Besluit van de gemeenteraad van de gemeente Altena houdende regels omtrent risicomanagement Nota Risicomanagement Altena 2019

De raad van de gemeente Altena,

gelezen het voorstel van de Altenacolleges;

besluit

1. Vast te stellen de Nota Risicomanagement Altena 2019.

1. Inleiding

De complexiteit van projecten waar gemeenten aan deelnemen, de veranderende rol van gemeenten in de maatschappij en ingrijpende wijzigingen in wet- en regelgeving dwingen tot een groter risicobewustzijn. In dit kader is het van belang om zicht te hebben en te behouden op de risico’s die zich manifesteren bij de uitvoering van gemeentelijke taken en om daarbij passende maatregelen te treffen. Risicomanagement is geen statisch instrument, maar dient integraal onderdeel uit te maken van werkprocessen. Middels de planning- en controlinstrumenten wordt de gemeenteraad geïnformeerd over het weerstandsvermogen. De risico’s met betrekking tot verbonden partijen zijn opgenomen in de paragraaf Verbonden partijen.

Definitie risico en risicomanagement

Risico: een onzekere gebeurtenis die het realiseren van de doelstelling bedreigt

Risicomanagement: het systematisch in kaart brengen van de risico’s met het oog op de beheersing van de risico’s.

Wettelijk kader

Risicomanagement en weerstandsvermogen zijn nauw met elkaar verbonden. Het doel van het hebben van weerstandsvermogen is dat er een buffer aanwezig is om de financiële tegenvallers op te vangen zodra risico’s werkelijkheid worden. Het weerstandsvermogen staat in artikel 11 van het Besluit Begroting en Verantwoording (BBV) als volgt gedefinieerd:

Het weerstandsvermogen bestaat uit de relatie tussen:

• a. de weerstandscapaciteit, zijnde de middelen en mogelijkheden waarover de gemeente beschikt of kan beschikken om niet begrote kosten te dekken;

• b. alle risico's waarvoor geen maatregelen zijn getroffen en die van materiële betekenis kunnen zijn in relatie tot de financiële positie.

2. Spelregels en uitgangspunten risicomanagement

2.1 Nut en noodzaak systeem van risicomanagement

Het werken met een gestructureerd systeem van risicomanagement heeft onder andere de volgende voordelen:

Vergroten risicobewustzijn: het periodiek inzichtelijk maken van kansen en bedreigingen, alsmede de communicatie hieromtrent vergroot het risicobewustzijn en de kennis binnen de organisatie.

Volledigheid bij besluitvorming: risicomanagement geeft informatie en inzichten die van belang is bij besluitvormingstrajecten.

Actief omgaan met risico’s: stelt medewerkers in staat proactief met risico’s (kansen en bedreigingen) om te gaan door beheersmaatregelen vroegtijdig te benoemen en uit te voeren. Dit is beter dan af te wachten tot het risico optreedt en dan pas actie te ondernemen om de gevolgen te beperken.

Beoordeling weerstandsvermogen: Biedt duidelijkheid of risico’s in balans zijn met het weerstandsvermogen van de gemeente.

2.2 Proces van risicomanagement

Het proces van risicomanagement ziet er als volgt uit:

Kaderstelling en strategie

Voorafgaand aan de risicomanagementcyclus moeten beleidskeuzes gemaakt worden over risicomanagement: welke normen gelden er en hoe pakken we op hoofdlijnen risicomanagement aan binnen onze gemeente? De beleidskeuzes zijn uitgewerkt in deze nota risicomanagement. In deze nota zijn de kaders beschreven waarbinnen de ambtelijke organisatie kan werken.

Cyclus risicomanagement

De risicomanagementcyclus bestaat uit zes stappen:

• 1. Risico’s identificeren. De eerste stap is het op gestructureerde wijze identificeren van mogelijke toekomstige gebeurtenissen die van invloed kunnen zijn op het behalen van doelstellingen, het duidelijk formuleren van deze gebeurtenissen in de vorm van risico’s en het vaststellen van de oorzaken van de risico’s.

• 2. Risico’s analyseren. De tweede stap is het nagaan van het mogelijke effect (risico) van de investeringen en activiteiten op de organisatie: kleven er mogelijke (negatieve) gevolgen aan? En hoe groot is de kans dat deze realiteit worden?

• 3. Risico’s beoordelen. In deze stap wordt de waarschijnlijkheid en de impact van een risico vóór en na beheersing beoordeeld.

• 4. Maatregelen bepalen. Bij deze stap wordt bepaald welke reactie volgt op een geïdentificeerd risico. Naar aanleiding van de vorige stappen kan een risicoplan of beheersmaatregel worden opgesteld. Hierin wordt aangegeven wat de gekozen maatregelen zijn om een risico te beheersen. Er zijn vier generieke acties mogelijk: vermijden, overdragen, beheersen, accepteren.

• 5. Risicobeheersing. De vijfde stap is het uitvoeren van de geselecteerde beheersmaatregelen.

• 6. Risico’s communiceren, monitoren en resultaten verbeteren. De laatste stap van de cyclus bestaat uit het communiceren over de oorzaak, aard en omvang van risico’s, de effectiviteit van de beheersmaatregelen en de eventuele veranderingen daarin.

Toezicht en toetsing

Hoewel toezicht en toetsing een belangrijk onderdeel is van risicomanagement, wordt deze toch buiten de zes stappen genoemd. Dit onderdeel valt buiten de cyclus, omdat het een continuüm is: het doel van continu toezicht is om tijdig (veranderingen in) risico’s te signaleren, adequate maatregelen te kunnen treffen en waar nodig bij te sturen. Uitgangspunt hierbij is dat hoe eerder een (verandering in een) risico wordt gesignaleerd, hoe beter de gevolgen te beheersen zijn. De planning & control documenten zoals de begroting, jaarrekening en bestuursrapportages geven periodiek weer wat de actuele stand van zaken is in dit kader en wat de voornemens zijn.

2.3 Spelregels systeem van risicomanagement

Bij de inventarisatie van risico’s wordt er onderscheid gemaakt tussen de volgende soorten van risico’s:

• 1. bestuurlijke risico’s;

• 2. financiële risico’s;

• 3. juridische risico’s;

• 4. overige risico’s.

Op basis van de inventarisatie wordt per risico (kans / bedreiging) een actie bepaald. Hierbij kan gekozen worden uit vier generieke acties: accepteren, vermijden, verminderen of over te dragen. Vervolgens worden per risico maatregelen bepaald (met uitzondering van risico’s die geaccepteerd worden). Er zijn verschillende beheersmaatregelen mogelijk, waarbij onderscheid wordt gemaakt tussen zogenoemde hard controls en soft controls. Bij hard controls gaat het om zaken als procedures, verzekeren, verwerken in de begroting, handboeken, gedragscodes etc. Bij soft controls om onder andere risicobewustzijn, integriteit en vertrouwen.

Bepalen risicowaarde

Om tot een kwantificering van de risico’s te komen worden de volgende uitgangspunten gehanteerd:

• Kans. De kans dat een risico zich daadwerkelijk voordoet is afhankelijk van meerdere factoren. Om te komen tot een schaalverdeling worden de volgende categorieën gehanteerd:

  • o klein (< 25%)

  • o middel (> 25% - < 75%)

  • o groot (> 75%)

• Financiële impact. De impact geeft de financiële invloed aan die een risico kan hebben op de gemeentelijke exploitatie. In sommige gevallen is het lastig om de impact te bepalen, dan kan gebruik gemaakt worden van de volgende categorieën:

  • o gering (< € 100.000)

  • o beduidend (> € 100.000 - < € 500.000)

  • o kritiek (> € 500.000)

• Risicowaarde. De risicowaarde wordt berekend door het percentage kans te vermenigvuldigen met het maximale risicobedrag. Ingeval van structurele risico’s wordt de risicowaarde vermenigvuldigd met 2. De gedachtegang hierbij is dat 2 jaar voldoende is om passende maatregelen te treffen.

Weerstandscapaciteit

Bij het bepalen van de weerstandscapaciteit wordt er onderscheid gemaakt tussen incidentele en structurele weerstandscapaciteit.

Incidentele weerstandscapaciteit

De incidentele weerstandscapaciteit is het vermogen dat ingezet kan worden om eenmalige tegenvallers op te vangen en wordt gevormd door de optelsom van het vrij aanwendbare deel van de algemene reserve en de stille reserves. Stille reserves worden bepaald door het verschil tussen boekwaarden en de actuele marktwaarden van bezittingen in aandelen en onroerend goed. Hierbij dient in acht te worden genomen dat niet alle stille reserves snel te gelde gemaakt kunnen worden.

Structurele weerstandscapaciteit

De structurele weerstandscapaciteit bestaat uit de middelen die permanent ingezet kunnen worden om tegenvallers in de lopende exploitatie op te vangen, zonder dat dit ten koste gaat van de uitvoering van bestaande taken over meerdere jaren. De structurele weerstandscapaciteit bestaat uit de post onvoorzien, de onbenutte belastingcapaciteit en structurele begrotingsruimte ¹ .

De weerstandscapaciteit wordt als volgt berekend:

	Begroting 2019
	Incidenteel	Structureel
Vrij aanwendbaar deel algemene reserve Stille reserves Onbenutte belastingcapaciteit Onvoorzien Structurele begrotingsruimte	x x	x x x
Totaal weerstandscapaciteit	0	0

De verhouding tussen de risico’s en het weerstandsvermogen kan (beknopt) als volgt weergegeven worden:

Beoordeling

De weerstandsratio wordt als volgt bepaald:

Om de weerstandscapaciteit te beoordelen kan gebruik gemaakt worden van de door het Nederlands Adviesbureau voor Risicomanagement opgestelde tabel. Deze is als volgt:

Waarderingscijfer	Ratio	Betekenis
A B C D E F	> 2,0 1,4-2,0 1,0-1,4 0,8-1,0 0,6-0,8 < 0,6	Uitstekend ruim voldoende Voldoende Matig Onvoldoende Ruim onvoldoende

Voorgesteld wordt een ratio van minimaal 1,0 (waarderingscijfer C of hoger) te hanteren.

Fraude risico’s

Een risicoanalyse van een andere orde betreft de frauderisicoanalyse. Deze dient jaarlijks voor de start van de accountantscontrole geactualiseerd te worden. De frauderisicoanalyse is er op gericht de opzet, het bestaan en de werking van de beheersmaatregelen die op het gebied van fraude en integriteit te signaleren en maatregelen te treffen. Frauderisico’s zijn in te delen in de volgende categorieën:

 

• 1. Frauderisicofactoren met betrekking financiële verslaggeving;

• 2. Frauderisicofactoren met betrekking tot het onrechtmatig onttrekken van waarden aan de instelling;

• 3. Overig.

3. Verantwoordelijkheids- en bevoegdheidsverdeling

In het risicomanagementproces zijn veel actoren betrokken die er met elkaar voor zorgen dat er op een effectieve en systematische manier met risico’s wordt omgegaan die de organisatiedoelstellingen kunnen beïnvloeden. Om inzicht te bieden in de verantwoordelijkheids- en bevoegdheidsverdeling van risicomanagement wordt aan de hand van de processtappen onderscheid gemaakt welke actoren, verantwoordelijkheden en taken er in hoofdlijn betrokken zijn.

3.1 Risicomanagement is een integrale verantwoordelijkheid

Het risicomanagement valt onder de integrale verantwoordelijkheid van het college van B&W. Het college is eindverantwoordelijke voor alle doelen, risico’s en bijbehorende acties die worden ondernomen om deze te beheersen.

3.2 Risicomanagement is een vorm van integraal management

Risicomanagement is een vorm van integraal management. Dit houdt in dat ‘de lijn’ verantwoordelijk is voor de realisatie van de doelstellingen en de risico’s die hiermee samenhangen. Dit is een gezamenlijke verantwoordelijkheid onder leiding van de directie en niet zozeer de teams afzonderlijk.

3.2 Gemeenteraad is kadersteller en toezichthouder

De uitvoering van risicomanagement is met name een aangelegenheid van de ambtelijke organisatie, onder leiding van het college (zie figuur hieronder).

Bron: Handboek Risicomanagement | Deloitte.

De volgende tabel geeft meer inzicht in wie, wat, met welke bevoegdheid doet in de cyclus van risicomanagement.

Processtap	Actoren	Verantwoordelijkheid en taken
Kaderstelling en strategie	A. Gemeenteraad B. B&W C. Directie	A. De raad is verantwoordelijk voor de vaststelling van de kaders; B. B&W is verantwoordelijk voor het uitvoering geven aan de vastgestelde strategie; C. De directie zorgt voor het vergroten van het risicobewustzijn.
1.     Risico’s identificeren	B. B&W C. Directie D. Teammanager E. Medewerker / projectmanager F. Financiën / Concerncontroller	B. Het college is verantwoordelijk voor het identificeren van de toprisico’s. C. De directie is verantwoordelijk voor het gemeentebreed stimuleren van risicobewustzijn. D. Teammanagers zijn verantwoordelijk voor het herkennen en identificeren van alle risico’s binnen de eigen hoofdafdeling. E. Medewerkers / projectmanagers zijn verantwoordelijk voor het herkennen en identificeren van alle risico’s binnen het eigen project en binnen de eigenwerkzaamheden. F. Financiën / Concerncontroller is verantwoordelijk voor het ondersteunen van de gehele organisatie door op de juiste momenten verantwoordelijkheid te nemen voor het in beeld brengen van de risico’s
2.     Risico’s analyseren	B. B&W C. Directie D. Teammanager E. Medewerker / projectmanager F. Financiën / Concerncontroller	B. Het college is verantwoordelijk voor de analyse van de toprisico’s. C. De directie laat zich informeren door Financiën / Concerncontroller. Vanuit deze informatie vormt de directie een risicoprofiel van de organisatie. D. De teammanager analyseert de risico’s binnen de eigen afdeling. E. De medewerker / projectmanager analyseert de risico’s binnen zijn afdeling. F. Financiën / Concerncontroller ziet er op toe dat alle risico’s binnen de organisatie worden geanalyseerd.
3.     Risico’s beoordelen	C. Directie D. Teammanager E. Medewerker / projectmanager F. Financiën / Concerncontroller	C. De directie laat zich informeren door Financiën / Concerncontroller. Vanuit dit advies bepaalt de directie de prioriteiten en de planning. D. De teammanager schat tijdig de omvang van risico’s binnen zijn afdeling in. E. De medewerker / projectmanager schat tijdig de omvang van risico’s binnen zijn project in. F. Financiën / Concerncontroller ziet er op toe dat risico’s gemeentebreed worden gesignaleerd en beoordeeld en de directie wordt geïnformeerd.
4.     Maatregelen bepalen	B. B&W C. Directie D. Teammanager E. Medewerker / projectmanager F. Financiën / Concern controller	B. Het college bepaalt – in samenspraak met de directie, de beheersingsmaatregel(en). C. De directie adviseert het college over de te nemen beheersingsmaatregel(en). D. De teammanager formuleert beheersingsmaatregelen voor de risico’s binnen de eigen afdeling E. De medewerker / projectmanager formuleert beheersingsmaatregelen voor de risico’s binnen hun project F. Financiën / Concerncontroller ziet er op toe dat voor materiële risico’s beheersingsmaatregelen worden opgesteld.
5.     Risicobeheersing	B. B&W D. Teammanager E. Medewerker / projectmanager F. Financiën / Concern controller	B. Het college besluit tot het uitvoeren van de beheersingsmaatregel(en) D. De teammanager is verantwoordelijk voor de uitvoer van de beheersingsmaatregel(en) binnen de eigen afdeling. E. De medewerker / projectmanager is verantwoordelijk voor de uitvoer van de beheersingsmaatregel(en) binnen hun project / werkzaamheden. F. Financiën / Concerncontroller ziet er op toe dat de beheersingsmaatregel(en) voor elke afdeling en project wordt uitgevoerd.
6.     Risico’s communiceren, monitoren en resultaten verbeteren	A. Gemeenteraad B. B&W C. Directie D. Teammanager E. Medewerker / projectmanager F. Financiën / Concerncontroller	A. De raad ziet erop toe dat alle actoren (B t/m F) de vastgestelde strategie naleven en toetst B. Het college verantwoord zich voor de gemeenteraad en is eindverantwoordelijk voor het gevoerde risicomanagement. C. De directie is eindverantwoordelijk voor het realiseren, toepassen en evalueren van de maatregel(en) binnen de ambtelijke organisatie. D. De teammanagers zijn verantwoordelijk voor het realiseren, toepassen en evalueren van de maatregel(en) binnen de afdeling. E. De medewerkers / projectmanagers zijn verantwoordelijk voor het realiseren, toepassen en evalueren van de maatregel(en) binnen een project en de eigen werkzaamheden. F. Financiën / Concerncontroller monitort, toetst en evalueert of het risicomanagement binnen de organisatie naar behoren verloopt en communiceert dit naar de juiste actor (B t/m E).
7. Toezicht en toetsing	A. Gemeenteraad B. B&W C. Directie team D. Teammanager E. Medewerker / projectmanager F. Financiën / Concern controller	A. De raad ziet erop toe dat alle actoren (B t/m F) de vastgestelde strategie naleven en toetst en evalueert of het risicomanagement (kwaliteit en volledigheid geïdentificeerde risico’s en bijbehorende beheersingsmaatregel(en)) effectief en toereikend is. B. De raad houdt toezicht op het college: het college moet zich verantwoorden over het gevoerde risicomanagement. C. De directie ziet erop toe dat de beheersingsmaatregel(en) binnen de ambtelijke organisatie juist en effectief zijn uitgevoerd. D. De teammanagers zien erop toe dat de beheersingsmaatregel(en) binnen de afdelingen juist en effectief zijn uitgevoerd. E. De medewerkers / projectmanagers zien erop toe dat de beheersingsmaatregel(en) binnen de projecten en werkzaamheden juist en effectief zijn uitgevoerd. F. Financiën / Concerncontroller monitort, toetst en evalueert of het risicomanagement binnen de organisatie naar behoren verloopt en communiceert dit naar de juiste actor (B t/m E).

Aldus besloten in de openbare vergadering van de raad van de gemeente Altena van 8 januari 2019

De voorzitter,

M.A. Fränzel MSc

de raadsgriffier,

Drs. S.J. Peet