling van deze risico's te beoordelen en waar nodig bij te sturen. Het is onze plicht de privacy van onze medewerkers, onze klanten, hun deelnemers en werkgevers te beschermen, zoals vastgelegd in de Algemene verordening gegevensbescherming (AVG). We hebben interne beheersmaatregelen ingericht die periodiek in een privacy-audit beoordeeld worden door een externe accountant (niet zijnde de jaarrekeningaccountant). In 2025 waren er 7 datalekmeldingen bij de Autoriteit Persoonsgegevens. Er zijn geen boetes opgelegd naar aanleiding van deze datalekmeldingen.

Financiële risico’s

We onderkennen en beheersen verschillende financiële risico’s. Het kredietrisico hangt samen met de kredietwaardigheid van klanten en kent daarnaast een zekere concentratie bij een beperkt aantal grotere klanten. 

Door stabiele kasstromen en afspraken met moedermaatschappij a.s.r. blijft de liquiditeitspositie beheersbaar, ondanks tijdelijke extra uitgaven door investeringen in het kader van de Wtp. Deze investeringen zetten ook de winstgevendheid en solvabiliteit tijdelijk onder druk, maar geven geen aanleiding tot zorgen over de continuïteit. 

Renterisico’s zijn beperkt en financiële verslaggevingsrisico’s hebben vooral betrekking op het gebruik van schattingen bij complexe investeringen. Voor meer details wordt verwezen naar de jaarrekening.

Financial crime-risico’s

Als pensioenuitvoeringsorganisatie lopen we financial crime-risico's, waaronder witwassen en financiering van terrorisme. We zijn ons bewust van onze rol in de bestrijding hiervan, zoals vastgelegd in de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Fraude en diefstal van binnen of buiten onze organisatie doen afbreuk aan onze betrouwbaarheid, reputatie en aan een veilige werkomgeving.

Met adequate functiescheidingen, vier-ogen-controles, procuratie en autorisatieschema's en aansluitingscontroles treffen we op alle inkomende en uitgaande geldstromen voldoende maatregelen om fraude te minimaliseren.

We volgen het preventieve en detectieve beleid van a.s.r., met onder meer de gedragscode, pre- en in-employmentscreening en klokkenluidersregelingen. Het afleggen van de eed of belofte, waarmee medewerkers aangeven zich te houden aan de gedragscode en de hieruit voortvloeiende gedragsregels, is verplicht voor alle in- en externe medewerkers. De gedragscode is beschikbaar op het intranet van a.s.r. en op asrnederland.nl.

We hebben beheersingsmaatregelen getroffen om te voldoen aan de voor ons als pensioenuitvoeringsorganisatie geldende wet- en regelgeving, binnen de reikwijdte die op onze activiteiten van toepassing is.Deze maatregelen zijn er ook op gericht om onze klanten goed te beschermen. Om fraude te voorkomen, hebben we daarnaast verschillende mitigerende maatregelen genomen. In 2025 heeft de directie geen signalen ontvangen die wezen op interne fraude. Er was dan ook geen reden om een onderzoek te starten naar fraude of mogelijke overtredingen van regels.