Governance

Het organogram van de SVB ziet er als volgt uit:

De leden van de raad van bestuur delen gezamenlijk de verantwoordelijkheid voor het besturen van de organisatie. De minister van SZW meldt de benoeming van de leden van de raad van bestuur in de ministerraad. De raad van bestuur bestond in 2025 uit dhr. drs. S.T. (Simon) Sibma (voorzitter, tot 1 april 2025), mevr. drs. D.T.H. (Diana) Starmans (lid tot en met 31 maart 2025, voorzitter vanaf 1 april 2025), mevr. drs. H.A.M. (Hellen) van Dongen en dhr. drs. E.J. (Edward John) Paulina (vanaf 1 september 2025). De leden van de raad van bestuur worden ondersteund door het directieteam. Het directieteam is verantwoordelijk voor de dagelijkse sturing van de SVB. De Chief Change Officer (CCO) en de Chief Information Officer (CIO) adviseren de raad van bestuur. De Audit Dienst (AD) voert audits uit en rapporteert hierover aan het verantwoordelijk management en aan de raad van bestuur. Daarnaast certificeert de AD –in opdracht van de raad van bestuur– de diverse verantwoordingen van de SVB en geeft zij een verklaring bij de geautomatiseerde gegevensverwerking.

De raad van bestuur kent een aantal onafhankelijke adviesorganen, te weten de Raad van Advies, de Audit Committee en de Cliëntenraad SVB. Deze adviesorganen hebben elk eigen aandachtsgebieden. Alle adviesorganen brengen gevraagd en ongevraagd advies uit aan de raad van bestuur en bestaan uit externe leden.

Raad van advies (RvA)

De raad van advies adviseert de raad van bestuur als het gaat om besluitvorming over strategische aangelegenheden voor de organisatie en bestaat uit externe vertegenwoordigers met een verscheidenheid aan expertises. In 2025 is naast de reguliere strategische en inhoudelijke advisering aanvullend aandacht geweest voor het dienstverleningsconcept, de meerjarenkoers, algoritmebeleid en organisatieontwikkeling.

Overlegfrequentie: 4 keer/jaar, daarnaast tussentijdse afstemming tussen voorzitter RvA en voorzitter RvB.

Cliëntenraad SVB (CR)

De Cliëntenraad SVB bestaat uit een afvaardiging van burgers en belangenorganisaties. De Cliëntenraad helpt met gevraagde en ongevraagde adviezen de kwaliteit van de dienstverlening te verbeteren. In 2025 adviseerde de Cliëntenraad onder ander over de vijfde knelpuntenbrief van de SVB en over nieuwe wetgeving en beleidsregels. De Cliëntenraad heeft geparticipeerd in de verkenning ‘cliëntenparticipatie’ zoals die door het ministerie van SZW wordt uitgevoerd. Belangrijke agendapunten van overleggen met de Cliëntenraad waren de Meerjarenkoers, het SVB dienstverleningsconcept, leefvormen AOW, de menselijke maat in de praktijk en risicogerichte handhaving.

Overlegfrequentie met de raad van bestuur: 4 tot 6 keer per jaar

Audit Committee

De Audit Committee functioneert als reflectie- en adviesorgaan voor de raad van bestuur. De Audit Committee adviseert op een aantal belangrijke terreinen, zoals de kwaliteit van de (financiële) bedrijfsvoering, de financiële verslaglegging en de jaarverantwoording. De Audit Committee bestaat uit drie externe leden, waarvan de voorzitter tevens lid is van de Raad van Advies. Eén van de leden wordt voorgedragen door het ministerie van SZW. In 2025 zijn, naast het Jaarplan 2026 en de verschillende verantwoordingen over 2024, de volgende onderwerpen besproken: NIS2/ cyber security, meerjarenkoers, productiviteit, ziekteverzuim en toprisico’s.

Overlegfrequentie: 4 keer per jaar

Er wordt op twee manieren extern toezicht uitgevoerd op de SVB, naast de eerdergenoemde interne afdelingen zoals de Audit Dienst. Er vindt organisatiegericht toezicht plaats vanuit SZW en doeltreffendheidstoezicht vanuit de Nederlands Arbeidsinspectie (NLA). Zij onderzoeken of de SVB op de juiste wijze invulling geeft aan taken, en nu en in de toekomst ‘in control’ is over diens uitvoering. Zo garanderen de SVB en het ministerie samen dat we het belangrijkste doel, namelijk de bestaanszekerheid van alle burgers in Nederland, niet uit het oog verliezen. Een aantal toezichthouders is op specifieke terreinen actief, zoals privacywetgeving en de dienstverlening aan burgers, en zijn er andere organisaties die samen met de SVB bijdragen aan de signalering van knelpunten. In deze paragraaf worden de relevante ontwikkelingen in toezicht en externe signalering belicht.

Evaluatie Sturing, Samenwerking en Toezicht SUWI (2025)

Onderzoek naar de opzet, werking en effectiviteit van sturing, samenwerking en het toezicht maakt onderdeel uit van de vijfjaarlijkse evaluatie van de Wet SUWI. In 2025 is dit onderzoek uitgevoerd door Adviesbureau Berenschot, waarin de conclusie is dat sturing en samenwerking tussen SZW en SVB sinds 2020 duidelijk verbeterd zijn, onder meer dankzij de inzet van een stewardship-model. Er is meer vertrouwen en transparantie in de interactie gekomen maar die moet ook in spannende situaties standhouden. Risicomanagement, prestatie-indicatoren en informatie-uitwisseling blijven belangrijke ontwikkelgebieden. Een belangrijke conclusie uit het rapport ondersteunt de oproep van de SVB tot vereenvoudiging van wet- en regelgeving. Vereenvoudiging draagt bij aan uitvoerbaarheid en daarmee ook aan betere sturing, toezicht en samenwerking. Berenschot erkent dat er verschillen in perspectief zijn over wat werkbare toezicht en sturing betekent. Tijdens een werkconferentie SVB-UWV-SZW in het najaar zijn dilemma’s en uitdagingen rond samenwerking, sturing en toezicht gezamenlijk verkend.

Weerbaarheid (basis)registraties

De SVB is geselecteerd voor een onderzoek naar weerbaarheid van de Basisadministratie Volksverzekeringen. Uitvraag is december 2025 gestart en veldwerk loopt door in 2026. Publicatie van het rapport is gepland in najaar 2026.

Risicomanagement is een zaak van alle organisatieniveaus en maakt onderdeel uit van de reguliere P&C-cyclus. De raad van bestuur is eigenaar van het risicomanagement en is samen met het directieteam verantwoordelijk voor het creëren van een risicobewuste cultuur, het vaststellen van de risk appetite en het herijken en managen van de (top)risico’s die de realisatie van de gestelde doelen bedreigen. Het doorontwikkelen van beleid en het structureren van de risicomanagementprocessen (zowel bottom-up als top-down) is gedelegeerd aan de directeur Bedrijfsvoering, bijgestaan door de concern risicomanager. De decentrale risicomanagers ondersteunen, coördineren en adviseren de directies bij het beheersen van de risico’s, het uitvoeren van control risk self-assessments inclusief het vaststellen en bewaken van de risicostrategie. De Audit Dienst ziet onafhankelijk toe op de opzet en werking van het gehele risicobeheersingssysteem. Tot slot adviseert het Audit Committee over het risicomanagementbeleid en de uitkomsten daarvan.

Ontwikkeling toprisico’s 2025

Op basis van de doelstellingen en na bespreking in de Audit Committees (SVB en SZW) zijn de toprisico’s begin 2025 door de raad van bestuur vastgesteld. Daarnaast heeft zij in 2025 (en recent ook in 2026) de risk appetite herijkt. Een expliciete beschrijving van de risk appetite, de zogenaamde ‘stoepranden waartussen gereden moet worden’, geeft medewerkers en leidinggevenden een centraal handelingsperspectief en vergroot de besluitvaardigheid en daarmee de realisatiekracht. Het reduceert de kans dat, door onwetendheid of onbegrip, er ongewenste situaties ontstaan in het managen van risico’s of het waarderen van prestaties.

In 2025 is via de reguliere P&C-cyclus de voortgang van de belangrijkste beheersmaatregelen (key controls) en aanvullende acties – gericht op het reduceren van de toprisico’s – gemonitord en waar nodig bijgestuurd. Hieronder worden de toprisico’s kort toegelicht.

Cybercrime

Het risico op cybercrime (toprisico 3) door statelijke en criminele actoren blijft onverminderd groot. Volledige uitsluiting van cyberincidenten is niet mogelijk; absolute veiligheid is economisch niet haalbaar en beperkt bovendien de toegankelijkheid voor burgers, en daarmee de maatschappelijke baten. Daarom is het essentieel om niet alleen in te zetten op risicobewustzijn en risicobeheersing, maar ook op voorbereiding en effectieve besluitvorming bij cyberincidenten. Het versterkte Security Operations Center speelt hierbij een centrale rol door continue monitoring, waardoor incidenten, in het bijzonder rond de kritieke applicaties, tijdig worden gesignaleerd en passende besluitvorming mogelijk is.

Tekort aan gekwalificeerde medewerkers

Het risico op kennis en expertiseverlies (toprisico 9) ontwikkelt zich positief, met een afname van reguliere vacatures binnen zowel de dienstverlening als de staf. Binnen IT blijft het risico vooralsnog hoog, omdat de aanpassing van de mix van externe naar meer interne capaciteit zorgvuldig en gefaseerd verloopt. Personele ondersteuning wordt verder geboden door blijvende investeringen in het eigen-regiemodel en in de training van leidinggevenden op het gebied van verzuim- en inzetbaarheidsbegeleiding.

Kwaliteit van de dienstverlening onder druk

De kwaliteit van de dienstverlening staat onder druk (toprisico 6) door het toenemende aantal gerechtigden (vooral internationaal), de complexiteit van regelgeving en het ontbreken van essentiële functionaliteiten in systemen. Door voortgang op het vereenvoudigen van beleid, het terugdringen van herwerk onder meer door te sturen op het in één keer correct bedienen van de burger (First Time Right) en adequate personele inzet is het gecombineerde risico van tijdigheid en rechtmatigheid in de laatste maanden van 2025 gereduceerd.

Het voldoen aan de uitgebreide arbeids- en pgb-wetgeving legt een zware druk op budgethouders en vormt een risico voor de toekomstbestendigheid van de uitvoeringstaken die de SVB binnen het pgb-domein vervult. Naast een knelpuntenbrief aan de Tweede Kamer zijn binnen de organisatie maatregelen genomen, waaronder het versterken van de vakinhoudelijke kennis en deskundigheid van teamcoaches en medewerkers en de tweewekelijkse sturing via de Obeya-structuur. De beheersing van het risico ontwikkelt zich in positieve zin, hetgeen wordt bevestigd door klanttevredenheidsonderzoeken waaruit blijkt dat de vastgestelde KPI’s voor kwaliteit en klanttevredenheid zijn behaald.

Gebrek aan wendbaarheid dienstverlening

Het risico op onvoldoende wendbaarheid van de dienstverlening (toprisico 5) is licht afgenomen. Er is veel voortgang geboekt in het realiseren van gestroomlijnde softwareontwikkel- en leveringsprocessen, waardoor nieuwe functionaliteiten sneller en betrouwbaarder beschikbaar komen. In het project IT Infrastructuur Sourcing krijgt het opvolgen van de adviezen van het Adviescollege ICT-toetsing prioriteit.

Onethisch, niet integer, non-compliant handelen

Onethisch, niet integer of non-compliant handelen (toprisico 8) ondermijnt het vertrouwen in onze organisatie en de overheid in het algemeen. Daarom streven wij naar een organisatiecultuur waarin ruimte is voor een gebalanceerd en kritisch tegengeluid. De governance is extern geborgd via de bestuurlijke driehoek (eigenaar, opdrachtgever en opdrachtnemer), aangevuld met onafhankelijke toetsing. Intern zijn de verantwoordelijkheden voor de interne beheersing verdeeld over drie lijnen, lijnmanagement, staffunctionarissen en de Audit Dienst, die gezamenlijk zorgen voor een effectieve beheersing van risico’s.

Beperkt lerende, verbeterende organisatie

Onvoldoende realisatiekracht en verandervermogen (toprisico 7) leidt ertoe dat ambities in de uitvoering niet altijd volledig worden gerealiseerd, waardoor vernieuwing voor burgers en medewerkers vertraagt. De realisatiekracht in de uitvoering is vergroot door gebruik te maken van Obeya’s ¹ en zijn proces- en gegevenseigenaren benoemd. Daarnaast wordt binnen DSV een structuurwijziging voorbereid.

Onvoldoende vereenvoudiging wet- en regelgeving

Het risico dat het socialezekerheidsstelsel onvoldoende wordt vereenvoudigd (toprisico 1) ligt grotendeels buiten onze directe invloedsfeer, maar heeft een brede doorwerking op de beheersing van de overige toprisico’s. Het risico dat de uitvoering vastloopt en burgers onnodig in de knel raken, maakt structurele vereenvoudiging noodzakelijk, met minder uitzonderingen en meer handelingsruimte voor professionals om volgens de bedoeling van de wet te handelen. De noodzaak tot vereenvoudiging wordt door de SVB in de landelijke media onder de aandacht gebracht als maatschappelijk probleem, en de hervormingsagenda is onderdeel geworden van de onderhandelingen rond de kabinetsformatie.

Beperkte maatschappelijke weerbaarheid

De groeiende aandacht voor de kwetsbaarheid van de maatschappelijke weerbaarheid (toprisico 4) is ingegeven door het risico dat een georkestreerde hybride aanval vitale processen kan verstoren of tot uitval kan brengen. Om de impact van een dergelijke aanval te beperken is het belangrijk goed voorbereid te zijn en alternatieven, zoals voor het betaalproces, beschikbaar te hebben. Weerbaarheid vraagt om inzicht in de gehele keten. Voor de belangrijkste leverancierscontracten worden de getroffen maatregelen geïnventariseerd en getoetst aan de eisen in onze kaders voor informatiebeveiliging en privacy (IB&P). Deze kaders bevatten richtlijnen en standaarden voor het veilig omgaan met gegevens, het beschermen van systemen en het beheersen van risico’s. Als zaken ontbreken of tekortschieten, wordt contact opgenomen met de leverancier.

Structurele budgetdruk

Ontoereikende meerjarige middelen (toprisico 2) vormen een bedreiging voor de digitale transitie en daarmee voor de kwaliteit van onze werkzaamheden. Het meerjarige financiële beeld is inzichtelijk gemaakt, zodat kan worden beoordeeld of er een probleem ontstaat. Dit hangt onder andere af van de uitkomst van de exogene claim. Mogelijke aanvullende maatregelen, zoals een aanpassing van de sourcingmix en het verlagen van de operationele kosten, worden onderzocht en waar nodig uitgevoerd.

Toprisico's 2026

Door in- en externe ontwikkelingen en voortschrijdend inzicht zijn enkele toprisico’s geherformuleerd en op onderdelen aangescherpt. Het risico op onbetrouwbare datagedreven besluitvorming is daarbij nieuw geïdentificeerd (toprisico 10). In de onderstaande strategiekaart zijn de toprisico’s voor 2026 gekoppeld aan de doelstellingen.

Ook in 2026 werkt de SVB intensief samen met SZW en het UWV om de risicovolwassenheid verder te versterken. Dit gebeurt onder meer door het bespreken van verschillen in risicobereidheid en het doorontwikkelen van het gemeenschappelijk risicobeeld, waarbij het beheersen van risico’s een gedeelde opgave wordt. De effectiviteit van beheersmaatregelen wordt periodiek beoordeeld binnen de P&C-cyclus.

^{1 Obeya is een Japanse term die staat voor “grote kamer”. In het bedrijfsleven is het een ruimte waar het management en de medewerkers van verschillende afdelingen samenkomen om te werken aan specifieke doelen.}