04 - Bijlage 2 - Toelichting beleidskader in relatie tot RKC rapport ‘managen van risico’s’

Bijlage :

Beleidskader risicomanagement in relatie tot de aanbevelingen uit het Rekenkameronderzoek ‘managen van risico’s’. Het RKC rapport is ‘managen van risico’s’ is in de raad van 2 juni 2022 vastgesteld. In september is met de raden naar aanleiding van dit onderzoek en de gemaakte afspraken een bijeenkomst geweest. In de bijeenkomst met de raad is gesproken over de bevoegdheden en mogelijkheden van de raad als het gaat om risico’s en is de basis van de GBRA (Gemeente Brede Risico Analyse) toegelicht. Naar aanleiding van het Rekenkamer onderzoek werden er 5 aanbevelingen gedaan. Het beleidskader Risicomanagement geeft hier invulling aan. Hieronder volgt een nader toelichting per aanbeveling.

Aanbeveling 2: Maak risicomanagement onderdeel van de doorontwikkeling in de sturing: Risicomanagement mag niet het feestje zijn van (interne) controllers. Het moet deel uitmaken van de dagelijkse bedrijfsvoering. Verbind daarom de verdere doorontwikkeling van het risicomanagement aan de doorontwikkeling van een integrale lijnsturing: in de planning & control met bijbehorende gesprekscyclus, de college- en raadsvoorstellen en in de informatievoorziening. Doe dit wel planmatig in tijd want alles tegelijkertijd uitvoeren zal te veel vragen. Verder bevelen we aan, naast de rapportage via P&C documenten, spelregels op te stellen over de beoordeling van (mogelijke) risico’s in de bestuurlijke voorstellen (in een risicoparagraaf). Zo kunnen raden meer vooraf worden betrokken.

Aanbeveling 3: Investeer in bewustwording Naast de systeemkant is ook de veranderkundige kant van belang. De dagelijkse uitvoeringspraktijk van risicomanagement valt of staat met het meedoen van alle geledingen. Nog niet alle risico’s zijn bij alle afdelingen van de organisatie voldoende uitgewerkt en worden ook nog niet door iedereen herkend en geïntegreerd in hun werkzaamheden. Versterk dit door bijvoorbeeld periodieke risico-sessies (in jargon: riskselfassesments) in teams en bij projectstarts te introduceren. Laat alle medewerkers meedenken en -doen. Leer ook van casuïstiek: met vallen en opstaan kom je verder. Aanbeveling 6: Benut het inwerkprogramma van de nieuwe raden voor gesprek over omgaan met risico’s In de praktijk van alledag zijn de raden vaak reactief op casuïstiek met gebleken risico’s. Het is wenselijk om bij het begin van een raadsperiode (ook op basis van de coalitieakkoorden) aandachtsgebieden te formuleren die (kunnen) spelen. Voorbeelden zijn: normering van financiële ratio’s, integriteitsrisico’s, personele knelpunten, ITveiligheid, …). Het is goed samen vooraf te verkennen wat de gezamenlijke risk-appetite is en waar de raden een extra oogje in het zeil willen houden. Betrek hierbij ook de accountant. Zie ook aanbeveling 2 over de vroegtijdige betrokkenheid van de raden bij mogelijke risico’s.

Het beleidskader Risicomanagement wordt onderdeel van het P&C traject. Er worden risicosessies georganiseerd en spelregels opgesteld voor een kwalitatieve onderbouwing van risico’s wat terugkomt in de paragraaf risico’s en weerstandsvermogen. De aanpak van de GBRA, welke landt in onder andere de P&C producten en de verbetermonitor, zorgt voor een gestructureerde informatievoorziening, zowel intern als aan de raden.

Tijdens een bijeenkomst in september met de nieuwe raden is de opzet van de Gemeente Brede Risico Analyse toegelicht, waarbij de basis is dat het risicomanagement uit meerdere aandachtsgebieden, niet alleen financieel, bestaat. Gelet op de huidige werkdruk en onderbezetting van de organisatie is gekozen voor een ingroeipad van drie jaar. Voor de implementatie worden ook extra uren gevraagd onder andere om te zorgen dat de hele organisatie goede meegenomen wordt en de werkwijze goed geïmplementeerd wordt. In het RKC onderzoek ‘managen van risico’s’ zijn nog een drietal aanbevelingen gedaan: Aanbeveling 1: : Spreek waardering uit voor de voortgang tot nu toe Uit het onderzoek blijkt dat er de afgelopen jaren zeer gericht geïnvesteerd is in het risicomanagement in de werkmaatschappij en dat daarbij flinke voortgang is geboekt. Er ligt een goed (systemisch) fundament voor een veranderkundige doorontwikkeling. Er is veel kennis aanwezig bij deskundigen, nu de rest nog….

Aanbeveling 4: Zorg voor borging van de rol van concerncontrol, interne controle en auditeurs Het is van belang dat in het Three Lines of Defence model de bevoegdheden en verantwoordelijkheden in heldere regels zijn geborgd. Er kan gedacht worden aan opname in een organisatieverordening of een protocol. Daarbij is het aanbevelenswaardig om de onafhankelijke rol van de derdelijns functies te beschrijven. Ook qua mogelijkheden escalerend te rapporteren aan directies en het bestuur met de bijbehorende spelregels van hoor en wederhoor.

Vanwege de prioriteitstelling is er nog geen opvolging gegeven aan aanbeveling 4. We nemen deze aanbeveling op in de verbetermonitor om dit gaande weg 2023 een vervolg te geven Aanbeveling 5: Maak een kader voor het omgaan met risico’s van op afstand gezette uitvoering Geef de colleges de opdracht om te komen tot kaderstelling op het gebied van verbonden partijen en andere arrangementen van samenwerkingen vanuit het perspectief van eigenaarschap en opdrachtgeverschap in de gemeentes. Overweeg daarbij toepassing van een aantal oplopende toezichtregimes: afgestemd op de mate van belang en de kans op bestuurlijke en financiële risico’s. Leg dit beleid vast in een raadsnota. Een aanvullende aanbeveling is dat ook een goed ingevoerd contractmanagement daarbij kan helpen. Gelijktijdig met het beleidskader Risicomanagement wordt de raad ook de nota Verbonden Partijen voorgelegd. Het MT heeft eind 2022 het kader voor contractmanagement vastgesteld. De raad heeft in de begroting voor 2023 middelen beschikbaar gesteld om de implementatie op te pakken. Inmiddels is er een projectleider gestart.