2024-10-28 Eindrapport Risicomanagement in de gemeente Stichtse Vecht.pdf

4.3 Risicomanagement volgens raadsleden Raadsleden geven aan dat de gemeente Stichtse Vecht ongeveer drie jaar geleden uit een personele en financiële crisis kwam en dat de afgelopen jaren de focus lag op het op orde krijgen van de basis. Nu is de organisatie stabieler en kan er actief aan de slag worden gegaan met risicomanagement. Raadsleden hebben de indruk dat de gemeente steeds meer in control komt. Raadsleden geven aan dat risicomanagement voor hen betekent dat er in de verschillende stappen die worden doorlopen in de processen en projecten van de gemeente aandacht is voor risico’s, dat er passende maatregelen worden genomen en dat er vervolgens wordt gemonitord of deze maatregelen het gewenste resultaat hebben gehad. Leren is daarbij het uitgangspunt. Op dit moment zien zij deze werkwijze nog onvoldoende terug in de gemeente Stichtse Vecht. Raadsleden beschrijven dat zij via de begroting en jaarstukken worden geïnformeerd over risico’s en ook tussentijds wanneer er budgetoverschrijdingen plaatsvinden. Risicomanagement is in hun beleving nog te

Pagina 24 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

veel een invuloefening bij de begroting waarbij er onvoldoende aandacht is voor het verhaal achter de cijfers. Raadsleden zien de nieuwe inrichting van de begroting als mogelijkheid om beter inzicht te krijgen in de indicatoren en dat geeft ook handvatten om achteraf te evalueren. Risico’s komen ook aan de orde in raadsvoorstellen, maar volgens raadsleden heel beperkt en niet volledig. Raadsleden geven aan dat er binnen de gemeente Stichtse Vecht met name aandacht is voor financiële risico’s en bijvoorbeeld niet voor het risico van imagoschade, terwijl dat een van de grootste zorgen van raadsleden is. Inwoners hebben weinig vertrouwen in de gemeente en dat zien zij bijvoorbeeld wel terug in de sociale kracht monitor, maar niet in de P&C-documenten van de gemeente. Imagoschade kan volgens raadsleden een direct gevolg zijn van de financiële en personele risico's die zich voordoen in de gemeente; raadsleden constateren dat het regelmatig voorkomt dat projecten op de lange baan worden geschoven door een tekort aan middelen. Raadsleden geven aan dat de raad vaak pas achteraf wordt geïnformeerd over risico’s, wanneer (bij)sturen niet meer mogelijk is.TIM Stichtse Vecht noemen zij als voorbeeld hiervan. Dit werd duurder dan verwacht, maar dat hoorde de gemeenteraad relatief laat en bij doorvragen bleek de benodigde informatie niet voorhanden.

Raadsleden verwachten van de ambtelijke organisatie dat projecten ook tussentijds worden gemonitord zodat men weet hoe de projecten ervoor staan. Een positief voorbeeld is de opvang van ontheemde Oekraieners. Daar was sprake van goed projectmanagement en zijn de risico’s goed in beeld gebracht, terwijl dit een niet te voorzien risico was. De raad werd tijdig betrokken en alle benodigde informatie was beschikbaar. Raadsleden zouden graag eerder meegenomen willen worden wanneer zich risico’s voordoen in de gemeente. Het zou volgens raadsleden bijvoorbeeld helpen wanneer er in raadsvoorstellen per type risico (financieel, personeel, imago) zou worden aangegeven welke risico’s de gemeente loopt. Raadsleden hebben de indruk dat ze juist worden geïnformeerd, maar denken wel dat er meer informatie is die nu niet met hen wordt gedeeld. De gemeenteraad wil relevante informatie ontvangen en daarnaast de mogelijkheid hebben om meer informatie op te vragen. Daarbij realiseren raadsleden zich dat het niet wenselijk is om op detailniveau geïnformeerd te worden, omdat zij dan wel erg veel informatie zouden ontvangen en de raad moet sturen op hoofdlijnen. Desondanks wordt vanuit de ambtelijke organisatie gesignaleerd dat de informatie die door de raad wordt opgevraagd regelmatig vrij gedetailleerd van aard is.

Pagina 25 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

5. Bestuurlijke reactie Datum 19 september 2024 Onderwerp Bestuurlijke reactie rekenkameronderzoek Risicomanagement Bijlage(n) n.v.t. E-mail info@stichtsevecht.nl Beste Rekenkamer, In deze bestuurlijke reactie reageert het college op uw rapport “Risicomanagement in de gemeente Stichtse Vecht”. Allereerst dankt het college de Rekenkamer voor het onderzoek en haar bevindingen. We hebben dit met belangstelling gelezen. We gaan in onze reactie in op de algemene strekking van het rapport en op de aanbevelingen. Samenvatting Het college heeft met belangstelling kennis genomen van het rapport. De conclusies en aanbevelingen plaatst het college in de context van de beweging die in de afgelopen twee jaar in gang is gezet om deze bestuursperiode te bouwen aan een stevig fundament voor Stichtse Vecht. In het programma een begroting gericht op de toekomst werken we aan een nieuwe opzet van de begroting om de inzichtelijkheid te vergroten en de raad beter in staat te stellen de kaderstellende en controlerende rol de vervullen. De focus daarbij ligt op strategisch financieel beleid en monitoren van maatschappelijke effecten. In 2025 evalueren we het programma Een begroting gericht op de toekomst. Lessen uit deze evaluatie geven we mee voor de volgende bestuursperiode.

Het college betrekt daarbij graag de uitkomsten van dit rekenkameronderzoek en de laatste inzichten uit recente artikelen over weerstandsvermogen en (conventioneel) risicomanagement. Het college gaat graag met de raad in gesprek over de visie en informatievoorziening ten aanzien van risicomanagement. Elk jaar blijft er ruimte voor verdere verbetering. In de recent aan de raad aangeboden Begroting 2025 zijn de ambities voor 2025 bepaald. Het actualiseren van het in 2017 vastgestelde risicomanagementbeleid is daarin niet als prioriteit voor 2025 opgenomen. De aanbeveling om het college op te dragen om het risicomanagementbeleid te actualiseren zal integraal gewogen moeten worden ten opzichte van de andere ambities voor 2025. De balans tussen bestuurlijke ambities, de financiële situatie en de ambtelijke organisatie is daarbij een randvoorwaarde. Algehele bestuurlijke reactie op het onderzoek Risicomanagement Bouwen aan een stevig fundament voor Stichtse Vecht Op basis van het coalitieakkoord werkt het college deze bestuursperiode aan het terugbrengen van de balans tussen de bestuurlijke ambities, de financiële positie en de ambtelijke organisatie. Het was noodzakelijk om het fundament van Stichtse Vecht op orde te brengen met als doel om een slagvaardige en Pagina 26 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

betrouwbare lokale overheid te zijn voor onze inwoners, ondernemers en maatschappelijke organisaties. In twee programma’s is de afgelopen twee jaar met focus hard gewerkt aan het vergroten van de werkkracht van de ambtelijke organisatie en het werken aan een toekomstgerichte begroting. Een nieuwe opzet van de begroting was noodzakelijk om de sturing te versterken, tijdig te kunnen anticiperen op ontwikkelingen en heldere keuzes te maken. Met de nieuwe opzet van de begroting moet de raad beter in staat worden gesteld om zijn kaderstellende en controlerende taak uit te voeren. Het vastleggen van de maatschappelijke effecten die we willen bereiken en deze effecten (waar mogelijk) meetbaar maken draagt bij aan een transparante en betrouwbare overheid. Een toekomstgerichte begroting heeft verder als doel om te komen tot een strategisch financieel meerjarenbeleid. Doordat een goede basis is gelegd in de eerste 2 jaar van de coalitieperiode, hebben we meer (in)zicht gekregen in wat nodig is. In de Programmabegroting 2025 implementeren we de nieuwe opzet van de beleidsbegroting volledig met doelenbomen, top beleidsindicatoren en mijlpalen én geven we inzicht in de solide financiële positie op grond van door de raad vastgestelde kaders. Er blijft elk jaar weer ruimte voor verdere verbetering.

Echter, er ligt daarmee - in samenspraak met de raad - een meer beleidsmatige en op sturingsinformatie gebaseerde begroting voor dan aan het begin van de coalitieperiode. In twee nota’s zijn de methodiek en uitgangspunten vastgelegd voor het monitoren van maatschappelijke effecten én het monitoren van hoe solide de financiële positie van Stichtse Vecht is. Deze nota’s en de Begroting 2025 waren ten tijde van de uitvoering van het onderzoek nog niet beschikbaar voor de Rekenkamer. Met deze bestuurlijke reactie stellen we de twee nota’s en de Begroting 2025 beschikbaar aan de Rekenkamer. Recente artikelen over weerstandsvermogen en risicomanagement In 2023 en 2024 zijn verschillende artikelen11 verschenen waarin een kritisch geluid klinkt over de huidige verplichtingen in de paragraaf weerstandsvermogen en risicobeheersing én over conventioneel risicomanagement. In het artikel ‘Verplichte weerstandsratio schept schijnwerkelijkheid’ stellen de auteurs dat de weerstandsparagraaf een doel op zich is geworden. Risico-afwegingen spelen in de politiek-bestuurlijke besluitvorming een belangrijke rol. De auteurs pleiten ervoor die een plaats te geven die het verdient door een extra W-vraag toe te voegen in de beleidsbegroting: ‘Welke onzekerheden, kansen en risico’s, gekoppeld aan de maatschappelijke doelen en opgaven, spelen een rol bij het realiseren van deze doelen en opgaven?’.

In het artikel ‘Van risico’s managen naar belangen afwegen. Is risicomanagement overtollig?’ stelt de auteur dat (conventioneel) risicomanagement nauwelijks toegevoegde waarde heeft behalve het geruststellen van toezichthouders. Een citaat uit het antwoord van de auteur in het artikel: ‘De conventionele insteek ontaard al snel in een illusoir beheerssysteem. Het is zinvoller om ervoor te zorgen dat beslissers worden ondersteund door kritische vrienden, als zij onder onzekerheid evenwichtig moeten omgaan met botsende belangen.’ Het huidige risicomanagementbeleid uit 2017 is gelet op de recente inzichten uit artikelen conventioneel ingestoken: het benoemen van risico’s, beoordelen risicoprofiel, nemen beheersmaatregelen en rapporteren en verantwoorden. De verantwoording in de P&C cyclus is direct gekoppeld aan het weerstandsvermogen en de weerstandsratio. Een van de kengetallen om inzicht te geven in de financiële positie van de gemeente. In de verantwoording is geen koppeling gelegd met de vraag welke onzekerheden, kansen en risico’s een rol spelen bij het realiseren van de maatschappelijke doelen en opgaven. Bij het werken aan verbeteringen en bij actualisatie van het risicomanagementbeleid betrekken we de inzichten uit recente artikelen.

11

Verplichte weerstandsratio schept schijnwerkelijkheid, T. Noordermeer, C. Ravensbergen, H. de Boer, T. Budding, J. de Kruijf en R. van Vugt, TPC, 2023; Van risico’s managen naar belangen afwegen. Is risicomanagement overtollig?, Drs. Marinus de Pooter RA, TPC online, 2024.

Pagina 27 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Aanleiding en doel van het onderzoek Raadsfracties hebben bij gesprekken met de Rekenkamer, mede naar aanleiding van financiële tegenvallers en kostenoverschrijdingen waarmee de raad in de afgelopen jaren is geconfronteerd, zorgen geuit over dergelijke financiële risico’s voor de gemeente. In januari 2017 heeft de gemeenteraad een herziening van het risicomanagementbeleid vastgesteld. De Rekenkamer heeft een onderzoek uitgevoerd naar het risicomanagement in de gemeente Stichtse Vecht. Doelstelling van het onderzoek is het geven van een oordeel over de mate waarin de governance op risicomanagement, de samenwerking tussen risicomanagementfuncties en het risicomanagementproces in de afgelopen vijf jaar adequaat zijn uitgevoerd. De Rekenkamer heeft als hoofdvraag geformuleerd: In hoeverre voldoet het beleidskader van de gemeente Stichtse Vecht aan de normen die aan een adequaat risicobeheerssysteem mogen worden gesteld en hoe functioneert het risicobeheerssysteem in de praktijk? De Rekenkamer concludeert dat risicomanagement in de gemeente Stichtse Vecht op dit moment nog onvoldoende is geborgd en dat de invulling van het risicomanagementproces nog te veel afhankelijk is van de mate waarin het individu er aandacht aan kan en wil besteden. Er bestaat geen eenduidig beeld over wat risicomanagement voor de gemeente Stichtse Vecht betekent en dat er geen eenduidige werkwijze is.

Uit het onderzoek is gebleken dat de gemeente Stichtse Vecht in de afgelopen jaren een fundament heeft neergelegd op basis waarvan het risicomanagementniveau naar een meer volwassen niveau getild kan worden. Het college onderkent dat de doelstelling van het in 2017 vastgestelde herziene risicomanagementbeleid niet is gerealiseerd. Een eenduidige werkwijze, zoals in het beleid vastgelegd, is nog niet geborgd in de organisatie. Een van de doelstellingen was dat de dialoog over risico’s moet bijdragen aan het creëren van een open, lerende en zichzelf verbeterende organisatie. In het coalitieakkoord is de noodzaak onderkend om het fundament van Stichtse Vecht op orde te brengen met als doel om een slagvaardige en betrouwbare lokale overheid te zijn voor onze inwoners, ondernemers en maatschappelijke organisaties. Daaraan is de afgelopen twee jaar met focus hard gewerkt. We zien in het rapport van de Rekenkamer de bevestiging dat dit fundament is gelegd. Het college neemt afstand van de conclusie van de Rekenkamer ‘dat maakt dat de organisatie op het gebied van risico’s kwetsbaar is’. Het college herkent deelconclusie 2 uit het rapport dat het risicobewustzijn binnen de organisatie is toegenomen en dat er aandacht is voor onzekerheden en de mogelijke gevolgen daarvan. Het is herkenbaar dat dit nog deels persoonsafhankelijk is.

We zijn het fundament op orde aan het brengen en implementeren diverse verbeteringen. Denk aan de nieuwe opzet van de beleidsbegroting, inkoopoptimalisatie, projectmatig werken en de trainingen bestuurlijke besluitvorming. We zien dat in de organisatie en met het college op deze thema’s risicodialogen worden gevoerd (ambtelijk en met college). Deze aandacht voor risico’s maakt dat de organisatie niet kwetsbaar is voor risico’s. De nieuwe werkwijze die we ontwikkelingen zal bij actualisatie van het risicomanagementbeleid in beleid worden verankerd. Reactie op de aanbevelingen Het college vraagt aandacht voor het koppelen van de aanbevelingen aan de rol van de raad (kaderstellend en controlerend) en college (uitvoering en bedrijfsvoering). Een aantal aanbevelingen die de uitvoering en bedrijfsvoering raken zijn gericht aan de raad. Dat zou kunnen leiden tot rolverwarring.

Pagina 28 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Aan de raad 1. Draag als raad het college op om het risicomanagementbeleid te actualiseren. Het actualiseren van het in 2017 vastgestelde risicomanagementbeleid is in de Begroting 2025 niet als prioriteit voor 2025 opgenomen. De aanbeveling om het college op te dragen om het risicomanagementbeleid te actualiseren zal integraal gewogen moeten worden ten opzichte van de andere ambities voor 2025. De balans tussen bestuurlijke ambities, de financiële situatie en de ambtelijke organisatie is daarbij een randvoorwaarde. 2. Vraag als raad aan het college om een gesprek te organiseren tussen raad en college over de visie en ambities ten aanzien van risicomanagement en (het detailniveau van) de informatievoorziening over dit onderwerp. Het college gaat graag met de raad in gesprek over de visie en informatievoorziening ten aanzien van risicomanagement. Het huidige risicomanagementbeleid uit 2017 is gelet op de recente inzichten uit artikelen conventioneel ingestoken: het benoemen van risico’s, beoordelen risicoprofiel, nemen beheersmaatregelen en rapporteren en verantwoorden. Het college legt in het gesprek graag de koppeling met de maatschappelijke effecten die we willen bereiken. Welke onzekerheden, kansen en risico’s spelen een rol bij het realiseren van deze doelen en opgaven? Aan de raad en het college 3. Expliciteer de risicobereidheid van de gemeente.

In het raadsvoorstel Nota Solide financiële positie gemeente Stichtse Vecht 2024 heeft het college een voorstel gedaan om de risicobereidheid van de gemeente te expliciteren. De risicobereidheid of -aversie is bepalend voor welke normen en kritische ondergrens we vaststellen voor de solide financiële positie. In het voorstel zijn drie scenario’s opgenomen: scherp aan de wind (risico bereid), koers houden (neutraal) en manoeuvreerruimte (risico mijdend). Het college acht het niet wenselijk de risicobereidheid bij de uitvoering van beleid te bepalen per programma, doelstelling, project of proces. 4. Voer in de raad en tussen raad en college het gesprek over wat moet worden bereikt, welke risico’s daarbij worden gelopen, hoe die risico’s te beheersen en hoe dat zich verhoudt ten opzichte van het te bereiken doel. In de Programmabegroting 2025 implementeren we de nieuwe opzet van de beleidsbegroting volledig met doelenbomen, top beleidsindicatoren en mijlpalen én geven we inzicht in de solide financiële positie op grond van door de raad vastgestelde kaders. Vanuit inzicht in waar we nu staan in het realiseren van maatschappelijke effecten (op de lange termijn) én in de solide financiële positie kunnen raad en college het gesprek over de doelen die we willen bereiken voeren. In dat gesprek kunnen risico’s die we daarbij lopen aan bod komen. Aan het college 5.

Risicomanagement en de inbedding daarvan in het dagelijks werk van medewerkers zou gebaat zijn bij een gedeelde visie op risico's en hoe de organisatie hiermee om wil gaan. De directie geeft met de concernagenda richting aan de onderwerpen waaraan met focus wordt gewerkt aan verbeteringen. Inbedding van omgaan met onzekerheden, risico’s en kansen is bij een aantal onderwerpen onderdeel van de verbeteragenda. Denk aan kwaliteit bestuurlijke stukken en projectmatig werken.

Pagina 29 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Tenslotte We danken de Rekenkamer nogmaals voor dit onderzoek en de aanbevelingen. Het college gaat graag met de raad in gesprek omtrent de bevindingen van de Rekenkamer, in de context van de beweging die in de afgelopen twee jaar in gang is gezet om deze bestuursperiode te bouwen aan een stevig fundament voor Stichtse Vecht en de laatste inzichten uit recente artikelen over weerstandsvermogen en (conventioneel) risicomanagement.

Met vriendelijke groet,

Burgemeester en wethouders van Stichtse Vecht,

drs. A.J.H.T.H. Reinders

drs. R.C.L. Heijdra

burgemeester

gemeentesecretaris/algemeen directeur

Pagina 30 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

6. Nawoord rekenkamer Rekenkamer Stichtse Vecht heeft op 10 oktober van het college een uitgebreide reactie op het rapport ontvangen, waarvoor dank. Wij zullen op de bestuurlijke reactie beknopt reageren. In de reactie erkent het college dat de doelstellingen uit 2017 niet zijn behaald, maar wordt ontkend dat de gemeente daardoor kwetsbaar is. Uit de reactie is ons niet altijd duidelijk of het college onze aanbevelingen al dan niet overneemt. Deze onduidelijkheid vinden wij niet behulpzaam voor de behandeling van het rapport en het begeleidend raadsvoorstel door de raad. De insteek van de rekenkamer bij elk onderzoek is om een evenwichtig beeld van de huidige stand van zaken te schetsen en te komen tot herkenbare conclusies en constructieve en ontwikkelingsgerichte aanbevelingen. Wij vinden het daarom teleurstellend dat de bestuurlijke reactie ontwijkend overkomt en getuigt van weinig bereidheid en/of vermogen tot reflectie. Het bijzondere hieraan is dat het college wel onderschrijft dat er geen eenduidig beeld bestaat over wat risicomanagement voor de gemeente Stichtse Vecht betekent en dat er geen eenduidige werkwijze is. De consequentie hiervan, dat je hierdoor kwetsbaar bent en dus aanvullende maatregelen nodig kunnen zijn, wordt echter niet omarmd. In de reactie neemt het college afstand van het belang van risicomanagement.

Het college herkent weliswaar dat het huidige risicomanagementbeleid van de gemeente uit 2017 conventioneel (procesmatig, onwenselijk) is ingestoken en dat het college graag de koppeling legt tussen risico's en maatschappelijke effecten (de wenselijke brede relatie met doelstellingen). Maar de boodschap van het college is dat risicomanagement leidt tot een “illusoir beheerssysteem”. De rekenkamer benadrukt dat risicomanagement essentieel is om de basis op orde te krijgen door het inbouwen in bestaande processen en rollen. Daarmee kan de organisatie meer (in)zicht en vervolgens grip krijgen op onzekerheden bij interne en externe ontwikkelingen en kan zij beheersmaatregelen treffen om risico’s te beperken. Dit sluit aan bij de wereldwijd breed omarmde benadering om risicomanagement te integreren in alle sturing en beheersing van een organisatie, zoals bij het bepalen van doelstellingen, bij toezicht of bij verantwoording en rapportage. Gelet op de recente kwesties die gespeeld hebben én spelen in Stichtse Vecht is het volgens de rekenkamer verstandig om het belang hiervan niet te bagatelliseren. Bij de derde en vierde aanbeveling versmalt het college de benadering van risicomanagement door enkel de solide financiële positie leidend te verklaren voor risicobereidheid en leidend voor de opzet van de beleidsbegroting.

Dit gaat voorbij aan andere risico's (bijvoorbeeld imago of juridisch) bij het behalen van maatschappelijke doelstellingen. Het is daarbij van belang dat raad en college voor elk belangrijk proces of project apart de risicobereidheid vaststellen. Het bepalen van een algemeen geldende risicobereidheid leidt tot zeer risicoavers beleid op elk terrein, omdat men bij het grootste risico, bijvoorbeeld cybersecurity, geen enkel risico zal willen nemen. Wij zien de behandeling van het rapport en het gesprek hierover tussen raad en college met belangstelling tegemoet.

Pagina 31 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Bijlage 1 | Normenkader Onderzoeksvraag

Norm

Bevinding per norm

●

In het beleidskader zijn onder andere de volgende onderwerpen uitgewerkt: ○ doelstellingen (SMART); ○ verantwoordelijkheden; ○ risicomanagementproces inclusief monitoring en evaluatie; ○ communicatie en rapportage; ○ eisen aan weerstandsvermogen. Het beleidskader gaat ook in op toezicht op en risicomanagement bij verbonden partijen. Het beleidskader is actueel. Het beleidskader voldoet aan de wet- en regelgeving.

In het beleidskader komen de genoemde onderwerpen aan de orde, maar is de beschrijving van de wijze waarop verantwoordelijkheden zijn belegd onvoldoende uitgewerkt.

Het besluitvormingsproces met betrekking tot risicomanagement is gedocumenteerd. De risicoverantwoordelijkheid (eerste lijn), de ondersteuning/monitoring-rol (tweede lijn) en interne audit (derde lijn) zijn helder belegd. Betrokken personen weten wat hun rol is en voor welke taken binnen het risicomanagement zij verantwoordelijk zijn. De wijze waarop risico's worden geïdentificeerd, geanalyseerd, gecommuniceerd, gemitigeerd en gemonitord is gedocumenteerd.

Het besluitvormingsproces met betrekking tot risicomanagement is beschreven in het beleid.

●

De processtappen binnen het risicomanagement worden periodiek getoetst en geactualiseerd waar dat nodig blijkt.

Op basis van dit onderzoek is gebleken dat de processtappen van het risicomanagement niet periodiek worden getoetst en geactualiseerd. De laatste formele evaluatie vond plaats in 2016.

●

De gemeente beschikt over een protocol voor een situatie wanneer een risico zich daadwerkelijk voordoet.

De gemeente beschikt niet over een protocol voor een situatie wanneer een risico zich voordoet.

●

Voor het beheersen van de risico’s zijn beheersmaatregelen ontwikkeld. De gemeente actualiseert periodiek de geïnventariseerde, geanalyseerde en beoordeelde risico’s.

Het actualiseren van risico’s gebeurt periodiek in de planning- en controlproducten en incidenteel bij het afronden van grote projecten waarbij het risicomanagement onderdeel is van een bredere, informele evaluatie.

Beleid risicomanagement

1. Welk beleid heeft de gemeente geformuleerd op het gebied van risicomanagement?

●

● ● risicomanagementbeleid actueel, inzichtelijk, volledig en rechtmatig? Vormgeving en inrichting risicomanagement

2. Is het

3. Hoe is het risicomanagement qua rollen, taken en bevoegdheden intern georganiseerd?

● ●

●

4. Is het risicomanagement op

●

een adequate wijze vormgegeven en ingericht?

●

De wijze waarop risicomanagement vorm krijgt ten aanzien van verbonden partijen wordt beschreven in de Nota verbonden partijen. Het beleid van de gemeente is niet actueel en niet volledig en duidelijk waar het gaat om de wijze waarop verantwoordelijkheden zijn belegd.

De verdeling van rollen, taken en verantwoordelijkheden tussen eerste, tweede en derde lijn is in zowel het beleid als de praktijk onvoldoende duidelijk belegd. Stichtse Vecht zet sinds enkele jaren meer in op het vormgeven en borgen van het risicomanagementproces. Het projectmatig werken is hieraan ondersteunend.

Pagina 32 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

●

De gemeente actualiseert en evalueert periodiek de getroffen beheersmaatregelen op effectiviteit.

Op basis van dit onderzoek blijkt dat de effecten van de getroffen beheersmaatregelen niet periodiek worden geactualiseerd en geëvalueerd.

●

De directie promoot risicomanagement actief (tone-at-the-top). Er wordt binnen de organisatie aandacht besteed aan de opleiding op het gebied van risicomanagement. Er is voldoende budget aanwezig om risicomanagement vorm te geven.

Binnen het college is in toenemende mate aandacht voor risicomanagement. In hoeverre het college expliciete beleidsdoelstellingen formuleert om het risicobewustzijn in de organisatie te vergroten, is uit dit onderzoek niet duidelijk geworden. Van een aanjagende rol is geen sprake.

Rolneming en cultuur

5. In welke mate is er sprake van risicobewustzijn onder medewerkers en in hoeverre draagt de huidige inrichting daaraan bij?

●

●

Het college zorgt voor de beschikbaarheid van ondersteunende middelen ten aanzien van het risicomanagement in de organisatie. Het opleidingsaanbod is daarin het meest genoemde instrument.

6. Wanneer risico’s zich voordoen, wordt daar dan adequaat op gestuurd teneinde het nadelige effect zoveel als mogelijk te beperken?

●

Risico-zelfevaluatie en risico-dialoog worden gestimuleerd.

Risico-zelfevaluatie en -dialoog, waarin geleerd wordt van eventuele incidenten maar ook van successen, vinden niet gestructureerd plaats. Uitzondering is de algemene evaluatie wanneer grote projecten worden afgerond, in het bijzonder in het fysieke domein.

●

De cultuur in de organisatie is zodanig dat medewerkers hun zorgen durven uiten doordat fouten en incidenten gezien worden als leerpunten.

●

De inventarisatie, analyse en beoordeling van risico’s vinden op een gestructureerde, objectieve, onderbouwde en systematische wijze plaats. De reactie op risico’s die zich voordoen is tijdig en effectief.

De cultuur in de organisatie is in toenemende mate zodanig dat medewerkers hun zorgen uiten ten aanzien van potentiële risico’s. Wel is dit erg persoonsgebonden. Stichtse Vecht stuurt middels een integraal risicomodel op risico’s. De gemeente heeft een risicokaart aan de hand waarvan risico’s geïdentificeerd en geanalyseerd kunnen worden. In hoeverre dat consequent en op eenduidige wijze gebeurt is in dit onderzoek niet vastgesteld. Beheersmaatregelen worden bedacht en getroffen, waarna een deel wordt gemonitord. Van evaluatie van risicomanagement is geen sprake. In deze werkwijze is de organisatie beperkt lerend. Tot 2024 was het aantal kengetallen beperkt waardoor de monitoringsmogelijkheden ook beperkt waren.

●

Op basis van dit onderzoek is er geen reden om aan te nemen dat de reactie op risico’s niet tijdig is. Voor de effectiviteit van de reactie verwijzen we naar de hiervoor genoemde norm.

Pagina 33 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

7.

In hoeverre stuurt het college op risicobewustzijn van de organisatie?

●

●

●

Het college stelt expliciete beleidsdoelstellingen om het risicobewustzijn in de organisatie te vergroten. Het college zorgt voor de beschikbaarheid van ondersteunende middelen zoals opleidingen en trainingen op dit onderwerp. Er is een actueel (digitaal) risicoregister.

8.

Is de risicomanagementgedachte integraal onderdeel van de werkwijze van de organisatie in besluitvormingstrajecten?

●

Risicomanagement is, op basis van vastgesteld beleid, geïntegreerd in de planning en uitvoering van projecten en beleidsinitiatieven. ● De gemeente beschikt over rapportage- en verantwoordingsmechanismen waarbij de integratie van risicomanagement in besluitvormingstrajecten wordt gedocumenteerd en gerapporteerd. Informatievoorziening en kaderstellende en controlerende rol raad 9.

In hoeverre zijn er afspraken vastgelegd over de inrichting van de informatievoorziening van college naar raad (frequentie, tijdigheid, inhoud en vorm)?

Afspraken over informatievoorziening richten zich op: ● Tijdige en actuele rapportage van de belangrijke en relevante risico’s, kans en impact, risicostrategie en (voortgang van) beheersmaatregelen, ● Informatievoorziening is begrijpelijk (bijvoorbeeld vaktermen worden toegelicht), actueel, eenduidig en concreet. ● De informatievoorziening betreft naast financiële, ook imago-, beleids-, juridische en personele risico’s. ● Het college informeert de gemeenteraad overeenkomstig de afspraken over risico informatiebehoefte. ● De raad wordt geïnformeerd over de beschikbare en de benodigde weerstandscapaciteit en de weerstandsratio.

10. Is de informatievoorziening aan de raad over de risico’s/de uitvoering van het risicomanagementbeleid tijdig, toegankelijk en volledig?

11. In hoeverre en op welke wijze geeft de raad op basis van de ontvangen informatie invulling aan zijn kaderstellende en controlerende taak?

●

● ●

De gemeenteraad kan op basis van de ontvangen informatie zijn kaderstellende en controlerende taak t.a.v. risicomanagement uitvoeren. De gemeenteraad stelt duidelijke kaders t.a.v. risicomanagement van de gemeente. De gemeenteraad vult zijn kaderstellende rol t.a.v. risicomanagement van de gemeente op

Uit dit onderzoek is niet gebleken dat het college expliciete beleidsdoelstellingen stelt om het risicobewustzijn in de organisatie te vergroten anders dan dat zij een standaard opleiding aanbiedt. Het college zorgt voor de beschikbaarheid van ondersteunende middelen ten aanzien van het risicomanagement in de organisatie. Het opleidingsaanbod is daarin het meest genoemde instrument. De gemeente kent een risicoregister in Naris. Middels projectmatig werken, de P&C-cyclus en bestuurlijke besluitvorming (college- en raadsvoorstellen), is risicomanagement onderdeel van besluitvormingstrajecten en wordt hierover gerapporteerd.

De raad wordt geïnformeerd over risico’s middels de P&C-documenten, als onderdeel van raadsvoorstellen en tussentijds bij budgetoverschrijdingen. Raadsleden geven aan de huidige informatievoorziening als onvoldoende tijdig en volledig te zien. De informatievoorziening is in de beleving van raadsleden te veel gericht op de financiële risico’s. Er zijn geen aanvullende afspraken gemaakt tussen college en raad over de informatievoorziening over risico’s, anders dan wat er in het beleid en de formats college- en raadsvoorstellen staat.. De raad wordt middels de P&C-cyclus geïnformeerd over de beschikbare en de benodigde weerstandscapaciteit en de weerstandsratio. Raadsleden zien de huidige informatievoorziening als niet toereikend om invulling te kunnen geven aan hun rollen. Raadsleden stellen vragen over risico’s bij het bespreken van de P&C-documenten. Raadsleden zien de nieuwe inrichting van de begroting als kans om het sturen op risico’s in de toekomst beter te borgen.

Pagina 34 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

een adequate wijze in: de raad stuurt, wanneer dit nodig is, tijdig bij. Hij stuurt op hoofdlijnen, et cetera. Lerend vermogen 12. Wat zijn de geleerde lessen bij risicovolle ontwikkelingen of gebeurtenissen in Stichtse Vecht uit de afgelopen vijf jaar?

Zie conclusies en aanbevelingen.

Pagina 35 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Bijlage 2 | Bestudeerde documenten ● ● ● ● ● ●

Nota risicomanagementbeleid Stichtse Vecht, 11 oktober 2012. Nota herziening risicomanagementbeleid Stichtse Vecht, 8 november 2016. M. Schreyer, Risicomanagement onder de loep, Hogeschool van Amsterdam, juni 2016. Nota verbonden partijen 2018 Gemeente Stichtse Vecht Raadsvragen, moties, raadsvoorstellen/-besluiten 2019-2023. Reguliere P&C-documenten (begrotingen en jaarstukken) van 2019-2023.

Pagina 36 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Bijlage 3 | Casusonderzoek Casus 1 Personeel Kader In 2020 is onderzoek gedaan naar risico’s op personeelstekort bij Nederlandse gemeenten12. Hoewel vrij breed onderkend wordt dat gemeenten een mogelijk risico lopen onvoldoende personeel in dienst te zullen hebben in de toekomst om de diverse activiteiten te kunnen ontplooien, rapporteerde nog geen een op de vier gemeenten (22,5%) hierover in de daarvoor voordehand liggende onderdelen van de begroting. Juist de paragraaf Weerstandsvermogen en risicobeheersing alsmede de paragraaf Bedrijfsvoering zijn erop gericht om over dit soort zaken te rapporteren. Het onderzoek laat zien dat er bij Nederlandse gemeenten verbeterpotentieel is. Bij dit casusonderzoek personeel Stichtse Vecht is aan de hand van het in het onderzoek geschetste kader onderzocht in hoeverre het risicomanagement de afgelopen jaren adequaat was voor wat betreft het onderkennen van personele risico’s en daarover met elkaar het gesprek voeren. Getoetst is hoe gerapporteerd wordt in verantwoordingsdocumenten zoals begroting en de jaarrekening over personele risico’s. Zijn de belangrijke risico’s geïdentificeerd, zijn er maatregelen genomen en is inzicht gegeven in de stand van zaken en de personele beleidsvoornemens ten aanzien van de bedrijfsvoering. Risico’s, response, beheersmaatregelen en monitoring 1.

Door betrokken medewerkers wordt het volgende toegelicht over personele risico’s13: a. Het grootste risico is het hebben van veel openstaande vacatures in een krappe arbeidsmarkt. De continuïteit van de bedrijfsvoering/ dienstverlening komt in het gedrang. Hier is de organisatie al twee jaar mee bezig. b. Hoge uitstroom en hoog verzuim. c. (Veel) inhuur en verlies aan kennis en kunde is wel gesignaleerd, maar wordt nog niet genoemd als risico. 2. Op basis van de beoordeling van jaarverslag 2022, bestuursrapportage 2023 en de ‘Staat van de organisatie’ 2023 en 2024 blijkt dat de belangrijke personele aandachtspunten worden behandeld: a. Invullen van vacatures. b. Het terugbrengen van ziekteverzuim. c. Het terugdringen verloop. d. Het koesteren, waarderen en blijven boeien van huidige medewerkers. e. Inhuur wordt niet genoemd als aandachtspunt. 3. In de genoemde planning- en verantwoordingsdocumenten zijn: a. Kengetallen opgenomen over vacatures, verloop (in- en uitstroom) en over verzuim. b. Kengetallen over inhuur zijn in ontwikkeling. c. Sinds 2021 wordt periodiek de welzijnsenquête uitgevoerd. 12

Postma, D., van de Ven, L., Budding, G., & Ormel, E. (2020). Risico op personeelstekort gemeenten onvoldoende onderkend in begroting. Tijdschrift B&G, 2020. 13 Verslag focusgroep bedrijfsvoering 7 maart 2024.

Pagina 37 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

d. Sinds Q1 2024 wordt periodiek het medewerkersonderzoek uitgevoerd (2DAYSMOOD). Deze laatste bevindingen sluiten aan bij de opmerking van een respondent dat monitoren in het verleden maar beperkt kon door de minimale kengetallen. Dat wordt beter door de nieuwe werkwijze sinds 1 januari 2024. 4. De onderliggende risico’s14 van de personele aandachtspunten worden niet toegelicht of gekwantificeerd. Denk daarbij aan de mogelijke gevolgen van personeelstekort, hoog verzuim of hoog verloop voor de dienstverlening. Conclusie casusonderzoek risicomanagement personeel De bij ‘personeel’ van de Stichtse Vecht betrokken medewerkers tonen zich risicobewust; op verschillende momenten en op verschillende manieren wordt door de ambtelijke organisatie verantwoording afgelegd aan de gemeenteraad over personeel. De belangrijkste personele aandachtspunten zoals ‘voldoende personeel’, verloop, verzuim en behoud worden geagendeerd en er worden acties toegelicht om de continuïteit en kwaliteit van personeel te verbeteren. De kwaliteit van sturing en beheersing van de personele processen kan verbeteren met het rapporteren van kengetallen en prestatie-indicatoren over met name werving, selectie en plaatsing en bijvoorbeeld over medewerkerstevredenheid. Kengetallen over medewerkerstevredenheid zijn sinds Q2 2024 beschikbaar.

Toegelicht wordt dat verbetering wordt verwacht met de introductie van een nieuwe werkwijze die is gestart per 1 januari 2024. De kwaliteit van risicomanagement van personele processen kan verbeteren door de ‘risico-dialoog’ die gevoerd wordt een concrete weerslag te geven in de onderdelen van de planning en controlcyclus. Dat kan bijvoorbeeld met het introduceren van een 4e W-vraag.

14

Volgens COSO ERM 2017 (Enterprise Risk Management - Integrating with Strategy and Performance) wordt een risico gedefinieerd als de mogelijkheid dat onzekere gebeurtenissen of omstandigheden zich voordoen en een negatief effect hebben op het bereiken van de doelstellingen van de organisatie. Effectief risicomanagement richt zich op het begrijpen, beoordelen en beheersen van deze risico's.

Pagina 38 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Casus 2 Informatiebeveiliging Informatiebeveiliging en risico’s Onder informatiebeveiliging wordt in de gemeente Stichtse Vecht verstaan het treffen en onderhouden van een samenhangend pakket van maatregelen om de betrouwbaarheid van de informatievoorziening aantoonbaar te waarborgen. Kernpunten daarbij zijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van persoonsgegevens en andere informatie.15 In het informatiebeveiligingsbeleid van de gemeente Stichtse Vecht staat aangegeven dat de gemeente een aanpak van informatieveiligheid volgt op basis van risicobeheersing. Het streven naar 100% veiligheid is niet het uitgangspunt, het uitgangspunt is optimale beveiliging van informatie. Het richt zich op de bescherming van informatie tegen bedreigingen en gaat in principe uit van de beantwoording van drie vragen:16 1. Wat zijn voor ons de meest waardevolle processen, informatiesystemen en informatie? 2. Welke gebeurtenissen kunnen schade toebrengen aan deze waardevolle informatiesystemen en informatie? 3. Wat doen we wel en vooral ook niet om deze informatiesystemen en informatie te beschermen tegen deze gebeurtenissen? Het informatiebeveiligingsbeleid wordt in 2024 geactualiseerd als gevolg van ontwikkelingen in nationale en Europese wetgeving.

Het risico van gijzeling van informatie of systemen en cybercrime is opgenomen als een van de grootste risicogebieden ten aanzien van bedrijfsvoering in planning- en control documenten van de gemeente Stichtse Vecht. In de Jaarstukken 2022 geeft de gemeente met betrekking tot dit risico aan: “Het is niet zozeer de vraag of we als gemeente aangevallen gaan worden, maar wanneer.” De gemeente constateert dat beveiligingsincidenten bij andere gemeenten laten zien dat risico’s toenemen, zowel in kans als impact, met name de impact op het financiële, juridische en personele aspect. Ook kan een gijzeling van informatie of systemen leiden tot imagoschade voor de gemeente en bestuurders. Vervolgens worden de verschillende typen risico’s (tot op zekere hoogte) uitgewerkt. In 2022 wordt het risico van gijzeling van informatie of systemen en cybercrime hoger ingeschat dan in de voorgaande jaren. Voor verschillende specifieke risico’s die direct verband houden met informatiebeveiliging wordt een inschatting gemaakt van de kans dat het betreffende risico zich voordoet en de financiële gevolgen daarvan, bijvoorbeeld: gijzeling van informatie of systemen (kans 50%, ingeschatte financiële gevolgen 2 miljoen euro) en beveiliging en uitval ICT (kans 50%, ingeschatte financiële gevolgen 1 miljoen euro).

Daarnaast worden er meer algemene risico’s benoemd, zoals het niet (blijvend) kunnen waarborgen van de continuïteit van de dienstverlening (kans 90%, ingeschatte financiële gevolgen 2 miljoen euro), waar (tekortschietende) informatiebeveiliging, maar ook andere factoren zoals personele krapte, op van invloed kunnen zijn. Het identificeren en kwantificeren van risico’s Het college van B&W is eindverantwoordelijke voor de informatiebeveiliging. De uitvoering van de informatiebeveiliging is een verantwoordelijkheid van het lijnmanagement, in het bijzonder de teammanagers. De Chief Information Security Officer (CISO) ondersteunt vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover rechtstreeks aan de directie.

15

16

Strategisch Gemeentelijk Informatiebeveiligingsbeleid 2020 - 2023, p.5. Strategisch Gemeentelijk Informatiebeveiligingsbeleid 2020 - 2023, p.10.

Pagina 39 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Informatiebeveiliging wordt gezien als een continu verbeterproces waarbij de PDCA-cyclus het management systeem van informatiebeveiliging vormt.17 Bij de ambtelijke organisatie is nagevraagd hoe hier in de praktijk invulling aan wordt gegeven. Opgemerkt wordt dat het beleid de strategie is om de stip op de horizon te bereiken. De uitvoering wordt uitgewerkt in een jaaropdracht en hierover wordt periodiek verantwoording afgelegd zodat er sturing op kan plaatsvinden. In het beleid wordt gesproken over rollen, verantwoordelijkheden en eigenaarschap en het afgelopen jaar zijn daarin goede stappen gezet. Directie en managers zijn proceseigenaar en zij zijn zich bewust van eigenaarschap, kansen en risico’s, zo wordt geconstateerd vanuit de ambtelijke organisatie. Risico’s, zoals bijvoorbeeld uitval ICT en gijzeling informatie en systeem, hebben een eigenaar en twee keer per jaar vindt er een herijking plaats. Nagegaan wordt of de maatregelen nog effectief zijn als het risico zich voordoet of dat het risico is gemitigeerd door de maatregelen. Risico’s die na het bepalen van beheersmaatregelen materieel zijn, worden opgenomen in het weerstandsvermogen. In het beleid staat dat deze methodiek aansluit bij het Three Lines of Defence-model. Door de ambtelijke organisatie wordt dit als volgt toegelicht.

De eerste lijn (business en de teams) is primair verantwoordelijk voor de doelstellingen, uitvoering en risico’s. De tweede lijn (onder andere de CISO en de PO) is kaderstellend en adviserend en de derde lijn (Interne Controle, FG en auditor) is controlerend, onafhankelijk en toetst of maatregelen juist zijn geïmplementeerd. In de gemeente Stichtse Vecht wordt de 2e en 3e lijn met betrekking tot informatiebeveiliging (vaak) uitgevoerd door de CISO. Voor wat betreft de ENSIA-zelfevaluatie is dit niet het geval, hier is een externe auditor bij betrokken. Om in control te zijn en tijdig te kunnen bijsturen is het nodig om controles integraal onderdeel te laten uitmaken van de bedrijfsprocessen. Voor het autorisatiebeheer is dit doorgevoerd en voor Business Continuity staat dit gepland op basis van uitgevoerde impactanalyses. Hierin moeten we groeien naar volwassenheid, aldus de ambtelijke organisatie. De risico’s die zich voordoen met betrekking tot informatiebeveiliging, in het bijzonder het risico van gijzeling van informatie of systemen en cybercrime, worden periodiek beschreven in de P&C-documenten van de gemeente Stichtse Vecht. Het onderwerp wordt behandeld in de paragraaf Weerstandsvermogen en risicobeheersing en in de paragraaf Bedrijfsvoering.

In een interview wordt opgemerkt dat de organisatie in het verleden voor wat betreft ICT niet volledig in control was; zo bleek onverwacht dat het onderhoudscontract van de servers was afgelopen. Het op orde brengen van de organisatie wordt als risicomanagement gezien, waarbij de rol van college en raad van belang worden geacht omdat zij op basis van een beoordeling van nut en noodzaak middelen beschikbaar moeten stellen. Navraag bij de ambtelijke organisatie leert dat de raad naast de informatie via de P&C-documenten ook via de collegeverklaring ENSIA met de bijlages DigiD en Suwinet over informatiebeveiliging wordt geïnformeerd en middels een raadsinformatiebrief wanneer er specifieke zaken spelen. Daarnaast heeft er in 2023 een informatieve sessie plaatsgevonden voor raads- en commissieleden over bewustwording omtrent informatiebeveiliging en gegevensbescherming. In 2024 wil men college en raad met een informatieve sessie meer uitgebreid informeren over informatiebeveiliging en gegevensbescherming. Bij beveiligingsincidenten uit het verleden zijn het college en de raad ook geïnformeerd, aldus de ambtelijke organisatie. Bij de Jaarstukken 2022 heeft de fractie van D66 technische vragen gesteld over informatiebeveiliging.

De fractie vroeg zich af of de gemeente voldoende beveiligd is tegen een cyberaanval en of dit ook regelmatig wordt getest, bijvoorbeeld door vriendelijke hackers. Hierop is geantwoord dat de gemeente in samenwerking met de CISO de informatiebeveiliging zo goed als mogelijk op orde houdt en dat hierbij de 17

Strategisch Gemeentelijk Informatiebeveiligingsbeleid 2020 - 2023, p.14-15.

Pagina 40 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Baseline Informatiebeveiliging Overheid (BIO), het normenkader voor informatiebeveiliging van de overheid, het uitgangspunt is. Er wordt periodiek getest, ook door externe partijen. Opgemerkt wordt dat een cyberaanval nooit uit te sluiten is, maar dat de gemeente zich zo goed als mogelijk heeft voorbereid om adequaat te kunnen reageren op incidenten en de mogelijke impact hiervan te verkleinen. Het treffen en monitoren van maatregelen De gemeente Stichtse Vecht signaleert risico’s met betrekking tot informatiebeveiliging en de mogelijke gevolgen daarvan en treft maatregelen om deze risico’s te mitigeren. Hierbij wordt opgemerkt dat het ook een risico is om de ICT omgeving helemaal dicht te timmeren, omdat medewerkers er dan omheen proberen te werken.

In de P&C-documenten wordt periodiek aandacht besteed aan de maatregelen die de gemeente Stichtse Vecht neemt om de risico’s met betrekking tot informatiebeveiliging te mitigeren. Zo wordt in de Jaarstukken 2022 beschreven dat de gemeente op zoek gaat naar een andere leverancier dan de VNG voor SIEM/SOC18. Daarnaast wordt opgemerkt dat er organisatorische en technische maatregelen worden getroffen, waarbij de BIO het vertrekpunt is. Ook in de Programmabegroting 2024 wordt het onderwerp geadresseerd en worden maatregelen verder uitgewerkt. Het beschermen en beveiligen van gegevens, systemen en in het bijzonder persoonsgegevens is een belangrijk onderdeel van de bedrijfsvoering van de gemeente, zo geeft de gemeente aan. Het gaat om gedrag van medewerkers, het inrichten van processen en procedures en techniek. Informatiebeveiliging wordt gezien als een combinatie van organisatorische en technische maatregelen en de toepassing daarvan. Vervolgens worden verschillende beheersmaatregelen beschreven: het opstellen van een organisatiebreed bedrijfscontinuïteitsplan, acties ten aanzien van de bewustwording van nieuwe en zittende medewerkers, het zoeken van een leverancier van SIEM/SOC en het uitvoeren van een jaarlijkse pentest en een uitwijktest om inzicht te krijgen in de status en effectiviteit van beveiligingsmaatregelen.

In een gesprek wordt opgemerkt dat de gemeente wil leren van de maatregelen die zijn genomen. De gemeente voert in de praktijk verschillende tests uit om te volgen of de getroffen maatregelen het beoogde effect hebben, bijvoorbeeld de jaarlijkse uitwijktest, de jaarlijkse ENSIA-zelfevaluatie19 en een pentest. Ook de accountant constateert in de Boardletter 2023 dat er intern veel aandacht is om de betrouwbaarheid en continuïteit van de IT omgeving te (blijven) verbeteren.

18

Een van de eisen die de BIO stelt aan overheden, is het gebruik van SIEM/SOC. SIEM staat voor Security Information & Event Management, SOC voor Security Operations Center. Door SIEM/SOC worden bedreigingen voor de informatieveiligheid, zoals hackpogingen of malware, beter gemonitord en in kaart gebracht waardoor overheden digitaal weerbaarder worden. 19 Gemeenten verantwoorden zich over informatiebeveiliging middels ENSIA. ENSIA staat voor Eenduidige Normatiek Single Information Audit. ENSIA wordt door het gemeentebestuur onder meer gebruikt om zich richting de gemeenteraad te verantwoorden over de staat van informatiebeveiliging op basis van de BIO. De informatie waarmee de horizontale verantwoording van college richting gemeenteraad plaatsvindt, vindt in principe ook de verticale verantwoording richting het Rijk plaats. De verantwoording middels ENSIA over informatieveiligheid sluit aan op de planning- en controlcyclus van de gemeente.

Pagina 41 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Casus 3 Onderhoud openbare ruimte De opgaven in de openbare ruimte20 zijn groot en vragen om forse investeringen waarvoor structurele dekking van de kapitaal-, afschrijving- en beheer- en onderhoudslasten noodzakelijk is. Dat heeft, direct of indirect, invloed op de risico’s in de openbare ruimte. De gemeente Stichtse Vecht is een gemeente met twaalf kernen in het landelijk gebied rondom de Vecht. Het is ook een heel groene gemeente met ruim 52 kilometer hagen, 60 hectare gazon, 110 hectare bermen, 3,3 hectare heesters, rozen en vaste planten, 31.600 bomen.21 Beleid Stichtse Vecht heeft gekozen voor een degelijk en functioneel onderhoudsniveau (niveau B) in de woonwijken en winkelgebieden. En onderhoudsniveau C in het buitengebied van Stichtse Vecht. De voorwaarden voor de inrichting en het onderhoud van de openbare ruimte, met name de technische en financiële beheerbaarheid, zijn beschreven in de Leidraad Inrichting Openbare Ruimte (LIOR).22 Hierin zijn onder andere de basiseisen uit de Omgevingsvisie opgenomen. Inrichtingsplannen en ontwerpen worden getoetst aan de LIOR.

Het Integraal Handhavingsbeleid Gemeente Stichtse Vecht 2015- 2018 (1e wijziging) is voor de onderzoeksperiode (2019-2023) het geldende beleidskader als het gaat om de handhaving van de openbare ruimte.23 Uitvoering Het Integraal Beheer van de Openbare Ruimte (IBOR) is sinds 2022 in vijf delen opgeknipt, waarmee de kans op onderlinge beïnvloeding sterk verminderd is. Ieder bestek heeft een eigen specialistisch werkpakket. Met deze opzet hebben lokale bedrijven meer kansen gehad om in te kunnen schrijven. Vanuit de gemeente is het makkelijker directievoering en toezicht te houden en is het ook makkelijker om over deze deelbestekken heen te regisseren.

20

Op basis van hun aandeel in de benodigde weerstandscapaciteit, vormen de risico's in het fysieke domein een derde van alle risico’s van 2022 tot en met 2022. Daarmee heeft dit domein sinds 2020 het grootste risicoprofiel. Sinds 2023 is ‘bestuur’ met 46% het grootste risicoprofiel, na sociaal (24%) komt fysiek (19%). 21 Gemeente Stichtse Vecht Onderhoud aan het openbaar groen 22 Leidraad Inrichting Openbare Ruimte LIOR - Stichtse Vecht 13 december 2022 23 Integraal handhavingsbeleid Gemeente Stichtse Vecht 2015- 2018 1e wijziging

Pagina 42 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

Risicomanagement Uit de focusgroep blijkt dat de gemeente Stichtse Vecht het onderhoud van de openbare ruimte prestatieen risicogestuurd benadert, waarbij de focus ligt op het verstrekken van de juiste informatie aan de raad om besluitvorming te ondersteunen. Echter, ondanks de wens om een hoog niveau van openbare ruimte te handhaven, ontbreekt het vaak aan voldoende middelen en uitvoeringskracht. Binnen het fysieke domein is risicomanagement een integraal onderdeel van het dagelijkse werk van managers en projectleiders, zij het vaak niet expliciet als zodanig benoemd. De gemeente heeft de afgelopen jaren veel ondernomen om risicobeheersing te verbeteren, zoals het vaststellen van een handboek voor projectmatig werken en het invoeren van uniforme formats voor rapportage en besluitvorming. Desondanks blijft risicomanagement op verschillende niveaus en binnen verschillende taakvelden divers van aanpak en benadering. Het gebrek aan een uniforme definitie van risicomanagement in de organisatie en de variërende snelheid van implementatie van risicomanagement, illustreren de uitdagingen waarmee de gemeente te maken heeft.

Terwijl de gemeente zich richt op het versterken van haar risicobeheersing, blijft de behoefte aan continue aandacht voor bestuurlijke en financiële risico's en het bevorderen van een cultuur van professioneel opdrachtgeverschap essentieel om de doelstellingen in het onderhoud van de openbare ruimte te realiseren. Risico’s In deze paragraaf worden de drie voornaamste risico’s, zoals opgenomen in de begrotingen van de periode 2019 tot en met 2023, ten aanzien van het onderhoud openbare ruimte geanalyseerd. Kockengen Waterproof Tussen 2019 en 2022 was het project Kockengen Waterproof één van de grootste risico’s binnen het programma Fysiek. De tuinen en openbare ruimten van dit dorp, die niet onderheid zijn, verzakten vanwege de ligging op veengrond. Bij hevige regenbuien liepen straten daardoor onder. De gemeente is, met veel partners, sinds 2015 stapsgewijs en bezig om maatregelen door te voeren. In de programmabegrotingen van die jaren is het risico geduid als zijnde financieel: financiële risico’s die in eerste aanleg het gebiedsproces betreffen, alsmede het verleggen van de hoofdriolering en het herstel aan kabels en leidingen om de veiligheid te kunnen garanderen. Naast het financiële risico blijkt ook dat er een veiligheidsrisico bestaat en in mindere mate een imagorisico omdat dit inwoners direct raakt.

Het proces van het in kaart brengen en communiceren van risico's begint met de projectleider, die verantwoordelijk is voor het initiëren van de communicatie. De projectleider brengt de risico's eerst over naar de manager en de ambtelijk opdrachtgever, die in sommige gevallen dezelfde persoon kunnen zijn. Hierbij wordt ook afgestemd met de risicomanager van de gemeente om de betrokkenheid van relevante belanghebbenden te waarborgen. Bovendien wordt er in dit project ook afgestemd met de financieel adviseur, met name vanwege de P&C-cyclus. Afhankelijk van de benadering van de projectleider kan de communicatie zich beperken tot de jaarrekening, maar voor dit project wordt deze ook opgenomen in voortgangsrapportages, aangezien deze gekoppeld zijn aan de Planning & Control-cyclus. Pagina 43 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

In de periode 2019 - 2022 zijn verschillende beheersmaatregelen gecommuniceerd: 1. Permanente metingen van reeds aangelegde weghoogtes uitvoeren en bij versnelde daling aanpassingen maken aan nog te realiseren deelprojecten. 2. Alert zijn op de wijze van aanbesteding, met name met betrekking tot materialen. 3. Actief informeren van bewoners over nut en noodzaak. 4. Het bieden van maatwerk voor het verleggen van huisaansluitingen. 5. Opstellen van een onderhoudsprogramma en beheerplan. 6. Uitvoeren van (historisch) vooronderzoek en extra boringen, en proefsleuven uitvoeren bij de voorbereiding van fases op basis van kennis van eerdere fases. 7. Berekening van te verwachten meerkosten en een raadsvoorstel daarover presenteren in het najaar van 2021. 8. Starten van een pilot om verdere maatregelen te bepalen. Beheersmaatregelen voor risico's worden bepaald door de projectleider op basis van hun expertise, waarbij zij een inschatting maken van passende maatregelen. Deze voorgestelde maatregelen worden vervolgens gecontroleerd en afgestemd met de risicomanager en de ambtelijk opdrachtgever om de relevantie en effectiviteit te waarborgen. Het uiteindelijke besluit over de formulering van beheersmaatregelen wordt genomen door de gemeentesecretaris, die een bepalende stem heeft met betrekking tot de jaarrekening.

Voor dit project geldt overigens dat zich in de afgelopen jaren nog geen risico’s hebben voorgedaan. Het proces van risicomanagement had beter gekund door bewust en expliciet stil te staan bij risico's in het proces rondom de voortgangsrapportages. Daarbij had meer nadruk kunnen liggen op de rol van de manager en de ambtelijk opdrachtgever zodat het niet uitsluitend afhankelijk zou zijn van de inschattingen van de projectleider. Dit zou helpen om het risicomanagement beter te laten landen in het systeem. Een les voor de toekomst is om een exercitie zoals bij de jaarrekening tussentijds toe te passen, waarbij alle risico's periodiek worden doorgenomen om een gedegen beheersing te waarborgen. Het tijdelijk niet of onvoldoende kunnen gebruiken van kunstwerken Over de gehele onderzoeksperiode (2019 - 2023) is dit thema als risico benoemd. Het areaal van de gemeente Stichtse Vecht omvat 1.506 civiele kunstwerken. Het risico gaat met name over de bruggen, daar waar er 209 van zijn in de gemeente. Aanleiding is dat de gemeente ad hoc en zonder gestructureerde aanpak kunstwerken beheerde en onderhield. De onderhoudstoestand van de kunstwerken was onbekend en het ontbrak aan een meerjarenonderhoudsplanning en -begroting.

Dat maakte dat er onvoldoende zicht was op de veiligheid van onder andere de bruggen, wat de gemeente kwetsbaar maakte voor risicoaansprakelijkheid, zowel financieel als op imago. Het mogelijke effect van dit risico is als volgt geformuleerd: door het tijdelijk niet of onvoldoende kunnen gebruiken van bruggen wordt de doorstroming beperkt en zijn kernen mogelijk niet of beperkt bereikbaar. Voor dit project is op basis van het documentenonderzoek en de interviews niet duidelijk geworden op welke wijze de risico’s in beeld zijn gebracht en hoe hierover is gecommuniceerd. Het is aannemelijk dat dit op dezelfde wijze is gebeurd als bij het project Kockengen Waterproof.

Pagina 44 van 47

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl

In de periode 2019 - 2023 zijn verschillende beheersmaatregelen gecommuniceerd: 2. Voeren van noodreparaties. 3. Opstellen van een onderhoudsprogramma en beheerplan. 4. Aanbesteden van onderhoudscontracten op basis van het onderhoudsprogramma. 5. Opstellen van een Beheerbeleidsplan voor de periode 2020-2024. 6. Uitvoeren van inspecties van de kunstwerken en op basis daarvan een onderhoudsprogramma opstellen. 7. Informeren van de raad over het Beheerbeleidsplan civiele kunstwerken 2021-2025, vastgesteld in maart 2021. 8. Mogelijk hogere kosten voor het onderhoud van civiele kunstwerken anticiperen op basis van inspectieresultaten. Gebiedsontwikkeling Bisonspoor Vanaf 2020 is de gebiedsontwikkeling Bisonspoor structureel opgenomen in de risicoparagraaf van de begrotingen. Het gaat om: ● De bouw 6 woontorens van in totaal ruim 800 woningen. ● De transformatie van een kantoorgebouw naar appartementen. ● Een nieuwe parkeergarage. ● De renovatie en uitbreiding winkelcentrum plus toevoegen zorgplein. ● Het realiseren van zorgwoningen. ● De bouw van een nieuw politiebureau. ● De vernieuwing van openbaar gebied. ● De vernieuwing van de Safariweg. Tot en met begroting 2022 is het risico omschreven als financieel risico wat met name gekoppeld is aan investeringen in de openbare ruimte (aanbesteding, niet voorzien) en aan interpretatie van gemaakte anterieure afspraken.