2024-10-28 Eindrapport Risicomanagement in de gemeente Stichtse Vecht.pdf

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Datum 28 oktober 2024 Versie 3 Auteur(s) Marsha de Vries Shannon Roest Marco Schumm Status Eindrapportage

Risicomanagement in de gemeente Stichtse Vecht

Pagina 1 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Colofon De Rekenkamer van de gemeente Stichtse Vecht bestaat uit drie externe leden en wordt ondersteund door een ambtelijk secretaris. Leden Rekenkamer: Martijn Bakker, Gerth Molenaar (voorzitter), Robert Olieman Secretaris: Jacqueline Willenborg Postadres: Rekenkamer Stichtse Vecht, Postbus 1212, 3600 BE Maarssen e-mail: rekenkamer@stichtsevecht.nl telefoon: 0346-254200

Pagina 2 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Inhoudsopgave Conclusies en aanbevelingen a. Hoofdconclusie b. Deelconclusies c. Aanbevelingen 1. Inleiding 1.1 Aanleiding voor het onderzoek en context 1.2 Probleemstelling en onderzoeksvragen 1.3 Afbakening van het onderzoek 1.4 Aanpak van het onderzoek 1.4.1 Onderzoeksmodel 1.4.2 Onderzoeksmethoden 1.5 Leeswijzer 2. Risicomanagement in het beleid 2.1 Beleid: proces en organisatie 2.2 Evaluatie en herziening van het risicomanagementbeleid 2.3 Risicomanagement en verbonden partijen 3. Risicomanagement in de praktijk 3.1 Risicobewustzijn 3.2 Sturing en beheersing 3.3 Praktijkvoorbeelden 3.3.1 Personeel 3.3.2 Informatiebeveiliging 3.3.3 Onderhoud openbare ruimte 4. Informatievoorziening en de rol van de raad 4.1 Risicomanagement in de P&C-cyclus 4.2 Aandacht van de raad voor risicomanagement 4.3 Risicomanagement volgens raadsleden 5. Bestuurlijke reactie 6. Nawoord rekenkamer Bijlage 1 | Normenkader Bijlage 2 | Bestudeerde documenten Bijlage 3 | Casusonderzoek Casus 1 Personeel Casus 2 Informatiebeveiliging Casus 3 Onderhoud openbare ruimte Bijlage 4 | Respondenten

4 4 4 5 7 7 8 9 9 9 10 11 12 12 13 15 16 16 18 20 20 21 21 23 23 24 24 26 31 32 36 37 37 39 42 47

Pagina 3 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Conclusies en aanbevelingen a.

Hoofdconclusie

Met dit onderzoek wil de Rekenkamer de mate waarin de governance op risicomanagement, de samenwerking tussen risicomanagementfuncties en het risicomanagementproces in de afgelopen vijf jaar adequaat zijn uitgevoerd beoordelen. Door middel van dit oordeel kan aan de raad, het college en de ambtelijke organisatie inzichtelijk worden gemaakt waar eventuele verbeterstappen genomen kunnen worden. De Rekenkamer wil met dit onderzoek bijdragen aan leren en verbeteren binnen de gemeente Stichtse Vecht. In de gemeente Stichtse Vecht is risicomanagement op dit moment nog onvoldoende geborgd en is de invulling van het risicomanagementproces nog te veel afhankelijk van de mate waarin het individu er aandacht aan kan en wil besteden. Dat heeft er onder andere toe geleid dat er geen eenduidig beeld bestaat over wat risicomanagement voor de gemeente Stichtse Vecht betekent en dat er geen eenduidige werkwijze is. Dat maakt dat de organisatie op het gebied van risico’s kwetsbaar is. Uit dit onderzoek is gebleken dat de gemeente Stichtse Vecht in de afgelopen jaren een fundament heeft neergelegd op basis waarvan het risicomanagementproces naar een meer volwassen niveau getild kan worden.

De personele bezetting - met name het management - is gestabiliseerd en de externe inhuur is afgebouwd en de benodigde kennis en instrumenten zijn aanwezig om, met inachtneming van de aanbevelingen uit dit onderzoek, het risicomanagement te professionaliseren.Door het onderwerp steviger te positioneren en in te bouwen in bestaande processen en rollen, kan de organisatie meer grip krijgen op onzekerheden bij interne en externe ontwikkelingen en kan zij beheersmaatregelen treffen om risico’s te beperken. Kortom: de basis is er en de organisatie heeft alles in handen om het risicomanagement te professionaliseren.

b.

Deelconclusies

1. Het risicomanagementbeleid is onvoldoende uitgewerkt. Het meest recente risicomanagementbeleid van de gemeente Stichtse Vecht is vastgesteld in 2017. Het beleid omvat een duidelijke omschrijving van de stappen in het risicomanagementproces, maar is minder specifiek voor wat betreft de verdeling van rollen, taken en verantwoordelijkheden en de wijze waarop de gemeente risicobewustzijn en de dialoog over risico’s en risicomanagement wil stimuleren. De aanpak van risico’s in de processen wordt niet periodiek getoetst en geactualiseerd. 2. Recent is er meer aandacht voor (de borging van) risicomanagement, maar de invulling ervan is deels persoonsafhankelijk. Recent is er binnen de gemeente meer aandacht gekomen voor (de borging van) risicomanagement. Ook lijkt het risicobewustzijn binnen de organisatie toe te nemen. Bij het managen van de gemeentelijke processen, bij het voorbereiden van besluitvorming, bij financiële sturing en bij de afweging van doelen en risico’s in het algemeen is er aandacht voor onzekerheden en de mogelijke gevolgen daarvan. Verschillende ontwikkelingen hebben hieraan bijgedragen, zoals de instroom van nieuwe managers met aandacht voor risicomanagement, een nieuwe opzet voor de begroting, het introduceren van projectmatig werken en het structureel aandacht besteden aan risico’s in college- en raadsvoorstellen.

Desondanks is de invulling en uitvoering van risicomanagement deels persoonsafhankelijk. Er wordt weliswaar (in Pagina 4 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

toenemende mate) invulling gegeven aan risicomanagement, maar niet op eenduidige wijze en gestuurd door het beleid. 3. In dit onderzoek zijn verschillende aangrijpingspunten voor verbetering geconstateerd. Er zijn verbeteringen mogelijk in de wijze waarop de gemeente Stichtse Vecht invulling geeft aan risicomanagement. Dit kan in het bijzonder waar het gaat om het (borgen van het) gesprek over risico’s (de risicodialoog) binnen en tussen de ambtelijke organisatie en het bestuur (college en raad). Ook zijn er verbeteringen mogelijk waar het gaat om het beleggen van rollen, taken en verantwoordelijkheden en het systematisch toetsen/evalueren van de effecten van beheersmaatregelen. De dialoog over rollen maakt hier onderdeel van uit. 4. Raadsleden ervaren de huidige informatievoorziening als onvoldoende tijdig en volledig. De gemeenteraad wordt via de P&C-documenten en via raadsvoorstellen geïnformeerd over risico’s. Hoewel er enkele processen zijn die naar wens van de raad zijn verlopen, beoordelen raadsleden de huidige informatievoorziening als onvoldoende om invulling te kunnen geven aan hun kaderstellende en controlerende rol. Raadsleden geven aan dat zij eerder en vaker door college en ambtelijke organisatie willen worden meegenomen in de risico’s die de gemeente loopt, ook in de risico’s die niet financieel van aard zijn.

c.

Aanbevelingen

Aan de raad 1. Draag als raad het college op om het risicomanagementbeleid te actualiseren. Besteed daarin expliciet aandacht aan de ambities van de gemeente, bijvoorbeeld ten aanzien van het beoogde volwassenheidsniveau en het daarbij behorende tijdpad. Expliciteer hoe rollen, taken en verantwoordelijkheden (vanuit het perspectief van het Three Lines Model) zijn belegd. Benadruk daarbij onder meer de verantwoordelijkheid van de eerstelijns manager voor risicobewust handelen en onderscheid en beleg de tweede (ondersteunende) en derdelijns (controlerende) functies. 2. Vraag als raad aan het college om een gesprek te organiseren tussen raad en college over de visie en ambities ten aanzien van risicomanagement en (het detailniveau van) de informatievoorziening over dit onderwerp. Aan de raad en het college 3. Expliciteer de risicobereidheid van de gemeente. Dit kan voor verschillende onderdelen (per programma, doelstelling, project, proces) worden bepaald. De ervaring bij andere gemeenten leert dat het kaderstellend werkt voor het college en de organisatie om vooraf goed te weten welke bereidheid er is voor het nemen van risico`s bij de uitvoering van beleid. 4. Voer in de raad en tussen raad en college het gesprek over wat moet worden bereikt, welke risico’s daarbij worden gelopen, hoe die risico’s te beheersen en hoe dit zich verhoudt ten opzichte van het te bereiken doel.

Aan het college 5. Risicomanagement en de inbedding daarvan in het dagelijks werk van medewerkers zou gebaat zijn bij een gedeelde visie op risico's en hoe de organisatie hiermee om wil gaan. Koppel daartoe (het actualiseren van) risico’s aan de P&C-cyclus en aan beleidsdocumenten, bijvoorbeeld door het stellen van een 4e W-vraag: “Welke risico’s lopen we daarbij?”. Breng hierbij systematisch in beeld Pagina 5 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

wat de verschillende typen risico’s (financieel, politiek/ imago, juridisch/wettelijk, technisch, organisatie/ mens, omgeving/ruimtelijk, milieu/ natuur) zijn.

Pagina 6 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

1. Inleiding 1.1 Aanleiding voor het onderzoek en context Ondanks dat de Rijksoverheid in Nederland op veel terreinen beleid ontwikkelt, is het doorgaans aan de lokale overheden om zelfstandig hun taken uit te voeren. Dat het werkveld van gemeenten complex is, wordt in toenemende mate zichtbaar. Het takenpakket van gemeenten neemt voortdurend toe, bijvoorbeeld door de decentralisaties in het sociaal domein, wettelijke eisen op het gebied van de Algemene Verordening Gegevensbescherming (AVG) en de Baseline Informatiebeveiliging Overheid (BIO), de inwerkingtreding van de Omgevingswet en de opvang van vluchtelingen. Door de diversiteit van processen, politiek, samenwerkingsverbanden en sociaal-culturele differentiatie zijn de maatschappelijke verbanden los, onvoorspelbaar en complex. Met die groeiende complexiteit ontstaat een steeds groter belang van professionele sturing en beheersing. Een stevige planning-en-controlfunctie, heldere verantwoordelijkheden en vanzelfsprekend ook goed risicomanagement zijn daarbij van belang. Risicomanagement is een waardevol instrument om inzicht te krijgen in de kansen en bedreigingen voor de gemeentelijke dienstverlening.

Een doordacht risicomanagementprogramma kan het risicobewustzijn vergroten, kan helpen om een dialoog te voeren over eventuele risico’s en kan ervoor zorgen dat risicomanagement wordt ingezet om de doelen van beleidsprogramma’s binnen gemeenten op een efficiënte manier te bereiken. Het belang van systematisch en continu risicomanagement kan grofweg worden gevat in een viertal argumenten:1 1. Risicomanagement zorgt voor inzicht in kansen en bedreigingen bij het behalen van de doelstellingen van de (gemeentelijke) organisatie. 2. Risicomanagement stelt de organisatie in staat om systematisch prioriteiten toe te kennen bij de inzet van middelen door risico’s af te wegen en te beheersen, zodat er geen ad hoc en lukrake acties plaatsvinden. 3. Risicomanagement draagt bij aan betere financiële afwegingen bij besluitvorming. 4. Risicomanagement maakt het mogelijk om de genomen beslissingen rond risico’s te monitoren en te verantwoorden. Ondanks dat er wettelijke verplichtingen zijn voor de inventarisatie van risico’s, zoals vastgelegd in het Besluit Begroting en Verantwoording (BBV), is er in de praktijk geen eenduidige uitvoering van risicomanagement.2 Het landschap van raamwerken, methoden en technieken dat gemeenten, zowel bestuurlijk als in de uitvoering, in dit verband kan helpen is versnipperd.

Daar komt bij dat risicomanagement meer is dan een apart te doorlopen proces: de organisatie moet ervan worden doordrongen en er moet sprake zijn van risicobewustzijn. De gemeente Stichtse Vecht is de afgelopen jaren op een aantal terreinen geconfronteerd met financiële tegenvallers en kostenoverschrijdingen. Tegen deze achtergrond hebben raadsfracties bij de gesprekken met de Rekenkamer hun zorgen geuit over dergelijke financiële risico’s voor de gemeente.

1 2

Koster, J.E. en Snijders, E., Een continue afweging van risico’s tegen genoegens, 1997. VNG, Risicomanagement bij Nederlandse gemeenten, juli 2021.

Pagina 7 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

De ontwikkelingen in het risicomanagement binnen de organisatie zijn als volgt samen te vatten. Op 26 februari 2013 heeft de gemeenteraad van Stichtse Vecht het risicomanagementbeleid vastgesteld. In 2016 onderzocht een student van de Hogeschool van Amsterdam dit beleid, waaruit bleek dat het pragmatisch en gedegen was, maar verbetering behoefde. Hierop volgde in november 2016 een voorstel tot herziening van het beleid, geïnspireerd door zowel het evaluatieonderzoek als de toenemende druk op overheden om dienstverlening en bedrijfsvoering te optimaliseren. De herziening richtte zich op het vereenvoudigen van het risicomanagementbeleid. Dat voorstel is in januari 2017 vastgesteld waarna de organisatie aan de slag is gegaan met de voorgestelde herziening.

1.2 Probleemstelling en onderzoeksvragen De doelstelling van dit rekenkameronderzoek is het geven van een oordeel over de mate waarin de governance op risicomanagement, de samenwerking tussen risicomanagementfuncties en het risicomanagementproces in de afgelopen vijf jaar adequaat zijn uitgevoerd. Door middel van dit oordeel kan aan de raad, college en ambtelijke organisatie inzichtelijk worden gemaakt waar eventuele verbeterstappen genomen kunnen worden. Voor dit onderzoek heeft de Rekenkamer de volgende hoofdvraag geformuleerd: In hoeverre voldoet het beleidskader van de gemeente Stichtse Vecht aan de normen die aan een adequaat risicobeheerssysteem mogen worden gesteld en hoe functioneert het risicobeheerssysteem in de praktijk? De hoofdvraag is geoperationaliseerd in een aantal deelvragen, namelijk: Beleid risicomanagement 1. Welk beleid heeft de gemeente geformuleerd op het gebied van risicomanagement? a. Is er beschreven en vastgesteld beleid rond het toezicht op risico’s bij verbonden partijen en hoe ziet dat eruit? 2. Is het risicomanagementbeleid actueel, inzichtelijk, volledig en rechtmatig? Vormgeving en inrichting risicomanagement 3. Hoe is het risicomanagement qua rollen, taken en bevoegdheden intern georganiseerd? 4. Is het risicomanagement op een adequate wijze vormgegeven en ingericht? Rolneming en cultuur 5.

In welke mate is er sprake van risicobewustzijn onder medewerkers en in hoeverre draagt de huidige inrichting daaraan bij? 6. Wanneer risico’s zich voordoen, wordt daar dan adequaat op gestuurd teneinde het nadelige effect zoveel als mogelijk te beperken? 7. In hoeverre stuurt het college op risicobewustzijn van de organisatie? 8. Is de risicomanagement gedachte integraal onderdeel van de werkwijze van de organisatie in besluitvormingstrajecten? Informatievoorziening en kaderstellende en controlerende rol raad 9. In hoeverre zijn er afspraken vastgelegd over de inrichting van de informatievoorziening van college naar raad (frequentie, tijdigheid, inhoud en vorm)? 10. Is de informatievoorziening aan de raad over de risico’s/de uitvoering van het risicomanagementbeleid tijdig, toegankelijk en volledig? Pagina 8 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

11. In hoeverre en op welke wijze geeft de raad op basis van de ontvangen informatie invulling aan zijn kaderstellende en controlerende taak? a. Hoe is het gesteld met het proactief omgaan/signalen ten aanzien van risico’s door de raad? Lerend vermogen 12. Wat zijn de geleerde lessen bij risicovolle ontwikkelingen of gebeurtenissen in Stichtse Vecht uit de afgelopen vijf jaar? Bij het beantwoorden van de onderzoeksvragen wordt gebruikgemaakt van een normenkader dat is opgenomen in bijlage 1.

1.3 Afbakening van het onderzoek Het centrale onderdeel van dit onderzoek is de werking van het risicomanagementproces. Daarbij wordt niet inhoudelijk gekeken of de risicoafweging zelf juist is en of de maatregelen voldoende passend zijn om de risico’s te mitigeren.Ook blijft de onderbouwing van de verrekening van het weerstandsvermogen in dit onderzoek buiten beschouwing.

1.4 Aanpak van het onderzoek 1.4.1 Onderzoeksmodel In dit onderzoek gebruiken we het ‘Three Lines Model' (TLM) van het IIA als ondersteunend model.3 Het denkraam van het TLM is passend voor het goed neerzetten van de rollen, taken en verantwoordelijkheden inclusief risicomanagement bij de sturing en beheersing van een organisatie. Het TLM gaat ervan uit dat het lijnmanagement (de business) integraal verantwoordelijk is voor haar eigen processen. Daarnaast is er de tweedelijnsfunctie die de eerste lijn ondersteunt, adviseert en coördineert. De tweede lijn is ook verantwoordelijk voor bepaalde beleidsvoorbereidende taken en het organiseren en stimuleren van risicomanagement met bijvoorbeeld risk assessments4. De onafhankelijke controlefunctie is belegd in de derde lijn. Daar vindt de borging plaats dat het samenspel tussen de eerste en tweede lijn soepel functioneert. De derde lijn velt daarover een objectief, onafhankelijk oordeel en komt met mogelijkheden tot verbetering. In de volgende figuur zijn de uitgangspunten van het TLM weergegeven.

3

Het Three Lines Model is ontwikkeld door het Institute of Internal Auditors (IIA). Het IIA is wereldwijd dé toonaangevende beroepsorganisatie voor internal auditors. Het eerste gedocumenteerde gebruik dateert uit 2003, toen de UK Financial Service Authority (FSA) aangaf dat dit het geprefereerde model was om risico's bij banken te beheersen. Zie ook Budding en Wassenaar (2018, p.72). 4 Een risicoanalyse (risk assessment) is een methodische benadering om potentiële risico's te identificeren, te analyseren en te evalueren. Het doel is om de risico's beter te begrijpen en te bepalen welke maatregelen nodig zijn om deze risico's te beheersen of te verminderen.

Pagina 9 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Figuur 1

Het Three Lines Model

1.4.2 Onderzoeksmethoden In deze paragraaf beschrijven we de methoden die zijn ingezet voor dit onderzoek. Documentenonderzoek Om inzicht te krijgen in het risicomanagementbeleid en de wijze waarop de gemeente Stichtse Vecht dit heeft vormgegeven en ingericht, zijn relevante documenten geanalyseerd. Daarbij is onder andere gekeken naar beleidsdocumenten, verantwoordingsdocumenten, visies, moties en schriftelijke raadsvragen. Een overzicht van de bestudeerde documenten is opgenomen in bijlage 2. Casusonderzoek Daarnaast is casusonderzoek als methode toegepast om zo risicomanagement ten aanzien van een aantal specifieke onderwerpen nader te analyseren. De volgende casuïstiek is bestudeerd: ● Personele knelpunten. ● Informatiebeveiliging. ● Onderhoud openbare ruimte. In het casusonderzoek zijn documenten bestudeerd en zijn er, mondeling dan wel schriftelijk, vragen voorgelegd aan betrokkenen vanuit de ambtelijke organisatie. In bijlage 3 zijn de uitwerkingen van de casuïstiek opgenomen.

Pagina 10 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Focusgroepen en interviews We hebben drie focusgroepen ingezet om bevindingen uit het documentenonderzoek te toetsen en om nieuwe inzichten op te halen. Met behulp van een focusgroep kan ontdekt worden hoe medewerkers over een bepaald onderwerp denken, wat voor woorden ze gebruiken als ze erover praten en welke aspecten zij belangrijk vinden. Daarnaast hebben wij twee interviews afgenomen; een interview met een afvaardiging van de raad en een interview met de portefeuillehouder, de concerncontroller en de directeur publiek en organisatie. De functies/rollen van de verschillende respondenten zijn weergegeven in bijlage 4.

1.5 Leeswijzer In hoofdstuk 2 wordt het beleid ten aanzien van risicomanagement geschetst en wordt weergegeven hoe ‘op papier’ risicomanagement binnen de gemeente Stichtse Vecht is vormgegeven en ingericht. In hoofdstuk 3 wordt vervolgens ingegaan op de wijze waarop in de praktijk uitvoering wordt gegegeven aan risicomanagement, waarbij in het bijzonder wordt gekeken naar het risicobewustzijn in de organisatie en naar de wijze waarop college en ambtelijke organisatie omgaan met risico’s en risicomanagement in besluitvormingsprocessen. Hoofdstuk 4 gaat over informatievoorziening aan de raad en over de rol van de raad waar het gaat om risicomanagement.

Pagina 11 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

2. Risicomanagement in het beleid In hoofdstuk 2 wordt het beleid ten aanzien van risicomanagement geschetst evenals de belangrijkste ontwikkelingen daarin. Hierbij wordt aangegeven hoe in het beleid het proces van risicomanagement binnen de gemeente is vormgegeven en ingericht en in hoeverre en op welke wijze rollen, taken en verantwoordelijkheden ‘op papier’ zijn belegd. Daarmee worden in dit hoofdstuk de volgende deelvragen beantwoord: ● Welk beleid heeft de gemeente geformuleerd op het gebied van risicomanagement? ○ Is er beschreven en vastgesteld beleid rond het toezicht op risico’s bij verbonden partijen en hoe ziet dat eruit? ● Is het risicomanagementbeleid actueel, inzichtelijk, volledig en rechtmatig? ● Hoe is het risicomanagement qua rollen, taken en bevoegdheden intern georganiseerd? De belangrijkste bevindingen uit dit hoofdstuk zijn: ● Het doel en de scope van risicomanagement zijn helder geformuleerd in het beleid. De modelmatige aanpak lijkt passend. De rolverdeling (en daarmee het eigenaarschap) in de verschillende processtappen tussen eerste, tweede en derde lijn is daarentegen niet altijd duidelijk. De naleving van het beleid is daarmee vrijblijvend. ● Het beleid wordt nog onvoldoende gedragen en het is onduidelijk wat de vertaling van het onderzoek uit 2016 (focus op risicobewustzijn en cultuur) naar de nota herziening risicomanagement (focus op scope) is.

Het is ook onduidelijk hoe het vereenvoudigen van het beleid leidt tot dialoog en daarmee tot meer draagvlak binnen de organisatie. In 2024 is de gemeente voornemens het risicomanagementbeleid te herzien. ● De gemeente heeft in samenwerking met een aantal andere Utrechtse gemeenten een risicomanagementmodel ontwikkeld om meer grip en controle te krijgen op verbonden partijen. Dit model wordt beschreven in de Nota verbonden partijen.

2.1 Beleid: proces en organisatie Op 26 februari 2013 heeft de gemeenteraad het risicomanagementbeleid vastgesteld.5 Met het implementeren van risicomanagement wordt in het raadsbesluit bedoeld: 1. Inzicht krijgen in de strategische risico’s die de gemeente Stichtse Vecht loopt en daarmee het risicobewustzijn te stimuleren. 2. Onderbouwing van de berekening van het weerstandsvermogen. 3. Vermindering van het negatieve effect van risico’s op het bestaande beleid en de kwaliteit van de bestaande voorzieningen. In de beleidsnota beleid wordt opgemerkt dat de gemeente Stichtse Vecht naast financiële risico’s ook imago-, beleids-, juridische en personele risico’s in ogenschouw neemt.

5

Nota risicomanagementbeleid Stichtse Vecht, 11 oktober 2012.

Pagina 12 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Figuur 2

Risicomanagementmodel De gemeente hanteert een integraal risicomanagementmodel: het risicomanagement wordt als een cyclisch proces beschouwd. Het doorlopen van de processtappen bevordert systematisch leren en verbeteren en het verhoogt de effectiviteit van beheersmaatregelen. Met een leercirkel wordt continue verbetering en een adaptief vermogen gestimuleerd. Om het goed te borgen is in de nota opgenomen dat de aanpak in de bestaande werkprocessen moet worden ingebouwd. Bijvoorbeeld door het onderwerp “risico’s” tot vaste paragraaf te maken in raads- en collegevoorstellen.

De nota schetst dat het aandragen van mogelijke risico’s zowel vanuit de eigen organisatie als vanuit externe partners kan gebeuren. Daarnaast is indertijd gesteld dat de risico’s worden geïdentificeerd en beoordeeld door een deskundige medewerker. Alhoewel het proces van het beoordeling en van kwantificeren helder wordt geschetst, is niet expliciet vastgelegd wie hiervoor verantwoordelijk is. Door de ambtelijke organisatie wordt aangegeven dat bij de start van risicomanagement is aangesloten bij de sturingsfilosofie ‘integraal management’ van de gemeente. Risicomanagement is vanuit die filosofie belegd bij het management/de managers van teams (toen: afdelingen). Vanuit het TLM wordt verondersteld dat iedere manager verantwoordelijk is voor risicomanagement in zijn/haar processen en dus kundig genoeg moet zijn. Aanvullend is het onduidelijk of het afwegingskader voor het kwantificeren van risico’s ook periodiek wordt geëvalueerd. Na het identificeren en kwantificeren van de risico’s moeten de beheersmaatregelen in kaart worden gebracht. Alhoewel deze rol formeel bij het college is belegd, wordt er in de nota risicomanagement geen eigenaar van deze processtap benoemd. Voor het uitvoeren van de maatregel(en) is daarentegen wel duidelijk een rol belegd bij de afdelingsmanagers. Tot slot wordt het belang van het evalueren van het proces onderstreept.

De nut en noodzaak hiervan is helder en er zijn ondersteunende vragen voor geformuleerd. Echter blijkt uit het beleid wederom niet wie hiervoor verantwoordelijk is.

2.2 Evaluatie en herziening van het risicomanagementbeleid In 2016 is er onderzoek gedaan naar het risicomanagementbeleid van de gemeente Stichtse Vecht.6 Geconstateerd werd dat het risicomanagementbeleid pragmatisch en gedegen is. De actieve betrokkenheid van medewerkers daarentegen kon destijds beter; er was sprake van een laag risicobewustzijn. Aanbevelingen uit dit onderzoek om het risicomanagement verder te versterken luidden: ● Vergroot het draagvlak binnen de organisatie door het geven van steun aan de medewerkers en teams die zich bezighouden met het risicomanagementproces. ● Vier de successen van doelstellingen die tot stand zijn gekomen.

6

Risicomanagement onder de loep. M. Schreyer Hogeschool van Amsterdam juni 2016.

Pagina 13 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

● ● ● ● ●

Verbeter het applicatiebeheer en gebruik NARIS7 als hulp en niet als fundament voor risicomanagement, waardoor analyses en resultaten zuiverder tot stand komen. Risicomanagement is op medewerkersniveau belegd. Maak de concerncontroller of risicomanager verantwoordelijk voor het risicomanagement, dat helpt bij het herstructureren ervan. Door gebruik te maken van tussenrapportages bij projecten blijven de risico’s bespreekbaar en in kaart. Door de effecten van de beheersmaatregelen periodiek te evalueren (monitoren en hiervan dossiers op te bouwen), wordt er geleerd. Door scholing voor risicomanagement blijft het risicomanagement zich ontwikkelen.

In november 2016 is een voorstel gedaan tot het herzien van het risicomanagementbeleid.8 Het evaluatieonderzoek, tezamen met de toenemende druk op overheden om zowel de dienstverlening als de bedrijfsvoering op orde te brengen en te houden, is daar indertijd aanleiding voor geweest. De nota is op 31 januari 2017 door de gemeenteraad vastgesteld. Tabel 1

Aanpassingen in het beleid

Aanpassingen

Nota 2012

Wijziging 2016

Wat is een risico?

Een risico is een kans op een niet te voorspellen gebeurtenis, die een nadelig effect kan hebben op de organisatie, de doelen die zijn gesteld of de financiële positie van de gemeente.

Een risico is een onzekere gebeurtenis die een effect kan hebben op het behalen van de doelstellingen van de gemeente.

Wat is risicomanagement?

Risicomanagement is het continue proces van risico’s identificeren en kwantificeren, het ontwikkelen van maatregelen om risico’s te beheersen, de naleving van de getroffen maatregelen en het toezien hierop alsmede het regelmatig actualiseren van risico’s en de bijbehorende risicobeheersing.

Risicomanagement is een procesmatige aanpak op basis van een geformuleerd risicobeleid met als doel de organisatie in staat te stellen om risico’s te benoemen, bewust te maken van de kans en impact ervan, beheersmaatregelen te laten treffen, er over te laten rapporteren en verantwoording af te leggen en om ervan te leren.

Risico management model

Gebaseerd op de kwaliteitscirkel van Deming (plan-do-check-act).

Gebaseerd op dialoog, ondersteund door een gestructureerde aanpak.

Ondanks dat de nota herziening een directe link legt met de onderzoeksbevindingen (met de focus op risicobewustzijn en organisatiecultuur), lijkt de vertaling van de aanbevelingen naar de aanpassingen van het beleid minimaal. De nota herziening zegt hier het volgende over: “Op enkele punten kan het risicomanagementbeleid verder worden vereenvoudigd en de uitvoering ervan meer in dialoog plaatsvinden. Dit verhoogt het draagvlak en daardoor neemt het risico-bewustzijn van de organisatie verder toe”. De waarde van de toepassing van het plan-do-act-check model, het eerder besproken cyclisch model, wordt nogmaals bevestigd. Echter, de praktische vertaling naar het creëren van meer draagvlak en 7 8

NARIS is een risicomanagementsysteem waarmee risico`s kunnen worden vastgelegd, gemonitord en bijgesteld. Nota herziening risicomanagementbeleid Stichtse Vecht, 8 november 2016.

Pagina 14 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

eigenaarschap ontbreekt, het vieren van successen en het evalueren (los van het momentum van de jaarrekening) gebeurt mondjesmaat en ook het periodiek evalueren van de effecten van de beheersmaatregelen kan worden verbeterd. Wel is per 1 september 2016 uit de bestaande formatie een interne auditor aangesteld die verantwoordelijk is voor het risicomanagement. Onduidelijk is wat werd bedoeld met ‘verantwoordelijk voor het risicomanagement’; het is waardevol dat uit te werken vanuit het TLM. Het lijkt logisch om de auditor de rol (of taak) van onafhankelijke controleur toe te bedelen. De auditor wordt bijgestaan door een financieel strategisch adviseur die tevens het applicatiebeheer van NARIS verzorgt. Door de ambtelijke organisatie wordt aangegeven dat nu stappen zijn gezet in de organisatieontwikkeling en de verbetering van het gemeentelijk besluitvormingsproces (zie ook hoofdstuk 3), het moment daar is om ook het risicomanagementbeleid te actualiseren. Deze actualisatie wordt voorzien in 2024.

2.3 Risicomanagement en verbonden partijen De gemeente heeft oog voor risicomanagement in relatie tot verbonden partijen. In de Nota verbonden partijen 2018 Gemeente Stichtse Vecht wordt het risicomanagementmodel geschetst dat de gemeente voor verbonden partijen hanteert. De gemeente Stichtse Vecht heeft in samenwerking met een aantal andere gemeenten uit de provincie Utrecht een methodiek ontwikkeld om meer grip en controle te verkrijgen op verbonden partijen: het U10+risicomanagementmodel. Doel van dit model is om gezamenlijk tot een sturings- en controlemethodiek voor verbonden partijen te komen. De meerwaarde van het gezamenlijk werken met een eenduidig model is volgens de gemeente Stichtse Vecht: ● De informatievoorziening wordt gebundeld door met een gezamenlijke vragenlijst te werken die voor het overgrote deel de vanuit gemeenten gewenste informatiebehoefte dekt. Dit kan ook voor een verbonden partij efficiënter werken. ● De informatie wordt meer uniform gedeeld. ● Op operationeel niveau ontstaat een grotere efficiëntie en transparantie over de benodigde informatie over een verbonden partij voor bijvoorbeeld begroting en jaarrekening. ● Het wordt op termijn meer mogelijk om de monitoring, sturing en controle meer te verdelen bij de deelnemende gemeenten onderling waardoor veel tijd wordt bespaard.

Het U10+risicomanagementmodel bestaat uit 65 vragen die zijn gericht op 6 parameters: ● Financieel /P&C. ● Eigenaarsbelang. ● Sturing op of beheersing van doelen. ● Risicomanagement. ● Bedrijfsvoering. ● Governance. De uitkomsten van het model zijn de basis voor een gesprek tussen de gemeente en de verbonden partij over de opgeleverde antwoorden. Informatie wordt per verbonden partij met de gemeenteraad gedeeld en het door de gemeente opgestelde risicoprofiel per verbonden partij wordt gebruikt ter ondersteuning bij de beoordeling van de begroting en jaarrekening van de betreffende verbonden partij.

Pagina 15 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

3. Risicomanagement in de praktijk In dit hoofdstuk wordt ingegaan op de wijze waarop in de praktijk uitvoering wordt gegeven aan risicomanagement, waarbij in het bijzonder wordt gekeken naar het risicobewustzijn in de organisatie en op het verloop van risicomanagementproces van identificeren van risico’s tot het evalueren en rapporteren over risico’s. Daarmee worden de volgende deelvragen beantwoord: ● In welke mate is er sprake van risicobewustzijn onder medewerkers en in hoeverre draagt de huidige inrichting daaraan bij? ● Is het risicomanagement op een adequate wijze vormgegeven en ingericht? ● Wanneer risico’s zich voordoen, wordt daar dan adequaat op gestuurd teneinde het nadelige effect zoveel als mogelijk te beperken? ● In hoeverre stuurt het college op risicobewustzijn van de organisatie? ● Is de risicomanagement gedachte integraal onderdeel van de werkwijze van de organisatie in besluitvormingstrajecten? De belangrijkste bevindingen uit dit hoofdstuk zijn: ● Stichtse Vecht heeft de afgelopen jaren sterk geïnvesteerd in het risicomanagementproces, onder meer door het introduceren van projectmatig werken. Risicomanagement krijgt structureel de aandacht in de P&C-cyclus, maar bijvoorbeeld ook in college- en raadsvoorstellen.

Desondanks is er nog volop ruimte om het bewustzijn rondom risico’s in te bedden in de manier van werken en dus in de cultuur van de organisatie, onder meer door scholing. ● Hoewel de basis goed is ingericht, blijkt uit onderzoek dat de processtappen van risicomanagement niet periodiek worden getoetst en geactualiseerd; de laatste formele evaluatie vond plaats in 2016. De gemeente heeft geen protocol voor periodieke toetsing, beheersmaatregelen voor potentiële risico’s worden incidenteel getoetst, vooral bij de afronding van grote projecten via een informele evaluatie en voorafgaand aan de begroting en jaarrekening voor de daarin vermelde risico’s. ● Binnen het college is er toenemende aandacht voor risicomanagement, maar expliciete ambities en beleidsdoelstellingen om het risicobewustzijn te vergroten of om de risicobereidheid te bepalen ontbreken op dit moment. Het college biedt wel ondersteunende middelen, zoals opleidingen. ● De organisatiecultuur ontwikkelt zich zodanig dat medewerkers steeds vaker zorgen over potentiële risico’s uiten, hoewel dit nog sterk persoonsgebonden is. Er wordt een standaard werkwijze gehanteerd voor het inventariseren, analyseren en beoordelen van risico's binnen de P&C-cyclus, maar er is nog geen systematische werkwijze buiten deze cyclus.

Initiatieven om ontwikkelingen beter en structureel te monitoren en hierover te communiceren ontstaan op verschillende plekken in de organisatie. Er liggen kansen in het delen en veralgemeniseren van deze initiatieven om de werkwijze te verbeteren.

3.1 Risicobewustzijn Uit gesprekken met bestuur en ambtelijke organisatie blijkt dat de gemeente Stichtse Vecht de afgelopen jaren volop in ontwikkeling is geweest. Er is gewerkt aan het op orde krijgen en verstevigen van het fundament waar tot op de dag van vandaag aan wordt gebouwd. Aanleiding van deze ontwikkeling is de discrepantie tussen de ambities en de capaciteit, zowel bemensing als financiële middelen, en de wens om aan te sluiten bij de toekomstverwachtingen, zoals neergelegd in de organisatieontwikkeling ‘Van Goed naar Beter.’ Pagina 16 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

In de afgelopen jaren heeft de gemeente stappen gezet in het implementeren van projectmatig werken. Risicomanagement is daar onderdeel van met als doel het risicobewustzijn van medewerkers te stimuleren en te borgen in de processen. Ook is de verwachting dat de nieuwe opzet van de beleidsbegroting mogelijkheden biedt in het kader van risicomanagement. In deze opzet is er meer oog voor de kwaliteit van de dienstverlening doordat naast de financiële ontwikkelingen ook de maatschappelijke effecten worden gemonitord. Het uitgangspunt is dat de gemeente meer wil sturen op doelen waarbij de samenhang tussen maatregelen en effecten vooraf wordt vastgelegd en na afloop wordt getoetst. De gemeente wil daarbij gaan werken met meer kwalitatieve indicatoren. Ondanks grote stappen die bij de organisatieontwikkeling zijn gezet, is het bewustzijn ten aanzien van (mogelijke) risico's nog geen vanzelfsprekendheid. In de beleidsnota Risicomanagement is een risicokaart opgenomen. Door de ambtelijke organisatie wordt aangegeven dat deze wordt gebruikt om het beschrijven en kwantificeren van risico’s te uniformeren en objectiveren. In hoeverre dit consequent en op eenduidige wijze gebeurt is in dit onderzoek niet vastgesteld.

Er blijken, buiten de periodieke actualisatie van geïdentificeerde risico’s die plaatsvindt bij het opstellen van de begroting en de jaarrekening en recent ook bij de voortgangsrapportages in het kader van projectmatig werken, nauwelijks specifieke momenten te zijn waarbij stil wordt gestaan bij risico’s en risicomanagement; het is nog geen integraal onderdeel van de dagelijkse werkzaamheden. De processtappen binnen het risicomanagement worden dan ook niet periodiek getoetst en geactualiseerd. Maar wanneer medewerkers worden gevraagd of ze rekening houden met risico’s dan zal niemand ‘nee’ zeggen; men is onbewust bekwaam. Er is dus wel aandacht voor het thema, maar er ligt nog een kans in het verder inbedden in de werkcultuur, geven ook respondenten aan. Wat daarbij helpt, is een gedeelde visie op wat risico's zijn en hoe de organisatie hiermee om wil gaan. Op dit moment ontbreekt het aan die eenduidigheid waardoor er, vaak op afdelingsniveau, verschillende beelden bestaan. Enkele opvattingen over wat risicomanagement inhoudt, zijn hieronder weergeven: Risicomanagement is oog hebben voor die onderdelen van de organisatie waar risico’s kunnen ontstaan. Daarnaast heeft het als doel dat je begrijpt wat die risico’s inhouden en hoe je hierop kan anticiperen met maatregelen. Hier zit ook een lerend effect in.

Risicomanagement is het ‘in control zijn’ op de risico’s die je hebt geïdentificeerd.

Risicomanagement is het beheersen van eventuele risico’s bij de uitvoering van beleid en het vervolgens monitoren daarvan. Het is een onderdeel bij de totstandkoming van nieuw beleid. Daarbij kijk je naar scenario’s; wat als er extra geld of extra inzet nodig is. Risico's probeer je te voorkomen.

In de afgelopen jaren zijn er veel wisselingen geweest in het management van de gemeente. Er zijn managers aangesteld met een scherp oog voor en met ervaring met risicomanagement vanuit het projectmatig werken. In het beleid is, zoals ook in paragraaf 2.1 werd benoemd, vastgelegd dat betrokken medewerkers verantwoordelijk zijn voor het duiden en wegen van potentiële risico’s. Managers zijn vervolgens verantwoordelijk voor het uitvoeren van de bijbehorende beheersmaatregelen. Voor het team Ruimtelijke Ordening is niet de manager, maar (bij projecten) de projectleider verantwoordelijk voor het uitvoeren van beheersmaatregelen. Het blijkt dat de praktijk in deze aansluit bij het beleid. De toenemende focus op risicobewustzijn binnen het management en de directie duidt op een lerende organisatie. Pagina 17 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Binnen het college is in toenemende mate aandacht voor het thema risicomanagement. Zo maakt het college gebruik van externe netwerken, zoals via de VNG, om op de hoogte te blijven van ontwikkelingen van buitenaf. Tegelijkertijd wordt het landelijk beleid vanuit de ambtelijke organisatie als traag en niet goed uitvoerbaar ervaren en de afstemming van gemeentelijke besluitvorming daarop veelal ook. Daardoor wordt gebrekkig beleid lokaal soms pas laat gerepareerd, zo werd in het bijzonder in het sociaal domein ervaren. De gemeente is in zekere zin ook afhankelijk van hoe er door het Rijk op externe ontwikkelingen wordt geacteerd. Stichtse Vecht kan ook zelf hierin een actievere rol spelen door naar buiten tijdig de juiste gesprekken te initiëren en zich binnen de eigen organisatie tijdig voor te bereiden op veranderend beleid. Er is nog volop ruimte om risicobewustzijn beter in te bedden in de manier van werken en dus in de cultuur van de organisatie. Risico-zelfevaluatie en risico-dialoog, waarin geleerd wordt van eventuele incidenten maar ook van successen, vinden nauwelijks gestructureerd plaats. Dat kan bijvoorbeeld in aanloop naar de paragraaf risico’s en weerstandsvermogen, wat nu nauwelijks tot dialoog leidt, zo geven respondenten aan.

Met de nieuwe opzet van de beleidsbegroting en ‘fundament op orde’ verwacht men dat het gesprek in de raad en tussen college en raad over risico’s zal verbeteren.

3.2 Sturing en beheersing Risicomanagement wordt door de gemeente Stichtse Vecht niet gezien als doel op zich: het gaat om het sturen op doelen inclusief kansen en bedreigingen als gevolg van onzekerheden. In dit onderzoek is ook gekeken naar de wijze waarop wordt gestuurd op het moment dat een risico zich voordoet, teneinde het nadelige effect zoveel als mogelijk te beperken of eventuele kansen te benutten. In deze paragraaf gaan we in op de wijze waarop de organisatie stuurt op (het beheersen van) risico’s. Wanneer sturing op risico’s plaatsvindt middels een integraal risicomodel, zoals ook door de gemeente Stichtse Vecht wordt beoogd (zie paragraaf 2.1), dan worden risico’s geïdentificeerd en geanalyseerd, worden beheersmaatregelen bedacht en getroffen, waarna er wordt gemonitord en geëvalueerd. Dat gebeurt in dialoog, een open cultuur met onderling vertrouwen, gericht op leren, heldere doelen, heldere verantwoordelijkheden en afspraken. De uitgangspunten van het beleid zijn niet standaard geïntegreerd in de planning en uitvoering van projecten en beleidsinitiatieven. Het is afhankelijk van de situatie, de inhoud en de persoon of potentiële risico's actief hierin worden meegenomen. Uit interviews blijkt ook dat het afhankelijk is van de aard van het risico met wie het gesprek hierover wordt gevoerd en wat de strekking van dat gesprek is.

Bij risico’s, vooral als deze buiten de bestaande kaders van de P&C-cyclus of projectplannen vallen, vindt in principe overleg plaats met zowel het college als de gemeenteraad. Opgemerkt wordt dat dit proces in toenemende mate bewust wordt doorlopen; anders dan enkele jaren geleden toen er minder sprake was van het risicobewustzijn binnen de organisatie. De uitdaging blijft echter bestaan wanneer medewerkers moeten bepalen wanneer zij het management of de betrokken wethouder moeten informeren. Wanneer risico's buiten de P&C-cyclus om worden opgemerkt, zo wordt gesteld, dan kan nog niet worden verwacht dat medewerkers weten hoe ze hiermee om moeten gaan.

Pagina 18 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

In het sociaal domein is bijvoorbeeld per definitie sprake van een grote mate van onvoorspelbaarheid. Om enigszins grip te hebben op de ontwikkelingen en op potentiële risico’s, zijn de afgelopen jaren procesverbeteringen doorgevoerd die we ter illustratie meegeven: ● Er wordt op steeds meer thema’s gewerkt met dashboards. ● Iedere maand vindt er een gesprek plaats met de financieel adviseur. ● Ieder kwartaal worden de rapportages besproken met de directie en gedeeld met het bestuur. In het ruimtelijk domein wordt overwegend projectmatig gewerkt. Processen zijn prestatie- en risicogestuurd. Er wordt gekeken naar de kaders die men vanuit de raad meekrijgt, daar moet men binnen blijven en daarover wordt ook aan de raad gerapporteerd. Risico’s zijn hier een integraal onderdeel van. De gemeente Stichtse Vecht beschikt over rapportage- en verantwoordingsmechanismen waarbij de integratie van risicomanagement in besluitvormingstrajecten wordt gedocumenteerd en gerapporteerd. Dat beperkt zich echter tot de formele momenten in de P&C-cyclus: de risico’s worden geïdentificeerd en geduid in de begroting om vervolgens te worden geanalyseerd in de jaarrekening. Er is geen sprake van een eenduidig verantwoordingsmechanisme buiten deze werkwijze om. Het monitoren van potentiële risico’s zorgt voor enige vorm van grip en vormt de basis voor het beheersen van die risico’s.

Tot 2024 was het aantal kengetallen beperkt waardoor de monitoringsmogelijkheden ook beperkt waren. Vanaf dit jaar zijn de mogelijkheden tot monitoring verbeterd (zie het praktijkvoorbeeld personeel, 3.3.1). In het herziene risicomanagementbeleid van de gemeente Stichtse Vecht uit 2016 staat beschreven dat het college van B&W bestuurlijk verantwoordelijk is voor de bedrijfsvoering van de gemeente Stichtse Vecht en daarmee voor al haar beleid en bijkomende risico’s. Het college zorgt ervoor dat de doelstellingen van risicomanagement worden bereikt en gaat hiertoe bij elk voorstel na wat de belangrijkste risico’s zijn en rapporteert dit aan de raad. Het college stelt vast welke beheersmaatregelen worden genomen en welk budget daarvoor nodig is. In de praktijk wordt het college op verschillende manieren over risico’s geïnformeerd. Dit gebeurt onder meer via collegevoorstellen. Deze omvatten vaker dan in het verleden een risicoanalyse. Daarnaast gebeurt het ook dat ambtenaren voorafgaand aan een moment van besluitvorming bij de wethouder langskomen om risico’s bij bepaalde plannen of ontwikkelingen te bespreken, bijvoorbeeld de risico’s die speelden bij de aanpak van een bepaald gebied in het kader van de Omgevingswet. Daarnaast wordt het college in de gelegenheid gesteld om te sturen op risico’s middels rapportages zoals die van het sociaal domein.

Voorbeeld - TIM Stichtse Vecht In 2022 kreeg TIM Stichtse Vecht te maken met een financieel tekort vanwege de onvoorziene stijging van kosten voor de opdracht, mede veroorzaakt door de impact van de Covid pandemie. De gemeenteraad heeft vervolgens een motie aangenomen om informatie en het ontwikkelen van scenario’s voor de toekomst van TIM Stichtse Vecht beter te kunnen volgen. . Hiertoe is door de gemeente een kernteam samengesteld met daarin de gemeentelijk opdrachtgever van TIM en de domeindirecteur. Er zijn beheersmaatregelen getroffen. Periodieke terugkoppeling vindt plaats aan de hand van maandelijkse managementrapportages die cijfermatig van aard zijn en kwartaalrapportages en jaarverslagen die kwantitatief en kwalitatief van aard zijn. De jaarverslagen zijn voor college en raad bedoeld.

Pagina 19 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

In hoeverre het college expliciete beleidsdoelstellingen formuleert om het risicobewustzijn in de organisatie te vergroten, is uit dit onderzoek niet duidelijk geworden. Door de ambtelijke organisatie wordt aangegeven dat het college er bij de start voor heeft gekozen eerst de basis op orde te brengen, waarna ook de ambities en beleidsdoelstellingen voor het risicomanagement herijkt kunnen worden. Door de organisatie is omschreven dat de ervaren afstand tussen wethouders en ambtenaren klein is waardoor contact makkelijk wordt gelegd. Het college zorgt tot slot voor de beschikbaarheid van ondersteunende middelen ten aanzien van het risicomanagement in de organisatie. Het verplichte opleidingsaanbod, in het bijzonder met betrekking tot het schrijven van bestuurlijke stukken, is daarin het meest genoemde instrument.

3.3 Praktijkvoorbeelden Op basis van de algemene bevindingen en aan de hand van de methode ‘casusonderzoek’, onderzochten we enkele specifieke onderwerpen binnen de gemeente. Door diepgaand onderzoek naar deze casussen uit te voeren, kunnen we inzicht krijgen in de effectiviteit van het bestaande risicomanagementbeleid, eventuele tekortkomingen identificeren en aanbevelingen doen voor verbeteringen, terwijl ze tegelijkertijd real-world context en concrete voorbeelden bieden om de bevindingen te illustreren en te onderbouwen. Het casusonderzoek vatten we op hoofdlijnen hieronder samen, de volledige uitwerking ervan is terug te vinden in bijlage 4. 3.3.1 Personeel De bij HR betrokken medewerkers van Stichtse Vecht tonen zich risicobewust; op verschillende momenten en op verschillende manieren wordt door de ambtelijke organisatie verantwoording afgelegd aan de gemeenteraad over personeel. De belangrijkste personele aandachtspunten zoals ‘voldoende personeel’, verloop, verzuim en behoud worden geagendeerd en er worden acties en maatregelen toegelicht om de continuïteit en kwaliteit van personeel te verbeteren. Desondanks zijn er verbeteringen mogelijk in het risicomanagement ten aanzien van personele processen.

De kwaliteit van sturing en beheersing van de personele processen kan verbeteren met kengetallen en prestatie-indicatoren over met name werving, selectie en plaatsing en bijvoorbeeld over medewerkerstevredenheid. Toegelicht wordt dat verbetering wordt verwacht met de introductie van een nieuwe werkwijze die is gestart per 1 januari 2024. De kwaliteit van risicomanagement van personele processen kan verbeteren door de ‘risico-dialoog’ die gevoerd wordt een concrete weerslag te geven in de onderdelen van de planning en controlcyclus. Dat kan bijvoorbeeld met het introduceren van een 4e W-vraag9. Beleidsdocumenten zijn nu vaak geschreven op basis van drie W-vragen: Wat willen we bereiken? Wat gaan we daarvoor doen? Wat mag dat kosten? Door een 4e W-vraag toe te voegen in beleidsdocumenten: “Welke risico’s lopen we hierbij?” wordt de controlerende rol van de raad mogelijk versterkt door het vergroten van risicobewustzijn bij de gemeente en het zorgt ervoor dat belangrijke risico’s vooraf in overweging worden genomen. Risico’s worden dan ook op verschillende niveaus en frequenter overwogen in plaats van alleen in de verplichte risicoparagraaf van de programmabegroting en het jaarverslag. Hierbij kunnen het college en de raad ook aangeven welke bereidheid ze hebben om bepaalde risico’s te nemen om doelstellingen te behalen.

9

Gemeente Borne, 2023.

Pagina 20 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

3.3.2 Informatiebeveiliging Er zijn het afgelopen jaar stappen gezet om de informatiebeveiliging van de gemeente Stichtse Vecht op orde te brengen, om meer in control te komen. Het op orde brengen van de organisatie wordt door de betrokken medewerkers als (een) invulling van risicomanagement gezien. In het informatiebeveiligingsbeleid van de gemeente Stichtse Vecht staat aangegeven dat de gemeente een aanpak van informatieveiligheid volgt op basis van risicobeheersing. Het risico van gijzeling van informatie of systemen en cybercrime komt periodiek terug in de P&C-documenten van de gemeente als een van de grootste risicogebieden ten aanzien van de bedrijfsvoering. Daarbij wordt niet alleen naar de mogelijke financiële gevolgen van deze risico’s gekeken, maar is ook aandacht voor juridische en personele gevolgen en mogelijke imagoschade voor de gemeente. De gemeente Stichtse Vecht ziet Informatiebeveiliging als een continu verbeterproces waarbij de PDCA-cyclus het uitgangspunt is waarmee wordt aangesloten bij het TLM. De eerste lijn (business en de teams) is primair verantwoordelijk voor de doelstellingen, uitvoering en risico’s, de tweede lijn is kaderstellend en adviserend en de derde lijn is controlerend en onafhankelijk en verantwoordelijk voor het toetsen of maatregelen juist zijn geïmplementeerd.

In de praktijk wordt in de gemeente Stichtse Vecht de 2e en 3e lijn met betrekking tot informatiebeveiliging (vaak) uitgevoerd door de CISO, met uitzondering van ENSIA-zelfevaluatie10. In de praktijk worden er verschillende tests uitgevoerd om te volgen of de getroffen maatregelen het beoogde effect hebben gehad. Er is veel aandacht voor informatievoorziening aan de raad over informatiebeveiliging. 3.3.3 Onderhoud openbare ruimte Binnen het fysieke domein is risicomanagement een integraal onderdeel van het dagelijkse werk van managers en projectleiders, zij het vaak niet expliciet als zodanig benoemd. De gemeente heeft de afgelopen jaren veel ondernomen om risicobeheersing te verbeteren, zoals het vaststellen van een handboek voor projectmatig werken en het invoeren van uniforme formats voor rapportage en besluitvorming. De focus in de verschillende beschrijvingen van de risico’s was als volgt: 1. Voor het project Kockengen Waterproof lag de focus op financiële, veiligheids- en imago risico's, waarbij beheersmaatregelen zoals metingen van weghoogtes en informeren van bewoners werden genomen. Communicatie van risico's verliep voornamelijk via de projectleider, maar er is ruimte voor verbetering in bewustwording bij managers en opdrachtgevers. 2.

Voor het risico rondom het beheer van civiele kunstwerken lag de nadruk op het voorkomen van beperkingen in gebruik en het minimaliseren van financiële en imago-impact. Beheersmaatregelen omvatten onder andere noodreparaties en het opstellen van onderhoudsplannen. Communicatie over risico's is echter niet expliciet beschreven. 3. Bij de gebiedsontwikkeling Bisonspoor is onder andere gestuurd op financiële risico's, met name gerelateerd aan investeringen in openbare ruimte. Het risicomanagement werd versterkt door een gestructureerde informatiestroom en proactieve communicatie, hoewel er ruimte was voor verbetering in het documenteren van risico's bij overeenkomsten. Toekomstige lessen omvatten het

10

Gemeenten verantwoorden zich over informatiebeveiliging middels ENSIA. ENSIA staat voor Eenduidige Normatiek Single Information Audit. ENSIA wordt door het gemeentebestuur onder meer gebruikt om zich richting de gemeenteraad te verantwoorden over de staat van informatiebeveiliging op basis van de Baseline Informatiebeveiliging Overheid (BIO). De informatie waarmee de horizontale verantwoording van college richting gemeenteraad plaatsvindt, vindt in principe ook de verticale verantwoording richting het Rijk plaats. De verantwoording middels ENSIA over informatieveiligheid sluit aan op de planning- en controlcyclus van de gemeente.

Pagina 21 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

nauwkeuriger in kaart brengen van risico's en het rekening houden met de politieke keuzes die in het verleden zijn gemaakt bij het maken van afspraken. De kwaliteit van risicomanagement binnen het fysieke domein kan verbeteren door: ● Een eenduidige werkwijze te introduceren waarin onder andere wordt toegewerkt naar het, waar mogelijk, SMART formuleren van beheersmaatregelen. ● Bewust en expliciet stil te staan bij risico's in het proces rondom de voortgangsrapportages. ● In eventuele anterieure overeenkomst (aan de voorkant van het proces) mogelijke risico’s meer volledig in beeld te brengen zodat hier gedurende de uitvoering beter op gestuurd kan worden.

Pagina 22 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

4. Informatievoorziening en de rol van de raad De gemeenteraad stelt de kaders, het college voert het beleid uit binnen de gestelde kaders. De raad controleert vervolgens in hoeverre de uitvoering van het beleid door het college binnen de vastgestelde kaders heeft plaatsgevonden en of hierin voldoende rekening is gehouden met de aanwezige risico’s. De gemeenteraad heeft derhalve een controlerende, kaderstellende, toetsende en toezichthoudende rol waar het gaat om risicomanagement, aldus de Nota herziening risicomanagementbeleid Stichtse Vecht. Het college informeert de raad over het risicomanagement via P&C-producten. In dit hoofdstuk worden de volgende deelvragen beantwoord: ● In hoeverre zijn er afspraken vastgelegd over de inrichting van de informatievoorziening van college naar raad (frequentie, tijdigheid, inhoud en vorm)? ● Is de informatievoorziening aan de raad over de risico’s/de uitvoering van het risicomanagementbeleid tijdig, toegankelijk en volledig? ● In hoeverre en op welke wijze geeft de raad op basis van de ontvangen informatie invulling aan zijn kaderstellende en controlerende taak? De belangrijkste bevindingen uit dit hoofdstuk zijn: ● De verantwoording van college aan raad over risico’s en risicomanagement verloopt overwegend via de programmabegroting en jaarstukken, waar de paragraaf Weerstandsvermogen en risicobeheersing een vast onderdeel van is.

In deze P&C-documenten ligt de nadruk op financiële risico’s voor de gemeente. Raadsleden zien de nieuwe inrichting van de begroting als kans om ook het sturen op risico’s beter te borgen. ● Risico’s komen ook aan de orde in raadsvoorstellen, maar volgens raadsleden heel beperkt en niet volledig. Daarnaast wordt de raad ook tussentijds geïnformeerd wanneer er budgetoverschrijdingen plaatsvinden. ● Raadsleden zouden graag eerder en uitgebreider geïnformeerd willen worden over risico’s. ● De gemeenteraad maakt gebruik van haar recht tot het stellen van vragen, ook over bestaande of verwachte risico’s en de mogelijke financiële gevolgen daarvan. De raad stelt vragen over financiële, maar ook over personele risico's.

4.1 Risicomanagement in de P&C-cyclus In de programmabegroting en jaarstukken van de gemeente Stichtse Vecht is de paragraaf Weerstandsvermogen en risicobeheersing een vast onderdeel. Hierin komen aan de orde: ● De uitgangspunten van risicomanagement. ● Het risicoprofiel. ● De grootste risicogebieden. ● De ratio weerstandsvermogen. ● Een totaaloverzicht van de geïnventariseerde risico's. ● Verschillende financiële kengetallen.

Pagina 23 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Ook in andere paragrafen komen risico’s, al dan niet voorzien van beheersmaatregelen, aan de orde, bijvoorbeeld in de paragraaf Financiering, de paragraaf Bedrijfsvoering (risico’s ten aanzien van gegevensbescherming en informatiebeveiliging), de paragraaf Grondbeleid en de paragraaf Verbonden partijen. In de jaren 2019-2022 was er in het bijzonder aandacht voor de ontwikkelingen in de risicoreserve Corona en de risicoreserve Sociaal domein. In de planning-en-control-documenten ligt de nadruk op financiële risico’s voor de gemeente. Incidenteel komen er ook andere risico’s aan de orde, zoals bestuurlijke risico’s bij incidenten en crises en integriteitsrisico’s. In een gesprek wordt aangegeven dat ten tijde van dit rekenkameronderzoek niet alleen het beleid ten aanzien van risicomanagement wordt herzien, maar ook de vertaling daarvan naar de risicoparagraaf in planning-en-control-producten.

4.2 Aandacht van de raad voor risicomanagement De gemeenteraad maakt gebruik van haar recht tot het stellen van vragen, ook over bestaande of verwachte risico’s en de mogelijke financiële gevolgen daarvan. Er is een apart hoofdstuk ‘Weerstandsvermogen en risicobeheersing' opgenomen bij de (beantwoording van de) technische vragen bij de planning- en controldocumenten. Hierin worden door de raad met name algemene vragen gesteld waarbij de werking van het weerstandsvermogen en het risicomanagement van de gemeente worden toegelicht. Er worden door de raad jaarlijks vragen gesteld over de wijze waarop de gemeente Stichtse Vecht risico’s berekent en welke risico's onder welke (financierings)post vallen. Ook over personele risico's worden vragen gesteld. Tenzij het gaat over het aantrekken en behouden van personeel, zijn die vragen altijd terug te leiden naar de bekostiging (en dus financiële kant) van intern en extern personeel. Er worden geen directe vragen gesteld over imago-, beleids- en juridische risico's. Wel worden er vragen gesteld over klanttevredenheid en cyberveiligheid wat indirect te maken heeft met imago en juridische risico's. Op het thema risicomanagement is in de afgelopen jaren één amendement ingediend (door de VVD in 2023) over de weerstandsratio. Het amendement is aangenomen.