4
Informatietechnologie en digitalisering
Informatietechnologie (IT) en digitalisering zijn onderwerpen waar veel over gezegd en geschreven wordt: de ontwikkelingen gaan razendsnel. Wat moet de RvC in het kader van toezicht op financiën weten en welke vragen moet de toezichthouder stellen?
(Auteur: Nico Overdevest, lid Raad van Bestuur Woningstichting Rochdale)
Introductie
In dit hoofdstuk beschrijven we in vogelvlucht de ontwikkelingen in IT en digitalisering en de gevolgen voor corporaties. Uiteraard gaat het in deze handreiking vooral over de financiële functie van de corporatie in relatie tot digitalisering.
De VTW heeft een aparte handreiking over toezicht op digitalisering en IT gepubliceerd.
https://www.vtw-publicaties.nl/toezicht-op-digitalisering-en-informatietechnologie/
De financiële functie van corporaties heeft sinds het begin van de automatisering een cruciale rol gespeeld in de vernieuwingen op het IT- vlak. Dat IT/digitalisering bij verreweg de meeste corporaties onder directe verantwoordelijkheid staat van de financieel eindverantwoordelijke functionaris is hieraan zeker debet. Grote corporaties hebben een manager IT/Digitalisering die verantwoording aflegt aan de financieel directeur of bestuurder. Bij kleine(re) corporaties is deze rol meestal onderdeel van de afdeling Financiën of Bedrijfsvoering.
4.2 Verandering van de financiële functie
De financiële functie van corporaties is sterk aan verandering onderhevig, door de digitalisering. Wat houdt die verandering in? Vanaf de jaren ’90 kregen de corporaties de automatisering van de administratie en kantoorautomatisering (Office), daarna logistiek en uiteindelijk de ERP (Enterprise Resource Planning). Sinds het afgelopen decennium steken corporaties veel energie in klantoplossingen met portals of apps, en verbetering van bedrijfsprocessen (zoals inkomende facturen, incasso, verhuur, onderhoud, etc.). Innovaties zoals robotics worden steeds meer ingezet om bedrijfs- en niet in de laatste plaats financiële - processen te verbeteren. En daarnaast werken corporaties steeds meer met data: door data-analyse kunnen zij efficiënter werken en activiteiten (zoals onderhoud) beter voorspellen.
De digitalisering gaat gepaard met grote investeringen in nieuwe technologieën, zoals datamanagement, Cloud en ook nieuwe vormen van architectuur. Vergaande outsourcing van beheer leidt tot applicaties in de Cloud. Corporaties moeten nieuwe golven van technische mogelijkheden functioneel beheersen. Daarnaast moet de ondersteuningsrol aan de primaire bedrijfsdoelstellingen gewaarborgd en gecontroleerd worden.
Nieuwe digitale ontwikkelingen volgen zich steeds sneller op. Het aantal aanbieders op de corporatiemarkt is groot en onoverzichtelijk, en de geboden opties en oplossingen lijken oneindig.
De financiële functie en de IT-functie trekken vaak samen op bij veranderingen en vernieuwing van informatievoorziening: digitale technieken ondersteunen het proces om de bedrijfsmatige doelstellingen te behalen en deze financieel te beheersen.
De verregaande digitalisering maakt de organisatie ook kwetsbaarder. De RvC moet goed oog hebben voor de risico’s: wat zijn de gevolgen als de robotics uitvallen of het ERP-systeem bij een upgrade vastloopt?
4.3 Digitale transitie en de gevolgen voor financiën
Hoewel corporaties vanwege hun rol in de samenleving (en misschien ook als gevolg van incidenten in de recente geschiedenis) voorzichtig opereren en niet altijd vooroplopen met vernieuwingen, heeft de sector - na de bankencrisis van ca 10 jaar geleden - de digitale transitie breed omarmd.
De grote bezuinigingsopgaven en reorganisaties tijdens en na de kredietcrisis hebben geleid tot meer focus op efficiency, en daarmee op digitalisering van bedrijfsprocessen. De invoering van het huurdersoordeel in de Aedesbenchmark stimuleert corporaties ook om de klantprocessen te verbeteren, inclusief de digitalisering van die processen.
Waar corporaties voorheen informatietechnologie (IT) inzetten om processen te ondersteunen, nemen geautomatiseerde processen het werk nu steeds vaker over. De digitale transitie gaat bij corporaties nu vooral over de verbetering en ontwikkeling van klantprocessen en bedrijfsprocessen.
De financiële functie van de corporatie investeert in de maximale automatisering van rapportageprocessen, onder meer met behulp van BI-tools zoals Power BI. Voor het maken van meerjarenprognoses zijn diverse softwaretools in de markt beschikbaar. Sinds de invoering van de “marktwaarde in verhuurde staat” hebben leveranciers ook producten ontwikkeld om deze waarde te berekenen en te analyseren: TMS of Taxatie Management Software (met certificering).
Certificering is noodzakelijk omdat de waardering (berekend door de software) van materieel belang is voor de jaarrekening en de financieringsruimte. Het is daarvoor verstandig om na te gaan of de software voor alle kernapplicaties door een EDP-auditor is gecertificeerd.
De financiële functie kan samen met IT de lijnafdelingen ondersteunen om de kwaliteit van de bedrijfsvoering en de dienstverlening op een hoger niveau te brengen. Veel repeterend werk wordt daarbij geautomatiseerd. Het aantal mensen direct werkzaam in vooral het uitvoerende deel van de financiële kolom loopt snel terug.
Van de financiële experts wordt steeds meer kennis verwacht op het gebied van IT/digitalisering en informatievoorziening. Corporaties moeten continu aandacht hebben voor verbetering en vernieuwing op deze gebieden, maar ook voor de ontwikkeling van de medewerkers. Medewerkers met digitale skills aantrekken, kan de corporatie helpen om de digitale ontwikkeling te versnellen. Een goede strategische personeelsplanning kan hierbij ondersteuning bieden.
Corporaties doen er verstandig aan om een digitale strategie op te stellen: wat is de ambitie of het beleid voor de bijvoorbeeld komende 3 tot 5 jaar? De RvC moet hiervan op de hoogte zijn (of bij het bestuur navraag doen) zodat helder is welke uitgangspunten de corporatie kiest en wat de belangrijkste doelen zijn.
4.4 Invloeden van buitenaf en binnenuit
Invloeden van buitenaf hebben een belangrijke digitale component. De externe toezichthouders vragen andere, betere en gestandaardiseerde informatie die elektronisch wordt aangeleverd of zelfs autonoom kan worden opgehaald. Aansturing en terugkoppeling van en naar onze relaties zoals aannemers, gebeurt alleen nog maar elektronisch. Controles door accountants zullen ook grotendeels geautomatiseerd gaan plaatsvinden met directe toegang tot primaire informatiebronnen. Er wordt al gekeken naar systemen die alle transacties continu monitoren en (van de norm) afwijkende transacties signaleren.
De huurders benaderen corporaties steeds meer via verschillende digitale kanalen als portals, apps, chatfunctie en mail in plaats te bellen of langs te komen aan de balie. Ook het beheer van social media als Facebook, Twitter, LinkedIn, etc. vraagt aandacht en nieuwe competenties in de organisatie.
De invloeden van binnenuit zijn niet kleiner. Corporaties werken volgens standaarden op basis van de elementen die de IT-leveranciers hebben aangedragen. Die leveranciers hebben ieder hun eigen technieken en datasets. Waar vroeger het achteraf vaak mogelijk was om zaken aan elkaar te knopen en op te lossen met bijvoorbeeld Excel-koppelingen en kleine aanpassingen, is dat nu met de steeds verdergaande integratie van de systemen niet meer mogelijk. Data-fouten en ontbrekende data leiden dan tot verstoring van digitale processen of verkeerde informatie. De roep om verdergaande verbetering door digitalisering van klant- en bedrijfsprocessen én om meer en betere informatie neemt toe: die vraag landt op het bordje van de functies IT en/of financiën.
4.5 Keuzes in het verleden bepalen mede de vernieuwing in de toekomst
Keuzes uit het verleden ten aanzien van IT zijn bepalend voor de mogelijkheden nu. Corporaties hebben vaak vele tientallen tot zelfs een paar honderd applicaties. Het ERP-systeem is de kern of het hart van dit applicatielandschap. Hieromheen zijn veel aanvullende applicaties gepositioneerd, soms direct geïntegreerd in het ERP-systeem - als het van dezelfde leverancier is -, maar vaker met behulp van koppelvlakken (bijvoorbeeld API’s of Application Programming Interface) aan het ERP-systeem vastgemaakt. Voor meer informatie over het landschap van ERP-systemen en -leveranciers zie bijgaand artikel:
Om een voorbeeld te geven van welke (type) applicaties gebruikt worden, staat hieronder een sterk vereenvoudigd overzicht. Elk onderdeel staat voor een applicatie die één of meerdere functionele gebieden van een corporatie ondersteunt. Denk hierbij aan de keuze voor één van de sectorspecifieke ERP-pakketten.
Figuur 1. Voorbeeld van een applicatielandschap in de corporatiesector.
De traditioneel centrale positie van een ERP-pakket resulteert vaak in een inflexibiliteit in het landschap en een sterke afhankelijkheid van een applicatie/leverancier. Vanwege de zich snel ontwikkelende behoefte van de stakeholders en de groei in technologische mogelijkheden, kiezen corporaties steeds meer voor een vergroting van flexibiliteit en daarmee meer onafhankelijkheid van leveranciers.
De mogelijkheid om op eenvoudige, uniforme én veilige wijze applicaties van verschillende leveranciers met elkaar te koppelen en/of te integreren, wordt daardoor steeds belangrijker. Denk hierbij aan de inzet van open standaarden, generieke koppelvlakken en samenwerkingsplatformen.
4.6 Corporaties staan voor belangrijke beslissingen
De ontwikkelingen in digitalisering leiden tot veel vragen voor corporaties. Wat doen we zelf en wat hebben we geoutsourcet? Is dat het technisch machinepark en beheer, of zijn het ook de applicaties en in sommige gevallen zelfs de processen? Hebben corporaties eigen informatie in een eigen datawarehouse opgenomen of vallen ze terug op de database van de leveranciers?
Corporaties kunnen heel goed in de achteruitkijkspiegel kijken en zien wat ze opgebouwd hebben. Naar voren kijken is een stuk lastiger. Bij vernieuwing of verandering van het IT-landschap is het noodzakelijk om in een selectietraject de gevolgen van keuzes goed af te wegen. De financiële functie kan het beste de gevolgen voor de financiële processen en managementinformatie afwegen. Bij uitstek in de financiële kolom is de kwaliteit, betrouwbaarheid en integriteit van data van groot belang, zowel voor de financiële verantwoording als voor de financiële sturing.
Het belang van goede kwaliteit van data wordt inmiddels breed onderkend. Corporaties steken veel energie in het compleet en betrouwbaar krijgen van hun datasets, veelal gericht op data over huurders of de verhuureenheden. De kwaliteit van managementinformatie neemt hierdoor sterk toe. Data-analyse en werken aan voorspellende datamodellen wordt geleidelijk meer toegepast binnen corporaties. Zowel de interne beheersing van de organisatie als de beleidsmatige sturing kan hierdoor aan kwaliteit winnen.
De digitale transitie gaat veel veranderen voor medewerkers en processen. De keuzes van vandaag moeten bijdragen aan een situatie die corporaties over bijvoorbeeld 3 tot 5 jaar bereikt willen hebben. Met de digitale transitie zet de financiële functie de volgende stap in het optimaliseren van de bedrijfsinformatie-strategie en de informatievoorziening die daaruit voortkomt. Iedere medewerker binnen de organisatie en elke relatie buiten de organisatie krijgt de juiste informatie op het juiste tijdstip.
4.7 Naar system to system, toepassing SBR EN XBRL
Aedes heeft eind 2017 het convenant VIW (Verbetering Informatievoorziening Woningcorporaties) afgesloten met het ministerie van BZK, de AW en het WSW.
Het convenant bevat afspraken om de kwaliteit van de verantwoordings- en prognose-informatie (inclusief dVi en dPi) te verbeteren en de uitwisseling van deze informatie tussen partijen meer geautomatiseerd te laten verlopen. In de afgelopen decennia is de rapportagedruk voor de corporaties sterk toegenomen. Met het automatiseren van rapportages wordt ook gekeken naar de complexiteit. De administratieve externe rapportagedruk zal met 10% per jaar verminderen over een periode van 5 jaar zodat 50% vermindering in totaal gerealiseerd wordt.
In onderstaand model ziet het er als volgt uit:
SBR:
Standaard Business Reporting is de exclusieve aanlevermethode voor een aantal verplichte rapportages aan de overheid en is de rapportagestandaard voor gestructureerd digitaal gegevensverkeer tussen ondernemingen en de overheid. Met SBR Wonen kunnen bedrijfsmatige rapportages gestandaardiseerd worden verzonden naar verschillende ontvangers.
XBRL.:
eXtensible Business Reporting Language is een open standaard (taal) om rapportages op te stellen en uit te wisselen op basis van een vastgestelde taxonomie.
dVi en dPi
De inhoud van de dVi en dPi en de daarbij gebruikte definities van de elementen waarop verantwoord wordt. Deze definities zijn vastgelegd in de openbare -CORA/VERA-standaarden, met daarbij specifiek voor financiële verantwoording de RGS (Referentie Grootboek Schema) elementen. Zoals de RJ als standaard voor de wijze van financieel verantwoorden wordt gebruikt bij alle corporaties, vormt RGS de standaard voor de financiële administratie.
Rapportage formaat
Het rapportage-formaat is een afgeleide van de Nederlandse uniforme standaard SBR (Standard Business Reporting). Deze wordt beheerd door SBR Wonen, een samenwerking van de convenantpartijen.
De data-uitwisseling via SBR Wonen.
Waar tot nu toe iedere informatie-vragende partij direct vanuit de corporatie bediend werd, hoeft de standaard aanlevering straks maar eenmaal aan SBR Wonen plaats te vinden waarna zij de verdere distributie en formattering verzorgen. SBR Wonen heeft dit opgezet en beheert de portal voor de aanlevering. Om de data op de plaats van bestemming te krijgen, SBR-Wonen in dit geval, moeten zender en ontvanger dezelfde taal gebruiken. Hier is voor de internationale standaard XBRL gekozen.
Het geheel van standaarden voor rapportages is hiermee rond. RGS voor de financiële administratie, SBR voor de rapportage-inhoud en XBRL voor het transport formaat.
Goede voorbereiding
Digitalisering kan helpen processen geautomatiseerd te laten verlopen en rapportages uniform te produceren, maar vraagt wel voorbereiding van de corporatie. Onder andere moet worden nagedacht hoe de corporatie RGS gaat toepassen. Als het alleen gaat om de dVi- en dPi-rapportage gaat de investering niet opwegen tegen de voordelen die de corporatie behaalt, maar er is veel meer mogelijk.
Zo kan met de invoering van SBR/RGS ook de Planning & Control- cyclus en de daarop gebaseerde gegevens worden vereenvoudigd en verbeterd. Invoering zorgt er impliciet voor dat in de organisatie veel aandacht wordt besteed aan de verbetering van datakwaliteit, simpelweg omdat het anders niet werkt. Met een goede aanpak kan ook veel handmatig rekenwerk met Excel vervallen en neemt de reproduceerbaarheid van rapportages intern en extern toe. De verschillen tussen interne en externe rapportages kunnen verkleinen en de afhankelijkheid van specifieke personen die de formules kennen wordt kleiner. De kwaliteit van de rapportages van de meer gedetailleerde informatie aan het management tot aan de gecomprimeerde informatie aan de RvC neemt hierdoor sterk toe.
De technische inrichting biedt de mogelijkheid om de accountant online toegang te geven en controle-processen te vereenvoudigen. Met een goede aanpak kan financieel afsluiten veel frequenter worden uitgevoerd en is de interne managementinformatie in de vorm van dashboards sneller en accurater ter beschikking. Dit gaat echter niet vanzelf. Sturing door het financieel management is hierbij uiterst belangrijk.
4.8 Samenwerking tussen corporaties
Corporaties – ook de grote - zijn als het gaat om digitalisering toch relatief kleine organisaties met beperkte budgetten. In de sector maken corporaties wel eens de vergelijking met banken of verzekeraars, maar die hebben toch aanzienlijk grotere aantallen klanten, zodat investeringen in IT en digitalisering sneller renderen. De afhankelijkheid van bestaande leveranciers, zeker van ERP- systemen, is groot. Samenwerking tussen corporaties helpt om de digitalisering een stimulans te geven. Onderlinge kennisdeling, samen optrekken bij vernieuwing, beïnvloeding van de roadmap van de (ERP) leverancier zijn voorbeelden. Er zijn inmiddels enkele voorbeelden waarbij corporaties van veelal gelijke omvang samenwerken. Meestal is het gebruik van eenzelfde ERP systeem hierbij de aanleiding.
4.9 Security en privacy
De toenemende digitalisering maakt corporaties meer dan ooit afhankelijk van IT-systemen. Uitval van computers of telecommunicatiesystemen, het gecorrumpeerd raken van gegevensbestanden, het door onbevoegden kennisnemen dan wel manipuleren van bepaalde gegevens, de gijzeling van software (ransomware) of hacking kan ertoe leiden dat de bedrijfsvoering in gevaar komt.
Beveiligingsincidenten gaan over meer dan geld alleen. Woningcorporaties beheren ook veel persoonsgegevens. Het waarborgen van de privacy van huurders en vertrouwelijkheid van informatie is essentieel. Informatiebeveiliging is het proces dat deze betrouwbare informatievoorziening borgt. Het opnemen van informatiebeveiliging als kwaliteitscriterium voor een gezonde bedrijfsvoering is tegenwoordig niet langer een keuze, het is bittere noodzaak geworden.
Het is verstandig om periodiek een risicoanalyse op te stellen om de risico’s die samenhangen met informatiebeveiliging en de mogelijke maatregelen in beeld te hebben. Veel corporaties, zeker de grotere, hebben hiervoor een functionaris aangesteld, de CISO of Chief Information Security Officer. Deze functionaris ziet in het bijzonder toe op de risico’s die met digitalisering gepaard gaan. In ieder geval moet er binnen de corporatie voldoende aandacht voor zijn.
CorpoNet is het netwerk voor woningcorporaties op het gebied van Informatisering & Automatisering (www.corponet.nl). CorpoNet heeft de BIC, Baseline Informatiebeveiliging (woning)Corporaties, ontwikkeld welke is afgeleid van de vergelijkbare internationale beveiligingsnorm. De BIC beschrijft specifiek voor woningcorporaties de basisnormen en maatregelen ten behoeve van controle en risicomanagement aan de hand van dezelfde indeling als de genoemde ISO-norm. https://corponet.nl/wp-content/uploads/2020/04/Baseline-Informatiebeveiliging-woning
Corporaties-2019-versie-3.0.pdf
4.10 Aandachtspunten voor de interne toezichthouder
De RvC zou minimaal een keer per jaar in brede zin stil moeten staan bij de ontwikkelingen van de IT en digitalisering bij de corporatie en met het bestuur de stand van zaken en het beleid bespreken, inclusief de gevolgen en mogelijkheden van digitalisering voor de financiële functie.
Vragen die de toezichthouder kan stellen zijn:
- hebben we een digitaliseringsbeleid of -ambitie en welke relatie is er met c.q. welke gevolgen heeft dit voor de financiële functie?
- is er inzicht in het applicatielandschap en welke zijn relevant voor financiële functie?
- Shoppen we zoveel mogelijk bij één (ERP)leverancier of halen we het beste uit de markt?
- Standaardiseren we zoveel mogelijk of accepteren we ook maatwerk?
- Hoe gaan we om met datamanagement en -beheer, is er een eigen datawarehouse?
- Gaan we data ook gebruiken voor analyses en voorspellende modellen, zowel in bedrijfsmatige als financiële zin?
- Denken we na over toepassing RGS, SBR, etc.?
- Hoe is de samenwerking met de leveranciers en/of collegae corporaties?
- Is er voldoende aandacht voor informatiebeveiliging, cybersecurity, privacy, etc.?
- In hoeverre hebben wij voldoende IT-capaciteit en up-to-date kennis in huis?
- Heeft de organisatie voldoende kennis over en voor de digitale transitie?
- Welke gevolgen heeft de corona-crisis voor IT?