Nota risicomanagement 2025

3.1 – Het proces van risicomanagement

Het proces van risicomanagement bestaat, voor wat betreft het in kaart brengen van de risico’s, uit vier pijlers die verglijkbaar zijn met de kwaliteitscirkel van Deming. Bij deze kwaliteitscirkel is er sprake van een cyclisch proces (plan, do, check, act) met als doel continue verbetering. Risicomanagement is een voorbeeld van zo’n voortdurend proces van identificeren, analyseren/beoordelen, beheersen en rapporteren/monitoren/evalueren.

Bij het sturen op de beheersing van risico’s wordt een onderscheid gemaakt tussen de hard controls en de soft controls. Onder hard controls wordt verstaan procedurebeschrijvingen, handboeken, beleidsregels, monitoren etc. Onder soft controls wordt verstaan: voorbeeldgedrag top van de organisatie, houding en gedrag, respect, loyaliteit etc.

3.1.1 - Identificeren

De eerste stap is het in kaart brengen van mogelijke risico’s die de gemeente loopt. Daarbij is het duidelijk formuleren van het risico en het vaststellen van de oorzaak een onderdeel.

3.1.2 - Analyseren en beoordelen

De tweede stap is het kwantificeren van het risico (‘de ernst’). Dit gebeurt door middel van het aangeven wat het negatieve gevolg van het risico is én wat de kans (%) is dat het risico daadwerkelijk zal optreden. Het negatief gevolg kan zijn een gevolg in geld of anderszins. Bij het analyseren en beoordelen wordt gebruik gemaakt van de hulpzin: “Als gevolg van.... (Oorzaak), bestaat de kans dat.... (risico), waardoor…. (Gevolg)”.

3.1.3 - Beheersen

De derde stap is het in beeld brengen van de mogelijke beheersmaatregelen en vervolgens de gekozen beheersmaatregelen uitvoeren. Beheersmaatregelen zien op:

➢ Elimineren (vermijden) van het risico;

➢ Beperken van de kans van optreden;

➢ Beperken van het negatieve gevolg;

➢ Accepteren van het risico.

3.1.4 - Rapporteren, monitoren en evalueren

De laatste stap van de cyclus bestaat uit communiceren over de aard en omvang van risico’s, de beheersmaatregelen en deze monitoren en evalueren.

3.2.1 – Identificeren

Bij de identificatie is een belangrijke rol weggelegd voor de medewerkers en teammanagers. Zij hebben het beste zicht op de processen binnen hun team. Twee keer per jaar vindt er een volledige actualisatie van de risico’s plaats door de teammanager(s) in samenwerking met de (domein-)controllers. Deze actualisatie wordt in de beleidsbegroting en het jaarverslag verwerkt. Dit laat onverlet dat actualisatie van de risico’s zich ook tussentijds voor kan doen. Aanpassing van de risico’s is altijd een samenspel tussen de teams en team Concern control en vindt gedurende het jaar continu plaats. Bevindingen worden aan directie, het college van burgemeester en wethouders en de gemeenteraad gerapporteerd via de begroting en de jaarstukken.

In deze fase worden ook beheersmaatregelen in kaart gebracht. Een beheersmaatregel is een maatregel die het risico voorkomt of vermindert. De belangrijkste beheersmaatregel is de cultuur van de organisatie. Een organisatie waar eenieder zich voortdurend bewust is van de risico’s die bepaalde beslissingen of handelingen met zich meebrengen (en hier ook naar handelt) garandeert de beste beheersing van risico’s. Het hebben van regelingen en procedures is ook cruciaal en hangt weer nauw samen met de cultuur. Deze nota en het proces van cyclisch inventariseren, analyseren en communiceren van risico’s is ook een goede beheersmaatregel. Uiteraard zijn er ook specifieke beheersmaatregelen op bepaalde risico’s. Het afsluiten van verzekeringen is daar een sprekend voorbeeld van.

Vermindering van risico’s kan ook een maatregel betreffen waarbij het risico geheel of gedeeltelijk bij een andere partij wordt belegd. Niet altijd is het mogelijk om een beheersmaatregel te treffen.

3.2.2 – Analyseren en beoordelen

Op basis van de identificatie maken we een onderscheid tussen risico’s die wel en risico’s die niet van belang zijn voor de weerstandscapaciteit. We brengen nu vooral financiële risico's in beeld, deze gaan allen mee in de berekening van de weerstandscapaciteit. Van elk in beeld gebracht risico wordt geanalyseerd wat de kans en de impact zijn.

Met weerstandscapaciteit bedoelen we de middelen die de gemeente beschikbaar heeft om risico’s en tegenvallers financieel af te kunnen dekken. Denk hierbij aan de algemene reserve. De omvang van de benodigde weerstandscapaciteit is dus afhankelijk van de omvang van de geïnventariseerde risico’s.

Bepaalde risico’s zijn niet van belang voor de weerstandscapaciteit als de begroting- en rekeningcyclus op orde zijn en we adequate voorzieningen hebben getroffen. Bij alle risico’s wordt een inschatting gemaakt van de kans dat een risico zich voordoet en de impact die dit kan hebben. Dit is een inschattingsmethode waarbij alle relevante feiten en omstandigheden worden meegewogen.

Kans:

Klasse

Norm

Risico kans%

1

Minder of 1 keer per 10 jaar

10%

2

1x per 5 – 10 jaar

30%

3

1x per 2 – 5 jaar

50%

4

1x per 1 – 2 jaar

70%

5

1x per jaar of vaker

90%

Impact:

Klasse

Geldgevolg

0

Geen

1

€ 0 - € 50.000

2

€ 50.000 - € 200.000

3

€ 200.000 - € 500.000

4

€ 500.000 - € 1.000.000

5

Meer dan € 1.000.0000

Tabel kans en impact

3.2.3 – Beheersen

Beheersmaatregelen

Bij ieder geïnventariseerd risico wordt nagegaan of er een beheersmaatregel kan worden getroffen die het risico vermindert of voorkomt. De getroffen beheersmaatregelen worden vastgelegd in de processen, werkinstructies, handleidingen etc. De genomen beheersmaatregelen verkleinen de gevolgen van het risico. Hierdoor ontstaat er een verschil tussen een bruto risico en een restrisico. Het bruto risico is het gevolg van het risico vóór het nemen van beheersmaatregelen (rekening houdend met de kans van voordoen). Het restrisico is het risico dat overblijft ná het nemen van beheersmaatregelen. Om te bepalen of de weerstandscapaciteit toereikend is, worden alle restrisico's bij elkaar opgeteld en wordt de som hiervan afgezet tegen het weerstandsvermogen.

3.2.4 - Rapporteren, monitoren en evalueren

Twee keer per jaar vindt er een volledige actualisatie van de risico’s plaats door middel van gesprekken tussen teammanagers en (domein-)controllers. Deze volledige actualisatie wordt verwerkt in de beleidsbegroting en het jaarverslag en besproken tussen directie en concerncontroller. Het nemen van beheersmaatregelen is niet altijd de meest geëigende oplossing. Geconstateerde risico’s kunnen soms ook opgelost worden door aanpassingen door te voeren in processen waar deze risico’s voorkomen.

Een belangrijke stap binnen het risicomanagement betreft de communicatie. Het is belangrijk dat het risicomanagement, de geïnventariseerde risico’s, de genomen beheersmaatregelen of de nog te nemen beheersmaatregelen bekend zijn binnen de totale organisatie.

Onderzocht wordt of de actuele risico’s gepubliceerd kunnen worden op de intranetsite die voor iedere medewerker toegankelijk is.