2026.05.07 - Bijlage 8 - Onderzoeksrapport 213a Risicomanagement 2025

213a onderzoek RISICOMANAGEMENT

Managementsamenvatting In het kader van artikel 213a van de Gemeentewet is in 2024 een onderzoek uitgevoerd naar de inrichting van het risicomanagement binnen de gemeente Breda. Aanleiding hiervoor is de wens om risicomanagement beter te verankeren in de organisatie en de actualisatie van de nota risicobereidheid en weerstandsvermogen. Het onderzoek is uitgevoerd aan de hand van internationaal erkende normen (COSO ERM 2017 en ISO 31000:2018) en richt zich op beleid, processen en governance. Uit het onderzoek blijkt dat risicomanagement binnen de gemeente Breda op dit moment grotendeels decentraal en pragmatisch wordt toegepast. Hoewel dit in het verleden heeft bijgedragen aan flexibiliteit in besluitvorming, is er in de huidige context behoefte aan meer samenhang, eenduidigheid en expliciete sturing. De bestaande kaders kunnen op onderdelen worden aangescherpt, en er is ruimte om rollen en verantwoordelijkheden helderder te positioneren. Ook is er ruimte voor verdere versterking van de monitoring en rapportage van risico’s en beheersmaatregelen, evenals aan een meer integraal overzicht van risico’s op organisatieniveau. De organisatie heeft de ambitie uitgesproken om meer in control te komen en werkt daartoe aan versterking van de interne beheersing, onder andere via het FIT-uitvoeringsprogramma.

Het rapport onderstreept dat verdere professionalisering van risicomanagement noodzakelijk is om deze ambitie te realiseren. Het rapport doet aanbevelingen op vijf hoofdpunten: (1) herijking van het beleidskader risicomanagement, (2) ontwikkeling van een basiswerkwijze met uniforme formats en procesafspraken, (3) vergroten van bekendheid en bewustwording, (4) training van medewerkers met risicomanagementtaken, en (5) versterking van de monitorende rol van Concern Control.

1

Inhoudsopgave managementsamenvatting .........................................................................................................................................1 Inhoudsopgave ...........................................................................................................................................................2 Onderzoeksverantwoording .......................................................................................................................................3 Conclusie ....................................................................................................................................................................6 Aanbevelingen ............................................................................................................................................................7 Managementreactie ...................................................................................................................................................8 Bevindingen ................................................................................................................................................................9 Bijlage 01 – Interviews .............................................................................................................................................17 Bijlage 02 – Coso Erm 2017

Componenten ..............................................................................................................18 Bijlage 03 – Iso 31000:2018 Risicomanagementproces ...........................................................................................20

2

Onderzoeksverantwoording Aanleiding onderzoek Ieder jaar onderzoekt het college de doelmatigheid en doeltreffendheid van de gemeentelijke organisatie. Deze onderzoeken komen ook terug in de begroting en de jaarrekening. De wettelijke basis voor deze onderzoeken is artikel 213a van de Gemeentewet. We hebben deze verplichting en werkwijze nader uitgewerkt in de Verordening 2021 voor periodiek onderzoek door het college naar de doelmatigheid en doeltreffendheid van de manier waarop het college de organisatie aanstuurt. In 2017 is de huidige nota Risicobereidheid en weerstandsvermogen vastgesteld. Daarna zijn er diverse ontwikkelingen geweest op het gebied van risicomanagement, waaronder de risicoaanpak bij de grote, bijzondere projecten die nog een plaats moeten krijgen in het beleidskader. Vooruitlopend op de actualisatie daarvan (in 2025) voeren we een evaluatie uit, waarbij we ook nieuwe ontwikkelingen op het gebied van risicomanagement meenemen. Risicomanagement is belangrijk om ambities en kansen die zich voordoen weloverwogen te kunnen realiseren. Daarnaast is het noodzakelijk om risico’s adequaat te beheersen. Een goed en compleet beleidskader is hierbij onmisbaar. De uitkomsten van dit onderzoek vormen hiervoor een belangrijke basis.

Doelstelling, kaders en scope De doelstelling van dit onderzoek is te beantwoorden in welke mate de huidige inrichting van risicomanagement binnen de Gemeente Breda voldoet om in control te zijn in de realisatie van de gemeentelijke doelen (Doeltreffend, doelmatig en rechtmatig). De scope van het onderzoek is het beleid, de processen en governance van risicomanagement van de gemeente Breda. Dit raakt zowel de drie domeinen (RED, SED en BV) als het bestuurlijke besluitvormingsproces. Het risicomanagement van andere organisaties, waaronder verbonden partijen, valt niet onder de scope van dit onderzoek. Bij de uitvoering van het 213a onderzoek is de inrichting van risicomanagement van de gemeente Breda bewust afgezet tegen internationaal erkende normen op het gebied van risicomanagement welke ook reeds door andere gemeenten worden toegepast. Hiermee wordt vastgesteld welke verbeterpunten de organisatie heeft als het gaat om risicobewustzijn, risico inschatting, monitoring van risico’s en beheersmaatregelen. Ook wordt duidelijk in welke mate risicomanagement binnen de organisatie (reguliere processen, projecten, programma’s) op dit moment expliciet plaatsvindt en de organisatie daarmee aantoonbaar in control is.

Normenkader Om de onderzoeksvraag te beantwoorden is de risicomanagement inrichting van de Gemeente Breda beoordeeld aan de hand van COSO ERM 2017 (Bijlage 02) en de ISO 31000:2018 – Risicomanagement (Bijlage 03). Twee internationaal erkende normen op het gebied van risicomanagement welke ook door andere gemeenten worden toegepast. Per component van de COSO ERM 2017 vindt scoring plaats en worden bevindingen vastgesteld. De bevindingen dienen als basis voor de beantwoording van de onderzoeksvragen. Binnen dit onderzoek is gekeken naar de volgende componenten. •

Governance & Cultuur

3

• •

Prestatie (bij de beoordeling van het risicomanagement-proces wordt gebruik gemaakt van ISO 310000:2018) Informatie, Communicatie & Rapportage

Onderzoeksopzet Het plan van aanpak is vastgesteld door de bestuurlijk en ambtelijk opdrachtgevers en afgestemd met audit. De toetsing vindt plaats op basis van een combinatie van kwalitatief onderzoek op basis van diepte-interviews en deskresearch op basis van beschikbare documentatie. Het onderzoek is in de tweede helft van 2024 uitgevoerd. Deskresearch Binnen deskresearch is gebruik gemaakt van bestaande (beleids)documenten welke binnen de organisatie voor handen zijn in het kader van risicomanagement. Binnen deze stap zijn de volgende activiteiten uitgevoerd: • • • •

Inventariseren risicomanagement beleid, processen en betrokken functionarissen binnen de Gemeente Breda. Inventariseren eerdere onderzoeken en uitkomsten naar risicomanagement binnen de Gemeente Breda. Beoordelen risicomanagement beleid aan de hand van normenkader. Onderzoek naar vergelijkbare gemeenten en actuele ontwikkelingen binnen het vakgebied. In dit kader is gesproken met ambtenaren van de gemeentes Heerlen, Tilburg en Oosterhout. Daarnaast is het risicomanagement beleid van deze zelfde gemeenten doorgenomen.

Interviews Om te beoordelen in welke mate de bestaande kaders en richtlijnen worden nageleefd, alsmede om te beoordelen hoe risicomanagement in de praktijk wordt uitgevoerd binnen de gemeente Breda, is gesproken met een brede vertegenwoordiging van functionarissen welke werkzaam zijn binnen de organisatie. Van elk domein zijn de afdelingshoofden / ketenmanagers van twee afdelingen / ketens geïnterviewd. Zie bijlage 01 voor de geïnterviewden. Van alle interviews is een gespreksverslag opgesteld dat ter inhoudelijke verificatie is voorgelegd aan de geïnterviewden. Uit de interviews is een rode draden analyse gemaakt welke is besproken in de MT’s van de drie domeinen, het DO en met de bestuurlijk opdrachtgever.

Onderzoeksvragen Dit onderzoek geeft antwoord op de geformuleerde centrale onderzoeksvraag: in welke mate voldoet de huidige inrichting van risicomanagement binnen de Gemeente Breda om in control te zijn in de realisatie van de gemeentelijke doelen. Om deze centrale vraag te beantwoorden, is een aantal deelvragen (op beleid, proces en governance) geformuleerd. Door deze vragen te beantwoorden, is ook inzicht verkregen in het volwassenheidsniveau van risicomanagement binnen Breda en zijn mogelijke oplossingen geïdentificeerd. Beleid ▪

Wat is de risicomanagement strategie van de Gemeente Breda?

4

▪

Voldoet het risicomanagement beleid van de Gemeente Breda aan het normenkader en de geldende praktijk binnen vergelijkbare organisaties?

▪ ▪

Op welke wijze wordt het risicomanagement proces in de praktijk uitgevoerd? Op welke wijze worden risico’s meegenomen in de sturing op de realisatie van de gemeentelijke doelstellingen?

Proces

Governance ▪ Is er een uitgewerkte governance met vastgelegde rollen en verantwoordelijkheden? ▪ Worden de rollen en verantwoordelijkheden uitgevoerd conform omschrijving? ▪ Zijn de randvoorwaarden voor de invulling van risicomanagement aanwezig binnen de organisatie?

5

Conclusie De Gemeente Breda kenmerkt zich door een hoge mate van pragmatisme waarbij voor het realiseren van de doelstellingen en de aanpak van risicomanagement gesteund wordt op de integrale verantwoordelijkheid van afdelingshoofden en directie. Het voordeel hiervan is dat snel op onverwachte gebeurtenissen kon worden gereageerd. Het nadeel is dat je in een snel veranderende, complexe omgeving risico's kunt missen. Een “verkeerde” beslissing kan aanzienlijke gevolgen hebben. De afgelopen jaren hebben zich, volgens de geïnterviewden geen grote verstoringen voorgedaan als gevolg van gemiste risico’s. Maar een meer expliciete toepassing van risicomanagement is wel noodzakelijk om dat naar de toekomst te borgen. De organisatie heeft de behoefte en noodzaak onderkend om meer en beter in control te komen. Een beweging die enkele jaren geleden is ingezet nadat we geen goedkeurende controleverklaring op rechtmatigheid kregen bij de jaarrekening 2020. Aan de hand van het verbeterprogramma Rechtmatigheid zijn de belangrijkste tekortkomingen op het gebied van rechtmatigheid bij inkoop, inhuur en subsidies aangepakt en hebben we vanaf 2022 weer een goedkeurende controleverklaring. Daarnaast zijn verbetertrajecten opgestart om de interne beheersing te verbeteren.

In dit kader is in 2024 een meerjarig uitvoeringsprogramma voor de organisatieontwikkeling vastgesteld die moet leiden tot een meer volwassen en professionele organisatie gericht op de vorming en uitvoering van strategisch beleid. Dit stelt ook (aanvullende) eisen aan het risicomanagementproces als onderdeel van sturing en beheersing. Op basis van het onderzoek concluderen we dat er een duidelijke behoefte bestaat aan betere ondersteuning in de vorm van kaders voor risicobereidheid (welke risico’s mogen (en moeten) op welk niveau worden geaccepteerd) en de uitvoering van het risicomanagementproces. Hieronder valt ook een toelichting op de wijze waarop de risico s (kans en impact) worden bepaald. Ook is er behoefte aan een governance met vastgelegde en heldere rollen en verantwoordelijkheden. De huidige, in de nota risicomanagement, vastgelegde rollen en verantwoordelijkheden zijn bij een deel van de organisatie niet bekend. Daarnaast wordt een deel van de rollen en verantwoordelijkheden niet uitgevoerd conform het beleid.

6

Aanbevelingen Op basis van de bevindingen en de hiervoor uiteengezette conclusie zijn de volgende aanbevelingen geformuleerd om risicomanagement binnen Breda verder te professionaliseren. Versterking beleidskader Risicomanagement moet een duidelijke plek krijgen binnen het systeem van sturing en beheersing binnen Breda. Daarmee wordt risicomanagement integraal onderdeel van bijvoorbeeld het handboek sturing en de verschillende basiswerkwijzen op het gebied van project- en procesmatig werken. Risicomanagement moet de lijnorganisatie ondersteunen bij de realisatie van haar doelstellingen door middel van heldere kaders, richtlijnen en verantwoordelijkheden. De basis voor de versterking van het beleidskader vormt een herijking van de nota risicomanagement en weerstandsvermogen welke wordt vastgesteld door de raad. Opstellen basiswerkwijze risicomanagement Om een consistente en gestructureerde aanpak van risicomanagement binnen de organisatie te realiseren adviseren we, in aansluiting op de geactualiseerde nota risicomanagement, een basiswerkwijze risicomanagement op te stellen met duidelijke procesomschrijvingen en uniforme formats. Hierbij is het uitgangspunt uniformeren waar het kan, verbijzonderen waar het moet.

In de basiswerkwijze worden rollen en verantwoordelijkheden op de verschillende niveaus vastgelegd en wordt uitgewerkt op welke wijze tooling en systemen het risicomanagement proces van Breda ondersteunen. Vergroten bekendheid van het beleidskader Het vergroten van de bekendheid van het beleidskader draagt bij aan bewustwording en verbetering van risicobeheersing in algemene zin. Het vergroten van de bekendheid kan worden bereikt door middel van communicatiecampagnes en informatiesessies, zodat alle medewerkers op de hoogte zijn en blijven van richtlijnen en procedures. Trainen van medewerkers Het is van belang om medewerkers die uit hoofde van hun functie of werkzaamheden verantwoordelijkheid dragen of een rol hebben binnen risicomanagement te trainen. Dit omvat onder andere het lijnmanagement, de business controllers, de kwaliteitsmedewerkers en de financieel adviseurs. Door hen te trainen, zorgen we ervoor dat zij de kennis en vaardigheden hebben om risico's effectief te identificeren, te beoordelen en te beheersen. De training kan bestaan uit workshops, waarbij onderwerpen zoals de basisprincipes van risicomanagement, methoden voor risicoidentificatie, technieken voor risicoanalyse, strategieën voor risicobeheersing en continu monitoring en rapportage aan bod komen.

Verscherpen monitorende en toetsende rol We adviseren om de monitorende en toetsende rol van Concern Control aan te scherpen en de uitkomsten hiervan periodiek te agenderen in DO en college. De aanscherping houdt in dat er meer wordt toegezien op de kwaliteit van uitvoering van het risicomanagementproces (basiswerkwijze), zodat eventuele tekortkomingen tijdig worden geïdentificeerd en aangepakt.

7

Managementreactie De directie heeft kennisgenomen van de uitkomsten van het 213a-onderzoek naar risicomanagement binnen de gemeente Breda. Wij herkennen de bevindingen en onderschrijven de noodzaak om risicomanagement verder te versterken als integraal onderdeel van de sturing en beheersing van de organisatie. De afgelopen jaren zijn belangrijke stappen gezet in het verbeteren van de interne beheersing, onder andere via FIT-uitvoeringsprogramma. Deze trajecten hebben bijgedragen aan een stevig fundament waarop verdere professionalisering van risicomanagement kan worden gebouwd. Risicomanagement bij grote (ruimtelijke) ontwikkelingen is verankerd in de basiswerkwijze. Daar waar de (financiële) risico’s het grootst zijn, zijn we in control. Hetgeen ook vastgesteld wordt door onze accountant. Er hebben zich de afgelopen jaren dan ook geen grote financiële tegenvallers voorgedaan die niet gesignaleerd waren. Dit bevestigt dat op deze onderdelen het risicobewustzijn en de beheersing op orde zijn. Tegelijkertijd constateren wij, in lijn met het rapport, dat er ruimte is om het risicomanagementproces verder te structureren, de bekendheid van kaders te vergroten en de samenhang in de uitvoering te versterken. We beschikken al meerdere jaren over een sensitiviteitsanalyse en trendverkenning.

Bij de begroting 2026 hebben we hierop voortgebouwd door extra aandacht te besteden aan risicomanagement. Desalniettemin zien we dat juist bij de risicobeoordeling in het begrotingsproces nog kansen liggen om het risicomanagement verder te versterken. De aanbeveling om het beleidskader risicomanagement te herijken wordt door de directie omarmd. De voorbereidingen hiervoor zijn reeds gestart. Een vernieuwd beleidskader zal bijdragen aan meer duidelijkheid over verantwoordelijkheden en aan bredere bekendheid binnen de organisatie. Daarbij wordt ook meegenomen in welke mate en op welke diepgang risicomanagement in de verschillende onderdelen van de organisatie wordt toegepast. Het rapport onderstreept het belang van het vergroten van risicobewustzijn en het beter inbedden van het risicomanagementproces in andere processen binnen de organisatie. Dit vraagt om een combinatie van beleidsontwikkeling en leren & ontwikkelen. Medewerkers moeten niet alleen weten wat een risico is, maar ook hoe zij dit kunnen formuleren, beoordelen en vertalen naar passende beheersmaatregelen. Dit vraagt om gerichte ondersteuning en training. De directie spreekt haar waardering uit voor de zorgvuldige uitvoering van het onderzoek en de betrokkenheid van medewerkers uit alle domeinen.

De uitkomsten vormen een belangrijke basis voor de verdere ontwikkeling van risicomanagement als integraal onderdeel van sturing en beheersing.

8

Bevindingen In het hoofdstuk bevindingen worden de geformuleerde deelvragen beantwoord op basis van het uitgevoerde onderzoek en de voor de betreffende deelvraag relevante COSO normen. De deelvragen worden hierna geclusterd over de drie in het onderzoek betrokken aspecten (Beleid, Proces en Governance) beantwoord.

Beleid Wat is de risicomanagement strategie van de Gemeente Breda? • Het DO houdt toezicht op de strategie en ondersteunt het management bij het bereiken van strategie- en bedrijfsdoelstellingen. Voldoet het risicomanagement beleid van de Gemeente Breda aan het normenkader en de geldende praktijk binnen vergelijkbare organisaties? • De organisatie stelt operationele structuren op voor het nastreven van strategiebedrijfsdoelstellingen.

Risicomanagementstrategie Het DO stuurt op de realisatie van de doelstellingen uit het bestuursakkoord aan de hand van het uitvoeringsplan en de hiervoor ingerichte voortgangsmonitor. Sturing op de realisatie van strategie- en bedrijfsdoelstellingen, zoals bijvoorbeeld geformuleerd in de meerjarenbegroting (o.a. prestatieindicatoren), is nog onvoldoende zichtbaar uitgewerkt en geen expliciet onderdeel van de interne sturing en beheersing in de organisatie. In het reguliere DO wordt geregeld aandacht besteed aan verschillende bedrijfsvoering thema’s. Ook wordt met het organisatie ontwikkelprogramma en het in 2024 opgestelde uitvoeringsprogramma FIT gewerkt aan een organisatie die flexibel, integraal en toekomstbestendig is. De risicomanagement strategie is gericht op het voldoen aan de vereisten van de BBV in relatie tot de paragraaf weerstandsvermogen. In dit kader wordt met name gestuurd op het identificeren en beoordelen van risico’s die relevant zijn binnen de P&C-producten. De focus ligt hierbij op de financiële (impact van) risico’s, waarbij de niet-financiële (gevolgen van) risico’s beperkt aan de orde komen.

Beleid, processen en verantwoordelijkheden De Gemeente Breda kenmerkt zich door een hoge mate van pragmatisme waarbij voor het realiseren van de doelstellingen en de aanpak van risicomanagement gesteund wordt op de integrale verantwoordelijkheid van afdelingshoofden en directie. Het beleid bevat beperkte kaders waaraan het risicomanagement proces moet voldoen, en de mate van risicobereidheid die wordt getolereerd. Bij het onderzoek is vastgesteld dat het ontbreekt aan concreet uitgewerkte procesafspraken met betrekking tot risicomanagement als onderdeel van de interne sturing en beheersing. Risico eigenaarschap is op het hoogste niveau belegd als onderdeel van de integrale verantwoordelijkheid van afdelingshoofden. De geïnterviewden geven aan dat zij behoefte hebben aan eenduidige kaders en afspraken op het gebied van risicomanagement waaruit blijkt wie op welk moment waarvoor verantwoordelijk is. In generieke zin schetsen de geïnterviewden een diffuus beeld van de mate waarin processen zijn uitgewerkt en vastgelegd. Een deel van de afdelingen heeft uitgebreide procesuitwerkingen en een

9

deel werkt vanuit de ervaring van medewerkers. De afdelingen waar procesuitwerkingen aanwezig zijn, hebben zichtbaar aandacht besteed aan de gewenste uitkomsten van het proces en maatregelen getroffen voor ongewenste uitkomsten. Het beleid voldoet aan de vereisten zoals die in algemene zin vanuit de BBV worden gesteld. Het risicomanagementbeleid van de Gemeente Breda voldoet niet volledig aan het normenkader en de gangbare praktijk binnen vergelijkbare organisaties en het gehanteerde normenkader (COSO). Samenvattend voldoet het beleid op de volgende punten niet: 1. Het beleidskader over het risicomanagementproces en het eigenaarschap van risico’s is niet nader uitgewerkt. Dit betekent dat medewerkers verschillende opvattingen hebben over de verantwoordelijkheid die zij dragen. 2. Er zijn geen richtlijnen voor risicobereidheid, afgezien van het weerstandsvermogen. Terwijl er wel een uitgesproken behoefte aan uniforme kaders en afspraken hierover is. Het ontbreken van deze kaders en afspraken maakt dat medewerkers op verschillende wijze invulling geven aan risicomanagement. 3. Er is geen vastgesteld format voor risicokaarten waardoor er verschillende varianten in de organisatie gebruikt worden. De methodieken en definities die gebruikt worden om de risicokaarten in te vullen verschillen daarnaast ook onderling. Dit betreft o.a.

de definitie van een risico(gebeurtenis), het opnemen van bruto en/of netto kans en impact wegingen en het opnemen van beheersmaatregelen, acties en actiehouders. 4. Het risicomanagementproces is onvoldoende uitgewerkt waardoor het voor medewerkers onduidelijk is wat op welk moment van hen verwacht wordt, en voor afdelingshoofden en teamleiders onduidelijk is waarvoor zij verantwoordelijk zijn. De uitvoering van het risicomanagementproces is op onderdelen nog niet gestandaardiseerd, wat leidt tot inconsistenties en een gebrek aan systematische toetsing en prioritering van risico’s. Beantwoording deelvragen Wat is de risicomanagement strategie van de Gemeente Breda? De risicomanagement strategie is gericht op het voldoen aan de vereisten van de BBV in relatie tot de paragraaf weerstandsvermogen. Er wordt met name gestuurd op het identificeren en beoordelen van binnen de P&C producten relevante risico’s met financiële impact. Voldoet het risicomanagement beleid van de Gemeente Breda aan het normenkader en de geldende praktijk binnen vergelijkbare organisaties? Het beleid voldoet aan de vereisten zoals die in algemene zin vanuit de BBV worden gesteld.

Het risicomanagementbeleid van de Gemeente Breda voldoet niet volledig aan het gehanteerde normenkader (COSO) en de gangbare praktijk binnen vergelijkbare organisaties: ▪ beleidskader en het eigenaarschap van risico’s is niet nader uitgewerkt ▪ richtlijnen voor risicobereidheid ontbreken ▪ Er is geen vastgestelde methodiek voor het gebruik van risicokaarten ▪ Het risicomanagementproces is onvoldoende uitgewerkt

10

Proces Op welke wijze wordt het risicomanagement proces in de praktijk uitgevoerd? • De organisatie identificeert risico's die van invloed zijn op de prestaties van de strategie en de bedrijfsdoelstellingen. • De organisatie beoordeelt de ernst van het risico. • De organisatie prioriteert risico's als basis voor het selecteren van de risk response. • De organisatie identificeert en selecteert risk responses. • De organisatie ontwikkelt en evalueert een “portfolio view” van risico. Op welke wijze worden risico’s meegenomen in de sturing op de realisatie van de gemeentelijke doelstellingen? • De organisatie maakt gebruik van de informatiesystemen om ERM te ondersteunen. • De organisatie gebruikt communicatiekanalen om ERM te ondersteunen. • De organisatie rapporteert over risico’s, cultuur en performance vanuit meerdere lagen binnen de entiteit.

Het risicomanagementproces rondom de P&C producten wordt in de praktijk uitgevoerd door tweemaal per jaar de actualiteit van risico’s in Naris te beoordelen. Onderdeel hiervan is een financiële sensitiviteitsanalyse1. Afdelingshoofden ontvangen via de financieel adviseurs per e-mail de vraag om een uitdraai uit Naris te beoordelen. We hebben daarbij het volgende geconstateerd: •

•

•

•

•

Er wordt nauwelijks getoetst welke impact nieuwe, stoppende of doorlopende initiatieven hebben op het risicoprofiel bij de P&C-producten. Een (eenduidig) kader voor de bepaling van de kans en impact van risico’s ontbreekt. Slechts een deel van de risico’s heeft een onderbouwde kans- en impactwaardering. Er is geen uniform proces waarbij risico’s ten opzichte van elkaar worden geprioriteerd en waarbij de risk response wordt bepaald. Er is geen / beperkte vastlegging van afspraken, besluiten, en afwijkingen. Bij de actualisatie van het risicoprofiel voor de P&C producten zou per risico een kans percentage en financiële impact moeten worden opgenomen. Bij beoordeling van het risicomanagement systeem Naris blijkt dat dit slechts voor een deel van de risico’s het geval is. De medewerkers die belast zijn met de onderbouwing van risico’s geven aan dat het ontbreekt aan een (eenduidig) kader voor de bepaling van kans en impact van risico’s. Maatregelen om risico's te beheersen worden zelden gedocumenteerd in het systeem Naris. Dit betekent dat er weinig informatie beschikbaar is over welke stappen zijn genomen om risico's te verminderen. Daarnaast wordt er geen onderscheid gemaakt tussen de oorspronkelijke risico's (bruto risico's) en de risico's nadat beheersmaatregelen zijn genomen (netto risico's).

Hierdoor is het moeilijk om te zien hoeveel de risico's daadwerkelijk zijn verminderd door de genomen maatregelen. De aandacht ligt voornamelijk op de financiële gevolgen van risico's. Dit betekent dat risico's die geen directe financiële impact hebben, zoals imagoschade, het niet behalen van doelstellingen of compliance met wet- en regelgeving, minder vaak worden besproken en aangepakt.

1

In de sensitiviteitsanalyse wordt bepaald welke prijsontwikkelingen zo buitensporig zijn dat ze niet opgevangen kunnen worden binnen de door gemeente gehanteerde indexen voor loonen prijsontwikkeling. Indien ingeschat wordt dat de hogere prijsontwikkeling opgevangen kan worden binnen de huidige exploitatiebegroting dan typeren we ze als risico.

11

•

Op hoofdlijnen zijn er kaders beschikbaar om het risicomanagementproces uit te voeren. Dit betreft de nota risicobereidheid en weerstandsvermogen van de raad en de handreiking risicomanagement. De invulling en uitvoering van het risicomanagementproces is persoonsafhankelijk.

In algemene zin vindt communicatie rondom de risico’s met name plaats rondom de P&C producten. Bij het opstellen van de Planning & Control (P&C) producten worden enkele belangrijke risico's geselecteerd op basis van de combinatie van hun kans en impact. Dit gebeurt op verschillende niveaus van samenvoeging. Sommige risico's worden gegroepeerd, zoals alle risico's die betrekking hebben op het sociaal domein, om te bepalen of ze gezamenlijk een top risico vormen. Andere risico's worden afzonderlijk benoemd, zoals het risico van netcongestie, omdat ze op zichzelf al significant zijn. Bij programma’s en projecten in het ruimtelijk domein is het risicomanagementproces al verder ingericht als onderdeel van de leidraad projectmatig werken. Op basis van deze leidraad worden risicokaarten opgesteld waarin vanuit verschillende invalshoeken de risico’s worden geïnventariseerd en gewogen. De risicokaarten worden periodiek herijkt. Daarnaast zijn er formats en werkwijzen beschikbaar welke afgeleid zijn van de nota risicobereidheid en weerstandsvermogen. Deze werkwijze sluit aan bij de kaders die de organisatie gesteld heeft. De organisatie kan door middel van deze inzichten bijsturen op de (financiële impact van) de risico’s. De kwaliteit van de risicokaarten is geen onderdeel geweest van dit 213a onderzoek en niet beoordeeld.

In college en raadsvoorstellen worden in de risicoparagraaf risico’s en maatregelen benoemd. Deze maatregelen worden niet gecontroleerd of gemonitord op hun implementatie en effectiviteit. Dit betekent dat er geen evaluatie plaatsvindt om te zien of de maatregelen daadwerkelijk zijn uitgevoerd en of ze werken zoals bedoeld. De organisatie gebruikt een drietal risicomanagementsystemen om risico’s vast te leggen. Naris voor algemene risico’s en twee omgevingen van de leverancier Trustbound voor respectievelijk audit en gegevensbescherming. Er is geen portfolio view van risico’s binnen de organisatie. Dit betekent dat er geen totaalbeeld is van alle risico's die de organisatie loopt, waardoor het moeilijk is om de impact van alle risico's gezamenlijk te beoordelen en te beheren. In Naris is een totaal overzicht van vastgelegde bruto risico’s beschikbaar. Dit overzicht wordt niet integraal besproken in het DO. Wel worden per begrotingsthema de risico’s uit Naris schriftelijk ter beschikking gesteld aan de afdelingshoofden welke gevraagd worden te beoordelen of de risico’s nog actueel zijn. Er wordt niet gesproken over thema en afdeling overstijgende risico’s. De impact van een risico op een ander thema wordt niet verkend of besproken op afdeling, MT of DO niveau. Verder maakt de organisatie gebruik van dashboards voor inzicht en stuurinformatie.

DIO stelt deze dashboards op om gegevens uit informatiesystemen te ontsluiten. Voor niet alle data-elementen die worden ontsloten, is echter metadata beschikbaar. Bovendien doet DIO geen onderzoek naar de kwaliteit van de (stuur)informatie. De collega's die gebruikmaken van de dashboards gaan er echter vanuit dat de door DIO beschikbaar gestelde informatie van hoge kwaliteit is. Het ontbreken van metadata en het niet onderzoeken van de kwaliteit van stuurinformatie kan leiden tot onjuiste aannames en (risico)beslissingen binnen de organisatie. Binnen de organisatie wordt hoofdzakelijk via ongestructureerde methodieken gecommuniceerd. Er is contact per mail waarbij kwalitatieve overzichten van risico’s worden gedeeld en er zijn 1 op 1 besprekingen tussen de programmatrekkers en afdelingshoofden. Slechts enkele keren zijn de risico’s besproken in MT verband. Risico’s worden niet afdeling of thema overstijgend besproken. In de 12

gesprekken met de MT’s kwam naar voren dat dit een waardevolle toevoeging zou zijn. Er wordt niet organisatie breed gecommuniceerd over risico’s. Er zijn enkele rapportages die een duidelijk verband hebben met risicomanagement en beheersing. Dit betreft op de eerste plaats de in control rapportages. Dit is een halfjaarlijkse zelfevaluatie waarin afdelingen reflecteren op belangrijke aspecten van hun bedrijfsvoering zoals personeel, informatie en financiën. Daarnaast rapporteert Audit tussentijds over bevindingen op het gebied van rechtmatigheid voor de jaarrekeningcontroles. Verder kwam uit het onderzoek naar voren dat team gegevensbescherming werkt aan risicorapportages op het gebied van gegevensbescherming. Er zijn geen verdere rapportages in de organisatie onderkend welke gericht zijn op risico’s, cultuur of performance. Volgens de geïnterviewde afdelingshoofden is er geen onafhankelijke informatievoorziening binnen de hiërarchische structuur. Dit betekent dat de doorstroom van informatie volledig afhankelijk is van de medewerkers. Er is geen systeem of proces dat ervoor zorgt dat informatie onafhankelijk en objectief wordt gedeeld tussen verschillende niveaus van de organisatie. Hierdoor kan belangrijke informatie verloren gaan of verkeerd worden doorgegeven, wat de besluitvorming kan beïnvloeden.

Beantwoording deelvragen Proces Op welke wijze wordt het risicomanagement proces in de praktijk uitgevoerd? Het risicomanagementproces wordt in de praktijk uitgevoerd door tweemaal per jaar, bij de begroting en de jaarrekening de actualiteit van risico’s in Naris te beoordelen. Daarnaast worden in college en raadsvoorstellen risico’s en maatregelen benoemd; deze worden niet gemonitord op implementatie of effectiviteit. Ten slotte worden bij projecten in het ruimtelijk domein, conform de leidraad projectmatig werken periodiek de risico’s geïnventariseerd, gewogen en herijkt. Op welke wijze worden risico’s meegenomen in de sturing op de realisatie van de gemeentelijke doelstellingen? De organisatie maakt, naast risicomanagement systemen voor gegevensbescherming en audit, gebruik van Naris voor de ondersteuning van het risicomanagementproces. Er is geen totaalbeeld van alle risico's die de organisatie loopt, waardoor het moeilijk is om de impact van alle risico's gezamenlijk te beoordelen en te beheren. De in Naris beschikbare informatie wordt bij de totstandkoming van de begroting en de jaarrekening per begrotingsthema ter beschikking gesteld aan de afdelingshoofden. Thema en afdeling overstijgende risico’s worden niet integraal besproken op afdeling, MT of DO niveau.

Informatievoorziening over realisatie van doelstellingen en risicobeheersing is nog in ontwikkeling (dashboarding, afdelingsjaarplannen en in control rapportage).

13

Governance Is er een uitgewerkte governance met vastgelegde rollen en verantwoordelijkheden? • De organisatie stelt operationele structuren op voor het nastreven van strategiebedrijfsdoelstellingen. Worden de rollen en verantwoordelijkheden uitgevoerd conform omschrijving? • De organisatie stelt operationele structuren op voor het nastreven van strategiebedrijfsdoelstellingen. Zijn de randvoorwaarden voor de invulling van risicomanagement aanwezig binnen de organisatie? • De organisatie definieert het gewenste gedrag welke kenmerkend is voor de gewenste cultuur van het bedrijf. • De organisatie toont betrokkenheid bij de kernwaarden van het bedrijf. • De organisatie committeert zich aan het opbouwen van human capital in overeenstemming met de strategie- en bedrijfsdoelstellingen.

Bij operationele structuren draait het om de organisatiestructuur. Zijn alle taken en bevoegdheden goed toegewezen? Is er voldoende eigenaarschap voor alle bedrijfsprocessen geregeld? Hoe wordt dit ingevuld? En welke rol speelt de risicomanagementadviseur in deze structuur? Uit het onderzoek blijkt dat de organisatie op deze punten tekortschiet. Taken en bevoegdheden zijn vaak niet gedocumenteerd en toegewezen. Het eigenaarschap van processen en risico’s is diffuus of niet vastgelegd. De operationele structuren en rollen en verantwoordelijkheden uit de nota risicomanagement zijn beperkt aanwezig. De volgende concrete tekortkomingen zijn geconstateerd: •

•

•

In de praktijk ontbreekt de ambtelijke stuurgroep risicomanagement, die zou volgens de nota van de raad moeten bestaan uit de gemeentesecretaris, de directeuren van de domeinen en de concern controller. Er worden geen risicorapportages voor het college en de raad opgesteld, omdat het niet duidelijk is wie hiervoor verantwoordelijk is en er geen duidelijke richtlijnen zijn voor de inhoud en vormgeving van deze rapportages. Concern control vult haar monitorende rol beperkt in, mede doordat er geen duidelijke richtlijnen zijn voorgeschreven voor de invulling van deze rol.

Er zijn verschillende initiatieven binnen Breda welke zich richten op gewenst gedrag. Zo is enkele jaren geleden een verbeterprogramma gestart dat zich heeft gericht op het beter in control komen op een aantal cruciale processen in relatie tot de jaarrekening controle. Hier is met name aandacht besteed aan de harde/ procesmatige kant. De acties uit dit verbeterprogramma hebben ertoe geleid dat Breda weer een goedkeurende controleverklaring bij de jaarstukken ontvangt van de externe accountant. Daarnaast is er een organisatie ontwikkelprogramma (genaamd FIT uitvoeringsprogramma) waarbij de focus ligt op een organisatie die flexibel is, waar integraal gewerkt wordt en die toekomstbestendig is. Binnen dit ontwikkelprogramma ligt de focus zowel op de zachte kant waarbij aandacht is voor het gewenste gedrag en aandacht is voor de harde kant door een aantal zaken verder te professionaliseren. Dit wordt gedaan door te investeren in de medewerkers, het versterken van de basiswerkwijzen en het inzetten op innovatie en (digitale) vernieuwing. De aandachtspunten uit het FIT uitvoeringsprogramma worden onderschreven.

14

Deelnemers aan de interviews kenmerken de cultuur van Breda op dit moment als een familiecultuur waarbij medewerkers op alle lagen van de organisatie onvoldoende tot niet aangesproken worden op het niet nakomen van afspraken en het niet halen van doelstellingen. De geïnterviewden medewerkers kenmerken dit als onwenselijk en zijn gemotiveerd om bovenstaande punten op te pakken en te verbeteren. Op basis van de Fit-enquête van maart 2025 ervaart 76% van de respondenten verbetering in het geven van leiding en sturen. Desalniettemin blijven er uitdagingen in het opvolgen van processen, worden deadlines regelmatig niet gehaald en is de integrale samenwerking nog niet overal volledig doorgebroken. Ook geven sommige respondenten aan dat de veranderingen wel merkbaar zijn, maar vooral in kleine stappen plaatsvinden. De organisatie heeft een aantal acties uitgezet om de kernwaarden van de organisatie te versterken. Zo wordt via de intranetpagina van de organisatie op specifieke momenten aandacht besteed aan het FIT uitvoeringsprogramma en de kernwaarden van de organisatie (flexibel, integraal en toekomstgericht). Middels managementdagen worden het leidinggevend kader meegenomen in wat van hen verwacht wordt in relatie tot het FIT uitvoeringsprogramma. Zij worden daarnaast allemaal opgeleid tot teamcoach om zo de medewerkers te begeleiden om de kernwaarden in de praktijk te brengen.

De afdelingshoofden en medewerkers zijn van mening dat integraal werken en integrale inzichten ons gaan helpen de risico’s beter te beheersen. De programmamanager rapporteert direct aan de gemeentesecretaris waaruit betrokkenheid op het hoogste ambtelijke niveau blijkt. Wat betreft human capital als essentiële voorwaarde voor het succesvol realiseren van bedrijfsdoelstellingen, erkennen de geïnterviewden dat de arbeidsmarkt momenteel krap is en naar verwachting de komende jaren nog krapper zal worden. Daarom is er binnen Breda een nieuwe impuls gegeven aan recruitment, met speciale aandacht voor het binden en behouden van medewerkers. Afdelingshoofden benadrukken in de interviews dat medewerkers hun belangrijkste middelen zijn om de doelstellingen te bereiken. Zij onderkennen het belang van opleiding en ontwikkeling om de benodigde kennis en vaardigheden op peil te brengen en te houden. Tot slot gaven de afdelingshoofden aan dat het ontbreekt aan een inwerkprogramma voor nieuwe afdelingshoofden en teamleiders waarin het risicomanagement een duidelijk plek heeft en het beleid en de daaruit voortvloeiende verantwoordelijkheden worden toegelicht. Dit inwerkprogramma is inmiddels in ontwikkeling.

15

Beantwoording deelvragen Governance Is er een uitgewerkte governance met vastgelegde rollen en verantwoordelijkheden? De operationele structuren en rollen en verantwoordelijkheden uit de nota risicomanagement zijn beperkt aanwezig. Taken en bevoegdheden zijn vaak niet gedocumenteerd en toegewezen, het eigenaarschap van processen en risico’s is niet vastgelegd of diffuus. Worden de rollen en verantwoordelijkheden uitgevoerd conform omschrijving? De uitvoering voldoet niet doordat taken en bevoegdheden onvoldoende zijn uitgewerkt evenals het eigenaarschap van processen en risico’s/risicobeheersing. Daarnaast ontbreekt het aan de volgens de nota risicomanagement in te stellen ambtelijke stuurgroep risicomanagement, de risicorapportages voor het college en de raad en een adequate invulling van de richtinggevende en monitorende rol in de tweede lijn. Zijn de randvoorwaarden voor de invulling van risicomanagement aanwezig binnen de organisatie? Met de uitvoering van het verbeterplan rechtmatigheid (tot en met 2022) en het organisatie ontwikkelprogramma is en wordt blijvend geïnvesteerd in fundament en basiswerkwijzen van de gemeente Breda. De uitgesproken ambitie om als organisatie in control te komen en een hieraan gekoppeld concreet uitvoeringsprogramma vormen belangrijke randvoorwaarden en mogelijkheden om invulling te geven aan (verbetering van) risicomanagement.

16

Bijlage 01 – Interviews • • • • • • • • • • • • • • • • • •

Financieel adviseurs P1 Financieel adviseur P2 Financieel adviseur P3 Financieel adviseur P4 Financieel adviseur P5 Afdelingsmanager FIJ Afdelingsmanager Afvalservices Afdelingsmanager Stedelijk beleid / Vastgoed Afdelingsmanager RDI Afdelingsmanager Mobiliteit en Milieu Ketenmanager Participatie Ketenmanager Werk MT RED MT SED MT BV FG CISO Medewerker team Gegevensbescherming

17

Bijlage 02 – COSO ERM 2017 Componenten Governance & cultuur Governance en cultuur vormen samen de basis voor alle andere ERM onderdelen. Governance bepaalt de ‘toon’, geeft het belang van ERM aan en zorgt voor voldoende toezicht. Cultuur omvat ethische waarden, gewenst gedrag en de houding ten opzichte van risico’s binnen het bedrijf. Exercises Board Risk Oversight

De directie houdt toezicht op de strategie en ondersteunt het management bij het bereiken van strategie- en bedrijfsdoelstellingen.

Establishes Operating Structures

De organisatie stelt operationele structuren op voor het nastreven van strategie- bedrijfsdoelstellingen.

Defines Desired Culture

De organisatie definieert het gewenste gedrag welke kenmerkend is voor de gewenste cultuur van het bedrijf.

Demonstrates Commitment to Core Values

De organisatie toont betrokkenheid bij de kernwaarden van het bedrijf.

Attracts, Develops, and Retains Capable Individuals

De organisatie committeert zich aan het opbouwen van human capital in overeenstemming met de strategie- en bedrijfsdoelstellingen.

Prestatie Bij het component prestatie draait het om het identificeren en beoordelen van risico's die het behalen van de strategie mogelijk in de weg staan. Deze risico’s dienen geprioriteerd te worden op basis van omvang/ernst en afgezet te worden tegen de risicobereidheid. Afhankelijk van de uitkomst wordt de gepaste respons en monitoring bepaald. Op deze manier ontwikkelt de organisatie een totaaloverzicht van de hoeveelheid risico's waaraan de organisatie wordt blootgesteld. Identifies Risk

De organisatie identificeert risico's die van invloed zijn op de prestaties van de strategie en de bedrijfsdoelstellingen.

Assesses Severity of Risk

De organisatie beoordeelt de ernst van het risico.

Prioritizes Risks

De organisatie prioriteert risico's als basis voor het selecteren van de risk response.

Implements Risk Responses

De organisatie identificeert en selecteert risk responses.

Develops Portfolio View

De organisatie ontwikkelt en evalueert een “portfolio view” van risico.

18

Informatie, communicatie en rapportage Het laatste component omvat informatie, communicatie en rapportage welke relevant zijn binnen risicomanagement. Onder communicatie verstaan we het continue proces hvan het verkrijgen en delen van informatie. Er wordt gekeken of Het management relevante en kwalitatief goede informatie krijgt uit interne en externe bronnen om ERM te ondersteunen. De organisatie gebruikt informatiesystemen om gegevens in informatie vast te leggen, te verwerken en te beheren. Leverages Information and Technology

De organisatie maakt gebruik van de informatiesystemen om ERM te ondersteunen.

Communicates Risk Information

De organisatie gebruikt communicatiekanalen om ERM te ondersteunen.

Reports on Risk, Culture, and Performance

De organisatie rapporteert over risico’s, cultuur en performance vanuit meerdere lagen binnen de entiteit.

19

Bijlage 03 – ISO 31000:2018 risicomanagementproces

20