Bijlage 1 - RKC onderzoek risicomanagement

38

De informatie over risicomanagement in beide gemeenten sluit aan bij artikel 11 vanuit het BBV. Het weerstandsvermogen wordt toegelicht en de relatie met de gesignaleerde risico's komt naar voren. Ten aanzien van BBV-artikel 11 lid 2c ('de paragraaf betreffende het weerstandsvermogen en risicobeheersing bevat ten minste: het beleid omtrent de weerstandscapaciteit en de risico's') valt op dat er in de paragraaf geen verwijzingen worden gemaakt richting het beleid omtrent de weerstandscapaciteit en de risico's. Wel wordt in de inleiding van de paragraaf beschreven wat de gemeenten verstaan onder het weerstandsvermogen en de risico's. De verplichte financiële kengetallen worden in de P&C-producten toegelicht.

39

Achtkarspelen De gemeente Achtkarspelen onderscheidt het weerstandsvermogen in twee delen: weerstandscapaciteit en risicobeheersing. De weerstandscapaciteit wordt daarnaast onderscheiden in incidentele weerstandscapaciteit en de structurele weerstandscapaciteit. Met de incidentele weerstandscapaciteit wordt het vermogen bedoeld dat ingezet kan worden om eenmalige tegenvallers op te vangen, dit betreffen de algemene reserve en indien van toepassing de stille reserves. Met de structurele weerstandscapaciteit wordt het begrotingsoverschot en de onbenutte belastingcapaciteit bedoeld. Risico’s Binnen de gemeente wordt het weerstandsvermogen door middel van reserves aangewend voor incidentele dekking van mogelijke risico’s. Voor structurele risico’s wordt ingezet op structurele dekking via de kadernota. De gemeente heeft een omschrijving voor risico’s en hanteert een indeling op basis van de financiële omvang onder en boven 50.000 euro. Risico’s boven 50.000 euro worden opgenomen in de paragraaf weerstandsvermogen. Risico’s onder 50.000 euro worden wel vermeld en toegelicht, bijvoorbeeld lopende het jaar in de bestuursrapportage. Hierbij is ook aandacht voor risico’s die niet in geld uit te drukken zijn. Binnen Achtkarspelen wordt er gewerkt met een classificatiesysteem voor risico’s. Hierin worden onderstaande onderwerpen per risico toegelicht:      

Kans op optreden van het risico; Effect van het risico op de uitvoering van bestaand beleid; Financiële impact van het risico; Is er sprake van een adequate beheersmaatregel; Is er sprake van een verwacht beslag op de weerstandscapaciteit; Verwacht beslag op de weerstandscapaciteit in euro’s.1

Tytsjerksteradiel Binnen de gemeente Tytsjerksteradiel wordt het weerstandsvermogen op dezelfde manier vormgegeven als binnen de gemeente Achtkarspelen. Er is één verschil. Met betrekking tot risico’s wordt binnen Tytsjerksteradiel een andere indeling gehanteerd. Risico’s boven de 100.000 euro worden opgenomen in de paragraaf weerstandsvermogen. Binnen Tytsjerksteradiel wordt er gewerkt met hetzelfde classificatiesysteem zoals deze in Achtkarspelen gehanteerd wordt.

40

In de P&C-documenten wordt de weerstandscapaciteit onderbouwd op basis van de geïnventariseerde risico's, deze risico's worden geduid in financiële omvang en de kans. De risico's worden toegelicht en onderbouwd. Er wordt bewust gekozen om 'gewone risico's' geen plek te geven binnen de weerstandscapaciteit. Als gewone risico's worden de volgende voorbeelden genoemd: open-einde regelingen, aantallen bijstandsgerechtigden, bijstelling van rijksbudgetten, vertragingen in processen, het niet realiseren van beleidsdoelstellingen, risico’s met betrekking tot Arbo en veiligheid, faillissement van aannemers en het aantreffen van bodemvervuiling bij aankoop van grond. Over dergelijke risico's wordt wel gerapporteerd in de bestuursrapportages. Ten aanzien van de weerstandsratio's valt op dat deze redelijk verschillen tussen de beide gemeenten. Voor Achtkarspelen geldt een weerstandsratio van 4,27 in 2019 en 6,69 in 2020. Voor Tytsjerksteradiel geldt een weerstandsratio van 10.7 in 2019 en 11,4 in 2020 (7). De onderbouwing wordt binnen beide gemeenten niet ondersteund door een vastgestelde norm vanuit de gemeenteraad. Zodoende is niet direct zichtbaar wat een gewenste norm voor de weerstandsvermogen en -ratio is.

8. 9.

De Informatie voldoet aan BBV-

Informatie voldoet volledig aan het BBV met

voorschriften

uitzondering van artikel 11 lid 2c.

De informatie wordt tijdig en

Informatie wordt via P&C-documenten tijdig en

integraal aan de gemeenteraad

integraal aan de raden verstrekt, raden zijn tevreden

verstrekt (sluit aan bij de P&C-

over de inhoud.

documenten) 10. De informatie geeft inzicht op

Er is informatie over risico's op hoofdlijnen door

hoofdlijnen en duidt de kans en

middel van de tabellen voor de risicoclassificatie.

impact van risico’s

Kans en impact worden weergegeven maar niet inhoudelijk toegelicht.

11. De informatie wordt leesbaar en visueel toegankelijk gepresenteerd 12. Complexe informatie en

Tabellen voor risicoclassificatie-systeem bieden leesbaarheid en toegankelijkheid. Vaktermen worden in een apart tabel toegelicht.

vaktermen worden juist toegelicht 13. De gemeente hanteert

De werkwijze wordt toegelicht in de jaarstukken.

methoden/systemen en werkwijzen om de weerstandscapaciteit en weerstandsratio te bepalen

41

14. Deze methoden/systemen en

Aanvullend aan de schriftelijke toelichting (norm 13)

werkwijzen zijn inzichtelijk

wordt er gewerkt met visuele weergaven in de vorm

vormgegeven

van tabellen. Dit zou verder aangevuld kunnen worden met grafieken.

15. De beschikbare en benodigde weerstandscapaciteit en

Onderbouwing vindt plaats op basis van geïnventariseerde risico's.

weerstandsratio worden onderbouwd 16. Deze onderbouwing vindt op een adequate, gedegen wijze plaats

De onderbouwing van risico's is niet uitgebreid, er is geen uitgebreide toelichting op de methode risicoclassificatie.

Samenvatting hoofdstuk 2 De informatievoorziening op het gebied van risicomanagement is op orde en voldoet op één artikel na aan de vereisten. De informatie wordt goed leesbaar en overzichtelijk middels tabellen gepresenteerd. De toelichtingen op de mogelijke risico's in de P&C-documenten kunnen uitgebreider. Binnen de informatie ontbreekt het aan kaderstelling rond het gewenste minimale weerstandsvermogen. Het gesprek over de risk-appetite tussen college en raad wordt zodoende momenteel niet gevoerd.

42

De uitvoering van het risicomanagement voldoet aan de generieke normenkaders. Er wordt voldaan aan de verplichtingen vanuit het BBV en de artikelen uit de financiële verordeningen. Ten aanzien van het BBV mist de toelichting bij artikel 11 lid 2c.

Op het gebied van risicomanagement zijn de rollen en verantwoordelijkheden ten aanzien van het VICplan uitgewerkt (5):

Actor

Verantwoordelijkheid

Colleges/DB

•

Colleges en DB zijn verplicht (op grond van art. 212 en 213 van de Gemeentewet) zorg te dragen voor de interne toetsing van de getrouwheid en de rechtmatigheid van de jaarrekening en rapporteren hierover aan de raden/AB

•

Opstellen van een VIC-plan

•

In de toekomst invulling geven aan de verplichte rechtmatigheidsverantwoording

Raden/DB

•

De raden stellen de opdrachtverstrekking aan de accountant vast (controleprotocol, normenkader en de goedkeurings- en

3 Deze vraag wordt in het hoofdstuk als laatste beantwoord

43

rapportagetoleranties) •

De raden stellen de jaarrekening vast

•

Raden hebben de mogelijkheid om met betrekking tot bepaalde onrechtmatigheden een indemniteitsprocedure te starten

Accountant Directie

•

Controle van de jaarrekening

•

Opstellen managementletter

•

Uitvoering VIC-plan

De uitvoering van het VIC-plan is binnen de ambtelijke organisatie nader uitgewerkt op basis van het Three Lines of Defence model, zie voor een uitwerking hiervan bijlage 1.

Medewerkers geven aan dat risicomanagement een onderdeel vormt van de dagelijkse werkpraktijk. Deze processen zijn niet altijd vastgelegd, maar wel verankerd in de praktijk. Op dagelijkse basis wordt er binnen de werkzaamheden geprioriteerd en worden er bepaalde risico's genomen. In aanvulling op de dagelijkse praktijk vindt risicomanagement overkoepelend plaats in werkoverleggen. Voor een aantal teams geldt dat risicomanagement een vast agendapunt is binnen werkoverleggen. Met name binnen het sociaal domein is er een uitgewerkte overlegstructuur waarin risicomanagement aan de orde komt, er zijn driewekelijkse overleggen met de control-medewerker en een zeswekelijks overleg binnen het MT. Medewerkers geven aan dat gesprekken met de collega's van control een belangrijke bijdrage leveren aan het risicomanagement, zij stellen vragen over mogelijke risico's en denken mee over beheersmaatregelen. Daarnaast maken medewerkers via de aanlevering van stukken voor P&Cdocumenten via Lias gebruik van de mogelijkheid om risico's te melden. Het gaat hierbij met name om financiële tegenvallers. Lias is het programma waarin medewerkers stukken aanleveren van waaruit de P&C-documenten samengesteld worden. Medewerkers geven aan dat op het gebied van risicomanagement Lias nog verder uitgebreid zou kunnen worden.

Zo kunnen risico's toegewezen worden aan risico-eigenaren en kunnen beheersmaatregelen gevolgd worden. Het merendeel van de medewerkers is niet bekend met de organisatiebrede uitwerking van het Three Lines of Defence model. Wel wordt er binnen verschillende teams in het dagelijkse werk met dit model gewerkt. In de gesprekken in het kader van dit onderzoek stellen een aantal medewerkers dat zij behoefte hebben aan een meer overkoepelend en strategisch plan voor het implementeren van een werkwijze voor risicomanagement en de uitwerking van het Three Lines of Defence model hierin. Medewerkers denken bij het onderwerp risicomanagement met name aan verantwoording. Het begrip heeft onder medewerkers geen strategische lading of focus. Zij concluderen dat risicomanagement nog slechts beperkt ingezet wordt om tijdig risico's te kunnen signaleren en/of proactief maatregelen te kunnen nemen. Er is binnen de organisatie de behoefte om risicomanagement ook op een meer strategische wijze vorm te geven en in te zetten.

44

In 2014 is gestart met de GR en dit bracht de nodige impact met zich mee, waardoor de afgelopen jaren veel extra inzet nodig was op allerlei terreinen. De aandacht voor risico’s en rechtmatigheid is hierdoor minder prominent naar voren gekomen. Er is veel tijd gestoken in controle en bijsturing om goedkeurende verklaringen te realiseren.

Medewerkers geven aan dat er sinds 2019 stappen zijn gezet op het gebied van interne controles en het risicomanagement. In 2020 is er in samenspraak met de accountant veel werk verzet en sinds 2021 wordt risicomanagement breder uitgerold binnen de ambtelijke organisatie. In eerste instantie staan hierbij de financiële rechtmatigheid, VIC en de interim-controle centraal. Three Lines of Defence model. De volgende stap in de ontwikkeling van het risicomanagement is de wens om risicomanagement verder in te richten op basis van het Three Lines of Defence model. Het doel hierbij is de leidinggevenden beter te positioneren en sturing te geven op alle risico's in de bedrijfsvoering. In de nieuwe werkwijze worden deze risico's periodiek geïnventariseerd en besproken met de lijnsturing met advies van de (control)staf. Ten opzichte van de huidige werkwijze zal er dan sprake zijn van zowel een bredere reikwijdte als frequentie qua risico-inventarisatie. Deze nieuwe werkwijze wordt al toegepast binnen het sociaal domein. Ook binnen andere werkprocessen wordt er al gewerkt met de uitgangspunten vanuit het model, dit kan verder uitgewerkt en geformaliseerd worden in de werkprocessen. Momenteel wordt er binnen de organisatie gewerkt aan een interne rapportagesystematiek om financiële sturing te krijgen. Dit is reeds afgerond voor het onderwerp personeelskosten (formatie, bezetting, verzuim).

De volgende stap zijn rapportages over de brede bedrijfsvoering die vervolgens ook per kwartaal op de tafel van de directie van de werkmaatschappij komen. Hierbij wordt gestreefd naar de drieslag overzicht, inzicht en sturing. Met name van het lijnmanagement zal de verdere ontwikkeling van het Three Lines of Defence model inzet vergen. Teamleiders hebben al hun tijd en energie nodig om de dagelijkse processen doorgang te laten vinden en zodoende is er minder ruimte om aandacht te besteden aan de doorontwikkeling van de bedrijfsvoering. De aannemelijkheid dat de ingezette veranderingen leiden tot verbeteringen, zit voor gesprekspartners met name in een duidelijke prioritering van de te nemen maatregelen. De organisatie ervaart veel ontwikkelingen binnen meerdere trajecten. Zodoende is het van belang om de trajecten met elkaar te verbinden en hierin prioritering aan te brengen. Uit gesprekken en casusonderzoek komt naar voren dat de basis qua kennis, werkmethoden en overlegstructuren binnen de organisatie aanwezig is. Binnen de werkmaatschappij werken gedreven professionals met vakkennis op het gebied van risicomanagement. Gesprekspartners geven aan dat zij het ontwikkelen van een organisatiecultuur waarin aandacht is voor risico's zien als basis, een verdere formalisatie van het risicomanagement kan leiden tot onnodige bureaucratie.

Zij zien graag dat verdere verbeteringen van het risicomanagement een plek krijgt in andere trajecten ten aanzien van bedrijfsvoering, dit biedt koppelkansen.

45

Casusonderzoek uitvoering risicomanagement Om de uitvoering van het risicomanagement in de praktijk verder te onderzoeken is er een casusonderzoek uitgevoerd. Binnen dit onderzoek zijn voor beide gemeenten twee onderwerpen ten aanzien van het risicomanagement onderzocht. Hierbij is zowel gebruik gemaakt van een documentanalyse als van verdiepende interviews. De volgende casussen zijn onderzocht: • • • •

Achtkarspelen: Maatschappelijke Onderneming Achtkarspelen (MOA) Achtkarspelen: Sociaal Domein Tytsjerksteradiel: Grondexploitaties Tytsjerksteradiel: Inkoop en aanbesteding

De uitwerkingen van de casussen, waarbij aandacht is voor de inhoud van de casus, de inrichting en uitvoering van het risicomanagement en de aandachtspunten zijn opgenomen in bijlage 2. In deze paragraaf zullen we de hoofdlijnen uit het casusonderzoek omschrijven en antwoord geven op de onderzoeksvraag. Binnen de werkprocessen van de casussen is in alle casussen aandacht voor het risicomanagement. Medewerkers zijn zich bewust van mogelijke risico's en weten deze in de praktijk te herkennen. Het valt op dat in de laatste jaren ten aanzien van risicomanagement veel stappen zijn gezet en medewerkers herkennen dat de organisatie na een aantal jaren van focus op rechtmatigheid en interne controle nu meer aandacht heeft voor risicomanagement en andere bedrijfsvoeringszaken. Wel ligt de focus van het risicomanagement met name op de financiële vraagstukken. De risico’s van het niet halen van beleidsmatige resultaten komen minder aan de orde. Binnen de casussen komt naar voren dat de uitvoering van het risicomanagement afhankelijk is van twee factoren: inhoudelijk betrokken medewerkers en een goed omschreven overlegstructuur. Deze factoren zijn voor de verschillende casussen in verschillende mate aan de orde. Zo is voor een aantal casussen het risicomanagement structureler vormgegeven middels procedures, werkwijzen en checklists.

Voorbeelden hiervan zijn stroomschema's voor werkprocessen of omschrijvingen van mogelijke risico's. Deze werkprocessen en overlegstructuren zijn niet voor alle casussen formeel vastgelegd. Zo wordt zichtbaar dat binnen een casus het risicomanagement met name belegd is bij één inhoudelijk betrokken medewerker die de werkprocessen heeft geïnternaliseerd, deze zijn echter niet schriftelijk vastgelegd en daardoor niet makkelijk overdraagbaar aan een andere medewerker. Gesprekspartners geven aan dat bij een verdere uitwerking van het risicomanagement aandacht moet zijn voor deze mogelijke personele kwetsbaarheden. Daarnaast blijkt dat het Three Lines of Defence model niet in alle casussen wordt toegepast. Zodoende herkennen ook niet alle medewerkers de plannen om dit model organisatiebreed te implementeren om het risicomanagement vorm te geven. Binnen een aantal casussen is het risicomanagement in zowel werkprocessen als in overlegstructuren ingericht. Deze werkwijze zou breder uitgewerkt kunnen worden voor de andere casussen.

46

17. Methode komt overeen met de belangrijkste normenkaders (BBV

De uitvoering voldoet aan de belangrijkste verplichte normenkaders zoals genoemd bij norm 7.

& financiële verordening) 18. Er is een eenduidig begrip van

Binnen de staforganisatie (controllers, financiën,

risicomanagement binnen de

bedrijfskundigen) is er sprake van een eenduidig

ambtelijke organisatie

begrip van risicomanagement, dit is vaktechnisch helemaal ‘up to date’. Dit eenduidige begrip hebben wij niet kunnen vaststellen bij de lijnorganisatie. De doorontwikkeling via het Three Lines of Defence model moet daartoe een belangrijke bijdrage leveren.

19. Er zijn binnen de gemeente

De rollen zijn op basis van het VIC-plan verdeeld, dit

functionarissen benoemd op het

model wordt nog niet overal in de organisatie in de

gebied van risicomanagement

praktijk zo toegepast.

20. De rollen, taken en

Risicomanagement vindt binnen de werkprocessen

verantwoordelijkheden van deze

vaktechnisch goed plaats. Deze uitvoering is in grote

functionarissen zijn bekend en

mate persoonsafhankelijk en in minder mate

beschreven

ingebed in het werkproces.

21. Er is sprake van een risico-eigenaar binnen de organisatie

Medewerkers voelen zich verantwoordelijk voor risico's binnen hun werkzaamheden. Een duidelijke koers m.b.t. organisatiebrede risico's is nog niet geïmplementeerd.

22. Processen voor risicomanagement

De processen zijn organisatiebreed nog onvoldoende

zijn organisatiebreed bekend en

bekend en worden daardoor niet eenduidig

worden éénduidig uitgevoerd

uitgevoerd. Momenteel ligt de focus op een aantal geprioriteerde processen.

23. Analyse en weging van risico’s

Vaktechnisch vindt er op de afdelingen een goede

vindt op een gestructureerde wijze

weging en analyse van risico's plaats. Procesmatig

plaats

kan dit verder geüniformeerd worden.

24. Werkprocessen komen aan de

Voor een aantal processen zijn duidelijk checklists en

orde binnen de onderzochte

werkprocessen vormgegeven, dit kan verder

casussen

verbreed worden.

25. De risicomanagementprocessen

Zie hierboven bij norm 24.

zijn adequaat ingericht

47

26. De risicomanagementprocessen

Zie hierboven bij norm 24.

zijn adequaat vormgegeven 27. Er is inzicht in veranderingen op het gebied van risicomanagement

Vanuit de controlorganisatie is er zicht op de veranderingen, dit moet nog verbreed worden naar de rest van de organisatie.

28. Deze veranderingen zijn

De implementatie van het Three Lines of Defence

uitgewerkt in concrete

model en verdere implementatie van

uitvoeringsplannen

risicomanagement worden in 2021 en 2022 verder vormgegeven.

29. De gewenste uitkomsten dragen

Er zit energie op de ontwikkelingen en dit draagt bij

bij aan een verbetering van het

aan de uitrol en de verbetering van het

risicomanagement

risicomanagement.

Samenvatting hoofdstuk 3 De uitvoering van het risicomanagement krijgt vakinhoudelijk goed vorm binnen de organisatie. Afdelingen zijn zich bewust van de risico's die zij lopen. Binnen een aantal afdelingen is dit omgezet naar een procesmatige werkwijze met checklists en overlegstructuren. In sommige gevallen is het risicomanagement in grote mate persoonsafhankelijk. Er is nog geen organisatiebreed begrip van de uitvoering van het risicomanagement. Binnen de organisatie zijn momenteel wel de juiste energie en inzet aanwezig om de verbeteringen op het gebied van risicomanagement verder vorm te geven.

48

Informatievoorziening over risicomanagement is tijdig en toegankelijk. De volledigheid van de informatievoorziening zou nog verder uitgewerkt kunnen worden, dit is reeds toegelicht in paragraaf 2.1. Over het risicomanagement wordt in de verschillende P&C-producten als volgt gerapporteerd: Achtkarspelen Jaarstukken 2020 (11) In de jaarstukken wordt een aantal risico’s aan de hand van het classificatiesysteem omschreven. Er worden binnen de jaarstukken geen beheersmaatregelen voor de risico’s omschreven. Wel wordt er per risico een beschrijving gegeven over de gevolgen van de continuering van het risico in 2021. Hierin wordt wel een aantal beleidsmatige acties omschreven. Aan de verbonden partijen wordt in een aparte paragraaf aandacht besteed. Aan elke verbonden partij wordt een risicoprofiel toegekend, dit risicoprofiel wordt niet nader toegelicht. Accountantsverslag 2020 (7) Over risico’s meldt de accountant het volgende in het accountantsverslag: ‘wij zijn van mening dat de integrale risicobenadering en de financiële vertaling van de verwachte risico’s in 2020 op een adequate wijze heeft plaatsgevonden.

Op basis van de weerstandratio kan de weerstandcapaciteit van de gemeente Achtkarspelen als ‘voldoende’ worden aangemerkt’.1 In het accountantsverslag wordt de actuele stand van de risico’s toegelicht met de weergave van de weerstandscapaciteit, de maximale omvang van de risico's (kans*impact) en de weerstandsratio.1 Ook hier is geen verklaring opgenomen wat de waarde 'voldoende' betekent.

49

Tytsjerksteradiel Jaarstukken 2020 (11) In de jaarstukken wordt een aantal risico’s aan de hand van het classificatiesysteem omschreven.1 Er worden binnen de jaarstukken geen beheersmaatregelen voor de risico’s omschreven. Wel wordt er per risico een beschrijving gegeven over de gevolgen van de continuering van het risico in 2021. Hierin worden wel een aantal beleidsmatige acties omschreven. Aan de verbonden partijen wordt in een aparte paragraaf aandacht besteed. Aan elke verbonden partij wordt een risicoprofiel toegekend, dit wordt niet nader toegelicht. Aanvullend wordt in de jaarstukken gerapporteerd over het weerstandsvermogen en de verplichte financiële kengetallen op grond van artikel 11 BBV. Accountantsverslag 2020 (7) Over risico’s meldt de accountant het volgende in het accountantsverslag: ‘wij zijn van mening dat de integrale risicobenadering en de financiële vertaling van de verwachte risico’s in 2020 op een adequate wijze heeft plaatsgevonden. Op basis van de weerstandratio kan de weerstandcapaciteit van de gemeente Tytsjerksteradiel als ‘voldoende’ worden aangemerkt: de gemeente Tytsjerksteradiel heeft momenteel voldoende ruimte, om de risico’s zoals deze nu zijn onderkend in de risicoparagraaf, met de algemene reserve te kunnen opvangen'1.

In het accountantsverslag wordt de actuele stand van de risico’s toegelicht met de weergave van de weerstandscapaciteit, de maximale omvang van de risico's (kans*impact) en de weerstandsratio.1 Overigens wordt in de verklaring niet omschreven wat de waarde 'voldoende' betekent.

Bestuursrapportages Binnen de bestuursrapportages van de beide gemeenten is er geen losse aandacht voor het weerstandsvermogen en eventuele ontwikkelingen ten aanzien van het risicomanagement. Deze rapportages richten zich met name op begrotingswijzigingen en ontwikkelingen binnen de gemeentelijke organisaties.

De betrokkenheid van de gemeenteraden bij het risicomanagement kan vormgegeven worden langs een tweetal rollen. Ten eerste heeft de raad de mogelijkheid om zijn kaderstellende rol ten aanzien van het risicomanagement vorm te geven middels de vaststelling van de verschillende nota's en verordeningen. Door middel van deze documenten kan de raad verschillende normen aan de organisatie meegeven, bijvoorbeeld normering ten aanzien van het weerstandsvermogen en de ratio weerstandscapaciteit. Daarnaast kan de raad normeren met betrekking tot de te hanteren risicogrenzen in het classificatiesysteem. De raad kan zich uitspreken over de vraag hoeveel risico's hij wil lopen en hoe hij dit omzet in de mogelijke reserves. Ten tweede kan de raad zijn sturende en controlerende rol ten aanzien van het risicomanagement via de verschillende P&C-documenten en raadsinstrumenten vormgeven. De gemeenteraden worden via de planning en control documenten geïnformeerd over risico's door middel van een risico-classificatietabel. In deze tabel worden de belangrijkste risico's geïnventariseerd en worden de kans, impact en strategie geduid.

Hierbij is ook aandacht voor risico's die niet direct financiële impact hebben, bijvoorbeeld juridische risico's of bredere ontwikkelingen zoals duurzaamheidsopgaven naar aanleiding van het klimaatakkoord en de ontwikkelingen ten aanzien van de invoering van de Omgevingswet. Daarnaast worden raadsleden bij de begrotingswijzigingen geïnformeerd over mogelijke risico's die ontstaan binnen de uitvoering. In deze begrotingswijzigingen wordt echter geen losse

50

aandacht besteed aan risicomanagement door middel van een toelichting op de ontwikkeling van het weerstandsvermogen of de risico-classificatietabel. Zodoende worden mogelijke risico's niet geduid qua kans of impact. Dit zou in de toekomst nader uitgewerkt kunnen worden om de controlerende rol van de raad verder vorm te geven. Zoals eerder benoemd voldoet de informatie aan de gestelde normen, zodoende stelt dit de raad in de mogelijkheid om de kaderstellende en controlerende rol uit te voeren. Ten aanzien van de verbonden partijen wordt in de P&C-documenten niet voldoende duiding gegeven aan mogelijke risico's. Er wordt in de paragraaf verbonden partijen aan elke verbonden partij een risicoprofiel toegekend. Dit risicoprofiel wordt niet toegelicht en er zijn ook geen beheersmaatregelen geformuleerd. Dit geeft raadsleden niet de mogelijkheid om eventuele risico's te identificeren of te duiden. Raadsleden zullen zich verder moeten verdiepen in P&C-documenten van de betreffende verbonden partijen. Dit is echter tijdrovend en qua timing voor de raadsleden niet haalbaar. Ten slotte wordt er in raadsvoorstellen aandacht besteed aan risicomanagement door het opnemen van het kopje 'consequenties'. Raadsleden geven aan dat met name in het fysieke domein deze consequenties een duidelijke toelichting geven op het gebied van risicomanagement.

Achtkarspelen: Ten aanzien van de P&C-documenten wordt de raad met name geïnformeerd middels de jaarrekening en de begroting. Raadsleden geven aan dat zij de informatievoorziening als volledig en toereikend ervaren. Binnen de overlegstructuur van de gemeenteraad van Achtkarspelen spreken raadsleden binnen de controlecommissie over financiële onderwerpen. In de controlecommissie worden stukken vanuit de ambtelijke organisatie gedeeld met een financiële component. Zo wordt er naast de reguliere P&C-documenten ook gesproken over bedrijfsvoeringszaken, de ontwikkelingen ten aanzien van het personeelsbeleid en ICT zijn hier een voorbeeld van. Voor de raadsleden in Achtkarspelen ligt er met name een prioriteit ten aanzien van het risicomanagement bij verbonden partijen, op dat vlak hebben de raadsleden behoefte aan meer grip. De kaderstellende en normerende rol ten aanzien van het risicomanagement wordt door raadsleden zeer relevant geacht, maar momenteel niet direct herkend in de praktijk van Achtkarspelen. Zij zijn in mindere mate op de hoogte van de mogelijkheden die de raad op dit vlak heeft, maar achten het wel relevant.

51

Tytsjerksteradiel Binnen de overlegstructuur van de gemeenteraad van Tytsjerksteradiel spreken raadsleden binnen de accountantscommissie over financiële onderwerpen met betrekking tot de reguliere P&Cdocumenten. Eventuele andere stukken met een financiële component staan binnen deze commissie niet op de agenda. Raadsleden geven aan dat zij bij de begroting geïnformeerd worden over risicomanagement en zij zijn bekend met het stoplicht-systeem van risicokwalificatie. Ten aanzien van financiële risico's leeft er het besef dat veel risico's niet te allen tijde te vermijden zijn, de tekorten binnen het sociaal domein wordt hierbij als voorbeeld genoemd, dit zien de raadsleden als een landelijk probleem. De raadsleden focussen zich met name op de controlerende rol; zo hebben zij aandacht voor risicomanagement binnen een aantal dossiers waarin zich financiële tegenvallers voordoen. Raadsleden zijn tevreden over de aandacht voor risicomanagement in het algemeen, zij zien dat de werkmaatschappij investeert in de bedrijfsvoering en de raad hierin voldoende meeneemt, bijvoorbeeld door het beleggen van raadsinformatiebijeenkomsten over dit onderwerp. Raadsleden zien in de toekomst meer mogelijkheden voor losse risicorapportages over grote projecten en meer aandacht voor compliance en contractmanagement.

Ook willen ze hun kaderstellende rol verder vormgeven op basis van een benchmark met andere gemeenten op het gebied van kengetallen en de normen ten aanzien van het risicomanagement. Binnen hun kaderstellende rol hebben de raadsleden aandacht voor de omvang van het weerstandsvermogen en een onder- en bovengrens van de algemene reserve, hierover worden bijvoorbeeld amendementen ingediend. Verhouding tussen de werkmaatschappij en de gemeenteraden Uit de gesprekken komt naar voren dat de organisatie mogelijkheden ziet om de raden meer te informeren over mogelijke politiek-bestuurlijke risico’s, anders dan de financiële risico's die nu doorgaans centraal staan. De werkmaatschappij is welwillend om de raden verder in positie te brengen en het gesprek te voeren over normering op het gebied van risicomanagement. De start van een nieuwe raadsperiode kan een mooi moment zijn om dit gesprek op gang te brengen. Op het gebied van de kaderstellende rol geven gesprekpartners aan dat beide gemeenteraden op verschillende momenten gebruik maken van hun controlerende rol. Zo stellen raadsleden regelmatig scherpe vragen, in deze vragen komen de termen risico's of risicomanagement niet direct aan de orde maar in veel vragen komt het wel indirect aan de orde.

52

Norm

Oordeel

30. De raad stelt kaders op het gebied van risicomanagement

Toelichting Algemene beleidskaders zijn vastgesteld, de raden maken in mindere mate gebruik om normerende kaders te bespreken of herijken. Deze rol kan de raad nemen in het kader van de toekomstige verantwoordelijkheid om de controle- en rapportagetoleranties binnen de rechtmatigheidsverantwoording vast te stellen.

31. De raad beschikt over complete en

Jaarrekening en begroting zijn toereikend voor de

juiste informatie om de

raadsleden. Bestuursrapportages bieden minder

controlerende rol uit te voeren

inzicht in risico's.

32. De raad stuurt bij (op hoofdlijnen) wanneer dit nodig is 33. Raadsvoorstellen bieden inzicht in

De raden sturen met name op actuele casussen en actuele kwesties en minder op hoofdlijnen. Dit wisselt per voorstel, met name binnen het

gestelde kaders en geven een

fysieke domein komt risicomanagement concreet

beschrijving van de belangrijkste

aan de orde. Dit vindt zijn oorsprong in de mate van

risico’s

concreetheid van voorstellen binnen het fysieke domein.

34. De raad is in staat om te

Raadsleden zijn zich bewust hoe zij de rol

reflecteren op zijn kaderstellende

momenteel invullen, er is minder reflectie op nadere

en controlerende rol

mogelijkheden om de rol anders vorm te geven.

Samenvatting hoofdstuk 4 Informatievoorziening over risicomanagement is tijdig en toegankelijk maar in nog niet in alle opzichten volledig. De raden zijn momenteel nog niet goed in staat om hun kaderstellende en controlerende rol in te vullen. Zij beschikken niet over voldoende achtergrondinformatie op het gebied van risicomanagement. Aanvullend nemen de raadsleden op dit moment weinig tot geen normerende rol in, bijvoorbeeld ten aanzien van de minimale of maximale omvang van de algemene reserve. De raad stuurt meer op hooflijnen en actuele kwesties en neemt een grotendeels controlerende rol in.

53

54

In de dit hoofdstuk geven we op basis van de bevindingen een eerste antwoord op de hoofdvraag van het onderzoek. Dit zal in de bestuurlijke oplegger uitgebreider toegelicht worden met een aantal conclusies en aanbevelingen. De gehanteerde hoofdvraag binnen het onderzoek luidt als volgt: Voldoet het college aan de rapportageverplichtingen richting de raad (BBV) en is de gekozen methode van risicomanagement effectief in het zichtbaar maken en - waar gewenst - beheersen van risico’s in de eigen beleidsuitvoering en bij op afstand gezette beleidsuitvoering? Zijn de inrichting en de dagelijkse uitvoering daarbij op voldoende niveau? In onderstaande paragrafen proberen we kort en bondig antwoord te geven op deze vraag. Risicomanagement is positief in ontwikkeling Binnen de context van de oprichting van de werkmaatschappij wordt zichtbaar dat er op het gebied van risicomanagement de afgelopen jaren veel stappen zijn gezet. In deze ontwikkeling stond primair de rechtmatigheid centraal en momenteel is er meer ruimte om breder te kijken naar het 'in control' zijn en vormgeven en inrichten van het risicomanagement binnen de organisatie. Beschrijvend beleid is aanwezig, bouwstenen voor strategisch beleid bieden kansen Beleid op het gebied van risicomanagement is grotendeels aanwezig en recent. Wel ontbreekt er een beleidsnota ten aanzien van verbonden partijen.

Hier wordt momenteel wel ambtelijk aan gewerkt, maar de rol van de raad is hierin nog niet zichtbaar. Een meer strategisch beeld over de visie van de organisatie op risicomanagement en een verdere implementatie hiervan is momenteel nog niet bij alle medewerkers bekend. Wel wordt in gesprekken met medewerkers zichtbaar dat er in de staforganisatie en op afdelingen gewerkt wordt met oog voor risico's binnen de werkprocessen. De bouwstenen om een organisatiebrede visie op risicomanagement op te stellen zijn dus aanwezig. Er wordt voldaan aan rapportageverplichtingen, verdieping kan worden aangebracht De werkmaatschappij en de beide gemeenten voldoen grotendeels aan de rapportageverplichtingen op het gebied van risicomanagement. In het traject van de doorontwikkeling van het risicomanagement kan ingezet worden op verdiepende beschrijving van risico's in de P&C-documenten door toelichting bij de risicoclassificatie, doorontwikkeling van de risicoparagraaf in raads- en collegevoorstellen en nadere aandacht voor normerende kaderstelling door de raad. Uitvoering van het risicomanagement vindt plaats en moet geborgd worden Binnen de staforganisatie is een eenduidig begrip van risicomanagement en vakkennis aanwezig.

Medewerkers binnen de lijnorganisatie passen risicomanagement toe, maar koppelen dit niet direct aan een eenduidige werkwijze, zoals inrichting middels het Three Lines of Defence model. De rolverdeling en borging van risicomanagement krijgen binnen een aantal afdelingen goed vorm. Dit biedt een goede basis om deze werkprocessen organisatiebreed uit te bouwen. Om dit te bereiken zal de organisatie ten aanzien van de verschillende bedrijfsvoeringprocessen moeten prioriteren en moeten de reeds ingezette ontwikkelingen op elkaar afgestemd worden. Rol van de raden op het gebied van risicomanagement is minder zichtbaar De rol van de gemeenteraden wordt in mindere mate zichtbaar. De informatievoorziening wordt ten

55

dele als voldoende ervaren. Raadsleden hebben meer behoefte aan inzicht in risicomanagement bij verbonden partijen en inzicht in vraagstukken rondom compliance. De raden zelf maken in mindere mate gebruik van de normerende rol die zij in kunnen nemen op het gebied van risicomanagement.

56

In de rapportage wordt veel verwezen naar het Three Lines of Defence model. Dit is een veelgebruikt model op het gebied interne controle en risicomanagement en zodoende lichten wij kort toe hoe dit model binnen een gemeentelijke context vormgegeven kan worden. De onderverdeling in drie verdedigingslinies en de positionering van de VIC lijkt op papier helder, maar de praktijk is veelvormig. Decentrale overheden beschikken over een ruime keuzevrijheid bij de inrichting van de drie verdedigingslinies en de positionering van de VIC. Naast de genoemde verdedigingslinies in de organisatie wordt de externe accountantscontrole ook wel de (4e) verdedigingslinie genoemd. Een externe toezichthouder vormt dan de 5e lijn. Onderstaande afbeelding biedt een kader waarin de drie lijnen vormgegeven kunnen worden:

Naris (2019) Weergave Three Lines of Defence De commissie Bedrijfsvoering, Auditing Decentrale Overheden (BADO) heeft in een notitie het Three Lines of Defence model specifiek uitgewerkt voor gemeenten (8). Eerste lijn: primaire processen Binnen de eerste staan de interne controlemaatregelen die belegd zijn in de lijnorganisatie centraal. Dit zijn de checks and balances in de dagelijkse werkzaamheden en werkprocessen. Tweede lijn: adviseurs en control De tweede lijn ondersteunt, adviseert, coördineert en toetst of controlemaatregelen op uitvoeringsniveau aanwezig zijn en adequaat worden uitgevoerd. Zij gaan na of deze

57

controlemaatregelen aanwezig zijn en of ze op de juiste manier uitgevoerd worden. Deze functionarissen geven een objectief oordeel over de opzet, het bestaan en de werking van de interne controles en beheersmaatregelen, die in de lijn uitgevoerd worden. De tweede lijn ondersteunt de eerste lijn onder andere bij het identificeren, bewaken en beheersen van risico’s. De tweede lijn ontwikkelt en beheert systemen voor procesbeheersing, planning & control, informatieverwerking, communicatie en rapportage. Derde lijn: audit De derde lijn toetst de opzet en het bestaan en de werking van de systemen. Hierdoor wordt de eerste en de tweede lijn een spiegel voorgehouden. Het betreft een oordeel over de effectiviteit van de besturing, het risicomanagement en de interne beheersing. De derde lijn velt binnen de eigen organisatie objectieve oordelen, over de aanwezige eerste- en tweedelijnscontrole. Binnen het VIC-plan van de werkmaatschappij is het model als volgt uitgewerkt:

Verdedigingslijn Verantwoordelijke

Taak

Werkwijze en frequentie

58

Inhoudelijke omschrijving van de casus De Stichting Maatschappelijke Organisatie Achtkarspelen (MOA) is begin 2017 van start gegaan en is een stichting van de gemeente Achtkarspelen. De MOA is het werk- en re-integratiebedrijf voor de gemeente Achtkarspelen. De MOA voert groenwerkzaamheden uit voor de gemeente (MOAi Grien). Daarnaast is de MOA preferent partner van de gemeente op het terrein van re-integratiedienstverlening (MOAi Wurk). Hiervoor helpt de MOA mensen met een afstand tot de arbeidsmarkt of mensen die langdurig in de bijstand zitten naar werk of maatschappelijke participatie toe. Qua governance is de gemeente in de volgende gremia vertegenwoordigd: stichtingsbestuur: college van B&W, adviseur stichtingsbestuur: directeur van de MOA, Raad van Advies: twee ondernemers uit Achtkarspelen en twee leden van de gemeenteraad (1 coalitie /1 oppositie). Inrichting van het risicomanagement De MOA legt verantwoording af door middel van het opstellen van een jaarrekening en begroting. Jaarlijks neemt de MOA een risicoparagraaf op in de begroting, in de jaarrekening van de MOA is geen aparte risicoparagraaf opgenomen. De Raad van Advies brengt een advies uit voor zowel de jaarstukken als de begroting. Zij vergaderden in 2020 tweemaal met de directeur van de MOA en kunnen zowel gevraagd als ongevraagd advies geven.

Uitvoering van het risicomanagement In de begroting voor 2022 van de MOA worden een aantal risico's benoemd: • • •

Cashflow is een aandachtspunt i.v.m. investeringen in nieuwe machines voor MOAi Grien; Hogere loonkosten door terugloop van SW-medewerkers door uitval i.v.m. ziekte en pensionering; Moeilijk om in te schatten wat de plannen van de landelijke regering zijn met de participatiewet.

Aanvullend benoemt de MOA dat hun liquiditeitspositie momenteel onder druk staat en zodoende doen zij het voorstel om € 126.645 van het totale positieve exploitatieresultaat 2020 van € 255.700 toe te voegen aan het werkkapitaal van de MOA. In het raadsvoorstel over deze begroting worden omtrent dit voorstel mogelijke risico's geschetst. Bovenstaand voorstel is niet in lijn met de afspraken van de gemeente over de omgang met extra ruimte in de begroting en het vormen van reserves door verbonden partijen. De MOA ontvangt structureel € 168.000 voor het verrichten van reintegratiediensten. In de jaarstukken zijn de resultaten niet te herleiden tot de inzet van deze € 168.000. De MOA heeft eerder aangegeven dat zij te veel mensen voor dit bedrag moet bedienen en dat zij eigenlijk meer budget moeten ontvangen. De transparantie ontbreekt echter als het gaat om: • • • •

Wat voor soort trajecten zijn er uitgevoerd en tot welk resultaat moet dit traject leiden? Wat is de duur van deze trajecten? Wat is de kostprijs van deze trajecten? Wat zijn de aantallen per traject?

4 Voor de casussen sociaal domein en inkoop en aanbesteding geldt dat deze gegeneraliseerd kunnen worden voor beide gemeenten.

59

Kortom, de gemeente weet nu niet waar precies voor betaald wordt. Voor de WSW is er inmiddels wel een dienstverleningsovereenkomst (DVO) afgesloten met de MOA, maar voor de Participatiewet nog niet. De MOA zit nu in een doorontwikkelfase. De hiaten zijn grotendeels wel in beeld. Bijvoorbeeld het ontbreken van een DVO voor re-integratiedienstverlening waarvan de gemeente en de MOA het er ook over eens zijn dat deze DVO er moet komen. In deze DVO kunnen dan ook afspraken gemaakt worden over periodiek rapporteren en het soort re-integratietrajecten dat de MOA aanbiedt. Wat gaat goed? • •

Risicoparagraaf in de begroting MOA; Aanwezige hiaten zijn reeds in beeld.

Wat kan nog beter? • •

Bedrijfseconomische basis onvoldoende transparant; Uitbreiding van de DVO is wenselijk.

Achtkarspelen: Sociaal domein Inhoudelijke omschrijving van de casus Het sociaal domein omvat binnen deze casus het beleid en de uitvoering rondom Wet maatschappelijke ondersteuning (Wmo), Jeugd en Participatie. Dit zijn voor gemeentelijke begrippen grote beleidsvelden waarin de gemeente veel uitgaven doet. In april 2019 hebben de gemeenteraden van Achtkarspelen en Tytsjerksteradiel het beleidskader Sociaal Domein vastgesteld. Hierin zijn de strategische doelstellingen en uitgangspunten voor de periode 2019-2022 benoemd. Meer recent zijn er de afgelopen jaren diverse maatregelen genomen in verband met financiële tekorten binnen het sociaal domein. De meest recente programmabegroting licht over de huidige financiële situatie het volgende toe: 'de huidige financiële situatie in het sociaal domein is verbeterd t.o.v. voorgaande jaren. De uitdaging om de uitgaven beheersbaar te houden blijft echter onveranderd groot' (9). Inrichting van het risicomanagement Binnen het sociaal domein wordt in de begroting gewerkt met beleidsindicatoren. Ontwikkelingen worden geduid middels de indicator 'ongunstig', 'neutraal' of 'gunstig'. Aanvullend worden de beleidsrelevante ontwikkelingen en de stand van zaken van de diverse ombuigingen toegelicht. Specifiek op het gebied van risicomanagement is er het afgelopen jaar veel inzet gepleegd binnen het sociaal domein.

Zo is er een voorstel opgesteld voor de monitoring van het sociaal domein. In het voorstel monitoring sociaal domein wordt ten dele uitvoering gegeven aan de basisprincipes vanuit het beleidskader sociaal domein. Met name de basisprincipes 'kostenbewust' en 'datagestuurd' komen terug in het voorstel. In het voorstel worden een tweetal concrete acties beschreven: opstellen dashboard per domein (Jeugd, Wmo, Participatie) en het opstellen van een overlegstructuur langs twee onderwerpen: een maandanalyse (beleid) en budgethoudersoverleggen (financiën):

60

Voor wat betreft de beheersing van het proces en de rechtmatigheid van de uitgaven, maakt de gemeente gebruik van het vastgestelde VIC-plan 2021. Specifiek voor het sociaal domein zijn er checklists voor de VIC ontwikkeld. Er zijn specifieke checklists voor zowel de 1e als 2e lijnscontrole. Uitvoering van het risicomanagement De uitvoering van het risicomanagement vindt plaats in de overlegstructuur zoals hierboven omschreven. Maandelijkse rapportages geven inzicht in de ontwikkeling van aantallen (prestaties) en kosten. In de overleggen wordt besproken welke ontwikkelingen er zichtbaar zijn en wat dit financieel betekent. De maandelijkse rapportages worden per kwartaal omgevormd tot kwartaalrapportages die gedeeld worden met het management en het college. Aanvullend worden deze rapportages ook besproken binnen de regiegroep bestaande uit de wethouders sociaal domein, de wethouders financiën en de gemeentesecretarissen. De kwartaalrapportages worden niet met de raad gedeeld, wel wordt de raad regelmatig bijgepraat over de ontwikkelingen. Medewerkers ervaren dat de raadsleden het beeld hebben dat de organisatie grip heeft op de ontwikkelingen binnen het sociaal domein. Wat gaat goed? • •

Monitoringsinstrumenten en overlegstructuren zijn ingericht; Risicomanagement wordt bestuurlijk besproken.

Wat kan nog beter? • • •

Momenteel is één medewerker (Business Intelligence-specialist) de spil in de informatievoorziening, hier zit wellicht een personele kwetsbaarheid; De huidige rapportages kunnen ook verder doorontwikkeld worden voor de gebiedsteams en zodoende in de lijnsturing een rol spelen; KPI's kunnen nog verder door ontwikkeld worden, met name binnen het beleidsveld Jeugd.

61

Tytsjerksteradiel: Grondexploitaties Inhoudelijke omschrijving van de casus In de nota grondbeleid 2020-2024 wordt een grondexploitatie als volgt omschreven: Een financieel overzicht van kosten en opbrengsten van een (door de gemeente geïnitieerde) ruimtelijke ingreep. Met de uitkomsten van het financieel overzicht wordt de financieel-economische haalbaarheid aangetoond. Na vaststelling door de raad fungeert het financieel overzicht, de grondexploitatie, als het financiële kader waarbinnen de ruimtelijke ontwikkeling gerealiseerd wordt (10). Inrichting van het risicomanagement Voor grondexploitaties vindt risicomanagement zowel specifiek plaats per grondexploitatie als generiek voor alle grondexploitaties. Per complex wordt er een model (exploitatieopzet) opgesteld, hierin wordt het volgende opgenomen: berekeningen planeconoom (uitgevoerde acties en prognoses), checken van uitgevoerde acties (gecheckt met mutaties financiële administratie) en beoordelen winst- en verliesneming. De gemeente werkt met de POC-methode (percentage of completion). De voortgang wordt berekend naar de mate waarin kosten en opbrengsten zijn gerealiseerd per individuele grondexploitatie.

Generiek vindt rapportage over het risicomanagement plaats door middel van een aantal documenten: binnen de P&C-documenten (binnen de inhoudelijke beleidsprogramma’s een toelichting door de clustercontroller, balans en toelichting op balans door medewerker financiën en binnen de paragraaf Grondbeleid door de planeconoom. Aanvullend is er een aparte rapportage, de Meerjarenprognose Grondexploitaties (MPG). In 2021 is er voor het eerst gewerkt met de MPG. De MPG is een aanvullende rapportage naast (en bij) de jaarrekening. Hierin worden ook de risico’s per grondexploitatie beschreven. Eventuele risico’s worden afgedekt door een te vormen reserve via het Weerstandsvermogen. Risico's die in de MPG genoemd worden zijn: tegenvallende grondverkoop en kostenstijging bouw- en woonrijp maken. Uitvoering van het risicomanagement Voor de uitvoering van het risicomanagement binnen de grondexploitaties is geen uitgebreid (formeel) proces beschreven. Zaken die bijdragen aan het risicomanagement die door medewerkers benoemd worden zijn: controle accountant op juiste werkwijze, intern zijn er meerdere personen betrokken (functiescheiding/vier-ogen-principe), er is een overlegstructuur met de portefeuillehouders en er vindt rapportage richting de raden plaats.

Wel wordt benoemd dat de uitvoering van het risicomanagement belegd is bij een aantal medewerkers die een goede samenwerkingsrelatie en veel persoonlijk contact hebben. Binnen afzienbare tijd gaan een aantal van deze medewerkers met (pre)pensioen en kan het een risico zijn dat informele afspraken en werkwijzen niet meer gedeeld worden. Deze kwetsbaarheid kan zich nu ook uiten bij onverwachte afwezigheid van één van de medewerkers. Centraal in het risicomanagement staan de rapportages met de materiële beoordeling van de risico’s die worden uitgevoerd door de planeconoom, deze worden rechtstreeks gedeeld met de gemeentesecretaris. Wat gaat goed? • •

Risicomanagement krijgt een plak binnen de systematiek en processen; Risicomanagement krijgt een plek binnen de MPG.

62

Wat kan nog beter? • • •

De MPG is een vrij technisch document waarover de raad weinig tot geen vragen stelt. De raad focust zich met name op het oordeel van de accountant; Er zit een risico in de bedrijfsvoering nu een aantal van de spilmedewerkers binnen de grondexploitatie binnen afzienbare tijd met (pre)pensioen gaan; De gemeente maakt op verzoek van de raad de stap van activistisch grondbeleid naar een situationeel grondbeleid, dit kan (negatieve) financiële gevolgen hebben voor de gemeente. De vraag leeft in hoeverre de raad zich hiervan bewust is.

Tytsjerksteradiel: inkoop een aanbesteding Inhoudelijke omschrijving van de casus Voor de gemeenten en werkmaatschappij geldt dat er recent specifiek aandacht is besteed aan inkoop en aanbesteding. In de afgelopen jaren is gebleken dat de gezamenlijke organisaties in onvoldoende mate voldoen aan de geldende inkoop- en (EU-)aanbestedingsregels. Dit heeft in deze jaren geleid tot (forse) onrechtmatigheden ten aanzien van de EU-aanbestedingsregels en had afkeurende accountantsverklaringen ten aanzien van de rechtmatigheid tot gevolg (11). Zodoende is in de kadernota 2019 besloten om de personele capaciteit met 0.4 fte te verhogen. Aanvullend is ook besloten om van een decentrale inkooporganisatie over te gaan naar een gecoördineerd decentraal inkoopmodel. Voorheen waren de teams/afdelingen zelf geheel verantwoordelijk voor hun inkopen en aanbestedingen binnen de gestelde kaders. Nu wordt er per inkooptraject een inkoopteam samengesteld met zowel een inkoopspecialist als medewerkers van de desbetreffende afdelingen. De inzet van dit team is afhankelijk van de aard en omvang van de inkoopactie. Inrichting van het risicomanagement Zoals hierboven omschreven is de inkooporganisatie gewijzigd. De gemeente Tytsjerksteradiel werkt met een stroomschema voor het inkoopproces. Hierin worden de verschillende stappen en rollen voor een inkoopproces toegelicht (12).

Dit stroomschema geeft een compleet beeld van de stappen en rollen ten aanzien van het inkoopproces. Ten aanzien van het risicomanagement is er een risicoanalyse opgesteld voor het inkoopproces. In deze risicoanalyse worden mogelijke risico’s geschetst en zijn er ook geschikte beheersmaatregelen geformuleerd. Deze risicoanalyse is compleet en biedt een houvast voor medewerkers binnen het inkoopproces. Risicomanagement binnen het inkoopproces is verder uitgewerkt middels inkoopcontrol, op basis hiervan worden er verschillende controles uitgevoerd: • •

Inkoop vindt plaats op basis van budgetten en begrotingen; Achteraf vindt er een spendanalyse5 plaats: o Halfjaarlijkse spendanalayses; o Jaarlijkse spendanalsyes na afronding boekjaar (rechtmatigheidscontrole accountant voor de jaarrekening);

5

Een spendanalyse is eigenlijk niets anders dan het analyseren (achteraf) van alle inkopen. Dat kan binnen de definitie van inkoop: “Inkoop is alles waar een factuur tegenover staat”. Facturen worden doorgaans betaald en betalingen belanden uiteindelijk allemaal in de crediteurenadministratie. Die crediteurenadministratie is dan ook het startpunt van de spendanalyse.

63

o

Vanuit de spendanalyse worden ten behoeve van de interne controle (VIC) steekproeven gedaan om te controleren of de betreffende inkoopactie/uitgave rechtmatig en overeenkomstig het inkoopbeleid tot stand is gekomen.

Uitvoering van het risicomanagement In de uitvoering van het gecoördineerd decentraal model ligt de verantwoordelijkheid voor de juiste toepassing van wet- en regelgeving in de lijn, zodoende is die verantwoordelijkheid 'zo laag mogelijk in de organisatie' belegd. Aanvullend is de afdeling inkoop betrokken in een adviesrol. Bij contractmanagement is de rol van inkoop kleiner, deze situatie wordt als kwetsbaar omschreven. Het stroomschema en de risicoanalyse worden in de uitvoering van het risicomanagement door de medewerkers gehanteerd. Ten aanzien van het inkoopproces is er een format ontwikkeld voor de Verbijzonderde Interne Controle (VIC). Dit format wordt per kwartaal ingevuld door de 1e lijnscontrole en gereviewd door de 2e lijnscontrole (clustercontroller). Van de controle wordt een rapportage opgesteld die wordt besproken met de 3e lijnscontrole (concerncontrol) en de teamleider. De totale VIC wordt toegelicht in het MT. Rapportages worden besproken met de accountant. In het format worden inkopen getoetst op 25 criteria. Aanvullend worden in 2021 de processen ten aanzien van inkoop en aanbesteding getoetst op de beheersing van de risico’s als onderdeel van de VIC. Inkoop zal gezamenlijk met de clustercontrollers meedenken in de doorontwikkeling en de inrichting van het proces en de beheersing van risico’s. Wat gaat goed? • •

Duidelijke werkprocessen die zijn vastgelegd; Risicomanagement wordt getoetst door middel van spendanalyses en steekproeven.

Wat kan nog beter? • •

Meer centrale sturing ten aanzien van contractmanagent; Ontwikkeling checklists ten aanzien van het stroomschema en de risicoanalyse.

64

Gesprekken Gesprek 1

Gesprek 2

Gesprek 3

Gesprek 4

Gesprekken casussen

Functie •

Accountant en concerncontroller

•

Concerncontroller

•

Clustercontroller bedrijfsvoering

•

Adviseurs P&C

•

Gemeentesecretaris Tytsjerksteradiel

•

Gemeentesecretaris Achtkarspelen

•

Teamleider Informatisering en Automatisering

•

Security Officer & ENSIA coördinator

•

Clustermanager sociaal domein

•

Teamleider Vergunningen, Toezicht & Handhaving

•

Beleidsadviseur Sociaal Domein

•

Juridisch adviseur inkoop en aanbesteden

•

Clustercontroller Sociaal Domein

•

Planeconoom, adviseur P&C en medewerker financieel beleid

65

66

1. Gemeenten Achtkarspelen & Tytsjerksteradiel (2020) Nota reserves en voorzieningenbeleid 2020 2. Gemeente Tytsjerksteradiel (2020) Financiële verordening gemeente Tytsjerksteradiel 2020 3. Gemeente Achtkarspelen (2018) Financiële verordening gemeente Achtkarspelen 2018 4. Gemeenten Achtkarspelen & Tytsjerksteradiel (2021) Controleprotocol (2021-2024) 5. Gemeenten Achtkarspelen & Tytsjerksteradiel (2020) (V)IC-plan 2021 t/m 2024 6. Frysk controllersoverleg (2021) MEMO verbonden partijen Fryslân – versie 4 juni 2021 7. Gemeenten Tytsjerksteradiel en Achtkarspelen (2020/2021) Accountantsverslagen 8. Commissie BADO (2019). De verbijzonderde interne controle bij decentrale overheden 9. Gemeente Achtkarspelen (2021), Programmabegroting 2022-2025 10. Gemeente Tytsjerksteradiel (2020), Nota Grondbeleid 2020-2024 11. Gemeente Tytsjerksteradiel (2020), Jaarstukken 2020 12. Gemeenten Tytsjerksteradiel en Achtkarspelen (2021), Stroomschema inkoopbeleid

67

68

Hoofstuk 1 beleid risicomanagement 1.

Het beleid is recent vastgesteld of herzien

2.

Over het beleid zijn besluiten genomen

3.

Het is duidelijk welke doelen nagestreefd worden met het vastgestelde beleid

4.

Deze doelen zijn binnen de organisatie omgezet in middelen

5.

Het beleid is organisatiebreed bekend en toepasbaar

6.

En zijn binnen de organisatie afspraken gemaakt over de uitvoering van het beleid

7.

Het beleid voldoet aan de geldende wet- en regelgeving (met name artikel 11 van het BBV)

Hoofdstuk 2 Informatievoorziening risicomanagement 8.

De Informatie voldoet aan BBV-voorschriften

9.

De informatie wordt tijdig en integraal aan de gemeenteraad verstrekt (sluit aan bij de P&Cdocumenten)

10. De informatie geeft inzicht op hoofdlijnen en duidt de kans en impact van risico’s 11. De informatie wordt leesbaar en visueel toegankelijk gepresenteerd 12. Complexe informatie en vaktermen worden juist toegelicht 13. De gemeente hanteert methoden/systemen en werkwijzen om de weerstandscapaciteit en weerstandsratio te bepalen 14. Deze methoden/systemen en werkwijzen zijn inzichtelijk vormgegeven 15. De beschikbare en benodigde weerstandscapaciteit en weerstandsratio worden onderbouwd 16. Deze onderbouwing vindt op een adequate, gedegen wijze plaats Hoofdstuk 3 Uitvoering risicomanagement 17. Methode komt overeen met de belangrijkste normenkaders (BBV & financiële verordening) 18. Er is een eenduidig begrip van risicomanagement binnen de ambtelijke organisatie 19. Er zijn binnen de gemeente functionarissen benoemd op het gebied van risicomanagement 20. De rollen, taken en verantwoordelijkheden van deze functionarissen zijn bekend en beschreven 21. Er is sprake van een risico-eigenaar binnen de organisatie 22. Processen voor risicomanagement zijn organisatiebreed bekend en worden éénduidig uitgevoerd 23. Analyse en weging van risico’s vindt op een gestructureerde wijze plaats 24. Werkprocessen komen aan de orde binnen de onderzochte casussen

69

25. De risicomanagementprocessen zijn adequaat ingericht 26. De risicomanagementprocessen zijn adequaat vormgegeven 27. Er is inzicht in veranderingen op het gebied van risicomanagement 28. Deze veranderingen zijn uitgewerkt in concrete uitvoeringsplannen 29. De gewenste uitkomsten dragen bij aan een verbetering van het risicomanagement Hoofdstuk 4: betrokkenheid van de gemeenteraden bij risicomanagement 30. De raad stelt kaders op het gebied van risicomanagement 31. De raad beschikt over complete en juiste informatie om de controlerende rol uit te voeren 32. De raad stuurt bij (op hoofdlijnen) wanneer dit nodig is 33. Raadsvoorstellen bieden inzicht in gestelde kaders en geven een beschrijving van de belangrijkste risico’s 34. De raad is in staat om te reflecteren op zijn kaderstellende en controlerende rol

70