Bijlage 5 - Integrale aanpak risicomanagement

Integrale aanpak risicomanagement

18 juni 2021

1. Aanleiding en doelstelling aanpak Binnen de gemeente Dongen wordt op veel manieren en op verschillende niveaus aandacht besteed aan risico’s. Bij (directie-, college- en raads-)voorstellen wordt nagedacht over kanttekeningen, in de jaarrekening en de begroting worden actuele financiële risico’s geïnventariseerd en gekwantificeerd, bij de Interne Controles kijken we gericht naar de beheersing binnen risicovolle en kwetsbare processen, de externe accountant wijst ons op risico’s en doet aanbevelingen voor verbeteringen. Bovenstaande opsomming laat zien dat de risico-alertheid in Dongen op orde is: er wordt nagedacht over mogelijke risico’s en er wordt op geacteerd. Verbeteringen zijn te behalen in het samenbrengen van de (uitkomsten van de) verschillende risico-activiteiten en het aanbrengen van een uniforme structuur (denkkader) waarlangs binnen de organisatie wordt gedacht over risicomanagement. Deze verbeteringen willen we bereiken via een integrale aanpak van risicomanagement.

Doelstelling en hoofdlijnen aanpak Het doel is te komen tot een gestructureerde aanpak om op alle lagen van de organisatie na te denken over risico’s die de organisatie loopt in het realiseren van haar doelen en het uitvoeren van haar reguliere processen. We behouden in deze aanpak de huidige praktijk waarbij zoveel mogelijk binnen de bestaande processen en structuren wordt nagedacht over mogelijke risico’s en de daarbij behorende beheersmaatregelen. Risicomanagement wordt daarmee nadrukkelijk niet als afzonderlijke of op zichzelf staande activiteit georganiseerd. We introduceren daarbij een structuur waarin via een vaste cyclus van interne gesprekken de actuele risico’s worden besproken en waarbij de omgang met risico’s wordt gecategoriseerd (aanvaarden, beheersen, verkleinen) en waarin periodiek wordt teruggekeken op de ontwikkeling van geïdentificeerde risico’s en de genomen maatregelen. Deze cyclus sluit aan bij de momenten waarop ook directie, college en raad worden geïnformeerd over de risico’s die de gemeente loopt. Dit gebeurt tweemaal per jaar, rondom de jaarrekening en de begroting.

Opmerkingen accountant Met de verbeteringen die met deze integrale aanpak risicomanagement worden beoogd, geven we tevens invulling aan de overwegingen van de accountant in de Managementletter 2020. Ook de accountant gaf aan dat een (beheers)aanpak per risico opgesteld zou moeten worden, dat de ontwikkeling van risico’s gevolgd zou moeten worden via de P&C-stukken en dat het college en de raad structureel betrokken zouden moeten zijn bij risicomanagement in het algemeen en de belangrijkste risico’s in het bijzonder. (Managementletter Gemeente Dongen, 2020) Wij geven u de volgende overwegingen mee voor een mogelijke doorontwikkeling van het proces omtrent het risicomanagement: 1. Licht per risico toe welke ‘aanpak’ (aanvaarden, delen, verminderen, vermijden) gehanteerd is en welke beheersmaatregelen daarbij getroffen zijn door uw gemeente. 2. Licht in volgende P&C-stukken de relevante financiële en niet-financiële ontwikkelingen sinds het voorgaande P&C-stuk toe. (Waarom) is een risico naar boven of naar beneden bijgesteld? Heeft een risico zich gemanifesteerd of niet, en zo ja; waren de getroffen beheersmaatregelen effectief? 3. Een aanvullende positieve ontwikkeling zou de structurele betrokkenheid van het college en de raad bij het risicomanagement zijn, met de belangrijkste risico’s als een vast agendapunt. 2

2. Risico’s in doelstellingen en processen In het denken over risico’s die de organisatie loopt, kan grofweg onderscheid worden gemaakt tussen twee typen risico’s: risico’s die de organisatie loopt in het bereiken van haar doelstellingen en risico’s die de organisatie loopt in het uitvoeren van reguliere processen. 1. Risico’s in bereiken doelen  Integreren in de P&C-cyclus De risico’s die de organisatie loopt in het realiseren van de doelstellingen worden meegenomen in de (interne) P&C-cyclus. Tegelijkertijd met het opstellen en monitoren van doelstellingen wordt gekeken welke risico’s er spelen. Dat geldt zowel voor doelstellingen die opgenomen worden in de begroting als bij individuele directie-, college of raadsvoorstellen. Hierbij haken we risicomanagement aan bij een bestaande structuur en wordt geborgd dat op het juiste moment – namelijk bij de planvorming – wordt nagedacht over risico’s. 2. Risico’s in uitvoeringsprocessen  Meenemen in IC-aanpak De risico’s die de organisatie loopt in de uitvoering van de reguliere processen worden meegenomen in de IC-aanpak. Risico’s worden zo veel als mogelijk binnen de processen beheerst. De Interne Controles zijn er op gericht te kijken of deze beheersmaatregelen werken en of de organisatie ergens risico’s loopt. Uit de Interne Controles volgen bevindingen ter verbetering van de interne beheersing.

Ook voor het identificeren en beheersen van de risico’s in de reguliere processen wordt dus aangehaakt bij een reeds bestaande aanpak.

3

3. Integrale aanpak uitgewerkt In hoofdstuk 1 is reeds aangegeven hoe de integrale aanpak van risicomanagement er op hoofdlijnen uit komt te zijn. In hoofdstuk 2 is aangegeven op welke wijze wordt aangehaakt bij reeds bestaande structuren (die van de P&C-cyclus en van de Interne Controles). Aanvullend hierop wordt een structuur ontwikkeld waarmee de verschillende risico’s kunnen worden samengebracht (ten behoeve van een integraal beeld) en waarmee binnen de gehele organisatie uniform wordt gedacht en gesproken over risico’s. De gehele aanpak rondom risicomanagement is hieronder uitgewerkt. Zoals reeds aangegeven wordt zoveel mogelijk aangehaakt bij bestaande structuren. Alles wat nieuw of aanvullend is, is in onderstaande opsomming vet gearceerd. Al het overige is daarmee reeds bestaand. (vet is nieuw, overige is bestaand) 1. P&C-voortgangsoverleggen Organiseer vier P&C-voortgangsoverleggen per jaar met per programma de themaverantwoordelijken, de financieel adviseur, de concerncontroller en de coördinerend adviseur IC. In deze overleggen wordt breed per programma de voortgang van de gestelde doelen inclusief risico’s besproken. Waar we nu spreken over ‘Wat willen we bereiken/hebben we bereikt’ en ‘Wat gaan we daarvoor doen/hebben we daarvoor gedaan’, bespreken we ook de vraag welke risico’s onze plannen in de weg kunnen staan.

Deze overleggen vormen een belangrijke input voor de P&C-producten die naar de raad gaan. De planning volgt dus de planning van de P&C-documenten. a. Januari: bespreken beleidsverantwoording t-1, bespreken stand van zaken risico’s, bespreken wijzigingen P&C-cyclus. b. April: bespreken beleidsverantwoording jaar t (berap-1), bespreken input Kadernota, bespreken stand van zaken risico’s. c. Augustus: bespreken beleidsverantwoording jaar t (berap-2), bespreken input begroting, bespreken stand van zaken risico’s. d. November: bespreken stand van zaken risico’s, evalueren P&C-cyclus en interne werkwijze. 2. Een gestructureerd risicomodel Voer een gestructureerd model in voor categorisering van en omgang met risico’s. a. Onderscheid tussen financiële risico’s (tbv risicoparagraaf) en niet-financiële risico’s. Financiële risico’s worden doorgerekend met een risicobedrag en risicokans. b. Onderscheid in omgang met risico’s: i. Aanvaarden ii. Beheersen iii. Verkleinen 3. Identificeer risico’s binnen de IC-aanpak De huidige IC-aanpak wordt gecontinueerd: a. Tweemaal per jaar wordt een IC-rapportage opgesteld. De IC-rapportage: i. Kijkt terug op de belangrijkste bevindingen uit de uitgevoerde IC’s en de voortgang op de speerpunten. ii. Kijkt vooruit naar de speerpunten voor de komende periode.

4

b. De grondslag voor de uitvoering van de interne controles is een gedetailleerde risicoanalyse op het niveau van de processen bij de gemeente Dongen. Deze wordt aangevuld met frauderisico’s naar aanleiding van een in 2021 uit te voeren frauderisicoanalyse. Ook fiscale risico’s zullen een plek krijgen in de risicoanalyse zodat een integraal beeld van risico’s op procesniveau ontstaat. c. De voortgang op de aanbevelingen uit de IC’s en de externe controles (Interim Controle en Jaarrekeningcontrole) wordt gemonitord via de lijst Verbeteracties Interne Beheersing. De lijst is een bijlage bij de IC-rapportage en wordt maandelijks besproken tussen de coördinerend adviseur IC, de financieel adviseurs en de concerncontroller. Nieuwe risico’s of aanpassingen van bestaande risico’s naar aanleiding van deze aanbevelingen worden verwerkt in de risicoanalyse op procesniveau, zodat een dynamisch document ontstaat. d. De IC-rapportage verschijnt op twee logische momenten in het jaar: i. Januari: na oplevering Interim Controle ii. Juli: na oplevering jaarrekeningcontrole e. Driemaal per jaar wordt de raad geïnformeerd over de stand van zaken rondom de verbeteracties Interne Beheersing, zoals die volgen uit de aanbevelingen van de accountant: i. Januari: bij aanbieding Managementletter ii. Juli: bij aanbieding Accountantsrapport jaarrekening iii. Oktober: bij bepaling opdrachtbevestiging 4.

Rapportage- en overlegstructuur directie, college en raad Sluit voor de rapportage- en overlegstructuur richting directie, college en raad aan bij de P&Ccyclus. a. Tweemaal per jaar (in de begroting en in de jaarrekening) wordt een risicoparagraaf opgesteld. Die risicoparagraaf gaat integraal in op de risico’s die de organisatie loopt (in doelstellingen en in processen). b. De risicoparagraaf geeft van de belangrijkste (incidentele en structurele) risico’s aan hoe de organisatie ermee omgaat (aanvaarden, beheersen, verkleinen). Tevens wordt teruggekeken op in gang gezette acties. Zoals gebruikelijk worden de actuele risico’s afgezet tegen het beschikbare weerstandsvermogen. c. Directie en college worden in de aanloop naar verzending van de begroting en de jaarrekening naar de raad meegenomen in de concept-stukken. Dit is het moment om ook op die niveaus stil te staan bij de risico’s. De raad kan in haar behandeling van respectievelijk de jaarrekening en de begroting de actuele risico’s bespreken. 5. Decentrale aanpak risico’s Risico’s worden zoveel mogelijk decentraal (in het proces of in de uitvoering) belegd. Dit betekent bijvoorbeeld dat fiscale risico’s binnen de fiscale processen worden geborgd, frauderisico’s voornamelijk binnen de financiële processen. Individuele directie-, college en raadsvoorstellen geven inzicht in de kanttekeningen.

Deze kanttekeningen zijn de risico’s van het voorstel. Het hierboven beschreven proces is gericht op het verzamelen van alle decentrale risico’s (en hun beheersing) om zodoende een integraal beeld van het risicomanagement van de gemeente Dongen te kunnen schetsen in de geëigende P&C-producten.

5