Nota Risicomanagement en Weerstandsvermogen- Bijlage 1 Nota Risicomanagement en Weerstandsvermogen

Nota Risicomanagement en Weerstandsvermogen Boxtel

December 2025

NOTA RISICOMANAGEMENT EN WEERSTANDSVERMOGEN

Inhoud 1 Inleiding...................................................................................................................................................... 4 1.1 Algemeen ............................................................................................................................................ 4 1.2 Doel van de nota ................................................................................................................................. 5 1.3 Rol gemeenteraad, college en organisa e.......................................................................................... 6 1.4 Leeswijzer ........................................................................................................................................... 7 2 Risico’s en risicomanagement .................................................................................................................... 8 2.1 Het begrip risico.................................................................................................................................. 8 2.2 Het begrip risicomanagement .......................................................................................................... 10 2.3 Uitgangspunten ................................................................................................................................

11 3 Risicoanalyse en risicobeoordeling .......................................................................................................... 12 3.1 Inventarisa e van risico’s per niveau ................................................................................................ 12 3.1.1 Risicodialoog .................................................................................................................................. 12 3.1.1 Strategisch niveau: Rich ng geven ............................................................................................ 13 3.1.2 Tac sch niveau: Inrichten .......................................................................................................... 14 3.1.3 Opera oneel niveau: Verrichten ............................................................................................... 14 3.1.4 Toezicht houden ........................................................................................................................ 14 3.2 Indeling van risico’s in het risicoregister ........................................................................................... 15 3.2.1 Risicoregister .............................................................................................................................

15 3.3 Risicobeoordeling ............................................................................................................................. 16 3.3.1 Het vaststellen van de kans van optreden................................................................................. 16 3.3.2 Het bepalen van de impact bij optreden................................................................................... 17 3.3.3 Kwan ficeren en prioriteren ..................................................................................................... 18 4 Risicobeheersing: Strategie en maatregelen............................................................................................ 20 4.1 Risicobereidheid ............................................................................................................................... 20 4.2 Inzet van beheersmaatregelen ......................................................................................................... 22 5 Weerstandsvermogen .............................................................................................................................. 25 5.1 Weerstandsvermogen .......................................................................................................................

25 5.2 Weerstandscapaciteit ....................................................................................................................... 26

5.2.1 Beschikbare weerstandscapaciteit ............................................................................................ 26 5.2.2 Benodigde weerstandscapaciteit .............................................................................................. 27 5.2.3 Risicoverdeling van de GR MijnGemeenteDichtbij .................................................................... 27 5.3 Een risico manifesteert zich, en dan? ............................................................................................... 28 5.4 Monitoring en rapportage ................................................................................................................ 28 5.5 Overige kengetallen .......................................................................................................................... 29 6 Uitvoering en monitoring .................................................................................................................... 31 6.1 Drie lijnen model .............................................................................................................................. 31 6.1.1 1e Lijn, Uitvoering .....................................................................................................................

31 6.1.2 2e lijn, Beleid, advies en ondersteuning.................................................................................... 31 6.1.3 3e Lijn, ona ankelijke controle en toezicht.............................................................................. 32 6.1.4 Samenwerking 2e en 3e lijn ........................................................................................................ 32 6.2 Verantwoordelijkheden samengevat ................................................................................................ 33 7 Uitvoeringsprogramma en evalua e........................................................................................................ 34 7.1 Uitvoeringsprogramma ..................................................................................................................... 34 7.2 Evalua e............................................................................................................................................ 34

1 Inleiding 1.1 Algemeen Onze gemeente wil een betrouwbare en klantgerichte partner zijn. Een gemeente die oog heeft voor en aansluit op de veranderende (vraag van de) samenleving, publieke waarde toevoegt en een aantrekkelijke werkgever is, vormen belangrijke uitgangspunten voor onze gemeente. Dit alles binnen de gestelde (financiële en wettelijke) kaders: We willen de goede dingen doen, de dingen goed doen en ongewenste verrassingen zoveel mogelijk voorkomen. De ambities die op strategisch niveau geformuleerd zijn, worden vertaald in de bedrijfsvoering en werkprocessen: we zijn helder in onze doelen, weten hoe we die doelen willen bereiken, welke risico’s daarbij mogelijk spelen en hoe we die beheersen. Het is voor ons, maar vooral voor onze inwoners en (maatschappelijke) partners van belang dat we die doelstellingen ook daadwerkelijk waarmaken en dat we daarbij doelmatig en rechtmatig omgaan met publiek geld. Daarom willen we de interne beheersing en risicomanagement op orde hebben – ook (of zelfs júist) in een situatie van groeiende dynamiek, complexiteit en netwerksamenwerking. Adequaat risicomanagement draagt bij aan het creëren van publieke waarde en aan doelrealisatie door in de gehele organisatie bewust en proactief bezig te zijn met bedreigingen én kansen. Onze ambitie is dan ook ons niveau van risicomanagement te behouden en waar mogelijk te (blijven) verbeteren.

Deze nota biedt daarvoor een basis. Gemeenten hebben in toenemende mate met onzekerheden te maken. Binnen gemeenten is er toenemende aandacht voor de manier waarop risico’s worden beheerst. Een toenemende complexiteit van de samenleving, grote decentralisaties, privacywetgeving, financiële druk op het sociaal domein, herprioriteringen en ombuigingen, maar bijvoorbeeld ook de recente geopolitieke ontwikkelingen dwingen gemeenten tot een groter risicobewustzijn. Risico’s kunnen forse financiële (en daarmee ook beleidsmatige) gevolgen hebben en er zijn risico’s die de realisatie van doelen in de weg kunnen staan. Daarmee zijn risico’s dus een belangrijk onderwerp voor sturing. Onze gemeente kent een gezonde basis van risicobewustzijn. Kenmerkend hiervoor is dat binnen de organisatie, het college en de raad frequent het gesprek plaatsvindt over risico’s, kansen en (beheers)maatregelen. Dat doen wij op basis van transparantie (openheid), werkend vanuit vertrouwen en het continu willen verbeteren (lerende organisatie). We geven hier onder andere uiting aan door in de begroting en de jaarrekening de belangrijkste risico’s presenteren en ingaan op het weerstandsvermogen. Maar risicomanagement is een continu proces dat in de dagelijkse praktijk op alle niveaus binnen de organisatie wordt toegepast.

Dit moet ruim gezien worden want bij alles wat we doen bestaat de kans dat we bij het realiseren van ons doelen tegen onverwachte kansen of risico’s aanlopen. Of het nu gaat om het sociaal domein waar we afwegen welke zorg het meest passend is voor een cliënt of de toets op het rechtmatig besteden van zorggelden of bij ICT waar het bijvoorbeeld gaat

om cybercrime en informatieveiligheid en het gebruik van AI (Artificial Intelligence). Ook in het fysieke domein zijn er tal van voorbeelden te noemen waar risicomanagement een belangrijke rol vervult. Denk bijvoorbeeld aan grondexploitaties, de nieuwe Omgevingswet, de gevolgen van netcongestie, het geven van garanties aan sportverenigingen om velden aan te leggen of kantines te bouwen. Het nemen van risico’s hoort bij de uitvoering van onze taken. Waar het in alle gevallen om gaat is hoe we omgaan met de onzekerheden die keuzes met zich meebrengen. Welke beheersmaatregelen kunnen we nemen om de kans dat een risico zich voordoet zo klein mogelijk te houden. En mocht zich dan een risico voordoen, hoe gaan we dan om met de (financiële) gevolgen. De nota ‘Risicomanagement en weerstandsvermogen’ is in feite de techniek achter al deze keuzes. Het zorgt voor een gemeenschappelijk ‘taalgebruik’ als het gaat om risico’s, beheersmaatregelen en het weerstandsvermogen. Ook geeft het inzicht hoe de verantwoordelijkheden belegd zijn.

1.2 Doel van de nota In artikel 21 van onze Financiële Verordening is vastgelegd dat het college een nota risicomanagement en weerstandsvermogen opstelt. Met deze nota risicomanagementbeleid en weerstandsvermogen actualiseren wij de vorige nota uit 2019 en willen daarmee onder meer bereiken dat: - Impact – en rapportagegrenzen automatisch worden geïndexeerd - De aard van het risico (structureel of incidenteel) ook e ect heeft op de hoogte van het noodzakelijke weerstandsvermogen. - Duidelijker wordt wie welke rol en bevoegdheid heeft in het risicomanagementproces Door verder invulling te geven aan risicomanagement willen het risicobewustzijn van de organisatie, bestuur en raad vergroten zodat een juiste balans wordt gevonden tussen risico's nemen en risico's beheersen. Dit betekent het continu organiseren van aandacht voor risico's. Daarnaast moeten er voldoende middelen beschikbaar zijn om de financiële gevolgen van risico’s op te vangen via ons weerstandsvermogen. De aanpak, (nadere) implementatie en (continue) doorontwikkeling van risicomanagement geven wij vorm in een PDCA-cyclus: Plan, Do, Check, Act. Het in deze nota opgenomen risicobeleid vormt de start van de cyclus. Dit beleid geeft aan hoe wij kijken naar risico’s en risicomanagement en biedt kaders en handvatten voor de volgende stappen.

Op basis van dit beleid stellen we een uitvoeringsprogramma op, met daarin de jaarlijks uit te voeren onderdelen. Hierin zal niet alleen aandacht zijn voor de risico’s met een financieel e ect, maar ook voor risico’s met een niet-financieel e ect.

In figuur 1.1 worden de belangrijkste stappen in het proces van risicomanagement geschetst.

Bij de uitvoering van risicomanagement zijn de stappen van risicoanalyse tot uitvoering & monitoring uit figuur 1.1 nader te specificeren in de onderstaande processtappen1 (figuur 1.2):

Identificatie

Kans & Impact

Prioritering

Bepalen maatregelen

Invoer in GRCtool

Bepalen weerstandsvermogen

Uitvoiering/ monitoring

Figuur 1.2 van analyse tot uitvoering

1.3 Rol gemeenteraad, college en organisatie Deze nota is kaderstellend en wordt vastgesteld door de gemeenteraad. Het college voert het beleid uit binnen deze gestelde kaders. Risicomanagement valt onder het de integrale verantwoordelijkheid van het college. Het management van MijnGemeenteDichtbij voert 1

Stap 6 (bepalen weerstandsvermogen) is alleen van toepassing bij financiële risico’s. Omdat de basis van de nota ligt in de financiële verordening gaan we in de nota primair uit van financiële risico’s. In de dagelijkse prak jk passen we risicomanagement breder toe.

het risicomanagement in mandaat uit binnen de teams en directie. Hierbij mogen risicobeheersmaatregelen van het ene team in beginsel geen nieuwe problemen creëren voor een ander team. De raad heeft vanuit haar controlerende taak de verantwoordelijkheid de uitvoering van het risicomanagementbeleid van het college te controleren. Daarnaast is de raad ervoor verantwoordelijk dat er voldoende weerstandsvermogen is om de e ecten van risico’s op te kunnen vangen. De provincie ziet hier vanuit haar toezichthoudende rol op toe, net als de externe accountant.

1.4 Leeswijzer In hoofdstuk 2 gaan we in op de begrippen risico en risicomanagement en de algemene uitgangspunten van het risicomanagement binnen onze gemeente. Hoofdstuk 3 behandelt het startpunt van het risicomanagementproces, namelijk de risicoanalyse en de risicobeoordeling. Hoe hoog wordt de kans en de impact van een risico ingeschat. In hoofdstuk 4 laten we zien dat we (beheers)maatregelen kunnen nemen om de gevolgen van risico’s te verminderen en gaan we in op de risicobereidheid. Hoofdstuk 5 gaat in op het weerstandsvermogen en de bepaling van de weerstandsratio en de weerstandscapaciteit. In hoofdstuk 6 behandelen we de organisatie van het interne risicomanagement waar we ingaan op het drie lijnen model. Tot slot staan we in hoofdstuk 7 kort stil bij het Uitvoeringsprogramma en de frequentie waarmee we dit beleid evalueren.

2 Risico’s en risicomanagement Risico’s zijn overal. In het dagelijks leven houden we er continu bewust en onbewust rekening mee, schatten we ze in en maken we keuzes hoe ermee om te gaan. Hetzelfde geldt in werksituaties. Risicomanagement betekent dan ook niet dat alle risico’s steeds expliciet benoemd moeten worden, laat staan vastgelegd. Het betekent ook niet dat alle bekende risico’s beheerst moeten worden. Risicomanagement gaat veel meer om groeiend bewustzijn, dialoog en bewuste keuzes in wat op te pakken en wat te laten en dus te accepteren. In de volgende paragrafen gaan we verder in op de begrippen risico en risicomanagement en op wat wij met risicomanagement willen bereiken.

2.1 Het begrip risico Risico’s kunnen het bereiken van onze doelen in de weg zitten. Een risico is een onzekere gebeurtenis die kan leiden tot het niet of niet tijdig realiseren van de gestelde doelstellingen en eisen. In theorie kunnen de afwijkingen zowel positief (dan is er sprake van een kans) als negatief zijn. In de praktijk gebruiken wij binnen de gemeentelijke context de term risico vooral om een gevaar of bedreiging aan te duiden met nadelige e ecten op doelrealisatie. Hoe groot een risico is, wordt bepaald door een combinatie van de kans dat een gebeurtenis plaatsvindt en de impact ervan. We hanteren een aantal manieren om risico’s in te delen. Deze indelingen verscherpen ons zicht op risico’s en zijn behulpzaam bij de verschillende processtappen: Vanuit risico-identificatie maken we onderscheid tussen de volgende niveaus: 

Risico’s kunnen spelen op strategisch, tactisch en operationeel niveau. Dit biedt aanknopingspunten voor de (integrale) aanpak van risicomanagement in de gemeente. In paragraaf 3.1 gaan we hier verder op in.



Verschillende categorieën: Risico’s kunnen zich afspelen op verschillende aandachtsgebieden. Door hier oog voor te hebben en te houden, is een brede blik gewaarborgd. Bovendien zijn maatregelen en rapportages aan de hand van categorieën te stroomlijnen. We behandelen ze in paragraaf 3.2.

Met het oog op beheersing bestaat binnen de niveaus en categorieën nader onderscheid tussen: 

Interne risico’s binnen de directe beïnvloedingssfeer van de gemeente. Deze splitsen we uit naar strategische risico’s en operationele risico’s:



o Strategische risico’s worden vrijwillig genomen om strategische doelen te bereiken en komen bijvoorbeeld voort uit nieuw beleid, herprioritering en bezuinigingen. o Operationele risico’s komen voort uit de organisatie zonder strategische voordelen en liggen bijvoorbeeld op het gebied van processen, projecten, ICT of gedrag. Externe risico’s buiten de directe beïnvloedingssfeer van de gemeente. o Naast algemene omgevingsfactoren (natuurrampen, macro economische-, politieke- en demografische omstandigheden) vallen hier ook marktrisico’s en risico’s bij verbonden partijen onder. o Doordat we met andere gemeenten samenwerken in bijvoorbeeld gemeenschappelijke regelingen lopen we daar ook risico’s. Hoewel de gemeenschappelijke regelingen een eigen entiteit zijn met hun eigen bedrijfsvoering (en dus eigen risicobeheersing) kunnen we wel invloed uitoefenen op het samenwerkingsverband, zij het wat indirecter.

Figuur 2.1 illustreert de verschillende wijzen waarop risico’s kunnen worden onderverdeeld, afhankelijk van de gekozen invalshoek. Hoe dit onderscheid helpt bij de beheersing en het formuleren van passende maatregelen komt aan de orde in paragraaf 4.2.

Figuur 2.1 onderverdeling van risico’s naar invalshoeken

2.2 Het begrip risicomanagement Binnen het risicomanagement wordt een flink aantal werkzaamheden met elkaar verbonden. Risicomanagement is het totaal van activiteiten dat de organisatie uitvoert in het kader van de beheersing van risico’s. Het algemene doel van risicomanagement is te komen tot een adequaat systeem van interne sturing en beheersing waarbinnen risico’s worden geïdentificeerd, de juiste mix van middelen en maatregelen wordt ingezet om de risico’s, binnen redelijke grenzen, terug te brengen naar een acceptabel niveau. Aandacht voor risicomanagement is om meerdere redenen van belang: • Het vergroot overall risicobewustzijn zodat risico’s vroegtijdig worden gesignaleerd en proactief worden opgepakt. • Het geeft inzicht en overzicht op de oorzaken/ factoren die het bereiken van onze doelstellingen kunnen belemmeren. • Het dwingt ons om na te denken over onze risicobereidheid: Welke risico’s zijn wij bereid om te accepteren en hoe gaan we om met andere risico’s? (zie ook hoofdstuk 4.1 dat ingaat op risicobereidheid). • Het biedt duidelijkheid of risico’s in balans zijn met de weerstandscapaciteit van de gemeente. • Het versterkt (intern en extern) het vertrouwen dat we met de goede dingen bezig zijn en de juiste prioriteiten stellen. Risicomanagement vraagt continue aandacht en doorontwikkeling.

We onderscheiden voor het risicomanagement in zijn geheel 5 niveaus van volwassenheid: 1. Ad hoc: De organisatie is zich niet bewust van nut en noodzaak van risicomanagement en kent geen gestructureerde aanpak om risico’s te bepalen en te behandelen. 2. Oriënterend: De organisatie experimenteert met de toepassing van risicomanagement op een beperkt aantal vlakken en door een beperkt aantal medewerkers. De focus ligt op financiële risico’s. 3. Basis op orde: Risicomanagement is opgenomen in de structuren, processen en werkwijzen van de organisatie. Formalisatie is doorgevoerd. 4. Proactief: Risicomanagement is geïntegreerd in processen, verbetering van risicobewustzijn is in volle gang en de organisatie beschikt over een risicodashboard. 5. Risico-intelligent: Risicobewustzijn zit in de cultuur van de organisatie. Er is sprake van een proactieve aanpak. Risico-informatie is structureel beschikbaar om continu te verbeteren en is volledig geïntegreerd in het besluitvormingsproces. De gemeente wil risicomanagement door blijven ontwikkelen totdat het op alle niveaus van de organisatie een natuurlijk onderdeel van het werk is (minimaal fase 4). De verschillende onderdelen van risicomanagement kennen nu verschillende niveaus van volwassenheid, variërend van 2 tot 3,5.

In de onze gemeente gaan wij uit van integraal risicomanagement. Kenmerkend hiervoor is dat het geïntegreerd is in de gehele organisatie, dat het continu en proactief is en het een breed aandachtsgebied omvat. Voor het volledig laten slagen van risicomanagement is verankering op alle niveaus van de organisatie essentieel.

2.3 Uitgangspunten Ten behoeve van de aanpak en doorontwikkeling van risicomanagement hanteren we een aantal algemene uitgangspunten: • Ons risicomanagement is integraal en gericht op alle soorten risico’s binnen alle onderdelen van de organisatie. • Risicomanagement is van ons allemaal: iedereen is verantwoordelijk voor het signaleren en tre en van maatregelen voor de risico’s in het eigen werk(veld). • Risicomanagement sluit aan bij bestaande werkwijzen en komt aan de orde binnen de bestaande structuren. • We zijn op alle bestuurlijke en ambtelijke niveaus bereid om open over risico’s te communiceren. • We kunnen niet met alle risico’s rekening houden en niet alle risico’s vragen om maatregelen. • Risicomanagement is bij ons meer dan een beheersingsmethode en gaat ook over cultuur en bewust accepteren (risicobereidheid). • Wij geloven in continu verbeteren; ook als het om risicomanagement gaat. Het is ‘nooit af’. We beginnen ergens en werken stapsgewijs aan doorontwikkeling. Dit doen we mede op basis van opgedane ervaringen (lerende organisatie).

3 Risicoanalyse en risicobeoordeling Het startpunt van het risicomanagementproces is risicoanalyse (ook wel identificatie). In deze stap inventariseren we risico’s op verschillende niveaus (paragraaf 3.1) en brengen we ze onder in risicocategorieën (paragraaf 3.2). Daarna volgt de beoordeling, waarbij we kans en impact inschatten en aan de hand daarvan prioriteren (paragraaf 3.3). In hoofdstuk 4 gaan we in op de beheersing van risico’s.

3.1 Inventarisatie van risico’s per niveau Binnen de organisatie maken wij op het gebied van sturing en beheersing steeds onderscheid tussen de drie niveaus uit het Integrale Interne Controle Cyclus model2 (IICC, figuur 3.1). Strategische doelstellingen worden vertaald naar de uitvoering en werkprocessen. Deze niveaus moeten via PDCA- cycli op elkaar ingrijpen om steeds een ander niveau in de organisatie ‘in control’ te brengen. Ook risico’s kunnen optreden op strategisch, management- en uitvoerend niveau. Risicoanalyse dient (uiteindelijk) op alle niveaus plaats te vinden, zodat sturing overal (beter) mogelijk wordt en we voldoende informatie verzamelen om de niveaus goed te beheersen.

3.1.1 Risicodialoog Het inventariseren van risico’s gaat niet van achter een bureau. Periodiek gaan bestuurders, management en betrokken medewerkers met elkaar in gesprek om gezamenlijk risico’s, kansen en beheersmaatregelen te bespreken. Hierbij is het van belang dat het gesprek plaats vindt in een sfeer van openheid en vertrouwen, zodat iedereen zijn/haar zorgen en inzichten kan delen zonder terughoudendheid. Niet alleen financiële risico’s komen aan bod, maar ook risico’s op het gebied van imago, planning, veiligheid, gezondheid en capaciteit. De derdelijnsexperts, die de risicodialoog faciliteren zorgen in de voorbereiding voor een inventarisatie van trends en externe ontwikkelingen (bijvoorbeeld via DESTEP-analyse) en vertalen deze naar mogelijke risico’s.

2

Het IICC-model is een referentiemodel, dat gehanteerd wordt door de Erasmus School of Accounting &Assurance (ESAA)

Randvoorwaarde voor goed risicomanagement is dat op alle niveaus doelen zo helder en concreet (SMART) mogelijk geformuleerd zijn. Alleen dan kan worden vastgesteld of en wanneer het behalen van de doelen bedreigd wordt en in welke mate. In onze begroting zijn we gestart met het steeds ‘smarter’ formuleren van onze doelstellingen. De komende jaren zal dit worden gecontinueerd. Dit werken we verder uit in het Uitvoeringsprogramma.

3.1.1 Strategisch niveau: Rich ng geven De gemeenteraad wil met en voor de samenleving bepaalde doelen realiseren en geeft het college kaders mee waarbinnen die doelen gerealiseerd moeten worden. Daarmee wordt strategisch richting gegeven. Voor het bepalen van strategische doelen worden in onze gemeente onder andere het Bestuursakkoord, diverse gemeentelijke uitvoeringsprogramma’s, de Begroting en de Kadernota gebruikt. Doelen zijn in deze stukken meestal abstract geformuleerd en geven eerder missie, accenten en gewenste bewegingen weer. Dit maakt ze minder geschikt voor risicoanalyse in de enge zin van het woord. Omdat de doelen abstract zijn, blijven de risico’s dat immers ook en zijn daar minder eenvoudig beheersmaatregelen te benoemen. Dit wordt mogelijk als de doelen concreet vertaald worden naar de uitvoering. Hierbij zit je op beide andere niveaus, tactisch en operationeel. Ook bij de totstandkoming van doelen op strategisch niveau verwachten we echter risicobewustzijn en het herkennen van kansen en bedreigingen, rekening houdend met onze sterke en minder sterke eigenschappen.

3.1.2 Tac sch niveau: Inrichten Om doelen te kunnen realiseren is een goede bedrijfsvoering essentieel. Elementen daarin zijn de organisatiestructuur en verdeling van verantwoordelijkheden (governance). Dit betreft het inrichten en organiseren van de organisatie. Dit niveau omhelst teams, programma’s en inrichting van organisatiefuncties. Risicomanagement vindt in ieder geval plaats op teamniveau en per programma. Minimaal twee keer per jaar (ten tijde van begroting en jaarrekening) wordt een risicoanalyse uitgevoerd door de verschillende teams en project/programmamanagers.

3.1.3 Opera oneel niveau: Verrichten Vanuit de abstractere niveaus kan de daadwerkelijke uitvoering zodat de doelen daadwerkelijk gerealiseerd kunnen worden. Op dit niveau vinden projecten en concrete uitvoering van organisatiefuncties plaats in de vorm van primaire en ondersteunende werkprocessen. Dit varieert van het aanleg- en beheer van wegen tot het opstellen van beleid tot het bewaken van informatiebeveiliging.

3.1.4 Toezicht houden Sluitstuk van het IICC-model is het toezicht houden ofwel de governance control. Het zorgt ervoor dat risicomanagement is ingebed in de strategische besluitvorming, stimuleert een risicobewuste cultuur en waarborgt dat de gemeente zich houdt aan wet- en regelgeving, interne richtlijnen en ethische normen. Een laatste onderdeel van de governance control betreft de periodieke evaluatie van de risicomanagementprocessen. Denk hierbij aan interne audits, rapportages aan het bestuur en het gebruik van Key Risk Indicators (KRI’s). Hierin is een belangrijke rol weggelegd voor de onafhankelijke derdelijnsexperts, zoals de adviseur verbijzonderde interne controle, de adviseur juridische kwaliteitszorg, de consulent informatiebeheer, de functionaris gegevensbescherming en de concerncontroller. Samen zorgen zij er voor dat duidelijk is wie verantwoordelijk is voor het identificeren, beoordelen, beheersen en monitoren van risico’s. Dit voorkomt dubbel werk en blinde vlekken. Een sterke governance control stimuleert een risicobewuste cultuur waarin medewerkers risico’s durven te melden en ethisch handelen wordt bevorderd. Governance control waarborgt ook dat de organisatie zich houdt aan wet- en regelgeving, interne richtlijnen en ethische normen. Dit verkleint juridische en reputatierisico’s. Via governance control worden risicomanagementprocessen periodiek geëvalueerd.

3.2 Indeling van risico’s in het risicoregister Bij risicoanalyse wordt aandacht besteed aan oorzaken, gebeurtenissen (de risico’s zelf) en gevolgen. Eén risico kent over het algemeen meerdere oorzaken en gevolgen. Bij het in kaart brengen hiervan helpt het gebruik van de zogenoemde ‘vlinderdas’ (figuur 3.2):

3.2.1 Risicoregister Risico’s worden volgens een standaardformaat geregistreerd in een risicoregister. Het risicoregister bevat de volgende informatie  Welk proces/programma/product en welke doelstelling het betreft;  De risicocategorie (economisch/markt, politiek/maatschappelijk, natuur, organisatorisch, politiek/bestuurlijk, uitvoering, middelen, personeel, juridisch);  Een risico omschrijving. Risico’s worden op de volgende wijze vastgelegd; Het risico dat (gebeurtenis) omdat (oorzaak) met als gevolg (impact);  Risico-eigenaar (teammanager/budgethouder/programmamanager/projectleider etc.);  Risico score bruto risicoprofiel, per risico; kans * impact, zonder beheersmaatregelen;  De gekozen methode reactie: vermijden, reduceren, overdragen, accepteren;  Maatregelen. Belangrijkste beheersmaatregelen worden volgens het volgende formaat vastgelegd. Wie, wat, waar, wanneer en hoe. Acties om risico’s te beheersen worden SMART geformuleerd;  Per beheersmaatregel: e ectieve werking en opvolging van getro en beheersmaatregelen (zichtbaar);  Risico score netto risicoprofiel, per risico: kans * impact, rekening houdend met beheersmaatregelen en de e ectieve werking daarvan;  Of de gevolgen incidenteel of structureel zijn. Frauderisico’s vormen een aparte categorie. Dit beschrijven we verder in hoofdstuk 7.

Afhankelijk van de aard van de beheersmaatregelen nemen we de risico’s op in ons risicomanagementsysteem (RMS). Hierin worden in elk geval de risico’s met een financieel gevolg opgenomen en risico’s waarvoor geldt dat de beheersmaatregelen periodiek op hun bestaan en werking moeten worden getoetst. In het navolgende gaan we primair in op risico’s met een financieel e ect. De reden hiervoor is dat deze een e ect hebben op het noodzakelijke weerstandsvermogen en daarmee vallen binnen de kaderstellende verantwoordelijkheid van de raad. In het uitvoeringsplan, dat na vaststelling van deze nota zal worden opgesteld, zal uitdrukkelijk ook aandacht worden besteed aan risico’s die geen financiële impact hebben, maar die wel de nodige aandacht verdienen. Hierbij moet gedacht worden aan impact op het gebied van bijvoorbeeld reputatie en veiligheid.

3.3 Risicobeoordeling Bij het beoordelen van risico’s draait het om het belang of de grootte van een risico. Dat belang wordt bepaald door de kans dat het risico zich voordoet en de gevolgen in geval het risico zich voordoet: Risico = Kans x Impact. We werken bij de beoordeling van risico’s zoveel mogelijk met kwantitatieve gegevens. Zowel voor de kans van optreden als voor de impact gebruiken we exacte gegevens of schalen. Hoewel het schattingen blijven worden deze zo objectief mogelijk gemaakt.

3.3.1 Het vaststellen van de kans van optreden De kans op een risico hangt samen met de inschatting binnen welke periode het risico zich kan gaan voordoen. Het bepalen van de kans is voor een groot deel subjectief en is afhankelijk van degene die de inschatting maakt. Wel kunnen steeds een aantal aspecten worden meegewogen: • Verleden: Heeft het risico zich al eerder voorgedaan? • Vertrouwdheid: Hebben we de activiteiten al eerder gedaan? • Omstandigheden: Onder welke condities treedt het op? • Frequentie: Hoe vaak kan het voorkomen? • Risicogevoeligheid in tijd: Is er sprake van een stijging of een daling?

De kans wordt aangeduid in een percentage tussen 0% en 90%. Deze percentages brengen we onder in een beperkt aantal risicoklassen. We hanteren de volgende klassen (zie figuur 3.4):

Als de kans groter is dan 90% spreken we niet meer van een risico. Het optreden ervan is namelijk niet onzeker, maar eerder een gegeven. Bekende verwachte tegenvallers met een financieel gevolg worden direct in de planning- en control cyclus gemeld en van dekking voorzien.

3.3.2 Het bepalen van de impact bij optreden Het optreden van risico’s heeft een bepaalde impact op de doelen. Die impact wordt zoveel mogelijk aangeduid in een bedrag in euro’s. Een aantal risico’s kan niet of nauwelijks in geld worden uitgedrukt (denk bijvoorbeeld aan imago-schade of letsel). Toch heeft het de voorkeur ook deze risico’s zoveel mogelijk financieel uit te drukken. Onderstaande tabel met gevolgklassen helpt daarbij (zie figuur 3.5): Score 1 2 3 4 5

% totale lasten3 kleiner dan 0,05% tussen 0,05% en 0,10% tussen 0,10% en 0,25% tussen 0,25% en 0,50% groter dan 0,50%

Bij het bepalen van de impact is het onderscheid tussen structurele en incidentele risico’s van belang. Deze termen zeggen niets over de kans van optreden, maar slaan op de impact: Een structureel risico heeft structurele gevolgen voor de begroting als het optreedt, ‘het 3

Als referen ejaar wordt steeds gehanteerd het jaar waarvoor de weerstandsparagraaf wordt opgesteld. Dus voor het bepalen van de grens in de begro ng 2026 wordt uitgegaan van de (primaire) begro ng van de totale lasten in 2026. Voor de jaarrekening 2027 wordt uitgegaan van de (primaire) begro ng van de lasten van 2027. Op die manier groeien de grenzen mee met de infla e en andere ontwikkelingen.

kost ieder jaar geld’. Hiervoor moet dus ook structurele dekking zijn. Structurele risico’s wegen daarom zwaarder mee: Als een risico structureel van aard is, vermenigvuldigen we het financiële gevolg met 2. We gaan er daarbij vanuit dat de gemeente in staat is het risico binnen 2 jaar te verwerken in de begroting en hiervoor bijvoorbeeld een voorziening te tre en of om te buigen in bestaand beleid. De ervaring leert dat een begroting flexibel genoeg is om op een termijn van 2 jaar mee te buigen met ontwikkelingen.

3.3.3 Kwan ficeren en prioriteren De risico’s die in kaart zijn gebracht, worden onderling geprioriteerd en gewogen. Dit is belangrijk om bij een veelheid aan risico’s de belangrijkste risico’s niet uit het oog te verliezen en elk risico op het juiste niveau te beheersen. Bij het kwantificeren van risico’s wordt de kans (in schaal of percentage) vermenigvuldigd met de impact (in schaal of euro’s). Zo wordt één waarde van het risico vastgesteld en krijgt dit risico een hogere of lagere prioriteit ten opzichte van de andere geïdentificeerde risico’s. In een risicoscorematrix (figuur 3.6) kunnen alle risico’s nu naar impact en kans grafisch worden weergegeven. Als de kans zeer groot is (5) en de impact ook zeer groot is (5), dan is de waarde 5 x 5 = 25. Als de kans klein is (2) en de impact zeer klein (1), dan is de waarde 2 x 1 = 2. Zo moet de risicoscorematrix gelezen worden.

Kans

Risicoscore matrix 5

5

10

15

20

25

4

4

8

12

16

20

3

3

6

9

12

15

2

2

4

6

8

10

1

1

2

3

4

5

1

2

3

4

5

Impact Figuur 3.6 de risicoscorematrix

Risico’s met een kleine impact maar een hoge kans zullen we vaak als niet belangrijk genoeg beschouwen om er beheersmaatregelen voor te tre en. De kosten van de beheersmaatregelen wegen dan bijvoorbeeld niet op tegen het voorkomen van het risico. Voor risico’s met een grote impact maar een minimale kans zal vaak een calamiteitenplan worden opgesteld om voorbereid te zijn op het optreden van die calamiteit. Keuzes hierin verschillen per doelstelling en zeggen iets over onze risicobereidheid. In paragraaf 4.1 gaan we nader in op de risicobereidheid.

4 Risicobeheersing: Strategie en maatregelen Nadat risico’s geïnventariseerd en geprioriteerd zijn aan de hand van kans en impact kunnen we de stap zetten naar de beheersing, waarbij het gaat om de reductie van de impact van risico’s en/of het voorkomen dan wel verkleinen van de kans van optreden. We bekijken hoe de risico’s gemanaged kunnen worden en welke beheersmaatregelen getro en kunnen worden. Er zijn vier manieren om met risico’s om te gaan: • Vermijden/voorkomen: De oorzaak en/of het gevolg van het risico wordt weggenomen door bijvoorbeeld het beleid of proces te staken of anders vorm te geven. • Beperken/verminderen: Er worden acties ingezet die het risico tot een acceptabel niveau terugbrengen, bijvoorbeeld door werkprocessen anders in te richten of door AO/IC maatregelen. • Overdragen/ delen: Activiteiten die door het risico geraakt worden, worden (deels) aan een externe overgedragen, die daarbij ook de risico’s overneemt. Verzekeringen zijn hier een voorbeeld van. • Aanvaarden/accepteren: Risico’s die niet of onvoldoende voorkomen, verminderd of overgedragen zijn of kunnen worden, worden geaccepteerd. Dit geldt ook voor de netto risico’s (het restant dat overblijft na het tre en van maatregelen). Eventuele schade wordt met de weerstandscapaciteit afgedekt.

De keuze voor de strategie hangt uiteraard af van de grootte van het risico (kans x impact), de mogelijkheden die het betre ende (soort) risico met zich meebrengt en de kosten van beheersmaatregelen. Tegelijkertijd hangt deze keuze samen met organisatiecultuur en beschikbare middelen. In dit kader besteden we eerst aandacht aan risicobereidheid. Zolang de weerstandsratio groter is dan 1 is het aan het college voor welke risicoreactie wordt gekozen.

4.1 Risicobereidheid Iedere organisatie bepaalt voor zichzelf in welke mate risico’s acceptabel zijn voor het behalen van de doelstellingen. Een manier om dit te omschrijven is risicobereidheid: de totale hoeveelheid risico die de organisatie maximaal wil nemen in het realiseren van haar doelstellingen. De risicobereidheid van een organisatie moet daarbij binnen de risicocapaciteit van de organisatie liggen. Die risicocapaciteit is het totaal aan risico’s dat een organisatie kan dragen en wordt begrensd door financiële draagkracht, risicovolwassenheid, wet- en regelgeving en eisen en verwachtingen van inwoners, bedrijven en belanghebbenden.

Risicobereidheid beïnvloedt de te kiezen strategie bij het beheersen van risico’s en andersom. Weinig risicobereidheid leidt tot voorzichtigheid en legt meer nadruk op beheersmaatregelen. Een grote hoeveelheid resterende risico’s (waartegen nauwelijks maatregelen te tre en zijn, maar die (financiële) impact kunnen hebben) kan op haar beurt leiden tot aanpassing van de risicobereidheid. In de praktijk blijkt risicobereidheid een weerbarstig en complex onderwerp dat niet gemakkelijk concreet is vast te stellen. Wat acceptabele risico’s zijn, wordt onder andere bepaald door onze doelen en ambities, onze weerstandscapaciteit en door de aard van de risico’s die we lopen. Ook heersende opvattingen, waarden, normen, cultuur en risicohouding van de top spelen een rol, net als eerdere ervaringen en omgevingsfactoren. Het belangrijkste is dan ook dat we bewust een standpunt innemen over wat de organisatie maximaal aan risico’s kan en wil lopen en dat we hierover (steeds opnieuw) het gesprek met elkaar aangaan. Niet alleen binnen de ambtelijke organisatie, maar ook periodiek met de Auditcommissie van de raad. Sommige organisaties geven uitdrukking aan hun risicobereidheid in één of enkele ‘statements van risicobereidheid’ met daarin alles omvattende kwalitatieve uitspraken. Andere organisaties proberen de risicobereidheid uit te drukken in bepaalde (financieel) kwantitatieve normen.

Wij zien het (steeds verder) expliciteren van onze risicobereidheid eerder als een proces met een aantal onderdelen: • Als overheidsinstelling hebben wij een defensieve risicofilosofie: Wij staan in het algemeen behoudend tegenover risico’s en geven er de voorkeur aan weinig risico’s te lopen. Dat vormt de basis; • Per (strategische) doelstelling gaan we met elkaar in dialoog over de mate van onzekerheid die we bereid zijn te accepteren, welke afwijkingen acceptabel zijn en in welke mate we bereid zijn gebruik te maken van kansen die wij waarnemen; • Op verschillende niveaus brengen we de risico’s per doelstelling in kaart (zie hoofdstuk 3). De risicoscorematrix geeft een indicatie van de risico’s waarop wij maatregelen verwachten aan de hand van kans en impact, maar dit kan per geval verschillen. De risicoscorematrix geeft aanleiding tot een gesprek over risicoacceptatie ten aanzien van de specifieke doelstellingen (zie figuur 3.6); • Via de voorgaande punten komen wij steeds meer tot richtinggevende uitspraken over onze risicobereidheid en risicotoleranties op verschillende vlakken. Voorbeelden: Risico’s op het gebied van fraude en misbruik, veiligheid of compliance (voldoen aan wetgeving) willen wij zoveel als mogelijk vermijden; • We besteden aandacht aan relevante normen, signaalwaarden en risicobu ers voor risico’s die kwantificeerbaar zijn.

Daarvoor bepalen we de hoogte van het weerstandsvermogen (zie hoofdstuk 5); • In onze besluitvorming met betrekking tot strategische onderwerpen maakt risicobereidheid een integraal onderdeel van de overwegingen uit. Ook met betrekking tot risicobereidheid gaat het om een proces van continu verbeteren.

4.2 Inzet van beheersmaatregelen Binnen de geformuleerde risicobereidheid maken we keuzes voor strategie en beheersing. In dit proces staat de vraag centraal op welke manier we een bepaald risico kunnen beïnvloeden en om welke beheersmaatregelen dit vraagt. Dit hangt mede af van het type risico. Deze types kwamen eerder aan de orde in paragraaf 3.2 De grafiek in figuur 4.1 onderkent, afhankelijk van impact en beïnvloedbaarheid, drie typen risico’s4:

Bij interne, te voorkomen risico’s zijn beheersmaatregelen gericht op actieve preventie en op ‘verdedigingslinies’. Voorbeelden zijn het ontwikkelen en checken van processen, regels, procedures, waarden en het uitvoeren van interne controles. Maatregelen moeten vooral kostene ectief zijn. Er dient gewaakt te worden voor te veel regeldruk. Strategische risico’s worden bewust en vrijwillig genomen om bepaalde doelen te bereiken. Discussies en terugkerende dialogen zijn nodig om risico’s en rendement tegen elkaar af te wegen. Riskmapping, scenario’s en het signaleren van risico-indicatoren zijn daarbij instrumenten. Als voor bepaalde risico’s gekozen wordt, worden waar mogelijk maatregelen geformuleerd om de kans van optreden te verkleinen en/of mogelijke impact te beperken. Externe risico’s zijn nauwelijks beïnvloedbaar. Wel kan worden geanticipeerd op de mogelijke gevolgen. Daarvoor zijn in de eerste plaats identificatie en alertheid van belang. Discussies, dialogen en scenarioplanning helpen daarbij. Monitoring, stress testing, het 4

Kaplan, R. S. and A. Mikes. 2012. Managing risks: A new framework. Smart companies match their approach to the nature of the threats they face. Harvard Business Review (June): 48-60

creëren van voldoende flexibiliteit en weerstandsvermogen en het tre en van voorzorgsmaatregelen zijn voorbeelden van maatregelen om de organisatie voor te bereiden en mogelijke impact te beperken. Een risico kan zelden worden beheerst met één enkele beheersmaatregel. Zoals we zagen heeft een risico namelijk meestal meerdere oorzaken en gevolgen (zie figuur 3.2). Beheersmaatregelen grijpen hierop in en sluiten erop aan. Doel is dus om tot een optimaal pakket aan beheersmaatregelen te komen, waarin beheersmaatregelen op tactisch én op operationeel niveau gecombineerd worden en dat bestaat uit zowel hard als soft controls. Hard controls zijn te definiëren als meetbare afspraken en richtlijnen waarvan kan worden vastgesteld of deze wel/niet zijn nageleefd. Het meten van deze controls is vaak objectief omdat het afgesproken spelregels binnen de organisatie zijn: • Normen, metingen en rapportages; • Beleid, richtlijnen, processen en procedures; • Budgetten • Handboeken en werkinstructies; • Gedragscodes; • Wet- en regelgeving; • Risicolimieten; • Beheersingssystemen. Soft controls zijn op te vatten als maatregelen die van invloed zijn op de motivatie, loyaliteit, integriteit, inspiratie en normen en waarden van medewerkers.

Soft controls zijn ten opzichte van hard controls meer ingrijpend op het persoonlijk functioneren van de medewerkers: • Risicobewustzijn; • Integriteit en respect; • Cultuur; • Vertrouwen en communicatie; • Betrokkenheid; • Transparantie; • Bespreekbaarheid en aanspreekbaarheid; • Toon aan de top  Voorbeeldgedrag management; • Kennis en vaardigheden; • Beloningen en handhaving. We lichten twee soft controls er specifiek uit omdat deze randvoorwaardelijk zijn voor de overige soft controls: toon aan de top en bespreekbaarheid en aanspreekbaarheid. Toon aan de top gaat over het voorbeeldgedrag van het bestuur en/of de directie. Hierbij gaat het meer om zachte factoren die het gedrag van mensen binnen organisaties beïnvloeden. Een e ectieve toon aan de top voldoet aan drie voorwaarden:  Doe wat je zegt: bestuurders moeten doen wat zij uitdragen naar de rest van de organisatie. De beleving van voorbeeldgedrag is heel belangrijk.

 

Zichtbaarheid: het (voorbeeldgedrag van het) bestuur dient zichtbaar te zijn voor het personeel. Open cultuur en vertrouwen: hierbij gaat het om ruimte voor het bespreekbaar maken van dilemma’s en de vraag of de top open staat voor kritiek.

Waar het gaat om bespreekbaarheid en aanspreekbaarheid geldt dat er open gesproken kan worden over fouten, fouten transparant worden gemaakt, grondoorzaken worden geanalyseerd en processen worden verbeterd. Dat we leren van de fouten zodat we ze in de toekomst kunnen voorkomen. Dan is er echt sprake van een open cultuur waarin risico’s worden beheerst. Inschatting van de e ectiviteit en de kosten van maatregelen moeten meewegen in het vaststellen van (pakketten aan) beheersmaatregelen. Het werken met bruto en netto waarden helpt daarbij. Voor sommige risico’s zijn niet of nauwelijks (e ectieve of betaalbare) beheersmaatregelen te tre en. Andere risico’s kunnen door maatregelenpakketten geheel of gedeeltelijk worden afgedekt. Bij een risico spreken we daarom altijd van een bruto risico (er zijn dan nog geen beheersmaatregelen getro en) en een netto risico (na het tre en van de beheersmaatregel). Als we risico’s accepteren zoals ze zijn, dan is het netto risico gelijk aan het bruto risico. Voor netto risico’s met substantiële, financiële impact wordt in de begroting een bu er aangehouden; de zogenoemde weerstandscapaciteit. In hoofdstuk 5 gaan we hier verder op in. Binnen onze gemeente nemen we zowel het bruto risico, de beheersmaatregelen als het netto risico op in ons risicomanagementsysteem.

In beginsel nemen we alleen risico’s op waarvan het netto risico incidenteel groter of gelijk is aan € 25.000. Als een risico onder deze grens valt dan gaan we ervan uit dat de eventuele gevolgen binnen de exploitatie (het programma) worden opgevangen. Bezuinigingen en taakstellingen opgelegd door het bestuur maken geen onderdeel uit van de risico’s.

5 Weerstandsvermogen In paragraaf 4.2 is aangegeven dat we niet alle risico’s (volledig) door beheersmaatregelen kunnen afdekken. Voor zover risico’s worden geaccepteerd of niet kunnen worden beperkt door beheersmaatregelen is er sprake van netto risico’s. Dit zijn risico’s die meestal: • Niet of nauwelijks beïnvloedbaar zijn en hoofdzakelijk tot externe risico’s behoren; • Voornamelijk een incidenteel karakter hebben; • Een positief of negatief e ect kunnen hebben op de doelen of de financiële positie; • Een onzekere omvang hebben en niet goed te kwantificeren zijn. Voor netto risico’s met een mogelijke negatieve financiële impact houden we in de begroting weerstandscapaciteit aan, zodat substantiële, onvoorziene tegenvallers kunnen worden opgevangen. De weerstandscapaciteit vormt dus een bu er die ervoor zorgt dat bij het optreden van netto risico’s niet direct bezuinigd hoeft te worden. De financiële draagkracht van de gemeente bij dergelijke tegenvallers wordt inzichtelijk gemaakt door het weerstandsvermogen. In dit hoofdstuk gaan we in op de kaders en de beleidsuitgangspunten voor de bepaling van het weerstandsvermogen.

5.1 Weerstandsvermogen Het weerstandsvermogen is een maatstaf voor de mate waarin een gemeente in staat is ongewenste gevolgen van risico’s op te vangen. Het weerstandsvermogen bestaat uit de relatie tussen: a) alle netto risico’s waarvoor geen maatregelen zijn getro enen die van materiële betekenis kunnen zijn in relatie tot de financiële positie. b) de weerstandscapaciteit. Dat zijn de middelen en mogelijkheden waarover de gemeente beschikt of kan beschikken om niet begrote kosten (risico’s) te dekken; Hierbij zijn twee elementen belangrijk: • Benodigde weerstandscapaciteit: Hoeveel middelen zijn nodig om eventuele tegenvallers op te kunnen vangen? • Beschikbare weerstandscapaciteit: Hoeveel middelen zijn beschikbaar om eventuele tegenvallers op te kunnen vangen? De weerstandsratio bestaat uit de verhouding tussen de beschikbare en de benodigde weerstandscapaciteit en geeft een indicatie in welke mate de gemeente in staat is om risico’s op te vangen.

De weerstandsratio moet steeds voldoende zijn. Het Nederlands Adviesbureau voor Risicomanagement heeft een indeling ontwikkeld die een oordeel geeft over de ratio: Waardering Ratio A >2,0 B 1,4 tot 2,0 C 1,0 tot 1,4 D 0,8 tot 1,0 E 0,6 tot 0,8 F ≤0,6

Beoordeling Uitstekend Ruim voldoende Voldoende Matig Onvoldoende Ruim onvoldoende

We streven naar een weerstandsratio van 1,0. Wanneer de weerstandsratio onder het niveau van 1,0 komt, zijn aanvullende beheersmaatregelen nodig om de benodigde weerstandscapaciteit te laten dalen. Wanneer dat niet mogelijk is, zal de beschikbare weerstandscapaciteit moeten worden aangevuld. In de praktijk betekent dit ofwel dat de belasting moet worden verhoogd of dat er moet worden bezuinigd.

5.2 Weerstandscapaciteit Zoals hierboven genoemd maken we onderscheid tussen beschikbare en benodigde weerstandscapaciteit.

5.2.1 Beschikbare weerstandscapaciteit De reguliere definitie van de beschikbare weerstandscapactiteit is dat de beschikbare weerstandscapaciteit bestaat uit de middelen en mogelijkheden waarover de gemeente beschikt of kan beschikken om niet begrote, onverwachte, substantiële kosten te dekken zonder dat het beleid of de begroting onmiddellijk gewijzigd moeten worden. De beschikbare weerstandscapaciteit wordt als volgt berekend:

Weerstandscapaciteit = Algemene reserve + Stille reserves5 + Begrotingssaldo Onbenutte belastingcapaciteit wordt bewust niet meegenomen in de bepaling van de beschikbare weerstandscapaciteit. Op het moment dat er een beroep moet worden gedaan op extra financiële ondersteuning uit het Gemeentefonds wordt echter van de gemeente verwacht dat deze capaciteit wel wordt benut.

5.2.2 Benodigde weerstandscapaciteit De benodigde weerstandscapaciteit is de financiële capaciteit die nodig is om de netto risico’s te dekken die gevolgen kunnen hebben voor de financiële positie van de gemeente. De benodigde weerstandscapaciteit wordt bepaald door: • De kwaliteit (en volledigheid) van de risico-inventarisatie; • De verwachte kans en (financiële) impact van de risico’s; • De incidentele of structurele aard van het risico; • De risicobereidheid of acceptatiehouding bij het afdekken van risico’s; • De mate waarin risico’s zijn afgedekt door beheersmaatregelen. De beschikbare weerstandscapaciteit wordt berekend bij de P&C-documenten ‘begroting en jaarrekening’. Voor de benodigde weerstandscapaciteit worden alle relevante risico’s ingevoerd in het risicomanagementsysteem. Op basis van kans en impact (waarbij de impact in euro’s is ingegeven) bepalen we het totale financiële risico. Op basis van het voorzichtigheidsbeginsel verhogen we dit bedrag met 10%. Dit ter afdekking van risico’s die op nog niet ingeschat zijn of kunnen worden.

5.2.3 Risicoverdeling van de GR MijnGemeenteDichtbij Gelet op de bepaling volgens artikel 30a van de Gemeenschappelijke Regeling (GR) als basis voor onze samenwerking is bepaald dat MijnGemeenteDichtbij geen eigen reserves zal gaan vormen. Eventuele exploitatieoverschotten van MijnGemeenteDichtbij worden na afloop van het jaar terugbetaald aan de beide gemeenten en eventuele exploitatietekorten worden aanvullend in rekening gebracht. Deze handelswijze impliceert dat risico’s niet door de GR kunnen worden opgevangen maar uiteindelijk doorgeleid gaan worden naar de in de GR deelnemende gemeenten. Dit betekent dat de risico’s van MijnGemeenteDichtbij worden toegerekend aan de benodigde weerstandscapaciteit van de gemeente Boxtel en gemeente Boxtel. In beginsel wordt hierbij de standaard verdeelsleutel toegepast, tenzij bij gezamenlijke projecten van gemeente Boxtel en gemeente Boxtel een afwijkende verdeelsleutel is bepaald.

5

Mits deze binnen één jaar kunnen worden omgezet in liquide middelen

5.3 Een risico manifesteert zich, en dan? Zoals eerder in deze nota beschreven proberen we door middel van beheersmaatregelen de kans dat een risicogebeurtenis optreedt te beperken net als de mogelijke e ecten. We kunnen echter niet altijd voorkomen dat een gebeurtenis nooit plaatsvindt. Mocht een risico zich voordoen dan kijken we als eerste of er ruimte binnen de exploitatie is. Allereerst binnen het eigen programma en anders gemeentebreed. Als dit niet haalbaar is brengen we de e ecten hiervan ten laste van onze algemene reserve. Via de planning- en controldocumenten rapporteren we hierover en verwerken we het administratief juist.

5.4 Monitoring en rapportage Zoals we eerder zagen is risicomanagement een proces dat continu op verschillende manieren en op verschillende niveaus plaatsvindt. Een stap in het proces is om de geanalyseerde risico’s in te voeren in ons risicomanagementsysteem en op deze manier voor de ingevoerde risico’s de benodigde weerstandscapaciteit te laten berekenen. De kans en de (financiële) impact zijn daarbij momentopnames en kunnen veranderen. Er zal dus steeds gemonitord moeten worden hoe het ervoor staat met risico-indicatoren en begrenzingen, of geformuleerde beheersmaatregelen adequaat zijn en of (interne of externe) wijzigende omstandigheden mogelijk om aanpassingen van een risico vragen. Dit doen we integraal minimaal twee keer per jaar bij de begroting en jaarrekening. Door actief risicomanagement en bijbehorende informatievoorziening kunnen risico’s beter worden beheerst. Ook is periodieke analyse nodig om in te schatten of de beschikbare weerstandscapaciteit voldoende blijft. In de begroting en jaarrekening maken we inzichtelijk wat de omvang van de geïnventariseerde risico’s is.

In de verplichte paragraaf Weerstandsvermogen en Risicobeheersing rapporteert het college over: • Het totaalbedrag van de geïnventariseerde netto risico’s; • De risico’s met een risicoscore die hoger is dan 10 en een waarde van meer dan 0,10% van de totale lasten; • Belangrijke stijgers en dalers binnen de top 10; • Het bedrag dat aan weerstandscapaciteit benodigd is; • Weerstandsvermogen en weerstandsratio. Dit geldt zowel voor de risico’s met een financiële impact als de risico’s met een nietfinanciële impact. Indien buiten de cyclusmomenten om, zich materiele ontwikkelingen voordoen op de risico’s, dan geldt de actieve informatieplicht. Richtlijn hiervoor is dat de raad wordt geïnformeerd over:  nieuwe risico’s met een risicoscore van 25 (risicoklasse urgent);  sterke wijziging in bestaande risico’s: als het risico stijgt van 12 of lager (risicoklasse minimaal, laag of gemiddeld) naar 25 (risicoklasse urgent).

Dit betekent dat bij een nieuw cyclusdocument de risicoklasse urgent in principe geen risico’s bevat die nog niet eerder aan de raad zijn gemeld. Bij de begroting wordt ook een overall beeld geschetst van ontwikkelingen die impact hebben op het risicoprofiel van de gemeente. Daarnaast wordt ingegaan op specifieke onderwerpen die in het begrotingsjaar qua ontwikkeling worden opgepakt. Bij de jaarrekening leggen we hier verantwoording over af. Naast de rapportage aan de raad wordt intern gerapporteerd over de financieel kwantificeerbare risico’s en het risicomanagementproces. Hierbij hanteren we de volgende rapportagematrix: Risicoscore 0≤4 4≤8 8≤10 10≤20 >20

Risicoklasse Minimaal Laag Gemiddeld Hoog Urgent

Rapportage aan: Geen Directie College Raad Raad

5.5 Overige kengetallen De financiële positie van de gemeente laat zich uitdrukken in een aantal actuele kengetallen. Kengetallen zijn getallen die de verhouding uitdrukken tussen bepaalde onderdelen van de begroting of de balans. Ze helpen daarmee bij de beoordeling van de (ontwikkeling van de) financiële positie. Naast de weerstandsratio worden vijf andere kengetallen wettelijk verplicht opgenomen in de paragraaf Weerstandsvermogen en Risicobeheersing. De vijf kengetallen en wat zij betekenen op een rij:

De provincie hanteert het volgende beoordelingskader voor de verschillende kengetallen: Kengetal Netto schuldquote Netto schuldquote gecorrigeerd voor alle verstrekte leningen Solvabiliteit Grondexploitatie Structurele exploitatieruimte begroting Belastingcapaciteit

Minst risicovol < 90% < 90% >50% <20% >0% <95%

Neutraal 90 – 130% 90- 130%

Meest risicovol >130% >130%

20-50% 20-35% 0% 95-105%

< 20% >35% <0% >105%

In zowel begroting als de jaarrekening beoordelen we hoe onze kengetallen zich verhouden tot de provinciale normen. We streven er hierbij naar om alle kengetallen minimaal neutraal te scoren. Per kengetal lichten we de afwijking ten opzichte van het voorgaande jaar toe.

6 Uitvoering en monitoring Nadat de beheersmaatregelen zijn bepaald (en de risico’s waar nodig zijn ingevoerd en/of bijgewerkt in het risicomanagementsysteem) is het tijd om de beheersmaatregelen uit te voeren, de risico’s te monitoren en de PDCA-cyclus volledig te doorlopen. Belangrijk daarbij is dat er voldoende informatiestromen zijn die sturing mogelijk maken en dat taken, bevoegdheden en verantwoordelijkheden helder zijn belegd. In dit hoofdstuk zoomen we in op de verantwoordelijkheids- en bevoegdheidsverdeling binnen het risicomanagement.

6.1 Drie lijnen model We lopen risico's bij het werk dat we doen om bepaalde doelen te bereiken. De medewerkers die dit werk uitvoeren, hebben het beste zicht op de risico's. De verantwoordelijkheid voor een risico ligt op de 1e plaats daar waar de verantwoordelijkheid voor het werk ligt waar het risico betrekking op heeft. Met andere woorden: iedereen is verantwoordelijk voor het signaleren en tre en van beheersmaatregelen voor de risico’s die binnen het eigen werkveld vallen. Het ‘Drie lijnen model’ zorgt voor een simpele en e ectieve manier om verantwoordelijkheden te beleggen ten aanzien van sturen en beheersen. Voor de rollen en verantwoordelijkheden binnen risicomanagement, sluiten we aan op deze drie lijnen. Daarbij sluit deze werkwijze aan bij de systematiek van de PDCA-cyclus.

6.1.1 1e Lijn, Uitvoering Het management van de teams is primair verantwoordelijk voor de eigen activiteiten inclusief het analyseren van de risico’s en (het benoemen en opvolgen van) de bijbehorende beheersmaatregelen. In de praktijk betekent dit dat teammanagers de taken die samenhangen met de uitvoering van risicomanagementprocessen binnen het eigen team (bij één of meerdere personen) zullen moeten beleggen. Deze personen zijn (onder eindverantwoordelijkheid van de teammanager) er verantwoordelijk voor dat de risico’s tijdig worden geïnventariseerd, geanalyseerd, dat de beheersmaatregelen worden uitgevoerd en dat het gehele proces wordt gemonitord. Daarbij rapporteren zij aan de derde lijn en aan de verantwoordelijk portefeuillehouder.

6.1.2 2e lijn, Beleid, advies en ondersteuning In de 2e lijn werken de adviseurs die de 1e lijn ondersteunen en faciliteren op het gebied van risicomanagement. Dit zijn bijvoorbeeld de consulent gegevensbeheer, adviseur juridische kwaliteitszorg, I-adviseurs, de procesmanager, de privacy-o icer, de chief

information security manager (CISO), de inkoopadviseur, medewerkers kwaliteit, HRadviseurs, financieel adviseurs en consulenten et cetera.6 Zij dragen geen inhoudelijke verantwoording voor de risico’s, die ligt bij de 1e lijn.

6.1.3 3e Lijn, ona ankelijke controle en toezicht De derde lijn toetst de e ectiviteit van de beheersmaatregelen op betrouwbaarheid van de financiële verantwoording, rechtmatigheid, doelmatigheid en doeltre endheid. Daarnaast rapporteert de derde lijn over de e ectiviteit van de werking van het risicomanagement proces. De derde lijn draagt de verantwoordelijkheid voor de toetsing en controles op de opzet en werking van de afgesproken beheersmaatregelen zoals deze door de 1e lijn worden uitgevoerd (en door de 2e lijn worden ondersteund). De uitkomsten van deze toetsing en controles worden besproken met de 1e lijn (risico-eigenaren) om de beheersing van risico’s te verbeteren. Dit past in onze filosofie van een lerende organisatie en sluit aan bij de systematiek van de PDCA-cyclus. De derde lijn, onder aansturing van de concerncontroller, inventariseert de benodigde weerstandscapaciteit en verzorgt de rapportagelijn naar de directie, het bestuur en de externe accountant en heeft een adviesrol als het gaat om: • Strategische keuzes omtrent het risicoprofiel en het weerstandsvermogen; • Verbetering van het risicomanagementproces.