Beleidskader risicomanagement en weerstandsvermogen 2023

De Raad besluit:

• 1. Het beleidskader risicomanagement en weerstandsvermogen 2023 vast te stellen;

• 2. Met de inwerkingtreding van het "beleidskader risicomanagement en weerstandsvermogen 2023" het "beleidskader risicomanagement en weerstandsvermogen 2021" in te trekken.

Hoofdstuk 1. Inleiding

Omgaan met risico’s is dagelijkse kost voor gemeenten. Van woningnood tot jeugdzorg, van massaal zieke bomen tot hacks met ransomware. Succesvolle uitvoering van risicomanagement faciliteert het maken van weloverwogen strategische keuzes en maakt ongewenste gebeurtenissen in de uitvoering of negatieve effecten voor burgers inzichtelijk, zodat deze adequaat beheerst kunnen worden. Risicomanagement ondersteunt daarmee het realiseren van de (programma)doelstellingen en een doelmatige inzet van middelen.

De gemeenteraad is kadersteller en toezichthouder. Zij bepaalt het beleid en de strategie, waaronder risicomanagement en weerstandsvermogen. Het Algemeen Bestuur van OVER-gemeenten heeft deze verantwoordelijkheid met betrekking tot de gemeenschappelijke regeling.

Dit beleidskader beschrijft de werkwijze van risicomanagement en de berekening van het weerstandsvermogen. Het beleidskader vloeit voort uit de "FINANCIËLE VERORDENING GEMEENTE WORMERLAND” (zoals vastgesteld in artikel 212 van de Gemeentewet) en het BBV (Besluit begroting en verantwoording provincies en gemeenten). Alle hogere wet- en regelgeving is van toepassing op het gemeentelijk beleid. Deze regels zijn niet herhaald in dit document. Door dit beleidskader te beperken tot de gemeentelijke beleidsregels, blijft er een overzichtelijke, beknopte set spelregels over die in principe ongewijzigd kan blijven bij wetswijzigingen.

Hoofdstuk 2. Risicomanagement

2.1 Het begrip risico

Risico is een onzekere gebeurtenis met oorzaken, een kans van optreden en effecten op doelstellingen.

Doelen, in de meest brede betekenis van het woord, zijn het startpunt. Relevante onzekerheden die een negatief effect op die doelen vormen een risico. Waarbij onzekerheid wordt veroorzaakt door een gebrek aan informatie of de onvermijdelijke variatie, zoals beurskoersen, voorkeuren van mensen, weersomstandigheden en potentieel van medewerkers.

Een risico is altijd een onzekere gebeurtenis of situatie met effecten op doelen. Een risico kan optreden, maar dat is niet zeker. Of en wanneer dat gebeurt is onbekend en kan slechts worden voorspeld. Sommige risico’s treden nooit op. En pas als een risico optreedt, wordt het een probleem. Problemen vergen een andere aanpak dan risico’s.

De effecten/gevolgen die zich manifesteren als een risico optreedt zijn in te delen naar vier categorieën:

• De gevolgen voor de publieke waarden tonen wat de impact is van de risicovolle gebeurtenis op de maatschappelijke opgaven zoals ‘een inclusieve en vitale lokale samenleving, waar inwoners elkaar ondersteunen’.

• Gevolgen voor de continuïteit/toekomstbestendigheid omvatten vaak (langdurige) uitval van medewerkers of systemen die kunnen leiden tot oplopende wachttijden.

• De financiële gevolgen van een risicovolle gebeurtenis zijn vanzelfsprekend. Deze kunnen incidenteel zijn of structureel c.q. permanent.

• De gevolgen voor het imago/reputatie van de gemeente kunnen uiteenlopen van lokale aandacht tot nationale commotie, van berispingen, van enkele medewerkers tot het ontslag van meerdere bestuurders.

2.2 Het begrip risicomanagement

Risicomanagement is het doelgericht, expliciet, gestructureerd, communicerend en continu omgaan met risico’s. Elementen van risicomanagement nader toegelicht:

• Doelgericht: Risicomanagement gaat ergens over door het doelgericht te maken. Hiermee wordt duidelijk dat het een bijdrage levert aan het realiseren van doelen onder onzekerheid (zie hoofdstuk 2.1);

• Expliciet: Risico’s en de bijbehorende onzekerheden worden volledig en eenduidig beschreven. In hoofdstuk 3.3 wordt richting gegeven aan deze eenduidigheid;

• Gestructureerd: Dit houdt in dat het omgaan met risico’s volgens vooraf bepaalde risicoprocesstappen wordt uitgevoerd (zie hoofdstuk 2.3). Structuur brengen in risico’s is het begin van effectief kunnen omgaan met risico’s. Risico’s worden altijd gekoppeld aan de programma’s. Het koppelen van risico’s aan programma’s leidt tot een duidelijke verbinding tussen risicomanagement en beleidsuitvoering, wat helpt bij het maken van strategische besluitvorming;

• Communicerend: Dit wil zeggen dat de risico’s met de eerdergenoemde complete beschrijving expliciet worden besproken met alle voor het risico relevante mensen en partijen. Dit om een gedeeld beeld te krijgen van die risico’s en om verschillen in perceptie over de oorzaken, kansen en effecten expliciet te maken. Hierdoor ontstaat transparantie over risico’s en de verschillende interpretaties ervan. In hoofdstuk 2.4 staan de taken en verantwoordelijkheden ten aanzien van het risicomanagement beschreven;

• Continu: Risicomanagement is een voortdurend cyclisch proces dat periodiek wordt doorlopen. Risico’s zijn immers dynamisch door een veranderde omgeving, technische ontwikkelingen en verschillende percepties. In de planning- en controlcyclus met het verplicht opstellen van een risicoparagraaf voor de begroting en de jaarrekening wordt dit al afgedwongen. In hoofdstuk 2.3 is het proces van risicomanagement verder opgenomen.

Een belangrijk aandachtspunt bij risicomanagement is de risicoperceptie. De risicoperceptie is de unieke wijze waarop een persoon een risico ziet.

2.3 Het proces van risicomanagement

Om het proces van risicomanagement gestructureerd te laten verlopen zijn de volgende zes generieke processtappen met drie bijbehorende vragen opgenomen:

6 generieke risicostappen		3 vragen
1.	Bepaal het doel	1.	Wat is je doel?
2.	Identificeer risico’s	2.	Wat is onzeker om je doel te realiseren?
3.	Classificeer risico’s
4.	Neem al dan geen maatregelen	3.	Wat gaat je doen? Voor/ met wie?
5.	Evalueer werking maatregelen
6.	Communiceer en rapporteer

In al deze stappen staat de mens centraal, in plaats van de methode. In een PDCA-cyclus ziet dit er als volgt uit:

Na de identificatie en classificatie van de risico’s volgt de keuze om al dan niet (beheers)maatregelen te nemen. Omgaan met risico’s kan gericht zijn op risico’s geheel of gedeeltelijk over te dragen (bijv. verzekeren), kansen van optreden te verkleinen, gevolgen of effecten te delen, of om die te verminderen. Eveneens kan een risico volledig worden geaccepteerd, zonder enige maatregel. Het verschil tussen accepteren of negeren van een risico is dat accepteren een bewuste en gecommuniceerde keuze is.

De herhaling in een PDCA-cyclus is essentieel, omdat bijvoorbeeld de beschikbare informatie over risico’s in de tijd toeneemt.

2.4 Taken en verantwoordelijkheden

De taken en verantwoordelijkheden ten aanzien van het risicomanagement en in de PDCA-Cyclus zijn als volgt:

Wie	Taken en verantwoordelijkheden	PDCA
Gemeenteraad/ AB	Kadersteller en toezichthouder
College van B&W/ DB	Risico-eigenaren en eindverantwoordelijke voor het risicomanagement. Legt verantwoording af over het risicomanagement.	1. Doelen bepalen 2. Identificeer risico’s 4a. Maatregelen selecteren 5a. Maatregelen evalueren 5b. Aanvullende maatregelen nemen 6. Informatie overdragen
Management (directie, afdelingshoofden en teamleiders)	Het management zijn de risicoleiders en hebben doelen als focus. Zij: gaan bewust om met risico’s waarbij zij heldere en uit te leggen keuzen maken over het al dan niet nemen van het risico, of het treffen van maatregelen. geven leiding en sturing aan acties en de inzet van middelen om de doelstellingen van de organisatie te realiseren; blijven voortdurend in dialoog met het college/DB en rapporteert over de geplande, werkelijke en verwachte resultaten die gekoppeld zijn aan de doelstellingen van de organisatie en risico’s.	2. Identificeer risico’s 4a. Maatregelen selecteren 4b. Maatregelen uitvoeren 5a. Maatregelen evalueren 5b. Aanvullende maatregelen nemen 6. Informatie overdragen
Medewerkers	Medewerkers in lijn ondersteunen bij identificatie risico’s en voeren de maatregelen uit.	2. Identificeer risico’s 4b. Maatregelen uitvoeren
Business controllers, financial controllers en kwaliteitsmedewerkers	Voorzien in aanvullende expertise, ondersteuning, monitoring en een kritische blik bij risico gerelateerde zaken. Verstrekt analyses en rapporteert over de toereikendheid en effectiviteit van risicomanagement.	2. Identificeer risico’s 3. Classificeer risico’s 5a. Maatregelen evalueren 6. Informatie overdragen
Concern controller en controller rechtmatigheid	Onafhankelijke en adviserende rol met betrekking tot de toereikendheid en effectiviteit van risicomanagement om het realiseren van doelstellingen van de organisatie te ondersteunen en continue verbetering te bevorderen en te faciliteren.

In een Three Lines Model ziet dit er als volgt uit:

2.5 Rapportage

Rapportage over de risico's is een verplicht onderdeel van de begroting en de jaarrekening volgens het BBV, zoals beschreven in de paragraaf "Weerstandsvermogen en Risicobeheersing".

Een risicodiagram ondersteunt de rapportage om overzicht en inzicht in de risico’s te bieden. Sommige risico’s hebben zowel financiële als niet-financiële gevolgen (bijvoorbeeld het risico op datalekken). Bij het opstellen van het risicodiagram moet rekening worden gehouden met de hoogste classificatie.

Onderstaand is een voorbeeld opgenomen van risicodiagram:

Hoofdstuk 3. Van risicomanagement naar weerstandsvermogen

De visuele weergave van risicomanagement naar weerstandstandsvermogen is als volgt:

De volgende alinea’s gaan in op het aspect: “Wel of niet voldoende weerstandsvermogen?”.

3.1 Weerstandsratio

De weerstandsratio is het kengetal om uit te drukken of de gemeenten voldoende weerstandsvermogen aanhouden. De weerstandsratio is de verhouding tussen de beschikbare weerstandscapaciteit en de benodigde weerstandscapaciteit voor de niet afgedekte risico's:

Weerstandsratio=

Beschikbare weerstandscapaciteit ------------------------------------------------ Benodigde weerstandscapactiteit

Beoordeling van de weerstandsratio vindt als volgt plaats:

Ratio	Betekenis
> 2	Uitstekend
1,5 – 2,0	Ruim voldoende
1,0 – 1,5	Voldoende
0,8 – 1,0	Matig
0,6 – 0,8	Onvoldoende
< 0,6	Ruim onvoldoende

De gemeenten streven minimaal naar een voldoende weerstandsvermogen. Wanneer de ratio minder dan 1,0 bedraagt, is een gemeente kwetsbaar. De gemeente beschikt dan niet over voldoende capaciteit om de geïdentificeerde en gewogen risico’s af te dekken, als ze zich voordoen.

3.2 Beschikbare weerstandscapaciteit

De beschikbare weerstandscapaciteit bestaat uit de middelen en mogelijkheden waarover de gemeenten beschikken om risico’s op te vangen.

De gemeenten beperken, uit voorzorg, de beschikbare weerstandscapaciteit tot de middelen die direct ter beschikking staan:

• Algemene reserve – vrij aanwendbare deel van het vermogen. De stand van de algemene reserve die het dichtst bij de peildatum van de risicoactualisatie zit wordt gehanteerd in de berekening van de ratio;

• Rekeningresultaat inclusief voorlopige bestemming ten behoeve van de algemene reserve;

• Onvoorzienbare uitgaven (behoudens indien effect op de weerstandsratio te verwaarlozen is) - de in de begroting opgenomen ramingen voor onvoorziene uitgaven voor zover hier nog geen bestemming aan is gegeven.

Bestemmingsreserves, stille reserves, de begrotingsruimte en de onbenutte belastingcapaciteit worden niet meegerekend bij het bepalen van de beschikbare weerstandscapaciteit. Deze instrumenten kunnen worden ingezet om op grond van artikel 189 van de Gemeentewet de begroting structureel en reëel in evenwicht te krijgen.

3.3 Benodigde weerstandscapaciteit

Benodigde weerstandscapaciteit omvat alle risico's waarvoor geen maatregelen zijn getroffen en die van materiële betekenis kunnen zijn met betrekking tot de financiële positie. De benodigde weerstandscapaciteit volgt daarom uit de gekwantificeerde risico's die voortkomen uit de risico-inventarisatie (kans x impact) en omvat tevens een veiligheidsmarge. Het is zeer wenselijk om een consistente benadering te hanteren bij het vaststellen van de benodigde weerstandscapaciteit, aangezien dit de sturing en interpretatie van de weerstandsratio ten goede komt.

• A. Kans van voorkomen

De kans op voorkomen wordt uitgedrukt als een percentage. De richtlijnen voor de classificaties van de kans zijn als volgt:

Classificatie	Nadere duiding	Kans
Zeer klein	1x per 10 jaar of minder	10%
Klein	1x per 5 – 10 jaar	30%
Midden	1x per 2 – 5 jaar	50%
Groot	1x per 1 – 2 jaar	70%
Zeer groot	1x per jaar of vaker	90%

Als de beredeneerde kans “Groot” of “Zeer groot” is, zouden de financiële gevolgen geheel of gedeeltelijk moeten worden opgenomen in de begroting aangezien dit binnen het tijdvak van een meerjarenbegroting voordoet.

• B. Effecten op doelstellingen/ gevolgen van een risico

Het effect op de doelstellingen kan zowel financieel als niet-financieel van aard zijn. Voor alle geïdentificeerde risico's moet duidelijk zijn in hoeverre ze worden beheerst, verminderd, vermeden, overgedragen of geaccepteerd. Dit verschaft inzicht in welke gevolgen niet (voldoende) financieel worden afgedekt; deze worden beschouwd als financiële restrisico's.

• Financieel

Het financiële effect betreft de best mogelijke schatting uitgedrukt in euro's, met toelichting op de gehanteerde uitgangspunten en veronderstellingen. Hierbij dient ook rekening te worden gehouden met de bestaande voorzieningen en egalisatie-/bestemmingsreserves. Een voorziening en een bestemmingsreserve bestaan uit 'geoormerkt' geld waarover niet vrij kan worden beschikt om elke willekeurige tegenvaller op te vangen. De richtlijnen voor de classificatie van het financieel effect zijn als volgt:

Classificatie	Financieel effect
Klein	€ 25.001 tot en met € 75.000
Matig	€ 75.001 tot en met € 150.000
Hevig	€ 150.001 tot en met € 250.000
Ernstig	€ 250.001 tot en met € 500.000
Rampzalig	Meer dan € 500.000

Bij de inschatting van het financiële effect dient ook rekening te worden gehouden met het feit dat jaarlijks opnieuw een structureel sluitende begroting moet worden opgesteld.

• Niet financieel

Het niet-financiële effect betreft de best mogelijke inschatting, uitgedrukt in een richtinggevende classificatie voor imago/reputatieschade, met toelichting op de gehanteerde uitgangspunten en veronderstellingen:

Classificatie	Niveau media-aandacht	Niveau negatieve aandacht
Klein	Lokaal	College/ DB
Matig	Regionaal	Gemeenteraad/ AB
Hevig	Provinciaal	Provincie
Ernstig	Landelijk	Tweede Kamer
Rampzalig	Internationaal	Ministeriële aandacht

De hoogste classificatie is doorslaggevend voor een risicomatrix.

• C. Veiligheidsmarge

De veiligheidsmarge is bestemd voor onvoorzienbare omstandigheden en het opvangen van schattingsafwijkingen (zwarte zwanen). Een allesomvattende risico-inventarisatie is immers een utopie.

De veiligheidsmarge wordt uitgedrukt in een percentage van het begrotingstotaal exclusief mutaties in de bestemmingsreserves:

• 0% OVER-gemeenten (lager risicoprofiel of uitsluitend waarderen bij de gemeente)

• 2% gemeente

Het toepassen van afronding wordt aanbevolen om het subjectieve karakter te onderstrepen.