Risicomanagement

Inleiding

Bij CZ groep wordt gewerkt met het ‘Three Lines’-model. Dit model structureert drie rollen binnen risicomanagement, met elk hun eigen taak en verantwoordelijkheid. Van de eerste lijn (de functies die de primaire bedrijfsprocessen uitvoeren en de afdelingen die daarbij direct ondersteunen) wordt verwacht dat zij haar risico’s kent en (aantoonbaar) beheerst. De tweede lijn (gesitueerd binnen Risk & Compliance) levert daarvoor de kaders, bewaakt de effectiviteit ervan en monitort (direct of indirect) het juiste gebruik ervan. De derde lijn (de Interne Audit Dienst (IAD)) stelt daarbij vast of het model werkt en daadwerkelijk adequaat en doeltreffend is. Dit doet de IAD door onafhankelijk de werking van de beheersmaatregelen te toetsen. CZ groep is zich ervan bewust dat de zorgverzekeraar een nadrukkelijke maatschappelijke rol vervult, waarbij het nemen van risico's alleen wenselijk is wanneer dat bijdraagt aan het realiseren van de strategische doelstellingen van CZ groep. Een uitgebreidere beschrijving van het risicomanagementsysteem is te vinden in het bestuursverslag.

Gebruik van schattingen

De opstelling van de jaarrekening vereist dat het management oordelen vormt en schattingen en veronderstellingen maakt die van invloed zijn op de toepassing van grondslagen en de gerapporteerde waarde van activa en verplichtingen, en van opbrengsten en kosten. De daadwerkelijke uitkomsten kunnen afwijken van deze schattingen. De schattingen en onderliggende veronderstellingen worden voortdurend beoordeeld. Herzieningen van schattingen worden opgenomen in de periode waarin de schatting wordt herzien.

Solvabiliteit

De wettelijke vereiste solvabiliteit (Solvency Capital Requirement) bedraagt ultimo van het boekjaar 2.004 miljoen euro [7] (2023: 1.941 miljoen euro). De aanwezige solvabiliteit op basis van Solvency II grondslagen bedraagt 2.994 miljoen euro [7] (2023: 2.861 miljoen euro). De solvabiliteitsratio ultimo 2024 bedraagt voor CZ groep 149% [7] (2023: 147%).

Voor de berekening van de vereiste solvabiliteitsratio is uitgegaan van het standaardmodel Solvency II inclusief de aanpassingen voor zorgverzekeraars in Nederland. Het aanwezige eigen vermogen volgt uit de balans op Solvency II grondslagen. Onder Solvency II worden deze onderverdeeld in drie zogeheten tiers. Nagenoeg het volledige eigen vermogen van CZ groep is van Tier 1-kwaliteit. Dat wil zeggen dat de aanwezige eigen vermogensbestanddelen volledig in aanmerking komen ter dekking van de wettelijke kapitaalseisen [8].

Kapitaalsturing vindt plaats via het kapitaalbeleid op het niveau van CZ groep, waarin een streefwaarde voor de solvabiliteitsratio is gedefinieerd. De risico’s worden afgedekt door middel van een financieel verantwoorde en maatschappelijk passende buffer bovenop de wettelijke vereiste solvabiliteitsratio, tezamen vormt dat de streefwaarde voor onze solvabiliteitsratio. Ultimo 2024 bedraagt de streefwaarde voor de solvabiliteitsratio van CZ groep net als in 2023 135%, met een bandbreedte van +/- 15 procentpunt. De toereikendheid van deze solvabiliteitsnormen wordt beoordeeld in het ORSA-proces. De passendheid van deze solvabiliteitsnormen wordt beoordeeld in het ORSA-proces.

Met een streefwaarde van de solvabiliteitsratio van 135% verwacht CZ groep de grotere en meer waarschijnlijke risico’s te kunnen opvangen, zonder daarbij direct in de situatie te komen dat de Own Funds dalen tot onder de kapitaalsvereiste SCR. De bandbreedte rondom de streefsolvabiliteit wordt gebruikt om op langere termijn te kunnen zorgen voor een stabiele ontwikkeling van de premie.

CZ groep voert minimaal jaarlijks een ORSA uit, waarin verschillende risico’s in scenario’s worden uitgewerkt. In de ORSA worden op het niveau van CZ groep naast scenarioanalyses ook gevoeligheidsanalyses en reversed stresstesten gebruikt. Daarmee wordt bepaald in hoeverre het beschikbare eigen vermogen toereikend is om verliezen op te vangen, mochten bepaalde scenario’s werkelijkheid worden.

Ook de solvabiliteitsratio van individuele entiteiten wordt gemonitord. Indien nodig wordt tijdig bijgestuurd binnen de groep conform de uitgangspunten van het kapitaalbeleid. Voor de individuele verzekeringsentiteiten geldt eveneens een aanvullende buffer bovenop de minimale externe vereiste solvabiliteitsratio. Voor de individuele verzekeringsentiteiten, is de minimale interne vereiste solvabiliteit bepaald op 120% (2023: 120%) en is de streefsolvabiliteit 135% (2023: 135%).

In de onderstaande tabel is de opbouw van de solvabiliteitsratio opgenomen:

Voor de berekening van het wettelijke vereiste solvabiliteitskapitaal hanteert CZ groep de risico-indeling en standaardformule conform Solvency II. Hierbij wordt de kapitaaleis bepaald voor het verzekeringstechnische risico, het marktrisico, het tegenpartijrisico en het operationeel risico op een horizon van één jaar. Aangezien het onwaarschijnlijk is dat alle risico’s gelijktijdig zullen optreden, wordt er binnen Solvency II met een diversificatievoordeel rekening gehouden.

Verzekeringstechnisch risico

Het verzekeringstechnisch risico is het risico dat de verzekeringsverplichtingen (nu en in de toekomst) niet kunnen worden nagekomen vanuit de inkomsten uit premies en bijdragen. Dit door een realisatie die afwijkt van aannames en/of grondslagen bij de ontwikkeling en premiestelling van het product of vanuit aannames met betrekking tot de voorzieningen.

CZ groep voert de basisverzekering uit. Het verzekeringstechnisch risico van de basisverzekering wordt gematigd door het risicovereveningssysteem. Bij het bepalen van de risico-omvang is de beheersing van de zorgkosten cruciaal. CZ groep zet daarom via haar zorginkoopbeleid sterk in op de beheersing van zorgkosten.

Binnen het verzekeringstechnisch risico zijn de volgende subcategorieën van belang voor CZ groep: premierisico, voorzieningenrisico en catastroferisico.

Premierisico

Het premierisico betreft het risico dat de premie (rekening houdend met vermogensinzet) niet toereikend is om aan de verzekeringsverplichtingen te kunnen voldoen. Het heeft derhalve in essentie betrekking op een toekomstige risicoperiode. CZ groep streeft naar een zo stabiel mogelijke premieontwikkeling die concurrerend is in de markt en financieel verantwoord is. CZ groep heeft geen winstoogmerk. Positieve resultaten worden gebruikt om de buffer op peil te houden. De buffer wordt ingezet, als het kan, om noodzakelijke premiestijging te beperken.

CZ groep mitigeert het premierisico door te streven naar een marktconforme samenstelling van de portefeuille, omdat een marktconforme portefeuille minder gevoelig is voor veranderingen in de markt, de risicoverevening of het zorgstelsel.

Voorzieningenrisico

Het voorzieningenrisico is het risico dat de voorzieningen niet toereikend blijken te zijn om aan de verplichtingen te kunnen voldoen. Het heeft derhalve in essentie betrekking op een verstreken risicoperiode. Bij de schattingen wordt gebruik gemaakt van reeds gedeclareerde perioden, ervaringscijfers over het aantal nog te declareren verrichtingen en daarbij horende kosten en eventuele contractuele afspraken.

Catastroferisico

Het catastroferisico is het risico dat in verband met extreme of uitzonderlijke gebeurtenissen, zoals pandemieën, de aannames over de zorgkosten of de hoogte van de voorzieningen ontoereikend zijn. Voor CZ groep wordt het catastroferisico relatief beperkt geacht, vanwege de wettelijke Catastroferegeling in de Zorgverzekeringswet.

Marktrisico

Er worden geen beleggingen aangehouden voor of namens verzekerden. Met de beleggingen wordt gestreefd naar een zo optimaal mogelijk rendement op het aanwezige vermogen binnen passende risicokaders. Maar beleggen is niet zonder risico: veranderingen in rentestanden, aandelen- en wisselkoersen kunnen leiden tot hogere rendementen, maar ook tot verliezen. Het marktrisico betreft het risico van veranderingen in de waarde van de beleggingsportefeuille en verplichtingen als gevolg van wijzigingen in het niveau van de marktprijzen of in de volatiliteit van de marktprijzen. CZ groep beheerst de risico’s door het verdelen van beleggingen over de verschillende financiële instrumenten. Die verdeling wordt mede bepaald aan de hand van een ‘Asset Liability Management’- studie, waarmee de optimale samenstelling van de beleggingsportefeuille wordt bepaald, die aansluit bij de risicohouding van CZ groep. De risicohouding, vertaalt in een aantal kwantitatieve risicokaders, vormt het uitgangspunt voor de inrichting van de beleggingsportefeuille. In de eisen die worden gesteld aan de beleggingsmandaten voor de externe beheerders worden onder andere de bovenstaande uitgangspunten meegenomen.

Het marktrisico bestaat op het niveau van Onderlinge Waarborgmaatschappij CZ groep U.A. (geconsolideerd) uit een aantal onderliggende risico's die hierna worden toegelicht. In de onderstaande tabel is de opbouw van het marktrisico weergegeven.

Renterisico

Het renterisico wordt bepaald door de waardeverandering van rentegevoelige beleggingen en verplichtingen bij een verandering in de rentetermijnstructuur of in de volatiliteit van de rente. Het gaat hierbij om bijvoorbeeld obligaties, geldmarktfondsen en hypotheken. Doordat er geen langlopende verplichtingen zijn, is de rentegevoeligheid van de verplichtingen van CZ groep beperkt.

Aandelenrisico

Het risico op een verlies als gevolg van waardeveranderingen of als gevolg van verandering in de volatiliteit in aandelenbeleggingen. De participatie in het aandelenfonds is verantwoord onder de zakelijke waarden. Naast risico’s uit de aandelenportefeuille vallen ook risico’s uit de beleggingen in de beleggingscategorie infrastructuur onder het aandelenrisico.

Vastgoedrisico

Het vastgoedrisico is het risico op verlies als gevolg van waardeveranderingen in de vastgoedbeleggingen of als gevolg van verandering in de volatiliteit van de marktprijzen van vastgoed.

Spreadrisico

Het risico dat zich een waardedaling van een positie voordoet als gevolg van veranderingen in de credit spreads of als gevolg van verandering in de volatiliteit van de kredietspreiding boven de risicovrije rentetermijnstructuur.

Valutarisico

Valutarisico is het risico voor de gevoeligheid van de waarde van activa, verplichtingen en financiële instrumenten voor veranderingen in het niveau of in de volatiliteit van wisselkoersen. Het grootst deel van het valutarisico loopt CZ groep over de beleggingen in aandelen. Ook een deel van de beleggingen in de categorieën infrastructuur en vastgoed kennen een beperkt valutarisico. CZ groep heeft de valutarisico's niet afgedekt.

Marktrisicoconcentratie

Dit is het extra risico op een verlies als gevolg van een onvoldoende spreiding van de activa over tegenpartijen. CZ groep spreidt haar beleggingen over voldoende tegenpartijen zodat het verlies dat optreedt in geval van een faillissement van één tegenpartij of een groep van verbonden tegenpartijen, beperkt blijft.

Bij de bepaling van de marktrisicoconcentratie is ‘look through’ toegepast op de posities opgenomen in de beleggingsportefeuille van CZ Beleggingsfonds en de posities opgenomen in het geldmarktfonds. Deze zijn naar rato van het belang in het betreffende (sub)fonds, meegenomen onder de marktrisicoconcentratie.

Tegenpartijrisico

Dit is het risico van potentiële verliezen als gevolg van onverwachte wanbetaling of een verslechtering van de kredietwaardigheid van tegenpartijen en debiteuren in de volgende twaalf maanden. CZ groep heeft vorderingen uitstaan bij verschillende soorten tegenpartijen: overheid, financiële tegenpartijen, zorgaanbieders/ -instellingen en verzekerden.

Mitigerende maatregelen voor dit risico verschillen per soort tegenpartij. Zo heeft CZ groep alleen gekozen voor financiële tegenpartijen met een hoge kredietwaardigheid en wordt onder andere door middel van spreiding het risico beperkt. Voorschotten die CZ groep heeft uitstaan bij zorgaanbieders en zorginstellingen zijn veelal gedekt door uitstaand onder handen werk. CZ groep probeert het tegenpartijrisico op verzekerden te verminderen door in te zetten op een proactief debiteurenbeleid. Het risico op mogelijke oninbaarheid van verzekeringspremies van de basisverzekering is deels gemitigeerd. Per wanbetaler kan de premieschade oplopen tot maximaal zes maanden. Daarna worden zorgverzekeraars voor de basisverzekering gecompenseerd via de ‘wanbetalersregeling’ van het Zorginstituut Nederland. Voor aanvullende verzekeringen draagt CZ groep wel het volledige kredietrisico in geval van wanbetaling. Dit risico wordt deels gemitigeerd door verzekerden het recht op vergoeding uit de aanvullende verzekering te ontnemen bij wanbetaling.

Operationeel risico

Het operationeel risico betreft het risico op een verlies dat zich voordoet als gevolg van inadequate of falende interne procedures, personeel of systemen of door externe gebeurtenissen. De operationele risico’s van CZ groep worden vooral gedreven door de grootschalige digitale gegevensverwerking, de omvang van de geldstromen en de veelheid aan privacygevoelige informatie. De betrouwbaarheid van de ICT- infrastructuur is van groot belang. Het kwaliteitsniveau van de processen moet hoog zijn. Riskmanagement activiteiten binnen CZ groep richten zich binnen het operationele risico specifiek op de interne procesbeheersing, uitbesteding, informatiebeveiliging, fraude en compliance.

Interne procesbeheersing

Vanaf 2023 heeft CZ groep gewerkt aan het aantoonbaar verbeteren van de interne procesbeheersing met behulp van het Control Framework. Naast de introductie van een CZ-brede Risk Management oplossing hebben alle divisies gewerkt aan een herijking van key processen en daarin benodigde key controls. Hierbij is aan de hand van verklaringen van de hoogst leidinggevenden op divisieniveau beoordeeld of de door de risico-eigenaren geïdentificeerde key processen voldoende beheerst verlopen. Het gaat daarbij onder andere om (financieel) belangrijke processen zoals zorginkoop, zorgkostentaxatie, premiestelling, vermogens- en liquiditeitenbeheer en bevoorschotting. Dit programma is in 2024 gecontinueerd. Het ICS-proces waarborgt dat de beheersing van de risico’s periodiek wordt getoetst door de tweede lijn. Het waarborgt ook dat risico-eigenaren periodiek in gesprek zijn over opzet, bestaan en werking van het controlesysteem. Risk adviseert, challengt en toetst. Het ICS-proces geeft daarmee additionele zekerheid over de mate waarin materiële risico’s adequaat worden beheerst. Het actueel houden van het in control systeem biedt additionele zekerheid over de beheersing van operationele risico’s.

Uitbesteding

Om een optimale dienstverlening aan te bieden, vindt CZ groep het belangrijk naast het zelfstandig uitvoeren van activiteiten, ook activiteiten uit te besteden uit strategische overwegingen. In 2024 heeft CZ groep gewerkt aan het verbeteren van de beheersing van deze uitbestedingen. Om de risico's van de uitbesteding te managen en aan de wettelijke vereisten te voldoen is door CZ groep een uitbestedingsbeleid opgezet met minimale vereisten, principes, processen en interne controlevereisten. Hierdoor borgt CZ groep de continuïteit en constante kwaliteit van de werkzaamheden en de daaruit voortvloeiende dienstverlening. Dit alles met inachtneming van de strategie van CZ groep.

Informatiebeveiliging

Onze kernprocessen zijn in hoge mate geautomatiseerd en verlopen via een aantal centraal beheerde informatie- en communicatietechnologie (ICT) systemen. Ook veel van de ondersteunende bedrijfsprocessen zijn sterk afhankelijk van ICT. Dit vereist een ICT-omgeving met waarborgen voor een optimale beschikbaarheid, betrouwbaarheid, integriteit en continuïteit van de opslag en verwerking van onze data. Door de snelle ontwikkelingen op het gebied van cybercriminaliteit is er veel aandacht voor informatiebeveiliging. ICT-systemen dienen aan de hoogste eisen te voldoen. Daarom worden die systemen regelmatig beproefd op hun weerbaarheid tegen cybercriminaliteit. Ook het bewustzijn van onze medewerkers op het gebied van cybercriminaliteit dient hoog te zijn. Daarom zijn binnen CZ groep ‘awareness trainingen’ voor medewerkers verplicht gesteld waarin onderwerpen als 'phishing' aan bod komen. Daarnaast wordt het beveiligingsbewustzijn van medewerkers gedurende het jaar op verschillende manieren gemeten. De uitkomsten van deze metingen worden vervolgens meegenomen bij het aanbrengen van de focus voor nieuwe activiteiten.

Fraude

CZ groep neemt maatregelen om fraude zo veel mogelijk te voorkomen en zo goed mogelijk op te sporen. Immers, fraude schaadt het vertrouwen in onze organisatie, zet de betaalbaarheid van zorg onder druk en is vanuit maatschappelijk oogpunt niet aanvaardbaar. Wij beheersen interne en externe frauderisico’s als integraal onderdeel van onze bedrijfsvoering middels preventie, tijdig signaleren en onderzoeken van fraude. Dit is uitgewerkt in ons fraudebeheersingsplan dat ieder jaar wordt herijkt en vastgesteld door het Bestuursteam.

Compliance

Naleving van wet- en regelgeving (compliance) ligt aan de basis van de bedrijfsvoering van CZ groep. Het is cruciaal voor het vertrouwen dat verzekerden en andere stakeholders in ons hebben. De verantwoordelijkheid voor het toepassen en naleven van de regelgeving ligt bij het lijnmanagement van ieder bedrijfsonderdeel. De eindverantwoordelijkheid ligt bij het Bestuursteam. CZ groep kent een centrale compliance-functie voor coördinatie, advisering, ondersteuning en monitoring op het gebied van regelgeving en integriteit. Deze werkt samen met ‘local compliance officers’ in de bedrijfsonderdelen. De centrale compliance-functie bevordert per bedrijfsonderdeel de mate van naleving van wet- en regelgeving meten en verbeteren. Door monitoring vanuit de compliance-functie wordt gezorgd voor meer grip en een eenduidige rapportage. Onderdeel van de compliance- organisatie is sinds de inwerkingtreding van de Algemene verordening gegevensbescherming de Functionaris voor de gegevensbescherming (FG). Het vorenstaande geldt dan ook onverkort voor deze functie. De FG maakt gebruikt van dezelfde compliance-organisatie en heeft dezelfde rapportagelijnen.

Diversificatievoordeel

Bij het combineren van de kapitaaleisen van de verschillende risicocategorieën wordt rekening gehouden met zogeheten diversificatie effecten. De achterliggende gedachte hierbij is dat het onwaarschijnlijk is dat alle risico´s zich tegelijkertijd voordoen. De totale kapitaaleis is daarom minder dan de som van de kapitaaleisen voor de verschillende risicocategorieën.

Gevoeligheidsanalyse

In de ORSA is op het niveau van Onderlinge Waarborgmaatschappij CZ groep U.A. (geconsolideerd) voor een aantal van de hiervoor beschreven risico's een indicatie van de impact op de financiële positie inzichtelijk gemaakt aan de hand van gevoeligheidsanalyses. Deze zijn weergegeven in onderstaande tabel. De gepresenteerde waarden betreffen het effect van een onmiddellijke verandering van een aantal externe factoren gerelateerd aan verzekeringstechnisch- en marktrisico op de SCR ratio ultimo 2024.

In onderstaand overzicht is voor de verzekeraars van de groep de solvabiliteitspositie nader toegelicht.