Nota Risicomanagement

Nota Risicomanagement

“Het is een grote kunst om risico’s te vermijden, maar een nog grotere kunst om ze op het juiste moment aan te gaan” Publilius Syrus, Sententiae (1e eeuw v. Chr.)

Inhoudsopgave 1.

Bestuurlijke samenvatting ...............................................................................................................3 Belangrijkste punten: ..........................................................................................................................3

2.

3.

Voorwoord en leeswijzer.................................................................................................................4 2.1

Leeswijzer...............................................................................................................................4

2.2

Toekomstvisie ........................................................................................................................5

Uitgangpunten risicomanagement ..................................................................................................7 3.1

Algemene uitgangspunten .....................................................................................................7

3.2

Wettelijke kaders ...................................................................................................................7

Cyberbeveiligingswet (NIS2-Richtlijn) Gemeentewet......................................................................8 BBV ..................................................................................................................................................8

4.

3.3

Type risico’s ............................................................................................................................8

3.4

Definities ................................................................................................................................9

Systeem van risicomanagement ....................................................................................................10 4.1

Sturing op bestuurlijke doelen .............................................................................................10

4.2

Weerstandscapaciteit en weerstandsvermogen..................................................................10

Financiële verordening ..................................................................................................................11

5.

4.3

Periodieke update financiële risico’s ...................................................................................11

4.4

Rapportage grote projecten .................................................................................................11

4.5

ISMS .....................................................................................................................................12

Rollen en verantwoordelijkheden .................................................................................................12 Wanneer ............................................................................................................................................13

6.

Bronnen .........................................................................................................................................13

Nota Risicomanagement gemeente Rheden

2

1.

Bestuurlijke samenvatting

De Nota Risicomanagement van de gemeente Rheden beschrijft het beleid en de aanpak voor het beheersen van risico’s die de uitvoering van gemeentelijke doelen kunnen verstoren. Het doel van risicomanagement is het waarborgen van een effectieve en efficiënte bedrijfsvoering, door onzekerheden, kansen en bedreigingen vroegtijdig te identificeren en te beheersen.

Belangrijkste punten: 1. Uitgangspunten risicomanagement: o o

o

Risicomanagement is een continu proces dat wordt toegepast bij besluitvorming en het uitvoeren van gemeentelijke taken. Het doel is om vooraf risico’s te identificeren, deze te wegen en beheersmaatregelen te formuleren om zo een redelijke mate van zekerheid te bieden dat beleidsdoelen worden gerealiseerd. Er wordt onderscheid gemaakt tussen verschillende soorten risico’s, zoals financiële, juridische en informatiebeveiligingsrisico’s.

2. Systeem van risicomanagement: o

o o

o

De gemeente richt zich op het sturen op bestuurlijke doelen. Dit houdt in dat risico’s worden gekoppeld aan deze doelen en er waar mogelijk meetbare indicatoren zijn om het succes te evalueren. Het weerstandsvermogen en de weerstandscapaciteit worden regelmatig beoordeeld, waarbij de gemeente streeft naar een balans tussen beschikbare middelen en risico’s. Voor grote projecten wordt specifiek gerapporteerd over risico’s met een focus op planning, kwaliteit en budget. Deze rapportages helpen bij het bewaken van grote risico’s die zich kunnen voordoen in omvangrijke projecten. We gebruiken een Information Security Management System (ISMS) om de informatiebeveiliging te waarborgen.

3. Rollen en verantwoordelijkheden: o o o

De gemeenteraad stelt de kaders voor risicomanagement vast, bepaalt de bestuurlijke doelen en stelt het gewenste weerstandsvermogen vast. Het college is verantwoordelijk voor de uitvoering van het risicomanagementbeleid en rapporteert hierover aan de raad. Directie en management zijn verantwoordelijk voor de implementatie van risicomanagement binnen hun afdelingen en zorgen ervoor dat er bewust wordt omgegaan met risico’s binnen de gehele organisatie.

De nota biedt daarmee een overzicht van de huidige werkwijze en legt de basis voor een systematische aanpak om risico’s te beheersen, gericht op het continu verbeteren van de gemeentelijke bedrijfsvoering.

~ Deze samenvatting is automatisch gegenereerd met Chat GPT ~

Nota Risicomanagement gemeente Rheden

3

2.

Voorwoord en leeswijzer

Wij willen onze beleidsdoelstellingen realiseren met een optimale inzet van middelen. Hierbij is het van belang om risico’s die de realisatie van doelen en taken kunnen verstoren, in beeld te hebben en te beheersen. De complexiteit van projecten waar gemeenten aan deelnemen, de veranderende rol van gemeenten in de maatschappij, de knellende rijksbijdrage en ingrijpende wijzigingen in wet- en regelgeving dwingen tot een groter risicobewustzijn. In dit kader is het van belang om zicht te hebben en te houden op de risico’s die zich manifesteren bij de uitvoering van gemeentelijke taken en om daarbij passende maatregelen te treffen. Risicomanagement is een instrument dat wij inzetten om grip te krijgen op onzekerheden, kansen en bedreigingen. Het helpt ons te zorgen dat de bedrijfsvoering van onze gemeente (in de brede zin) bijdraagt aan de realisatie van beleidsdoelstellingen, zodanig dat er geen grote onverwachte verrassingen zullen optreden. Er zullen altijd onzekerheden, kansen en bedreigingen op ons pad komen; het gaat erom dat we zoveel mogelijk vooraf scherp hebben wat de risico’s zijn, zodat we snel bij kunnen sturen als ze optreden. Risico’s kunnen zowel negatief (bedreigingen) als positief (kansen) zijn. We beschouwen risico’s niet als iets vervelends dat zoveel mogelijk moet worden voorkomen, maar als iets waar je bewust mee om moet gaan.

Beleid maken en uitvoeren gaat nou eenmaal gepaard met risico’s nemen. Onze aanpak voor risicomanagement is één van de instrumenten vanuit de Rhedense visie op control, dat zich richt op kernwaarden, kaders, tussentijdse sturing en bijsturend & lerend vermogen. Kernwaarden Wat motiveert ons? Wat is gewenst gedrag?

Kaders Wat spreken we af? ë om te voorkomen dat we iets doen wat niet wenselijk is

Bijsturend & lerend vermogen Hoe reageren we op onzekerheden, kansen en bedreigingen?

Sturing Waar sturen we op? Wat meten we? Zijn we effectief en efficiënt?

Afbeelding 1: Raamwerk Rhedense visie op control

Deze nota risicomanagement geeft een toelichting op wat wij onder risicomanagement verstaan en hoe we het toepassen binnen de gemeente Rheden. Het beschrijft de huidige situatie en start vanuit de Rhedense visie op control die geënt is op blijven verbeteren. Blijven verbeteren vraagt een cultuur waar je fouten mag maken; waar je het probleem “aanvalt” en niet het individu. Wij zien risicomanagement als een instrument om met onzekerheden, kansen en bedreigen om te gaan; en daarnaast ook een manier om potentiële verbeteringen in kaart te brengen en te prioriteren.

2.1

Leeswijzer

In deze nota beschrijven we achtereenvolgens: ✓ De uitgangspunten voor risicomanagement (beleid) ✓ Systeem van risicomanagement (toepassing) ✓ Rollen en verantwoordelijkheden (governance) Nota Risicomanagement gemeente Rheden

4

2.2

Toekomstvisie

Deze nota is een beschrijving van de toepassing van risicomanagement binnen de gemeente Rheden op het moment van schrijven. Het accent ligt daarmee bewust op wat we de afgelopen jaren hebben neergezet. Hiermee creëren we een gemeenschappelijk fundament waarop we door kunnen bouwen. Desondanks is het ook waardevol inzicht te bieden in de stappen die wij in de toekomst op het gebied van risicomanagement willen zetten. Voor de komende periode zien wij het voldoende ontwikkelpotentieel: •

Strategisch risicomanagement op de bestuurlijke en organisatieopgaven Met het vastleggen van de bestuurlijke ambitie in beleidsdocumenten en de programmabegroting inclusief het op hoofdlijnen vastleggen van de risico’s die deze ambitie in de weg staan, hebben we een start gemaakt met strategisch risicomanagement. Dit is een mooie start. Tegelijkertijd is er ook het besef dat het daadwerkelijk bepalen van de risico’s een meer uniforme en systematische aanpak vraagt. Een aanpak die ook ervaring en training vraagt. Een mooie kans voor verdere ontwikkeling.

•

Integraal risicomanagement Een interessante uitdaging bij een organisatie met veel producten en diensten, waarbij de kennis op verschillende plekken en niveaus in de organisatie ligt, is om de informatie op het juiste moment samen te brengen. Integraal risicomanagement helpt daarbij. Nut en noodzaak voor integraal risicomanagement is gelegen in een tweetal basisprincipes; enerzijds het voldoen aan wet- en regelgeving (conformance) en anderzijds het creëren van toegevoegde waarde (performance) [Claassen, 2009]. Onze aanpak op risicomanagement, zoals beschreven in deze nota, is geïnitieerd vanuit verschillende aanleidingen, deels gedreven vanuit wet- en regelgeving en deels vanuit ambitie. De aanpak die we hanteren kan daardoor per onderdeel verschillen, in plaats van dat we een uniforme methode hanteren (bijvoorbeeld de RISMAN-cyslus [van Well Stam et all, 2021]). Dat is niet per se verkeerd, maar een meer integrale aanpak kan tot meer synergie en effect leiden. Een stap die we willen zetten is om tot een overkoepelende, integrale aanpak te komen, waarbij we de samenhang die nu vooral te vinden is in de uitgangspunten, verder uitbreiden om te komen tot een holistische aanpak, waarin wet- en regelgeving en toegevoegde waarde samenkomen.

Het beoogde doel is om risicomanagement onderdeel te laten zijn van het dagelijks handelen, waarbij men bewust op zoek is naar de mogelijke risico’s, een link legt met de (strategische) doelstellingen en deze risico’s op een effectieve manier probeert te beheersen. We zoeken hierbij aansluiting op de aanpak die we voor de rechtmatigheidsverantwoording hebben ontwikkeld.

•

Vastlegging in processen Gemeenten moeten steeds meer aantoonbaar maken dat ze in control zijn op procesrisico’s. Of het nu gaat om de rechtmatigheidsverantwoording, informatieveiligheid (BIO) of de AVG. Vanuit de diverse initiatieven zijn we hiermee al gestart, maar onze ambitie is nog niet bereikt. Uiteindelijk willen we nog meer systematisch procesrisico’s in beeld brengen, expliciet vastleggen in een tool en afspraken maken over het actueel houden hiervan. In deze tool kunnen we dan tevens de voortgang en uitkomsten van interne controles vastleggen en

Nota Risicomanagement gemeente Rheden

5

rapporteren. Deze werkwijze stelt ons uiteindelijk in staat om inzicht te geven in de mate waarin we in control zijn op procesrisico’s en de basis te leggen voor een risicoregister. Deze voornemens worden meegenomen in een nieuwe aangevulde versie van deze nota risicomanagement.

Nota Risicomanagement gemeente Rheden

6

3.

Uitgangpunten risicomanagement

Risicomanagement is het continue en systematische proces in een organisatie waarbij risico’s worden geïdentificeerd en op waarde worden geschat om vervolgens, aan de hand van de kans van het optreden en de gevolgen, zo nodig beheersbaar worden gemaakt. Risicomanagement en “in Control” gaan hand in hand. Eén van de definities die wij hanteren in onze visie op control: Bij ‘in control’ zijn gaat het om de balans tussen risico en beheersing. De norm die gehanteerd wordt, is door het management, college en raad bepaald en hangt af van de hoogte van de kosten die leiden tot het tot op bepaalde hoogte in control zijn. Risicomanagement is daarmee een afweging, waarbij het belangrijk is inzicht te hebben in de risico’s die we als gemeente lopen. Als gemeente leveren we veel producten. De kennis van de risico’s is daardoor versnipperd binnen de organisatie. Dit maakt het belangrijk om deze kennis samen te brengen; het vraagt een gemeenschappelijke werkwijze, ook wel een ‘systeem’ genoemd. De uitwerking hiervan leest u terug in hoofdstuk 4 Systeem van risicomanagement. Elk traject begint bij het creëren van een gezamenlijke uitgangspositie en taal. Voordat we de stap maken naar de werkwijze, is het belangrijk om stil te staan bij de uitgangspunten die aan de basis liggen en de definities die van belang zijn.

3.1

Algemene uitgangspunten ✓ Risicomanagement is een continu proces dat helpt om keuzes te maken. We passen risicomanagement toe bij beslissingen die we nemen. We brengende risico’s in kaart, wegen ze en leggen beheersingsmaatregelen vast, zodat er meer zekerheid bestaat dat onze doelen worden gerealiseerd. ✓ Risicomanagement is van iedereen: o Uitgangspunt is controle vooraf, waarbij de controle achteraf het sluitstuk vormt. o Organisatieafdelingen zijn zelf verantwoordelijk. o Bewustzijn op risico’s is meer en meer belangrijk. ✓ We richten risicomanagement zoveel mogelijk systematisch in: Risico’s worden continu en op gestructureerde wijze zo expliciet mogelijk in beeld gebracht. ✓ Er is bereidheid om in gesprek te gaan over de aanwezige risico’s en de acceptatiegraad voor deze risico’s. ✓ De realiteit is dat niet alle risico’s op voorhand kunnen worden ingeschat. Alle risico’s afdekken is (financieel) onmogelijk. We gaan voor een redelijke mate van zekerheid. ✓ Onze inschatting van risico’s richt zich op zowel kans als (financiële) impact. Deze inschatting wordt door de inhoudelijke deskundige gemaakt. ✓ We houden een weerstandscapaciteit aan om de restrisico’s financieel af te dekken. Deze wordt op basis van de grootste financiële risico’s bepaald. De gewenste weerstandscapaciteit wordt door het bestuur bepaald aan de hand van een aantal financiële ratio's.

3.2

Wettelijke kaders

Voor risicomanagement hebben wij te maken met de volgende wettelijke kaders: • • •

Gemeentewet Besluit Begroting en Verantwoording provincies en gemeenten (BBV) De Baseline Informatiebeveiliging Overheid 2.0 (BIO)

Nota Risicomanagement gemeente Rheden

7

Cyberbeveiligingswet (NIS2-Richtlijn) Gemeentewet In artikel 189 van de Gemeentewet staat dat de gemeenteraad erop toeziet dat de begroting structureel en reëel in evenwicht is. Hiervan mag afgeweken worden als het aannemelijk is dat het structureel en reëel evenwicht in de begroting in de eerstvolgende jaren tot stand zal worden gebracht. De provincie ziet hierop toe. Hiervoor richt de toezichthouder zich op de financiële positie van gemeenten en vraagt ook naar het gemeentelijk beleid over risicobeheersing en weerstandsvermogen. BBV In het BBV staan de verslaggevingsvoorschriften voor gemeenten en provincies. Deze voorschriften gelden voor de begroting en voor de jaarrekening. In artikel 9 en artikel 26 van het BBV is bepaald dat er in de begroting en het jaarverslag een paragraaf Weerstandsvermogen moet worden opgenomen. De specifieke vereisten zijn te vinden in Artikel 11 van het BBV. BIO In lijn met de Baseline Informatiebeveiliging 2.0 (BIO 2.0) is het noodzakelijk dat onze organisatie een Information Security Management System (ISMS) ontwikkelt. Dit ISMS beheert informatiebeveiligingsrisico's. Om deze risico's adequaat te beheersen, dient risicomanagement te worden geïmplementeerd op basis van de ISO 27001-norm.

Deze aanpak stelt ons in staat om risico's systematisch te identificeren, te evalueren en te mitigeren, waardoor we niet alleen de beveiliging van onze informatie waarborgen, maar ook voldoen aan de groeiende compliance-eisen. Cyberbeveiligingswet De verplichting voor risicomanagement komt voort uit de NIS2-richtlijn en de Nederlandse Cybersecuritywet, die beide zijn ontworpen om de cybersecurity-niveaus in de Europese Unie te verhogen. De NIS2-richtlijn vereist dat lidstaten ervoor zorgen dat organisaties die vitale en belangrijke diensten leveren, een gestructureerde aanpak hanteren voor risicomanagement. Dit omvat het identificeren, evalueren en mitigeren van risico's die de veiligheid van netwerken en informatiesystemen kunnen bedreigen.

3.3

Type risico’s

Risicomanagement raakt zowel de financiële als de niet financiële risico’s. We onderscheiden de volgende categorieën waarbij we ons in deze nota beperken tot de interne risico’s: • • • •

Financiële risico’s (Informatie)Beveiligingsrisico’s Juridische risico’s Politieke risico’s

Deze categorieën zijn niet uitsluitend, een risico kan bijvoorbeeld zowel een juridische als een financiële consequentie hebben. Daarnaast is het gebruikelijk om onderscheid te maken in strategisch risicomanagement en procesrisicomanagement. Dit onderscheid is van belang omdat het verschillende instrumentarium vraagt. [Claassen, 2009]

Nota Risicomanagement gemeente Rheden

8

3.4

Definities

Begrip Risico

Restrisico Beschikbare weerstandscapaciteit Benodigde weerstandscapaciteit Stille reserve

Definitie Het mogelijk optreden van een (on)gewenste of ongeplande gebeurtenis in de toekomst, waarvan de gevolgen het bereiken van resultaten en of doelstellingen geheel of gedeeltelijk beïnvloeden. Kans dat een gebeurtenis plaatsvindt x het gevolg van die gebeurtenis Resterende impact van het risico nadat de eventuele beheersingsmaatregelen zijn toegepast. Het vermogen dat aanwezig is om financiële tegenvallers (risico’s) op te kunnen vangen. De financiële middelen die nodig zijn om niet begrote financiële tegenvallers (risico’s) af te dekken. Positief verschil tussen de marktwaarde en de waarde waarvoor een object in de boeken staat (boekwaarde(meestal de historische kostprijs)). Daarbij wordt wel rekening gehouden met of de zogenaamde boekwinst op korte termijn door middel van verkoop gerealiseerd kan worden. Omdat onze stille reserves nog hoofdzakelijk bestaan uit maatschappelijk vastgoed en strategische grondposities willen en kunnen we deze niet meer liquide maken in geval van nood. Daarom tellen de stille reserves vanaf deze nota niet meer mee als beschikbare weerstandscapaciteit.

Nota Risicomanagement gemeente Rheden

9

4.

Systeem van risicomanagement

In dit hoofdstuk leest u terug hoe wij risicomanagement concreet toepassen binnen de gemeente Rheden. We maken daarbij onderscheid in een aantal onderdelen en instrumenten.

4.1

Sturing op bestuurlijke doelen

Het rekenkameronderzoek naar de programmabegroting Rheden “naar een betere sturing op de toekomst” markeerde in 2021 de start van een project gericht op de doorontwikkeling van de programmabegroting. Het doel van dit project was en is als volgt: 1. 2.

De begroting [en andere P&C documenten] beter leesbaar en meer consistent maken. De Raad helpen om beter te sturen aan de hand van de begroting.

Een belangrijke aanpassing is dat de begroting wordt opgebouwd aan de hand van doelen en resultaten. Een doel beschrijft de bestuurlijke ambitie, wat we beogen te bereiken. Dit is belangrijk, want het is lastig om te sturen als je niet weet waar je heen wilt. Daarbij is elk doel meer concreet gemaakt aan de hand van één tot maximaal 3 indicatoren. Indicatoren geven antwoord op de vragen: Hoe bepalen we of we dit bereikt hebben? Wanneer zijn we succesvol? Waar willen we op monitoren? Daarnaast wordt per doel opgenomen wat de belangrijkste risico’s zijn die het bereiken van dit doel in de weg staan. Hierbij wordt geen onderscheid gemaakt in de risicotypen. In de praktijk ligt de focus op de financiële risico’s. De vorm waarin de begroting wordt gepresenteerd wordt consistent toegepast voor de andere P&C documenten: de eerste bestuursrapportage, de tweede bestuursrapportage en de jaarstukken. In deze documenten wordt gerapporteerd over de doelen zoals opgenomen in de programmabegroting. Door de sturing te verbinden aan de bestuurlijke P&C cyclus wordt het inzicht systematisch geactualiseerd en wordt gelijktijdig de gemeenteraad geïnformeerd.

4.2

Weerstandscapaciteit en weerstandsvermogen

Om te kunnen beoordelen hoe de gemeente Rheden er financieel voorstaat, is het van belang om inzicht te hebben in de financiële positie en de financiële weerbaarheid (welke mogelijkheden zijn er in financieel moeilijke tijden). Het weerstandsvermogen geeft aan in hoeverre wij in staat zijn om mogelijke tegenvallers (de risico's) op te vangen zonder dat de uitvoering van het beleid in gevaar komt. Informatie over risico’s en weerbaarheid wordt ontsloten via de reguliere planning & control cyclus. In de paragraaf Weerstandsvermogen en risicobeheersing in de programmabegroting en in de jaarstukken wordt inzicht gegeven in de financiële risico’s. Daarbij is ook aandacht voor de beheersingsmaatregelen en de mate waarin de gemeente in staat is deze financieel op te pakken. Met behulp van financiële kengetallen, die betrekking hebben op de balans en de begroting, geven wij een beeld van onze financiële positie. Voor de beoordeling of een kengetal matig of goed is sluiten wij aan bij de richtlijnen van onze provinciale toezichthouder. Het weerstandsvermogen en de kengetallen zullen altijd in samenhang moeten worden bezien, omdat ze alleen gezamenlijk en in hun onderlinge verhouding een goed beeld kunnen geven van onze financiële positie.

Nota Risicomanagement gemeente Rheden

10

Ons weerstandsvermogen is de verhouding tussen de weerstandscapaciteit en het risicoprofiel en dit vermogen drukken we uit in de weerstandsratio. Om praktische redenen worden alleen de niet geoormerkte budgetten meegenomen voor de bepaling van de weerstandscapaciteit. Dit betreft de optelsom van de risicoreserve, de algemene reserve, het begrotingssaldo van het betreffende jaar en de incidentele begrotingsruimte. Het risicoprofiel betreft het totaal van de gekwantificeerde risico’s. Dit geven we weer in de tabel risico-inventarisatie in de paragraaf weerstandsvermogen. Financiële verordening Op 19 december 2023 heeft de Raad de ‘Financiële verordening gemeente Rheden 2024’ vastgesteld. In de toelichting op artikel 22 (‘Weerstandsvermogen en risicobeheersing’) van die verordening is vermeld welke streefwaarden we daarbij hanteren. Bij het weerstandsvermogen wordt gestreefd naar een weerstandsratio tussen 1,4 en 2,0 dat als 'ruim voldoende' wordt gekwalificeerd. Daarnaast worden de volgende streefwaarden gehanteerd: een solvabiliteit (verhouding eigen vermogen ten opzichte van totaal vermogen) van minimaal 20% en een netto schuldquote (verhouding van de gemeentelijke schuldenlast ten opzichte van het totaal van de baten) van minder dan 130%.

4.3

Periodieke update financiële risico’s

In aanvulling op de bestuurlijke P&C documenten heeft de financiële commissie een rol in het monitoren van de financiële ontwikkelingen en financiële risico’s. In de financiële commissie worden elke twee maanden de ontwikkelingen op de risico’s, zoals opgenomen in de begroting, mondeling toegelicht en besproken. Onderdeel van het gesprek zijn de risico’s die groter of kleiner zijn geworden (kans en impact) plus eventuele nieuwe financiële risico’s.

4.4

Rapportage grote projecten

Voor diverse projecten worden periodiek ‘factsheets’ gemaakt die het inhoudelijke gesprek tussen raad en portefeuillehouder ondersteunen. Daarnaast wordt er in de eerste en tweede bestuursrapportage specifiek gerapporteerd over de ontwikkelingen op grote projecten . Dit noemen we de ‘rapportage grote projecten’. De ‘rapportage grote projecten’ is een afwijkingenrapportage waarbij aandacht is voor de ontwikkelingen op het gebied van planning, kwaliteit en budget. Eventuele afwijkingen worden inhoudelijk toegelicht. Daarnaast worden per groot project de belangrijkste risico’s gerapporteerd en besproken. Een project wordt als ‘groot’ beschouwd, als het voldoet aan de volgende criteria: 1. Het project- of programmabudget is groter dan € 1.000.000,-. 2. Het project heeft een doorlooptijd van meer dan 2 jaar. 3. Het project is gericht op een majeure maatschappelijke ontwikkeling en/of er is kans op imagoschade. De rapportage geeft naast een overzicht van de risico’s per project, ook een overzicht van de top 5 financiële risico’s voor de grote projecten tezamen. Hierbij zijn tevens beheersingsmaatregelen expliciet gemaakt.

Nota Risicomanagement gemeente Rheden

11

4.5

ISMS

Risicomanagement binnen een Information Security Management System (ISMS) speelt een fundamentele rol in het waarborgen van informatiebeveiliging binnen de gemeente Rheden. Dit proces omvat verschillende stappen die ervoor zorgen dat risico's effectief worden beheerd. Allereerst wordt de context vastgesteld, waarbij we de interne en externe factoren, de scope van het ISMS en de verwachtingen van stakeholders in kaart brengen. Vervolgens identificeren we potentiële risico's en waardevolle assets. Deze risico's worden geanalyseerd op basis van hun waarschijnlijkheid en impact, wat helpt bij het prioriteren van de risico's. Na deze analyse evalueren we de risico's in relatie tot onze risicotolerantie normen en bepalen we welke risico's onmiddellijke aandacht vereisen. Voor elk risico stellen we behandelopties vast, zoals vermijden, verminderen, delen of accepteren, en implementeren we de nodige beveiligingsmaatregelen. Het is cruciaal dat risicomanagement een doorlopend proces is, waarbij we continu risico's monitoren en de effectiviteit van onze maatregelen evalueren. Dit zorgt ervoor dat we goed voorbereid zijn op nieuwe dreigingen en dat risicomanagement geïntegreerd is in alle niveaus van het ISMS, wat bijdraagt aan een veilige en betrouwbare informatiebeveiliging binnen de gemeente.

5.

Rollen en verantwoordelijkheden

Raad De gemeenteraad stelt de kaders vast en het college voert het beleid binnen de gestelde kaders uit. Hierbij is het belangrijk dat de kaders waar mogelijk concreet worden gemaakt en dat eenduidig wordt vastgelegd wat de raad hiermee beoogd te bereiken en, eventueel, wat de risicobereidheid is. De raad controleert vervolgens in hoeverre de uitvoering van het beleid door het college binnen de vastgestelde kaders heeft plaatsgevonden en of hierin voldoende rekening is gehouden met risico’s. De verantwoordelijkheid op het gebied van risicomanagement omvat: • • •

Kaderstelling risicomanagement Bepalen bestuurlijke doelen/ strategie en risicobereidheid Bepalen gewenste omvang weerstandsvermogen

College Het college is eindverantwoordelijk voor de gemeentelijke bedrijfsvoering (in de brede zin) en daarmee ook voor risicomanagement. De verantwoordelijkheid richt zich hoofdzakelijk op de gemeentelijke doelstellingen en de risico’s die daarmee gepaard gaan, inclusief de maatregelen om deze risico’s te beheersen. De verantwoordelijkheid op het gebied van risicomanagement omvat: • • • •

Uitvoeren risicomanagementbeleid Rapporteren over uitvoering risicomanagementbeleid Rapporteren over (financiële) risico’s en weerstandsvermogen Faciliteren van de organisatie om risicomanagementbeleid uit te voeren

Nota Risicomanagement gemeente Rheden

12

Directie en management Risicomanagement is onderdeel van algemeen management wat inhoudt dat ‘de lijn’ verantwoordelijk is voor de realisatie van de doelstellingen en de risico’s die hiermee samenhangen. Directie en management zijn er verantwoordelijk voor, dat er bewust wordt omgegaan met risico’s en dat risicomanagement gemeentebreed wordt gestimuleerd. Het gaat hierbij om zowel de ‘harde’ als de ‘zachte’ kant. De afdelingshoofden zijn verantwoordelijk voor de risico’s die zich binnen de afdeling manifesteren en het bepalen van de beheersingsmaatregelen. De concrete invulling verloopt via de gemeentelijke processen. Per proces hebben wij een proceseigenaar benoemd. Deze proceseigenaar is tevens verantwoordelijk voor de beheersing van de risico’s. Directie en management wordt hierbij geholpen door team concerncontrol. Zij onderzoeken periodiek processen op risico’s en beheersingsmaatregelen en helpen de organisatie in risico bewustzijn en het toepassen van de leercirkel via monitoring en toetsing. Elk jaar wordt er een plenaire risicovergadering georganiseerd tussen College en Directie, waarin strategische risico’s in kaart worden gebracht. Het verslag van deze bijeenkomst is input voor de programmabegroting en wordt gedeeld met de Gemeenteraad. De verantwoordelijkheid van directie en management op het gebied van risicomanagement omvat: • o o o

Creëren van randvoorwaarden voor de uitvoering van risicomanagement, waaronder: Risicobewustzijn Kennis van risicomanagement Uitvoering van risicomanagementbeleid in diverse (werk)processen

Wanneer Wie Raad

Wat Vaststellen kaders risicomanagement, weerstandsvermogen en kengetallen Bepalen bestuurlijke doelen

College

Directie

Bespreken top 10 (financiële) risico`s Informeren van raad over belangrijkste bestuurlijke risico’s Informeren over ontwikkeling (financiële) risico’s en projecten Plenaire risicovergadering College met Directie. Sturen op risicobewustzijn

Wanneer Bij grote wijzigingen Bij vaststellen beleid en programmabegroting Bij P&C documenten Bij vaststellen beleid en programmabegroting Elke financiële commissie Voor het zomerreces. Continue en bij inwerken

Tabel 1: Bestuurlijke afstemming

6.

Bronnen

In deze nota risicomanagement zijn de volgende wetenschappelijke bronnen gebruikt: • •

Handboek risicomanagement. Drs. U. Claassen RA RE CIA (2009). Risicomanagement voor projecten. Van Well-Sam, D., Lindenaar, F. Van Kinderen, S. en Van den Bunt, B. (2013).

Nota Risicomanagement gemeente Rheden

13