Waarom risico-inspiratie belangrijker is dan risicoadministratie

Risicomanagement staat jaar op jaar hoger op de bestuursagenda. Het vak ontstijgt zijn technische oorsprong en wordt steeds vaker gezien als wat het is: een integraal onderdeel van strategie, integere bedrijfsvoering en besluitvorming. De kern van die verschuiving zit in één woord: risico-inspiratie. Niet de risico’s uit het vorige jaarverslag opfrissen voor het nieuwe jaar, maar intrinsiek gemotiveerd het goede doen én dat goed doen, door verschillende organisatielagen te betrekken bij het goede gesprek over risico en rendement, over kansen en kaders.

De vraag die wij in de praktijk steeds vaker krijgen: hoe staat risicomanagement op de agenda van stichtingen, en van goededoelenorganisaties in het bijzonder?

Veel maatschappelijk geld, weinig prudentieel toezicht

De omvang rechtvaardigt de vraag. Per 1 januari 2026 zijn ruim 700 goede doelen en twee donatieplatforms erkend; samen vertegenwoordigen zij circa € 5,8 miljard aan inkomsten (Commissie Normstelling). In 2024 werd in Nederland € 5,49 miljard aan goede doelen gegeven (Geven in Nederland 2026, VU Amsterdam).

Dat geld wordt beheerd binnen een toezichtarrangement dat fundamenteel anders is dan in de pensioen- of zorgsector. Er is geen prudentiële toezichthouder: het toezicht verloopt via de Erkenningsregeling van het CBF, de externe accountant en de ANBI-publicatieplicht. En dat blijft zo het wetsvoorstel Wtmo is op 24 maart 2026 door de Eerste Kamer verworpen (Eerste Kamer).

Minder extern toezicht betekent niet minder risico. Het betekent dat het bestuur zelf de eerste en vaak enige challenger is.

Wat maakt deze sector wezenlijk anders?

Drie kenmerken bepalen het risicoprofiel.

De verkrijging van middelen. De wederkerigheid met donateurs, subsidiënten en partners is van een andere orde: bedrijfsvoering en verantwoording zijn grotendeels afhankelijk van projecteisen van derden. Inkomstenconcentratie is daarmee een strategisch risico, geen financieel detail. En de basis verschuift: waar in 2006 nog 81% van de huishoudens gaf na een verzoek, was dat in 2025 34% (Geven in Nederland 2026).

Eén verantwoordelijke, financieel accent. Het toezicht is vaak ingericht via een one-tier model, met risicomanagement als taak bij de financieel verantwoordelijke. Waar andere maatschappelijke sectoren via normatief toezicht aparte sleutelfuncties kennen, is dat hier geen standaard. Strategische, culturele en integriteitsrisico’s krijgen daardoor minder systematische aandacht.

Gespiegelde reputatie. Goede doelen profileren zich vaak aan een persoon of instituut. Te vergelijken met publieke omroepen en hun presentatoren: het rendement van die profilering is hoog, het risico eveneens.

De normen worden harder en het toezicht heeft tanden

In de normen die per 1 januari 2026 gelden, is het bepalen én vastleggen van risico’s en beheersmaatregelen een harde norm voor de categorieën D en E. De norm over witwassen en terrorismefinanciering en de norm voor actueel privacy- en informatiebeveiligingsbeleid zijn hard vanaf categorie C (Normen Erkenningsregeling). Ook RJ 650 vraagt expliciet om een risicoparagraaf én om verantwoording over cultuur en gedrag – soft controls (RJ-Uiting 2024-8).

Dat is geen papieren werkelijkheid. In 2024 werd bij zes organisaties de Erkenning ingetrokken, onder meer wegens gebrekkige governance in combinatie met een mogelijk tegenstrijdig belang, en ontving het CBF 19 meldplichtmeldingen, waarvan 14 over grensoverschrijdend gedrag (CBF Jaarverslag 2024).

Daar komt de agenda voor 2026 bovenop: de WBTR-overgangsperiode is per 1 juli 2026 geëindigd (WBTR), en vanaf augustus 2026 start het toezicht op de transparantieverplichtingen uit de AI-verordening, mensen moeten weten dat zij met AI of AI-content te maken hebben (Autoriteit Persoonsgegevens). Voor campagnes, chatbots en impactcommunicatie is dat geen IT-vraag maar een vertrouwensvraag.

Zeven vragen aan bestuur en directie

Ter inspiratie, niet ter afvinking:

1. Hoe meet u de impact van uw goede doel en hoe evalueert u of er ook werkelijk sprake is van beweging?

2. Hoe borgt u dat impactmeting een continu proces is en geen jaarlijkse momentopname?

3. Is er samenhang tussen uw wettelijke en niet-wettelijke risico’s?

4. Op welk risicoprofiel belegt u, en wanneer is dat voor het laatst herijkt? Volstaat een driejarige ALM-studie nog?

5. Hoe loyaal zijn uw donateurs en subsidiënten: weet u dat, of vermoedt u dat?

6. Zou u vandaag een integriteitsverklaring tekenen als uw belangrijkste subsidiënt daarom vraagt?

7. Hoe sterk is uw merk en mitigeert u, uw reputatierisico?

Hoort u vaak dat de accountant geen bijzonderheden constateerde? Dat begrijpen wij. Toch nodigen wij u uit verder te kijken dan de steekproef: de accountant heeft a priori een financieel perspectief, verricht geen integrale compliancecheck en verantwoordt achteraf. Risicomanagement inspireert vooraf.

Van administratie naar betekenis

Het grootste strategische risico voor een goed doel is niet een financieel tekort, maar het niet kunnen aantónen van maatschappelijke relevantie: veel geld in projecten steken zonder aantoonbare bijdrage. Het AethiQs-relevantieraamwerk kijkt daarom niet naar aantallen alleen, maar naar de drie-eenheid bereik, bedoeling en betekenis.

Wij werken met drie organisatiefasen voor risico-inspiratie. Dat geeft handvatten om door te ontwikkelen of om bewust stil te staan zonder vooruitgang te verliezen. Relevant risicomanagement vraagt geduld en perspectief: versterk de huidige fase, in plaats van te snel doorgroeien. U bestaat immers bij de gratie van vertrouwen, en vertrouwen is geen resultaat van administratie maar van aantoonbare betekenis. Dat is wat wij relevantiewaarde noemen.

Hoe AethiQs u helpt

AethiQs is een strategisch adviesbureau op het snijvlak van governance, risicomanagement, strategie en data & AI, voor organisaties met een maatschappelijke signatuur. Voor goede doelen en stichtingen doen wij onder meer:

• Nulmeting en fasebepaling van uw risicomanagement

• Risicogovernance en risk appetite die passen bij uw doelstelling

• Gereedheid voor de Erkenningsnormen, inclusief risicoparagraaf en informatiebeveiligingsbeleid

• Compliance en integriteit: wetgeving, integriteit en organisatie werkend maken, inclusief WBTR en AI Act

• Impact en relevantiewaarde: meten op bereik, bedoeling en betekenis

• Bestuurlijke dialoog met bestuur, raad van toezicht en directie

• Merk en identiteit: hoe sterk is uw merk en uw verhaal?

Wilt u weten hoe uw risicomanagement zich verhoudt tot de nieuwe normen en tot uw eigen ambitie? Wij gaan graag in gesprek.