Risicomanagement

Inleiding

Bij CZ groep wordt gewerkt met het ‘Three Lines’-model. Dit model structureert drie rollen binnen risicomanagement, met elk hun eigen taak en verantwoordelijkheid. Van de eerste lijn (de functies die de primaire bedrijfsprocessen uitvoeren en de afdelingen die daarbij direct ondersteunen) wordt verwacht dat zij haar risico’s kent en (aantoonbaar) beheerst. De tweede lijn (gesitueerd binnen Governance, Risk & Compliance (GRC)) levert daarvoor de kaders, bewaakt de effectiviteit ervan en monitort (direct of indirect) het juiste gebruik ervan. De derde lijn (de Interne Audit Dienst (IAD)) stelt daarbij vast of het model werkt en daadwerkelijk adequaat en doeltreffend is. Dit doet de IAD door onafhankelijk de werking van de beheersmaatregelen te toetsen. CZ groep is zich ervan bewust dat de zorgverzekeraar een nadrukkelijke maatschappelijke rol vervult, waarbij het nemen van risico's alleen wenselijk is wanneer dat bijdraagt aan het realiseren van de strategische doelstellingen van CZ groep. Een uitgebreidere beschrijving van het risicomanagementsysteem is te vinden in het bestuursverslag.

Gebruik van schattingen

De opstelling van de jaarrekening vereist dat het management oordelen vormt en schattingen en veronderstellingen maakt die van invloed zijn op de toepassing van grondslagen en de gerapporteerde waarde van activa en verplichtingen, en van baten en lasten. De daadwerkelijke uitkomsten kunnen afwijken van deze schattingen. De schattingen en onderliggende veronderstellingen worden voortdurend beoordeeld. Herzieningen van schattingen worden opgenomen in de periode waarin de schatting wordt herzien.

Solvabiliteit

De wettelijke vereiste solvabiliteit (Solvency Capital Requirement) bedraagt ultimo van het boekjaar 1.941 miljoen euro^[2] (2022: 1.871 miljoen euro). De aanwezige solvabiliteit op basis van Solvency II grondslagen bedraagt 2.861 miljoen euro^[2] (2022: 2.713 miljoen euro). De solvabiliteitsratio ultimo 2023 bedraagt voor CZ groep 147%^[2] (2022: 145%).

• 2 De gerapporteerde aanwezige solvabiliteit, de wettelijke vereiste solvabiliteit (SCR), inclusief opbouw van de SCR en de SCR ratio's over 2023 zijn nog niet gedeponeerd bij de toezichthouder. Deze cijfers zijn pas definitief na beoordeling door de toezichthouder.

Voor de berekening van de vereiste solvabiliteitsratio is uitgegaan van het standaardmodel Solvency II inclusief de aanpassingen voor zorgverzekeraars in Nederland. Het aanwezige eigen vermogen volgt uit de balans op Solvency II grondslagen. Onder Solvency II worden deze onderverdeeld in drie zogeheten tiers. Nagenoeg het volledige eigen vermogen van CZ groep is van Tier 1-kwaliteit. Dat wil zeggen dat de aanwezige eigen vermogensbestanddelen volledig in aanmerking komen ter dekking van de wettelijke kapitaalseisen^[3].

• 3 Met uitzondering van de wettelijke reserve in verband met het niet uitkeerbare deel van het eigen vermogen van CZ zorgkantoor B.V. Aangezien deze reserve niet ingezet kan worden om verliezen op te vangen, wordt dit niet meegenomen in het eigen vermogen dat in aanmerking komt voor dekking van het solvabiliteitskapitaalvereiste.

Kapitaalsturing vindt plaats via het kapitaalbeleid op het niveau van CZ groep, waarin een streefwaarde voor de solvabiliteitsratio is gedefinieerd. De risico’s worden afgedekt door middel van een financieel verantwoorde en maatschappelijk passende buffer bovenop de wettelijke vereiste solvabiliteitsratio, tezamen vormt dat de streefwaarde voor onze solvabiliteitsratio. Ultimo 2023 bedraagt de streefwaarde voor de solvabiliteitsratio van CZ groep net als in 2022 135%, met een bandbreedte van +/- 15 procentpunt. De toereikendheid van deze solvabiliteitsnormen wordt beoordeeld in het ORSA-proces. Dit kan leiden tot aanpassing van het kapitaalbeleid.

Met een ondergrens van de bandbreedte van de streefwaarde van de solvabiliteitsratio van 120% verwacht CZ groep de grotere en meer waarschijnlijke risico’s te kunnen opvangen. Een kapitaalbuffer is noodzakelijk om mogelijke schokken op te kunnen vangen, zonder daarbij direct in de situatie te komen dat de Own Funds dalen tot onder de kapitaalsvereiste SCR. Hiernaast wil CZ groep voorkomen dat een resultaatschommeling tot premiemutatie leidt.

CZ groep voert minimaal jaarlijks een ORSA uit, waarin verschillende risico’s in scenario’s worden uitgewerkt. In de ORSA worden op het niveau van CZ groep naast scenarioanalyses ook gevoeligheidsanalyses en reversed stresstesten gebruikt. Daarmee wordt bepaald in hoeverre het beschikbare eigen vermogen toereikend is om verliezen op te vangen, mochten bepaalde scenario’s werkelijkheid worden.

Ook de solvabiliteitsratio van individuele entiteiten wordt gemonitord. Indien nodig wordt tijdig bijgestuurd binnen de groep conform de uitgangspunten van het kapitaalbeleid. Voor de individuele verzekeringsentiteiten geldt eveneens een aanvullende buffer bovenop de minimale externe vereiste solvabiliteitsratio. Voor de individuele verzekeringsentiteiten, is de minimale interne vereiste solvabiliteit bepaald op 120% (2022: 110%) en is de streefsolvabiliteit 135% (2022: 120%).

In de onderstaande tabel is de opbouw van de solvabiliteitsratio opgenomen:

CZ groep hanteert de risicotype-indeling die wordt gebruikt door Solvency II. De SCR-risico’s betreffen het verzekeringstechnisch risico, het marktrisico, het tegenpartijrisico en het operationeel risico op een horizon van één jaar. Aangezien het onwaarschijnlijk is dat alle risico’s gelijktijdig zullen optreden, wordt er binnen Solvency II met een diversificatievoordeel rekening gehouden.

Verzekeringstechnisch risico

Het verzekeringstechnisch risico is het risico dat de verzekeringsverplichtingen (nu en in de toekomst) niet kunnen worden nagekomen vanuit de inkomsten uit premies en bijdragen. Dit door een realisatie die afwijkt van aannames en/of grondslagen bij de ontwikkeling en premiestelling van het product of vanuit aannames met betrekking tot de voorzieningen.

CZ groep voert de basisverzekering uit en biedt daarnaast aanvullende verzekeringen aan. Het verzekeringstechnisch risico van de basisverzekering wordt gematigd door het risicovereveningssysteem. Voor de aanvullende verzekeringen draagt CZ groep zelf het volledige risico. Bij het bepalen van de risico-omvang is de beheersing van de zorgkosten bij beide producten cruciaal. CZ groep zet daarom via haar zorginkoopbeleid sterk in op de beheersing van zorgkosten.

Binnen het verzekeringstechnisch risico zijn de volgende subcategorieën van belang voor CZ groep: premierisico, voorzieningenrisico en catastroferisico.

Premierisico

Het premierisico betreft het risico dat de premie (rekening houdend met vermogensinzet) niet toereikend is om aan de verzekeringsverplichtingen te kunnen voldoen. Het heeft derhalve in essentie betrekking op een toekomstige risicoperiode. CZ groep streeft naar een zo stabiel mogelijke premieontwikkeling die concurrerend is in de markt en financieel verantwoord is. CZ groep heeft geen winstoogmerk. Positieve resultaten worden gebruikt om de buffer op peil te houden. De buffer wordt ingezet, als het kan, om noodzakelijke premiestijging te beperken.

Voor 2024 gelden wijzigingen in het risicovereveningsmodel waaronder het toepassen van constrained regression. Constrained regression zorgt ervoor dat de risicoverevening wordt verbeterd doordat de overcompensatie van gezonde verzekerden wordt verminderd. Door het toepassen van constrained regression in de risicoverevening veranderen de bijdragen die CZ groep ontvangt voor verschillende groepen verzekerden. Deze aanpassingen in de risicoverevening beogen het risico dat ontstaat door imperfecties van het risicovereveningsmodel te beperken. Daarnaast mitigeert CZ groep het premierisico door te streven naar een marktconforme samenstelling van de portefeuille, omdat een marktconforme portefeuille minder gevoelig is voor veranderingen in de markt of het zorgstelsel.

Voorzieningenrisico

Het voorzieningenrisico is het risico dat de voorzieningen niet toereikend blijken te zijn om aan de verplichtingen te kunnen voldoen. Het heeft derhalve in essentie betrekking op een verstreken risicoperiode. Bij de schattingen wordt gebruik gemaakt van reeds gedeclareerde perioden, ervaringscijfers over het aantal nog te declareren verrichtingen en daarbij horende kosten en eventuele contractuele afspraken.

Catastroferisico

Het catastroferisico is het risico dat in verband met extreme of uitzonderlijke gebeurtenissen, zoals pandemieën, de aannames over de zorgkosten of de hoogte van de voorzieningen ontoereikend zijn. Voor CZ groep wordt het catastroferisico relatief beperkt geacht, vanwege de wettelijke Catastroferegeling in de Zorgverzekeringswet.

Marktrisico

Er worden geen beleggingen aangehouden voor of namens verzekerden. Met de beleggingen wordt gestreefd naar een zo optimaal mogelijk rendement op het aanwezige vermogen binnen passende risicokaders. Maar beleggen is niet zonder risico: veranderingen in rentestanden, aandelen- en wisselkoersen kunnen leiden tot hogere rendementen, maar ook tot verliezen. Het marktrisico betreft het risico van veranderingen in de waarde van de beleggingsportefeuille en verplichtingen als gevolg van wijzigingen in het niveau van de marktprijzen of in de volatiliteit van de marktprijzen. CZ groep beheerst de risico’s door het verdelen van beleggingen over de verschillende financiële instrumenten. Die verdeling wordt mede bepaald aan de hand van een ‘Asset Liability Management’- studie, waarmee de optimale samenstelling van de beleggingsportefeuille wordt bepaald, die aansluit bij de risicohouding van CZ groep. De risicohouding, vertaalt in een aantal kwantitatieve risicokaders, vormt het uitgangspunt voor de inrichting van de beleggingsportefeuille. In de eisen die worden gesteld aan de beleggingsmandaten voor de externe beheerders worden onder andere de bovenstaande uitgangspunten meegenomen.

Het marktrisico bestaat op het niveau van Onderlinge waarborgmaatschappij CZ groep U.A. (geconsolideerd) uit een aantal onderliggende risico's die hierna worden toegelicht. In de onderstaande tabel is de opbouw van het marktrisico weergegeven.

Renterisico

Het renterisico wordt bepaald door de waardeverandering van rentegevoelige beleggingen en verplichtingen bij een verandering in de rentetermijnstructuur of in de volatiliteit van de rente. Het gaat hierbij om bijvoorbeeld obligaties, geldmarktfondsen en hypotheken. Doordat er geen langlopende verplichtingen zijn, is de rentegevoeligheid van de verplichtingen van CZ groep beperkt.

Aandelenrisico

Het risico op een verlies als gevolg van waardeveranderingen of als gevolg van verandering in de volatiliteit in aandelenbeleggingen. De participatie in het aandelenfonds is verantwoord onder de zakelijke waarden, de zakelijke waarden bedragen ca. 13% van de totale beleggingen. Naast risico’s uit de aandelenportefeuille vallen ook risico’s uit de beleggingen in de beleggingscategorie infrastructuur onder het aandelenrisico.

Vastgoedrisico

Het vastgoedrisico is het risico op verlies als gevolg van waardeveranderingen in de vastgoedbeleggingen of als gevolg van verandering in de volatiliteit van de marktprijzen van vastgoed.

Spreadrisico

Het risico dat zich een waardedaling van een positie voordoet als gevolg van veranderingen in de credit spreads of als gevolg van verandering in de volatiliteit van de kredietspreiding boven de risicovrije rentetermijnstructuur.

Valutarisico

Valutarisico is het risico voor de gevoeligheid van de waarde van activa, verplichtingen en financiële instrumenten voor veranderingen in het niveau of in de volatiliteit van wisselkoersen. Het grootst deel van het valutarisico loopt CZ groep over de beleggingen in aandelen. Ook een deel van de beleggingen in de categorieën infrastructuur en vastgoed kennen een beperkt valutarisico. CZ groep heeft de valutarisico's niet afgedekt.

Marktrisicoconcentratie

Dit is het extra risico op een verlies als gevolg van een onvoldoende spreiding van de activa over tegenpartijen. CZ groep spreidt haar beleggingen over voldoende tegenpartijen zodat het verlies dat optreedt in geval van een faillissement van één tegenpartij of een groep van verbonden tegenpartijen, beperkt blijft.

Bij de bepaling van de marktrisicoconcentratie is ‘look through’ toegepast op de posities opgenomen in de beleggingsportefeuille van CZ Beleggingsfonds en de posities opgenomen in de geldmarktfondsen. Deze zijn naar rato van het belang in het betreffende (sub)fonds, meegenomen onder de marktrisicoconcentratie.

Tegenpartijrisico

Dit is het risico van potentiële verliezen als gevolg van onverwachte wanbetaling of een verslechtering van de kredietwaardigheid van tegenpartijen en debiteuren in de volgende twaalf maanden. CZ groep heeft vorderingen uitstaan bij verschillende soorten tegenpartijen: overheid, financiële tegenpartijen, zorgaanbieders/-instellingen en verzekerden.

Mitigerende maatregelen voor dit risico verschillen per soort tegenpartij. Zo heeft CZ groep alleen gekozen voor financiële tegenpartijen met een hoge kredietwaardigheid en wordt onder andere door middel van spreiding het risico beperkt. Voorschotten die CZ groep heeft uitstaan bij zorgaanbieders en zorginstellingen worden in principe gedekt door het onderhanden werk. Het risico op mogelijke oninbaarheid van verzekeringspremies van de basisverzekering is deels gemitigeerd. Per wanbetaler kan de premieschade oplopen tot maximaal zes maanden. Daarna worden zorgverzekeraars voor de basisverzekering gecompenseerd via de ‘wanbetalersregeling’ van het Zorginstituut Nederland. Voor aanvullende verzekeringen draagt CZ groep wel het volledige kredietrisico in geval van wanbetaling. Dit risico wordt deels gemitigeerd door verzekerden het recht op vergoeding uit de aanvullende verzekering te ontnemen bij wanbetaling. CZ groep probeert het tegenpartijrisico op verzekerden te verminderen door in te zetten op een proactief debiteurenbeleid.

Operationeel risico

Het operationeel risico betreft het risico op een verlies dat zich voordoet als gevolg van inadequate of falende interne procedures, personeel of systemen of door externe gebeurtenissen. De operationele risico’s van CZ groep worden vooral gedreven door de grootschalige digitale gegevensverwerking, de omvang van de geldstromen en de veelheid aan privacygevoelige informatie. De betrouwbaarheid van de ICT- infrastructuur is van groot belang. Het kwaliteitsniveau van de processen moet hoog zijn. Riskmanagement activiteiten binnen CZ groep richten zich binnen het operationele risico specifiek op de interne procesbeheersing, uitbesteding, informatiebeveiliging, fraude en compliance.

Informatiebeveiliging

Onze kernprocessen zijn in hoge mate geautomatiseerd en verlopen via een aantal centraal beheerde ICT systemen. Ook veel van de ondersteunende bedrijfsprocessen zijn sterk afhankelijk van informatie- en communicatietechnologie (ICT). Dit vereist een ICT-omgeving met waarborgen voor een optimale beschikbaarheid, betrouwbaarheid, integriteit en continuïteit van de opslag en verwerking van onze data. Door de snelle ontwikkelingen op het gebied van cybercriminaliteit is er veel aandacht voor informatiebeveiliging. ICT-systemen dienen aan de hoogste eisen te voldoen. Daarom worden die systemen regelmatig beproefd op hun weerbaarheid tegen cybercriminaliteit. Ook het bewustzijn van onze medewerkers op het gebied van cybercriminaliteit dient hoog te zijn. Daarom zijn binnen CZ groep ‘awareness trainingen’ voor medewerkers verplicht gesteld waarin onderwerpen als 'phishing' aan bod komen. Daarnaast wordt het beveiligingsbewustzijn van medewerkers gedurende het jaar op verschillende manieren gemeten. De uitkomsten van deze metingen worden vervolgens meegenomen bij het aanbrengen van de focus voor nieuwe activiteiten.

Fraude

CZ groep neemt maatregelen om fraude zo veel mogelijk te voorkomen en zo goed mogelijk op te sporen. Immers, fraude schaadt het vertrouwen in onze organisatie, zet de betaalbaarheid van zorg onder druk en is vanuit maatschappelijk oogpunt niet aanvaardbaar. Wij beheersen interne en externe frauderisico’s als integraal onderdeel van onze bedrijfsvoering middels preventie, tijdig signaleren en onderzoeken van fraude. Dit is uitgewerkt in ons fraudebeheersingsplan dat ieder jaar wordt herijkt en vastgesteld door de Raad van Bestuur.

Compliance

Naleving van wet- en regelgeving (compliance) ligt aan de basis van de bedrijfsvoering van CZ groep. Het is cruciaal voor het vertrouwen dat verzekerden en andere stakeholders in ons hebben. De verantwoordelijkheid voor het toepassen en naleven van de regelgeving ligt bij het lijnmanagement van ieder bedrijfsonderdeel. De eindverantwoordelijkheid ligt bij de Raad van Bestuur. CZ groep kent een centrale compliance-functie voor coördinatie, advisering, ondersteuning en monitoring op het gebied van regelgeving en integriteit. Deze werkt samen met ‘local compliance officers’ in de bedrijfsonderdelen. De centrale compliance-functie bevordert per bedrijfsonderdeel de mate van naleving van wet- en regelgeving meten en verbeteren. Door monitoring vanuit de compliance-functie wordt gezorgd voor meer grip en een eenduidige rapportage. Onderdeel van de compliance- organisatie is sinds de inwerkingtreding van de Algemene verordening gegevensbescherming de Functionaris voor de gegevensbescherming (FG). Het vorenstaande geldt dan ook onverkort voor deze functie. De FG maakt gebruikt van dezelfde compliance-organisatie en heeft dezelfde rapportagelijnen.

Diversificatievoordeel

Bij het combineren van de kapitaaleisen van de verschillende risicocategorieën wordt rekening gehouden met zogeheten diversificatie effecten. De achterliggende gedachte hierbij is dat het onwaarschijnlijk is dat alle risico´s zich tegelijkertijd voordoen. De totale kapitaaleis is daarom minder dan de som van de kapitaaleisen voor de verschillende risicocategorieën.

Gevoeligheidsanalyse

In de ORSA is op het niveau van Onderlinge waarborgmaatschappij CZ groep U.A. (geconsolideerd) voor een aantal van de hiervoor beschreven risico's een indicatie van de impact op de financiële positie inzichtelijk gemaakt aan de hand van gevoeligheidsanalyses. Deze zijn weergegeven in onderstaande tabel. De gepresenteerde waarden betreffen het effect van een onmiddellijke verandering van een aantal externe factoren gerelateerd aan verzekeringstechnisch- en marktrisico op de SCR ratio ultimo 2023.

In onderstaand overzicht is voor de verzekeraars van de groep de solvabiliteitspositie nader toegelicht.