Nota Integraal risicomanagement en weerstandsvermogen met doorhalingen financiële commissie 10 juni 2024

Dit doordat deze ook verantwoordelijkheid draagt en via het centrale risicoregister mede inzicht heeft in de (ontwikkeling van de) risico’s en interne

Pagina 21 van 39

risicobeheersmaatregelen van de risico-eigenaar, aan wie hij/zij de realisatie van bepaalde afgeleide doelen heeft toevertrouwd. De Concerncontroller fungeert hierbij als gemeente brede centrale risicocoördinator en als beheerder van het gemeente brede centrale risicoregister, waarin gemeente breed de risico’s, het afgedekte deel hiervan middels getroffen interne risicobeheersmaatregelen en de resterende (niet-)financiële nettorisico’s actueel worden bijgehouden. 5. Toezicht & Toetsing Naast het goede gesprek over risico’s en een ondersteunend instrumentarium, is een goede communicatie en rapportage over risico’s onontbeerlijk. Het College dient tijdig over (wijzigingen in) risico’s en de voortgang van beheersmaatregelen op de hoogte te worden gebracht en informeert de raad hierover. Directie- en bestuursadvies / College- en raadsvoorstel Directie, college en raad krijgen jaarlijks vele voorstellen voorgelegd. Onderdeel daarvan is een gedegen risicoparagraaf met inzicht in de belangrijke risico’s en beheersmaatregelen. Daar waar het de inschatting is dat het tevens een risico betreft met een financiële impactscore ≥ 5 (zie ook bijlage B) dan zal dit expliciet in het voorstel aangegeven worden. Planning- en control cyclus Voor informatie over de risico’s geldt dat de P&C-cyclus dé cyclus is waarin het college de raad hierover op hoofdlijnen rapporteert.

“Op hoofdlijnen” betekent dat in de P&Cdocumenten de toelichting op de risico’s (opgenomen bij de betreffende begrotingsprogramma’s) zich in principe beperkt tot de risico’s met een financiële impactscore ≥ 5. De overige relevante risico’s worden niet expliciet in de P&C documenten toegelicht, maar zijn opgenomen in het centrale risicoregister. Actieve informatieplicht Mochten er majeure wijzigingen in risico’s zijn of er zich nieuwe risico’s voordoen die niet kunnen wachten tot het eerstvolgende P&C-document, dan zal het college de raad hierover tussentijds per brief informeren. Bij het onderkennen van een (nieuw) risico wordt onmiddellijk een risico-format opgesteld en het centrale risicoregister bijgewerkt. Niet-openbare risico’s Het komt voor dat risico-informatie niet openbaar gedeeld kan worden, omdat dit de belangen (bijv. onderhandelingspositie) van de gemeente zou kunnen schaden. Dit soort informatie kan dan ook niet in de openbare stukken worden opgenomen. In dat geval zullen we gebruik maken van een niet openbare bijlage. Naast de informatie over de risico’s met een financiële impactscore ≥ 5 wordt in de begroting en de jaarrekening via de paragraaf weerstandsvermogen en risicobeheersing inzicht gegeven in het overall beeld. Hoe ziet ons risicoprofiel eruit en zijn we als gemeente in staat om deze risico’s financieel op te kunnen vangen? 6.

Verbetering / evaluatie Het evalueren van het gevoerde integraal risicomanagement is een essentieel onderdeel van het integraal risicomanagementproces dat zowel door het bestuur, het ambtelijk (lijn)management (proces/project(risico)eigenaren en DT) als door de diverse control-functies (de Concerncontrol functie, de (Verbijzonderde) Interne Controlefunctie, (Strategisch) Financieel advies/control-functie en waar nodig de Concernadviseurs functie) wordt uitgevoerd. De periodieke (bestuurs)rapportages dienen als basis voor de evaluatie van de effectieve en/of efficiënte werking van het gevoerde integraal risicomanagementbeleid binnen de gestelde kaders.

Pagina 22 van 39

Het ambtelijk (lijn)management als primaire risico-eigenaar dient hiertoe regelmatig de (ontwikkeling van de) geïdentificeerde risico’s te evalueren, de gehanteerde risicobeheersingsstrategieën te beoordelen, de daarmee samenhangende (beheers)processen te bewaken en prestaties ten aanzien van integraal risicomanagement te meten. Hierbij kunnen bijvoorbeeld de volgende vragen worden gesteld: • Zijn alle risico’s tijdig en volledig geïdentificeerd en juist in kaart gebracht en geanalyseerd? Hebben we achteraf risico’s over het hoofd gezien? Zijn er nieuwe risico’s gesignaleerd? • In hoeverre is de inschatting van de risico-kans en het risico-effect correct? Moet deze worden aangepast naar aanleiding van veranderde omstandigheden? • Als een risico zich heeft voorgedaan, was deze dan juist ingeschat? Hoe zat het met de interne risicobeheersmaatregelen? • Wat zijn de getroffen of te treffen interne risicobeheersmaatregelen? Zijn deze in staat om het risico tot een acceptabel risiconiveau te brengen zodat het door de beschikbare weerstandscapaciteit afgedekt is? • Hebben de getroffen interne risicobeheersmaatregelen achteraf de beoogde effecten gehad? • Hoe staat het met de planning en voortgang van de risicoactieplannen? Worden er deadlines overschreden? • Hoe kunnen wij de risico’s in de toekomst beter identificeren, analyseren en beheersen? Moet er een andere

risicobeheersingsstrategie worden gehanteerd? • Hebben we de juiste randvoorwaarden voor integraal risicomanagement en zijn deze toereikend (draagvlak, ict-systemen, kennis, vaardigheden en opleidingen personeel, cultuur en financiële middelen)? • Worden de beleidskaders van integraal risicomanagement proactief, systematisch en adequaat nageleefd en blijkt dit ook uit de uitgevoerde 2e en 3e lijn (V)IC-controles. Bij de evaluatie ligt ook een duidelijke rol voor de Concerncontroller, de medewerker AO/(V)IC en waar nodig de (Strategisch) Financieel advies functie (= decentrale risicocoördinatoren). Deze zal kwaliteit en betrouwbaarheid aan het risicoanalyse- resp. risicobeheersingsproces kunnen toevoegen, door vast te stellen of het proces van identificeren, prioriteren en wegen, kwantificeren en beheersen van de risico’s adequaat is en hiermee dus een goede weergave schept van de impact van de gelopen risico’s en de resultaten die bereikt zijn met interne risicobeheersmaatregelen. Of (de ondersteuning van) gesprekken over risicomanagement goed wordt ingevuld, laat zich lastig objectief en “hard” meten. Een kengetal met het aantal gesprekken zegt bijvoorbeeld niets. Wel is het mogelijk via een enquête een beeld te krijgen van hoe bestuurlijk en ambtelijk deze invulling wordt beleefd. We doen dan aan de hand van de volgende indicatoren: 1.

Clustermanagers, directie- en collegeleden zijn tevreden over hoe het gesprek over risico’s wordt gefaciliteerd. 2. Clustermanagers, directie- en collegeleden ervaren dat in het gesprek over risico’s ook expliciet aandacht is voor de niet-financiële risico’s 3. Clustermanagers, directie- en collegeleden ervaren de gewenste positieve benadering van risicomanagement. Prestatie-indicatoren Een aantal zaken kunnen we ‘hard’ meten. Dit doen we door de inhoud en de kwaliteit van de informatie over risico’s in onze P&C-documenten te beoordelen. Het percentage van het aantal collegevoorstellen met een ingevulde risicoparagraaf: 90% of meer.

Pagina 23 van 39

Algemene monitoring Naast bovenstaande zal de Concerncontroller gedurende het jaar nagaan of het risicomanagement conform het beleid wordt ingevuld. Hij rapporteert daar minimaal eens per jaar over aan het DT en college. Hoe en wanneer gaan we evalueren? Tussenevaluatie eind 2024 De (tussentijdse) evaluatie zal in ieder geval betrekking hebben op de volgende punten: • Hebben zich in de praktijk gevallen voorgedaan waarbij het risicomanagement niet goed heeft gewerkt? • Voeren we de prestaties uit die concreet in de voorliggende nota zijn opgenomen? • Hoe beoordelen we de uitkomst van de indicatoren? • Wat vinden raadsleden (via de Financiële Commissie) van de wijze waarop zij over risico’s worden geïnformeerd? Eindevaluatie begin 2025 Op basis van de uitkomsten van de monitoring bepalen we of er een uitgebreide evaluatie noodzakelijk is. Zijn de uitkomsten positief dan volstaat een herhaling van de opzet van de tussenevaluatie.

Pagina 24 van 39

Bijlage A Risico inventarisatie hulplijst

Pagina 25 van 39

Nr. Risicosoort Risicosoort definitie EXTERNE risico-categorie: Maatschappelijke risico’s 1 Burger tevredenheid Het risico dat op behoeften/wensen van de burger en/of (imago) veranderingen daarin niet (tijdig) door de gemeentelijke organisatie wordt ingespeeld. 2 Relatie met belangHet risico dat de relatie met (externe) belanghebbenden verandert, hebbenwaardoor de mogelijkheden voor de gemeentelijke organisatie (al den/stakeholders dan niet in financiële zin) worden beïnvloed. (imago) 3 Technologische Het risico dat de gemeentelijke organisatie zich niet bewust is of innovatie notie neemt van veranderingen in de technologie (bijv. internet), waardoor eventuele efficiencyvoordelen onbenut blijven. 4 Afhankelijkheid van Het risico dat de informatieverstrekking vanuit derden (bijv. derden uitvoeringsinstanties), waarvan de gemeentelijke organisatie afhankelijk is, niet (tijdig) of onbetrouwbaar plaatsvindt. 5 Privatisering Het risico dat (toekomstige) privatisering een negatieve invloed heeft op de kwaliteit en de efficiëntie van de dienstverlening door de gemeentelijke organisatie aan burgers en andere belanghebbenden. EXTERNE risico-categorie: Politieke, bestuurlijke, legislatieve en financiële risico's 6 Nieuwe resp.

nietHet risico dat de snelheid en kwaliteit van veranderingen in de wetnaleving wet- en en regelgeving zodanig is dat het een negatieve invloed heeft op regelgeving de mogelijkheden van de gemeentelijke organisatie om specifiek beleid en activiteiten te implementeren. Het risico dat medewerkers, management, bestuur en/of het college de wet- en regelgeving niet naleven en dus onrechtmatig handelen (zie verder risicosoortnummer 86). 7 Conflicterend Het risico dat tegenstrijdigheid in wet- en regelgeving het behalen overheidsbeleid van de doelstellingen van de gemeentelijke organisatie in gevaar brengt. 8 Politieke signatuur en Het risico dat veranderingen in de politieke signatuur en structuur structuur rijksoverheid van de landelijke/lokale overheid een negatieve invloed hebben op en lokale overheid de missie, doelstellingen en beleid van de gemeentelijke organisatie. 9 Externe financieel Het risico dat de financiële vermogenspositie van de gemeentelijke risico's resp.

organisatie direct aangetast wordt door onder meer (turbulente) ontwikkelingen, zoals bijvoorbeeld: Juridisch financiële aansprakelijkheid • bovenmatige stijging van inflatie, • bovenmatige stijging van kosten van sociaal domein, armoedeondersteuning, (extern/intern) personeel, energie etc., • wegvallende inkomstensoorten (belasting-/heffing-soorten, leges, subsidies, bijdragen etc.), • van bovenaf opgelegde bijkomende nieuwe gemeentelijke taken zonder of onvoldoende financiële dekking, • steeds minder beschikbaar gestelde (rijks)middelen door bezuinigingen etc., • ingediende fiscale/juridische/milieu claims, schadevergoedingseisen en wettelijke -of contractuele aansprakelijkheidsstellingen. 10 Rampzalig verlies Het risico dat een grote ramp het dienstverlenende vermogen van de gemeente aantast. INTERNE risico-categorie: risico’s m.b.t. interne organisatiegebied Leiderschap 11 Leiderschapsstijl Het risico dat het management door haar stijl van leidinggeven medewerkers onvoldoende stimuleert en motiveert haar werkzaamheden te verrichten. 12 Organisatiestructuur Het risico dat de structuur van de gemeentelijke organisatie onvoldoende aansluit op het geformuleerde beleid, de communicatielijnen en de verantwoordelijkheden en bevoegdheden.

Pagina 26 van 39

13

Bevoegdheden & verantwoordelijkheden

Het risico dat de communicatie van en controle op gedelegeerde bevoegdheden en verantwoordelijkheden niet eenduidig en/of niet helder is vastgelegd. 14 Waarden en normen Het risico dat er geen eenduidige, binnen de gemeentelijke organisatie gedeelde set van waarden en normen wordt gecommuniceerd en in de bedrijfsvoering wordt geïntegreerd. 15 Vermogen tot Het risico dat de gemeentelijke organisatie niet over de cultuur of veranderen het vermogen beschikt om de organisatie te veranderen waardoor veranderingsprocessen mogelijk onvoldoende worden uitgevoerd. 16 Managementfraude Het risico dat het management binnen de gemeentelijke organisatie opzettelijk de (financiële) resultaten op een verkeerde wijze rapporteert. 17 Communicatie Het risico dat de inrichting van de communicatiekanalen niet zorgt dat de informatie goed binnen de organisatie wordt verspreid en dat de informatie tijdig wordt verstrekt. 18 Management Informatie Het risico dat het management niet tijdig, onjuist en/of onvolledig wordt geïnformeerd. (niet-)financieel INTERNE risico-categorie: risico’s m.b.t. interne organisatiegebied Strategie & Beleid 19 Beleidsvorming Het risico dat het geformuleerd beleid niet binnen de kaders van wet- en regelgeving en/of bestuurlijk prioriteit valt, of niet aansluit op veranderingen in de omgeving.

20 Beleidsformulering Het risico dat het beleid onzorgvuldig (niet SMART en richtinggevend) geformuleerd wordt. 21 Beleidshaalbaarheid Het risico dat het geformuleerde beleid in de praktijk moeilijk realiseerbaar is door de verschillende betrokken partijen. 22 Beleidsontwikkeling Het risico dat nieuw beleid dat wordt vastgesteld niet doelmatig en uitvoerbaar is. De gemeentelijke organisatie moet flexibel kunnen reageren op nieuw beleid, zodat de organisatie een duidelijke koers kan varen en er helder en duidelijk over deze koers kan worden gecommuniceerd. 23 Toezicht Het risico dat er geen of onvoldoende toezicht is of kan worden (beleids)uitvoering en uitgevoerd op de realisatie van de gemeentelijke financiële en verantwoording beleidsmatige (strategische, tactische functionele en operationele proces)doelen, die met een realistisch en structureel sluitende financiële (meerjaren)begroting op een getrouwe, financieel rechtmatige, juridisch bredere niet-financieel rechtmatige, nietfraudeleuze, geautoriseerde, doeltreffende en doelmatige wijze behoren te worden bereiken.

En waarover vervolgens op basis van betrouwbare en continue beschikbare gemeentelijke interne en externe informatieverstrekkingsystemen op een getrouwe en financieel rechtmatige wijze (tussentijds) verantwoording afgelegd moet worden richting onze belanghebbenden (Gemeenteraad, Provincie Zuid-Holland, Rijk, Europese subsidieverstrekkers, samenwerkings-partners, burgers, lokale bedrijven en overige organisaties). 24 Getrouwheid Het risico dat externe verantwoordingsrapportages niet getrouw verantwoordings(onvolledig, onjuist en niet tijdig) zijn. Het gaat hier voornamelijk om het risico ten aanzien van de rapportages getrouwheid van de (financiële) informatieverstrekking in de jaarrekening en het jaarverslag over de financiële beheershandelingen die ten grondslag liggen aan de jaarrekeningmutaties vanuit sec de voor de gemeentelijke jaarrekening kritische processen. Dit houdt in het risico op het niet bereiken c.q. niet waarborgen: • van de getrouwheid van de jaarrekening (bestaande uit de balans, het overzicht van baten en lasten inclusief de toelichting op beide, de SiSa-verantwoordingsbijlage en de nieuwe Rechtmatigheidsverantwoording van het college) in overeenstemming met de geldende verslaggevingsregels Pagina 27 van 39

(zoals o.a. het BBV, de SiSa-voorschriften, de lokale Financiële verordening ex GW212 en de VOC-3LM ) én • dat het beeld van het jaarverslag (waarin ook de extra nieuwe collegetoelichting over de kwaliteit van de interne beheersingsorganisatie in de Bedrijfsvoeringsparagraaf is opgenomen) verenigbaar is met het beeld van de jaarrekening door uitvoering van een marginale vergelijkingstoets. 25 Prestatie-indicatoren Het risico dat er onvoldoende en/of onbetrouwbare (relevant, consistent, objectief) meetinstrumenten aanwezigheid zijn voor het meten van de prestaties (van derden). 26 Strategische planning Het risico op een inadequate (strategische) lange termijn planning veroorzaakt door de wijze van informatieverkrijging daarvoor, en de betrouwbaarheid en belangrijkheid van deze informatie. Dit kan namelijk gevolgen hebben voor de mate waarin de gemeentelijke organisatie een juiste, tijdige en volledige identificatie van kansen, bedreigingen, sterktes en zwaktes kan uitvoeren en hierop adequaat kan inspelen met een dergelijk planning. 27 Management Het risico dat managementrapportages, financieel en operationeel rapportage binnen de gemeentelijke organisatie structureel niet tijdig, betrouwbaar, controleerbaar of inzichtelijk zijn, of dat er intern helemaal geen verantwoording wordt afgelegd.

28 Aansluiting (sub)doelen Het risico dat de strategische externe doelen, tactische interne functionele doelen operationele interne procesdoelen en de overige gemeentelijke hoofddoelen onvoldoende op elkaar aansluiten. 29 Budgettering / begroting Het risico dat de budgettering/begrotingssystematiek niet aansluit op de geformuleerde beleid en doelstellingen van de gemeentelijke organisatie. 30 Beleidsdocumenten Het risico dat verordeningen, beleidskaders en/of besluiten bestemd voor externe en interne partijen niet voldoen aan de gestelde eisen. 31 Omgeving Het risico dat lange termijn bedrijfsplannen niet worden aangepast door onvoldoende bewaken en inspelen op de veranderlijke omgeving. 32 Meten (strategisch) Het risico dat niet gemeten kan worden of doelen/resultaten behaald worden. 33 Investeringen Het risico dat het management niet voldoende inzicht heeft in financiële informatie om weloverwogen korte en (middel)lange termijn beslissingen te nemen en geaccepteerde risico’s te koppelen aan het geïnvesteerde (niet-)financiële vermogen. 34 Prijs product/dienst Het risico dat de hoogte van de prijs van producten/diensten niet op basis van voldoende en betrouwbare informatie door de gemeentelijke organisatie kan worden vastgesteld.

35 Inschattingen Het risico dat de waardering van bestaande producten/diensten (investeren, houden/oogsten, desinvesteren/liquideren etc.) en toekomstige activiteiten (acquisitie, joint venture, strategische alliantie) onjuist is. 36 Bedrijfsportfolio Het risico dat het behalen van bedrijfsresultaat wordt gehinderd door het aanbieden van de verkeerde producten/diensten. INTERNE risico-categorie: risico’s m.b.t. interne organisatiegebied Medewerkers 37 Integriteit Het risico dat de tastbare, ontastbare en financiële bezittingen en/of data van de organisatie worden gebruikt voor onjuiste en/of onethische doeleinden door organisatieleden (raadsleden, collegeleden, bestuurders, met toezicht belaste personen, management, ambtenaren en ingezet extern personeel). Integriteit betekent i.c. een goede persoonlijke eigenschap van een persoon wat inhoudt dat deze betrokkene eerlijk, oprecht en niet omkoopbaar is en dat deze zich vasthoudt aan de nomen en waarden, ook als deze van buitenaf onder druk staan.

Pagina 28 van 39

38

Reputatie

Het risico dat door handelen van medewerkers de reputatie van de gemeentelijke organisatie en haar producten/diensten negatief wordt beïnvloed. 39 Veiligheid Het risico dat de omgeving waarbinnen de medewerker medewerkers functioneert niet veilig is met als gevolg onder meer niet melden van belangrijke zaken voor de gemeentelijke organisatie, agressie, geweld en ongewenst gedrag. 40 Gezondheid Het risico dat de werkplek en de werkorganisatie of de omgeving medewerkers waarbinnen de medewerker functioneert ongezond is met als gevolg bijvoorbeeld RSI. 41 Welzijn Het risico dat de werkplek en de werkorganisatie onvoldoende medewerkers aansluit bij de persoonlijke capaciteiten en competenties van de medewerker met als gevolg bijvoorbeeld werkdruk, fysieke belasting. 42 Arbeidsvoorwaarden Het risico dat de bepaling en invulling van prestatie-motivatoren (realistisch, objectief, praktisch uitvoerbaar) de manier waarop medewerkers in overeenstemming met de doelstellingen van de gemeentelijke organisatie handelen, op een negatieve wijze beïnvloed. 43 Werknemersfraude Het risico dat medewerkers van de gemeentelijke organisatie zich schuldig maken aan fraude, informatie/data-lekken of aan andere onwettige handelingen. 44 Kwantiteit personeel Het risico dat een mismatch bestaat tussen het aantal beschikbare en benodigde medewerkers (onder- of overbezetting).

45 Kwaliteit personeel Het risico dat niet voldoende kennis, vaardigheden en ervaring bij de werknemers aanwezig zijn (onvoldoende competentiemanagement). 46 Arbeidsomstandigheden Het risico dat geen aangename, gezonde werkomgeving wordt gecreëerd voor de medewerkers, o.a. conform Arbo- normen. 47 Productiviteit Het risico dat de hoeveelheid werk die een medewerker uitvoert niet optimaal is door onvoldoende training en opleiding en/of een gebrek aan duidelijke communicatie, coaching en beoordeling. 48 Motivatie Het risico dat werknemers niet de motivatie en de instelling hebben om de doelstellingen van de gemeentelijke organisatie te behalen, wat leidt tot verminderde hoeveelheid goed werk, (ziekte)verzuim en verloop. INTERNE risico-categorie: risico’s m.b.t. interne organisatiegebied Middelen – Financieel 49 Contracteren Het risico dat afspraken met derden onvoldoende worden vastgelegd in een contract of dat onvoldoende inzicht bestaat in de vastgelegde contractuele verplichtingen om de financiële implicaties hiervan juist te kunnen beoordelen en te monitoren. 50 Apparaatskosten Het risico dat als gevolg van een ineffectieve en inefficiënte bedrijfsvoering de apparaatskosten (overheadskosten) hoger uitvallen dan begroot. 51 Terugvordering Het risico dat al verstrekte subsidies teruggevorderd (dienen te) worden.

52 Verplichtingen Het risico dat onvoldoende inzicht bestaat in de verplichtingen als gevolg waarvan onder andere financiële tegenvallers (te) laat inzichtelijk worden. 53 Programma-/ Het risico dat programma-exploitatielasten resp. Investeringsuitgaven investeringsuitgaven hoger uitvallen dan begroot, waardoor deze niet gedekt, onrechtmatig en/of niet declarabel zijn. 54 Kredietrisico Het risico dat een vordering in waarde daalt ten gevolge van het niet (tijdig) na kunnen komen van de verplichtingen door de tegenpartij. 55 Koersrisico Het risico dat de financiële activa van de organisatie in waarde verminderen door negatieve koersontwikkelingen.

Pagina 29 van 39

56

Liquiditeitrisico

Het risico van onverwachte wijzigingen in de liquiditeitenplanning en meerjaren investeringsplanning waardoor financiële resultaten kunnen afwijken van de verwachtingen. 57 Renterisico Het risico dat in de toekomst de rentelasten van het vreemd vermogen hoger respectievelijk de renteopbrengsten van activa lager zullen zijn dan een bepaald wenselijk geacht niveau. 58 Financiële instrumenten Het risico dat de gemeentelijke organisatie wordt geconfronteerd met hoge kosten of onbedoelde consequenties samenhangend met het onoordeelkundig gebruik van financiële instrumenten. 59 Onderpand Het risico dat bezittingen van de gemeentelijke organisatie of in onderpand verstrekte goederen sterk in waarde dalen. INTERNE risico-categorie: risico’s m.b.t. interne organisatiegebied Middelen – ICT (hardware, software en informatiedata) 60 Beschikbaarheid Het risico dat de ICT-werkmaterialen en/of informatie niet (Continuïteit) beschikbaar (meer) zijn. Dit kan het gevolg zijn van technisch falen, niet beschikbaar zijn van goed personeel of externe omstandigheden. 61 Aansluiting Het risico dat werkzaamheden niet kunnen worden uitgevoerd infrastructuur doordat de ICT-infrastructuur (hardware, software en datastructuur) ketenpartners van de gemeentelijke organisatie niet aansluit op de ICTinfrastructuur van de overige ketenpartners.

62 Effectiviteit Het risico dat computersystemen (nog) ongeschikt zijn om te voldoen aan de gebruikerseisen en daarmee gevolgen hebben voor doeltreffende en doelmatige bedrijfsvoering. Dit kan het gevolg zijn van aanschaf van slecht ontworpen computersystemen, onvoldoende systeemondersteuning en/of niet beschikbaar zijn van goed ICT-personeel. 63 Tijdigheid Het risico dat medewerkers van de gemeentelijke organisatie niet tijdig beschikken over de benodigde informatie. 64 Integriteit Het voorkomen van onbevoegde toegang tot computers of gegevens resulteert in bedoelde of onbedoelde misbruik en/of verlies van gevoelige informatie. Het onvoldoende borgen van de veiligheid van de computers, volledigheid en juistheid van de gegevensverwerking en toegang tot gegevens, leidt tot uitlekken van informatie naar buiten, inbreuken op privacy wetgeving, aantasting van gegevens en onbetrouwbare gegevens. 65 Betrouwbaarheid Het risico dat de benodigde informatie binnen de gemeentelijke organisatie structureel onbetrouwbaar is (onvolledig en/of onjuist). 66 Relevantie Het risico dat de benodigde informatie niet aansluit bij de informatiebehoefte van de medewerkers van de gemeentelijke organisatie. 67 Toegang/beveiliging Het risico dat onvoldoende beveiliging van ICT-informatiesystemen leidt ongewenste gegevensverspreiding en datalekken. INTERNE risico-categorie: risico’s m.b.t.

interne organisatiegebied Middelen – Technisch 68 Inzet Het risico dat het materieel onvolledig, foutief en/of inadequaat benut wordt, eventueel in samenhang met de inzet van medewerkers. 69 Gebruik Het risico dat het materieel onjuist en onzorgvuldig wordt gebruikt door de medewerkers, wat resulteert in beschadiging en uitval. 70 Veiligheid Het risico dat het gebruik van het materieel een bedreiging vormt voor de gezondheid en veiligheid van zowel medewerkers als derden. 71 Levensduur Het risico dat materieel niet goed wordt gevolgd waardoor er niet op tijd geld wordt vrijgemaakt om nieuwe materieel aan te schaffen en/of onderhoud te plegen. 72 Onderhoud Het risico dat gebrek aan goed onderhoud zorgt voor uitval en extra (vervangings-/onderhouds-) kosten. INTERNE risico-categorie: risico’s m.b.t. interne organisatiegebied Processen/Projecten

Pagina 30 van 39

73

Doelmatigheid

74 75

Doeltreffendheid Externe uitbesteding

76

Projectmanagement

77

Kwaliteit product/dienst/proces

78

Productiecapaciteit

79

Interne communicatie & samenwerking

80

Externe communicatie

81

Milieu

82

Grondstoffen

83

Logistieke kanalen

84

Privacy

85

Samenwerking

86

(Niet-)financiële rechtmatigheid

Het risico dat processen binnen de gemeentelijke organisatie inefficiënt verlopen, waardoor de realisatie van de gemeentelijke doelen in gevaar komt. Het risico dat handelingen in processen niet effectief zijn. Het risico dat onvoldoende controle bestaat op de naleving van de contractafspraken over de te leveren prestaties door derden (bijv. uitvoerende instanties, verbonden partijen, deelnemingen). Het risico dat er geen goed (totaal) inzicht bestaat in de lopende projecten binnen de gemeentelijke organisatie en/of dat projecten niet goed beheerst worden. Het risico dat gebrekkige product/dienstenkwaliteit een negatieve invloed heeft op de vraag naar de geleverde producten/diensten van de gemeentelijke organisatie en op de reputatie van de organisatie. Het risico dat de hoeveelheid werk dat een persoon per dag kan uitvoeren t.o.v. de gevraagde hoeveelheid werk onvoldoende is. Het risico dat communicatiekanalen binnen de gemeentelijke organisatie ineffectief zijn en dat samenwerking onvoldoende plaatsvindt. Het risico dat de gemeentelijke organisatie intern niet open, duidelijk en/of integer communiceert met haar cliënten, burgers etc., waardoor de relatie verstoord wordt. Het risico dat door activiteiten van de gemeentelijke organisatie het milieu wordt aangetast.

Het risico dat het aanbod van goederen/grondstoffen die nodig zijn voor het leveren van de diensten tegen een bepaalde prijs te beperkt is. Het risico dat onjuiste of onjuist functionerende logistieke kanalen het dienstverlenende vermogen van de gemeentelijke organisatie aantast. Het risico dat het gebruik en het bewaren van gegevens over burgers en personeel, niet voldoet aan de gestelde eisen en de verwachtingen van de maatschappij en de wetgeving op dit gebied. Het risico dat de samenwerking met een belanghebbende ineffectief of inefficiënt is. Het risico dat medewerkers, management, bestuur en/of het college de wet- en regelgeving niet naleven en dus onrechtmatig handelen. Hierbij wordt ‘rechtmatigheid’ onderverdeeld in 2 componenten, namelijk:  Financiële rechtmatigheid (waaronder ook o.a. de fiscale rechtmatigheid valt) van de financiële beheershandelingen die ten grondslag liggen aan de jaarrekeningmutaties vanuit sec de voor de gemeentelijke jaarrekening kritische processen. Dit houdt in het bereiken c.q. waarborgen van de naleving van weten regelgeving bij financiële beheershandelingen die aan de baten, lasten en balansmutaties van de gemeentelijke jaarrekening ten grondslag liggen en die dus voortkomen uit diverse processen en systemen zowel binnen als buiten de gemeenten.

Hierbij moet onze gemeente dus voldoen aan de onderstaande 3 financiële rechtmatigheidskaders: • de door de raad vastgestelde Financiële verordening ex GW212 resp. het Controleprotocol voor de accountantscontrole waarin regelgeving is opgenomen ten aanzien van het ‘begrotingscriterium’ en de externe accountantscontrole hiervan. • het door de raad jaarlijks vastgestelde Financiële rechtmatigheidsnormenkader (‘voorwaardencriterium’) voor dat verslagjaar waarin externe en interne wet- en regelgeving is opgenomen (zoals de Europese

Pagina 31 van 39

87

Imago

88

Acquisitie

89

Productontwikkeling

90

Procesvastlegging

91

Externe tevredenheid

92

Rolconflict

93

Interne Fraudegevoeligheid

aanbestedingsregels, fiscale wet- en regelgeving en overige wet- en regelgeving) waarvan de niet-naleving van: ▪ de recht-, duur- en hoogte-bepalingen hiervan leidt tot een financiële onrechtmatigheid. ▪ de administratieve-, bevoegdheden- en bewijsstukkenbepalingen hiervan leidt tot een (niet-financiële) procedurele onrechtmatigheid. • de door het college vastgestelde Nota Misbruik & Oneigenlijk gebruik beleid ter voorkomingen van c.q. ontdekking en herstel van ontdekte extern ‘misbruik & oneigenlijk gebruik’ bij financiële beheershandelingen binnen en rondom de specifieke (gemeentelijke) overheidsregelingen, processen en eigendommen.  Juridisch bredere niet-financiële rechtmatigheid (zgn. procedurele rechtmatigheid): Dit omvat de naleving van wet- en regelgeving bij niet-financiële oftewel overige beheershandelingen welke niet leiden tot jaarrekeningmutaties, zoals bijvoorbeeld voldoening aan interne gemeentelijke procedurele regels bij verkiezingen. Het risico dat het imago van de gemeentelijke organisatie een negatieve invloed uitoefent op het realiseren van het beleid en de doelstellingen van de gemeentelijke organisatie. Het risico dat de gemeentelijke organisatie niet de juiste of voldoende opdrachten werft voor wat betreft de ondernemingsactiviteiten.

Het risico dat het verminderde innovatief vermogen van de organisatie en snelheid van de productontwikkeling een negatieve invloed heeft op de mogelijkheden van de organisatie om op de (middel)lange termijn aan de eisen en wensen van cliënten/burgers etc. te voldoen. Of het risico dat te veel nieuwe producten/diensten mogelijk de uitvoering van kerntaken belemmert. Het risico dat adequate AO/IB-procesbeschrijvingen met de daarin opgenomen al dan niet geautomatiseerde interne (risico)beheersmaatregelen in en rondom de (voor de gemeentelijke jaarstukken kritische) processen geheel of gedeeltelijk ontbreken. Voor een optimale procesrisicogerichte (bij)sturing, beheersing en systeemgerichte (verbijzonderde) interne controle-aanpak moeten de AO/IB-procesbeschrijvingen minimaal: • actueel zijn, • risicogericht toereikend zijn opgezet zodat - conform de door de raad vastgestelde VOC-3LM - minimaal de gelopen getrouwheids-, financiële rechtmatigheids- en fraude-risico’s zijn afgedekt, • adequaat in de 6W+H-vorm beschreven en in het centrale AO/IB-proces-vastleggingstool (Engage) zijn opgenomen, én • in de 1e lijn procesuitvoeringspraktijk door de procesbetrokkenen ook nageleefd worden en derhalve dus in de praktijk daadwerkelijk bestaan en gedurende het hele verslagjaar continue werken.

Het risico dat de processen van de gemeentelijke organisatie zich onvoldoende richten op tevreden cliënten, burgers etc. en continue verbetering van het werk. Het risico dat de verschillende rollen die de gemeentelijke organisatie voor haar rekening neemt, in de dagelijkse praktijk moeilijk met elkaar te combineren zijn. De mate waarin werknemers in de gelegenheid worden gesteld door fraudegevoeligheid van processen, in relatie tot klanten en/of leveranciers of andere belanghebbenden, het persoonlijke belang Pagina 32 van 39

94

Extern Misbruik

95

Extern Oneigenlijk gebruik

belangrijker te vinden dan het ondernemingsbelang (financiële middelen, goederen, info). Het risico op extern misbruik van een proces/faciliteit/regeling die de (gemeentelijke) overheid biedt door het opzettelijk niet, niet tijdig, onjuist of onvolledig verstrekken van gegevens door een derde belanghebbende buiten de gemeentelijke organisatie (burger, bedrijf, instelling, organisatie etc.) met als bewuste doel ten onrechte: • overheidssubsidies of -uitkeringen te verkrijgen, of • niet dan wel een te laag bedrag aan heffingen aan de (gemeentelijke) overheid te betalen. Dit als gevolg van niet of onvoldoende getroffen interne beheersingsmaatregelen daartoe. Het risico op extern oneigenlijk gebruik van een proces/faciliteit/regeling die de (gemeentelijke) overheid biedt als gevolg van niet of onvoldoende getroffen interne beheersingsmaatregelen daartoe. Definitie van ‘oneigenlijk gebruik’ hierbij is: het door het aangaan van rechtshandelingen, al dan niet gecombineerd met feitelijke handelingen, door een derde belanghebbende buiten de gemeentelijke organisatie (burger, bedrijf, instelling, organisatie etc.): • verkrijgen van overheidsbijdragen, of • niet dan wel een te laag bedrag aan heffingen aan de (gemeentelijke) overheid betalen, in overeenstemming met de bewoordingen van de regelgeving maar in strijd met het doel en de strekking daarvan.

Pagina 33 van 39

Bijlage B Instrumentarium Het instrumentarium faciliteert het goede gesprek. Het is bedoeld om risico’s eenduidig te identificeren, te classificeren en vast te leggen. De werking van het instrumentarium is hieronder benoemd. De volgende onderdelen zijn in deze bijlage uitgewerkt: A.1 De spelregels voor gebruik van het instrumentarium Om het instrumentarium ook goed te kunnen gebruiken is het noodzakelijk dat we bij de uitwerking van de risico’s een aantal eenduidige spelregels toepassen. 1) We leggen alleen relevante risico’s vast Risico’s waarvan we het relevant vinden dat ze specifiek gevolgd moeten worden, werken we uit in een risicoformat en nemen we op in ons risico-systeem (vooralsnog via Excel). 2) Voor elk risico zijn beheersmaatregelen te treffen We leggen voor elk relevant risico (de meest effectieve) beheersmaatregelen vast. Ondanks dat externe risico’s moeilijk te beheersen zijn, zijn er - zij het beperkt – veelal wel maatregelen mogelijk. Denk bijvoorbeeld aan tijdig informeren. Beheersmaatregelen worden zo concreet mogelijk geformuleerd en nog te treffen beheersmaatregelen zijn voorzien van een tijdspad. 3) Voor elk risico wordt de kans dat deze zich voordoet bepaald De kans wordt weergeven in een percentage tussen de 0 en 100%.

Daarbij bepalen we een percentage voor de kans dat het financiële effect zich voordoet en een percentage voor de kans dat de impact op de doelstelling zich voor zal doen. Ook hier geldt dat het gaat om inschattingen die subjectief zullen zijn maar waarbij de discussie erover essentieel is. Voor het bepalen van de risico-kans wordt onderstaand schema gehanteerd:

Klasse 1 2 3 4 5

Kans (waarschijnlijkheid) Zeer klein (1% tot 20%) Klein (20% tot 40%) Gemiddeld (40% tot 60%) Groot (60% tot 80%) Zeer groot (80% tot 100%)

Klasse midden 10% 30% 50% 70% 90%

4) Voor elk risico bepalen we het financiële effect Om een risico te kunnen wegen, dient voor elk risico het financiële effect aangegeven te worden. Soms ligt het bedrag voor de hand, in andere gevallen is het bedrag een beredeneerde inschatting. Het gaat hier om het financieel effect, rekening houdend met de getroffen / te treffen beheersmaatregelen: het zogeheten netto (rest)risico. Voor de beoordeling van het risico-effect worden onderstaand schema gebruikt

Schema voor risico’s met financieel effect Klasse In €’s 0 < € 50.000 1 € 50.000 - € 193.750 2 € 193.750 - € 387.500 3 € 387.500 - € 581.250 4 € 581.250 - € 775.000 5 € 775.000 en hoger

Waardering Niet materieel Zeer klein Klein Gemiddeld Groot Zeer groot

Pagina 34 van 39

Het bedrag van € 775.000 is gebaseerd op de goedkeuringstolerantie van 1% van de gemeentelijke lasten inclusief reservedotaties op basis van de begroting 2024. Het is wenselijk om voor de in de paragraaf risicomanagement en weerstandsvermogen op te nemen risico’s een ondergrens vast te stellen. Risico’s met een financieel effect onder die grens kunnen wel benoemd worden maar worden niet meegenomen in de risicosimulatie. Voor de gemeente Kaag en Braassem geldt een ondergrens van € 50.000. Afspraak: weerstandsrisico’s op de korte termijn van 1 jaar met een financieel effect < € 50.000 worden niet meegenomen in de risicosimulatie 5) Voor risico’s zonder duidelijk financieel effect bepalen we de impact op de doelstellingen Van risico’s zonder duidelijk financieel gevolg maar met een groot niet financieel gevolg kan het van belang zijn er vanuit het management op te gaan sturen. Als voorbeeld wordt genoemd dreigende imagoschade die kan worden beperkt door een gerichte adequate en snelle communicatie. Schema voor risico’s met andere dan financiële consequenties

Klasse 0 1 2 3 4 5

Waardering Niet materieel Zeer klein Klein Gemiddeld Groot Zeer groot

6) Voor elk risico bepalen we de (financiële) impact De belangrijkheid / het gewicht van een risico wordt bepaald door de mate van (financiële) impact ervan op de organisatie(doelen) en/of de financiële positie van onze gemeente. De impact hiervan wordt bepaald door: hoogte van de risico-kans x omvang van het financieel effect. Hierbij kan een onderscheid gemaakt worden in: 1. Het verwachte financieel absolute risico-impactbedrag van een financieel risico: Het is wenselijk om voor de in de paragraaf risicomanagement en weerstandsvermogen op te nemen risico’s een ondergrens vast te stellen. Risico’s met een risico-impact onder die grens kunnen wel benoemd worden maar worden niet meegenomen in de risicosimulatie. Voor de gemeente Kaag en Braassem geldt een ondergrens van € 50.000. Een risico met een risico-impact van € 600.000, een risico-kans van 5% en derhalve een risico-impact van € 30.000 wordt niet meegenomen in de risicosimulatie. Afspraak: netto risico’s op de korte termijn van 1 jaar met een risico impact < € 50.000 worden niet meegenomen in de risicosimulatie. 2.

de verwacht financiële relatieve risico-impactscore voor een financieel risico: Deze relatieve risico-impactscore varieert van 1 t/m 25 en is een maatstaf voor de onderlinge relevantie van het risico in relatie tot andere risico’s en wordt bepaald door de som van: ∑ (= verwacht risico-kans-klassescore x verwacht risico-effect-klassescore). Pagina 35 van 39

Voor de bepaling van deze relatieve risico-impactscore per risico, maakt dit risicoregister gebruik van: • risico-kans-klasse score: variërend van 1 t/m 5 en bepaald door de hoogte van het risicokans-percentage; • financieel-effect-klasse score variërend van 1 t/m 5 en bepaald door de hoogte van het financieel effect bedrag bij een financieel risico respectievelijk de impact op de doelstelling bij een niet-financieel risico. Uit praktische overwegingen worden de risico’s op basis van hun relatieve risico-impactscore ingedikt naar de onderstaande 6, met kleurcodering aangegeven, relatieve risicoimpactklassen met bijbehorende scores: Risico-impact

Risico-impact

klasse score

klasse omschrijving

≥ 20 ≥ 10 < 20 ≥ 5 < 10 ≥4<5 ≥2<4 ≥1

zeer groot groot gemiddeld klein zeer klein verwaarloosbaar i.r.t. fin. positie

Hierbij geldt dat, hoe hoger de relatieve risico-impactscore, hoe meer waarschuwend de kleur, hoe groter de risico-impact, hoe hoger de prioriteit en hoe urgenter de vereiste risicobeheersing.

Uit bovenstaande matrices volgt dat: Pagina 36 van 39

• • • • • •

risico’s met een impact score van 1 verwaarloosbaar zijn in relatie tot de financiële positie. Deze risico’s blijven qua risico-impact ook onder het grensbedrag van € 50.000. risico’s met een impact score ≥ 2 < 4 worden geclassificeerd als zeer klein. Deze risico’s hebben een maximale risico-impact van € 116.250 risico’s met een impact score ≥ 4 < 5 worden geclassificeerd als klein. Deze risico’s hebben een maximale risico-impact van € 155.000 risico’s met een impact score ≥ 5 < 10 worden geclassificeerd als gemiddeld. Deze risico’s hebben een maximale risico-impact van € 348.750 risico’s met een impact score ≥ 10 < 20 worden geclassificeerd als groot. Deze risico’s hebben een maximale risico-impact van € 620.000 risico’s met een impact score ≥ 20 worden geclassificeerd als zeer groot. Deze risico’s hebben een maximale risico-impact van € 775.000 (bij score 20) of hoger (bij score 25).

De risicoscore van risico’s met andere dan financiële consequenties wordt bepaald door de klassen van risico-kans en risico-effect met elkaar te vermenigvuldigen waarbij de maximale score eveneens 25 is. Voor onze gemeente is het bovenstaande in de volgende richtinggevende risicobeheersingstabel uitgewerkt: Risico-impact Score

Klasse

≥1

Verwaarloosbaa Geen actie vanwege r i.r.t. fin. verwaarloosbaarheid positie Zeer klein Geen directe actie vereist klein Reguliere monitoring die aansluit bij de bestaande periodieke P&C-cyclus van bestuursrapportages

≥2<4 ≥4<5

≥ 5 < 10

Gemiddeld

≥ 10 < 20

Groot

≥ 20

Zeer groot

Beheersingsintensiteit

Beheersingsniveau

Proces/Project (risico)eigenaar voor de risico’s t.a.v. eigen proces-, project, functie of (deel)product. & DT voor de risico’s t.a.v. de eigen organisatieonderdeel waaraan de realisatie van een of meer productdoelen zijn toegewezen. Intensieve monitoring DT als ambtelijk integraal eindverantwoordelijke voor de risico’s: • t.a.v. de gehele ambtelijke interne organisatiegebieden waarmee alle taakveld/product-doelen worden gerealiseerd, en • specifiek t.a.v. de gemeentebrede proces-, project- en clusteroverstijgende risico’s. Direct en specifieke actie College als bestuurlijk inplannen primair verantwoordelijke voor de risico’s t.a.v. alle taakveld/ product-doelen. Zeer urgent en direct Raad als bestuurlijk eindverspecifieke actie antwoordelijke voor de ondernemen risico’s t.a.v. alle programmadoelen.

Rapportage/melding aan (minimaal op vaste P&Cmomenten) evt. afzonderlijke melding aan DT mogelijk als risicoimpactscore ≥ 5 wordt.

College evt. afzonderlijke melding aan college en raad mogelijk als risicoimpactscore ≥ 10 wordt.

Pagina 37 van 39

Risico’s met een impact score ≥ 5 worden separaat toegelicht in de paragraaf Risicomanagement en weerstandsvermogen van de begroting en jaarrekening. Afspraak: risico’s met een impact score ≥ 5 worden separaat toegelicht in de paragraaf Risicomanagement en weerstandsvermogen van de begroting en jaarrekening. A.2 Wijze van vastlegging risico’s Risico’s die we willen vastleggen, worden uitgewerkt in een risico-format (zie bijlage C). Dit format brengt schematisch het risico in beeld en helpt om het nader te duiden. De invulling van het format ondersteunt het nadenken over het risico en de (getroffen) maatregelen. Het vastleggen van een risico is geen doel op zich. Het is afhankelijk van de mate waarin een risico als relevant wordt gezien om apart inzichtelijk te maken en te monitoren. Dat blijft een subjectieve inschatting. Risico’s met een impact score ≥ 5 dienen per definitie te worden vastgelegd.

Pagina 38 van 39

Bijlage C Risicoformat Nummer: Omschrijving risicogebeurtenis Status: ACTIEF Risico eigenaar Organisatieonderdeel: Programma: Taakveld: Proces: Risico eigenaar: Doelstelling: Definiëren risico: Oorzaken risico: Gevolgen risico: Reeds getroffen beheersmaatregelen Beheersmaatregel 1 Beheersmaatregel 2 Beheersmaatregel 3 Kwalificatie risico na reeds getroffen beheersmaatregelen Kans: (%) Financieel effect: (€) Financiële impact: Absoluut (€) Niet financiële impact:

Relatief Relatief

Aangepaste of nieuwe beheersmaatregelen Risicobeheersingsstrategie: (① overdragen/delen, ② vermijden/voorkomen, ③ verminderen/beperken, ④ accepteren/aanvaarden) Beheersmaatregel 1 (concreet omschrijven in termen van wat, hoe, waarmee, wanneer, frequentie en beoogd effect) Implementatie datum: Voortgang implementatie Beheersmaatregel 2 (concreet omschrijven in termen van wat, hoe, waarmee, wanneer, frequentie en beoogd effect) Implementatie datum: Voortgang implementatie Beheersmaatregel 3 (concreet omschrijven in termen van wat, hoe, waarmee, wanneer, frequentie en beoogd effect) Implementatie datum: Voortgang implementatie Kwalificatie risico na aangepaste of nieuwe beheersmaatregelen Kans: (%) Financieel effect: (€) Financiële impact: Absoluut (€) Relatief Niet financiële impact: Relatief

Pagina 39 van 39