hoe integreer ik duurzaamheidsrisico's in ons risicobeheer

ESG-risico's horen in het bestaande risicoregister, niet in een los document

De vraag "hoe integreren we duurzaamheidsrisico's in ons risicobeheer" krijg je terug in vragenlijsten als een simpele ja/nee-vraag, maar het antwoord dat erachter moet zitten is een proces: ESG-risico's (klimaat, mensenrechten in de keten, governance) worden meegenomen als onderdeel van het bestaande risicomanagement, niet als apart duurzaamheidstraject ernaast. Wie kan laten zien dat er één risicoregister is waarin ESG-onderwerpen naast financiële en operationele risico's staan — met eigenaar, impact en beheersmaatregel per risico — kan de vraag met ja beantwoorden. Wie ESG-risico's alleen in een los duurzaamheidsverslag noemt zonder koppeling aan het risicobeheer, kan dat niet.

Voor de basismodule die kleinere leveranciers vaak krijgen voorgelegd, is de lat lager dan bij een volledige rapportage: het gaat om een herkenbare, beknopte beschrijving van de belangrijkste risico's en wat je erop doet, niet om een uitgewerkte risicomatrix met kwantificering. Governance-risico's raken hier vaak aan onderwerpen die al elders in de vragenlijst terugkomen — of er een procedure is voor het melden van belangenverstrengeling hoort bijvoorbeeld net zo goed bij ESG-risicobeheer als bij governance-vragen apart. Heb je dat proces nog niet vastgelegd, dan is "nee" met een korte toelichting het eerlijke antwoord — niet "ja" omdat het ergens impliciet wel gebeurt.

Waar dit op teruggaat: de basismodule van EFRAG VSME

De basismodule van de vrijwillige EFRAG VSME-standaard voor niet-beursgenoteerde mkb-ondernemingen vraagt om een beknopte beschrijving van de praktijken, beleidslijnen en toekomstige initiatieven op het gebied van ESG, wat in de praktijk neerkomt op integratie in het risicobeheer in plaats van een gescheiden traject. Richtlijn (EU) 2022/2464 (CSRD) is de achtergrond hiervan voor grotere ondernemingen in de keten, en verklaart waarom ook kleinere leveranciers deze vraag steeds vaker van hun klanten krijgen: die klanten moeten zelf over hun keten rapporteren. Wie in de vragenlijst ook iets leest over een meldregeling voor misstanden, kan dat apart afvinken via hoe je de vraag over een klokkenluidersregeling invult — dat is een governance-onderdeel dat vaak los van het ESG-risicoblok wordt gevraagd, maar er inhoudelijk wel bij aansluit.