10 a BNG Bank Jaarverslag 2023 NL.pdf

De onderstaande componenten zijn opgenomen in de RAS om de belangrijkste risico’s vanuit financiële en niet-financiële elementen te bepalen: - Reputatie en interne bedrijfsvoering: de positie van BNG Bank als bank van en voor lokale overheden en publieke instellingen is de basis voor de uitvoering van onze purpose ‘Gedreven door maatschappelijke impact’, het bedrijfsmodel en de beleving en het vertrouwen van de stakeholders. Het vertrouwen van de stakeholders is essentieel en komt tot uiting in de kwaliteit van het interne risicobeheer, waarborgen van integriteit, het voldoen aan wet- en regelgeving en tal van andere kwalitatieve aspecten. - Winstgevendheid: BNG Bank heeft als prioriteit het maximaliseren van de maatschappelijke impact van activiteiten tegen kostendekkende tarieven. Voor de aandeelhouders streeft de bank naar het behalen van een redelijk en stabiel rendement.

wordt rekening gehouden met de belangen en verwachtingen van de verschillende stakeholders (zoals klanten, aandeelhouders, kredietbeoordelaars en medewerkers). Onderstaande figuur geeft een grafische weergave van het stakeholder model van BNG Bank omtrent de RAS:

- Solvabiliteit: BNG Bank wil solvabel zijn en wil een hoge mate van waarschijnlijkheid dat de kapitaalspositie voldoende is om onverwachte verliezen op te vangen. Dit in het belang van het waarborgen van de continuïteit. Een sterke kapitaalpositie is de basis voor gunstige financieringstarieven. De door externe kredietbeoordelaars afgegeven kredietbeoordeling zijn voor een belangrijk deel gebaseerd op de solvabiliteitspositie, in combinatie met het publieke eigendom. - Liquiditeit: gezien onze sleutelpositie op het gebied van de financiering van de publieke sector wil BNG Bank duurzaam en stabiel aanwezig zijn op de financiële markten en blijven voldoen aan de vraag naar kredieten. Dit zowel onder normale als onder stressvolle omstandigheden. Hiervoor zijn voldoende liquiditeitsbuffers nodig. Het lange termijn herfinancieringsrisico heeft betrekking op het vermogen om de huidige liquiditeitsmismatch

67

te financieren tegen aanvaardbare prijzen. Zelfs met een solide beleggersbasis moet deze mismatch beperkt worden om dit risico te beperken. In 2023 is BNG Bank binnen de risicobereidheid gebleven voor financiële risico’s. Met betrekking tot kredietrisico volgt de bank nauwlettend de sectoren waarvoor een relatief grote impact mogelijk is als gevolg van gestegen energieprijzen, kostenstijging door inflatie en hogere rentetarieven. De bank blijft goed gekapitaliseerd en houdt een prudente liquiditeitspositie aan, in lijn met ons gewenste niveau voor externe kredietbeoordelingen. Het verbeteren van het operationeel risicoprofiel is een meerjarig programma dat ook in 2023 een strategisch speerpunt was voor het ExCo. Dit vloeit mede voort uit het risicoprofiel op operationeel risico gebied dat nog niet in overeenstemming is met de risicobereidheid van de bank. De strategische doelstellingen die hiertoe voor 2023 zijn geformuleerd hebben verband met de verschillende operationele risicocategorieën, met name op de gebieden procesbeheersing, IT, data management en het HR-risico. Voortgang op de doelstellingen heeft een positief effect op het operationeel risicoprofiel en in 2023 is belangrijke progressie zichtbaar geworden.

Risicodefinities

De verschillende risicodefinities zijn ook onderdeel van het RMF. Deze beschrijven de risicobeheersing binnen BNG Bank. Hierbij wordt onderscheid gemaakt tussen financiële, niet-financiële en reputatierisico’s. Binnen deze categorieën zijn hoofdrisico’s (level 1) en sub-risico’s (level 2) gedefinieerd. Alleen risicotypes die relevant zijn voor BNG Bank zijn hierin opgenomen. Het figuur hieronder toont de relevante type risico’s, zonder een indicatie van de omvang per type te geven. Het overzicht laat zien dat reputatierisico altijd het gevolg is van het niet goed beheersen van andere risico’s. ESG-risico’s zijn geclassificeerd als (in)directe financiële schade of reputatieschade voor de bank als gevolg van ESG-factoren of het onvoldoende inspelen op de verwachtingen van het publiek: - Milieurisico's: acute of chronische fysieke factoren voor milieurisico's, of de rol van de bank zelf of van

geassocieerde derde partijen in de transitie naar een ecologisch duurzame economie; - Sociale risico's: schendingen van mensenrechten, werknemersrechten, armoede en klantrelaties gepleegd door de bank zelf of door gelieerde derden; - Governance risico's: ontoereikende corporate governance, onethisch bestuur en transparantie door de bank zelf of door gelieerde derden. BNG Bank voert een Risk Materiality Assessment (RMA) uit om de ESG-doelstellingen voor de korte, middellange en lange termijn te bepalen die van toepassing zijn op de verschillende klantsectoren van BNG Bank. De RMA wordt opgezet door de ESG-factoren op de financiële prestaties of solvabiliteit van een entiteit, staat of individu te identificeren. Deze factoren vormen de basis om te bepalen hoe deze risico's zich kunnen manifesteren. Zodra de indicatoren van de ESGfactoren zijn gespecificeerd, worden verschillende transmissiekanalen geïdentificeerd over hoe deze mogelijk de tegenpartijen van de banken kunnen beïnvloeden. Hierin wordt een onderscheid gemaakt tussen transitie- en fysieke risico’s. Transitierisico's zijn eventuele negatieve financiële gevolgen voor een instelling die voortvloeien uit de huidige of toekomstige gevolgen van de overgang naar een ecologisch duurzame economie voor onze tegenpartijen of belegde activa.

Fysiek risico is de eventuele negatieve financiële impact op de instelling als gevolg van de huidige of toekomstige impact van de fysieke effecten van omgevingsfactoren op onze tegenpartijen of belegde activa. BNG Bank heeft de ESG Risk Materiality Assessments (RMA's) afgerond met betrekking tot krediet-, markt-, liquiditeits-, strategie- en operationele risico's. Uit deze RMA's blijkt dat de 'milieu'-component van ESG, specifiek gerelateerd aan transitierisico’s, als het meest materieel voor de kredietportefeuille wordt beschouwd. Daarna volgen fysieke risico's. De impact van sociale en governance-factoren wordt momenteel als beperkt beschouwd vanwege het bedrijfsmodel van de bank en het geografisch gebied waar BNG Bank actief is. De kritische en materiële resultaten van de RMA zullen worden gebruikt voor huidige en toekomstige keuzes en

68

benaderingen voor de integratie van ESG-risico’s in de risicobeheerprocessen. De resultaten van de RMA op middellange termijn met betrekking tot kredietrisico's laten de meest significante materiële impact zien ten opzichte van de andere type risico’s. Daarom zal BNG Bank

de ontwikkelingen per sector blijven volgen en de impact analyseren. De referentie naar ‘ESG’ in onderstaande overzicht houdt in dat er tijdens een risicomaterialiteitsbeoordeling ESG-factoren zijn geïdentificeerd, welke voor BNG bank een potentieel negatieve impact hebben op een bestaande risico categorie.

69

Financieel risico

In deze paragraaf worden de financiële risico’s nader toegelicht. Kredietrisico Kredietrisico wordt gedefinieerd als het risico op winstderving of kapitaalverliezen als gevolg van de mogelijkheid dat een leningnemer of een tegenpartij verplichtingen niet volgens de overeengekomen voorwaarden nakomt. De potentiële kredietrisico’s zijn onderverdeeld in sub-risico’s: - Tegenpartijrisico: Het risico van inkomsten- en kapitaalverlies als gevolg van het feit dat een partij nalaat betalingen te verrichten die voortvloeien uit een financiële transactie, op het moment dat deze betalingen verschuldigd zijn. - Concentratierisico: Het risico dat extra kredietverliezen worden gerealiseerd als gevolg van de exposure van uitstaand krediet aan een gemeenschappelijke factor. - Afwikkelingsrisico (settlement risk): Het risico van inkomsten- en kapitaalverlies als gevolg van het feit dat een partij op het moment van de afwikkeling niet voldoet aan de voorwaarden van een contract (of een groep contracten) met een andere partij. Binnen kredietrisico focust BNG Bank zich, voor wat betreft ESG-factoren, op de transitie- en fysieke risico’s binnen het tegenpartij- en concentratie risico. De belangrijkste materiële ESG-kredietfactoren per sector en middellange termijn zijn:

70

Risico type

Sector/portfolio/sub-risico

Materiële ESG factoren Emissies

Woningcorporaties Energie-efficiëntie Emissies Gezondheidszorg Energie-efficiëntie Emissies Onderwijs Energie-efficiëntie Emissies Lokale autoriteiten

Energie-efficiëntie Biodiversiteit en ecosystemen Emissies

Energy netwerken Energie-efficiëntie Netwerken

Verwarming netwerken

Krediet risico (tegenpartij & concentratie risico)

Water netwerken

– kredietwaardigheid

Gemeentelijke schoonmaak Milieu

Emissies Energie-efficiëntie n.v.t. n.v.t.

bedrijven Emissies Afvalverwerkers Energie-efficiëntie Emissies

Infrastructuur

Energie-efficiëntie Duurzame grondstoffeninkoop

Mobiliteit

Biodiversiteit en ecosystemen Emissies Openbaar vervoer

Energie-efficiëntie Duurzame grondstoffeninkoop

Energie

Krediet risico (tegenpartij & concentratie risico) – onderpand waarde

Zon

n.v.t.

Wind

Biodiversiteit en ecosystemen

Biomassa

Duurzame grondstoffeninkoop

Geothermie

n.v.t.

Vastgoed

n.v.t

Apparatuur

n.v.t.

Nog te ontvangen bedragen

n.v.t.

71

Risicobereidheid BNG Bank heeft tegenpartijrisico’s met entiteiten uit de publieke sector (leningen en voorschotten), financiële tegenpartijen (derivaten, nostro-rekeningen en geldmarkttransacties) en emittenten van rentedragende effecten waarin de bank heeft geïnvesteerd. De kredietrisico's worden doorgaans gemitigeerd door overheidsgaranties op de kredietverlening en door de garantiefondsen WSW (Sociale Huisvesting) en WfZ (Zorg). De portefeuille van BNG Bank bestaat dan ook grotendeels uit solvabiliteitsvrije kredieten en vorderingen. De garantiefondsen worden door de Nederlandse Staat gegarandeerd via backstop-constructies. Deze garanties brengen een concentratierisico met zich mee ten aanzien van overheden en garantiefondsen, alsmede een aanzienlijke mate van concentratierisico op Nederland. Het concentratierisico met betrekking tot de Nederlandse publieke sector is hoog, maar wordt als inherent aan het bedrijfsmodel beschouwd. Een aanzienlijk deel van de daarmee samenhangende exposure heeft betrekking op vastgoed in de publieke sector. Dit risico wordt voor een groot deel gemitigeerd door de garantiefondsen in de WSW en WfZ, met een restrisico voor de bank op de Nederlandse staat. De exposure op het afwikkelingsrisico is beperkt tot transacties met financiële tegenpartijen.

Voor deze partijen is het afwikkelingsrisico potentieel hoog vanwege de relatief grote omvang van de transacties van de bank in vreemde valuta. De overeengekomen afspraken met deze partijen dienen het afwikkelingsrisico dat voortvloeit uit de onderlinge verrekening van betalingen te beperken. Bovendien hanteert BNG Bank een limiet voor het afwikkelingsrisico. Afwikkelingen met bepaalde tegenpartijen worden over een periode verspreid om onnodige concentraties op een bepaald moment te voorkomen. Het kredietrisico wordt bepaald op basis van interne of externe kredietbeoordeling. Interne kredietbeoordelingen worden gebruikt voor klanten van BNG Bank. Voor financiële tegenpartijen en beleggingen worden ook externe kredietbeoordelingen gebruikt. De

kredietbeoordelingen die gebruikt worden zijn goedgekeurd binnen het Eurosysteem (S&P, Moody’s, Fitch en DBRS). Er vindt actief portefeuillebeheer plaats door de de commerciele afdelingen. Zowel solvabilitietsvrijeals solvabiliteitsplichtige partijen hebben interne limieten op uitzettingen. De individuele beoordeling van de partijen vormt de basis voor het limiet. Daarnaast worden verschillende portefeuilles gemonitord, evenals de forbearance-exposure en de kredietachterstanden die non-performing zijn. Organisatorische opzet De afdelingen Lending, Relationship Banking en Treasury and Capital Markets vormen de eerste lijn en zijn verantwoordelijk voor het dagelijkse beheer van kredietrisico’s. De afdelingen Lending en Relationship Banking zijn voornamelijk verantwoordelijk voor het beheersen van kredietrisico’s die voortvloeien uit commerciële activiteiten. De afdeling Treasury and Capital Markets is voornamelijk verantwoordelijk voor het beheersen van kredietrisico’s van de bank bij financiële tegenpartijen en investeringen. De afdeling Kredietrisicobeoordeling (op individueel klantniveau) en de afdeling Risk Management (op portefeuilleniveau) delen de tweedelijnsverantwoordelijkheid voor het beoordelen, kwantificeren, monitoren en rapporteren van kredietrisico. Deze afdelingen opereren onafhankelijk van de commerciële afdelingen, die de risico-eigenaren van het kredietrisico zijn.

De afdeling Kredietrisicobeoordeling stelt een onafhankelijk oordeel over het kredietvoorstel op. Het besluitvormingsproces wordt bepaald aan de hand van de voorgestelde interne krediet beoordeling, de uit de beoordeling voortvloeiende score en de omvang van de lening. De risicobereidheid van de bank bepaalt het niveau van het maximale kredietrisico dat de bank bereid is te accepteren voor een klant. Dit wordt bepaald met een interne kredietbeoordeling of score. Het kredietvoorstel moet in overeenstemming zijn met dit maximale risico. Afhankelijk van de omvang van de exposure en het risicoprofiel beslist het Credit Committee (CC) of het risico aanvaardbaar is. Voor leningen en voorschotten met een beperkt risico is

72

het kredietbesluit gedelegeerd binnen de organisatie. De CC wordt voorgezeten door de Chief Risk Officer (CRO) en bestaat verder uit de Chief Commercial Officer (CCO) en vertegenwoordigers van de afdeling Kredietrisicobeoordeling en – indien van toepassing – de afdeling Treasury. De kredietwaardigheid van tegenpartijen wordt minimaal één keer per jaar beoordeeld. Het gaat hierbij om een update van de interne kredietbeoordeling. Elke kredietbeoordeling volgt de beoordelingscriteria voor kredietrisico die zijn vastgelegd in het kredietrisicobeleid van BNG Bank. De CC beoordeelt deze beoordelingen. Ook hier geldt een delegatiemodel. Leningen en voorschotten waarvan de kredietkwaliteit tot onder een bepaald niveau is gedaald, worden onderworpen aan een verscherpt toezicht van het management en worden overgedragen aan de afdeling Financial Restructuring and Recovery. Kredietrisico instrumenten BNG Bank maakt gebruik van de volgende mitigerende maatregelen voor wat betreft kredietrisico: - Kredietlimieten en doelstellingen: de limieten en doelstellingen van de RAS worden vertaald naar limieten die gelden op het niveau van individuele tegenpartijen. - Periodieke herbeoordeling van kredietwaardigheid (kredietrevisieproces). - Garanties van een centrale of lokale overheid of van de garantiefondsen WSW en WfZ.

Omdat leningen vaak worden verstrekt onder gedeeltelijke of volledige garanties danwel borgstellingen, wordt de lening voor BNG Bank uiteindelijk geheel of gedeeltelijk solvabiliteitsvrij. - Andere vormen van zekerheden zoals pandrechten en hypotheken worden gebruikt om mogelijke verliezen als gevolg van kredietrisico's te minimaliseren. Dit potentiële risico mitigerende effect wordt echter niet toegepast bij de berekening van het benodigde kapitaal. Specifiek voor financiële tegenpartijen: - Om de waardefluctuaties te mitigeren wisselt BNG Bank dagelijks onderpand uit, zowel via een clearinghuis als bilateraal.

- Risicobeperkende maatregelen voor het afwikkelingsrisico zijn het werken met kleinere settlements en / of de tegenpartij ons eerst te laten betalen waarna wij volgen. Ontwikkelingen 2023

Externe ontwikkelingen – In 2023 hebben zich een aantal noemenswaardige ontwikkelingen voorgedaan met betrekking tot kredietrisico. Deze ontwikkelingen hebben voornamelijk betrekking op de marktomstandigheden zoals hoge inflatie en energieprijzen, krapte op de arbeidsmarkt en oplopende rentes. Klanten van BNG Bank en financiële tegenpartijen zijn door deze ontwikkelingen geraakt. Om deze reden volgt de bank nauwlettend de klantsectoren waarin wij actief zijn, evenals onze individuele klanten en financiële tegenpartijen. BNG Bank neemt proactief passende maatregelen om de kredietrisico’s te beheersen of te reduceren. Met name de zorgsector en de energiesector krijgen extra aandacht. In het eerste kwartaal van 2023 ontstond een potentiële bankencrisis in de VS (faillissement van de regionale banken Silicon Valley en Signature Bank) en in Europa als gevolg van aanhoudende problemen bij de Zwitserse systeembank Credit Suisse. De afdeling Risk Management heeft samen met Treasury de ontwikkelingen in de bankensector nauwlettend gevolgd. Gerelateerd aan het verhoogde kredietrisico bij Credit Suisse is tijdens een direct ingelaste krediet commissie besloten tot onmiddellijke afbouw van het merendeel van de derivaten positie met Credit Suisse.

Deze actie is door BNG Bank in gang gezet alvorens Credit Suisse - onder aansturing van de Zwitserse autoriteiten - werd overgenomen door UBS, per 19 maart 2023. Daarnaast had BNG Bank als gevolg van de gedaalde kredietwaardigheid van Credit Suisse voor haar bestaande positie al een extra buffer van EUR 100 mln uit onderhandeld wat het kredietrisico verder heeft gemitigeerd. Na de overname door UBS is het krediet risico - relevant voor de relatief kleine rest positie derivaten aanzienlijk afgenomen, aangezien UBS deze verplichtingen van Credit Suisse heeft overgenomen. Mede naar aanleiding van bovenstaande heeft gedurende 2023 frequente monitoring van marktontwikkelingen en

73

de kredietwaardigheid van de voor BNG relevante financiële tegenpartijen plaatsgevonden.

Interne verbeteringen – In 2023 verbeterde BNG Bank de kredietrisicobeheersingsprocessen in relatie tot governance en bewaking. Het raamwerk van governance en limieten werd aangepast aan de nieuwste ontwikkelingen. Hieraan gerelateerd zijn ESG-factoren die kredietrisico’s beïnvloeden meer geïmplementeerd binnen de bank in het interne controle en risk management raamwerk. De bank heeft geïdentificeerd welke ESG kredietrisico’s materieel zijn in de sectoren waarin zij actief is. Deze identificatie heeft plaatsgevonden voor een korte, middellange en lange termijn horizon. Voor de meest materiële ESG kredietrisico’s zijn limieten en doelstellingen geïdentificeerd. Als resultaat hiervan worden kwartaallijks absolute en relatieve emissies gemonitord voor de verschillende sectoren waarin de bank opereert en voor de individuele klanten van de bank. In 2024 wil de bank de analyses voortzetten en de impact op het kredietbeoordeling en revisieproces uitbreiden.

schommelingen in marktprijzen. Er zijn verschillende vormen van marktrisico: renterisico, valutarisico, schommelingen in krediet- en liquiditeitspreads en volatiliteitsrisico. - Renterisico: het risico van winstderving en kapitaalverlies als gevolg van ongunstige bewegingen in de rentetarieven. - Valutarisico: het risico van winstderving en kapitaalverlies als gevolg van ongunstige wisselkoers schommelingen. - Krediet- en liquiditeitspread risico: het risico van winstderving en kapitaalverlies als gevolg van ongunstige spreadschommelingen. - Volatiliteitsrisico: het risico van winstderving en kapitaalverlies als gevolg van ongunstige bewegingen in de impliciete volatiliteit van marktrentetarieven of valuta. Dit risico geldt alleen voor rente-instrumenten die werken volgens een vergelijkbaar principe als opties (e.g. caps en floors). Binnen het marktrisico focust BNG Bank zich, voor wat betreft ESG-factoren, op de transitie- en fysieke risico’s binnen het krediet- en liquiditeitspreads risico. De belangrijkste materiële ESG-factoren per sector en middellange termijn zijn:

Marktrisico Marktrisico wordt gedefinieerd als het risico van winstderving en kapitaalverlies als gevolg van Risico type

Sector/portfolio/sub-risico

Materiële ESG factoren Emissies

Governments Energie Efficiëntie Markt risico (krediet- en liquiditeitspreads risico)

Emissie Financials Energie Efficiëntie

Risicobereidheid BNG Bank hanteert een prudente aanpak voor het beheersen van marktrisico’s: - Alle renterisicoposities van BNG Bank in het Bankenboek worden óf extern gehedged (in micro hedging) óf overgedragen naar het Treasuryboek met behulp van interne swaps. De resulterende

Covered bonds

n.v.t.

RMBSs

n.v.t.

actieve rentepositie wordt beheerd door Treasury binnen een beperkte bandbreedte middels macro hedging, wat een efficiënte hedging en flexibiliteit voor klanten mogelijk maakt. Daarnaast wordt het eigen vermogen zodanig gemodelleerd dat het vereiste rendement van de aandeelhouders wordt behaald[3], zijnde een doorlopende investering in

74

-

-

-

-

10-jaars papier van de Nederlandse Staat.BNG Bank volgt de Interbank Offered Rates (IBOR's)-transitie naar de euro short-term rate (€STR) nauwlettend. Het renterisico van BNG Bank wordt momenteel afgedekt naar voornamelijk 6-maands IBOR. Dit IBOR-transitierisico wordt gekapitaliseerd. Ten aanzien van het tenorbasisrisico accepteert de bank een beperkte positie voortvloeiend uit reguliere financiering en kredietverlening. Optionaliteit wordt doorgaans afgedekt en alleen geaccepteerd als dit expliciet wordt toegestaan door risicobeleid of productgoedkeuringsdocumenten. Risico veroorzaakt door ongunstige schommelingen in de kredietspreads wordt aanvaard op voorwaarde dat dit risico expliciet wordt afgedekt door voldoende toegewezen kapitaal. Risico’s als gevolg van waardeveranderingen van financiële instrumenten die kunnen voortvloeien uit de verandering van een index, zoals inflatie, wordt volledige afgedekt. BNG Bank is niet bereid substantiële exposures met valutarisico aan te gaan. Valutarisico's worden daarom in beginsel voor nominale bedragen afgedekt.

Bovendien heeft BNG Bank geen handelsportefeuille en loopt zij derhalve geen marktrisico uit handelsportefeuilles. Organisatorische opzet De afdeling Treasury and Capital Markets vormt de eerste lijn en is verantwoordelijk voor het dagelijkse marktrisicobeheer, voornamelijk voor het beheersen van marktrisico’s uit commerciële activiteiten. Risicomanagement is de tweede lijn en heeft tot taak het marktrisico onafhankelijk te monitoren. Het voert dagelijkse beoordelingen uit om ervoor te zorgen dat de risicoposities binnen de limieten vallen die vanuit het RAS zijn vastgesteld. Risk Management stelt zelfstandig rapportages op voor het Asset & Liability Committee (ALCO) en Treasury, ondersteunt de eerste lijn en verschaft risicoanalyse en advies. Dit zowel proactief als op verzoek. Bovendien actualiseert de afdeling periodiek de gehanteerde aannames, handhaaft zij het geheel van beleid, kaders, procedures en rapportages en neemt zij nieuwe

regelgeving mee in de herziening daarvan. Door deel te nemen aan het productgoedkeuringsproces speelt zij ook een belangrijke rol bij het identificeren en beoordelen van (nieuwe) marktrisico’s veroorzaakt door nieuwe activiteiten. Het ALCO beslist over het marktrisicobeleid en de limietaanpassingen en is verantwoordelijk voor de besluitvorming binnen de in het beleid gestelde grenzen. Marktrisico instrumenten BNG Bank hanteert voor een aantal gebieden binnen het marktrisico risicomaatstaven en limieten: - De afdeling Treasury heeft het mandaat om een niet-afgedekte renterisicopositie binnen vooraf gedefinieerde limieten aan te houden. Er zijn economic value limieten voor het Treasury Book vastgesteld voor de totale delta en voor de uitkomsten van de rente stresstesten. Dit laatste wordt berekend voor een aantal interne parallelle en niet-parallelle renteschokken en wordt dagelijks vergeleken met het kapitaal dat wordt ingezet voor het renterisico. Daarnaast zijn er voor de interne Earnings at Risk-scenario's vroegtijdige waarschuwingsniveaus vastgesteld, zodat er een evenwicht wordt gezocht tussen de economische waarde en het winstperspectief. - De bank zorgt er ook voor dat het outlier criterium niet wordt overschreden. Het outlier criterium wordt gebruikt om de maximale verhouding tussen marktrisico en eigen vermogen uit te drukken.

Het outlier criterium is een gevoeligheidsanalyse voor zowel economic value als Earnings at Risk, waarbij het renterisico wordt gemeten onder extern voorgeschreven schokken, waaronder het onmiddellijke plus of min 200 basispunten parallelle scenario. - Bij cross-currency swaps wordt het basis spread risico dagelijks berekend en geboekt onder Cost of Hedging. Omdat deze posities aangehouden worden tot het einde van de looptijd blijven de marktwaardeveranderingen ongerealiseerd. Het Tier 1-vermogen kan in geval van marktwaardeveranderingen worden beïnvloed door deze Cost of Hedging, maar dit risico valt binnen de bereidheid.

75

- Economic capital wordt gealloceerd voor renterisico, spreadrisico, IBOR-transitierisico en CVA-risico. De monitoring vindt periodiek plaats (maandelijks/kwartaal). Deze renterisicomaatstaven zijn complementair en zorgen voor de transparantie en beheersbaarheid van risico’s. Elke limietoverschrijding moet worden gemeld aan het ALCO. Het ALCO beslist of er direct actie ondernomen moet worden om de positie aan te passen naar een positie binnen de limiet of om de limietoverschrijding voor een bepaalde periode toe te staan. Er zijn niveaus voor vroegtijdige signalering om de dialoog over bepaalde gebeurtenissen op gang te brengen en vereisen geen directe actie van het ALCO. Ontwikkelingen 2023 Anticiperend op de aankomende IBOR transitie, heeft BNG Bank in 2023 verdere voorbereidingen getroffen om Euro short-term rate (€STR) hedging te faciliteren in systemen. Bovendien is voor voldoende liquide looptijden gestart met het uitvoeren van deze omzetting. Liquiditeitsrisico Liquiditeitsrisico wordt gedefinieerd als het risico van winstderving en kapitaalverlies als gevolg van de mogelijkheid dat BNG Bank op enig moment niet aan betalingsverplichtingen kan voldoen zonder dat er onaanvaardbare kosten of verliezen ontstaan.

Het liquiditeitsrisico kan verder worden uitgewerkt met verschillende subcategorieën (korte en lange termijn): - Korte termijn risico: Het risico dat de bank niet voldoende middelen kan aantrekken om aan betalingsverplichtingen te voldoen. - Financieringscapaciteitsrisico: Het risico dat de bank als gevolg van de financieringscapaciteit niet in staat zal zijn voldoende middelen aan te trekken om de financieringsbehoefte op de lange termijn te dekken, waardoor de continuïteit in gevaar komt. - Herfinancieringsrisico: Het risico dat de bank als gevolg van onze kredietwaardigheid (her)financiering zal moeten aantrekken tegen ongunstige financieringsspreads die de toekomstige winsten in gevaar brengen.

Risicobereidheid Om te allen tijde aan de betalingsverplichtingen te kunnen voldoen worden liquiditeitsrisico's op de korte termijn alleen geaccepteerd als daar voldoende liquiditeitsbuffers tegenover staan. Hiervoor beschikt BNG Bank over prudente liquiditeitslimieten en een aanzienlijke liquiditeitsbuffer. De publieke sector bestaat voor een groot deel uit instellingen met een lange termijn beleggingshorizon. Dit betekent dat leningen vaak een zeer lange looptijd hebben. Deze kunnen oplopen tot wel tientallen jaren. Omdat voor deze looptijden geen acceptabele prijzen beschikbaar zijn, wordt een financieringsmismatch geaccepteerd. Deze mismatch wordt nauw gemonitord en is onderhevig aan strikte limieten. Organisatorische opzet De afdelingen Treasury and Capital markets vormen de eerste lijn en zijn verantwoordelijk voor het dagelijkse liquiditeits- en financieringsrisicobeheer. Beide afdelingen zijn in deze rol ook verantwoordelijk voor het aantrekken van financiering. De afdeling Treasury heeft de opdracht om een liquiditeitsrisicopositie in te nemen binnen de limieten en grenswaarden zoals vastgelegd in de RAS. Treasury opereert binnen het liquiditeits- en financieringsrisicobeleid en op basis van haar jaarlijkse financieringsplan. Dit plan wordt goedgekeurd door het ALCO, dat ook beslist bij significante afwijkingen gedurende het jaar.

De afdeling Risk Management vormt de tweede lijn en is verantwoordelijk voor het onafhankelijk monitoren van het liquiditeitsrisico. Daarnaast controleert zij dagelijks of de bank binnen de door het ALCO gestelde limieten en grenswaarden blijft. Ook wordt aan de hand van stressscenario’s maandelijks beoordeeld of liquiditeit en financiering voldoende zijn. De afdeling Risk Management heeft de rol om de eerste lijn te challengen en rapporteert onafhankelijk aan het ALCO en aan de afdeling Treasury over het gebruik van de bepaalde limieten. Daarnaast voert zij ook risicoanalyses uit en verstrekt proactief en op verzoek advies. Risk Management toetst periodiek de gehanteerde aannames, handhaaft het beleid, de raamwerken, de procedures en rapportages en integreert nieuwe regelgeving. Door deel te nemen

76

aan het productgoedkeuringsproces speelt zij ook een belangrijke rol bij het beoordelen van (nieuwe) liquiditeits- en financieringsrisico’s uit nieuwe of gewijzigde activiteiten. Het Contingency Funding Plan (CFP) kan worden geactiveerd wanneer er, door een overschrijding van de limieten of grenswaarden, of indien dit noodzakelijk wordt geacht door Treasury and Capital markets, Risk Management of ALCO, een potentiële noodzaak is om liquiditeit te verstrekken. Tijdelijke procedures voor intensiever liquiditeitsbeheer en tijdelijke controle op het liquiditeitsbeheer door het liquiditeitscontinuïteit team vormen de belangrijkste elementen van dit plan. De afdeling Treasury en Capital markets is ook verantwoordelijk voor het beheer van de lange termijn liquiditeitspositie van de bank. Deze positie is minder volatiel en is het resultaat van het kredietbeleid en het financieringsbeleid. Door de lage variabiliteit van de looptijdschema's en de stabiliteit van de nieuwe productie van leningen kan de behoefte aan lange termijn financiering redelijk goed worden ingeschat. Enerzijds wordt de liquiditeitspositie op de lange termijn bewaakt door een (dagelijks beschikbare) liquiditeit gap-profiel en bijbehorende limieten. De limieten zijn conservatief gekozen om ervoor te zorgen dat de financieringscapaciteit van BNG Bank voldoende is om toekomstige herfinancieringsrisico’s te mitigeren.

Anderzijds wordt het beheerd door middel van een Earnings at Risk-maatstaf die verband houdt met een scenario van stijgende (financierings)spreads met een horizon van één jaar. Het risico wordt in deze visie beperkt door een bepaalde maximale fluctuatie in het jaarlijkse renteresultaat, zoals vermeld in het RAS. Daarnaast wordt dit risico gemeten aan de hand van het potentiële verlies als gevolg van een gestreste financieringsspread over alle toekomstige jaren, vergeleken met het kapitaal dat aan dit risico wordt toegewezen. Liquiditeitsrisico instrumenten Voor diverse liquiditeits- en financiering risicomaatregelen, zoals de analyse van de liquiditeitsgap, gelden limieten of vroegtijdige waarschuwingsniveaus. De liquiditeitsbuffer na stress

meet de resterende liquiditeit na de stressperiode en wordt bepaald onder verschillende stress scenario’s. Voor alle stress scenario’s wordt in de cascadering van de risicobereidheid een limiet of grenswaarden voor de liquiditeitsbuffer vastgesteld. De analyse van de liquiditeitstekorten wordt dagelijks gemonitord en gerapporteerd aan het ALCO en aan de afdeling Treasury and Capital markets. Maandelijks worden alle maatregelen samengevat in een dashboard, dat besproken wordt in de ALCOvergaderingen. Daarnaast worden de belangrijkste uitkomsten van deze maatregelen en mogelijke andere ontwikkelingen samengevat in de kwartaal risicorapportage, die wordt gepresenteerd aan en besproken in het ExCo, de RvC en de Risicocommissie van de RvC. Ontwikkelingen 2023 In het eerste kwartaal van 2023 ontstond een potentiële bankencrisis in de VS (faillissement van Sillicon Valley Bank en Signature Bank) en in Europa als gevolg van problemen bij Credit Suisse. De afdeling Risk Management heeft samen met Treasury de ontwikkelingen nauwlettend gevolgd, maar zag geen directe impact op het gebied van het liquiditeitsrisico of toegang tot funding markten voor BNG Bank. Beide afdelingen zijn, meer dan op reguliere basis, bij elkaar gekomen en hebben geconcludeerd dat er geen sprake was van een situatie waarin de contingency funding plan in werking gesteld moest worden.

De financiële markten bleven gedurende een groot deel van 2023 volatiel mede als gevolg van ook geopolitieke ontwikkelingen en oplopende inflatie(verwachtingen). De rentetarieven zetten als gevolg daarvan gedurende geheel 2023 de stijging van de tweede helft van 2022 door. Dit leidde tot een aanzienlijke ontvangst van cash collateral door BNG Bank. Als gevolg hiervan was er minder korte– en middellange termijn financiering nodig. Ondanks de marktvolatiliteit bleef de financieringspositie van BNG Bank solide en had de bank goede toegang tot zowel de geldmarkt als de kapitaalmarkt. De gewenste gemiddelde looptijd van financiering op reguliere kapitaalmarkten bleef onverminderd hoog in reactie op de aanhoudende hoge gemiddelde looptijd van nieuw verstrekte leningen. Per saldo is

77

het lange liquiditeitsrisico gestegen met inachtneming van de risicobereidheid.

Niet-financiële risico's

Niet-financiële risico’s zijn een bedreiging voor de bedrijfsvoering. Binnen BNG Bank vallen hier het operationeel-, veiligheids-, compliance- en strategisch risico onder. In deze paragraaf worden de deze risico's nader toegelicht. Operationeel risico Operationeel risico wordt gedefinieerd als het risico op verliezen aan inkomsten en kapitaal als gevolg van tekortkomingen in interne processen, mensen en systemen, of als gevolg van externe gebeurtenissen. Operationeel risico omvat de volgende level 2 risico’s: - Procesrisico: het risico van het falen of tekortschieten van interne processen die alle activiteiten ondersteunen die verband houden met producten, diensten, klanten en transacties (veranderingsrisico, wettelijke rapportage en belastingrisico). - HR risico: het risico van onbedoelde acties van mensen, tekortkomingen in capaciteit en personeelsmanagement. - Modelrisico: het potentiële verlies dat een instelling kan lijden als gevolg van beslissingen die voornamelijk gebaseerd zouden kunnen zijn op de output van interne modellen, als gevolg van fouten in de ontwikkeling, implementatie of gebruik van dergelijke modellen. - ICT-risico: het risico op uitval van hardware, software of het netwerk, ter ondersteuning van de activiteiten in de bedrijfsprocessen (ICTbeschikbaarheidsrisico).

- Datamanagementrisico: het risico dat gegevens die worden opgeslagen en verwerkt onvolledig, Risico type

Operationeel risico

-

-

-

-

onnauwkeurig of inconsistent zijn, waardoor het vermogen van een instelling wordt aangetast om diensten te verlenen en op juiste en tijdige wijze (risico)managementinformatie en financiële informatie te produceren wordt aangetast. Uitbestedingsrisico: het risico dat de continuïteit, integriteit en/of kwaliteit van aan derden uitbestede activiteiten of de door deze derden ter beschikking gestelde apparatuur of personeel negatief wordt beïnvloed. Juridisch risico: het risico dat gepaard gaat met de mogelijkheid dat contractuele bepalingen nietafdwingbaar blijken of onjuist zijn gedocumenteerd. Bedrijfscontinuïteitsrisico: het risico van ongeplande, negatieve operationele, financiële, juridische, reputatie- en andere materiële gevolgen die voortkomen uit het (gedeeltelijk) onvermogen om de levering van diensten binnen aanvaardbare tijdsbestekken en met vooraf gedefinieerde capaciteit voort te zetten tijdens een verstoring als gevolg van uitval of ( deels) uitval van ICT (waaronder cloud en communicatiesystemen), gebouwen, locaties, kernpersoneel of ketenpartners (ICTcontinuïteitsrisico). Risico van externe gebeurtenissen: het risico van gebeurtenissen buiten de directe of indirecte controle van de Bank die van invloed kunnen zijn op de activiteiten van de Bank.

Binnen het operationeel risico focust BNG Bank zich, voor wat betreft ESG-factoren, op de transitie- en fysieke risico’s binnen het proces- en model risico. De belangrijkste materiële ESG-factoren per sector en middellange termijn zijn:

Sector/portfolio/sub-risico

Materiële ESG factoren

Procesrisico

Impact van ESG wet-en regelgeving op inbedding in processen

Modelrisk

Ontwikkeling van ESG-rating model om klanten te kunnen raten op gebied van ESG

Datamanagementrisico

verstrekken van ESG gerelateerde data.

Risico van externe gebeurtenissen

Impact van klimaataspecten op bedrijfsvoering

78

Risicobereidheid Operationele risico’s zijn inherent verbonden met de bedrijfsvoering van BNG Bank. Hoewel BNG Bank zich inzet voor een efficiënte en effectieve bedrijfsvoering, is het mitigeren van operationele risico's gebaseerd op een afweging tussen kosten en economische baten. Echter, inherente risico’s die zien op de naleving van wet- en regelgeving en integriteitvraagstukken worden gemitigeerd tot een minimum. Organisatorische opzet De eerstelijn is primair verantwoordelijk voor de beheersing van de operationele risico’s in de producten, processen, mensen en systemen waarvoor zij verantwoordelijk zijn. Daardoor zijn zij ook verantwoordelijk voor het implementeren van een beheerssysteem, op basis waarvan zij over de (beheersing van) operationele risico’s kan rapporteren. De eerste lijn omvat daarmee alle proceseigenaren waarvan de belangrijkste de volgende afdelingen zijn: - Lending en Relationship Banking; - Client Services and Payments; - Treasury and Capital Markets; - Back Office; - Information Management; - Finance & Control; - Human Recources. De afdeling Risk Management houdt toezicht op alle operationele risico's. Zij rapporteert op kwartaalbasis over de mate waarin BNG bank wordt blootgesteld aan operationele risico’s. Dit op basis van de risicobereidheid van de bank. De rapporten worden besproken in de Non-Financial Risk Committee (NFRC).

Het NFRC bespreekt ook het beleid en de ontwikkelingen met betrekking tot het systeem van interne controle en beheersing van de niet-financiële risico’s, zowel vanuit de eerste- als het tweedelijns perspectief. Hieronder vallen onder andere de uitkomsten van Risk Control Self Assessments op processen, resultaten uit effectiviteitstoetsing van belangrijke interne controles (key controls) en incidentbeheer. Een samenvatting van het rapport is opgenomen in het driemaandelijkse geïntegreerde risicorapport aan het ExCo en de RvC.

De eerste lijn draagt eindverantwoordelijkheid voor het beheersen van operationele risico's in de dagelijkse bedrijfsvoering. Dit is in lijn met beleid, richtlijnen en intern procesontwerp. Interne processen worden ontworpen door proceseigenaren in samenwerking met de managers van de betrokken afdelingen. Alle terugkerende processen worden gedocumenteerd in processtromen met triggers, actoren, activiteiten, gebruikte systemen, documenten en resultaten. Hoewel operationele risico’s niet volledig kunnen en hoeven te worden gemitigeerd, moeten deze uiteraard wel transparant en beheersbaar worden gemaakt. De tweede lijn ondersteunt de eerste lijn op het gebied van het beheersen van operationele risico's. Hierbij wordt de risicoactiviteiten van de eerste lijn bewaakt en is de tweede lijn betrokken bij materiële projecten, proceswijzigingen en documentatie, evenals bij het product beoordelings- en goedkeuringsproces. Operationeel Risico Management Instrumenten BNG Bank gebruikt verschillende instrumenten binnen het operationeel risico management: - Limieten en doelstellingen (Key Risk Indicators): De cascadering van de risicobereidheid van de bank voor operationeel risico resulteert in een risico tolerantie die voornamelijk gericht is op reputatie en interne bedrijfsvoering.

De exposure aan operationeel risico van de bank wordt gemeten door middel van Key Risk Indicators (KRI) als limiet-, streef- of informatiecijfer. De KRI’s hebben betrekking op alle categorieën van operationeel risico. De gemeten KRI’s worden afgezet tegen de risicobereidheid en op kwartaalbasis gerapporteerd via de operationele risicorapportage aan het NFRC. - Risk Control Self-Assessments (RCSAs): De RCSAs worden uitgevoerd op de processen van de eerste lijn waarbij de tweede lijn een faciliterende en ondersteunende rol heeft. Op basis van waarschijnlijkheids- en impactschalen worden de geïdentificeerde inherente en restrisico’s en de daarmee samenhangende beheersingsmaatregelen jaarlijks beoordeeld. De RCSA’s vormen de input voor de monitoringprogramma’s van BNG Bank voor het testen van de effectiviteit van de belangrijkste controle maatregelen.

79

- Incident management: BNG Bank registreert alle operationele incidenten met een (potentiële) impact van € 5.000,- of hoger. De proceseigenaren dienen een analyse van de hoofdoorzaak uit te voeren en herstelacties te initiëren. Om soortgelijke toekomstige incidenten te voorkomen onderzoekt de tweede lijn of er aanpassingen noodzakelijk zijn in het proces, de systemen en/of de werkwijze. Significante incidenten worden aan het NFRC, het ExCo en de Risicocommissie van de RvC gerapporteerd. - Scenario-analyse: Jaarlijks wordt een scenario analyse op operationele risico’s uitgevoerd. Op basis van deze scenario's wordt de economische kapitaalallocatie voor operationeel risico onderbouwd. - Annual In Control cycle: De verschillende risico’s die de activiteiten van BNG Bank met zich meebrengen worden in het jaarverslag opgenomen. In het ‘In Control Statement’ rapporteren de afdelingshoofden rechtstreeks aan het ExCo waarbij de nadruk ligt op het risicomanagement in relatie tot de risicobereidheid van de bank. Ontwikkelingen 2023 Door de implementatie van de Governance, Risk, and Compliance (GRC-)tool is er een meer effectief en efficiënt management van operationeel-, complianceen security risico mogelijk. De GRC-tool is in 2023 verder uitgerold over alle primaire processen en de belangrijkste ondersteunende processen.

In 2024 wordt de uitrol tot alle overige processen uitgebreid en wordt het implementatietraject afgerond. De tool ondersteunt het aantoonbaar maken van de procesbeheersing. Daarnaast zijn er andere ontwikkelingen in 2023 met betrekking tot het operationeel risicoprofiel die betrekking hebben op de proces- (inclusief veranderingen), HR-, data management- en ICT-/ Uitbesteding -en Business Continuity Risico’s. Deze worden hieronder nader toegelicht. Procesrisico (inclusief veranderingen): Door de veranderingen in de commerciële- en IT organisatie van BNG Bank is er sprake van een vergroot procesrisico. Om deze veranderingen te ondersteunen wordt gebruikt gemaakt van de methodologie van

integraal portfolio management en is het Integral Portfolio Committee als gerelateerd bestuursorgaan opgericht. Het Integral Portfolio Committee heeft tot taak overzicht en inzicht te houden in en de beheersbaarheid te bewaken van het totale veranderportfolio van BNG Bank. Dit heeft een positieve invloed op het procesrisico. Daarnaast is het project managementbureau verstevigd en is er daardoor meer en beter inzicht in de mate van procesbeheersing. Hierdoor wordt de monitoring van de interne controle en de aantoonbaarheid hiervan vergroot door de gehele bank. HR risico: De bank heeft de capaciteit en vaardigheden verhoogd door uitbreiding van de interne formatie en de tijdelijke inhuur van extern personeel. Dit is nodig om de veranderagenda te kunnen uitvoeren. De bank slaagt er steeds beter in om binnen redelijke termijn intern passend personeel aan te trekken. Wel blijft de moeilijke arbeidsmarkt op met name IT-gebied een uitdaging. Om de kennis en ervaring van het eigen personeel te versterken gebruikt BNG Bank een trainingsportaal voor persoonlijke ontwikkeling. Data management risico: Het Data Insight 2.0 project om het centrale data warehouse verder te verbeteren vordert in een gestaag tempo, evenals de initiatieven om data meetbaar te krijgen. De verwachting is dat de datakwaliteit en de monitoring daarvan zullen verbeteren en dat het aantal manuele interventies zal afnemen.

ICT/outsourcing/Business Continuity Management (BCM) risico: De afhankelijkheid van outsourcing partners heeft het risicoprofiel met betrekking tot IT-performance negatief beïnvloed vanwege de ontwikkelingen bij een belangrijke partner. Hierbij is ook een business continuïteit risico onderkend waarop passende acties en maatregelen zijn getroffen. De afhankelijk van BNG Bank van deze partner is in de loop van 2023 verminderd. De aandacht voor adequate IT-gerelateerde controles is geïntensiveerd. Het relatiemanagement met uitbestedingspartijen en beheersing van outsourcingsrisico is in 2023 verder gecentraliseerd. Hetgeen zal leiden tot een betere beheersing van de outsourcingsrisico’s. Tevens zal door middel van vooraf gestelde architectuur

80

aandacht besteed worden aan een betere samenhang in het Business en IT-landschap. Beveiligingsrisico Beveiligingsrisico is het risico op het compromitteren van gegevens of ICT-systemen en/of schade aan locaties, gebouwen, apparatuur, personeel of bezoekers. Dit omvat verschillende risico's: - Informatiebeveiliging (incl. cyberrisico): het risico van gegevensverlies/inbreuk, ongeoorloofde verkrijging van gegevens, ongeoorloofde toegang, gebruik, openbaarmaking, verstoring, wijziging of vernietiging van gegevens, ICT-systemen, eindpunten en media. - Fysiek veiligheidsrisico: het risico van ongeoorloofde toegang tot of gebruik van locaties of gebouwen, ongeoorloofde verkrijging van apparatuur en fysieke schade of schade aan apparatuur, personeel of bezoekers. Risicobereidheid Veiligheidsrisico’s zijn inherent aan de dagelijkse bedrijfsvoering van BNG Bank. BNG Bank gaat prudent om met het beheersen van veiligheidsrisico's en accepteert daarom geen veiligheidsrisico's met een grote of kritische impact. Organisatorische opzet De beveiligingsfunctie biedt ondersteuning aan het ExCo en het management om de betrouwbaarheid en continuïteit van de bedrijfsprocessen te waarborgen en de beveiligingsrisico’s te beheersen. In de COO-kolom is de eerstelijns beveiligingsafdeling gepositioneerd met een directe rapportage verplichting aan de COO.

De tweedelijns beveiligingsafdeling is gepositioneerd in de CROkolom, met een directe rapportagelijn naar het ExCo en de Risicocommissie. Het doel, de positie en de bevoegdheden van de Veiligheidsfunctie zijn vastgelegd in de Security charter. De eerste lijn is verantwoordelijk voor het identificeren, analyseren en mitigeren van (cyber)veiligheidsrisico’s en voor het rapporteren over de effectiviteit van veiligheidswaarborgen.

De tweedelijn aangaande beveiliging is verantwoordelijk voor het ontwikkelen en onderhouden van het beveiligingsbeleid en de uitvoering van het security awareness programma. Verder is zij verantwoordelijk voor het monitoren, faciliteren, ondersteunen en uitdagen van de input van andere afdelingen om de betrouwbaarheid van data, de IT-infrastructuur, de fysieke infrastructuur en de kritische bedrijfsprocessen tegen (cybersecurity)bedreigingen te waarborgen. Daarnaast is de tweedelijns beveiligingsafdeling verantwoordelijk voor de rapportage over veiligheidsrisico's om ervoor te zorgen dat BNG Bank binnen de risicobereidheid opereert. Ontwikkelingen 2023 Begin augustus 2023 werd BNG aangevallen met een DDoS-aanval door een hacktivist groep. Als gevolg van de cyberaanval waren enkele websites van BNG Bank gedurende één dag niet tot slecht bereikbaar. De inzet van maatregelen zorgde ervoor dat de aanval werd gepareerd. Onderzoek heeft aangetoond dat er geen assets van BNG Bank en haar klanten zijn geschaad. Sindsdien zijn nog enkele pogingen tot een DDoS-aanval geconstateerd. Deze zijn allen in korte tijd gepareerd. Het Cyber Defense Center van BNG Bank monitort en bewaakt 24/7 strikt de digitale veiligheid van de organisatie en haar klanten.

Om het beveiligingsbewustzijn van de medewerkers te vergroten zijn er ieder kwartaal phishing-tests uitgevoerd, ‘serious gaming sessions’ georganiseerd en is beveiligingsbewustzijn als onderdeel in het onboarding programma voor nieuwe medewerkers opgenomen. Ook zijn presentaties met betrekking tot informatie beveiligingsbewustzijn gehouden. Zowel de eerstelijns securityfunctie als de tweedelijns securityfunctie zijn aanzienlijk versterkt. Op beveiligingsaspecten ondersteunt de tweedelijns security afdeling de IT-security afdeling. Om de beheersing van (cyber)beveiligingsrisico’s te verbeteren zijn beveiligingsbeoordelingen en ethische hacks uitgevoerd. Bevindingen zijn geadresseerd om te waarborgen dat de bank binnen de risicobereidheid voor security opereert.

81

Compliance risico Compliance risico is het risico van onvoldoende naleving of erkenning van bedrijfswaarden, gedragscodes, algemeen aanvaarde maatschappelijke normen en waarden, wet- en regelgeving en toezichteisen. Het compliancerisico omvat de volgende risico's: - Integriteitsrisico: het risico op onethisch of onprofessioneel gedrag van de organisatie, de medewerkers of derden, dat direct of indirect aan de bank kan worden toegeschreven, en dat in strijd is met maatschappelijke en institutionele normen en/of toepasselijke wet- en regelgeving (gedrag, risico op financiële criminaliteit, intern frauderisico en extern frauderisico); - Naleving van de regelgeving: het risico op schending van toepasselijke wetten, regelgeving (waaronder codes en convenanten) en toezichtvereisten en ontoereikende reactie op veranderingen in de regelgeving of ineffectieve relaties met toezichthouders. Risicobereidheid BNG Bank heeft als onderdeel van de risicobereidheid een integriteits- en compliance risicobereidheid gedefinieerd. De bank streeft een uitmuntend integriteitsprofiel na en verwacht van medewerkers, klanten, tegenpartijen en voor de bank relevante derden dat zij voldoen aan de integriteitseisen. Op het gebied van wet- en regelgeving streeft de bank naar integer gedrag, integer zakendoen en naleving van relevante wet- en regelgeving en criteria van de toezichthouders.

Organisatorische opzet Het beheersen van de compliancerisico’s is de verantwoordelijkheid van alle afdelingen van de bank. Een onafhankelijke compliancefunctie ondersteunt de organisatie bij het uitvoeren van de Systematische Integriteitsrisicoanalyse (SIRA), het ontwikkelen van en adviseren over compliancebeleid, het organiseren van het proces van identificatie en impactbeoordeling van ontwikkelingen op regelgevingsgebied en het adviseren, monitoren en rapporteren over integriteitsen compliance risico’s.

In de compliance charter (zie website) heeft de bank de doelstelling en reikwijdte van de tweedelijns compliance functie gedefinieerd, evenals de compliance cyclus die de basis vormt voor alle activiteiten van de compliance afdeling. De belangrijkste instrumenten om significante gevallen te detecteren waarin BNG Bank haar risicobereidheid voor integriteit opereert of niet compliant is met wet- en regelgeving, zijn: - Identificatie van risico's en controles in jaarlijkse SIRA-workshops, Risk Control Self Assessments en bijbehorende controles om de geïdentificeerde belangrijkste risico's te mitigeren. - Uitvoering van risico gebaseerde monitoring programma's door zowel eerste- als tweedelijnsafdelingen om de effectiviteit van de controles te monitoren. - Procedures om incidenten te beheren. Elk kwartaal verschaft het geïntegreerde risicorapport informatie aan zowel het ExCo als de RvC over de stand van zaken met betrekking tot deze risico's. Het driemaandelijkse compliance rapport geeft nadere details over de compliancerisico's en wordt ieder kwartaal besproken in het ExCo, de NFRC en de Risicocommissie. Ontwikkelingen 2023 Verdere informatie is te vinden in de compliance paragraaf (3.3). Strategisch risico Strategisch risico wordt gedefinieerd als risico’s die van invloed zijn op of worden gecreëerd door de bedrijfsstrategie en strategische doelstellingen van de organisatie.

Binnen strategisch risico wordt onderscheid gemaakt tussen strategisch positioneringsrisico, strategisch executierisico en strategisch consequentierisico. Risicobereidheid BNG Bank heeft een risicobereidheid voor integriteit en naleving opgesteld. De bank streeft naar een uitstekend integriteitsprofiel en verwacht van medewerkers, klanten, tegenpartijen en voor

82

relevante derden dat zij voldoen aan haar integriteitsstandaarden. Met betrekking tot wet- en regelgeving stelt de bank zich een beheerste en integere bedrijfsvoering ten doel, die voldoet aan zowel relevante wet- en regelgeving als aan criteria van de toezichthouders en interne regelgeving. Organisatorische opzet Strategische risico’s ontstaan enerzijds als gevolg van strategische plannen en anderzijds door externe factoren. Deze strategische risico’s zijn meestal nauw verbonden met de andere risicotypen. De wijze waarop BNG Bank omgaat met strategische risico’s wordt verwerkt in het jaarplan en de bedrijfsplannen van de afzonderlijke afdelingen. Daarnaast worden deze geadresseerd in het stresstestprogramma en komen ze aan bod in het Kapitaalbeheerplan (als onderdeel van het verplichte ‘internal capital adequacy assessment process’ (ICAAP). Beslissingen over strategische risico's vallen onder de directe verantwoordelijkheid van het ExCo. Afhankelijk van de aard van het strategische risico, worden deze ook besproken in specifieke ExCocommissies. Het identificeren van strategische risico’s is onderdeel van het strategische besluitvormingsproces. Het monitoren van maatregelen en acties om strategische risico’s te mitigeren zijn onderdeel van de planning- en budgetcyclus. De rapportage over strategische risico’s is onderdeel van de risicomanagementcyclus.

Ontwikkelingen 2023 De door overheden gegarandeerde kredietuitzettingen zijn onderworpen aan de backstop regels voor Niet Presterende Entiteiten (NPEs). Deze regels geven voorschriften voor afschrijvingen op NPEs na een bepaalde periode, ook al is sprake van een volledige garantie. Een aankomende wijziging in de details van de regels voorkomt dat deze gevolgen hebben voor de manier waarop de bank gegarandeerde klanten financiert. Het volume aan nieuw verstrekte langlopende kredieten was conform de doelstelling voor 2023. In het marktsegment decentrale overheden was het

volume lager, maar dit werd gecompenseerd door een hoger volume in het segment Volkshuisvesting. In 2023 werd tot een verhoging van de bankenbelasting besloten. Dit leidt tot enig concurrentienadeel ten opzichte van niet-bancaire kredietverschaffers. Het bedrijfsmodel van BNG Bank is dusdanig solide dat een toename van concurrentie kan worden opgevangen. Een belangrijke reden daarvoor is de gematigde rendementseis van de bank. Met betrekking tot strategisch risico is een potentiële ESG controverse als materieel geclassificeerd. Voorbeelden zijn beschuldigingen van greenwashing of het verwijt van een negatieve ESG-impact als gevolg van de bedrijfsvoering. De kans hierop wordt niet hoog ingeschat, maar de impact van een dergelijke gebeurtenis kan significant zijn. Een andere strategisch risico is een onvoldoende adequaat ESGbeleid of een niet adequate uitvoering daarvan. Als onderdeel van het strategisch proces vindt permanente monitoring plaats. Het duurzaamheidsbeleid is in 2023 herijkt en gepubliceerd. Reputatierisico Reputatierisico is het risico dat de marktpositie van BNG Bank verslechtert als gevolg van negatieve reputaties bij stakeholders: - Intern veroorzaakt reputatierisico: Het risico dat de reputatie van BNG Bank negatief wordt beïnvloed door de (ernstige) impact van andere (niet goed beheerste) risico's.

- Extern veroorzaakt reputatierisico: Het risico dat de reputatie van BNG Bank negatief wordt beïnvloed door gewijzigde, externe verwachtingen die in het strategische proces niet goed zijn gemanaged (strategisch positioneringsrisico). Risicobereidheid Het is de ambitie van BNG Bank om te worden gezien als een semi-publieke instelling met een uitstekende kredietwaardigheid en een uitstekend profiel met betrekking tot reputatie en integriteit. De risicobereidheid van de bank met betrekking tot onze reputatie is daarom minimaal. Zie ook de Compliance paragraaf in dit jaarverslag.

83

Organisatorische opzet Instrumenten om het reputatierisico te beheersen omvatten dialogen met belanghebbenden om de verwachtingen af te stemmen. Het is essentieel dat de producten en diensten die de bank aan klanten levert hun rol in de Nederlandse publieke sector ondersteunen. Het productaanbod is voor een belangrijk deel afgestemd op de wensen van de klant. De bank toont zich echter terughoudend wanneer niet voldoende duidelijk is of een bepaald product het belang van de klant dient. Dit geldt met name voor kleinere organisaties waarvan de bank reden heeft om aan te nemen dat de expertise in huis mogelijk onvoldoende is om de risico's van dat product te beheersen. Het productaanbod is onderhevig aan het Product Approval and Review Process (PARP) van de bank. Ook ten behoeve van andere stakeholders van de bank, zoals investeerders en aandeelhouders, wordt er gelet op de gevolgen wanneer risico’s niet worden beheerst. Door het mitigeren van de verschillende risico’s wordt daarmee indirect de reputatie van de bank gewaarborgd. Hierdoor maakt het integraal onderdeel uit van alle aspecten van het risicobeleid van de bank. Ontwikkelingen 2023 In 2023 hebben geen grote gebeurtenissen plaatsgevonden die de reputatie van de bank hebben geschaad.

Compliance Cyclus

Het laatste onderdeel binnen de RMF, naast de RAS en verschillende risicodefinities, is de compliance cyclus. De afdeling Compliance bevordert de integriteit van de organisatie, klanten, medewerkers en de markten waarin BNG Bank opereert en monitort het voldoen aan regels, wetten en interne standaarden. Het hoofd van de afdeling rapporteert aan het ExCo en heeft een rapportage lijn naar de RvC. Dit is gedocumenteerd in het Compliance Charter. Zie de Compliance paragraaf voor verdere details. De Compliance Cyclus vormt de basis voor alle activiteiten van de compliancefunctie en richt zich op het adviseren over en detectie van gevallen waarin BNG Bank zich buiten de risicobereidheid op het gebied van integriteit bevindt.

Risicocultuur

BNG Bank onderkent het belang van een gedegen risicocultuur en streeft ernaar deze te verankeren in het interne controle-en risicomanagementsysteem. De RAS is een belangrijk instrument om risicobewustzijn te vergroten en het gewenste risicogedrag te bevorderen. Dit komt tot uiting in de verantwoordelijkheid de limieten en doelstellingen inzake de risicobereidheid te bewaken in de risicogeoriënteerde commissies. Deze ontwikkeling is erop gericht het risicobewustzijn op operationeel niveau te verhogen. De verwachting is dat de implementatie van een ‘Governance, Risk and Compliance’ (GRC)-tool die het interne controle en risk management proces ondersteunt, heeft tot verbeterde efficiëntie en functiescheiding geleid. De GRC-tool zal tevens bijdragen aan het verder versterken van de risicocultuur en zo de volwassenheid van het niet-financiële risico management proces te verhogen. BNG Bank is overtuigd van het belang van de ‘zachte’ component die ‘cultuur’ wordt genoemd. Om het risicobewustzijn te vergroten wordt een brede vertegenwoordiging van de organisatie betrokken.

'Wij willen bijdragen aan het oplossen van maatschappelijke vraagstukken'

Vita Huliselan-Haryanto, Jeroen Tebbens & Laurens Schadee

Oprechte betrokkenheid tonen. Actief en kundig meedenken. Het zijn voorbeelden van hoe de relatiemanagers en financieringsspecialisten van BNG Bank invulling geven aan klantpartnerschap. Door met klantbehoeften mee te bewegen – bijvoorbeeld door maatwerkfinanciering te bieden – helpen zij de publieke sector om de uitdagingen van nu aan te gaan. ‘Elke klantgroep van BNG Bank heeft een eigen team relatiemanagers’, vertelt relatiemanager Jeroen Tebbens. ‘Het team Wonen, waar ik onderdeel van uitmaak, bedient met slechts twaalf mensen de grootste klantengroep van de bank. Best bijzonder! Zelf kom ik veel bij woningcorporaties over de vloer, om te praten over wat zij nodig hebben. De uitkomsten breng ik naar mijn team terug zodat we aan oplossingen kunnen werken. Zo maak ik de vertaalslag tussen klant en bank’. Spin in het web Team Wonen bestaat in de huidige vorm pas anderhalf jaar. ‘Daarom stellen we ons nog regelmatig aan klanten voor’, vertelt Laurens Schadee, interne relatiemanager bij BNG Bank. ‘Dan weten zij precies wie ze waarvoor kunnen bellen. Al komen ze in de praktijk vaak bij mij uit, omdat ik als interne relatiemanager het eerste aanspreekpunt en daarmee de spin in het web ben.

Heeft een klant een verzoek? Dan zorg ik ervoor dat we het vanuit de bank regelen.’ Zo’n verzoek kan bijvoorbeeld een financieringsaanvraag zijn, aldus financieringsspecialist Vita Huliselan-Haryanto. ‘Ik beoordeel de risico’s en haalbaarheid van zo’n aanvraag. Om dat te kunnen doen, zorg ik dat ik de jaarcijfers en andere relevante klantinformatie krijg. Daarnaast houd ik me bezig met “revisies” van woningcorporaties. Dan rapporteer ik aan de hand van allerlei data over de kredietwaardigheid van klanten. We moeten natuurlijk wél onze eigen continuïteit waarborgen.’ Persoonlijke aandacht werkt De vragen en verzoeken die vanuit klanten bij het team terechtkomen, zijn uiteenlopend. ‘Ze willen bijvoorbeeld hulp bij het organiseren van hun kredietportefeuille’, vertelt Schadee, ‘of verzoeken ons een nota nogmaals te sturen. We helpen altijd zo goed mogelijk. Want alhoewel klanten voornamelijk financieringsbeslissingen nemen op basis van de prijs, merken we dat klanten onze persoonlijke aandacht waarderen.’