Bijlage - Nota Integraal Risicomanagement 2021-2024

Nota

Integraal Risicomanagement 2021-2024

Inhoudsopgave 1.

Inleiding ..................................................................................................................................................... 3 1.1 Aanleiding en organisatorische context ............................................................................. 3 1.2 Inhoud en leeswijzer .......................................................................................................... 4

2. Risico’s en risicomanagement........................................................................................................................ 6 2.1 Het begrip risico ................................................................................................................. 6 2.2 Het begrip risicomanagement ............................................................................................ 7 2.3 Uitgangspunten .................................................................................................................. 8 3. Risico- analyse en risico- beoordeling ............................................................................................................ 9 3.1 Inventarisatie van risico’s per niveau ................................................................................. 9 3.2 Indeling van risico’s in categorieën .................................................................................. 10 3.3 Risico- beoordeling ........................................................................................................... 12 4. Risicobeheersing: Strategie en maatregelen ............................................................................................... 14 4.1 Risicobereidheid en risk appetite .....................................................................................

14 4.2 Inzet van beheersmaatregelen ......................................................................................... 15 4.3 Invoer in NARIS ................................................................................................................. 18 5. Bepalen van het weerstandsvermogen ....................................................................................................... 19 5.1 De termen weerstandscapaciteit en weerstandsvermogen ............................................ 19 5.2 De berekening van weerstandscapaciteit ........................................................................ 20 5.3 Monitoring en rapportage ................................................................................................ 21 5.4 Overige kengetallen ......................................................................................................... 21 6. Uitvoering en monitoring ............................................................................................................................. 23 6.1 Three lines of defense ...................................................................................................... 23 6.2 Overzicht per processtap..................................................................................................

24 6.3 Informatievoorziening en rapportage .............................................................................. 27 7. Ontwikkelopgaven en verdere aanpak ........................................................................................................ 28 7.1 Ontwikkelopgaven per processtap ................................................................................... 28 7.2 Verdere aanpak ................................................................................................................ 28 Bijlage 1: Toelichting Kengetallen BBV ............................................................................................................ 30

2

1. Inleiding Gemeente Pijnacker- Nootdorp wil een betrouwbare en klantgerichte organisatie zijn die aansluit op de veranderende samenleving, excellente dienstverlening biedt, publieke waarde toevoegt en een aantrekkelijke werkgever is. En dat alles binnen de gestelde (financiële en wettelijke) kaders: We willen de goede dingen doen, de dingen goed doen en ongewenste verrassingen voorkomen. De ambities die op strategisch niveau geformuleerd zijn, worden vertaald in de bedrijfsvoering en werkprocessen: ‘We zijn helder in onze doelen, weten hoe we die doelen willen bereiken, welke risico’s mogelijk spelen en hoe we die beheersen.’ Het is voor ons, maar vooral voor onze inwoners en (maatschappelijke) partners van belang dat we die doelstellingen ook daadwerkelijk waarmaken en dat we daarbij doelmatig en rechtmatig omgaan met publiek geld. Daarom willen we de interne beheersing en risicomanagement op orde hebben – ook (of zelfs júist) in een situatie van groeiende dynamiek, complexiteit en netwerksamenwerking. Adequaat risicomanagement draagt bij aan het creëren van publieke waarde en aan doelrealisatie door in de gehele organisatie bewust en pro- actief bezig te zijn met gevaren, bedreigingen én kansen. Onze ambitie is dan ook ons risicomanagement stapsgewijs te (blijven) verbeteren. Deze nota biedt daarvoor een basis.

1.1 Aanleiding en organisatorische context In de afgelopen periode is flink geïnvesteerd in de doorontwikkeling van interne sturing en beheersing. Een stevige basis hiervoor is gelegd in de Visie op Control en de uitwerking daarvan in Control in praktijk. Hierin komen het waarom, het hoe en het wat van onze interne control aan de orde. De Integrale Interne Controle Cyclus (IICC-model) en de Three lines of defence worden geïntroduceerd als belangrijke inrichtingsprincipes. Beide modellen komen terug in onze aanpak van risicomanagement. In het najaar van 2019 heeft accountant BakerTilly als onderdeel van de interim controle specifieke aandacht besteed aan de inbedding van frauderisicobeheersing binnen de gemeente Pijnacker-Nootdorp. Hiervoor is een audit uitgevoerd. Hoewel de audit gericht was op frauderisicobeheersing, bleek uit de audit ook dat niet aan alle basisvoorwaarden voldaan is op het gebied van risicobeleid en risicomanagement. Besloten is om overkoepelend risicobeleid op te stellen. Dit beleid integreert de eerdere nota Weerstandsvermogen en risicomanagement (2014). Het biedt kaders voor specifiek bestaand en toekomstig beleid waarin risicomanagement een rol speelt, bijvoorbeeld op het gebied van privacy, informatieveiligheid, fraude en verbonden partijen.

Frauderisicobeleid In deze nota wordt in oranje blokken specifiek aandacht besteed aan frauderisico’s en de wijze waarop frauderisicobeheersing concreet een plek krijgt in de organisatie. We maken daarbij onderscheid tussen externe fraude en interne fraude: Externe fraude wordt gepleegd door derden. Het gaat hier veelal om misbruik en oneigenlijk gebruik van gemeentelijke regelingen. De regelingen die hiervoor gevoelig zijn, zijn regelingen waarbij derden een aanmerkelijk (financieel) belang hebben en waarbij de gemeente in grote mate afhankelijk is van door diezelfde derden verstrekte gegevens. De Nota Misbruik en Oneigenlijk gebruik (M&O) biedt een algemeen, integraal beleidskader om misbruik en oneigenlijk gebruik te ontmoedigen, voorkomen, bestrijden en te sanctioneren. De nadere uitwerking van het beleid vindt plaats in de specifieke (M&O- gevoelige) regelingen en bijbehorende verordeningen en processen. De nota stelt kaders voor werkprocessen, brengt frauderisico’s in beeld en beschrijft maatregelen om deze risico’s te beheersen. Hierop gaan we in deze nota daarom niet verder in. In het geval van Interne fraude wordt deze gepleegd door medewerkers van de gemeente. Dit heeft een sterk verband met integriteit. In de Regeling integriteit gemeente Pijnacker-Nootdorp (2020) staat de ge-

3

dragscode, wordt aandacht besteed aan de ambtseed en zijn afspraken vastgelegd met betrekking tot verschillende terreinen die een beroep doen op integriteit, zoals nevenwerkzaamheden, het aanvaarden van geschenken en het omgaan met communicatiefaciliteiten. Ook zijn sancties en kwetsbare functies beschreven. Bij vermoedens van fraude of andere twijfelachtige zaken kunnen werknemers gebruik maken van de Regeling melden vermoeden misstanden Pijnacker-Nootdorp (2020). Deze nota biedt een paraplu boven het genoemde M&O-beleid en beide regelingen. In deze nota definiëren we fraude en gaan we in op de belangrijkste, algemene aspecten bij het ontstaan ervan. Vervolgens behandelen we mogelijke maatregelen per aspect. Daarbij focussen we op interne fraude. De maatregelen ter bestrijding van externe fraude zijn immers beschreven in de nota M&O. 1.2 Inhoud en leeswijzer De aanpak, (nadere) implementatie en (continue) doorontwikkeling van risicomanagement geven wij vorm in een PDCA-cyclus: Plan, Do, Check, Act. De eerste stap is het ontwikkelen van risicobeleid. Dit beleid geeft aan hoe wij kijken naar risico’s en risicomanagement en biedt kaders en handvatten voor de volgende stappen. In figuur 1.1 worden de belangrijkste stappen in het proces van risicomanagement geschetst.

Figuur 1.1 het risicomanagementproces binnen de gemeente

Bij de uitvoering van risicomanagement zijn de stappen van analyse tot uitvoering nader te specificeren in de volgende processtappen (figuur 1.2): Identificatie

Kans & impact

Prioritering

Bepalen maatregelen

Invoer in NARIS

Bepalen weerstands -vermogen

Uitvoering/ Monitoring

Figuur 1.2 van analyse tot uitvoering

De nota volgt deze stappen. Leeswijzer Na een algemene introductie waarin de termen risico en risicomanagement worden uitgediept, behandelen we de processtappen uit figuur 1.2. We gaan steeds in op de inhoud van de stap en bieden handvatten voor de aanpak.

4

In hoofdstuk 3 besteden we aandacht aan risico- analyse en - beoordeling: Het identificeren van risico’s op verschillende niveaus en binnen verschillende categorieën, de inschatting van kans en impact en de prioritering. In hoofdstuk 4 bekijken we eerst welke risico’s voor beheersmaatregelen in aanmerking komen en hoe onze risico-bereidheid daar een rol in speelt. Vervolgens behandelen we mogelijke maatregelen en gaan we kort in op de invoer van risico’s in de applicatie NARIS. In hoofdstuk 5 zoomen we in op het onderwerp weerstandsvermogen door de begrippen weerstandsvermogen, -capaciteit en -ratio te definiëren en de lokale afspraken en aanpak te beschrijven. In hoofdstuk 6 behandelen we in het licht van uitvoering, monitoring en evaluatie de verschillende rollen en verantwoordelijkheden. In dit hoofdstuk komen ook de kaderstellende en toezichthoudende rollen uit figuur 1.1 aan de orde.

5

2. Risico’s en risicomanagement Risico’s zijn overal. In het dagelijks leven houden we er continu bewust en onbewust rekening mee, schatten we ze in en maken we keuzes hoe ermee om te gaan. Hetzelfde geldt in werksituaties. Risicomanagement betekent dan ook niet dat alle risico’s steeds expliciet benoemd moeten worden, laat staan vastgelegd. Het betekent ook niet dat alle bekende risico’s beheerst moeten worden. Risicomanagement gaat veel meer om groeiend bewustzijn, dialoog en bewuste keuzes in wat op te pakken en wat te laten of te accepteren. In de volgende paragrafen gaan we verder in op de begrippen risico en risicomanagement en op wat wij met risicomanagement willen bereiken. 2.1 Het begrip risico Risico’s kunnen het bereiken van onze doelen in de weg zitten: Een risico is een onzekere gebeurtenis die kan leiden tot het afwijken van de gestelde doelstellingen en eisen. In theorie kunnen de afwijkingen zowel positief als negatief zijn. In de praktijk gebruiken wij binnen de gemeentelijke context de term risico vooral om een gevaar of bedreiging aan te duiden met nadelige effecten op doelrealisatie. Hoe groot een risico is, wordt bepaald door een combinatie van de kans dat een gebeurtenis plaatsvindt en de impact ervan. We hanteren een aantal manieren om risico’s in te delen.

Deze indelingen verscherpen ons zicht op risico’s en zijn behulpzaam bij de verschillende processtappen: Vanuit risico-identificatie maken we onderscheid tussen: • Verschillende niveaus; Risico’s kunnen spelen op strategisch, tactisch en operationeel niveau. Dit biedt aanknopingspunten voor de (integrale) aanpak van risicomanagement in de gemeente. We gaan hier verder op in in paragraaf 3.1. • Verschillende categorieën: Risico’s kunnen zich afspelen op verschillende gebieden. Door hier oog voor te hebben en te houden, is een brede blik gewaarborgd. Bovendien zijn maatregelen en rapportages aan de hand van categorieën te stroomlijnen. We behandelen ze in paragraaf 3.2. Met het oog op beheersing bestaat binnen de niveaus en categorieën nader onderscheid tussen: • Interne risico’s binnen de directe beïnvloedingssfeer van de gemeente. Deze worden uitgesplitst naar strategische risico’s en voorkoombare risico’s: o Strategische risico’s worden vrijwillig genomen om strategische doelen te bereiken en komen bijvoorbeeld voort uit nieuw beleid en reorganisaties. o Voorkoombare risico’s komen voort uit de organisatie zonder strategische voordelen en liggen bijvoorbeeld op het gebied van processen, projecten, ICT of gedrag. • Externe risico’s buiten de directe beïnvloedingssfeer van de gemeente.

o Naast algemenere omgevingsaspecten (natuurrampen, macro economische-, politieke- en demografische omstandigheden) vallen risico’s in de markt en onder verbonden partijen hieronder. Figuur 2.1 illustreert de verschillende wijzen waarop risico’s kunnen worden onderverdeeld, afhankelijk van de gekozen invalshoek. Hoe dit onderscheid helpt bij de beheersing en het formuleren van passende maatregelen komt aan de orde in paragraaf 4.2.

6

Figuur 2.1 onderverdeling van risico’s naar invalshoeken

2.2 Het begrip risicomanagement Onder de kop risicomanagement worden een fiks aantal werkzaamheden met elkaar verbonden: Risicomanagement is het totaal van activiteiten die de organisatie uitvoert in het kader van de beheersing van risico’s. Het algemene doel van risicomanagement is te komen tot een adequaat systeem van interne sturing en beheersing waarbinnen risico’s worden geïdentificeerd en de juiste mix van middelen en maatregelen wordt ingezet om de geïdentificeerde risico’s, binnen redelijke grenzen, terug te brengen naar een voor de organisatie acceptabel niveau. Aandacht voor risicomanagement is om meerdere redenen van belang: • Het vergroot overall risicobewustzijn zodat risico’s vroegtijdig worden gesignaleerd en pro- actief worden opgepakt. • Het geeft inzicht en overzicht op de oorzaken/ factoren die het bereiken van onze doelstellingen kunnen belemmeren. • Het dwingt ons om na te denken over onze risicobereidheid: Welke risico’s zien wij om te accepteren en hoe gaan we om met andere risico’s? • Het biedt duidelijkheid of risico’s in balans zijn met de weerstandscapaciteit van de gemeente. • Het versterkt (intern en extern) het vertrouwen dat we met de goede dingen bezig zijn en de juiste prioriteiten stellen. Risicomanagement vraagt continue aandacht en doorontwikkeling.

Over het algemeen worden vier stadia van risicovolwassenheid onderscheiden: • Ad hoc: De organisatie is zich niet bewust van nut en noodzaak van risicomanagement en kent geen gestructureerde aanpak om risico’s te bepalen en te behandelen. • Verkokerd: De organisatie experimenteert met de toepassing van risicomanagement op een beperkt aantal vlakken en door een beperkt aantal medewerkers. • Genormaliseerd: Risicomanagement is opgenomen in de structuren, processen en werkwijzen van de organisatie. Formalisatie is doorgevoerd. • Natuurlijk: Risicobewustzijn zit in de cultuur van de organisatie. Er is sprake van een pro- actieve aanpak. Risico-informatie is structureel beschikbaar om continu te verbeteren. De gemeente wil risicomanagement door blijven ontwikkelen totdat het op alle niveaus van de organisatie een natuurlijk onderdeel van het werk is. Door de nota heen worden een aantal ontwikkelopgaven genoemd. 7

In de gemeente Pijnacker- Nootdorp gaan wij uit van integraal risicomanagement. Kenmerkend hiervoor is dat het geïntegreerd is in de gehele organisatie, dat het continu en proactief is en het een breed aandachtsgebied omvat. Voor het laten slagen van risicomanagement is verankering op alle niveaus van de organisatie essentieel. 2.3 Uitgangspunten Ten behoeve van de aanpak en doorontwikkeling van risicomanagement hanteren we een aantal algemene uitgangspunten: • Ons risicomanagement is integraal en gericht op allerlei soorten risico’s binnen alle onderdelen van de organisaties. • Risicomanagement is van ons allemaal: iedereen is verantwoordelijk voor het signaleren en treffen van maatregelen voor de risico’s in het eigen werk(veld) • Risicomanagement sluit aan bij bestaande werkwijzen en komt aan de orde binnen de bestaande structuren. • We zijn op alle bestuurlijke en ambtelijke niveaus bereid om open over risico’s (en fouten) te communiceren. Daar rekenen we elkaar niet op af. • We kunnen niet met alle risico’s rekening houden en niet alle risico’s vragen om maatregelen. Risicomanagement is bij ons meer dan een beheersingsmethode en gaat ook over cultuur en bewust accepteren. • Wij geloven in continu verbeteren; ook als het om risicomanagement gaat. Het is ‘nooit af’. We beginnen ergens en werken stapsgewijs aan doorontwikkeling.

8

3. Risicoanalyse en risicobeoordeling Het startpunt van het risicomanagementproces is risicoanalyse (ook wel identificatie). In deze stap inventariseren we risico’s op verschillende niveaus (paragraaf 3.1) en brengen we ze onder in risicocategorieën (paragraaf 3.2). Daarna volgt de beoordeling, waarbij we kans en impact inschatten en aan de hand daarvan prioriteren (paragraaf 3.3). 3.1 Inventarisatie van risico’s per niveau Binnen de organisatie maken wij op het gebied van sturing en beheersing steeds onderscheid tussen de drie niveaus uit het Integrale Interne Controle Cyclus model1 (IICC, figuur 3.1). Strategische doelstellingen worden via organisatie- inrichting vertaald naar de uitvoering en werkprocessen. Deze niveaus moeten via PDCA- cycli op elkaar ingrijpen om steeds een ander niveau in de organisatie ‘in control’ te brengen. Ook risico’s kunnen optreden op strategisch, management- en uitvoerend niveau. Risicoanalyse dient (uiteindelijk) op alle niveaus plaats te vinden, zodat sturing overal (beter) mogelijk wordt en we voldoende informatie verzamelen om de niveaus goed te beheersen.

Figuur 3.1 de Integrale Interne Controle Cyclus (IICC-model)

Per niveau kent risico-inventarisatie eigen verschijningsvormen en manieren van aanpak die stapsgewijs uitbreiding en doorontwikkeling vragen. Randvoorwaarde voor goed risicomanagement is dat op alle niveaus doelen zo helder en concreet (SMART) mogelijk geformuleerd zijn. Alleen dan kan worden vastgesteld of en wanneer het behalen van de doelen bedreigd wordt en in welke mate. Strategisch niveau: Richten De gemeenteraad wil met en voor de samenleving bepaalde doelen realiseren. Hij geeft het college kaders mee waarbinnen die doelen gerealiseerd moeten worden. Daarmee wordt strategisch richting gegeven. Voor het bepalen van strategische doelen worden in onze gemeente onder andere het Hoofdlijnenakkoord, de Uitvoeringsagenda, de Programmabegroting en de Contourennota gebruikt. Doelen zijn in deze stukken meestal abstract geformuleerd en geven eerder missie, accenten en gewenste bewegingen weer. Dit maakt ze minder geschikt voor risicoanalyse in de enge zin van het woord. Omdat de doelen abstract zijn, blijven de risico’s dat immers ook en zijn nauwelijks beheersmaatregelen te benoemen. Dit wordt mogelijk als de

1

Het IICC-model is een referentiemodel, dat gehanteerd wordt door de Erasmus School of Accounting &Assurance (ESAA)

9

doelen concreet vertaald worden naar de beide andere niveaus. Ook bij de totstandkoming van doelen op dit niveau verwachten we echter risicobewustzijn en het herkennen van kansen en bedreigingen, rekening houdend met onze sterke en minder sterke eigenschappen. Tactisch niveau: Inrichten Om doelen te kunnen realiseren is een goede bedrijfsvoering essentieel. Elementen daarin zijn de organisatiestructuur, subdoelstellingen en verdeling van verantwoordelijkheden (governance). Dit betreft het inrichten en organiseren van de organisatie. Dit niveau omhelst afdelingen, programma’s en inrichting van organisatiefuncties. Risicomanagement vindt in ieder geval plaats op afdelingsniveau en per programma. Minimaal twee keer per jaar (ten tijde van begroting en jaarrekening) wordt een risico- analyse uitgevoerd door de verschillende afdelingen. Wanneer hier aanleiding voor is, kunnen (afdelingsoverstijgende) organisatiefuncties onder de loep worden genomen. Voor ondersteunende functies worden de acroniemen PIOFACH of SCOPAFIJTH vaak als ezelsbruggetje gebruikt. Voor ons gelden deze onderdelen als basis voor control2: Operationeel niveau: Verrichten Vanuit de abstractere niveaus kan de daadwerkelijke uitvoering plaatsvinden ten behoeve van de doelrealisatie.

Op dit niveau vinden projecten en concrete uitvoering van organisatiefuncties plaats in de vorm van primaire en ondersteunende werkprocessen. Ook voor zicht op de diverse ondersteunende processen geldt figuur 3.2. Per project en per (bedrijfskritisch) proces vindt risicoanalyse plaats.

Figuur 3.2 indeling naar organisatiefuncties

3.2 Indeling van risico’s in categorieën Bij risicoanalyse wordt aandacht besteed aan oorzaken, gebeurtenissen (de risico’s zelf) en gevolgen. Eén risico kent over het algemeen meerdere oorzaken en gevolgen. Bij het in kaart brengen hiervan helpt het gebruik van de zogenoemde ‘vlinderdas’3 (figuur 3.3):

Figuur 3.3 de ‘vlinderdas’ van oorzaak, gebeurtenis en gevolg

2

Zie ook Visie op Control en Control in praktijk.

3

De vlinderdasmethode is ontwikkeld door Shell in het begin van de jaren ’90, bij het onderzoek naar de oorzaken van de ramp met het Piper Alpha boorplatform

10

Ook helpen risico-categorieën om een brede blik te waarborgen en een zo volledig mogelijk beeld te krijgen. Deze categorieën moeten goed passen bij het werkveld en vragen tot op zekere hoogte om maatwerk. Wel worden in het algemeen een aantal hoofdcategorieën onderscheiden. In de literatuur komen we onder andere de volgende interne en externe categorieën tegen; zie figuur 3.4. Intern

Omschrijving

Financieel

Aantasting vermogenspositie

Imago/ Politiek Bedrijfsproces Informatie/ strategie

Letsel/ veiligheid Juridisch Milieu Product/ dienst Personeel/ Arbo

Aantasting vertrouwen Aantasting productiecapaciteit Schade door onvoldoende of onjuiste informatie. Bij informatie kan ook worden gedacht aan informatieveiligheid en schending van privacy Aantasting gezondheid/ (gevoelens van) veiligheid Aantasting vermogenspositie door wettelijke aansprakelijkheid Aantasting lucht, bodem, water of leefomgeving Aantasting afzetcapaciteit en gestelde kwaliteitseisen Aantasting arbeidscapaciteit en kwaliteit van arbeid

Technisch/ ICT Materieel

Schade door falen van techniek of ICT Schade aan bezit

Extern

Omschrijving

Economisch Politiek Sociaal Milieu en natuur Markt en verbonden partijen

Optreden van economische bewegingen (groei/ krimp) Optreden van politieke wijzigingen Optreden van sociologische ontwikkelingen Optreden van natuurverschijnselen en - rampen Optreden van marktbewegingen als faillissementen, concurrentie en nieuwe toetreders Optreden van invloedrijke technologische ontwikkelingen

Technologisch Figuur 3.4 risico-categorieën

Identificeren van frauderisico’s Kans op fraude vormt een bijzondere risico-categorie met eigen oorzaken en maatregelen. Dit risico wordt gemakkelijk over het hoofd gezien en vraagt een eigen, integrale aanpak. Fraude wordt gedefinieerd als een opzettelijke handeling door een of meer personen van binnen of buiten de organisatie, waarbij misleiding wordt gebruikt om een onrechtmatig of onwettig voordeel te behalen. Eerder maakten we een onderscheid tussen interne fraude (door medewerkers) en externe fraude (door derden). Misbruik is een vorm van fraude. Factoren die een belangrijke rol spelen bij het ontstaan van fraude zijn: 1. Gelegenheid: Omstandigheden die kans geven voor het plegen van fraude zoals slechte beveiliging, ontbrekende of ineffectieve controles en beheersmaatregelen of de afwezigheid van beleid of sancties in een organisatie. 2. Motivatie of druk: De persoonlijke reden, prikkel of stimulans om fraude te plegen bijvoorbeeld geld, ideologie of dwang. Druk kan ook organisatorisch van aard zijn, zoals druk om positieve cijfers te presenteren. 3. Rationalisatie: Het individuele vermogen om het plegen van fraude te rechtvaardigen vanuit houding, karakter of een reeks (on)ethische waarden. Ook eerlijke en oprechte personen kunnen fraude plegen in een omgeving die voldoende druk op hen uitoefent.

Hoe groter de prikkel of druk, hoe groter de kans dat iemand de aanvaardbaarheid van het uitvoeren van een frauduleuze handeling zal rationaliseren.

11

4. Bekwaamheid: In aanvulling op de bekendere drie factoren dient ook het vermogen van een individu om de details van de fraude te implementeren te worden meegenomen. Veel fraude zou niet hebben plaatsgevonden zonder de juiste persoon met de juiste kennis, middelen en ervaring om de fraudehandeling daadwerkelijk uit te voeren. De verschillende kenmerken kunnen worden beïnvloed door het treffen van interne beheersmaatregelen in de organisatie. ‘Gelegenheid’ leent zich hier over het algemeen het beste voor. Op mogelijke beheersmaatregelen komen we terug in hoofdstuk 4. 3.3 Risico- beoordeling Bij het beoordelen van risico’s draait het om het belang of de grootte van een risico. Dat belang wordt bepaald door de kans dat het risico zich voordoet en de gevolgen in geval het risico zich voordoet: Risico = Kans x Impact. Voor het vaststellen ervan zijn verschillende soorten technieken: • Kwantitatieve meettechnieken: Er wordt een numerieke waarde gekoppeld aan een risico. • Semi-kwantitatieve meettechnieken: Er worden kwantitatieve schalen gebruikt in combinatie met schaalomschrijvingen. • Kwalitatieve meettechnieken: Er worden schaalomschrijvingen gebruikt voor de prioriteit, het belang of de waarde van het risico. In Pijnacker-Nootdorp werken we bij de beoordeling van risico’s zoveel mogelijk met kwantitatieve technieken.

Zowel voor de kans van optreden als voor de impact gebruiken we exacte gegevens of schalen. In uitzonderingsgevallen hanteren we (met name op het niveau van strategie en beleid) analyses waarbij gebruik gemaakt wordt van omschrijvingen. Het vaststellen van de kans van optreden De kans op een risico hangt samen met de inschatting binnen welke periode het risico zich kan gaan voordoen. Het bepalen van die kans is voor een groot deel subjectief en is afhankelijk van degene die de inschatting maakt. Kennis en ervaring spelen daarbij een rol, maar ook de aard van de persoon zelf. Het is daarom aan te raden de kans op risico’s gezamenlijk te bespreken en vast te stellen; met diverse personen vanuit meerdere disciplines. Bij verschillen van inzicht is ‘het goede gesprek’ het enige bruikbare middel: Wat ziet de één dat de ander niet of anders ziet? Op deze manier ontstaat een vorm van ‘intersubjectiviteit’, dat zich ergens tussen (de onmogelijkheid van) objectiviteit en volledige subjectiviteit in bevindt.

Wel kunnen steeds een aantal aspecten worden meegewogen: • Verleden: Heeft het risico zich al eerder voorgedaan? • Vertrouwdheid: Hebben we de activiteiten al eerder gedaan? • Omstandigheden: Onder welke condities treedt het op? • Frequentie: Hoe vaak kan het voorkomen? • Risicogevoeligheid in tijd: Is er sprake van een stijging of een daling? De kans wordt aangeduid in een percentage tussen 0% en 100%. Deze percentages brengen we onder in een beperkt aantal risicoklassen. We hanteren de volgende klassen (zie figuur 3.5): Kanspercentages 10% 30% 50% 70% 90%

zeer klein klein gemiddeld groot Zeer groot

Binnen 10 jaar Binnen 5-10 jaar Binnen 2-5 jaar Binnen 1-2 jaar Binnen 1 jaar

Figuur 3.5 risicoklassen (kans)

Als de kans groter is dan 90% spreken we niet meer van een risico. Het optreden ervan is namelijk niet onzeker, maar eerder een gegeven. Bekende verwachte tegenvallers met een financieel gevolg moeten direct in de begroting worden opgenomen. 12

Het bepalen van de impact bij optreden Het optreden van risico’s heeft een bepaalde impact op de doelen. Die impact wordt zoveel mogelijk aangeduid in een bedrag in euro’s. Een aantal risico’s kunnen niet of nauwelijks in geld worden uitgedrukt (denk bijvoorbeeld aan imago-schade of letsel). Toch heeft het de voorkeur ook deze risico’s zoveel mogelijk financieel uit te drukken. Onderstaande tabel met gevolgklassen helpt daarbij (zie figuur 3.6): Financieel gevolg 1 < 75.000 2 75.000 < x < 300.000 3 300.000 < x < 750.000 4 750.000 < x < 1.500.000 5 > 1.500.000

Imago gevolg 1 Zeer klein 2 klein 3 midden 4 groot 5 zeer groot

Individuele kring Persoonlijke kring Plaatselijke kring Regionale pers Landelijke pers

Figuur 3.6 gevolgklassen

Bij het bepalen van de impact is het onderscheid tussen structurele en incidentele risico’s van belang. Deze termen zeggen niets over de kans van optreden, maar slaan op de impact: Een structureel risico heeft structurele gevolgen als het optreedt. ‘Het kost ieder jaar geld’. Hiervoor moet dus ook structurele dekking zijn. Structurele risico’s wegen daarom zwaarder mee: Als een risico structureel van aard is, vermenigvuldigen we het financiële gevolg met 2.5. We gaan er daarbij vanuit dat de gemeente in staat is het risico binnen 2,5 jaar te verwerken in de begroting en hiervoor bijvoorbeeld een voorziening te treffen of om te buigen in bestaand beleid. De ervaring leert dat een begroting flexibel genoeg is om op een termijn van 2,5 jaar mee te buigen met ontwikkelingen. Kwantificeren en prioriteren De risico’s die in kaart zijn gebracht, worden onderling geprioriteerd en gewogen. Dit is belangrijk om bij een veelheid aan risico’s de belangrijkste risico’s niet uit het oog te verliezen en elk risico op het juiste niveau te beheersen. Bij het kwantificeren van risico’s wordt de kans (in schaal of percentage) vermenigvuldigd met de impact (in schaal of euro’s). Zo wordt één waarde van het risico vastgesteld en krijgt dit risico een hogere of lagere prioriteit ten opzichte van de andere geïdentificeerde risico’s.

In een risicokaart (figuur 3.7) kunnen alle risico’s nu naar impact en kans grafisch worden weergegeven.

Figuur 3.7 de risicokaart

Een risico met een grote impact maar een minimale kans of een risico met een kleine impact maar een hoge kans zullen we vaak als niet belangrijk genoeg beschouwen om er maatregelen tegen te treffen. De beheerskosten wegen dan bijvoorbeeld niet op tegen het nut van het voorkomen van het risico. Keuzes hierin verschillen per doelstelling en zeggen iets over risicobereidheid of ‘risk appetite’. Risk appetite komt in paragraaf 4.1 nader aan de orde.

13

4. Risicobeheersing: Strategie en maatregelen Nadat risico’s geïnventariseerd en geprioriteerd zijn aan de hand van kans en impact kunnen we de stap zetten naar de beheersing, waarbij het gaat om de reductie van de impact van risico’s en/of het voorkomen dan wel verkleinen van de kans van optreden. We bekijken hoe de risico’s gemanaged kunnen worden en welke beheersmaatregelen getroffen kunnen worden. Er zijn vier manieren om met risico’s om te gaan: • Vermijden/voorkomen: De oorzaak en/of het gevolg van het risico wordt weggenomen door bijvoorbeeld het beleid of proces te staken of anders vorm te geven. • Beperken/verminderen: Er worden acties ingezet die het risico tot een acceptabel niveau terugbrengen, bijvoorbeeld door werkprocessen anders in te richten of door AO/IC maatregelen. • Overdragen/ delen: Activiteiten die door het risico geraakt worden, worden (deels) aan een externe overgedragen, die daarbij ook de risico’s overneemt. Verzekeringen zijn hier een voorbeeld van. • Aanvaarden/accepteren: Risico’s die niet of onvoldoende voorkomen, verminderd of overgedragen zijn of kunnen worden, worden geaccepteerd. Eventuele schade wordt middels de weerstandscapaciteit afgedekt. De keuze voor de strategie hangt uiteraard af van de grootte van het risico (kans x impact) en de mogelijkheden die het betreffende (soort) risico met zich meebrengt.

Tegelijkertijd hangt deze keuze samen met organisatiecultuur en beschikbare middelen. In dit kader besteden we eerst aandacht aan risicobereidheid (‘risk appetite’). 4.1 Risicobereidheid en risk appetite Iedere organisatie bepaalt voor zichzelf in welke mate risico’s acceptabel zijn voor het behalen van de doelstellingen. Een manier om dit te omschrijven is ‘risk appetite’: de totale hoeveelheid risico die de organisatie maximaal wil nemen in het realiseren van haar doelstellingen. De risicobereidheid van een organisatie moet daarbij binnen de risicocapaciteit van de organisatie liggen. Die risicocapaciteit is het totaal aan risico’s dat een organisatie kan dragen en wordt begrensd door financiele draagkracht, risicovolwassenheid, wet- en regelgeving en eisen en verwachtingen van klanten en belanghebbenden. De risk appetite beïnvloedt de te kiezen strategie bij het beheersen van risico’s en andersom. Weinig risicobereidheid leidt tot voorzichtigheid en meer nadruk op beheersmaatregelen. Een grote hoeveelheid resterende risico’s (waartegen nauwelijks maatregelen te treffen zijn, maar die (financiële) impact kunnen hebben) kan op haar beurt leiden tot aanpassing van de risicobereidheid. Helder omschreven risk appetite helpt dus bij het maken van keuzes en afwegingen en maakt het gemakkelijker om in lijn met de organisatie te handelen en op risico’s te reageren.

In de praktijk blijkt risk appetite een weerbarstig en complex onderwerp dat niet gemakkelijk concreet is vast te stellen. Wat acceptabele risico’s zijn, wordt onder andere bepaald door onze doelen en ambities, onze weerstandscapaciteit en door de aard van de risico’s die we lopen. Ook heersende opvattingen, waarden, normen, cultuur en risicohouding van de top spelen een rol, net als eerdere ervaringen en omgevingsfactoren. Het belangrijkst is dan ook dat we bewust een standpunt innemen over wat de organisatie maximaal aan risico’s kan en wil lopen en dat hierover (steeds opnieuw) het gesprek wordt gevoerd. Sommige organisaties geven uitdrukking aan hun risicobereidheid in één of enkele ‘risk appetite statements’; alles omvattende kwalitatieve uitspraken. Andere organisaties proberen de risicobereidheid uit te drukken in bepaalde (financieel) kwantitatieve normen. Wij zien het (steeds verder) expliciteren van onze risk appetite eerder als een proces met een aantal onderdelen. •

Als overheidsinstelling hebben wij een defensieve risicofilosofie: Wij staan in het algemeen behoudend tegenover risico’s en geven er de voorkeur aan weinig risico’s te lopen. Dat vormt de basis. 14

•

Per (strategische) doelstelling gaan we met elkaar in dialoog over de mate van onzekerheid die we bereid zijn te accepteren, welke afwijkingen acceptabel zijn en in welke mate we bereid zijn gebruik te maken van kansen die wij waarnemen. • Op verschillende niveaus brengen we de risico’s per doelstelling in kaart (zie paragraaf 3.3). De risicokaart geeft een indicatie van de risico’s waarop wij maatregelen verwachten aan de hand van kans en impact, maar dit kan per geval verschillen. De risicokaart geeft aanleiding tot een gesprek over risicoacceptatie t.a.v. de specifieke doelstellingen. • Via de voorgaande punten komen wij steeds meer tot richtinggevende uitspraken over onze risicobereidheid en risicotoleranties op verschillende vlakken. Voorbeelden: Risico’s op het gebied van fraude en misbruik, veiligheid of compliance (voldoen aan wetgeving) willen wij absoluut vermijden. • We besteden aandacht aan relevante normen, signaalwaarden en risicobuffers voor risico’s die kwantificeerbaar zijn. We hanteren bijvoorbeeld een weerstandsratio tussen de 1 en 1.4 (zie hoofdstuk 5). • In onze besluitvorming met betrekking tot strategische onderwerpen maakt risicobereidheid een integraal onderdeel van de overwegingen uit. Daarnaast zal duidelijk moeten zijn welke risico’s wanneer, op welke manier en op welk niveau dienen te worden gerapporteerd.

Ook met betrekking tot risk appetite gaat het om een proces van continu verbeteren. Hier liggen ontwikkelopgaven. 4.2 Inzet van beheersmaatregelen Binnen de geformuleerde risk appetite maken we keuzes voor strategie en beheersing. In dit proces staat de vraag centraal op welke manier een bepaald risico beïnvloedbaar is en om welke bijbehorende maatregelen dit vraagt. Dit hangt mede af van het type risico. Deze types kwamen eerder aan de orde in paragraaf 2.1. De grafiek in figuur 4.1 onderkent, afhankelijk van impact en beïnvloedbaarheid, drie typen risico’s4:

Figuur 4.1 indeling naar impact en beïnvloedbaarheid

Bij interne te voorkomen risico’s zijn beheersmaatregelen gericht op actieve preventie en op ‘verdedigingslinies’. Voorbeelden zijn het ontwikkelen en checken van processen, regels, procedures, waarden en het uitvoeren van interne controles. Maatregelen moeten vooral kosteneffectief zijn. Er dient gewaakt te worden voor te veel regeldruk. Strategische risico’s worden bewust en vrijwillig genomen om bepaalde doelen te bereiken. Interactieve discussies en terugkerende dialogen zijn nodig om risico’s en rendement tegen elkaar af te wegen. Riskmapping, scenario’s en het signaleren van risico-indicatoren zijn daarbij instrumenten. Indien voor bepaalde risico’s gekozen wordt, worden waar mogelijk maatregelen geformuleerd om de kans van optreden te verkleinen en/of mogelijke impact te beperken. Externe risico’s zijn nauwelijks beïnvloedbaar. Wel kan worden geanticipeerd op de mogelijke gevolgen. Daarvoor zijn in de eerste plaats identificatie en alertheid van belang. Interactieve discussies, dialogen en 4

Kaplan, R. S. and A. Mikes. 2012. Managing risks: A new framework. Smart companies match their approach to the nature of the threats they face. Harvard Business Review (June): 48-60

15

scenarioplanning helpen daarbij. Monitoring, stress testing, het creëren van voldoende flexibiliteit en weerstandsvermogen en het treffen van voorzorgsmaatregelen zijn voorbeelden van maatregelen om de organisatie voor te bereiden en mogelijke impact te beperken. Een risico kan zelden worden beheerst met één enkele maatregel. Zoals we zagen heeft een risico namelijk meestal meerdere oorzaken en gevolgen (zie figuur 3.3). Maatregelen grijpen hierop in en sluiten erop aan. Doel is dus om tot een optimaal pakket aan maatregelen te komen, waarin maatregelen op tactisch én op operationeel niveau gecombineerd worden en dat bestaat uit zowel hard als soft controls, zoals ook beschreven staat in de Visie op control: •

•

Hard controls zijn te definiëren als meetbare afspraken en richtlijnen waarvan kan worden vastgesteld of deze wel/niet zijn nageleefd. Het meten van deze controls is vaak objectief omdat het afgesproken spelregels binnen de organisatie zijn: o Normen, metingen en rapportages o Richtlijnen, processen en procedures o Handboeken en werkinstructies o Gedragscodes o Wetgeving o Risicolimieten o Beheersingssystemen Soft controls zijn op te vatten als maatregelen die van invloed zijn op de motivatie, loyaliteit, integriteit, inspiratie en normen en waarden van medewerkers. Soft controls zijn ten opzichte van hard controls meer ingrijpend op het persoonlijk functioneren van de medewerkers: o Risicobewustzijn o Integriteit en respect o Vertrouwen en communicatie o Betrokkenheid o Transparantie o Toon aan de top en voorbeeldgedrag o Kennis en vaardigheden o Beloningen en handhaving

Inschatting van de effectiviteit en de kosten van maatregelen moeten meewegen in het vaststellen van (pakketten aan) maatregelen. Het werken met bruto en netto waarden helpt daarbij: Voor sommige risico’s zijn niet of nauwelijks (effectieve of betaalbare) maatregelen te treffen. Andere risico’s kunnen door maatregelenpakketten geheel of gedeeltelijk worden afgedekt. Een risico heeft daarom altijd een bruto waarde (voor de maatregel) en een netto waarde (na de maatregel). Bij het accepteren van een risico is de netto waarde gelijk aan de bruto waarde. Resterende risico’s zijn risico’s voor zover ze niet door maatregelen worden afgedekt. Voor resterende risico’s met substantiële, financiële impact wordt in de begroting een buffer aangehouden; de zogenoemde weerstandscapaciteit. In hoofdstuk 5 gaan we hier verder op in.

16

Beheersen van frauderisico’s In hoofdstuk 3 werden de verschillende aspecten bij het ontstaan van fraude behandeld. Deze vormen met elkaar de zogeheten fraudedriehoek. De verschillende aspecten vragen om verschillende beheersmaatregelen.

Figuur 4.2 de fraudedriehoek

Gelegenheid: De gelegenheid om fraude te plegen, reduceren wij door de inrichting van een adequate administratieve organisatie en interne controle (AO/IC): • We hanteren een degelijke scheiding van functies, met name op financieel gebied. Technische functiescheiding komt aan de orde bij het inrichten van werkprocessen en bij de controle hierop. • Heldere taken, bevoegdheden en verantwoordelijkheden worden toegewezen aan personen die de competenties hebben om deze taken naar behoren te kunnen uitvoeren. • Autorisaties in systemen worden toegekend op basis van bevoegdheden en verantwoordelijkheden. Rechten zijn vastgelegd in autorisatietabellen. Identificatie (gebruikersnamen) en authenticatie (wachtwoorden) zijn passend ingericht. • De kans op ontvreemding wordt ingeperkt door fysieke waarborgen (zoals afgesloten kasten en magazijnen). Rationalisatie: De kans op het rechtvaardigen of goedpraten van wangedrag of het plegen van fraude verminderen we door gedegen aandacht voor ethisch en integer handelen: • In de Regeling integriteit wordt de gedragscode en het integriteitsbeleid beschreven. Het management draagt dit beleid actief uit en geeft het goede voorbeeld. • We stimuleren het melden van misstanden, onder andere via de Regeling melden vermoeden misstanden.

Motivatie/ druk: Er is oog voor individuele werknemers en de druk die zij mogelijk vanuit hun werk of hun privéleven ervaren: • We investeren in coachend leiderschap, zodat hoofden en teamleiders weten wat er speelt en werknemers motiveren, begeleiden en ondersteunen. • In resultaatgerichte dialogen is meerdere malen per jaar aandacht voor functioneren en benodigde kennis en vaardigheden. Bij onvoldoende competenties worden ontwikkelmogelijkheden geboden. • Begeleiding door vertrouwenspersonen, bedrijfsarts/arbeidsdeskundige of een externe coach is (afhankelijk van de situatie) beschikbaar. • In sollicitatieprocedures vragen we actief referenties op. Oog voor de volledigheid, navolging en effectiviteit van de beheersmaatregelen is een ontwikkelopgave.

17

4.3 Invoer in NARIS Nadat de geïdentificeerde risico’s geanalyseerd, geprioriteerd en gekwantificeerd zijn, worden zij samen met de beheersmaatregelen in het softwareprogramma NARIS ingevoerd. NARIS is een instrument van het Nederlands Bureau voor risicomanagement, ontwikkeld vanuit de risicomanagementpraktijk om risicomanagement effectief toe te passen en te verankeren in de organisatie. Deze risicomanagementsoftware geeft inzicht in de risico’s, hoe zij het beste aangepakt kunnen worden en welke risico’s prioriteit hebben. Momenteel gebruiken we NARIS met name voor financiële risico’s in het kader van de berekening van de benodigde weerstandscapaciteit. NARIS maakt het door middel van een zogenoemde Monte Carlo simulatie mogelijk om een betrouwbare schatting te maken van het totale financiële effect van alle risico’s, die zich uiteraard nooit allemaal tegelijkertijd in volle omvang voordoen. Via de simulatie wordt een analyse gemaakt van het benodigde vermogen om financiële tegenvallers op te vangen, zonder dat hiermee de continuïteit van de organisatie in gevaar komt. De ambitie is te komen tot een integraal volgsysteem voor risico’s, waarin ook risico’s zonder (alleen) financiële gevolgen worden opgenomen. Met name van de bijdrage die dit systeem kan leveren aan het daadwerkelijk beheersen van risico’s willen we optimaal gebruik maken. Dit is een ontwikkelopgave.

18

5. Bepalen van het weerstandsvermogen In paragraaf 4.2 zagen we dat niet alle risico’s (volledig) door beheersmaatregelen worden afgedekt. Voor zover risico’s worden geaccepteerd of niet kunnen worden beperkt is er sprake van resterende risico’s. Dit zijn risico’s die meestal: • Niet of nauwelijks beïnvloedbaar zijn en hoofdzakelijk tot externe risico’s behoren; • Voornamelijk een incidenteel karakter hebben; • Een positief of negatief effect kunnen hebben op de doelen of de financiële positie; • Een onzekere omvang hebben en niet goed te kwantificeren zijn. Voor resterende risico’s met mogelijke financiële impact houden we in de begroting weerstandscapaciteit aan, zodat substantiële, onvoorziene tegenvallers kunnen worden opgevangen. De weerstandscapaciteit vormt dus een buffer die ervoor zorgt dat bij het optreden van resterende risico’s niet direct bezuinigd hoeft te worden. De financiële draagkracht van de gemeente bij dergelijke tegenvallers wordt inzichtelijk gemaakt door het weerstandsvermogen. In dit hoofdstuk gaan we in op de kaders en de beleidsuitgangspunten voor de bepaling van het weerstandsvermogen. 5.1 De termen weerstandscapaciteit en weerstandsvermogen We maken onderscheid tussen beschikbare en benodigde weerstandscapaciteit.

De beschikbare weerstandscapaciteit bestaat uit de middelen en mogelijkheden waarover de gemeente beschikt of kan beschikken om niet begrote, onverwachte, substantiële kosten te dekken zonder dat het beleid of de begroting onmiddellijk gewijzigd moeten worden. Beschikbare weerstandscapaciteit is weer onder te verdelen in: • • • •

Structurele weerstandscapaciteit Incidentele weerstandscapaciteit Direct beschikbare weerstandscapaciteit Latent beschikbare weerstandscapaciteit

De componenten in deze onderverdeling worden inzichtelijk gemaakt in figuur 5.1.5 Voorzieningen behoren tot het vreemd vermogen en worden niet tot de beschikbare weerstandscapaciteit gerekend.

Figuur 5.1 de componenten van de beschikbare weerstandscapaciteit

5

Hier worden de componenten aangehouden uit de ‘Handreiking duale begroting’ van het ministerie van Binnenlandse Zaken en Koninkrijkrelaties.

19

In de afgelopen jaren hebben wij ervoor gekozen om latent beschikbare weerstandscapaciteit niet te gebruiken bij de berekening van het weerstandsvermogen. Stille reserves (bijvoorbeeld door verkoop van bezittingen) worden pas gerekend tot de beschikbare weerstandscapaciteit als er daadwerkelijk een besluit is genomen tot een voorgenomen verkoop. Het inzetten van de onbenutte belastingcapaciteit is sterk afhankelijk van de politieke haalbaarheid van het verhogen van deze belasting en rekenen wij om deze reden niet tot de beschikbare weerstandscapaciteit. De benodigde weerstandscapaciteit is de financiële capaciteit die nodig is om de resterende risico’s te dekken die gevolgen kunnen hebben voor de financiële positie van de gemeente. De benodigde weerstandscapaciteit wordt bepaald door: • • • • • •

De kwaliteit (en volledigheid) van de risico-inventarisatie; De verwachte kans en (financiële) impact van de risico’s De incidentele of structurele aard van het risico De risicobereidheid of acceptatiehouding bij het afdekken van risico’s (‘risk appetite’). De mate waarin risico’s zijn afgedekt door maatregelen Het zekerheidspercentage bij berekening van de benodigde weerstandscapaciteit. Wij kiezen voor een zekerheidspercentage van 90%. Dit percentage geeft op een statistisch verantwoorde wijze aan dat met 90% zekerheid gezegd kan worden dat de benodigde weerstandscapaciteit de risico’s kan afdekken.

Het weerstandsvermogen bestaat uit de verhouding tussen de beschikbare en de benodigde weerstandscapaciteit. Weerstandsvermogen wordt weergegeven in een weerstandsratio: dit kengetal wordt berekend door de beschikbare weerstandcapaciteit te delen door de benodigde weerstandscapaciteit en geeft een indicatie in welke mate de gemeente in staat is om risico’s op te vangen. De weerstandsratio moet steeds voldoende zijn. De normtabel in figuur 5.2 biedt hiervoor een waardering: Weerstandsnorm Waarderingscijfer A B C D E F

Ratio >2,0 1,4-2,0 1,0-1,4 0,8-1,0 0,6-0,8 <0,6

Betekenis uitstekend ruim voldoende voldoende matig onvoldoende ruim onvoldoende

Figuur 5.2 normtabel voor de waardering van het weerstandsvermogen

Wanneer de weerstandsratio onder het niveau van 1,0 komt, zijn aanvullende beheersmaatregelen nodig om de benodigde weerstandscapaciteit te laten dalen. Wanneer dat niet mogelijk is, zal de beschikbare weerstandscapaciteit moeten worden aangevuld. Dit kan door (mogelijke) stille reserves aan te wenden, onbenutte belastingcapaciteit te gebruiken of structurele bezuinigingsmaatregelen voor te stellen. 5.2 De berekening van weerstandscapaciteit De beschikbare weerstandscapaciteit wordt berekend bij ieder P&C-document. De tabel in figuur 5.3 laat zien hoe: Berekening beschikbare weerstandscapaciteit per P&C-document Kadernota

Stand algemene reserve aan eind jaar t-1 (jaarrekening) +/+ bestemd jaarresultaat alg reserve +/+ post onvoorzien aan het begin van het begrotingsjaar +/- mutaties in de algemene reserve lopend begrotingsjaar (incl. begrotingssaldo) +/- mutaties in de post onvoorzien +/- mutaties in algemene reserve meerjarig (Weerstandsvermogen/ratio wordt meerjarig opgenomen)

Begroting

Stand algemene reserve kadernota jaar t +/+ post onvoorzien aan het begin van het begrotingsjaar +/- mutaties in de algemene reserve (incl. begrotingssaldo) +/- mutaties in de post onvoorzien

20

(Weerstandsvermogen/ratio wordt meerjarig opgenomen) Jaarrekening

De stand van de Algemene reserve aan het einde van het jaar +/- bestemd jaarresultaat alg reserve (post onvoorzien zit hier in)

Najaarsnota

Algemene reserve aan het begin van het begrotingsjaar +/+ post onvoorzien aan het begin van het begrotingsjaar +/- mutaties in de algemene reserve (incl. begrotingssaldo) +/- mutaties in de post onvoorzien

Figuur 5.3 de berekening van de beschikbare weerstandscapaciteit per P&C-document

Voor de benodigde weerstandscapaciteit worden risico’s ingevoerd in NARIS. Het softwareprogramma berekent deze op een statistisch verantwoorde manier; zie paragraaf 4.3. Voor de weerstandsratio worden beide getallen vervolgens gedeeld: Weerstandsratio =

Beschikbare weerstandscapaciteit --------------------------------------------Benodigde weerstandscapaciteit

5.3 Monitoring en rapportage Zoals we eerder zagen is risicomanagement een proces dat continu op verschillende manieren en op verschillende niveaus plaatsvindt. Een stap in het proces is om de geanalyseerde risico’s in te (laten) voeren in NARIS en op die manier voor de ingevoerde risico’s de benodigde weerstandscapaciteit te laten berekenen. De kans en de (financiële) impact zijn daarbij momentopnames en kunnen veranderen. Er zal dus steeds gemonitord moeten worden hoe het ervoor staat met risico-indicatoren en begrenzingen, of geformuleerde maatregelen adequaat zijn en of (interne of externe) wijzigende omstandigheden mogelijk om aanpassingen vragen. Door actief risicomanagement en bijbehorende informatievoorziening kunnen risico’s beter worden beheerst, waardoor de benodigde weerstandscapaciteit afneemt en er financiële ruimte ontstaat voor andere doeleinden. Ook is periodieke analyse nodig om in te schatten of de beschikbare weerstandscapaciteit voldoende blijft. In de P&C- cyclus maken we op verschillende momenten inzichtelijk hoe de risico’s er op dat moment voor staan. De paragraaf Weerstandsvermogen en Risicobeheersing is een onderdeel van ieder P&C-document. Het college rapporteert via deze paragraaf aan de eindverantwoordelijke, kaderstellende en controlerende raad.

In de Begroting en de Jaarrekening wordt een uitgebreidere paragraaf opgenomen dan in de Kadernota en de Najaarsnota; zie figuur 5.4. Begroting

Kadernota

Najaarsnota

Jaarrekening

Totaal van de risico’s

x

x

x

x

Top 10 risico’s met grootste impact

x

Nieuw toegevoegde risico’s (>500.000)

x

Stijgers en Dalers (stijging/daling >500.000 of kans toe- of afname)

x

Weerstandsvermogen en weerstandsratio

x

Risico’s per programma

x

Terugblik op beheersing risico’s

x x

x

x x

x

x

x x

Figuur 5.4 uitgebreidheid van rapportages

Wij zijn verplicht om de substantiële risico’s te inventariseren6. Daarom nemen we de 10 (rest)risico’s op die de hoogste bijdrage leveren aan de benodigde weerstandscapaciteit. Deze top 10 houdt de focus op de grootste risico’s.

5.4 Overige kengetallen 6

Artikel 11 BBV

21

De financiële positie van de gemeente laat zich uitdrukken in een aantal actuele kengetallen. Kengetallen zijn getallen die de verhouding uitdrukken tussen bepaalde onderdelen van de begroting of de balans. Ze helpen daarmee bij de beoordeling van de (ontwikkeling van de) financiële positie. Naast de weerstandsratio worden vijf andere kengetallen opgenomen in de paragraaf Weerstandsvermogen en Risicobeheersing7. Voor deze kengetallen is geen normering geformuleerd. Het is de rol van de directie en het college om de toelichting te verzorgen en de rol van de raad om eventuele bijstellingen te verlangen. De vijf kengetallen en wat zij betekenen op een rij (figuur 5.5): Kengetal

Vraagstuk

Normering

Netto schuldquote

Heeft de gemeente een hoge schuld, en hoeveel daarvan is doorgeleend aan derden? De netto schuldquote bestaat dus uit twee ratio’s: zowel in- als exclusief doorgeleende gelden. Heeft de gemeente voldoende eigen vermogen om aan haar financiele verplichtingen te voldoen? Heeft de gemeente relatief veel grond en loopt zij daardoor veel risico? Heeft de gemeente voldoende structurele baten om haar structurele lasten te dekken? Heeft de gemeente relatief veel belastingen en is er ruimte om deze belastingen te verhogen?

Hoe lager deze percentages, hoe beter.

Solvabiliteit Grondexploitatie Structurele exploitatieruimte Belastingcapaciteit

Hoe hoger dit percentage, hoe beter. Hoe lager dit percentage, hoe beter. Hoe hoger dit percentage, hoe beter. Hoe lager dit percentage, hoe beter.

Figuur 5.5 de financiële kengetallen uit het BBV

Een nadere toelichting op de vijf kengetallen in onze gemeente is te vinden in bijlage 1.

7

In 2014 heeft een adviescommissie, onder leiding van Staf Depla, een rapport uitgebracht over de vernieuwing van het BBV. Eén van de wijzigingen betreft het verplicht opnemen van een uniforme basisset financiële kengetallen door gemeenten en provincies. De set van vijf kengetallen is met ingang van de Jaarrekening 2015 opgenomen.

22

6. Uitvoering en monitoring Nadat de beheersmaatregelen zijn bepaald (en de risico’s waar nodig zijn ingevoerd in NARIS) is het tijd om de maatregelen uit te voeren, de risico’s te monitoren en de PDCA- cyclus volledig te doorlopen. Belangrijk daarbij is dat er voldoende informatiestromen zijn die sturing mogelijk maken. Belangrijk is ook dat de taken, bevoegdheden en verantwoordelijkheden helder zijn belegd. Informatievoorziening en organisatie en governance8 behoren tot onze ontwikkelopgaven. In dit hoofdstuk zoomen we in op de verantwoordelijkheids- en bevoegdheidsverdeling binnen het risicomanagement. 6.1 Three lines of defense Risico's lopen we bij het werk dat we doen om bepaalde doelen te bereiken. De medewerkers die dit werk uitvoeren, hebben het beste zicht op de risico's. De verantwoordelijkheid voor een risico ligt op de 1e plaats daar waar de verantwoordelijkheid voor het werk ligt waar het risico betrekking op heeft. Met andere woorden; iedereen is verantwoordelijk voor het signaleren en treffen van maatregelen voor de risico’s die binnen het eigen werkveld vallen. Over (formele) verantwoordelijkheden en ondersteuning daarbij valt echter meer te zeggen. In Control in Praktijk werd het ‘Three lines of defence model’ geïntroduceerd. Dit model zorgt voor een simpele en effectieve manier om verantwoordelijkheden te beleggen ten aanzien van sturen en beheersen.

Voor de rollen en verantwoordelijkheden binnen risicomanagement, sluiten we aan op de drie linies: 1e Line of defense Het management van de afdelingen is primair verantwoordelijk voor de eigen activiteiten inclusief het analyseren van de risico’s en (het benoemen en opvolgen van) de bijbehorende beheersmaatregelen. In de praktijk betekent dit dat afdelingshoofden de taken die samenhangen met de uitvoering van risicomanagementprocessen op de eigen afdeling helder bij één of meerdere personen zullen moeten beleggen. Deze personen zijn (onder eindverantwoordelijkheid van het afdelingshoofd) er verantwoordelijk voor dat de afdelingsrisico’s tijdig worden geïnventariseerd, geanalyseerd, dat de beheersmaatregelen worden uitgevoerd en dat het gehele proces wordt gemonitord. Hiervoor werken zij in NARIS. 2e Line of defense In de 2e lijn werken de adviseurs van de eigen afdeling (businesscontrollers) en van de ondersteunende afdelingen (Bedrijfsvoering en Concernstaf) die zich bezighouden met risicomanagement. Deze adviseurs zijn verantwoordelijk voor de implementatie en doorontwikkeling van de integrale risicoaanpak, inclusief de ondersteunende software. Zij ondersteunen de 1e lijn, reiken handvatten aan, verzorgen trainingen en hebben een aanjagende en motiverende functie.

Zij rapporteren onafhankelijk aan de Raad, het college, de rekenkamer en overige opdrachtgevers en toezichthouders. De bewaking van een uniform, compleet en duidelijk risicoprofiel ligt in de 1e lijn. In de praktijk betekent dit o.a dat de 2e lijn de 1e lijn periodiek zal vragen te rapporteren over de eigen risico’s en maatregelen. Vanuit de 2e lijn wordt vervolgens aan het college gerapporteerd over de resterende risico’s en de gevolgen voor het weerstandsvermogen in de verschillende P&C-documenten. De inhoudelijke verantwoordelijkheid voor het risicomanagementbeleid en kwalitatief sterke ondersteunende rol vanuit de 2e lijn vragen om coördinatie en specialisatie. 3e Line of defense Auditoren in de 3e lijn zorgen via toetsing en controles voor inzicht in de opzet en werking van de afgesproken beheersmaatregelen zoals deze door de 1e lijn worden uitgevoerd. Zij hebben een rapportagelijn naar het bestuur en de externe accountant en een adviesrol om risicomanagementprocessen te verbeteren.

In figuur 6.1 wordt één en ander samengevat: 8

Governance is het waarborgen van de onderlinge samenhang van de wijze van sturen, beheersen en toezicht houden van een organisatie, gericht op een efficiënte en effectieve realisatie van doelstellingen, alsmede het daarover op een open wijze communiceren en verantwoording afleggen ten behoeve van belanghebbenden’ (Ministerie van Financiën in Scheepstra, 2004)

23

Figuur 6.1 de three lines of defense

6.2 Overzicht per processtap Eerder hebben we het risicoproces in stappen opgedeeld (zie figuur 1.2): Identificatie

Beoordeling kans& impact

Prioritering

Bepalen maatregelen

Invoer NARIS

Bepalen weerstandsvermogen

Uitvoering/ Monitoring

Per stap (aangevuld met kaderstelling en toetsing) geven we hieronder de verantwoordelijkheden en taken weer. Daarbij nemen we ook de verantwoordelijkheden van raad en college mee. De gemeenteraad draagt immers de eindverantwoordelijkheid. Het college is primair eigenaar van de risico’s en verantwoordt zich aan de raad over de (financiële) rechtmatigheid van zijn handelen en over de wijze waarop met risico’s wordt omgegaan. Bij de onderverdeling sluiten we aan op de Nota Bedrijfsvoering, waarin het college de beleidsuitgangspunten op het gebied van bedrijfsvoering geeft. Kaderstelling en strategie Gemeenteraad College

Gemeentesecretaris

Directie

Vaststelling kaderstelling & strategie waaronder het weerstandsvermogen. Verantwoordelijk voor totstandkoming visie, kaders en strategie voor risicomanagement waaronder paragraaf weerstandsvermogen en beleidsnota risicomanagement. Zorgt voor een goede voorbereiding en uitwerking van besluitvorming en is eindverantwoordelijk voor de aansturing en resultaten van de organisatie. Zorgt ervoor dat risicobewustwording over risico’s gemeentebreed wordt gestimuleerd.

Identificatie en classificatie College Verantwoordelijk voor het identificeren van de toprisico’s. Gemeentesecretaris Adviseert het college bij het identificeren van de toprisico’s en is binnen de ambtelijke organisatie eindverantwoordelijk voor de gestelde prioriteiten en te nemen beheersmaatregelen en de advisering hierover aan het college. Directie Draagt zorg voor een tijdige en adequate risico-identificatie binnen de afdelingen en projecten.