Bijlage 7 - 1426182 6.1 Nota risicomanagement gemeente Epe 2027 college 26 mei 2026
Tekst van het document
Nota risico- management 2027
Financieel beleid
Gemeente Epe Versie 3.0 – aanbieding raad – Datum: 26 mei 2026
Inhoudsopgave 1. INLEIDING................................................................................................................ 2 1.1 Belang van het onderwerp.......................................................................................2 1.2 Leeswijzer................................................................................................................ 2 1.3 Inwerkingtreding.......................................................................................................2 2. SAMENVATTING.....................................................................................................3 3. INTRODUCTIE RISICOMANAGEMENT...................................................................5 3.1 Wat is risicomanagement?.......................................................................................5 3.2 Indeling risico’s.........................................................................................................5 4. VISIE EN DOELEN RISICOMANAGEMENT............................................................6 4.1 Visie......................................................................................................................... 6 4.2 Doelen......................................................................................................................
6 4.3 Integraal risicomanagement.....................................................................................6 4.4 (Randvoor)waarden risicomanagement....................................................................7 4.5 Risicobereidheid.......................................................................................................7 5. HET PROCES........................................................................................................... 9 5.1 Passend risicomanagement.....................................................................................9 5.2 Inrichting van het proces..........................................................................................9 5.3 Belang van het goede gesprek: soft controls..........................................................14 5.4 Taken en verantwoordelijkheden............................................................................15 6. SPECIFIEKE ONDERWERPEN..............................................................................17 6.1Verbonden partijen en andere netwerken...............................................................17 6.2 Frauderisico’s.........................................................................................................17 6.3 Informatieveiligheid: NIS2 / CBW...........................................................................18 7.
WEERSTANDSVERMOGEN...................................................................................20 7.1 Uitleg weerstandsvermogen...................................................................................20 7.2 Benodigde weerstandscapaciteit............................................................................20 7.3 Beschikbare weerstandscapaciteit.........................................................................20 7.4 Bepaling weerstandsvermogen..............................................................................21 8. INFORMATIEVOORZIENING.................................................................................22 8.1 Algemeen............................................................................................................... 22 8.2 Planning & Control producten................................................................................22 8.3 Tussentijdse informatievoorziening........................................................................22
BIJLAGEN BIJLAGE A: BIJLAGE B:
BEGRIPPENLIJST KRITISCHE PROCESSEN
Nota risicomanagement 2026
Financieel beleid
Pagina 1 van 26
1. Inleiding 1.1. Belang van het onderwerp Dat we met risico’s te maken krijgen, is onvermijdelijk. Dat kunnen zowel specifieke risico’s zijn door de doelen die we willen bereiken maar ook algemene risico’s die de gemeente kunnen treffen. Omdat we risico’s niet kunnen en soms niet willen vermijden, is het belangrijk dat we risicobewust handelen. We moeten goed in beeld hebben welke risico’s er zijn en hoe we die kunnen beheersen. Belangrijke vraag daarbij is of we bereid zijn om het resterende risico te dragen. Besluiten daarover moeten op het juiste niveau worden genomen. Dit alles is onderdeel van het proces risicomanagement. Risicomanagement is een continu proces dat we breed binnen de organisatie uitvoeren. Zicht op risico’s is onlosmakelijk onderdeel van een zorgvuldige bestuurlijke besluitvorming. Als risico’s optreden, moeten we daarop voorbereid zijn en de (financiële) middelen hebben om die risico’s op te vangen. Er zijn beperkte wettelijke kaders voor het risicomanagement. Het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) geeft in artikel 11 enkele richtlijnen over financiële risico’s en het weerstandsvermogen. Daarnaast treedt in 2026 de Cyberbeveiligingswet in werking, de Nederlandse vertaling van de Europese NIS2 richtlijn voor informatiebeveiliging. De nieuwe BIO2.0 (Baseline informatievoorziening) krijgt hierin een wettelijke verankering.
Zowel in de NIS2 als de BIO2.0 ligt de nadruk nog meer dan in de huidige wet- en regelgeving op het belang van risicomanagement als basis voor het beheersen van beveiligingsrisico’s. Dit maakt een integrale aanpak van risicomanagement nog belangrijker. Via deze nota stelt de raad belangrijke kaders voor het risicomanagement binnen de gemeente Epe vast. 1.2. Leeswijzer Hoofdstuk twee geeft een samenvatting van de nota. Daarna bevat hoofdstuk drie een introductie op het onderwerp waarbij ook enkele definities aan de orde komen. Hoofdstuk vier beschrijft vervolgens de visie, doelen en uitgangspunten voor het risicomanagement. Hoofdstuk vijf beschrijft hoe het proces risicomanagement gestructureerd kan worden uitgevoerd en welke stappen daarbij genomen worden. Ook gaat dit hoofdstuk in op de taken en verantwoordelijkheden. In hoofdstuk zes komen vervolgens enkele specifieke onderwerpen aan de orde zoals frauderisico’s en risico’s op het gebied van informatiebeveiliging. Hoe we vervolgens bepalen of we voldoende buffer hebben om de risico’s op te vangen, staat in hoofdstuk zeven. Hoofdstuk acht beschrijft tot slot de bestuurlijke informatie-voorziening. 1.3 Inwerkingtreding De nota treedt in werking per 1 januari 2027.
Nota risicomanagement 2026
Financieel beleid
Pagina 2 van 26
2. Samenvatting Wat is het?
We hebben dagelijks te maken met onzekerheden (risico’s) die het halen van doelen, de dienstverlening, de bedrijfsvoering en de veiligheid van informatie kunnen bedreigen. Het is onmogelijk om al deze risico’s te vermijden. Zelfs als we geen activiteiten uitvoeren, zijn er algemene risico’s die op ons af komen (denk een economische ontwikkelingen, gevolgen van klimaatverandering). Daarom is een goed systeem van risicomanagement belangrijk. Belangrijke onderdelen daarin zijn het tijdig onderkennen van risico’s en nagaan welke beheersmaatregelen daarvoor kunnen worden getroffen. Vervolgens kan op het juiste niveau worden afgewogen of het restrisico wordt geaccepteerd. We spreken dan over of we “risicobereid” zijn. Naast een organisatorische kant heeft risicomanagement daarmee ook een belangrijke bestuurlijke kant. We hanteren een indeling in drie soorten risico’s: Strategisch: Deze risico’s zijn gerelateerd aan de strategie, doelrealisatie en besluitvorming. Daarmee zijn het risico’s die bewust geaccepteerd worden. Extern: dit zijn niet beïnvloedbare, van buiten de organisatie komende risico’s. Deze risico’s kunnen we veelal niet voorkomen. Beheersmaatregelen richten zich vooral op het verkleinen van de impact als de risico’s optreden. Operationeel: dit zijn risico’s die vanuit de organisatie ontstaan en die een grote mate van beheersbaarheid moeten hebben.
Hier is het zogenaamde ‘regelgericht’ risicomanagement van toepassing. Projecten en processen moeten dusdanig ingericht zijn (denk aan uitval van systemen) dat we deze risico’s voorkomen.
Regelgeving
Er zijn beperkte wettelijke kaders voor het risicomanagement. Het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) geeft in artikel 11 enkele richtlijnen over financiële risico’s en het weerstandsvermogen. Daarnaast treedt in 2026 de Cyberbeveiligingswet in werking, de Nederlandse vertaling van de Europese NIS2 richtlijn voor informatiebeveiliging. De nieuwe BIO2.0 (Baseline informatievoorziening) krijgt hierin een wettelijke verankering. Zowel in de NIS2 als de BIO2.0 ligt de nadruk nog meer dan in de huidige wet- en regelgeving op het belang van risicomanagement als basis voor het beheersen van beveiligingsrisico’s. Dit maakt een integrale aanpak van risicomanagement nog belangrijker.
Bevoegdheden college en raad
De raad stelt de kaders voor het risicomanagement vast. Deze staan in paarse blokjes in dit document. Binnen deze kaders voert het college het risicomanagement uit en legt daar verantwoording over af aan de raad. De raad voert hier controle op uit. Bij besluiten maakt het college, daar waar van toepassing, inzichtelijk welke risico’s er zijn en hoe die beheerst kunnen worden. Daarmee wordt duidelijk of er een risico resteert. Bij raadsbesluiten kan de raad daarmee een besluit nemen of dat risico ook geaccepteerd wordt. Verder zorgt het college, twee keer per jaar, voor integrale informatievoorziening over risico’s in de begroting en jaarrekening.
Visie op risicomanagement
Onze visie is om een praktisch risicomanagement uit te voeren. We kiezen niet voor een theoretische, wetenschappelijke benadering waarin modellen en berekeningssystematiek leidend zijn. Deze gebruiken we slechts ter ondersteuning. We benaderen risicomanagement als iets van “alledag”, nauw verweven met onze werkzaamheden. Een onderwerp dat niet spannend is om over te praten maar juist toegevoegde waarde heeft om met elkaar te delen en te wegen. Een goed risicomanagement is gebaat bij een hoge mate van risicobewustzijn: alert zijn op risico’s, het gesprek daarover voeren en zorgen voor een transparante informatievoorziening. Risicomanagement draagt o.a. bij aan:
Nota risicomanagement 2026
Toegenomen voorspellend vermogen en verhoogd risicobewustzijn; Versterkte kwaliteit van de besluitvorming; Continuïteit van de bedrijfsvoering; Voorkomen van fraude en misbruik / oneigenlijk gebruik; Gerichte versterking van de informatiebeveiliging;
Financieel beleid
Pagina 3 van 26
Beleid risicomanagement
Informatievoorziening
Dit document bevat de onderstaande kaders en spelregels: 1.
Risicomanagement sluit aan bij het werken vanuit de bedoeling: geen theoretische invulling maar een praktische uitvoering gekoppeld aan dagelijkse werkzaamheden waarbij het goede gesprek over risico’s op ieder niveau wordt gestimuleerd; 2. Risicomanagement draagt bij aan het realiseren van maatschappelijke effecten door risico’s zoveel als mogelijk vroegtijdig in beeld te hebben en te beheersen. 3. Risicomanagement wordt integraal uitgevoerd. Dit betekent dat we in het uitvoeren van het risicomanagement alle invalshoeken betrekken (financieel, juridisch, informatiebeveiliging et cetera) 4. Risicomanagement voegt waarde toe en draagt bij aan de verbetering van de organisatie; 5. Risicomanagement kent een positieve benadering waarbij we bewust afwegen of een restrisico acceptabel is. We hebben een voorzichtige tot matige risicobereidheid; 6. In het risicomanagement wordt onderscheid gemaakt in reguliere activiteiten (processen), incidentele activiteiten (projecten/kredieten) en grondexploitaties; 7. Het sturen op en beheersen van risico’s verloopt systematisch via zes stappen: context, identificeren, classificeren/kwantificeren, beheersmaatregelen bepalen, beheersmaatregelen wegen en rapporteren en evalueren; 8. Risico’s wegen is subjectief.
Door de stappen uit te voeren met een bredere groep vanuit verschillende invalshoeken en met ruimte voor ieders inbreng, beperken we die subjectiviteit; 9. De gevolgen van risico’s worden beoordeeld op impact op doelbereiking, vertrouwen/imago, informatieveiligheid en financiën. De scores op deze onderdelen tellen we bij elkaar op om tot een weging te kunnen komen; 10. Structurele financiële risico’s vermenigvuldigen we met de factor 1,75 vanuit het uitgangspunt dat we daarmee vier jaar hebben om het structurele risico’s in de begroting op te vangen; 11. De kans van optreden van een risico wordt bepaald aan de hand van vier kansklassen waarmee voor vergelijking een score aan ieder risico wordt toegekend (kans * gevolg); 12. Risico’s worden voorzien van beheersmaatregelen die samen met de risico’s worden vastgelegd om van te leren; 13. Risicomanagement is een cyclisch proces waarin periodieke evaluatie plaatsvindt; 14. Voorafgaand aan ieder project wordt een risico-inventarisatie opgesteld en gedurende het project opgevolgd en geactualiseerd; 15. Voor het risicomanagement bij grondexploitaties gelden de aanvullende bepalingen uit de nota Grondbeleid gemeente Epe; 16. Bij risicomanagement is aandacht voor de softcontrols 17. Taken en rollen in het risicomanagementproces zijn helder vastgelegd met oog voor de juiste functiescheiding en verdeling van verantwoordelijkheden; 18.
In het risicomanagement wordt ook rekening gehouden met risico’s bij verbonden partijen, samenwerkingspartners en leveranciers; 19. Frauderisico’s vormen een bijzonder maar onlosmakelijk deel van het integrale risicomanagement. Jaarlijks wordt een aparte frauderisico-tabel geactualiseerd. Bevindingen daaruit worden opgenomen in de jaarstukken; 20. Binnen het risicomanagementproces van de gemeente Epe maken we voor de inventarisatie van de specifieke beveiligingsrisico’s zoveel als mogelijk gebruik van de modellen die de Informatie beveiligingsdienst (IBD) van de VNG daarvoor aanbiedt; 21. De incidentele beschikbare weerstandscapaciteit bestaat uit de algemene reserve. Daarnaast benoemt de nota reserves en voorzieningen gemeente Epe enkele specifieke risicoreserves. De post onvoorzien en incidentele begrotingsruimte zijn ook incidentele weerstandscapaciteit. 22. De structurele beschikbare weerstandscapaciteit bestaat uit de structurele ruimte in de begroting. De “onbenutte belastingcapaciteit” zien we niet als beschikbare weerstandscapaciteit. 23. De ratio voor het weerstandsvermogen moet liggen tussen de 1,0 en 1,4 De informatievoorziening rond risicomanagement verloopt in hoofdlijn via twee sporen: (1) via de Planning en Control producten en (2) tussentijdse informatievoorziening bij specifieke besluiten. 24.
Bij de begroting en jaarrekening geeft de paragraaf Weerstandsvermogen & risicobeheersing een integraal inzicht in de risico’s. De informatie toont de verdeling van de risico’s qua gevolg en kans (risicomatrix), de verdeling van de risico’s over de drie risicoprofielen en specifiek inzicht in de grootste risico’s.
Nota risicomanagement 2026
Financieel beleid
Pagina 4 van 26
25. Risico’s nemen is onvermijdelijk, erover communiceren ook. Het college informeert de raad over risico’s bij ieder relevant besluit dat wordt voorgelegd en tussentijds bij belangrijke wijzigingen in het risicoprofiel.
3. Introductie risicomanagement
3.1. Wat is risicomanagement? Inwoners, bedrijven, instellingen, verenigingen en gemeente; samen geven wij vorm aan goed natuurlijk leven in Emst, Epe, Oene, Vaassen en het buitengebied. Vanuit betrokkenheid bij onze omgeving bouwen we aan een gemeente waar iedereen fijn kan wonen, werken en leven. Nu en later. Bij de doelen die we hiervoor stellen en activiteiten die we daarvoor uitvoeren, kunnen zich onzekerheden voordoen. Onzekerheden die de gewenste koers beïnvloeden. We noemen dit ook wel risico’s. Deze zijn niet altijd te vermijden en dat is ook niet erg. Zolang we er maar bewust en beheerst mee omgaan. Dat betekent voor besluitvorming en/of uitvoering goed inventariseren welke risico’s kunnen optreden. Hoe groot wordt die kans ingeschat en wat is het gevolg als het risico optreedt? En, nog belangrijker, wat we kunnen doen om het risico te verminderen? Welke beheersmaatregelen kunnen we treffen? Risicomanagement heeft naast een organisatorische kant met name ook een bestuurlijke kant: de mate waarin risico’s worden genomen is uiteindelijk een politiek-bestuurlijke afweging. Een afweging die gaat over de mate van risicobereidheid. En om die afweging zorgvuldig te kunnen doen, moet de informatie over de risico’s en beheersmaatregelen op orde zijn. Bijlage A bevat een begrippenlijst. Op deze plaats is het handig om alvast kennis te nemen van de onderstaande begrippen:
Risico: een onverwachtse gebeurtenis waarbij het gevolg een negatief effect (schade) heeft op het realiseren van de doelstellingen van de organisatie, bedrijfsvoering, (continuïteit van de) dienstverlening of veiligheid van informatie. Risicomanagement: het geheel aan activiteiten en maatregelen gericht op het expliciet en systematisch in kaart brengen van, omgaan met en beheersen van risico’s binnen en buiten onze organisatie. Risicobereidheid: de mate waarin we risico’s accepteren in het nastreven van de doelen en daarmee te bereiken effecten. Risicoanalyse: de methode die we hanteren om kansen en risico’s te identificeren, waarderen, prioriteren en beheersen.
3.2. Soorten risico’s Risico’s worden op verschillende manieren ingedeeld: intern/extern, financieel/niet-financieel et cetera. In het risicomanagement binnen de gemeente Epe hanteren wij de onderstaande indeling. Door deze indeling kunnen we de keuze voor het juiste handelingsperspectief beter maken: Strategisch: Deze risico’s zijn gerelateerd aan de strategie, doelrealisatie en besluitvorming. Daarmee zijn het risico’s die bewust geaccepteerd worden. Risico’s en rendement wegen we hierbij tegen elkaar af. Bij deze risico’s is het raadzaam om de kans van optreden dan wel de mogelijke impact zoveel als mogelijk te verkleinen. Extern: dit zijn niet beïnvloedbare, van buiten de organisatie komende risico’s. Denk hierbij aan natuurrampen, macro economische, politieke en demografische omstandigheden. De wet- en regelgeving en de financiële verhouding met het Rijk speelt hierbij voor de gemeente een grote rol. Maar ook “de zwarte zwanen”, niet voorzienbare risico’s omdat ze nu simpelweg nog niet te bedenken zijn. Deze risico’s kunnen we veelal niet voorkomen. Beheersmaatregelen richten zich vooral op het verkleinen van de impact als de risico’s optreden. Operationeel: dit zijn risico’s die vanuit de organisatie ontstaan en die een grote mate van beheersbaarheid moeten hebben. Hier is het zogenaamde ‘regelgericht’ risicomanagement van toepassing.
Nota risicomanagement 2026
Financieel beleid
Pagina 5 van 26
Projecten en processen moeten dusdanig ingericht zijn (denk aan uitval van systemen) dat we deze risico’s voorkomen.
4. Visie en doelen risicomanagement 4.1. Visie Werken vanuit de bedoeling is een belangrijk uitgangspunt voor ons handelen. In het dagelijks leven hebben we allemaal te maken met risico’s. We schatten risico’s, vaak onbewust, in en handelen daarnaar. Voordat we een wandeling maken, kijken we of het gaat regenen (paraplu mee?) en als we wandelen schatten we in of het nog lukt om voor die naderende auto over te steken (moeten we de pas versnellen of niet?). Risico’s zijn van alledag en we zijn gewend om ermee om te gaan. Zodra risico’s bekeken worden in een bedrijfsmatige omgeving, ontstaat er vaak iets vreemds. Risico’s en “risicomanagement” worden als apart fenomeen benaderd, alsof dat losstaat van onze dagelijkse werkzaamheden. Er komen allerlei modellen, ISO-normen en BIO-normering om het risicomanagementproces uit te voeren. We gieten het in theoretische modellen en als we niet oppassen ontstaan er twee verschillende werelden: de werkelijke en één op papier. Onze visie is om een praktisch risicomanagement uit te voeren. We kiezen niet voor een theoretische, wetenschappelijke benadering waarin modellen en berekeningssystematiek leidend zijn. Deze gebruiken we slechts ter ondersteuning. We benaderen risicomanagement als iets van “alledag”, nauw verweven met onze werkzaamheden.
Een onderwerp dat niet spannend is om over te praten maar juist toegevoegde waarde heeft om met elkaar te delen en te wegen. Een goed risicomanagement is gebaat bij een hoge mate van risicobewustzijn: alert zijn op risico’s, het gesprek daarover voeren en zorgen voor een transparante informatievoorziening. (1) Risicomanagement sluit aan bij het werken vanuit de bedoeling: geen theoretische invulling maar een praktische uitvoering gekoppeld aan dagelijkse werkzaamheden waarbij het goede gesprek over risico’s op ieder niveau wordt gestimuleerd. 4.2. Doelen Een goed risicomanagement draagt bij aan het vertrouwen dat inwoners hebben in de gemeente. Risicomanagement ondersteunt ons bij doeltreffendheid. Risicomanagement is geen doel op zich maar een middel dat bijdraagt aan de realisatie van maatschappelijke effecten met een efficiënte inzet van middelen, stabiele bedrijfsvoering en betrouwbare informatie. Kader 1: (2) Risicomanagement draagt bij aan het realiseren van maatschappelijke effecten door risico’s zoveel als mogelijk vroegtijdig in beeld te hebben en te beheersen. Naast dit hoofddoel zijn er nog enkele afgeleide doelen:
Toegenomen voorspellend vermogen en verhoogd risicobewustzijn; Versterkte kwaliteit van de besluitvorming; Continuïteit van de bedrijfsvoering; Voorkomen van fraude en misbruik / oneigenlijk gebruik; Gerichte versterking van de informatiebeveiliging.
4.3. Integraal risicomanagement Uitgangspunt voor het risicomanagement binnen de gemeente Epe is dat we het integraal uitvoeren. Risicomanagement is geen afzonderlijke activiteit is maar onderdeel van alle processen en activiteiten. We bekijken alle aspecten in samenhang:
Financieel Juridisch Maatschappelijk / imago Fraude en Integriteit
Nota risicomanagement 2026
Financieel beleid
Pagina 6 van 26
Informatie(beveiliging) Organisatorisch
(3) Risicomanagement wordt integraal uitgevoerd. Dit betekent dat we in het uitvoeren van het risicomanagement alle invalshoeken betrekken (financieel, juridisch, informatiebeveiliging et cetera. 4.4. (Randvoor)waarden risicomanagement Het uitvoeren van het risicomanagement volgens de bedoeling betekent dat we daaraan de volgende waarden toekennen, aansluitend bij de kernwaarden samen en transparant en het willen zijn van een lerende gemeente:
We zijn ons bewust van het feit dat we risico’s nemen en communiceren open over deze risico’s en de wijze waarop we met deze risico’s omgaan; We zijn ons niet alleen bewust van risico’s die onze organisatie neemt, maar ook van de risico’s in organisaties waarmee we ‘verbonden’ zijn en de mogelijke impact van deze risico’s op onze eigen organisatie; We accepteren dat een risicoprofiel nooit 100% volledig kan zijn; We leren van risico’s en incidenten die zich, ondanks een adequaat risicomanagement, hebben voorgedaan en nemen passende maatregelen om herhaling te voorkomen; Risicomanagement draagt bij aan de verbetering van de organisatie en voegt waarde toe.
(4) Risicomanagement voegt waarde toe en draagt bij aan de verbetering van de organisatie 4.5. Risicobereidheid Denken in mogelijkheden is voor het risicomanagement een belangrijk uitgangspunt. We inventariseren risico’s vanuit een positieve blik: hoe kunnen we deze risico’s beheersen zodat we daar geen last van krijgen? Als blijkt dat er nauwelijks beheersmaatregelen zijn, kiezen we voor stabiliteit en het voorkomen van verrassingen. Nadrukkelijk wordt afgewogen of we een restrisico willen accepteren. Voor de opvang van restrisico’s houden we voldoende middelen beschikbaar. Het is lastig om een harde norm voor de mate van risicobereidheid vast te leggen. Aan de ene kant omdat de mate van risicobereidheid bepaald wordt door diverse factoren: financiële draagkracht, risicovolwassenheid, wet- en regelgeving, ambitieniveau en eisen en verwachtingen van inwoners, bedrijven en organisaties. En aan de andere kant roept een harde norm voor de mate van risicobereidheid het beeld op dat we voor alle risico's de keuze hebben om die wel of niet aan te gaan. Zoals hiervoor beschreven geldt dat niet voor alle risico's. Risicobereidheid is daarmee voor een deel situationeel en moet goed verankerd zijn in besluitvormingsprocessen. Belangrijk om de mate van risicobereidheid onderdeel van de beraadslagingen te laten zijn.
Als gedragslijn (en geen hard kader) hanteren we een voorzichtige tot gematigde risicobereidheid. Dit betekent dat we, daar waar we invloed op de risico's hebben, bereid zijn beheersbare risico’s te accepteren wanneer deze bijdragen aan het realiseren van bestuurlijke en maatschappelijke doelstellingen en de continuïteit van de dienstverlening, de financiële positie en de wettelijke taken niet in het gedrang komen. Concreet betekent dit voor de strategische en operationele risico's dat we als gedragslijn: In beperkte mate risico’s accepteren:
bij beleidsontwikkeling en innovatie, waar onzekerheden inherent zijn aan het realiseren van maatschappelijke meerwaarde; bij samenwerking met andere overheden en maatschappelijke partners, mits risico’s vooraf inzichtelijk zijn en afspraken zijn vastgelegd.
Terughoudend zijn in het accepteren van risico’s:
Nota risicomanagement 2026
Financieel beleid
Pagina 7 van 26
die kunnen leiden tot structurele financiële tekorten; die de weerstandscapaciteit substantieel aantasten; die betrekking hebben op naleving van wet- en regelgeving en veiligheid. Geen risico’s accepteren:
die leiden tot het niet kunnen uitvoeren van wettelijke taken; die de publieke vertrouwen ernstig kunnen schaden; die tot langer durende uitval van onze kritische processen en dienstverlening aan onze inwoners leiden. Per proces bepaalt een risicoanalyse welke uitval als geaccepteerd restrisico wordt gezien. Processen waarin de uitval maximaal 4 uur mag bedragen en het verlies aan data maximaal 8 uur mag zijn, classificeren daarbij als hoog-risico proces; Die in de risicobeoordeling een totaalscore hebben > 36 punten (kans van optreden groot tot zeer groot, impact groot tot zeer groot); die een financiële impact hebben > 1% van het begrotingstotaal (uitgezonderd grondexploitaties).
Als risico's in de laatste categorie zich voordoen, zijn inspanningen erop gericht om deze risico's te vermijden of te mitigeren via beheersmaatregelen die het restrisico binnen de normen brengen. (5) Risicomanagement kent een positieve benadering waarbij we bewust afwegen of een restrisico acceptabel is. We hebben een voorzichtige tot gematigde risicobereidheid.
Nota risicomanagement 2026
Financieel beleid
Pagina 8 van 26
5. Het proces 5.1. Passend risicomanagement In de visie is weergegeven dat we risicomanagement zoveel als mogelijk laten aansluiten bij de dagelijkse werkzaamheden. De aard van deze werkzaamheden is op onderdelen verschillend. Bij de risico-inventarisatie maken we daarom onderscheid in; - Reguliere lijnwerkzaamheden en processen Deze werkzaamheden kennen veelal een hoge mate van duidelijkheid en een repeterend patroon. Er is veel kennis en kunde aanwezig. Het inschatten van kansen, risico’s en doelrealisatie kunnen we goed uitvoeren op basis van aanwezige data, vakkennis en ervaring. - Projecten (kredieten) en incidentele werkzaamheden Deze werkzaamheden vragen veelal een andere manier van risicomanagement omdat er meer onduidelijk en onzeker is. De voorspelbaarheid is moeilijk en kennis meer beperkt omdat het incidentele werkzaamheden zijn. Ervaring is daarmee ook beperkter. Het gaat hier meer om het kunnen voorstellen wat er kan gebeuren. - Grondexploitatie De financiële omvang kan hier maken dat de risico’s een andere manier van risicomanagement vragen dan de reguliere en niet reguliere projecten/werkzaamheden. Onderstaand werken we deze drie onderwerpen in aparte paragrafen uit. (6) In het risicomanagement wordt onderscheid gemaakt in reguliere activiteiten (processen), incidentele activiteiten (projecten/kredieten) en grondexploitaties. 5.2.
Inrichting van het proces 5.2.1. Reguliere lijnwerkzaamheden en processen Het risicomanagementproces bestaat in hoofdlijn uit de onderstaande zes stappen die systematisch doorlopen moeten worden:
(7) Het sturen op en beheersen van risico’s verloopt systematisch via zes stappen: context, identificeren, classificeren/kwantificeren, beheersmaatregelen bepalen, beheersmaatregelen wege en rapporteren en evalueren. Nota risicomanagement 2026
Financieel beleid
Pagina 9 van 26
Context: wat is het speelveld, heeft een risicoanalyse meerwaarde? In de visie gaven we weer dat risicomanagement geen doel op zich maar een middel. Voordat we risicomanagement inzetten, wegen we af of het voor het specifieke onderwerp iets bijdraagt en/of welke invalshoek relevant is. Deze stap brengt de interne en externe aspecten die van belang zijn voor de risicoanalyse, het “speelveld”, in beeld. Een belangrijke vraag is: gaat er iets mis zonder risicomanagement? Met behulp van deze informatie stellen we de doelstelling en scope van de risicoanalyse vast. Identificeren: wat kan ons overkomen? In deze stap brengen we in beeld welke gebeurtenissen het behalen van onze doelen kunnen beïnvloeden (versnellen, belemmeren of vertragen). Welke gevolgen heeft dat op diverse aspecten (financieel, juridisch, informatiebeveiliging et cetera)? Hiermee krijgen we inzicht in de verschillende soorten risico’s en de mate waarin we die kunnen beïnvloeden. Hierbij helpt de driedeling in risico’s zoals in hoofdstuk drie genoemd. De doelstellingen en processen bekijken we vanuit meerdere invalshoeken. Daarbij maken we onderscheid tussen oorzaak, gebeurtenis en gevolg. Techniek is ondersteunend en kan op verschillende wijzen vorm worden gegeven. Vanuit softcontrol zijn belangrijke aspecten:
Inventariseren met een brede groep van personen en vanuit verschillende invalhoeken; Ieders inbreng wordt gestimuleerd (in tijd en aandacht); Alle risico’s worden op gelijke wijze besproken.
We werken van “breed naar smal”. Deze fase staat in het teken van het zo breed mogelijk in beeld brengen van de risico’s. Later in het proces kunnen risico’s afvallen omdat impact klein is (onderbouwd) c.q. de mate van beheersbaarheid groot. Classificeren en kwantificeren: wat is het gevolg? Vervolgens analyseren we de geïdentificeerde risico’s. Voor elk risico bepalen we de kans van optreden (waarschijnlijkheid) en de mogelijke omvang van het gevolg (impact). Door de risico’s op deze wijze te classificeren, ontstaat ordening. Hiermee zien we welke risico’s de belangrijkste zijn. Deze stap geeft antwoord op de volgende twee vragen: 1. Wat is de kans (waarschijnlijkheid) dat het risico daadwerkelijk optreedt? 2. Wat is het geschatte gevolg (omvang/impact) van het risico? Als een risico optreedt, kan dit op meerdere terreinen gevolgen hebben. Om risico’s vergelijkbaar te maken, zijn hier ondersteunende techniek en spelregels nodig. We gebruiken vier categorieën om risico’s te wegen: 1. Impact op de doelbereiking; 2. Gevolg voor imago/vertrouwen van de inwoner; 3. Gevolg voor de informatieveiligheid; 4. Financieel gevolg. Onderkend wordt dat weging altijd een subjectief element bevat. Door weging door meerdere personen te laten uitvoeren, wordt dat subjectieve element beperkt. (8) Risico’s wegen is subjectief.
Door de stappen uit te voeren met een bredere groep vanuit verschillende invalshoeken en met ruimte voor ieders inbreng, beperken we die subjectiviteit. We bepalen de impact op kwaliteit (behalen doelen), vertrouwen en informatieveiligheid. Om tot een weging op deze onderwerpen te komen, gebruiken we een scoretabel als hulpmiddel. Dit helpt om hierover het goede, gezamenlijke gesprek te voeren.
Nota risicomanagement 2026
Financieel beleid
Pagina 10 van 26
Vertrouwen / imago Kwalificatie
Doelbereiking
Informatieveiligheid
Scor e 1
Kwalificatie
Score
Kwalificatie
Score
Klein: doelen worden gehaald maar in het bereiken ervan ontstaat enkele weken vertraging
1
1
Midden: vertrouwen wordt geschaad in een persoonlijke kring. Er is beperkte lokale media-aandacht
2
Midden: doelen worden gehaald maar in het bereiken daarvan ontstaat enkele maanden vertraging
2
Groot: vertrouwen wordt geschaad bij groepen in de samenleving. Grote lokale en ook regionale aandacht. Zeer groot: vertrouwen wordt geschaad bij een groot deel van de inwoners. Landelijke aandacht in de media
3
Groot: doelen worden gehaald maar er ontstaat een vertraging van meer dan één jaar
3
4
Zeer groot: gehaald
4
Klein: uitval mag tot 1 week duren. Beperkte invloed op sommige kernactiviteiten. Informatie is vervangbaar met enige inspanning Midden: uitval mag 1 tot 2 dagen duren. Duidelijke invloed op meerdere kernactiviteiten. Vervanging mogelijk maar vergt aanzienlijke inzet Groot: Uitval mag max. ½ dag duren. Aanzienlijke invloed op kernactiviteiten. Informatie is moeilijk te vervangen Zeer groot: Uitval mag max. 1 uur duren. Kritieke invloed op kernactiviteiten. Informatie is onvervangbaar.
Klein: vertrouwen wordt geschaad op individueel niveau. Geen extra aandacht in de media
doel
wordt
niet
2
3
4
Bij vertrouwen/imago nemen we voor de bepaling van het gevolg ook de media-aandacht mee. Uiteraard is dit wat subjectief (waar en hoe besteedt de media ergens aandacht aan?) maar ervaring leert dat media wel een invloed kunnen hebben op het vertrouwen van de inwoners. De financiële impact bepalen we zo goed als mogelijk op basis van ervaringscijfers (binnen of buiten de gemeente), actuele informatie over het onderwerp en/of kennis vanuit onderzoeken, rapporten et cetera. Bij de financiële impact hoort altijd de bepaling of het risico incidenteel of structureel van aard is. Indien sprake is van een structureel risico dan vermenigvuldigen we de financiële uitkomst (de impact) met 1,75. Bij de kwantificering van structurele risico’s gaan we er namelijk vanuit dat deze in 4 jaar worden gedekt door beheersmaatregelen zoals aanpassing van beleid of ombuigingen binnen de begroting. Wij bepalen het risico voor het eerste jaar 100% van het risico-bedrag, het tweede jaar 50%, het derde jaar 25% en het vierde jaar op 0%. Ook nemen we alleen de financiële effecten van risico’s mee die zich in de begrotingsperiode (vier jaar) kunnen voordoen. Impact 1 2 3 4
Benaming Klein Midden Groot Zeer groot
Financieel risico Tot € 100.000 € 100.000 - € 250.000 € 250.000 - € 500.000 Meer dan € 500.000
Omdat we een integraal risicomanagementproces hanteren, tellen we de scores van de verschillende onderdelen bij elkaar op. (9) De gevolgen van risico’s worden beoordeeld op impact op doelbereiking, vertrouwen/imago, informatieveiligheid en financiën. De scores op deze onderdelen tellen we bij elkaar op om tot een weging te kunnen komen. (10) Structurele financiële risico’s vermenigvuldigen we met de factor 1,75 vanuit het uitgangspunt dat we daarmee vier jaar hebben om het structurele risico’s in de begroting op te vangen. Vervolgens bepalen we de kans van optreden. De kans is een percentage tussen de 0 en 100%. We gebruiken hierbij intervallen van 20%. Ook hier geldt dat het gaat om inschattingen die subjectief zijn maar waarbij het gesprek erover essentieel is. Het gaat om een groeiend bewustzijn en het lerend effect. Voor het bepalen van de inschatting van kans van optreden maken we o.a. gebruik van historische inzichten (hoe vaak deed het risico zich in de afgelopen jaar voor?) en/of ervaringen vanuit andere gemeenten, onderzoeken et cetera. Kansklasse
Benaming
Nota risicomanagement 2026
Referentiebeeld
Financieel beleid
Percentage
Pagina 11 van 26
1 2 3 4
Klein Midden Groot Zeer groot
Eens in de 10 jaar of meer Eens in de 5 tot 10 jaar Eens in de 3 tot 5 jaar Eens in de 1 tot 2 jaar
20% 40% 60% 80%
Bij het bovenstaande geldt dat de scores bepaald worden op basis van het netto risico na inzet van beheersmaatregelen, het zogenaamde restrisico. Vanuit de bovenstaande berekening kunnen risico aan de hand van het aantal punten worden opgenomen in een matrix. Door deze risicomatrix te gebruiken kunnen risico’s onderling worden vergeleken en kan worden bepaald welke risico’s prioriteit moeten krijgen. Onderstaand een voorbeeld van een dergelijke matrix.
(11) De kans van optreden van een risico wordt bepaald aan de hand van vier kansklassen waarmee ter vergelijking een score aan ieder risico kan worden toegekend (kans * impact/gevolg). Beheersmaatregelen bepalen: hoe maken we de kans op optreden zo klein mogelijk? Als de risico’s in kaart zijn gebracht, is de vierde stap het bepalen hoe de risico’s zo goed mogelijk kunnen worden beheerst. Zijn er beheersmaatregelen te treffen? In deze stap vindt de overweging plaats wat met het risico gaat gebeuren. Belangrijke stap is het bepalen of de oorzaak van het risico kan worden weggenomen of verlaagd door te treffen beheersmaatregelen. Daarbij moeten beheersmaatregelen proportioneel zijn. Als dat niet kan, is de afweging of het risico aan een andere partij kan worden overgedragen (zoals verzekeren). Als dat ook niet kan, is de vraag of het restrisico acceptabel is. Het kostenaspect van de te treffen beheersmaatregelen weegt hierin ook mee. Mogelijk moet het besluit worden genomen om het risico te ontwijken en doelen daarop aan te passen. Beheersmaatregelen toetsen: hebben de beheersmaatregelen gewerkt? In deze vijfde stap toetsen we de beheersmaatregelen op effectiviteit. Het levert een beeld op van de beheersmaatregelen die zijn toegepast met de bijbehorende positieve en/of
Nota risicomanagement 2026
Financieel beleid
Pagina 12 van 26
negatieve effecten. Deze beheersmaatregelen leggen we per risico vast. Door dit vast te leggen ontstaat er een leereffect van beheersmaatregelen. (12) Risico’s worden voorzien van beheersmaatregelen die samen met de risico’s worden vastgelegd om van te leren. Rapporteren en evalueren: wat hebben we geleerd? Bij de rapportage over de risico’s is sprake van gelaagdheid. Op niveau van de dagelijkse aansturing is het logisch dat er meer zicht is in de individuele risico’s en het effect van de maatregelen. Voor college en raad is een goed zicht belangrijk op de grootste risico’s en het totaal van de risico’s. De (bestuurlijke) informatievoorziening is in een apart hoofdstuk uitgewerkt. Voor de registratie van de risico’s geldt dat het vastleggen van een risico geen doel op zich is Het is afhankelijk van de mate waarin een risico als relevant wordt gezien om apart inzichtelijk te maken en te monitoren. De spelregels zoals opgenomen bij “classificering/kwantificering” helpen om te bepalen of een risico relevant is. De belangrijkste onderdelen die worden vastgelegd zijn:
Risico-eigenaar Oorzaak, gebeurtenis, gevolg Beheersmaatregelen Classificatie van restrisico: waardering financieel effect, kans en impact
Door vast te leggen of het een intern, extern of strategisch risico is, is er meer duidelijk over het handelings- perspectief en de mate waarin er keuzes zijn in risicobereidheid. Risicomanagement is een cyclisch proces. Als uit de evaluatie blijkt dat het effect van de maatregel niet is wat het had moeten zijn, dan moet er worden bijgestuurd. Het is belangrijk om op bepaalde momenten (minimaal één keer per jaar) terug te kijken om beter vooruit te kunnen kijken. Hierdoor wordt het risicobewustzijn binnen de organisatie verder aangescherpt. (13) Risicomanagement is een cyclisch proces waarin periodieke evaluatie plaatsvindt. 5.2.2. Projecten (kredieten) en incidentele werkzaamheden Projecten dragen bij aan het realiseren van onze doelen en kernmerken zich door een incidenteel en tijdelijk karakter. Er is een duidelijk begin en einde. In principe zou dit een project meer voorspelbaar moeten maken. De praktijk leert echt dat juist bij projecten de meeste risico’s optreden. Projecten zijn financieel vaak groot van omvang, kennen diverse onzekerheden in de uitvoering doordat “routine” ontbreekt zodat minder gesteund kan worden op opgedane ervaring.
Nota risicomanagement 2026
Financieel beleid
Pagina 13 van 26
Voor het projectmatig in de gemeente Epe is een apart handboek beschikbaar. Ook worden de diverse fasen in het project ondersteund met formats. In het format projectplan is een apart onderdeel voor de risico-inventarisatie opgenomen. De risico-inventarisatie wordt altijd uitgevoerd voor de start van een project. Ook in het format voor de projectvoortgang is een apart onderdeel opgenomen voor risico’s. De projectleider informeert via deze voortgangsrapportage periodiek over de actuele risico’s en daarvoor getroffen beheersmaatregelen. Voor de inventarisatie en weging van de risico’s kan gebruik worden gemaakt van het stappen zoals in paragraaf 5.2.1 beschreven. (14) Voorafgaand aan ieder project wordt een risico-inventarisatie opgesteld en gedurende het project opgevolgd en geactualiseerd. 5.2.3. Grondexploitaties Specifieke kaders voor het risicomanagement bij grondexploitaties zijn vastgelegd in de nota grondbeleid gemeente Epe 2024. Daarin valt te lezen dat bij de gemeentelijke grondexploitaties de risico’s worden beperkt met flexibiliteit, effectieve monitoring en cashflowsturing. Uitgangspunten:
Minimaal één keer per jaar wordt een risicoanalyse uit. Dit gebeurt binnen de geldende financiële en ruimtelijke (beleids-)kaders. Bij het openen van een grondexploitatie en bij de tussentijdse herziening van een grondexploitatie wordt ook altijd een risicoanalyse gemaakt. De raad kan bij het openen en een tussentijdse herziening van een grondexploitatie de frequentie van het uitvoeren van de risicoanalyse verhogen. Bij het identificeren van de mogelijke risico’s wordt onderscheid gemaakt tussen: o Project overstijgende risico’s, die bijvoorbeeld te maken hebben met macro-economische ontwikkelingen; o Project specifieke risico’s.
Als een grondexploitatie beschikt over voldoende winstpotentie, dan worden de risico’s hiermee opgevangen. Als het geprognosticeerde resultaat ontoereikend is, moet voor dit restrisico weerstandscapaciteit worden aangehouden. Dit geldt uiteraard ook voor grondexploitaties die een negatief resultaat hebben. Voor de weerstandscapaciteit voor de grondexploitaties is een specifieke
Nota risicomanagement 2026
Financieel beleid
Pagina 14 van 26
reserve beschikbaar, de reserve grondexploitatie. Bij een verwacht negatief resultaat is het treffen van financiële beheersmaatregelen (een verliesvoorziening) verplicht. (15) Voor het risicomanagement bij grondexploitaties gelden de aanvullende bepalingen uit de nota Grondbeleid gemeente Epe. 5.3. Belang van het goede gesprek: softcontrols In de voorgaande paragraaf zijn ondersteunende technieken beschreven die helpen om risico’s gestructureerd in beeld te brengen en te wegen. Zoals al eerder aangegeven is de “zachte” kant van het risicomanagement uiteindelijk de belangrijkste succesfactor: vindt er over de risico’s het goede gesprek plaats op basis van een juiste en volledige informatievoorziening. Om dat te stimuleren, dient er aandacht te zijn voor de volgende aspecten:
(16) In het proces risicomanagement is aandacht voor de softcontrols 5.4. Taken en verantwoordelijkheden Onderstaand staat in hoofdlijn de taken en verantwoordelijkheden beschreven van de verschillende actoren in het risicomanagementproces. Gemeenteraad Verantwoordelijk voor:
Het vaststellen van de kaders voor het (proces van) risicomanagement; Het controleren of de uitvoering van het beleid door het college binnen de vastgestelde kaders plaatsvond en of hierin voldoende rekening is gehouden met de aanwezige risico’s.
College van burgemeester en wethouders Verantwoordelijk voor:
Opstellen en periodiek actualiseren van het beleid rond risicomanagement; Het inrichten en laten uitvoeren van een passend proces risicomanagement; De raad periodiek informeren over de uitvoering van risicomanagement; De raad bij besluitvorming informeren over eventuele risico’s en beheersmaatregelen.
Management Verantwoordelijk voor:
Uitvoering van het risicomanagementproces inclusief nadere inrichting rollen; Stimuleren van risicobewustzijn; Stimuleren van een open cultuur: ruimte bieden aan medewerkers om risico’s bespreekbaar te maken.;
Nota risicomanagement 2026
Financieel beleid
Pagina 15 van 26
Het college periodiek informeren over de uitvoering van risicomanagement.
Risico-eigenaren (1e lijn) Verantwoordelijk voor:
Risico’s herkennen en benoemen in het eigen procesgebied, bijvoorbeeld via sessies met het team; Kans * impact plus risicoresponse vastleggen (accepteren, mitigeren, vermijden, overdragen) Maatregelen afwegen en implementeren op basis van prioriteit, impact, capaciteit en kosten; Actief deelnemen aan risicodialogen binnen de organisatie, om bevindingen te delen, knelpunten bespreekbaar te maken en verantwoording af te leggen over genomen maatregelen; Management en college informeren over risico’s bij besluitvorming.
Domeincontrollers, Privacy officer, CISO (2e lijn) Verantwoordelijk voor:
Advisering bij en toetsen van uitvoering risicomanagement in de eerste lijn; Domeincontrollers adviseren over en toetsen de risicoanalyses die bij projecten, grondexploitaties en reguliere processen worden opgesteld; Periodieke toets of vastgestelde beheersmaatregelen geïmplementeerd zijn; De CISO borgt digitale weerbaarheid door risico’s vanuit informatiebeveiliging gestructureerd op te pakken en te vertalen naar maatregelen; De Privacy Officer waarborgt daarbij dat risico’s rondom persoonsgegevens in lijn zijn met de Algemene Verordening Gegevensbescherming en maatschappelijke verwachtingen.
Concerncontroller en Verbijzonderde Interne Controle (3e lijn) Verantwoordelijk voor:
Opzet en werking systeem van risicomanagement; Vergroten kennis risicomanagement binnen de organisatie; Bestuurlijke informatievoorziening via o.a. de P&C-producten; Periodiek actualiseren van de nota risicomanagement; Uitvoeren frauderisicoanalyse. Specifiek voor de Verbijzonderde Interne Controle: toetsen van beheersingsmaatregelen op operationele risico's in de processen.
(17) Taken en rollen in het risicomanagementproces zijn helder vastgelegd met oog voor de juiste functiescheiding en verdeling van verantwoordelijkheden.
Nota risicomanagement 2026
Financieel beleid
Pagina 16 van 26
Nota risicomanagement 2026
Financieel beleid
Pagina 17 van 26
6. Specifieke onderwerpen 6.1. Verbonden partijen en andere netwerken
Steeds meer werken we samen vanuit allerlei netwerken aan taken en opgaven. Met verbonden partijen, inwoners, bedrijven, andere overheden en leveranciers. De opgaven waar we als gemeente voor staan zijn soms op lokaal niveau op te pakken, maar worden steeds meer in regionaal- of breder verband opgepakt. Voor het beleid, inclusief monitoring en beheersing, op verbonden partijen gelden separate kaders. Binnen de kadernota Verbonden partijen is hier aandacht aan gegeven en zijn kaders vastgesteld. Vooropgesteld wordt dat verbonden partijen bijdragen aan het realiseren van doelen van de gemeente. En dat kan gepaard gaan met risico’s voor de verbonden partijen en de gemeente. In de paragraaf verbonden partijen, in de programmabegroting en de jaarrekening, wordt per verbonden partij aangegeven wat de bijdrage is aan doelstellingen en worden eventuele ontwikkelingen en risico's in kaart gebracht. In het kader van informatiebeveiliging legt nieuwe wetgeving een belangrijke voorwaarde neer om risico’s in de keten (bij leveranciers) goed in beeld te brengen. Zie paragraaf 6.3. (18) In het risicomanagement wordt ook rekening gehouden met risico’s bij verbonden partijen, samenwerkingspartners en leveranciers. 6.2. Frauderisico’s Het is een begrip dat ver van onze organisatie lijkt af te staan. Toch is het belangrijk om te onderkennen dat frauderisico’s altijd aanwezig kunnen zijn.
We hebben het over fraude als waardeonttrekking ontstaat door ambtenaren of bestuurders:
door opzettelijk handelen door verkrijging van een onrechtmatig of onwettig voordeel dat ten laste komt van de gemeente door misbruik te maken van vertrouwen (misleiding, verhulling van feiten)
Daarnaast kan er sprake zijn van verslagleggingsfraude. Het risico dat personen de financiële verslaglegging beïnvloeden om daar op één of andere manier beter van te worden. Dit kan verschillende oorzaken hebben: druk op resultaten, externe druk (b.v. toezichthouders, fiscaal). Fraude raakt het integriteitsbeleid. Het beleid misbruik & oneigenlijk gebruik wordt vaak ook in één adem genoemd. Toch is dat wat anders, dat beleid richt zich op het misbruiken van regelingen door derden. Maar tussen de begrippen bestaat wel overlap zoals de onderstaande figuur laat zien:
Nota risicomanagement 2026
Financieel beleid
Pagina 18 van 26
Een combinatie van meerdere aspecten maakt dat er fraude bestaat. Deze aspecten zijn prikkels/druk, gelegenheid en rationalisatie. Bij prikkels/ druk gaat het om de aanleiding tot frauderen bij een individueel geval. Bijvoorbeeld in de financiële problemen zitten of gechanteerd worden. Bij gelegenheid gaat het om het procesniveau. Het ontbreken/ onvoldoende inrichten van interne beheersing geeft de mogelijkheid tot frauderen. Bij rationalisatie gaat het onder andere over het goedpraten van het gedrag (iedereen doet het, de werkgever heeft hier toch geen schade van, ik doe genoeg extra’s dus mag er ook wel wat voor terug) en ‘the tone at the top’. De drie begrippen bij elkaar wordt ook wel de fraudedriehoek genoemd.
Meer en meer wordt onderkend dat aan deze aspecten nog één aspect moet worden toegevoegd, namelijk bekwaamheid. Veel fraude zou niet hebben plaatsgevonden zonder de juiste persoon met de juiste kennis, middelen en ervaring om de fraudehandeling daadwerkelijk uit te voeren. Samenspanning intern en extern is daarbij een aspect dat zeker niet buiten beschouwing gelaten kan worden Ook bij fraude geldt dat beheersingsmaatregel zowel in hardcontrols als softcontrols zitten. Bij hardcontrols gaat het om aspecten zoals planning en control, taken, verantwoordelijkheden en bevoegdheden. Instrumenten zijn onder andere procedures, protocollen en (maatregelen en) administratieve systemen. Doelstelling is daarmee gewenst gedrag af te dwingen. Met softcontrols wordt geprobeerd om invloed uit te oefenen op de motivatie, loyaliteit, integriteit, inspiratie en normen en waarden van medewerkers (kortom: houding en gedrag). Doel is zo een veilige, motiverende en stimulerende werkomgeving te creëren. Een werkomgeving waarin collega’s elkaar als vanzelfsprekend aanspreken op houding en gedrag, waardoor eventueel ongewenst gedrag tijdig op tafel komt. Actualisatie van de frauderisico-tabel We stellen een aparte frauderisico-tabel op die we jaarlijks actualiseren.
De informatie die we hierover in P&C documenten (bijvoorbeeld de jaarstukken) opnemen, kan reden zijn voor bespreking van dit onderwerp met de raad. (19). Frauderisico’s vormen een bijzonder maar onlosmakelijk deel van het integrale risicomanagement. Jaarlijks wordt een aparte frauderisico-tabel geactualiseerd. Bevindingen daaruit worden opgenomen in de jaarstukken. 6.3. Informatieveiligheid ( NIS2/CBW) De Network and Information Security Directive 2 (NIS2-richtlijn), die vanaf 17 oktober 2024 in Nederland van kracht werd en die via de Cyberbeveiligingswet (Cbw) een nationale uitwerking krijgt, legt een stevige nadruk op risicomanagement. De Cbw stelt in artikel 2 dat organisaties passende maatregelen moeten nemen op basis van een risicoanalyse, met als doel om:
De beschikbaarheid, integriteit, vertrouwelijkheid en authenticiteit van netwerkinformatiesystemen te waarborgen; Cyberdreigingen te voorkomen, op te sporen, inzichtelijk te maken, te beperken en te herstellen; Incidenten met grote impact te voorkomen.
Nota risicomanagement 2026
Financieel beleid
Pagina 19 van 26
en
Risico’s rond informatiebeveiliging worden met name veroorzaakt door fouten van gebruikers (belangrijkste oorzaak) en moedwillige aanvallen. Dit kunnen ook aanvallen via (software) leveranciers zijn. Maar ook effecten van klimaatverandering en geopolitieke situaties gaan een grotere rol spelen en kunnen impact hebben op systemen. Het inventariseren van informatiebeveiligingsrisico kan voor een belangrijk deel onderdeel zijn van het reguliere risicomanagementproces. De stap “context” gebruiken we dan om te bepalen wat de kritieke processen in de organisatie zijn. De Informatiebeveiligingsdienst (IBD) van de VNG heeft instrumenten beschikbaar gesteld om deze afweging te maken. Op basis van de indeling wel / niet kritiek kan de diepgang van de risicoanalyse worden bepaald. De IBD beveelt de zogenaamde MAPGOOD-systematiek aan om specifieke beveiligingsdreigingen per proces in beeld te brengen. Dit model kijkt primair naar de beschikbaarheid, integriteit en/of vertrouwelijkheid van de informatievoorziening. MAPGOOD is erop gericht om risico's vanuit verschillende invalshoeken te benaderen en hanteert daarbij de volgende invalshoeken:
Mens Apparatuur Programmatuur Gegevens Organisatie Omgeving Diensten
Onderstaand voorbeeld stelt de IBD beschikbaar om de beveiligingsrisico’s per proces vast te leggen en benodigde beheersmaatregelen te benoemen. Binnen het risicomanagementproces van de gemeente Epe maken we voor de inventarisatie van de specifieke beveiligingsrisico’s zoveel als mogelijk gebruik van de modellen die de IBD daarvoor aanbiedt.
(20) Binnen het risicomanagementproces van de gemeente Epe maken we voor de inventarisatie van de specifieke beveiligingsrisico’s zoveel als mogelijk gebruik van de modellen die de IBD daarvoor aanbiedt
Nota risicomanagement 2026
Financieel beleid
Pagina 20 van 26
7. Weerstandsvermogen 7.1. Uitleg weerstandsvermogen In de voorafgaande hoofdstukken is beschreven hoe het proces van het inventariseren, classificeren en kwantificeren va risico’s eruitziet. Na het treffen van beheersmaatregelen is duidelijk wat de financiële consequenties van de restrisico’s zijn. Hiermee is de benodigde weerstandscapaciteit in beeld gebracht. Door dit af te zetten tegen de beschikbare weerstandscapaciteit, hebben we zicht op de ratio voor het weerstandsvermogen.
7.2. Benodigde weerstandscapaciteit In paragraaf 5.2 staat hoe we het financiële gevolg van een risico berekenen. We houden hierbij rekening met al getroffen beheersmaatregelen. Als een risico is afgedekt door een verzekering, blijft het risico beperkt tot het eigen risico. Ook eventueel getroffen specifieke voorzieningen (omdat de risico vrijwel een zekerheid is) zien we als beheersmaatregel die de benodigde weerstandscapaciteit verlaagt. Per risico maken we een financiële berekening door het verwachte resterende risicobedrag te vermenigvuldigen met de kans van optreden. Het totaal van de uitkomst van de risico’s tellen we bij elkaar op waarmee we inzicht krijgen in de benodigde weerstandscapaciteit.
7.3. Beschikbare weerstandscapaciteit De weerstandscapaciteit bestaat uit de gemeentelijke middelen en mogelijkheden om financiële tegenvallers op te vangen, zonder dat de begroting en het beleid aangepast hoeven te worden. Weerstandscapaciteit is nodig om bij incidentele of structurele tegenvallers niet direct over te hoeven gaan tot maatregelen zoals:
Het heroverwegen van het bestaande beleid; Het bijstellen van het bestuurlijke ambitieniveau; Het vinden van structurele ruimte in de begroting (bezuinigen).
Incidentele en structurele weerstandcapaciteit Er is een onderscheid tussen incidentele en structurele weerstandcapaciteit. Incidentele weerstandcapaciteit is opgebouwd uit eenmalig beschikbare middelen en mogelijkheden, structurele weerstandscapaciteit is opgebouwd uit structureel beschikbare middelen en mogelijkheden. Het onderscheid is van belang als zich risico's manifesteren die structureel van karakter zijn en blijvend middelen van de gemeente vragen.
Nota risicomanagement 2026
Financieel beleid
Pagina 21 van 26
Incidentele weerstandscapaciteit De incidentele weerstandcapaciteit is het vermogen om risico's eenmalig op te vangen. Deze middelen zijn over het algemeen vrij besteedbare middelen zoals de algemene reserve, specifieke risicoreserves, incidentele begrotingsruimte en het bedrag voor onvoorzien. Hoewel het bedrag voor onvoorzien structureel in de begroting wordt opgenomen, rekenen wij het toch tot de incidentele weerstandscapaciteit omdat dit bedrag voor incidentele tegenvallers elk jaar beschikbaar moet blijven. We rekenen bestemmingsreserves niet tot de beschikbare weerstandscapaciteit omdat, als deze ingezet moeten worden, het oorspronkelijke doel van deze bestemmingsreserve niet meer gerealiseerd kan worden. In de nota reserves en voorzieningen gemeente Epe 2026 is vastgelegd welke risicoreserves er zijn:
Algemene reserve Reserve grondexploitatie Reserve BUIG (inkomensvoorzieningen) Reserve voormalig personeel
Structurele weerstandcapaciteit De structurele weerstandscapaciteit is het vermogen om risico's die structureel van aard zijn, structureel in de begroting op te vangen. We rekenen hier de structurele begrotingsruimte toe. Vanwege de bestuurlijke keuzes die dat vergt, zien we de “onbenutte belastingruimte” niet als beschikbare weerstandscapaciteit. (21) De incidentele beschikbare weerstandscapaciteit bestaat uit de Algemene reserve. Daarnaast benoemt de nota reserves en voorzieningen gemeente Epe enkele specifieke risicoreserves. De post onvoorzien en incidentele begrotingsruimte zijn ook incidentele weerstandscapaciteit. (22) De structurele beschikbare weerstandscapaciteit bestaat uit de structurele ruimte in de begroting. De “onbenutte belastingcapaciteit” zien we niet als beschikbare weerstandscapaciteit. 7.4. Bepaling weerstandsvermogen Het weerstandsvermogen bepalen we tot slot door de verhouding tussen de benodigde en de beschikbare weerstandscapaciteit. Deze verhouding, ratio genoemd, geeft een indicatie van hoe solide de begroting is. Voldoende weerstandsvermogen zorgt ervoor dat onverwachte financiële tegenvallers (door optreden van risico’s) kunnen worden opgevangen en geen effect hebben op de uitvoering van vastgesteld beleid.
Voor de beoordeling van de omvang van het weerstandsvermogen maken we gebruik van onderstaande waarderingstabel die is ontwikkeld door het Nederlandse Adviesbureau voor Risicomanagement.
Als norm voor het weerstandsvermogen hanteren wij het waarderingscijfer C. Dit betekent dat de ratio tussen de 1,0 en 1,4 moet liggen. Als de ratio lager wordt dan 1,0, dienen risico’s te worden verminderd of meer weerstandscapaciteit beschikbaar worden gemaakt. Het college stelt hiervoor een voorstel aan de raad op. In dit voorstel geeft het college aan of de ratio wordt verbeterd door het verlagen van het
Nota risicomanagement 2026
Financieel beleid
Pagina 22 van 26
risicoprofiel (vermijden of beheersen risico's) of het verhogen van de beschikbare weerstandscapaciteit. Dit voorstel is onderdeel van de vaststelling van de jaarlijkse programmabegroting. (23) De ratio voor het weerstandsvermogen moet liggen tussen de 1,0 en 1,4
8. Informatievoorziening
8.1 algemeen De informatievoorziening verloopt via twee sporen: (1) Informatie via de Planning en controlproducten en (2) tussentijdse informatievoorziening. 8.2 Planning en Controlproducten De begroting en jaarstukken bevatten een paragraaf Weerstandsvermogen & risicobeheersing. De paragraaf kent in hoofdlijn de volgende informatie:
Wat de stand van zaken van de organisatie is ten aanzien van het risicomanagement; Hoe de kwaliteit van risicomanagement binnen de organisatie is geborgd; Inzicht in het volledige risicoprofiel (benodigde weerstandscapaciteit); Wat de grootste risico’s zijn en hoe deze worden beheerst; Wat het weerstandsvermogen is; Hoe weerstandscapaciteit en weerstandsvermogen zich over de jaren ontwikkelen / ontwikkelden.
Omdat bestuurlijke aandacht vooral van belang is op de risico’s met de meeste impact, is de bestuurlijke informatievoorziening ingericht op het totale risicoprofiel met verdieping op de grootste risico’s. Een risico is groot als de risicoscore minimaal 25 punten is óf een risico op één van de vier gevolgcategoriën de maximale score van 16 punten kent. Het totale risicoprofiel wordt uitgewerkt in een matrix. In de paragraaf weerstandsvermogen presenteren wij in hoofdlijn een verdeling van het risicobedrag naar risicogroep (operationeel, extern, strategisch) zodat de verhouding daarvan duidelijk is. Ook dat draagt bij aan het goede gesprek over risicobereidheid. (24) Bij de begroting en jaarrekening geeft de paragraaf Weerstandsvermogen & risicobeheersing een integraal inzicht in de risico’s. De informatie toont de verdeling van de risico’s qua gevolg en kans (risicomatrix), de verdeling van de risico’s over de drie risicoprofielen en specifiek inzicht in de grootste risico’s. 8.3 Tussentijdse informatievoorziening Risico’s bij besluitvorming Risicomanagement is geen proces wat twee keer per jaar plaatsvindt bij de planning- en control producten maar een doorlopend en cyclisch proces binnen de gemeente. Bij elk besluit dat de gemeenteraad neemt, kunnen risico’s spelen.