Geoefende rust: veerkracht als toezichtsopdracht

De moderne raad van commissarissen of raad van toezicht moet niet alleen vragen of de onderneming winstgevend, compliant en ordelijk bestuurd is, maar of zij onder druk kan blijven functioneren en bestendig succesvol kan zijn, stelt Hugo Reumkens van Van Doorne. Zijn oproep: maak veerkracht onderdeel van strategie, risicobeheersing, kapitaalallocatie, cultuur, opvolging en verantwoording. En professionaliseer het toezicht zelf, want geen onderneming is veerkrachtiger dan de kwaliteit van haar bestuur en toezicht toestaat. 

De onderneming is terug in de geschiedenis. Lange tijd kon de boardroom doen alsof globalisering, goedkope energie en geopolitieke rust neutrale randvoorwaarden waren. Die veronderstelling is verdampt. Ondernemingen en instellingen opereren nu in een omgeving waarin technologie, veiligheid en legitimiteit elkaar rechtstreeks beïnvloeden. Cyberdreiging kan productie stilleggen. Exportcontrole kan een businessmodel raken. Netcongestie kan groei blokkeren. De moderne raad van commissarissen of raad van toezicht moet daarom niet alleen vragen of de onderneming winstgevend, compliant en ordelijk bestuurd is, maar of zij onder druk kan blijven functioneren.

Dat klinkt inmiddels vertrouwd. Te vertrouwd misschien. Want zolang veerkracht wordt besproken als ‘goede voorbereiding’, ‘betere risicobeheersing’ of ‘meer scenario-denken’, doet zij niemand pijn. Dan is iedereen het ermee eens. Maar de werkelijke these is scherper: toezicht op veerkracht is toezicht op verantwoorde inefficiëntie. 

Keerzijde van optimalisatie

Dat botst met dertig jaar bestuursdiscipline. De dominante taal van de onderneming is lange tijd de taal van optimalisatie geweest: minder voorraad, minder frictie, minder duplicatie, minder kapitaalbeslag, minder interne reserve. Lean was verstandig. Outsourcing was rationeel. Just-in-time was professioneel. Kapitaal moest werken, balansen moesten lichter, ketens goedkoper, processen gestroomlijnder. Veel daarvan was terecht. Maar de keerzijde is nu zichtbaar. Wat jarenlang als inefficiënt gold — redundantie, voorraad, dual sourcing, lokale kennis, reservecapaciteit, tragere maar robuustere besluitvorming — blijkt onder druk soms precies het verschil tussen continuïteit en ontregeling. Veerkracht is dus niet hetzelfde als voorzichtigheid. Het is ook geen nostalgie naar logge organisaties. Het is de bestuurlijke kunst om te bepalen welke inefficiëntie rationeel is.

Schokken absorberen

Ik gebruik bewust het woord veerkracht. Het Engelse resilience voegt in formeel Nederlands governanceproza weinig toe en suggereert soms ten onrechte dat het om een nieuw managementconcept gaat. Veerkracht is concreter. Zij omvat het vermogen schokken te absorberen, kritieke functies voort te zetten, te herstellen en te leren. Het gaat dus niet slechts om bescherming tegen een vijandige bieder, buitenlandse investeerder of ongewenste zeggenschapswisseling. Beschermingsconstructies, FDI-screening en golden shares kunnen nuttig zijn, maar zij bestrijken slechts een smalle strook van het vraagstuk. Een onderneming kan uitstekend beschermd zijn tegen overname en toch kwetsbaar blijven door één cloudprovider, één softwarelicentie of één sleutelpersoon.

Toekomstige kwetsbaarheid

Wie lang genoeg in boardrooms heeft gezeten, herkent het moment waarop kwetsbaarheid zich vermomt als doelmatigheid. Een tweede leverancier wordt te duur gevonden. Een cyberoefening wordt doorgeschoven omdat de agenda vol is. Een investering in opleiding haalt de businesscase niet. Het dashboard staat op groen, omdat het dashboard alleen meet wat al in het systeem past. Niemand doet iets onverstandigs. Niemand is roekeloos. En toch wordt op dat moment toekomstige kwetsbaarheid georganiseerd. Dat is het ongemak waar toezicht over moet gaan.

Bestendig succes

De juridische verankering is minder gezocht dan soms wordt aangenomen. Voor de NV en de BV bepalen art. 2:140 en 2:250 BW dat de raad van commissarissen toezicht houdt op het beleid van het bestuur en op de algemene gang van zaken in de vennootschap en de met haar verbonden onderneming, het bestuur met raad terzijde staat en zich richt naar het belang van de vennootschap en de met haar verbonden onderneming. Dat is geen beperkte controle achteraf. Het is toezicht op beleid, algemene gang van zaken en onderneming als duurzaam samenwerkingsverband.

In Cancun heeft de Hoge Raad, in de context van een joint venture, overwogen dat indien aan een vennootschap een onderneming is verbonden, het vennootschappelijk belang in de regel vooral wordt bepaald door het bevorderen van het bestendige succes van die onderneming. Die formulering moet niet worden losgezongen van haar context, maar haar betekenis reikt verder dan de joint venture alleen. Zij herinnert eraan dat het vennootschappelijk belang niet samenvalt met onmiddellijke opbrengstmaximalisatie. Bestendig succes veronderstelt dat de onderneming kan blijven functioneren wanneer de omgeving tegenzit.

Kwetsbaarheid zichtbaar maken

Ook de Nederlandse Corporate Governance Code 2025 wijst in die richting. De Code verlangt een strategie voor duurzame langetermijnwaardecreatie, betrokkenheid van de raad bij strategie, aandacht voor stakeholders, inventarisatie van risico’s en toezicht op interne beheersing. Zij noemt bovendien expliciet onderwerpen als cybersecurity, ketenafhankelijkheden en nieuwe technologieën. Maar de Code lost het probleem niet op. Zij kan het zelfs verhullen. De verklaring omtrent risicobeheersing loopt het risico precies de taal te produceren die werkelijk toezicht verdooft: veel raamwerk, weinig oordeel; veel proces, weinig prioriteit. De vraag is daarom niet of de onderneming nog een document nodig heeft. De vraag is of de bestaande governance-instrumenten scherp genoeg zijn om kwetsbaarheid zichtbaar te maken.

Dat past bij de Rijnlandse traditie. In dat model is de onderneming geen instrument van één belangencategorie, maar een institutioneel samenwerkingsverband. Kapitaal, arbeid en kennis creëren gezamenlijk waarde. Stakeholders zijn dan niet alleen morele adressaten, maar ook bronnen van informatie. De ondernemingsraad ziet vaak eerder waar de uitvoering kraakt. Leveranciers weten waar ketens broos zijn. Klanten signaleren wanneer vertrouwen verdwijnt. De aandeelhouder verschaft kapitaal, maar kapitaal rendeert slechts als de onderneming toegang houdt tot mensen, markten en legitimiteit.

Afhankelijkheidskaart 

De urgentie blijkt uit Mario Draghi’s rapport over het Europese concurrentievermogen. Draghi beschrijft het einde van drie oude zekerheden: snelle groei van wereldhandel, goedkope energie en veiligheid die grotendeels door anderen werd gegarandeerd. Dat is geen abstract Europees beleidsproza. Het is boardroommateriaal. Afhankelijkheden worden kwetsbaarheden zodra energie, technologie of grondstoffen worden ingezet als machtsmiddelen. Een raad die strategie bespreekt zonder te vragen naar energiepositie, technologie-afhankelijkheid en geopolitieke aannames, bespreekt slechts een deel van de strategie.

Peter Wennink vertaalt die diagnose in zijn rapport naar Nederland. Digitalisering en AI, veiligheid en weerbaarheid, energie- en klimaattechnologie en life sciences zijn niet alleen publieke investeringsdomeinen. Zij vormen een afhankelijkheidskaart voor ondernemingen en instellingen. De les is eenvoudig: technologie en geopolitiek zijn geen externe factoren meer. Zij zijn onderdeel van het ondernemingsbelang.

Schaduwbestuur?

Daarmee is niet gezegd dat de raad van commissarissen alles naar zich toe moet trekken. De serieuze tegenwerping is juist dat veerkracht gemakkelijk tot taakvervaging leidt. Strategie is in beginsel bestuursdomein. De lijn die onder meer uit ABN AMRO en Boskalis/Fugro volgt, bevestigt dat het bepalen van beleid en strategie primair bij het bestuur ligt, onder toezicht van de raad van commissarissen, terwijl de algemene vergadering haar rechten uitoefent binnen de grenzen van wet en statuten. Als de raad vervolgens cyber, cultuur en ketens allemaal tot zelfstandig toezichtobject verklaart, wordt hij een schaduwbestuur. Dan stijgt de aansprakelijkheidsretoriek en verdwijnt prioriteit. 

Die kritiek is terecht. Maar deze verwart het onderwerp met de rolverdeling. Het bestuur kiest de strategie, de middelen en de uitvoering. De raad toetst of het bestuur de wezenlijke afhankelijkheden kent, redelijke alternatieven heeft onderzocht, de belangen van stakeholders zorgvuldig heeft gewogen en de onderneming niet onnodig kwetsbaar maakt voor voorzienbare schokken. De raad ontwerpt dus niet de cloudarchitectuur, maar vraagt wel naar exitrechten, datalocatie en hersteltermijnen. Hij selecteert niet de leveranciers, maar wil wel begrijpen waar single points of failure liggen. Hij dicteert geen geopolitieke strategie, maar toetst of sancties en exportcontroles zijn meegewogen in het businessmodel.

Dat introduceert geen nieuwe garantieaansprakelijkheid. De maatstaf blijft contextueel. Van een beursvennootschap met kritieke technologie mag meer worden verwacht dan van een lokale dienstverlener. Van een ziekenhuis of universiteit mag op andere punten meer worden verwacht dan van een handelsvennootschap. Sector, omvang en concrete signalen bepalen wat redelijk is. Veerkrachtstoezicht is geen juridisering van elk risico, maar volwassen prioritering.

Verbreden, verdiepen en versnellen

Die prioritering kan in drie bewegingen worden samengevat: verbreden, verdiepen en versnellen. Verbreden betekent dat strategie niet uitsluitend wordt gelezen door de lens van markt en marge, maar ook door afhankelijkheid en uitvoerbaarheid. Verdiepen betekent dat de raad voorbij generieke risicomatrices komt. Versnellen betekent dat bestuur en raad vóór de crisis weten wie beslist, op basis van welke informatie en met welk mandaat.

Herijking governance 

Dat moet niet leiden tot stapeling. Het zou verkeerd zijn om naast de risicoparagraaf, CSRD-rapportage, auditrapportages en de verklaring omtrent risicobeheersing nog een zelfstandig veerkrachtstatement te verlangen. Daarmee ontstaat precies de templatecultuur die goed toezicht moet vermijden. Beter is de bestaande governance te herijken. In de strategienotitie hoort een passage over kritieke afhankelijkheden. In de risicobeoordeling hoort onderscheid tussen beheersbare risico’s en existentiële kwetsbaarheden. In de rvc-agenda hoort jaarlijks één echt gesprek thuis over continuïteit, herstelvermogen en strategische opties.

Denk aan een Nederlandse industriële onderneming die componenten levert voor energienetten, defensietoepassingen en geavanceerde machines. De onderneming groeit snel, heeft goede marges en een aantrekkelijk orderboek. Tegelijk is zij afhankelijk van Aziatische halfproducten, Amerikaanse software en schaarse technici. De klassieke boardagenda bespreekt omzetgroei, capex en personeelskrapte. Een veerkrachtige boardagenda stelt andere vragen. Welke onderdelen kunnen niet binnen twaalf maanden alternatief worden ingekocht? Wat gebeurt er als een softwarelicentie door exportcontrole wordt geraakt? Welke investering verlaagt afhankelijkheid, ook als de driejaarsbusinesscase mager is?

Daar wordt zichtbaar dat veerkracht vaak botst met efficiency. Dual sourcing is duurder dan single sourcing. Voorraad kost geld. Redundantie lijkt verspilling totdat een keten breekt. De vraag is niet of de onderneming maximaal efficiënt is, maar welke mate van inefficiëntie rationeel is om continuïteit, strategische vrijheid en legitimiteit te beschermen.

Niet vluchten in abstracte stakeholdertaal

De aandeelhoudersdimensie maakt dat ongemak groter. Het Rijnlandse model klinkt overtuigend zolang niemand onder druk staat, maar wordt getest bij activistische aandeelhouders, biedingsdruk of koersachterstand. Niet iedere investeerder accepteert langetermijnwaarde als antwoord op lagere marges. Sommige aandeelhouders zullen aandringen op verkoop, extra leverage of kostenreductie. De raad moet dan niet vluchten in abstracte stakeholdertaal. Hij moet concreet kunnen uitleggen welke investeringen waarde beschermen, welke afhankelijkheden worden verminderd en welke risico’s anders op de balans van morgen verschijnen. Langetermijngerichtheid zonder discipline is bestuurlijke luiheid; kortetermijndruk zonder systeeminzicht is waardevernietiging.

Expliciete prioritering noodzakelijk

Kapitaalallocatie is daarom het beslissende moment. Veerkracht wordt beleden in waarden, maar beslist in budgetten. Een raad die een strategie goedkeurt, moet zien welke middelen worden vrijgemaakt voor cybersecurity, opleiding en onderhoud. Omgekeerd moet het bestuur duidelijk maken welke veerkracht níet wordt gekocht. Niet elke kwetsbaarheid kan worden weggenomen. Juist daarom is expliciete prioritering noodzakelijk. Wanneer een onderneming besluit geen tweede leverancier te contracteren of geen extra voorraad aan te houden, kan dat rationeel zijn. Maar de raad moet weten dat dit een bewuste keuze is, geen bijproduct van kwartaaldruk.

Verantwoorde technologie

Technologie vraagt dezelfde discipline. AI, data en platformafhankelijkheden worden vaak besproken als innovatieagenda of compliancevraagstuk. Beide perspectieven zijn te beperkt. De governancevraag luidt: vergroot technologie het handelingsvermogen van de onderneming, of maakt zij haar afhankelijker van systemen die zij niet begrijpt, niet kan auditen en niet kan verlaten? De raad hoeft niet te bepalen welk model wordt gebruikt, maar moet wel verlangen dat het bestuur weet welke data worden gebruikt, wie de output valideert en waar menselijke tussenkomst verplicht blijft. Verantwoorde technologie is geen ethische bijlage, maar onderdeel van bestuurlijke veerkracht.

Blinde vlek

Hier ligt ook de praktische blinde vlek. Het huidige commissariaatsmodel is vaak deeltijd, relatief bescheiden gehonoreerd en gebouwd op periodieke vergaderingen met dikke stukken. Dat model kan niet onbeperkt nieuwe verwachtingen dragen. Wie verwacht dat commissarissen toezicht houden op cyber, AI en geopolitiek, kan niet doen alsof zes vergaderingen per jaar en een symbolische vergoeding altijd volstaan. Veerkracht vereist professionalisering van het toezicht zelf: betere commissiestructuur waar nodig, tijdelijke deep dives, externe deskundigheid en een eerlijker gesprek over tijdsbesteding en honorering.

Professionalisering betekent niet dat iedere raad groter of bureaucratischer moet worden. Het gaat om selectie. De raad hoeft niet elk jaar alles even diep te behandelen. Hij moet kiezen op basis van materialiteit. Eén goed voorbereide crisissimulatie per jaar kan volstaan, mits deze realistisch is. Een halve dag over ransomware, sancties of productiestilstand leert vaak meer dan honderd pagina’s risicorapportage.

Vijf toetsen

De raad heeft ook niet méér dashboards nodig. Hij heeft betere vragen nodig. Die kunnen worden geordend langs vijf toetsen. De afhankelijkheidstoets: welke partij, technologie of persoon is zo bepalend dat uitval de strategie raakt? De substitutietoets: bestaat er een reëel alternatief? De hersteltijdtoets: hoe lang kan de onderneming functioneren zonder het kritieke systeem? De legitimiteitstoets: welke stakeholder kan de strategie versnellen of blokkeren? De leertoets: welk incident heeft daadwerkelijk tot andere keuzes geleid? Deze toetsen zijn eenvoudig, maar niet vrijblijvend. Zij brengen het gesprek terug naar bestuurlijke kernvragen.

Tegendenkkracht, ervaring en leervermogen 

Ook de raad zelf is een veerkrachtobject. De voorzitter bepaalt of veerkracht een thema blijft voor een jaarlijkse heisessie of deel wordt van de normale bestuursdialoog. De profielschets moet periodiek worden getoetst aan de kwetsbaarheden van de onderneming. Een technologie-intensieve onderneming zonder digitaal begrip in de raad is incompleet. Een internationale onderneming zonder geopolitieke sensitiviteit is kwetsbaar. Niet iedere commissaris hoeft specialist te zijn, maar de raad als team moet voldoende tegendenkkracht, ervaring en leervermogen bezitten. Jaarlijkse zelfevaluatie hoort daarom niet alleen te gaan over sfeer, maar ook over crisisgeschiktheid.

De maatschappelijke dimensie is geen decor. Veerkracht zonder legitimiteit wordt hardheid. Een onderneming die haar eigen continuïteit beschermt door kosten af te wentelen op werknemers, leveranciers of omgeving, ondergraaft uiteindelijk haar eigen positie. Het stakeholdersmodel verlangt geen consensus met iedereen, maar wel een uitlegbare belangenafweging.

Vraag naar afhankelijkheid, herstelvermogen en legitimiteit

Het minimum voor een goed functionerende raad is overzichtelijk. Jaarlijks bespreekt de raad de strategische afhankelijkheden. Jaarlijks beoordeelt hij of de risicobereidheid nog past bij de omgeving. Jaarlijks oefent hij een plausibele crisis. Bij grote investeringen en desinvesteringen vraagt hij naar het effect op afhankelijkheid, herstelvermogen en legitimiteit. Bij bestuurdersbeoordeling betrekt hij het vermogen om onder onzekerheid te leren en te handelen. Dit is geen parallel stelsel naast het bestaande governancekader. Het is een herordening van bestaande taken rond de vraag of de onderneming haar bestendige succes ook onder druk kan blijven nastreven.

Daarin schuilt de nuchterheid van goed toezicht. De raad hoeft niet alles te voorzien, niet alles te beheersen en niet alles vast te leggen. Hij moet wel zorgen dat de onderneming haar kwetsbaarheden kent, haar keuzes kan verantwoorden en niet bij de eerste serieuze schok ontdekt dat efficiency ten koste is gegaan van bestaansvermogen.

Verhoog kwaliteit gesprek

Veerkracht is dus geen modieus addendum bij corporate governance. Zij is evenmin een uitnodiging aan commissarissen om te gaan besturen. Zij is de hedendaagse uitdrukking van toezicht op het bestendige succes van de onderneming.

De oproep aan commissarissen en toezichthouders is daarom eenvoudig en veeleisend. Maak veerkracht onderdeel van strategie, risicobeheersing, kapitaalallocatie, cultuur, opvolging en verantwoording. Schrap de stapeling, maar verhoog de kwaliteit van het gesprek. Accepteer dat sommige investeringen pas waarde tonen wanneer de schok komt. Verdedig langetermijnwaarde met feiten, niet met rituelen. En professionaliseer het toezicht zelf, want geen onderneming is veerkrachtiger dan de kwaliteit van haar bestuur en toezicht toestaat. Het doel is geen permanente alarmstand, maar geoefende rust.

Klik hier voor contact met Hugo Reumkens.