5 Bijlage onderdeel b - uitwerking praktische richtlijn risicomanagement

Risicomanagement Haarlem Uitwerking praktische richtlijn

16-03-2017 Laura Wytema Melvin Welsink

Inhoudsopgave Inhoudsopgave .................................................................................................................... 2 1

Inleiding ........................................................................................................................ 3

2

Doelstellingen risicomanagement............................................................................... 5

3

Methode ........................................................................................................................ 5

4

3.1

Uitgangspunten ....................................................................................................... 6

3.2

Beleid ...................................................................................................................... 6

3.3

NARIS ..................................................................................................................... 7

3.4

Proces ..................................................................................................................... 7

Taken en verantwoordelijkheden ...............................................................................12 4.1

Raad ......................................................................................................................12

4.2

College ...................................................................................................................12

4.3

Directie(team).........................................................................................................12

4.4

Budgethouders/risico-eigenaren .............................................................................13

4.5

Risico-coördinator ..................................................................................................13

4.6

Concerncontrol .......................................................................................................14

4.7

Controller ...............................................................................................................15

Bijlage 1: Definities risicomanagement ............................................................................16

Gemeente Haarlem, Risicomanagement

2

1 Inleiding De Rekenkamercommissie publiceerde in 2013 het onderzoek ‘Groeien naar volwaardigheid’ over de staat van risicomanagement binnen de gemeente Haarlem. Een van de conclusies was dat het inventariseren van niet-financiële risico’s en het risicomanagementbeleid nog onvoldoende is. Er was geen uniforme methodiek voor de inrichting van een risicomanagementsysteem. Sinds 2013 zijn een aantal stappen gezet om risicomanagement te versterken: 1.

Het college stelde in 2014 de Nota Risicomanagement vast (2014/425781);

2.

Op 15 januari 2015 is een Raadsmarkt georganiseerd over de doorontwikkeling van risicomanagement;

3.

In 2015 en 2016 zijn binnen hoofdafdelingen risicosessies georganiseerd, om risicoinventarisatie te faciliteren.

4.

In 2015 is de verantwoordelijkheid voor risicomanagement overgedragen van concerncontrol naar (hoofd)afdelingen. Het webbased beheersingssysteem NARIS is hierop ingericht.

5.

Vanaf de programmabegroting 2017 worden risico’s expliciet gekoppeld aan programmadoelstellingen. Risico-inventarisatie geschiedt langs programmalijnen, in plaats van per hoofdafdeling.

Met bovengenoemde stappen is risicomanagement nog niet ‘af’. De Nota Risicomanagement beschrijft een aantal doelen en randvoorwaarden, maar bevat geen praktische richtlijn die bevordert dat de organisatie eenduidig risico’s inventariseert en dat beheersmaatregelen beschreven worden. In het begeleidende Collegebesluit wordt de nota gekenmerkt als een “aanzet”, en wordt een concreet plan van aanpak aangekondigd. Deze uitwerking praktische richtlijn biedt een handvat bij het uitvoeren van risicomanagement, door de verantwoordelijken per programma, en een uniforme methodiek binnen de gemeente Haarlem. De basis van deze methodiek is duidelijke koppeling tussen risico’s en de doelstellingen van de gemeente. Hierdoor verbetert de sturingsinformatie die gebruikt wordt voor de risicobehandeling door het college en/of de raad. Goed risicomanagement vraagt om commitment van het management: “We doen risicomanagement omdat het toegevoegde waarde heeft voor de hele organisatie”.

Gemeente Haarlem, Risicomanagement

3

Alvorens we verder ingaan met deze uitwerking van een praktische richtlijn is het van belang twee kernbegrippen toe te lichten, de begrippen risicomanagement en risico. Er zijn verschillende definities van risicomanagement en risico mogelijk. De gemeente Haarlem hanteert de volgende definities:

Risicomanagement: Het geheel aan activiteiten en maatregelen gericht op het expliciet en systematisch omgaan met en het beheersen van risico’s. Het is een continu proces om op basis waarvan van bewust risico’s te nemen, de kans op risico’s te verkleinen of de gevolgen ervan te beperken.

Risico: Een onzekere gebeurtenis die kan leiden tot het afwijken van de gestelde doelstellingen en eisen. De zwaarte van het risico wordt bepaald door een combinatie van de waarschijnlijkheid dat een gebeurtenis plaatsvindt en de impact ervan op doelstellingen en eisen.

Bij een risico gaat het om de kans op het optreden van een gebeurtenis. Het woord kans zorgt ervoor dat het gaat over een mogelijke gebeurtenis. Als het zeker is dat een gebeurtenis zich wel of niet voordoet is het geen risico meer. De mogelijke gebeurtenis heeft gevolgen voor het behalen van de doelstellingen. Deze gevolgen kunnen zowel financieel als nietfinancieel van aard zijn.

Een risico kan opgesplitst worden in een gebeurtenis, verschillende oorzaken en gevolgen. Hieronder is een schematische weergave van een risico met betrekking tot de uitval van ICT.

Figuur 1: Schematische weergave voorbeeldrisico

Gemeente Haarlem, Risicomanagement

4

Leeswijzer In hoofdstuk 2 worden de doelstellingen van de gemeente Haarlem met betrekking tot risicomanagement toegelicht. In hoofdstuk 3 wordt de methode waarmee deze doelstellingen bereikt gaan worden uiteengezet en worden enkele basisbeginselen van risicomanagement ingevuld en in hoofdstuk 5 worden de taken en verantwoordelijkheden met betrekking tot risicomanagement van de verschillende actoren binnen de gemeente geschetst. In de Bijlage is een lijst met definities terug te vinden.

2 Doelstellingen risicomanagement Door het toepassen van risicomanagement streeft de gemeente de volgende doelstellingen na: -

Het behalen van de gestelde beleidsdoelstellingen en het inzichtelijk maken van en sturen op de risico’s die hiermee samenhangen

-

Het maken van verantwoorde keuzes met betrekking tot het al dan niet nemen van risico’s.

-

Voldoen aan de wettelijke vereisten omtrent het weerstandsvermogen uit de Besluit begroting en verantwoording provincies en gemeenten (BVV).

-

Het risicobewustzijn van (medewerkers van) de organisatie stimuleren en vergroten.

3 Methode In dit hoofdstuk wordt de uitvoering praktische richtlijn1 waarmee de in het vorige hoofdstuk genoemde doelstellingen van risicomanagement worden bereikt toegelicht. Een eenmalige risicoanalyse uitvoeren is eenvoudig, het verankeren van risicomanagement en risicobewustzijn binnen de organisatie is daarentegen complex. Goed functionerend risicomanagement gaat uit van de juiste uitgangspunten, het juiste beleid (het raamwerk) en een continu proces.

1

Het risicomanagementsysteem is gebaseerd op de ISO 31000-norm.

Gemeente Haarlem, Risicomanagement

5

Figuur 2: Risicomanagementsysteem: Uitgangspunten, raamwerk, proces

3.1 Uitgangspunten Voor een succesvolle toepassing van risicomanagement is het belangrijk om te allen tijde de juiste uitgangspunten voor ogen te houden. Deze uitgangspunten geven richting aan de houding en cultuur van de organisatie ten aanzien van risicomanagement. De juiste uitgangspunten dragen niet alleen bij aan de gewenste houding bij de implementatie van risicomanagement, maar zijn ook op langere termijn bruikbaar. Risicomanagement (en het daarbij horende risicobewustzijn) gaat voor een groot deel om cultuurverandering. Dit is niet in korte tijd te bewerkstellingen, maar neemt enkele jaren in beslag. De uitgangspunten van de gemeente ten aanzien van risicomanagement zijn: •

Risicomanagement voegt waarde toe en draagt bij aan de verbetering van de organisatie

•

Risicomanagement is een integraal deel van organisatieprocessen en daarmee een basis voor keuzes

•

De gemeente doet reeds veel aan risicomanagement, het gaat erom integraal samenhang en structuur aan te brengen ( uniformiteit)

•

Interne transparantie rondom risico’s en beheersing is van belang om van elkaar te leren en synergie te bewerkstelligen

•

Risico’s worden waar relevant geïntegreerd in college- en raadsvoorstellen en geregistreerd in de concernbrede webapplicatie NARIS

3.2 Beleid Het risicomanagementbeleid is de basis voor het verankeren van risicomanagement op alle niveaus in de organisatie en vormt het raamwerk waarbinnen risicomanagement wordt uitgevoerd. Het beleid is gestoeld op de uitgangspunten van risicomanagement en wordt continu gemonitord door concerncontrol. Deze ‘Uitwerking praktische richtlijn’ vormt het risicomanagementbeleid van de gemeente Haarlem.

Gemeente Haarlem, Risicomanagement

6

3.3 NARIS Als hulpmiddel bij de uitvoering van risicomanagement gebruikt de gemeente het risicomanagementinformatiesysteem Naris. Alle risico’s die worden geïdentificeerd worden met bijbehorende kans en gevolgklassen opgenomen in Naris (uitleg op Insite). Het systeem wordt ook gebruikt bij het berekenen van de benodigde weerstandscapaciteit.

3.4 Proces Het risicomanagementproces is het continue proces van risico’s in beeld krijgen, kwantificeren en afwegen of en welke beheersmaatregelen er genomen moeten worden. Het doorlopen van het risicomanagementproces kan per project, afdeling of programma worden doorlopen. Let wel, na het doorlopen van het proces worden de risico’s gebundeld en gepresenteerd per programma. Het risicomanagementproces bestaat uit de volgende stappen: -

Vaststellen van de context

-

Risicobeoordeling •

Identificatie

•

Analyse en beoordeling

•

Afwegen alternatieven

-

Uitvoeren beheersstrategie

-

Evaluatie

Het is essentieel dat er gecommuniceerd wordt gedurende dit gehele proces.

Figuur 3: Het risicomanagementproces

Onderstaand worden de stappen en enkele basisprincipes toegelicht.

3.4.1 Context (zie ook Harrie hoofdstuk 4.1) De gemeente dient haar doelstellingen op een duidelijke manier te verwoorden en daarbij de interne (cultuur, processen, structuur en strategie van de gemeente) en externe (doelstellingen en zorgen van externe belanghebbenden) parameters vast te stellen die van invloed zijn bij het managen van risico’s. Bij het vaststellen van de context worden ook de reikwijdte en risicocriteria voor de rest van het proces vastgesteld. De risicocriteria dienen aan te sluiten

Gemeente Haarlem, Risicomanagement

7

bij de gehanteerde criteria in Naris, het gaat hier om: 

De aard en het type van de oorzaken en gevolgen die zich kunnen voordoen;



De definitie en indeling van de waarschijnlijkheid van het voordoen;



Het tijdsbestek van de risico’s, waarschijnlijkheid en de gevolgen;



Het risiconiveau, en daarbij ook het niveau waarop een risico aanvaardbaar of tolereerbaar wordt;



Is er sprake van een mogelijke combinatie van risico’s en zo ja, vallen deze onder dezelfde verantwoordelijken.

3.4.2 Identificatie (zie ook Harrie hoofdstuk 4.2) De gemeente identificeert risicobronnen, hierdoor ontstaat een uitgebreid overzicht van risico’s op basis van gebeurtenissen die het behalen van doelstellingen kunnen bewerkstelligen, bevorderen, voorkomen, belemmeren, versnellen of vertragen. Bij risico-identificatie wordt gekeken naar zowel interne als externe risico’s, alsook financiële en niet-financiële (strategische) risico’s. Risico-identificatie dient niet uitgevoerd te worden door de risico-coördinatoren (zie hoofdstuk 4 voor uitleg verantwoordelijken en verantwoordelijkheden), maar juist door de personen direct verantwoordelijk voor en/of betrokken bij de doelen en daar bijbehorende risico’s.

3.4.3 Analyse en beoordeling (zie ook Harrie hoofdstuk 4.3) Risicoanalyse verschaft inzichtelijkheid in de geïdentificeerde risico’s. De analyse levert input voor de risico-evaluatie en voor besluiten over het al dan niet (invoeren in Naris en) behandelen van risico’s, evenals voor de meest geschikte strategieën en methoden voor risicobehandeling. Tijdens de analyse worden de oorzaken en bronnen van de risico’s bestudeerd, wordt er gekeken naar de gevolgen (positief dan wel negatief) en naar de waarschijnlijkheid dat een risico zich voordoet (de risicocriteria). Daarbij wordt er gekeken naar zowel de bestaande beheersmaatregelen (en de doeltreffendheid hiervan) als naar de te nemen (nieuwe) beheersmaatregelen voor deze risico’s. De beargumentering voor de risiconiveaus en waarschijnlijkheden dienen opgenomen te worden in het veld “opmerking” in Naris (door de risico-coördinator). De beheersmaatregelen dienen uitgewerkt te worden in het veld “definitie”. Risicoanalyse vindt integraal plaats en dient ook in alle notities, memo’s en overige beleidsstukken opgenomen te worden. Tijdens de analyse moet ook de relatie tussen het risico en de doelstelling waarop dit risico een effect zou kunnen hebben duidelijk naar voren komen.

Deze risico’s (dus ook de risico’s die in college-en raadsnota’s zijn opgenomen) moeten vervolgens aangeleverd worden bij de risico-coördinator van het desbetreffende programma. De risico-coördinator controleert of de risico’s voldoen aan de gestelde criteria en verwerkt deze

Gemeente Haarlem, Risicomanagement

8

in Naris. De controller heeft hierbij een formele rol. Wanneer de risico’s niet voorkomen uit beleidstukken, de algemene risico’s, dienen de risico’s behandeld te worden in het MT.

De analyse bestaat uit een inschatting van de kans dat een gebeurtenis optreedt, waarbij tevens wordt aangegeven wat de gevolgen van het optreden van het risico kunnen zijn. In de processtap ‘Risicoanalyse’ worden de risico’s dus gekwantificeerd. Deze kwantificering gebeurt op basis van de hierna genoemde klassen. Binnen de gemeente Haarlem worden zowel kans als gevolgen bepaald gegeven de reeds aanwezige beheersmaatregelen.

Kans Voor de beoordeling van de kans worden 5 klassen gebruikt. Het genoemde referentiebeeld kan worden gebruikt als hulpmiddel bij het bepalen van de kans. Klasse

Referentiebeeld

Percentage

1

< of 1x per 10 jaar

10%

2

1x per 5 – 10 jaar

30%

3

1x per 2 – 5 jaar

50%

4

1x per 1 – 2 jaar

70%

5

1x per jaar of >

90%

Gevolgen De gemeente Haarlem hanteert de gevolgcategorieën ‘Financieel’, ‘Imago’ en ’Tijd’. Voor alle risico’s wordt allereerst nagegaan of deze financiële gevolgen met zich brengen. Daarnaast is het mogelijk dat een gebeurtenis gevolgen heeft voor het imago van de gemeente. Er zijn ook gebeurtenissen met enkel imagogevolgen mogelijk. De gevolgcategorie tijd kan worden gebruikt bij projecten. Wanneer een gevolg niet in te delen is bij (één of meerdere van) de drie genoemde categorieën is er een mogelijkheid om een vierde categorie, genaamd ‘Extra’, te gebruiken. Omdat voor deze categorie geen (impact)klassen bepaald zijn is een extra tekstuele uitleg gewenst.

Voor de beoordeling van de financiële gevolgen van een risico worden de volgende klassen met bijbehorende bandbreedtes gehanteerd. Klasse

Financieel gevolg

1

X < € 50.000

2

€ 50.000 < X < € 200.000

3

€ 200.000 < X < € 500.000

4

€ 500.000 < X < € 1.000.000

5

X > € 1.000.000

Door het invullen van het maximum financieel gevolg in Naris wordt ook meteen duidelijk in

Gemeente Haarlem, Risicomanagement

9

welke klasse het gevolg valt. Financiële gevolgen in klasse 1 (onder de € 50.000) worden niet meegenomen bij de berekening van het weerstandvermogen. Alle risico’s met een financieel gevolg groter dan € 50.000 worden tweemaal per jaar, bij de programmabegroting en de jaarrekening, verstrekt aan de raad.

De imagogevolgen worden weergegeven door de ernst van ervan in te schatten in één van onderstaande klassen. Klasse

Referentiebeeld

Imago gevolg

1

Afdeling

Zeer klein

2

Organisatie

Klein

3

Plaatselijke pers

Midden

4

Regionale pers

Groot

5

Landelijke pers

Zeer groot

Voor tijdgevolgen worden de volgende klassen gehanteerd. Klasse

Tijdgevolg

1

0-1 week

2

1-4 weken

3

4-8 weken

4

8-26 weken

5

>26 weken

Risiconiveau Met behulp van het risiconiveau kunnen risico’s worden geprioriteerd en wordt inzichtelijk welke risico’s de grootste invloed hebben op het realiseren van de doelstellingen. Het risiconiveau wordt bepaald door de klassen van kans en gevolg te vermenigvuldigen volgens onderstaande formule. Risiconiveau = kans(klasse) x gevolg(klasse)

Afwegen alternatieven Een beheersmaatregel is een maatregel die de kans van het optreden of de gevolgen van het optreden van een risico of reduceert. In de stap alternatieven afwegen wordt gekeken naar welke beheersmaatregelen mogelijk zijn, welke beheersmaatregelen reeds aanwezig zijn en welke het meest geschikt zijn. De gemeente kijkt bij de stap ‘afwegen alternatieven’ allereerst of het risico gelopen kan worden met de huidige beheersmaatregelen of dat er extra beheersmaatregelen genomen moeten worden. Als er extra beheersmaatregelen genomen dienen te worden, is het van

Gemeente Haarlem, Risicomanagement

10

belang dat deze effectief zijn. Dit wil zeggen dat de beheersmaatregelen de kans op het optreden van het risico of de gevolgen van het optreden van het risico verkleinen. Ook is hierbij van belang de maatregelen proportioneel zijn. Dit houdt in dat de kosten van de maatregel in verhouding staan tot de vermindering van de kans of de gevolgen en dat er niet onnodig veel maatregelen voor één risico genomen worden.

3.4.4 Uitvoeren beheersstrategie (/risicobehandeling) (zie ook Harrie hoofdstuk 4.4 en 4.5) De in de vorige stap gekozen beheersstrategie dient te worden geïmplementeerd in de organisatie en er dienen afspraken te worden gemaakt over de controle op de uitvoering van de beheersstrategie. Voor de (mogelijke) financiële gevolgen van risico’s resterend na het treffen van beheersmaatregelen moet (financieel) weerstandsvermogen worden aangehouden . Het doel van risicobehandeling is de ondersteuning van besluitvorming. De risicobehandeling vindt plaats in risico-sessies, welke minstens vier keer per jaar door de risico-coördinatoren worden gefaciliteerd en waarvan de conclusies besproken dienen te worden binnen het MT. Na deze stap wordt het onderscheid tussen bruto en netto risico’s van belang. Een bruto risico is een risico zonder actieve beheersmaatregelen, een netto risico is een risico met actieve beheersmaatregelen. Binnen de gemeente Haarlem worden in Naris uitsluitend de netto-risico’s (inclusief beheersmaatregelen) ingevoerd!

3.4.5 Evaluatie Aan het einde van het proces worden het proces en de uitkomsten ervan geëvalueerd.

Gemeente Haarlem, Risicomanagement

11

3.4.6 Communicatie Communicatie over risico’s en over de verloop van het proces dient gedurende het gehele proces te gebeuren. Door middel van communicatie worden mensen betrokken en blijft risicomanagement leven.

4 Taken en verantwoordelijkheden In dit hoofdstuk wordt uiteengezet welke taken en verantwoordelijkheden de verschillende actoren binnen de gemeente hebben. Deze taken en verantwoordelijkheden sluiten (op de toevoeging van de actor ‘risico-coördinator’ na) aan bij de verantwoordelijkheden en taken zoals opgenomen in de Nota Risicomanagement (2014).

4.1 Raad Actor

Organisatie raad

Taken en verantwoordelijkheden Vaststellen kaders en strategie (waaronder weerstandsvermogen) Vaststellen paragraaf weerstandsvermogen Erop toezien dat alle actoren de vastgestelde strategie naleven Evalueren of risicomanagement effectief en toereikend is

Wanneer

Taken en verantwoordelijkheden

Wanneer

Identificatie en analyse toprisico’s

Continu

Eén keer per raadsperiode Tweemaal per jaar (bij begroting en jaarrekening) Continu

4.2 College Actor

College van Burgemeester en Wethouders

Besluiten tot het al dan niet uitvoeren van de beheersingsmaatregelen Informeren van de raad over risico’s bij belangrijke raadsvoorstellen Verantwoording risicomanagementbeleid

Continu Continu

4.3 Directie(team) Actor

Directie(team)

Taken en verantwoordelijkheden Stimuleren van gemeentebreed risicomanagement en risicobewustwording Verantwoordelijk voor gemeentebreed risicoprofiel en het realiseren, toepassen en evalueren van maatregelen Adviseren college over al dan niet te nemen beheersmaatregelen Rapporteren aan college over top 10 risico’s van gemeente

Gemeente Haarlem, Risicomanagement

Wanneer Continu Continu Continu Programmabegroting en jaarrekening

12

4.4 Budgethouders/risico-eigenaren De budgethouders zijn (gezamenlijk) verantwoordelijk voor het risicoprofiel van hun overkoepelende programma. Hiertoe dienen zij continu (en minimaal vier keer per jaar) het risicomanagementproces te doorlopen. Op welke manier het proces doorlopen wordt bepalen de budgethouders zelf. Hierbij dient echter wel rekening gehouden te worden met de kaders die in deze ‘Uitwerking praktische richtlijn’ worden geschetst. Budgethouders worden met betrekking tot risicomanagement ondersteund door een risico-coördinator. In de Nota Risicomanagement (2014) werden de budgethouders/risico-eigenaren nog omschreven als Afdelingshoofd en/of Projectmanager. Om beter aan te sluiten bij de nieuwe organisatiestructuur van 2018, om enige verdieping te geven aan de taken en bevoegdheden van deze budgethouders én om het eigenaarschap van de risico’s beter in beeld te brengen wordt er nu gesproken over budgethouders/risico-eigenaren. Actor

Budgethouders

Taken en verantwoordelijkheden Verantwoordelijk voor afdelingsrisicoprofiel Doorlopen risicomanagementproces Rapporteren aan MT over afdelingsrisico’s Faciliteren risico-coördinator

Wanneer

Zelf te bepalen, maar minimaal viermaal per jaar maandelijks

4.5 Risico-coördinator De ondersteuning van de budgethouders met betrekking tot risicomanagement wordt verzorgd door de risico-coördinator. De risico-coördinator is nadrukkelijk een facilitator en geen risico-eigenaar. Er wordt één risico-coördinator per programma aangesteld. De rol van risicocoördinator is een nieuwe functie, in aanvulling op de Nota Risicomanagement (2014). Per programma is een risico-coördinator toegewezen, terug te vinden in onderstaande tabel:

Gemeente Haarlem, Risicomanagement

13

De werkzaamheden van de risico-coördinatoren zijn: Ondersteunen budgethouder bij het doorlopen van risicomanagementproces: de budgethouder is verantwoordelijk voor risicomanagement en de risico’s, de risico-coördinator faciliteert hierbij. Dit houdt in dat deze medewerker aanspreekpunt is voor de risico’s binnen een programma, zorgt dat het risicomanagementproces wordt uitgevoerd en zorgt dat de door de budgethouder aangeleverde risico’s in Naris verwerkt worden. De medewerker houdt contact met andere risico-coördinatoren om van elkaar te kunnen leren en een uniforme invulling in Naris te waarborgen.

Om deze taken naar behoren uit te kunnen voeren hebben de risico-coördinatoren bij voorkeur een training risicomanagement gevolgd. Actor

Taken en verantwoordelijkheden

Risico-coördinator

Coördineert het risicomanagementproces per programma. Dit houdt in dat men nagaat of het risicomanagementproces wordt doorlopen binnen de beleidsvelden en of (verdere) ondersteuning nodig is. Voert risico’s in NARIS in en toetst of aangeleverde risico’s voldoen aan de richtlijn. Vormt de (communicatie-)schakel tussen CC en risico-eigenaren.

Wanneer Continu en specifiek als het risico’s betreft die in begroting en jaarverslag worden opgenomen

Continu Continu

4.6 Concerncontrol De afdeling concerncontrol is verantwoordelijk voor de volgende taken: 

Het opstellen, uitvoeren, monitoren en herzien van het risicomanagementbeleid. Uiteraard wordt bij dit proces de gehele organisatie betrokken..



Bijhouden actualiteit met betrekking tot risicomanagement: om risicomanagement binnen de gemeente up-to-date te houden volgt de afdeling de actualiteiten op het gebied van risicomanagement. Hierbij gaat het niet alleen om actualiteiten rondom het toepassen van risicomanagement binnen de organisatie, maar ook om ontwikkelingen die zorgen voor nieuwe risico’s in de gehele organisatie.



Zicht houden op kwaliteit en samenhang gemeentebreed risicoprofiel: men houdt in de gaten of de risicoprofielen per afdeling qua definiëring en kwantificering niet te ver uit elkaar lopen. Bovendien wordt gekeken naar de samenhang van de risicoprofielen, inclusief de beheersmaatregelen. Hierover wordt geadviseerd aan het directieteam.

Gemeente Haarlem, Risicomanagement

14

Actor

Coördinatie P&C / concerncontrol

Taken en verantwoordelijkheden

Wanneer

Opstellen paragraaf weerstandsvermogen

Twee keer per jaar (bij begroting en jaarrekening)

Informeren Directieteam

Twee keer per jaar (bij begroting en jaarrekening) en indien nodig

Ziet er op toe dat risico’s in de organisatie worden geïdentificeerd, geanalyseerd en beoordeeld en dat daarbij beheersmaatregelen worden geformuleerd Ondersteunen gehele organisatie door op juiste moment verantwoordelijkheid te nemen risico’s in beeld te brengen en de directie te informeren bij gebleken nalatigheid monitoren, toetsen en evalueren risicomanagementproces Opstellen, uitvoeren, monitoren en herzien van risicomanagementbeleid, i.s.m. Bijhouden actualiteiten m.b.t. risicomanagement Zicht houden op kwaliteit en samenhang gemeentebreed risicoprofiel Aanspreekpunt in de organisatie m.b.t. risicomanagement

Continu

Continu

Continu Continu, maar één keer in de 4 jaar opnieuw voorleggen aan college Continu Continu Continu

4.7 Controller Controllers zijn sparringpartners van risico-eigenaren. Enerzijds controleren zij de opgevoerde risico’s, anderzijds signaleren controllers risico’s die in beeld zouden moeten zijn. Deze rol is in de Nota Risicomanagement niet expliciet gemaakt. Actor

Taken en verantwoordelijkheden

Controller

Controleren of bij nieuwe DT-, College en raadsvoorstellen risico’s worden opgevoerd en in NARIS zijn verwerkt. Risicomanagement bij P&C-gesprekken agenderen en voorbereiden. Actualiteiten in beleidsveld bijhouden en signaleren of dit leidt tot nieuwe risico’s. Budgethouder hier scherp op houden. Inhoudelijke toets door risico-eigenaren opgevoerde risico’s.

Gemeente Haarlem, Risicomanagement

Wanneer Continu Ieder P&C-gesprek Continu Continu

15

Bijlage 1: Definities risicomanagement Communicatie en overleg staan centraal binnen risicomanagement. Daarbij is het belangrijk dat we dezelfde taal spreken. Wat verstaan we onder het begrip risico? Wij hanteren de definities van ISO31000. Hieronder zijn de belangrijkste definities uitgelicht.

Beheersmaatregel Een activiteit die zich op enige wijze richt op het elimineren, vermijden of verkleinen van de oorzaak of het gevolg van een ongewenste gebeurtenis. Maatregel waarmee een risico wordt gewijzigd. Belanghebbende Een persoon of organisatie die invloed kan uitoefenen op, invloed ondervindt van, of invloed meent te ondervinden van een besluit of activiteit. Context Het geheel aan interne en externe parameters waarmee rekening moet worden gehouden bij het managen van risico’s en het vaststellen van de reikwijdte en de risicocriteria voor het risicomanagementbeleid. Effect Een afwijking ten opzichte van de verwachting. Externe context Externe omgeving waarin de organisatie streeft naar het behalen van haar doelstellingen. Facilitator Een persoon die risicobijeenkomsten begeleidt. Gebeurtenis Een voorval dat invloed heeft of kan hebben op het behalen van de beoogde doelstellingen van een organisatie. Gevolg Het effect dat voortvloeit uit het optreden van een gebeurtenis. Gevolgklasse Ordegrootte gevolg. Waar geen exacte kwantitatieve gegevens voor handen zijn, wordt vaak gebruik gemaakt van een aantal gevolgklassen om een ordegrootte mee te geven. Initieel risico De inschatting van het risico zonder de effecten van beheersmaatregelen. Interne context Interne omgeving waarin de organisatie streeft naar het behalen van haar doelstellingen.

ISO 31000 Wereldwijde norm voor risicomanagement

Gemeente Haarlem, Risicomanagement

16

Kans De mogelijkheid dat een gebeurtenis zich voordoet uitgedrukt in een waarde tussen 0 en 1 of tussen de 0% en 100%. Kansklasse Ordegrootte kans. Waar geen exacte kwantitatieve gegevens voorhanden zijn, wordt vaak gebruik gemaakt van een aantal kansklassen om een ordegrootte mee te geven. Kwantitatieve risicoanalyse Een risicoanalyse waarbij de omvang van de kans en van het gevolg van de risico’s en onzekerheden kwantitatief, dus in getallen, worden ingeschat. Monitoring Voortdurend controleren van, toezicht houden op, kritisch waarnemen of vaststellen van een toestand om eventuele wijzigingen ten opzichte van het vereiste of verwachte prestatieniveau te identificeren. Ongewenste gebeurtenis Een voorval dat negatieve invloed heeft of kan hebben op het behalen van de beoogde doelstellingen. Onzekerheid Onbekendheid met de feitelijke en/of toekomstige situatie door het geheel of gedeeltelijk ontbreken van informatie over, inzicht in of kennis van een gebeurtenis, de gevolgen daarvan of de waarschijnlijkheid dat deze zich voordoet. Oorzaak Een gebeurtenis of situatie die kan leiden tot het optreden van een ongewenste gebeurtenis. Raamwerk Geheel van componenten die de basis en organisatorische maatregelen bieden voor ontwerp, implementatie, monitoring, beoordeling en continue verbetering van risicomanagement in alle lagen van de organisatie.

Restrisico De inschatting van het risico met medeneming van de effecten van beheersmaatregelen. Risico dat overblijft na risicobeheersing. Risico Een onzekere gebeurtenis die kan leiden tot het afwijken van de gestelde doelstellingen en eisen. De zwaarte van het risico wordt bepaald door een combinatie van de waarschijnlijkheid dat een gebeurtenis plaatsvindt en de impact ervan op doelstellingen en eisen. Risicoanalyse Systematische inventarisatie en analyse gericht op het verkrijgen van de risico’s die kunnen leiden tot een vooraf vastgestelde ongewenste gebeurtenis. Risicobehandeling Proces waarin de alternatieven worden afgewogen. De alternatieven m.b.t. de risico’s zijn: overdragen, vermijden, accepteren of beheersen. Risicobeoordeling Proces waarin de resultaten van een risicoanalyse worden vergeleken met risicocriteria om vast te stellen of het risico en/of de omvang ervan aanvaardbaar of tolereerbaar is. Het rangschikken van

Gemeente Haarlem, Risicomanagement

17

risico’s door in absolute of relatieve zin de omvang te bepalen door de kans van optreden te vermenigvuldigen met het gevolg. Risicobeschrijving Een beschrijving van een risico waarbij de bijzondere gebeurtenis of normale onzekerheid, de oorzaak ervan en het gevolg ervan zijn opgenomen. Risico-coördinator Een persoon die het risicomanagementproces faciliteert, bewaakt en continueert onder verantwoordelijkheid van de eindverantwoordelijke van het project. Risicocriteria Referentiekader op basis van de doelstellingen van de organisatie waarmee wordt bepaald welke type risico’s in welke orde van grootte acceptabel zijn en/of gelopen mogen en/of kunnen worden. Risico-eigenaar De persoon die eindverantwoordelijk en bevoegd is om het risico te managen. Risicohouding Benadering van een organisatie bij de beoordeling en het uiteindelijk nastreven, behouden, nemen of vermijden van risico’s. Risico-identificatie Proces waarmee risico’s worden opgespoord, herkend en beschreven. Risicokaart Een matrix waarin de kansklassen zijn uitgezet tegenover de gevolgklassen en die in een oogopslag inzicht verschaft in het risicoprofiel van het project of de organisatie. Risicomanagement Het geheel aan activiteiten en maatregelen gericht op het expliciet en systematisch omgaan met en het beheersen van risico’s.

Risicomanagementproces Systematisch toepassing van beleidslijnen, procedures en werkwijzen op de activiteiten met betrekking tot communicatie, overleg, vaststelling van de context, en het identificeren, beoordelen, behandelen, monitoren en evalueren van risico’s. Risiconiveau Omvang van een risico of combinatie van risico’s, uitgedrukt als een combinatie van gevolgen en hun waarschijnlijkheid (kans). Risicoprofiel Een maat (kwalitatief of kwantitatief) voor het geheel aan risico’s van het betreffende project, proces, programma of beleidstraject.

Gemeente Haarlem, Risicomanagement

18