| Organisatie | Borne |
|---|---|
| Organisatietype | Gemeente |
| Officiële naam regeling | Nota risicomanagement gemeente Borne 2023 |
| Citeertitel | Nota risicomanagementbeleid gemeente Borne 2023 |
| Vastgesteld door | gemeenteraad |
| Onderwerp | financiën en economie |
| Eigen onderwerp |
Deze regeling vervangt de Nota risicomanagementbeleid gemeente Borne 2009.
Onbekend
Datum inwerkingtreding | Terugwerkende kracht tot en met | Datum uitwerkingtreding | Betreft | Datum ondertekening Bron bekendmaking | Kenmerk voorstel |
|---|---|---|---|---|---|
| 21-12-2023 | nieuwe regeling | 12-12-2023 |
Risico`s zijn overal en iedereen heeft er mee te maken. In het dagelijks leven nemen en beheersen we continue risico`s. Dit geldt ook voor een gemeente waar dagelijks keuzes gemaakt worden over het nemen of beheersen van risico`s. De raad, college en de organisatie staan bij de uitvoering van de maatschappelijke doelen en het besluiten over nieuwe voorstellen voor complexe keuzes.
Bij de afspraken tussen college en raad is het belangrijk om de te verwachten risico`s te kennen en aan te geven welke bereidheid er is om risico`s te nemen (ook wel genoemd ‘risk appetite’). Daarnaast kunnen we aan inwoners en toezichthouders laten zien dat we risico`s in beeld hebben en deze bewust beheersbaar maken of accepteren. Dit betekent dus niet dat je geen risico`s meer mag nemen, maar juist ruimte biedt om bewust risico`s af te wegen.
Risicomanagement is het continu en systematische proces in een organisatie waarbij risico’s worden geïdentificeerd en op waarde worden geschat. Vervolgens worden deze risico’s aan de hand van de kans van het optreden en de gevolgen beheersbaar gemaakt.
De volgende argumenten onderstrepen het belang van goed werkend risicomanagement:
We willen als gemeente risicobewust werken. Dit door op een gestructureerde wijze risico`s te inventariseren, te accepteren of te beheersen en te rapporteren. De voorliggende nota draagt hieraan bij door helderheid te verschaffen over het beleid en verantwoordelijkheden om risicobewust te kunnen werken.
Daarnaast wordt er, voor wat betreft risicomanagement, in deze nota ook aandacht besteed aan de verplichte onderdelen in de paragraaf ‘Weerstandsvermogen en risicobeheersing’ die onderdeel is van de begroting en de jaarstukken.
Het beleid rondom het weerstandsvermogen maakt sinds 2019 onderdeel uit van de nota Reserves, Voorzieningen en Weerstandsvermogen. De geactualiseerde nota Reserves, Voorzieningen en Weerstandsvermogen wordt tegelijk met deze nota Risicomanagementbeleid aan de gemeenteraad aangeboden en behandeld.
Is risicomanagement nu de oplossing voor het voorkomen van incidenten? Het antwoord is: nee. Een risico-inventarisatie is nooit volledig. De organisatie en het bestuur kunnen namelijk nooit alle risico’s in kaart brengen die zich in een bepaalde periode zouden kunnen voordoen. Simpelweg omdat risicomanagement geen exacte wetenschap is. Het betekent echter wel dat risicomanagement bijdraagt aan de bewustwording van het werken met risico’s en dat het management en het bestuur meer bewuste keuzes kunnen maken.
Een belangrijke factor voor het risicobewust werken zijn de medewerkers, managers en bestuurders zelf. Als hier niet de urgentie, draagvlak en eigenaarschap wordt gevoeld, dan kunnen er goede methodieken zijn ingesteld, maar wordt het niet optimaal benut. Binnen de organisatie wordt er daarom ook gewerkt aan het verder vergroten van het bewustzijn.
In dit hoofdstuk wordt inzicht gegeven welk ambitieniveau Borne nastreeft ten aanzien van risicomanagement. Dit wordt gedaan aan de hand van een volwassenheidsmodel.
2.1 Volwassenheidsmodel risicomanagement
Risicomanagement kan op vele verschillende manieren worden ingericht. Om een beeld te vormen van het huidige niveau gebruiken we een volwassenheidsmodel1 dat uitgaat van 5 niveaus van risicomanagement. Het volwassenheidsmodel maakt het mogelijk om de huidige inrichting en werking van het risicomanagement af te zetten tegenover het ambitieniveau. In bijlage 2 worden de verschillende niveaus toegelicht aan de hand van de kenmerken op het gebied van het proces (instrumenteel) en de organisatiecultuur (gedrag).
Op het instrumentele vlak (richtlijnen en proces) zien we binnen onze gemeente vooral kenmerken uit niveau 3. De risico’s van de teams, programma’s en projecten zijn opgenomen in ons risicomanagementsysteem. Dit systeem ordent risico’s en berekent het benodigde weerstandsvermogen.
Op het gebied van gedrag zien we ook vooral kenmerken uit niveau 3. Bij de risico`s zijn risico eigenaren benoemd en worden er periodiek risicogesprekken gevoerd tussen de (concern) controllers, financiën en de risico-eigenaren.
Wanneer niveau 3 in de praktijk volledig wordt nageleefd biedt dit een goede basis, maar gezien de steeds complexer wordende vraagstukken is het wenselijk om verder te professionaliseren op het gebied van risicomanagement.
Gezien de voordelen van het risicobewust werken willen we inzetten op het verbeteren en professionaliseren van het risicomanagement. De ambitie is om de komende jaren te werken naar niveau 4 van het volwassenheidsmodel:
Er is open en transparante communicatie over risico’s via dialoog. De onderkende risico’s worden gewogen en beheerst en de organisatie kent een goede balans tussen risico’s nemen en beheersen (risicobereidheid). Door iedereen bewust te maken van de meerwaarde en het werken met risico`s te integreren in de processen, zal het meer en meer vanzelfsprekend worden.
Door meer aandacht te hebben voor het bepalen van de risicobereidheid ontstaat er meer duidelijkheid over de wijze waarop we (maatschappelijke) doelstellingen willen behalen en of we risico`s juist willen nemen of beheersen. De risicobereidheid zal met name door de raad en college worden bepaald bij de programmabegroting, beleidsnota`s, collegevoorstellen en raadsvoorstellen.
Door het vergroten van open en transparante communicatie over risico’s kunnen college en raad op basis van volledige informatie weloverwogen keuzes maken. Door het stimuleren van de dialoog over risico`s en risicobereidheid tussen medewerkers, managers, bestuurders en raadsleden, is de verwachting dat het risicobewust werken meer in de vezels van de organisatie komt en dus ook meer vanzelfsprekend wordt.
Volwassenheidsmodel met huidig niveau en ambitieniveau
Om van niveau 3 naar niveau 4 te gaan betekent dit concreet dat we op het instrumentele vlak moeten zorgen voor meer integratie van het werken met risico`s binnen de processen en te zorgen voor eenduidig beleid. De grootste veranderingen en stappen zullen echter moeten worden gezet op het gebied van gedrag. Er moet meer aandacht zijn voor het vergroten van het risicobewust werken en het voeren van de dialoog over de risico`s en de risicobereidheid. Dit geldt niet alleen voor de ambtelijke organisatie, maar ook voor college en raad, omdat de opgaven steeds complexer worden en het nodig is om veel belangen en opties bewust af te wegen.
Bij het nastreven van de gestelde maatschappelijke effecten door de raad en college kunnen risico`s aanwezig zijn, daarom moet er nagedacht worden over welke bereidheid er is om risico’ te lopen. Dit wordt ook wel risicobereidheid of ‘risk appetite’ genoemd. Deze risicobereidheid kan voor verschillende onderdelen, zoals per programma, doelstelling, project, proces worden bepaald. Het werkt kaderstellend voor het college en de organisatie om vooraf goed te weten welke bereidheid er is voor het nemen van risico`s bij de uitvoering van beleid. Bij het bepalen van de bereidheid kan er ook een (meetbare) grens worden gesteld waarbinnen de risico’s worden geaccepteerd. Dit wordt de risicotolerantie genoemd.
De voordelen van het bepalen van de risicobereidheid vooraf:
3.2.1 Definitie en soorten risico
Wij definiëren een risico als ‘een kans op het optreden van een positieve dan wel negatieve gebeurtenis van materieel belang die niet voorzien is in de begroting van enig jaar.’
De meest voorkomende en herkenbare risico`s zijn de financiële risico`s. Daarnaast zijn er ook andere categorieën van risico`s te onderscheiden. In deze nota worden met risico`s alle categorieën bedoeld, tenzij er expliciet wordt gesproken over financiële risico`s. Te onderscheiden categorieën risico`s:
Naast de verschillende risico categorieën zijn risico`s ook in te delen in drie soorten: Te voorkomen risico`s, strategische risico`s en externe risico`s.
Hieronder wordt schematisch per soort risico weergegeven of de mate van impact en beïnvloedbaarheid van het risico laag of hoog is. Hieruit valt op te maken dat bij het opstellen van beleid rekening gehouden moet worden met de externe en strategische risico’s en dat bij de uitvoering door de organisatie de focus hoofdzakelijk ligt op strategische en te voorkomen risico`s.
Het inventariseren van risico`s is geen exacte wetenschap. Het is ook geen doel op zich om alle risico`s die er zijn te inventariseren. Het belangrijkste is om de grootste risico`s, lees het grootste gevolg (impact x kans), in beeld te hebben en te accepteren of te beheersen.
Bij het inventariseren zijn er een aantal basisgegevens nodig om een goed beeld te krijgen van het risico en de wijze waarop het risico al dan niet wordt beheerst. Een risico wordt beschreven aan de hand van de oorzaak, de gebeurtenis/risico en het gevolg. Vervolgens wordt de kans van voordoen en de hoogte van de impact bepaald. Aan de hand van de risicobereidheid wordt aangegeven of en hoe beheersing plaatsvindt.
Tot slot is het verplicht om ook een risico-eigenaar te benoemen en de status van de maatregel aan te geven (suggestie, in voorbereiding, geïmplementeerd, actief, verlopen). De status van de maatregel is van belang om te weten of en in welke mate er rekening gehouden kan worden met een kleiner negatief effect van het risico.
De risico-eigenaar is verantwoordelijk voor het monitoren, beheersen en bijsturen van het risico.
Voor financiële risico`s geldt dat er rekening gehouden moet worden met de mogelijke financiële gevolgen. Zodra er voor financiële risico`s expliciet budget of een voorziening is opgenomen in de begroting beschouwen we het niet meer als een risico, zolang de verwachting is dat het budget of de voorziening toereikend is.
Nadat de oorzaak, gebeurtenis en het gevolg is beschreven kan de kans en impact worden bepaald. Als hulpmiddel wordt de kans en impact ingedeeld in klassen van 1 t/m 5 van zeer klein tot zeer groot. Het bepalen van de klasse is niet eenvoudig en draagt een mate van subjectiviteit in zich. Het is daarom goed om de kans en impact met meerdere personen te bepalen om ze zo goed mogelijk in te schatten.
Voor de beoordeling van de kans hanteren we 5 klassen met de volgende referentiebeelden.
Hiervoor hanteren we 5 klassen met de volgende klassenindeling
Om de financiële impact te bepalen zijn de klassen ingedeeld op basis van bedragen. Voor alle overige categorieën van risico`s, bijvoorbeeld imago of juridisch geldt een algemenere indeling van zeer klein tot zeer groot.
We hanteren het uitgangspunt dat risico’s met alleen een geldgevolg en waarbij het geldgevolg lager is dan € 50.000,-- in principe niet opgenomen worden in ons risicomanagementsysteem. Deze risico’s moeten kunnen worden opgevangen binnen onze reguliere bedrijfsvoering / p&c cyclus. Hiermee wordt de focus op de grotere risico’s gelegd.
Uitgangspunt is dat risico’s, waarbij het waarschijnlijk is dat ze zich voor zullen doen (1 x per jaar of vaker 90%), worden opgenomen in de exploitatiebegroting. Het college kan de afweging maken om deze risico’s op te nemen in het risicomanagementsysteem. Mocht dit zo zijn dan zal deze keuze door het college worden beargumenteerd.
Met behulp van de risicoscore kunnen risico’s worden geprioriteerd en wordt inzichtelijk welke risico’s de grootste invloed kunnen hebben op het realiseren van de doelstellingen.
De risicoscore wordt bepaald door de klassen van kans en impact te vermenigvuldigen. Voorbeeld: kans klasse is 4 en de geldgevolg klasse is 3, dan is de risicoscore 4 x 3 = 12.
Na de inventarisatie van de risico`s kan aan de hand van de risicobereidheid worden aangegeven of en hoe het risico beheerst wordt. Als de risicobereidheid laag is, dan is het nodig om beheersmaatregelen te treffen. Dit is een maatregel die de kans van het optreden of de gevolgen van het optreden van een risico verkleint. Ook is hierbij van belang dat de maatregelen proportioneel zijn. Dit houdt in dat de kosten van de maatregel in verhouding staan tot de vermindering van de kans of de gevolgen en dat er niet onnodig veel maatregelen voor één risico genomen worden.
Er zijn vier mogelijkheden om te bepalen wat er met het risico moet gebeuren:
Naast het benoemen van maatregelen is het noodzakelijk om hieraan ook een risico-eigenaar te koppelen en de status te bepalen. De risico-eigenaar is verantwoordelijk voor het monitoren, beheersen en bijsturen van het risico. De status van de beheersmaatregel is van belang om te weten of en in welke mate er rekening gehouden kan worden met een kleiner negatief effect van het risico.
3.4.1 Planning en Control cyclus
Met de paragraaf Weerstandsvermogen en risicobeheersing in de begroting en jaarstukken worden de grootste financiële risico’s periodiek in beeld gebracht. Het weerstandsvermogen geeft aan of de gemeente in staat is negatieve financiële consequenties van risico’s zelfstandig op te vangen. Achterliggend doel hiervan is dat we maatschappelijke effecten willen bereiken en hierbij een bepaalde risicobereidheid past. Eventueel resterende financiële risico`s geven inzicht in de vraag hoe hoog het weerstandsvermogen zou moeten zijn.
Het sturen op risico`s is een verantwoordelijkheid die bij het college ligt. Het gaat om het tijdig onderkennen van risico’s en vervolgens de onderkende risico’s te beheersen. Dit betekent dat het van belang is dat naast de stand van zaken ook de ontwikkeling terugkomt in de verschillende producten van de P&C-cyclus (jaarstukken en begroting) en onderdeel uitmaakt van besluitvorming, voor zover relevant. De conclusies omtrent de risico’s zijn op hoofdlijnen terug te vinden in de paragraaf Weerstandsvermogen en risicobeheersing.
Daarnaast wordt er in enkele andere paragrafen nog expliciet aandacht besteed aan specifieke risico’s (paragrafen grondbeleid, verbonden partijen, etc.). De risico’s worden per onderdeel in de betreffende paragraaf genoemd. Om een beter beeld te kunnen vormen van de top 10 risico’s worden in de paragraaf Weerstandsvermogen en risicobeheersing de actuele top 10 financiële risico`s inclusief beheersmaatregelen2 gepresenteerd met een toelichting op de risico`s die nieuw zijn in de top 10 of er uit zijn gegaan.
De omvang van onze grondexploitaties, en de woningbouwcrisis, waren in het verleden aanleiding om een splitsing te maken in de top 10 risico’s van de grondexploitaties en de top 10 van de lijn- en projectrisico’s. Toekomstige ontwikkelingen, ingegeven door o.a. Rijksbeleid, die ook de Bornse woningbouwambities raken maken dat we dit onderscheid tussen enerzijds de grondexploitaties en anderzijds de lijn- en projecten continueren.
Over de risico`s wordt bij zowel de begroting als de jaarstukken een zo actueel mogelijk beeld gepresenteerd. Dit betekent dat er niet alleen vooruit wordt gekeken (begroting) of achteruit (jaarstukken), maar dat het een momentopname is en er zowel wordt gerapporteerd over wat er is gebeurd als wat we nog verwachten.
3.4.2 College- en raadsvoorstellen
Het college en de organisatie hebben de opdracht van de raad om de gestelde doelen in de Programmabegroting te behalen en rekening te houden met rechtmatigheid, doelmatigheid en doeltreffendheid. Het college en de organisatie staan bij de uitvoering van de doelen elke dag voor complexe keuzes. Voor het maken van een bewuste keuze is het hebben van een goed beeld van de argumenten voor en tegen, met de hieraan gekoppelde risico`s en risicobereidheid, wenselijk. Hierdoor kunnen mogelijke verrassingen achteraf worden voorkomen.
Om die reden willen we een 4e W-vraag toevoegen in beleidsdocumenten, bij programma’s en projecten: “Welke risico’s lopen we daarbij?”. Beleidsdocumenten zijn nu vaak geschreven op basis van de drie W-vragen (Wat willen we bereiken? Wat gaan we daarvoor doen? Wat mag dat kosten?). Door hier een 4e W-vraag aan toe te voegen over risico’s wordt de controlerende rol van de raad versterkt. Risico’s worden dan immers op verschillende niveaus gemeld in plaats van alleen in de paragraaf in de jaarstukken en de begroting. Het invoeren van een 4e W-vraag is ondersteunend aan het vergroten van het risicobewustzijn en zorgt ervoor dat de belangrijkste risico’s vóóraf in overweging worden genomen om wel of niet akkoord te gaan met nieuw beleid. Hierbij geeft dus het college en/of de raad ook meteen aan welke bereidheid ze hebben om bepaalde risico’s te nemen om bepaald beleid uit te voeren en de daarbij behorende doelstellingen te behalen.
De beantwoording van deze 4e W-vraag wordt in de bestuurlijke voorstellen opgenomen onder de kanttekeningen.
Risicobeheersing maakt onderdeel uit van de Basisvisie Projectmatig Werken (2009). Elk project dat aan de criteria van projectmatig werken voldoet wordt voorzien van een risicoparagraaf en tegelijkertijd opgenomen in ons risicomanagementsysteem. Dit houdt in dat er een risicoprofiel wordt opgesteld en dat er een risicoanalyse heeft plaatsgevonden. Dit is de verantwoordelijkheid van de projectleider die hier nadrukkelijk aandacht aan dient te besteden. Vanuit de controlfunctie wordt hierop worden getoetst. Vervolgens wordt elke rapportage vanuit het project voorzien van een risicoparagraaf waarin de risico’s en de getroffen maatregelen worden gerapporteerd.
4. Rollen en verantwoordelijkheden
In dit hoofdstuk worden de rollen en verantwoordelijkheden benoemd en vastgelegd voor de onderdelen van het risicomanagement.
De raad en het college nemen voornamelijk besluiten waarbij risico`s worden afgewogen, bepalen de risicobereidheid en monitoren via de planning en control cyclus de grootste risico`s en het weerstandvermogen. Zij stellen de kaders waarbinnen de organisatie de risico’s kan beheersen, mitigeren en/of accepteren.
De organisatie heeft de grootste rol binnen het risicomanagement. Zij zorgt er met name voor dat het college en de raad risicobewuste keuzes kunnen maken. Het inventariseren, kwantificeren en beheersen ligt dan ook met name bij de organisatie. De medewerkers die verantwoordelijk zijn voor de uitvoering van doelen, projecten en processen zijn ook de risico-eigenaren van de hieraan gekoppelde risico`s.
Directie: de directie is verantwoordelijk voor de inrichting van het risicomanagement, bespreekt periodiek met de afdelingsmanagers de risico`s per afdeling en is verantwoordelijk voor de sturing op afdeling overstijgende risico`s.
Managers: de managers zijn verantwoordelijk voor risico`s van de afdeling en informeren de directie en team control over de risico`s en de wijze waarop deze worden beheerst.
Medewerkers: de medewerkers zijn als risico-eigenaar verantwoordelijk voor het monitoren, beheersen en bijsturen van hun risico.
Concerncontroller: de concerncontroller monitort en toetst de werking van het risicomanagement.
Voor het inrichten van het risicomanagement binnen de gemeente zijn er beperkte wettelijke kaders. Alleen in het BBV (Besluit begroting en verantwoording) staan een aantal kaders die nageleefd moeten worden.
Besluit begroting en verantwoording, Artikel 11
Volgens de wettelijke kaders (BBV art. 11) is er ruimte voor de gemeente om een eigen invulling te geven aan hoe het risicomanagement wordt ingericht, hoe er geïnventariseerd wordt en de wijze van rapportage. Wel staat er duidelijk dat het hier alleen gaat om risico`s die niet al afgedekt zijn in de begroting en een effect kunnen hebben op de financiële positie. Het richt zich dus met name op de grote financiële risico`s.
Bijlage 2 Niveaus volwassenheidsmodel
Niveau 1: Ad hoc en conservatief
Veelal incidenteel, er is geen structuur en het wordt ook niet gestimuleerd. Op dit niveau is het erg persoonsafhankelijk of er gewerkt wordt met risico`s.
Niveau 2: Ontwikkeling en onderzoekend
Er zijn standaard risicoregisters voorhanden om risico`s op een eenduidige wijze te inventariseren, beoordelen en monitoren, maar nog steeds persoonsafhankelijk en meestal alleen financieel ingestoken.
Op dit niveau wordt het risicomanagement meer gestructureerd aangepakt en is het minder persoonsafhankelijk. Er is eenduidig beleid over het werken met risico`s en er kan gerapporteerd worden over het gemeente brede risicoprofiel. Risico`s worden beheerst door de risico eigenaren.
Niveau 4: Integratie en beheerst
Er is open en transparante communicatie over risico’s via dialoog. De onderkende risico’s worden gewogen en beheerst en de organisatie kent een goede balans tussen risico’s nemen en beheersen (risicobereidheid). Door iedereen bewust te maken van de meerwaarde en het werken met risico`s te integreren in de processen, zal het meer en meer vanzelfsprekend worden.
Niveau 5: Optimalisatie en toekomstgericht
Uiteindelijk ontstaat een organisatie die leidend is in het omgaan met risico’s. De organisatie durft bewust risico’s aan te gaan en te groeien, maar op een gecontroleerde manier die integraal onderdeel is van de dagelijkse besluitvormingsprocessen. Er wordt gebruik gemaakt van meerdere databronnen om risico`s te monitoren en automatisch te identificeren. Scenario- analyses en de samenvallende risico`s worden betrokken in besluitvorming.