Integraal risicomanagement in Arnhem

Integraal risicomanagement in Arnhem De introductie van een zevental verplichte paragrafen, waaronder de paragraaf weerstandsvermogen in het Besluit Begroting en Verantwoording Provincies en Gemeenten 2004 (BBV) heeft er toe geleid dat bij veel gemeenten, net als in Arnhem, het risicomanagement opnieuw onder de aandacht is gekomen. In dit artikel wordt een beeld geschetst van de ontwikkeling van het risicomanagement in de gemeente Arnhem. Arnhem heeft gekozen voor een concernbrede aanpak, gericht op de bundeling van activiteiten en initiatieven van risicomanagement bij de gemeentelijke Michiel Somers, Rob Snelders en Priska Blij

diensten.1

Risicomanagement is voor gemeenten geen nieuw begrip. Al in de risicoparagraaf conform Comptabiliteitsvoorschriften 1995 moest het bestuur van een gemeente een toelichting geven op de voorzienbare risico’s2 van de gemeente. Volgens de nieuwste wetgeving, het BBV, moeten gemeenten inzicht verschaffen in hun weerstandsvermogen. Het weerstandsvermogen van een gemeente geeft aan hoe robuust de gemeentelijke begroting is. Het gaat om de mate waarin een gemeente in staat is middelen vrij te maken om substantiële tegenvallers op te vangen, zonder dat dit betekent dat het hele beleid aangepast moet worden. Een gemeente heeft hiervoor inzicht nodig in de weerstandscapaciteit3 en de risico’s die de gemeente loopt.

De concernbrede aanpak De gemeente Arnhem is eind 2004 gestart met het verder ontwikkelen van de paragraaf weerstandsvermogen. Het traject bestaat uit de verdere professionalisering en implementatie van gemeentebreed risicomanagement en de bepaling van de aanwezige en gewenste weerstandscapaciteit. Onlangs heeft de gemeenteraad de beleidsuitgangspunten omtrent de Arnhemse weerstandscapaciteit en het risicomanagement vastgesteld in de ‘Beleidsnota weerstandsvermogen: risicomanagement en weerstandscapaciteit’.4 Zoals gezegd is risicomanagement geen nieuw begrip voor de gemeente Arnhem. Op diverse plaatsen in de gemeentelijke organisatie werden activiteiten uitgevoerd die tot het risicomanagement behoren. Bij de dienst Stadsontwikkeling was voor het risicomanagement van de vele projecten een risicomanager aangesteld. Bepaalde risico’s werden verzekerd, voor voorzienbare gebeurtenissen werden voorzieningen getroffen en op verzoek van de gemeentelijke diensten en het Directieteam maakte de risicomanager bij de Stadsontwikkeling van specifieke onderwerpen risicoanalyses. Bovendien leverden de gemeentelijke diensten voor de begroting en het jaarverslag overzichten aan van alle voorzienbare risico’s.

118

Overheids MANAGEMENT 5/2006

Eind 2004 introduceert de gemeente Arnhem wel een nieuw begrip: integraal (gemeentebreed) risicomanagement. Door deze concernbrede aanpak, gericht op de bundeling van activiteiten en initiatieven van de diensten, wordt een gefragmenteerde aanpak vermeden. Coördinatie van integraal risicomanagement vindt plaats vanuit de top van de organisatie en is geïntegreerd in de organisatie van het concern en de diensten. Integraal risicomanagement in Arnhem Bij de invoering van het integraal risicomanagement is als eerste stap commitment gezocht bij de top van de organisatie door het nut en de noodzaak van integraal risicomanagement onder de aandacht te brengen. Er is voorgesteld om een methodiek te implementeren, waarmee een risicoprofiel voor de gemeente Arnhem zou kunnen worden opgesteld. Het risicoprofiel omvat alle risico’s die gevolgen hebben voor de Arnhemse organisatie, gerangschikt op basis van de kans dat het risico zich voordoet en op de omvang van de gevolgen van het risico voor de organisatie. Per dienst zijn vervolgens risicocoördinatoren benoemd die het aanspreekpunt vormen binnen hun dienst. Om het risicomanagement organisatiebreed te verankeren hebben de coördinatoren gezamenlijk een training gehad. Ter ondersteuning van het integraal risicomanagement is bovendien een softwarepakket aangeschaft dat helpt om op een efficiënte wijze risico’s na de identificatie te registreren en te analyseren, maar ook om er over te rapporteren. Het pakket is aangesloten op een landelijke database met daarin mogelijke risico’s die van toepassing kunnen zijn op de Arnhemse situatie en voorbeeldmaatregelen. In overleg met het management van de dienst en de risicocoördinator is per dienst bepaald hoe het risicomanagement verder geïmplementeerd kan worden. Hierbij is rekening gehouden met de activiteiten die al bij de diensten in het kader van risicomanagement worden gedaan.

doelstellingen

Doelstelling

Doelrealisatie beheersmaatregelen

Risicoanalyse

identificatie risico’s

beoordelen risico’s

Figuur 1. Schematische weergave van risicoanalyses in de verschillende projectfases

Figuur 2. Risicomanagementcyclus

Risicomanagement bij dienst Stadsontwikkeling

Cyclisch proces Risicomanagement wordt in Arnhem gezien als een cyclisch proces. Risicomanagement omvat het identificeren en beoordelen van risico’s, alsmede het treffen van beheersmaatregelen gericht op het bereiken van de doelstelling van de organisatie (zie figuur 2). Bij de dienst Stadsontwikkeling gaat het om de doelstelling van het project. In het cyclische proces vormen interviews met bij het project betrokken personen – bestuurders en ambtenaren – over het algemeen de kern van de aanpak. Een breed spectrum aan risicogebieden komt daarbij aan de orde, zoals financieel-economische, politiek-bestuurlijke, juridische, organisatorische risico’s. Interviews met vertegenwoordigers van de partners (externen) in het project blijken van waarde voor de kwaliteit van de risicorapportage. Dit levert namelijk een kijk op de risico’s vanuit het perspectief van de partner. Afhankelijk van het project volgt eventueel een werksessie om met het projectteam de risico’s door te praten op achterliggende oorzaken en om beheersmaatregelen te formuleren. Naast een kwalitatieve beschrijving van de risico’s wordt de analyse versterkt door een kwantitatief financiële aanduiding van de risico’s van een project. Dat gebeurt aan de hand van door deskundigen aan te geven bandbreedtes van kosten- en opbrengstencategorieën en simulatie van de projectonzekerheden. Op basis van deze kwantitatief financiële aanduiding kan de gewenste omvang van het weerstandsvermogen voor het geheel van de projecten worden bepaald. De risicoanalyse levert een rapportage (risicoregister) op met daarin een overzicht van de geïdentificeerde risico’s en aanbevelingen voor het reduceren van die risico’s. De risicomanagementcyclus wordt gesloten met het sturen door het management op het nemen van concrete maatregelen en het monitoren van de effectiviteit van die maatregelen. Dat sluitstuk moet als de achilleshiel van het risicomanagementproces worden beschouwd en is bepalend voor de toegevoegde waarde die het instrument kan hebben voor de organisatie. Rapportage over de voortgang van de te nemen beheersmaatregelen vindt plaats in de reguliere planning en controlcyclus van begroting, tussenrapportages en jaarrekening.

Stadsontwikkeling is bij uitstek de gemeentelijke dienst die zich bezighoudt met het ontwikkelen en uitvoeren van projecten. Deze projecten zijn veelal omgeven met flinke risico’s. Drie jaar geleden besloot het management tot het aanstellen van een risicomanager om op een gestructureerde manier risico’s in beeld te brengen en het risicobewustzijn van de organisatie te versterken. Het management heeft er voor gekozen om de risicomanager een plaats te geven in de staf Bedrijfsvoering en niet binnen Projectmanagement. Risicomanagement is op deze manier een instrument van het management van de dienst. Het brengt niet alleen de risico’s in een project in beeld, maar ook de risico’s die het geheel van de projecten raken of de beïnvloedingsmogelijkheden binnen het project te boven gaan. Het instrument faciliteert tevens de projectleider die de verantwoordelijkheid draagt voor het uitvoeren van het project. Bij deze verantwoordelijkheid hoort het managen van de risico’s er vanzelfsprekend bij. Repeterend proces Het management bepaalt door het vaststellen van het programma van risicomanagement voor welke projecten in de komende periode een risicoanalyse wordt uitgevoerd. Het kan gaan om een eerste analyse van een project in voorbereiding of om projecten die een fase van ontwikkeling en uitvoering afsluiten en in een volgende fase komen. Risicoanalyses op projecten in voorbereiding kunnen ondersteuning bieden aan de besluitvorming. Daarnaast kan het ook gaan om projecten die wat betreft omvang, complexiteit of politieke gevoeligheid in aanmerking komen voor een tussentijdse risicoscan. Het bepalen van de frequentie waarmee een analyse op een project wordt uitgevoerd blijft maatwerk. Risicomanagement volgt een project in de opeenvolgende projectfases5 naar de oplevering, omdat de aard van de risico’s per fase verandert (zie figuur 1). In de initiatieffase staan risico’s centraal rond het vaststellen van heldere doelstellingen, de politieke besluitvorming en de contractvorming met partners. De definitiefase kenmerkt zich door risico’s op het vlak van het opstellen van het programma van eisen en het voldoen aan ruimtelijk planologische bepalingen. In de voorbereidingsfase spelen bijvoorbeeld het aanbestedingsproces en de risicoverdeling in de uitvoering een rol. In de realisatiefase vragen vooral risico’s de aandacht die liggen in de technische uitvoering en de beheersing van het contract.

Van nagenoeg alle circa zeventig lopende projecten heeft de dienst een eerste risicoanalyse uitgevoerd, zodat inzicht bestaat in de belangrijkste risico’s.

Overheids MANAGEMENT 5/2006

119

Figuur 3. Stappenplan implementatie risicomanagement dienst Stadsbeheer

De relatie met de concernbrede aanpak In relatie met de concernbrede aanpak worden de projectrisicoanalyses door de dienst Stadsontwikkeling geïntegreerd in het gemeentebrede risicoprofiel van de gemeente Arnhem. Van de opgedane kennis en de ontwikkelde aanpak van de dienst Stadsontwikkeling op het gebied van het projectrisicomanagement hebben andere gemeentelijke diensten gebruik kunnen maken. De risicomanager Stadsontwikkeling voert op verzoek risicoanalyses (risicoscans) uit voor de andere diensten. Deze scans geven de aanzet tot een oriëntatie op de voor de betreffende dienst meest toegesneden toepassing van risicomanagement.

Risicomanagement bij de dienst Stadsbeheer De dienst Stadsbeheer vervult beheers-, toezichts-, handhavingsen ingenieurstaken voor de openbare ruimte in Arnhem. De dienst is eind 2004 in het kader van het gemeentebrede traject gestart met het verder ontwikkelen van het risicomanagement. Tot 2005 leverde de dienst Stadsbeheer voor de begroting en het jaarverslag overzichten aan van de voorzienbare risico’s. De risico’s werden echter niet systematisch geïdentificeerd, geanalyseerd en van maatregelen voorzien. Stappenplan invoering risicomanagement Ter implementatie van het risicomanagement binnen de dienst Stadsbeheer heeft het management van de dienst met de risicocoördinator een stappenplan opgesteld (zie figuur 3). De eerste stap ter voorbereiding op de introductie van risicomanagement binnen de dienst Stadsbeheer was een training voor de trekkers van de deelprogramma’s van de meerjarenprogrammabegroting binnen de dienst, de medewerkers van de bedrijfsbureaus van de dienst en de medewerkers van de stafafdeling Planning & Control. In de training werd stilgestaan bij de concernbrede aanpak in het kader van de ontwikkeling van de paragraaf weerstandsvermogen, een uitleg gegeven van risicomanagement en stilgestaan bij de definitie van een risico. Tot slot werd een methode aangereikt om risico’s te kunnen identificeren, analyseren en kwantificeren. Aansluitend aan de training zijn in een workshop de risico’s van de dienst Stadsbeheer geïdentificeerd, geanalyseerd en gekwantificeerd.6 De risico’s zijn verwerkt in het gemeentebrede aangeschafte softwarepakket. Hierdoor ontstond een eerste risicoprofiel voor de dienst Stadsbeheer.

120

Overheids MANAGEMENT 5/2006

Verder zijn in de tweede helft van 2005 alle risico’s van de dienst Stadsbeheer doorgelicht in relatie tot aanwezige reserves en op de mogelijkheid om risico’s af te dekken door middel van een verzekering. Medewerkers van de Concernstaf hebben hierbij meegedacht. Als sluitstuk op het stappenplan heeft het managementteam van de dienst in een speciale interactieve themabijeenkomst alle elementen van het risicomanagement nog eens besproken. Een centrale opdracht tijdens deze bijeenkomst was het positioneren van de risico’s van de dienst op een grote risicomatrix. Hiermee werd letterlijk het gevoel gekregen bij het risicoprofiel van de dienst. Het managementteam van de dienst heeft vervolgens vervolgopdrachten voor scans voor de grootste risico’s en audits (onder andere aanbestedingen) benoemd. Tijdens de bijeenkomst kregen de leden van het managementteam een ‘tegoedbon met adviesuren’ om het uitvoeren van deze opdrachten te ondersteunen. Het managementteam heeft op deze wijze de vervolgaanpak voor 2006 vastgelegd. Aanvullende instrumenten Naast de instrumenten en tools die zijn ingezet bij de uitrol van het stappenplan, is de dienst Stadsbeheer gebruik gaan maken van een aantal aanvullende instrumenten (zie figuur 4). Het gaat hierbij om instrumenten als risicoscans, audits, projectrisicoanalyses en onderzoeken in het kader van rechtmatigheid. Risicoscan De dienst stadsbeheer voert een ambitieus programma uit om de kwaliteit van het rioleringsnetwerk te verbeteren. In 2005 heeft hierop een specifieke risicoscan plaatsgevonden door de risicomanager van de dienst Stadsontwikkeling. De uitkomst van de scan is aanleiding geweest tot het starten van een verbeterproject gericht op onder andere het vereenvoudigen van het proces en aanvullende maatregelen in relatie tot de risico’s. Audits ex artikel 213a Gemeentewet Gemeenten dienen op grond van de gemeentewet onderzoeken te doen naar de doelmatigheid en doeltreffendheid. Zes medewerkers van de dienst Stadsbeheer hebben deelgenomen aan een cursus. Deze cursus is met een extern adviesbureau en de gemeenten Arnhem en Nijmegen ontwikkeld. Als onderdeel van de cursus is onder andere een intern onderzoek gedaan naar de risico’s op de portefeuille gewaarborgde gemeentegaranties

Figuur 4. Aanvullende instrumenten voor risicomanagement

(circa zestig miljoen euro). Dit was een van de risico’s uit het risicoprofiel van de dienst Stadsbeheer. Een belangrijke stap in de aanpak van deze audit was het maken van een referentiekader waarin normen, risico’s en gewenste beheersingsmaatregelen een plek kregen. Daarbij is gebruikgemaakt van een daarvoor binnen de dienst ontwikkeld spel. De audit leverde verbeterpunten op die het mogelijk maken meer zicht te krijgen op de risico’s en te treffen maatregelen. Stadsingenieurs Een van de sectoren van de dienst, de Stadsingenieurs, verricht ingenieurstaken voor de gemeente Arnhem en werkt mee aan de grote projecten in de stad. Deze sector is de afgelopen jaren sterk gegroeid. Bij Stadsingenieurs is risicomanagement gericht opgepakt. Er wordt nu gewerkt met een checklist van mogelijke risico’s van gebeurtenissen (juridisch, organisatorisch, ruimtelijk, financieel, technisch, maatschappelijk) en risicomatrices, waarin risico’s en te nemen beheersmaatregelen zijn opgenomen. Rechtmatigheid De dienst Stadsbeheer heeft te maken met de rechtmatigheidstoets door de accountant. Daarvoor is de interne regelgeving geïnventariseerd. Voor de onderdelen aanbestedingen, subsidies en de administratie van projecten is nagegaan in hoeverre deze daaraan voldoen. Specifieke risico’s voor de dienst, noodzakelijk vervolgonderzoek daarnaar en het treffen van beheersingsmaatregelen zijn in kaart gebracht. Voor 2006 is een aangepast controleplan vastgesteld waarin de verbeterpunten zijn verwerkt. De relatie met de concernbrede aanpak Door gebruik te maken van het gemeentebrede softwarepakket maakt het risicoprofiel van de dienst Stadsbeheer deel uit van het gemeentebrede risicoprofiel. Door gebruik te maken van de aanvullende instrumenten is zowel binnen de dienst Stadsbeheer als met medewerkers van andere diensten een soort kennisnetwerk ontstaan. Van dit kennisnetwerk kan gebruik worden gemaakt bij het verder uitbouwen van het integrale risicomanagement.

Aandachtspunten voor integraal risicomanagement Net als de diensten Stadsontwikkeling en Stadsbeheer hebben op basis van de concernbrede aanpak ook de overige Arnhemse

diensten stappen gezet met betrekking tot integraal risicomanagement. Al deze stappen hebben geleid tot een gemeentebreed risicoprofiel. Op basis van dit profiel kan voor de paragraaf weerstandsvermogen met behulp van risicosimulatie7 de hoeveelheid geld worden bepaald die de gemeente Arnhem nodig heeft om de geïdentificeerde risico’s af te dekken. Wat levert het op? Naast het bepalen van de benodigde weerstandscapaciteit biedt integraal risicomanagement onder meer het volgende: ♦ Duurzaam investeren in risicomanagement draagt bij aan het vergroten van het risicobewustzijn van de (project)organisatie. Deze beheersmaatregel kan van grote betekenis zijn voor het reduceren van risico’s waaraan de organisatie blootstaat en daarmee voor de hoeveelheid middelen die nodig is om de gevolgen van risico’s af te dekken. ♦ Risicomanagement biedt inzicht in en overzicht in de risico’s van de organisatie en van de projecten. Het doet ook aanbevelingen voor het nemen van beheersmaatregelen zodat de sturing en beheersing van de organisatie en van de projecten wordt versterkt. ♦ Risicomanagement biedt informatie die de besluitvorming op zowel bestuurlijk als ambtelijke niveau kan ondersteunen. Risico’s kunnen explicieter worden meegewogen in de besluitvorming bijvoorbeeld over nieuwe projecten of beleidsontwikkelingen. Voorwaarden ♦ Een van de belangrijkste voorwaarden om integraal risicomanagement in de organisatie te ontwikkelen is commitment in de top van de organisatie. Hou bij de uitrol van het integraal risicomanagement in de gemeentelijke organisatie rekening met de activiteiten die al in de organisatie met betrekking tot risicomanagement worden gedaan. In de Arnhemse situatie bleek een separaat implementatietraject per dienst de beste oplossing, gezien de verschillen tussen de taken van de gemeentelijke diensten en de bekendheid met risicomanagement. Bij de dienst Stadsbeheer werkte de aanpak door te starten met een training en gebruik te maken van een creatieve aanpak (grote risicomatrix, tegoedbonnen voor adviesuren, bouwen referentiekader tijdens een audit in spelvorm) positief. Bij de dienst Stadsontwikkeling richtte de aanpak zich vooral op de projectteams (opdrachtgever, projectma-

Overheids MANAGEMENT 5/2006

121

nager en projectmedewerkers) aan de hand van het door het management vastgestelde programma voor het uitvoeren van projectrisicoanalyses. ♦ De praktijk leert dat risicomanagement er niet maar ‘even’ bij kan worden gedaan. Capaciteit vrijmaken voor risicomanagement is geboden. Zonder capaciteit is het moeilijk om enthousiasme en betrokkenheid voor risicomanagement in de organisatie te creëren en een solide basis te leggen. ♦ Een zekere onafhankelijke rol van risicomanagement in de organisatie schept voorwaarden voor scherpte en objectiviteit in de analyses. Adviezen Voor het succesvol implementeren van risicomanagement dienen de volgende adviezen: ♦ Investeer in de eigen organisatie want dat biedt mogelijkheden om blijvend eigen expertise op dit vakgebied op te bouwen. Invoering van risicomanagement gaat niet van de ene dag op de andere, maar is een zaak van de lange adem. ♦ Kijk niet alleen naar de risico’s maar ook naar kansen, want een gemiste kans vormt evenzeer een risico. ♦ Start pragmatisch, rekening houdend met de initiatieven in de organisatie, door bijvoorbeeld een training of een voorbeeldproject. Verlies je niet in een erg theoretisch model, maar doe het risicomanagement wel gestructureerd. ♦ Sla niet door in het detecteren van alle risico’s, maar richt je op de risico’s die er echt toe doen. Hou in het oog dat het rendement van risicomanagement in balans blijft met de inspanningen en dus de kosten van de organisatie. ♦ Veranker het monitoren van vervolgacties op de risicoanalyse in de reguliere bedrijfsvoering anders blijft het bij mooie rapporten. ♦ Actualiseer regelmatig de uitgevoerde risicoanalyses om het risicoprofiel van de gemeente up-to-date te houden. ♦ Risicomanagement vraagt tijd en blijvende aandacht van de organisatie.

3. Volgens artikel 11.1 van het Besluit Begroting en Verantwoording Provincies en Gemeenten (2004) omvat weerstandscapaciteit, de middelen en mogelijkheden waarover de gemeente beschikt of kan beschikken om niet-begrote kosten te dekken. 4. Gemeente Arnhem, Beleidsnota weerstandsvermogen: risicomanagement en weerstandscapaciteit, 2006. 5. In Arnhem worden de volgende projectfases onderscheiden: initiatieffase, definitiefase, voorbereidingsfase en realisatiefase. 6. Arnhem heeft er voor gekozen om de kans op een risico en het gevolg van een risico uitgedrukt in geld te verdelen in een vijftal klassen. Aan deze klassen is een score verbonden. Hierdoor wordt het mogelijk risico’s naar belangrijkheid te rangschikken. 7. Bij een risicosimulatie wordt denkbeeldig op basis van individuele kansverdelingen per risico miljoenen keren de werkelijkheid nagebootst. Dit leidt tot een nieuwe gezamenlijke kansverdeling, die alle risico’s uit het risicoprofiel omvat.

Tot slot Risicomanagement was voor de Arnhemse organisatie niet nieuw. De aanpak om te komen tot integraal risicomanagement wel. Door rekening te houden met de activiteiten en initiatieven van de diensten is er voor risicomanagement in de Arnhemse organisatie draagvlak gecreëerd. Het is goed te beseffen dat risicomanagement geen honderd procent garantie biedt dat zich geen risico’s voordoen, maar het draagt wel bij om de doelstellingen van een organisatie te realiseren. Dat heeft de praktijk ons geleerd. De auteurs zijn allen werkzaam bij de gemeente Arnhem.

Noten 1. De Arnhemse organisatie bestaat uit de stafdienst Concernstaf en een viertal vakdiensten Inwonerszaken, Maatschappelijke Ontwikkeling, Stadsbeheer en Stadsontwikkeling. De Facilitaire Dienst dient ter facilitaire ondersteuning aan de Concernstaf en de vakdiensten. 2. Volgens artikel 15, lid 3 van het Besluit Comptabiliteitsvoorschriften 1995 worden onder voorzieningbare risico’s die risico’s bedoeld, waarvoor geen voorzieningen zijn gevormd of die niet tot afwaardering van activa hebben geleid en die van materiële betekenis kunnen zijn in relatie tot het balanstotaal of de financiële positie in de begroting en meerjarenraming .

122

Overheids MANAGEMENT 5/2006

E-mail is een gevaarlijke aandachtsversnipperaar Linda Stone (NRC Handelsblad, 15-04-2006)