Risicomanagement meer dan de som der delen

Risicomanagement meer dan de som der delen

Niet alleen inzicht in risico’s en €’s maar ook een driver voor organisatieontwikkeling Een praktisch handboek

Auteurs en redactie: drs. R. Dubbeldeman drs. A. Heinen drs. R.F.J. Reijmerink F.A.J. van Kuijck RA RO EMIA drs. R.M.J. van Vugt RA

2

Inhoud

Ten geleide Samenvatting Voorwoord Risicomanagement: op het grensvlak van werelden

5 7 11

1. Inleiding 1.1 Waarom dit handboek? 1.2 Wat is risicomanagement? 1.3 Leeswijzer 1.4 Wat is interessant voor welke doelgroep?

15 16 16 20 21

2. Risicomanagement 2.1 Wet- en regelgeving: eisen in het kader van risicomanagement 2.2 Risicomanagement en ISO 2.3 Risicomanagementraamwerk 2.3.1 Kaderstelling en Strategie 2.3.2 Risicoanalyse 2.3.3 Beheersmaatregelen 2.3.4 Monitoren Resultaten 2.3.5 Toezicht en Toetsing 2.3.6 Verbetering 2.4 Inbedding/verankering

23 23 23 25 25 26 30 32 33 33 34

3. Governance 3.1 Het begrip Governance 3.2 De governance cyclus 3.2.1 Sturen 3.2.2 Beheersen 3.2.3 Verantwoorden 3.2.4 Toezicht houden 3.3 Risicomanagement en het duale bestel 3.4 Integratie risicomanagement in de governancecyclus

37 37 37 39 41 46 50 52 54

4. Continue verbetering 4.1 Ontwikkeling van risicomanagement 4.2 Risicomanagement als instrument voor continue verbetering 4.3 Risicomanagement als onderdeel van de bedrijfsvoering 4.4 Risicomanagement: de kunst van cultuur 4.4.1 Houding en gedrag 4.4.2 Een kwestie van stijl 4.4.3 Cultuurverandering 4.5 Risicomanagement als instrument om je doel te bereiken 4.6 Handreikingen voor risicomanagement

59 59 60 61 63 63 64 65 66 67

5. Weerstandsvermogen 5.1 Definitie 5.2 Financiële postie 5.3 Weerstandsvermogen 5.4 Risico’s 5.5 Weerstandscapaciteit

73 73 74 74 75 76 Risicomanagement meer dan de som der delen

3

4

6. Valkuilen uit de praktijk 6.1 De objectiviteit van het risicomanagement instrumentarium 6.2 De keuze van objecten van risicomanagement 6.3 Mate van detaillering 6.4 Het feitelijk doen 6.5 Andere vaak voorkomende valkuilen en succesfactoren

81 81 82 83 83 83

7. Risicomanagement in de praktijk: casuïstiek 7.1 Risicomanagement en Shared Services 7.2 Risicomanagement en WSW 7.3 Risicomanagement en grote projecten 7.3.1 Huis van cultuur 7.3.2 Governance & inrichten risicomanagementproces op grote projecten 7.4 Risicomanagement en loonsombeheersing

87 87 88 91 91 92 92

Bijlage 1: Systemen van risicomanagement Bijlage 2: Voorbeeld risicoprofiel Bijlage 3: Voorbeelden risicokaart Bijlage 4: Voorbeeld grafisch risico-overzicht Bijlage 5: Voorbeeld risicomatrix Bijlage 6: Veel voorkomende risico’s Bijlage 7: Praktijkcasussen risicomanagement Bijlage 8: Aandachtspuntenlijst per onderdeel van de governancecyclus Bijlage 9: Vragenlijst risicogesprek Bijlage 10: Rolverdeling in het risicomanagementproces Bijlage 11: Voorbeeld Beleidsnota Risicomanagement & Weerstandsvermogen Bijlage 12: Begrippenlijst Bijlage 13: Beknopte CV’s van de deelnemers aan het Handboek

95 97 98 100 101 103 107 112 116 117 119 124 126

Ten geleide

Risicomanagement is een onderwerp dat zich steeds meer kan verheugen op een warme belangstelling. Beursgenoteerde ondernemingen, midden- en klein bedrijf, maar ook de overheid maken meer en meer werk van risicomanagement. Het houdt ons dagelijks bezig. Het gaat dan echter vaak niet zozeer over het opzetten van een dergelijk risicomanagementsysteem, maar juist over het ons verdedigen bij het falen of het ontbreken van een dergelijk systeem. Kranten berichten bijna dagelijks hierover. De kredietcrisis, schandalen in de vastgoedsector, fraude, etc. worden één op één gelinkt aan het ontbreken van een goed risicomanagementsysteem of aan het falen van de juiste werking ervan. Gelukkig zijn er ook voorbeelden van organisaties die echt werk maken van risicomanagement.

Dit boek biedt de nodige handvatten voor gemeentelijke organisaties, en ook andere organisaties, om een dergelijk systeem op te zetten en in te richten. De kunst is om juist die elementen te kiezen die relevant zijn voor uw organisatie. U wordt daarbij geholpen door praktische voorbeelden van vergelijkbare organisaties waar (delen van) een risicomanagementsysteem succesvol is/zijn geïmplementeerd.

De vraag die zich voordoet is “Wat is een goed risicomanagementsysteem? Een goed systeem van risicomanagement is te zien als een ‘permanente’ alertheid op wijzigingen in uw organisatie en haar omgeving zodat u hierop kan inspelen. Hierdoor, zo ben ik overtuigd, ontstaan kansen en voordelen wanneer u hierop inspeelt. Risicomanagement kan hierdoor een belangrijke impuls geven aan het realiseren van doelstellingen en biedt voordelen bij de verandering en ontwikkeling van uw organisatie.

Dit boek brengen wij uit in de ‘governancereeks gemeenten’ omdat risicomanagement een peiler is waar het proces van sturen, beheersen, verantwoording afleggen en toezicht houden op rust. Ik hoop echter dat de inhoud van dit boek u juist onrustig maakt en u verdere prikkels en inspiratie geeft om verder te komen in het proces van implementatie van een op uw maat gesneden risicomanagementsysteem. Ik wens u veel leesplezier en inspiratie toe.

Vaak wordt de nadruk gelegd op de instrumentele kant van risicomanagementsystemen, maar deze systemen staan of vallen met de juiste werking ervan. Dat kan alleen wanneer er ook aandacht besteed wordt aan de cultuurkant van risicomanagementsystemen. De wil en het vermogen van mensen om dergelijke systemen ook effectief te kunnen laten werken. Met toekijken hoe iets in het honderd loopt komt u niet veel verder. Ook het optuigen van duizend en één maatregelen helpt u vaak niet in de sfeer van creativiteit en ondernemerschap. Immers het is een utopie dat alle risico’s voorzienbaar en te voorkomen zijn. Adequaat signaleren (alertheid) en handelen is dan het devies. Met name het vorm en inhoud geven aan de cultuurkant is zo mogelijk nog belangrijker dan de instrumentele kant. Voorwaar geen eenvoudige opgave.

Wij zijn verheugd dat een aantal gemeenten bereid is gevonden om dit project mede te ondersteunen en mee te werken aan de totstandkoming van dit boek. Daarnaast zijn er tal van organisaties en personen, waaronder Primo Nederland en Primo Europe, die veel energie stoppen in het op de kaart zetten van risicomanagement bij gemeenten.

Arie Elsenaar Voorzitter industry lokaal bestuur Deloitte


5

6

Samenvatting

Als we even teruggaan naar 2004 dan vinden we daar het begin van wat we nu risicomanagement noemen. Toen werd het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) van kracht. Dit hield in dat elke provincie en gemeente in Nederland hun weerstandsvermogen (het vermogen risico’s te dekken) in kaart brengt aan de hand van haar risico’s en deze jaarlijks weergeeft in een paragraaf Weerstandsvermogen in haar beleidsbegroting en jaarverantwoording. Mogelijk zijn de risico’s reeds weergegeven in de andere paragrafen. Met deze verplichting dient elke provincie en gemeente zich met risicomanagement bezig te houden. Anno 2009 geven veel gemeenten inderdaad vorm aan risicomanagement. Ze lopen daarbij echter wel tegen problemen aan. Het belangrijkste vraagstuk luidt: hoe zorg ik ervoor dat het een werkend systeem wordt? En dat is de reden van deze uitgave. Dit handboek moet voor u een handreiking zijn bij het invoeren en vervolgens verder verfijnen van een systeem voor risicomanagement. Deloitte ziet risicomanagement als een proces van een systematische analyse van de risico’s waaraan een organisatie bloot staat. Daarbij horen de verbeteringen als gevolg van het aanpassen van de maatregelen. Natuurlijk is dit niet een eenmalige activiteit. Het is een continu proces, alleen al omdat de actualiteit en het treffen van maatregelen in veranderende omstandigheden dit van ons eist. Denk maar aan de huidige economische crisis. In praktijk zal dan ook blijken dat de risico’s scherper ingeschat en afgedekt worden naarmate men er langer mee bezig is. Wanneer een gemeente er in slaagt om sneller en met meer effect te reageren op zich manifesterende risico’s dan bestaat de mogelijkheid dat een lager

1. Kaderstelling & Strategie

Risicoanalyse

2. Risicoanalys

e

t re g e l e n

Risicobeheersing

he 4. M o n i t o re n R esultaten

Resterende risico’s

Weerstands capaciteit

Be

5. Toezicht & Toetsing

Be-

maa

College & Management Team

ers

6. Verbetering

Risicoweging

Gemeenteraad

Het handboek dat voor u ligt, is de zesde op rij uit onze uitgaven onder het thema Governance. In dit handboek richten we ons op risicomanagement. Wat is eigenlijk risicomanagement? We omschrijven het als het identificeren en kwantificeren van risico’s en het bepalen van activiteiten die de kans van optreden en/of de gevolgen van risico’s beheersbaar houdt. Met andere woorden: risicomanagement is niets meer of minder dan een zeer belangrijk instrument om doelstellingen te realiseren en een driver voor de ontwikkeling van uw organisatie.

3.

Gebeurtenissen

weerstandsvermogen aan de orde is. Een lager weerstandsvermogen heeft weer direct consequenties voor de ruimte die bestaat ten aanzien van bestedingen. Het proces van risicomanagement bestaat uit verschillende fasen: kaderstelling en strategie, risicoanalyse, treffen van beheersmaatregelen, monitoren van de resultaten, toezicht en toetsing en het zonodig treffen van maatregelen ter verbetering. Elke organisatie doorloopt deze stappen. In dit handboek benoemen we deze stappen uitgebreid en geven we aan wanneer welke stap genomen moet worden. Een belangrijk aspect dat onlosmakelijk met risicomanagement verbonden is, is governance. We hebben het dan over het borgen van de onderlinge samenhang van de wijze van sturen, beheersen, en toezicht houden van een organisatie. Beide instrumenten, governance en risicomanagement, hebben als doelstelling een organisatie meer gecontroleerd te sturen. Hiermee bedoelen we dat uiteindelijk helder is waar de kansen en risico’s van de organisatie liggen en dat hier de beheersmaatregelen en activiteiten op worden gericht. Zo kun je enerzijds de kansen benutten - risico’s zijn immers niet alleen negatief van aard - en anderzijds de risico’s afdekken of de effecten hiervan verminderen. Op meer punten vind je overeenkomsten tussen risicomanagement en governance. Wat risicomanagement een eigen karakter geeft, is die continue verandering. Daarom gaan we daar in dit handboek dieper op in. Bijvoorbeeld, wanneer een organisatie groeit in zijn ontwikkelingen op het gebied van risicomanagement, dan kun je het direct inzetten om het beleid en de uitvoering daarvan te verbeteren. Het mooie resultaat is een proces van continue verbetering van de organisatie. Immers door het bewust Risicomanagement meer dan de som der delen

7

en bekend zijn met de risico’s worden maatregelen getroffen die ervoor zorgen dat risico’s kunnen worden beperkt. Dit proces van bewustwording en onderkenning is essentieel voor het bekend zijn met de veranderingen in de interne en externe omgeving. Daarnaast krijgen gemeenteraad en college een beter inzicht in de uitvoering van het beleid en de wijze waarop dat kan worden verbeterd, krijgen zij meer inzicht en vertrouwen omtrent de wijze waarop doelen worden gerealiseerd en bestaat transparantie over de risico’s die worden gelopen, de maatregelen die hier betrekking op hebben en de verantwoording hierover.

Wat maakt een organisatie succesvol op het gebied van risicomanagement?

Risicomanagement is nooit af en het is daarom essentieel dat dit proces gedragen wordt door de organisatie. Dan praten we over houding en gedrag en dat geldt voor alle betrokkenen. Dus voor zowel raadsleden, als collegeleden en ambtenaren. Het is misschien wel de sleutel tot succes. Begrijpelijk is dat organisaties zoeken naar de juiste manier om risicomanagement te implementeren. We doen in deze uitgave een groot aantal handreikingen (hoofdstuk 4.6).

Regel in ieder geval, denk na over…. Naast een duidelijk en herkenbaar proces van risicomanagement, een adequate governance cyclus (sturen, beheersen, verantwoorden, toezicht houden) en een goede mix van hard- en soft controls zijn belangrijke overige ingrediënten voor een goede implementatie, duidelijke werkwijze en draagvlak: 1. Risicomanagementmethode: Bij het toepassen van risicomanagement heeft de organisatie een methode (van inventariseren en monitoring) nodig om haar risicoprofiel op te stellen. Kies een methode die past bij de organisatie. 2. Verantwoordelijkheid: Niet alleen voor de kwaliteit van de implementatie, maar zeker ook voor het effect van risicomanagement is het van belang dat medewerkers in de lijnorganisatie verantwoordelijk worden gemaakt voor het inschatten van, beheersen van en verantwoording afleggen over risico’s. 3. Belang van draagvlak: Ongeacht welke aanpak de gemeente uiteindelijk kiest om te komen tot implementatie van risicomanagement, is draagvlak van vooral de directie en het college van burgemeester en wethouders voor het concept onontbeerlijk. 4. Kennissessie met diverse ambtelijke (en bestuurlijke) sleutelfunctionarissen: Indien risicomanagement wordt geïnitieerd vanuit een staffunctie of een beperkt deel van het lijnmanagement is het aan te raden om in eerste instantie een kennissessie te organiseren met het voltallige management en eventueel een afvaardiging uit het bestuur. Tijdens deze sessie kan het onderwerp verder uitgediept worden en de toegevoegde waarde inzichtelijk worden gemaakt door middel van concrete voorbeelden. 5. Sponsor binnen het management (en eventueel bestuur): Risicomanagement is een verantwoordelijkheid van de lijn. Om deze reden is het belangrijk dat op het hoogste ambtelijk niveau binnen de organisatie een sponsor aanwezig is voor het concept. 6. Eenvoudig beginnen (met een pilot): Na de kennissessie raden wij aan om de voorgestelde aanpak in eerste instantie een pilot uit te voeren. 7. Voldoende robuuste projectorganisatie: Een essentiële basis voor draagvlak is een voldoende robuuste projectorganisatie. 8. Aansluiting op bestaande initiatieven, concepten en systemen: Om de belasting van de organisatie zoveel mogelijk te beperken, is het sterk aan te raden om risicomanagement aan te laten sluiten bij reeds bestaande initiatieven, concepten en systemen.

Uiteindelijk, wanneer men beseft dat risicomanagement meer is dan alleen het financieel kwantificeren en identificeren van risico’s, dat het juist een zeer belangrijke driver is voor de ontwikkeling van de organisatie, dan komt het systeem tot volledige wasdom. En dat is echt een positief risico!

8

Meer dan de som der delen Het serieus invullen van risicomanagement is geen simpele optelsom van de risico’s. Ten eerste zijn risico’s inderdaad niet altijd te kwantificeren, zijn risico’s niet exact maar binnen een bepaalde bandbreedte te kwantificeren en is ten derde de kwantificering van risico’s de uitkomst van een permanent proces. Het proces zoals dat eerder is aangegeven. Het enkel kwantificeren van de risico’s wekt eerder de indruk van een boekhoudkundige en rekenkundige benadering dan dat de identificatie het startpunt is voor het doen van aanpassingen van de organisatie, processen, werkwijzen en houding en gedrag.


9

10

Voorwoord

Risicomanagement: op het grensvlak van werelden Het managen van risico’s is zonder enige twijfel één van de grootste uitdagingen geworden voor de publieke sector. Dachten wij een jaar geleden nog dat de financiële perikelen in de Verenigde Staten zouden overwaaien, nu zitten we middenin een economische crisis. Weinigen lijken te weten, wat ons te wachten staat. De onzekerheid in de voorspellingen is groot, blijkens de maandelijkse bijstellingen van tal van prognoses. Elke dag presenteren bestuurders nieuwe feiten of relativeren wat komen gaat. Sterker nog, velen verkondigen dat we het ergste hebben gehad, terwijl anderen somber weer verwachten voor de komende 10 jaar. Ik denk dat hier de essentie ligt van waar het bij risicomanagement om gaat: het onbekend zijn met en het onderschatten van risico’s om ons heen en in onszelf. Risico’s zijn lastig en passen vaak niet binnen de politieke en bestuurlijke ambities. Risicomanagement heeft bij ons Nederlanders, het volk van controle, dan ook vaak een negatieve klank. Risicomanagers hebben het imago van remmers in algemene dienst. Alsof het mensen zijn die ‘moeilijk doen’ bij sprankelende plannen en projecten. Het tegenovergestelde echter is waar. Immers, er zijn zoveel projecten en plannen waar de Nederlandse samenleving mee aan de slag is en er zijn velen daarvan die niet uitkomen, flinke overschrijdingen te zien geven, niet het effect lijken te sorteren dat was beoogd en zelfs niet uitvoerbaar blijken. Daarbij zijn het de grensvlakken tussen hogere en lagere overheden, maar ook tussen politici, bestuurders, managers en specialisten waar de risico’s ontstaan. Het dualistisch bestel werkt daarbij vooralsnog niet louterend, omdat rollen en taakopvattingen sterk uiteenlopen en nog immer worden bediscussieerd. Het lijkt me dat een samenleving als de onze het zich niet kan permitteren kwistig om te springen met mensen en middelen voor doelen die niet bereikt kunnen worden. Zeker in tijden van crisis moet elke klap raak zijn. Cruciaal daarbij is dat stakeholders met elkaar praten en dan bedoel ik echt praten. In dit licht zie ik de handreiking die voor u ligt als een prachtige set van instrumenten om deze dialoog aan te gaan.

Het weerstandsvermogen is daarbij een ‘objectief’, gemeenschappelijk referentiekader waarbij raad, college, samenleving en management met elkaar kunnen spreken over de risico’s en ook kansen. Het weerstandsvermogen kan daarbij dienen als een soort AEX-index die de uitkomsten van dit debat weergeeft. Het gaat niet zozeer om de ratio, maar veeleer om het debat. Het is duidelijk dat er veel factoren zijn die het weerstandsvermogen bepalen. Het getal van de ratio van het feitelijke vermogen is hierbij uiteindelijk geen doel op zich. Nee, de mythe van dit getal is zeker niet zaligmakend. Nee, het is eerder het vermogen van organisaties om met open vizier en transparant en vooral met lef de risico’s en onzekerheden te benoemen. En als we het daar over hebben, mag duidelijk zijn dat iedereen zijn eigen definities en regels hanteert, zodat het weerstandsvermogen vaker dan eens een schijnwerkelijkheid vertegenwoordigt. De handreiking die voor u ligt, is daarom een enorme stap in de goede richting. Het beoogt te standaardiseren, waardoor de dialoog beter wordt. Hierdoor neemt het gedeelde en geobjectiveerde collectieve besef van risico’s toe, evenals het inzicht in de mogelijkheden deze te minimaliseren. Het resultaat hiervan is een hogere kwaliteit van besluiten. Daarbij draagt zij bij aan de verbeteringen in het functioneren van organisaties en aan de verbetering van het openbaar bestuur. Het omvat de balans van hard- en soft controls, van cijfermatige en rationele benaderingen enerzijds en van openheid en eerlijkheid van bestuurders en managers anderzijds. Het systematisch borgen van de benaderingen van risico’s in organisaties is een uitdaging en staat nog maar in de kinderschoenen. Het met scherp leren schieten in de zeer complexe samenleving, met veel belangen en partijen, is een wetenschap, wellicht een kunst die we nog onvoldoende beheersen. Of is het nog iets wat wij beter kunnen inbedden in onze cultuur van besturen en beslissen. Ik ben er van overtuigd dat dit zo is. De handreiking helpt ons op weg, de ratio zet de maat en kwaliteit van het debat met als neerslag het weerstandsvermogen. De wijze waarop vertaling in uw organisaties plaats kan vinden zal mede bepalend zijn en zal ons tonen hoe snel de boeg door het water kan. Risicomanagement meer dan de som der delen

11

Want dat is het grote verschil met traditionele control: risico’s doen zich voor aan de boeg, terwijl de traditionele control zich in de machinekamer afspeelt. Aan de boeg doen zich de veranderingen voor. Als we dus scherp aan de wind willen varen of willen dat de boeg effectief door de golven snijdt is het duidelijk dat we de zekerheden en onzekerheden goed moeten kennen. Het zijn daarmee ‘drivers’ geworden voor veranderingen. Kennis en het managen van risico’s legt daarmee in belangrijke mate de basis voor innovatie en creativiteit. De handreiking is dan ook een goede eerste aanzet tot een nieuwe vorm van control. Één waarbij kansen en innovaties worden meegewogen, waarbij de maatschappelijke omgeving, de natuurlijke omgeving en de kennis van menselijk handelen, een veel dominantere rol speelt dan nu. Weerstandsvermogen gaat niet over geld. Nee, het gaat over bedrijfsvoering in brede zin en het gaat om externe focus op en kennis van netwerken in het bijzonder. Controllers zijn niet meer sec financiële experts. Controllers zijn we vanaf vandaag allemaal. En alleen door elkaars kennis te bundelen, worden we samen intelligenter. Deze handreiking beschouw ik als een eerste stap naar deze collectieve intelligentie! Voorzitter en oprichter van PRIMO (Public Risk Management Organisation) Nederland (april 2006 april 2009) President PRIMO Europe Gemeentesecretaris gemeente Roosendaal Ir. Jack P. Kruf

12


13

14

1. Inleiding

“Risicomanagement is voor mij een vorm van kwaliteitsmonitoring en – verbetering.” Jan Vermeule, gemeente Amersfoort Een effectieve bedrijfsvoering en een goede beheersing van risico’s is een essentiële randvoorwaarde voor het management om haar doelstellingen te halen. Proactiviteit richting de voorkant van de organisatie wordt steeds belangrijker om op die manier tijdig en adequaat ontwikkelingen en risico’s te kunnen signaleren en acties te kunnen benoemen. Het instrument risicomanagement biedt handvatten voor gemeenten om hun doelen te bereiken en aan de voorkant tijdig bij te sturen door risico’s in beeld te hebben en te houden. Governance is in dit verband de drijvende kracht achter risicomanagement. Kernthema’s zijn hierbij transparantie, verantwoording en zeggenschap. In onze transparante maatschappij worden bestuurders en management in toenemende mate afgerekend indien er iets in hun organisatie fout gaat. Het probleem is dat positief nieuws over het algemeen snel de directie bereikt, maar het potentiële slechte nieuws vaak in de managementlagen blijft hangen of van buiten komt. Voorkomen is in die gevallen beter dan genezen omdat externe druk vaak ongewilde en ad hoc reacties tot gevolg heeft. Beheersen van risico’s aan de voorkant draagt bij aan het verkleinen van de kans van externe druk waardoor de gemeente zelf in ‘control’ blijft.

Het identificeren van risicomanagement als een instrument tot doelrealisatie is – onder meer in het kader van public governance – ook onderkend door de wetgever. De Gemeentewet en Provinciewet van 2004 schrijft voor dat elke gemeente en provincie in Nederland verantwoordingsdocumenten en begrotingsdocumenten opstelt. Dit is vastgelegd in het Besluit begroting en verantwoording provincies en gemeenten (BBV 2004). Volgens dit besluit zijn provincies en gemeenten verplicht hun weerstandsvermogen (het vermogen risico’s te dekken) in kaart te brengen aan de hand van een overzicht van de risico’s (door het definiëren en uitwerken van één of meerdere risicoprofielen). Dit houdt in dat jaarlijks een paragraaf weerstandsvermogen dient te worden opgesteld in de beleidsbegroting waarin de weerstandscapaciteit (de middelen om de risico’s te dekken) wordt behandeld. Dit dient ertoe een beter en meer tijdig inzicht te geven in de risico’s waar gemeenten mee te maken hebben, opdat deze beter beheersbaar worden. Uit onderzoek blijkt dat sinds 2004 slechts 30 tot 40 procent van de gemeenten voldoet aan de eisen van het BBV1. Het grootste knelpunt dat naar voren komt, is dat gemeenten veelal niet in staat zijn hun risico’s te kwantificeren. Ervaringen leren dat gemeenten veelal hun risicomanagement beperken tot ’lijstjes maken en doorsturen van overzichten’. Gemeenten buiten de Randstad, en met name de relatief kleinere gemeenten, hebben een nog lager percentage dat voldoet aan de eisen van het BBV. Het Besluit begroting en verantwoording provincies en gemeenten richt zich op zowel gemeenten als provincies in Nederland.

Cultuur en een helder omschreven risicomanagementproces zijn noodzakelijk om potentiële verrassingen vroegtijdig naar boven te krijgen.

Smorenberg, O. 2006. Een norm voor

1

het weerstandsvermogen. B&G 4, 27-30 Risicomanagement meer dan de som der delen

15

Risicomanagement wordt gedefinieerd als het identificeren en kwantificeren van risico’s en het bepalen van activiteiten die de kans van optreden en/ of de gevolgen van risico’s beheersbaar houdt/maakt. 1.1 Waarom dit handboek? Dit handboek is de zesde in een serie van andere handboeken zoals die door Deloitte zijn uitgegeven rond het thema Governance. Als aansluiting en vervolg op de eerder uitgegeven handboeken is dit boek geschreven. Andere boeken in de reeks Gemeente Governance zijn Verbonden Partijen, Grond(ig) beleid, Fraude, Auditcommissie en De Jaarrekening. Veel literatuur is reeds beschikbaar met betrekking tot risicomanagement, maar deze literatuur is vooral theoretisch van aard. Dit handboek beoogt een meer praktische benadering te hanteren en is door en voor gemeenten geschreven. Samen met een aantal gemeenten is gesproken over de praktische vraagstukken rond risicomanagement. Hierbij heeft elke deelnemende gemeente een casus ingediend dat is gebruikt als onderbouwing en illustratie voor dit handboek. Gezamenlijk hebben deze casussen geholpen om te komen tot een uniforme denkwijze over risicomanagement die is verwerkt in dit handboek. Onder de deelnemers vallen het ministerie

Lokaal Bestuur

Managen van frauderisico’s geeft voorsprong!

Met dit handboek willen we de bewustwording van risicomanagement bij gemeenten bevorderen door middel van een heldere en praktisch toepasbare beschrijving van risicomanagement, weerstandsvermogen, risicomanagement in relatie tot governance en de cultuuromslag in het kader van risicomanagement. Dit wordt aangevuld met praktijkvoorbeelden. Een beleid met een oog voor het aspect risicomanagement geeft houvast en richting aan een organisatie en helpt om voorbereid te zijn op de mogelijke negatieve gevolgen van risico’s. 1.2 Wat is risicomanagement? Veel gemeenten zijn op dit moment bezig met het vormgeven van risicomanagement in de eigen organisatie. Dit levert in de praktijk vaak veel uitdagingen op. Sommige uitdagingen zijn heel specifiek, maar een groot deel is voor veel gemeenten vergelijkbaar. Dit is dan ook de aanleiding geweest om dit handboek te schrijven: het delen van ervaringen uit de praktijk en het geven van handreikingen om verschillende problemen en vraagstukken rond risicomanagement het hoofd te bieden. Een centraal thema bij het vormgeven van risicomanagement in de praktijk is niet – zoals misschien verwacht zou worden – het ontwikkelen van instrumentarium en het berekenen van de risico’s, maar juist het thema van implementatie en het verkrijgen van draagvlak voor het thema van risicomanagement.

Lokaal Bestuur

Gemeente Governance Grond(ig) beleid Grondbeleid, grondexploitaties en grondbedrijven grondig bekeken

Deloitte Wilgenbos 4 3311 JX Dordrecht Postbus 1165 3300 BD Dordrecht Telefoonnummer: Faxnummer: www.deloitte.nl

+31 (0)78 611 25 00 +31 (0)78 611 25 77

Deloitte refers to one or more of Deloitte Touche Tohmatsu, a Swiss Verein, and its network of member firms, each of which is a legally separate and independent entity. Please see www.deloitte.com/about for a detailed description of the legal structure of Deloitte Touche Tohmatsu and its member firms. Deloitte provides audit, tax, consulting, and financial advisory services to public and private clients spanning multiple industries. With a globally connected network of member firms in 140 countries, Deloitte brings world class capabilities and deep local expertise to help clients succeed wherever they operate. Deloitte’s 165,000 professionals are committed to becoming the standard of excellence. Deloitte’s professionals are unified by a collaborative culture that fosters integrity, outstanding value to markets and clients, commitment to each other, and strength from cultural diversity. They enjoy an environment of continuous learning, challenging experiences, and enriching career opportunities. Deloitte’s professionals are dedicated to strengthening corporate responsibility, building public trust, and making a positive impact in their communities. © 2009 Deloitte, Member of Deloitte Touche Tohmatsu Designed and produced by MCBD at Deloitte, Rotterdam.

16

Gemeente Governance - De jaarrekening Driedimensionaal bekeken

Gemeente Governance Fraude

van Binnenlandse Zaken en Koninkrijksrelaties en de gemeenten Amersfoort, Barendrecht, Breda, Doetinchem, Enschede, Middelburg, Oosterhout, Pijnacker-Nootdorp, Roosendaal en de Regio Zuid-Holland Zuid.

Gemeente Governance De jaarrekening Driedimensionaal bekeken


BEHEERSEN


3. Beheersmaatregelen

6. Continue Verbetering

4. Monitoren resultaten

TOEZICHT

6. Verbetering

Gemeenteraad

2. Risicoanalyse

innend/Groe Beg i en d 2. Risicoanalys e



VERANTWOORDING

Hoe geef je risicomanagement ‘handen en voeten’ in de organisatie (instrumentele borging) en hoe krijgen we risicomanagement ‘tussen de oren’ van mensen. Dit thema heeft een sterke cultuurveranderingscomponent. In dit handboek zullen we naast de handreikingen voor (instrumentele) invulling van risicomanagement in de organisatie derhalve ruime aandacht besteden (voornamelijk in hoofdstuk 4) aan cultuurverandering. Het risicomanagementproces begint met het benoemen van doelstellingen, het bepalen van de structuur en het inrichten van processen. Hierna volgt men de zes stappen van het risicomanagementproces (figuur 1.1). Zo wordt een gedegen, continu proces opgebouwd ten gunste van de verbetering van risicomanagement. Dit model vormt de leidraad van ons boek en wordt als uitwerking gepresenteerd in het boek. Waarom risicomanagement? De belangrijkste reden voor risicomanagement is om je doel te bereiken. Veelal bestaat het beeld dat het invoeren van risicomanagement een zware (extra) belasting vormt voor de organisatie. Door echter beheersmaatregelen te benoemen en deze uit te voeren voordat risico’s zich voordoen, is de kans groter dat uiteindelijk de doelstellingen worden bereikt. Bovendien zorgt een systeem van risicomanagement ervoor dat risico’s en beheersmaatregelen niet op een willekeurige, maar op een gestructureerde wijze worden geïnventariseerd. Hierdoor zal een completer beeld van de risico’s ontstaan en dit zorgt ook voor een deugdelijke implementatie en onderkenning van beheersmaatregelen. De kans om risico’s te missen wordt kleiner door de aandacht voor risico’s en een deugdelijke inventarisatie ervan. Juist door de alertheid


op en het inzicht in risico’s zal een organisatie meer ondernemerschap aan de dag kunnen leggen en hierdoor ook grotere risico’s, want meer beheerst, kunnen nemen. Of minder risico’s lopen waardoor er een kleiner beslag zal worden gelegd op het weerstandsvermogen.

o Be nito he ren r esultaten ers maa t re g e l e n

STUREN

Afg e b ak e n d/ G ead vanceerd

4.

M 3.

Figuur 1.1 Risicomanagement proces in relatie tot Governance

Het risicomanagementproces raakt zowel de financiële als de niet-financiële risico’s (wetgeving over bijv. milieu, ruimtelijke ordening, arbo). Het risicomanagementproces dient niet alleen om financiële en niet-financiële risico’s in kaart te brengen. Ook risico’s voortvloeiend uit externe ontwikkelingen en de bedrijfsvoering dienen te worden ingebed in het risicomanagement proces. Risico’s kunnen dus betrekking hebben op een breed pallet. Het kan gaan om risico’s in de reguliere exploitatie en bedrijfsvoering, risico’s binnen processen, risico’s van projecten, risico’s in de diverse programma’s en risico’s die van buiten komen. Het risicomanagementproces, zoals dat bij figuur 1.1 is weergegeven, is echter niet anders bij deze verschillende risicogebieden. De ervaring leert dat risicomanagement uitstekend te combineren is met andere initiatieven die moeten leiden tot doelbereiking en tevens verbeteringen in de kwaliteit van de bedrijfsvoering. Hierbij kan bijvoorbeeld gedacht worden aan prestatiemanagement en het INK-managementmodel. Deze twee concepten bespreken wij kort alvorens de samenhang met risicomanagement nader toe te lichten. Prestatiemanagement Bij prestatiemanagement worden de strategische beleidsdoelstellingen doorvertaald naar sturingsRisicomanagement meer dan de som der delen

17

en verantwoordingsinformatie. Op het hoogste (organisatie)niveau binnen de gemeente betekent dit dat allereerst per doelstelling antwoord wordt gegeven op de volgende vragen: • Wanneer is de doelstelling bereikt? en • Welke inspanningen zijn daarvoor kritisch?

Visie, Missie, Strategie

Strategische doelstellingen Functionele doelstellingen

De antwoorden op beide vragen zijn kritische succesfactoren (KSF’en). Deze kwalitatieve begrippen worden vervolgens vertaald in kwantitatieve kritische prestatie-indicatoren (KPI’s) (zie figuur 1.2) INK-managementmodel De INK-methodiek is erop geënt de organisatie te laten leren en (her)in te richten naar aanleiding van de uitkomsten van gekozen maatstaven. Hierdoor wordt een verbetercyclus in gang gezet. Het model bestaat uit een vijftal organisatiegebieden, een viertal resultaatgebieden en een feedback-lus (zie figuur 1.3). Hierbij is de wijze van invulling van de organisatiegebieden bepalend voor de mate waarin de resultaten van de organisatie worden behaald.

Operationele doelstelling

KSF

KPI

KSF

KPI

KSF

KPI

Management rapportage

Operationele informatie

Cruciale bedrijfsactiviteiten

Figuur 1.2 Model prestatiesturing

Samenhang risicomanagement, prestatiemanagement en INK-managementmodel De onderlinge samenhang tussen risicomanagement, prestatiemanagement en het INK-managementmodel komen tot uitdrukking in figuur 1.4. De gedachtengang achter deze figuur laat zich als volgt vertalen. Hoewel het INK-managementmodel een goede basis biedt om te komen tot verbetering in de bedrijfsvoering, laat de praktijk vaak zien dat (overheids)organisaties moeite hebben met het operationaliseren van dit model. Vaak komt dit door de (ervaren) complexiteit en het integrale karakter dat het INK-model draagt. Het vraagt een scherp inzicht in de samenhang van de genoemde elementen. Risicomanagement biedt hiervoor een uiterst efficiënte, effectieve en vooral praktische oplossing. De essentie van de koppeling van de drie modellen is dat door risicomanagement als integraal onderdeel van governance te zien het een structurelere en meer geborgde positie krijgt dan wanneer risicomanagement alleen in het kader van INK zou worden ingericht of enkel om het verkregen van een inzicht in de financiële positie. Door de koppeling van de verschillende modellen ontstaat een integraal beeld.

18

Waardering door personeel

Medewerkers

Leiderschap

Beleid & strategie

Middelenmanagement

Management van processen

Waardering door klanten

Eindresultaten

Waardering door maatschappij

Feedback Organisatiegebieden Figuur 1.3 INK-model

Resultaatgebieden

Visie, Missie, Strategie

STUREN

Strategische doelstellingen

BEHEERSEN



2. Risicoanalyse

Functionele doelstellingen

KSF

KPI

KSF

KPI

KSF

KPI

Management rapportage

6. Continue Verbetering Operationele doelstelling 4. Monitoren resultaten

TOEZICHT

Operationele informatie

5. Toezicht & Toetsing Cruciale bedrijfsactiviteiten

VERANTWOORDING

Waardering door personeel

Medewerkers

Leiderschap

Beleid & strategie

Management van processen

Waardering door klanten

Eindresultaten

Waardering door maatschappij

Middelenmanagement

Figuur 1.4 Feedback

Risicomanagement als instrument van doelbereiking

Organisatiegebieden

Resultaatgebieden Externe risico’s

De interne risico’s uit het (te ontwikkelen) gemeenschappelijke risicotaal kunnen worden toegewezen aan de vijf organisatiegebieden van het INK-managementmodel, aangevuld met een extra veld voor de externe risico’s (zie figuur 1.5). Dit resulteert in een overzicht waarin per organisatiegebied de mogelijk voorkomende risico’s worden weergegeven.

Maatschappelijke risico’s -

Verwachtingen cliënt/burger Belanghebbenden/stakeholders Technologische innovatie Afhankelijkheid van derden

Politiek bestuurlijke en legislatieve risico’s - Nieuwe weten regelgeving - Politiek signatuur (rijks)overheid - Naleving beleid/procedures door uitvoerders - Conflicterend overheidsbeleid

Leiderschap

Op basis hiervan kunnen vervolgens de belangrijke risico’s geïdentificeerd worden, die het behalen van de doelstellingen en prestaties - al dan niet vastgelegd in managementcontracten - kunnen belemmeren (resultaatgebieden van het INK-managementmodel). Het in kaart brengen van de oorzaken en consequenties van deze risico’s biedt vervolgens de basis om te komen tot verbeteracties. De verbetercyclus van de INK-methodiek krijgt op deze wijze een praktische en concrete invulling. Tevens wordt duidelijk inzichtelijk gemaakt wat de mogelijke gevolgen zijn van de risico’s op de te behalen prestaties en doelstellingen. Kortom, risicomanagement is een uitstekend instrument tot doelbereiking dat relatief eenvoudig gecombineerd kan worden met andere (bestaande) managementconcepten die leiden tot een verbetering van de bedrijfsvoering.

Figuur 1.5

- Leiderschapsstijl - Organisatiestructuur

- Bevoegdheden en verantwoordelijkheden

- Waarden en normen - Managementfraude

Medewerkers

Strategie & Beleid

Middelen

-

- Beleidsvorming - Interactieve beleidsvorming - Beleidsformulering - Beleidshaalbaarheid - Verantwoordingsrapportages - Toezicht op beleidsuitvoering - Prestatie-indicatoren - Managementrapportage - Aansluiting doelen - Financiële en operationele informatie Budgettering/begroting

FINANCIEEL - Contractering - Apparaatkosten - Verplichtingen - Programmakosten

Vermogen tot veranderen Kwaliteit personeel Integriteit Reputatie Motivatie Kwantiteit personeel Illegale activiteiten medewerkers - Arbeidsomstandigheden - Productiviteit - Incentives beleidsuitvoering

INFORMATIETECHNOLOGIE - Werking infrastructuur - Aansluiting infrastructuur ketenpertners - Tijdigheid - Beveiliging - Betrouwbaarheid - Relevantie - Toepasbaarheid

Processen -

Efficiency Projectmanagement Product/dienstenkwaliteit Interne communicatie en samenwerking - Cliënt/burgercommunicatie - Samenwerking ministeries

- Samenwerking college B&W - Samenwerking overige GD - Samenwerking uitvoeringsinstanties - Naleving beleid en procedures

- Naleving weten regelgeving - Imago - Productontwikkeling - Kennisdeling - Tevredenheid cliënt/ burger

Risico’s per organisatiegebied Risicomanagement meer dan de som der delen

19

Waarom willen we de uitkomsten van het risicomanagement vertalen naar een concreet bedrag, zijnde het weerstandsvermogen? Vaak stellen raadsleden en wethouders de vraag: hoe staan we ervoor als gemeente en hoe vermogend zijn we? Het antwoord op deze vragen blijft vaak uit, omdat het inzicht er onvoldoende blijkt te zijn. Het antwoord wordt bepaald door de financiële positie van uw gemeente in relatie tot het risicoprofiel van de gemeente. Hierbij moet opgemerkt worden dat enerzijds niet alle risico’s zijn te vertalen naar concrete geldbedragen. Anderzijds is het summum van risicomanagement niet de rekensom: hoeveel geld moeten we hebben voor het afdekken van de risico’s? Nee, gelukkig is het veel meer. Een degelijk systeem zorgt voor het werken aan een structurele verbetering en toename van beheersing, mede door krijgen van een beter inzicht van uw organisatie. Gebeurtenissen van de laatste jaren laten zien hoe belangrijk het is dat bekend is hoe de gemeente er voor staat wat betreft de risico’s en het weerstandsvermogen. Er zijn vele voorbeelden van gemeenten die geconfronteerd werden met onvoorziene risico’s met grote financiële consequenties. Een in het oog springend voorbeeld is de NoordZuid-lijn in Amsterdam. Dergelijke majeure projecten en hiermee samenhangende risico’s kunnen een aanzienlijk effect hebben op de financiële beleidsvrijheid van de gemeente, maar ook op het imago en de inrichting van de (project-)organisatie. Immers dergelijke majeure en unieke projecten vragen om een specifieke inrichting en aansturing. Hoe krijg je risicomanagement tussen de oren? Om risicomanagement ingebed te krijgen in het handelen van medewerkers is het van belang om risicomanagement explicieter onderdeel te laten uitmaken van de reguliere bedrijfsvoering. Een organisatie moet duidelijk voor ogen hebben wat risicomanagement inhoudt en wat het oplevert om risicomanagement te bedrijven. Dit vraagt om een cultuuromslag binnen veel organisaties. Dit cultuurelement is in onze optiek één van de belangrijkste kritische succesfactoren voor het succesvol implementeren en werkend houden van risicomanagement. Zie hiervoor ook hoofdstuk 4.4 en hoofdstuk 6.

20

Wat levert risicomanagement op? Eén van de belangrijkste voordelen is dat risicomanagement inzicht creëert in het functioneren van de organisatie: hoe snel reageert zij op wijzigende omstandigheden? Daarnaast draagt een adequaat risicomanagement bij aan het inzicht in en de realisatie van de gestelde doelen. Inzicht in risico’s en eventuele negatieve gevolgen hiervan kan zorgen voor een stabielere organisatie met een inzichtelijker toekomst en een beter beheerst beleid. Naast inzicht, creëert risicomanagement transparantie en beheersbaarheid. Transparantie in de risico’s die een organisatie loopt en beheersbaarheid hiervan. Niet geheel onbelangrijk levert risicomanagement ook geld op. Als je de risico’s van je organisatie vroegtijdig erkent en adequate maatregelen neemt kunnen negatieve gevolgen van bepaalde activiteiten worden voorkomen. Met dit handboek hebben wij tot doel om op een praktische wijze een start te maken met het invullen van risicomanagement binnen uw organisatie. Door middel van een overzichtelijke definiëring en praktische handreikingen kan dit handboek u helpen bij het bepalen wat risicomanagement voor uw organisatie betekent. Daarnaast kan het nuttig zijn bij het benoemen van wat uw organisatie wil bereiken met risicomanagement. Het kiezen van een praktische methode voor risicomanagement, de wijze van implementatie in de dagelijkse gang van zaken in uw gemeente en het bepalen van de wijze van rapportage, zijn belangrijke kaders bij de vormgeving van risicomanagement. Verder blijken in de praktijk het benoemen van een risicomanager en het verantwoordelijk maken van (integraal) managers verantwoordelijk voor zijn/haar risico’s versterkend te werken voor de effectiviteit van risicomanagement. Ook druk vanuit de ‘top’ van de organisatie helpt hierbij. Het gaat hierbij niet alleen om ‘systeemdruk’ (druk door middel van regels), maar risicomanagement kent tevens een belangrijk cultuurelement. Er moet anders gekeken worden naar de organisatie en de processen die daarbinnen vormkrijgen. 1.3 Leeswijzer In de volgende hoofdstukken wordt u als lezer geleid door de elementen van een adequaat en werkend systeem van risicomanagement. Aan het eind van dit handboek is een duidelijk beeld ontstaan van elk van de elementen voor een succesvolle opzet, rolverdeling,

implementatie, werking en de toegevoegde waarde van een systeem van risicomanagement. Na een korte omschrijving van risicomanagement (onder meer als instrument tot doelbereiking) en weerstandsvermogen in de inleiding wordt in hoofdstuk 2 dieper ingegaan op risicomanagement. In hoofdstuk 3 worden de governance-dimensies bij risicomanagement verder uitgewerkt. Gericht wordt ingegaan op sturing, beheersing, verantwoording en toezicht houden, de vier dimensies van governance. Op basis van de theorie wordt in dit hoofdstuk de basis gelegd voor risicomanagement. Veelal wordt gekeken naar de verbanden tussen risicomanagement en governance, het duale bestel, rechtmatigheid, rolverdeling en randvoorwaarden. Hoofdstuk 4 laat de stappen zien na implementatie. Hoe zorgt een organisatie voor een continu proces van verbetering? Hoe wordt risicomanagement een explicieter onderdeel van de bedrijfsvoering? Hoe kan vorm worden gegeven aan de cultuuromslag?

1.4 Wat is interessant voor welke doelgroep? Dit is een boekwerk geworden dat voor verschillende doelgroepen interessant is: gemeenteraden, colleges van B&W, gemeentesecretarissen, controllers en lijnorganisatie. Om het handboek toegankelijk te maken, hebben we in het onderstaande overzicht weergegeven welke hoofdstukken of paragrafen interessant zijn voor welke doelgroep. Het is uiteraard niet bedoeld om u te weerhouden het handboek in zijn geheel door te nemen. Doelgroep Interessante hoofdstukken/paragrafen Gemeenteraad

1, 2.1, 2.2, 2.3 en 3 Bijlagen: 5, 8, 10, 11 en 12

College van B&W

1, 2.1, 2.2, 2.3, 3.3, 4.1 en 4.2 Bijlagen: 5, 8, 10, 11 en 12

Controller/ risicomanager/-coördinator

1, 2, 3, 4, 5, 6 en 7 Bijlagen: 1 -12

Lijnorganisatie/ambtelijke organisatie

1, 2.1, 2.2, 2.3, 4.2, 4.3, 4.4, 4.5, 4.6, 5, 6 en 7 Bijlagen: 1-12

In hoofdstuk 5 wordt nader ingegaan op weerstandsvermogen. Wat wordt hieronder verstaan? Welke onderdelen spelen hierbij een rol? Wat zijn de mogelijkheden voor gemeenten om hier invulling aan te geven? Welke speelruimte ligt er binnen de elementen van weerstandsvermogen? Nadat de belangrijke elementen bij de invoering van risicomanagement zijn behandeld, laat hoofdstuk 6 de valkuilen in de praktijk zien. Waar lopen organisaties tegen aan? Wat kan er mis gaan en hoe is dit te ondervangen? Vervolgens worden in hoofdstuk 7 aan de hand van een aantal thema’s voorbeelden geschetst van hoe risicomanagement vorm kan krijgen in de praktijk. Tenslotte bevat dit handboek een flink aantal bijlagen met praktische voorbeelden, handreikingen, checklists en overzichten die behulpzaam kunnen zijn bij het verder vormgeven van risicomanagement in uw eigen organisatie.


21

22

2. Risicomanagement

In dit hoofdstuk gaan we dieper in op de term risicomanagement. Hierna behandelen we de aspecten van governance, het gebruik van risicomanagement voor continue verbetering, de bepaling van het weerstandsvermogen, de valkuilen in de praktijk en het weergeven van casuïstiek. Dit hoofdstuk richt zich bovendien op de risicomanagementsystemen en doelen en doelgroepen. Risicomanagement wordt gedefinieerd als het identificeren en kwantificeren van risico’s en het bepalen van activiteiten die de kans van optreden en/of de gevolgen van risico’s beheersbaar houdt/maakt.

Conform artikel 11 BBV dient in de paragraaf weerstandsvermogen in ieder geval te worden opgenomen: a) een inventarisatie van de (weerstands)capaciteit, b) een inventarisatie van de risico’s en c) het beleid omtrent de (weerstands)capaciteit en de risico’s. In figuur 2.1 wordt de mogelijke opbouw van de paragraaf weerstandsvermogen getoond. Uiteindelijk dienen slechts de risico’s van materiële (belangrijke financiële) betekenis te worden afgezet tegen de weerstandscapaciteit. Risico’s waar beheersingsmaatregelen (verzekeringen, maatregelen in de AO-IC) tegenover staan en die concreet in geld kunnen worden uitgedrukt en vervolgens zijn geconcretiseerd door middel van een voorziening dienen buiten beschouwing te blijven.

Model financiële verordening: - Weerstandscapaciteit - Toereikendheid weerstandscapaciteit bij schade en verliezen als gevolg van risico’s van materieel belang Beheers Maatregelen

Doelstellingen

Bruto risico

Reguliere risico’s

Kwantificeerbaar

Niet goed Kwantificeerbaar

Netto risico NietReguliere risico’s

Kwantificeerbaar

Voorziening

Van geringe betekenis Materiële betekenis Voorziening

Weerstandscapaciteit

2.1 Wet- en regelgeving: eisen in het kader van risicomanagement Met het inwerking treden van het Besluit Begroting en Verantwoording Provincies en Gemeenten (BBV) per 1 januari 2004, zijn gemeenten verplicht om aandacht te besteden aan het risicoprofiel van de gemeente en dit te plaatsen in relatie tot het weerstandsvermogen. Deze nieuwe regelgeving met betrekking tot begroting en verantwoording verplicht gemeenten om een duidelijke koppeling te maken tussen de risico’s die worden gelopen en het aanhouden van een financiële buffer (beschikbare weerstandscapaciteit).

BBV: - Inventarisatie weerstandscapaciteit - Inventarisatie risico’s - Beleid omtrent weerstandscapaciteit en risico’s

Figuur 2.1: Opbouw weerstandsvermogen 2.2 Risicomanagement en ISO Ook in internationaal perspectief staat risicomanagement sterk in de belangstelling. De International Organization for Standardization (ISO) en de International Electrotechnical Commission (IEC) bereiden drie richtlijnen voor op dit gebied. Het betreft de volgende aspecten: • termen en definities (ISO/IEC Guide 73), • richtlijnen voor de implementatie (ISO 31000) en • methoden voor risicobeoordeling (IEC 31010). De beide organisaties hebben twee doelstellingen met het formuleren van deze normering: het bieden van een normenkader voor de implementatie van risicomanagement en het creëren van een ‘kapstok’ voor sectorspecifieke ISO-normen. Belangrijk aan deze ontwikkeling is vooral dat de drie aspecten samen worden ontwikkeld: de definities moeten aansluiten op de richtlijnen voor implementatie en de methoden voor risicobeoordeling. Hiermee wordt in de ISO-normen een handvat gecreëerd voor integraal risicomanagement. Risicomanagement meer dan de som der delen

23

De essentie van de invulling van termen en definities, is dat risico’s breder moeten worden gedefinieerd dan ‘oorzaak’ en ‘gevolg’ en ‘kans x gevolg’. In de navolgende hoofdstukken wordt dit dan ook als leidraad uitgewerkt: het gaat verder dan een mathematische exercitie. Bij de uitwerking van de richtlijnen wordt een onderscheid gemaakt tussen de principes, het raamwerk en het proces. De samenhang tussen deze onderdelen en de kernbegrippen zijn vanuit ISO-31000: (Zie figuur 2.2) De elf basisprincipes van ISO 310002 die leidend zijn: 1 Risicomanagement creëert waarde 2 Het is een integraal onderdeel van de bedrijfsprocessen 3 Het is onderdeel van de besluitvorming 4 Het richt zich expliciet op onzekerheden 5 Het is systematisch, gestructureerd en tijdig 6 Het is gebaseerd op de best beschikbare informatie 7 Het is op maat gesneden 8 Het houdt rekening met menselijke en culturele omstandigheden 9 Het is transparant en overal aanwezig 10 Het is dynamisch, interactief en reageert op verandering 11 Het faciliteert voortdurende verbetering en versterking van de organisatie Vervolgens wordt aan de hand van het Risk Management Framework van ISO-31000 uitgewerkt hoe het raamwerk en het proces vorm kan krijgen. In essentie sluiten de uitgangspunten van deze ISO-norm aan bij de uitgangspunten van dit handboek. De methoden worden op twee manieren geclassificeerd. Ten eerste: op welke stappen van het risicobeoordelingsproces hebben ze betrekking? Ten tweede wordt gekeken naar de volgende parameters: benodigde middelen en expertise, de mate van zekerheid en exactheid van de uitkomsten en de geschiktheid voor complexe risicosituaties. Op die manier ontstaat een handig spoorboekje om een weg te vinden in de vele methoden en technieken van risicobeoordeling. (Zie figuur 2.3) 2

ISO Norm risicomanagement, de Accountant April 2009

24

Mandaat en commitment Ontwerp van het raamwerk - Begrijpen van de organisatie en haar context - Risicomanagementbeleid - Integratie in de processen van de organisatie - Toerekenbaarheid (accountability) - Middelen - Vaststellen van mechanismen voor interne en externe communicatie en consultatie

Continue verbetering van het raamwerk

Implementeren van risicomanagement - Implementeren van het raamwerk - Implementeren van de risicomanagementprocessen

Monitoring en review van het raamwerk Figuur 2.2: 11 Principes in samenhang

Stappen in risicomanangement proces - risico-identificatie - effectanalyse, - kansanalyse, - risicoschatting en - risico-evaluatie - benodigde middelen en expertise, - de mate van zekerheid en exactheid van de uitkomsten en de - geschiktheid voor complexe risicosituaties

Figuur 2.3 Classificatie langs twee lijnen

Methoden van risicomanagement

2.3 Risicomanagementraamwerk Zoals in de inleiding (hoofdstuk 1) staat, voldoet slechts 30 tot 40 procent van alle gemeenten in Nederland aan de eisen van het BBV. Maar hoe kunnen we risicomanagement nader definiëren? Waar bestaat het uit en waar is het mee te vergelijken? Wanneer voldoet een organisatie aan de eisen van het BBV? Om deze vragen te beantwoorden en risicomanagement inzichtelijker te maken, beginnen we met het risicomanagementraamwerk. Dit bestaat uit een aantal stappen die leiden tot ontwikkeling in risicomanagement. Het genoemde raamwerk is weergegeven in figuur 2.4 waarbinnen de taken en verantwoordelijkheden van de gemeenteraad, college en management zijn weergegeven.


o Be nito h e re n r esultaten ers maa t re g e l e n

6. Verbetering

Ook voor gemeenten is de ontwikkeling van deze ISO- en IEC-normen van belang, omdat ze de opmaat vormen voor sectorspecifieke ISO-normering en tevens een handreiking kunnen vormen voor de invulling van risicomanagement in de eigen organisatie.


1. Kaderstelling & Strategie Gemeenteraad

Doel van deze classificatie is om te komen tot een toegankelijk en transparant overzicht van de methoden die beschikbaar zijn en welke het best toepasbaar zijn voor welke organisatie.



4.

M 3.

Figuur 2.4 Risicomanagement raamwerk

Het risicomanagement proces bestaat uit zes stappen, namelijk: • kaderstelling en strategie, • risicoanalyse, • beheersmaatregelen • monitoren resultaten, • toezicht en toetsing, • verbetering. Om een goed beeld te krijgen worden deze stappen hieronder toegelicht. 2.3.1 Kaderstelling en Strategie De eerste keuze die een organisatie moet maken heeft te maken met beleid (kaderstelling en strategie). Welke normen gelden er? Welke risico’s zijn we bereid te accepteren en hoe pakken we op hoofdlijnen risicomanagement aan in de organisatie? Ook vraagstukken als rapportering en besluitvorming krijgen hier natuurlijk de aandacht. Een organisatie kan ervoor kiezen risicomanagement vanuit een procesinvalshoek of een programma-invalshoek te benaderen. Als Risicomanagement meer dan de som der delen

25

een organisatie de processen binnen de organisatie heeft vastgelegd is de procesinvalshoek een goede keuze. Een alternatief en meer voor de hand liggende keuze is de programinvalshoek (ook in het licht van risicomanagement als instrument tot doelbereiking, zie hoofdstuk 1). Het inventariseren van risico’s kan plaatsvinden langs een zekere hiërarchie zoals deze is te onderkennen. Zo kunnen risico’s worden bezien langs de lijnen van: • Producten • Projecten • Programma’s • Afdelingen • Processen • Activiteiten • Thema’s • Externe ontwikkelingen Het is op zich niet zo belangrijk welke ingang of volgorde wordt gekozen. Als er maar wordt gekozen voor die gebieden waarop de grootste risico’s worden gezien én waarbij nadrukkelijk wordt gekeken naar de verschillende dimensies van risico’s zoals op juridisch gebied, imago, milieu of financiën. Na het opstellen van het raamwerk is het van belang om realistische doelen te stellen. Periodiek wordt, op basis van de 212-verordening, de kaders en strategie met betrekking tot het risicobeleid bepaald. Dit zijn de kaders, door de gemeenteraad vastgesteld, waarbinnen het college van B&W en management team (B&W/MT) mogen werken. Dit kan bijvoorbeeld door het opstellen van een nota risicomanagement. Hierin is bijvoorbeeld opgenomen wat het gewenste en geaccepteerde risicobeleid en risicoprofiel van de gemeente is, waar middelen voor zijn gereserveerd (dekkingsbeleid), wat de frequentie is van informatievoorziening over de ontwikkeling van de risico’s en op welke wijze periodieke inventarisatie en monitoring moet plaatsvinden. De planning & control documenten zoals de begroting, jaarrekening en bestuursrapportages geven periodiek weer wat de actuele stand van zaken is in dit kader en wat de voornemens zijn.

26

De voorzitter van een Amsterdamse stadsdeel is opgestapt met onmiddellijke ingang na nieuwe informatie over de financiering van het stadsdeelkantoor. De bouw van het nieuwe stadsdeelkantoor gaat waarschijnlijk meer geld kosten dan de ruim acht miljoen euro dat de deelraad in november verstrekte. Verdere kosten zouden voor het risico van de aannemer zijn, benadrukte de voorzitter in november. Nu blijkt dat deze toezegging niet contractueel is vastgelegd en dat het stadsdeel nog een onbekend financieel risico loopt.

2.3.2 Risicoanalyse Op basis van de kaderstelling en strategie en de genoemde doelstellingen werkt het College van Burgemeester & Wethouders/Management Team (B&W/MT) de notitie, de acties, de risicovelden en het voorgestaan beleid in details uit. Dit is een belangrijke stap. Wat voorheen investeringen en activiteiten waren, wordt nu een risicoanalyse van de investeringen. Die moeten leiden tot het behalen van de strategiedoelstellingen. Er wordt nagegaan wat het mogelijke effect (risico) is van de investeringen en activiteiten op de organisatie. Kleven er mogelijke (negatieve) gevolgen aan? En wat is de kans daar op? Dit ligt zeer dicht tegen de beleidsafwegingen aan die de gemeenteraad maakt en het is daarom ook aan hen om dit mee te nemen. De impact vermenigvuldigd met de kans is het risico. Het totaal aan risico’s, eventueel ook nog rekening houdend met de onderlinge afhankelijkheid en beïnvloedbaarheid van de risico’s op elkaar, vormt het risicoprofiel. Ook moet hier uiteraard nog rekening worden gehouden met het mitigerend effect dat beheersmaatregelen hebben op de bruto risico’s, dus zonder maatregelen. Hierover later meer. Organisatorisch kan op verschillende niveaus worden ingegaan op de risico’s. Zo heeft de gemeenteraad

Risicoanalyse: Vaststellen van het werkveld Doelstellingen Inventariseren risico’s

• • • • • • • • • •

(deel van) organisatie (deel van) processen Specifieke thema’s, projecten Dimensies (juridisch, politiek, etc.) Opstellen doelenhierarchie Strategisch, tactisch, operationeel Prioriteit Risicofactoren Risico-objecten Schade

voldoende aan een globaal risicoprofiel, terwijl het management of college een meer gedetailleerd risicoprofiel wil om meer inzicht te krijgen en later ook om nadrukkelijk te kunnen sturen en te beheersen. Van belang is deze stap goed te nemen, want een vergissing of een onvoldoende inzicht kan grote politieke en financiële consequenties hebben. Echter niet alle risico’s zijn eenvoudig te kwantificeren in omvang of kans. Het gaat in dit verband bijvoorbeeld over de indirecte schade (imago) en mogelijke aansprakelijkheidsrisico’s die bestaan vanuit de verantwoordelijkheid voor het handelen als overheid (als goede ‘huisvader’ in de sfeer van bijvoorbeeld wegbeheer en klachten). In het laatste voorbeeld is er sprake van een nog onbekende gebeurtenis met een onbekende wederpartij en van nog onbekende belangen. Het is dan ook van belang dat dergelijke risico’s zo goed mogelijk in kaart worden gebracht en door de gehele organisatie worden gevolgd. Ook is in dit kader van belang dat de analyse van risico’s continu plaatsvindt en er steeds opnieuw wordt bepaald wat de mogelijke risico’s zijn. Kortom, is er een mutatie opgetreden ten opzichte van voorgaande risico’s? Om lastig kwantificeerbare en niet direct in het oog springende risico’s in beeld te krijgen, wordt de organisatie uitgedaagd om ‘out of the box’ te denken. De analyse van de risico’s van de organisatie begint bij het vaststellen van het werkveld. Nemen we de organisatie als geheel of analyseren we delen van de gemeentelijke organisatie? Dit is ook mede afhankelijk van de keuze tussen de verschillende invalshoeken (proces of programma). Belangrijk voor een organisatie is te bepalen in welke mate en met welke diepgang de risicoanalyse moet worden uitgevoerd. Elk risico van de organisatie in kaart brengen kan veel inzicht bieden, maar kost veel tijd en energie en daarom ook geld. Een te globale analyse kan betekenen dat een aantal (belangrijke) risico’s over het hoofd wordt gezien. Dit kan ernstige gevolgen hebben. Er moet daarom een keuze worden gemaakt over het detailniveau (het ’werkveld’). Hierbij kan gebruik worden gemaakt van de processtappen zoals deze zijn gepresenteerd in paragraaf 1.2 en de praktijkhandreikingen zoals deze ook in de bijlagen van dit handboek aan de orde komen.

Uit: ‘de goden verzoeken’ – Het opmerkelijk verhaal van een risico Peter L. Bernstein “In de moderne samenleving is het van cruciaal belang om te kunnen bepalen wat er in de toekomst kan gebeuren en keuze te maken uit de verschillende mogelijkheden. De gevolgen van foute beslissingen zijn verstrekkend, de kansen en uitdagingen oneindig voor wie risico durft te nemen. Op alle mogelijke maatschappelijke terreinen helpt het vermogen om risico’s te beheersen ons in onze besluitvorming: het moedigt ons aan om risico te nemen en vooruitziende keuzen te maken; het is een cruciale factor in de stuwkracht van het economisch verkeer.”

Als het werkveld is bepaald, begint het inventariseren van de risico’s. Wat zijn de risicofactoren en de risicoobjecten? Wat is het eventuele (negatieve) gevolg van het risico? Afhankelijk van het werkveld en de strategie ontstaat er een overzicht van de risico’s (de risicokaart) voor de organisatie die per proces of programma zijn geselecteerd. Een risico is niet per definitie negatief voor een project, het kan ook positief zijn. Negatief zijn bijvoorbeeld risico’s die leiden tot extra kosten of een langere doorlooptijd. Positieve risico’s zijn bijvoorbeeld kwaliteitsverbeteringen door de inzet van nieuwe technologie, mogelijk te verkrijgen subsidies. In de onderstaande tabel is een aantal voorbeelden opgenomen.

Positieve risico’s

Negatieve risico’s

Kwaliteitsverbetering Versnellen Temporiseren Eerste aanbieder/pionier Nieuw product Imago Personeel (aantrekkelijkheid als werkgever) Kansen

Financiële schade Politiek/bestuurlijk/imago Personeel Milieu


27

In figuur 2.5 zijn de te nemen maatregelen weergegeven na weging (kans en omvang/impact) van de risico’s. Als de kans dat een risico zich voordoet en de eventuele omvang van de schade klein is, dan is het efficiënt om het risico te laten voor wat het is en risicomanagement te richten op de overige risico’s. Als de kans groot is dat het risico zich voordoet en de omvang van de schade is ook groot, dan kan het advies zijn om de activiteit stop te zetten. Dit geldt zeker wanneer geen adequate beheersmaatregelen zijn te treffen om of de kans of de omvang van de schade te beperken. Voor de andere twee gevallen is een aanpassing van de activiteit of verzekering voldoende om het risico te dekken. Wanneer de kans klein is dat zich een schade voor gaat doen, maar de omvang is groot dan is het vermoedelijk niet rationeel om hiervoor permanente beheersmaatregelen te treffen. Deze maatregelen zouden dan veel geld kosten voor iets wat zich nagenoeg nooit manifesteert, zoals stormschade. Bij die situaties waarbij de kans groot is en de schade klein moet nagegaan worden (omdat het risico zich klaarblijkelijk vaak manifesteert) of het proces aangepast moet worden. Die zie je wanneer er zeer vaak/ veel bezwaarschriften komen bij het taxeren van de WOZ-waarde of bouwvergunningen. Aan de hand van de risicoanalyse wordt voor elk risico een kwantificering gemaakt. Hier zijn verschillende systemen voor beschikbaar.

Risicomanagement en verbonden partijen: SW -bedrijf (Sociale Werkvoorziening) In het licht van veranderende weten regelgeving (nieuwe WSW met ingang van 2008), teruglopende resultaten van het SW-bedrijf en een aanscherping van het risicomanagement binnen een gemeente in het midden van het land heeft de gemeente het risicomanagement rond de WSW eens kritisch tegen het licht gehouden. Hierbij is aandacht besteed aan de risico’s die te signaleren zijn, maar tevens aan de te ondernemen acties om deze risico’s af te dekken. Dit heeft geresulteerd in de volgende inzichten: • Een risicoprofiel: risico, kans, impact, effect, maatregel en verantwoordelijke per risico • Een marsroute tot verbetering: wat moet de gemeente wanneer doen om het risicomanagement op dit terrein te verbeteren? • Een grafisch risicoprofiel

5

Marktoperen SW-bedrijf Transparantie & Prestatiesturing Meerjarig perspectief Risicoraamwerk Binding FinancieringsEfficiëntie Autonomie vanuit relatie SW gemeenten bedrijf Vrijheid vs gebondenheid

Impact

De risicoweging of kwantificering van risico’s kan op verschillende manieren. Meerdere systemen zijn beschikbaar op de markt om risico’s te kwantificeren. Welk systeem of methode er ook wordt gebruikt, in bijna alle gevallen is sprake van een vermenigvuldiging van kans en gevolg. Het gevolg is de eventuele schade als het risico zich daadwerkelijk voordoet. De kans is de waarschijnlijkheid uitgedrukt in een percentage dat het risico zich daadwerkelijk voordoet. De kans vermenigvuldigt met het gevolg geeft de impact van het risico weer.

Processen TVB 1 1

Kans

maatregelmatrix

omvang schade

groot

klein

groot

activiteit stopzetten

process aanpassen

klein

verzekeren

geen aandacht geven

kans

Figuur 2.5 Maatregelmatrix

28

5

Gebruikte systemen voor risicomanagement binnen de overheidsector zijn onder anderen COELO en NARIS. Naast deze systemen zijn er nog meerdere methoden en systemen beschikbaar, maar er zijn ook systemen die organisaties zelf kunnen opzetten en uitvoeren. Één daarvan is de berekening van kans, frequentie (het verwacht aantal keren dat een risico zich voordoet), impact (de effecten van een risico in financiële of andere zin) en gevolg schade (uitkomst van de voorgaande begrippen). Zo kunnen voor elk proces of programma verschillende scenario’s worden meegenomen in de risicoberekening. Voor een activiteit kunnen bijvoorbeeld drie verschillende hoogtes van schadeposten worden genomen: hoog, gemiddeld en laag. Onder normale omstandigheden hoort bij een hoge schadepost een lage kans en frequentie. Uit de vermenigvuldiging van kans, frequentie en schadepost komt een risicobedrag. De drie risicobedragen opgeteld, vormen het totale risicobedrag van het proces of programma. Een voorbeeld van deze berekening is gegeven in figuur 2.6. Hierbij moet er uiteindelijk wel rekening mee worden gehouden dat de geïdentificeerde en gesommeerde risico’s zich zeker niet altijd tegelijkertijd zullen voordoen. Met deze wetenschap moet ook rekening worden gehouden bij het uiteindelijk bepalen van de noodzakelijke omvang van de weerstandsvermogen. Hieronder staat een voorbeeld dat per organisatie aangepast kan worden aan specifieke eigenschappen en/of wensen.

Risicoweging: Kwantificering risico’s Beoordelen en selecteren risico’s

• Kansen • Frequenties • Hoogte schade • norm (hoog, gemiddeld, laag) • kans X schade • kans X norm • historische afwijkingen producten • NARIS • Berekenen verwachte waarde • Berekening spreiding • Prioritering risico’s • Risicohouding

NARIS NARIS, het risicomanagementinformatiesysteem van het Nederlands Adviesbureau voor Risicomanagement (NAR). NARIS is een opslagplaats waar veel gegevens van gemeenten zijn opgeslagen. Zo bevat de centrale database 80% van de bekende risico’s en maatregelen binnen de overheid. Dit heeft als voordeel dat gemeenten een overzicht krijgen gepresenteerd van bekende risico’s en de beheersmaatregelen. Het systeem dat hier voor gebruikt wordt, houdt ook wijzigingen in de gaten wat risicomanagement een meer continue inval geeft. COELO Centrum voor Onderzoek van de Economie van de Lagere Overheden (COELO) voert verschillende onderzoeken uit op het gebied van risico’s en weerstandsvermogen bij de lagere overheden. Uit deze onderzoeken is een hulpmiddel voor weerstandsvermogen ontworpen dat gebaseerd is op een technische analyse van de onderzoeksresultaten. Zo worden gemiddelde waardes en afwijkingen over meerdere jaren bepaald van producten van een gemeente die overheden kunnen gebruiken bij het schatten van risico’s en weerstandsvermogen.

Risicomanager/-eenheid

kans

frequentie

impact

= gevolg

0,1

0,2

100.000

2000

0,5

0,6

50.000

12000

0,7

1,0

20.000

14000 31000

Algemeen Juridische Zaken - Juridisch Control: - Risico - Etc.

Maatschappelijke Ontwikkeling - Werk & Inkomen: - Risico - Etc.

Financiële Planning & Control - Belasting: - Risico - Etc.

Etcetera

- Beleid: - Risico - Etc.

- Beleid: - Risico - Etc.

- Grondzaken: - Risico - Etc.

- Etcetera: - Risico - Etc.

Figuur 2.6

Figuur 2.7

Voorbeeld berekening

Risicoprofiel

- Milieu: - Risico - Etc.


29

2.3.3 Beheersmaatregelen Zodra de risicoanalyse van de organisatie is gemaakt, moeten beheersmaatregelen en acties worden benoemd om de risico’s continu te kunnen beheersen. Deze maatregelen bestaan uit instrumenten. Dit vertaalt zich in een bewustzijn en daarna in bepaalde vaardigheden. Voorbeelden hiervan zijn: pro-activiteit, een brede blik en continue monitoring. Dit is de derde stap van het risicomanagementproces. Een gedeelte van de risico’s kan misschien makkelijk ondervangen worden door verzekeringen of uitbestedingen, voor andere risico’s dienen meer ingewikkelde oplossingen te worden gezocht. Of de gemeenteraad c.q. het college van B&W kan beslissen bewust een aantal risico’s te aanvaarden. Naarmate een organisatie meer ervaring krijgt in risicomanagement versoepelt het proces van vaardigheden ontwikkelen. Beheersmaatregelen zijn te onderscheiden in de zogenaamde hard controls en soft controls. De hard controls zijn te definiëren als meetbare afspraken en richtlijnen waarvan wordt vastgesteld dat deze nageleefd zijn. Het meten van deze controls is vaak objectief , omdat het afgesproken spelregels zijn binnen een organisatie. De Heus en Stremmelaar3 hebben soft controls als volgt gedefinieerd: “Een beheersingsmaatregel die meer dan hard controls ingrijpt op c.q. appelleert aan het persoonlijk functioneren van de medewerkers. Soft controls zijn op te vatten als maatregelen die van invloed zijn op bijvoorbeeld motivatie, loyaliteit, integriteit, inspiratie en normen en waarden van medewerkers.”

3

“Auditen van soft controls”, R.S. de Heus, M.T.L. Stremmelaar, 2000

30

Voorbeelden van hard en soft controls zijn: Hard controls

Soft controls

Procedurebeschrijvingen Handboeken Prikklok Wetgeving Functieprofiel Code of conduct Beleid nevenfuncties

Uitdragen Bevorderen bepaald gedrag Loyaliteit en houding Respect Competenties Tone at the top Transparant

Ook hiervoor worden de beheersmaatregelen ontworpen. Dit kan onder andere door middel van een administratieve organisatie (AO/IB, kwaliteit instrumentarium) waarmee een meer transparante organisatie ontstaat. Hierbinnen wordt interne controle en toezicht opgesteld. De administratieve organisatie is vooral bedoeld voor risico’s die vanuit de organisatie worden veroorzaakt. Voor onder andere externe risico’s kan men verzekeringen sluiten, bepaalde voorzieningen treffen en/of reserves opzij leggen. Voor de risico’s die niet (geheel) kunnen worden afgedekt door middel van verzekeringen, voorzieningen, contracten en prestatieafspraken kan een organisatie ervoor kiezen -naast uiteraard het treffen van de nodige beheersmaatregelen.- voor het afdekken ervan door de weerstandscapaciteit op te bouwen.

1

2

3

4

5

6

7

8

9

10

11

12

13

A

�

B C D

� � � �

�

� � � �

�

�

Processen E F G H I

� �

Belangrijkste risico’s

Belangrijkste risico’s in specifieke processen

Figuur 2.8

Hoog

Risico’s en beheersmaatregelen.

Ramp

rechtmatigheid

fraude

centrumplan

wegen samenwerkings Transparantie beleidsplan & verbanden Meerjarig perspectief planschade grond claims exploitatie

Wet Werk en bijstand Impact

Naar aanleiding van de vorige stappen dient een risicoplan te worden opgesteld. Hierin wordt aangegeven welke risico’s geïdentificeerd zijn en wat de gekozen maatregelen zijn om de risico’s te beheersen. Een risicoprofiel kan visueel worden gemaakt door waarschijnlijkheid van optreden en de financiële impact aan de risico’s te koppelen. Op deze manier ontstaat er, wanneer een complete inventarisatie is uitgevoerd, een overzicht dat in één oogopslag laat zien hoe de organisatie er voor staat. In figuur 2.9 is hiervan een voorbeeld gegeven.

Risico’s

wet en regelgeving

openbare orde veiligheid planning & control liquiditeit

Laag

Bijna elke beheersmaatregel heeft een financiële impact op de bedrijfsvoering. Mede hierdoor is het noodzakelijk dat voor elke maatregel een kostenbatenanalyse wordt gemaakt. Het kan voorkomen dat de beheersmaatregel dusdanig geld kost, dat het gelijk of zelfs hoger is dan het gelopen risico. Zo kan worden bepaald welke beheersmaatregel passend is binnen het beleid. Hierna wordt gekeken of de beheersmaatregelen afdoende zijn en of er nog gevolgen zijn van de risico’s, weergegeven in figuur 2.8.

Laag

schoolvervoer

Waarschijnlijkheid

Hoog

Figuur 2.9 Risicoprofiel


31

Risicobeheersing: Risico’s bij grote projecten Een gemeente heeft in het licht van stedelijke ontwikkeling het initiatief genomen tot het opzetten van een Huis van Cultuur, waarin een muziekschool, een theater, een filmhuis en een bibliotheek worden ondergebracht. Het project is politiek-bestuurlijk een beladen project: het is centraal gelegen, er is een aantal belangrijke voorzieningen betrokken, het betreft een fors investeringsbedrag en als het project slaagt, is sprake van een uitstraling naar de regio. Gezien het belang is er relatief veel aandacht besteed aan risico’s (financieel en bestuurlijk) en onderzoek. De gemeente heeft verzocht het risicomanagement rond het project te inventariseren en te bekijken of hierbij leerpunten zijn te formuleren die eventueel hun uitwerking hebben op de rest van de organisatie. Deze inventarisatie heeft geleid tot een aantal generieke aandachtspunten, maar heeft tevens geleid tot specifieke handreikingen voor het project zelf. 1. • • • • • • • •

Generieke aandachtspunten en risico’s: Behoud van kennis en expertise in eigen huis Procesdefinitie en functiescheiding in het project (in beperkte mate) Kwaliteit van medewerkers moeilijk te borgen Risicoattitude in cultuur en aanspreekgedrag Controle en bijsturing op het project onvoldoende formeel geborgd Ontbreken formeel risicomanagement raamwerk Borgen projectmatig werken in organisatie Ontbreken gesystematiseerde risicokwanticering en geformuleerde maatregelen

2. Voor het project zelf zijn de volgende risico’s geïdentificeerd: • Continuïteit: bezetting in het project kent een uiterst hoog verloop • Bestuurlijk draagvlak en eenduidigheid in ‘ownership’ • De vier betrokken partijen op één lijn krijgen en houden vormt een continue uitdaging (en daarmee een afbreukrisico) • Borging kennis en ervaringen project

5 Continuiteit bezetting Borging kennis Risicoraamwerk Impact

Kwaliteitsmedewerkers Risicoattitude & aanspreekgedrag

Meerdere partijen

Controle & sturing

Risicokwanticering Projectmatig werken Procesdefinitie & funktiescheiding

1 1

32

Kans

2.3.4 Monitoren Resultaten Omdat het speelveld van de publieke sector en dus van ook van een gemeente/gemeentelijke organisatie continu verandert en daarmee ook de risico’s, moet continu een systeem van monitoring aanwezig zijn die de risico’s in beeld heeft. Nieuwe risico’s kunnen ontstaan door een wijziging in het beleid, nieuwe projecten, aanpassing van de projectscope of de omgeving. Risico’s kunnen toenemen door een verandering van de tijdsplanning, aanpassing van economische omstandigheden, enzovoort. Dit betekent dat men waakzaam moet zijn over de ontwikkeling van de risico’s, wat overigens niet inhoudt dat elk relatief klein risico continu dient te worden gecontroleerd. Wel moet men bewust zijn van het kunnen wijzigen van risico’s en dat daar op in dient te worden gespeeld. Dit is stap 4: monitoren resultaten. Het doel van continue monitoring is om tijdig (wijzigingen in) risico’s te signaleren, adequate maatregelen te kunnen treffen en waar nodig bij te sturen. Uitgangspunt hierbij is dat hoe eerder een (wijziging in een) risico wordt gesignaleerd, hoe beter de gevolgen te beheersen zijn.

De genoemde risico’s zijn tevens in een grafisch risicoprofiel opgenomen:

Bestuurlijk draagvlak

“Bij het aannamebeleid van nieuwe medewerkers zou risicohouding een belangrijk criterium moeten zijn” Diana Boender, Sectorcontroller Ambulancedienst ZHZ

5

Checklist Risicomanagement

Stap

Gemeenteraad

College

Ambtelijk

bepalen kaders en strategie

advies/feedback

adviseren, informatie verstrekken, opstellen

Risicoanalyse

toezicht

geeft opdracht en toets

formuleert/voert uit/ en monitoort

Monitoren

toezicht en controle

ontwikkeling kaders maatregelen

informatie verstrekken en controle

Toezicht & Toetsing

controle

toezicht en verantwoording continu monitoren

Verbetering

feedback bij verbeteren beleid advies betreffende verbetering beleid

Kaderstelling & strategie

2.3.5 Toezicht en Toetsing Gedurende het jaar wordt op verschillende data verantwoording afgelegd over de resultaten van het gevoerde beleid door het B&W/MT. Hierbij wordt aangegeven welke doelen zijn behaald, welke niet en waarom. Het antwoord op het waarom kan worden gebruikt voor nieuwe kaderstelling en strategie. Dit is de vijfde stap in het risicomanagementproces. Het is belangrijk dat vooraf, in de kaderstelling en strategie, juiste doelen met betrekking tot risicomanagement zijn geformuleerd, dit maakt de toetsingsfunctie van de gemeenteraad inzichtelijker en makkelijker. Ook toetsing in het kader van controle is hierdoor beter te realiseren: is alles geïnventariseerd, zijn de risico’s juist in kaart gebracht en zijn de adequate maatregelen genomen? Beantwoording van deze vragen moet aan de orde komen door het proces van inventariseren en verslaglegging van deze exercitie te beoordelen. Mogelijk gaat dit gepaard met het stellen van vragen door de toezichthouder, ter verduidelijking van de beeldvorming. De resultaten van het risicomanagementproces zelf staan centraal in deze stap. Het management van de gemeente dient hiertoe regelmatig de geïdentificeerde risico’s te evalueren, de gehanteerde strategieën te beoordelen, de daarmee samenhangende processen te bewaken en de prestaties ten aanzien van risicomanagement te meten. Hier ligt ook een duidelijke rol voor de controlfunctie. Deze zal kwaliteit en betrouwbaarheid aan het inventarisatieen evaluatieproces kunnen toevoegen door vast te stellen of het proces van inventariseren, scoren en

signaleren/formuleren implementeren

berekenen van de risico’s adequaat is en hiermee dus een goede weergave is van de omvang van de risico’s die de organisatie loopt en de resultaten die bereikt zijn met het treffen van maatregelen. 2.3.6 Verbetering Tevens wordt de verantwoording voor de resultaten van het gevoerde beleid gebruikt als feedback voor de gemeenteraad om de kaderstelling en strategie te verbeteren voor het volgende jaar. Dit vormt de zesde stap uit het risicomanagementproces: verbetering. De centrale gedachte bij verbetering is dat er ‘lessen uit het verleden’ worden getrokken: welke gebeurtenissen met (belangrijke) negatieve gevolgen hebben zich voorgedaan, welke beheersmaatregelen hebben wel gewerkt, hebben we risico’s tijdig in beeld gehad, hoe kunnen we de risico’s in de toekomst voorkomen? Feitelijk resulteert dit in de continue verbetering van het systeem en de methodiek van risicomanagement: het is nooit af, zeker gezien het feit dat omstandigheden continu veranderen. Doordat een organisatie voortdurend te maken heeft met in- en externe veranderingen en de prestaties van risicomanagement steeds opnieuw verbeterd moeten worden, dienen zowel de risico-eigenaren, de verantwoordelijke voor een product, proces, project of programma, als het management aandacht te besteden aan aanpassingen van de processen en de strategieën. De resultaten van de vorige stap zijn hierbij richtinggevend. Risicomanagement meer dan de som der delen

33

Het toepassen van risicomanagement biedt de mogelijkheid om op een veel explicietere wijze invulling te geven aan het benodigde sturings- en beheersingsinstrumentarium van de gemeente. Dit kan, afhankelijk van de onderkende risico’s, de mogelijkheid bieden om een reductie te realiseren in de benodigde weerstandscapaciteit. Hierdoor kunnen middelen vrijkomen voor andere doeleinden. Daarnaast zijn de volgende voordelen te onderkennen: • Verhoogd(e) risicobewustzijn en –gevoeligheid • Effectievere en efficiëntere bedrijfsvoering • Betere koppeling tussen beleid en bedrijfsvoering • Verbeterde interne communicatie en grotere betrokkenheid van medewerkers • Betere sturing en beheersing van verandering, proactief/anticiperend • Meer kans op het voorkomen van problemen • Risicobeheersing tegen lagere kosten • Versterking van de (externe) verantwoording • Versterking van public governance Het in de breedte toepassen van de zes stappen van de in dit handboek gepresenteerde risicomanagement raamwerk is voor veel organisaties nog een vrij nieuw concept. Mede hierom wordt risicomanagement in het volgende onderdeel gekoppeld aan governance. Governance is een beter bekend concept binnen de publieke sector en de koppeling schept meer inzicht in het idee achter risicomanagement. Onder Governance wordt verstaan: het waarborgen van de onderlinge samenhang van de wijze van sturen, beheersen en toezicht houden van een organisatie, gericht op een efficiënte en effectieve realisatie van doelstellingen, alsmede het daarover op een open wijze communiceren en verantwoording afleggen ten behoeve van belanghebbenden, waarop wij in hoofdstuk 3 nader ingaan.

“Risicomanagement: voor wie risico’s durft te nemen” Annemiek Jutte, gemeente Amersfoort 34

2.4 Inbedding/verankering Een belangrijk onderdeel van risicomanagement is de inbedding ervan binnen de organisatie. De vraag is hoe dit kan worden bewerkstelligd. Eerst wordt de risicomanagementfunctie toegelicht, gevolgd door wat inbedding van risicomanagement in de organisatie inhoudt en de benodigde kennis die hier bij komt kijken. Als risicomanagement op een optimaal niveau functioneert, wordt binnen de strategische besluitvorming mede in termen van risicomanagement gedacht. Er wordt rekening gehouden met de bedreigingen die voortvloeien uit beleidskeuzes, de mogelijke financiële impact van beleidskeuzes en het effect op het functioneren van de organisatie. Binnen besluitvorming wordt gekozen voor risicobeheersende beleidsbepaling. Niet om elk risico te vermijden, maar om risico’s inzichtelijk te maken en beheersbaar te houden. Dit risicomanagement-denken binnen strategische besluitvorming houdt ook in dat er (idealiter) een risicobeheersplan, risiconotitie en/of risicoparagraaf wordt opgesteld binnen de organisatie. Een risicobeheersplan geeft de risico’s van het functioneren van de organisatie weer, inclusief de financiële consequenties en de beheersmaatregelen voor de risico’s. Gedurende het beleidsjaar wordt het college en de uitvoering van het beleid gecontroleerd, getoetst en eventueel bijgestuurd. Binnen de organisatie is een document over risicomanagement opgesteld. Stakeholders worden geïnformeerd over risicomanagement, de maatregelen, methoden, technieken en hulpmiddelen. Dit verhoogt de kennis en betrokkenheid van de medewerkers . Hierbij is het van belang dat er mogelijkheid is voor opleidingen en trainingen voor de medewerkers. Om inbedding van risicomanagement binnen de organisatie te bevorderen, is het van belang dat er een aangewezen functionaris (of zelfs afdeling) is die het proces van risicomanagement monitort en signalen geeft naar de organisatie. Deze functionaris beheerst het proces , draagt zorg voor de risicoinventarisatie en beheersmaatregelen en stimuleert de participatie van medewerkers. Risicomanagement moet integraal

worden ingepast, als onderdeel van de taken van de lijnmanager. Bij risicomanagement is ook kennis in verschillende opzichten van groot belang. In algemene vorm betreft het de kennis van de organisatie en haar omgeving, zoals de visie en de missie. Daarnaast is kennis over de risicomanagementsystemen en methodieken gewenst, alsook het bezit van inhoudelijke en technische kennis. Een goed voorbeeld hiervan zijn projecten waar de technische kennis omtrent bijvoorbeeld de risico’s rondom realisatie een voorwaarde zijn voor goed risicomanagement. Denk bijvoorbeeld aan de aanleg van de Noord-Zuidlijn waarbij issues zijn ontstaan door verzakkingen als gevolg van boren. Wanneer dergelijke technische kennis intern niet aanwezig is dan zal deze mogelijk extern aangezocht moeten worden om een risico-inventarisatie uit te voeren. Het is in deze gevallen voor de controller namelijk ondoenlijk om bijvoorbeeld op hetzelfde niveau de technische kennis te verkrijgen. Het gaat dan met name om de toetsing dat een dergelijke inventarisatie tot uitvoering is gekomen en het stellen van de juiste vragen.

Kennis over: Risicomanagement systemen en methodieken Organisatieomgeving Organisatievisie • Missie • Doelstellingen • Strategie • Besturingsfilosofie Organisatiestructuur Bedrijfsprocessen Programma’s Instrumentarium planning & control Risicohouding

Hiernaast is een kort overzicht geplaatst. Gedeeltelijk is deze informatie in een bepaalde mate aanwezig in de organisatie, maar om dit te expanderen speelt communicatie een grote rol. Continu moet een informatiestroom aanwezig zijn waar deze aspecten in worden behandeld. Vaak komt deze informatie samen in het functioneren van een projectgroep. In het volgende hoofdstuk gaan we in op governance. Hierbij worden tevens de elementen van risicomanagement in relatie tot governance uitgediept.


35

36

3.1 Het begrip Governance Governance is het waarborgen van de onderlinge samenhang van de wijze van sturen, beheersen, en toezicht houden van een organisatie, gericht op een efficiënte en effectieve realisatie van doelstellingen, alsmede het daarover op een open wijze communiceren en verantwoording afleggen ten behoeve van belanghebbenden.4 De vier dimensies van governance zijn te verdelen over twee oriëntatierichtingen: interne of externe organisatie, voor de korte of lange termijn. In elk kwadrant kan een deelproces worden geplaatst. De onderlinge samenhang is te zien in figuur 3.1.

Nadruk ligt op - Verantwoording - Toezicht en - Transparantie

Externe Stakeholders

Toezicht

Aan onder meer: - Gemeente - Rijksoverheid - Provincie Verantwoorden

Governance Sturen

Interne organisatie

In dit hoofdstuk behandelen we governance , specifiek de vier dimensies: sturen, beheersen, toezicht en verantwoording.

Externe organisatie

3. Governance

Nadruk ligt op: - Prestatiemanagement - Planning en Control

Lange termijn

Beheersen

Interne Organisatie

Nadruk ligt op: - AO/IC - Risicomanagement - Planning en Control Korte termijn

Figuur 3.1 Dimensies Governance

3.2 De governance cyclus De interne organisatie is te zien in de kwadranten sturen en beheersen. Het sturen behelst onder meer het stellen van de kaders voor het geven van richting aan de organisatie, het formuleren van doelstellingen en prestaties. Het college en de ambtelijke top zijn verantwoordelijk voor het sturen van de organisatie om zodoende de geformuleerde doelstellingen te realiseren. Bij het aspect beheersing gaat het met name om de vertaling van de gestelde kaders en doelstellingen van de organisatie naar de inrichting van de organisatie. Hoe richten we de organisatie dusdanig in dat de grootste waarborg bestaat dat de doelstellingen gerealiseerd worden? Ofwel, de aspecten van de bedrijfsvoering. De externe organisatie bestaat uit de kwadranten verantwoorden en toezicht houden. De verantwoording heeft vanuit de interne organisatie plaats naar de externe organisatie. Deze is breed in gemeenteland. Er zijn immers vele belanghebbenden met vele verschillende belangen. Denk hierbij aan burgers, subsidieontvangers, bedrijfsleven en andere overheden. Overigens wordt de gemeenteraad als externe omgeving beschouwd. Immers, zij krijgen een verantwoording overlegd op basis van de vastgestelde doelstellingen uitmondend in een confrontatie tussen programmabegroting en programmaverantwoording. 4

Ministerie van Financiën Risicomanagement meer dan de som der delen

37

Het toezicht is te zien als de beoordeling van de uitkomsten van de verantwoordingscyclus. Een belangrijke rol spelen hierbij de gemeenteraad en provincie: zij houden binnen de gestelde kaders toezicht. Wanneer we risicomanagement beschouwen als een belangrijk aspect van de governance-cyclus dan is het schema bruikbaar om vorm en inhoud te geven aan risicomanagement. Dat risicomanagement essentieel is lijkt evident, omdat het (her)kennen van risico’s essentieel is om: • besluiten te nemen: wat zijn de consequenties van ons handelen? • kaders mee te geven: welk risico mag gelopen worden en hoe wensen wij hierover geïnformeerd te worden? • bijstellingen te plegen: wanneer er zicht is op risico’s of deze zich manifesteren, komt de vraag aan de orde of we maatregelen moeten nemen en zo ja, waar? • te communiceren: wie wordt wanneer geïnformeerd en tot op welk niveau? Voor alle verschillende actoren in de governance-cyclus is het cruciaal om inzicht te hebben in de risico’s. De verschillende actoren kunnen namelijk hun beslissingen beter nemen als er inzicht is in de aard, de omvang en de oorzaak van mogelijke risico’s. Het kennen van de risico’s en hier bewust mee omgaan, moet resulteren in het ondernemen van acties. Naast het kennen van de risico’s, draagt een adequaat systeem van risicomanagement ook bij aan het behalen van doelen en doelstellingen en daarmee aan het vergroten van de transparantie en het afleggen van een meer inzichtelijke en betere verantwoording. Het bewust inzichtelijk hebben van risico’s, het sturen hierop, het delen van hiermee gemoeide informatie en het nemen van maatregelen draagt bij aan het creëren van vertrouwen en openheid. Het besluitvormingsproces wordt hierdoor duidelijker. Uit het bovenstaande voorbeeld blijkt dat er vaak verschillend gedacht wordt over risico’s, de informatie hierover, de kwantificering hiervan, de acceptatie hiervan en de maatregelen die in dit kader zijn genomen. Vaak wordt dit veroorzaakt doordat de aspecten van governance binnen een organisatie niet

38

Praktijkvoorbeeld: Een tweegesprek tussen wethouders over een politiek en financieel project “Het risico van dit project is onacceptabel” zegt wethouder Financiën(A). “Hoezo?”, vraagt Wethouder Ruimtelijke Ordening(B), “Welk risico bedoel je?”. Nou zegt wethouder A: “Het risico dat het project uitloopt en dat de consequenties van het uitlopen van het project voor onze rekening komt.” Wethouder B zegt: “Er is geen sprake van een risico, want de vertraging van het project is opgelost door in het contract met de andere participanten op te nemen dat zij verantwoordelijk zijn en opdraaien voor een uitloop van het project.” “Geldt dit ook voor de uitloop die wordt veroorzaakt als wij de vergunningen niet tijdig verlenen?” vraagt wethouder A. “Dat is mij niet bekend.” zegt wethouder B “Dit heb ik ook niet vernomen van de projectleider. Ik heb het over de gevolgen die het gerelateerd zijn aan de vertraging zoals deze door de andere contractpartijen worden veroorzaakt.” “Dan lijkt het er op,” zegt wethouder A, “dat onze risico’s toch groter zijn dan eerder was aangenomen. Op basis van de huidige informatie, die ik van de controller gisteren heb gekregen, schat ik de risico’s in op circa € 2,0 miljoen.” Wethouder B zegt: “Hier ben ik niet van op de hoogte en dat lijkt me ook niet de bedoeling, maar je hebt hier mogelijk wel een punt. Hier heb ik niet direct bij stilgestaan.”

duidelijk zijn en niet duidelijk is welke risico’s binnen een activiteit, proces of organisatie bestaan. Het spreken van één taal en het hanteren van een gelijke set aan uitgangspunten is essentieel. In dit hoofdstuk wordt hiertoe een handreiking gedaan vanuit het perspectief van risicomanagement. 3.2.1 Sturen Het sturen bestaat uit alle activiteiten, waarbij de gemeente richting geeft aan de wijze waarop wordt omgegaan met risicomanagement. Een belangrijk aspect is gelegen in de uitspraak: welk risicoprofiel wensen wij als gemeente? Wil de gemeenteraad dat er sprake is van een laag of een hoog risicoprofiel? Met andere woorden kunnen we er (om onze activiteiten en doelstellingen te realiseren) tegen dat wij aangesproken worden op bepaalde risico’s en zijn we bereid de mogelijke gevolgen, in financiële zin of in termen van te treffen beheersmaatregelen, te aanvaarden. Het treffen van beheersmaatregelen zal namelijk bijdragen aan het verlagen of terugbrengen van het risicoprofiel naar een acceptabel niveau.

Bij het vormgeven van het risicobeleid zijn de volgende vragen aan de orde: • Welke strategie hebben we voor het omgaan met risico’s? • Op welke wijze brengen we onze risico’s in beeld? • Accepteren we risico’s? En zo, ja tot welke omvang/ bandbreedte? • Welke minimale bandbreedte aan reserves houden we aan om onze risico’s af te kunnen dekken? • Wie is eigenaar van de risico’s? • Hoe maken we de risico’s bespreekbaar in de organisatie? Bij het bepalen van de risico’s moet duidelijk zijn wie verantwoordelijk is voor het inventariseren en beheersen van de risico’s. Er zijn risico’s die gelden voor de gehele organisatie zoals de personele bezetting. En er zijn risico’s die voor een project of een afdeling gelden. In dit hoofdstuk staan checklists die een organisatie helpen bij de inrichting van risicomanagement in relatie tot de governance-cyclus. De volgende checklist bestaat uit aandachtsgebieden over het sturen in relatie tot risicomanagement.

Het na te streven risicoprofiel en de risicohouding zijn zeer belangrijke bouwstenen bij het bepalen en uitwerken van het beleid rondom risicomanagement. Deze houding is zeer essentieel binnen de methodiek van risicomanagement. Het gaat hierbij om de alertheid om risico’s te identificeren, bespreekbaar te maken en het vervolgens hierop maatregelen treffen. Een organisatie die risico’s mijdt, realiseert haar doelstellingen over het algemeen niet snel. Het lopen van risico’s is ten slotte inherent aan het ondernemen van activiteiten. Een organisatie moet open kunnen discussiëren over risico’s en de te nemen acties. Dit kun je nauwelijks uitwerken in formele bepalingen. Het gaat hierbij om de openheid en transparantie in de organisatie. Het is ook van belang dat het identificeren en sturen op risico’s geen kunstje is dat een paar keer per jaar wordt uitgevoerd, het moet in de ‘genen’ van de organisatie zitten. Om dit te bereiken is goede voorlichting noodzakelijk, standaard op de agenda van overleggen staan, de meerwaarde voor de sturing en beheersing van de organisatie kenbaar maken en belonen van het melden en het sturen op risico’s door medewerkers.


39

Deelproces Aandachtsgebieden

Toelichting

Sturen

Beleid

Is er beleid rondom risicomanagement? Zijn hierin de afspraken zoals deze zijn gesteld in de verordening 212 tenminste uitgewerkt? Is de methodiek (inventariseren, periodiek rapporteren, systeem, rolverdeling, etc.) van risicomanagement duidelijk?

Houding / cultuur

Wat straalt de leiding uit ten aanzien van het omgaan met risico’s? Hoe wordt omgegaan met het melden van risico’s? Bestaat er waardering voor melden van risico’s? Zijn er middelen vrijgemaakt om te werken aan risicomanagement? Worden adviezen en maatregelen om risico’s te beperken dan wel te mitigeren serieus genomen?

Prioriteitstelling

Is het risicoprofiel nader uitgewerkt voor wat betreft de beleidsvelden en/of activiteiten waarop risico’s mogen worden gelopen? Is bepaald op welke wijze kwantificering en identificatie van de risico’s moet plaatsvinden? Zijn (toekomstige) middelen gealloceerd die beschikbaar zijn voor het opvangen van (specifieke) risico’s? Wat is de risicohouding bij samenwerking met derden?

Omvang

Zijn spelregels opgenomen voor het kwantificeren en kwalificeren van de risicopositie? Dus, wat is een acceptabele verhouding tussen de beschikbare weerstandscapaciteit en de risico’s? Is gedefinieerd op welke wijze berekening van de omvang van de risico’s plaatsvindt? Is de minimale / maximale omvang bepaald van de weerstandscapaciteit? Zijn acties benoemd om de weerstandscapaciteit te vergroten?

Informatie / rapportage

Zijn spelregels opgenomen voor de periodiciteit waarop gerapporteerd moet worden over de ontwikkeling van de risico’s en de resultaten van de beheersmaatregelen? Zijn afspraken gemaakt over de wijze waarop over de risico’s moet worden gerapporteerd? Waarbij onder meer moet worden ingegaan op: - aan wie moet de informatie worden geleverd? - welke informatie moet worden aangeleverd met betrekking tot de ontwikkeling van de risico’s? - evaluatie van de werking van de beheersmaatregelen? - nieuwe en vervallen risico’s? Is bepaald op welke wijze bij individuele voorstellen gerapporteerd moet worden over de risico’s en de hierbij getroffen maatregelen?

Bevoegdheden en verantwoordelijkheden

Is duidelijk wie eindverantwoordelijk is voor het betreffende risico? Is bepaald wie eindverantwoordelijke is voor het identificeren, sturen en verantwoorden omtrent risico’s? Is duidelijk wie bevoegd is tot het aangaan van risico’s door middel van bijvoorbeeld goedkeuren van een voorstel, afsluiten van een contract of aangaan van een (andere) verplichting?

Figuur 3.2: Aandachtsgebieden over het sturen in relatie tot risicomanagement

40

3.2.2 Beheersen Het aspect beheersen bestaat uit een stelsel van maatregelen en procedures die worden genomen om de onderkende risico’s te ondervangen dan wel om opkomende risico’s te signaleren en het effect hiervan te beperken. Het identificeren van een risico is één, maar het vervolgens treffen van maatregelen om de risico’s binnen de perken te houden, is twee. Wanneer duidelijk is welk risicoprofiel en -houding worden aangehouden, bestaat behoefte om het geformuleerde beleid ook te toetsen aan de dagelijkse gang van zaken. Om de risico’s in beeld te krijgen, is het allereerst van belang om te bepalen wat zijn risico’s? Deze zijn te omschrijven als: alle gebeurtenissen die het realiseren van de organisatiedoelstellingen in de weg staan. Het kan hierbij overigens ook gaan om risico’s die een positieve kans hebben. Dus risico’s die bijvoorbeeld het realiseren van een doelstelling kunnen versnellen. Het gaat bij het in beeld krijgen van de risico’s verder dan alleen het financiële component. Hoe krijg je de risico’s in beeld? Dat kan door deze per programma, project of proces (zie ook hoofdstuk 2) te inventariseren. Hiervoor zijn diverse methoden beschikbaar. Dit kan bijvoorbeeld door het houden van een workshop, het houden van interviews of het uitvoeren van een specifiek onderzoek. Ondersteuning van de berekening en het bepaling van de risico’s kan plaatsvinden door het simuleren van de risico’s (methode hierin is de Monte Carlo simulatie5) of het uitvoeren van een benchmark. Bedenk wel dat de risico’s van de ene gemeenten niet per definitie de risico’s van de andere gemeente zijn. Om een zo uniform mogelijke inventarisatie te creëren, wordt vaak gewerkt met een vast stramien van risicokaarten waarop staat welke risico’s een organisatie kan lopen.

Meer informatie over de werkwijze en uitgangspunten van deze methode is

5

te vinden op Wikipedia onder het begrip de ‘Monte Carlo Method’. Risicomanagement meer dan de som der delen

41

Een voorbeeld van een risicokaart bij grondexploitaties: Potentieel risicogebied

Omschrijving potentieel risicogebied

Voorbeelden van het risico

Fasering

Afwijkingen ten opzichte van de termijnen en uitgangspunten, met name op gebied van looptijd, waarmee rekening is gehouden bij de planopzet.

Verkoop van gronden of tempo van het bouwrijp maken blijft achter bij de ramingen

Markt

De effecten van mogelijke (economische) omstandigheden waardoor vraag en aanbod niet direct aan elkaar gelijk zijn waardoor een mogelijk afzetrisico bestaat

Ontwikkelen van woningen in een (op dat moment) verkeerd segment, economische dip in specifieke bedrijfstak (bijvoorbeeld logistieke sector)

Looptijd/rente

Als gevolg van vroegtijdige verwerving of lange doorlooptijd lopen van risico’s

Het bereiken van een maximaal aanvaardbare boekwaarde

Organisatie

Plan- en productieprocessen die qua geld, tijd en/of exploitatie niet integraal in de hand worden gehouden

Uitstel van besluitvorming of door onvoldoende bewaking/ projecten procesmanagement

Fiscaliteiten

Effecten als gevolg van het niet of niet geheel juist toepassen van het btw-regime

Naheffing in verband met verliesgevende complexen

Milieu

De risico’s die bestaan in het kader van toepassing van milieuregelgeving in relatie tot de mogelijkheid om een bepaalde bestemming te kunnen realiseren

Bodemsanering niet geschat, tegenvallend of niet verhaalbaar op derden

Waardering

Indien de verwachting bestaat dat de huidige (boekwaarde) en toekomstige investeringen in een complex niet goedgemaakt kunnen worden door werkelijke en (te) verwachte opbrengsten

Aankopen met langjarig karakter die qua beheer of ontwikkeling tegenvallen

Verwervingen

Knelpunten waardoor de ontwikkeling van een plan vertraging op kan lopen, niet (geheel) gerealiseerd kan worden of economische haalbaarheid onder druk komt te staan

Grondprijsontwikkeling, onteigening en compensatie duurt langer

Planrealisatie

Aanpassingen op het oorspronkelijk plan als gevolg van bezwaren of onmogelijkheden om te realiseren

Bestemmingsplanprocedure, bezwaar Raad van State, etc.

Claims

Aanspraken die gedurende ontwikkeling van een plan ontstaan

Brandschade, nakoming contracten, etc. Hierbij wordt geen rekening gehouden met planschade als gevolg van vaststelling van een bestemmingsplan

Politiek

Indien door afweging van belangen en doelstellingen wijzigingen in de uitvoering en realisatie van de oorspronkelijk plannen plaatsvindt

Woningdifferentiatie, inspraak burgers, etc.

Bijzonderheden in bouw

Indien bij de uitvoering van een plan afwijkingen ontstaan die niet waren voorzien in het oorspronkelijk VO, DO en bestek

Ophoging van het terrein, constructie bouwwerk, kabels en leidingen, etc. is tegengevallen

Subsidies

De financiële en organisatorische knelpunten die bestaan als gevolg van het niet voldoen aan de subsidievoorwaarden

Afrekening van ISV, TIPP en bodemsanering

Derden

Gevolgen van het niet of niet geheel na kunnen komen van afspraken die gemaakt zijn met derden

Samenwerkingsovereenkomst,koopcontracten, leveringsvoorwaarden, etc.

Figuur 3.3: Een voorbeeld van een risicokaart bij grondexploitaties

42

Wanneer de risico’s zijn beschreven, is het vervolgens belangrijk die risico’s te kwantificeren. Hierbij hanteren organisaties vaak verschillende niveaus van risicoinschatting : • Optimistisch inschatting van risico’s • Realistische inschatting van risico • Pessimistische inschatting van het risico Een voordeel van werken met scenario’s is dat bandbreedten worden aangegeven waarbinnen de risico’s zich kunnen manifesteren. Bij het werken met scenario’s is het (uiteraard) noodzakelijk om de verschillende veronderstellingen duidelijk vast te leggen.

Scenario’s en impact grondexploitaties Aandachtsgebied * € 1.000

Optimistisch Realistisch

Pessimistisch

Oorspronkelijk plan

+

2.000

+

2.000

+

2.000

Fasering

-

1.000

-

2.000

-

4.000

Wijzigen verkaveling

Markt

-

1.000

-

2.000

+

6.000

Marktonderzoek samenwerking

NVT

NVT

2.500

Procedures

Looptijd / Rente Organisatie

NVT -

500

NVT -

1.000

-

Fiscaliteiten

NVT

NVT

NVT

NVT

Milieu

NVT

NVT

NVT

NVT

Waardering

NVT

NVT

NVT

NVT

Verwervingen

+

1.000

-

2.500

-

5.000

Voorkeursrecht exploitatieovereenkomst

-

2.500

Wijziging bestemmingsplan

NVT

NVT

2.000

Overleg partijen

Planrealisatie

NVT

NVT

Claims

NVT

NVT

Politiek

NVT


NVT

NVT

NVT

NVT

Subsidies

NVT

NVT

NVT

NVT

Derden

NVT

NVT

NVT

NVT

Voorlopig Eindresultaat

+

500

-

-

1.000

6.500

-

-

8.000

Figuur 3.4: Scenariobenadering NB: waar NVT staat is geen inventarisatie uitgevoerd


43

Om de risico’s inzichtelijk te krijgen, is het van belang dat er periodiek inzicht bestaat in de omvang, aard en ontwikkeling van de belangrijkste risico’s dan wel risicogebieden. Dit inzicht vormt de eerste aanzet om hierop ook concrete beheersmaatregelen te gaan treffen. Hoe houdt u de risico’s continu in de gaten? Door enerzijds een bewuste risicohouding en -attitude in de organisatie te kweken en anderzijds door sturing op risico’s door de risico-eigenaren en het management. Periodiek dient de eindverantwoordelijke van de organisatie of een organisatieonderdeel ook inzichtelijk te maken wat de ontwikkeling is in de risicopositie van de gemeente. Die wijziging kan plaatsvinden doordat: • effectieve maatregelen zijn genomen om bestaande risico’s te beperken: de beheersmaatregelen werken • bestaande risico’s in omvang zijn toegenomen: beheersmaatregelen werken niet dan wel onvoldoende, wijziging in de (externe) omgeving of verandering van het activiteitenniveau • er nieuwe risico’s zijn ontstaan: nieuwe activiteiten, wijziging in de (externe) omgeving of wijziging in de beheersing van de gemeente

44

Het is belangrijk dat de risico-inventarisatie geen momentopname is bij de reguliere planning- en controldocumenten (begroting, tussentijdse rapportages en jaarverantwoording). Het is tevens van belang dat het aspect van risicoinventarisatie en sturing wordt ingebed in het dagelijks handelen binnen de gemeente. Hierbij staat wel centraal dat ook beheersing van de risico’s plaatsvindt. Acteren in plaats van signaleren. Het is dan noodzakelijk dat ‘elk handelen’ van de gemeente in het licht staat van de eerder geconstateerde (dan wel gewijzigde) risico’s. Essentieel is dat de procesverantwoordelijke zich bewust is van de risico’s en tevens inzichtelijk heeft gemaakt of de beheersmaatregelen werken of bijgesteld moeten worden. In de checklist in figuur 3.5 staan de belangrijkste aandachtsgebieden:

Deelproces

Figuur 3.5: De

Aandachtsgebieden

Toelichting

Begrippen

Bestaat er een gemeenschappelijk beeld over wat wordt verstaan onder risico’s? Zijn de risicogebieden duidelijk? Is bekend op welke facetten beoordeling van (onderdeel) proces, organisatie of activiteiten plaats moet vinden?

Kennis

Is binnen de organisatie voldoende kennis om risico’s te identificeren en te kwantificeren? Heeft de gemeente voldoende kennis in huis om tijdig te reageren op de wijziging van risico’s? Is voldoende kennis aanwezig over de wijze waarop omgegaan wordt met zich manifesterende risico’s?

Methode

kwantificeren van risico’s? evalueren van de risico’s? formuleren van beheersmaatregelen? aanwijzen verantwoordelijke voor omgaan met de geconstateerde risico’s?

Risicoanalyse

Is bekend wat de belangrijkste risicogebieden binnen de organisatie zijn door het uitvoeren van een risicoanalyse? Wordt de risicoanalyse met een dusdanige frequentie herzien dat blijvend aandacht bestaat voor de ontwikkeling van de risico’s? Bestaat voldoende aandacht voor het identificeren van nieuwe risicogebieden binnen de organisatie dan wel activiteiten van de organisatie? Wordt de opgestelde risicoanalyse gedeeld door het management? Is de uitgevoerde risicoanalyse de basis voor het treffen van maatregelen?

Organisatie

Is er voldoende capaciteit aanwezig om aandacht te besteden aan het risicomanagement? Bestaat extra aandacht voor die terreinen waar de risico’s dominant zijn, omvangrijk van aard of frequent wisselen? Is in de processen het periodiek aandacht besteden aan risicomanagement bij de dagelijkse gang van zaken opgenomen? Zijn de rollen duidelijk in het proces van risicomanagement: wie moet wat en wanneer doen?

Beheersmaatregelen

Is per relevant geïdentificeerd risico duidelijk of er beheersmaatregelen mogelijk zijn? Zijn de beschreven beheersmaatregelen duidelijk genoeg om deze vorm te geven? Is duidelijk wie verantwoordelijk is voor het implementeren van en het bewaken van de werking van de beheersmaatregel? Is duidelijk binnen welke termijn de beheersmaatregel tot stand moet zijn gebracht? Zijn de beschreven beheersmaatregelen geïmplementeerd? Werken de beschreven beheersmaatregelen? Dragen zijn bij aan het ondervangen van de risico’s? Zijn alternatieven onderzocht om de risico’s mogelijk anderszins op te vangen? Bestaan er scenario’s om te volgen wanneer risico’s zich daadwerkelijk manifesteren? Is bij samenwerking met derden of op afstand opererende partijen voldoende aandacht voor de ontwikkeling van de risico’s? Is er voldoende financiële ruimte aanwezig om de risico’s op te vangen?

belangrijkste aandachtsgebieden


45

“Risicomanagement: resultaat verlicht werken” Dick Maaskant, concerncontroller gemeente Roosendaal 3.2.3 Verantwoorden Ten behoeve van de uitvoering van activiteiten en processen zijn kaders meegegeven door de gemeenteraad en het College van B&W. Zo is bepaald dat uitvoering van activiteiten binnen een bepaald budget en, planning en prestaties binnen een zekere marge uitgevoerd mogen worden. Een marge betreft de risico’s die worden gelopen. Om inzicht te geven aan diegenen die de kaders hebben gesteld wordt informatie verschaft door middel van een rapportage. Hierin wordt bekeken of gehandeld is binnen de beschreven kaders. Het identificeren en managen van risico’s is tenslotte geen statisch gebeuren. Op proactieve wijze moet worden omgegaan met het onderkennen, ondervangen en sturen op de risico’s. Dit geldt ook voor de actieve informatieplicht. Het college is gehouden om relevante informatie over de ontwikkeling van risico’s en de risicopositie tijdig en ongevraagd onder de aandacht van de raad te brengen.

46

Een rapportage over de verantwoording van risico’s dient antwoord te geven op de volgende vragen: • Wat is de kans van optreden en de ingeschatte omvang van de risico’s in relatie tot de beschikbare middelen? • Welke risico’s zijn te signaleren en wat houden ze in? • Welke maatregelen zijn te treffen? • In hoeverre is het systeem van risicomanagement voldoende effectief geweest om de risico’s te ondervangen? Ofwel, wat is het effect geweest van de genomen maatregelen? • In welke mate hebben zich nieuwe risico’s gemanifesteerd die mogelijk impact hebben op de financiële positie dan wel organisatie van de gemeente? Bij de rapportage over de risico’s zal sprake zijn van een gelaagdheid. Op het niveau van de dagelijkse aansturing is het logisch dat er meer inzicht is in de individuele risico’s en het effect van de maatregelen. Op bestuurlijk en politiek niveau zal een aggregatie plaats moeten vinden van de risico’s en zal een uitspraak worden gedaan over de werking en resultaten van het risicomanagementsysteem. In de checklist in figuur 3.6 zijn de belangrijkste aandachtsgebieden rondom verantwoorden opgenomen:

Deelproces

Aandachtsgebieden

Verantwoorden Inhoud

Toelichting Waarover vindt verantwoording plaats? Onderwerpen die hierbij aan de orde kunnen komen zijn: - Is het risicoprofiel van de organisatie gewijzigd en zo ja, wat zijn hiervan de gevolgen? - Zijn ten opzichte van de voorgaande rapportage nieuwe risico’s ontstaan en wat is hiervan de (mogelijke financiële) impact? - Welke maatregelen zijn getroffen om eerder onderkende risico’s te ondervangen en wat is het effect van deze maatregelen geweest? Werken de beschreven en afgesproken maatregelen? - Welke risico’s hebben zich concreet gemanifesteerd en hebben geresulteerd in een uitstroom van middelen? - Wat is de stand van zaken met betrekking tot de omvang van de risico’s in relatie tot de beschikbare middelen? Wordt gecontroleerd in hoeverre de activiteiten zijn uitgevoerd binnen de geformuleerde beleidskaders/ afspraken? Bevat de verantwoordingsinformatie voldoende sturingsinformatie om het beheer en inzicht in de risico’s te verbeteren? Is uit de verantwoordingsinformatie duidelijk op welke aspecten de organisatie meer bewust moet zijn van onderkennen of beheersen van risico’s?

Effectiviteiten efficiency Heeft de gemeente voldoende zicht op de effectiviteit van de getroffen maatregelen? van maatregelen - Welke risico’s hebben zich gemanifesteerd? - Wat zijn de kosten geweest voor het treffen van beheersmaatregelen in relatie tot het beperken van de risico’s? - Voert de gemeente periodiek audits uit om na te gaan hoe effectief de beheersing van de risico’s heeft plaatsgevonden? Wijze onderbouwing en kwantificering

Is de wijze van kwantificering concreet genoeg om een oordeel te vormen over de wijze van verantwoording? Bestaat er voldoende inzicht omtrent de kans van optreden van een risico en de resterende onzekerheden?

Frequentie

Is de frequentie van herzien van de risico’s voldoende gelet op de ontwikkeling van het risicoprofiel? Wordt rekening gehouden met de actieve informatieplicht wanneer risicopositie wijzigingen ondergaat?

Figuur 3.6: Belangrijkste aandachtsgebieden rondom verantwoorden


47

Een overzicht van een verantwoordingsrapportage kan er als volgt uitzien:

A

Onderdeel

Onderdeel Uitkomst/ formule Toelichting

Toelichting

Risico’s rapportage T

€ 10.000.000

Huidig rapportagemoment kwantificering van de risico’s. Hierbij is gekozen voor het gemiddelde scenario.

B

Risico’s rapportage T-1

€ 8.000.000

Voorgaande rapportagemoment

C

Mutaties in risico’s

€ 2.000.000 Verschil tussen (a) en (b)

Wijziging van de risicopositie

D

Bestaande uit: • Nieuwe risico’s • Verminderde risico’s • Vervallen risico’s

Uitsplitsing van (c) € 7.000.000 + € 4.000.000 -/€ 1.000.000 -/-

Verandering omstandigheden Werking beheersmaatregelen Stopzetten of teniet gaan

E

Beschikbare weerstandscapaciteit

€ 8.000.000

Opbouw van de weerstandscapaciteit

F

Dekkingsgraad risico’s

80% (e)/(a)

Dekkingsgraad. Ontwikkeling aangeven ten opzichte van voorgaande meting en ook toekomstperspectief laten zien.

Figuur 3.7: Overzicht verantwoordingsrapportage

Het is ook belangrijk om inzicht te krijgen in de werking van het risicomanagement systeem: effect van de getroffen beheersmaatregelen. En ook inzicht in de mutatie van risico’s. Deels door nieuwe risico’s. Waardoor zijn ze veroorzaakt? Als laatste is het van belang om helder te krijgen wat de dekkingsgraad is van de risico’s. Hoe ontwikkelt zich de financiële positie in relatie tot de risico’s?

48

Meer in detail zou een dergelijke rapportage er dan als volgt uitzien: Bedragen in € 1.000

Onderdeel

Ingeschatte Ingeschatte Mutatie Periode waarin Belangrijkste risico’s T risico’s T-1 van risico gelopen beheersmaatregel (noot1) het risico wordt

Wanneer moet duidelijkheid zijn over de beheersmaatregel

Toelichtng op de mutatie van risico’s

Programma 1

1000

2009

Fasering kan extra uitlopen

500

+500

2008-2012

Extra inzet en overleg om bezwaren snel

door toegenomen

af te handelen en mogelijk

bezwaren omgeving

ook plan aan te passen Programma 2

1450

2000

-550

2009

September 2009

Strakke bewaking op

Claim van aannemer is deels vervallen

planning en nieuwe afspraken met aannemer Actviteit 1

2000

1000

+1000

1 juni 2010

Nagaan of ambitieniveau

1 januari 2010

planning te halen

kunnen worden Actviteit 2

1000

500

+500

Extra inhuur van derden mogelijk aan de orde om

en afspraken bijgesteld

Planperiode

Nadere contractafspraken

Diverse

Aanvullende subsidie

2009-2010

met derde parij

bestuursrapportages en

mogelijk in verband

tussentijdse gesprekken

met tegenvallende

met bestuur van de

exploitatie-resultaten

stichting Project 1

-2000

-1000

-1000

1 maart 2010

Lobby bij Provincie

Vooroverleg omtrent

Mogelijkheid tot enerzijds

Besluitvorming door

om project op de

mogelijke kansen in

verhalen van onvoorziene

Provincie

prioriteitenlijst te krijgen

november 2009

kosten en extra subsidiemogelijkheid door Provincie in onderzoek

Project 2

2500

1500

+1000

---------

---------

---------

---------

---------

---------

---------

---------

Totaal

10.000

8.000

+2.000

2013

Nadere afspraken met

Inzichtelijk deels bij

Planschade en uitloop van

aannemer maken en

opstellen bestek

project en tegenvallende

bezien of er nog een

september 2009

aanbestedings-resultaat

versobering van plan

en aanbestedings-

in fase 1

plaats kan vinden

resultaat, januari 2010

Figuur 3.8: Meer gedetailleerde rapportage

Noot1: risico’s zijn ingeschat op basis van het gemiddelde scenario. Lage scenario laat risico’s zien tot een bedrag van € 6,0 miljoen. Hoog scenario komt uit op ruim € 14,2 miljoen.


49

3.2.4 Toezicht houden Voor alle partijen is het van belang dat er continu een adequaat inzicht in de risico’s is. Immers, risico’s zijn niet statisch en een goed up-to-date inzicht in de ontwikkeling van het risicoprofiel en de -positie is relevant om andere beslissingen op te baseren. Wie zijn er betrokken bij het toezicht op risico’s? Dat zijn afdelingshoofden, directeuren, secretaris, college, gemeenteraad, accountant, afdeling toezicht provincie, subsidieverstrekkers en overheid. Het mag duidelijk zijn dat een zekere gelaagdheid bestaat in het toezicht dat wordt uitgeoefend. Zo niet, dan zou sprake zijn van het stapelen van het toezicht. Hiernaast is een figuur met de verschillende rollen in het risico-controlproces opgenomen. Uit het bovenstaande blijkt dat het ambtelijk apparaat ervoor moet zorgen dat de maatregelen zijn geïncorporeerd en geïmplementeerd in de dagelijkse bedrijfsvoering (processen en systemen). Het college is verantwoordelijk voor het beleid omtrent risicomanagement en neemt beslissingen op grond van voorstellen die door het ambtelijk apparaat worden gedaan. De raad stelt de kaders met betrekking tot het risicoprofiel, het aan te houden weerstandsvermogen en neemt beslissingen op basis van gerapporteerde en gesignaleerde risico’s. De accountant en de toezichthouder nemen kennis van de diverse rapportages. Denk aan de begroting, de jaarrekening, de raadsvoorstellen, de inventarisatierisico’s, de methodiek. Dit om vast te stellen dat er een systeem bestaat en of dit werkt. Wanneer er twijfel is over de werking van het systeem dan wel de gepresenteerde uitkomsten dan zullen zij om nadere informatie vragen. Kan de toezichthouder vaststellen dat risicomanagement werkt en onderdeel is van het gedachtegoed binnen een organisatie? Belangrijke ijkpunten hiervoor zijn: • Wordt bij individuele voorstellen gerapporteerd over risico’s en de maatregelen die hiervoor genomen zijn dan wel kunnen worden genomen? • Is de rapportage over risico’s niet alleen voorbehouden aan de reguliere P&C-documenten zoals de begroting en de jaarrekening, maar bestaat aandacht voor de ontwikkeling en signalering van de risico’s bij bestuurlijke rapportages? Essentieel hierbij is de actieve informatieplicht, waarbij er dus ook informatie wordt verstrekt aan de raad wanneer er sprake is van relevante ontwikkelingen en

50

Lokale rekenkamer & auditcommissie Accountant Toetsen, Signaleren Financiële positie

Gebruik makend van het interne beheersingssysteem en inventarisatie organisatie

Kennis nemen rapportages Lokale rekenkamer & auditcommissie Rapportage Adviezen

Beleid en Besluitvorming

Processen en systemen

Figuur 3.9 Toezicht piramide

Raad Kaders Besluiten

College B&W Afweging Prioriteitsstelling

Ambtelijk apparaat Incorporeren in bedrijfsvoering Doen van voorstellen en analyse

Toetsing en review op hoofdlijnen

bijstellingen van de risico’s en risicoprofiel. • Is verantwoordelijkheid voor risicomanagement in de organisatie belegd? • Is het beoordelen van risico’s opgenomen in de verschillende processen en dus in de werkmethoden? • Worden aan het bestuur keuzen voorgelegd in relatie tot inschatting van risico’s en beschikbare geldmiddelen? Uiteraard is het afhankelijk van de afstand van de toezichthouder, zie figuur 3.9, of alle handelingen die bovenstaand zijn aangegeven, waarneembaar zijn. In de onderstaande checklist zijn de belangrijkste aandachtsgebieden rondom het aspect toezichthouden opgenomen: Deelproces

Criteria

Toelichting

Toezicht houden

Bedrijfsvoering

Is duidelijk of risico-identificatie onderdeel uitmaakt van de reguliere bedrijfsprocessen? Zijn er middelen beschikbaar voor het houden van audits en bijzondere onderzoeken bij geconstateerde (aanvullende/extra hoge) risico’s? Is er ruimte in de voorstellen, formatie en werkzaamheden om (verplicht) aandacht te besteden aan risicomanagement?

Grenzen

Hoe passen de risico’s binnen de door de Raad gestelde kaders? Hoe verhouden de geïdentificeerde risico’s zich tot vergelijkbare organisaties dan wel externe normen?

Toetsen

Zijn er recente rapportages over de geïdentificeerde risico’s? Heeft een analyse plaatsgevonden van de mutatie in risico’s en de effectiviteit van de geïntroduceerde beheersmaatregelen? Maakt een afzonderlijke risicoparagraaf onderdeel uit van de individuele voorstellen en de P&C-documenten?

Controle

Wordt het beleid ten aanzien van risicomanagement nageleefd? Wordt in de rapportage van de accountant ingegaan op het bestaan van een systeem van risicomanagement en de werking hiervan? Beschikt de toezichthouder over voldoende informatie om te kunnen controleren? Hierbij kan gedacht worden aan: - Of de risico’s goed worden gemanaged - Of de organisatie de risico’s beheerst (in control is) - Of de organisatie een solide financiële positie heeft

Financiële positie

Hoe is de ontwikkeling van de (vrije) financiële positie? Is het meerjarenperspectief met betrekking tot de financiële positie sluitend? Zijn er risico’s die gesignaleerd zijn die eerder voorzien hadden kunnen/moeten worden? Is er een recente rapportage van de provincie over de financiële positie?

Figuur 3.10: De

belangrijkste aandachtsgebieden rondom het aspect toezichthouden


51

3.3 Risicomanagement en het duale bestel Het duale bestel staat voor een scheiding tussen de ontwikkeling van het beleid, kaderstelling , uitvoering van het beleid en het toezicht hierop. Het duale bestel in de gemeentepolitiek heeft geleid tot een duidelijke verdeling van taken en verantwoordelijkheden tussen gemeenteraad en college van burgemeester en wethouders. Dit is weergegeven in figuur 3.11. Gemeenteraad De gemeenteraad stelt de kaders en het college voert het beleid uit binnen de gestelde kaders. De gemeenteraad controleert vervolgens in hoeverre de uitvoering van het beleid door het college binnen de vastgestelde kaders heeft plaatsgevonden. In het beleid kunnen gemeenteraad en college overeenkomen welke informatie de raad wanneer en op welke wijze wil hebben. Zo kan worden vastgelegd welke tussentijdse mutaties, inhoudelijk en financieel, op de plannen aan de gemeenteraad worden voorgelegd. Tevens kan in het beleid worden geanticipeerd op vooruitlopende plannen. College van B&W Het college legt jaarlijks in de risicoparagraaf bij de begroting de beleidsvoornemens neer voor het komende jaar. Tevens kan het college in een meerjarenprogramma een overzicht presenteren van de plannen in uitvoering en voorbereiding. Hierbij gaat het zowel om tijd, geld en programma als om een actieve of voorziende betrokkenheid van de gemeente bij de plannen. Tenslotte moet het college in het kader van de actieve informatieplicht via tussentijdse rapportages melding maken van afwijkingen op de plannen. De bandbreedte voor het rapporteren over deze afwijkingen kan in het beleid worden vastgelegd. Het is aan de gemeenteraad om te controleren of het college, bij het uitvoeren van het beleid, binnen de door de gemeenteraad vastgestelde beleidskaders is gebleven. Het college brengt daartoe periodiek (bijvoorbeeld bij de tussentijdse managementrapportage) verslag uit over het gevoerde beleid. De wijze van verslaglegging over het gevoerde beleid moet zodanig worden vormgegeven

52

Taak

Orgaan

Governance

Beleid opstellen

Gemeenteraad

Kaders stellen

Uitvoeren

College van B&W

Sturen Beheersen Verantwoorden

Toetsen

Gemeenteraad

Toezicht

Figuur 3.11 Duale Bestel

dat de gemeenteraad in staat is haar controlerende functie naar behoren uit te voeren. De raad kan in voorkomende gevallen zelfstandig onderzoek laten doen naar het beleid en specifieke projecten of de accountant opdragen met kleinere controlemarges specifiek naar het beleid te kijken. Zoals uit bovenstaande blijkt is er een relatie te leggen tussen risicomanagement en governance. Evenals het duale bestel heeft risicomanagement een duidelijke scheiding tussen ontwikkeling, uitvoering en verantwoording omtrent de (resultaten) van het beleid en de kaderstelling, controle en toezicht. Hiermee bestaat dus een scheiding tussen verantwoordelijkheden. Er is een controlerende taak voor de gemeenteraad. De spelregels van het duale bestel hebben als doel om zo goed mogelijk rekenschap af te kunnen leggen over de aanwending van publieke middelen. Het verschil met risicomanagement zit echter in het feit dat risicomanagement een verdiepingsslag kent. Beiden zijn gericht op scheiding van ontwikkeling en uitvoering van het beleid, maar risicomanagement gaat verder door de risico’s van de organisatie inzichtelijk te maken en hier beheersmaatregelen voor te ontwikkelen. Management/ambtelijke organisatie De ambtelijke organisatie voert het vastgestelde beleid uit. Het risicomanagementproces dient ingebed te worden in de reguliere processen en onderdeel uit te maken van de bedrijfsvoering. Het moet een dynamisch proces worden. Periodiek moeten alle risico’s opnieuw worden bekeken en nieuwe risico’s moeten worden ingebracht in het systeem van risicomanagement. De ambtelijke organisatie heeft vaak een goed zicht op waar zich risico’s voordoen in de bedrijfsvoering. Wel dient men ervoor te waken dat niet alle mogelijke risico’s in het systeem worden opgenomen. Voor elk niveau in de organisatie is een eigen niveau van inzicht in de risico’s vereist: een college stuurt op een ander niveau op risico’s dan een afdelingshoofd. In figuur 3.12 zijn de rollen in het kader van risicomanagement weergegeven. Deze rollen zijn verder uitgesplitst in taken en verantwoordelijkheden in figuur 3.13. In dit figuur is te zien welke taken de gemeenteraad en het college hebben en hoe de controlefunctie werkt.

Houdt toezicht Provincie

Gemeenteraad

Gemeenteraad

Stelt kaders

Accountant Lokale rekenkamer

Controleert

College van burgemeester en wethouders

Verantwoordt

Voert uit

Figuur 3.12 Rollen Risicomanagement Zie voor toezicht van de provincie het nieuwe “Gemeenschappelijk Toezicht Kader” genaamd zichtbaar toezicht van februari 2008.

Gemeenteraad Kaderstellen 1. Weerstandsvermogen

College/ ambtenaren uitvoeren

Jaarrekeningen en tussentijdse rapportages

Verordeningen 212 Begroting

Paragraaf Weerstands vermogen

Gemeenteraad Toezicht houden

Uitvoeren beleid

Paragraaf Weerstands vermogen

2. Risicoprofiel

3. Weerstandscapaciteit

Beleidsnota’s: 1. Risicobeheersing 2. Reserves en voorzieningen 3. Lokale heffingen 4 Grondbeleid 5 Verbonden partijen 6. Onderhoud kapitaalgoederen 7. Financiering

Accountant

Lokale rekenkamer Verantwoording afleggen

Beleids evaluaties Recht van enquête

Figuur 3.13 Taken Risicomanagement Risicomanagement meer dan de som der delen

53

Als vervolg op figuur 3.13 is in figuur 3.14 weergegeven wat de verantwoordelijkheden zijn van de betrokken partijen. Een groen vlak houdt in dat de desbetreffende verantwoordelijkheid van toepassing is voor het orgaan. 3.4 Integratie risicomanagement in de governance-cyclus In dit hoofdstuk is de governance-cyclus beschreven in relatie tot risicomanagement, nog van los van elkaar. In deze paragraaf zal worden ingegaan op nut en noodzaak van integratie van risicomanagement langs de lijnen van governance vorm te geven. Het onderkennen van risico’s en hierop actief te anticiperen is noodzakelijk om: • besluiten te nemen. Wat zijn de consequenties van ons handelen? Het is dan noodzakelijk om te weten waar beleid op te maken. • kaders mee te geven. Welk risico mag er worden gelopen en hoe wensen we hierover geïnformeerd te worden? • bijstellingen te plegen. Wanneer er zicht is op risico’s of deze zich manifesteren komt de vraag aan de orde: moeten we onze organisatie, procedures of instrumenten hierop aanpassen? • te communiceren. Wie wordt wanneer geïnformeerd en tot op welk niveau? Voor alle verschillende actoren in de governance-cyclus is het cruciaal om inzicht te hebben in de risico’s. De verschillende actoren zullen namelijk hun beslissingen beter kunnen nemen als inzicht bestaat in de aard, omvang en oorzaak van mogelijke risico’s. Het kennen van de risico’s en hier bewust mee omgaan, zal moeten resulteren in het ondernemen van acties. Naast het kennen van de risico’s draagt een adequaat systeem van risicomanagement ook bij aan het vergroten van de transparantie en het afleggen van een meer inzichtelijke en betere verantwoording. Het bewust inzichtelijk hebben van risico’s, het sturen hierop, het delen van deze hiermee gemoeide informatie en het nemen van maatregelen draagt bij aan het creëren van vertrouwen en openheid. Het besluitvormingsproces wordt hierdoor namelijk duidelijker.

54

Onderwerpen

Ambtelijk

College

Raad

Accountant Toezichthouder (provincie)

Risicobeleid In kaart brengen risico’s Monitoren Bijstellen Systeem Beheers Maatregelen Financiële vertaling Verantwoorden Autorisatie Beoordelen Adviseren Figuur 3.14 Verantwoordelijkheden Risicomanagement

De governance dimensie van risicomanagement: samenwerkingsverbanden Een organisatie in het westen van het land staat in een proces van deelnemen aan een Shared Service Center (SSC) met meerdere gemeenten. Deze organisatie staat voor de uitdaging om de invoeging in het SSC zo goed mogelijk vorm te geven. Met name het vormgeven van de relatie, de governance daarop en het managen van risico’s bleken grote vraagstukken. De volgende lessen bleken van belang: • Creëer een eenduidige set van taken, verantwoordelijkheden en bevoegdheden, ook in het licht van risicobeheersing. • Zorg voor een ‘logische volgorde der dingen’ in het proces: niet eerst plaatsen en dan pas nadenken over taakafbakening en strategie • Besteed aandacht aan alle aspecten van het SSC: systemen, mensen, processen, sturing en beheersing, financiën, etc. en benader deze aspecten integraal • Bepaal als organisatie welke balans je nastreeft tussen kwaliteit, efficiency en wendbaarheid bij toetreding tot het SSC en zorg dat deze balans geborgd is in het SSC (afspraken) • Zorg dat de bekende ‘faalfactoren’ in het SSC-proces zijn afgedekt

Zoals blijkt hebben risicomanagement en governance veel overeenkomsten. Beide instrumenten hebben als doelstelling een organisatie meer gecontroleerd te sturen. Hiermee wordt bedoeld dat het bestuur weet waar de kansen en risico’s van de organisatie liggen en hier de activiteiten op te baseren. Enerzijds de kansen uitbuiten en anderzijds de risico’s afschermen. Nu worden de overeenkomsten tussen governance en risicomanagement behandeld aan de hand van het risicomanagementproces. Kaderstelling & Strategie - Risicoanalyse Het risicomanagementproces kent als eerste twee stappen kaderstelling en strategie en risicoanalyse. Deze twee stappen corresponderen met het eerste aspect van governance: sturen. Binnen sturen wordt de strategie ontwikkeld en doelen vastgelegd voor de organisatie. Het vastleggen van resultaten is een onderdeel van risicomanagement, doordat het risico van het niet behalen van de resultaten wordt uitbesteed. Er wordt nagegaan waar de risico’s liggen voor de organisatie en dit wordt uitbesteed door middel van contracten.

Managers handelen niet altijd rationeel en dit heeft meetbare negatieve invloed op strategische beslissingen. Met Governance zou dit probleem wellicht aan te pakken zijn. De vraag is welke invloed Governance (goed ondernemingsbestuur en toezicht) kan hebben in het verminderen van de negatieve effecten van irrationeel gedrag van managers. De managers hebben een grote invloed op de investeringen en financiering van de organisaties die zij leiden. Aangezien de irrationaliteit geen bewust gedrag van managers is, blijkt dat een aantal mechanismen (dat uitstekend rationele economische problemen kan verminderen) niet werkt. Zo heeft bijvoorbeeld de beloningsstructuur naar verwachting geen invloed op het beperken van irrationele besluiten. Potentieel wel effectieve mechanismen lijken de rol van toezichthouders (gemeenteraad).

Vaardigheden De derde stap in het proces is het ontwikkelen van vaardigheden om de risico’s te beheersen en de organisatie tegen risico’s te beschermen. Deze derde stap correspondeert met het aspect beheersen van het governancemodel. Hierbinnen worden procedures en maatregelen ontworpen om de organisatie te beschermen tegen onzekerheden. Door middel van procedures en maatregelen probeert een organisatie het resultaat van het handelen te sturen en te richten, oftewel de onzekerheden en daarmee de risico’s te elimineren. Dit is de overeenkomst met vaardigheden ontwikkelen in het risicomanagementproces. Monitoren resultaten De vierde stap in het risicomanagementproces is het monitoren van de resultaten. De maatregelen die zijn genomen tegen risico’s worden gecontroleerd op effectiviteit. Heeft de organisatie onverhoopt toch risico’s gelopen ondanks de beheersmaatregelen, dan komt dit binnen het governance model overeen met toezicht. Hier is de essentie dat inhoudelijke risico’s en kwaliteit worden gecontroleerd. Het toezicht richt zich op continuïteit, met een langetermijnperspectief op de Risicomanagement meer dan de som der delen

55

Toezicht en Toetsing De vijfde stap in het risicomanagementproces is toezicht en toetsing. Dit is het moment binnen het proces waar verantwoording wordt gegeven over het uitgevoerde beleid. Verantwoorden uit het governancemodel is het controleren van de effectiviteit en efficiëntie van de bestedingen. Toezicht en toetsing heeft meer diepgang door de feedbackfunctie en de controle van risico’s, maar komt grotendeels overeen met verantwoorden. Verbetering De zesde stap uit het risicomanagementproces, continue verbetering, is niet expliciet weergegeven in het governancemodel. Dit is het grootste verschil tussen de instrumenten, maar logischerwijs leidt ervaring met governance tot verbetering van het proces. Dit is alleen niet weergegeven in het model. Als risicomanagement en governance gezamenlijk in een model zou worden gestopt wordt figuur 3.15 gevormd. In dit model zijn de processtappen van risicomanagement in de vier dimensies van governance gezet. Dit geeft een beeld van de overeenkomsten tussen governance en risicomanagement. Rolverdeling Om een relatie te leggen tussen de verschillende actoren in het systeem van risicomanagement in relatie tot de governance-cyclus is het volgende schema opgesteld (figuur 3.16):

56

STUREN

1. Kaderstelling Strategie

BEHEERSEN



2. Risicoanalyse

Gemeenteraad

kwaliteit van de taakinvulling. De gemeente kijkt vooral naar de financiële positie.

6. Continue Verbetering

4. Monitoren resultaten

TOEZICHT Figuur 3.15 Risicomanagement en Governance


VERANTWOORDING

5. Toezicht Toetsing

Actoren

Dimensies van governance

Acties

Besluiten

Gemeenteraad

Kaderstellen en toezicht houden

Beoordelen rapportages en adviezen van het college

Vaststellen uitgangspunten en methodiek risicomanagement Hoogte weerstandsvermogen vaststellen Vaststellen uitgangspunten projecten

College / directieraad

Sturen en toezicht

Toezien op implementatie risicomanagement in projecten Sturen op verantwoording van risico’s

Directie / ambtelijke top

Sturen, beheersen en Verantwoorden

Implementeren risicomanagement in projecten Sturen op scenarioplanning Opdracht tot kwantificering risico’s Hanteren risicomanagement als rapportage-instrument Maatregelen nemen voor het beheersen van de risico’s en hierover actieve terugkoppeling laten organiseren Aanspreken op gedrag

Afdeling / project

Beheersen, verantwoorden

Implementeren beheersmaatregelen ter opvangen van de risico’s Scenario analyse per product/project in beeld brengen Kwantificering risico’s Rapportage over ontwikkeling risico’s Bouwstenen aandragen voor in beeld brengen risico’s Werken binnen geformuleerde uitgangspunten projecten Binnen het projectonderdeel maatregelen nemen voor het beheersen van de risico’s en hierover actieve terugkoppeling In beeld brengen consequenties op financiële positie

Control financiën

Beheersen en toezicht houden

Bijdrage leveren aan de scenarioanalyse In beeld brengen consequenties op financiële positie Bijstellen methodiek/tool van risicomanagement

Figuur 3.16: Rolverdeling


57

58

4. Continue verbetering

Fa s e 1


innend/Groe Beg i en d . 2 Risicoanalys e o Be nito h e re n r esultaten Be ers maa he t re g e l e n ers Fam sea2at re ge le n


Fa s e 3

4.1 Ontwikkeling van risicomanagement De implementatie van risicomanagement is een groeiproces. Risicomanagement vergt een ontwikkeling en bewustwording en een aantal investeringen binnen de organisatie die een bepaalde doorlooptijd hebben. De implementatie van en groei in risicomanagement start bij het strategische beleid, met name omtrent personeel. De top van de organisatie moet zich bewust zijn van het belang van risicomanagement en dit ook uitdragen. Bij de implementatie van risicomanagement is een bepaalde ‘top-down’-druk nodig om het belang van risicomanagement te bevestigen bij de rest van de organisatie. Uiteindelijk zijn het de medewerkers die risicomanagement moeten dragen en ernaar moeten handelen. Daarom is het van belang dat het beleid qua personeel, promotie en werving en selectie ook is gericht op risicomanagement. Personeelsleden

Iedere organisatie doet al aan risicomanagement (verzekeringen, contracten, etc.), maar de vele risicomanagement activiteiten zijn vaak niet goed gecoördineerd en de organisatie is er zich niet altijd van bewust dat ze aan risicomanagement doen. Het vergt tijd en inspanning om de bewustwording en sturing van risico’s geïmplementeerd te krijgen binnen de organisatie. Dit groeiproces is onderverdeeld in drie fasen over het risicomanagementproces, zie figuur 4.1.

Leidend 6. Verbetering

Nadat in hoofdstuk 2 risicomanagement werd uitgewerkt, is governance in relatie risicomanagement in hoofdstuk 3 behandeld. In dit hoofdstuk gaan we in op het aspect van risicomanagement als instrument voor continue verbetering. Wat houdt dit in? Om risicomanagement als instrument voor continue verbetering te ontwikkelen, moet het een explicieter onderdeel worden van de bedrijfsvoering. Hoe een organisatie dit voor elkaar krijgt, wordt na de uitleg van risicomanagement als instrument voor continue verbetering behandeld. Vervolgens wordt er gekeken naar doelbereiking door middel van risicomanagement. Dit is het belangrijkste doel van risicomanagement. Afsluitend wordt er nog een aantal handreikingen gegeven die een organisatie helpt te groeien in risicomanagement.

moeten worden gestimuleerd om te werken en te denken in termen van risicomanagement. Hierbij kan worden gedacht aan de koppeling van bonussen, promotie en/of selectie aan het beheersen van risico’s. Een medewerker krijgt bijvoorbeeld een incentive aan het eind van het beleidsjaar als zijn/haar risico’s waren afgedekt en er geen negatief financieel gevolg is opgetreden. Bij werving en selectie is kennis van risicomanagement een aandachtspunt. Er zijn verschillende methoden om met behulp van het beleid risicomanagement beter geïntegreerd te krijgen in de organisatie.

Gemeenteraad

“Risicobewustzijn hoort bij ondernemerschap en zou vanuit die invalshoek moeten worden verankerd binnen het strategisch HRM-beleid van overheden.” Erik-Jan van Genderen, Regio ZuidHolland Zuid



4.

M 3.

3.

Figuur 4:1 Fase ontwikkeling risicomanagement


59

60

Fa s e 1

Leidend


Figuur 4.2 Risicomanagement proces en groeifasen

o Be nito h e re n r esultaten Be ers maa he t re g e l e n ers Fam sea2at re ge le n



Fa s e 3

Periodiek zal het proces geanalyseerd moeten worden. Er zal nauwkeurig gekeken moeten worden waar verbeteringen op zijn plaats zijn. Het college controleert of zij op koers ligt en of de doelstellingen of het beleid moet worden aangepast en geeft dit door aan de gemeenteraad in de vorm van feedback. De gemeenteraad past eventueel het beleid en/of de doelstellingen aan. Dit geeft nieuwe sturing aan het college om het beleid uit te voeren. Binnen de kaders worden de risico’s geanalyseerd en een strategie ontworpen om deze risico’s af te dekken. Tijdens de uitvoering door het college worden vaardigheden ontwikkeld die helpen de risico’s te beperken. De resultaten van de uitvoering worden bewaakt, waarmee tussentijds feedback wordt gegeven. Op basis hiervan kan nieuwe sturing worden gegeven. Aan het eind van het boekjaar of tussentijds wordt door het college gerapporteerd aan de gemeenteraad over de resultaten van de uitvoering van het beleid. Van hieruit worden de kaders (indien nodig) aangepast.

6. Verbetering

Door deze stappen periodiek te herhalen, ontstaat een proces van continue verbetering. Gemeenteraad en college hebben hierdoor een beter inzicht in de stand van zaken ten aanzien van de uitvoering van het beleid en de wijze waarop het kan worden verbeterd. De essentie is dat risicomanagement nooit af is en continu vraagt om aanpassingen en verbeteringen.

Van risico-inventarisatie naar risicomanagement De invoering van de WMO heeft voor gemeenten een nieuw terrein voor risicomanagement blootgelegd. De eerste stappen zijn vaak al gezet. Een gemeente wil het risicomanagement naar een hoger niveau tillen: van inventarisatie naar management van risico’s. Bij deze gemeente zijn risico’s globaal in kaart gebracht en er is een weerstandsvermogen opgebouwd waarmee de gemeente de risico’s, al dan niet in kaart gebracht, financieel op kan vangen. Op dit moment worden de meeste risicomaatregelen financieel beheerst. Bij een project worden de kosten van de risico’s geschat en als extra budget opgenomen. Men wil naar een situatie toe waarbij er niet alleen sprake is van inzichtelijkheid in de risico’s, maar waarbij er ook sprake is van het managen van risico’s, onder meer in verband met overschrijdingen van budgetten. Het ontwikkelpad is van risicoinzicht naar risicomanagement met behulp van diverse risicobeheersmaatregelen. Om dit te realiseren is een verdiepende inventarisatie uitgevoerd en is in een workshop gewerkt aan een risicoprofiel, waarbij kans en impact zijn gekoppeld aan risico’s en tevens beheersmaatregelen zijn benoemd. Dit risicoprofiel bevat een breder palet aan risico’s dan uit de bestaande inventarisaties komt en kent een proactief (in plaats van het reactieve karakter van de inventarisatie) karakter. Hierdoor kan beter worden geanticipeerd op de risico’s en daarmee risico’s ook worden voorkomen.

Gemeenteraad

4.2 Risicomanagement als instrument voor continue verbetering Als een organisatie groeit op het gebied van risicomanagement, kan risicomanagement worden ingezet als instrument voor continue verbetering, fase 3 van figuur 4.2. Dit houdt in dat risicomanagement wordt ingezet om het beleid en de uitvoering van het beleid te verbeteren. Dit wordt gedaan door middel van toezicht, toetsing en feedback. Dit betekent dat het opgestelde beleid tussentijds getoetst wordt door het college. Gaat alles volgens beleid? Zijn er afwijkingen? Zijn de doelstellingen nog haalbaar? Wat is hier voor nodig? De antwoorden op deze vragen worden teruggekoppeld aan de gemeenteraad. Als het nodig is kunnen er aanpassingen aan het beleid of de uitvoering van het beleid worden gemaakt en voorgesteld of kunnen nog realistischer verwachtingen en inzichten worden geboden.



4.

M 3.

3.

k

Feedba c

k

Bijstu

n

Feed b

ren

ture

k

Feedba c

APR

ac

Fe e

MRT

db

ren

JUL

Bijstu

AUG

k

ac

k

ack

db

SEP

Bijs

MEI

JUN

Figuur 4.3 Periodiek overleg risicomanagement

4.3 Risicomanagement als onderdeel van de bedrijfsvoering Hoe krijgt een organisatie risicomanagement tot onderdeel van de bedrijfsvoering? Wat houdt het in voor de organisatie als risicomanagement onderdeel van de bedrijfsvoering is? Om risicomanagement als onderdeel van de bedrijfsvoering te krijgen is het van essentieel belang dat risicomanagement gedragen wordt door de medewerkers en dat er een druk (‘sense of urgency’) van bovenaf is. Een belangrijke factor hierbij is het feit dat risicomanagement een middel is tot doelbereiking. Het belang van risicomanagement moet worden gedragen en uitgestraald door de gemeenteraad, college en managers. Alleen zo wordt risicomanagement onderdeel van de bedrijfsvoering. In dit onderdeel zullen we die stappen koppelen aan het verandermanagementmodel dat meer gericht is op de organisatorische kant van de bedrijfsvoering. Het verandermanagementmodel bestaat uit vijf stappen (figuur 4.4) en zijn: knelpunten, verandering, eindiging, experimenteren en integreren. Deze stappen volgen elkaar op in het veranderproces. Deze stappen zullen nu uitgebreider worden behandeld met voorbeelden van mogelijke aanpak. De eerste stap in dit veranderproces is de realisatie en analyse van de knelpunten binnen de organisatie (fase 1). Wat is

k

ac

ac

FEB

db

db

Feed back

NOV Fe e

OKT

JAN

DEC

Fe e

BE LE ID SB

G IN

e Fe

Het periodieke aspect hierin houdt het college en de gemeenteraad scherp continu te zoeken naar verbeteringen. In figuur 4.3 is een voorbeeld gegeven voor deze periodieke overleggen en feedbackmomenten voor een organisatie. Tijdens elk feedbackmoment bestaat de mogelijkheid aan te geven waar medewerkers tegen aan lopen. Door continu kleine aanpassingen hier in te maken ontstaat een proces van continue verbetering dat risicomanagement op een hoger niveau tilt. Om dit te bereiken zal een organisatie risicomanagement onderdeel moeten maken van de bedrijfsvoering. Hoe een organisatie dit kan bereiken, wordt in het volgende onderdeel behandeld.

AL EP

n ture Bijs

Dit is risicomanagement als instrument voor continue verbetering: het inzichtelijk maken van de kwetsbaarheid van de organisatie, beheersmaatregelen hier tegen ontwikkelen en het continu verbeteren van dit proces.

Risicomanagement

Fase 3

1/2 2/3 3/4 4/5

discussie/communicatie communicatie workshop/trainingen trainingen

Integreren 5

Experimenteren 4 Fase 2

Eindiging 3

Fase 1

Organisatie

Verandering 2

Knelpunten 1

Budgetcyclus

Medewerker Figuur 4.4 Verandermanagementmodel


61

62

Figuur 4.5 Risico- en verandermanagement

ito Va ren resultaten ard igheden he ers Fam a se 2at re ge le n

on


Exp

e r im e n t e n/ Ein d i gi n g

4.

M

3.


ten/Vera elpun nd Kn er 2. Risicoanalys ing e

Be


Fa s e 3

Het betrekken van alle medewerkers creëert draagvlak voor de veranderingen in de bedrijfsvoering. Immers wanneer medewerkers zich er bewust van zijn welke risico’s mogelijk worden gelopen en zij hiermee bekend zijn, is er vermoedelijk meer draagvlak om de bestaande beheersmaatregelen te veranderen en aan te passen aan de (wijzigende) omstandigheden. De derde stap binnen het veranderproces is de beëindiging van de huidige vaak ad-hoc wijze van (risico)sturing en de start van structureel, op verandering en verbetering gericht risicomanagement (fase 2). De ervaring van Deloitte leert dat het nodig is om topdown risicomanagement te stimuleren. Het is aannemelijk dat er weerstand ontstaat bij verandering en dit vereist een gedegen en doelgerichte aanpak. Het is van belang dat de eerste twee stappen rustig en goed worden doorlopen,

Fa s e 1

Integreren 6. Verbetering

De organisatie kan bijvoorbeeld risico’s lopen die het eigenlijk niet kan of mag? lopen, doordat de financiële middelen niet beschikbaar zijn om het risico te dekken. Dit heeft een negatief effect op het speelveld van het college. Het kan ook zijn dat er binnen de gemeente nog slechts beperkte bewustwording is van de risico’s. Deze analyse betrekt ook de knelpunten die de medewerkers ervaren binnen de organisatie. Welke processen voldoen niet aan de eisen van de organisatie en welk effect heeft dat op de bedrijfsvoering? Deze analyse kan bijvoorbeeld worden uitgevoerd door middel van discussies, vergaderingen en open communicatie over het onderwerp. De volgende stap binnen het veranderproces is het ontwikkelen van de verandering, de implementatie van risicomanagement. Dit begint bij de nadruk die de gemeenteraad en college vanuit hun rol in het duale bestel leggen op risicomanagement en daardoor de top van de ambtelijke organisatie stimuleert (vanuit hun verantwoordelijkheid voor bedrijfsvoering)volgens risicomanagement te werken. Welke processen, systemen, instrumenten of werkmethoden dienen te worden aangepast, verwijderd of aangemaakt? Wie moet zich hier verantwoordelijk voor voelen? Op deze manier betrek je risicomanagement binnen procesmanagement en kun je de risicomanagementprocessen linken aan de overige bedrijfsprocessen.

Van volgen naar sturen: loonsombeheersing Bij een gemeente was sprake van een tweevoudige loonsomproblematiek: 1. jaarlijks wordt het loonsombudget overschreden en 2. jaarlijks wordt de geraamde dekking van loonkosten in projecten (kredieten) niet gerealiseerd. De gemeente heeft vervolgens vier maatregelen getroffen om te komen tot beheersing van de loonsombudgetten: 1. Uitgangspositie is vastgesteld (loonsombudgetten per afdeling, bijpassende formatieplannen en omzettaakstellingen op kredieten). 2. Managementinformatie wordt maandelijks geleverd (formatie- en bezettingsoverzicht, overzicht inhuur derden, overzicht omzettaakstelling). 3. Verantwoordingsgesprekken worden maandelijks gehouden tussen directeur en afdelingshoofd, in aanwezigheid van de concerncontroller (met aandacht voor de loonsom); 4. Verbijzonderde interne controle uitgevoerd door de concerncontroller ter toetsing van het werkelijkheidsgehalte van de managementinformatie. De genoemde maatregelen hebben een goede uitwerking gehad. In het kader van risicomanagement heeft dit een extra sturingsinstrument opgeleverd.

Gemeenteraad

de situatie op dit moment en waar ondervinden we problemen?

3.

zodat risicomanagement sneller tot de bedrijfsvoering wordt opgenomen. Draagvlak is essentieel voor de implementatie van risicomanagement. Daarom is behalve het besef van urgentie ook het betrekken van medewerkers noodzakelijk. Dit kan bijvoorbeeld door het actief sturen, rapporteren en bevragen op de ontwikkeling en beheersing van de risico’s (daadwerkelijk navolgen van het ingezette risicomanagementraamwerk), waardoor medewerkers ook duidelijk wordt dat risicomanagement een reëel en essentieel onderdeel is van de bedrijfsvoering. Zichtbare veranderingen in de bedrijfsvoering zijn nodig om medewerkers te stimuleren nieuwe werkmethoden aan te leren. De vierde stap heet experimenteren waarin de organisatie en medewerkers een stap verder gaan in de implementatie van risicomanagement. Medewerkers gaan aan de hand van bijvoorbeeld trainingen en workshops de nieuwe bedrijfsvoering hanteren, aanpassingen worden toegepast en bewaakt binnen de organisatie. Na een overgangsperiode is het nodig dat risicomanagement volledig wordt doorgevoerd en dat er geen ruimte is voor andere methoden (fase 3). De combinatie van het verandermanagementmodel en het risicomanagementproces is grafisch weergegeven in figuur 4.5.

4.4 Risicomanagement: de kunst van cultuur

“Risicomanagement is cultuur” Diana Boender, Sectorcontroller Ambulancedienst ZHZ 4.4.1 Houding en gedrag Duidelijke en uitvoerbare kaders voor risicomanagement, inzicht in risico’s, heldere en eenduidige procedures en een hoge kwaliteit van bedrijfsvoering zijn allemaal belangrijk in het kader van risicomanagement. Maar uiteindelijk zijn houding en gedrag van ambtenaren, raads- en collegeleden van doorslaggevende betekenis bij het uitdragen, naleven, implementeren en

handhaven van een methodiek, werken zienswijze rondom risicomanagement. Houding en gedrag zijn sterk persoonsgebonden. Zij worden gevormd door de capaciteiten en vaardigheden, overtuigingen, identiteit en levensmissie van individuen. Het denken en handelen wordt behalve door houding en gedrag ook sterk beïnvloed door de omgeving, zoals de cultuur in de gemeentelijke organisatie. De organisatiecultuur is de gemeenschappelijke verstandhouding van de mensen in een gemeente over hoe het er in de gemeente dagelijks aan toe gaat. Het betreft het geheel van geschreven en ongeschreven regels dat het sociale verkeer tussen raads- en collegeleden en ambtenaren onderling en met de externe omgeving (burgers, instellingen, ministeries, provincies, etc.) vormgeeft. De organisatiecultuur geeft een vast patroon voor de aanpak en de oplossing van vraagstukken, zoals ook risicomanagement. Bij de beantwoording van de vraag in hoeverre risicomanagement bij een gemeente leeft, is inzicht in houding en gedrag van ambtenaren en in de cultuur van de gemeentelijke organisatie dan ook essentieel. Risicomanagement heeft niet alleen met regeltjes te maken, bewustzijn speelt een minstens zo belangrijke rol. Om risicomanagement ‘tussen de oren’ te krijgen, zal binnen veel gemeenten niet alleen een set regels, maar een cultuurverandering nodig zijn. Ten aanzien van risicomanagement is houding en voorbeeldgedrag van raadsleden, collegeleden en het ambtelijk management belangrijk. Wanneer zij weinig belang (lijken te) hechten aan risicomanagement, is de kans groot/aanwezig dat risicomanagement niet hoog op de agenda van ambtenaren staat. Dit geldt zeker als het bestuur of management zelf het beleid voor risicomanagement niet naleeft of daar inconsistent in is. Welke stijlsoorten zijn er om de benodigde cultuurverandering te realiseren en hoe kan cultuurverandering bijdragen aan de verbetering van het werken aan risicomanagement? Met alleen aanpassing van de hard controls komt u er niet. Welke kritische succesfactoren zijn bepalend?


63

4.4.2 Een kwestie van stijl Houding en gedrag met betrekking tot risicomanagement kun je abstract en vaag noemen. Daarom leggen we een relatie tussen houding, cultuur en veranderingen en de invloeden op de bedrijfsvoering en risicobeleid aan de hand van de onderstaande figuur. Verder geven we een aantal voorbeelden van werkstijlen die invloed hebben op de wijze waarop met het risicomanagement-vraagstuk bij een gemeente wordt omgegaan. Gedogen tegenover ‘zero-tolerance’ Voor de manier waarop een gemeente met risicomanagement omgaat, maakt het groot verschil of ‘zero-tolerance’ het heersende gedachtegoed is of dat tamelijk gemakkelijk met risicomanagement wordt omgegaan. Wanneer afwijken van de afspraken niet wordt getolereerd, is de kans op ongedekte of niet-inzichtelijke risico’s – zeker op de langere termijn – kleiner dan wanneer dat wel zo is. Informeel tegenover formeel Een ander cultuuraspect dat raakvlakken heeft met ‘zero-tolerance’ tegenover gedogen, is formeel tegenover informeel. In een formele organisatie heerst een sterke mate van discipline: afspraak is afspraak. Wanneer de cultuur van een gemeente formeel is, zal gedisciplineerd en gecontroleerd met risicomanagement worden omgegaan. De ambtenaren worden goed geïnstrueerd bij de uitvoering en optimalisatie van risicomanagement. Het gevaar van onvolledig of onjuist risico-inzicht neemt dan zeker af. Bij een meer informele cultuur in een gemeente is de sfeer vaak losser, de discipline en controle is minder sterk en er is vaak meer ruimte voor creativiteit (in zowel positieve als negatieve zin). Bij een informele cultuur is de kans op het niet naleven van de afspraken rond risicomanagement over het algemeen groter. Resultaatgericht tegenover formalistisch Een formalistische tegenover een resultaatgerichte cultuur heeft ook invloed op het naleven en handhaven van afspraken rond risicomanagement. In een formalistische omgeving worden risico’s gemeden. De organisatie is dan vaak normatief ingesteld. Het gaat om het juist toepassen van procedures en afspraken. Bij deze cultuur is de kans groot dat de aandacht voor risicomanagement groot is en onzuiverheden

64

Houding, gedrag en cultuur en de impact op: • Gedogen tegenover ‘zero-tolerance’ • Informeel tegenover formeel • Resultaatgericht tegenover formalistisch • Open tegenover gesloten • Leren tegenover afrekenen Cultuur van de gemeente Bepaalt Denken en handelen Beïnvloedt

Bedrijfsvoering (hard & soft controls)

Risicobeleid (hard controls)

Figuur 4.6 Invloed van cultuur, houding en gedrag

Cultuur (soft controls)

minder voorkomen. Bij deze cultuur is het echter niet ondenkbaar dat het naleven van regels en procedures belangrijker wordt gevonden dan het ‘dienen van het doel’. Wat we realiseren is dan minder belangrijk, als het maar volgens de regels gaat, lijkt dan het credo. Het gaat bij een resultaatgerichte cultuur om het bereiken van het resultaat. Procedures en regels worden gemakkelijker terzijde geschoven om een bepaald resultaat te bereiken. Bij dergelijke gemeenten wordt gezocht naar de ruimte en mogelijkheden van risicomanagementbeleid in plaats van dat de beperkingen en onmogelijkheden de boventoon voeren. Dit betekent in de praktijk nog wel eens het zoeken naar de grenzen van wat kan en mag. Dergelijke gemeenten bereiken veel, maar lopen een hoger risico. Substance over form Twee begrippen die nauw samenhangen met formalistisch tegenover resultaatgericht zijn substance en form. Staat bij een gemeente de inhoud (substance) centraal of gaat het meer om de formaliteit (form)? Wanneer bij een gemeente de cultuur is om naar de ‘geest’ van risicobeleid te handelen, is de kans aanwezig dat goede resultaten worden bereikt, maar dat in formele zin risicobeleid niet op alle aspecten juist is toegepast. Wanneer de cultuur meer is gebaseerd op het toepassen van de ‘letter van beleid’, is de kans op onzuiverheden kleiner. Het gevaar is echter wel dat met deze wijze het doel voorbij wordt geschoten. Open tegenover gesloten Een ander belangrijk gedragsaspect is of het bij een gemeente gebruikelijk is elkaar aan te spreken op taken en verantwoordelijkheden en dus ook op gedrag. Wanneer ambtenaren, raads- en collegeleden elkaar aanspreken op het naleven en handhaven van risicobeleid gaat risicomanagement in een organisatie ‘leven’. Dit draagt bij aan bewustwording rondom het begrip risicomanagement. Dit is een basisvoorwaarde om risicomanagement nader inhoud te geven in een gemeente. Het elkaar aanspreken op taken, verantwoordelijkheden en gedrag hangt nauw samen met een open cultuur van een gemeente. In een open cultuur zijn medewerkers ‘transparant’ en zijn er weinig drempels om elkaar te benaderen. Wanneer sprake is van een gesloten cultuur heerst er een sfeer van ‘bij jezelf houden’ met mogelijk verborgen en/

of dubbele agenda’s. Risico’s worden dan meer ‘onder de pet’ gehouden en een open discussie over taken en verantwoordelijkheden in het kader van risicomanagement ontstaat dan vaak moeizaam. Leren tegenover afrekenen De wijze waarop ambtenaren, raads- en collegeleden denken en handelen met betrekking tot risicomanagement wordt ook ingegeven door de mate waarin een leercultuur heerst. In een leercultuur mogen fouten worden gemaakt en durven medewerkers zich kwetsbaar en transparant op te stellen. De cultuur is gericht op het leren van fouten van jezelf en van anderen. Dat kan alleen als mensen fouten durven toe te geven. Een absolute voorwaarde voor een leercultuur is dat medewerkers zich veilig voelen in de organisatie. Tegenover een leercultuur staat een afrekencultuur. In deze cultuur staan verantwoordelijkheden en concreet, meetbare doelstellingen centraal. Wanneer dan fouten worden gemaakt, volgt een afrekening (in welke vorm dan ook). De leer- of afrekencultuur bepaalt sterk de ontwikkeling van ‘controle’ in een gemeente. In een leercultuur is controle gericht op het voortdurend verbeteren van de organisatie. Controle draagt dan veel meer het karakter van onderzoek. In een afrekencultuur zal controle primair gericht zijn op het voorkomen van fouten en op het beoordelen van medewerkers om te kunnen belonen of straffen. 4.4.3 Cultuurverandering Houding, gedrag en werkwijze bepalen in een gemeente het denken en handelen. En dit bepaalt dus ook hoe het er in een gemeente voor staat ten aanzien van risicomanagement. Hierdoor wordt de kwaliteit bepaald, maar ook de mate van naleving en handhaving ervan. Houding, gedrag en organisatiecultuur bepalen ook de wijze waarop, indien nodig, de aanpak van het risicomanagement-vraagstuk wordt vormgegeven. Houding, gedrag en cultuur geven richting aan het verbeteren van de kwaliteit van risicomanagement en de kwaliteit van de bedrijfsvoering. Het is hierbij goed denkbaar dat daarvoor een cultuurverandering nodig is. Deze cultuuromslag zal onderdeel moeten uitmaken van de invoering van risicomanagement.


65

Cultuurbeïnvloeding en cultuurverandering is lastig. Het is niet ‘even’ bedacht en doorgevoerd. Om ervoor te zorgen dat risicomanagement wordt opgepakt en gedragen in de organisatie, is het goed managen van het veranderproces essentieel. Omstandigheden van veranderingsprocessen zijn uniek voor elke organisatie. Er bestaat geen standaardplan. Elke organisatie is anders, kent een andere voorgeschiedenis als het gaat om veranderingen en heeft een eigen cultuur en dynamiek. Toch is er wel een aantal relaties te leggen in de stappen die moeten worden doorlopen bij een veranderingsproces. De kritische succesfactoren hierin zijn opgenomen in figuur 4.7. 4.5 Risicomanagement als instrument om je doel te bereiken In hoofdstuk 1 is reeds benoemd dat je doel bereiken een essentieel onderdeel is van risicomanagement. In dat hoofdstuk is reeds de relatie gelegd met governance en de druk vanuit weten regelgeving. In deze paragraaf zal op deze doelstelling van risicomanagement nader worden ingegaan. De huidige budgetcyclus die veel gemeenten hanteren op dit moment is gericht op resultaten uit het verleden. Voor het begin van het boekjaar wordt het beleid voor het komende boekjaar opgesteld op basis van resultaten van afgelopen jaren. Vervolgens wordt er aan het eind van het boekjaar verantwoording afgelegd over de resultaten van het beleid en wordt er weer nieuw beleid opgesteld voor het komende jaar. Het nadeel van dit systeem is dat je geen controle hebt op het succes van het beleid. Achteraf wordt het resultaat beoordeeld, wanneer er geen mogelijkheid meer is om bij te sturen. Hier komt bij dat er nog niet eens wordt gekeken naar het risico van het gevoerde beleid. Is het gekozen beleid niet onnodig risicovol geweest? Als het beleid haar doelen heeft gehaald, kan het zo zijn dat dit komt omdat de gevolgen van de gelopen risico’s niet zijn opgetreden. Als dan voor het komende boekjaar het beleid op basis van de resultaten van het vorige beleid wordt opgesteld is de mogelijkheid groter dat de gevolgen van de risico’s dit jaar wel optreden.

66

Figuur 4.7 kritische succesfactoren veranderproces

Risicomanagement biedt een ander, breder perspectief op bedrijfsvoering en haar doelen. Vooraf wordt op basis van analyses het risico van het gekozen beleid bepaald. Dit geeft inzicht in het (financiële) risico dat de organisatie loopt. Op basis van de onderkende (financiële) risico’s kunnen doelstellingen al worden aangepast en maatregelen worden bedacht om de (financiële) risico’s in te perken. Voordat het (boek) jaar is begonnen, geeft dit al meer zekerheid over de doelstellingen van de organisatie. Tussentijds worden vervolgens de risico’s en de omvang (wat is de ontwikkeling en mutatie) hiervan bijgesteld en (eventueel) nieuwe beheersmaatregelen geïntroduceerd. Zo zorgt risicomanagement voor een breder inzichtelijker perspectief op realiseren van de geformuleerde doelstellingen. 4.6 Handreikingen voor risicomanagement Hieronder is een aantal handreikingen gegeven om het implementeren van risicomanagement in de organisatie te versoepelen. Deze handreikingen zijn niet exclusief en kunnen per organisatie worden gewijzigd of aangevuld. i. Risicomanagement Bepaal als organisatie wat wordt verstaan onder risicomanagement. Dit betekent dat er helderheid moet zijn over onder meer het te hanteren risicomanagementraamwerk, de te zetten stappen, de in te zetten instrumenten, de invulling van het risicomanagementbeleid, de inrichting van het risicomanagementsysteem en de doelstellingen die worden beoogd met risicomanagement. Zorg dat de organisatie helder voor ogen heeft wat er mee kan worden bereikt, wat de mogelijkheden zijn van risicomanagement. Dit voorkomt teleurstellingen en helpt de organisatie risicomanagement beter te begrijpen.

Het risicomanagementproces: grote projecten Een gemeente is serieus bezig met risicomanagement door het vastleggen van helder beleid, verdeling van taken en verantwoordelijkheden, training van medewerkers en ondersteuning door middel van een risicomanagementinformatiesysteem. Met name het risicomanagement rond projecten verdiende extra aandacht. Het project moet leiden tot directe invoering van risicoanalyses op strategische projecten en trajecten. Door het uitvoeren van een analyse zijn de volgende bevindingen gedaan: 1. Inhoudelijk - inzicht in projectrisico’s onvoldoende - regierol subsidies ontbreekt - geen totaalbeeld risico’s WMO 2. Cultuur - geen eenduidig begrippen kader - angst voor communicatie over risico’s - politieke gevoeligheid 3. Proces - (eerder) betrekken portefeuillehouder - vooraf investeren in kennis - politieke actualiteit - beter plannen Dit heeft geresulteerd in een verdere verfijning van het risicomanagementproces, met specifieke aandacht voor projectrisico’s door het ondernemen van de volgende acties: • Opstellen beleidsplan • Training workshops/cursussen • Proces integraal risicomanagement uitrollen • Risico analyses op thema’s • Verzekeringsanalyse en professionaliseren beheer • Communicatie verbreden en intensiveren

ii. Doelstellingen Wat is het doel van risicomanagement? Wees realistisch in de doelstellingen. Zo is het veelal niet haalbaar om voor alle mogelijke risico’s acties te formuleren: een risico-overzicht met 500 risico’s is niet werkbaar. Het is dan ook niet raadzaam om als doelstelling 100% dekking van alle mogelijke risico’s na te streven. Onthoud dat tijd en energie een vereiste zijn voor de implementatie van risicomanagement. Bepaal wat Risicomanagement meer dan de som der delen

67

al wordt gedaan aan risicomanagement (budgetten, verzekeringen, etc.) en baseer mede hierop de gewenste situatie voor de organisatie. iii. Risicomanagementmethode Bij het toepassen van risicomanagement heeft de organisatie een methode (van inventariseren en monitoring) nodig om haar risicoprofiel op te stellen. Kies een methode die geschikt is voor de organisatie. In hoofdstuk 2 zijn verschillende methoden van risicomanagement toegelicht. De gekozen methode moet goed passen bij de organisatie, anders wordt het ‘tussen de oren krijgen’ van risicomanagement een (te) grote uitdaging. Bepalend bij de keuze van de methode is ook de ontwikkelingsfase waarin een organisatie zich bevindt: een sterker ontwikkelde en geprofessionaliseerde organisatie kan een complexere methode van risicomanagement hanteren. iv. Rapportage Voor de organisatie is het van belang een wijze van rapportage te kiezen die past binnen het BBV. Volgens het BBV zijn provincies en gemeenten verplicht hun weerstandsvermogen (het vermogen risico’s te dekken) in kaart te brengen aan de hand van hun risicoprofiel. Dit houdt in dat jaarlijks een weerstandsparagraaf dient te worden opgesteld in de beleidsbegroting waarin de weerstandscapaciteit (de middelen om de risico’s te dekken) wordt behandeld. v. Risicomanager Afhankelijk van de grootte van de organisatie is het mogelijk dat een risicomanager of risico-eenheid wordt aangewezen. Dit kan, afhankelijk van het ontwikkelstadium van risicomanagement binnen de organisatie, ook worden belegd bij bijvoorbeeld de controller. Deze aangewezen medewerker (de ‘risicomanager’) of eenheid waakt over het proces van risicomanagement, onderzoekt onderliggende verbinding tussen afdelingen, beheersmaatregelen en verantwoordelijkheden. De rol van risicomanager is duidelijk een expertrol. De risicomanager adviseert, geeft handreikingen, toetst, volgt ontwikkelingen, ondersteunt bij het signaleren van risico’s, onderhoudt het risicomanagementraamwerk en jaagt het risicomanagementproces aan. In vorige hoofdstukken is de taak van de risicomanager of risico-eenheid dieper behandeld. Alertheid is geboden bij een dergelijke

68

hulpstructuur om de verantwoordelijkheid voor inventariseren, managen en bijsturen van de risico’s een verantwoordelijkheid is en blijft van het (lijn-) management. vi. Verantwoordelijkheid Niet alleen voor de kwaliteit van de implementatie, maar zeker ook voor het effect van risicomanagement is het van belang dat medewerkers verantwoordelijk worden gemaakt voor risico’s. Een mogelijkheid is ook om medewerkers te belonen door bijvoorbeeld een variabel salaris te koppelen aan het succes bij het bereiken van de vooraf gestelde doelstellingen. Een belangrijke randvoorwaarde hierbij is dat de rollen helder zijn gedefinieerd in het kader van risicomanagement: iedere medewerker moet weten wat zijn of haar rol is en welke verantwoordelijkheid daarbij hoort. Gestructureerd risicomanagement is onmisbaar bij het bereiken van je doelstellingen. Het actief inventariseren en het treffen van beheersmaatregelen helpt de verantwoordelijk manager bij het realiseren van zijn doelstellingen. In ieder geval neemt het inzicht toe ten aanzien van de vraag: wat staat het realiseren van de gestelde doelen in de weg. (omdat er bepaalde risico’s zijn) vii. Belang van draagvlak Ongeacht welke aanpak de gemeente uiteindelijk kiest om te komen tot implementatie van risicomanagement, is draagvlak onontbeerlijk voor het concept. Het toepassen van risicomanagement heeft namelijk duidelijke consequenties voor de organisatie. Dit draagvlak kan op de volgende wijze bewerkstelligd worden zowel bij aanvang als bij de verdere uitrol van risicomanagement: • Kennissessie met ambtelijke en politieke sleutelfunctionarissen • Sponsor binnen managementteam (MT) (en eventueel politiek) • Eenvoudig beginnen (met een pilot) • Voldoende robuuste projectorganisatie • Aansluiting op bestaande initiatieven, concepten en systemen viii. Kennissessie met diverse ambtelijke (en bestuurlijke) sleutelfunctionarissen Indien risicomanagement wordt geïnitieerd vanuit een

staffunctie of een beperkt deel van het lijnmanagement is het aan te raden om in eerste instantie een kennissessie te organiseren met het voltallige MT en eventueel een afvaardiging uit het bestuur. Tijdens deze sessie kan het onderwerp verder uitgediept worden en de toegevoegde waarde inzichtelijk worden gemaakt door middel van concrete voorbeelden. ix. Sponsor binnen MT (en eventueel bestuur) Risicomanagement is een verantwoordelijkheid van de lijn. Om deze reden is het belangrijk dat op het hoogst ambtelijk niveau binnen de organisatie een sponsor aanwezig is voor het concept. Hij of zij dient risicomanagement actief te ondersteunen in woord en daad en het (overige) management hierop aan te spreken indien noodzakelijk. Zonder een sponsor is het reële gevaar aanwezig dat dit onderwerp uiteindelijk niet serieus wordt genomen. Hierdoor wordt geen toegevoegde waarde gerealiseerd en blijft het hoogstens een instrument waar met name de staf belang aan hecht.

“Projecten zijn leuke uitdagingen voor risicomanagement” Jan Vermeule, gemeente Amersfoort x. Eenvoudig beginnen (met een pilot) Na de kennissessie raden wij aan om de voorgestelde aanpak in eerste instantie een pilot uit te voeren. Bij voorkeur vindt deze pilot plaats bij een afdeling, sector of beleidsveld die zelf aangegeven heeft graag mee te willen doen. Een belangrijk voordeel van een pilot is de mogelijkheid tot realisatie van ‘quick wins’ die gebruikt kunnen worden voor draagvlak bij de verdere uitrol. Bovendien kan een organisatie op deze wijze met beperkte middelen kennismaken met de nieuwe aanpak. Op basis van de ervaringen kan vervolgens bepaald worden of er bijvoorbeeld aanpassingen moeten worden doorgevoerd in de opzet danwel methodiek.

xi. Voldoende robuuste projectorganisatie Een essentiële basis voor draagvlak is een voldoende robuuste projectorganisatie. Een dergelijke projectorganisatie bestaat bij voorkeur uit een stuur- en werkgroep. De taken van deze groep zijn de volgende: • het beoordelen van de uitgangspunten van het project • het beoordelen van de kwaliteit van de (tussentijdse) projectresultaten in de vorm van notities, rapportages en presentaties • het bewaken van de voortgang van het project • het fungeren als sponsor voor risicomanagement richting de rest van de organisatie • het zorgdragen voor de communicatie richting de rest van de organisatie Daarnaast verdient het de voorkeur om binnen deze stuurgroep één of twee personen aan te wijzen die tussentijds beslissingen kunnen nemen. Dit is bevorderlijk voor de voortgang van een risicomanagementproject. In de werkgroep nemen de medewerkers deel die verantwoordelijk zijn voor het daadwerkelijk uitvoeren van de activiteiten inzake risicomanagement. Externe ondersteuning is hierbij aan te raden. Het betreft namelijk nieuwe materie, waarbij specifieke kennis onontbeerlijk is. Indien deze onvoldoende binnen de organisatie beschikbaar is, dient deze van buiten aangetrokken te worden. Een belangrijke basis voor het succesvol implementeren van risicomanagement is namelijk gelegen in een succesvolle start. Indien dit niet lukt, wordt het erg moeilijk om alsnog resultaten te boeken. Indien steun van buitenaf wordt ingeroepen, is het verstandig een gezamenlijke werkgroep in te stellen. Op deze wijze kan namelijk gedurende het traject een optimale kennisoverdracht plaatsvinden. xii. Aansluiting op bestaande initiatieven, concepten en systemen Om de belasting van de organisatie zoveel mogelijk te beperken, is het sterk aan te raden om risicomanagement aan te laten sluiten bij reeds bestaande initiatieven, concepten en systemen. Zo kan overwogen worden om risicomanagement te koppelen aan projecten ter verbetering van de kwaliteit van de Risicomanagement meer dan de som der delen

69

organisatie (bijvoorbeeld INK-positiebepalingen). Tevens kan gedacht worden aan het benutten van natuurlijke momenten in de planning & controlcyclus. Bij het opstellen van de begroting of jaarplan is het namelijk voor de hand liggend om naast de doelstellingen, plannen en financiën tevens na te denken over de risico’s die mogelijkerwijs een belemmering kunnen vormen bij de realisatie.

70


71

72

5. Weerstandsvermogen

Een belangrijk onderdeel van risicomanagement is het weerstandsvermogen. In dit hoofdstuk wordt een korte definitie gegeven van de opbouw van weerstandsvermogen en de elementen die daaraan zijn gekoppeld. Risicomanagement wordt gedefinieerd als het identificeren en kwantificeren van risico’s en het bepalen van activiteiten die de kans van optreden en/of de gevolgen van risico’s beheersbaar houdt/ maakt. Deze activiteiten worden beheersmaatregelen genoemd. Een onderdeel van de beheersmaatregelen wordt gevormd door het op niveau houden van de financiële positie door het opbouwen van weerstandsvermogen. Door risico’s in kaart te brengen binnen de gemeente en maatregelen te treffen ter beheersing van deze risico’s kan de benodigde weerstandscapaciteit worden verlaagd. Doordat de weerstandscapaciteit wordt verlaagd kan uw gemeente dit geld voor andere doeleinden in uw organisatie inzetten.

Risico’s


Economisch Politiek Juridisch Milieu Financiële houding Garantieverplichting

+

Algemene Reserve Onbenutte Belastingcapaciteit Stille Reserve Post Onvoorzien Grondexploitaties Rente over Reserves

= Weerstandsvermogen Verzekeringen Voorzieningen Beheersmaatregelen

Figuur 5.1 Methodiek Weerstandsvermogen

De weerstandscapaciteit van een organisatie is het geheel van middelen en mogelijkheden om niet begrote, onverwachte en substantiële kosten te dekken. 5.1 Definitie De weerstandscapaciteit kan zowel incidenteel als structureel zijn. Incidentele weerstandscapaciteit is het vermogen om calamiteiten en andere eenmalige tegenvallers op te vangen zonder dat dit invloed heeft op de voortzetting van het bestaande beleid. Bij het bepalen van het weerstandvermogen zijn twee elementen belangrijk, namelijk risico’s en weerstandscapaciteit. Een risico is de kans op een gebeurtenis die een (negatief) effect heeft op de bedrijfsvoering en/of de financiële positie, vermenigvuldigd met de impact (omvang)

van de gebeurtenis. Belangrijk hierbij is dat de organisatie zich bewust is van risico’s zodat zij tijdig noodzakelijke maatregelen kan nemen en kan sturen op de risico’s. De weerstandscapaciteit bestaat uit de middelen die een organisatie heeft om de negatieve gevolgen te kunnen dekken, bijvoorbeeld reserves, bezuinigingsmogelijkheden en onbenutte belastingscapaciteit. Dit is geïllustreerd in figuur 5.1 die is gebaseerd op een model uit ‘Handreiking Weerstandsvermogen voor Raadsleden’ van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties. Risicomanagement meer dan de som der delen

73

5.2 Financiële positie De financiële positie is het vermogen van een organisatie, in relatie tot de exploitatie en met inachtneming van de risico’s, haar beleidsvoornemens te kunnen uitvoeren, zowel op de korte als lange termijn. De financiële positie van een gemeente kan worden bepaald op basis van financiële ijkpunten, zoals onder meer de omvang van het vermogen en de belastingdruk als vangnet voor risico’s. Om inzicht te krijgen in de daadwerkelijke financiële positie van een gemeente is het van belang dat wordt gekeken naar het huidige voorzieningenniveau binnen de gemeente en/of de structurele en incidentele lasten daaruit zijn opgenomen in de begroting en het meerjarenperspectief. Daar tegenover kan een minimaal voorzieningenniveau worden gezet dat op langere termijn gewenst is. Dit gewenste voorzieningenniveau (indien dit afwijkt van het huidige voorzieningenniveau) kan een rol (gaan) spelen bij het bepalen van de benodigde financiële positie van een gemeente. 5.3 Weerstandsvermogen Het weerstandsvermogen is de mate waarin onverwachte financiële tegenvallers kunnen worden opgevangen. Hierbij wordt de weerstandscapaciteit afgezet tegen de risico’s die een gemeente loopt. Weerstandsvermogen kan zowel een statisch als een dynamisch karakter hebben. Statisch weerstandsvermogen is het vermogen om tegenvallers op te vangen zonder dat dit tot beleidswijzigingen in het begrotingsjaar zelf leidt. Dynamisch weerstandsvermogen is het vermogen om tegenvallers op te vangen zonder dat dit consequenties heeft voor het beleid in meerdere begrotingsjaren. Weerstandsvermogen bestaat uit beschikbare weerstandscapaciteit gedeeld door de benodigde weerstandscapaciteit. Allereerst moet worden gesteld dat de wetgever geen absolute norm heeft gesteld. In de toelichting op artikel 11 van het BBV is aangegeven dat gemeenten zelf een beleidslijn en normering moeten bepalen. Als argumentatie wordt hiervoor gegeven dat het identificeren en ook manifesteren van risico’s dusdanig specifiek is per gemeente dat hiervoor geen algemene norm is te geven.

Financiële positie

Sluitende begroting

Weerstandsvermogen

Risico’s


Figuur 5.2: Financiële positie

Financiële positie

Sluitende begroting

Weerstandsvermogen

Risico’s


Figuur 5.3: Weerstandsvermogen

Beoordelingstabel weerstandsvermogen Categorie

Ratio weerstandsvermogen

Betekenis

A

>2

Uitstekend

B

1,4 < X < 2

Ruim voldoende

C

1,0 < X < 1,4

Voldoende

D

0,8 < X < 1,0

Matig

E

0,6 < X < 0,8

Onvoldoende

F

< 0,6

Ruim onvoldoende

Figuur 5.4: Beoordelingstabel weerstandsvermogen

74

statisch <1 j. dynamisch >1 j.

Door het Nederlands Adviesbureau voor Risicomanagement (NAR) is in een artikel in B&G6 een uitspraak gedaan over verschillende klassen van aan te houden weerstandsvermogen in relatie tot zich manifesterende risico’s. Hierbij is de volgende kwalificatie gegeven van de omvang van het weerstandsvermogen in relatie tot geïdentificeerde risico’s: Gelet op het bovenstaande zou een weerstandsvermogen van 1,0 net als voldoende worden gekwalificeerd. Toch moet enige nuancering bij dit getal worden aangebracht. Op basis van het in het artikel gehanteerde uitgangspunt zou er sprake van zijn dat er voldoende weerstandsvermogen is > 1,0. Deze zienswijze lijkt conservatief. Immers, op basis hiervan zou voor elk risico tenminste meer dan het risico aan financiële middelen aanwezig moeten zijn. De inschatting van de huidige risico’s is gebaseerd op een inschatting van de risico’s bij het beoordelen van de toekomstige exploitatie, programma’s en projecten. Hierop zijn dus vaak nog diverse mogelijkheden tot bijsturing aanwezig. Immers, de risico’s zijn te beïnvloeden door het treffen van beheersmaatregelen of aanpassing van plan- en besluitvorming. Bovendien is het niet waarschijnlijk dat alle risico’s zich (tegelijk) zullen gaan manifesteren. Aan de andere kant zullen risico’s bestaan dan wel gaan ontstaan die op dit moment nog niet ingeschat zijn. 5.4 Risico’s Risico’s zijn te omschrijven als al die gebeurtenissen die het realiseren van de organisatiedoelstellingen in de weg staan: latent aanwezige, ongewenste implicaties van onzekerheid, zoals:

risico’s die aan de voorkant buiten de risicoinventarisatie blijven. Dit betekent dat men het bestaan ervan kent (of tenminste vermoedt), maar deze niet of onvoldoende in beeld (c.q. gekwantificeerd) krijgt. Achteraf onbekende risico’s zijn die risico’s die buiten de risico-inventarisatie blijven, omdat ze onbekend zijn en zich onverwacht openbaren (men vermoedde het bestaan niet). Risico’s zijn in te delen in verschillende groepen of velden. De meest voorkomende groepen risico’s voor gemeenten zijn: • Operationeel: procedures, systemen • Imago/politiek/bestuurlijk: crisis, imago, vallen college, aftreden wethouder • Markttechnisch: vraag, prijs, kwaliteit, conjunctuur • Juridisch: zorgplicht, aansprakelijkheid • Krediettechnisch: solvabiliteit, rentegevoeligheid • Menselijk: zorgeloosheid, ‘gedogen’, fraude • Financieel: verlies financiële middelen • Bedrijfsproces: onvolkomenheden in proces, zoals signalering risico’s • Informatie/strategie: eenduidigheid strategie, volledigheid en juistheid informatie • Product: continuïteit werkzaamheden of aansprakelijkheid • Letsel/veiligheid: veiligheid medewerkers • Milieu: bodemverontreiniging, luchtkwaliteit en voortgang plannen

Financiële positie

Sluitende begroting

i. onzekerheid van getroffen object ii. onzekerheid van gebeurtenis (risicofactoren) iii. onzekerheid van aard en omvang gevolgen (schade)

Weerstandsvermogen

Risico’s


Figuur 5.5: Risico’s

Uitgangspunt hierbij is dat bekende risico’s veelal beheersbaar zijn en dat onbekende risico’s veelal onbeheersbaar zijn. Onbekende risico’s zijn vervolgens in te delen in vooraf onbekende risico’s en achteraf onbekende risico’s. Vooraf onbekende risico’s zijn die 6

Een norm voor weerstandsvermogen – B&G oktober 2006 – D. Smorenberg Risicomanagement meer dan de som der delen

75

5.5 Weerstandscapaciteit Het totaal aan risico’s bepaalt de benodigde weerstandscapaciteit. Dit is een optelsom van alle risico’s (kans x financieel gevolg). Ondersteuning van de berekening en bepaling van de benodigde weerstandscapaciteit kan bijvoorbeeld plaatsvinden door het simuleren van de risico’s (Monte Carlosimulatie). Omdat niet alle risico’s in een jaar in hun maximale omvang optreden, gebruiken veel gemeenten een dergelijk simulatieprogramma. Dit programma rekent op basis van het risicoprofiel de benodigde weerstandscapaciteit uit. De beschikbare weerstandscapaciteit van een organisatie wordt gedefinieerd als het geheel van middelen en mogelijkheden om niet begrote, onvoorziene en (mogelijk) substantiële kosten te dekken. De weerstandscapaciteit kan zowel incidenteel als structureel van aard zijn. Bij weerstandscapaciteit kan een onderscheid worden gemaakt in incidentele en structurele weerstandscapaciteit. Onder incidentele weerstandscapaciteit wordt het vermogen verstaan om calamiteiten en andere eenmalige tegenvallers op te vangen zonder dat dit invloed heeft op de voortzetting van het bestaande beleid. Structurele weerstandscapaciteit wordt gevormd door de middelen die permanent kunnen worden ingezet om (mogelijke) tegenvallers in de lopende exploitatie te dekken, zonder dat dit ten koste gaat van de uitvoering van programma’s. De volgende aspecten van de begroting kunnen tot de beschikbare weerstandscapaciteit behoren. Deze aspecten worden ook kort toegelicht. 1. Algemene reserves Binnen de reserves wordt onderscheid gemaakt naar de algemene reserve (artikel 43 BBV) de en bestemmingsreserve. De algemene reserve heeft een algemeen karakter en is vrij aanwendbaar . Voor het gebruik van deze algemene reserve is, zoals voor alle reserves, altijd een expliciet raadsbesluit vereist. De algemene reserve vormt het vrij besteedbare eigen vermogen van de gemeente. De algemene reserve heeft als belangrijkste functie het vormen van een buffer voor financiële tegenvallers en is per definitie niet geoormerkt of bestemd.

76

Weerstandscapaciteit: • Algemene Reserve • Flexibiliteit Begroting • Post Onvoorzien • Rente eigen financieringsmiddelen • Onbenutte belastingcapaciteit • Stille Reserves • Mogelijkheid Grondexploitatie

Financiële positie

Sluitende begroting

Weerstandsvermogen

Risico’s


structureel incidenteel

Figuur 5.6: Weerstandscapaciteit

Het nieuw ‘Gemeenschappelijk Financieel Toezichtkader’ (GTK), genoemd ‘zichtbaar toezicht’, van februari 2008 van de provincie kent minder expliciete bepalingen dan het huidig (provinciaal) toezichtkader en stelt geen hoogte meer t.a.v. voluit schrijven de algemene reserve en geen norm meer m.b.t. voluit schrijven de post onvoorzien. Het nieuw GTK versterkt de rol van de gemeenteraad en daarbij past ‘een meer op afstand toezicht’ van de provincie .

Tekorten en overschotten op de jaarrekening komen in het algemeen ten laste respectievelijk ten gunste van de algemene reserve. De voorheen gehanteerde term ‘saldireserve’ is met het BBV opgegaan in de naamgeving ‘algemene reserve’. De noodzakelijke hoogte van de algemene reserve wordt mede bepaald aan de hand van het benodigde en de beschikbare weerstandscapaciteit van de gemeente. De provincie toetst formeel of de algemene reserve het gewenste niveau heeft. Bestemmingsreserves zijn in beginsel niet vrij aanwendbaar. De gemeenteraad heeft namelijk een concrete bestemming aan het bedrag gegeven. Zolang er geen concrete verplichtingen zijn aangegaan, kan de gemeenteraad de bestemming nog wijzigen en de bestemmingsreserve toevoegen aan de algemene reserve. 2. Post onvoorzien In het BBV zijn regels opgenomen voor de ‘post onvoorzien’ in de begroting en de jaarrekening. Deze post is bedoeld als dekking voor lasten die niet in de begroting opgenomen zijn. Volgens het BBV zijn gemeenten verplicht een ‘post onvoorzien’ op te nemen; de plaats waar dat moet gebeuren is ook voorgeschreven. De gemeenteraad kan in verordening 212 aanvullende regels hieromtrent formuleren. De gemeenteraad zou bijvoorbeeld kunnen bepalen dat de post onvoorzien alleen gebruikt mag worden voor eenmalige lasten en niet voor structurele lasten. Zo zou de post onvoorzien tot de weerstandscapaciteit kunnen worden gerekend. 3. Rente eigen financieringsmiddelen Hiermee wordt rente over reserves en voorzieningen van de gemeente bedoeld, dat niet is geoormerkt en derhalve vrij aanwendbaar is. De rente wordt in de praktijk dus bijgeschreven bij de reserves en kan voor alternatieve doeleinden, dus ook voor het afdekken van risico’s, worden aangewend. 4. Onbenutte belastingcapaciteit Het verschil tussen de fictieve (toegestane) opbrengsten bij maximale heffings- en belastingtarieven en de begrote opbrengsten (op basis van feitelijke

belastingdruk) vormt de onbenutte belastingcapaciteit. Bij dreigende tekorten beschikt de gemeenteraad over mogelijkheden om deze onbenutte belastingcapaciteit in te zetten door de belastingdruk te verhogen. 5. Stille reserves De waarde van de bezittingen van de gemeente is opgenomen in de balans. Deze waarde is veelal gebaseerd op de historische kostprijs: de oorspronkelijke aanschafwaarde minus afschrijvingen. In de praktijk kan de werkelijke waarde van bezittingen anders zijn. Als de werkelijke waarde lager is dan de boekwaarde moet de boekwaarde via een eenmalige afschrijving worden aangepast. De waarde kan ook hoger zijn. Dit komt bijvoorbeeld vaak voor bij onroerend goed (panden) en bij aandelen. Is de waarde hoger, dan mag de boekwaarde vaak niet worden aangepast. Het verschil tussen de werkelijke waarde en de boekwaarde is in een dergelijk geval een ‘stille reserve’. Deze stille reserve kan worden aangewend als weerstandscapaciteit en wordt in de begroting en de jaarrekening zichtbaar gemaakt in de paragraaf over het weerstandsvermogen. 6. Flexibiliteit begroting Onder de Algemene Uitkering ligt een toedeling aan verschillende beleidsclusters. In de praktijk zijn de feitelijke uitgaven soms afwijkend ten opzichte van de toedeling vanuit de Algemene Uitkering. Als er (per saldo) sprake is van een ‘overschot’ in de Algemene Uitkering betekent dit dat er sprake kan zijn van een zekere ‘ruimte’ in de begroting. Deze ruimte kan worden aangemerkt als onderdeel van de weerstandscapaciteit. 7. Mogelijkheden grondexploitatie cum suis De mogelijkheid tot het exploiteren van gronden, objecten en projecten binnen de gemeentegrenzen biedt de gemeente soms de mogelijkheid de verwachte winst in te zetten voor de weerstandscapaciteit. Veel gemeenten exploiteren grond commercieel, wat vaak leidt tot extra financiële speelruimte, maar vooral ook toegenomen weerstandscapaciteit.


77

Casuïstiek beoordeling financiële positie van een gemeente In figuur 5.7 is een voorbeeld opgenomen van een beoordelingsmethodiek van een aantal van de eerder genoemde elementen van de weerstandscapaciteit. Het kan gezien worden als een soort van scan omtrent inzicht en samenstelling van de financiële positie. In dit voorbeeld wordt een aantal aanvullende indicatoren genoemd, dat in feite een verdere verfijning van de hiervoor genoemde indicatoren geeft. In de tabel staan de kleuren voor de mate waarin de positie wordt beoordeeld (zie ook de toelichting voorafgaand aan figuur 5.7). De cijfers in de vakjes geven de scores nogmaals weer.

Indicator

Flexibiliteit begroting Onvoorzien Incidentele baten en lasten Rente eigen financieringsmiddelen Stille reserve Algemene reserve Bestemmingsreserve Voorzieningen Dekkendheid tarieven Gespaard voor onderhoud Vervangingsinvesteringen Hardheid investeringsplanningen Resultaten grondexploitaties

Uitstekend 1

Neutraal 3

Zwak 4

Onvoldoende 5

1 5 2 4 1 2 3 1

Figuur 5.7: Dashboard beoordeling financiële positie

78

Goed 2

Wanneer deze indicatoren zijn gekwantificeerd en gekwalificeerd, ontstaat een inzichtelijk beeld van de financiële positie van de gemeente. Door de analyse en kwalificatie van deze indicatoren jaarlijks consistent te actualiseren ontstaat over een langere periode een overzicht van de ontwikkeling van de financiële positie van de gemeente. De verschillende indicatoren moeten wel in onderlinge samenhang worden beoordeeld, ze staan immers niet los van elkaar. Een ‘dashboard’ (zie figuur 5.7) kan hierbij helpen. Een indicator krijgt dan bijvoorbeeld de kwalificatie uitstekend (blauw), goed (groen), neutraal, (wit), zwak (oranje) of onvoldoende (rood). Het voorbeelddashboard in de onderstaande figuur laat zien welke indicatoren aandacht vereisen, waar sturing mogelijk of wenselijk is en waarover duidelijke beleidsuitspraken noodzakelijk zijn.

4 3 5 4 2


79

80

6. Valkuilen uit de praktijk

In de voorgaande hoofdstukken is vanuit verschillende invalshoeken beschreven hoe risicomanagement vorm kan krijgen binnen een gemeentelijke organisatie. Het goed opzetten van risicomanagement is één, maar de uitvoering in de praktijk is (helaas al te vaak) iets anders. In dit hoofdstuk wordt een aantal valkuilen beschreven. Dit hoofdstuk is niet uitputtend, maar schetst een aantal vaak voorkomende valkuilen. 6.1 De objectiviteit van het risicomanagement instrumentarium Zoals uit de voorgaande hoofdstukken is gebleken, dient bij het bepalen van het risicoprofiel – en daarvan afgeleid het risicomanagementraamwerk – na een inventarisatie van de risico’s ook een bepaling te worden gegeven van kans en impact. Kan de score op deze beide velden objectief worden vastgesteld? In de praktijk doen zich zeer eenvoudig meetproblemen voor. Veel risico’s en hun effecten (denk bijvoorbeeld aan imagoschade, politieke gevoeligheid, bestuurlijke impact) laten zich in veel gevallen niet gemakkelijk meten. En als het gaat om de invloed die het gemeentelijk handelen hierop heeft gehad, wordt het helemaal ingewikkeld. Andere risico’s laten zich daarentegen zeer goed uitdrukken in kwantitatieve elementen. Maar dan is de vraag of er een juiste weging aan wordt gegeven? Ten slotte: op welke gronden en met welke belangen wordt een bepaalde weging (en daarmee omvang en impact van een risico) gegeven? Hoe behapbaar is risicomanagement uiteindelijk voor een risicomanager, als in principe voor alle onderdelen van een gemeente risico’s in kaart dienen te worden gebracht?

Vaak wordt volstaan met het voortbouwen op de inventarisaties en indicaties uit de verschillende diensten op globaal niveau en aangeleverd vanuit de diensten en afdelingen zelf. Hierbij wordt in beperkte mate getoetst op volledigheid, juistheid en integriteit. Dit is ook lastig te realiseren, gezien de omvang van inventarisaties. Zeker in het geval dat er binnen de organisatie op verschillende niveaus en bij verschillende diensten afwijkende beelden over de invulling van risicomanagement en de interpretatie van risico’s bestaan. Het is dan ook van groot belang dat risicomanagement (en specifiek de invulling en het begrip ervan) breed en diep in de organisatie wordt verankerd. Methoden om dit te realiseren zijn onder meer training, workshops en in het begin gezamenlijk invullen van risicografieken. Een valkuil is met name dat het instrumentarium als volledig objectief wordt beschouwd, terwijl onmiskenbaar schakels in het risicomanagementproces zitten die in meer of mindere mate als subjectief te bestempelen zijn. Uiteindelijk kan gewerkt worden met verschillende scenario’s. Het feit dat je een risico niet exact kan kwantificeren, is niet erg als het maar in beeld is en er dus bewustzijn is waardoor maatregelen getroffen kunnen worden. Het getal is dus niet zaligmakend.


81

6.2 De keuze van objecten van risicomanagement In hoeverre sprake is van objectiviteit en subjectiviteit wordt ook beïnvloed door de mate waarin duidelijk is naar welke onderwerpen de aandacht uit gaat (of uit dient te gaan) en op welke wijze naar een onderwerp wordt gekeken. Vaak is in het kader van risicomanagement wel duidelijk op welke hoofdthema’s moet worden ingezoomd. Echter, de detaillering en accentuering in de onderliggende onderwerpen is niet altijd helder en eenduidig. Het is daarom verstandig op voorhand te bepalen op welke onderwerpen en met accentuering moet worden geïnventariseerd. Hierbij geldt eigenlijk hetzelfde als voor het bepalen van de doelstellingen van risicomanagement: leg de lat niet te hoog en kies accenten die passen bij de volwassenheid van de organisatie.

Externe risico’s - Burger tevredenheid - Relatie met belanghebbenden - Technologische innovatie - Afhankelijkheid van derden

- Privatisering - Nieuwe weten regelgeving - Politiek signatuur en structuur - Rijksoverheid

- Politiek signatuur en structuur lokale - overheid - Conflicterend overheidsbeleid - Rampzalig verlies

1. Leiderschap & cultuur - Leiderschapsstijl - Organisatiestructuur - Waarden en normen

- Bevoegdheden en verantwoordelijkheden - Vermogen tot veranderen

- Managementfraude - Communicatie - Management informatie

3. Medewerkers

2. Strategie & Beleid

4. Middelen

-

-

FINANCIEEL - Contractering - Apparaatkosten Terugvordering subsidies - Kredietrisico - Koersrisico - Liquiditeitrisico - Renterisico - Financiële instrumenten - Onderpand

Vermogen tot veranderen Integriteit Reputatie Veiligheid medewerkers Gezonde medewerkers Welzijn medewerkers Arbeidsvoorwaarden Werknemersfraude Kwantiteit personeel medewerkers - Arbeidsomstandigheden - Productiviteit - Motivatie

-

Beleidsvorming Beleidsformulering Beleidshaalbaarheid Beleidsontwikkeling Verantwoordingsrapportages Prestatie-indicatoren Strategische planning Managementrapportage Toezicht op beleidsuitvoering Aansluiting Budgettering/begroting Beleidsdocumenten Omgeving Meten(strategisch) Investeringen Prijs producten Inschattingen Bedrijfsportfolio

ICT - Beschikbaarheid - Aansluiting infrastructuur ketenpertners - Effectiviteit - Tijdigheid - Integriteit - Betrouwbaarheid - Relevantie - Toegang TECHNISCH - Inzet - Gebruik - Veiligheid - Levensduur - Onderhoud

5. Processen

Figuur 6.1 aandachtspunten voor risicomanagement bij de verschillende mogelijke aandachtsgebieden

82

-

Efficiency Uitbesteding Projectmanagement Product/dienstenkwaliteit Doelmatigheid Productiecapaciteit Interne communicatie & samenwerking

-

Klant/burgercommunicatie Milieu Grondstoffen Logistieke kanalen Privacy Samenwerking Naleving weten regelgeving

-

Imago Productontwikkeling Kennisdeling Tevredenheid burger Rolconflict Fraudegevoeligheid

6.3 Mate van detaillering Als iets lastig is bij het invullen van risicomanagement in een organisatie dan is dat het bepalen van de mate van detaillering. De keuze op welk niveau en met welke detaillering risico’s in kaart moeten worden gebracht, is lastig. Er bestaan verschillende inzichten op verschillende niveaus in de organisaties. Er bestaan voorbeelden van risicokaarten waar gemeenten vele honderden risico’s hebben benoemd, met allemaal ten minste twee maatregelen en bijbehorende verantwoordelijken. Bij een dergelijke invulling van risicomanagement bestaat het risico van micromanagement en onbeheersbaarheid. Het is dan ook van groot belang dat het niveau en de detaillering helder zijn en dat de inventarisatie wordt begrensd, zodat uiteindelijk een beheersbaar raamwerk ontstaat en de aandacht uit kan gaan naar de belangrijkste risico’s. Het bepalen van een ondergrens (omvang, impact en hoogte van de risico’s) en het uitwerken van de risico’s met een bepaald profiel (kans en impact) geniet hierbij de voorkeur.

“Rampen- en crisisbeheersing vormen een belangrijk taakveld van onze regio. In dat taakveld gaat het in het primaire proces ook over risicomanagement. Daarbij leer je dat een incident zich altijd anders voordoet dan gedacht, maar je moet wel je draaiboek klaar hebben liggen en veel oefenen.” ErikJan van Genderen, Regio Zuid-Holland Zuid

6.4 Het feitelijk doen Een overduidelijke valkuil is dat risicomanagement een ‘speeltje van Financiën’ wordt. Centraal wordt veel tijd en energie gestoken in een prachtig sluitend risicomanagementraamwerk, maar de rest van de organisatie is totaal niet aangehaakt. Dit leidt ertoe dat bij de periodieke inventarisaties door de organisatie (min of meer) gewillig wordt meegewerkt en mooie diagnoses worden gesteld. Wanneer het aankomt op het formuleren van acties, het specifiek aanwijzen van verantwoordelijken en het navolgen van beheersmaatregelen geeft men niet thuis. Te vaak blijft men steken op prachtige lijstjes met risicokaarten, risicoplannen en risicomanagementprocessen, zonder dat het feitelijk landt in de organisatie. Een praktische handreiking is om stapsgewijs te beginnen: start bijvoorbeeld met één programma, één proces of één project en voer daar risicomanagement in. Bewijs nut en noodzaak in de praktijk en kom zo tot een steeds bredere invoering. 6.5 Andere vaak voorkomende valkuilen en succesfactoren Naast de genoemde valkuilen in de voorgaande paragrafen zijn er verschillende valkuilen, waar veel organisaties mee te maken krijgen bij de invoering (en ook uitvoering) van risicomanagement. In het onderstaande overzicht is een aantal belangrijke overige valkuilen in de praktijk op een rij gezet: • Te groot maken: het apart organiseren van risicomanagement en niet of onvoldoende integreren van risicomanagement in de bestaande P&C-cyclus. Het profileren van risicomanagement als iets extra’s (‘extra ballast’) • Verkeerde positionering: risicomanagement als toezichtfunctie in plaats van beheerfunctie positioneren. • Te weinig communiceren: onvoldoende en/of slechts eenmalige interne communicatie over de achtergronden, betekenis en doelstellingen van integraal risicomanagement. • Bij één persoon beleggen: risico’s worden over het hoofd gezien of juist benoemd terwijl dit achteraf helemaal geen risico’s blijken te zijn. De kans hierop is groter als het risicomanagement als taak bij één persoon is belegd. • Standaard checklists: die zijn bij risicomanagement Risicomanagement meer dan de som der delen

83

•

• •

•

•

•

•

•

•

•

84

niet meer dan een inspiratiebron. Het is onwaarschijnlijk dat deze standaardrisico’s precies van toepassing zijn op uw organisatie. Nadruk op harde aspecten: te veel nadruk op instrumentele en technologische aspecten van risicomanagement met veronachtzaming van de zeker zo belangrijke culturele en gedragsaspecten daarvan. Bagatelliseren: ‘Het valt wel mee’. Het is de kunst risico’s tot reële proporties terug te brengen. Het-ligt-nooit-aan-mij-syndroom: risico’s raken soms gevoelige onderwerpen, het is de kunst dit bespreekbaar te maken. Aanwijzen schuldigen: risicomanagement wordt gebruikt en men wijst ‘schuldigen’ aan, in plaats van te zoeken van naar oorzaken en te leren. Te weinig tijd: in het meest gunstige geval loopt een projectleider aan het begin van zijn project een lijst met mogelijke risico’s af en vergeet die vervolgens door zijn dagelijkse beslommeringen. Verslapping van aandacht: verslapping van aandacht na uitvoering risicoanalyses. De grootste winst van risicomanagement wordt namelijk pas gerealiseerd door de daaropvolgend te bedenken en te implementeren verbeteringen van de beheersing van sturings-, beheersen operationeleprocessen. Daarvoor is (zelf-) discipline en een lange aandachtscurve vereist. Te ambitieuze doelstellingen waardoor basisprincipes van risicomanagement onvoldoende gelegenheid krijgen te beklijven. Misbruik van transparantie: het door het management misbruiken van de als gevolg van risicomanagement verhoogde transparantie van de interne organisatie voor directere bemoeienis met operaties en het aanwijzen van ‘schuldigen’. Dit in tegenstelling tot het zoeken van oorzaken en oplossingen- voor eventuele nieuwe knelpunten die daardoor zichtbaar worden. Het ‘silo-denken’: de meeste organisaties kennen tenminste tien verschillende risicomanagementfuncties die goeddeels onafhankelijk van elkaar opereren. Te beperkte capaciteit: een in verhouding tot het ambitieniveau onvoldoende inzet van met name personele capaciteit.

De factoren die een positief effect hebben op de succesvolle implementatie van integraal risicomanagement zijn: • Krachtige en zichtbare ondersteuning vanuit het (top-)management van de organisatie. Dit onder andere door op een gedisciplineerde en betrokken wijze invulling te geven aan de eigen taken en verantwoordelijkheden binnen het risicomanagementsysteem en ook anderen, zowel collectief als persoonlijk, aan te spreken op die van hen. • Snelle ontwikkeling van een gemeenschappelijke taal en referentiekader voor integraal risicomanagement. • Aanstellen van een ‘interne risicokampioen’ met voldoende kaliber en enthousiasme die het implementatieproces kan helpen aanjagen en inhoudelijk kan ondersteunen. • Nadruk op voordelen van risicomanagement vooral richten op het eigen functioneren van lijnmanagers en hun medewerkers. • Bijdrage op het gebied van risicomanagement expliciet betrekken in de beoordeling en beloning van medewerkers. • Hechte integratie van risicomanagement in zowel sturings- en beheers- als operationele processen. Daarbij risicomanagement positioneren als een versterking daarvan, in plaats van als een toevoeging daaraan. Risicomanagement moet als het ware in die processen ‘ingeschroefd’ en niet ‘opgeschroefd’ worden. • Het zoveel mogelijk ‘importeren’ van kennis en ervaringen van andere organisaties met integraal risicomanagement. • Een op ‘evolutie’ in plaats van een op ‘revolutie’ gericht implementatieproces waarbij (vroege) successen daarmee intern steeds breed de aandacht krijgen.


85

86

7. Risicomanagement in de praktijk: casuïstiek In het proces van totstandkoming van dit handboek is bij een aantal gemeenten een casus uitgewerkt, waarin aan de hand van een praktijkvoorbeeld risicomanagement is getoetst. Dit heeft geleid tot een diversiteit aan voorbeelden. In dit hoofdstuk worden deze voorbeelden nader toegelicht: welke onderwerpen kennen een hoog risico, en waaruit bestaat dat risico. Per casus is ook een aantal handreikingen tot verbetering opgenomen. 7.1 Risicomanagement en Shared Services Een organisatie staat in een proces van deelnemen aan een Shared Service Center (SSC) met meerdere gemeenten. Deze organisatie staat voor de uitdaging om de invoeging in het SSC zo goed mogelijk vorm te geven. Met name het vormgeven van de relatie, de governance daarop en het managen van risico’s bleken grote vraagstukken. De volgende lessen bleken van belang: • Creëer een eenduidige zet van taken, verantwoordelijkheden en bevoegdheden, ook in het licht van risicobeheersing. • Zorg voor een ‘logische volgorde der dingen’ in het proces: niet eerst plaatsen en dan pas nadenken over taakafbakening en strategie • Besteed aandacht aan alle aspecten van het SSC: systemen, mensen, processen, sturing en beheersing, financiën, etc. en benader deze aspecten integraal • Bepaal als organisatie welke balans je nastreeft tussen kwaliteit, efficiency en wendbaarheid bij toetreding tot het SSC en zorg dat deze balans geborgd is in het SSC (afspraken) • Zorg dat de bekende ‘faalfactoren’ in het SSC-proces zijn afgedekt • Creëer mogelijkheden om in te grijpen in het proces als aan de randvoorwaarden niet wordt voldaan. • Bewaak dat in het ontwerp van het SSC recht wordt de gedaan aan de specifieke kenmerken van de werkzaamheden van de eigen organisatie: u moet erop vooruit gaan • Er zijn geen shortcuts: neem de tijd! Een specifiek element dat van belang is in het kader van risicomanagement bij Shared Services is het inrichten van de contractrelatie. Hiermee worden afspraken concreet en meetbaar en kan ook expliciet worden gemaakt wie waarvoor verantwoordelijk

is. Dit resulteert vervolgens in een basis voor het bepalen van risico’s en de mate waarin een organisatie verantwoordelijk is voor bepaalde risico’s. Het inrichten van de contractrelatie kent een aantal specifieke aandachtspunten: • Eigenaarschap en ‘klantschap’: de eigenaar heeft een andere invalshoek (continuïteit) dan de klant (prijs/kwaliteit). Onze ervaring is dat door het scheiden van beide rollen de prikkel voor doelmatigheid zuiver kan worden ingevuld, waarbij de klant zich vooral richt op een zo goed mogelijke kwaliteit tegen een zo laag mogelijke prijs en de eigenaar aandacht besteedt aan een gezond portfolio van het SSC en een positief resultaat en vermogen. • Monopolie SSC: de prikkel tot doelmatigheid wordt negatief beïnvloed op het moment dat de klant geen alternatief heeft. Het alternatief voor de klant kan bestaan uit het zelf doen of de mogelijkheid een ander (eventueel extern) SSC te kiezen. Gedwongen winkelnering wordt overigens ook vanuit het SSC als een last ervaren. Doordat de klant geen mogelijkheid heeft om te kiezen, kan het gevoel ontstaan dat het buiten beter is. • Opzetten service level management: het opzetten van een SSC vraagt ook veel van de klantorganisatie. Zij moet haar opdrachtgeverrol professioneel invulling geven. Is hiervan geen sprake, dan is de kans aanwezig dat het SSC zelf kan bepalen wat het doet zonder dat het daarop wordt aangesproken. • Vertrouwelijkheid en betrouwbaarheid van gegevens: het gebruik van een SSC vraagt ook om een sterke vertrouwensbasis. De klant moet erop kunnen vertrouwen dat zijn gegevens nergens anders terechtkomen. • Accountfunctie SSC: ook bij het SSC is het opzetten van een goede en professionele accountfunctie een kritieke succesfactor. Heldere afspraken over rapportages en eventueel hoe wordt omgegaan met het niet nakomen van gemaakte afspraken (bijvoorbeeld kortingen op tarieven) zorgen voor een zakelijke cultuur. • Producten SSC: welke producten het SSC voert. Zijn dit operationele uitvoerende taken of houdt het SSC zich ook bezig met bijvoorbeeld het toetsen van de naleving van het beleid? Het risico van belangenverstrengeling is daarbij aanwezig (bijvoorbeeld het controleren of beleidsrichtlijnen Risicomanagement meer dan de som der delen

87

goed worden nageleefd). Het is van cruciaal belang dit vooraf helder te hebben en ook met de opdrachtgever af te stemmen.

0. Prijsstelling

Activiteiten

1. Vraagbeheersing

2. SLA Management

3. Service Performance Management & Rapportage 4. Verevening

Overeenstemming te leveren diensten

Diensten

Verevening PDC doelen

Kosten

Prijzen

PDC

Vastgesteld SLA

Vraagplanning & overleg

Prestatie Afspraken Prestatie incl.

Kom tot een Product/ Dienst Catalogus..

Geschatte volumes

..die een zinvolle afstemming en planning van SLA’s mogelijk maakt..

Figuur 7.1: Inrichten contractrelatie SSC

7.2 Risicomanagement en WSW In het licht van veranderende weten regelgeving (nieuwe WSW met ingang van 2008), teruglopende resultaten van het SW-bedrijf en een aanscherping van het risicomanagement, heeft een gemeente het risicomanagement rond de WSW eens kritisch tegen het licht gehouden. Hierbij is aandacht besteed aan de risico’s die te signaleren zijn, maar tevens aan de te ondernemen acties om deze risico’s af te dekken. Dit heeft geresulteerd in de volgende inzichten:

88

Financiële rapportage

Prestatie verantwoording

Performance Management overleg

Benchmark

..dat weer een basis vormt voor Prestatiemeting en verbetering

Een risicoprofiel: risico, kans, impact, effect, maatregel en verantwoordelijke per risico Thema

Risico’s

Kans

Impact

Effect

Maatregelen

Organisatie &

• Taken, Verantwoordelijk-

5

1

• Sturing op uitvoering

• Functiescheiding doorvoeren

processen

beperkt mogelijk

heden en Bevoegdheden

• Op ambtelijk niveau aangeven en vastleggen wie de

(Dubbele petten, rollen,

rapportages beoordeelt en wie de rapportages voor de

etc.) • Marktopereren

5

4

• Geen invloed op marktopereren maar wel financiële verantwoordelijkheid

• Efficiëntie betrokken

3

2

• Inefficiënties in de betrokken organisaties zijn

organisaties niet in beeld

van invloed op de kosten • Stroomlijning processen

• Het bestuur van de WSW-organisatie ‘dualistisch’ inrichten: RvT bestaat uit andere mensen dan het DB, RvB of directie

op onderdelen onhelder

5

2

• Proceseigenaren beperkt te

gemeenteraad opstelt • Benodigde competentieprofielen en capaciteit vastleggen voor een goede beoordeling en sturing vanuit de gemeente (het accent ligt hierbij op de gemeente) • Afspraken maken over wie, wanneer tussentijdse sturing mag uitvoeren (en hoe dit mag gebeuren) vastleggen in een contract • Afspraken maken over de realisatie van doelstellingen,

identificeren en daarmee is

prestaties en financiële randvoorwaarden (ook in relatie tot

verantwoordelijkheid lastig

marktopereren)

te benoemen Mensen & cultuur

• Vrijheid versus gebon-

• Disbalans onafhankelijkheid

4 2

denheid

BV en gebondenheid aan gemeenten

• Sterk autonoom denken

• Te weinig transparantie

4 3

WSW organisatie

en daarmee sturingsmogelijkheden van gemeenten

• Beperkt gevoel van binding

• Te grote vrijheid van SW

2 3

vanuit gemeenten met

tarium & P&C

• Stuurbaarheid beperkt en

• Doelstellingen en prestaties onvoldoende vastgelegd

tijdig signaleren van risico’s

5 3

(prestatiesturing)

daardoor lastig • Financiële risico’s

• Transparantie (tussentijds en meerjarig inzicht)

goed vastleggen • Mandaten tevens goed vastleggen • Maximale zittingstermijn en competentieprofielen voor toezichthouders vaststellen • Periodieke evaluatie functioneren WSW-organisatie door college en raad en rekenkamer • Ontwikkelen sterke en eenduidige visie op invulling uitvoering WSW

risico’s van dien

uitvoering Instrumen-

bedrijf in uitvoering met alle

• Invulling taken, verantwoordelijkheden en bevoegdheden

• Meer en structurelere afspraken maken rond tussentijdse informatievoorziening – frequentie en inhoud – en deze vastleggen in een contract • Naast financiële informatie ook aandacht besteden aan informatie over kengetallen met betrekking tot

3

doelstellingen en prestaties

4

• Benchmark op kengetallen uitvoeren • Periodiek de kwaliteit van diensten, organisatie en kostenniveau laten toetsen • Periodieke controle van de rekenkamer op beleidseffectiviteit en doelmatigheid. • Rapportages inbedden in de reguliere P&C-cyclus • Gemeenteraad format laten vaststellen voor tussentijdse informatievoorziening Risico

• Financieringsrelatie

3

5

• In combinatie met

kwantificering &

(gemeenten draaien op

autonomie en beperkte

financiën

voor verliezen)

transparantie risico van grote verliezen

• Onvoldoende risico-

4

4

perspectief

opstellen • WSW-organisatie rapporteert jaarlijks op welke wijze risicomanagement in de eigen organisatie is ingebed en wordt toegepast

niet financieel)

raamwerk • Beperkt inzicht in meerjarig

• Risico’s niet in beeld (zeker

• WSW-organisatie jaarlijks een risicoinventarisatie laten

3

4

• Financiële sturing zeer beperkt mogelijk Risicomanagement meer dan de som der delen

89

Een plan tot verbetering: wat moet de gemeente wanneer doen om het risicomanagement op dit terrein te verbeteren? Maatregelen

0 – 6 mnd 6 – 12 mnd 12 mnd en verder

Functiescheiding doorvoeren Het bestuur van de WSW-organisatie ‘dualistisch’ inrichten: RvT bestaat uit andere mensen dan het DB, RvB of directie • Op ambtelijk nievau aangeven en vastleggen wie de rapportages beoordeelt en wie de rapportages voor de gemeenteraad opstelt • Benodigde competentieprofielen en capaciteit vastleggen voor een goede beoordeling en sturing vanuit de gemeente • Afspraken maken over wie, wanneer en hoe tussentijdse sturing mag plaatsvinden vastleggen in een contract • Afspraken maken met betrekking tot de realisatie van doelstellingen, prestaties en financiële randvoorwaarden (ook in relatie tot marktopereren)

X

• Invulling taken, verantwoordelijkheden en bevoegdheden goed vastleggen • Mandaten tevens goed vastleggen • Maximale zittingstermijn en competentieprofielen voor toezichthouders vaststellen • Periodieke evaluatie functioneren WSW-organisatie door college en raad en rekenkamer • Ontwikkelen sterke en eenduidige visie op invulling uitvoering WSW

X

X X X X

X

X X

X

X X X X X

• Afspraken maken rond tussentijdse informatievoorziening – frequentie en inhoud – en deze X vastleggen in een contract • Naast financiële informatie ook aandacht besteden aan informatie over kengetallen met betrekking tot doelstellingen en prestaties • Benchmark op kengetallen uitvoeren • Periodiek de kwaliteit van diensten, organisatie en kostenniveau laten toetsen • Periodieke controle van de rekenkamer op beleidseffectiviteit en doelmatigheid. • Rapportages inbedden in de reguliere P&C-cyclus • Gemeenteraad format laten vaststellen voor tussentijdse informatievoorziening

X X

• WSW-organisatie jaarlijks een risicoinventarisatie laten opstellen • WSW-organisatie rapporteert jaarlijks op welke wijze risicomanagement in de eigen organisatie is ingebed en wordt toegepast

X X

5

Financieringsrelatie Marktoperen SW-bedrijf

Transparantie & Meerjarig perspectief Risicoraamwerk Impact

Binding Efficiëntie vanuit SW gemeenten bedrijf

Prestatiesturing

Autonomie Gedwongen winkelnering Processen TVB

1 1

Figuur 7.2: Een grafisch risicoprofiel

90

Kans

5

X X

X X X

X X X X X

X X

7.3 Risicomanagement en grote projecten 7.3.1 Huis van cultuur Een gemeente heeft in het licht van stedelijke ontwikkeling het initiatief genomen tot het opzetten van een Huis van Cultuur, waarin muziekschool, theater, filmhuis en bibliotheek worden ondergebracht. Het project is politiek-bestuurlijk een beladen project: het is centraal gelegen, er is een aantal belangrijke voorzieningen betrokken, het betreft een fors investeringsbedrag en als het project slaagt is er tevens sprake van een grote uitstraling naar de regio. Gezien het belang is er relatief veel aandacht besteed aan risico’s (financieel en bestuurlijk) en onderzoek. De gemeente heeft verzocht het risicomanagement rond het project te inventariseren en te bezien of hierbij leerpunten zijn te formuleren die eventueel hun uitwerking kunnen hebben op de rest van de organisatie. Deze inventarisatie heeft geleid tot een aantal generieke aandachtspunten, maar tevens geleid tot specifieke handreikingen voor het project zelf. • Generieke aandachtspunten en risico’s: • Behoud van kennis en expertise in eigen huis • Procesdefinitie en functiescheiding in het project (in beperkte mate) • Kwaliteit van medewerkers moeilijk te borgen • Risicoattitude in cultuur en aanspreekgedrag • Controle en bijsturing op het project onvoldoende formeel geborgd • Ontbreken formeel risicomanagement raamwerk • Borgen projectmatig werken in organisatie • Ontbreken gesystematiseerde risicokwanticering en geformuleerde maatregelen

De genoemde risico’s zijn tevens in een grafisch risicoprofiel opgenomen, zie figuur 7.3:

5 Continuïteit bezetting

Bestuurlijk draagvlak

Borging kennis Risicoraamwerk

Kwaliteit Risicomedewerkers attitude & aanspreekgedrag

Impact

Voor het project zelf zijn de volgende risico’s geïdentificeerd: • Continuïteit: bezetting in het project kent een uiterst hoog verloop • Bestuurlijk draagvlak en eenduidigheid in ‘ownership’ • De vier betrokken partijen op één lijn krijgen en houden vormt een continue uitdaging (en daarmee een afbreukrisico) • Borging kennis en ervaringen project

Controle en sturing

Meerdere partjen

Risicokwantificering Project werken Procesdefinitie & functiescheiding

1 1

Kans

5

Figuur 7.3: Een grafisch risicoprofiel


91

7.3.2 Governance en inrichten risicomanagementproces op grote projecten Een gemeente is bezig met risicomanagement door het vastleggen van helder beleid, verdeling van taken en verantwoordelijkheden, training van medewerkers en ondersteuning door middel van een risicomanagementinformatiesysteem. Met name het risicomanagement rond projecten verdiende extra aandacht. Het project moet leiden tot directe invoering van risicoanalyses op strategische projecten en trajecten. Door het uitvoeren van een analyse zijn de volgende bevindingen gedaan: 1. Inhoudelijk - inzicht in projectrisico’s onvoldoende - regierol subsidies ontbreekt - geen totaalbeeld risico’s WMO 2. Cultuur - geen eenduidig begrippenkader - angst voor communicatie over risico’s - politieke gevoeligheid 3. Proces - (eerder) betrekken portefeuillehouder - vooraf investeren in kennis - politieke actualiteit - beter plannen Dit heeft geresulteerd in een verdere verfijning van het risicomanagementproces, met specifieke aandacht voor projectrisico’s door het ondernemen van de volgende acties: • Opstellen beleidsplan • Training workshops/ cursussen • Proces integraal risicomanagement uitrollen • Risico analyses op thema’s • Verzekeringsanalyse en professionaliseren beheer • Communicatie verbreden en intensiveren 7.4 Risicomanagement en loonsombeheersing Bij een gemeente was sprake van een tweevoudige loonsomproblematiek: 1. jaarlijks wordt het loonsombudget overschreden en 2. jaarlijks wordt de geraamde dekking van loonkosten in projecten (kredieten) niet gerealiseerd. De gemeente heeft vervolgens vier maatregelen getroffen om te komen tot beheersing van de loonsombudgetten:

92

1. Uitgangspositie is vastgesteld (loonsombudgetten per afdeling, bijpassende formatieplannen en omzettaakstellingen op kredieten). 2. Managementinformatie wordt maandelijks geleverd (formatie- en bezettingsoverzicht, overzicht inhuur derden, overzicht omzettaakstelling. Zie figuur 7.4 voor een voorbeeld). 3. Verantwoordingsgesprekken worden maandelijks gehouden tussen directeur en afdelingshoofd, in aanwezigheid van de concerncontroller (met aandacht voor de loonsom); 4. Verbijzonderde interne controle uitgevoerd door de concerncontroller ter toetsing van het werkelijkheidsgehalte van de managementinformatie. De genoemde maatregelen hebben een goede uitwerking gekend. In het kader van risicomanagement heeft dit een extra sturingsinstrument opgeleverd. Hierbij is een aantal belangrijke succesfactoren te benoemen: • Bindende structuur: Er is bij het aanpakken van de loonsomproblematiek gekozen voor een breuk met het verleden. Bewust heeft de gemeente gekozen voor een bindende structuur van verantwoording. Zo zijn er maandelijks verantwoordingsgesprekken voor de integraal managers met directeur en concerncontroller en wordt ook maandelijks een actueel overzicht opgesteld van de budgetuitputting op de loonsom. • Taken, verantwoordelijkheden en bevoegdheden: In de aanpak van de loonsomproblematiek is tevens expliciet benoemd en vastgelegd wie nu eigenlijk waarvoor verantwoordelijk is. In het verleden ‘leunden’ integraal managers wel eens op financiën. De nieuwe benadering stelt de rol van de integraal managers, maar ook de rol van het concern scherp. Hier wordt ook actief op gestuurd. • Uniformiteit: De informatievoorziening is sterker geüniformeerd en tevens in overleg met de integraal managers vastgesteld. Uiteraard is niet iedereen volledig tevreden met de informatievoorziening, maar de uniformiteit maakt sturing eenvoudiger. Hierbij speelt voor veel integraal managers ook dat zij sterk vertrouwen op de kwaliteiten van de financieel consulenten. De financieel consulenten worden vanuit concern zo goed mogelijk gefaciliteerd.

• ‘Ombuigen’ van weerstand: door de heldere, maar ook strakke lijn die de gemeente heeft gekozen in de aanpak van het loonsomvraagstuk is in eerste instantie de nodige weerstand ontstaan. Wat bij het ‘ombuigen’ van deze weerstand heeft geholpen is: - het bestuurlijk draagvlak - de rol van de directie: eendrachtig en ferm - volhouden • Relatie met concerncontrol: een andere belangrijke randvoorwaarde voor een succesvolle aanpak van de loonsomproblematiek is gebleken dat de integraal managers en concerncontrol beide hebben geïnvesteerd in een goede verstandhouding met elkaar. Hierdoor ontstaat een constructieve sfeer en houding. Dit komt uiteindelijk het resultaat (beheersing van de loonsombudgetten) ten goede. • ‘Partners in crime’: In het verleden is vaak bij het aanpakken van budgetteringsvraagstukken een ‘wij/zij’-cultuur ontstaan. In de aanpak van de loonsomproblematiek heeft de gemeente (en met name concerncontrol) veel energie gestoken in het transparant maken van het vraagstuk en daarmee het probleem ook een gedeeld probleem te maken (en dus niet alleen een probleem van concerncontrol). Dit heeft zeer goed uitgewerkt. • Instrumentarium: voor de loonsombeheersing is een handzaam instrumentarium ontwikkeld, dat maandelijks wordt geleverd aan integraal managers om op te sturen en over te verantwoorden. Dit instrumentarium koppelt een aantal essentiële

•

•

•

•

elementen in het loonsomvraagstuk: - Formatie (begroot) inclusief, budget - Inhuur - Feitelijke formatieve bezetting - Vacatures - Omzet (dekking) Periodiciteit: er is bewust gekozen voor een ‘dwingend’ ritme in de verantwoording: maandelijkse verantwoordingsgesprekken. Dit biedt concern en integraal managers de tijd om in en vroeg stadium over- en onderschrijdingen te signaleren en hier maatregelen op te treffen. ‘Eigen probleem’:in tegenstelling tot het verleden is in de nieuwe benadering het loonsomvraagstuk een ‘probleem’ van de integraal managers. Waar in het verleden regelmatig aan het eind van het jaar werd gemeld dat sprake was van een (forse) overschrijding op het loonsombudget en of het concern dit even kon regelen, wordt in de nieuwe benadering de (financiële) verantwoordelijkheid bij de integraal managers gelegd. De afspraken die aan het begin van het jaar worden gemaakt zijn ‘dwingend’. Routine: in de loop van de tijd blijkt een zekere routine te ontstaan in de sturing en verantwoording op de loonsombudgetten. Dit resulteert in een steeds soepeler verantwoordingstraject. Kwantificering: door de gekozen systematiek en de daaraan gekoppelde periodiciteit is de kwantificering van de ‘risico’s’ moet goed op orde zijn.

A FORMATIE EN BEZETTING 200X peildatum 1 juli 200X

budget

bezetting prognose

vacature ruimte

open gestelde vacatures

inhuur ten laste van loonsom

loonsom ruimte per afdeling

resul taat omzet

resultaat tlv

jaarrek a

b

c= a-b

d

e

f= c-d-e

g

h=f-g

213.000

101.565

111.435

33.900

82.840

-5.305

0

-5.305

strategie

1.980.343

1.943.563

36.780

54.723

157.873

-175.816

80.000

-95.816

wikkeling

2.545.547

2.316.267

229.280

9.100

111.616

108.565

-200.000

-91.436

947.943

925.345

22.598

20.700

1.898

-40.000

-38.102

pelijke ontwikkeling

Figuur 7.4: Loonsombeheersing


93

94

Bijlage 1: Systemen van risicomanagement

In het handboek worden meerdere methoden behandeld om risicomanagement toe te passen. Hieronder volgen NARIS, COELO, en scenarioanalyse. NARIS NARIS, het risicomanagement informatie systeem van het Nederlands Adviesbureau voor Risicomanagement (NAR), is een soort van benchmark. NARIS is een opslagplaats waar veel gegevens van gemeenten zijn opgeslagen. Zo bevat de centrale database 80% van de bekende risico’s en maatregelen binnen de overheid. Dit heeft als voordeel dat gemeenten een overzicht krijgen gepresenteerd van bekende risico’s en de beheersmaatregelen. Het systeem dat hier voor gebruikt houdt ook wijzigingen in de gaten wat risicomanagement een meer continue inval geeft. COELO Centrum voor Onderzoek van de Economie van de Lagere Overheden (COELO) heeft verschillende onderzoeken op het gebied van risico’s en weerstandsvermogen verricht bij de lagere overheden. Uit deze onderzoeken is een hulpmiddel voor weerstandsvermogen ontworpen wat gebaseerd is op een technische analyse van de onderzoeksresultaten. Zo worden gemiddelde waardes en afwijkingen bepaald die overheden kunnen gebruiken bij het schatten van risico’s en weerstandsvermogen

Scenarioanalyse Scenarioanalyse begint bij het analyseren van de eigen organisatie wat is weergegeven bij punt 1. Vervolgens worden de risico’s geïdentificeerd en gekwantificeerd. Op basis van deze gegevens worden scenario’s ontwikkeld die zijn uitgewerkt in onderstaand tabel. 1. • • •

Risicoanalyse Vaststellen van het werkveld - (deel van) organisatie - (deel van) processen - Specifieke thema’s, projecten - Dimensies (juridisch, politiek, etc.) Opstellen doelenhiërarchie - Doelstellingen - Strategisch, tactisch, operationeel - Prioriteit Inventariseren risico’s - Risicofactoren - Risico-objecten - Schade

2. Risicoweging • Kwantificering risico’s - Kansen - Frequenties - Hoogte schade - kans X schade - kans X norm - norm (hoog, gemiddeld, laag) - historische afwijkingen producten • Beoordelen en selecteren risico’s - Berekenen verwachte waarde - Berekening spreiding - Prioritering risico’s - Risicohouding


95

Scenario’s en impact grondexploitaties Aandachtsgebied * € Scenario 1 Laag 1.000

Scenario 2 Midden

Scenario 3 Hoog

Oorspronkelijk plan

+

2.000

+

2.000

+

2.000

Fasering

-

1.000

-

2.000

-

4.000

Wijzigen Verkaveling

Markt

-

1.000

-

2.000

+

6.000

Marktonderzoek Samenwerking

NVT

NVT

Looptijd / Rente Organisatie

NVT -

2.500

Procedures

Fiscaliteiten

NVT

NVT

NVT

NVT

Milieu

NVT

NVT

NVT

NVT

Waardering Verwervingen

500

NVT -

NVT +

1.000

1.000

NVT -

2.500

Planrealisatie Claims

NVT

Politiek

-

Mogelijke Beheersmaatregelen

NVT

NVT

-

5.000

Voorkeursrecht Exploitatieovereenkomst

-

2.500

Wijziging Bestemmingsplan

NVT

NVT

2.000

Overleg parijen

NVT -

1.000

-


NVT

NVT

NVT

NVT

Subsidies

NVT

NVT

NVT

NVT

Derden

NVT

NVT

NVT

NVT

Voorlopig Eindresultaat

96

+

500

-

6.500

-

8.000

Bijlage 2: Voorbeeld risicoprofiel

Onderstaand is een voorbeeld opgenomen van een risicoprofiel van een gemeente. Dit is een generiek voorbeeld. Uiteraard kan het risicoprofiel nog verder worden uitgebreid met beheersmaatregelen, verantwoordelijken en data.

Risico

Invloed in %

Kans

Gevolg

Risico score

1

Lagere algemene uitkering gemeentefonds door wijziging in herverdelingsmaatstaven en/of bezuiniging Rijk

10%

4

5

20

2

Grond voor kantoorrruimte wordt te laat betaald, waardoor een lager resultaat wordt gerealiseerd dan waar op is gerekend

5%

2

5

10

3

Risico’s Project X

4%

4

5

20

4

Risico’s Project Y

4%

4

5

20

5

Invoering van het BTW compensatiefonds leidt tot een nadeel

4%

4

5

20

6

De Rijksvergoeding in verband met de uitvoering van de WWB is onvoldoende. Daarnaast wordt risico gelopen in de omvang van de uitkeringslasten

3%

3

5

15

7

Risico’s Project Z

2%

4

4

16

8

Plankosten Project XX

2%

4

4

16

9

Lagere specifieke uitkering doordat bezuinigingen van het Rijk worden afgewenteld op de gemeente

2%

5

4

20

10

Door tragere verkoop is het Project YY een jaar verlengd en bestaat de kans dat dit nog meer verlengd moet worden.

2%

3

5

15


97

Bijlage 3: Voorbeelden risicokaart

In deze bijlage is een aantal voorbeelden opgenomen van een risicokaart. Deze kaart is veelal de resultante van kans en gevolg, die grafisch worden weergegeven. Voorbeeld 1: grafisch op basis van kans gevolg berekening Om een grafische risicokaart samen te stellen zou de kans-gevolg-berekening eerst gemaakt moeten worden: Voorbeeld kans-gevolg berekening Risico

Invloed in %

Kans

Gevolg

Risico score

1

Lagere algemene uitkering gemeentefonds door wijziging in herverdelingsmaatstaven en/of bezuiniging Rijk

10%

4

5

20

2

Grond voor kantoorrruimte wordt te laat betaald, waardoor een lager resultaat wordt gerealiseerd dan waar op is gerekend

5%

2

5

10

3

Risico’s Project X

4%

4

5

20

4

Risico’s Project Y

4%

4

5

20

5

Invoering van het BTW compensatiefonds leidt tot een nadeel

4%

4

5

20

6

De Rijksvergoeding in verband met de uitvoering van de WWB is onvoldoende. Daarnaast wordt risico gelopen in de omvang van de uitkeringslasten

3%

3

5

15

7

Risico’s Project Z

2%

4

4

16

8

Plankosten Project XX

2%

4

4

16

9

Lagere specifieke uitkering doordat bezuinigingen van het Rijk worden afgewenteld op de gemeente

2%

5

4

20

10

Door tragere verkoop is het Project YY een jaar verlengd en bestaat de kans dat dit nog meer verlengd moet worden.

2%

3

5

15

In nevenstaande grafische weergave zijn de risico’s die in het rode vlak vallen de risico’s die meestal met hoge prioriteit opgepakt worden om te beheersen. Dit zijn namelijk de risico’s die een kans hebben om veel voor te komen en/of die een aanzienlijk gevolg hebben als zij zullen optreden. Door het weergeven in een grafische kaart worden samenhang en prioriteiten snel(ler) duidelijk.

98

Voorbeeld 1 5

2

6/10

1/3/4/5

4

Gevolg

7/8

9

3

2 1

1

2

3

4

5

Kans

Voorbeeld 2: grafisch op basis van kans gevolg berekening 9

51,2

1. Onvoldoende financiering

10. Financiële ramingen

2. Gebrek aan samenwerking

11. Stuurinformatie

3. Onvoldoende vrijwilligers

12. Financiële dekking

4. Ontbreken integraliteit

13. ICT koppelingen

5. Aanbestedingen

14. Stuurinformatie op doel

6. Onvoldoende regievoering

15. Interne samenwerking

7. Kwaliteit personeel

16. Externe communicatie

3

8. Verandervermogen

17. Toetsbaar subsidiekader

2

9. Communicatiestructuur

18. Bestuurlijke verhoudingen

8 16, 18

7

Impact

6

8, 16 1 2

9 6

5

5 1

31,2

17 11 1014 7 4 13

3

22,2

4

1 1

2

3

4

5 Kans

6

7

9

8

Hoog

Voorbeeld 3: grafisch op basis van kans gevolg berekening

Transparantie & Meerjarig perspectief Leiderschap Impact

Samenwerking met derden

Human Resources

Imago

Efficiency

Efficiency wet en regelgeving

communicatie Arbo

Laag

Toegang IT-systemen

Laag

uitbesteding taken

Waarschijnlijkheid

Hoog


99

Bijlage 4: Voorbeeld grafisch risico-overzicht

Onderstaand is een voorbeeld opgenomen van een grafisch risico-overzicht. Dit overzicht ken een andere invalshoek dan de grafische risicoprofielen die in bijlage 3 zijn opgenomen.

120 105 90 75 60 45 30

aantal risico’s gemiddeld risico voor maatregelen gemiddeld risico na maatregelen gemiddelde risicoreductie aantal maatregelen

100

Product

Personeel/arbo

Milieu

Materieel

Letsel/veiligheid

Juridisch/aansprakelijk

Informtie/strategie

Imago/politiek

Financieel

0

Bedrijfsproces

15

Bijlage 5: Voorbeeld risicomatrix

In de risicomatrix worden alle risico’s in aantallen weergegeven. De cijfers staan voor het aantal geïdentificeerde risico’s. De risicomatrix kan worden gebruikt als instrument om het aantal risico’s snel te onderkennen en te beoordelen per activiteit/ beleidsveld of anderszins.

1 1 4

1 6

1

4

2

11 4

2 1

4 1 1 4 5

1

Informatie / strategie

3 1 3 2 3

Personeel / Arbo

Letsel/ Veiligheid

Milieu

2 3

Imago / poli>ek

1 3

Financieel

Product / dienst

2

Bedrijfsproces

Bestuursorganen Regionale samenwerking Strategisch beleid Burgerzaken Openbare Orde en Veiligheid Wegenbeheer Waterkering en afwatering Deelnemingen Sociale Werkvoorziening Economische Zaken Onderwijs Sport Jeugd-en jongerenwerk Beheer openbare Ruimte Sociale uitkeringen Afvalbeheer Riolering en zuivering Milieubeheer Bodembescherming en sanering Aanbestedingen Ruimtelijk ordening Stadsvernieuwing en woningbouw Aanleg infrastructuur Belastingen

Juridisch / aansprakelijkheid

Materieel

De risicomatrix is opgebouwd uit risicogebieden (verticale as) en risicocategorieën (horizontale as). Een risicogebied is een samenhangend cluster van activiteiten binnen de organisatie. Een risicocategorie geeft aan om welk soort risico het gaat. Definities van wat onder de risicocategorieën moet worden verstaan, worden na de risicomatrix weergegeven.

1 1 1 1 4 1 1 1

2 1 2 1

1

1 1 1

2 1

1 2

2 1

2 1

1 1 2 1 4

1

1

1 6 1 2 3

1 1 1 2

1

1


101

Risicogebied: dit zijn clusters van samenhangende activiteiten om risico’s te kunnen ordenen naar hogere abstractieniveaus. Risicocategorie: dit zijn soorten risico’s. Bedrijfsproces Aantasting van de productiecapaciteit vanwege gehele of gedeeltelijke bedrijfsstilstand en de daaruit voortvloeiende planningsproblemen. Financieel Directe aantasting van de vermogenspositie van de organisatie. Imago/politiek risico Aantasting van het vertrouwen in de organisatie als gevolg van negatieve publiciteit. Informatie/strategie Schade door onvoldoende of niet juiste informatie, waardoor geen of niet juiste besluiten worden genomen. Juridisch/aansprakelijkheid Aantasting van de vermogenspositie van de organisatie door claims van derden als gevolg van wettelijke- of contractuele aansprakelijkheid (materiële schade, letselschade, vermogensschade). Letsel/veiligheid Het oproepen van gevoelens van (sociale) onveiligheid, eventueel gevolgd door bedreiging of lichamelijke schade aan personen. Materieel Beschadiging of verlies van gebouwen, installaties, bedrijfsinventaris, transportmiddelen en goederen. Milieu Aantasting van lucht, bodem, water of leefomgeving. Personeel/arbo Schade door aantasting van de arbeidscapaciteit en kwaliteit van arbeid. Product/dienst Aantasting van de afzetcapaciteit, doordat producten en diensten niet aan de door de afnemer gestelde kwaliteitseisen voldoen.

102

Bijlage 6: Veel voorkomende risico’s

In deze bijlage is een overzicht opgenomen van de meest voorkomende risico’s, die kunnen spelen binnen gemeenten. Deze risico’s zijn geclusterd naar interne risico’s en externe risico’s. Interne risico’s

LEIDERSCHAP Naam

Omschrijving

Leiderschapsstijl

Het risico dat het management of het bestuur door haar stijl van leidinggeven medewerkers niet voldoende stimuleert en motiveert haar werkzaamheden te verrichten.

Organisatiestructuur

Het risico dat de structuur van de organisatie onvoldoende aansluit op het geformuleerde beleid, de communicatielijnen en de verantwoordelijkheden en bevoegdheden.

Bevoegdheden en verantwoordelijkheden

Het risico dat gedelegeerde bevoegdheden en verantwoordelijkheden onduidelijk zijn en niet helder zijn vastgelegd.

Waarden en normen

Het risico dat er geen eenduidige, binnen de organisatie gedeelde, set van waarden en normen wordt gecommuniceerd en door management en personeel in de bedrijfsvoering worden geïntegreerd.

Managementfraude

Het risico dat het management binnen de organisatie opzettelijk de (financiële) resultaten op een verkeerde wijze rapporteert aan stakeholders.

MEDEWERKERS Naam

Omschrijving

Vermogen tot veranderen

Het risico dat de organisatie niet over de cultuur of het vermogen beschikt om de organisatie te transformeren.

Kwaliteit personeel

Het risico dat de aanwezige kennis, vaardigheden en ervaring van medewerkers niet voldoen aan de hieraan te stellen eisen.

Integriteit

Het risico dat werknemers het persoonlijk belang laten prevaleren boven het maatschappelijk of het organisatiebelang.

Reputatie

Het risico dat door handelen van medewerkers de reputatie van de organisatie en haar producten/diensten negatief wordt beïnvloed.

Motivatie

Het risico dat werknemers onvoldoende gemotiveerd zijn.

Kwantiteit personeel

Het risico dat een mismatch bestaat tussen het aantal beschikbare en benodigde medewerkers (onder- of overbezetting).

Illegale activiteiten medewerkers

Het risico dat medewerkers zich schuldig maken aan fraude of andere onwettige handelingen.

Arbeidsomstandigheden

Het risico dat de arbeidsomstandigheden de motivatie, gezondheid, of productiviteit van de medewerkers negatief beïnvloeden.

Productiviteit

Het risico dat medewerkers onvoldoende productief zijn en dat hierdoor beleidsdoelstellingen niet worden behaald.

Incentives

Het risico dat medewerkers onvoldoende incentives (beloning, promotiekansen etc.) krijgen, waardoor de manier waarop medewerkers handelen negatief wordt beïnvloed.


103

STRATEGIE EN BELEID Naam

Omschrijving

Beleidsvorming

Het risico dat het geformuleerd beleid niet binnen de kaders van wet en Collegebeleid valt, of niet aansluit op veranderingen in de omgeving.

Interactieve beleidsvorming

Het risico dat het geformuleerde beleid tot stand komt zonder afdoende inspraak van anderen (stakeholders).

Beleidsformulering

Het risico dat het beleid onzorgvuldig (niet SMART en richtinggevend) geformuleerd wordt.

Beleidshaalbaarheid

Het risico dat het geformuleerde beleid in de praktijk moeilijk realiseerbaar is door de verschillende betrokken partijen.

Verantwoordingsrapportages Het risico dat verantwoordingsrapportages aan de gemeente en/of externe partijen (gemeentebestuur, ministerie) niet volledig, juist, tijdig en/of nauwkeurig zijn. Toezicht op beleidsuitvoering

Het risico dat bij beleidsuitvoering door derden onvoldoende controle bestaat op de naleving van de contractafspraken over de te leveren prestaties.

Prestatie-indicatoren

Het risico dat onvoldoende en/of onbetrouwbare (relevant, consistent) meetinstrumenten aanwezig zijn voor het meten van prestaties.

Managementrapportage

Het risico dat managementrapportages binnen de organisatie structureel niet tijdig, betrouwbaar of inzichtelijk zijn, of dat er intern helemaal geen verantwoording wordt afgelegd.

Aansluiting doelen

Het risico dat de afdelingsdoelen en bedrijfsprocessen onvoldoende aansluiten op de algehele organisatiedoelstellingen en het geformuleerde beleid.

Financiële en operationele informatie

Het risico dat onvoldoende integratie plaatsvindt tussen financiële en operationele informatie.

Budgettering/begroting

Het risico dat de budgettering/begrotingssystematiek niet aansluit op de geformuleerde beleid en doelstellingen van de organisatie.

MIDDELEN Naam

Omschrijving

Contractering

Het risico dat afspraken met derden onvoldoende worden vastgelegd in een contract.

Apparaatkosten

Het risico dat als gevolg van een ineffectieve en inefficiënte bedrijfsvoering apparaatkosten hoger uitvallen dan begroot.

Verplichtingen

Het risico dat onvoldoende inzicht bestaat in de verplichtingen als gevolg waarvan onder andere financiële tegenvallers (te) laat inzichtelijk worden.

Programmakosten

Het risico dat programmakosten hoger uitvallen dan begroot.

Werking Infrastructuur

Het risico dat de IT-infrastructuur (hardware en software) van de organisatie veelvuldig buiten werking is of niet functioneert.

Aansluiten infrastructuur ketenpartners

Het risico dat de IT-infrastructuur (hardware en software) van de organisatie niet aansluit op de IT-infrastructuur van de overige ketenpartners.

Tijdigheid

Het risico dat medewerkers van de organisatie niet tijdig beschikken over de benodigde informatie.

Beveiliging

Het risico dat onbevoegden toegang hebben tot informatie van de organisatie.

Betrouwbaarheid

Het risico dat de benodigde informatie binnen de organisatie structureel onbetrouwbaar is (onvolledig en/of onjuist).

Relevantie

Het risico dat de benodigde informatie niet aansluit bij de informatiebehoefte van de medewerkers van de organisatie.

Toepasbaarheid

Het risico dat de IT-infrastructuur (hardware en software) niet aansluit op de processen binnen de organisatie.

104

PROCESSEN Naam

Omschrijving

Efficiency

Het risico dat processen binnen de organisatie inefficiënt verlopen, waardoor de realisatie van het beleid in gevaar kan komen.

Projectmanagement

Het risico dat er geen goed (totaal)inzicht bestaat in de lopende interne projecten binnen de organisatie en/of dat projecten niet goed beheerst worden.

Product/dienstenkwaliteit

Het risico dat gebrekkige product/dienstenkwaliteit een negatieve invloed heeft op de vraag naar de geleverde producten/diensten van de organisatie en op de reputatie van de organisatie.

Interne communicatie en samenwerking

Het risico dat communicatiekanalen binnen de organisatie ineffectief zijn en dat samenwerking in onvoldoende mate plaatsvindt.

Cliënt/burgercommunicatie

Het risico dat de organisatie niet open, duidelijk en/of integer communiceert met haar cliënten/burgers.

Samenwerking ministeries

Het risico dat de samenwerking met een ministerie (bijv. OC&W, BZK) ineffectief of inefficiënt is.

Samenwerking college B&W Het risico dat de samenwerking met het college van B&W Rotterdam ineffectief of inefficiënt is. Samenwerking overige GD voluit schrijven

Het risico dat de samenwerking met gemeentelijke diensten ineffectief of inefficiënt is.

Samenwerking uitvoeringsinstanties

Het risico dat de samenwerking met overige externe partijen en aanbieders/uitvoeringsinstanties ineffectief of inefficiënt is.

Naleving beleid en procedures

Het risico dat medewerkers niet voldoen aan het door de organisatie voorgeschreven beleid en de procedures.

Naleving weten regelgeving Het risico dat medewerkers en/of directieleden de weten regelgeving niet naleven. Imago

Het risico dat het imago van de organisatie een negatieve invloed uitoefent op het realiseren van het beleid en de doelstellingen van de organisatie.

Productontwikkeling

Het risico dat verminderde innovativiteit en snelheid van de productontwikkeling een negatieve invloed heeft op de mogelijkheden van de organisatie, om op de lange termijn aan de eisen en wensen van cliënten/burgers te voldoen.

Kennisdeling

Het risico dat binnen de organisatie geen systematische vastlegging en deling van kennis plaatsvindt.

Tevredenheid cliënt/burgers

Het risico van onvoldoende kennis van en focus op behoeften en wensen van cliënten en burgers.

Externe risico’s

MAATSCHAPPELIJKE RISICO’S Naam

Omschrijving

Verwachtingen cliënt/burger Het risico dat veranderingen in de behoeften/wensen van cliënten niet (tijdig) door de organisatie worden gesignaleerd. Belanghebbenden/ stakeholders

Het risico dat de relatie met (externe) belanghebbenden verandert, waardoor de mogelijkheden voor de organisatie (al dan niet in financiële zin) worden beïnvloed.

Technologische innovatie

Het risico dat de organisatie zich niet bewust is of notie neemt van veranderingen in de technologie (bijv. internet), waardoor eventuele voordelen onbenut blijven.

Afhankelijkheid van derden

Het risico dat de informatieverstrekking vanuit derden (bijv. uitvoeringsinstanties), waarvan de organisatie afhankelijk is, niet tijdig, juist en/of volledig plaatsvindt.


105

POLITIEK BESTUURLIJKE EN LEGISLATIEVE RISICO’S Naam

Omschrijving

Nieuwe weten regelgeving Het risico dat de snelheid en kwaliteit van veranderingen in de weten regelgeving zodanig is dat het een negatieve invloed heeft op onder andere de mogelijkheden van de organisatie om specifiek beleid en activiteiten vorm te geven en te implementeren. Politieke signatuur (rijks) overheid

Het risico dat veranderingen in de politieke signatuur van de landelijke of lokale overheid een negatieve invloed hebben op de missie, doelstellingen en beleid van de organisatie.

Naleving beleid/ procedures door uitvoerders

Het risico dat het geformuleerde beleid en de voorgeschreven procedures niet door derden, waarmee de organisatie samenwerkt, worden nageleefd.

Conflicterend overheidsbeleid

Het risico dat het conflict tussen het landelijke en het lokale overheidsbeleid het behalen van de organisatiedoelstellingen in gevaar brengt.

106

Bijlage 7: Voorbeelden praktijkcasussen risicomanagement

Hieronder zijn alle gebruikte voorbeelden in het handboek weergegeven per hoofdstuk. Hoofdstuk 7 bestaat enkel uit voorbeelden en is om deze reden niet herhaald. Hoofdstuk 2

Risicomanagement en verbonden partijen: SW-bedrijf In het licht van veranderende weten regelgeving (nieuwe WSW met ingang van 2008), teruglopende resultaten van het SW-bedrijf en een aanscherping van het risicomanagement binnen een gemeente in het midden van het land heeft de gemeente het risicomanagement rond de WSW eens kritisch tegen het licht gehouden. Hierbij is aandacht besteed aan de risico’s die te signaleren zijn, maar tevens aan de te ondernemen acties om deze risico’s af te dekken. Dit heeft geresulteerd in de volgende inzichten: • Een risicoprofiel: risico, kans, impact, effect, maatregel en verantwoordelijke per risico • Een marsroute ander woord kiezen tot verbetering: wat moet de gemeente wanneer doen om het risicomanagement op dit terrein te verbeteren? • Een grafisch risicoprofiel

5

Marktoperen SW-bedrijf

Impact

Transparantie & Prestatiesturing Meerjarig perspectief Risicoraamwerk Binding FinancieringsEfficiëntie Autonomie vanuit relatie SW gemeenten bedrijf Vrijheid vs gebondenheid Processen TVB

1 1

Kans

5


107

Risicobeheersing: Risico’s bij grote projecten Een gemeenten heeft in het licht van stedelijke ontwikkeling het initiatief genomen tot het opzetten van een Huis van Cultuur, waarin muziekschool, theater, filmhuis en bibliotheek worden ondergebracht. Het project is politiek-bestuurlijk een beladen project: het is centraal gelegen, er is een aantal belangrijke voorzieningen betrokken, het betreft een fors investeringsbedrag en als het project slaagt is er tevens sprake van een grote uitstraling naar de regio. Gezien het belang is er relatief veel aandacht besteed aan risico’s (financieel en bestuurlijk) en onderzoek. De gemeente heeft verzocht het risicomanagement rond het project te inventariseren en te bezien of hierbij leerpunten zijn te formuleren die eventueel hun uitwerking kunnen hebben op de rest van de organisatie. Deze inventarisatie heeft geleid tot een aantal generieke aandachtspunten, maar tevens geleid tot specifieke handreikingen voor het project zelf. 1. • • • • • • • •

Generieke aandachtspunten en risico’s: Behoud van kennis en expertise in eigen huis Procesdefinitie en functiescheiding in het project (in beperkte mate) Kwaliteit van medewerkers moeilijk te borgen Risicoattitude in cultuur en aanspreekgedrag Controle en bijsturing op het project onvoldoende formeel geborgd Ontbreken formeel risicomanagement raamwerk Borgen projectmatig werken in organisatie Ontbreken gesystematiseerde risicokwanticering en geformuleerde maatregelen

2. Voor het project zelf zijn de volgende risico’s geïdentificeerd: • Continuïteit: bezetting in het project kent een uiterst hoog verloop • Bestuurlijk draagvlak en eenduidigheid in ‘ownership’ • De vier betrokken partijen op één lijn krijgen en houden vormt een continue uitdaging (en daarmee een afbreukrisico) • Borging kennis en ervaringen project De genoemde risico’s zijn tevens in een grafisch risicoprofiel opgenomen:

5 Continuiteit bezetting Bestuurlijk draagvlak

Borging kennis Risicoraamwerk

Impact

Kwaliteit medewerkers Risicoattitude Meerdere partijen & aanspreekgedrag Risicokwanticering

Controle & sturing

Projectmatig werken Procesdefinitie & funktiescheiding 1 1

108

Kans

5

Hoofdstuk 3 Praktijkvoorbeeld: Een tweegesprek tussen wethouders over een politiek en financieel project “Het risico van dit project is onacceptabel” zegt wethouder Financiën(A). “Hoezo?”, vraagt Wethouder Ruimtelijke Ordening (B), “Welk risico bedoel je?”. Nou zegt wethouder A: “Het risico dat het project uitloopt en dat de consequenties van het uitlopen van het project voor onze rekening komt.” Wethouder B zegt: “Er is geen sprake van een risico, want de vertraging van het project is opgelost door in het contract met de andere participanten op te nemen dat zij verantwoordelijk zijn en opdraaien voor een uitloop van het project.” “Geldt dit ook voor de uitloop die wordt veroorzaakt als wij de vergunningen niet tijdig verlenen?” vraagt wethouder A. “Dat is mij niet bekend.” zegt wethouder B “Dit heb ik ook niet vernomen van de projectleider. Ik heb het over de gevolgen die het gerelateerd zijn aan de vertraging zoals deze door de andere contractpartijen worden veroorzaakt.” “Dan lijkt het er op,” zegt wethouder A, “dat onze risico’s toch groter zijn dan eerder was aangenomen. Op basis van de huidige informatie, die ik van de controller gisteren heb gekregen, schat ik de risico’s in op circa € 2,0 miljoen.” Wethouder B zegt: “Hier ben ik niet van op de hoogte en dat lijkt me ook niet de bedoeling, maar je hebt hier mogelijk wel een punt. Hier heb ik niet direct bij stilgestaan.”

Managers handelen niet altijd rationeel en dit heeft meetbare negatieve invloed op strategische beslissingen. Met governance zou dit probleem wellicht aan te pakken zijn. De vraag is welke invloed Governance (goed ondernemingsbestuur en toezicht) kan hebben in het verminderen van de negatieve effecten van irrationeel gedrag van managers. De managers hebben een grote invloed op de investeringen en financiering van de organisaties die zij leiden. Aangezien de irrationaliteit geen bewust gedrag van managers is, blijkt dat een aantal mechanismen (dat uitstekend rationele economische problemen kan verminderen) niet werkt. Zo heeft bijvoorbeeld de beloningsstructuur naar verwachting geen invloed op het beperken van irrationele besluiten. Potentieel wel effectieve mechanismen lijken de rol van toezichthouders (gemeenteraad).

De governance dimensie van risicomanagement: samenwerkingsverbanden Een organisatie staat in een proces van deelnemen aan een Shared Service Center (SSC) met meerdere gemeenten. Deze organisatie staat voor de uitdaging om de invoeging in het SSC zo goed mogelijk vorm te geven. Met name het vormgeven van de relatie, de governance daarop en het managen van risico’s bleken grote vraagstukken. De volgende lessen bleken van belang: • Creëer een eenduidige zet van taken, verantwoordelijkheden en bevoegdheden, ook in het licht van risicobeheersing. • Zorg voor een ‘logische volgorde der dingen’ in het proces: niet eerst plaatsen en dan pas nadenken over taakafbakening en strategie • Besteed aandacht aan alle aspecten van het SSC: systemen, mensen, processen, sturing & beheersing, financiën, etc. en benader deze aspecten integraal • Bepaal als organisatie welke balans je nastreeft tussen kwaliteit, efficiency en wendbaarheid bij toetreding tot het SSC en zorg dat deze balans geborgd is in het SSC (afspraken) • Zorg dat de bekende ‘faalfactoren’ in het SSC-proces zijn afgedekt • Creëer mogelijkheden om in te grijpen in het proces als aan de randvoorwaarden niet wordt voldaan. • Bewaak dat in het ontwerp van het SSC recht wordt de gedaan aan de specifieke kenmerken van de werkzaamheden van de eigen organisatie: u moet erop vooruit gaan • ER ZIJN GEEN SHORTCUTS: NEEM DE TIJD!


109

Hoofdstuk 4 Van risico-inventarisatie naar risicomanagement De invoering van de WMO heeft voor gemeenten weer een nieuw terrein voor risicomanagement blootgelegd. De eerste stappen zijn vaak gezet. Een gemeente wil het risicomanagement op een hoger plan tillen: van inventarisatie naar management van risico’s. Bij deze gemeente zijn risico’s globaal in kaart gebracht en er is een weerstandsvermogen opgebouwd waarmee de gemeente de risico’s, al dan niet in kaart gebracht, financieel op kan vangen. Op dit moment worden de meeste risicomaatregelen financieel beheerst. Bij een project worden de kosten van de risico’s geschat en als extra budget opgenomen. Men wil naar een situatie toe waarbij er niet alleen sprake is van inzichtelijkheid in de risico’s maar waarbij er ook sprake is van het managen van risico’s, onder meer in verband met overschrijdingen van budgetten. Het ontwikkelpad is van risico inzicht naar risicomanagement met behulp van diverse risicobeheersmaatregelen. Om dit te realiseren is een verdiepende inventarisatie uitgevoerd en is in een workshop gewerkt aan een risicoprofiel, waarbij kans en impact zijn gekoppeld aan risico’s en tevens beheersmaatregelen zijn benoemd. Dit risicoprofiel bevat een breder palet aan risico’s dan uit de bestaande inventarisaties komt en kent een proactief (in plaats van het reactieve karakter van de inventarisatie) karakter. Hierdoor kan beter worden geanticipeerd op de risico’s en daarmee risico’s ook worden voorkomen.

Van volgen naar sturen: loonsombeheersing Bij een gemeente was sprake van een tweevoudige loonsomproblematiek: 1 jaarlijks wordt het loonsombudget overschreden en 2 jaarlijks wordt de geraamde dekking van loonkosten in projecten (kredieten) niet gerealiseerd. De gemeente heeft vervolgens vier maatregelen getroffen om te komen tot beheersing van de loonsombudgetten: 1 Uitgangspositie is vastgesteld (loonsombudgetten per afdeling, bijpassende formatieplannen en omzettaakstellingen op kredieten). 2 Managementinformatie wordt maandelijks geleverd (formatie- en bezettingsoverzicht, overzicht inhuur derden, overzicht omzettaakstelling). 3 Verantwoordingsgesprekken worden maandelijks gehouden tussen directeur en afdelingshoofd, in aanwezigheid van de concerncontroller (met aandacht voor de loonsom); 4 Verbijzonderde interne controle uitgevoerd door de concerncontroller ter toetsing van het werkelijkheidsgehalte van de managementinformatie. De genoemde maatregelen hebben een goede uitwerking gekend. In het kader van risicomanagement heeft dit een extra sturingsinstrument opgeleverd.

110

Het risicomanagement proces: grote projecten Een gemeente is serieus bezig met risicomanagement door het vastleggen van helder beleid, verdeling van taken en verantwoordelijkheden, training van medewerkers en ondersteuning door middel van een risicomanagement informatiesysteem. Met name het risicomanagement rond projecten verdiende extra aandacht Het project moet leiden tot directe invoering van risicoanalyses op strategische projecten en trajecten. Door het uitvoeren van een analyse zijn de volgende bevindingen gedaan: 1. Inhoudelijk - inzicht in projectrisico’s onvoldoende - regierol subsidies ontbreekt - geen totaalbeeld risico’s WMO 2. Cultuur - geen eenduidig begrippen kader - angst voor communicatie over risico’s - politieke gevoeligheid 3. Proces - (eerder) betrekken portefeuillehouder - vooraf investeren in kennis - politieke actualiteit - beter plannen Dit heeft geresulteerd in een verdere verfijning van het risicomanagementproces, met specifieke aandacht voor projectrisico’s door het ondernemen van de volgende acties: • Opstellen beleidsplan • Training workshops/ cursussen • Proces integraal risicomanagement uitrollen • Risico analyses op thema’s • Verzekeringsanalyse en professionaliseren beheer • Communicatie verbreden en intensiveren


111

Bijlage 8: Aandachtspuntenlijst per onderdeel van de governance-cyclus

In deze bijlage is per onderdeel van de governance-cyclus een overzicht gegeven van de aandachtspunten. Deelproces Aandachtsgebieden

Toelichting

Sturen

Beleid

Is er beleid rondom risicomanagement? Zijn hierin de afspraken zoals deze zijn gesteld in de verordening 212 tenminste uitgewerkt? Is de methodiek (inventariseren, periodiciteit rapporteren, systeem, rolverdeling, etc.) van risicomanagement duidelijk?

Houding/ Cultuur

Wat straalt de leiding uit ten aanzien van het omgaan met risico’s? Hoe wordt omgegaan met het melden van risico’s? Bestaat er waardering voor melden van risico’s Zijn middelen vrijgemaakt om te werken aan risicomanagement Worden adviezen en maatregelen om risico’s te beperken dan wel te mitigeren serieus genomen?

Prioriteitstelling

Maakt risicoanalyse en -signalering onderdeel uit van de reguliere P&C-cyclus en de voorstellen Is het risicoprofiel nader uitgewerkt voor wat betreft de beleidsvelden en/of activiteiten waarop risico’s mogen worden gelopen? Is bepaald op welke wijze kwantificering en identificatie van de risico’s moet plaatsvinden? Zijn (toekomstige) middelen gealloceerd die beschikbaar zijn voor het opvangen van (specifieke) risico’s? Wat is de risicohouding bij samenwerking met derden partijen?

Omvang

Zijn spelregels opgenomen voor het kwantificeren en kwalificeren van de risicopositie? Met andere woorden wat is een acceptabele verhouding tussen de beschikbare weerstandscapaciteit en de risico’s? Is gedefinieerd op welke wijze berekening van de omvang van de risico’s plaatsvindt? Is de minimale / maximale omvang bepaald van de weerstandscapaciteit? Zijn acties benoemd om de weerstandscapaciteit te vergroten?

Informatie / rapportage Zijn spelregels opgenomen voor de periodiciteit waarop gerapporteerd moet worden over de ontwikkeling van de risico’s en de resultaten van de beheersmaatregelen? Zijn er afspraken gemaakt over de wijze waarop over de risico’s moet worden gerapporteerd waarbij onder meer moet worden ingegaan op: - aan wie moet de informatie worden geleverd? - welke informatie moet worden aangeleverd met betrekking tot de ontwikkeling van de risico’s? - evaluatie van de werking van de beheersmaatregelen - nieuwe en vervallen risico’s Is bepaald op welke wijze bij individuele voorstellen gerapporteerd moet worden over de risico’s en de hierbij getroffen maatregelen? Bevoegdheden en Is duidelijk wie eindverantwoordelijk is voor het betreffende risico? verantwoordelijkheden Is bepaald wie eindverantwoordelijke is voor het identificeren, sturen en verantwoorden omtrent risico’s? Is duidelijk wie bevoegd is tot het aangaan van risico’s door middel van bijvoorbeeld goedkeuren van een voorstel, afsluiten van een contract of aangaan van een (andere) verplichting? Tabel Bijlage 8-1: deelproces sturen bij risicomanagement: de risicohouding

112

Deelproces Aandachtsgebieden

Toelichting

Beheersen

Begrippen

Bestaat er een gemeenschappelijk beeld over wat verstaan wordt onder risico’s? Zijn de risicogebieden duidelijk? Dus is bekend op welke facetten beoordeling van (onderdeel) proces, organisatie of activiteiten plaats moet vinden?

Kennis

Is binnen de organisatie voldoende kennis om risico’s te identificeren en te kwantificeren? Heeft de gemeente voldoende kennis om tijdig te reageren op de wijziging van risico’s? Is voldoende kennis aanwezig omtrent de wijze waarop omgegaan moet worden met zich manifesterende risico’s?

Methode

Is er een duidelijke methodiek voor het in beeld brengen, houden en sturen rondom risico’s? Is deze methode in de organisatie bekend? Is de methode geïncorporeerd in de dagelijkse operationele procesgang? Is duidelijk wanneer en welke maatregelen worden getroffen Bestaat in de methode voldoende aandacht voor: - omschrijven van de risico’s - kwantificeren van risico’s - evalueren van de risico’s - formuleren van beheersmaatregelen en - aanwijzen verantwoordelijke voor omgaan met de geconstateerde risico’s

Risicoanalyse

Is bekend wat de belangrijkste risicogebieden binnen de organisatie zijn door het uitvoeren van een risicoanalyse? Wordt de risicoanalyse met een dusdanige frequentie herzien dat blijvend aandacht bestaat voor de ontwikkeling van de risico’s? Bestaat voldoende aandacht voor het identificeren van nieuwe risicogebieden binnen de organisatie dan wel activiteiten van de organisatie? Wordt de opgestelde risicoanalyse gedeeld door het management? Is de uitgevoerde risicoanalyse de basis voor het treffen van maatregelen?

Organisatie

Is er voldoende capaciteit aanwezig om aandacht te besteden aan risicomanagement? Bestaat extra organisatorische aandacht voor die terreinen waar de risico’s dominant zijn, omvangrijk van aard dan wel frequent wisselen? Is er aandacht in de processen voor het periodiek aandacht besteden aan risicomanagement bij de dagelijkse gang van zaken Zijn de rollen duidelijk in het proces van risicomanagement: wie moet wat wanneer doen?

Beheersmaatregelen

Is per relevant geïdentificeerd risico duidelijk of er beheersmaatregelen mogelijk zijn? Zijn de beschreven beheersmaatregelen duidelijk genoeg om deze vorm te geven? Is duidelijk wie verantwoordelijk is voor het implementeren van en het bewaken van de werking van de beheersmaatregel? Is duidelijk binnen welke termijn de beheersmaatregel tot stand moet zijn gebracht? Zijn de beschreven beheersmaatregelen geïmplementeerd? Werken de beschreven beheersmaatregelen? Met andere woorden dragen zij bij aan het ondervangen van de risico’s? Zijn er alternatieven onderzocht om de risico’s mogelijk anderszins op te vangen? Is er bij samenwerking met derden dan wel op afstand opererende partijen voldoende aandacht voor de ontwikkeling van de risico’s? Door de afstand heeft de belanghebbende geen dagelijks inzicht in de ontwikkeling van de risico’s. Bestaan er scenario’s om te volgen wanneer risico’s zich daadwerkelijk manifesteren Is er voldoende financiële ruimte aanwezig om de risico’s op te vangen?

Tabel Bijlage 8-2: deelproces beheersen bij risicomanagement: de methodiek Risicomanagement meer dan de som der delen

113

Deelproces

Aandachtsgebieden Toelichting

Verantwoorden

Inhoud

Waarover vindt verantwoording plaats? Onderwerpen die hierbij aan de orde kunnen komen zijn: - Is het risicoprofiel van de organisatie gewijzigd en zo, ja wat zijn hiervan de gevolgen? - Hebben zich ten opzichte van de voorgaande rapportage nieuwe risico’s voortgedaan en wat is hiervan de mogelijke (financiële) impact? - Welke maatregelen zijn getroffen om eerder onderkende risico’s te ondervangen en wat is het effect van deze maatregelen geweest? Werken de beschreven en afgesproken maatregelen? - Welke risico’s hebben zich concreet gemanifesteerd en hebben geresulteerd in een uitstroom van middelen? - Wat is de stand van zaken met betrekking tot de omvang van de risico’s in relatie tot de beschikbare middelen? Wordt gecontroleerd in hoeverre de activiteiten zijn uitgevoerd binnen de geformuleerde beleidskaders/ afspraken? Bevat de verantwoordingsinformatie voldoende sturingsinformatie om het beheer en inzicht in de risico’s te verbeteren? Is uit de verantwoordingsinformatie duidelijk op welke aspecten de organisatie meer bewust moet zijn van onderkennen of beheersen van risico’s?

Effectiviteit en efficiency van maatregelen

Heeft de gemeente voldoende zicht op de effectiviteit van de getroffen maatregelen: - Welke risico’s hebben zich gemanifesteerd? - Wat zijn de kosten geweest voor het treffen van beheersmaatregelen in relatie tot het beperken van de risico’s? - Voert de gemeente periodiek audits uit om na te gaan hoe effectief de beheersing van de risico’s heeft plaatsgevonden?

Wijze onderbouwing en kwantificering

Is de wijze van kwantificering concreet genoeg om een oordeel te vormen over de wijze van verantwoording? Bestaat voldoende inzicht omtrent de kans van optreden van een risico en de resterende onzekerheden?

Frequentie

Is de frequentie van herzien van de risico’s voldoende gelet op de ontwikkeling van het risicoprofiel? Wordt rekening gehouden met de actieve informatieplicht wanneer risicopositie wijzigingen ondergaat?

Tabel Bijlage 8-3: deelproces verantwoorden bij risicomanagement: de rapportage

114

Deelproces

Aandachtsgebieden Toelichting

Toezicht houden

Bedrijfsvoering

Is duidelijk of risico-identificatie onderdeel uitmaakt van de reguliere bedrijfsprocessen? Zijn middelen beschikbaar voor het houden van audits en bijzondere onderzoeken bij geconstateerde (aanvullende/ extra hoge) risico’s? Is ruimte in de voorstellen, formatie en werkzaamheden om (verplicht) aandacht te besteden aan risicomanagement?

Grenzen

Hoe passen de risico’s binnen de door de raad gestelde kaders? Hoe verhouden de geïdentificeerde risico’s zich tot vergelijkbare organisaties dan wel externe normen?

Toetsen

Zijn er recente rapportage over de geïdentificeerde risico’s? Heeft een analyse plaatsgevonden van de mutatie in risico’s en de effectiviteit van de geïntroduceerde beheersmaatregelen? Maakt een afzonderlijke risicoparagraaf onderdeel uit van de individuele voorstellen en de P&C-documenten?

Controle

Wordt het beleid ten aanzien van risicomanagement nageleefd? Wordt in de rapportage van de accountant ingegaan op het bestaan van een systeem van risicomanagement en de werking hiervan? Beschikt de toezichthouder over voldoende informatie om te kunnen controleren, hierbij kan gedacht worden aan: - Of de risico’s goed worden gemanaged - Of de organisatie de risico’s beheerst (in control is) - Of de organisatie een solide financiële positie heeft

Financiële positie Tabel Bijlage 8-4: deelproces toezicht houden bij risicomanagement: de meting


115

Bijlage 9: Vragenlijst risicogesprek

In deze bijlage wordt een aantal handreikingen gegeven om een gesprek te starten binnen de eigen organisatie in het kader van risicomanagement. Voor velen zullen de vragen voor de hand liggen, maar in de praktijk blijkt een aantal organisaties te worstelen met de vraag hoe een risicogesprek met een lijnverantwoordelijke op een constructieve en positieve manier kan worden ingestoken. In onze optiek zijn er twee invalshoeken mogelijk voor een dergelijk gesprek: benaderd vanuit doelstellingen of vanuit processen. De eerste benadering leent zich vooral als de betrokkene meer werkt vanuit doelstellingen (denk aan bijvoorbeeld beleidsafdelingen). De tweede benadering is veelal geschikt als de betrokkene werkt in een productieomgeving (denk aan bijvoorbeeld administratieve of registratieve processen, zoals burgerzaken). Belangrijk is dat de gekozen invalshoek aansluit bij de belevingswereld van de betrokkene. Benaderd vanuit doelstellingen: • Wat zijn je doelstellingen voor het komende jaar? Welke onzekerheden spelen een rol bij het bereiken van deze doelstellingen? • Welke risico’s komen uit eerdere inventarisatie? Zijn deze nog steeds van kracht? • Welke gevolgen heeft de kredietcrisis voor jouw afdeling? • Zijn er nieuwe thema’s die in het komende jaar een rol spelen? Kunnen we hier extra op inzoomen? Bijvoorbeeld invoering van nieuwe wetgeving? • Welke maatregelen tref je en zijn mogelijk op de genoemde risico’s? Benaderd vanuit processen: • Wat zijn jouw belangrijkste processen? • Welke knelpunten signaleer je hierin? • Hoe vaak doen deze knelpunten zich voor? • Zijn deze knelpunten ook te vertalen naar risico’s? • Wat is de mogelijke omvang van deze risico’s? • Welke maatregelen nam je tot op heden om deze risico’s het hoofd te bieden? • Zijn deze maatregelen afdoende? Welke additionele maatregelen zou je (kunnen) nemen?

116

Bijlage 10: Rolverdeling in het risicomanagementproces

In het handboek zijn meerdere figuren gepresenteerd met daarin een overzicht van de rolverdeling die bij risicomanagement van toepassing is. Deze figuren zijn onder andere gericht op de raden en colleges. Hieronder zijn de figuren gezamenlijk geplaatst. Rolverdeling vanuit de Governance insteek Actoren

Rollen

Acties/Besluiten

Gemeenteraad

Sturen en toezicht houden

Vaststellen uitgangspunten en methodiek risicomanagement oogte weerstandsvermogen vaststellen Vaststellen uitgangspunten projecten Beoordelen rapportages en adviezen van het College

College/ Directieraad

Sturen en toezicht

Toezien op implementatie risicomanagement in projecten Sturen op verantwoording van risico’s

Directie / Ambtelijke top

Sturen en Verantwoorden

Implementeren risicomanagement in projecten Sturen op scenarioplanning Opdracht tot kwantificering risico’s Hanteren risicomanagement als rapportage-instrument Maatregelen nemen voor het beheersen van de risico’s en hierover actieve terugkoppeling laten organiseren Aanspreken op gedrag

Afdeling / project

Beheersen

Implementeren beheersmaatregelen ter opvangen van de risico’s Scenario analyse per product / project in beeld brengen Kwantificering risico’s Rapportage over ontwikkeling risico’s Bouwstenen aandragen voor in beeld brengen risico’s Werken binnen geformuleerde uitgangspunten projecten Binnen het projectonderdeel maatregelen nemen voor het beheersen van de risico’s en hierover actieve terugkoppeling In beeld brengen consequenties op financiële positie

Control Financiën

Beheersen en toezicht houden

Bijdrage leveren aan de scenario analyse In beeld brengen consequenties op financiële positie Bijstellen methodiek / tool van risicomanagement


117

Rolverdeling vanuit Toezicht & Toetsing Checklist Risicomanagement Stap

Gemeenteraad

College

Ambtelijk

bepalen kaders en strategie

advies/feedback

adviseren, info verstrekken, opstellen

Risicoanalyse

toezicht

geeft opdracht en toets

formuleert/voert uit/ en monitoort

Monitoren

toezicht en controle

ontwikkeling kaders maatregelen

info verstrekken en controle

Toezicht & Toetsing

controle

toezicht en verantwoording continu monitoren

Verbetering

feedback bij verbeteren beleid advies betreffende verbetering beleid

Kaderstelling & strategie

118

signaleren/formuleren implementeren

Bijlage 11: Voorbeeld Beleidsnota Risicomanagement en Weerstandsvermogen

Inhoudsopgave 1. Inleiding 1.1. A anleiding 1.2. Doelstelling en reikwijdte 1.3. Het begrip risico 2. Van risicobeleid naar risicomanagement 2.1. Huidig risicobeleid 2.2 Toekomstig risicomanagement 3. Weerstandscapaciteit en weerstandsvermogen 3.1. Weerstandscapaciteit 3.2. Weerstandsvermogen 4. Uitvoering van het risicomanagement 4.1. Kader is de BBV-cyclus 4.2. Kwaliteit van de risicobepaling 4.3. Omvang van het weerstandsvermogen 4.4. Top 10 risico’s 4.5. Verankering in de organisatie (inclusief informatievoorziening en verankering) 4.6. Risicoprofiel perspectiefnota 20XX


119

1. Inleiding 1.1. Aanleiding Toenemende complexiteit van de samenleving en van projecten waar de gemeenten in het algemeen bij betrokken zijn en veranderende weten regelgeving dwingen tot een groter risicobewustzijn. In dit kader is het van belang om zicht te hebben op de risico’s die zich manifesteren bij de uitvoering van de gemeentelijke taken, de oorzaken op te sporen en om daarbij passende maatregelen te treffen. In veel gevallen is er bij daadwerkelijk optreden van het risico ook sprake van financiële schade voor de gemeente. Meer toegespitst op dat laatste aspect, bepaalt het besluit Begroting en Verantwoording (BBV, art. 11) dat gemeenten beleid moeten formuleren omtrent de weerstandscapaciteit en de risico’s. De bedoeling daarvan is dat jaarlijks via de paragraaf weerstandsvermogen in de stadsbegroting en -rekening een oordeel kan worden gegeven over de toereikendheid van het weerstandsvermogen. Aan deze verplichting wordt invulling gegeven via de financiële beheersverordening van de gemeente X (ex. art. 212 Gemeentewet). In deze verordening is vastgelegd dat ons college tenminste eenmaal per vier jaar een notitie voorlegt aan uw raad, waarin uiteengezet wordt wat de uitgangspunten zijn met betrekking tot het financiële beleid en waarin aandacht wordt geschonken aan risicomanagement, weerstandscapaciteit, en de systematiek waar langs het weerstandsvermogen wordt berekend. Bij de behandeling van de nota reserves en voorzieningen op X heeft uw raad besloten ons college te vragen in de perspectiefnota X een actueel en realistisch risicoprofiel op te nemen, in relatie tot het vermogen deze risico’s op te vangen. Daarnaast hebben wij naar aanleiding van de behandeling van de jaarrekening X toegezegd nog voor het einde van X een nota risicomanagement en weerstandsvermogen aan uw raad aan te bieden. Deze leggen wij hierbij aan u voor. 1.2. Doelstelling en reikwijdte Met deze nota willen wij onze visie op risicomanagement en weerstandsvermogen voorleggen, en de uitvoering daarvan. Achtereenvolgens zullen wij ingaan op: • het begrippenkader; - de doelstellingen en reikwijdte

120

van risicomanagement; • het beleid ten aanzien van het gewenste weerstandsvermogen, mede in relatie tot het raadsbesluit inzake reserves en voorzieningen; • spelregels voor de uitvoering van het risicobeleid. Het is duidelijk dat risicomanagement een wezenlijk onderdeel deel is van de sturing en beheersing van de gemeente. Wij streven nu echter niet naar de implementatie van een modieus management control model, dat de capaciteit van de organisatie overstijgt. Wij kiezen, vanuit een realistisch beeld van wat de organisatie aan kan, voor een praktische aanpak. Deze keuze is mede gebaseerd op ervaringen in andere grote gemeenten. 1.3. Het begrip risico Van belang zijn de begrippen risico, weerstandscapaciteit en weerstandsvermogen (hierop komen we terug in 3.1./3.2.). Het Besluit Begroting en Verantwoording (BBV) laat gemeenten vrij in het inkleuren van deze begrippen. Welke risico’s in gemeenten relevant zijn en wat tot de weerstandscapaciteit wordt gerekend, kan niet in zijn algemeenheid worden aangegeven. Gemeenten dienen de risico’s en de capaciteit zelf na te lopen en in kaart te brengen. Doordat de risico’s per gemeente verschillen, is het niet mogelijk een algemene norm te stellen voor een goede relatie tussen risico’s en weerstandscapaciteit. Het is aan de gemeente zelf een beleidslijn te formuleren over de in de organisatie noodzakelijk geachte weerstandscapaciteit in relatie tot de risico’s. Het begrip risico definiëren we als volgt: - Risico = een onzekere ongewenste gebeurtenis, waardoor het realiseren van de organisatiedoelstellingen en -strategie in gevaar komt. Dat betekent dat: - als er zekerheid bestaat over het optreden van de gebeurtenis er geen sprake meer is van een risico. Dat heeft gevolgen voor de wijze waarop met de (financiële) gevolgen moet worden omgegaan. • als de gebeurtenis geen gevolgen heeft voor het realiseren van de organisatiedoelen, er ook geen sprake is van risico. Dat betekent dat het altijd gaat om substantiële zaken. • het missen van een kans is ook een risico.

2. Van risicobeleid naar risicomanagement 2.1. Huidig risicobeleid Het huidig risicobeleid binnen de gemeente X is vastgelegd met een raadsbesluit van X met betrekking tot vermogenspositie en gewenste hoogte van de vrije reserves, voor een deel geactualiseerd met het raadsbesluit van X inzake de nota reserves en voorzieningen. Sindsdien wordt inhoud gegeven aan risicobeleid door bij de opstelling van de verschillende BBV-producten, met name begroting, jaarrekening en Voortgangsrapportage Grote Projecten (VGP), melding te maken van risico’s en eventuele maatregelen voor te stellen om risico’s te beperken. Vanuit de risico’s is er steeds een relatie gelegd naar de gewenste hoogte van de reserves. Vanaf X gebeurt dat met de in het BBV voorgeschreven paragraaf Weerstandsvermogen. In X is een gemeentebrede risico-inventarisatie uitgevoerd. Maar risico’s veranderen, de wereld staat niet stil, periodiek onderhoud van de uitkomsten van risicoanalyse is nodig. Dit wordt bemoeilijkt door het ontbreken van ondersteuning in de vorm van een passend informatiesysteem. Daarnaast wordt, onder meer in het kader van rechtmatigheid, via de controlprogramma’s van de verschillende directies aandacht besteed aan risico’s. Het gaat daarbij voornamelijk om het identificeren van procesrisico’s en het treffen van maatregelen om deze te minimaliseren, gevolgd door interne controle op de werking van de maatregelen. 2.2 Toekomstig risicomanagemen Wat is risicomanagement Risicomanagement is het effectief omgaan met de kansen en bedreigingen die de realisatie van organisatiedoelstellingen kunnen beïnvloeden. Met andere woorden: het is gericht op proactief handelen in plaats van reactief. Risicomanagement is, als normaal onderdeel van de verantwoordelijkheid van het management, een periodiek terugkerend proces dat bestaat uit een aantal onderdelen: • Identificeren van risico’s • Kwantificeren van risico’s • Definiëren en implementeren van beheersmaatregelen • Financieel afdekken van risico’s Onderstaan lichten wij dit nader toe. Door een

koppeling aan te brengen met de BBV-cyclus (zie 4.1) willen we benadrukken dat er sprake is van een cyclisch proces. Identificeren van risico’s In deze fase worden alle potentiële risico’s geïnventariseerd. Daarbij wordt naar risico’s gezocht binnen alle risicogebieden, dat zijn samenhangende clusters van activiteiten van de gemeente. De risico’s worden bezien vanuit verschillende invalshoeken, risicogroepen en risicocategorieën. Risicogroepen zijn bij voorbeeld programma’s. Voorbeelden van risicocategorieën zijn aansprakelijkheidsrisico, procesrisico, financieel risico, milieurisico, arbeidsrisico. Kwantificeren van risico’s De analyse bestaat uit een inschatting van de kans dat een gebeurtenis optreedt, en wat daarvan de gevolgen zullen zijn. Met behulp van beoordelingstechnieken kan worden afgewogen hoe groot het risico is. Ieder individueel risico wordt bepaald als: Kans x Gevolg. Doel is om de hoge risico’s te identificeren. Het waarderen van risico’s behoort zoals gezegd tot de normale managementverantwoordelijkheid. In zijn aard is het een proces van taxeren en inschatten, en heeft daarmee altijd in bepaalde mate een subjectief karakter. Deze subjectiviteit beperken we zoveel mogelijk, door enerzijds er voor te zorgen dat er altijd meerdere personen bij het proces betrokken zijn, en anderzijds waar mogelijk gebruik risicoprofielen van andere gemeenten te gebruiken als spiegel voor onze eigen inschattingen. Definiëren en implementeren van beheersmaatregelen Er worden beheersmaatregelen gedefinieerd die zijn gericht op het beheersen van de risico’s. Beheersmaatregelen kunnen preventief van aard zijn, gericht op het voorkomen van de gebeurtenis. Voorbeelden daarvan zijn procedures, herinrichting van processen en zorgsystemen. Maatregelen kunnen ook curatief zijn, gericht op het beperken van de gevolgen. Voorbeelden daarvan zijn een rampenorganisatie, risicofinanciering en verzekering. Het is van belang dat de beheersmaatregel in verhouding staat tot de omvang van het risico. Op grond van een kostenbatenanalyse kan ook worden besloten dat bepaalde risico’s moeten worden geaccepteerd. Risicomanagement meer dan de som der delen

121

Financieel afdekken van risico’s Tot slot kan dan op grond van deze analyses bepaald worden hoeveel middelen gereserveerd moeten worden ter afdekking van deze risico’s. Het gaat daarbij om de restrisico’s. Daarmee wordt bedoeld dat de mate waarin de getroffen beheersmaatregelen het oorspronkelijke risico terugdringen, moet worden meegewogen. De uitkomsten hiervan moet afgezet worden tegen de middelen die de organisatie beschikbaar heeft. 3. Weerstandscapaciteit en weerstandsvermogen 3.1. Weerstandscapaciteit De weerstandcapaciteit is te omschrijven als de omvang van de direct beschikbare financiële middelen om onverwachte financiële tegenvallers op te vangen. Het is als het ware een buffer om er voor te zorgen dat bestaand beleid en voorzieningen niet in gevaar komen, als risico’s werkelijkheid worden. De weerstandscapaciteit bestaat uit: • Algemene reserve; • Bestemmingsreserves (inclusief X); • Stille reserves; • Post onvoorzien; • Flexibiliteit van budgetten, waaronder de onbenutte belastingcapaciteit. De mate waarin deze posten kunnen bijdragen aan de weerstandscapaciteit zal steeds opnieuw moeten worden bezien. Hierin wordt voorzien via de paragraaf Weerstandsvermogen in de begroting en de jaarrekening. 3.2. Weerstandsvermogen Het weerstandsvermogen bestaat uit de relatie tussen de beschikbare weerstandscapaciteit en de voor afdekking van de risico’s benodigde weerstandscapaciteit (middelen). De benodigde weerstandscapaciteit wordt bepaald door het risicoprofiel van de gemeente als geheel, waarbij de waarschijnlijkheid en de omvang van ieder risico afzonderlijk is gewaardeerd (zie 2.2). Deze relatie drukken we uit in een verhoudingsgetal

122

4. Uitvoering van het risicomanagement 4.1. Kader is de BBV-cyclus Door de bepalingen van het BBV, de verplichte paragraaf Weerstandsvermogen, is risicomanagement onlosmakelijk verbonden aan de BBV-cyclus. Dat betekent dat wij minimaal twee maal per jaar, via begroting en jaarrekening, een integraal beeld geven van de risico’s, de aanwezige weerstandscapaciteit en het weerstandsvermogen, en de ontwikkelingen ten opzichte van de voorgaande rapportage. In de tussentijdse bestuursrapportages zullen wij steeds ingaan op de ontwikkelingen ten aanzien van de top-10 risico’s (zie 4.4). 4.2. Kwaliteit van de risicobepaling In de geschetste methodiek van risicomanagement worden risico’s individueel beoordeeld op kans van optreden en het daarmee gepaard gaande gevolg. Daarmee bereiken we dat we beschikken over een meer betrouwbaar beeld van het totale risiconiveau dan tot nu toe in de paragraaf weerstandsvermogen, omdat daarin werd uitgegaan van een algemeen gemiddelde kans. Dit moet ertoe leiden dat er betere uitspraken kunnen worden gedaan over het weerstandsvermogen van de gemeente. Daarmee wordt een belangrijk bezwaar weggenomen, dat via het aanvaarde amendement op het raadsvoorstel Reserves en voorzieningen naar voren werd gebracht. Maar feit blijft dat risico’s zich in de tijd ontwikkelen, daar is geen ontkomen aan. 4.3. Omvang van het weerstandsvermogen Op basis van de gepresenteerde waarderingstabel weerstandsvermogen streven wij naar een ratio weerstandsvermogen van minimaal 1,0, daarmee krijgt het weerstandsvermogen de kwalificatie “voldoende”, en dat is in onze visie goed genoeg. Via onze programma’s, productgroepen, producten, projecten en planexploitaties sturen wij immers op maximale beheersing. Daarbij zullen wij zo nodig voorzieningen creëren. Verder benadrukken we nog eens dat we iedere risico afzonderlijk wegen, en de daarbij benodigde beheersmaatregelen bepalen. Het uiteindelijke risicoprofiel bevat dan de restrisico’s die overblijven nadat de beheersmaatregelen zijn getroffen. Met het raadsbesluit van X is vastgelegd dat omvang van de algemene reserve wordt genormeerd

op minimaal € XX per inwoner en maximaal € XX per inwoner. De algemene reserve is een belangrijk bestanddeel van de weerstandscapaciteit. Met het normeren van de algemene reserve wordt dus ook de weerstandscapaciteit genormeerd. Dit kan in een situatie waarin het totale risicoprofiel zich ongunstig ontwikkeld, spanning opleveren met het streven naar een voldoende weerstandsvermogen. Wij zullen in dat geval via de paragraaf weerstandsvermogen voorstellen doen voor de wijze waarop daarmee kan worden omgegaan, en uw raad vragen om daar een uitspraak over te doen. 4.4. Top 10 risico’s Ervaringen in andere gemeenten leren dat als risico’s systematisch worden geïnventariseerd, er al snel een lange lijst van risico’s ontstaat. Dat is ook het beeld van onze eigen risico-inventarisatie uit XXX. Een deel van deze risico’s heeft slechts beperkte financiële gevolgen. Wij zullen in de weerstandsparagraaf uitgebreid ingaan op de top 10 risico’s. De overige risico’s zullen wij in financiële zin samenbrengen en worden onder de noemer “overige risico’s” meegewogen in het weerstandsvermogen. 4.5. Verankering in de organisatie (inclusief informatievoorziening en evaluatie) Risicomanagement behoort tot de normale managementverantwoordelijkheden. Dat betekent dat iedere directeur, programmamanager, afdelingshoofd, projectleider etc. verantwoordelijk is voor het risicomanagement met betrekking tot de aan hem/ haar toegewezen taken. Door in de BBV-cyclus systematisch aandacht te besteden aan risico’s willen wij het risicobewustzijn in de organisatie verder vergroten. Er zal het nodige in gang worden gezet om risicomanagement op een hoger plan te brengen. Wij zien daarvoor een belangrijke rol weggelegd voor de controlorganisatie: stadscontrol en directiecontrollers. Zij zullen het voortouw nemen in het proces, en de onder 2.2. geschetste activiteiten gaan organiseren. Er is binnen de concernstaf een procesontwerp gemaakt dat zal dienen als basis voor de verankering van risicomanagement in de organisatie. Tot het moment dat risicomanagement voldoende is geïnstitutionaliseerd zullen de directiecontrollers op directieniveau, en de stadscontroller op concernniveau fungeren als risicocoördinator. Wij zullen op zoek gaan naar een informatiesysteem dat ons daarbij kan ondersteunen.

De informatievoorziening zal maandelijks plaatsvinden door middel van een maandelijkse risicorapportage. In deze rapportage zal een overzicht worden gegeven van de belangrijkst (actuele) risico’s en de daarop geformuleerde maatregelen. Tevens wordt een inschatting gegeven van kans en impact van de verschillende risico’s. Tenslotte staat opgenomen wie verantwoordelijk is. Tevens zal ieder jaar een evaluatie worden uitgevoerd van het risicomanagement systeem. 4.6. Risicoprofiel Perspectiefnota X Wij zullen, conform het raadsbesluit van X, in de perspectiefnota X een geactualiseerd risicoprofiel opstellen. Wij zullen dat zo veel als mogelijk doen op basis van de hierboven geschetste methodiek, die geheel tegemoet komt aan de wens van uw raad om de risico’s en de gevolgen van risico’s individueel te waarderen. Daarbij zullen wij, eveneens op de hiervoor beschreven wijze, een relatie leggen met het weerstandsvermogen. Omdat de werkzaamheden grotendeels in het eerste kwartaal X moeten plaatsvinden, concurreren deze met de werkzaamheden voor het opstellen van de jaarrekening. Daarnaast is het nog onzeker of wij daarbij al kunnen beschikken over een ondersteunend informatiesysteem, en zo ja in welke mate de organisatie al in staat zal zijn om met dat systeem te werken. Zo nodig vallen wij terug op de methodiek die is gehanteerd bij de risico-inventarisatie in 20XX/20XX. Hierdoor is het niet geheel zeker dat het risicoprofiel al over de volle breedte zal voldoen aan de daaraan op termijn te stellen eisen.


123

Bijlage 12: Begrippenlijst

BBV

Besluit begroting en verantwoording provincies en gemeenten

Beheersmaatregelen

Het stelsel van maatregelen en procedures die worden genomen om de onderkende risico’s te ondervangen dan wel om opkomende risico’s te signaleren en het effect hiervan te beperken

COELO

Centrum voor Onderzoek van de Economie van de Lagere Overheden (COELO) heeft verschillende onderzoeken op het gebied van risico’s en weerstandsvermogen verricht bij de lagere overheden. Uit deze onderzoeken is een hulpmiddel voor weerstandsvermogen ontworpen wat gebaseerd is op een technische analyse van de onderzoeksresultaten.

Continue Verbetering

Binnen het proces van risicomanagement ervaringen implementeren om steeds scherper risico’s te identificeren en kwantificeren zodoende betere beheersmaatregelen te ontwikkelen

Cultuurverandering

Proces van implementatie en acceptatie van risicomanagement

Financiële Positie

De financiële positie is het vermogen van een organisatie - in relatie tot de exploitatie en met inachtneming van de risico’s - haar beleidsvoornemens te kunnen uitvoeren, zowel op de korte als lange termijn.

Frequentie Governance

het verwacht aantal keren dat een risico zich voordoet Het waarborgen van de onderlinge samenhang van de wijze van sturen, beheersen, en toezicht houden van een organisatie, gericht op een efficiënte en effectieve realisatie van doelstellingen, alsmede het daarover op een open wijze communiceren en verantwoording afleggen ten behoeve van belanghebbenden

Governance-cyclus

Viertal processen (sturen, beheersen, verantwoorden en toezicht) gericht op de interne en externe organisatie voor de lange en korte termijn

Impact

De effecten van een risico in financiële of andere zin

Kans

De kans dat een risico zich voordoet

NAR

Nederlands Adviesbureau voor Risicomanagement die een risicomanagement systeem he eft ontwikkeld gebaseerd op benchmark genaamd NARIS

Risico

Een risico wordt gedefinieerd als de kans op een gebeurtenis die een negatief effect heeft op de (continuïteit van de) bedrijfsvoering: een latent aanwezige, ongewenste implicatie van onzekerheid

Risicoanalyse

Het identificeren en kwantificeren van risico’s

Risicobeheersing

Door middel van beheersmaatregelen de risico's acceptabel houden zodat het niet de continuïteit in gevaar brengt.

Risicomanagement

Het identificeren en kwantificeren van risico’s en het bepalen van activiteiten die de kans van optreden en/of de gevolgen van risico’s beheersbaar houdt

Risicomanagement proces

De activiteiten behorende tot risicomanagement in een proces met opeenvolgende stappen: kaderstelling & strategie, risicoanalyse, vaardigheden, monitoren resultaten, toezicht & toetsing en verbetering

124

Risicomanagement systeem

Systeem van elkaar opvolgende stappen om risicomanagement uit te voeren: risicoanalyse, risicoweging, risicobeheersing, resterende risico’s en dekking door weerstandscapaciteit

Risicoprofiel

Een overzicht van de risico's dat een organisatie loopt met daaraan gekoppeld het financiële resultaat.

Risicoweging

Een financiële waarde toekennen aan het risico dat in overeenstemming is met de kans dat het risico zich voordoet: kans * gevolg

Schade

De uitkomst van de som kans x frequentie x impact

Sturen

Alle activiteiten waarbij de gemeente richting geeft aan de methodiek en systeem van risicomanagement

Toezicht

Alle activiteiten waarbij controle wordt uitgevoerd over de binnen de kaders gestelde activiteiten

Verantwoorden

Verantwoording afleggen over de activiteiten die zijn uitgevoerd binnen de kaders die zijn opgesteld onder beheersen


De weerstandscapaciteit van een organisatie wordt gedefinieerd als het geheel van middelen en mogelijkheden om niet begrote, onvoorziene en (mogelijk) substantiële kosten te dekken. De weerstandscapaciteit kan zowel incidenteel als structureel van aard zijn

Weerstandsvermogen

Het weerstandsvermogen is de mate waarin financiële tegenvallers kunnen worden opgevangen. Hierbij wordt de weerstandscapaciteit afgezet tegen de risico’s die een gemeente loopt. Weerstandsvermogen kan zowel een statisch als een dynamisch karakter hebben. Statisch weerstandsvermogen is het vermogen om tegenvallers op te vangen zonder dat dit tot beleidswijzigingen in het begrotingsjaar zelf leidt. Dynamisch weerstandsvermogen is het vermogen om tegenvallers op te vangen zonder dat dit consequenties heeft voor het beleid in meerdere begrotingsjaren


125

Bijlage 13: Beknopte CV’s van de deelnemers aan het Handboek

Diana Boender, ambulancedienst ZHZ Diana Boender was van 1990 tot en met 2006 werkzaam bij Deloitte accountants. Sinds haar indiensttreding bij Deloitte is zij betrokken geweest bij controles van gemeenten, variërend in grootte van 10.000 tot 40.000+ inwoners. In haar cliëntenportefeuille bevonden zich naast gemeenten ook woningbouwverenigingen en stichtingen. Binnen de vestiging Dordrecht Rijnmond-Rivierenland was zij het aanspreekpunt op het gebied van risicomanagement. In die hoedanigheid heeft zij een cursus ‘risicomanagement / weerstandsvermogen en de toezichthouder’ ontwikkeld welke landelijk aan alle toezichthouders (ministerie van Binnenlandse Zaken en Koninkrijksrelaties en alle provincies) is aangeboden.

Rob Janssens, gemeente Doetinchem Rob Janssens is sinds 2001 concerncontroller van de gemeente Doetinchem. Als hoofd van de eenheid is hij direct verantwoordelijk voor de omvorming van de middelenafdelingen tot vraaggerichte en vakdeskundige afdelingen die ondersteunend zijn aan integraal management en voor de ontwikkeling van de controlfunctie binnen de gemeentelijke organisatie.

Sinds januari 2007 is Diana werkzaam bij de Regio Zuid-Holland Zuid. Een gemeenschappelijke regeling van 19 gemeenten, waarin de regionale brandweer, de milieudienst, GGD en Regionale Ambulancevoorziening zijn ondergebracht. Zij is daar werkzaam als sectorcontroller voor de Regionale Ambulancevoorziening en verricht projectmatige opdrachten voor de Regiostaf.

Voordat Rob Janssens in dienst trad van de gemeente Doetinchem was hij werkzaam bij de gemeente IJsselstein als Directeur Centrale Staf Middelen / Concerncontroller.

René Janssen, gemeente Enschede/gemeente Almere René Janssen is werkzaam bij de gemeente Almere als concerncontroller. Daarvoor was hij jarenlang concerncontroller voor de gemeente Enschede. Bij de gemeente Enschede heeft hij zich actief bezig gehouden met de ontwikkeling en implementatie van risicomanagement. Zijn ervaringen op dit gebied heeft hij actief uitgedragen in lezingen, presentaties en bijeenkomsten rond risicomanagement bij gemeenten.

126

Tevens is hij in die rol direct verantwoordelijk voor de actualisering van de planning en controlinstrumenten vanwege invoering van het dualisme en vanwege de (interne) organisatieontwikkeling. Doel: versterking sturende rol gemeentebestuur (college en raad) en ontwikkeling stuurbare organisatie algemeen.

Bert de Jong, gemeente Amersfoort Bert de Jong heeft zich de afgelopen jaren actief bezig gehouden met risicomanagement binnen de gemeente Amersfoort. Eén van de terreinen waarop hij risicomanagement vorm heeft gegeven is dat van de Sociale Zekerheid. Gezien het feit dat dit een veld is dat volop in beweging is (waaronder de nieuwe Wet Sociale Werkvoorziening), is het vraagstuk van risicomanagement zeer actueel te noemen.

Annemieke Jutte, gemeente Amersfoort Annemieke Jutte is beleidsadviseur gemeentebrede bedrijfsvoering bij de gemeente Amersfoort. Zij houdt zich voornamelijk bezig met de ontwikkeling en uitvoering van risicomanagement bij de gemeente Amersfoort. Zo is zij medeontwikkelaar van het raamwerk risicomanagement van de gemeente Amersfoort. Tevens verzorgt zij regelmatig lezingen en presentaties over risicomanagement in de publieke sector. Corné Kuijpers, gemeente Oosterhout Corné Kuijpers is werkzaam bij de gemeente Oosterhout als Senior Auditor bij het onderdeel Bestuur Control & Advies. Vanuit deze functie treedt hij op als adviseur voor onder meer de inrichting van risicomanagement binnen de gemeente Oosterhout. De gemeente Oosterhout is actief op verschillende ontwikkelterreinen, zoals gebiedsontwikkeling en samenwerking. Vanuit die optiek is een effectief systeem van risicomanagement cruciaal te noemen. Dick Maaskant, gemeente Roosendaal Sinds 2000 is Dick Maaskant werkzaam bij de gemeente Roosendaal als Concerncontroller. Vanuit die functie is hij verantwoordelijk voor de bedrijfsvoering van de gemeente. Hij is tevens lid van het Nederlands Netwerk Risicomanagement (NNR), de Kenniskring Risicomanagement en Weerstandsvermogen en Kenniskring Auditing Door Overheid (KADO). Ook neemt Dick Maaskant deel aan het PRIMO: het netwerk voor risicomanagers in de publieke sector.

Kees Traas, gemeente Roosendaal Kees Traas is sinds 1985 werkzaam bij de gemeente Roosendaal. Op dit moment vervult hij depositie van Financieel adviseur. Vanuit deze functie is hij nauw betrokken bij de ontwikkeling van risicomanagement binnen de gemeente. Ook is hij betrokken bij PRIMO Nederland. Jan Vermeule, gemeente Amersfoort Jan Vermeule is werkzaam bij de gemeente Amersfoort en houdt zich actief bezig met bedrijfsvoering en risicomanagement. Hij is als adviseur betrokken bij het sturen op risicomanagement en houdt zich tevens bezig met andere aspecten van de bedrijfsvoering binnen de gemeente Amersfoort. Erik-Jan van Genderen, Regio ZHZ Erik-Jan van Genderen is sinds 2005 concerncontroller en tevens waarnemend directeur regiostaf bij de Regio Zuid-Holland Zuid. Daarvoor was hij werkzaam bij de Milieudienst Zuid-Holland Zuid die later is opgegaan in de regio. Als concerncontroller moet hij in een samenwerkingsverband van 19 gemeenten laveren tussen de deelbelangen van deze gemeenten en het collectieve belang, het borgen zorgvuldigheid van processen, het creëren van draagvlak en verbinden (zowel in- als extern). Tussen 1995 en 2004 is Erik-Jan van Genderen werkzaam geweest bij Deloitte Accountants.

Bij de gemeente Roosendaal is hij verantwoordelijk voor de inrichting en uitwerking van risicomanagement.


127

Hans Voesenek, gemeente Breda Hans Voesenek is bij de gemeente Breda werkzaam als hoofd van de afdeling Planeconomie. Deze afdeling houdt zich bezig met het opstellen van haalbaarheidsanalyses, grondexploitaties opstellen, beheersen en bewaken. Vanuit die functie is hij verantwoordelijk voor onder meer de risicobeheersing en –verantwoording op grote infrastructurele projecten en gebiedsontwikkeling binnen de gemeente Breda. Hij is onder meer verantwoordelijk voor de invulling van risicomanagement op dit gebied en is actief betrokken geweest bij de (door)ontwikkeling van risicomanagement binnen de gemeente Breda. René Wiersma, gemeente Breda René Wiersma werkt bij de gemeente Breda als teamleider Control op het terrein van gebiedsontwikkeling. De gemeente Breda is zeer actief op het terrein van gebiedsontwikkeling en is onder meer vanuit dat werkgebied intensief bezig met risicomanagement. Hij is tevens betrokken bij de gemeentebrede ontwikkeling van risicomanagement in Breda.

128

Arie Wijten, gemeente Pijnacker-Nootdorp Sinds 2005 vervult Arie Wijten de positie van concerncontroller/directeur Middelen voor de gemeente Pijnacker-Nootdorp. Daarvoor bekleedde hij verschillende posities bij gemeenten, waaronder die van concerncontroller/hoofd concernstaf van de gemeente Westland. Vanuit die posities is hij actief betrokken bij de ontwikkeling van de bedrijfsvoering bij gemeenten en heeft hij invulling gegeven aan risicomanagement, zowel aan de instrumentele kant als ook aan de implementatiekant. Naast zijn werk als concerncontroller is hij tevens fractievoorzitter en gemeenteraadslid bij de gemeente Westland voor het CDA. In die positie houdt hij zich ook bezig met de portefeuille bedrijfsvoering. Ministerie van Binnenlandse Zaken en Koninkrijksrelaties Het ministerie is ook betrokken geweest bij de ontwikkeling en discussie rondom de totstandkoming van de publicatie. Zij is ook aanwezig geweest bij de rondetafelgesprekken met de deelnemers.

De auteurs Frank van Kuijck, gevolmachtigde Deloitte Frank is Partner bij Deloitte Accountants BV. In de dagelijkse praktijk is Frank vanaf 1992 betrokken bij organisatie in het Lokaal Bestuur (gemeenten en provincies). Tot zijn cliënten behoren dan wel behoorden gemeenten van circa 25.000 tot 200.000 inwoners. Frank heeft een ruime ervaring en affiniteit met advisering op het terrein van risicomanagement, projectbeheersing en opzet en uitwerking van grondbeleid en –verslaggeving en verantwoording. Daarnaast is Frank sinds 2006 eindverantwoordelijk voor het Public Sector deel van het Accounting & Auditing Center (AAC) van Deloitte in Rotterdam. Bij het AAC worden de collega’s in de dagelijkse praktijk voorzien van richtlijnen, instructies en informatie op behulpzaam te zijn bij de veelheid aan wijzigingen in de Public Sector bij onder meer gemeenten, provincies, zorg, onderwijs, wonen en ruimte, rijksoverheid, waterschappen, openbare orde en veiligheid en stichtingen en verenigingen. Frank is als docent verbonden aan de Universiteit van Tilburg. Ook heeft Frank diverse publicaties op zijn naam staan met betrekking tot BBV, verslaggeving, rechtmatigheid, governance reeks en project control. Frank is medeauteur van de Deloitte-uitgaven: ‘Een boekje open over rechtmatigheid’, ‘Vooruit met rechtmatigheid’, ‘Een wijze raad’ en ‘Auditcommissie: de ogen en oren van de gemeenteraad’, Grond(ig) beleid en eindredacteur diverse handboeken jaarrekening (Gemeenten, Onderwijs, Woningbouw en Zorg).

Rein-Aart van Vugt, gevolmachtigde Deloitte Rein-Aart van Vugt is auditpartner bij Deloitte Accountants B.V. Sinds 1991 is hij betrokken bij de controle van onder andere gemeenten. Tot zijn cliënten behoren gemeenten variërend in grootte van 10.000 tot 130.000 inwoners, Gemeenschappelijke Regelingen, shared service centra, woningcorporaties, welzijnsinstellingen, waterschappen en cliënten in de profitsector. Rein-Aart was betrokken bij adviesopdrachten op het gebied van planning&control, Gemeenschappelijke Regelingen, samenwerkingsovereenkomsten, verbetertrajecten, productbegrotingen en grondexploitaties. Daarnaast heeft Rein-Aart diverse publicaties op zijn naam staan over rechtmatigheid, Besluit begroting en verantwoording, de financiële verordening ex. Artikel 212 Gemeentewet, fraude, audit commissies en verbonden partijen. Hij is medeauteur van de Deloitte-uitgaven ‘Een boekje open over Rechtmatigheid’, ‘Vooruit met rechtmatigheid’, ‘Een wijze raad’ en uit de serie Gemeente Governance is hij medeauteur van het ‘Handboek Verbonden partijen’, het ‘Handboek Fraude Gemeenten’ en ‘De jaarrekening. Over al deze onderwerpen spreekt hij regelmatig op seminars en congressen. Rein-Aart is lid van het Platform Rechtmatigheid Provincies en Gemeenten (PRPG) en participeert in verschillende werkgroepen inzake governance, verslaggeving en rechtmatigheid. Binnen Deloitte is Rein-Aart lid van de kerngroep lokaal bestuur en voorzitter van de branchegroep waterschappen.


129

Arie Elsenaar, gevolmachtigde Deloitte Arie Elsenaar is auditpartner bij Deloitte Accountants B.V. Tot zijn cliënten behoren gemeenten variërend in grootte van 25.000 tot 300.000 inwoners, provincie Gelderland en een aantal gemeenschappelijke regelingen. Arie is tevens voorzitter van de industrygroep lokaal bestuur en binnen Deloitte verantwoordelijk voor gemeenten, provincies, waterschappen, sociale zekerheid en openbare orde en veiligheid. Vanuit die functie onderhoudt hij de contacten met koepelorganisaties, belangenverenigingen, Ministeries etc. Hij heeft tal van publicaties op zijn naam staan. Rob Dubbeldeman, director Deloitte Rob Dubbeldeman is director binnen Deloitte Consulting. Binnen Deloitte Consulting is Rob verantwoordelijk voor de dienstverlening in het Lokaal en Midden Bestuur. Het betreft hier de dienstverlening voor gemeenten en provincies en enkele uitvoeringsorganisaties van departementen. Rob vult deze functie in vanuit zijn ruime werkervaring in het publieke domein. Naast de commerciÎle verantwoordelijkheid voor de sector vult Rob tevens een actieve rol in bij het projectmanagement van adviesopdrachten. Het betreft doorgaans de rol van projectleiding of kwaliteitsborging. Rob heeft een achtergrond in bedrijfsvoeringsopdrachten, risicomanagement, benchmarking en prestatiemanagement. Rob Dubbeldeman heeft een groot aantal 100.000+ gemeenten mogen ondersteunen in herstructureringsvragen binnen de ondersteunende functies. Met name de financiÎle functie, P&O-functie en facilitaire zaken. In het merendeel van de opdrachten fungeerde de concerncontroller/ directeur concern als opdrachtgever. De achtergrond van de opdrachten ligt vaak in een gewenste kwaliteitsverbetering in combinatie met een doelmatigheidsverbetering.

130

De geleverde ondersteuning beslaat het proces van analyse/ontwerp tot aan het effectueren en implementeren van voorgestelde herstructureringsmaatregelen. In de analyse c.q. ontwerpfase wordt uitvoerig stilgestaan bij het organisatiemodel, procesinrichting, formatieve bezetting en benodigde competenties. Roelant Reijmerink, senior manager Deloitte Roelant heeft ruime ervaring in de publieke sector met vraagstukken op het gebied van bedrijfsvoering, samenwerking en Shared Services. Hij is belast met de leiding van zeer uiteenlopende opdrachten in de publieke sector. Opdrachten veelal gericht op integrale verbetering van de bedrijfsvoering inclusief informatievoorzienig, planning & control en optimalisatie van de informatievoorziening (w.ol digitalisering). Daarnaast is Roelant een ervaren onderzoeker en trekker op het terrein van shared services in de publieke sector en samenwerking. Bedreven in het begeleiden van bestuurlijke besluitvorming en organisatieverandering. Arjen Heinen, business analyst Deloitte Arjen Heinen is Business Analyst bij Deloitte Consulting. Hij maakt deel uit van de service line Shared Services van Deloitte’s Consulting praktijk in Nederland. Arjen houdt zich voornamelijk bezig met opdrachten in de publieke sector. Hij heeft verschillende opdrachten uitgevoerd voor gemeenten op het gebied van shared services en samenwerking. Hij is tevens betrokken bij het internationale netwerk voor shared services voor Deloitte. Arjen heeft Financieel Management gestudeerd aan Nyenrode Business Universiteit te Breukelen en heeft tevens Commerciële Economie gestudeerd in Utrecht. Hij is lid van Kennis Kring Amsterdam.


131

Deloitte Consulting B.V. Orteliuslaan 1041 3528 BE Utrecht Postbus 85104 3508 AC Utrecht Tel: (030) 2995500 Fax: (030) 2995512 www.deloitte.nl

Deloitte verwijst naar Deloitte Touche Tohmatsu, een Swiss Verein, en haar netwerk van memberfirms. Elke memberfirm is een zelfstandige juridische eenheid. Zie www.deloitte.com/about voor een gedetailleerde beschrijving van de juridische structuur van Deloitte Touche Tohmatsu en haar memberfirms. Deloitte is met ongeveer 5.000 medewerkers en kantoren in heel Nederland de grootste organisatie op het gebied van accountancy, belastingadvies, consultancy en financiële advisering. Deloitte Nederland is een onafhankelijke memberfirm van Deloitte Touche Tohmatsu, met 165.000 medewerkers en vestigingen in meer dan 140 landen.

© 2009 Deloitte, Member of Deloitte Touche Tohmatsu Designed and produced by MCBD at Deloitte, Rotterdam.

9.001.027

De medewerkers van Deloitte zijn verbonden in een samenwerkingscultuur waarin integriteit, uitmuntende waarde voor markten en cliënten, betrokkenheid bij elkaar en kracht door culturele diversiteit worden aangemoedigd. Hierin staan permanente educatie, uitdagende ervaringen en verrijkende carrièremogelijkheden centraal. De medewerkers van Deloitte zetten zich met volle overtuiging in om maatschappelijk verantwoord ondernemen te versterken, publiek vertrouwen op te bouwen en hun gemeenschappen positief te beïnvloeden.

Risicomanagement meer dan de som der delen

Recommend Documents