04 - Bijlage 1 - Onderzoeksrapport ‘Management van risico’s’

Rekenkamercommissies Achtkarspelen en Tytsjerksteradiel

Rekenkameronderzoek 2021 Gemeenten Achtkarspelen en Tytsjerksteradiel

Management van risico's

2

Rekenkameronderzoek 2021 Achtkarspelen en Tytsjerksteradiel

Risico’s, ze horen erbij….… Management van risico’s bij de gemeentes

Eindversie, vastgesteld door Rekenkamercommissies Datum: 31 januari 2022

3

Colofon De rekenkamercommissies van Achtkarspelen en Tytsjerksteradiel willen met hun werkzaamheden bijdragen aan de kwaliteit van het lokale bestuur in de gemeenten Achtkarspelen en Tytsjerksteradiel, aan de transparantie van het gemeentelijke handelen en de versterking van de publieke verantwoording daarover. De commissies doen dat door de doeltreffendheid, de doelmatigheid en de rechtmatigheid van het door de gemeenten gevoerde of te voeren beleid en bestuur te onderzoeken en de gemeenteraden hierover te rapporteren en te adviseren. De commissies hebben een onafhankelijke positie binnen de gemeenten. Zij bestaan uit externe leden, die geen binding hebben met het gemeentelijke apparaat en een ambtelijk secretaris. Sinds 1 januari 2015 vormen de beide rekenkamercommissies een personele unie met dezelfde leden. Nadere informatie vindt u op de websites van de gemeenteraden van de beide gemeenten: ✓ www.raad-achtkarspelen.nl ✓ raad.t-diel.nl Samenstelling rekenkamercommissie ✓ ✓ ✓ ✓ ✓

A. (Andries) Visser, voorzitter E.A.M. (Erik) de Swart, lid en vicevoorzitter H.S. (Hayo) Halbersma, lid J.P.M. (Hanneke) Vervoort, lid R. (Renny) de Vries-Mulder, ambtelijk secretaris rekenkamercommissie Achtkarspelen ✓ A. (Anna) Dam, ambtelijk secretaris rekenkamercommissie Tytsjerksteradiel

Contact? ________________________________ Rekenkamercommissie Achtkarspelen Postbus 2 9285 ZV Buitenpost raadsgriffie@achtkarspelen.nl 0511 - 54 86 98

Rekenkamercommissie Tytsjerksteradiel Postbus 3 9250 AA Burgum griffie@t-diel.nl 0511 - 46 09 32

4

Inhoud 1

Inleiding ............................................................................................................................. 11 1.1 1.2 1.3

2

Doelstelling, reikwijdte en onderzoeksvragen ...................................................................... 13 2.1 2.2 2.3 2.4 2.5

3

De gegevensverzameling, aanpak en planning ..................................................................... 15

Samenvatting en conclusies................................................................................................. 17 4.1 4.2

5

Doelstelling ............................................................................................................................ 13 Reikwijdte (afbakening) van het onderzoek .......................................................................... 13 De onderzoeksvraag .............................................................................................................. 13 De deelvragen........................................................................................................................ 13 Normenkader ........................................................................................................................ 14

Aanpak van het onderzoek .................................................................................................. 15 3.1

4

Aanleiding: Wie weet raad met risico’s? ............................................................................... 11 Probleemstelling: Hoe krijgen de raden voldoende zicht om te sturen? .............................. 11 Achtergrond/toegevoegde waarde van het onderzoek ........................................................ 11

Het antwoord op de centrale onderzoeksvraag.................................................................... 17 Samenvatting en interpretatie van de bevindingen.............................................................. 18

Aanbevelingen ................................................................................................................... 21

5

6

Bestuurlijk rapport Dit bestuurlijk rapport (de ‘oplegger’) bestaat uit vijf hoofdstukken, geschreven door en onder de verantwoordelijkheid van de twee rekenkamercommissies. Het adviesbureau Necker van Naem heeft de rekenkamercommissies over de aanbevelingen in het bestuurlijke rapport geadviseerd. De rekenkamercommissies hebben zich gebaseerd op de rapportage van bevindingen van Necker van Naem. Na een voorwoord en een inleiding over de relevantie van het onderwerp wordt in hoofdstuk 2 ingegaan op de doelstelling en de vragen die in dit onderzoek centraal staan. In hoofdstuk 3 komt de aanpak van het onderzoek aan de orde. Een samenvatting van de bevindingen en conclusies komt in hoofdstuk 4 aan bod en de aanbevelingen voor de gemeenteraden in hoofdstuk 5.

7

8

Voorwoord Paul ’t Hart, risico-goeroe, schijft in zijn boek: No Risk, No Fun: “Risico’s zijn vaak onvermijdelijk en juist nodig om wat te bereiken.” Niet fout, ze horen erbij. Ook als klein kind ooit met heit en mem op het ijs gestaan en de eerste slagen gemaakt? Op houtjes? Het moment dat ze loslieten en bewust een risico namen. Vast met enig ongemak en nog met een oogje in het zeil. Het plezier en de trots als je -na enig vallen en opstaan- het ineens zelf kon. En heit en mem gerustgesteld konden toekijken. Maar risico’s kunnen ook lelijke spelbrekers zijn, die je dan maar beter kunt voorkomen. Niemand rijdt graag een scheve schaats. Ook de gemeenten niet. De werkmaatschappij 8KTD is een heel eind op streek om het herkennen en beheersen van risico’s onderdeel te maken van de dagelijkse beleidsuitvoering. Maar nog niet iedereen doet mee. Met nadere afspraken tussen gemeenteraad en college over hoeveel ‘fun’ ze samen willen toelaten, kan de gemeenteraad naar een situatie waar ze ‘gewoon’ een oogje in het zeil kunnen houden. Ook in gevallen waar de uitvoering op een afstandje is gezet. It giet oan. Een nieuwe raadsperiode komt eraan. Een goed moment om bij de start ook stil te staan bij het omgaan met risico’s.

De rekenkamercommissies.

9

10

1 Inleiding 1.1 Aanleiding: Wie weet raad met risico’s? De gemeenteraden van Achtkarspelen en Tytsjerksteradiel gaven in het jaarlijks overleg met de RKC’s aan regelmatig verrast te zijn door (financiële) tegenvallers. Ze willen weten waarom die verrassingen niet konden worden voorkomen. Dat speelt in Achtkarspelen met name in het sociaal- en zorgdomein en bij (enkele) verbonden partijen. In de raad van Tytsjerksteradiel zijn aanvullend zorgen geuit over de risico’s rond het beheer/exploitatie van vastgoed. De RKC’s zijn van mening dat een gedegen onderzoek naar het beleid en het stelsel van risicomanagement in de organisatie (werkmaatschappij en colleges) de raden in staat stelt zich een goed oordeel te vormen over de kwaliteit van het omgaan met onzekerheden. Daarbij zijn ook de kwaliteit en informatiewaarde van de begrotingsparagrafen als weerstandsvermogen en kapitaalgoederen van belang omdat deze paragrafen bij uitstek de raden moeten informeren over de stand van zaken. Door casuïstiek in de genoemde beleidsterreinen te onderzoeken kan ook een beeld worden gevormd van de uitvoeringspraktijk.

1.2 Probleemstelling: Hoe krijgen de raden voldoende zicht om te sturen? Is de raad in staat een goed oordeel te vormen over de risico’s die de gemeente loopt en over de kwaliteit van het omgaan met risico’s in de organisatie, ook in relatie met verbonden partijen? Kan de raad daardoor met het college goede afspraken maken over het beleid en de uitvoering rond risico’s?

1.3 Achtergrond/toegevoegde waarde van het onderzoek Het behalen van doelstellingen tegen de afgesproken kosten gaat in veel gevallen gepaard met onzekerheden. Onzekerheden die we in hun effect risico’s noemen. Door risico’s te herkennen, (periodiek) te analyseren en in meer of mindere mate te beheersen kan op de onzekerheden worden gestuurd. Daarbij wordt rekening gehouden met de kans op optreden en de impact bij dat optreden. Het sturen op risico’s is essentieel bij de (dagelijkse) besturing van een organisatie en bij projecten. Het is ook een onderdeel van de planning-en-controlcyclus (P&C) tussen het college en de raad. Meestal worden de risico’s vertaald in financiële risico’s. Maar er zijn meer risico’s, zoals imagoschade of veiligheidsissues. Het rekening houden met risico’s gaat vaak gepaard met het nemen van maatregelen (zoals de vorming van reserves en het introduceren van protocollen) maar risico’s kunnen ook tot een bepaald niveau geaccepteerd worden (risk appetite), zonder deze direct te willen óf te kunnen beheersen. Wie niet waagt, wie niet wint. Die ‘appetite’ is een bestuurlijke verantwoordelijkheid. Een afspraak tussen raad en college. Het Besluit Begroting en Verantwoording (BBV) schrijft in diverse artikelen voor dat het omgaan met risico’s inzichtelijk wordt gemaakt in de P&C-documenten. Het schrijft echter geen methodiek van risicomanagement voor.

In de paragraaf Weerstandsvermogen wordt de weerstandscapaciteit (wat kan de gemeente opvangen) afgezet tegen de financiële risico’s. Ook worden een aantal kengetallen voorgeschreven die inzicht geven in de financiële positie in relatie tot de risico’s. Bij de paragraaf

11

Kapitaalgoederen wordt risicobeheersing niet expliciet genoemd, maar risico’s rond vastgoed en infrastructuur (kunstwerken) zijn in de praktijk vaak aan de orde. Ook voor grondexploitatie schrijft het BBV voor dat risico’s zijn beschreven. In de paragraaf Financiering moeten de risico’s van de financiële portefeuille (zoals bij revolverende leningen) worden genoemd. Bij de paragraaf Verbonden partijen moet aandacht worden besteed aan de risico’s die de gemeente loopt door de verbintenis met de betrokken partijen. De waarde van het onderzoek ligt in het ‘temperaturen’ van het risico-gestuurd werken in de organisatie zodat de raad een oordeel kan vellen en goede afspraken kan maken met het college over de mate en kwaliteit van de beheersing en over de wijze van (vroegtijdige) rapportage. Met de introductie van de eigen rechtmatigheidsverklaring door het college wordt het risicomanagement meer manifest in de relatie college-raad. Het nodigt uit meer informatie te wisselen over risico’s en hoe daar mee om is gegaan in termen van rechtmatigheid, doelmatigheid en doeltreffendheid.

Achtergrond Een veel gehanteerde strategie is het ‘drie lijnen model’. Three Lines. Tot nu toe vaak geduid als het ‘drie lijnen van verdediging model’ (Three Lines of Defence). Maar dat wordt tegenwoordig te defensief geacht. Het gaat er bij de beheersing van risico’s om dat de drie rollen elkaar proactief scherp moeten houden, waarbij de gemeenteraad vanzelfsprekend zo nu en dan zijn licht opsteekt: hoe gaan we het doen en hoe staat het er voor?

Bron: VNG, Naris BV

12

2 Doelstelling, reikwijdte en onderzoeksvragen 2.1 Doelstelling Inzicht verkrijgen in het beleid en de beleidsuitvoering van het risicomanagement in de gemeenten en de wijze waarop de gemeenteraden in staat worden gesteld dit te controleren en het verkennen van verbetermogelijkheden.

2.2 Reikwijdte (afbakening) van het onderzoek We beperken ons tot de werking binnen de gemeenten zelf. Binnen het onderzoek staat de gezamenlijke ambtelijke organisatie centraal: de werkmaatschappij 8KTD én er wordt gekeken naar de relatie met de colleges en gemeenteraden. We gaan niet het risicomanagement bij de verbonden partijen zelf onderzoeken. Wel onderzoeken we in hoeverre de gemeenten in beeld hebben welke risico’s ze lopen bij het op afstand zetten van taken. Hanteren de colleges bijvoorbeeld risicoprofielen voor verbonden partijen met daarbij passende toezichtregiems (de mate van controle)? Hoewel een aantal cases wordt bestudeerd is het niet de vraag of in die cases juist gehandeld is, maar om opgedane onderzoeksbevindingen te toetsen en te verdiepen. Gelet op de vraag van de raden zal de casuïstiek zich vooral maar niet uitsluitend richten op de beheersing van (financiële) middelen.

2.3 De onderzoeksvraag De centrale onderzoeksvraag (voor beide gemeenten) luidt: ✓ Voldoet het college aan de rapportageverplichtingen richting de raad (BBV) en is de gekozen methode van risicomanagement effectief in het zichtbaar maken en - waar gewenst beheersen van risico’s in de eigen beleidsuitvoering en bij op afstand gezette beleidsuitvoering? Zijn de inrichting en de dagelijkse uitvoering daarbij op voldoende niveau?

2.4 De deelvragen Beleid risicomanagement ✓ Is er beschreven en vastgesteld beleid voor risicomanagement en hoe ziet dat eruit? ✓ Is er beschreven en vastgesteld beleid rond het toezicht op risico’s bij verbonden partijen en hoe ziet dat eruit? ✓ Is dit beleid actueel, inzichtelijk, volledig en rechtmatig?

13

Informatievoorziening risicomanagement ✓ Voldoet de rapportage in de P&C-producten op het gebied van risicomanagement aan de voorschriften (BBV)? ✓ Welke methodieken/systemen en werkwijzen hanteren de gemeenten om de beschikbare en benodigde weerstandscapaciteit en weerstandsratio te bepalen en hoe zijn deze vormgegeven? ✓ Vindt de onderbouwing van de beschikbare en benodigde weerstandscapaciteit en weerstandsratio op een adequate, gedegen wijze plaats? Uitvoering risicomanagement ✓ In welke mate voldoet de methode aan generieke normenkaders? ✓ Hoe is het risicomanagement qua rollen, taken en bevoegdheden intern georganiseerd? ✓ Wordt er in de werkprocessen conform het beleid gewerkt en waaruit blijkt dit (i.c.

casuïstiek)? ✓ Zijn de risicomanagementprocessen op een adequate wijze vormgegeven en ingericht? ✓ Worden er nog veranderingen in de uitvoering doorgevoerd en zo ja is het aannemelijk dat deze bijdragen aan een verbetering? Betrokkenheid van de gemeenteraden bij risicomanagement ✓ Hoe is het gesteld met het proactief omgaan/signaleren ten aanzien van risico’s door de gemeenteraden? ✓ Is de informatievoorziening aan de gemeenteraden over de risico’s/de uitvoering van het risicomanagementbeleid tijdig, toegankelijk en volledig? ✓ Kunnen de gemeenteraden op basis van de ontvangen informatie hun kaderstellende en controlerende taak uitoefenen? ✓ Hoe vullen de gemeenteraden hun kaderstellende en controlerende rol t.a.v. risicomanagement in?

2.5 Normenkader Het normenkader voor het onderzoek is primair gericht op de voorschriften vanuit het Besluit begroting en verantwoording (BBV) als het gaat om de informatie aan de raden over risico’s. De wijze waarop risicomanagement in de uitvoering en in de ambtelijke organisatie wordt ingericht wordt aan de hand van de deelvragen uitgewerkt. Deze uitwerking (van het onderzoeksbureau) is opgenomen in het rapport van bevindingen (bijlage) Uit voorgesprekken is gebleken dat de gemeenten de invoering van het Three Lines (of Defence) model nastreven. Dat algemeen geaccepteerde model zal onderdeel uitmaken van de beoordeling. Dit model bouwt vooral aan systemische en organisatorische maatregelen. De veranderkundige kant (als brede bewustwording) bouwt hierop voort.

14

3 Aanpak van het onderzoek 3.1 De gegevensverzameling, aanpak en planning De gegevensverzameling vond als volgt plaats: ✓ Deskresearch recente (rekenkamer)onderzoeken en ontwikkelingen (als normering) ✓ Deskresearch (bestuderen van door de gemeenten aangeleverde documenten) ✓ Interviews met betrokken ambtenaren, bestuurders en de accountant De verzameling van gegevens ging over het algemene beleid, de beleidsuitvoering en de casuïstiek en de interviews zijn vastgelegd in gespreksverslagen. De aanpak is ook gestoeld op een waarderende aanpak. Dat wil zeggen dat de onderzoekers aan het einde van de bevindingenfase een gesprek aangaan met de ambtelijke respondenten om gezamenlijk de bevindingen te bespreken. In dat gesprek ligt de nadruk op het gezamenlijk vinden van ideale situaties en de kansen en voorwaarden te beschrijven om die situaties te kunnen bereiken. Het streven is om een gedragen product te maken, met inachtneming overigens van de onafhankelijke positie van de onderzoekers en de RKC’s en de reguliere hoor-en-wederhoorfase. Het onderzoek is uitgevoerd in de periode juli 2021-december 2021.

15

16

4 Samenvatting en conclusies 4.1 Het antwoord op de centrale onderzoeksvraag

Voldoet het college aan de rapportageverplichtingen richting de raad (BBV) en is de gekozen methode van risicomanagement effectief in het zichtbaar maken en - waar gewenst - beheersen van risico’s in de eigen beleidsuitvoering en bij op afstand gezette beleidsuitvoering? Zijn de inrichting en de dagelijkse uitvoering daarbij op voldoende niveau? Eerst moet het compliment worden gegeven dat de werkmaatschappij, vanuit een situatie waarbij sprake was van een onvoldoende beheersing van (rechtmatigheids)risico’s, inmiddels grote stappen heeft gezet. Er was sprake van een situatie waarin alleen met veel reparaties achteraf een betrouwbare verslaggeving kon worden opgesteld. Men was in de dagelijkse sturing onvoldoende in control. Er was volgens de respondenten toentertijd geen tijd om hieraan voldoende aandacht te schenken. Een voorbeeld is dat er nauwelijks (zelf)onderzoeken conform artikel 213a gemeentewet werden uitgevoerd. Er is, ook op basis van waardevolle adviezen van de accountant, de afgelopen jaren gelukkig geïnvesteerd in beleid, processen, formatie en personele kwaliteit met betrekking tot risicomanagement en interne controle. Er ligt nu dan ook een goede basis voor doorontwikkeling. De uitwerking, verbreding en borging hiervan en de ruimte die daarvoor wordt gegeven, is voor de komende periode belangrijk.

Het antwoord op de vraag of het college voldoet aan de rapportageverplichtingen richting de raad wordt voor beide gemeenten met ‘ja’ beantwoord. Het kan echter wel beter. De beschrijving van risico’s in de diverse planning-en-control documenten is summier en kan de raad (zonder dat hij dat beseft) op een achterstand zetten. De raden stellen vooral ook nauwelijks eisen aan normering (ratio’s) waaraan de rapportages kunnen worden getoetst. Ook een vroegtijdige signalering van risico’s in bijvoorbeeld college- en raadsvoorstellen (middels een risicoparagraaf) wordt soms gemist. De beheersing van risico’s bij de verbonden partijen en andere samenwerkingsarrangementen loopt achter bij deze ontwikkelingen. Het ontbreekt ook op dit punt nog aan betrokkenheid en kaderstelling vanuit de raden. De door de werkmaatschappij gekozen methode van risicomanagement (het Three Lines of Defence model) is algemeen aanvaard en beproefd (effectief). Een goede keuze. Wel van belang is dat de rolverdeling tussen de spelers in de lijnen goed is verankerd in een organisatieverordening of een specifiek protocol. Het is ons niet duidelijk geworden op welke wijze de onafhankelijkheid en rapportagemogelijkheden van concerncontrol, de interne controle en auditeurs zijn geborgd. De ‘eerste lijn’, het lijnmanagement, is nog onvoldoende in de ontwikkeling meegegaan (en moet er tijd voor vrijmaken).

Want daar, op die plek, begint het: beheersen van en sturen op risico’s om de afgesproken resultaten te halen. Op tijd, van goede kwaliteit en binnen budget. En als dat niet lukt: snel aan de bel trekken.

17

Uit de gesprekken blijkt dat er door de focus op systeemverbetering nog onvoldoende verbreding in de organisatie heeft plaatsgevonden. Dit is voor een komende fase cruciaal. Het gaat om bewustwording in het dagelijkse werk. Herkennen van risico’s, de kans op optreden verkennen en de gevolgen in kaart brengen. De gevolgen voor het doelbereik, kwaliteit en budget.

Kortom: het risicomanagement is in korte tijd een stuk beter op orde gebracht. Er ligt een goed fundament. De organisatie is er nog niet. Het is voldoende (op enkele onderdelen na) maar nog niet goed genoeg. Meer aandacht en tijd zijn nodig voor een bredere bewustwording. De doorontwikkeling kost tijd én verdient tijd. En aandacht, ook van de raden. Met name als het gaat om de risico’s in taken waar de uitvoering op afstand is gezet. Dat maakt het voor de raden moeilijker om ‘een oogje in het zeil’ te houden.

4.2 Samenvatting en interpretatie van de bevindingen In het bevindingenrapport is door de externe onderzoekers uitgebreid stilgestaan bij de deelvragen in dit onderzoek en zij hebben ook hun expertoordeel (in de vorm van stoplichten) gegeven. Zo is een beeld ontstaan wat goed (genoeg) is, wat beter kan en wat echt snelle aandacht verdient. Aan het einde is een algemeen beeld geschetst. Op basis daarvan hebben de RKC’s, in samenwerking met de onderzoekers, een samenvatting en analyse op hoofdlijnen van de bevindingen gemaakt. Algemeen Aan een verdere kwaliteitsslag rond risicomanagement en interne controle is de afgelopen jaren hard gewerkt. Eerst door de rechtmatigheid op orde te brengen en vervolgens door stappen te zetten in het versterken van de interne controles. Anno nu werkt de organisatie aan de procesoptimalisatie en het verankeren van het risicomanagement daarbinnen. Daarmee zien we dat de gemeenten en de uitvoeringsorganisatie de slag gemaakt hebben van ‘overleven’ naar een meer beheersmatige werkomgeving. Beleid Ten aanzien van het beleid van het risicomanagement is uit het onderzoek gebleken dat de beleidsstukken actueel zijn en dat alle nota’s of verordeningen zijn vastgesteld door de raad. De doelen die nagestreefd worden met het risicomanagementbeleid zijn daarmee helder. Het beleid voldoet tevens aan de geldende wet- en regelgeving.

Er is nog wel een slag te maken op het gebied van bekendheid en toepasbaarheid van het beleid binnen de organisatie. Nog niet alle doelen zijn voor alle afdelingen van de organisatie voldoende uitgewerkt en worden ook nog niet door iedereen herkend. Dat heeft als gevolg dat de implementatie van het beleid nog niet is voltooid. Informatievoorziening De informatievoorziening over het risicomanagement voldoet grotendeels aan de BBV-voorschriften, alleen het beleid omtrent de weerstandscapaciteit en de risico’s kan meer aandacht krijgen. De gemeenteraad wordt via de P&C-documenten geïnformeerd over het risicomanagement en de raden zijn tevreden over de inhoud van de informatie. Desondanks blijkt uit het onderzoek dat de informatie op de hoofdlijn blijft steken. De raad krijgt inzicht in getallen, maar deze worden niet inhoudelijk toegelicht waardoor de kans op en de impact van de risico’s lastig te duiden zijn. De tabellen met de getallen zijn daarentegen wel leesbaar en toegankelijk, waarbij de vaktermen worden toegelicht. De beschikbare en benodigde weerstandscapaciteit en weerstandsratio worden onderbouwd op basis van geïnventariseerde risico’s, maar deze onderbouwing is summier en er blijkt geen uitgebreide methode voor risicoclassificatie te zijn.

18

Uitvoeringspraktijk In de vier casussen tijdens dit onderzoek is de uitvoering van het risicomanagement getoetst. De rode draad door de casussen heen is het ontbreken van een eenduidig begrip van risicomanagement binnen de gemeenten en de werkmaatschappij. In alle vier casussen vindt risicomanagement plaats, maar dit is niet in alle casussen geïnstitutionaliseerd. Medewerkers hebben rollen toegewezen gekregen in het risicomanagement, maar wat dit betekent in het systeem van risicomanagement is niet op alle plekken helder. De verantwoordelijkheden die bij de rollen horen zijn niet op alle plekken doorleefd. Ook ontbreekt het aan bekendheid in de organisatie over de processen op het gebied van risicomanagement, waardoor deze ook niet eenduidig uitgevoerd worden. Doordat er wel sprake is van een vorm van risicomanagement, kun je stellen dat de organisatie daarmee onbewust bekwaam is op het gebied van risicomanagement. Met name op de terreinen waar de afgelopen jaren veel nadruk heeft gelegen, zoals inkoop, het sociaal domein en de grondexploitaties, is het risicomanagement wel geïnstitutionaliseerd in processen, rollen en uitvoering. De control-organisatie heeft zicht op de veranderingen die wenselijk zijn op het gebied van risicomanagement. Het is de uitdaging dit breed in de organisatie te laten landen en de implementatie van het Three Lines of Defence model ter hand te nemen.

Een goede interne P&C-cyclus met bijbehorende gesprekscyclus is een belangrijke randvoorwaarde. Hierbij is het naar onze overtuiging essentieel dat er een systeem is van plannen en rapportages per team en cluster die geconsolideerd worden tot concernniveau. In de ‘bevelslijn’ van algemeen directeur – clustermanager – teamleider kan dan worden gestuurd en verantwoording worden afgelegd op basis van een feitelijke rapportage (prestaties, financiën en bedrijfsvoering inclusief risico’s). Die rapportages zijn dan voorzien van een zijbelichting en advies vanuit de controllersorganisatie (concerncontroller en clustercontrollers). Zo ontstaat een zogenaamd ‘sturingszeskant’ waarmee de organisatie bestuurd kan worden. Dat is echter nog geen praktijk binnen beide gemeenten en binnen de werkmaatschappij. Wat overigens niet wil zeggen dat er geen sprake is van een positieve ontwikkeling op het gebied van (financiële) besturing in zijn algemeenheid en met betrekking tot risico’s in het bijzonder. De weg naar een beheeromgeving is ingeslagen en al in ontwikkeling, zoals eerder reeds aangegeven. In een dergelijke omgeving die in de leer- en ontwikkelstand staat, kan zo’n interne P&C- en gesprekscyclus verder vorm en inhoud krijgen. Daaraan kan dan ook de verdere implementatie van risicomanagement worden verbonden.

Betrokkenheid gemeenteraden De betrokkenheid van de gemeenteraden bij het risicomanagement is wisselend. De raden van beide gemeenten hebben kaders vastgesteld, maar er vindt in beide raden geen gesprek plaats over die kaders. De raden worden via de P&C-documenten geïnformeerd over de risico’s en dit wordt als voldoende ervaren. Inzicht in de risico’s wordt eveneens in de raadsvoorstellen geboden, al wisselt de bruikbaarheid van die informatie per voorstel. De sturing van de raden op risicomanagement vindt vooral plaats in actuele casussen en kwesties, waar de risico’s pregnant naar voren komen. Daardoor worden er expliciete kansen gemist om te komen tot kaderstelling en controle, bijvoorbeeld via de normering van de risicomanagement methodiek.

19

20

5 Aanbevelingen De hierna geformuleerde aanbevelingen zijn een uitnodiging aan de gemeenteraden om met de colleges in gesprek te gaan over de doorontwikkeling van het risicomanagement en over afspraken rond de betrokkenheid van de gemeenteraden bij de afwegingen en beheersing van risico’s.

Aanbeveling 1: Spreek waardering uit voor de voortgang tot nu toe Uit het onderzoek blijkt dat er de afgelopen jaren zeer gericht geïnvesteerd is in het risicomanagement in de werkmaatschappij en dat daarbij flinke voortgang is geboekt. Er ligt een goed (systemisch) fundament voor een veranderkundige doorontwikkeling. Er is veel kennis aanwezig bij deskundigen, nu de rest nog….

Aanbeveling 2: Maak risicomanagement onderdeel van de doorontwikkeling in de sturing Risicomanagement mag niet het feestje zijn van (interne) controllers. Het moet deel uitmaken van de dagelijkse bedrijfsvoering. Verbind daarom de verdere doorontwikkeling van het risicomanagement aan de doorontwikkeling van een integrale lijnsturing: in de planning & control met bijbehorende gesprekscyclus, de college- en raadsvoorstellen en in de informatievoorziening. Doe dit wel planmatig in tijd want alles tegelijkertijd uitvoeren zal te veel vragen. Verder bevelen we aan, naast de rapportage via P&C documenten, spelregels op te stellen over de beoordeling van (mogelijke) risico’s in de bestuurlijke voorstellen (in een risicoparagraaf). Zo kunnen raden meer vooraf worden betrokken.

Aanbeveling 3: Investeer in bewustwording Naast de systeemkant is ook de veranderkundige kant van belang. De dagelijkse uitvoeringspraktijk van risicomanagement valt of staat met het meedoen van alle geledingen. Nog niet alle risico’s zijn bij alle afdelingen van de organisatie voldoende uitgewerkt en worden ook nog niet door iedereen herkend en geïntegreerd in hun werkzaamheden. Versterk dit door bijvoorbeeld periodieke risicosessies (in jargon: risk-selfassesments) in teams en bij projectstarts te introduceren. Laat alle medewerkers meedenken en -doen. Leer ook van casuïstiek: met vallen en opstaan kom je verder.

Aanbeveling 4: Zorg voor borging van de rol van concerncontrol, interne controle en auditeurs Het is van belang dat in het Three Lines of Defence model de bevoegdheden en verantwoordelijkheden in heldere regels zijn geborgd. Er kan gedacht worden aan opname in een organisatieverordening of een protocol. Daarbij is het aanbevelenswaardig om de onafhankelijke rol van de derdelijns functies te beschrijven. Ook qua mogelijkheden escalerend te rapporteren aan directies en het bestuur met de bijbehorende spelregels van hoor en wederhoor.

21

Aanbeveling 5: Maak een kader voor het omgaan met risico’s van op afstand gezette uitvoering Geef de colleges de opdracht om te komen tot kaderstelling op het gebied van verbonden partijen en andere arrangementen van samenwerkingen vanuit het perspectief van eigenaarschap en opdrachtgeverschap in de gemeentes. Overweeg daarbij toepassing van een aantal oplopende toezichtregimes: afgestemd op de mate van belang en de kans op bestuurlijke en financiële risico’s. Leg dit beleid vast in een raadsnota. Een aanvullende aanbeveling is dat ook een goed ingevoerd contractmanagement daarbij kan helpen.

Aanbeveling 6: Benut het inwerkprogramma van de nieuwe raden voor gesprek over omgaan met risico’s

In de praktijk van alledag zijn de raden vaak reactief op casuïstiek met gebleken risico’s. Het is wenselijk om bij het begin van een raadsperiode (ook op basis van de coalitieakkoorden) aandachtsgebieden te formuleren die (kunnen) spelen. Voorbeelden zijn: normering van financiële ratio’s, integriteitsrisico’s, personele knelpunten, IT-veiligheid, …). Het is goed samen vooraf te verkennen wat de gezamenlijke risk-appetite is en waar de raden een extra oogje in het zeil willen houden. Betrek hierbij ook de accountant. Zie ook aanbeveling 2 over de vroegtijdige betrokkenheid van de raden bij mogelijke risico’s.

Tenslotte Wij realiseren ons dat de samenwerking en de werkmaatschappij nog volop in ontwikkeling zijn. Niet alleen dit onderzoek leidt tot conclusies en aanbevelingen waarmee je aan de slag kan maar dat geldt ook voor aanbevelingen in het recente onderzoek van Berenschot over de toekomstige samenwerking. En zo zijn er ongetwijfeld nog meer zaken die om voorrang vragen. Naar onze mening is de staforganisatie goed in staat zich door te ontwikkelen op risicomanagement maar voor de lijnorganisatie is deze inzet minder vanzelfsprekend. De aanbevelingen 2 en 3, die zich richten op verankering van risicomanagement binnen de gehele werkmaatschappij zijn dan ook cruciaal voor een positief antwoord op de achterliggende vraag van de gemeenteraden: “is de werkmaatschappij wel in control?”. Met voorrang inzetten op deze aanbevelingen ligt voor de hand. De intenties van de eigen rechtmatigheidsverklaring door B&W versterken deze noodzaak. Die intenties betreffen een transparante dialoog over de beleidsuitvoering en daarmee ook over het omgaan met en rapporteren over risico’s.

22

Rapport van bevindingen

De bevindingen waarop het bestuurlijk rapport is gebaseerd vindt u in het rapport van bevindingen. dat als bijlage is toegevoegd. Dit rapport van bevindingen is geschreven door het adviesbureau Necker van Naem en is op onderdelen aangepast op basis van de feitelijke reacties van de colleges in januari 2022 in het kader van hoor- en wederhoor. In de bijlage van het rapport van bevindingen is een lijst met geraadpleegde stukken en geïnterviewde personen opgenomen. Deze vormen de basis voor deze rapportage. Verslagen van de interviews zijn in bezit bij de rekenkamercommissies en maken deel uit van het onderzoeksdossier. Omwille van vertrouwelijkheid zijn de verslagen niet opgenomen in het rapport.

23

Opdrachtnemer: Necker van Naem Datum: 31 januari 2022 Opdrachtgever: Rekenkamercommissies van Achtkarspelen en Tytsjerksteradiel Onderzoekers: mr. E.J. (Evert Jan) Kruijswijk Jansen drs. H.J.W. (Hans) Verdellen P.W. (Pim) Steenbergen Msc

24

Leeswijzer ............................................................................................................................................................ 27 Ontwikkelingscontext: van overleven naar een beheeromgeving ........................................................................ 29 Algemene inleiding ontwikkelingen organisatie en governance ............................................................................. 29 1.

2.

Beleid risicomanagement ............................................................................................................................ 33 1.1.

Is er beschreven en vastgesteld beleid voor risicomanagement en hoe ziet dat eruit? ............................ 33

1.2. eruit?

Is er beschreven en vastgesteld beleid rond het toezicht op risico’s bij verbonden partijen en hoe ziet dat ................................................................................................................................................................... 36

1.3.

Is het beleid actueel, inzichtelijk, volledig en rechtmatig? ........................................................................ 36

1.4.

Toetsing aan het normenkader ................................................................................................................. 37

Informatievoorziening risicomanagement ................................................................................................... 39 2.1. Voldoet de rapportage in de P&C producten op het gebied van risicomanagement aan de voorschriften (BBV)? ................................................................................................................................................................... 39 2.2. Welke methodieken/systemen en werkwijzen hanteren de gemeenten om de beschikbare en benodigde weerstandscapaciteit en weerstandsratio te bepalen en hoe zijn deze vormgegeven? .......................................... 40 2.3. Vindt de onderbouwing van de beschikbare en benodigde weerstandscapaciteit en weerstandsratio op een adequate, gedegen wijze plaats? ..................................................................................................................... 41 2.4.

3.

Toetsing aan het normenkader ................................................................................................................. 41

Uitvoering risicomanagement ..................................................................................................................... 43 3.1.

In welke mate voldoet de methode aan generieke normenkaders? .......................................................... 43

3.2.

Hoe is het risicomanagement qua rollen, taken en bevoegdheden intern georganiseerd? ...................... 43

3.3.

Zijn de risicomanagementprocessen op een adequate wijze vormgegeven en ingericht? ........................ 44

3.4. Worden er nog veranderingen in de uitvoering doorgevoerd en zo ja is het aannemelijk dat deze bijdragen aan een verbetering? ............................................................................................................................... 45

4.

3.5.

Wordt er in de werkprocessen conform het beleid gewerkt en waaruit blijkt dit (i.c. casuïstiek)? ........... 46

3.6.

Toetsing aan het normenkader ................................................................................................................. 47

Betrokkenheid van de gemeenteraden bij risicomanagement .................................................................... 49 4.1. Is de informatievoorziening aan de gemeenteraden over de risico’s/de uitvoering van het risicomanagementbeleid tijdig, toegankelijk en volledig? ....................................................................................... 49 4.2. Kunnen de gemeenteraden op basis van de ontvangen informatie hun kaderstellende en controlerende taak uitoefenen? ...................................................................................................................................................... 50

5.

4.3.

Hoe vullen de gemeenteraden hun kaderstellende en controlerende rol t.a.v. risicomanagement in? .... 51

4.4.

Toetsing aan het normenkader ................................................................................................................. 53

Samenvatting van de bevindingen .............................................................................................................. 55

25

Bijlagen ................................................................................................................................................................ 57 Bijlage 1: Three lines of Defence model en uitwerking in het VIC-plan.................................................................... 57 Bijlage 2: Casusonderzoek ....................................................................................................................................... 59 Bijlage 3: Geïnterviewde personen .......................................................................................................................... 65 Bijlage 4: Geraadpleegde bronnen .......................................................................................................................... 67 Bijlage 5: Normenkader ........................................................................................................................................... 69

26

Dit rapport van bevindingen is bedoeld als onderlegger voor de bestuurlijke rapportage waarin de rekenkamercommissies en Necker van Naem de onderzoeksverantwoording integraal opnemen. Dit rapport van bevindingen is als volgt opgebouwd: In het gedeelte wordt de context van beide gemeenten en de ontwikkeling binnen de werkmaatschappij beschreven, waardoor de werking van het risicomanagement kan worden geduid. Vervolgens wordt het beleid beschreven en getoetst in hoeverre het beleid strookt met de afgesproken normen. In het tweede hoofdstuk wordt ingezoomd op de informatievoorziening, de planning- en controlcyclus en de wijze waarop gerapporteerd wordt over de verschillende ratio's. Het derde hoofdstuk behandelt de uitvoering van het risicomanagement, waarbij de bevindingen uit de casestudies worden gedeeld. De uitvoerige beschrijvingen van de casestudies is opgenomen in de bijlage. In het laatste hoofdstuk wordt de betrokkenheid van de gemeenteraden besproken. Voor veel passages geldt dat deze betrekking hebben op de werkmaatschappij en zodoende voor beide gemeenten relevant zijn. Voor passages die specifiek ingaan op een gemeente worden onderstaande gekleurde tekstvakken gebruikt:

Tytsjerksteradiel

Achtkarspelen

Bijlagen In bijlage 1 is een toelichting gegeven op het Three Lines of Defence model, in bijlage 2 wordt het casusonderzoek nader toegelicht en in bijlage 3 is een overzicht geschetst van de geïnterviewde personen. De bronvermelding wordt in het onderzoek weergegeven middels nummering in de tekst en een bronnenlijst in bijlage 4. Voor de volledigheid is het normenkader in zijn geheel opgenomen in bijlage 5. Per hoofdstuk geven wij middels een normenkader een oordeel over de normen die we vooraf aan het onderzoek opgesteld hebben. De beoordelingen in het normenkader zijn gebaseerd op zowel de bevindingen uit het onderzoek naar de interne organisatie als de casussen. Uiteraard zijn er verschillen te noemen tussen afdelingen of specifieke casussen die in dit normenkader geen plek krijgen. Om meer inzicht te krijgen in de concrete uitwerking van risicomanagement worden de onderzochte casussen in de bijlage uitgebreid toegelicht. Bij de uitwerking van de conclusies en aanbevelingen zullen we op basis van het normenkader handelingsperspectieven bieden. Om een oordeel te geven over de normen hebben wij criteria toegepast, dit biedt inzicht in de beoordeling en biedt ruimte om zaken toe te lichten.

Binnen het normenkader hanteren we de volgende criteria:

27

Voldoende, extra aandacht naast de al geplande inzet is niet nodig

Voldoende, maar er is op onderdelen meer aandacht nodig.

Onvoldoende, er wordt niet aan de norm voldaan er is extra inzet nodig.

Aanvullend geven wij per hoofdstuk een samenvatting van onze bevindingen. Dit biedt inzicht in de beantwoording van de deelvragen voor dit hoofdstuk.

28

Governance werkmaatschappij De werkmaatschappij is een samenwerkingsverband tussen de gemeenten Achtkarspelen en Tytsjerksteradiel. Het algemeen bestuur van de werkmaatschappij bestaat uit de twee voltallige colleges, het dagelijks bestuur bestaat uit de burgemeesters en de portefeuillehouders financiën. De gemeentesecretarissen van beide gemeenten zijn samen algemeen directeur van de werkmaatschappij en wisselen elkaar iedere twee jaar af als secretaris van het DB. De werkmaatschappij is na een aantal proef-samenwerkingen in 2016 definitief opgezet. Direct bij oprichting van de organisatie is er een taakstelling van 8% in de begroting opgenomen. Deze taakstelling kwam op voorstel van de colleges, gezien zij in de veronderstelling waren dat samenwerken in de werkmaatschappij tegen lagere kosten zou kunnen dan de optelsom van de beide organisaties apart. Het voorstel van de samenwerking was gestoeld op een afname van de kosten en kwetsbaarheid en een toename van de kwaliteit van de dienstverlening. In de praktijk bleek deze veronderstelling in de startfase weerbarstig. Overigens heeft onderzoek van Strikwerda (zie figuur) naar het samenvoegen van organisaties deze weerbarstigheid aangetoond.

29

Figuur 1. Shared Service Model Strikwerda De taakstelling heeft in combinatie met andere ontwikkelingen geleid tot een organisatie die weinig ruimte had om de kwaliteitsslag te maken die gewenst was. Uit het onderzoek (en dan met name uit de interviews) volgt het beeld dat de organisatie nog niet in een stabiele 'beheerfase' zit en nog op onderdelen volop bezig is met de fase van 'vormen en volharden'. De ontwikkeling van risicomanagement als onderdeel van professionele financiële besturing Beide gemeenten en de werkmaatschappij zijn niet goed in control geweest. De achterliggende jaren stonden in het teken van groei en ontwikkeling. Het inrichten van nieuwe processen is lastig geweest. Voor de beide gemeenten is vanaf 2019 een goedkeurende verklaring afgegeven, voor de werkmaatschappij vanaf 2018. Daarvoor is er is een historie van een aantal jaren van het uitblijven van goedkeurende accountantsverklaring als gevolg van onrechtmatige Europese aanbestedingen en onvoldoende toegeruste interne controle. Dit betekende in de praktijk dat er altijd veel energie en focus opging aan reparatie bij de jaarrekening om alsnog de goedkeurende verklaring te krijgen. Vanaf 2019 is gestart met het inrichten van beleid en een organisatie rondom risicomanagement en interne controles. De adviezen van de accountant hebben hierin een belangrijke rol gespeeld.

In 2020 is dit nog samen met de accountant opgepakt. In 2021 is de uitvoering belegd in de eigen organisatie. De insteek is om met betrekking tot de inrichting van risicomanagement te starten met de financiële rechtmatigheid, waarbij vanuit de (V)IC ((verbijzonderde) interne controle)1 en de interim controle getracht wordt eerder in het jaar de zaken op orde te hebben zodat niet alles meer op het laatste moment moet bij de jaarrekening. Risicomanagement wordt momenteel op verschillende terreinen in meer of mindere mate (juist) toegepast. De centrale regie hierop is vanaf 2021 in ontwikkeling en de

1 De verbijzonderde interne controle van een decentrale overheid, is gericht op het verkrijgen van inzicht vanuit de eigen organisatie in

tenminste de getrouwe en rechtmatige totstandkoming van de baten, lasten en balansmutaties, zoals deze in de jaarrekening tot uitdrukking komen. Hierbij wordt onder meer aandacht geschonken aan de opzet, het bestaan en de werking van relevante beheersmaatregelen, alsmede de risico’s die aanwezig zijn voor wat betreft de eerdergenoemde genoemde aspecten van getrouwheid en rechtmatigheid (bron: VNG (2019) Handleiding: verbijzonderde interne controle).

30

organisatie benoemt dat het jaar 2022 hiervoor ook gebruikt wordt. In de jaren voor 2021 lag de prioriteit vooralsnog op de financiële rechtmatigheid waarbij het streven is om door te groeien naar een situatie waarin risicomanagement onderdeel uitmaakt en gedragen wordt door de lijnsturing. Daarbij wordt gewerkt met de filosofie van het Three Lines of Defence model. Dit model positioneert de leidinggevende die hierdoor in eerste lijn sturing kan gaan geven aan de beheersing van alle risico’s in de bedrijfsvoering (breder dan enkel financiële risico's). Het positioneert ook de advisering en onafhankelijke control in de organisatie. Kortom: een heldere rolverdeling. Het Three Lines of Defence model en de invulling daarvan binnen de werkmaatschappij wordt in bijlage 1 verder toegelicht. Het beleid is om te komen tot periodieke risico-inventarisaties in de volle breedte, die worden besproken in de lijnsturing met advies vanuit de (control)staf. In vergelijking met de huidige financiële (V)IC betekent dit daarom een intensivering zowel in termen van reikwijdte als in termen van intensiteit/periodiciteit. Er wordt nu (2021) extra ingezet op procesoptimalisatie, ook met extra formatie. Het subsidieproces is daarbij als eerste opgepakt en daarbij krijgt de implementatie van risicomanagement een prominente rol.

Daarbij wordt anticiperend getoetst aan de hand van de methodiek van de accountant. Die wordt als het ware ‘ingebakken’ in de routine van de interne controle, zodat dit geborgd wordt in de bedrijfsvoering. Het project Procesoptimalisatie is ingezet omdat er, mede als gevolg van het intensiveren van de samenwerking, wordt gestreefd naar een effectievere en efficiëntere bedrijfsvoering en optimale dienstverlening aan de inwoners en ondernemers tegen lagere kosten (Lean). Door binnen processen te borgen dat zaken in één keer juist uitgevoerd worden, wordt er efficiënter gewerkt en zijn er minder herstelwerkzaamheden nodig. Hierdoor lopen de gemeenten minder risico's. Om dit te bereiken is het harmoniseren van beleid en uitvoering en het optimaliseren van processen in gang gezet. De controllersorganisatie is geplaatst direct onder de directie en bestaat uit een concerncontroller, clustercontrollers en senior financieel adviseurs. De clustercontrollers worden aangestuurd door de teamleider financiën. Er is voor gekozen om geen functionele aansturing door de concerncontroller op de vaktechniek van control plaats te laten vinden. In de praktijk vindt wel overleg plaats. Er is momenteel nog een vacante functie bij concerncontrol, deze wordt binnenkort ingevuld als een auditfunctie.

In de ontwikkeling van het al eerdergenoemde Three Lines of Defence model zal veel energie gestoken moeten worden, vooral om nut en noodzaak van een integrale besturing inclusief risicomanagement ‘tussen de oren’ te laten groeien bij het lijnmanagement. Houding en gedrag is een item: het management (vooral de teamleiders) hebben de handen vol om dagelijks het hoofd boven water te houden en de taken uitgevoerd te krijgen, daar gaat alle energie en aandacht naar toe. Doorontwikkeling van de bedrijfsvoering wordt dan mogelijk nog gezien als een hinderlijke onderbreking van het 'echte' werk. Hier zal gericht aandacht aan besteed moeten worden in het vervolgproces van de ontwikkeling van risicomanagement in een breder kader van sturing en beheersing. De inrichting van het risicomanagement en de financiële besturing van de gemeenten en de werkmaatschappij sluiten nog niet voldoende aan bij de huidige grootte en complexiteit van de drie samenwerkende organisaties. Het is, gelet op de fase waarin de organisaties zich bevinden, moeilijk ruimte te vinden om met elkaar de goede gesprekken te voeren, het raamwerk (lees de interne P&C- en gesprekscyclus) staat er nog niet en is in ontwikkeling. Daardoor blijft het 'in control zijn' nog te zeer afhankelijk van het vangnet wat vanuit de financiële functie wordt geboden bij het jaarwerk.

31

Aansluiting van dit onderzoek bij andere trajecten binnen de werkmaatschappij Dit rapport van bevindingen moet in een breder perspectief geplaatst worden van een ontwikkelende werkmaatschappij. Momenteel lopen er meerdere trajecten binnen de organisatie en is de werkmaatschappij nog in ontwikkeling. Zo is recent de werkmaatschappij extern geëvalueerd. In de bestuurlijke oplegger van dit onderzoek zal nader worden ingaan op de aansluiting en overlap met deze andere ontwikkelingen. In dit rapport staat de feitelijke weergave van onze bevindingen centraal.

32

Op het gebied van risicomanagement zijn er een aantal beleidsstukken waarin specifiek aandacht aan risicomanagement wordt besteed. De inhoud van deze beleidsstukken geven we hieronder kort weer. Nota reserves en voorzieningen (2020) De nota reserves en voorzieningen is recent vastgesteld en van toepassing op de gemeenten Achtkarspelen, Tytsjerksteradiel en de Werkmaatschappij 8KTD (1). In de nota wordt toegelicht dat er rekening gehouden wordt met de relatie tussen de (benodigde) omvang van de reserves, de (benodigde) weerstandscapaciteit en het weerstandsvermogen. Dit kan gebruikt worden om de wijze van verslaglegging ten aanzien van de risico’s op voorhand duiden. In de nota wordt de link gelegd met de geldende regelgeving vanuit het BBV, zoals artikel 11. Zo wordt de samenhang tussen reserves, voorzieningen, risico’s en weerstandsvermogen middels een afbeelding toegelicht:

Afbeelding 1: Samenhang tussen reserves, voorzieningen risico’s en weerstandsvermogen (1). In de nota wordt toegelicht dat op jaarlijkse basis in de paragraaf Weerstandsvermogen van de programmabegroting afzonderlijk voor beide gemeenten en de werkmaatschappij informatie wordt

33

opgenomen over het beleid ten aanzien van het weerstandvermogen en de geïnventariseerde risico’s. Hierbij wordt ook aandacht besteed aan de vraag in hoeverre het weerstandsvermogen toereikend is ten opzichte van de geïnventariseerde risico’s (1). Aanvullende nota's Nota's waarin ook deels aandacht is voor risicomanagement zijn de Nota waardering en afschrijving vaste activa (2020) en het Treasurystatuut (2020). Voor beide gemeenten is recent een identieke Nota waardering en afschrijving vaste activa opgesteld. Deze nota omschrijft het geldende beleid met betrekking tot activeren, waarderen en afschrijven. In het recent vastgestelde treasurystatuut wordt het beleid ten aanzien van de treasuryfunctie toegelicht. De treasuryfunctie richt zich op ‘sturen en beheersen van, het verantwoorden over en het toezicht houden op de financiële vermogenswaarden, de financiële geldstromen, de financiële positie en de hieraan verbonden risico’s’. In de nota worden verschillende risico’s op het gebied van treasury toegelicht. Financiële verordeningen Voor beide gemeenten en de werkmaatschappij zijn financiële verordeningen opgesteld. In de financiële verordening van de gemeente Tytsjerksteradiel (2020) worden het risicomanagement en het weerstandsvermogen niet als losse onderwerpen toegelicht (2). De financiële verordening bevat kaders over: • • •

Niveau van autorisatie van de begroting, binnen het sociaal domein heeft het college de verplichting om de raad te informeren over verschuivingen van lasten of baten tussen de taakvelden binnen het Sociaal Domein. Het college informeert de raad naast de jaarstukken en de begroting middels twee tussentijdse rapportages in de vorm van bestuursrapportages in juni en oktober en twee extra tussentijdse informatiemomenten in april en december over het lopende boekjaar. In de verordening wordt toegelicht aan welke zaken het college invulling geeft op het gebied van de financiële organisatie en de interne controle.

De financiële verordening van de gemeente Achtkarspelen (2018) is grotendeels identiek aan de verordening van Tytsjerksteradiel (3). De meest in het oog springende afwijking tussen beide verordeningen is dat de gemeente Achtkarspelen geen tussentijdse rapportages aan de raad verstrekt. De gemeente Achtkarspelen hanteert het stelsel dat begrotingswijzigingen en bijstellingen van beleid niet via standaardmomenten als de bestuursrapportage verlopen. Deze worden telkens aan de raad aangeboden wanneer dit aan de orde is. Dit wordt omschreven als de ‘permanentiegedachte’. Uit gesprekken komt naar voren dat in de praktijk de tussentijdse rapportages op éénzelfde manier aan de raad verstrekt worden. Vanaf 2021 werken de gemeenten met vier rapportagemomenten per jaar. De financiële verordeningen van de beide gemeenten en de werkmaatschappij worden op dit punt gewijzigd. De Financiële verordening Gemeenschappelijke regeling Werkmaatschappij 8KTD (2018) herhaalt voornamelijk de identieke artikelen van de verordeningen van de beide gemeenten en past deze toe op de werkmaatschappij. Naast de verschillende nota's is het risicomanagement binnen de gemeenten en de werkmaatschappij uitgewerkt in verschillende beleidsplannen. Deze documenten zijn generiek opgesteld voor de beide gemeenten en de werkmaatschappij.

34

Controleprotocol 2021-2024 De gemeenten en de werkmaatschappij werken met een controleprotocol die uitvoering geeft aan de verplicht opgestelde controleverordening naar aanleiding van artikel 213 van de Gemeentewet. Het protocol regelt een aantal zaken ten aanzien van de controle van de jaarrekening, het opstellen van de rechtmatigheidsverantwoording en het te voeren financieel beheer (4). Specifiek gaat het protocol in op: • • • •

goedkeuringstoleranties accountantscontrole; rapportagegrens geconstateerde onrechtmatigheden; verantwoordingsgrens rechtmatigheidsverantwoording; rapportagegrens (5% verantwoordingsgrens).

(V)IC-plan 2021 t/m 2024 Het (V)IC-plan beschrijft de inrichting en uitwerking van de verbijzonderde interne controle binnen de ambtelijke organisaties van beide gemeenten en de werkmaatschappij (5). Daarbij richt het plan zich op een aantal geprioriteerde processen. Hierin wordt uitgesproken dat de gemeentelijke organisatie in 2021 het Three Lines of Defence model implementeert: 1. Primaire beheersing van risico’s binnen de eigen afdeling (IC). 2. Controlewerkzaamheden worden gerapporteerd aan de clustercontrollers. De clustercontrollers toetsen of de uitkomsten van de primaire controles betrouwbaar zijn (VIC). 3. Concerncontrol toetst of de werkzaamheden volgens afgesproken criteria zijn doorlopen.

Vanaf 2022 is de ambitie om risicomanagement (waaronder interne beheersing van processen en aandacht voor fraudepreventie) breder te implementeren. Het meerjaarlijkse plan wordt jaarlijks uitgewerkt tot een auditplan, hierin staan de aandachtspunten voor dat jaar omschreven. Medewerkers zijn bekend met de beleidsstukken ten aanzien van het risicomanagement. Uit gesprekken komt naar voren dat ten aanzien van het risicomanagement de praktische uitvoering van risicomanagement in de dagelijkse praktijk de grootste aandacht krijgt. Niet bij alle medewerkers zijn de doelen die gesteld zijn in het (V)IC-plan 2021 t/m 2024 bekend. Zo zijn een aantal medewerkers nog niet bekend met de beleidsmatige keuzes ten aanzien van het Three lines of Defence model. Een aantal medewerkers benoemt dat veel werkzaamheden op het gebied van risicomanagement ook impliciet plaatsvinden in het dagelijkse werk en zodoende minder zijn vastgelegd in beleidsstukken. In het volgende hoofdstuk zal nader ingegaan worden op de uitvoering van het risicomanagement in de praktijk.

213a-onderzoeken Momenteel wordt er binnen de gemeenten niet gewerkt met onderzoeken naar doeltreffendheid en

35

doelmatigheid op basis van artikel 213a van de gemeentewet.2 De gemeente geeft aan dat de inzet op het gebied van de corona-maatregelen, verbeteren van de VIC en interne ontwikkelingen prioriteit heeft. De wens is om in de toekomst deze mogelijkheid weer op te pakken.

Binnen de gemeenten en de werkmaatschappij bestaat geen nota verbonden partijen, die als kaderstellend document de uitgangspunten beschrijft ten aanzien van de verbonden partijen en de werkafspraken hierover tussen gemeenteraad en college. Aan de verbonden partijen wordt in de P&Cdocumenten in een aparte paragraaf aandacht besteed. In deze paragraaf wordt aan elke verbonden partij een risicoprofiel toegekend, dit risicoprofiel wordt niet nader toegelicht. Voor de verbonden partijen geldt dat er toegewerkt wordt naar een verdere samenwerking op provinciaal niveau. De concerncontrollers binnen de provincie Fryslân zijn bezig met het opstellen van een scan/vragenlijst om inzicht te krijgen in de risico’s van de verbonden partijen. De concrete werkwijze hiervoor wordt als volgt omschreven (6): Medewerkers geven aan dat het risicomanagement ten aanzien van de verbonden partijen binnen dit provinciale gremium verder uitgewerkt zal worden. Risicoprofielen zullen verder uitgebreid en toegelicht Deze vragenlijst is door de concerncontrollers Fryslân opgesteld en vastgesteld, met behulp van Naris (expert op het gebied van, en softwareleverancier van risicomanagement). De vakgroep Verbonden Partijen zorgt ervoor dat er één gezamenlijke risicoscan komt per verbonden partij. Deze wordt ook met de verbonden partij besproken.

Afhankelijk van de uitkomsten van de risicoscan wordt de intensiteit van periodieke toetsing verhoogd of verlaagd. Per verbonden partij worden één of twee gemeenten accounthouder. worden en aanvullend staat er op de planning dat er voor beide gemeenten een beleidsnotitie voor risicomanagement bij verbonden partijen opgesteld zal worden. De rol van de gemeenteraad binnen dit proces is momenteel nog niet duidelijk.

Het beleid ten aanzien van risicomanagement is actueel, volledig en rechtmatig. Met name de actualiteit van het beleid valt op. De beleidsplannen en nota's zijn recent vernieuwd en de uitwerking van het beleid krijgt zowel meerjaarlijks als jaarlijks een plek in de VIC. Het beleid ten aanzien van de verbonden partijen is momenteel in ontwikkeling op provinciaal niveau. Op het niveau van de beide gemeenten en de werkmaatschappij is hiervoor geen vastgesteld beleid beschikbaar. Beleid ten aanzien van risicomanagement is volledig als er ook beleid is vastgesteld over de insteek van de gemeenten ten aanzien van het risicomanagement richting verbonden partijen.

2 Artikel 213a van de gemeentewet geeft aan dat het college periodiek onderzoek kan doen naar de doeltreffendheid en doelmatigheid van het

door hen gevoerde bestuur

36

Norm 1. Het beleid is recent vastgesteld of herzien

Oordeel Toelichting Vastgestelde beleidstukken zijn van recente datum. Er zijn geen beleidsstukken vastgesteld ten aanzien van de verbonden partijen.

2. Over het beleid zijn besluiten genomen 3. Het is duidelijk welke doelen

Nota's en verordeningen zijn door de raad vastgesteld. In beleidsplannen worden concrete doelen

nagestreefd worden met het

geformuleerd en deze worden in voldoende mate

vastgestelde beleid

toegelicht.

4. Deze doelen zijn binnen de organisatie omgezet in middelen

Doelen worden uitgewerkt in concrete middelen zoals uitwerking van het 'Three Lines of Defence model', checklists VIC en overlegstructuren. Deze zijn echter niet voor alle afdelingen volledig uitgewerkt. Medewerkers geven aan dat er binnen de huidige werkzaamheden niet voldoende tijd en ruimte is om specifiek bij het risicomanagement stil te staan. Er zijn extra middelen beschikbaar gesteld in 2021 en 2022 voor het project Procesoptimalisatie.

5. Het beleid is organisatiebreed bekend en toepasbaar

Momenteel zijn uitgangspunten voor het beleid bepaald, maar deze worden nog niet door iedereen herkend. De implementatie krijgt in 2022 verder vorm.

6. En zijn binnen de organisatie afspraken gemaakt over de

In 2022 staat het verder implementeren van het beleid gepland.

uitvoering van het beleid 7. Het beleid voldoet aan de geldende

Er wordt gerapporteerd over risico’s in relatie tot

wet- en regelgeving (met name

het weerstandsvermogen en de

artikel 11 van het BBV)

weerstandscapaciteit van de organisaties.

37

Samenvatting hoofdstuk 1

Binnen de gemeenten en de werkmaatschappij is het beleid aanwezig en actueel. Er is aandacht nodig voor een eenduidig begrip van risicomanagement binnen de gehele organisatie en er moet gewerkt worden aan het vormgeven van risicomanagement ten aanzien van de verbonden partijen. De ambtelijke organisatie werkt momenteel aan het beleid rondom verbonden partijen, de koppeling met de raad wordt hierin nog niet direct zichtbaar. De huidige werkwijze op het gebied van risicomanagement biedt voldoende bouwstenen voor een meer strategische visie op risicomanagement. Deze lijn wordt ook zichtbaar in de reeds vastgestelde plannen voor het komende jaar.