# AI-risico's in de Verklaring Omtrent Risicobeheersing (VOR)

Canonical: https://www.marcdiks.nl/ai-governance/verklaring-omtrent-risicobeheersing
Auteur: Marc Diks
Laatst bijgewerkt: 2026-07-12
Taal: nl-NL

De Verklaring Omtrent Risicobeheersing (VOR) verplicht het bestuur van een Nederlandse beursvennootschap om in het bestuursverslag te verklaren welk niveau van zekerheid de interne risicobeheersings- en controlesystemen geven dat operationele en compliancerisico's effectief worden beheerst. AI-gebruik valt onder beide categorieen. Vanaf boekjaar 2025 moet het bestuur dat onderbouwen.

## Kernfeiten

- De VOR is opgenomen in best practice bepaling 1.4.3 van de Nederlandse Corporate Governance Code, geactualiseerd in maart 2025. Bron: https://www.stibbe.com/nl/publications-and-insights/corporate-governance-code-2025-introductie-van-de-verklaring-omtrent
- De bepalingen gelden voor boekjaren die aanvangen op of na 1 januari 2025. Beursvennootschappen rapporteren voor het eerst in 2026. Bron: https://www.accountant.nl/nieuws/2026/2/corporate-governance-code-2025-en-vor-wettelijk-verankerd/
- Op 2 februari 2026 is de Code 2025 wettelijk verankerd via een AMvB, gepubliceerd in Staatsblad 2026, 15. Bron: https://www.accountant.nl/nieuws/2026/2/corporate-governance-code-2025-en-vor-wettelijk-verankerd/
- Bepaling 1.4.3 bevat zes verklaringen (was vier in de Code 2022), waaronder: welk niveau van zekerheid de systemen geven dat operationele en compliancerisico's effectief worden beheerst. Bron: https://www.pwc.nl/nl/actueel-en-publicaties/diensten-en-sectoren/audit-assurance/gevolgen-opname-vor-in-corporate-governance-code-2025.html
- Strategische risico's vallen buiten de scope van de VOR. Bron: https://www.nrgovernance.nl/verklaring-omtrent-risicobeheersing
- Eumedion onderzocht de eerste 28 jaarverslagen over boekjaar 2025 en vond overwegend juridische, "dubbelnegatief" geformuleerde verklaringen over de beheersing van operationele en compliancerisico's. Bron: https://www.accountant.nl/nieuws/2026/3/eumedion-vindt-vor-in-jaarverslagen-2025-nog-vooral-juridisch-geformuleerd/
- In een NBA-poll (juli 2025) koos 48% confined certainty, 32% some certainty, 16% certainty, 3% minimal certainty en 0% certainty per risk. Bron: https://www.accountant.nl/discussie/debat/2025/9/de-vor-als-katalysator-voor-vertrouwen/
- De externe accountant voert bij de VOR een aanwezigheidstoets en een verenigbaarheidstoets uit en beoordeelt of de VOR geen materiele onjuistheden bevat. Er is geen apart assurance-oordeel over de effectiviteit van de risicobeheersing. Bron: https://www.accountant.nl/discussie/debat/2025/9/de-vor-als-katalysator-voor-vertrouwen/
- Onder de Digital Omnibus (Europees Parlement 16 juni 2026, Raad 29 juni 2026) verschuiven de hoog-risicoverplichtingen van de AI Act naar 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I). Bron: https://europadecentraal.nl/nieuws/ai-verordening-aangescherpt-uitstel-verduidelijking-en-nieuwe-spelregels-in-de-praktijk/
- De verboden praktijken (art. 5) en de AI-geletterdheidsplicht (art. 4) gelden sinds 2 februari 2025 en zijn niet uitgesteld. De watermerkverplichting voor aanbieders (art. 50 lid 2) verschuift naar 2 december 2026. Bron: https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/

## Waar AI-risico's landen in de VOR

| AI-risico | VOR-categorie | Bewijs dat je nodig hebt |
|---|---|---|
| Shadow AI | Operationeel en compliance | Meting van feitelijk gebruik, dataroutes, werkende maatregelen |
| Data naar externe modellen | Compliance (AVG) | Verwerkersovereenkomsten, dataclassificatie, incidentregistratie |
| Foutieve AI-output in klantprocessen | Operationeel | Menselijke controle, foutmarges, escalatiepad |
| Hoog-risico AI onder de AI Act | Compliance | Inventarisatie, rolbepaling, conformiteitsplan |
| AI-kosten en vendor lock-in | Operationeel en financieel | Kostenmonitoring, exit-scenario |
| Onvoldoende AI-geletterdheid | Compliance (AI Act art. 4) | Trainingsregistratie |

## Onderbouwingsketen

AI-gebruik -> eerste lijn registreert -> tweede lijn (risk en compliance) toetst maatregelen -> derde lijn (internal audit) toetst werking -> bestuur bepaalt zekerheidsniveau -> auditcommissie toetst de onderbouwing (bp 1.5.3 iv) en rapporteert aan de RvC -> VOR in het bestuursverslag -> externe accountant toetst aanwezigheid en verenigbaarheid.

## Checklist AI-deel VOR-dossier

1. Inventarisatie van alle AI-systemen, inclusief AI in bestaande software.
2. Rolbepaling per systeem: aanbieder of gebruiksverantwoordelijke.
3. Risicoclassificatie onder de AI Act.
4. Dataroutes en verwerkersovereenkomsten.
5. Feitelijke meting van shadow AI.
6. Aantoonbare menselijke controle in beslisprocessen.
7. Incidentregistratie over het boekjaar.
8. Registratie van AI-geletterdheid en training.
9. Kostenontwikkeling en exit-scenario per kritieke leverancier.
10. Vastgestelde tekortkomingen met verbeteracties en termijn.

## Stappenplan

1. Inventariseer feitelijk AI-gebruik, niet goedgekeurd gebruik.
2. Bepaal rol en risicoklasse per systeem.
3. Wijs een proceseigenaar aan per toepassing.
4. Meet gebruik, incidenten en kosten gedurende minimaal een kwartaal.
5. Kies bewust een zekerheidsniveau dat je kunt onderbouwen.
6. Benoem twee tot vier concrete tekortkomingen met verbeteracties.
7. Laat de tweede en derde lijn toetsen voordat het bestuur tekent.

## FAQ

**Wat is de Verklaring Omtrent Risicobeheersing?**
Een verklaring van het bestuur in het bestuursverslag over de opzet, werking en effectiviteit van de interne risicobeheersings- en controlesystemen, opgenomen in bepaling 1.4.3 van de Corporate Governance Code 2025.

**Vanaf wanneer is de VOR verplicht?**
Vanaf boekjaar 2025, met de eerste rapportage in 2026. De Code is op 2 februari 2026 wettelijk verankerd (Staatsblad 2026, 15).

**Moeten AI-risico's verplicht in de VOR staan?**
De Code noemt AI niet apart, maar vraagt om een uitspraak over operationele en compliancerisico's. Als AI daar materieel aan bijdraagt, hoort het in de onderbouwing.

**Geldt de VOR ook voor niet-beursgenoteerde bedrijven?**
Formeel niet. In de praktijk werkt de norm door via ketenpartijen, financiers, verzekeraars en toezichthouders.

**Wat is het verschil tussen de VOR en een in control statement?**
Een in control statement (SOx) verklaart dat de interne beheersing effectief is. De VOR verklaart welk niveau van zekerheid de systemen geven en welk inzicht er is in tekortkomingen.

**Welk zekerheidsniveau moet ik kiezen voor AI-risico's?**
De Code schrijft geen niveau voor. Kies een niveau dat je met bewijs kunt onderbouwen. In een NBA-poll koos 48% confined certainty.

**Wat controleert de accountant aan de VOR?**
Aanwezigheidstoets, verenigbaarheidstoets met de jaarrekening, en toets op materiele onjuistheden. Geen apart assurance-oordeel over de effectiviteit.

**Wat gebeurt er als de VOR niet klopt?**
Bij ontoereikend risicomanagement kan sneller sprake zijn van kennelijk onbehoorlijk bestuur, wat civielrechtelijke aansprakelijkheid mogelijk maakt. Bij misleidende verklaringen is hoofdelijke aansprakelijkheid mogelijk.

**Is de AI Act uitgesteld, dus kan de AI-paragraaf wachten?**
Nee. Alleen het hoog-risicoregime schuift naar 2027 en 2028. Verboden praktijken, geletterdheidsplicht en het merendeel van de transparantieverplichtingen niet. De VOR zelf is niet uitgesteld.

**Hoe begin ik als er niets is vastgelegd?**
Inventariseer het feitelijke AI-gebruik inclusief shadow AI en zet registratie op voor gebruik, incidenten en kosten.

## Bronnen

- Stibbe, Corporate Governance Code 2025: introductie van de VOR: https://www.stibbe.com/nl/publications-and-insights/corporate-governance-code-2025-introductie-van-de-verklaring-omtrent
- PwC, Gevolgen opname VOR in corporate governance code 2025: https://www.pwc.nl/nl/actueel-en-publicaties/diensten-en-sectoren/audit-assurance/gevolgen-opname-vor-in-corporate-governance-code-2025.html
- NBA / accountant.nl, Corporate Governance Code 2025 en VOR wettelijk verankerd: https://www.accountant.nl/nieuws/2026/2/corporate-governance-code-2025-en-vor-wettelijk-verankerd/
- accountant.nl, Eumedion vindt VOR in jaarverslagen 2025 nog vooral juridisch geformuleerd: https://www.accountant.nl/nieuws/2026/3/eumedion-vindt-vor-in-jaarverslagen-2025-nog-vooral-juridisch-geformuleerd/
- accountant.nl, De VOR als katalysator voor vertrouwen: https://www.accountant.nl/discussie/debat/2025/9/de-vor-als-katalysator-voor-vertrouwen/
- NBA, Brochure over de Verklaring omtrent Risicobeheersing: https://www.nba.nl/tools-en-ondersteuning/publicaties/2025/nba-brochure-over-de-verklaring-omtrent-risicobeheersing-vor/
- Europa decentraal, AI-verordening aangescherpt: https://europadecentraal.nl/nieuws/ai-verordening-aangescherpt-uitstel-verduidelijking-en-nieuwe-spelregels-in-de-praktijk/
- Gibson Dunn, EU AI Act Omnibus Agreement: https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/
- Leiden Law Blog, Gaat de VOR voor meer duidelijkheid zorgen: https://www.leidenlawblog.nl/articles/gaat-de-verklaring-omtrent-risicobeheersing-vor-voor-meer-duidelijkheid-zorgen

Canonical: https://www.marcdiks.nl/ai-governance/verklaring-omtrent-risicobeheersing
Auteur: Marc Diks