A - 05 Financiën (15) Bijlage 2 Jaarverslag 2021 - Bijlagen

Binnen dit stelsel speelt de gedachtenvorming over risicobereidheid. De raad stel het kader en daarmee de risicobereidheid van het college. Het college neemt zijn beslissingen binnen die risicobereidheid en het ambtelijk management geeft ook weer binnen de risicobereidheid uitvoering aan de besluiten van raad en college.

2 3

https://www.rijksoverheid.nl/onderwerpen/kwaliteit-en-integriteit-overheidsinstanties/documenten/brochures/2009/06/23/brochure-nederlandse-code-voor-goed-openbaar-bestuur Een deel van die beginselen staat in de Algemene wet bestuursrecht, maar ook een deel is onderdeel van ons ongeschreven recht.

96

H5

Figuur 1 Het stelsel van risicomanagement

Wie

Wat

Hoe

Gemeenteraad Budgetrecht, Kaderstelling en Controle College van B&W Dagelijks Bestuur, voorbereiden besluiten en uitvoering

Ambtelijk

Bestuurlijk

Rollen en verantwoordelijkheden 1e lijn

Directies Risico eigenaar en beheersing

2e lijn

Control / Risicomanagement Kader, control en advisering

3e lijn

Interne Audit Onafhankelijke toetsing van 1e en 2e lijn

Kader  Beleidsnota risicomanagement 2018-2022 (inclusief regels weerstandsvermogen)  Regeling Risicovolle Projecten (RRP)  Risicomanagement richtlijnen NEN-ISO 31000  Risicomanagementsysteem NARIS

Bestuurlijke producten  Planning & Control (BG, VJN, NJN, JR)  Advies  Stresstest

Informatievoorziening  Bestuurlijke rapportages,  Voordrachten, Plaberum, PBI  Planning & Control en RRP rapportages

Gereedschapskist Raad  Moties, amendementen  Begroting/Kredietbesluiten  Onderzoek en enquête

97

H5

Figuur 2 Afwegingskader voor risicobereidheid

 CODE GOED BESTUUR:  Openheid en integriteit  Participatie  Behoorlijke contacten met burgers  Doelmatigheid en doelgerichtheid  Legitimiteit  Lerend en verbeterend vermogen  Verantwoording

 Kennis en kunde personeel  Processen en procedures  Systemen en faciliteiten (kaders, sturing, ondersteuning, ICT)

Verwachtingen aan goed publiek bestuur en behoorlijk bestuur

Wet- en regelgeving

Organisatorische draagkracht

Financiële draagkracht

Risico’s zijn altijd specifiek: ze hebben betrekking op een bepaalde context, de daarbij behorende beleidsdoelen en zijn tijdgebonden. De bestuurlijke vragen bij risico zijn in wezen altijd dezelfde: • Valt het risico binnen de verwachtingen aan goed en behoorlijk bestuur? • Is er voldoende ruimte binnen wet- en regelgeving om het risico te nemen? • Kan de gemeente de financiële gevolgen van het risico dragen? • Kan de organisatie het risico in voldoende mate beheersen?

 Het bestuur neemt de beslissingen en maatregelen waartoe het wettelijk bevoegd is.  Het bestuur handelt in overeenstem ming met geldende wet- en regel geving.  De beslissingen zijn te rechtvaardigen.

 Weerstandsvermogen  Begrotingsruimte  Leencapaciteit

Het college ziet de code als vanzelfsprekend uitgangspunt. De code zal als aanknopingspunt voor risicobereidheid worden opgenomen in het overkoepelende kader voor risicomanagement. De raad zal dat vervolgens vaststellen met de a.s. Nota Risicomanagement 2022-2026.

98

H5

3 Integraal Risicobeeld 3.1 Bronnen voor risico-informatie voor raad en college Een expliciet integraal kader voor de risicobereidheid helpt om tot integrale risico afwegingen te komen. En naar verwachting op termijn tot een meer hanteerbaar integraal risicobeeld dan nu wordt gegeven in jaarrekening en begroting. Dat integrale beeld komt tot stand uit de risico-informatie van de eerste lijn – het management van directies, programma’s en projecten. Zij zijn er voor verantwoordelijk dat risico’s worden geïdentificeerd, geanalyseerd en maatregelen worden genomen. Vastlegging van risico vindt plaats in het risicomanagement systeem, op dit moment is dat NARIS, en is onderdeel van de sturingsinformatie in de eigen managementcyclus. Bestuurlijk worden de risico’s gedeeld in college en raadsvoordrachten en bestuurlijke rapportages. De veelheid aan besluitvorming en uiteenlopende onderwerpen met eigen context, tijdgebondenheid en soms een kabinet status - maakt het opstellen van één integrale risicoanalyse die nog actueel is op het moment van de raadsbehandeling ondoelmatig. Daarom heeft het college ervoor gekozen om bij jaarrekening en begroting de belangrijkste risico’s met betrekking tot het gemeentelijk beleid op te nemen in elk programmablad en de risico’s met grote financiële consequenties op te nemen in de paragraaf weerstandsvermogen.

Het college steunt in besluitvorming en de uitvoering op de eerste lijn. De eerste lijn zijn de vak directies zoals V&OR, Werk, Participatie en Inkomen, Jeugdzorg et cetera. Deze directies zijn verantwoordelijk voor het identificeren van risico en het nemen van maatregelen. Zij zorgen ervoor dat de risico’s in de besluitvorming op ambtelijk en bestuurlijk niveau worden meegenomen. De tweedelijns functies stellen kader en beleid en adviseren college en eerste lijn ook over risico. Tweedelijns functies zijn bijvoorbeeld Juridische zaken, Bureau Integriteit, Treasury, Control, Fiscaal Control, Proces Control, CIO, DMC Risicomanagement. Risicoinformatie wordt opgenomen in programmabladen. Deze worden opgesteld door de eerste lijn onder aansturing van een coördinerend directeur uit die eerste lijn. In een programmablad staan de actuele

ontwikkelingen per programma, de doelen die worden nagestreefd, de activiteiten waarmee we dat doen, de actuele risico’s die daarbij van belang zijn en de beleidskaders voor het programma. De paragraaf weerstands­ vermogen wordt samengesteld door DMC-Risicomanagement voornamelijk op basis van door de eerste lijn vastgesteld risico aangevuld met de opinies van de tweede lijn. In de besluitvorming behandelt het college risico’s integraal met het te nemen besluit. Het college streeft ernaar dat bij de besluiten die hij neemt zo volledig mogelijk is geïnformeerd over het risico wat ermee is gemoeid. In veel gevallen is een risicoparagraaf bij besluitvorming verplicht zoals bij grote projecten of komen logisch mee in processen als het Plaberum bij grond­ exploitaties en Plan- en Besluitvorming Infrastructuur (PBI). De voordrachten zijn voor de raad ook bronnen voor financieel en niet-financieel risico met betrekking tot het te nemen besluit. Om een beter beeld te krijgen van met name de risico’s in de bedrijfsvoering is DMC Risicomanagement het project versterking operationeel risico­ management (VORM) gestart. Met VORM wordt een systematiek ingevoerd, die de kwetsbaarheden in de bedrijfsvoering met standaardrisico’s in kaart brengt. Aan deze risico’s zijn gestandaardiseerde maatregelen gekoppeld.

Door de risico’s uniform vast te leggen, wordt het eenvoudiger voor medewerkers om deze risico’s voor de eigen directie en/of programma in te schatten en te beheersen. VORM is gestart in 2021 en zal nog voortduren in 2022. Inhoudelijke informatie op risico is verspreid over bestuurlijke rapportages die horen bij de programma’s en projecten en de voordrachten. Begroting en jaarverslag zijn als het ware samenvattingen daarvan. In dat kader is Amsterdam Doelgericht, het concern brede verbetertraject van de sturing verantwoording en beheersing, van belang. De verwachtingen daaraan is dat door het steeds beter integreren van risicoinformatie in de managementcyclus deze ook beter zal aan kunnen sluiten met de bestuurlijke informatie­ voorziening.

99

H5

3.2 Verdeling van het risico over de risico categorieën Op moment van jaarrekening 2021 zijn er in het risicomanagement systeem ruim 2000 risico’s vastgelegd die verdeeld zijn over 11 categorieën.

Bij deze risico’s maken we onderscheid tussen operationeel risico, strategisch risico en extern risico. Door dit onderscheid te maken kan de keuze voor het juiste handelingsperspectief beter worden gemaakt (Kaplan, 2012): Operationeel: risico’s die vanuit de organisatie ontstaan en beheersbaar zouden moeten zijn. De wijze van omgaan met dit type risico is: ‘Rule based’ risicomanagement als onderdeel van een control raamwerk.

Figuur 3 Verdeling van risico in categorieën Financieel Omgeving en fysiek Organisatorisch Informatiebeheer Maatschappelijk Juridisch Fraude en integriteit Informatiebeveiliging Gegevensbescherming Veiligheid Politiek bestuurlijk

Strategisch: risico’s die wij nemen om onze doelen te realiseren. De wijze van omgaan met dit type risico is: ‘Principle based’ risicomanagement dat is gericht op de dialoog en op inhoudelijke advisering. Extern: risico’s van buitenaf waar we niet of nauwelijks invloed op kunnen uitoefenen. De focus ligt op risico identificatie en het mitigeren van de gevolgen. Hier past scenario analyse, planning en crisis organisatie.

0%

5%

10%

15%

25%

51%

20%

25%

30%

35%

40%

Om een beeld te geven hoeveel van het risico uiteindelijk wordt gebruikt voor het bepalen van de benodigde weerstandscapaciteit ziet u in de figuur hiernaast hoe die aantallen risico zich verhouden tot het totaal. Het risico voor WSV wordt geconfronteerd met de financiële draagkracht van de organisatie. Die draagkracht is bepaald door de hoogte van de Algemene reserve, de Risico's WSV leencapaciteit en de wendbaarheid 106 van onze begroting. Het geheel aan risico wordt geacht op te worden gevangen met beheersmaatregelen in de besluitvorming en in de uitvoering. Deze risico’s zijn vaak ook niet financieel en hebben dan betrekking op de organisatorische draagkracht, wet en regelgeving en/of verwachtingen aan goed bestuur.

24% 2016 Alle risico's Extern risico

Strategisch risico

Operationeel risico

100