05 - Bijlage 1 - Beleidskader risicomanagement

Beleidskader Risicomanagement 2023 t/m 2026

Gemeente Achtkarspelen, Gemeente Tytsjerksteradiel, GR WM 8ktd

Risicomanagement is een instrument dat ingezet wordt om risico’s efficiënter en effectiever te beheersen en doelstellingen te realiseren. Risico's managen geeft geen garantie dat gebeurtenissen met een negatief gevolg niet meer zullen optreden; het geeft wel aan dat actief wordt gewerkt aan het in beeld brengen, voorkomen en het bewust verminderen van het effect van risico’s.

Opgesteld door: Financiën / Concerncontrol Vaststelling College: februari 2023 Behandeling raad: maart 2023

1

Inhoud Inleiding ................................................................................................................................................... 4 Leeswijzer ............................................................................................................................................ 5 1.

Wettelijk kader ................................................................................................................................ 6 1.1 Risicomanagement en weerstandsvermogen ............................................................................... 6 Weerstandscapaciteit ...................................................................................................................... 6 Benodigde Weerstandsvermogen ................................................................................................... 7 Ratio weerstandsvermogen ............................................................................................................ 7

2.

Risico-inventarisatie: GBRA 8KTD .................................................................................................... 9 2.1

3.

Integrale risicobenadering 8ktd: de GBRA- Gemeente Brede Risico Analyse ....................... 10

Systematiek van risicoscore: Kansklasse en gevolgklasse ............................................................. 13 3.1 Vaststellen omvang en impact risico ........................................................................................... 13 Risicoklasse .................................................................................................................................... 13 Financiële vertaling risico's............................................................................................................ 13 Kansklasse...................................................................................................................................... 14 3.2 Bepaling weerstandsvermogen ................................................................................................... 15 3.3 Relatie met GBRA ........................................................................................................................ 15

4.

Beheersing van risico’s .................................................................................................................. 16 4.1 Beheersmaatregelen ................................................................................................................... 16 Implementatie of adhoc ................................................................................................................ 16 Structureel ..................................................................................................................................... 16 Verbetermonitor ........................................................................................................................... 17 4.2 Sturing op beheersmaatregelen .................................................................................................. 17 Signaleren en informeren .............................................................................................................. 17 4.3 Verzekeren .................................................................................................................................. 17

5.

Taken en verantwoordelijkheden ................................................................................................. 18 5.1 Kaderstellende en controlerende rol van de raad ...................................................................... 18 5.2 Kaders van het college................................................................................................................. 20 5.3 Kader van de interne organisatie ................................................................................................ 20

6.

Bijlagen .......................................................................................................................................... 21 Bijlage I Wettelijk toezicht................................................................................................................. 21 Bijlage II. Risicosessies ....................................................................................................................... 23

I

2

3

Inleiding Wat zijn risico’s Een risico is een kans op het optreden van een ongewenste gebeurtenis (door een oorzaak) met een gevolg (is dus negatief) voor betrokkene en heeft invloed op het behalen van de doelstellingen Gemeenten hebben in toenemende mate met onzekerheden te maken. Risico’s kunnen forse (financiële) gevolgen hebben en er zijn risico’s die de realisatie van doelstellingen, zoals beleid, in de weg kunnen staan. Dit gaat dus niet alleen om financiële risico’s maar om een veelheid aan risico’s. De toenemende complexiteit in de samenleving, nieuwe (Europese) wet- en regelgeving, grote decentralisaties (onder andere de (financiële) druk op het domein Jeugdzorg), bezuinigingen en bijvoorbeeld ook de recente gevolgen van de COVID-19 uitbraak en de hoge energieprijzen dwingen de gemeente tot een groter risicobewustzijn.

Risicomanagement Om als gemeenten te kunnen sturen op de beoogde doelen, is risicomanagement belangrijk. Risicomanagement is op een gestructureerde wijze identificeren, analyseren en managen / beheersen van risico’s. Of anders gezegd: risicomanagement is het effectief en systematisch omgaan met (de kansen) en bedreigingen die de realisatie van organisatiedoelstellingen kunnen beïnvloeden. Het is gericht op proactief handelen in plaats van reactief. Risicomanagement houdt niet in dat koste wat het kost risico’s vermeden moeten worden. Het gaat om het inzicht creëren in de risico’s die van toepassing zijn en vervolgens bewust afwegen of het risico kan worden beheerst. Soms is het bewust accepteren van een risico de meest optimale beheersingsmaatregel. De gezamenlijke rekenkamer van de gemeenten Achtkarspelen en Tytsjerksteradiel heeft in 2021 een onderzoek opgestart om te kijken hoe de gemeenten omgaan met risicomanagement. In het bijzonder is gekeken naar de positie van de raden en verbonden partijen. Met de constatering dat de organisaties uit een achterstandsituatie komen voor wat betreft risicobeheersing is er veel gedaan maar moeten ook vervolgstappen gezet worden. De afgelopen jaren is er op diverse onderdelen binnen gemeenten een toenemende aandacht de beheersing van risico's.

De aanbeveling van het rekenkameronderzoek sluiten goed aan bij de volgende stap die gezet moet worden op het gebied van risicomanagement. Alle afzonderlijk gezette en te zetten stappen zijn onderdeel van gemeente breed beleid op risicomanagement vaststellen.

Beleidskader gemeente Achtkarspelen, gemeente Tytsjerksteradiel en GR WM8ktd De opzet van het beleidskader Risicomanagement is vooral toegespitst op de wijze waarop de gemeenten en de GR WM8ktd risicomanagement toepassen. Theoretische kaders zijn hierbij een belangrijke basis, maar het beleidskader moet niet een papieren werkelijkheid worden. Het beleidskader risicomanagement moet in de organisatie vooral leven en gedaan worden. Daarmee ligt een beleidskader voor wat vastlegt hoe ieder vanuit zijn rol een bijdrage levert aan Risicomanagement binnen de drie organisaties. 4

Dit beleid wordt opgesteld voor alle drie de organisaties: gemeente Achtkarspelen, gemeente Tytsjerksteradiel en de GR WM8ktd.

Leeswijzer In hoofdstuk 1 leggen we vast wat het wettelijk kader is voor risicomanagement en weerstandsvermogen. En hoe ons weerstandsvermogen wordt bepaald. In hoofdstuk 2 leggen we vast welke risico’s wij meenemen als we spreken over risico’s. Ons uitgangspunt is een Gemeente Brede Risico Analyse. Vanuit deze brede context laten we alles samenkomen in de paragraaf weerstandsvermogen en bedrijfsvoering in onze P&C documenten. In hoofdstuk 3 leggen we vast welke systematiek wij gebruiken om de impact van risico’s te bepalen. En hoe we op basis van deze impactanalyse risico’s waarderen en al dan niet verwerken in de paragraaf weerstandsvermogen. In hoofdstuk 4 leggen we vast hoe we beheersmaatregelen nemen en vastleggen en hoe we sturen op risico’s. In hoofdstuk 5 gaan we nog in op de taken en verantwoordelijkheden van Raden, colleges en management.

5

1. Wettelijk kader Het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) 1 geeft voorschriften voor de inrichting van de begroting, het jaarverslag en de jaarrekening. De verplichte paragraaf Weerstandsvermogen en risicobeheersing geeft aan hoe robuust de begroting is en bevat (artikel 11, lid 2 BBV) het volgende: a. een inventarisatie van de weerstandscapaciteit; b. een inventarisatie van de risico’s; c. een beleid omtrent de weerstandscapaciteit en de risico’s; d. een kengetal voor de: 1a. netto schuldquote; 1b. netto schuldquote gecorrigeerd voor alle verstrekte leningen; 2. solvabiliteitsratio; 3. grondexploitatie; 4. structurele exploitatieruimte en 5. belastingcapaciteit. e. een beoordeling van de onderlinge verhouding tussen de kengetallen in relatie tot de financiële positie. Het BBV verplicht om op basis van een eigen risicoprofiel het financiële weerstandsvermogen in kaart te brengen. Onderdeel d. is een basisset van financiële kengetallen, dat voor de raad vooral een signaleringswaarde heeft bij het beoordelen van de financiële positie van de gemeente en de vergelijking met andere gemeenten. Hiernaast moet het College vanaf 2023 een rechtmatigheidsverantwoording afgeven.

Deze wijziging vanaf 2023 is opgenomen in de Gemeentewet naar aanleiding van het aannemen van de Wet Versterking Decentrale Rekenkamers door de Tweede Kamer op 31 mei 2022 en de Eerste Kamer op 27 september 2022. Hierbij verschuift de verantwoordelijkheid voor de rechtmatigheidsverantwoording van accountant naar het college. Dit vraagt om aanpassingen in het proces van controle en aantonen van risicobeheersing.

1.1 Risicomanagement en weerstandsvermogen Risicomanagement en het weerstandsvermogen zijn nauw met elkaar verbonden. Het doel van het hebben van weerstandsvermogen is dat er een buffer aanwezig is om de financiële tegenvallers op te vangen zodra risico’s werkelijkheid worden.

Weerstandscapaciteit Weerstandscapaciteit betreft de beschikbare financiële middelen om onverwachte, niet begrote kosten te kunnen dekken. Er worden twee soorten weerstandscapaciteit onderscheiden:

1

Het Besluit begroting en verantwoording (BBV) bepaalt dat gemeenten een paragraaf weerstansvermogen en risicobeheersing opnemen in hun begroting en jaarstukken. In artikel 11 lid van het BBV staat hierover het volgende vermeld: Het weerstandsvermogen bestaat uit de relatie tussen: a) de weerstandscapaciteit, zijnde de middelen en mogelijkheden waarover de provincie onderscheidenlijk gemeente beschikt of kan beschikken om niet begrote kosten te dekken; b) alle risico’s waarvoor géén maatregelen zijn getroffen en die van materiële betekenis kunnen zijn in relatie tot de financiële positie”.

6

- Incidentele weerstandscapaciteit: De incidentele weerstandscapaciteit laat zien hoe de gemeente eenmalige tegenvallers op kan vangen. Feitelijk is dit de optelsom van het vrij te gebruiken deel van de reserves en (eventuele) stille reserves. • Het vrij te gebruiken deel van de reserves is dat deel waarvan nog geen bestemming is vastgelegd. In onze gemeenten is dit de Algemene Reserve. • De stille reserves zijn bezittingen die op de balans lager zijn gewaardeerd dan de marktwaarde én op korte termijn verkoopbaar zijn. Op dit moment zijn binnen onze gemeenten geen stille reserves gewaardeerd. - Structurele weerstandscapaciteit: Met structurele weerstandscapaciteit worden de middelen bedoeld die gedurende het jaar permanent ingezet kunnen worden om tegenvallers op te vangen, zonder dat dit gevolgen heeft voor de uitvoering van bestaande taken. Bij onze gemeenten gaat het dan om het begrotingsoverschot en de onbenutte belastingcapaciteit. De onbenutte belastingcapaciteit geeft aan in hoeverre we de mogelijkheid hebben om (bijvoorbeeld) de OZB-tarieven te verhogen. Het onderscheid tussen incidentele en structurele weerstandscapaciteit geeft inzicht in de duurzaamheid/bestendigheid waarmee incidentele en structurele financiële tegenvallers binnen de begroting kunnen worden opgevangen.

De omvang van de benodigde weerstandscapaciteit staat in direct verband met de kwantificering van de risico’s, die de organisatie loopt bij het uitvoeren van de beleidsdoelstellingen.

Benodigde Weerstandsvermogen De verplichte paragraaf weerstandsvermogen en risicobeheersing in de begroting en jaarstukken presenteert financiële risico’s die niet kunnen worden vermeden, niet of slechts beperkt kunnen worden verminderd dan wel worden geaccepteerd. Op basis hiervan wordt het benodigde weerstandsvermogen bepaald. De wijze waarop de organisatie dit gaat bepalen wordt omschreven in hoofdstuk 4.

Ratio weerstandsvermogen Het vermogen om financiële tegenvallers op te kunnen vangen zonder afbreuk te doen aan Beleidsdoelstellingen en dat de financiële positie in gevaar komt. Het bestaat uit de verhouding tussen de financiële weerstandscapaciteiten de berekende ongedekte financiële risico’s. Het weerstandsvermogen is groter naarmate risico’s beter kunnen worden afgedekt en opgevangen. Deze beheersmaatregel is het sluitstuk van risicomanagement om de risicokosten op te vangen. De benodigde weerstandscapaciteit die uit de risicosimulatie voortvloeit kan worden afgezet tegen de beschikbare weerstandscapaciteit. De uitkomst van die berekening vormt de ratio van het weerstandsvermogen. Beschikbare weerstandscapaciteit Ratio weerstandsvermogen = ________________________________ Benodigde weerstandsvermogen De ratio kan aan de hand van onderstaande tabel (weerstandsnorm) worden beoordeeld. Ratio weerstandsvermogen

Waarderingscijfer

Betekenis 7

>2 1,4 – 2,0 1,0 – 1,4 0,8 – 1,0 0,6 – 0,8 < 0,6

A B C D E F

Uitstekend Ruim voldoende Voldoende Matig Onvoldoende Ruim onvoldoende

De gemeente streeft naar een minimaal voldoende weerstandsvermogen; waarderingscijfer C (1,0 – 1,4)).

1.2. Rechtmatigheidsverantwoording Vanaf 2023 moet het college en DB van de GR8ktd een rechtmatigheidsverantwoording afgeven. Hierbij verklaart het college en DB dat zij (financieel) rechtmatig heeft gehandeld. Dit vraagt een wijziging in de aanpak van aantonen van risicobeheersing. Dit vraagt een grotere investering in risicomanagement in de volle breedte van risicobeheersing en op een specifiek aantal onderwerpen als fraude, misbruik en oneigenlijk gebruik en fiscaal gerelateerde onderwerpen.

8

2. Risico-inventarisatie: GBRA 8KTD Om als gemeente de financiële gevolgen van het eventueel optreden van risico’s in beeld te hebben en te beoordelen of een gemeente over voldoende weerstandsvermogen beschikt, is het van belang goed zicht te hebben op de risico’s in de organisatie. Daarvoor moeten eerst de risico’s breed worden geïnventariseerd. De meest voorkomende risicodragende thema’s zijn: Risico categorieën: ✓ Maatschappelijke ✓ Politiek/bestuurlijk ✓ ✓ ✓ ✓ ✓

Financieel/economisch Grondexploitaties Fiscaal Rechtmatigheid (procedureel en financieel) Juridisch/wettelijk

✓ Privacy & Integriteit ✓ Fraude & corruptie ✓ Bedrijfscontinuïteit ✓ Organisatorisch/personeel ✓ Technisch ✓ (digitale)Veiligheid ✓ Fysiek bezit Als gemeente vinden we het belangrijk om deze integrale benadering als basis te hebben. Daarom streven wij naar een Gemeente Brede Risico Analyse die bovenstaande terreinen dekt. Door risicoinventarisatie plaats te laten vinden door een GBRA is er goed zicht op het totaal aan risico’s.

9

2.1 Integrale risicobenadering 8ktd: de GBRA- Gemeente Brede Risico Analyse

Voor de leesbaarheid is dit schema achteraan dit beleidskader in groot formaat bijgevoegd

In onze organisatie definiëren we de volgende hoofdcategorieën. Al deze hoofdcategorieën hebben in meer of mindere mate te maken met de hiervoor geschetst risicogebieden. •

•

• • •

Wettelijk toezicht: het risico dat we niet voldoen aan de eisen in interne rapportages ten behoeve van toezichthouders en de rechtmatigheidsverantwoording/accountant. Hierin zitten vooral risicothema’s als juridisch/wettelijk- rechtmatigheid, (digitale) veiligheid. Beleid en uitvoeringsrisico’s: het risico dat zich voordoet bij beleid of uitvoering hierin zitten vooral risicothema’s als politiek/bestuurlijk, financieel/economisch, maatschappelijk en juridisch/wettelijk, fysiek bezit, veiligheid Verbonden partijen: het risico rondom verbonden partijen hierin zitten vooral risicothema’s als financieel/economisch Fraude, Misbruik en Oneigenlijk gebruik; hierin zitten risicothema’s als Fraude, Misbruik of Oneigenlijk gebruik van maatschappelijke gelden en middelen. Doelrealisatie: het risico dat de gemeenten doelen die gesteld zijn niet haalt. Hierin zitten vooral risico’s als politiek/bestuurlijk, organisatie, maatschappelijk

Hieronder volgt een korte toelichting op de hierboven genoemde onderdelen uit de GBRA 8KTD. 10

Wettelijk toezicht Als organisatie zijn wij bij wet verplicht om een aantal controles te doen en hierover te rapporteren. Deze rapportage zijn aan toezichthouders variërend van de raad zelf, de belastingdienst, de provincie en het Rijk. Het niet voldoen aan deze rapportageplicht is een risico. Maar uit de rapportages komen ook diverse bevindingen naar voren die tot risico's kunnen leiden. Dit kan juridisch van aard zijn, maar ook beleidsmatige of uitvoeringsrisico's met zich meebrengen. Naar aanleiding van de bevindingen worden aanbevelingen gedaan. Het opvolgen van deze aanbevelingen wordt gemonitord via de verbetermonitor. In de bijlage is in meer detail een toelichting te vinden op diverse wettelijke rapportages die de gemeente moet uitvoeren.

Beleid en uitvoeringsrisico’s- Risicosessies De organisatie beoordeelt jaarlijks (als onderdeel van het proces van de begroting en jaarrekening) de risico's. Deze organisatie brede inventarisatie ziet op het geheel aan risico’s bij beleid en uitvoering om een zo actueel, volledig en juist risicoprofiel op te kunnen stellen. En ook hier weer beheersmaatregelen te treffen. In de bijlage wordt een toelichting gegeven op de wijze waarop de organisatie risicosessies inzet. In 2023 wordt met het opzetten van de risicosessies gestart. De verwachting is dat het gedurende drie jaar ontwikkeld moet worden en eind 2025 structureel geïmplementeerd is in de organisatie.

Risico’s Grondbedrijf Jaarlijks wordt hierover gerapporteerd via het Meerjarenperspectief Grondbeleid. Deze rapportage vermeldt de voortgang van activiteiten, projectresultaten en (bijgestelde) projectrisico’s inclusief beheersmaatregelen. Risico’s die binnen het kader van de grondexploitatie vallen, worden gelieerd aan de reserves van het Grondbedrijf.

Verbonden partijen De wijze waarop de gemeenten omgaan met verbonden partijen is vastgelegd in de nota verbonden partijen. Deze nota wordt door de raad vastgesteld. De gemeente voert verschillende taken uit. Soms worden deze taken door externe organisaties uitgevoerd. Ook in deze gevallen is het van belang om hier voldoende inzicht in en grip op te houden. Om hier invulling aan te geven is de Nota verbonden partijen opgesteld Jaarlijks wordt een beoordeling gedaan van het risicoprofiel van verbonden partijen. Hierover wordt gerapporteerd in de Begroting en de Jaarrekening.

Fraude, Misbruik en Oneigenlijk gebruik (M&O) De gemeenten beschikken over een nota Fraude Misbruik en Oneigenlijk gebruik, die door het college wordt vastgesteld. Deze nota is de ‘kapstok’ van diverse beleidsdocumenten die beheersmaatregelen van fraude-, misbruik- en oneigenlijk gebruik risico’s bevatten. De risicoanalyse Fraude en M&O vormt de basis van deze nota. Deze analyse bevat geïnventariseerde risico's op het gebied van fraude en M&O die naar risicogrootte geclassificeerd zijn. De wijze waarop de hoogste risico's worden beheerst, dient jaarlijks te worden getoetst. De nota is vastgesteld voor meerdere jaren, de risicoanalyse wordt jaarlijks geëvalueerd.

11

Doelrealisatie De organisatie stuurt op het bereiken van de vooraf gestelde doelen. Dit zijn de doelen die de raden en het college vooraf aan een bestuursperiode formuleren. Deze worden vastgelegd in het Uitvoerings Programma (UP) en daar wordt frequent over gerapporteerd aan het management en het college. Zo kan het college tijdige volgen in hoeverre er risico's zijn om het UP te realiseren. Wanneer er belangrijke ontwikkelingen zijn wordt de raad hierover door het college geïnformeerd. Jaarlijks wordt bij de jaarrekening een stand van zaken gedeeld. Alle Teams maken voor ieder jaar een teamplan. Deze teamplannen zijn onderling afgestemd, het teamplan van het MT, wat meer organisatie breed is wordt bijvoorbeeld door vertaald naar teamplannen. Teamplannen gaan niet over de gangbare, reguliere taken van een team. Teamplannen gaan over nieuwe opgaven, nieuwe wetten, nieuw opdrachten vanuit college of raden. De teamplannen worden per kwartaal door de directie met de Clustermanager besproken. Hierdoor heeft de directie tijdig zicht op de mogelijke risico's bij het bereiken van de vooraf gestelde doelen in het teamplan. En ook wat uitstel van onderdelen van een teamplan mogelijk voor effect heeft op andere teamplannen en doelstellingen.

12

3. Systematiek van risicoscore: Kansklasse en gevolgklasse Elke organisatie loopt risico’s. Het is belangrijk om impact van deze risico’s in beeld te hebben. Dit helpt om te kunnen prioriteren welke risico’s de meeste aandacht moeten krijgen en waar (soms met prioriteit) beheersmaatregelen moeten worden genomen. Ook wordt op basis van deze beoordeling bepaald hoe groot het weerstandsvermogen van de gemeente moet zijn. Zie hoofdstuk 4.

3.1 Vaststellen omvang en impact risico Risicoklasse De risico’s worden ingedeeld in risicoklassen. Dit gebeurt aan de hand van onderstaande tabel. De risicoklasse loopt van 1-20 punten. De hoogte van de risicoklasse bepaalt of de organisatie het risico opneemt voor de bepaling van het weerstandsvermogen of een voorziening vormt. Om de risicoklasse te beoordelen spelen de kans van optreden en de omvang van het netto risico een rol. Dit is geen ‘wetenschappelijke exercitie’. ‘Professional judgement’/ kunnen beargumenteren is hierbij van belang.

Risicoklasse

Kans 1

Bruto omvang * kans <10% score 5: >€ 2.500.000 5 score 4:€ 1.250.000-€2.500.000 4 score 3:€ 500.000-€1.250.000 3 score 2:€ 100.000-€500.000 2 score 1:<€100.000 1

Kans 2 10%30%

Kans 3 30%60% 10 8 6 4 2

Kans 4 60%80% 15 12 9 6 3

Kans 5 80% 20 16 12 8 voorziening 4 vormen

Financiële vertaling risico's Risico's worden geprioriteerd met behulp van een risicoscore. De risicoscore wordt bepaald door de waarde van de kansklasse (zie hierboven) en de waarde van de gevolgklasse (omvang) te vermenigvuldigen. Er ontstaat dan een matrix. Als de kans 30-60% is dan is de waarde kans 3. Als de omvang € 1.000.000 is dan is dit score 3. De risicoklasse is dan 3x3=9 Groene klasse: Risico's in de groene vlakken worden als laagste ingeschaald. Deze zijn wel in beeld maar vragen geen extra aandacht. Ze worden in de jaarlijkse risico sessie met de organisatie steeds opnieuw besproken. Gele klasse: Risico’s in de gele vlakken worden opgenomen bij de bepaling van het weerstandsvermogen met een toelichting in de begroting en de jaarrekening. Rode klasse: 13

Deze risico's worden als hoog ingeschaald en vragen extra aandacht en sturing. Ook deze risico's worden meegenomen in de bepaling van het weerstandsvermogen en met een specifieke toelichting in de begroting en jaarrekening. . Ook komen deze risico's in de periodieke overleggen (kwartaalgesprekken) tussen directie en management aan de orde

Kansklasse Bij de kwalificatie van risico’s worden vijf kansklassen onderscheiden. Zie tabel hierboven. Een kansklasse gaat over de kans dat het risico zich binnen een bepaalde termijn (een jaar) daadwerkelijk voordoet. Hoe groter de kans des te hoger de klasse. In principe worden risico’s met een score van 1 niet of nauwelijks meegewogen, maar soms kan het toch belangrijk zijn deze separaat zichtbaar te maken. Bijvoorbeeld vanwege de financiële impact of politiek-bestuurlijke aandacht. De vaststelling van de kans van het risico vindt jaarlijks plaats door medewerkers die betrokken zijn bij dagelijkse proces tijdens de risicosessie. Medewerkers 'scoren’ individueel de 'bruto’ kans waarna het gemiddelde van de groep bepalend is voor de risico. Uitschieters tussen de gegeven scores leidt tot waardevolle discussies. Belangrijk is het kunnen beargumenteren waarom een risico als laag, middellaag, midden, middelhoog of hoog is geclassificeerd. Bij risico’s met een score 5 is de kans op een knelpunt in het lopende jaar zeer groot. In dat geval moet hiervoor een voorziening worden gevormd of moet het bedrag worden meegenomen in de budgetcalculatie. Kansklasse 1. Onwaarschijnlijk 2. Mogelijk 3. Aannemelijk 4. Waarschijnlijk 5. Bijna zeker

Kanspercentage < 10% 10-30% 30-60% 60-80% >80

Actie Geen risicobedrag opnemen 20% van risico opnemen 40% van risico opnemen 70% van risico opnemen 100% van het bedrag: een voorziening treffen

Bruto omvang Risico’s worden ‘bruto’ geïnventariseerd en gedefinieerd. Dat wil zeggen dat het risico wordt beschreven zonder aandacht voor beheersmaatregelen Het bruto risico neemt af met het deel dat door beheersmaatregelen wordt ondervangen. Het resterende risico noemen we het rest- of nettorisico. Daarom zijn er in elke organisatie beheersmaatregelen aangebracht die het lopen van risico’s beperken tot een aanvaardbaar niveau.

Voorziening Wanneer een risico zich bevindt in risicoklasse 5 wordt altijd een voorziening gevormd. Een maatregel om een risico financieel af te dekken is het vormen van een voorziening. Een voorziening mag alleen worden gevormd als op balansdatum voldaan wordt aan de volgende voorwaarden: 14

• • •

De gemeente of werkmaatschappij heeft een verplichting Betaling is waarschijnlijk noodzakelijk om die verplichting af te wikkelen De omvang van de verplichting kan betrouwbaar geschat worden

Bij een kans >80% wordt voor het totale geraamde bedrag een voorziening getroffen of vindt verrekening in de calculatie plaats. Dit sluit ook aan bij het advies van de accountant. Het Besluit Begroting en Verantwoording/BBV (art. 44, lid b) vermeldt hierover dat het een wettelijke verplichting is om een voorziening te vormen voor ‘bestaande risico's ter zake van bepaalde te verwachten verplichtingen of verliezen waarvan de omvang redelijkerwijs is te schatten’. Denk bijvoorbeeld aan risico’s die een economisch of juridisch afdwingbare verplichting of verlies betreffen.

3.2 Bepaling weerstandsvermogen De gele en rode risico’s zijn bepalend voor het weerstandsvermogen van de gemeente. Op deze risico’s worden beheersmaatregelen genomen. Door de te nemen beheersmaatregel kan het brutorisico of de kans van optreden dalen. Hierdoor ontstaat een netto risico wat opgenomen wordt in de paragraaf weerstandsvermogen. Tijdens de periodieke risico sessie en/of de interne controles wordt opzet, bestaan en werking van de beheersmaatregel geëvalueerd. a. Opzet: is de beheersmaatregel beschreven in de AO en werkinstructies? b. Bestaan: wordt beheersmaatregelen in de praktijk uitgevoerd? c. Werking: Is er sprake van adequate werking? Dekt de beheersmaatregelen inderdaad juist, tijdig en volledig de risico’s af?

3.3 Relatie met GBRA Traditioneel worden veel risico’s nog altijd financieel beoordeeld. Dit komt ook terug in de methodiek die gemeenten hebben met de paragraaf weerstandsvermogen. Het beleidskaders is vooral opgesteld vanuit de GBRA gedachte. Daarom wordt in de paragraaf risico/s en weerstandsvermogen een aparte paragraaf opgenomen met overige risico’s. Deze risico’s komen uit de GBRA naar voren en zijn beoordeeld als impactvol

15

4. Beheersing van risico’s Belangrijk onderdeel van risicomanagement na signalering van risico’s vanuit de GBRA is de beheersing en sturing hierop.

4.1 Beheersmaatregelen Om risico’s te vermijden of te verminderen zijn beheersmaatregelen van belang. Het is belangrijk dat bij het treffen van beheersmaatregelen deze maatregelen ook worden geborgd. Dit gebeurt op 2 manieren.

Implementatie of ad hoc Wanneer beheersmaatregelen nog opgezet moeten worden of ad hoc worden genomen (dus voor specifiek situatie/kort periode) dan worden ze opgenomen in de verbetermonitor. Periodiek wordt er aan het management en het college gerapporteerd over de verbetermonitor en kan de voortang van de implementatie van beheersmaatregelen worden gevolgd.

Structureel Er zijn ook beheersmaatregelen die structureel van aard zijn. Zij moeten in processen worden vastgelegd die de basis vormen van onze administratieve organisatie en interne controle.

16

Verbetermonitor Te nemen beheersmaatregelen moeten wanneer zij geïmplementeerd moeten worden of ad hoc zijn worden vastgelegd om opvolging hiervan te kunnen garanderen. Dit doen wij als organisatie door te werken met een verbetermonitor. Op dit moment is er een verbetermonitor ingericht. In 2023 wordt deze omgezet naar een verbetermonitor 2.0 om beter invulling te geven aan de sturing en rapportage van de punten die in de verbetermonitor staan.

4.2 Sturing op beheersmaatregelen Deze verbetermonitor wordt periodiek in de organisatie geactualiseerd. De verbetermonitor wordt minimaal twee keer per jaar gerapporteerd, en geagendeerd in het MT en de colleges. Hierdoor beschikt het management tijdig over de voortang van de aanbevelingen en of de beheersing van risico’s volgens planning verloopt. De directie heeft kwartaalgesprekken met de clustermanagers. Deze gesprekken vinden plaats aan de hand van een vaste agenda. Onder andere de verbetermonitor met daarin beheersingsmaatregelen, die voortkomen uit risico’s die uit rapportages naar voren komen en de voortang A3 jaarplan van de teams en het Uitvoeringsprogramma (UP) staan hier op de agenda. Door periodiek als directie met het management deze gesprekken te voeren moet er tijdig meer zicht zijn op risico’s en kan tijdig besproken worden of en welke beheersmaatregelen nodig zijn. Het college en de raad worden periodiek via de begrotingswijziging onder het kopje ''overige ontwikkelingen'' geïnformeerd wanneer uit de verbetermonitor blijkt dat er significante risico's of vertragingen aan de orde zijn. Op die momenten kan de raad haar toezichthoudende rol uitoefenen.

Signaleren en informeren College-, raadsvoorstellen en AB/DB adviezen bevatten allemaal een paragraaf risico’s. Hierin horen de risico’s maar ook de eventueel te nemen of genomen beheersmaatregelen opgenomen te worden. Het opnemen van deze informatie is de verantwoordelijkheid van de opsteller. De opsteller zorgt ook dat de genoemde risico's die naar de paragraaf risico en weerstandsvermogen moeten aangemeld worden bij de clustercontrollers. De clustercontroller zorgt dat ze worden opgevoerd. Het management is integraal verantwoordelijk voor de kwaliteit van de paragraaf risico’s in de adviezen. De verbetering van de paragraaf risico’s in college en raadstukken is in de verbetermonitor opgenomen; kwaliteit risicoparagraaf.

4.3 Verzekeren Er zijn berekenbare, reguliere risico’s: de gemeente kan zich ervoor verzekeren. Denk aan brand in gemeentelijke gebouwen, aansprakelijkheid of cybercrime. Daarmee kan een risico dus worden afgedekt door een specifieke beheersmaatregel zoals een verzekering. De kosten van een maatregel moeten in verhouding staan tot de vermindering van de kans of de gevolgen van een risico. Het gaat hierbij om het antwoord op viervragen: 1. Hoe groot is de kans dat een risico tot schade leidt? 2. Wat is de verwachte omvang van de schade (impact/gevolg) als het risico zich daadwerkelijk voordoet? 3. Hoe verhoudt zich dit tot de kosten van de verzekering 4. Aan welke voorwaarden moeten we voldoen om te kunnen verzekeren en staat dit in verhouding. 17

5. Taken en verantwoordelijkheden Bij risicomanagement zijn heldere processen en procedures belangrijk. Maar het telt net zo zwaar dat er in de organisatie ruimte is voor tegenspraak en dat ambtenaren zich kunnen en durven uitspreken als er iets niet goed loopt in een project. In een opbouwend en open klimaat zal dat gemakkelijker gaan dan in een gepolitiseerde afrekencultuur. Het management, het college maar ook de gemeenteraad en zijn leden spelen daarin een verantwoordelijke (voorbeeld)rol. De raad heeft een kaderstellende en controlerende rol. De omgangsvormen in de gemeenteraad bepalen mede hoe veilig de organisatie is en hoe open er gesproken wordt over risico’s.

5.1 Kaderstellende en controlerende rol van de raad Kaderstellend De raden kunnen vooraf kaders stellen die van invloed zijn op de risicobeheersing van de gemeenten. Dit vindt plaats door diverse relevante documenten vast te stellen en hiermee de kaders als raad te bepalen. 1. Vaststellen beleidskader risicomanagement a. Gewenste ratio weerstandsvermogen b. Aanpak via GBRA: het totale pakket aan risico’s c. Methode van kwantificering van risico’s (risicoklassen) d. Rapportage over risico’s (wat komt terug in paragraaf weerstandsvermogen en bedrijfsvoering) e. Afspreken: In de verbetermonitor opnemen dat er gewerkt wordt een kwaliteitsslag van de risicoparagraaf 18

2. Opdracht aan de accountant Bij de contracteren van de accountant kan de raad bepaalde voorwaarden stellen. Daarnaast wordt jaarlijks het jaarplan van de accountant vastgesteld. De raad kan de accountant vragen om op een aantal zaken nader in te gaan. 3. De raad stelt een aantal afzonderlijke (beleids)notities vast die kaders stellen voor risico’s zoals de Nota Verbonden partijen 4. Beleidskader (Verbijzonderde) Interne Controle; (V)IC Het beleidskader (V)IC wordt eens per 4 jaar vastgesteld door de raad. Hierbij stelt de raad vast: a. Normenkader (jaarlijks) b. verantwoordingsgrens; c. rapportagegrens. Ter informatie krijgt de raad het controle Jaarplan VIC. 5.

Zienwijzen verbonden partijen De raad kan zienswijzen geven op begrotingen/jaarverslagen/oprichting etc. van

6. Sturen op de rechtmatigheidsverantwoording die het college afgeeft.

Controlerend 1. De raden maken afspraken over hoe zijn geïnformeerd willen worden over beheersmaatregelen en de ontwikkeling van risico’s. De basis hiervoor is vastgelegd in dit beleidskader Risicomanagement, zie hiervoor punt 1 bij kaderstellen raad. 2. De raden kunnen bij de behandeling van voorstellen in de raad vragen stellen over genoemde risico’s en naar aanleiding van nadere eisen stellen aan beheersmaatregelen 3. Belangrijke ontwikkelingen over de verbetermonitor en risico’s worden gerapporteerd via de P&C producten die worden geagendeerd in de raad. 4. In de paragraaf bedrijfsvoering wordt gerapporteerd over (relevante) bevindingen uit de rapportage aan de wettelijke toezichthouders 5. Vanaf het verslagjaar 2023 geeft het college een rechtmatigheidsverantwoording af. Na het 1e halfjaar ontvangt de raad een tussenrapportage. Hierin worden de bevindingen vanuit rechtmatigheidscontroles toegelicht wanneer zij boven de gestelde norm afwijken van het beleid. 6. Bij grote impact waarbij de informatietermijn van de begrotingswijziging te lang op zich laat informeert de portefeuillehouder vooraf de raad. 7. In de P&C documenten wordt de raad middels de programma's geïnformeerd over de voortgang van beleidsdoelen

De bevindingen uit de verplichte rapportages van de toezichthouders worden afzonderlijk gerapporteerd. Sommige gaan naar de colleges, andere gaan naar de raden. Voor een aantal rapportages is met de raad afgesproken dat deze terug komen in het jaarverslag. De paragraaf bedrijfsvoering wordt hiervoor ook steeds belangrijker. Afgesproken is dat zaken rondom rechtmatigheid, privacy, data en informatiebeveiliging worden gedeeld via deze paragraaf. Bij wet is ook vastgelegd dat de voortgang van de Wet open overheid via deze paragraaf gerapporteerd moet worden. 19

De risicosessies zijn een van de belangrijkste onderdelen om de paragraaf risico en weerstandvermogen van de P&C producten te vormen. Jaarlijks wordt de raad via de behandeling van het jaarverslag EN de behandeling van de begroting de paragraaf risico’s en weerstandsvermogen geïnformeerd. De begroting en het jaarverslag hebben ook een paragraaf Verbonden Partijen. Via deze paragraaf worden de raden periodiek geïnformeerd over de risico’s rond verbonden partijen. De begroting en het jaarverslag en de tussentijdse informatie momenten zijn dus belangrijke documenten voor de raad om zicht te laten informeren over diverse ontwikkelingen en om toezicht te kunnen houden. Wanneer uit de voortgang van de punten die in de verbetermonitor staan blijkt dat er belangrijke vertragingen optreden, of wanneer aanbevelingen bijvoorbeeld niet opgevolgd kunnen worden dan wordt de raad hier via de P&C producten over geïnformeerd.

5.2 Kaders van het college Het college legt de hiervoor genoemde informatie, beleidskaders en adviezen voor aan de raad. Daarin stelt het college de kaders vast die zij zelf hanteert en waar nodig ook voorlegt aan de raden. Onder andere stelt het college het Beleidskader Fraude, Misbruik en Oneigenlijk gebruik. In het college wordt minimaal twee keer per jaar de verbetermonitor geagendeerd zodat het college zicht heeft op (het tempo) van de uitvoering van beheermaatregelen. Daarnaast ontvang het college de reguliere P&C producten en de rechtmatigheidsverantwoording.

5.3 Kader van de interne organisatie De interne organisatie agendeert de in dit beleidskader genoemde rapportages (Management letter, UP, VIC, Ensia, P&C producten, Verbetermonitor, A3 plannen, rechtmatigheidsverantwoording) via het MT. Daarmee zijn de managers goed in staat om te sturen op de integrale kwaliteit van de rapportages en de kaders die gesteld worden en de voortang van beheersmaatregelen. In de kwartaalgesprekken tussen de directie en de CM staan begrotingswijzigingen, VIC, overige risico’s, verbetermonitor ook op de agenda. Op basis van de bevindingen van de accountant en andere Toezichthouders verwerkt het management beheersmaatregelen in de verbetermonitor. De raad, college en AB/DB adviezen gaan via teamleiders (TL). Hiermee zijn het de TL die vooral op dit kwaliteitsniveau van de risicoparagraaf moeten sturen. De CM zijn uiteindelijk verantwoordelijk de kwaliteit van deze stukken.

20

6. Bijlagen Bijlage I Wettelijk toezicht De gemeenten zijn op basis van de wet of vanwege toezichthouders verplicht om jaarlijks controles en rapportages te doen. Op 1 mei 2022 betreft dit de volgende rapportages: *Rechtmatigheidsverantwoording gebaseerd op - (verbijzonderde) Interne Controle (toezichthouder raad) Vanaf 2022 zijn de colleges zelf verplicht om een rechtmatigheidsverantwoording af te leggen. Daarvoor deed de accountant dit. Ter ondersteuning van eerste de accountant en vanaf 2022 het college verrichten gemeenten (Verbijzonderde) Interne Controles Per kwartaal worden er intern rapportage opgesteld van diverse interne controles die in het betreffende kwartaal zijn doorlopen. Daarnaast worden het college en de raad twee keer per jaar geïnformeerd over de bevindingen tot dat moment. Aan het eind van het jaar komt het college op basis van deze (V)IC met een rechtmatigheidsverantwoording naar de raden. -

Fraude Misbruik en oneigenlijk gebruik (beleid klaar Q1 2023).

Dit is een onderdeel van de rechtmatigheidsverantwoording (toezichthouder raad). Deze rapportage wordt een integraal onderdeel van de rechtmatigheidsverantwoording die het college vanaf 2023 aflegt aan de raden. *Ensia (BAG, BRO, WOZ, BRP en Rijksdocumenten, Suwinet) (landelijk toezichthouder: BZK en waarderingskamer en BKWI) Een landelijke ingericht portal waar jaarlijks voor 1 mei verantwoording over behaalde percentage kwaliteitsnormen t.o.v. wettelijk gestelde normen moet worden afgelegd. Inclusief of voldaan wordt aan gestelde inrichting- & controlenormen en NOREA veiligheidsnormen. De rapportages worden vastgesteld in het college en gaan ter informatie naar de raden. *Interbestuurlijk toezicht provincie (IBT) (provinciaal toezicht) Dit betreft een wettelijke plicht van provincies op gemeenten. De provincie is de toezichthouder voor ruimtelijke ordening, bouwen, milieu, huisvesting, monumenten, archieven (overheidsinformatie) en constructieve veiligheid van bouwwerken. *Tax Control Framework (fiscaliteit) (toezicht belastingdienst) De gemeenten moeten voldoen aan diverse fiscale regels. Vanaf 2023 hebben wij geen Horizontaal Toezicht meer met de Belastingdienst. Geïnvesteerd wordt in het opstellen van een Taks Control Framework. Een analyse van fiscale risico's met inventarisatie van beheersmaatregelen.

Dit zorgt voor een focuswijziging van “Tell me” naar “Show me” in de wijze van beheersing van risico's. *Rapportages Functionaris Gegevensbescherming (toezicht Autoriteit Persoonsgegevens). Gemeenten zijn wettelijk verplicht een FG-er aan te stellen. Ook zijn gemeenten verplicht om bepaalde procedures in te richten zoals melding datalekken etc. Deze FG-er is een onafhankelijke 21

toezichtsfunctie en is dan ook niet in de lijn georganiseerd maar betreft een formele benoeming door het college. De FG-er stelt jaarlijks een rapportage op. Een samenvatting van deze rapportage komt in het jaarverslag op basis waarvan de raden geïnformeerd over hetgeen de FG-er rapporteert en welke aanbevelingen gedaan worden. De FG-er bewaakt de Compliance van de Algemene Verordening Gegevensbescherming (AVG) *Rapportages Toezichthouder WMO (toezicht/wettelijk kader) *Audit Wet Politie gegeven (toezichthouder Autoriteit Persoonsgegevens). Gemeenten zijn verplicht om jaarlijks, via een vastgestelde vragenlijst, een rapportage aan te leveren die toetst of wij voldoen aan privacy rond persoonsgegevens die gebruikt worden in bv processen rond BOA’s. *Verantwoording over de implementatie en uitvoering Wet open overheid Deze wet gaat om in op 1 mei 2022. Bij wet is vastgelegd dat in het jaarverslag gerapporteerd wordt over bevindingen en de voortang van de implementatie van deze wet. De fasering van de verschillende onderdelen die onder de Wet open overheid valt is nog niet bekend. Belangrijkste risico naast niet voldoen aan wettelijke rapportageplichten is het niet voldoen aan de basis van het democratische stelsel- de open overheid. *213a onderzoeken In de verordening is vastgelegd dat de gemeenten per jaar 213a onderzoeken verrichten.

Het is belangrijk om periodiek te meten of de organisatie, programma’s en paragrafen doelmatig en doeltreffend ingericht zijn. 213 a onderzoeken raken meer aan de bedrijfskundige risico's. *Digid (logius- BZK toezichthouder) Jaarlijkse controle of voldaan wordt aan gestelde NOREA veiligheidsnormen.

22

Bijlage II. Risicosessies Om de risico’s van een proces, verstrekking, project en product vaststellen, wordt een risicoanalyse opgesteld. Het opstellen hiervan vindt plaats door een ‘risicoanalyseteam’ onder regie van de clustercontroller (facilitator) en onder eindverantwoordelijkheid van de clustermanager. Duidelijk dient hierbij het doel vastgesteld te worden op welke risicodragend thema de analyse zich focust, zie hiertoe hoofdstuk 2. Hierna worden de eisen ten aanzien van tijd, geld, kwaliteit/diepgang, informatie en organisatie bepaald en vervolgens kunnen de inhoudelijke werkzaamheden van de analyse worden vastgesteld.

Voordat gestart kan worden met het daadwerkelijk opstellen en uitvoeren van de risicoanalyse moet een “analyseteam” worden samengesteld. Deze bestaat uit (maximaal 8-10) inhoudelijk betrokken bij het proces. Zij zijn immers degenen die zicht hebben op de mogelijke risico’s. De inhoudelijke betrokkenen zijn grofweg in twee groepen te onderscheiden: • Generalisten: teamleider, projectleider, manager, clustercontroller; • Specialisten: beleidsmedewerker, financieel adviseur, HRM, jurist. Binnen dit analyseteam dient zicht te zijn op alle risicodragende thema’s van een project, proces of verstrekking. Echter per analyse dient duidelijk het doel / afbakening met betrekking tot risicodragend thema te worden vastgesteld. Risico’s worden zo duidelijk en concreet mogelijk geformuleerd zodat helder is wat er niet goed kan gaan (risico), waardoor / door wie dat kan ontstaan (oorzaak) en waar het invloed op heeft (gevolg). Een risico is dus géén vraag en kan niet uit één woord bestaan. Risico’s worden ‘bruto’ geïnventariseerd en gedefinieerd. Dat wil zeggen dat het risico wordt beschreven zonder aandacht voor beheersmaatregelen. Hierbij wordt het risico ‘bruto gescoord’: wat is de hoogte van het risico (kans*impact) wanneer er géén sprake zou zijn van een beheersmaatregel? Van de hoge brutorisico’s worden vervolgens de huidige/bestaande beheersmaatregelen in kaart gebracht.

Waar nieuwe beheersmaatregelen moeten worden geïmplementeerd worden deze waar van toepassing opgenomen in de verbetermonitor. Veel beheersmaatregelen wordt gedurende het jaar door middel van het uitvoeren van (Verbijzonderde) Interne Controles getoetst op Opzet, Bestaan en Werking. Ook komen zij in de jaarlijkse risicosessies aan de orde. Na beoordeling van de controles, kunnen na afloop van het jaar de rest-/nettorisico gekwantificeerd worden. Zijn de beheersmaatregelen daadwerkelijke beschreven in de AO (opzet), worden ze uitgevoerd (bestaan) en beheersen ze daadwerkelijk het risico (werking)? Hiermee kan het rest-/netto risico in kaart worden gebracht welke de basis vormt voor de risicoanalyse voor het volgende jaar. Concreet zal dit betekenen dat een analyse team minimaal 1x per jaar samenkomt: 1. Opstellen bruto risico-inventarisatie (afhankelijk van aard en complexiteit: per risicodragend thema of alle relevante risicodragende thema’s in een sessie); 2. Een (interactieve) “scoresessie”: in kaart wordt gebracht wat de brutokans en impact is van de geïnventariseerde risico’s. Elk teamlid scoort individueel (1-5 op kans en 1-5 impact)

23

waarbij het gemiddelde leidend wordt voor de bepaling van de hoogte van het risico. Waar de scores onderling afwijken, dient ‘discussie’ te worden gevoerd. 3. Inventariseren van de beheersmaatregelen van de hoog gescoorde risico’s (afhankelijk van aard en complexiteit van het project, proces of verstrekking kan stap 3 met stap 2 worden gecombineerd). 4. Evaluatie van de controle-uitkomsten welke de basis vormt voor stap 1 voor het daaropvolgende jaar. Bovenstaande is een proces wat naar verwachting drie jaar duurt om in te regelen voor alle processen. Voor de uitvoering van risicosessies zal een risico register worden aangelegd. Dit vormt een soort van verslaglegging en volgsysteem van risico's

24

25