04. Wijzigingstabel initiele en herziene nota

Wijzigingstabel initiële en herziene Nota Risicomanagement en Weerstandsvermogen Hillegom Deze was-wordt-tabel is een hulpmiddel om snel inzichtelijk te hebben welke inhoudelijke wijzigingen er zijn in de gewijzigde Nota ten opzichte van de eerste versie. In onderstaand overzicht zijn de oude en nieuwe tekst naast elkaar gezet. Hierin is met kleur aangegeven wat de verschillen zijn. De verschillende kleuren betekenen het volgende: Rood = verwijderd Groen = nieuwe tekst Bestaande tekst

Nieuwe tekst

3. Uitgangspunten risicomanagement

3. Uitgangspunten risicomanagement

Hieronder volgen de algemene uitgangspunten van gemeente Lisse betreffende risico’s.

Hieronder volgen de algemene uitgangspunten van gemeente Hillegom betreffende risico’s.

•

•

•

•

•

Gemeente Hillegom voldoet aan geldende weten regelgeving en geeft invulling aan de richtlijnen van het BBV. De norm is dat in het samenspel tussen raad/bestuur, college/directie en de ambtelijke organisatie transparant met risico’s en maatregelen wordt omgegaan; Gemeente Hillegom legt risico’s en beheersmaatregelen eenduidig en centraal vast in het risicoregister; en er wordt gestuurd op deze beheersmaatregelen. Het college/de directie weegt bij de voorbereiding van voorstellen de risico's mee en stelt vast op welke wijze de raad/het bestuur daarover geïnformeerd wordt; Gemeente Hillegom neemt bij projecten een paragraaf risico’s en beheersmaatregelen op en wordt afgesproken hoe (waar nodig) de directeur of

•

•

•

•

•

Gemeente Hillegom voldoet aan geldende weten regelgeving en geeft invulling aan de richtlijnen van het BBV. De norm is dat in het samenspel tussen raad/bestuur, college/directie en de ambtelijke organisatie transparant met risico’s en maatregelen wordt omgegaan; Gemeente Hillegom legt risico’s en beheersmaatregelen eenduidig en centraal vast in het risicoregister; en er wordt gestuurd op deze beheersmaatregelen. Het college/de directie weegt bij de voorbereiding van voorstellen de risico's mee en stelt vast op welke wijze de raad/het bestuur daarover geïnformeerd wordt; Gemeente Hillegom neemt bij projecten een paragraaf risico’s en beheersmaatregelen op en wordt afgesproken hoe (waar nodig) de directeur of

Reden van Wijziging

•

het bestuur op de hoogte gehouden worden; Gemeente Hillegom geeft via de P&C cyclus inzicht in de top 10 risico’s. Daarbij hanteren we een drempelbedrag van €100.000;risico’s met een lagere omvang worden niet afzonderlijk opgenomen in de paragraaf weerstandsvermogen en risicobeheersing.

Deze algemene uitgangspunten voor het omgaan met risico’s en risicomanagement worden waar nodig in de volgende hoofdstukken toegelicht.

Bestaande tekst

•

het bestuur op de hoogte gehouden worden; Gemeente Hillegom geeft via de P&C cyclus inzicht in de top 10 risico’s. Daarbij hanteren we een drempelbedrag van €100.000 op basis van het gewogen financiële risico (kans x impact); risico’s met een lagere omvang worden niet afzonderlijk opgenomen in de paragraaf weerstandsvermogen en risicobeheersing. Indien minder dan 10 risico’s boven deze grens uitkomen, wordt de rapportage aangevuld met de eerstvolgende risico’s op basis van hoogte van de benodigde weerstandscapaciteit, zodat in de paragraaf weerstandsvermogen en risicobeheersing inzicht wordt gegeven in de top 10 risico’s. De drempel van €100.000 geldt uitsluitend voor opname in de paragraaf weerstandsvermogen; alle risico’s blijven opgenomen in het risicoregister en tellen mee bij het berekenen van de benodigde weerstandscapaciteit.

Gezamenlijke auditcommissie van 10 februari 2026

Deze algemene uitgangspunten voor het omgaan met risico’s en risicomanagement worden waar nodig in de volgende hoofdstukken toegelicht.

Nieuwe tekst

Reden van wijziging

5.2 Inventarisatie en beoordeling De inventarisatie start met de vraag: “Welke onzekere gebeurtenissen kunnen het behalen van onze doelen verstoren?” Deze risico’s worden beoordeeld op twee aspecten: • Kans: de waarschijnlijkheid dat het risico zich voordoet, op een schaal van 1 (zeer klein) tot 5 (zeer groot). • Impact: de ernst van de gevolgen, beoordeeld aan de hand van themaspecifieke impacttabellen (zie bijlage 4

5.2 Inventarisatie en beoordeling De inventarisatie start met de vraag: “Welke onzekere gebeurtenissen kunnen het behalen van onze doelen verstoren?”.1 Deze risico’s worden beoordeeld op twee aspecten: • Kans: de waarschijnlijkheid dat het risico zich voordoet, op een schaal van 1 (zeer klein) tot 5 (zeer groot). • Impact: de ernst van de gevolgen, beoordeeld aan de hand van themaspecifieke impacttabellen,op een schaal van 1 (zeer klein) tot 5 (zeer groot).

De bruto risicoscore wordt berekend door kans x impact. Deze score bepaalt de zwaarte van het risico en vormt de basis voor verdere beheersing. De netto risicoscore wordt vergelijkbaar berekend, maar dan na beheersmaatregelen.

De bruto risicoscore wordt berekend door kans x impact. Deze score bepaalt de zwaarte van het risico en vormt de basis voor verdere beheersing. De netto risicoscore wordt vergelijkbaar berekend, maar dan na beheersmaatregelen.

5.3 Beheersing Beheersing is het beperken van risico’s door passende maatregelen te nemen. Op basis van de bruto risicoscore wordt het risico ingedeeld in één van vier categorieën: • Groen (0–5): Laag risico: monitoring van het risico, verantwoordelijkheid bij de teammanager/projectleide r. • Geel (6–10): Substantieel risico: beheersmaatregelen treffen, actieve beheersing verantwoordelijkheid bij teammanager. • Rood (11–39): Groot risico: opstellen en uitvoeren van verplicht beheersplan,

5.3 Beheersing Beheersing is het beperken van risico’s door passende maatregelen te nemen. Op basis van de bruto risicoscore wordt het risico ingedeeld in één van vijf categorieën: • Lichtgroen (1): Zeer laag risico: reguliere monitoring van het risico, verantwoordelijkheid bij de teammanager/projectleide r. • Groen (2–3): Laag risico: specifieke monitoring van het risico, verantwoordelijkheid bij de teammanager/projectleid er. • Geel (4–6): Gemiddeld risico: beheersmaatregelen gewenst,

Eenduidigheid pilot IBD (Informatiebeveiligingsdienst) team Bedrijfsinformatie & Compliance

Impact

Deze indeling helpt bij het prioriteren van acties en het bepalen van verantwoordelijkheden. Risicoprofiel 16 16 32 48 64 8 8 16 24 32 4 4 8 12 16 2 2 4 6 8 1 1 2 3 4 1 2 3 4 Kans

verantwoordelijkheid bij teammanager. • Oranje (8–16): Hoog risico: beheersmaatregelen formuleren en implementeren, verantwoordelijkheid bij teammanager en directeur • Rood (20–25): Zeer hoog risico: direct ingrijpen, beheersplan en monitoring verplicht, verantwoordelijkheid bij de directie Deze indeling helpt bij het prioriteren van acties en het bepalen van verantwoordelijkheden. Risicoprofiel

80 40 20 10 5 5

5.4 Beheersing strategieën Voor elk risico wordt een beheersstrategie gekozen. Er zijn vier mogelijkheden: 1. Accepteren – het risico wordt bewust genomen. 2. Reduceren – maatregelen verkleinen de kans of impact. 3. Verleggen – risico wordt overgedragen (bijv. via verzekering of contract). 4. Vermijden – activiteit of doelstelling wordt aangepast of beëindigd. De keuze voor een strategie hangt af van de risicobereidheid van de organisatie. Na uitvoering van maatregelen wordt de netto risicoscore bepaald.

Impact

•

verantwoordelijkheid bij teammanager en directeur Paars (40–80): Organisatiebedreigend: direct ingrijpen, uitgebreid beheersplan en monitoring opstellen, verantwoordelijkheid bij de directie

5

5

10

15

20

25

4

4

8

12

16

20

3

3

6

9

12

15

2

2

4

6

8

10

1

1

2

3

4

5

1 Kans

2

3

4

5

5.4 Beheersing strategieën Voor elk risico wordt een beheersstrategie gekozen. Er zijn vier mogelijkheden: 5. Accepteren – het risico wordt bewust genomen. 6. Reduceren – maatregelen verkleinen de kans of impact. 7. Verleggen – risico wordt overgedragen (bijv. via verzekering of contract). 8. Vermijden – activiteit of doelstelling wordt aangepast of beëindigd. De keuze voor een strategie hangt af van de risicobereidheid van de organisatie. Na uitvoering van maatregelen wordt de netto risicoscore bepaald.

Voor risico’s in de rode of paarse categorie is een beheersplan verplicht. Dit bevat: • De gekozen strategie • Toelichting op maatregelen • Planning en effect • Gewenste netto risicoscore

Voor risico’s in de rode categorie is een beheersplan verplicht. Dit bevat: • De gekozen strategie • Toelichting op maatregelen • Planning en effect • Gewenste netto risicoscore In lijn met het groeimodel volwassenheidsfasen wordt het risicomanagement de komende jaren verder ontwikkeld, waarbij een van de ontwikkelpunten is om in de paragraaf weerstandsvermogen meer inzicht te geven in de afwegingen tussen de risico’s en de bijbehorende beheersmaatregelen.

5.5 Controle De effectiviteit van beheersmaatregelen wordt getoetst via het Three Lines Model: • Eerste lijn: teams zelf, via ingebouwde procescontroles. • Tweede lijn: ondersteunende functies zoals financiën. • Derde lijn: onafhankelijke toetsing, o.a. VIC, CISO, FG en concern control Hiernaast zijn er nog externe controlepartijen zoals de accountant.

5.5 Controle De effectiviteit van beheersmaatregelen wordt getoetst via het Three Lines Model: • Eerste lijn: teams zelf, via ingebouwde procescontroles. • Tweede lijn: ondersteunende functies zoals financiën. • Derde lijn: onafhankelijke toetsing, o.a. VIC, CISO, FG en concern control Hiernaast zijn er nog externe controlepartijen zoals de accountant.

Deze controles zorgen voor inzicht in de werking van maatregelen en dragen bij aan continue verbetering van risicobeheersing.

Deze controles zorgen voor inzicht in de werking van maatregelen en dragen bij aan continue verbetering van risicobeheersing.

5.6 Het risicoregister Alle risico’s met hun netto risicoscore worden vastgelegd in het risicoregister. Dit register voedt de P&C-producten en biedt inzicht in de ontwikkeling van risico’s in de tijd. Minimaal halfjaarlijks wordt het register geactualiseerd. De top 10 risico’s worden opgenomen in de

5.6 Het risicoregister Alle risico’s met hun netto risicoscore worden vastgelegd in het risicoregister. Dit register voedt de P&C-producten en biedt inzicht in de ontwikkeling van risico’s in de tijd. Minimaal halfjaarlijks wordt het register geactualiseerd. De top 10 risico’s worden opgenomen in de

Ambtelijke wijziging

paragraaf weerstandsvermogen en risicobeheersing en wordt gedeeld met bestuur/raad. Team Financiën ondersteunt bij het beheer van het register. Een voorbeeld van dit risicoregister is te vinden in bijlage 3.

paragraaf weerstandsvermogen en risicobeheersing en wordt gedeeld met bestuur/raad. Team Financiën ondersteunt bij het beheer van het register.

Risicobewustzijn Naast het registreren van risico’s is het vergroten van risicobewustzijn een belangrijk aandachtspunt. Dit gebeurt op meerdere manieren: • Risicospel: een interactieve manier om medewerkers bewust te maken van risico’s en beheersmaatregelen. • Frauderisicoanalyse: Concern Control stelt jaarlijks samen met de teammanagers een frauderisicoanalyse op. • Intakeformulieren: risicovragen worden standaard meegenomen bij de start van projectplannen en programmaplannen. • Grex (grondexploitaties) en Anterieure overeenkomsten: risico’s worden bij de start en tijdens de uitvoering van grondexploitaties en bij het aangaan en uitvoeren van anterieure overeenkomsten (groeimodel n.a.v. 213a onderzoek) besproken en gevolgd. • Bespreking in overleggen: risico’s worden structureel besproken binnen teams, projectgroepen en managementoverleggen. Door risicobewustzijn op deze manier structureel te integreren,

Risicobewustzijn Naast het registreren van risico’s is het vergroten van risicobewustzijn een belangrijk aandachtspunt. Dit gebeurt op meerdere manieren: • Risicospel: een interactieve manier om medewerkers bewust te maken van risico’s en beheersmaatregelen. • Frauderisicoanalyse: Concern Control stelt jaarlijks samen met de teammanagers een frauderisicoanalyse op. • Intakeformulieren: risicovragen worden standaard meegenomen bij de start van projectplannen en programmaplannen. • Grex (grondexploitaties) en Anterieure overeenkomsten: risico’s worden bij de start en tijdens de uitvoering van grondexploitaties en bij het aangaan en uitvoeren van anterieure overeenkomsten (groeimodel n.a.v. 213a onderzoek) besproken en gevolgd. • Bespreking in overleggen: risico’s worden structureel besproken binnen teams, projectgroepen en managementoverleggen. Door risicobewustzijn op deze manier structureel te integreren,

In het risicoregister worden onder andere het betreffende team, programma, omschrijving risico en impact, risicoscore, beheersstrategie, enzovoorts opgenomen.

Ambtelijke wijziging

wordt het risicoregister niet alleen een administratief overzicht, maar een levend instrument dat bijdraagt aan betere besluitvorming en beheersing van risico’s.

wordt het risicoregister niet alleen een administratief overzicht, maar een levend instrument dat bijdraagt aan betere besluitvorming en beheersing van risico’s.

Bestaande tekst

Nieuwe tekst

Reden van wijziging

6. Rollen en verantwoordelijkheden

Gezamenlijke auditcommissie van 10 februari 2026

De rollen en verantwoordelijkheden van de raad, het college en de ambtelijke organisatie zijn als volgt.

6.1 Raad De raad stelt de kaders vast voor het beleid risicomanagement en weerstandsvermogen. De raad heeft daarmee een kaderstellende en controlerende rol. Dit betreft onder meer: • Vaststelling van de nota; inclusief de daarbij behorende kaders en uitgangspunten. • Vaststelling van de paragraaf weerstandsvermogen en risicobeheersing in de begroting en jaarstukken;

6.2 College Het college is verantwoordelijk voor: • De uitvoering van het risicomanagementbeleid; • Opstellen van een juiste paragraaf weerstandsvermogen. • Het informeren van de raad over materiële risico’s;

•

Het opnemen van risico’s en beheersmaatregelen in raadsvoorstellen.

6.3 Ambtelijke organisatie De directie en teammanagers zijn verantwoordelijk voor: • Het actief signaleren en registreren van risico’s; • Het uitvoeren van beheersmaatregelen; • Het actualiseren van het risicoregister; • Het voeren van risicodialogen binnen teams en projecten. Bestaande tekst

Nieuwe tekst

Ambtelijke wijziging (Bijlage opgenomen als achtergrondinformatie in plaats van integrale bijlage in de nota)

Bijlage 2. Informatie per risico

Bestaande tekst

Nieuwe tekst

Bijlage 4. Kans x impact tabellen

Reden van wijziging

Ambtelijke wijziging (Inhoud risicoregister is toegelicht in de nota artikel 5.6)

Bijlage 3. Voorbeeld risicoregister

Bestaande tekst

Reden van wijziging

Nieuwe tekst

Reden van wijziging

Ambtelijke wijziging (Bijlage opgenomen als achtergrondinformatie in plaats van integrale bijlage in de nota)