Beleidsnota risicomanagement en weerstandsvermogen - actualisering 2014

○ Risico

Is de onzekerheid (kans) op een gebeurtenis die een negatief effect heeft op de (continuïteit van de) dienstverlening en het realiseren van de doelstellingen van de organisatie.

○ Risicomanagement

Is het identificeren en kwantificeren van risico’s en het bepalen van activiteiten die de kans van optreden en/of de gevolgen van risico’s beheersbaar houdt. Dit alles in een cyclisch proces waarin de inventarisatie voortdurend actueel wordt gehouden.

○ Beheersmaatregel

Het stelsel van maatregelen en procedures die worden genomen om de onderkende risico’s te ondervangen dan wel om opkomende risico’s te signaleren en het effect hiervan te beperken.

○ Weerstandsvermogen

De mogelijkheid van de gemeente om de financiële tegenvallers op te vangen zonder dat de uitvoering van de programma’s daardoor wordt aangetast.

○ Weerstandscapaciteit

Het geheel van middelen en mogelijkheden om niet begrote, onvoorziene en substantiële kosten te dekken. Deze capaciteit kan zowel incidenteel als structureel zijn.

○ Integraal risicomanagement

Organisatieonderdelen (managers) moeten de, vanuit het centrale bestuur duidelijk omschreven, taken toepassen en begrijpen hoe risico’s met betrekking tot die taken samenhangen met andere taakgebieden in de organisatie.

Kenmerken zijn;

•Kennen de verschillende managers elkaars risico’s?

•Is er een gezamenlijk duidelijk beeld over de toegevoegde waarde van RM (zowel op bestuurlijk

○ SMART

Specifiek, Meetbaar, Acceptabel, Realistisch en Tijdsgebonden

○ Risicoprofiel

Kenmerken van een risico uitgedrukt in de kans (waarschijnlijkheid) van optreden en welk (financieel) effect dit heeft.

○ Risk Appetite (risico acceptatiegraad)

De unieke houding van een organisatie tegenover het nemen van risico’s die bepaalt welke hoeveelheid risico zij als aanvaardbaar beschouwt.

○ Risicoscore

Risicoscore = score kans (verwachting) x score gevolg (impact)

Bij de bepaling van de score voor de impact wordt voor de financiële impact uitgegaan van de nettoverwachtingswaarde.

○ Netto verwachtingswaarde

Dit betreft de gekwantificeerde bruto verwachte omvang van een risico minus de vermindering door beheersmaatregelen, minus compensatie door derden en minus hetgeen al gedekt is door een voorziening, reserve of stelpost.

In het beleidskader hierboven is de werkwijze voor salderen van kansen (positieve gevolgen) met risico’s (negatieve gevolgen) niet expliciet opgenomen. In deze bijlage wordt dit kader gesteld en nader toegelicht.

De definitie van risico geeft aan dat een bepaalde (onverwachte) gebeurtenis een negatief effect (risico) op realiseren van een doelstelling kan hebben. Dit is eenzijdig gedefinieerd, want er bestaan ook onverwachte gebeurtenissen met een positief effect (kansen) op het realiseren van een doelstelling.

De positieve en negatieve effecten kunnen in de meeste brede zin worden geïnterpreteerd.

Om te voorkomen dat tegenover de (algemene) risico’s even zoveel (algemene) kansen worden geïdentificeerd en wordt gesteld dat daardoor de organisatie per saldo geen risico loopt, is in de beleidsnota de beperking opgenomen dat enkel wordt uitgegaan van de negatieve gevolgen van risico’s.

Zonder deze beperking zou dit namelijk kunnen leiden tot het compenseren van een negatief gevolg (risico) binnen een bepaald product/project door een positief gevolg (kans) binnen een ander product/project. De twee gevolgen hebben geen betrekking op dezelfde activiteit. Vanuit voorzichtigheid mogen deze twee effecten niet worden verrekend. Iedere activiteit of doel moet worden beoordeeld binnen de ‘omgeving’ waar het zich afspeelt.

Op het moment dat de risico’s (negatief gevolg) en de kansen (positief gevolg) voor het bereiken van een bepaald doel in beeld zijn kan de beoordeling plaatsvinden.

Op basis van het gedifferentieerd profiel van risico’s en kansen kan een manager vervolgens besluiten om negatieve en positieve gevolgen met elkaar te verrekenen.

Beheersing

De manager moet in staat zijn om, op basis van de risico’s en kansen rondom een te bereiken doel, beheersmaatregelen te treffen die de negatieve gevolgen bij het optreden van risico’s minimaliseren. Het bestuur moet vervolgens in staat zijn om een oordeel te kunnen over de omvang en de samenstelling van het weerstandsvermogen.

Dit is enkel mogelijk door het te bereiken doel centraal te stellen en alle gerelateerde risico’s (negatieve gevolgen) en kansen (positieve gevolgen) in kaart te brengen.

Uitgangspunten kader

Voor het verrekenen van risico’s (negatieve gevolgen) en kansen (positieve gevolgen) zijn de volgende uitgangspunten van toepassing;

1Met betrekking tot een specifiek te bereiken doel moeten zowel de risico’s als de kansen zuiver in beeld worden gebracht;

2Het verrekenen van kansen met risico’s mag niet leiden tot een verlaagde urgentie voor het nemen van beheersmaatregelen. Dit betekent dat zowel de risico’s als de kansen apart moeten worden beheerst en daarover apart moet worden gerapporteerd;

3Een kans mag enkel met een risico worden verrekend indien beide betrekking hebben op hetzelfde specifiek te bereiken doel (activiteit, project of object);

4Een kans mag niet met een risico worden verrekend als het optreden van één van de gebeurtenissen (met bijbehorend gevolg) de andere gebeurtenis (met bijbehorend gevolg) uitsluit;

5Kansen mogen niet worden verrekend met de risico’s indien de situatie per saldo een positief gevolg heeft. Dus: som van de positieve gevolgen < som van de negatieve gevolgen.

Ter verduidelijking volgen hieronder zes voorbeelden;

Voorbeeld 1 – Niet verrekenen

Door het uitvoeren van een integraal aanbestedingsbeleid kan de gemeente een mogelijk voordeel (positief gevolg) van € 1.000.000 realiseren op alle inkopen (minder lasten).

Binnen een grondexploitatieproject wordt als gevolg van de crisis een lager resultaat (negatief gevolg) van € 2.000.000 verwacht dan waar in de calculatie van is uitgegaan (minder baten).

Niet verrekenen, omdat;

○ de twee gevolgen geen betrekking hebben op hetzelfde project of activiteit. Ieder project moet binnen zijn eigen ‘omgeving’ worden beoordeeld. Wanneer wel zou worden verrekend geeft dit geen ‘zuiver’ beeld van de problematiek binnen het grondexploitatieproject. Dit leidt vervolgens tot het niet of onvoldoende treffen van beheersmaatregelen;

○ dit kan leiden tot oneigenlijke verrekening van bepaalde gevolgen waarbij een potentieel risico waarvoor weerstandsvermogen moet worden aangehouden kan worden verdoezeld;

○ het vanuit het toepassen van voorzichtigheid niet gewenst is de mogelijke effecten op twee verschillende onderwerpen aan elkaar te relateren.

Voorbeeld 2 – Niet verrekenen

Deventer verwacht dat het aanslaan van een nieuwe aanpak voor het begeleiden van bijstandontvangers naar een baan een voordeel (positief gevolg) oplevert in het WWB-I budget deel van € 500.000 (minder lasten).

Bij een grondexploitatie project wordt als gevolg van de economische crisis een lager resultaat verwacht ten bedrage van € 1.500.000.

Niet verrekenen, omdat;

○ beide gevolgen betrekking hebben op twee verschillende producten (activiteiten) en daarom niet met elkaar mogen worden verrekend.

Voorbeeld 3 – Niet verrekenen

Deventer verwacht dat wanneer de economische crisis doorzet (gebeurtenis) er op een bepaald moment geen animo meer is voor kavels binnen een bepaald grondexploitatieproject waardoor het project wordt beëindigd (negatief gevolg). Dit levert een verlies op van € 3.000.000.

Binnen hetzelfde grondexploitatieproject wordt gerekend op een lagere inkoopprijs ad. € 500.000 (positief gevolg) omdat verwachte prijsstijgingen (gebeurtenis) waarschijnlijk niet doorgaan.

Niet verrekenen, omdat;

○ wanneer de ene gebeurtenis (aanhouden economische crisis) met bijbehorend gevolg (beëindiging van het project) optreed, dit uitsluit dat het andere gevolg (voordeel op inkoopprijs) kan plaatsvinden.

○ Beide gebeurtenissen met bijbehorende gevolgen hebben wel betrekking op hetzelfde product maar één van de gebeurtenissen sluit het andere uit. Uit voorzichtigheid mag hier het positieve gevolg niet worden verrekend met het negatieve gevolg. Dit zou een onzuiver beeld van situatie schetsen.

Voorbeeld 4 – Wel verrekenen

Deventer verwacht voor een bepaalde grondexploitatieproject een voordeel (positief gevolg) te behalen van € 250.000 doordat de inkoopprijzen van materiaal minder snel stijgen (gebeurtenis) dan waar bij de calculatie van was uitgegaan.

Bij hetzelfde project wordt een afname van het resultaat verwacht (negatief gevolg) van € 1.000.000 als gevolg van een daling van de grondprijs (gebeurtenis) door de economische crisis.

Wel verrekenen, omdat;

○ Beide gevolgen hebben betrekking op hetzelfde product;

○ Beide gevolgen zijn niet gerelateerd en kunnen beide los van elkaar optreden (dus zonder dat de ander wordt beïnvloed).

○ Na verrekening resulteert nog steeds een risico met een negatief gevolg.

Voorbeeld 5 - Wel verrekenen

Deventer verwacht voor een bepaalde grondexploitatieproject een voordeel (positief gevolg) te behalen van € 500.000 door een snellere uitgifte (gebeurtenis) van kavels in de eerste 5 jaar door verlaging van de uitgifteprijs.

Voor hetzelfde project wordt een afname in het resultaat verwacht van € 1.000.000 (negatief gevolg) doordat de uitgifteprijs wordt verlaagd (gebeurtenis).

Wel verrekenen, omdat;

○ beide gebeurtenissen een gevolg hebben betrekking op hetzelfde product;

○ de ene gebeurtenis het gevolg van de andere gebeurtenis niet uitsluit.

Voorbeeld 6 – Wel verrekenen

De kans bestaat dat uit een onderzoek wordt vastgesteld dat Deventer bij een bepaald grondexploitatieproject een bodemsanering moet laten uitvoeren (gebeurtenis). De extra kosten zijn naar verwachting € 500.000 (negatief gevolg).

Voor hetzelfde project wordt als gevolg van het mogelijk aantrekken van de economie een hoger resultaat verwacht van € 2.000.000 (positief gevolg).

Wel verrekenen, omdat;

○ beide gebeurtenissen een gevolg hebben voor hetzelfde product;

○ de ene gebeurtenis met een gevolg de andere gebeurtenis niet uitsluit maar beide kunnen optreden.

Argumenten

Het salderen van risico’s met een positief en een negatief gevolg binnen een specifieke activiteit, project of product levert geen onverantwoord of onvoorzichtig risicoperspectief op. Er is met name sprake van een meer gedifferentieerd risicoprofiel waarbij gerelateerde positieve ontwikkelingen (kansen) worden meegenomen in de beheersing van de activiteit. Voor de manager gespecialiseerd op het specifieke product, betekent dit dat hij/zij op basis van de verschillende ontwikkelingen (met mogelijke positieve en negatieve gevolgen) beheersmaatregelen moet nemen.

Draagvlak

De handelswijze (toegepast bij de jaarrekening 2012 en de voorjaarsnota 2013) is voorgelegd aan onze accountant (Deloitte). Hij stelt in zijn reactie samengevat het volgende;

‘In de lijst met risico,s behorende bij de voorjaarsnota 2013 staan 5 negatieve bedragen. Uit een nadere beschouwing blijkt dat deze 5 posten allen verband houden met grondexploitaties waarvoor ook andere risico,s zijn geformuleerd die nauw gerelateerd zijn aan de afzonderlijk genoemde risico,s met een negatief bedrag. Als je in de lijst deze complexen als 1 geheel beschouw, wat in de praktijk ook gebruikelijk is bij de waardering van de complexen en voorzieningen hierop, dan kun je stellen dat de huidige handelswijze aanvaardbaar en consistent is.’

De beschreven handelswijze kan op basis van het bovenstaande als aanvaardbaar en consistent worden beschouwd.

Een goed functionerend risicomanagementsysteem is gebaseerd op uitgangspunten en doelstellingen die door de organisatie (risico eigenaren) worden onderkend en in het risicomanagementbeleid zijn geformuleerd. Dit vormt gelijk het referentiekader bij het continu doorlopen van het risicomanagementproces.

Vanuit het vakgebied begint risicomanagement met het formuleren van uitgangspunten en doelstellingen. Vervolgens wordt een cyclisch proces doorlopen dat start met het benoemen van de context en vervolgens via identificatie en classificatie/kwantificatie van risico’s leidt tot het formuleren en implementeren van beheersmaatregelen. Na rapportage en evaluatie start dit proces opnieuw.

Hiervoor is een redelijk algemeen risicomanagementproces voorhanden dat meestal is gebaseerd op 5 of 6 verschillende stappen. Zoals in hoofdstuk 1 aangegeven kent Deventer een risicomanagementproces van 6 stappen.

In de volgende paragrafen worden de verschillende stappen elk afzonderlijk toegelicht.

1Context

Waarover gaat het en wat willen we bereiken?

Risicomanagement is geen doel op zich maar een middel. Het is daarom belangrijk om na te gaan wat je ermee wilt bereiken. In deze stap wordt gekeken naar de aspecten die van belang zijn voor de risico analyse.

Kijk eerst naar de actuele context van de opdracht, het project, de afdeling of de organisatie. Wat is het doel en waar sta je nu. Waardoor wordt je verrast en zijn er zaken die het bereiken van je doel negatief beïnvloeden. Heb je het gevoel in control te zijn en overzie je de zaken?

Voor het bepalen van de context moeten de volgende stappen worden genomen;

○ Stel vast wat de huidige stand van zaken is. Is er risicomanagement nodig en wat gaat er mis als je dit middel niet inzet?

○ Wat wil je met risicomanagement bereiken? Is dit wel het juiste instrument?

○ Wat is de scope van het risicomanagement (waar focus je op)?

○ Hoeveel risico wil je lopen? Of wat mag absoluut niet mis gaan en wat wel (een beetje)?

○ Wie betrek je bij het proces van risicomanagement? Wie is opdrachtgever, eigenaar en wie voelt de gevolgen?

○ Inventariseer wat er aan informatie al beschikbaar en bruikbaar is. Wat is er al? Baken af en begin klein.

○ Welke instrumenten ga je inzetten voor de risicoanalyse? Hoe ga je aan de slag?

○ Maak eventueel een omgevings- of krachtveldanalyse. Wie hebben invloed op het risicomanagementproces?

○ Formuleer duidelijk wat je gaat doen en wie waarvoor verantwoordelijk is.

○ Betrek zo vroeg mogelijk de opdrachtgever en de bestuurder.

Deze stap leidt tot een onderbouwd antwoord op de vraag: Wat gaan we doen en wie is waarvoor verantwoordelijk?

Aanpak

Begin niet zomaar met een risicoanalyse. Denk vooraf goed na over je doel en of risicomanagement hiervoor het meest geschikte instrument is. Betrek vooral ook anderen bij het maken van de afweging. Zorg voor een open en veilige sfeer. Waak ervoor dat risicomanagement niet wordt gezien als een instrument om het functioneren van betrokkenen te beoordelen.

Bekijk vervolgens met elkaar welke omgevingsfactoren van toepassing zijn op de situatie (de opdracht, het project, de afdeling of de organisatie). Probeer deze factoren eventueel in een beïnvloedingsmodel (krachtenveld) te plaatsen. Dit geeft inzicht in de mate van beïnvloeding door je omgeving op het bereiken van je doel.

Resultaat

Deze eerste stap levert inzicht in de omgeving (het krachtenveld) waarbinnen je doel moet worden gerealiseerd en wie daarin participeren. Het geeft eveneens inzicht in de verschillende rollen en verantwoordelijkheden en wie of wat er invloed heeft op het proces van risicomanagement.

2Identificeren en classificeren

Wat kan ons overkomen?

In deze stap wordt geprobeerd om een beeld te krijgen van gebeurtenissen die het behalen van de doelstellingen kunnen belemmeren of vertragen.

Om een zo breed mogelijk beeld te krijgen van de risico’s moet vanuit meerdere invalshoeken worden gekeken naar het te bereiken doel. Voorbeelden van invalshoeken zijn;

Interne beïnvloedingsfeer

Externe beïnvloedingsfeer

Technisch

Natuur

Organisatorisch

Economie/markt

Ruimtelijk/planologisch

Juridisch/wettelijk

Politiek/bestuurlijk

Sociaal/maatschappelijk

Financieel/economisch

Het gaat er dus om of alles in beeld komt en of dit beeld actueel is.

Aanpak

Bepaal hoe je de inventarisatie wilt organiseren. Ga je enkele collega’s interviewen (intercollegiale consultatie) of organiseer je een risicomanagementsessie (expertmeeting)? Interviews hebben als voordeel dat snel een breed beeld kan worden verkregen en biedt de mogelijkheid tot verdieping. Bijeenkomsten hebben als voordeel dat in korte tijd veel risico’s worden geïdentificeerd en geclassificeerd.

Denk bij de uitvoering aan de volgende punten;

○ Bepaal vooraf wie meedoen. Betrek mensen die er in het dagelijks werk tegenaan lopen (bottom up). Nodig er niet teveel uit (maximaal 8-10 personen). Maak de groep zo integraal mogelijk en nodig ook enkele ‘wilde ganzen’ uit. Dit voorkomt tunnelvisie.

○ Wie gaat het proces begeleiden? Kies bij voorkeur een neutrale leider die een open en veilige sfeer weet te creëren en toch in staat is kritische vragen te stellen.

○ Bepaal vooraf in welke mate en met welke diepgang de identificatie moet worden uitgevoerd. Elk risico in kaart brengen kost veel tijd en energie (kostenaspect).

○ Zorg voor een duidelijke registratie. Dit kan door middel van het schrijven van geeltjes of op , flipovervellen maar ook op voorgedrukte formulieren of directe invoer en presentatie met behulp van presentatie apparatuur.

○ Belangrijk in deze identificatieronde is dat de risico’s helder en eenduidig worden geformuleerd. Kies voor eenvoudige en korte omschrijvingen voor de gebeurtenis, de oorzaak en het gevolg.

○ Wees niet te snel tevreden, daag uit om (bijna) het onmogelijke te bedenken.

Deze stap leidt tot een onderbouwd antwoord op de vraag: Zijn de risico’s in beeld en is het actueel?

Resultaat

Deze stap levert een overzicht van risico’s waarbij de gebeurtenis, de oorzaak en het gevolg eenduidig en helder zijn geformuleerd.

3Classificeren en kwantificeren

Wat zijn onze belangrijkste risico’s?

Na het in beeld brengen van de risico’s worden deze toegewezen aan risico eigenaren. Deze personen zijn operationeel verantwoordelijk voor het risico. Zij analyseren en beoordelen de risico’s in termen van kansen (waarschijnlijkheid) en verwachte omvang van het gevolg (impact).

Deze risicoweging is in Deventer gebaseerd op basis van indeling in risicoklassen.

In deze fase worden de geïdentificeerde risico’s stuk voor stuk geanalyseerd en beoordeeld. Voor elk risico wordt de kans van optreden (waarschijnlijkheid) en de mogelijke omvang van het gevolg (impact) bepaald. Door de risico’s op deze wijze te classificeren wordt ordening aangebracht waarmee wordt bepaald welke risico’s de belangrijkste zijn. Daarnaast geeft het inzicht op welke risico’s de beheersingsmaatregelen moeten worden geconcentreerd. Hiermee ontstaat inzicht in de mate van risicogevoeligheid. Vervolgens wordt die omgezet in een zogenaamde risicoscore.

Aanpak

In deze fase maak je een inschatting van de gevolgen (omvang/impact) en de kans (waarschijnlijkheid) van optreden voor alle geïdentificeerde risico’s.

De twee onderzoeksvragen waarop je antwoord moet krijgen zijn;

a.Wat is het geschatte gevolg (omvang/impact) van het risico?

b.Wat is de kans (waarschijnlijkheid) dat het risico daadwerkelijk optreed?

Voor het beantwoorden van deze twee vragen hanteert Deventer de volgende risicoklassen;

Classificering gevolg (impact)

Als een risico optreedt kan dit op meerdere terreinen gevolgen hebben. Denk daarbij aan;

○ Politieke gevolgen

○ Maatschappelijke of organisatorische gevolgen

○ Juridische gevolgen

○ Financiële gevolgen

In deze fase van het proces wordt van ieder risico bepaald wat het gevolg is als het risico optreed. Hieronder volgt een leidraad voor classificering van de gevolgen op bovenvermelde terreinen;

Score gevolg

Politiek

Maatschappelijk

Juridisch

Financieel

1= Zeer beperkt

Zeer beperkt

Geen gevolgen

Geen gevolgen

€ 1 < € 100.000

2= Beperkt

Onrust bij portefeuillehouder

Onrust binnen de gemeentelijke organisatie

Mogelijk gezichtsverlies

€ 100.000 < € 500.000

3= Redelijk

Onrust binnen college

Onrust/verontwaardiging bij bewoners of instellingen

Procedures en mogelijke claims

€ 500.000 < € 1.500.000

4= Aanzienlijk

Onrust in de Raad

Onrust/verontwaardiging in grotere groepen (regionale pers)

Langlopende procedures en claims

€ 1.500.000 < € 3.000.000

5= Ernstig

Wethouder in de problemen

Grote onrust/verontwaardiging (landelijke pers)

Grote aansprakelijkheden en claims

≥ € 3.000.000

Voor het bepalen van risicoscore (zie hieronder) is het van belang dat je na het invullen van de verschillende gevolgen uitgaat van het criterium met de hoogste score. De uitkomst daarvan zal worden meegenomen op de risicokaart.

Voorbeeld

Wanneer bij het optreden van een bepaald risico een politiek gevolg van 3 (redelijk) wordt verwacht met een financieel gevolg van € 2,5 miljoen (score 4 - Aanzienlijk) dan moet worden uitgegaan van de hoogste score en dat is in dit geval dus 4 – Aanzienlijk.

Classificering kans(waarschijnlijkheid)

Voor het bepalen van de kans van optreden hanteert Deventer de volgende classificering; Kans (waarschijnlijkheid) van optreden

Kans (waarschijnlijkheid) van optreden

Score waarschijnlijkheid (kans)

Waarschijnlijkheid (kans)

1= Onwaarschijnlijk

> 0% en ≤ 5%

2= Kans is klein

> 6% en ≤ 25%

3= Reële kans

> 26% en ≤ 50%

4= Kans is groot

> 51% en ≤ 75%

5= Zeer grote kans (zekerheid)

> 75%

In bovenstaande twee tabellen zijn voor de indeling expliciet de scores 1 t/m 5 gehanteerd. Deze scores zijn namelijk de basis voor het indeling van de scorekaart die is gebaseerd op de uitkomst kans x gevolg.

Denk bij de uitvoering van deze beoordeling aan de volgende punten;

○ Kies voor eenvoud; een eenvoudige berekening die voor iedereen volgbaar is;

○ Raadpleeg meerdere bronnen om een zo reëel mogelijke inschatting van de omvang te maken;

○ Stem de uitkomsten van kwantificering af met de relevante betrokkenen;

○ Wees ervan bewust dat veel risico’s impliciet al beheerst worden. Richt je in de analyse vooral op de risico’s die nog niet onder controle zijn.

Resultaat

Wanneer voor ieder risico een score op beide onderzoeksvragen is bepaald wordt daarmee de risicoscore bepaald.

Risicoscore = score kans (verwachting) x score gevolg (impact)

Voorbeeld 1.

Een risico met een aanzienlijk maatschappelijk gevolg (verontwaardiging in grote groepen en regionale pers – score 4) en een kans van optreden van 50% (reële kans – score 3) geeft een risicoscore van 12 (= 4 x 3).

Voorbeeld 2.

Zo krijgt een risico met een financieel gevolg van € 1.750.000 (klasse 4) en een kans van optreden van 20% (klasse 2) een risicoscore van 8 (= 4 x 2).

Wanneer vervolgens de scores per risico in een risicokaart (matrix) worden geplaatst ontstaat er inzicht in de mate van risico gevoeligheid.

Bij het intekenen van een risicoscore geldt dat hoe hoger de risicoscore;

○ Hoe roder de kleur

○ Hoe groter de financiële impact

○ Hoe hoger de kans op optreden

○ Hoe belangrijker het is om maatregelen te nemen.

Deze risicokaart wordt direct gebruikt als hulpmiddel om te bepalen aan wie welk risico wordt gemeld. Primair is het college verantwoordelijk voor alle risico’s en de raad is eindverantwoordelijk. Daarom is het belangrijk om afspraken te maken over het melden van risico’s. We hanteren het principe dat hoe hoger de risicoscore, hoe hoger het niveau in de organisatie waar het risico bekend moet zijn. Risico’s met een risicoscore van 12 en hoger melden we altijd gerapporteerd aan de raad via de paragraaf weerstandsvermogen en risicobeheersing van de P&C cyclische rapportages. Risico’s met een risicoscore kleiner dan 12 worden niet gerapporteerd via de paragraaf weerstandsvermogen en risicobeheersing van de P&C cyclische rapportages. Het betreffen uiteraard wel risico’s waarop risicobeheersing wordt toegepast en integraal worden meegenomen bij het bepalen van de benodigde weerstandscapaciteit.

Wanneer zich buiten de cyclus om substantiële ontwikkelingen voordoen dan geldt een actieve informatieplicht.

Substantieel wil zeggen:

○ Nieuw risico met risicoscore 15 of hoger (financiële impact > € 500.000)

○ Bestaand risico stijgt naar 15 of hoger (stijging potentiële impact naar € 500.000 of hoger)

Deze stap leidt tot een onderbouwd antwoord op de vraag: Welke risico’s moet als eerste worden aangepakt?

Kwantificeren

Op basis van de classificatie worden risico’s ingedeeld naar kans en gevolg en kan uit de weergave snel worden bepaald welke risico’s prioriteit vereisen. Dit geeft nog geen indicatie voor het aanhouden van weerstandsvermogen. Hiervoor is kwantificering vereist. Dit kan worden verkregen door enkel de risico’s met een financieel gevolg te beoordelen. Voor het beoordelen van het weerstandsvermogen en het opstellen van de paragraaf weerstandsvermogen (zie verder hoofdstuk 6) gaat Deventer uit van onderstaande financiële classificering en impactanalyse;

4Beheersmaatregelen bepalen

Hoe kunnen we onze risico’s beheersen?

Nu de risico’s in kaart zijn gebracht en de mate van focus is aangebracht moet worden nagedacht over de manier waarop de toprisico’s zo goed mogelijk worden beheerst. Daar is het immers allemaal om begonnen. Het is goed te realiseren dat het doel niet is; koste wat het kost risico’s vermijden. Nee, in deze stap vindt de overweging plaats wat met het risico gaat gebeuren.

Er zijn vier vormen van omgang met risico’s;

5Risico’s vermijden – doelen aanpassen, activiteiten staken, desinvesteren, etc.

6Risico’s reduceren – kans en gevolg verkleinen d.m.v. voorzorg- en bijsturingsmaatregelen, etc.

7Risico’s overdragen – overdragen d.m.v. verzekeren, diversificatie (spreiden), delen, etc.

8Risico’s accepteren – accepteren van de gevolgen (onder voorwaarden).

De manier waarop je met risico’s omgaat, wordt mede bepaald door de omgeving van je opdracht, project, afdeling of organisatie. Denk daarbij vooral aan de context en uitgangspunten die je eerder hebt gesteld. Oftewel je ‘risk appetite’. Deze bepalen namelijk hoeveel risico je kan, mag en wilt lopen.

Als je een beheersmaatregel neemt moet deze wel effectief en proportioneel zijn. Soms is het goedkoper het risico te nemen.

Aanpak

De volgende punten helpen bij het bepalen van de beheersmaatregelen;

○ Weeg per risico de alternatieven af;

○ Als het besluit wordt genomen het risico niet over te dragen; bedenk dan zoveel mogelijk beheersmaatregelen;

○ Bespreek alle geïnventariseerde maatregelen en formuleer ze zo concreet mogelijk. Let daarbij op de factoren; uitvoerbaarheid, tijd, geld, beïnvloedbaarheid, omgevingsfactoren en mogelijke nieuwe risico’s;

○ Maak voor elke maatregel een inschatting van de gevraagde investering en het beoogde effect;

○ Maak op basis hiervan een keuze voor maatregelen die moeten worden geïmplementeerd;

○ Bepaal wat het restrisico (netto verwachte omvang) is na toepassing van de gekozen beheersmaatregelen.

○ Wijs voor de beheersing van elk risico een verantwoordelijke aan en geef hem/haar ook de bevoegdheden om de maatregelen te nemen. Dit is degene die het risico het best kan beheersen en/of die er het meeste belang bij heeft (oftewel: wie gaat het risico beheersen?);

○ Laat een implementatieplan opstellen en beoordeel periodiek de effecten;

○ Streef niet naar volledigheid maar beperk je tot bijvoorbeeld de top 10 risico’s;

○ Weeg de kosten goed af. Soms is het ‘goedkoper’ het risico te nemen;

Een risico kan het best worden beheerst door diegene die er het meeste last van heeft als het risico of de ongewenste gebeurtenis daadwerkelijk optreed. Die persoon of partij heeft er immers het meeste belang bij dat het risico niet optreed en/of dat de gevolgen beperkt blijven.

Maak bij de allocatie van de beheersing een afweging tussen belang (willen) en mogelijkheid (kunnen). Zorg er in ieder geval voor dat duidelijk is wie welk risico gaat beheersen (risico-eigenaar). Maak vervolgens afspraken over de bijbehorende taken, verantwoordelijkheden en bevoegdheden.

Resultaat

Het uitvoeren van het beheersmaatregelonderzoek levert een set aan beheersmaatregelen op. Wanneer de beheersmaatregelen met een positief financieel effect op het financiële gevolg van een risico in mindering wordt gebracht resulteert de ‘netto verwachte omvang’.

Deventer maakt dus onderscheid tussen de bruto verwachte omvang en netto verwachte omvang van een risico;

Bruto verwachte omvang =

Verwachte gevolgschade van een risico

-/- vermindering door beheersmaatregelen

-/- compensatie van derden (verzekering, Rijk, provincie, etc.)

-/- al gedekt/voorzien (reserve, voorziening, stelpost, etc.)

-----------------------------------------------------------------------------------

Netto verwachte omvang =

Nog te dekken gevolg van een risico (restrisico)

Deze netto verwachte omgang vormt, in combinatie met de verwachte kans, uitgangspunt bij het bepalen van de totale omvang aan risico’s.

Een regelmatig voorkomende situatie van een vermindering door het treffen van een beheersmaatregel is, dat binnen een infrastructureel project een risicovoorziening (stelpost) wordt gevormd voor onvoorziene uitgaven dan wel risico’s. Ook komt het voor dat bepaalde risico’s worden verzekerd waarmee het totale risico van het betreffende project afneemt. Denk bijvoorbeeld aan het project Stadhuiskwartier.

Deze stap leidt tot een onderbouwd antwoord op de vraag: Welke beheersmaatregelen passen we toe?

Weerstandsvermogen aanhouden of niet?

Een vraag die op dit moment in het proces kan worden gesteld is of voor de netto verwachte omvang (restrisico) weerstandsvermogen moet worden aangehouden. Hieronder staan criteria die van belang zijn om te bepalen of hiervoor weerstandsvermogen moet worden aangehouden.

Criteria voor aanhouden weerstandsvermogen

1Voordat een risico wordt opgenomen in de weerstandsparagraaf zijn de beheersmaatregelen ter reductie van de kans en gevolg van optreden van het risico (economisch) volledig toegepast. Denk hierbij onder andere ook aan mogelijke bezuinigingen of herprioritering van gestelde doelen. Houdt daarbij wel de te realiseren dienstverlening in de gaten.

2Het gevolg van het risico moet financieel van aard zijn. Dit betekent dat de onverwachte gebeurtenis primair een financieel gevolg moet hebben.

3Het financiële risico is niet op andere wijze (bijvoorbeeld via verzekering, voorziening, bestemmingsreserve of bijdrage van derde) afgedekt. Als een deel van het risico is afgedekt moet dit deel op het totaal in mindering worden gebracht (netto verwachtingswaarde – zie hierboven).

4De kans en het financiële gevolg zijn voldoende onderbouwd. Dit betekent dat aan zowel de kans als het financiële gevolg een betrouwbaar onderbouwing (oordeel) ten grondslag ligt. Dit kan bijvoorbeeld zijn gebaseerd op onderliggende calculaties of aanwijsbare ervaringen uit eerder voorgevallen situaties.

5Het financiële gevolg kan niet in de begroting (binnen het huidige) budget worden opgevangen. Ook niet door herprioritering.

6Bij risico’s die niet binnen 1 jaar zullen optreden (dus risico’s > 1 jaar) moeten eerst worden beoordeeld of er extra beheersmaatregelen mogelijk zijn ter reductie. Vervolgens moet worden gekeken, voor het opvangen van het financieel gevolg, naar herprioritering van het huidig budget of eventueel een verzoek voor extra middelen in de eerstvolgende bestuursrapportage.

7De omvang van het financiële gevolg is > € 50.000

In deze beleidsnota wordt hier verder niet op ingegaan. Naast het herijken van de beleidsnota uit 2007 wordt onderzoek gedaan naar het ‘weerstandsvermogen: meer dan een rekenkundige oefening’. Bij dit onderzoek zal onder andere worden gekeken naar de bepaling van het weerstandsvermogen en risicoweging.

5.Beheersmaatregelen toepassen en toetsen

Hoe passen we de beheersmaatregelen toe?

Voor de belangrijkste risico’s zijn nu de verschillende alternatieven afgewogen (balancing the risks). Risico’s die niet zijn overgedragen, geaccepteerd of met de juiste beheersmaatregelen zijn vermeden moeten zelf worden beheerst. Hiervoor zijn bij de vorige stap beheersmaatregelen bedacht. Bij deze stap komt het aan op beantwoording van de volgende vragen;

○ Hoe pak je de uitvoering aan?

○ Levert de beheersmaatregel het gewenste effect?

Aanpak

Wat betreft de uitvoering is het van belang dat zoveel mogelijk planmatig wordt gewerkt. Maak een plan waarin staat wat je gaat doen, wat je daarvoor nodig hebt (zowel middelen als mandaat), hoe je de effecten van de getroffen maatregelen bewaakt en hoe je daarover rapporteert (terugkoppelen).

De volgende punten helpen in deze fase;

○ Bepaal per risico wat de kans van slagen van alle beheersmaatregelen is, wat de kosten zijn en hoe groot het eventuele restrisico;

○ Houd de plannen van aanpak voor het uitvoeren van beheersmaatregelen zo beknopt mogelijk. Vermijd uitgebreide studies en onderzoeken;

○ Onderzoek in de organisatie of er al ervaringen zijn met bepaalde beheersmaatregelen bij andere projecten of activiteiten (eventueel ook extern);

○ Stel voor elke beheersmaatregel de kaders vast zoals budget, tijdsduur en kwaliteitseisen;

○ Maak het uitvoeren van de beheersmaatregelen zoveel mogelijk onderdeel van het dagelijks werk. Koppel rapportages over beheersing van risico’s aan reguliere voortgangrapportages zoals de P&C cyclus rapportages.

Resultaat

Het resultaat van deze stap is een duidelijk overzicht van de verdeling van de risico’s over verschillende programma’s en verantwoordelijken. Vervolgens ontstaat een beeld van de beheersmaatregelen die zijn toegepast met de bijbehorende positieve en/of negatieve effecten. Wanneer deze maatregelen en uitkomsten bijvoorbeeld in een database worden bijgehouden kan dit integraal ter beschikking worden gesteld en door andere risico-eigenaren worden geraadpleegd. Dit levert inzicht op in beheersmaatregelen die wel effectief zijn (in een bepaalde situatie) en welke niet.

Deze stap leidt tot een onderbouwd antwoord op de vraag: Hoe passen we beheersmaatregelen toe?

6Rapporteren en evalueren

Wat moet worden verantwoord, wat is er veranderd en wat hebben we geleerd?

6.1 Rapporteren

Het college is gehouden om relevante informatie over de ontwikkeling van risico’s en de risicopositie tijdig en ongevraagd onder de aandacht van de raad te brengen.

Betreffende informatie moet in ieder geval antwoord geven op de volgende vragen;

○ Welke risico’s zijn te signaleren en wat houden ze in?

○ Wat is de kans van optreden en de ingeschatte omvang van de risico’s (risicokaart) in relatie tot de beschikbare weerstandscapaciteit (ratio weerstandsvermogen)?

○ Welke maatregelen zijn te treffen?

○ Wat is het effect geweest van genomen maatregelen?

○ In hoeverre is het systeem/methodiek van RM voldoende effectief geweest om de risico’s te ondervangen (wat is het effect geweest van de genomen maatregelen)?

○ Wanneer, aan wie en in welke vorm wordt periodiek gerapporteerd?

Bij de rapportage over de risico’s is sprake van gelaagdheid. Op niveau van de dagelijkse aansturing is het logisch dat er meer inzicht is in de individuele risico’s en het effect van de maatregelen. De gelaagdheid in rapporteren is in paragraaf 3.4 vormgegeven op basis van de risicoscore. Risico’s met een score van 12 of hoger worden periodiek, via de paragraaf weerstandsvermogen en risicobeheersing van de P&C cyclische rapportages, gemeld aan de raad. In de zomerrapportage en de najaarsrapportage wordt gerapporteerd over de stand van zaken met betrekking tot de risico’s.

Risico’s worden in de rapportage niet geclusterd. Dit betekent dat over elk risico met een score van 12 of hoger apart wordt gerapporteerd. Dit levert inzicht in de opbouw van het totale actuele risico en bevordert de transparantie en controleerbaarheid.

Zoals hierboven vermeld kent de gemeente Deventer een actieve informatieplicht. Buiten de reguliere cyclus is er een meldingsplicht aan de raad voor nieuwe risico’s met een risicoscore van 15 of hoger (potentiële financiële impact > € 500.000).

Aanpak

Onderwerpen waar je bij verantwoording en rapportage over risico’s en risicomanagement aan moet denken zijn opgenomen in de volgende checklist:

Aandachtsgebied

Toelichting

Inhoud

Waarover vindt verantwoording plaats?

Zijn ten opzichte van de voorgaande rapportage nieuwe risico’s ontstaan en wat is hiervan de (mogelijk financiële) impact?

Welke beheersmaatregelen zijn genomen en wat is het effect van deze maatregelen geweest?

Welke risico’s zijn opgetreden en hebben geleid tot een uitstroom van middelen?

Wat is de stand van zaken met betrekking tot de omvang van de risico’s in relatie tot de beschikbare middelen?

Is het risicoprofiel van de organisatie gewijzigd en zo ja, wat zijn hiervan de gevolgen?

Effectiviteit

Heeft de gemeente voldoende zicht op de effectiviteit van de maatregelen?

Welke risico’s zijn opgetreden?

Wat zijn de kosten geweest voor het treffen van de maatregelen?

Voert de gemeente periodiek audits uit om na te gaan hoe effectief de beheersing van risico’s heeft plaatsgevonden?

En zo ja, wat zijn daarvan de resultaten?

Werkwijze

Wat is de wijze van onderbouwing en kwantificering?

Is de wijze van kwantificering concreet genoeg om een oordeel te vormen over de wijze van verantwoording?

Bestaat er voldoende inzicht over de kans van optreden van een risico?

Frequentie

Is de frequentie van het opnieuw beoordelen van de risico’s voldoende gelet op de ontwikkeling van het risicoprofiel?

Wordt rekening gehouden met de actieve informatieplicht wanneer risico’s wijzigen?

Resultaat

Het resultaat van deze stap is een periodieke risicorapportage waarin in ieder geval antwoord wordt gegeven op de hierboven vermelde vragen. Wettelijk is gesteld dat in ieder geval bij de begroting en jaarrekening een paragraaf weerstandsvermogen en risicobeheersing wordt opgesteld. Deventer heeft daar de voorjaarsnota aan toegevoegd.

Deventer hanteert naast de P&C cyclus rapportages geen aparte risicomanagementrapportage. Zij verantwoordt haar risicobeleid via de P&C cyclus rapportages aan de raad.

Kort samengevat wordt het volgende gerapporteerd:

Rapportage document

Onderwerp

Voorjaarsnota, Begroting en Jaarrekening

-Specifieke risico’s (en gerelateerde kansen)

-Generieke risico’s (niet gekwantificeerd)

-Beheersmaatregelen en effect

-Omvang (onderdelen) beschikbare weerstandscapaciteit

-Omvang benodigde weerstandscapaciteit gecorrigeerd met simulatie en zekerheidsfactor

-Uitkomst ratio weerstandsvermogen

-Ontwikkeling weerstandsvermogen

-Welke risico’s zijn opgetreden?

-Welke beheersmaatregelen hebben effect gehad?

-Wat zijn de kosten geweest van de beheersmaatregelen?

6.2 Evalueren

Een groot deel van het proces is nu afgerond. De risico’s zijn geïnventariseerd en geanalyseerd en er zijn beheersmaatregelen bepaald, uitgevoerd en getoetst. Ben je dan klaar?

Nee, risicomanagement is een cyclisch proces. Als uit de evaluatie blijkt dat het effect van de maatregel niet is wat het had moeten zijn dan moet er worden bijgestuurd.

Het is belangrijk om op bepaalde momenten (minimaal 1 keer per jaar) terug te kijken om beter vooruit te kunnen kijken. Hierdoor wordt de risico intelligentie (bewustzijn) binnen de organisatie verder aangescherpt. Je leert zo beter prioriteiten te stellen en de effecten van de beheersing beter in te schatten. Binnen de programma’s zal minimaal 1 keer per jaar een kwaliteitsanalyse moeten worden gemaakt en tijdens een bijeenkomst met de risico-eigenaren moeten worden besproken. Vragen die dan aan de orde komen zijn:

○ Is het risicoprofiel kleiner of groter geworden?

○ Is de risico acceptatiegraad (risk appetite) ten aanzien van een risico gewijzigd?

○ Zijn de beoogde effecten van de beheersmaatregelen behaald, en zo nee, waarom niet?

○ Hoe houden we het risicobewustzijn/risicomanagement tot een onlosmakelijk deel van ons werk?

○ Wat zijn de vervolgstappen?

Aanpak

Voor het evalueren van het proces en de resultaten kun je het best de volgende stappen doorlopen:

1Organiseer een evaluatiebijeenkomst. Betrek een zo breed mogelijke groep bij de evaluatie (t.b.v. betrokkenheid en zo breed mogelijk beeld).

2Evalueer het proces: Wat ging goed en wat kan in het vervolg beter?

3Herijk het risicoprofiel: Is het risico kleiner of groter geworden?

4Bekijk kritisch het effect van de beheersmaatregelen: Zijn de beoogde effecten gehaald en zo niet, waarom niet?

5Bepaal of de frequentie van het risicomanagementproces voldoende is.

6Beoordeel of het risicomanagementproces onderdeel is van het reguliere arbeidsproces. Zo niet, op welke manier kan dit worden bereikt?

7Maak vervolgafspraken: Wat gaan we concreet doen, wanneer gaan we aan de slag, wie neemt het initiatief, enzovoort?

Resultaat

Het resultaat van het risicomanagementproces kun je beoordelen door jezelf de volgende vragen te stellen:

Commitment

Heeft de opdrachtgever of leidinggevend management zich gecommitteerd aan het nut en de noodzaak van het toepassen van risicomanagement? Zo ja waar blijkt dat uit?

Bewustzijn

Is vooraf bepaald hoeveel risico de organisatie wil lopen? Zo ja, hoeveel dan? Mandaat

Heeft de opdrachtgever van het proces voldoende mandaat om de complete cyclus bij herhaling te doorlopen? Zo ja, waar is dat vastgelegd?

Draagvlak

Is er voldoende bereidheid om open over risico’s te praten? Zo ja, waar blijkt dat uit?

Verantwoordelijkheid

Is vooraf bepaald welke medewerkers verantwoordelijk zijn voor het implementeren van risicomanagement, dan wel het uitvoeren van het proces? Zo ja, wie zijn dat?

Instrumenten

Is vooraf bepaald welke instrumenten worden gebruikt bij het doorlopen van het proces? Zo ja, welke zijn dat?

Middelen

Zijn er voldoende middelen (tijd, geld, capaciteit) beschikbaar om het proces te doorlopen en te handelen op basis van de uitkomsten? Zo ja, hoeveel en waar is dat vastgelegd?

Frequentie

Is vooraf bepaald met welke frequentie het proces wordt doorlopen? Zo ja, wat is die?

Rapportage

Is vooraf bepaald hoe en aan wie over de uitkomsten en maatregelen wordt gerapporteerd? Zo ja, hoe en aan wie?

Positionering

Sluit risicomanagement aan bij de bestaande processen? Zo ja, hoe?

Een belangrijk onderdeel van risicomanagement en dit beleidskader is de inbedding ervan in onze organisatie. De vraag is hoe we dit kunnen bewerkstelligen.

Hieronder volgen kort een aantal indicatoren voor implementatie van risicomanagement binnen de gemeente Deventer.

Is risicomanagement breed in de organisatie bekend en toegelicht?

Als risicomanagement op een optimaal niveau functioneert wordt binnen de strategische besluitvorming ook in termen van risicomanagement gedacht. Er wordt rekening gehouden met bedreigingen die voortvloeien uit beleidskeuzes, de mogelijke financiële impact van beleidskeuzes en het effect op het functioneren van de organisatie. Binnen de besluitvorming wordt gekozen voor risicobeheersende beleidsbepaling. Niet om elk risico te vermijden maar om risico’s inzichtelijk te maken en beheersbaar te houden.

Binnen de organisatie is een document over risicomanagement opgesteld. Stakeholders worden geïnformeerd over risicomanagement, de maatregelen, methoden, technieken en hulpmiddelen. Dit verhoogt de kennis en betrokkenheid (risico bewustzijn).

Zijn de juiste omstandigheden voor inbedding binnen Deventer gecreëerd?

Bij risicomanagement is kennis in verschillende opzichten van groot belang. In algemene vorm betreft het de kennis van de organisatie en haar omgeving, zoals de visie en de missie maar ook de concrete doelstellingen. Denk hierbij aan de contextfase uit hoofdstuk 5. Daarnaast is kennis over de risicomanagementsystemen en methodieken gewenst. Een voorbeeld hiervan zijn projecten waar de technische kennis omtrent bijvoorbeeld de risico’s rondom realisatie een voorwaarde zijn voor goed risicomanagement. Om deze expansie te realiseren is het van belang te faciliteren in uitwisseling van kennis en ervaring door het organiseren van workshops en risicomanagementsessies. Daarnaast is het van belang om medewerkers opleidingen en trainingen te bieden. Hierdoor neemt het risicobewustzijn van de organisatie toe.

Wordt risicomanagement vanuit een vast punt in de organisatie ondersteund?

Om inbedding van risicomanagement binnen Deventer te bevorderen, is het van belang dat vanuit één vast punt (persoon of team) het proces van risicomanagement wordt gemonitord en signalen geeft naar de organisatie. Dit team (of functionaris) beheerst het proces, draagt zorg voor de risico inventarisatie en beheersmaatregelen en stimuleert participatie van medewerkers. Risicomanagement moet namelijk een integraal onderdeel zijn van de taken van een manager.

De huidige situatie is dat team AB en team PCA maandelijks een gesprek voert met het management. Dit gesprek is inhoudelijk gericht op de risico’s zelf en de beheersmaatregelen. Hiermee wordt in een deel van de ondersteuning voorzien.

De aanbeveling is om risicomanagement binnen de Deventer organisatie op één vast punt te organiseren. Binnen dit team (of bij betreffende functionaris) moet kennis beschikbaar zijn over:

○ Risicomanagement systemen en methodieken

○ Organisatieomgeving gemeente Deventer

○ Organisatievisie:

•Missie

•Doelstellingen

•Strategie

•Besturingsfilosofie

○ Organisatiestructuur

○ Programma’s en producten

○ Instrumentarium Planning & Control

○ Risicohouding en ‘Risk appetite’

Vanuit deze situatie kan de implementatie planmatig worden aangepakt. Een optie is om hierbij gebruik te maken van de Plan Do Check Act methode

3Kwaliteitscirkel van William Edwards Deming – hulpmiddel voor processturing

. Daarmee wordt bereikt dat er continue wordt gekeken naar verbetering van het risicomanagementproces. Daarnaast sluiten de bij deze methode toegepaste aspecten inspireren, mobiliseren, waarderen en reflecteren goed aan bij de zes stappen van het risicomanagementproces (hoofdstuk 3).

Checklist vanuit de Governance-cyclus

Risicomanagement is geen instrument dat kant en klaar op een organisatie kan worden toegepast. Iedere organisatie heeft haar eigen context. Een belangrijk succesfactor voor het invoeren van risicomanagement is de (bedrijfs-) cultuur. Gezien de verschillen daarin per organisatie is het onmogelijk om een standaard risicomanagement format uit te rollen. Iedere organisatie zal haar risicomanagement daarom ´custom made´ zelf moeten (laten) ontwikkelen.

Uit uitgebreid onderzoek naar risicomanagement modellen en verschillen tussen private en publieke organisaties is gebleken dat een aantal (succes)factoren van invloed is op het welslagen van risicomanagement. Wanneer daaruit de factor ‘Governance’ (en de Governance-cyclus: sturen, beheersen, verantwoorden en toezichthouden) nader wordt beschouwd kunnen aan de verschillende onderdelen aandachtspunten worden gehangen. Deze aandachtspunten zijn een checklist voor concernmanagers voor het toepassen van risicomanagement.

Concreet betekent dit, dat wanneer een beoordeling wordt gegeven van de aandachtspunten dit een bepaald beeld geeft van de mate en kwaliteit van risicomanagement binnen een organisatie. De beoordeling moet wel zelf door de organisatie vooraf worden gekwalificeerd.

De uitgebreide aandachtspuntenlijst per onderdeel van de Governance-cyclus is opgenomen in bijlage 5 van deze beleidsnota.

Op basis van de Governance onderdelen sturen, beheersen en verantwoorden

Deelproces

Aandachtsgebieden

Toelichting

Sturen

Beleid

-Is er beleid rondom risicomanagement?

-Zijn hierin de afspraken zoals deze zijn gesteld in de verordening 212 uitgewerkt?

-Is de systematiek (inventariseren, periodiciteit rapporteren, systeem, rolverdeling, etc.) van risicomanagement duidelijk?

Houding/Cultuur

-Wat straalt de leiding uit ten aanzien van het omgaan met risico’s?

-Hoe wordt omgegaan met het melden van risico’s?

-Bestaat er waardering voor het melden van risico’s?

-Zijn middelen vrijgemaakt om te werken aan risicomanagement?

-Worden adviezen en maatregelen om risico’s te beperken serieus genomen?

Prioriteitstelling

-Maakt risicoanalyse- en signalering onderdeel uit van de reguliere P&C cyclus en de B&W en raadsvoorstellen?

-Is voor het bepalen van het risicoprofiel nader onderzoek gedaan naar de context van het risico?

-Is bepaalde op welke wijze kwantificering en identificatie van de risico’s moet plaatsvinden?

-Zij (toekomstige) middelen gealloceerd die beschikbaar zijn voor het opvangen van (specifieke) risico’s?

-Wat is de risicohouding bij samenwerken met derden partijen?

Omvang

-Zijn er spelregels opgenomen voor de risicopositie?

-Met andere woorden: wat is een acceptabele verhouding tussen de beschikbare weerstandscapaciteit en de risico’s?

-Is gedefinieerd op welke wijze berekening van de omvang van de risico’s plaatsvindt?

-Is de minimale/maximale omvang van de weerstandscapaciteit bepaald?

-Zijn acties benoemd om de weerstandscapaciteit te vergroten?

Informatie/rapportage

-Zijn spelregels opgenomen voor de periodiciteit waarop gerapporteerd moet worden over de ontwikkeling van de risico’s en de resultaten van de beheersmaatregelen?

-Zijn er afspraken gemaakt over de wijze waarop over de risico’s wordt gerapporteerd;

○ Aan wie?

○ Welke informatie?

○ Evaluatie beheersmaatregelen

○ Nieuwe en vervallen risico’s

-Is bepaald op welke wijze bij individuele voorstellen gerapporteerd moet worden?

Bevoegdheden en verantwoordelijkheden

-Is duidelijk wie eindverantwoordelijk is voor betreffend risico?

-Is bepaalde wie verantwoordelijk is voor het identificeren, sturen en verantwoorden omtrent risico’s?

-Is duidelijk wie bevoegd is tot het aangaan van risico’s door middel van bijvoorbeeld goedkeuren van een voorstel, afsluiten van een contract of het aangaan van een (andere) verplichting?

Beheersen

Begrippen

Bestaat er een gemeenschappelijk beeld over wat verstaan wordt onder risico’s?

ijn de risicogebieden duidelijk?

Is bekend op welke facetten beoordeling plaats moet vinden?

Kennis

Is binnen de organisatie voldoende kennis om risico’s te identificeren en te kwantificeren?

Heeft de gemeente voldoende kennis om tijdig te reageren op de wijziging van risico’s?

Is voldoende kennis aanwezig omtrent de wijze waarop omgegaan moet worden met zich manifesterende risico’s.

Methode

Is er een duidelijke methodiek voor het in beeld brengen, houden en sturen rondom risico’s?

Is de methode in de organisatie bekend?

Is de methode geïncorporeerd in de dagelijkse operationele procesgang?

Is duidelijk wanneer en welke maatregelen worden getroffen? Bestaat in de methode voldoende aandacht voor:

-omschrijven van de risico’s

-kwantificeren van risico’s

-evalueren van de risico’s

-formuleren van beheersmaatregelen en

-aanwijzen verantwoordelijk voor omgaan met de geconstateerde risico’s .

Risicoanalyse

Is bekend wat de belangrijkste risicogebieden binnen de organisatie zijn door het uitvoeren van een risicoanalyse? Wordt de risicoanalyse met een dusdanige frequentie herzien dat blijvend aandacht bestaat voor de ontwikkeling van de risico’s?

Bestaat voldoende aandacht voor het identificeren van nieuwe risicogebieden binnen de organisatie dan wel activiteiten van de organisatie?

Wordt de opgestelde risicoanalyse gedeeld door het management?

Is de uitgevoerde risicoanalyse de basis voor het treffen van maatregelen?

Organisatie

Is er voldoende capaciteit aanwezig om aandacht te besteden aan risicomanagement?

Bestaat extra aandacht voor die terreinen waar risico’s dominant, omvangrijk zijn of frequent wisselen?

Zijn de rollen duidelijk in het proces van risicomanagement: wie moet wat wanneer doen?

Beheersmaatregelen

Is per relevant geïdentificeerd risico duidelijk of er beheersmaatregelen mogelijk zijn?

Zijn de beschreven beheersmaatregelen duidelijk genoeg om deze vorm te geven?

Is duidelijk wie verantwoordelijk is voor de beheersmaatregel?

Is duidelijk binnen welke termijn de beheersmaatregel tot stand moet zijn gebracht?

Zijn de beschreven beheersmaatregelen geïmplementeerd?

Werken de beschreven beheersmaatregelen?

Zijn er alternatieven onderzocht om de risico’s anders op te vangen?

Is er bij samenwerking met derden (o.a. verbonden partijen) voldoenden aandacht voor de ontwikkeling van risico’s?

Bestaan er scenario’s om te volgen wanneer risico’s daadwerkelijk optreden?

Is er voldoende financiële ruimte om de risico’s op te vangen?

Verantwoorden

Inhoud

Waarover vindt verantwoording plaats? Onderwerpen zijn

-Is het risicoprofiel van de organisatie gewijzigd en zo ja, wat zijn hiervan de gevolgen?

-Hebben zich t.o.v. de voorgaande rapportage nieuwe risico’s voorgedaan en wat is de financiële impact?

-Welke maatregelen zijn getroffen om eerdere risico’s te ondervangen en wat is het effect van deze maatregelen geweest?

-Welke risico’s hebben zich concreet gemanifesteerd en hebben geresulteerd in een uitstroom van middelen?

-Wat is de stand van de omvang van de risico’s in relatie tot de beschikbare middelen?

-Bevat de verantwoordingsinformatie voldoende sturingsinformatie om beheer en inzicht in de risico’s te verbeteren?

-Is uit de verantwoordingsinformatie duidelijke op welke aspecten de organisatie meer bewust moet zijn van onderkennen of beheersen van risico’s?

Effectiviteit en efficiency van maatregelen

Heeft de gemeente voldoende zicht op de effectiviteit van de getroffen maatregelen:

-Welke risico’s zijn opgetreden?

-Wat zijn de kosten geweest voor het treffen van beheersmaatregelen (per risico en totaal)?

-Voert de gemeente periodiek audits uit om na te gaan hoe effectief de beheersing van de risico’s is geweest?

Wijze onderbouwing en kwantificering

Is de wijze van kwantificering concreet genoeg om een oordeel te vormen over de wijze van verantwoording?

Bestaat voldoende inzicht in de kans van optreden van een risico en de resterende onzekerheden?

Frequentie

Is de frequentie van herzien van de risico’s voldoende gelet op de ontwikkeling van het risicoprofiel?

Wordt rekening gehouden met de actieve informatieplicht wanneer risicopositie wijzigt?

(Bron: Deloitte- Risicomanagement: meer dan de som der delen – 2009)

In deze bijlage worden een aantal handreikingen gegeven om een gesprek te starten in het kader van risicomanagement.

Er zijn twee invalshoeken voor zo’n gesprek;

1Benaderd vanuit de doelstellingen

2Benaderd vanuit de processen

De eerste benadering leent zich vooral als de betrokkene meer werkt vanuit de doelstellingen (bijvoorbeeld beleidsafdelingen). De tweede benadering is met name geschikt als de betrokkene werkt in een productieomgeving (bijvoorbeeld administratieve of registratieve processen zoals burgerzaken of de financiële administratie). Belangrijk is dat de gekozen invalshoek aansluit bij de belevingswereld van de betrokkene.

Deze vragenlijst is voor een groot deel opgenomen in de verschillende stappen van het risicomanagementproces (hoofdstuk 5) maar worden hieronder voor het bestuur en management beknopt samengevat.

Vanuit doelstellingen

○ Wat zijn je doelstellingen voor het komende jaar? Welke onzekerheden spelen een rol bij het bereiken van deze doelstellingen?

○ Welke risico’s komen uit eerdere inventarisatie? Zijn deze nog steeds van kracht?

○ Welke gevolgen heeft de kredietcrisis voor jouw afdeling?

○ Zijn er nieuwe thema’s die in het komende jaar een rol spelen? Kunnen we hier extra op inzoomen? Bijvoorbeeld invoering van nieuwe wetgeving?

○ Welke maatregelen tref je en zijn mogelijk op de genoemde risico’s?

Vanuit processen

○ Wat zijn jouw belangrijkste processen?

○ Welke knelpunten signaleer je hierin?

○ Hoe vaak doen deze knelpunten zich voor?

○ Zijn deze knelpunten ook te vertalen naar risico’s?

○ Wat is de mogelijke omvang van deze risico’s?

○ Welke maatregelen nam je tot op heden om deze risico’s het hoofd te bieden?

○ Zijn deze maatregelen afdoende? Welke additionele maatregelen zou je (kunnen) nemen?