Document · PDF

Nota risicomanagement en weerstandsvermogen Vijfheerenlanden 2023-2026 (1).pdf

Raadsvergadering Vijfheerenlanden 15 februari 2023, gemeente VijfheerenlandenBij agendapunt: Nota risicomanagement en weerstandsvermogen 202321.388 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 3

NOTA RISICOMANAGEMENT EN WEERSTANDSVERMOGEN VIJFHEERENLANDEN 2023-2026 Op naar vernieuwend risicomanagement Op naar risicogestuurd werken 7 december 2022

Inhoudsopgave INLEIDING ......................................................................................................................... 5 1. SAMENVATTING EN BESLISPUNTEN ................................................................................... 8 2. DEFINITIES, KADERS EN STRATEGIE ................................................................................ 13 2.1 Inleiding .................................................................................................................. 13 2.2 Wat is een risico? ..................................................................................................... 13 2.3 Wat is risicomanagement & risicosturing? .................................................................... 15 2.4 Juridisch kader risicomanagement. ............................................................................. 15 2.5 Huidige uitgangspositie. ............................................................................................ 16 3. HET RISICOMANAGEMENTPROCES .................................................................................... 18 3.1 Het reguliere proces in zes risicostappen ..................................................................... 18 3.2 Het proces: wat gaat goed en wat kan nog beter ..........................................................

19 3.3 Het proces: nadere concretisering en aanscherpingen ................................................... 20 3.4 Het proces: heldere rollen en verantwoordelijkheden .................................................... 22 4. RISICOSTURING EN RISICODIALOOG .............................................................................. 23 4.1 Van beheersen naar sturen. ....................................................................................... 23 4.2 Van zes risicostappen naar drie dagelijkse vragen ........................................................ 23 4.3 Voeren risicodialoog binnen alle geledingen. ................................................................ 25 5. WEERSTANDSVERMOGEN ................................................................................................ 26 5.1 Inleiding .................................................................................................................. 26 5.2 Weerstandsbehoefte ................................................................................................. 26 5.2.1

Netto verwacht gevolg risico (het restrisico) ......................................................... 26

5.2.2

Waarschijnlijkheid van optreden. ......................................................................... 27

5.2.3

Risicosimulatie. ................................................................................................. 27

5.2.4

De weerstandsbehoefte ...................................................................................... 28

5.3 Beschikbare weerstandscapaciteit ............................................................................... 28 5.3.1

Algemene reserves ............................................................................................ 29

5.3.2

Onbenutte belastingcapaciteit ............................................................................. 30

5.3.3

Post onvoorzien. ............................................................................................... 31

5.3.4

Totale beschikbare weerstandscapaciteit .............................................................. 31

5.4 Inzetten/aanvullen/afromen van weerstandscapaciteit .................................................. 31 6. RELATIE TOT WEERSTANDSPARAGRAAF ........................................................................... 34 6.1 Nota is kaderstellend: het ‘hoe’ .................................................................................. 34 6.2 Paragraaf in begroting en jaarstukken: het ‘wat’ .......................................................... 34 6.3 Schuld- en solvabiliteitspositie, verplichte financiële kengetallen .................................... 34 6.3.1 Solvabiliteit ....................................................................................................... 35

BIJLAGEN .......................................................................................................................... 36 Bijlage 1: Jaarlijkse cyclus risicomanagement in zes stappen ................................................ 37 Bijlage 2: Informatie per risico ......................................................................................... 46 Bijlage 3: Taak-/bevoegdheidsverdeling............................................................................. 47 Bijlage 5: financiële kengetallen ....................................................................................... 48 Bijlage 6: Begrippenlijst ................................................................................................... 49

Inleiding Risico’s nemen is onvermijdelijk, zeker voor een jonge gemeente met ambitie. Het bewust en verantwoord omgaan met risico’s en kansen, door risicomanagement en risicobewustzijn, horen hier dan nadrukkelijk bij. Beide begrippen zijn nodig en dragen zorg voor een goede balans tussen risico’s nemen en risico’s beheersen. De gemeente Vijfheerenlanden heeft grote ambities op allerlei gebieden, zoals woningbouw, sociale participatie van alle inwoners, verbetering van de bereikbaarheid. Een grote ambitie brengt ook grote uitgaven en daarmee (financiële) risico’s met zich mee. Dit wordt nog versterkt door de huidige veranderingen op het gebied van klimaat, woningnood en opvang van vluchtelingen waar gemeenten mee te maken hebben. Een tal van complexe vraagstukken in een dynamische, meerduidige en onzekere wereld. Deze VUCA-wereld (volatiliteit, uncertainty, complexiteit en ambigu), met volop risico’s en kansen, is een niet meer te negeren realiteit. Hoe moeten we hier als gemeente nu mee omgaan? Hoe kunnen we waardevolle doelen realiseren, innoveren en maatschappelijke waarde creëren? Hiervoor kan niet volstaan worden met het gebruikelijke risicomanagement. Een vernieuwend risicomanagement is benodigd, dat risicogestuurd werken (stap voor stap) verder ontwikkelt. Risicoleiderschap is hiervoor belangrijk.

Doel in 2020 vastgestelde nota: basis weer op orde te krijgen Vlak voor de zomer 2020, in het eerste halfjaar van de coronacrisis, is de allereerste nota Risicomanagement en Weerstandsvermogen van de gemeente Vijfheerenlanden door de gemeenteraad geamendeerd vastgesteld. Deze nota voor de periode 2020-2023 had als eerste doel om het risicomanagementbeleid van de drie voormalige gemeenten te harmoniseren zodat eind 2021 de “basis weer op orde” zou zijn. Op basis van het toen door de gemeenteraad unaniem aangenomen amendement, wordt de nota bij elke volgende nieuwe raadsperiode, herzien. Deze herziening is dus nu aan de orde. Inmiddels is nu ruim twee jaar uitvoering gegeven aan het toen vastgestelde beleid en zijn zodanige stappen gezet dat de basis inderdaad weer op orde is. De risico’s worden tweemaal per jaar geïnventariseerd, gekwantificeerd en zo goed mogelijk beheerst. Gelijktijdig is voldoende weerstandsvermogen beschikbaar gehouden om de mogelijke financiële impact van risico’s voor meerdere jaren te kunnen opvangen. Met de nu voorgestelde actualisatie van de nota, willen we als organisatie een volgende stap zetten richting een “risicovolwassen organisatie”.

Ambitie: doorgroei naar risicovolwassen organisatie Op dit moment functioneert ons risicomanagement goed. De zogenaamde “tamme vraagstukken”, die op zich best ingewikkeld kunnen zijn maar een eenduidige oorzaak-gevolg relatie hebben, zijn goed te ontrafelen en op te lossen of te beheersen. Voor wilde vraagstukken in de VUCA-wereld, die complex, dynamisch en onvoorspelbaar zijn, biedt het traditionele risicomanagement geen oplossing. Risicoleiderschap ontwikkelen in de organisatie is dit aanvullend wel. Daartoe moet het risicobewustzijn in onze organisatie verder vergroot worden waardoor het omgaan met risico’s (dus ook wilde vraagstukken) een normaal onderdeel wordt van het dagelijkse werk. Het risicogestuurd werken binnen alle geledingen in onze organisatie is hiervoor uitermate belangrijk. Deze term zal in deze nota uitgelegd worden en veelvuldig voorbijkomen. In de huidige nota is dit ook al als ambitie voor de komende jaren opgenomen. Wil de organisatie doorgroeien naar een “risicovolwassen organisatie”, dient naast het reguliere risicomanagement vooral ook het risicogestuurd werken in de organisatie DNA te zijn opgenomen. Doel is een organisatie waarin open en transparant over risico’s en kansen wordt gecommuniceerd; onderkende risico’s worden gewogen en een goede balans wordt gevonden tussen risico’s nemen en beheersen.

Om deze doorontwikkeling te realiseren, ligt de nadruk voor de komende jaren in het verder invulling geven aan het risicogestuurd werken (de zogenaamde softcontrols). Natuurlijk wordt het reguliere risicomanagement voortgezet. Met deze nieuwe bijgestelde nota willen we hiervoor volgende stappen zetten. Waar mogelijk wordt het risicomanagementproces versimpeld om meer aansluiting te krijgen bij de dagelijkse praktijk.

Ook worden onderdelen nader aangescherpt. Zo worden onduidelijkheden en interpretatieverschillen weggenomen door de werkdefinities van de belangrijkste begrippen, zoals “risico”, “weerstandsvermogen” en “risicogestuurd werken” in het door gemeenteraad vast te stellen kader op te nemen. Ook wordt het eigenaarschap verder geconcretiseerd. Ook de in het collegeprogramma opgenomen normen voor de weerstandsratio (2,5) en solvabiliteit (20%) hebben een plaats gekregen. Waar mogelijk is hierbij dankbaar gebruik gemaakt van ervaringen en inzichten van verschillende andere gemeenten (zoals gemeenten Zaanstad, Hogeland, Heerenveen) die momenteel ook een doorontwikkeling richting risicogestuurd werken doormaken. Waar van toepassing zullen in deze nota de voorgestelde wijzigingen die het gevolg zijn van inzichten van deze gemeenten, vermeld worden.

Geactualiseerde nota: louter beleidsmatig kader, uitvoeringsregels door het college. Deze geactualiseerde nota heeft vooral een beleidsmatig karakter. Het bevat de door de gemeenteraad vast te stellen kaders waaraan het risicomanagement van met name financiële risico’s moet voldoen. Deze nota is op onderdelen uitgebreid om het risicogestuurd werken een impuls te geven. Het college van B&W is verantwoordelijk voor de invulling en de uitvoering van het risicomanagementproces binnen de door de raad vastgestelde kaders. Indien nodig zal het College van B&W hiervoor in een afzonderlijk document aanvullende uitvoeringsregels vaststellen. Zodoende heeft het College van B&W de mogelijkheid om de uitvoering aan te passen aan de ontwikkelingen die er spelen en wensen die er zijn vanuit de organisatie op het gebied van risicomanagement. In de nota staat het gesprek met de organisatie over risico’s centraal. Wil de gemeente veel, weinig of geen risico lopen? Is dit voor de gehele gemeente hetzelfde of kan dit verschillen per programma of project? Dergelijke vragen komen in een risicodialoog aan de orde. De gemeente Vijfheerenlanden hanteert volgens deze nota de volgende uitgangspunten: • • • • • • •

Risico’s moeten altijd in relatie staan van het gewenste doel. Risico’s kunnen namelijk forse impact hebben en de realisatie van de doelen in de weg staan. Risico’s zijn daarmee een belangrijk onderwerp van sturing. De raad stelt de kaders over het risicomanagement en het weerstandsvermogen vast en houdt hier toezicht op; het college van B&W voert het beleid uit, binnen de gestelde kaders. Risicomanagement is een vorm van integraal management. Dit betekent dat het management (DT/MT) verantwoordelijk is voor de uitvoering van het risicomanagement binnen de resultaatverantwoordelijke teams en projecten. De risicobereidheid kan per programma, project of proces verschillen. De risico’s worden geprioriteerd, de focus ligt op de belangrijkste. Het gesprek over risico’s is belangrijker dan het vertalen van risico’s naar financiële gevolgen. Het risicomanagement sluit zoveel mogelijk aan op bestaande processen (procesmanagement en projectmanagement) en PDCA-cyclus (de jaarlijkse P&C-cyclus).

Verdere inkadering reikwijdte nota. Hiervoor is al aangegeven dat deze bijgestelde nota geen uitgewerkt uitvoeringsplan bevat. Het College van B&W kan zonodig aanvullende uitvoeringsregels vaststellen. Daarnaast wordt de reikwijdte van deze nota door onderstaande twee kanttekeningen nog verder ingekaderd.

1. Alleen resterende risico’s worden meegenomen bij bepaling van benodigde weerstandscapaciteit. Voor de bepaling van de benodigde weerstandscapaciteit komen alleen geïdentificeerde resterende risico’s in aanmerking. Een risico is resterend wanneer er geheel of gedeeltelijk geen beheersmaatregelen zijn of getroffen kunnen worden. Maatregelen zoals voorzieningen, verzekeringen, procedures en staken activiteiten. Een resterend risico heeft zowel betrekking op mogelijk te verwachten lasten als een mogelijk te verwachten daling van baten.

2. Focus ligt met name op de financiële risico’s, niet-financiële risico’s worden wel meegenomen in risicomanagementproces. De verplicht in begroting en jaarstukken op te nemen paragraaf risicobeheersing en weerstandsvermogen is louter gericht op risico’s met een mogelijk financieel gevolg in verband met de onderbouwing van het benodigde weerstandsvermogen. De focus in deze nota ligt dan ook met name op dergelijke risico’s met een mogelijk financieel gevolg. Dit wil echter niet zeggen dat de risico’s met niet financiële gevolgen, volledig buiten de scope van deze nota vallen. Niet financiële risico’s kunnen in de toekomst wel financiële risico’s worden. Het in deze nota geformuleerde beleidskader zal dan ook worden gehanteerd voor de risico’s zonder directe financiële gevolgen. Dit zijn veelal bedrijfsvoeringrisico’s. Zo zullen mogelijke ICT-risico’s en risico’s m.b.t. informatieveiligheid op de agenda gezet worden. In de paragraaf weerstandsvermogen bij begroting en jaarrekening zullen actuele en belangrijke ontwikkelingen over de niet-financiële (bedrijfsvoering)risico’s gerapporteerd worden. Als het nodig is, dan wordt voor deze niet kwantificeerbare risico’s een stelpost aan de benodigde weerstandscapaciteit toegevoegd.

3. Frauderisico-analyse 2022 (wordt afzonderlijk verstrekt) Frauderisico’s verdienen bijzondere aandacht, vooral voor overheidsorganisaties zoals de onze omdat we een maatschappelijke verantwoordelijkheid hebben, gefinancierd worden met belastinggeld en regels opstellen en handhaven. Dan moeten we als overheid zelf ook betrouwbaar zijn. Daarom dient de gemeente periodiek een frauderisicoanalyse op te leveren. Fraude is iedere opzettelijke handeling – of nalaten om te handelen – met de bedoeling om een ander te misleiden met als gevolg dat die ander schade lijdt en/of de fraudeur een voordeel heeft. Fraude onderscheidt zich van fouten en vergissingen omdat fraude opzettelijk wordt gepleegd en wordt verdoezeld om ontdekking te voorkomen. Fraude wordt vaak ook verward met misbruik en oneigenlijk gebruik van regelingen. Bij fraude gaat het initiatief vanuit de eigen interne organisatie, terwijl bij misbruik en oneigenlijk gebruik het initiatief komt van buiten de organisatie. Gelet op het bijzondere karakter is een afzonderlijke nota over dit onderwerp opgesteld. Deze nota moet nog door het college van B&W worden vastgesteld en is om die reden nog niet ter informatie bijgevoegd. Direct na vaststelling door het college van B&W zal de frauderisico-analyse 2022 ter informatie naar gemeenteraad worden gestuurd.

De mogelijke impact van de aanwezige frauderisico’s zal dan ook onderdeel uitmaken van het totale risicoprofiel zoals die in de weerstandsparagraaf bij jaarrekening en begroting wordt opgenomen.

Leeswijzer Hoofdstukken Hoofdstuk 1 bevat de samenvatting met beslispunten. In hoofdstuk 2 wordt ingegaan op de werkdefinities voor de begrippen risico’s, risicomanagement en risicogestuurd werken, wordt het wettelijk juridisch kader aangegeven en wordt de huidige uitgangspositie en strategie voor de komende jaren beschreven. Het uit zes stappen bestaande risicomanagementproces wordt in hoofdstuk 3 beschreven. In hoofdstuk 4 wordt op het centrale thema van deze nota ingegaan: risicosturing en risicodialoog. In hoofdstuk 5 wordt vervolgens uitgewerkt hoe de weerstandscapaciteit en weerstandsvermogen worden bepaald en wat de kaders zijn voor het aanvullen en afromen van de algemene reserves. In hoofdstuk 6 tenslotte bevat de uitwerking van de kaders over de momenten van informatieverstrekking naar de raad over risico’s en weerstandsvermogen.

Bijlagen In de bijlagen bij deze nota worden verschillende in de hoofdstukken beschreven onderwerpen, zoals het risicoproces in zes stappen en de bevoegdheidsverdeling in detail uitgewerkt. De fraudsrisicoanalyse 2022 gemeente Vijfheerenlanden moet nog door het college van B&W worden vastgesteld en is niet ter informatie bij deze nota gevoegd. Na vaststelling door B&W zal de analyse ter informatie worden verzonden naar de gemeenteraad.

Samenvatting en beslispunten

Deze nota bevat samengevat zes kaders die het risicomanagement en weerstandsvermogen voor de komende vier jaren voor de gemeente Vijfheerenlanden definiëren. Daarvoor zijn allereerst de gebruikte werkdefinities voor de begrippen risico’s, risicomanagement en risicogestuurd weergegeven. Deze werkdefinities zijn namelijk bepalend voor de wijze waarop de gemeente de komende jaren met risicomanagement en risicoleiderschap wil omgaan.

Definities risico’s, risicomanagement en risicogestuurd werken A.

Een Risico is een onzekere gebeurtenis met oorzaken, waarschijnlijkheid van optreden met effecten op de doelen.

Risicomanagement wordt omschreven als het geheel van activiteiten en maatregelen die gericht zijn op het expliciet en systematisch omgaan met en het beheersen van risico’s.

Risicogestuurd werken is het toepassen van zes algemene risicostappen in de (dagelijkse) werkprocessen. De zes algemene risicostappen bestaan in essentie uit drie dagelijkse DOD-vragen: (1) wat is het Doel en voor wie, (2) wat is daarbij Onzeker en voor wie, (3) wat ga je daar al dan niet aan Doen, met wie?

In hoofdstuk 2 worden deze werkdefinities en de schuin gearceerde elementen van de onder A genoemde risicobegrip, nader beschreven en toegelicht. Dit tweede hoofdstuk bevat ook een toelichting op het juridisch kader bestaande uit externe en interne wet- en regelgeving en de strategie (scope en risicocultuur) voor de komende vier jaren. Deze strategie, die ook al in de vorige nota van 2020 is opgenomen, staat beschreven in het eerste kader. Alleen risicogestuurd werken is nu aan deze strategie toegevoegd.

Kader 1: Strategie voor komende vier jaar (scope & risicocultuur) 1.1

De gemeente Vijfheerenlanden wil een ondernemende gemeente zijn en accepteert dat aan de beleidsinitiatieven mogelijk risico’s verbonden zijn. Deze risico’s worden tijdig (vooraf) onderkent en daarbij wordt aangegeven hoeveel risico de gemeente bereid is om te nemen.

1.2

De gemeenteraad accepteert deze risico’s onder voorwaarde dat de getroffen beheersmaatregelen en het restrisico tijdig aan de gemeenteraad worden gemeld, er een goed functionerend systeem van risicomanagement is en voor de restrisico’s weerstandscapaciteit aanwezig is overeenkomstig de in deze nota gestelde kaders.

1.3

Het risicomanagementproces dat nu primair is gericht op financiële risico’s verder uit te breiden met (in eerste instantie) niet financieel te kwantificeren risico’s. Het betreft veelal bedrijfsvoeringrisico’s, met bijzondere aandacht voor risico’s op gebied van ICT en informatieveiligheid.

1.4

De komende vier jaren het risicogestuurd werken als leidraad te gebruiken om door te groeien naar een risicobewuste organisatie waarbij gemeenteraad, College van B&W en ambtelijke organisatie proactief met risico’s en kansen omgaan. Deze volwassenheidsfase 3 van risicomanagement (= “Proactief”) wil de gemeente eind 2023 bereiken.

In het derde hoofdstuk wordt het risicomanagementproces in zes algemene stappen kort beschreven. Een proces dat de organisatie al vanaf 2020 met tevredenheid toepast en ook als basis dient voor het risicogestuurd werken. Mede op basis van ervaringen is het proces wel op enkele onderdelen nader geconcretiseerd en aangescherpt.

Kader 2: Het risicomanagementproces. 2.1

Het jaarlijks risicomanagementproces via zes risicostappen: Stap 1. Doelen bepalen (organisatiedoelen, scope, context) Stap 2. Risico’s en kansen identificeren Stap 3. Risico’s en kansen classificeren (categoriseren en kwantificeren) Stap 4. Omgaan met risico’s en kansen: wel/geen maatregelen nemen Stap 5. Maatregelen evalueren (monitoring en review) Stap 6: Communiceren & rapporteren Hiervoor dient gebruik te worden gemaakt van het in de bijlage 2 opgenomen uitgewerkte format. De geïdentificeerde risico’s moeten worden vastgelegd in het centrale risicobeheersingssysteem.

2.2

Taken, verantwoordelijkheden en bevoegdheden: -

Gemeenteraad stelt de kaders en strategie vast en ziet erop toe dat het college van B&W hier uitvoering aan geeft.

Het College van B&W is eindverantwoordelijk voor de uitvoering van het vastgestelde beleid, bepaalt de te nemen beheersmaatregelen en verantwoord zich aan de raad bij begroting en jaarrekening over de toprisico’s.

De ambtelijke organisatie (teams en projecten) voert onder de integrale verantwoordelijkheid van de Directie het risicomanagement uit. Periodiek (3 x per jaar bij begroting, bestuursrapportage en jaarrekening) wordt hierover gerapporteerd aan het College van B&W. Hiervoor wordt gebruikt gemaakt van de aangeschafte applicatie die zelf door de voor het risico aangewezen risico-eigenaar wordt beheerd. Team Businesscontrol ondersteunt hierbij en monitort o.a. de werking van het systeem.

2.3

Nadere concretisering risicomanagementproces: ➢

Voor grote strategische projecten en grondexploitaties dient een afzonderlijke risicoanalyse c.q. gevoeligheidsanalyse te worden opgesteld. De risico’s worden voortschrijdend voor een periode van vier jaar in de weerstandsbehoefte meegenomen. Dergelijke ingrijpende projecten moeten afzonderlijk in cyclische rapportages worden toegelicht.

➢

Privacygevoelige informatie in risico’s wordt geanonimiseerd en in algemene zin beschreven. De als vertrouwelijk aangewezen risico’s worden niet in het risicoprofiel opgenomen en onder geheimhouding met de gemeenteraad gedeeld.

➢

Ook risico’s met niet-financiële gevolgen of kansen (opportunity’s) worden geïnventariseerd en vastgelegd in de NARIS-applicatie. Beiden tellen niet mee bij de bepaling van het benodigde weerstandsvermogen.

➢

Elk financieel risico wordt gekwantificeerd. Onderliggende berekeningen en onderbouwingen worden in de applicatie vastgelegd. Financiële risico’s lager dan € 50.000 worden niet afzonderlijk in het risicoprofiel opgenomen maar vallen onder de post voor onvoorziene risico’s van € 1 miljoen.

➢

Financiële risico’s met een waarschijnlijkheidspercentage van 90% of meer worden niet als risico maar als een werkelijkheid aangemerkt en worden als nadeel meegenomen ten laste van de exploitatie. Bij een risico met een waarschijnlijkheidspercentage van 75% of hoger wordt eerst overwogen of vorming van een voorziening aan de orde kan zijn.

➢

In het risicoprofiel wordt standaard een post onvoorzien van € 1 miljoen netto opgenomen.

➢

Voor financiële risico’s met een structureel karakter wordt in beginsel een buffer opgenomen van 200% van het jaarrisico. Dit vanuit het uitgangspunt dat een dergelijk risico in een periode van 4 jaar stapsgewijs wordt afgebouwd: van 100% in het eerste jaar, 67% in het tweede jaar, 33% in het derde jaar en 0% in het vierde jaar. Van dit beginsel wordt afgeweken bij structurele risico’s waarbij beargumenteerd bepaald kan worden dat een andere of geen verhogende opslagfactor aan de orde is. Bij risico’s op grondexploitaties wordt ook geen opslagfactor toegepast.

➢

De uit de frauderisico-analyse naar voren komende risico’s worden als een totaal in het risicoprofiel opgenomen.

➢

Om de financiële schade op te vangen van niet beïnvloedbare externe ontwikkelingen (klimaatverandering, economische recessie, vergrijzing, stikstofproblematiek, pandemie e.d.) en “zwarte zwanen” wordt een buffer gerealiseerd door een weerstandsratio van 2,5 als norm te hanteren met een minimum van 2,0.

In hoofdstuk 4 wordt aangegeven dat het risicogestuurd werken in het dagelijks werk kan worden toegepast door de zes algemene risicostappen terug te brengen tot drie dagelijkse vragen (Doel, Onzekerheid, Doen). Daarnaast is het ter versterking van het risicobewustzijn van groot belang dat er een risicodialoog binnen alle geledingen in de organisatie gevoerd wordt. In kader 3 hebben het risicogestuurd werken en de risicodialoog een plek gekregen.

Kader 3: Risicosturing en Risicodialoog 3.1

Risicogestuurd werken (risicosturing): Binnen de dagelijkse werkprocessen passen we risicogestuurd werken toe via drie dagelijkse DOD-vragen: 1. Wat is het Doel en voor wie? 2. Wat is daarbij Onzeker, voor wie? 3. Wat ga je daar al dan niet aan Doen, met wie? Deze vragen worden beantwoord in strategievormings-, besluitvormings- en projectmanagementdocumenten.

3.2

Risicodialoog: Minimaal 1 maal per jaar wordt er een risicodialoog op alle niveaus in onze organisatie gevoerd waarin expliciet over het brede palet aan risico’s (financieel en niet-financieel) wordt gesproken. De invulling van deze dialoog is maatwerk. Hierbij worden de volgende spelregels gehanteerd: ✓

✓ ✓

Commitment en betrokkenheid van het bestuur (college en gemeenteraad) en de organisatie (directie, netwerkmanagers, projectleiders en medewerkers) om open over risico’s (en fouten) te communiceren. Risico’s moeten aan de orde komen binnen de bestaande organisatie- en rapportagestructuur (geen apart “circus”). Verantwoordelijkheid (signaleren en treffen van maatregelen) voor een risico of kans ligt waar de verantwoordelijkheid voor het werk ligt waar het risico of kans betrekking op heeft. Nieuwe interne en externe ontwikkelingen worden systematisch op risico’s getoetst en in raads- en collegevoorstellen heeft de risicocomponent structureel aandacht. Actieve informatieplicht wordt ook op risico’s toegepast.

De gekwantificeerde financiële risico’s zijn de input voor het berekenen van de omvang van de benodigde weerstandscapaciteit. Hiervoor wordt een computergestuurde statistische risicosimulatie uitgevoerd. Een dergelijke simulatie geeft volgens de risico-experts een realistischer beeld omdat risico’s zich nooit op één moment en allemaal tegelijk tegen de maximale omvang voordoen. De gemeente beschikt over een dergelijke tool waardoor een simulatie op basis van 100.000 trekkingen kan worden uitgevoerd. Het hanteren van een zekerheidspercentage van 90% is gebruikelijk. Het toepassen van deze risicosimulatie wordt in vierde kader vastgelegd. Uiteindelijk kan na de risicosimulatie de benodigde weerstandscapaciteit worden bepaald.

De benodigde capaciteit wordt vervolgens afgezet tegen de aanwezige weerstandscapaciteit om het kengetal “weerstandsratio” te bepalen. Dit kengetal bepaalt het weerstandsvermogen van de gemeente. In het coalitieakkoord 2022-2026 “Samen zijn wij Vijfheerenlanden” is een weerstandsratio van 2,5 als norm opgenomen. Deze norm is in deze nota overgenomen met toevoeging van een onder- en bovengrens van respectievelijk 2,0 en 3,0. Overigens wordt bij een ondergrens van 2,0 en hoger het weerstandsvermogen van de gemeente, op basis van de NARIS-tabel op pagina 32 van deze nota, nog steeds als “uitstekend” beoordeeld. De bepaling van de weerstandsbehoefte, de beschikbare weerstandscapaciteit en het weerstandsratio is onderwerp van het vierde kader.

Kader 4: Bepaling weerstandsvermogen in relatie tot risico’s 4.1

Alleen financiële (netto) risico’s met een waarschijnlijkheidspercentage van 5% tot 90% worden meegenomen in de bepaling van het totale bedrag aan weerstandsbehoefte.

4.2

Ter bepaling van de benodigde weerstandsbehoefte wordt een risicosimulatie uitgevoerd omdat risico’s zich nooit op één moment en allemaal tegelijk en allemaal in de maximale omvang voordoen. Hierbij wordt een zekerheidspercentage van 90% aangehouden. Voor grondexploitaties wordt een soortgelijke analyse uitgevoerd.

4.3

De bepaling van de beschikbare weerstandscapaciteit gebeurt in zijn geheel. De beschikbare weerstandscapaciteit wordt bepaald door optelling van de raad aangewezen vrij aanwendbare algemene reserves en de wettelijk verplichte post onvoorzien.

4.4

De potentieel aanwezige ruimte binnen de onbenutte belastingcapaciteit OZB wordt niet meegeteld omdat hiervoor het huidig beleid aangepast moet worden.

4.5

De weerstandsratio wordt bepaald door de beschikbare weerstandscapaciteit te delen door de weerstandsbehoefte. Een weerstandsratio van 2,5 wordt als norm gehanteerd met een minimum van 2,0 en een maximum van 3,0.

De uitkomst van de weerstandsratio wordt vervolgens afgezet tegen de norm van 2,5. In kader 5 is opgenomen op welke wijze en termijn het weerstandsvermogen moet worden verbeterd wanneer de weerstandsratio onder de 2,0 terecht komt. Dan zullen de algemene reserves van de gemeente (algemene risicoreserve en reserve grondexploitatie) moeten worden aangevuld. Bij het overschrijden van de bovengrens van 3,0 wordt beoordeeld of het afromen van het surplus mogelijk is.

Kader 5: Aanvullen en afromen algemene reserves. 5.1

Tweemaal per jaar, bij begroting en jaarrekening, wordt de benodigde weerstandscapaciteit berekend.

5.2

Bij een weerstandsratio lager dan 2,5 worden gerealiseerde financiële voordelen toegevoegd aan de weerstandscapaciteit totdat de norm van 2,5 is bereikt. Wanneer de weerstandsratio onder de 2,0 uitkomt of dreigt uit te komen, dan legt het college van B&W een voorstel met maatregelen aan de gemeenteraad voor om het weerstandsvermogen binnen drie jaar weer op niveau te brengen.

5.3

Bij een weerstandsratio vanaf 3,0 en hoger zal het college van B&W aan de hand van het risicoprofiel en de andere financiële kengetallen beoordelen of het surplus of een deel ervan kan worden afgeroomd. Voorstellen daartoe worden door het college van B&W aan de gemeenteraad voorgelegd.

5.4

Bij de jaarrekening wordt pas definitief bepaald of aanvulling noodzakelijk c.q. afromen mogelijk is. Bij de jaarrekening zijn namelijk de feitelijke stand van de algemene reserves per 31-12 bekend.

5.5

Het effectueren van de aanvulling of afroming van de algemene reserves gebeurt bij de bestemming van het resultaat bij de jaarrekening.

In de paragraaf weerstandsvermogen en risicobeheersing in de begroting en de jaarstukken informeert het college de raad over de risico’s en het weerstandsvermogen. Ook tussentijds vindt communicatie plaats over risico’s via raadsvoorstellen. Het is van belang dat de raad voor elk voorgenomen besluit een bewust afweging kan maken welke risico’s er zijn en of het verantwoord is het besluit op deze manier te nemen en op welke wijze risicobeheersing plaatsvindt. De gemeente dient in de ‘weerstandsparagraaf’ bij begroting en jaarrekening ook verschillende verplicht voorgeschreven financiële kengetallen op het gebied van schuldpositie en solvabiliteit op te nemen. De focus ligt met name op het kengetal “solvabiliteit”. In het coalitieakkoord is hiervoor de norm op minimaal 20% gesteld. Wanneer de solvabiliteit onder deze norm uitkomt is in deze nota aangegeven welke beleidslijn wordt gehanteerd. Deze beleidslijn die concreet zal worden toegepast bij de komende Kadernota voor de begroting 2024. De periodiek verrichte frauderisicoanalyse maakt onderdeel uit van het risicomanagement en weerstandsvermogen van de gemeente. De risicoanalyse wordt vastgesteld door het college van B&W maar wordt binnen een kwartaal na vaststelling ter informatie aan de gemeenteraad voorgelegd. Kaders over het informeren van de raad zijn opgenomen in het 6e en laatste kader:

Kader 6: Periodiek en tussentijds informeren van de raad over risico’s en weerstandsvermogen. Periodiek: 6.1 De raad wordt via de paragraaf weerstandsvermogen en risicobeheersing in de begroting en jaarstukken geïnformeerd over de 10 grootste risico’s en de ontwikkeling van het weerstandsvermogen. 6.2

Volgens de BBV wordt in de paragraaf weerstandsvermogen en risicobeheersing een overzicht op van de verplicht op te nemen financiële kengetallen opgenomen. De focus ligt op het kengetal “solvabiliteit”.

6.3

De norm voor het kengetal solvabiliteit wordt gelegd op minimaal 20%. Wanneer het percentage onder de norm uitkomt dan zal het college van B&W een voorstel aan de gemeenteraad voorleggen over de gevolgen van de overschrijding, het te volgen proces en de eventueel te nemen acties om weer boven de norm van 20% te komen. In ieder geval zullen optredende voordelen worden ingezet voor versterking van het eigen vermogen.

6.4

De periodiek verrichte frauderisicoanalyse, wordt na vaststelling door het college van B&W ter informatie voorgelegd aan de gemeenteraad.

Tussentijds: 6.5 De raad wordt bij afzonderlijke raadsvoorstellen geïnformeerd over de financiële en niet financiële risico’s die spelen bij een voorgenomen besluit en welke keuzes er worden gemaakt over risicobeheersing. De drie DOD-vragen (Doel? Onzekerheid? Doen?) zijn hiervoor een goed hulpmiddel. 6.6

De raad kan bij ieder nieuwe bestuursperiode bepalen over welke projecten/ programma’s en daarbij behorende risico’s zij extra, via de paragraaf risicomanagement en weerstandsvermogen, geïnformeerd wil worden.

Definities, kaders en strategie

2.1

Inleiding

Risico’s zijn er altijd en het managen van risico’s moet dan ook worden gezien als een normaal onderdeel van ieders dagelijkse werkzaamheden. Dit doet ieder mens eigenlijk automatisch; ieder mens neemt dagelijks beslissingen waarbij voor- en nadelen tegen elkaar worden afgewogen. Ingewikkelde modellen zijn hiervoor niet nodig maar neemt de mens vanuit de eigen perceptie een beslissing om iets wel of niet te doen. Het in de nota 2020 opgenomen risicoproces in zes stappen, is hiervoor niet nodig, maar dient puur ter ondersteuning. Het risicoproces kan in essentie worden teruggebracht tot drie dagelijkse vragen: (Wat is het Doel? Welke Onzekerheid speelt hier? Wat ga je Doen?) in alle activiteiten die eenieder van dag tot dag uitvoert. Voordat op deze drie dagelijkse vragen wordt ingegaan, wordt in de volgende paragrafen de huidige uitgangspositie, het juridisch kader en de strategie voor de komende jaren beschreven. Ook wordt verduidelijkt wat onder de begrippen risico’s, risicomanagement en risico gestuurd werken wordt verstaan. De werkdefinities hiervoor zijn namelijk bepalend voor de wijze waarop met risicomanagement en risicoleiderschap wordt omgegaan.

Risicomanagement is goed toepasbaar bij tamme vraagstukken die zich kenmerken door eenduidige oorzaak-gevolg relaties, maar schiet tekort bij (super)wilde vraagstukken, zoals de Coronapandemie, in de VUCA-wereld (volatiliteit, uncertainty, complexiteit en ambigu). Met dergelijke wilde vraagstukken moet anders worden omgegaan; hier wordt risicoleiderschap gevraagd.

2.2

Wat is een risico?

Het begrip risico is emotioneel gezien een beladen begrip. In het dagelijks leven wordt een risico geassocieerd met iets wat gevaarlijk is of een bedreiging vormt. De perceptie verschilt, zelfs risicodeskundigen zijn het wereldwijd niet met elkaar eens. In elke werkdefinitie komen wel enkele woorden voortdurend terug: het gaat om een onzekere, toekomstige gebeurtenis die gevolgen kan hebben voor iets wat van waarde is (wat van alles kan zijn). Dit is door risicodeskundige Martin van Staveren, in zijn boek “Iedereen Risicoleider” vertaald in onderstaande scherpe risicobeschrijving die in de praktijk ook in onze gemeente goed toepasbaar is. Een Risico is een onzekere gebeurtenis met oorzaken, waarschijnlijkheid van optreden en effecten op de doelen. Op de waarschijnlijkheid van optreden na, kan deze definitie ook schematisch worden weergegeven. Dit vlinderdasmodel (bow tie) maakt de onderlinge relaties van de risico-elementen zichtbaar.

De risicodefinitie kent vier elementen. Deze vier elementen worden hieronder kort geduid. Element 1: Onzekere gebeurtenis Dit is iets wat kan gebeuren, alleen is niet bekend of het gebeurt. En als het gebeurt, is vaak ook niet bekend wanneer het gebeurt en hoe. Element 2: Oorzaken De oorzaken voor onzekere gebeurtenissen worden in zogenaamde HOT-RIP-factoren ingedeeld. De HOT-factoren zijn oorzaken van Humaan (menselijk), Organisatorische of Technische aard. Deze factoren spelen vooral binnen de organisatie. De RIP-factoren komen van buiten de organisatie en staan voor Regelgeving, Industrie (sector) en Politiek (combinatie politiek, pers en publiek). Element 3: Kans of waarschijnlijkheid van optreden De hiervoor genoemde mogelijke oorzaken (HOT-RIP factoren) dragen gezamenlijk bij tot het derde element uit de werkdefinitie. Voor verreweg de meeste risico’s zijn meerdere oorzaken aan te wijzen. Voor risico’s met meerdere technische oorzaken is die kans van optreden te berekenen. Voor andersoortige risico’s met (ook) gedragsmatige of organisatorische oorzaken, is dat vaak een stuk lastiger, of zelfs onmogelijk. Nieuwe onzekere gebeurtenissen, zoals cyberaanvallen, zijn nauwelijks in kans van optreden uit te drukken. Dan zal volstaan moeten worden met zo goed mogelijke schattingen die minder nauwkeurig en objectief zijn.

Element 4: Effecten op doelen Het vierde element uit de gebruikte werkdefinitie bestaat uit de effecten (gevolgen of impact van een risico) op doelen. Meest voorkomend en herkenbaar zijn de financiële gevolgen. In de weerstandsparagraaf bij begroting en jaarstukken ligt hier de nadruk op. Een onzekere gebeurtenis kan ook andere nadelige gevolgen hebben zoals onderstaande figuren weergeven. We hebben als voorbeeld het risico op uitval ICT opgenomen.

Dit vierde element bevat een eerste eyeopener: de relatie tussen de effecten van onzekere gebeurtenissen en de doelen. Voor de gemeente zijn alleen die onzekerheden relevant, als deze effect kunnen hebben op de doelen en waarden die de gemeente nastreeft! Deze doelen dienen wel helder, concreet en vooraf (SMART) vastgesteld te zijn. Nu de tweede eyeopener. Het woord risico roept in de dagelijkse praktijk negatieve emoties op vanwege de betekenis van gevaar of dreiging. Onzekere gebeurtenissen kunnen daarentegen ook positieve effecten (kansen, mogelijkheden of opportunity’s) op de door gemeente te bereiken doelen tot gevolg hebben.

Nog een derde eyeopener. Een risico is geen probleem. In de praktijk worden deze nogal eens door elkaar gehaald waardoor verwarring ontstaat over het al dan niet nemen van maatregelen en het stellen van prioriteiten. Essentie van het onderscheid is dat een probleem er al wel is, terwijl een risico er nog niet is. Een risico is namelijk een onzekere gebeurtenis, die kan voorkomen en niet hoeft voor te komen. Sommige risico’s treden nooit op. Een risico is hoogstens een mogelijk probleem in de toekomst wanneer dit daadwerkelijk optreedt. Bij een positief effect spreken we dan over een meevaller. Het onderscheid tussen risico en probleem heeft het voordeel dat er veel scherper op beide gestuurd kan worden. Voor problemen moeten onmiddellijk maatregelen getroffen worden, wat lang niet altijd het geval is voor onzekere gebeurtenissen met risico’s.

2.3 Wat is risicomanagement & risicosturing? Risicomanagement wordt omschreven als het geheel van activiteiten en maatregelen die gericht zijn op het expliciet en systematisch omgaan met en het beheersen van risico’s en kansen. Risicomanagement richt zich op de beheersing van de werkprocessen zodanig dat risico’s (bedreigingen) voorkomen of beheerst worden en kansen (opportunity’s) zo goed mogelijk benut worden. Dit gebeurt aan de hand van de in het volgend hoofdstuk beschreven processtappen binnen het risicomanagement. Deze instrumentele kant van het risicomanagement is, zoals al eerder in deze nota is uiteengezet, goed toepasbaar op “tamme” vraagstukken die eenduidig zijn op te lossen. Voor “wilde” vraagstukken in een VUCA-omgeving schiet een dergelijke risicobeheersing tekort. De dynamiek, complexiteit, ambiguïteit en daarmee onzekerheden die met dergelijke vraagstukken samengaan, vragen om een andere benadering: risicosturing. Bij risicosturing gaat het erom dat ons handelen niet gestuurd wordt door alle mogelijke risico’s (dus risicomijding), maar juist te sturen op de relevante risico’s, vanuit de doelen die de gemeente wil bereiken. Het reguliere instrumentele risicomanagement moet eigenlijk als vertrekpunt worden gezien richting risicosturing binnen de dagelijkse werkprocessen.

Risicogestuurd werken dient voor eenieder gewoon een routine moeten zijn binnen het dagelijkse werk. De werkdefinitie voor risicosturing/risicogestuurd werken is dan als volgt: Risicosturing/risicogestuurd werken is het toepassen van zes algemene risicostappen in werkprocessen.

Dit risico gestuurd werken wordt in hoofdstuk 4 van deze nota nader toegelicht en uitgewerkt en teruggebracht van het reguliere risicomanagementproces naar de essentie tot drie dagelijkse DODvragen.

2.4

Juridisch kader risicomanagement.

Het gaat hier om het wettelijke kader van het Besluit Begroting en Verantwoording Provincies en Gemeenten (BBV), de begrotingsrichtlijnen van de toezichthouder (Provincie Utrecht) en de eigen financiële verordening van de gemeente. Wettelijk kader volgens het BBV. Volgens artikel 11 lid 2 BBV moet er jaarlijks in de begroting en de jaarstukken een paragraaf weerstandsvermogen en risicobeheersing (kortgezegd de “weerstandsparagraaf”) worden opgenomen. Deze paragraaf dient o.a. een inventarisatie van de weerstandscapaciteit en risico’s te bevatten.

Begrotingsrichtlijnen van de toezichthouder Provincie Utrecht. Jaarlijks ontvangt de gemeente een circulaire met de richtlijnen voor de komende begroting. Deze richtlijnen vloeien voort uit het Gemeenschappelijk Toezichtkader 2020 (GTK 2020) waarin de gezamenlijke provincies een risicogericht toezichtregime voor gemeenten hebben afgesproken. Dit betekent dat elke toezichthouder erop moet toezien dat elke gemeente voldoende alert is en financiële risico’s volledig en adequaat in beeld houdt. Daarnaast moet worden beoordeeld of de gemeente over voldoende weerstandscapaciteit beschikt om risico’s op te kunnen vangen en of deze aanwezige capaciteit ook hiervoor volledig vrij aanwendbaar is. Financiële verordening van de gemeente. Volgens artikel 18 van deze recent vastgestelde verordening biedt het college van B&W de raad minimaal eens in de vier jaar een nota weerstandsvermogen en risicobeheersing aan. De gemeenteraad stelt deze nota vast. De nu aangeboden bijgestelde nota is een uitvloeisel van dit artikel.

2.5

Huidige uitgangspositie.

Door NARIS is een model ontwikkeld waarin de vier volwassenheidsfasen van risicomanagement geschetst worden. Dit model past beter bij de praktijk dan het model die nog in de nota van 2020 is opgenomen.

Gemeente Vijfheerenlanden

Nu ruim twee jaar na vaststelling van die nota, is het een goed moment om te bepalen in welke fase de gemeente zich bevindt. Sindsdien is het risicomanagement volledig gekoppeld aan de jaarlijkse P&C-cyclus, is de kennis binnen de organisatie op het gebied van risicomanagement verder verbreed, is een goed beeld van de financiële risico’s verkregen en voldoet de gemeente aan de wettelijke verplichtingen. De basis is inmiddels hiermee weer op orde. Verbeterpunten zijn er uiteraard ook: ➢ ➢ ➢ ➢

Verbetering koppeling tussen de risico’s en de te realiseren beleidsdoelstellingen; Rollen en verantwoordelijkheden (eigenaarschap) rondom risico’s verduidelijken; Verder stimuleren risicobewustzijn binnen gehele organisatie; Een bredere blik op risico’s: ook de niet-financiële risico’s zijn bestuurlijk relevant.

Conclusie: kijkend naar de opzet en werking van het risicomanagement sinds 2020 bevindt de gemeente zich momenteel minimaal in fase 2 (“wetgeving” ofwel basis op orde). Ambitie/strategie: de ambitie van de gemeente is om eind 2023 volwassenheidfase 3 (“Proactief”) te bereiken om op langere termijn een stap te zetten naar fase 4.

Daarbij wordt open en transparant over de voortgang gecommuniceerd vanuit een actieve risicobewuste houding. De gemeente Vijfheerenlanden wil een ondernemende gemeente zijn waardoor het nemen van risico’s onvermijdelijk is. Bewust omgaan met risico’s is een onderdeel van ieders werk. Het maken van expliciete keuzes in het al dan niet aanvaarden van risico’s is evident, en erover communiceren ook. Dit betekent concreet dat bij beleidsdoelstellingen waar risico’s aan verbonden zijn, in beleidsdocumenten meetbare grenzen (risicotoleranties) worden aangegeven over het al of niet accepteren van risico’s. Onzekerheid toelaten hoort hierbij. Organisatiedoelen, teamdoelen en persoonlijke werkdoelen worden sneller en goedkoper gerealiseerd als de onzekerheden die onderweg tegen worden gekomen in gezamenlijkheid (beter) leert te hanteren. Dat is productiever dan tegen onzekerheden te verzetten, ze te bagatelliseren of zelfs te ontkennen. Het risicogestuurd werken krijgt om die reden een belangrijke plaats in het strategisch kader voor de komende vier jaren. Op deze wijze wordt voor de komende jaren een iets andere filosofie, benadering en aanpak toegepast tijdens de uitvoering van de zes risicostappen. Risicogestuurd werken past dan ook prima in het COSO-raamwerk voor risicomanagement zoals de gemeente de afgelopen twee jaar heeft gevolgd.

Wel is belangrijk om de voortgang te bewaken door periodiek (1 x per 2 jaar, dus in zomer 2024) de volwassenheid van het risicomanagement opnieuw te meten.

Strategie, scope en risicocultuur voor de komende vier jaar. De gemeente Vijfheerenlanden wil een ondernemende gemeente zijn en accepteert dat aan beleidsinitiatieven mogelijk risico’s verbonden zijn. Deze risico’s worden tijdig (vooraf) onderkent en daarbij wordt aangegeven hoeveel risico de gemeente bereid is om te nemen. De gemeenteraad accepteert deze risico’s onder voorwaarde dat de getroffen beheersmaatregelen en het restrisico tijdig aan de gemeenteraad worden gemeld, er een goed functionerend systeem van risicomanagement is en voor de restrisico’s weerstandscapaciteit aanwezig is overeenkomstig de in deze nota gestelde kaders. Het risicomanagementproces dat nu primair is gericht op financiële risico’s verder uit te breiden met (in eerste instantie) niet financieel te kwantificeren risico’s. De komende vier jaren het risicogestuurd werken als leidraad te gebruiken om door te groeien naar een risicobewuste organisatie waarbij gemeenteraad, College van B&W en ambtelijke organisatie proactief met risico’s en kansen omgaan. Deze volwassenheidsfase 3 van risicomanagement (= “Proactief”) wil de gemeente eind 2023 bereiken.

3. Het risicomanagementproces 3.1 Het reguliere proces in zes risicostappen Wereldwijd zijn er zo’n 700 modellen voor risicoanalyse en -management. Elk vakgebied heeft zijn eigen versie. In Nederland wordt veelvuldig gebruik gemaakt van raamwerken, standaarden en methoden die opgesteld zijn door COSO, ISO, Lean Six Sigma, RISMAN e.d. In de nota van 2020 is het veelvuldig in gemeenteland gehanteerde COSO ERM model als uitgangspunt gehanteerd. Wat eigenlijk opvalt in de grote diversiteit in modellen dat risicomanagement telkens uit zes algemeen toepasbare risicostappen bestaat. Elke methode gebruikt andere termen voor wat hetzelfde wordt bedoeld. Het maakt dus eigenlijk niet uit welke methode gevolgd wordt, zolang de zes stappen maar op een of andere wijze allemaal en opeenvolgend worden uitgevoerd. Deze zes generieke risicostappen zijn: 1. 2. 3. 4. 5. 6.

Doelen bepalen Risico’s en kansen identificeren Risico’s en kansen classificeren Omgaan met risico’s en kansen: wel/geen maatregelen nemen Maatregelen evalueren Communiceren en Rapporteren

Deze zes stappen vormen een cyclisch proces, dat prima past in een PDCA-cyclus, zoals de jaarlijkse P&C-cyclus.

Al deze processtappen zijn voor de praktische toepassing, in detail uitgewerkt. Deze uitwerking, die door het College van B&W wordt vastgesteld, is ter informatie opgenomen in bijlage 1 van deze beleidsnota. Hierna een korte samenvatting van deze zes stappen. Bij Stap 1 Doelen bepalen worden de gestelde doelen in kaart gebracht. Dit kunnen allerlei doelen zijn: van strategische beleidsdoelen, kernwaarden, operationele teamdoelen tot projectresultaten. Bij deze stap wordt ook naar de context en omgeving waarin de gemeente opereert, gekeken. De omgeving verandert en de gemeente verandert mee. Ook de vraag: hoeveel risico is de gemeente bereid om te nemen, dient bij deze stap bepaald te worden.

Bij stap 2 Risico-identificatie worden de onzekere gebeurtenissen die bij daadwerkelijk optreden effecten kunnen hebben op de gestelde doelen in kaart gebracht. Deze onzekere gebeurtenissen kunnen negatieve effecten hebben, zoals financiële schade, vertraging, imagoschade e.d. Dan spreken we over een risico. Ook kunnen positieve effecten ontstaan (subsidie, versnelling e.d.). Dan gaat het om kansen/opportunity’s. Bij stap 3 risicoclassificatie worden de risico’s gecategoriseerd op basis van beïnvloedbaarheid in drie groepen: extern, strategisch en intern. Ook wordt de omvang van de mogelijke schade (risico) en meevaller (kans) bepaald en wordt de waarschijnlijkheid dat risico of kans realiteit wordt, ingeschat. Deze classificatie wordt ook gebruikt om risico’s onderling te prioriteren. Bij stap 4 maatregelen ontwerpen en uitvoeren wordt bepaald aan de hand van de bij stap 3 bepaalde risicoscore welke reactie volgt op een risico: reduceren, delen, accepteren of vermijden. Dit kunnen operationele maatregelen zijn, zoals procedures, handboeken, verzekeren e.d., maar kunnen ook verandering in cultuur en gedrag inhouden. Voor de meest urgente risico’s wordt een beheerstrategie bepaald en uitgevoerd. Toewijzing van taken, bevoegdheden en verantwoordelijkheden is hier een onderdeel van.

Stap 5 van de cyclus (evaluatie en bijstelling) bestaat uit het evalueren van de getroffen beheersmaatregelen door de effectiviteit hiervan te bepalen. Deze evaluatie kan tot bijstellingen in getroffen maatregelen leiden. Ook wordt geëvalueerd welke risico’s of kansen zich daadwerkelijk hebben voorgedaan. Dit geeft weer input voor de nieuwe cyclus van stap 1 t/m 6. Stap 6 tenslotte bestaat uit het communiceren en rapporteren over het gevoerde risicomanagement en verrichte herstelmaatregelen e.d.. Het gaat hier om een processtap die eigenlijk continu plaats vindt. Hierbij wordt wel op basis van de ordening in risicoklassen onderscheid gemaakt naar meldingsniveau. Risico’s met een beperkte impact worden binnen de ambtelijke organisatie gerapporteerd. Gemiddelde risico’s worden met het college van B&W gecommuniceerd. De 10 belangrijkste risico’s met een hoge of urgente risicoscore worden aan de gemeenteraad voorgelegd. Qua communicatiestructuur is aangesloten bij de jaarlijkse budgetcyclus. Dit is het eenvoudigst en voorkomt het optuigen van een extra proces. In de bijlage bij deze nota wordt nader op de rapportagemomenten ingegaan.

3.2 Het proces: wat gaat goed en wat kan nog beter Het COSO ERM-model is in de afgelopen twee jaar als raamwerk voor het risicomanagementproces gehanteerd. Dit model wijkt louter in termen en indeling af van het in de vorige paragraaf beschreven proces in zes algemene risicostappen. Na vaststelling van de huidige nota zijn in de tweede helft van 2020 de risico’s voor het eerst na de herindeling opnieuw geïnventariseerd, geanalyseerd en gekwantificeerd. Tevens zijn de bestaande beheersmaatregelen geïnventariseerd en ook tevens vastgelegd in een hiervoor specifiek aangekochte applicatie (Naris GRC) met toewijzing aan een risico-eigenaar. Tweemaal per jaar, bij begroting en jaarrekening, wordt het volledige risicoprofiel geüpdatet op basis van de laatste stand van zaken. Gelijktijdig worden nieuwe risico’s die door recente ontwikkelingen op de gemeente afkomen, meegenomen. De raad wordt hierover minimaal twee keer per jaar geïnformeerd via de paragraaf weerstandsvermogen en risicobeheersing in begroting en jaarstukken. Tussentijds wordt in elk college- en raadsvoorstel een risicoparagraaf opgenomen. Op deze wijze worden de risico’s levend gehouden en is de kans dat risico’s over het hoofd worden gezien, gereduceerd. Zodoende bevat het risicoprofiel een goed en actueel beeld en is op dit moment meer dan voldoende weerstandscapaciteit aanwezig om de risico’s te kunnen opvangen.

De basis is nu op orde zodat vervolgstappen kunnen worden gezet. Natuurlijk zijn er verbeteringen mogelijk: 1. De samenhang tussen doelen en risico’s is niet altijd even duidelijk en verschillende onderdelen binnen het proces kunnen nog verder geconcretiseerd of aangescherpt worden. 2. Ook het eigenaarschap verdient aandacht. Hiervoor dienen de rollen en verantwoordelijkheden rondom risico’s duidelijk en helder zijn belegd.

In de volgende paragrafen wordt op deze concretiseringen en aanscherpingen en ook de rollen en verantwoordelijkheden nader ingegaan.

3.3 Het proces: nadere concretisering en aanscherpingen De praktijk van de afgelopen twee jaar laat ook zien dat het proces op enkele onderdelen nog verder geconcretiseerd en uitgewerkt kan worden (schuin gearceerd weergegeven inclusief reden): ➢

Het huidig risicoprofiel bevat mogelijk nog risico’s waaruit het verband met de te realiseren (strategische) doelen (nog) niet voldoende blijkt. Deze samenhang moet verduidelijkt worden.

Reden: ontbreekt het verband dan is het risico voor de gemeente niet relevant. In dat geval dient het risico niet meer in het risicoprofiel te worden opgenomen. Overigens is het voor verduidelijking van de samenhang wel van belang dat de gewenste doelstellingen en ambities en de hiervoor te realiseren resultaten voldoende concreet (SMART) zijn geformuleerd. ➢

Reden: deze “specials” verdienen extra aandacht omdat de mogelijke impact van risico’s bij dergelijke projecten veel groter is. ➢

Reden: in verband met privacyregels worden risico’s anoniem opgenomen. Vertrouwelijke risico’s worden niet in het risicoprofiel opgenomen om te voorkomen dat de positie van de gemeente geschaad wordt. ➢

Reden: niet bij alle risico’s die daadwerkelijk optreden is sprake van nadelige financiële gevolgen. In eerste instantie kan er alleen sprake zijn van vertraging, minder kwaliteit, imagoschade e.d.. Alhoewel dergelijke risico’s op de lange termijn ook financiële schade zullen opleveren, tellen ze echter nog niet mee bij de bepaling van de benodigde weerstandsbehoefte. Hetzelfde geldt ook voor mogelijke kansen of opportunity’s. Vanuit het voorzichtigheidsprincipe is het niet toegestaan om met dergelijke mogelijk optredende voordelen rekening te houden. Voordelen mogen uitsluitend ingeboekt worden wanneer deze daadwerkelijk zijn gerealiseerd. Dan spreken we over een “meevaller”. Het is natuurlijk wel van belang om niet alleen zicht op risico’s maar juist ook op mogelijke kansen te hebben. ➢

Elk financieel risico wordt gekwantificeerd. Onderliggende berekeningen en onderbouwingen worden vastgelegd in de aangeschafte applicatie. Financiële risico’s lager dan € 50.000 worden geaccepteerd; mochten deze risico’s toch daadwerkelijk optreden, dan komen deze ten laste van de exploitatie.

Reden: een verdere inkadering is gewenst. Focus komt dan te liggen bij de risico’s met een hoge verwachte impact en een hoge mate van waarschijnlijkheid van optreden. Door mogelijk impact en waarschijnlijkheid van optreden zo goed mogelijk te bepalen, kan er ook een betere prioritering worden aangebracht. Anders zijn er simpelweg te veel risico’s om optimaal te beheersen. ➢

Financiële risico’s met een waarschijnlijkheidspercentage van 90% of meer zijn geen risico maar een werkelijkheid en worden als nadeel meegenomen ten laste van de exploitatie. Bij een risico met een waarschijnlijkheidspercentage van 75% of hoger wordt eerst overwogen of vorming van een voorziening aan de orde kan zijn.

Reden: een risico met een 90% of hogere waarschijnlijkheid van optreden komt vrijwel zeker voor en is daarmee niet echt een risico maar min of meer een zekerheid. Een zekerheid moet direct opgevangen worden. In de praktijk is voor een dergelijk risico een voorziening gevormd; is deze niet voorhanden dan komt dit nadeel direct ten laste van de exploitatie. Bij een risico met een waarschijnlijkheidspercentage vanaf 75% wordt eerst overwogen of vorming van een voorziening aan de orde kan zijn. Het is dan wel nodig dat het risico goed te kwantificeren is, anders is het vormen van een voorziening niet mogelijk. ➢

In het risicoprofiel wordt standaard een post onvoorzien van € 1 miljoen netto opgenomen.

Reden: voor risico’s met een geringe verwachte impact (onder de € 50.000) en niet voorziene risico’s wordt voorzichtigheidshalve een risico van € 1 miljoen netto opgenomen.

➢

Reden: Risico’s met structurele gevolgen moeten in drie jaar nadat zij zich gemanifesteerd hebben, zijn geminimaliseerd of zijn opgevangen binnen de exploitatie. In de eerste jaar telt het risico voor 100% mee, in het tweede jaar voor 67% en in het derde jaar voor 33%. Daarna, in het vierde jaar, moeten de gevolgen volledig zijn opgevangen binnen de exploitatie of door getroffen maatregelen zijn teruggebracht tot nihil. De percentages opgeteld geeft een uitkomst van 200% ofwel een factor 2 van het jaarbedrag. Van dit beginsel kan worden afgeweken bij structureel financiële risico’s waarbij een beargumenteerde afweging gemaakt kan worden of er een verhogende factor aan de orde is en hoe hoog die is. Bepalend hierbij is onder andere de tijd die nodig is om het risico te beheersen. Ook bij grondexploitaties wordt geen verhogende factor toegepast, omdat hier het onderscheid tussen risico’s met een incidenteel en structureel karakter niet aan de orde is. ➢

De uit de frauderisico-analyse naar voren komende risico’s worden als een totaal in het risicoprofiel opgenomen.

Reden: Fraude is iedere opzettelijke handeling – of het nalaten te handelen – met de bedoeling de ander te misleiden, met als gevolg dat die ander schade leidt en/of de fraudeur voordeel heeft. Bij fraude bevoordeelt iemand zichzelf en/of een ander (persoon of organisatie) en wordt er misbruik van vertrouwen gemaakt. Gelet op het bijzondere karakter wordt er een afzonderlijke frauderisicoanalyse voor 2022 opgesteld. Beheersing van frauderisico’s en de preventie maken namelijk integraal onderdeel uit van het risicomanagement. Het totale restrisico, zoals dat uit de frauderisico-analyse naar voren komt, maakt onderdeel uit van het totale risicoprofiel. ➢

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Vijfheerenlanden&id=60a3666b-8a2a-41ea-8a63-5dfa2a673880