rapport RKC-onderzoek Risicomanagement (G21-001214)

REKENKAMERONDERZOEK NAAR HET RISICOMANAGEMENT IN DE GEMEENTE WESTLAND

MEI 2021

Uitgevoerd door TwijnstraGudde Lai van Beek Thijs Boertien Leonieke van Dordrecht Roel Lauwerier

REKENKAMERCO MMISSI E W ESTLAND

Inhoudsopgave Inhoudsopgave

2

Bestuurlijke nota

4

1. Inleiding

4

1.1. Aanleiding 1.2. Onderzoeksvragen 1.3. Aanpak 1.4. Leeswijzer

2. Conclusies en aanbevelingen

4 4 5 6

7

2.1. Hoofdconclusie 7 2.2. Deelconclusie: de opzet van het risicomanagementbeleid is toereikend 7 2.3. Deelconclusie: de implementatie van het beleidskader heeft zeer beperkt plaatsgevonden 8 2.4. De uitvoering van het risicomanagement is teveel persoonsafhankelijk 8 2.5. Deelconclusie: De raad kan onvoldoende in samenspraak met het college sturen op strategische risico’s 9 2.6. Aanbevelingen 9

Nota van bevindingen

11

3. Beleidskader risicomanagement

11

3.1. Opzet risicomanagementbeleid (2016) 3.1.1. Onderbouwing raadsbesluit Beleidskader risicomanagement 3.1.2. Uitgangspunten Beleidskader risicomanagement (2016) 3.2. Uitwerking van de uitgangspunten 3.2.1. Risicoanalyse 3.2.2. Risicobeheersing 3.2.3. Risicoregister 3.2.4. Samenspel college-raad 3.2.5. Systematiek van het kwantificeren van financiële restrisico’s: digitale benadering 3.2.6. Verbetering: evaluatie beleidskader 3.3. Analyse opzet beleidskader risicomanagement 3.4. Toetsing op de norm

4. Implementatie en uitvoering risicomanagementbeleid 4.1. Analyse implementatie algemeen

11 11 12 13 14 14 14 15 15 17 17 19

21 21

2 / 58

4.1.1. Beperkte implementatie kader risicomanagement – geen Centraal Strategisch Risicoregister (CSR) 21 4.1.2. Het uitgangspunt ‘>50% digitaal’ wordt wel consequent toegepast 24 4.1.3. Beleidskader risicomanagement beperkt bekend in organisatie – risicomanagement meer impliciet25 4.2. Analyse implementatie aan de hand van cases 26 4.2.1. Case 1: Oostelijke Randweg De Lier 26 4.2.2. Case 2: Thuiszorg: Pieter van Foreest 31 4.2.3. Case 3: Leerlingenvervoer 35 4.2.4. Case 4: Groenbeheer 39 4.2.5. Case 5: Meyra 43 4.2.6. Vergelijking cases 46 4.3. Toetsing op de normen 47

5. Rol van de raad bij risicomanagement(-beleid) 5.1. Informatievoorziening richting de raad 5.1.1. Informatievoorziening volgens het beleidskader 5.1.2. Informatievoorziening in de praktijk 5.1.3. Kwaliteit informatievoorziening richting de raad 5.2. Proactieve en controlerende rol van de raad 5.3. Toetsing op de norm

6. Bijlagen 6.1. Overzicht respondenten 6.2. Bronnenlijst

51 51 51 52 52 53 54

56 56 56

3 / 58

Bestuurlijke nota 1. Inleiding 1.1. Aanleiding Risicomanagement is een actueel onderwerp dat breed leeft binnen de raad van de gemeente Westland. Aanleiding voor de actuele agendering vormt de recente ontwikkeling van de kosten voor afvalverzameling en -verwerking. Deze ontwikkeling is door het college in september 2020 per raadsinformatiebrief kenbaar gemaakt. Uit deze brief blijkt dat de 1 totale kosten voor afval vanaf 2018 (begroting) tot 2021 (nieuwe raming) zijn toegenomen met € 6 miljoen . Als het tarief 2 kostendekkend moet zijn, betekent dit voor een meerpersoonshuishouden een stijging van € 280 naar € 364 . Deze ontwikkelingen hebben de raad bewust gemaakt van het belang van risicomanagement en het versterken van de 3 positie van de raad daarbij. De raad heeft daarom per motie op 8 oktober 2020 besloten de Rekenkamercommissie (verder RKC) Westland te verzoeken om - in nauwe samenwerking met de raad - onderzoek te laten doen naar het risicomanagement binnen de gemeente Westland.

Dit onderzoek heeft de volgende doelstellingen: - Inzicht verschaffen in de werking en compliance van de AO/IB en in het bijzonder de interne beheersmaatregelen, voor het onderkennen, doordenken en afdekken van de belangrijke (financiële) risico’s - Het doen van aanbevelingen om het beleid ten aanzien van het risicomanagement te verbeteren en te versterken en risicomanagement (nog) meer als een geïntegreerd onderdeel van het besturingsmodel en onderdeel van de cultuur van de ambtelijke organisatie te laten functioneren - Het doen van aanbevelingen om de informatiewaarde van de documenten binnen de P&C-cyclus te verbeteren zodat de gemeenteraad beter in staat is zijn taakstellende en controlerende rol te vervullen.

1.2. Onderzoeksvragen Op basis van de doelstelling uit de motie heeft de Rekenkamercommissie de volgende hoofdvraag geformuleerd. In hoeverre is het risicomanagement van de gemeente Westland doeltreffend en doelmatig en in hoeverre wordt het consequent toegepast, in het bijzonder bij het aangaan van en tijdens de uitvoering van langdurige, complexe contracten e en bij het ontwerp en de uitvoering van grote projecten? Onder deze hoofdvraag vallen de volgende deelvragen. A. Beleid risicomanagement 1. Welk beleid heeft de gemeente geformuleerd op het gebied van risicomanagement? 2. Is dit beleid actueel, inzichtelijk, concreet en volledig? Is het doelmatig, doeltreffend en rechtmatig? Biedt het voldoende richtlijnen voor de inrichting van het risicomanagement? 1

Raadsbrief Kostenontwikkeling afval (11 september 2020)

2

https://wos.nl/nieuws/artikel/forse-stijging-afvalstoffenheffing-dreigt-voor-burgers-westland

3

Motie ‘Onderzoek risicomanagement’ (8 oktober 2020)

4 / 58

B. Implementatie risicomanagement 1. Is het risicomanagement beleid feitelijk geïmplementeerd? Hoe is het risicomanagement van de gemeente ingericht met processen en functionarissen? Is dit adequaat? Is dit in lijn met het beleid? 2. Wordt het risicomanagement consequent toegepast in alle afdelingen/projecten van de organisatie? 3. Wordt gemonitord op het doorvoeren van mitigerende maatregelen om risico’s of de impact daarvan de verminderen? Wordt er geëvalueerd? Is er sprake van lerend vermogen bij de uitvoering van risicomanagement? C. Informatievoorziening en kaderstellende en controlerende rol raad 1. Op welke wijze en op welke momenten wordt de gemeenteraad geïnformeerd over risico's? Gebeurt dit ook proactief? Is dit vastgelegd in het beleid en/of in de procesbeschrijvingen? 2. Is de informatievoorziening tijdig, volledig en bruikbaar voor de raad teneinde zijn rol optimaal te kunnen uitoefenen? Voor de beantwoording van deze vragen is een normenkader ontwikkeld dat, naar aanleiding van de subvragen, drie verschillende facetten van risicomanagement belicht. Er wordt gekeken naar het beleid zoals dit op papier is gezet, de uitvoering en implementatie ervan en de rol van de raad hierbij. Een analyse op deze facetten dient als basis voor toekomstgerichte aanbevelingen en lessen om in de komende periode tot betere resultaten te komen. Aspect Beleid risicomanagement

Vraag A1 A2

Norm - De raad heeft duidelijke beleidskaders vastgesteld ten aanzien van risicomanagement. - De beleidskaders zijn helder en consistent en vertonen een logische samenhang. - In de beleidskaders is duidelijk welke doelen worden nagestreefd en welke instrumenten daarvoor beschikbaar zijn. - In de beleidskaders zijn de taken, bevoegdheden en verantwoordelijkheden rondom risicomanagement helder vastgelegd.

Implementatie en uitvoering risicomanagement

B1

- De feitelijke uitvoering van het risicomanagementbeleid vindt plaats conform de opzet vanuit de beleidskaders.

B2

- Het risicomanagementbeleid wordt in de praktijk consequent toegepast in alle afdelingen/projecten van de

B3

- Er vindt periodieke monitoring plaats op het doorvoeren van mitigerende maatregelen om risico’s of de impact

organisatie. daarvan de verminderen. - De beleidskaders omtrent risico’s worden regelmatig geëvalueerd en, als daar aanleiding toe is, bijgesteld. - Lessen vanuit zowel individuele projecten als het risicomanagementbeleid als geheel worden getrokken, geadministreerd en doorgevoerd in de uitvoering van het risicomanagementbeleid.

Informatievoorziening en kaderstellende en controlerende rol raad

C1

- De beleidskaders bevatten afspraken over de wijze en de momenten waarop informatievoorziening aan de gemeenteraad plaatsvindt. - De afspraken vanuit de beleidskaders over informatievoorziening aan de raad worden consequent nagekomen.

1.3. Aanpak Het onderzoek is gestart met een documentstudie. Hierbij is met name gekeken naar documenten die informatie inzicht bieden in de beleidsvorming rondom risicomanagement en de implementatie en uitvoering hiervan. Om een goed beeld te krijgen van de feitelijke implementatie en de uitvoering van het risicomanagement zijn voor dit onderzoek tevens vijf cases bestudeerd. Deze cases zijn afgestemd door de RKC in overeenstemming met een vertegenwoordiging van de raad, het college en de organisatie. In totaal gaat het om één majeur project en vier (grote) contracten.  Case 1: Oostelijke Randweg De Lier  Case 2: Thuiszorg – Pieter van Foreest  Case 3: Leerlingenvervoer

5 / 58

 

Case 4: Groenbeheer Case 5: Meyra

De bevindingen uit het documentenonderzoek hebben een eerste feitenbeeld opgeleverd. Dat beeld is tijdens interviews en groepsgesprekken geverifieerd en aangevuld. De onderzoeksvragen en het normenkader vormden de structuur voor de interviews, voor de cases aangevuld met specifieke vragen vanuit de documentenanalyse. Er zijn verschillende betrokkenen, zoals wethouders en ambtenaren, geïnterviewd (Zie bijlage 1). Raadsleden zijn door middel van een groepsgesprek betrokken bij het onderzoek. Van alle interviews zijn verslagen gemaakt; deze zijn voorgelegd aan de geïnterviewde personen met de mogelijkheid om feitelijke onjuistheden te corrigeren. Daarna zijn de verslagen vastgesteld. Het geverifieerde en aangevulde feitenbeeld is verwerkt in een conceptrapportage die voor ambtelijk wederhoor aan de organisatie is voorgelegd. Het ambtelijk wederhoor is verwerkt in voorliggende rapportage die voor bestuurlijk wederhoor kan worden aangeboden.

1.4. Leeswijzer Dit rapport beslaat grofweg twee onderdelen: een bestuurlijke nota (hoofdstuk 1 en hoofdstuk 2) en een nota van bevindingen (hoofdstuk 3 t/m 5). Bestuurlijke nota (hoofdstuk 1 en 2) Hoofdstuk 1 is de inleiding van dit Rekenkameronderzoek waarin de aanleiding en kaders van het onderzoek uiteen worden gezet. In hoofdstuk 2 wordt een overzicht gegeven van de conclusies en aanbevelingen die voortvloeien uit de bevindingen in de inhoudelijke hoofdstukken (hoofdstuk 3 t/m 5). Nota van bevindingen (hoofdstuk 3 t/m 5) In hoofdstuk 3 staat de beleidsopzet van het risicomanagement in Westland centraal. We staan in dit hoofdstuk stil bij de in het beleidskader geformuleerde uitgangspunten en de wijze waarop deze zijn uitgewerkt in het beleidskader. Vervolgens kijken we in hoofdstuk 4 naar de wijze waarop de het beleidskader feitelijk is geïmplementeerd en de wijze waarop risicomanagement in de praktijk wordt vorm gegeven . Dit doen we aan de hand van een beschrijving en analyse van meer algemene uitgangspunten van het beleidskader. Tevens wordt dit hoofdstuk gestaafd met bevindingen uit de vijf specifieke casestudies. In hoofdstuk 5 staan we tenslotte stil bij de rol van en de informatievoorziening aan de raad in het kader van het risicomanagement.

Aan het eind van alle hoofdstukken in de nota van bevindingen wordt een tussenbalans opgemaakt aan de hand van het normenkader. Deze toets is inzichtelijk gemaakt door gebruik te maken van drie kleuren. Groen staat daarbij voor voldoende/goed. Oranje wil zeggen dat Westland middelmatig scoort. Rood betekent dat Westland op dit onderdeel (op dit moment) onvoldoende presteert.

6 / 58

2. Conclusies en aanbevelingen In dit hoofdstuk worden de hoofdconclusie (paragraaf 2.1) en de deelconclusies (paragraaf 2.2) uiteengezet. Op basis van de conclusies zijn enkele aanbevelingen geformuleerd (paragraaf 2.3).

2.1. Hoofdconclusie Hoofdconclusie: De opzet van het risicomanagementbeleid van de gemeente Westland is toereikend. Het beleid is onvoldoende geïmplementeerd en uitgevoerd, waardoor het risicomanagement niet doeltreffend en doelmatig is. De hoofdconclusie is gebaseerd op de volgende deelconclusies: De opzet van het risicomanagementbeleid is toereikend De implementatie van het beleidskader heeft zeer beperkt plaatsgevonden. Daardoor werkt het beleidskader onvoldoende door in de praktijk van aanbesteding, contractbeheer en projecten. De uitvoering van het risicomanagement is nu te veel persoonsafhankelijk. Er wordt weliswaar invulling gegeven aan risicomanagement, maar dit is dankzij de betrokken ambtenaren en niet dankzij de implementatie van het beleid. De raad kan onvoldoende in samenspraak met het college sturen op strategische risico’s. De raad wordt vooral geïnformeerd via paragraaf Weerstandsvermogen en Risicobeheersing binnen de P&C-cyclus, niet upto-date risicoregisters en losse raadsvoorstellen. De daarbij verstrekte informatie is op dit moment ontoereikend om te kunnen sturen op strategische risico’s, hetgeen dat oorspronkelijk de bedoeling was van het beleidskader. De deelconclusies lichten we nader toe in de volgende paragrafen.

2.2. Deelconclusie: de opzet van het risicomanagementbeleid is toereikend In januari 2016 is het beleidskader ten aanzien van risicomanagement vastgesteld door de raad. Dit beleidskader kent een helder onderscheid tussen meer algemeen geformuleerde uitgangspunten, een verdere uitwerking hiervan in een risicomanagementcyclus en is doorvertaald in een organisatorisch kader met een duidelijke toebedeling van taken en verantwoordelijkheden. Met het nieuwe beleidskader komt de focus te liggen op het primair beheersen van strategische risico’s en het hanteren van een nieuwe systematiek voor het bepalen van de financiële waarde van risico’s (de digitale benadering). Dit moet beiden tot uiting komen in een nieuw op te stellen centraal strategisch risicoregister (CSR) dat als een belangrijk instrument voor de daadwerkelijke risico-inventarisatie en beheersing moet gaan dienen. De verwevenheid tussen deze elementen van het beleidskader is helder gemaakt. We constateren echter dat de risicomanagementcyclus in het beleidskader niet als geheel wordt toegelicht Hierdoor wordt beperkt inzichtelijk gemaakt hoe de cyclus in de praktijk echt als een cyclus zal functioneren. In het kader wordt geëxpliciteerd dat risicomanagement iets is dat aandacht vergt van zowel het college, de raad als de organisatie. Daarom worden uitgangspunten vanuit de ‘wij-vorm’ geformuleerd.

In het beleidskader zijn ook daadwerkelijk afspraken gemaakt over het samenspel tussen college en raad. Deze afspraken richten zich met name op

7 / 58

de informatievoorziening van het college richting raad rondom risico’s en het voeren van het open gesprek dan wel het bepalen van majeure risico’s in samenspraak tussen college en raad. Daarnaast zijn in een organisatorisch kader de bij het risicomanagement behorende taken en verantwoordelijkheden duidelijk toebedeeld aan functies.

2.3. Deelconclusie: de implementatie van het beleidskader heeft zeer beperkt plaatsgevonden Daardoor werkt het beleidskader onvoldoende door in de praktijk van aanbesteding, contractbeheer en projecten. Het beleidskader risicomanagement is zowel bij het college als de organisatie anno 2021 beperkt tot niet bekend. Een verklarende factor hiervan is dat het beleidskader nooit volledig feitelijk is geïmplementeerd. Een belangrijke stap die in de uitvoering gezet moest worden is het opstellen van het centrale risicoregister waarmee er primair strategisch gestuurd zou kunnen worden op risico’s. Uit dit onderzoek blijkt dat de strategische risico’s nog niet zijn geïnventariseerd. In november 2020 is er wel een opdracht gekomen vanuit het Directie Team (DT) om hier invulling aan te geven. Deze opdracht is echter gepauzeerd vanwege de ontstane werkdruk in de organisatie door de coronacrisis. In de financiële verantwoording over risico’s wordt vanaf 2016 wel gebruik gemaakt van de digitale benadering, zoals in het beleidskader is vastgelegd. Dit uitgangspunt is dus wel vertaald in de uitvoering. Het is echter de vraag hoe betrouwbaar deze financiële informatie momenteel is. Immers, de slag naar een op te stellen CSR is nog niet gemaakt. Hierdoor zijn de risico’s die nu worden geïnventariseerd niet gekoppeld aan de strategische doelen van de gemeente.

Vanuit de huidige ervaringen rondom de implementatie en uitvoering van risicomanagement hebben we een zekere behoefte opgehaald voor heldere beleidskaders die breder in de organisatie bekend zijn zodat toegesneden risicomanagement plaats kan vinden.

2.4. De uitvoering van het risicomanagement is teveel persoonsafhankelijk Vanwege het gebrek aan kennis van het beleidskader kan er in de organisatie namelijk onvoldoende worden teruggevallen op (voor de organisatie bekende) uitgangspunten rondom risicomanagement. Hierdoor vindt risicomanagement in de praktijk meer impliciet dan expliciet plaats. In de gemeente Westland is momenteel geen algemeen geldende projectstandaard waarbij er aandacht is voor risicomanagement. Het bewust beheersen van risicomanagement is hierdoor bij projecten ook veelal persoonsafhankelijk. Wel wordt er op individueel contractniveau geleerd van het in de praktijk omgaan met risico’s. Dergelijke lessen worden in de organisatie vervolgens ook benut, bijvoorbeeld bij het aangaan van nieuwe contracten. Daarnaast is door de inkoopafdeling een eigen checklist opgesteld voor nieuwe aanbestedingen. Hierin zijn de lessen uit eerdere aanbestedingen verwerkt. Een dergelijke werkwijze hebben wij in het onderzoek niet aangetroffen binnen andere organisatieonderdelen. In het beleidskader is het voornemen opgenomen om de effectiviteit van het kader in het eerste kwartaal van 2020 te evalueren. Omdat er aan de voorkant geen eigenaar van de implementatie en monitoring is aangewezen en het kader nooit volledig is geïmplementeerd, heeft deze evaluatie niet plaatsgevonden.

Hoewel kaders beperkt bekend zijn, hebben we wel een zekere behoefte aan meer kaders op het gebied van risicomanagement in de organisatie opgehaald. Volgens diverse betrokkenen zou het vanwege de tussen domein verschillende doelen en type

8 / 58

werkzaamheden niet wenselijk zijn om een blauwdruk voor de hele organisatie te formuleren. Daarom wordt gepleit voor het hanteren van gemeentebrede uitgangspunten die per beleidsdomein kunnen worden vertaald in voor dat domein meer specifieke handvatten en richtlijnen om risicomanagement in de praktijk adequaat vorm te kunnen geven.

2.5. Deelconclusie: De raad kan onvoldoende in samenspraak met het college sturen op strategische risico’s Momenteel wordt de raad met name op structurele wijze op de hoogte gesteld van risico’s binnen de paragraaf Weerstandsvermogen en Risicobeheersing en de P&C-cyclus. Tevens heeft de raad in de afgelopen jaren periodiek een risicoregister ontvangen. Dit is echter niet het CSR dat met dit beleidskader ontwikkeld zou worden maar een jaarlijks overzicht dat beperkt wordt geactualiseerd en geen inzicht biedt in de strategische risico’s van de gemeente. De informatievoorziening zoals deze momenteel plaatsvindt, wordt door raadsleden niet altijd als voldoende tijdig, volledig en bruikbaar beschouwd om de kaderstellende en controlerende rol optimaal te kunnen uitoefenen. De risicoparagraaf en de informatievoorziening vanuit de P&C cyclus bieden volgens raadsleden onvoldoende zicht op de risico’s die worden gelopen in de praktijk; informatie komt met name na de fase van besluitvorming, tijdens contractbeheer of uitvoering van projecten aan het licht. In praktijk ervaart de raad bovendien niet tijdig op de hoogte te worden gesteld van risico’s, maar pas wanneer risico’s zich al hebben gematerialiseerd in financiële schade. De raadsleden benadrukken in deze context vooral de actieve informatieplicht die het college richting de raad heeft, zoals ook omschreven in het beleidskader.

Bovendien wordt volgens de huidige wijze van informatievoorziening vooral zicht geboden op risico’s die zouden kunnen leiden tot financiële schade. Om zijn controlerende rol optimaal uit te kunnen voeren, dient de raad voorzien te worden in zijn informatiebehoefte zowel tijdens als na de fase van besluitvorming. Indien bij de raad het beeld bestaat dat hij niet in deze informatiebehoefte wordt voorzien, dient de raad zelf bij het college deze informatie op te vragen. De raad zou op dit vlak een meer proactieve rol kunnen spelen.

2.6. Aanbevelingen Aan de hiervoor beschreven hoofdconclusie en deelconclusies hebben we een aantal aanbevelingen gekoppeld. Alle aanbevelingen zijn gericht op de raad. Verzoek het college om het huidige beleidskader waar nodig aan te vullen en vervolgens te laten implementeren. Vraag daarbij om een duidelijke tijdlijn met (tussentijdse) mijlpalen op basis waarvan het college de raad kan informeren over de voortgang van de implementatie van het risicomanagementbeleid. Verzoek aan het college in de aanvulling van het beleidskader vooral zorg dragen voor een verdere uitwerking van de risicomanagementcyclus, waarmee strategisch gestuurd kan worden op risico’s. Laat het college daarbij voor de raad inzichtelijk maken hoe de cyclus voor de organisatie vertaald gaat worden en hoe deze uitgevoerd zal worden, ook ten behoeve van grote projecten en contracten. Draag daarbij het college op een duidelijke eigenaar aan te wijzen in de organisatie die verantwoordelijk is voor de aanvulling van het beleidskader. Daarbij kan voortgebouwd worden op het eigenaarschap dat reeds belegd is via de DT-opdracht uit 2020. Vraag het college om bij de aanvulling van het

9 / 58

beleidskader lessen die in de praktijk impliciet zijn op gedaan, mee te nemen. De DT-opdracht kan aangegrepen worden om deze onderdeel te maken van het te actualiseren beleidskader. Verzoek het college om een standaard voor projectmatig werken alsook inkoop- en contractmanagement te laten opstellen. Daarmee kan risicomanagement ook binnen projectmatig werken en binnen inkoop- en contractmanagement worden geborgd. Laat het college hierbij de opgedane lessen van de projectmanagers en de inkoopafdeling binnen de gemeente meenemen. Zo is er door de inkoopafdeling onder andere al een checklist opgesteld, die opgenomen zou kunnen worden in de standaard voor inkoopmanagement. Overweeg voor projectmanagementstandaard kaders te stellen die bijvoorbeeld vereisen dat een projectplan bij elke nieuwe projectfase bijgewerkt wordt, waarbij ook aandacht is voor de risico’s van de nieuwe fase. Dit verkleint de kans dat risico’s zich onopgemerkt kunnen materialiseren. Overweeg daarnaast om kaders te stellen op de wijze waarop risico’s geïdentificeerd en beoordeeld worden, door bijvoorbeeld bepaalde methodieken te laten hanteren voor (grotere of meer risicovolle) projecten.

Laat het college onderzoeken of een centraal bewaakte capaciteitsplanning van projecten, waarmee de gemeente overzicht kan houden op de (verwachte) ingezet van capaciteit op projecten kan bijdragen aan een betere grip op projecten. Dit geldt eveneens voor de aanstelling van ervaren uitvoeringsleider, die kan toezien of projecten op de juiste manier uitgevoerd worden en wanneer nodig kan bij springen in projecten of kan optreden als sparringpartner. Laat het college bij de ontwikkeling van de standaard voor projectmatig werken en inkoop- en contractmanagement ook de koppeling maken tussen het risicomanagement bij projecten en contracten en de (strategische) risicomanagementcyclus. Risico’s vanuit projecten en contracten die de strategische doelen van de gemeente bedreigen moeten een plek krijgen in het op te stellen Centraal Strategisch Risicoregister. Geef aan het college aan hoe je geïnformeerd wilt worden over risico’s en risicomanagement. Maak daarbij duidelijke afspraken met het college over proactieve informatievoorziening in het algemeen en over periodieke momenten van informatievoorziening tijdens de uitvoering van projecten of programma’s. Neem hierbij de volgende overwegingen mee:  Naast risico’s die kunnen leiden tot financiële schade kunnen er ook risico’s op bijvoorbeeld maatschappelijk of politiek vlak bestaan.

De huidige informatievoorziening legt echter vooral nadruk op risico’s die kunnen leiden tot financiële schade. Draag als raad het college op om ook te inventariseren welke niet-financiële schade de gemeente op zou kunnen lopen en welke beheersmaatregelen zouden kunnen worden genomen om ook deze risico’s te beheersen.  Overweeg om de inhoud van de risicoparagraaf te wijzigen zodat deze beter overeenkomt met de praktijk. Voeg hierin een tabel toe waarin risico’s worden benoemd inclusief de kans van optreden, het gevolg dat dit zou hebben en de beheersmaatregelen die getroffen zouden moeten worden mocht het risico zich voordoen.  Het beleidskader schrijft voor dat er een open dialoog wordt gevoerd tussen college en raad over het lopen van majeure risico’s. Neem als raad daarom ook zelf bewust je positie in door proactief vragen te stellen en het college alert te houden op het zorgvuldig toepassen van risicomanagement.

10 / 58

Nota van bevindingen 3. Beleidskader risicomanagement In dit hoofdstuk staan we stil bij de wijze waarop het beleidskader risicomanagement is vormgegeven. Als eerste wordt ingezoomd op de opzet van het risicomanagementbeleid aan de hand van het raadsbesluit en de in het beleidskader geformuleerde uitgangspunten (paragraaf 3.1). In paragraaf 3.2 staan we vervolgens stil bij de wijze waarop deze uitgangspunten zijn uitgewerkt in het beleidskader. Waar de eerste twee paragrafen hoofdzakelijk beschrijvend zijn, maken we in paragraaf 3.3 een analyse van de opzet en de uitwerking van het beleid. We sluiten dit hoofdstuk af met een toetsing op de normen rondom het beleidskader risicomanagement (paragraaf 3.4).

3.1. Opzet risicomanagementbeleid (2016) 3.1.1. Onderbouwing raadsbesluit Beleidskader risicomanagement 4

5

Op 26 januari 2016 wordt door de raad van de gemeente Westland het Beleidskader Risicomanagement vastgesteld. Dit beleidskader is opgesteld vanuit de afdeling Strategie en is anno 2021 nog altijd het vigerende beleidskader voor risicomanagement. In de argumentatie opgenomen in het raadsvoorstel, komt naar voren waarom er een nieuw beleidskader wordt vastgesteld. Het gaat hierbij om met name twee achterliggende gedachten: 1. Focus op strategische risico’s Het beleidskader legt de focus primair op het beheersen van strategische risico's, en secundair op de financiële vertaling ervan. De voorgeschreven inhoud van een op te stellen centraal risicoregister moet het gesprek over de risico's en de effectiviteit van de getroffen maatregelen ondersteunen. Ook zal de levenscyclus van risico's gevolgd en geëvalueerd kunnen worden. Dit moet leiden tot een beter inzicht in de risico's en de mogelijkheden deze te beheersen. 2. Een nieuwe berekening van het weerstandsvermogen en de risicobeheersing: digitaal (>50%) Het BBV schrijft voor dat de gemeente haar beleid m.b.t. risicomanagement vastlegt in de paragraaf Weerstandsvermogen en risicobeheersing. De afgelopen jaren is de raad middels de paragrafen Weerstandsvermogen in de begrotingen en jaarrekening geïnformeerd over de ontwikkelingen van de risico's en de methodes van kwantificeren.

Tot 2016 is de uitkomst van de Monte Carlosimulatie – net als in veel andere gemeenten – de basis geweest voor het bepalen van de benodigde weerstandscapaciteit. Er zijn echter ook andere berekeningsmethoden, die elk hun voor- en nadelen kennen. Met het raadsbesluit wordt besloten de financiële waarde van de risico's in het

4

Getekend raadsvoorstel met -besluit inzake vaststelling beleidskader Risicomanagement (15-0047567)

5

Beleidskader Risicomanagement gemeente Westland (14-0474988)

11 / 58

vervolg digitaal (>50%) te kwantificeren. Deze keuze wordt verder onderbouwd in het daadwerkelijke 6 Risicomanagementbeleidskader .

3.1.2. Uitgangspunten Beleidskader risicomanagement (2016) In het Beleidskader Risicomanagement worden op basis van de ervaring van de afgelopen jaren in Westland en andere gemeenten een zestal uitgangspunten voor risicomanagementbeleid opgesteld. Deze zijn allemaal geformuleerd in de ‘wij-vorm’ vanuit de gedachte dat alle actoren (raad, college en organisatie) gezamenlijk verantwoordelijk zijn voor het risicomanagement. De zes uitgangspunten worden hieronder kort uiteengezet. 1. Risicotolerantie – ‘We gaan risico’s niet uit de weg, we pakken ze aan’ De gemeente Westland erkent dat risico’s nemen bij het besturen van een gemeente hoort. De mate waarin de gemeente bereid is risico’s te nemen (de risicotolerantie) verschilt echter. Dit is met name afhankelijk van de mate waarin het doel belangrijk wordt geacht te bereiken. 2. Levensloop – ‘We bezien risico’s altijd in de context van de doelen die de gemeente nastreeft’ Het vertrekpunt voor het risicomanagement wordt gevormd door de doelen die de gemeente nastreeft. Vervolgens wordt in kaart gebracht welke risico’s zich kunnen voordoen die het realiseren van die doelen kunnen blokkeren. Om te voorkomen dat die risico’s zich voordoen of om het effect ervan te verkleinen, worden beheersmaatregelen getroffen. Het gevaar wordt afgewend dan wel het resteffect (de feitelijke schade) is in ieder geval beperkter dan eerst . 3.

Tijdshorizon – ‘We nemen in ogenschouw op welke termijn een risico zich kan voordoen’ Een risico is verbonden aan de ambitie een bepaald doel te realiseren. Deze doelen kunnen gesteld zijn op de korte, de middellange en de lange termijn. Dit betekent dat risico’s ook een wisselende tijdshorizon kunnen hebben. Per taak verschilt het ook wanneer een risico zich voordoet. Zo wordt bij een rechtszaak tegen de gemeente op één moment duidelijk of een risico zich voordoet (korte tijdshorizon) terwijl bij een grondexploitatie pas aan het einde van de exploitatie blijkt of risico’s met betrekking tot woningverkopen zich daadwerkelijk voordoen (lange tijdshorizon). Dit leidt tot de vraag of er een gradatie kan worden ingebracht in de fasering van het risicomanagement, om te voorkomen dat de gemeente overmatige middelen zou vrijhouden voor risico’s die zich pas op langere termijn kunnen voordoen. 4. Risico of schade? – ‘We verkennen de verschillende opties die er zijn om – indien onvermijdelijk – de schade te nemen’ Vaak wordt er gesproken over een risico, terwijl een oorzaak of gevolg wordt bedoeld. Een financieel risico bestaat niet, men vreest dan feitelijk voor het financiële gevolg of de financiële schade. Dit onderscheid met de als-dan-waardoor volgorde is als volgt gevisualiseerd in het kader:

6

Beleidskader Risicomanagement gemeente Westland (14-0474988)

12 / 58

Het vergt een keuze van de gemeente welke schade wordt geaccepteerd. Zo kan de gemeente – indien een risico zich voordoet – ervoor kiezen om extra kosten te maken zodat het beoogde doel wel wordt gerealiseerd. Ook kan ervoor Figuur 1 | Als-dan-waardoor bij risico’s uit Beleidskader Risicomanagement (2016) worden gekozen de ambitie in het beoogde doel naar beneden bij te stellen zodat er geen financiële schade ontstaat. Deze keuze wordt expliciet en bewust genomen indien risico’s zich voordoen. 5. Strategische risico’s – ‘Waar het gaat om strategische doelen is risicomanagement verplicht’ Het Beleidskader Risicomanagement richt zich op de risico’s met betrekking tot de strategische doelen van de gemeenten. Deze strategische doelen zijn via diverse documenten vastgelegd, o.a. in:  Het collegewerkprogramma  Gemeentelijke visies (bijv. visie op dienstverlening)  Bestuursopdrachten van het college  Projecten en programma’s die bijdragen aan de strategische doelen. Specifiek richt dit kader zich op doelen met grote financiële, politieke of organisatorische gevolgen en/of doelen waar grote beleidsvrijheid is om tot een gemeentelijke keuze te komen. Vanwege de strategische waarde van deze doelen is het managen van de bijbehorende risico’s verplicht volgens de uitgangspunten en richtlijnen van dit kader. 6.

College- en raadsvoorstellen – ‘Bij grote beslissingen weten we of we de risico’s kunnen dragen’ Structurele verantwoording risico’s Als risico’s zich voordoen en schade zich als een financieel nadeel voordoet, moet de gemeente deze kosten kunnen opvangen. Daarom wordt in de paragraaf Weerstandsvermogen en Risicobeheersing de relatie gelegd tussen de omvang van de mogelijke financiële schade als gevolg van risico’s en de beschikbare vrije middelen om deze schade op te vangen uitgedrukt in de weerstandsratio. Deze ratio wordt tweemaal per jaar bepaald, bij de begroting en de jaarrekening. Incidentele verantwoording risico’s Naast de reguliere verantwoording over het weerstandsratio via de P&C-cyclus kunnen er in de loop van het jaar door het college en de raad tal van beslissingen worden genomen die tot aanvullende risico’s kunnen leiden. Het is dan essentieel dat het college en raad bij die besluitvorming over volledige en juiste informatie beschikken ten aanzien van de mate waarin de gemeente het zich kan veroorloven risico’s te lopen. Daarom moeten risico’s in college- en raadsvoorstellen benoemd en gekwantificeerd worden.

3.2. Uitwerking van de uitgangspunten Met de vaststelling van het Beleidskader Risicomanagement zijn een aantal uitgangspunten vastgesteld. De opzet van deze uitgangspunten zijn in de vorige paragraaf (3.1) beschreven. In deze paragraaf wordt uitwerking in het beleidskader van de uitgangspunten toegelicht. De vertaling van de uitgangspunten vindt plaats in de vorm van een

13 / 58

risicomanagementcyclus. De gemeente Westland wil met het vaststellen van het beleidskader een 7 risicomanagementcyclus gaan hanteren zoals deze in het handboek Risicomanagement van Deloitte wordt uitgewerkt.

Figuur 2 | Overzicht te hanteren risicomanagementcyclus naar voorbeeld Deloitte, vanuit Beleidskader Risicomanagement (2016)

In het beleidskader wordt de cyclus niet in haar geheel toegelicht. Wel worden bepaalde elementen uit de cyclus uitgewerkt. Deze zijn echter niet allemaal één op één te herleiden naar de visualisatie in Figuur 2. In de volgende paragrafen zoomen we in op de belangrijkste elementen zoals uitgewerkt in het beleidskader.

3.2.1. Risicoanalyse Met het vaststellen van het beleidskader zal de gemeente Westland drie maal per jaar inventariseren welke risico’s de strategische doelen van de gemeente kunnen bedreigen. Deze worden vastgelegd in een centraal risicoregister (2.3.3). Per risico wordt aangegeven op welke termijn het zich kan voordoen. Prioriteit wordt gelegd bij risico’s die zich binnen 5 jaar kunnen voordoen. Daarbij wordt ook een inschatting gemaakt van de kans van optreden en de financiële schade erbij.

3.2.2. Risicobeheersing Per risico worden beheersmaatregelen benoemd en geïmplementeerd. Deze maatregelen zijn gericht op het voorkomen of reduceren van het risico, dan wel het beperken van de schade bij optreden. De gemeente onderscheidt onder andere de volgende maatregelen: vermijden, verminderen door actief handelen, verzekeren, overdragen aan handelen, binnen huidige marges accepteren (reserve instellen). Bij het instellen van beheersmaatregelen wordt ook de verwachte effectiviteit ingeschat. Dit leidt mogelijk tot een aanpassing van de kans van optreden en de financiële schade daarbij, nu gericht op het restrisico.

3.2.3. Risicoregister De risicoanalyse (2.2.1) en de vastgestelde beheersmaatregelen (2.2.2) krijgen in opzet een plek in het strategische centrale risicoregister waarin per risico een aantal zaken zijn vastgelegd. Hierbij komen in elk geval de volgende zaken aan de orde:  Een omschrijving van het risico en het strategische doel dat door het risico wordt bedreigd  De fase waarin het risico zich bevindt

7

Risicomanagement, Meer dan de som der delen, Deloitte 2009

14 / 58

    

o Inactief (verder dan 5 jaar weg) o Actief (kan zich binnen 5 jaar voordoen) o Grondexploitatie De bestuurlijke en ambtelijke risicohouder De inhoudelijke onderbouwing van de (on)waarschijnlijkheid dat het risico zich voordoet De kans van optreden van het bruto-risico, ofwel het risico zonder beheersmaatregelen en de financiële schade bij het optreden hiervan De getroffen beheersmaatregelen (inclusief moment wanneer getroffen) en de gebleken effectiviteit van de getroffen beheersmaatregelen. De kans van optreden van het restrisico en de financiële schade bij het optreden hiervan (2.2.5)

Door het centrale risicoregister toe te passen moet een lerend systeem ontstaan waarin beter inzicht wordt verkregen in het ontstaan en beheersen van risico’s.

3.2.4. Samenspel college-raad In het beleidskader wordt de gedeelde verantwoordelijkheid van de gemeenteraad, het college en de ambtelijke organisatie in het risicomanagementbeleid erkend. Daarom is de tekst bewust opgesteld vanuit de ‘wij-vorm’. Benadrukt wordt dat het belangrijk is dat het college en de raad over de juiste informatie beschikken en inzicht hebben in de mate waarin de gemeente het zich kan veroorloven risico’s te lopen. In het licht van voornoemde wordt in het beleidskader ook ingezoomd op de wijze waarop informatievoorziening richting de raad plaatsvindt in het kader van risicomanagement. Er wordt het onderscheid gemaakt tussen structurele en incidentele momenten van informatievoorziening. Structurele informatievoorziening gaat over de paragraaf Weerstandsvermogen en Risicobeheersing in de programmabegroting en de jaarstukken waarin de belangrijkste risico’s worden benoemd. Op het gebied van incidentele informatievoorziening richting de raad wordt omschreven dat in raadsvoorstellen die leiden tot majeure wijziging van de risico’s de gemeente loopt, moet worden aangegeven:  welke risico’s zich kunnen voordoen naar aanleiding van de voorgestelde beslissing;  welke maatregelen worden getroffen om deze risico’s te beheersen;  tot welke financiële schade deze (rest)risico’s kunnen leiden.

Verder wordt de verantwoordelijkheid bij het college gelegd om actief de dialoog aan te gaan met de raad om haar beleving over risico’s uit te leggen en te bespreken. Dit kan ten tijde van de besluitvorming over voorstellen in de raad, maar ook op andere momenten, bijvoorbeeld tijdens de uitvoering van projecten of programma’s. Het college en de raad bepalen samen wanneer sprake is van majeure risico’s.

3.2.5. Systematiek van het kwantificeren van financiële restrisico’s: digitale benadering Een volgens element van het beleidskader is een stuk over het bepalen van de financiële omvang van de restrisico’s (de financiële schade). Daarbij gaat het om het bepalen van de omvang van: 1. Een individueel risico 2. Een samengesteld risico bij projecten en programma’s 3. Het totaal aan risico’s op gemeenteniveau 1. Een individueel risico

15 / 58

De schade van een individueel risico wordt bepaald door het financiële effect bij optreden van het restrisico en door de kans dat het restrisico zich voordoet. Hierbij wordt gebruik gemaakt van de ‘>50% methode of digitale benadering’ 8 zoals deze ook in het onderliggende raadsbesluit is toegelicht. De digitale benadering wordt als volgt beschreven: Als de kans van optreden groter of gelijk is aan 50%, dan wordt rekening gehouden met het totale financiële effect. Wordt de kans van optreden kleiner dan 50% geacht, dan houdt de gemeente in financiële zin geen rekening met dit restrisico. 2. Een samengesteld risico bij projecten en programma’s Binnen een project of programma is sprake van een veelvoud aan doelen en activiteiten. Deze kunnen allemaal worden gekwantificeerd en worden opgenomen in het centrale risicoregister. Dit zorgt echter voor een gebrekkig overzicht door de (mogelijk grote) hoeveelheid aan risico’s. De gemeente kiest er daarom voor om risico’s op projectniveau op te nemen, door onderliggende restrisico’s uit te drukken in een zogenaamd samengesteld risico. Hieraan wordt het volgende uitgangspunt gekoppeld: Per individueel restrisico wordt de financiële schade bepaald conform de ‘digitale benadering (>50%)’. Het samengestelde risico op projectniveau bestaat uit de optelsom van alle individuele schades.

De gemeente werkt bij projecten en programma’s ook regelmatig met een variëteit aan scenario’s met elk weer eigen restrisico’s. Deze kunnen niet bij elkaar worden opgeteld. Daarom wordt het volgende uitgangspunt gehanteerd: Als er sprake kan zijn van verschillende scenario’s, worden de restrisico’s van het meest realistische scenario meegenomen in het samengestelde risico. 3. Het totaal aan risico’s op gemeenteniveau Tenslotte wordt een uitspraak gedaan over de wijze waarop de gemeente Westland rekening zal houden met het totaal aantal risico’s op gemeenteniveau. Dit wordt uitgedrukt in de benodigde weerstandscapaciteit, en deze zal tot stand komen door een opsomming van:  Individuele restrisico’s die zich binnen 5 jaar voor kunnen doen;  Restrisico’s die voortkomen uit grondexploitaties  Samengestelde risico’s uit projecten en programma’s In de programmabegroting en het jaarverslag zal de relatie worden gelegd tussen de benodigde en de beschikbare weerstandscapaciteit. De weerstandscapaciteit van Westland bestaat naast de post voor onvoorziene uitgaven uit de algemene reserve en een geoormerkt deel van de reserve Versterking financiële soliditeit.

Jaarlijks zal het college bij de vaststelling van de eerste actualisatie de raad een voorstel voorleggen tot een zodanige aanpassing van het geoormerkte deel van de reserve versterking financiële soliditeit dat de weerstandsratio weer uitkomt op 1,0 (waarbij de weerstandsratio wordt berekend door de beschikbare weerstandscapaciteit te delen door de benodigde weerstandscapaciteit).

8

Getekend raadsvoorstel met -besluit inzake vaststelling beleidskader Risicomanagement (15-0047567)

16 / 58

3.2.6. Verbetering: evaluatie beleidskader Er wordt tenslotte in het beleidskader aangegeven dat er een evaluatie van het beleidskader en de praktische uitvoerbaarheid hiervan zal plaatsvinden. Er wordt hierbij aansluiting gezocht bij de algemeen geldende looptijd voor beleid, zoals deze bij onderzoek naar doelmatigheid en doeltreffendheid wordt gehanteerd, namelijk vier jaar. Naar e aanleiding van dit beleidskader zal er een evaluatierapport in het 1 kwartaal van 2020 aan de raad worden aangeboden. In deze evaluatie zal worden ingegaan op een aantal zaken:      

De mate van implementatie van het beleidskader De uitvoerbaarheid van het beleidskader De getroffen beheersmaatregelen De effectiviteit van de getroffen beheersmaatregelen De effectiviteit van het beleidskader Lessen voor bijstelling van het beleidskader

3.3. Analyse opzet beleidskader risicomanagement In paragraaf 3.1 en 3.2 zijn de uitgangspunten van het beleidskader uitvoerig beschreven. In onze ogen vallen in het vigerende beleidskader twee onderdelen te onderscheiden. Eerst wordt een meer brede visie op risicomanagement uiteengezet in een zestal uitgangspunten waarbij het ‘wij-gevoel’ wordt benadrukt. Dit is een bewuste keuze omdat hiermee wordt benadrukt dat risicomanagement iets is wat zowel de raad, het college als de organisatie aangaat. Via de zes uitgangspunten worden het vertrekpunt en de visie van de raad ten opzichte van risicomanagement helder. Meer dan dat bevatten deze uitgangspunten belangrijke elementen in het kader van risicomanagement. Er worden een aantal richtinggevende uitspraken gedaan over het bezien van risico’s in de context van de doelen die de gemeente nastreeft, de gedeelde verantwoordelijkheid voor verschillende geledingen in de gemeente en het niet per se mijden van risico’s maar er bewust en zorgvuldig mee omgaan. Vervolgens worden aan de hand van een te hanteren risicomanagementcyclus verschillende elementen van risicomanagement toegelicht. Hierbij stellen we echter wel vast dat de cyclus niet als geheel wordt toegelicht dan wel hoe de – los van elkaar uitgewerkte – elementen van risicomanagement zich tot elkaar verhouden.

We zien wel dat elementen van de risicomanagementcyclus expliciet terugkomen, zoals de risicoanalyse en verbetering via een uit te voeren evaluatie. De toegelichte elementen van de cyclus vertonen tevens een logische samenhang met elkaar. In het beleidskader wordt in onze ogen voldoende helder duidelijk gemaakt op welke manier de risicoanalyse (2.3.1) en de risicobeheersing (2.3.2) hun beslag moeten krijgen in een op te stellen centraal strategisch risicoregister (2.3.3). Ook schrijft het risicoregister voor dat de nieuwe systematiek voor het bepalen van de financiële restschade (de ‘digitale benadering’, 2.3.5) onderdeel zal gaan uitmaken van de risico’s die in het risicoregister worden opgenomen. Aan het beleidskader zelf zijn beperkt doelen gekoppeld. Een belangrijke reden om dit beleidskader uit te werken is echter de nadruk die wordt gelegd op het koppelen van risicomanagement aan de inhoudelijke strategische doelen die de gemeente nastreeft. Het beleidskader moet in onze ogen dus ook niet worden beoordeeld als een beleidskader dat zelf inhoudelijke, SMART doelen kent, maar als een document dat richtlijnen biedt om risicomanagement in de praktijk toe te kunnen passen. Vanuit dat perspectief zien we dat er enkele instrumenten worden benoemd voor het toepassen

17 / 58

van risicomanagement. Wij zien het op te stellen centrale risicoregister en de nieuwe methodiek om de financiële restrisico’s te bepalen als de belangrijkste instrumenten. Om de hiervoor beschreven instrumenten in te kunnen zetten moeten als eerste de strategische doelen van de gemeente worden geïnventariseerd, waarna de overige uitgangspunten van het beleidskader hierop kunnen worden toegepast. Er zit dus een zekere volgordelijkheid in zaken die moeten worden opgepakt om het beleidskader te kunnen implementeren. We stellen vast dat er in het beleidskader uitspraken worden gedaan over het samenspel tussen college en de raad. Deze uitgangspunten richten zich met name op de informatievoorziening op het gebied van risico’s. Hierbij is een helder onderscheid tussen structurele en incidentele informatievoorziening. Tevens moeten raad en college samen gaan bepalen wat majeure risico’s zijn en hoe hier mee om moet worden gedaan. Er wordt in het beleidskader dus een beroep gedaan op het voeren van een goed gesprek en een open dialoog tussen het college en de raad op het gebied van risico’s. In het beleidskader zelf wordt echter geen eigenaar van het beleidskader en de verdere implementatie ervan aangewezen.

Met alleen het vaststellen van het beleidskader was de RKC tot aan het ambtelijk wederhoor in de veronderstelling dat belangrijke vragen rondom eigenaarschap daarmee onbeantwoord zouden blijven. Vragen als: ‘Wie gaat er straks de strategische risico’s bepalen vanuit het collegewerkprogramma en bestuursopdrachten van het college? Wie houdt er vervolgens een centraal risicoregister bij? Wie monitort straks de voortgang van het beleid’. Immers, op het moment dat er geen eigenaar is voor de implementatie blijft het beleidskader slechts een papieren exercitie op een te hoog abstractieniveau. Echter, vanuit het ambtelijk wederhoor wordt een nota toegestuurd waarin staat vastgelegd hoe de ambtelijke 9 organisatie verder uitvoering geeft aan het beleid: het organisatorisch kader . In dit organisatorisch kader (2015) wordt de implementatie van het centraal strategisch risicoregister uitgewerkt met processtappen en verantwoordelijkheden voor diverse betrokkenen. Het gaat om de volgende actoren: college van B&W, de bestuurlijke portefeuillehouder Financiën, het Managementteam, de vakafdelingen, de afdeling strategie en afdeling BAS die per processtap een rol als bestuurlijk verantwoordelijke, ambtelijk verantwoordelijke of adviseur kunnen hebben. Voornoemd proces is helder uitgewerkt in deze nota en de taakverdeling en -verantwoordelijkheden zijn duidelijk belegd.

In 2017 vindt er een wijziging van de organisatiestructuur van de ambtelijke organisatie plaats. Vanuit het ambtelijk wederhoor ontvangen we tevens een overzicht van de taakoverdracht op het gebied van risicomanagement vanuit de 10 oude naar de nieuwe situatie . Uit deze memo komt naar voren dat het nieuw te vormen cluster Beleid de 11 verantwoordelijkheid voor het strategisch beleid overneemt van de afdeling Strategie . Het inventariseren, analyseren en beheersen van de bijbehorende strategische risico’s is daaraan inherent. Het nieuwe Bedrijfsvoering neemt voor 100% het takenpakket van de voormalige afdeling BAS over. Hierbij hoort ook het eigenaarschap over het risicomanagement en de verantwoordelijkheid voor het risicoregister. Aangezien alle risico’s, in ieder geval voor wat betreft hun financiële consequenties, moeten landen in de paragraaf Weerstandsvermogen, ligt het namelijk voor de hand om ook het register van strategische risico’s bij de afdeling Bedrijfsvoering. De paragraaf weerstandsvermogen wordt ook in zijn geheel opgesteld door het cluster Bedrijfsvoering.

9

Organisatorisch kader risicomanagement, d.d. 16-03-2015

10

Overdracht taken op het gebied van de accountant, d.d. 10-05-2017

11

Overdracht taken op het gebied van de accountant, d.d. 10-05-2017

18 / 58

Op basis van de vorige alinea constateren we dat de uitgewerkte taken en verantwoordelijkheden voor wat betreft het risicomanagement in opzet goed zijn belegd en zijn overgedragen met de nieuwe organisatiestructuur in 2017.

3.4. Toetsing op de norm In deze paragraaf toetsen we de bevindingen uit de vorige paragraaf aan de normen die met betrekking tot (de opzet) beleid risicomanagement zijn vastgesteld. Hieraan zijn de volgende normen vastgesteld: Groen: aan de vastgestelde norm is geheel voldaan Oranje: aan de vastgestelde norm is gedeeltelijk voldaan Rood: aan de vastgestelde norm is niet voldaan Aspect Beleid risicomanagement

Vraag A1

Norm -

De raad heeft duidelijke beleidskaders vastgesteld ten aanzien van risicomanagement

Norm 1: De raad heeft duidelijke beleidskaders vastgesteld ten aanzien van risicomanagement In januari 2016 zijn er gedurende de vorige bestuursperiode beleidskaders ten aanzien van risicomanagement gesteld door de raad. Dit beleidskader kent een helder onderscheid tussen meer algemeen geformuleerde uitgangspunten en een verdere uitwerking hiervan in een risicomanagementcyclus. We stellen vast dat de meer richtinggevende uitspraken een goede basis vormen voor het verder uitwerken en inrichten van het risicomanagement. We constateren dat deze uitgangspunten vervolgens concreet zijn uitgewerkt in het beleidskader. Aandachtspunt is wel dat de risicomanagementcyclus die wordt geïntroduceerd wordt niet in zijn geheel als cyclus wordt uitgewerkt maar vanuit de losse elementen (zie ook norm 2). Aspect Beleid risicomanagement

Vraag A2

Norm -

De beleidskaders zijn helder en consistent en vertonen een logische samenhang

Norm 2: De beleidskaders zijn helder en consistent en vertonen een logische samenhang Er is een duidelijke tweedeling in het beleidskader met meer brede uitgangspunten ten aanzien van risicomanagement en een nadere beleidsuitwerking hiervan. De uitgangspunten zijn helder en vertonen een logische samenhang met elkaar. Hierbij wordt benadrukt dat risico’s worden beschouwd vanuit de context van de doelen die de gemeente nastreeft, dat er een collectieve verantwoordelijkheid is en dat risico’s niet automatisch worden vermeden maar dat de gemeente hier zorgvuldig mee omgaat, de context van de strategische doelen bezien. De brede uitgangspunten worden vervolgens uitgewerkt in de vorm van een risicomanagementcyclus die vanaf 2016 zal worden toegepast. De verschillende elementen van de cyclus worden uitgewerkt en toegelicht. Aandachtspunt is dat de cyclus niet als geheel wordt toegelicht maar wordt uitgewerkt vanuit losse aspecten op het gebied van risicomanagement. Aspect Beleid risicomanagement

Vraag A2

Norm -

In de beleidskaders is duidelijk welke doelen worden nagestreefd en welke instrumenten daarvoor beschikbaar zijn

19 / 58

Norm 3: In de beleidskaders is duidelijk welke doelen worden nagestreefd en welke instrumenten daarvoor beschikbaar zijn In het beleidskader zijn geen inhoudelijke of SMART gemaakte doelen geformuleerd. Dit is in onze ogen ook niet een beleidskader waarin dit verwacht wordt dan wel gewenst is. We constateren dat er veeleer algemene uitgangspunten zijn geformuleerd voor het toepassen van risicomanagement. Deze uitgangspunten leggen een meer gemeentebrede visie van de gemeente op risicomanagement bloot. Meer dan dat bevatten deze uitgangspunten belangrijke elementen voor de verdere uitwerking van het risicomanagement. Aan deze uitgangspunten wordt vervolgens een risicomanagementcyclus verbonden die een aantal instrumenten kent. Het op te stellen strategische centrale risicoregister kan hierbij als kerninstrument worden beschouwd. Andere elementen van het beleidskader moeten in de toepassing ervan terecht komen in dit register. Daarnaast kan ook de digitale benadering als een instrument worden beschouwd dat kan worden ingezet om op een nieuwe manier de financiële restrisico’s te bepalen. Aspect Beleid risicomanagement

Vraag A2

Norm -

In de beleidskaders zijn de taken, bevoegdheden en verantwoordelijkheden rondom risicomanagement helder vastgelegd

Norm 4: In de beleidskaders zijn de taken, bevoegdheden en verantwoordelijkheden rondom risicomanagement helder vastgelegd We nemen waar dat er enkele uitgangspunten worden beschreven vanuit de ‘wij-vorm’. Dit is volgens het kader een bewuste keuze omdat risicomanagement iets is dat voor alle geledingen in de gemeente Westland aandacht behoeft. In het beleidskader is vervolgens alleen aandacht voor het samenspel tussen het college en de raad. Het gaat hierbij om de informatievoorziening van het college richting raad rondom risico’s en het voeren van het open gesprek / het bepalen van majeure risico’s in samenspraak tussen college en raad. Het beleidskader is verder uitgewerkt middels een organisatorisch kader waarin het samenspel tussen college en organisatie wordt toegelicht en er eigenaarschap wordt belegd aangaande de verdere implementatie en uitvoering van het beleidskader. Vanuit dit kader wordt duidelijk gemaakt wie er in het vervolg verantwoordelijk kan worden gehouden voor het implementeren van het beleidskader en hoe er vervolgens op de voortgang van het beleid wordt gemonitord. Met de wijziging van de organisatiestructuur in 2017 is dit eigenaarschap over het risicomanagementbeleid tevens helder overgedragen vanuit de afdelingen naar de clusters.

20 / 58

4. Implementatie en uitvoering risicomanagementbeleid In hoofdstuk 4 staan we stil bij de implementatie en de uitvoering van het risicomanagementbeleid in de praktijk. De algemene beelden rondom implementatie van het beleid worden uiteengezet en geanalyseerd in paragraaf 4.1. We zoomen vervolgens in paragraaf 4.2 in op de uitvoering van het risicomanagementbeleid in de praktijk. We maken hierbij gebruik van de resultaten van vijf cases die voor dit onderzoek zijn bestudeerd; vier grote contracten en één majeur project. De cases worden eerst afzonderlijk beschreven en geanalyseerd en tevens vindt er een vergelijkende case analyse plaats. In paragraaf 4.3 toetsen we aan de normen voor de implementatie en uitvoering op basis van onze bevindingen in de paragrafen ervoor.

4.1. Analyse implementatie algemeen 4.1.1. Beperkte implementatie kader risicomanagement – geen Centraal Strategisch Risicoregister (CSR) Het (vorige) college van B&W heeft in de jaarrekening 2016 aangegeven dat de raad de nieuwe kadernota 12 Risicomanagement op 26 januari 2016 heeft vastgesteld . In de programmabegroting 2017-2020 wordt vervolgens onder de paragraaf Weerstandsvermogen en Risicobeheersing notie gemaakt van de beoogde implementatie van het 13 beleidskader. Hierover geeft het college het volgende aan : ‘In 2016 zijn de volgende acties opgepakt en worden deze afgerond:  Het risicomanagement verbinden met de strategische doelen van de gemeente  Het beleidskader Risicomanagement implementeren met een duidelijk taakverdeling in de ambtelijke organisatie.' 14

In de jaarrekening van 2017 reflecteert het college niet op de beoogde implementatie maar herhaalt hij hetgeen in de jaarrekening van 2016 is gezegd, namelijk dat het beleidskader risicomanagement in 2016 is vastgesteld door de raad. In de P&C-stukken in de jaren erna (begrotingen en jaarrekeningen) worden geen uitspraken meer gedaan over de implementatie van het beleidskader. Hoewel het college beoogde om in 2016 het beleidskader te implementeren geven diverse betrokkenen vanuit de 15 interviewronde aan dat het beleidskader nooit volledig is geïmplementeerd . Dat implementatie van het beleidskader

12

Jaarrekening gemeente Westland 2016, p.123

13

Programmabegroting gemeente Westland 2017-2020, september 2016, p.164

14

Jaarrekening gemeente Westland 2017, p.187

21 / 58

beperkt heeft plaatsgevonden is niet alleen een gevoel dat in de gemeente overheerst. Dit beeld wordt tevens bevestigd vanuit een opdracht van november 2020 van het Directie Team (DT) aan Control om een Centraal Strategisch Risicoregister (CSR) te ontwikkelen en dit over te dragen aan het cluster Beleid. In de omschrijving van deze opdracht 16 geeft het DT het volgende aan : ‘In januari 2016 is het Beleidskader Risicomanagement (14-0474988) door de raad vastgesteld. Dit beleidskader is tot op heden niet volledig geïmplementeerd. Er is een risicoregister dat jaarlijks geactualiseerd wordt opgenomen in de paragraaf weerstandsvermogen en risicobeheersing, van de jaarstukken en de begroting. Eigenaar is cluster Bedrijfsvoering. Echter, het managen van strategische risico’s is nog niet formeel geïmplementeerd.’ ‘Resultaat: Het 1) instellen van een centraal strategisch risicoregister (CSR) dat inzicht geeft in de strategische risico’s die de gemeente Westland loopt en 2) de uitvoering en beheersing van het strategisch risicoregister over te dragen aan de proceseigenaar bij cluster Beleid.’ Een van de belangrijkste uitgangspunten van het Beleidskader Risicomanagement (2016) was het verbinden van het risicomanagement aan de strategische doelen van de gemeente (zie ook paragraaf 3.2).

Uit de interviews en de recente DT-opdracht blijkt dat deze koppeling tot op heden nog niet is gemaakt maar dat er anno 2021 wel de behoefte is om deze koppeling te maken. Het hanteren van een strategisch risicoregister wordt door betrokkenen namelijk bestempeld als de basisstap van het beleidskader beschouwd. Van daaruit kunnen strategische risico’s structureel worden 17 geïnventariseerd, worden beheerst, en up-to-date worden gehouden . Hiertoe is vanuit de DT-opdracht ook een duidelijke proceseigenaar aangewezen voor de verdere vormgeving van de implementatie. Op dit moment verschijnt er vanuit het college periodiek (twee à drie maal per jaar) een risicoregister aan de raad. Echter, dit is een oud document waarbij er geen bewuste koppeling heeft plaats gevonden met de strategische doelen, 18 die zijn vastgelegd in de begroting en het collegewerkprogramma, zoals het beleidskader voorschreef . In de communicatie vanuit het college wordt in 2017 en 2018 ook aangegeven dat het inventariseren van de zogenoemde strategische risico’s voor opneming in een centraal risicoregister nog in ontwikkeling is. Vanaf 2019 neemt het college 19 dit zinnetje niet meer op in de correspondentie, maar uit de interviews en de recente DT-opdracht blijkt dat de ontwikkeling hiervan eerder nog niet is doorgevoerd.

In de DT-opdracht wordt er echter een aanzet gedaan voor een inventarisatie van de strategische doelen. Deze exercitie is gedaan door Control, van waaruit strategische doelen afkomstig uit de begroting en de omgevingsvisie zijn verzameld. Control heeft zich tot deze documenten beperkt omdat dit in hun ogen alle beleidsdomeinen omvat, het een meerjarig perspectief betreft en omdat de begroting het kaderstellende document is. De inventarisatie is opgenomen in Figuur 3 op de volgende pagina.

15

O.a. interview ambtelijk risicomanagementbeleid, d.d. 17-03-2021 & interview concern controller, d.d. 17-03-2021 & interview perspectief bestuurlijk, d.d. 22-

03-2021 16

20-0131324 Plan van aanpak Strategisch Risicoregister - geactualiseerd

17

O.a. interview concern controller, d.d. 17-03-2021 en interview ambtelijk risicomanagementbeleid, d.d. 17-03-2021

18

Interview concern controller, d.d. 17-03-2021

19

Interview concern controller, d.d. 17-03-2021

22 / 58

Figuur 3 | Aanzet inventarisatie strategische doelen door Control, t.b.v. Plan van Aanpak CSR

De eerder omschreven koppeling tussen doelen uit Figuur 3 en het nieuw op te stellen CSR is recentelijk dus wel in een opdracht vervat. In november 2020 is het plan van aanpak voor de implementatie van het CSR opgesteld. De bedoeling hierbij was dat het CSR in juni 2021 zou worden opgeleverd. Vanuit de interviews komt echter naar voren dat vanwege de overbelasting van corona op de organisatie, de ontwikkeling van het centraal risicoregister nog op zich zal laten 20 wachten. De implementatie is tijdelijk stop gezet totdat corona weer wat minder voor werkdruk zorgt . De bedoeling is dat als de organisatie weer voldoende geëquipeerd is, de implementatie van het beleidskader verder van de grond komt. Er kan vanuit de interviews geen eenduidige verklaring worden gegeven waarom het beleidskader risicomanagement niet eerder volledig is geïmplementeerd. Vanuit de interviews is wel het beeld ontstaan dat het risicomanagement in Westland tot aan de DT-opdracht niet de benodigde (bestuurlijke en ambtelijke) prioriteit heeft gekregen om in de 21 implementatie te voorzien .