Een risico is de mogelijkheid dat een ongewenste gebeurtenis optreedt.

Transcriptie

1 NOTITIE RISICOMANAGEMENT GEMEENTE ZWIJNDRECHT Inleiding Het Startdocument concerncontrolling van januari 2004 vermeldt Risicomanagement 1 als één van de vijf pijlers van control. Het startdocument onderkent de noodzaak van een formeel proces dat de risico s die de gemeente loopt transparant maakt. Van de vijf pijlers heeft het risicomanagement, afgewogen tegen andere prioriteiten, in eerste instantie weinig aandacht gekregen. Dat wil overigens niet zeggen dat we in het geheel niets gedaan hebben aan risicomanagement. Voor de projecten van het grondbedrijf vinden er regelmatig risicoanalyses plaats. Voor het bepalen van het juiste niveau van het weerstandsvermogen voor de exploitatie respectievelijk het grondbedrijf heeft Deloitte een tweetal onderzoeken gedaan. De noodzaak om het risicomanagement in onze organisatie structureel vorm te geven is sinds het Startdocument concerncontrolling alleen maar gegroeid: Het is in het kader van de rechtmatigheidscontroles van de accountant nodig dat de gemeente beschikt over een intern systeem van risicoafweging. Het Plan van aanpak Rechtmatigheid geeft aan dat we dit meenemen bij de ontwikkeling van risicomanagement. Bij het opstellen van de Programmabegroting bleek dat in de korte periode sinds de afronding van de eerste bestuursrapportage 2006 de financiële positie sterk verslechterd was. Bij bestuur en management riep dit de vraag op of de tegenvallers niet te voorzien waren geweest. Risicoanalyse of -management is een middel om inzicht in dergelijke mogelijk optredende tegenvallers te verkrijgen. De raad vraagt om een bepaling van het gewenste niveau van het weerstandsvermogen van minstens eens per jaar. Een onontbeerlijk instrument daarvoor is risicoanalyse. We werken aan een voortdurende verbetering van de Planning & Control. Een belangrijk nog ontbrekend element is structureel risicomanagement. In deze notitie leggen wij de basis voor een structureel risicomanagement. Wij kiezen voor een gefaseerde invoering. Daarbij richten we ons op de ontwikkeling van een breed toepasbare methodiek voor risicomanagement, die we in eerste instantie alleen inzetten voor risico s met een financiële impact. Als de gekozen methode goed werkt en we ervaring hebben met het op een gestructureerde wijze omgaan daarmee volgt de verdere uitbouw. Ook nietfinancieel waardeerbare risico s krijgen dan een plek in het risicomanagement. De voorstellen voor risicomanagement in deze notitie zijn primair gericht op exploitatierisico s en het weerstandsvermogen voor de exploitatie. Voor de grondbedrijfprojecten en het bijbehorende weerstandsvermogen is al risicomanagement ingevoerd. Het risicomanagement voor het grondbedrijf en dat voor de exploitatie zijn op dezelfde principes gestoeld. Definitie risico Er bestaan veel verschillende definities voor wat een risico is, vaak afhankelijk van de context waarin de definitie wordt gebruikt. Een mooie korte maar wel heel algemene is: Een risico is de mogelijkheid dat een ongewenste gebeurtenis optreedt. 1 Korte definitie van risicomanagement: het geheel van activiteiten en maatregelen gericht op het omgaan met en beheersen van risico s. Lange definitie van risicomanagement: (organisatiebreed) risicomanagement is een binnen de gehele organisatie ingebed proactief en continu proces, waarbij vanuit een gemeenschappelijk referentiekader op gestructureerde wijze wordt omgegaan met het beheersen van risico s in relatie tot organisatiedoelstellingen. 1

2 Een voor ons doel beter bruikbare definitie is: Een risico is de kans dat een gebeurtenis zich voordoet die het realiseren van doelstellingen in positief of negatief opzicht beïnvloedt. In het kader van het risicomanagement richten wij ons in eerste instantie vooral op risico s die een financiële impact kunnen hebben op de gemeentelijke begroting. Dat leidt tot de volgende aangescherpte en voorlopig door ons te hanteren definitie: Een risico is de kans dat een gebeurtenis zich voordoet die de hoeveelheid beschikbare financiële middelen voor het realiseren van doelstellingen in positief of negatief opzicht beïnvloedt. Overigens hebben de meeste risico s vroeger of later een financieel gevolg, zij het dat de omvang ervan (bijvoorbeeld bij imagoschade of ontevreden klanten) niet altijd valt in te schatten. Methode algemeen Voor risicoanalyse en management zijn verschillende methodes beschikbaar, die echter vijf generieke stappen met elkaar gemeen hebben: Identificatie. Het op gestructureerde wijze identificeren van mogelijke toekomstige gebeurtenissen, het adequaat formuleren van deze gebeurtenissen in de vorm van risico s en het vaststellen van de oorzaken van deze risico s. Analyse. Het beoordelen van de waarschijnlijkheid en de impact van risico s vóór en na beheersing. Voor het beoordelen van de risico s na beheersing dient de effectiviteit van de beheersmaatregelen te worden beoordeeld. Deze beoordeling van de beheersmaatregelen vormt aldus een onlosmakelijk onderdeel van de risicoanalyse. Reactie. Selecteren en implementeren van gewenste reactie op geïdentificeerde risico s. Er is een viertal generieke reacties mogelijk: vermijden, overdragen, beheersen of accepteren. Monitoring. Het in continuïteit bewaken van de risico s en de achterliggende oorzaken en het observeren van mogelijke veranderingen daarin, met inbegrip van de werking van de beheersmaatregelen. Rapportage. Het rapporteren over de oorzaak, aard en omvang van risico s, de effectiviteit van de beheersmaatregelen en veranderingen daarin. De rapportage gebeurt zowel binnen vaste vooraf bepaalde structuren (richting, tijd, format) als op ad-hoc basis op de wijze en in de vorm zoals op dat moment nodig geacht. RISMAN-methode Eén van de methodes voor risicomanagement is de RISMAN-methode, ontwikkeld door Rijkswaterstaat, NS Railinfrabeheer, gemeente Rotterdam, TU Delft en Twijnstra Gudde. Deze methode is ondermeer in gebruik voor veel grote projecten zoals de Betuweroute. De stappen van de RISMAN-methode zijn: 1. vaststellen doel 2. in kaart brengen risico s 3. vaststellen belangrijkste risico s 4. in kaart brengen beheersmaatregelen. De vijf generieke stappen passen in de RISMAN-methode. De werkwijze van Deloitte bij het bepalen van het weerstandsvermogen voor de exploitatie (voorjaar 2006) en het grondbedrijf (najaar 2005) sluit goed aan bij de RISMAN-methode maar mist de laatste stap, die van de beheersmaatregelen. Omdat het bij het bepalen van het juiste niveau van het weerstands- 2

3 vermogen gaat om risico s die niet anderszins zijn ondervangen is dat logisch. Impliciet ga je dan uit van de situatie waarin al beheersmaatregelen zíjn getroffen. Voor een bredere toepasbaarheid van de methode in het kader van risicomanagement is de stap van het formuleren van beheersmaatregelen echter essentieel. Met beheersmaatregelen verklein je de kans dat een risico zich voordoet of de impact ervan. Wij gebruiken de werkwijze van Deloitte, als toepassing van de RISMAN-methode, als basis voor de Zwijndrechtse analyses maar voegen daar dan wel het aspect van de beheersmaatregelen aan toe. Bij het bepalen van de reactie op het risico biedt de volgende veel gebruikte indeling houvast: Vermijden De kans van optreden van het risico opheffen, bijvoorbeeld door de activiteit niet of op een andere manier te doen. Dit kan wel tot gevolg hebben dat een doelstelling niet wordt gehaald. Overdragen Het risico overdragen aan een andere partij die het risico beter kan managen of dragen. Verzekeren is een vorm van overdragen. Beheersen (verminderen) Maatregelen nemen die het risico verkleinen wat betreft de gevolgen of de kans van optreden. Ook kunnen vooraf maatregelen worden bedacht die de gevolgen achteraf, dus als het risico zich heeft voorgedaan, verminderen. Accepteren Niets doen, aanvaarden dat er een kans bestaat dat het misgaat. Vooral een optie bij risico s met een heel kleine kans of relatief beperkte gevolgen. Methode Deloitte 2006 De werkwijze van Deloitte zoals toegepast in 2006 bij de nulmeting zag er als volgt uit: 1. Een groslijst maken van risico s die in het kader van het weerstandsvermogen relevant zijn; dat betreft niet-reguliere financiële risico s 2. Alleen risico s van materiële betekenis in aanmerking nemen; dat zijn risico s met een potentiële impact groter dan 1% van de totale uitgaven van de gemeente (in 2006: 1% = 1,2 miljoen) 3. Clusteren van kleinere risico s binnen hetzelfde begrotingsveld (lees: programma) mag 4. Voor de risico s geldt een tijdshorizon van vier jaar 5. De groslijst bespreken met bestuurlijke (portefeuillehouder financiën) en ambtelijke vertegenwoordigers (leidinggevenden, controllers) 6. In een workshop met deze vertegenwoordigers de kans/waarschijnlijkheid van optreden en de impact van optreden bepalen, beide op een schaal van 0 tot 9 7. Voor risico s met een grootte van 40 (omvang maal impact) is een bedrag van één maal de materialiteitsgrens (in ,2 miljoen) nodig in het weerstandsvermogen, voor risico s met een grootte van 81 (de maximale grootte) een bedrag van twee maal de materialiteitsgrens. Bij het hanteren van de ondergrens uit punt 2 vallen veel risico s die op zich substantieel kunnen zijn (tot ruim een miljoen euro) buiten de risicorapportage. We nemen in onze verder ontwikkelde methode daarom alle risico s groter dan mee. Daarmee bereiken we dat we beschikken over een compleet overzicht van substantiële financiële risico s en de mogelijke beheersmaatregelen daarvoor. Het niet meer hanteren van een materialiteitsgrens vergt een aanpassing van de waarderingsmethode van punt 7, en wel zodanig dat niet louter daardoor de waardering tot sterk afwijkende uitkomsten voor het weerstandsvermogen leidt. 3

4 Risicomanagement Zwijndrecht puntsgewijs De belangrijkste elementen uit de methode 2006 handhaven we, maar met enige toevoegingen en een aangepaste waarderingsmethode. Het Zwijndrechtse risicomanagement ziet er als volgt uit: de afdelingshoofden inventariseren regelmatig, maar minimaal eens per kwartaal, de financiële risico s, gebruikmakend van het format uit deze notitie; taakstellingen of nog niet gerealiseerde maar wel begrote voordelen groter dan gelden ook als risico de afdelingshoofden formuleren beheersmaatregelen die de omvang en/of impact van het risico, of de kans erop, verkleinen, en beleggen de uitvoering van die maatregelen de afdelingshoofden maken een inschatting van de maximale omvang van, de kans op en impact van de risico s, de laatste twee op een schaal van 1 tot 9, rekening houdend met geïmplementeerde beheersmaatregelen de afdelingshoofden rapporteren nieuwe risico s en toe- of afgenomen risico s bij de bestuursrapportages en de rekening, inclusief de stand van zaken bij de uitvoering van de beheersmaatregelen eenmaal per jaar, in de aanloop naar de begroting, organiseert de concerncontroller centraal een groepsdiscussie (eventueel in twee groepen) over alle risico s die de gemeente loopt conform de methode uit deze notitie en inclusief de beheersmaatregelen daarbij beargumenteren de afdelingshoofden de risico s en de mogelijke beheersmaatregelen voor hun afdeling de groep(en) als geheel, bestaande uit de leidinggevenden en de controllers, stemt/ stemmen in met het oordeel van de afdelingshoofden of besluit(en) gemotiveerd tot aanpassing Advies & Control bepaalt op basis van de geaccordeerde risico s het risicoprofiel en de noodzakelijke omvang van het weerstandsvermogen de nieuwe centrale lijst is vervolgens de basis voor de bestuursrapportages, waarbij de afdelingen de afwijkingen melden, in de zin van nieuwe, vervallen, toegenomen of afgenomen risico s Advies & Control bewaakt de risicokaart als geheel en is procesverantwoordelijk voor het risicomanagement. Format Het format uit de bijlage is een hulpmiddel bij het in kaart brengen van risico s en het bepalen van de noodzakelijke omvang van het weerstandsvermogen. Waardering van de risico s Op basis van de door de afdelingshoofden aangegeven en in de groepssessie geaccordeerde kans en impact komt Advies & Control tot een risicoprofiel voor ieder risico. Zowel kans als impact kunnen een waarde hebben van 1 (laag) tot 9 (hoog). De grootte van een risico, het product van kans en impact, kan daardoor lopen van 1 (laag) tot 81 (hoog). Waarden in de buurt van 1 leiden tot het risicoprofiel laag, rond de veertig tot gemiddeld, en in de buurt van 81 tot hoog. Bij de waardering van de risico s in aan het weerstandsvermogen toe te voegen euro s maken we onderscheid tussen bestuurlijke en niet-bestuurlijke risico s. Een bestuurlijk risico is een risico dat ontstaat door een nog te nemen bestuursbesluit. Niet-bestuurlijke risico s Voor als laag gekwalificeerde risico s reserveren wij geen middelen in het weerstandsvermogen. Voor laag tot gemiddelde risico s bedraagt de toevoeging 5% van de maximale schade, bij structurele risico s vermenigvuldigd met het aantal jaren (maximaal vier). Voor gemiddelde risico s is dat 10%, gemiddeld tot hoge 15% en voor hoge 20%. 4

5 Bij een risico met een maximale en structurele schade van en een laag tot gemiddeld risicoprofiel bedraagt de noodzakelijke toevoeging aan het weerstandsvermogen dus 5% van maal 4 = Dit leidt tot de volgende scoringstabel: Grootte Risicoprofiel Percentage 1 tot en met 10 laag 0 11 tot en met 30 laag tot gemiddeld 5 31 tot en met 50 gemiddeld tot en met 70 gemiddeld tot hoog tot en met 81 hoog 20 Alle niet-bestuurlijke risico s tezamen bepalen de minimaal noodzakelijke omvang van het weerstandsvermogen, dus de ondergrens. Bestuurlijke risico s Bij bestuurlijke risico s is het aan het risico ten grondslag liggende bestuursbesluit nog niet genomen. Het uitgangspunt is dat op het moment dat het besluit valt, er tegelijkertijd voldoende middelen voor de uitvoering van dat besluit worden opgenomen in de begroting. Daarvoor is geen beroep op het weerstandsvermogen mogelijk. De financiële vertaling van de bestuurlijke risico's heeft met een betrouwbaarheid van 95% plaatsgevonden. Er bestaat daardoor een onzekerheid van 5%. Voor deze 5% onzekerheid is dus een reservering in het weerstandsvermogen noodzakelijk. Die bedraagt 5% van het risico. Omvang weerstandsvermogen De niet-bestuurlijke risico s bepalen de minimale omvang van het weerstandsvermogen, de toevoeging van de bestuurlijke risico s de maximale omvang. Het daadwerkelijk aan te houden weerstandsvermogen dient zich tussen die twee uitersten te bewegen. Daarbij past wel de kanttekening dat als bestuurlijke risico s niet vallen te kwantificeren, de bovengrens van het weerstandsvermogen een lage schatting is van de werkelijke bovengrens. Dat betekent dat het aan te houden niveau van het weerstandsvermogen eerder in de buurt van het maximum dan van het minimum zou moeten liggen. Verantwoordelijkheden Risicomanagement is geen zaak van de controllers (Advies & Control) of financiële medewerkers (FIP-services), hoewel deze er wel een rol in hebben. Het in kaart brengen en beheersen van risico s hoort te berusten bij de diensten en meer specifiek de afdelingen. Niet het (financiële) gevolg van risico s is bepalend voor de verantwoordelijkheid ervoor, maar de ontstaansgrond ervan. Dat maakt het ook gemakkelijker om beheersmaatregelen te bepalen. De directeuren zijn daarom verantwoordelijk voor risicoanalyse en management binnen hun dienst, met in uitvoerende zin een belangrijke rol voor de afdelingshoofden. Advies & Control biedt ondersteuning in de vorm van een uniform toe te passen methodiek, met bijbehorende richtlijnen en formats. De dienstcontrollers bewaken het conform de afspraken uitvoeren van het risicomanagement. Het rapporteren van risico s dient een standaard onderdeel van adviesnota s te zijn. Dat verhoogt het risicobewustzijn bij budgethouders, maar maakt het ook gemakkelijker om periodiek de risico s in kaart te brengen. Risicoanalyse is een belangrijk onderdeel van (dienst)managementrapportages. Ook dit draagt bij aan risicobewustzijn en overzicht. De dienstrapportages melden de afwijkingen ten opzichte van de concernbrede rapportage, in de zin van nieuwe, toegenomen, afgenomen of verdwenen risico s en de bijbehorende (aangepaste) beheersmaatregelen. 5

6 Diensten zijn vrij in de frequentie waarmee zij hun risico-overzicht actualiseren, met als minimumniveau de frequentie van de rapportages op concernniveau. Voor het gehele concern maken de risicorapportages onderdeel uit van de P&C-producten: de begroting en de perspectiefnota (integraal overzicht), bestuursrapportages (rapportage op afwijkingen) en de jaarverantwoording. Advies & Control consolideert daarbij de risicorapportages per dienst tot een concernstuk. Eenmaal per jaar, bij de perspectiefnota, maakt Advies & Control een totaaloverzicht, uitmondend in een actualisatie van het gewenste niveau van het weerstandsvermogen. De controllers bewaken of de diensten genoeg aan risicomanagement doen. Zij betrekken daarbij ook de mate waarin er aandacht is voor de geformuleerde beheershandelingen die de risico s moeten reduceren. Als een dienst wel beheersmaatregelen heeft bedacht maar die vervolgens niet uitvoert, blijft een risico in volle omvang bestaan. Planning Risicomanagement is een cyclisch proces met een periodiciteit van een jaar. De jaarlijkse centrale inventarisatie, uitmondend in een bijstelling van het weerstandsvermogen, dient plaats te vinden voor de afronding van de begroting. Om verrassingen rond begrotingssaldi te voorkomen is het verstandig de jaarlijkse ronde te combineren met de perspectiefnota. Dat helpt tijdig inzicht te krijgen in de financiële ruimte die bij het opstellen van de begroting beschikbaar is. Dat inzicht helpt ook bij het maken van de integrale beleidsafwegingen in de perspectiefnota. Omdat de perspectiefnota qua planning nagenoeg samenvalt met de eerste bestuursrapportage is een risicobijstelling in die bestuursrapportage dan niet nodig. centrale risico-inventarisatie en bijstelling weerstandsvermogen begroting (beperkte bijstelling) tweede bestuursrapportage derde bestuursrapportage jaarverantwoording maart/april juni september november februari De diensten hebben de vrijheid met een hogere frequentie hun eigen risico s bij te houden (bijvoorbeeld eens per maand). Evaluatie Na een jaar evalueert Advies & Control het risicomanagement en bekijkt de mogelijkheden voor uitbreiding met niet-financiële risico s. Hoe verder De beschreven methode is gericht op het snel en betrouwbaar inzicht krijgen in de financiële risico s die de gemeente loopt. De koppeling aan de P&C-cyclus zorgt ervoor dat risicomanagement structureel aandacht krijgt. Een eerste vervolgstap kan het meenemen van andere dan financiële risico s zijn. Te denken valt aan milieurisico s, of risico s als fouten in de dienstverlening of klantontevredenheid. Daarmee leggen we een meer nadrukkelijke verbinding met de bedrijfsvoering. Een logische volgende stap is dan de koppeling van risicomanagement aan het INK-managementmodel, met toedeling van de risico s en beheersmaatregelen aan de aandachtsgebieden van dat model. Dat leidt vervolgens tot gestructureerde verbeteracties, geïntegreerd in ons kwaliteitsmanagement. Wij stellen voor een dergelijke stap te overwegen als het risicomanagement in de voorgestelde vorm enige jaren draait. Het sluitstuk in de ontwikkeling van risicomanagement is het afgeven van een in control verklaring door het management van de organisatie. Dat kan de Directieraad zijn, maar ook de individuele afdelingshoofden kunnen zo n verklaring afgeven om te laten zien dat zij hun risi- 6

7 co s beheersen. Een in control verklaring is in het bedrijfsleven gangbaarder dan in overheidsland, maar komt ook daar steeds vaker voor. Een dergelijke verklaring benadrukt de verantwoordelijkheid van de betreffende managers voor risicobeheersing, en maakt het gemakkelijk om ook voor de organisatie als geheel aan het bestuur en de buitenwereld te laten zien dat de risico s onder controle zijn. 7

8 FORMAT RISICOMANAGEMENT Risico (korte titel) Eigenaar van het risico (afdelingshoofd, eventueel daarnaast contactpersoon) Omschrijving (wat is het risico kernachtige maar volledige omschrijving) Wanneer (jaar of periode waarin het risico zich voordoet) Maximale omvang (het maximale nadeel voor de gemeente in als het risico zich materialiseert) Minimale omvang (het minimale nadeel voor de gemeente in als het risico zich materialiseert) Begroting (in hoeverre al in begroting; effect structureel/incidenteel, exploitatie/investering) Kans (kans dat het risico zich voordoet op een schaal van 1 = klein tot 9 = groot) Impact (de impact op de relevante begrotingspost als het risico zich materialiseert van 1 = klein tot 9 = groot) Grootte (kans * impact; dus minimaal 1, maximaal 81) Beheersmaatregel(en) (geef aan welke maatregelen je neemt om het risico te minimaliseren of weg te nemen, inclusief de borging daarvan) Bestuurlijk? (ja, als het aan het risico ten grondslag liggende bestuursbesluit nog niet genomen) Risicoprofiel (te bepalen door A&C op basis van grootte) Te reserveren bedrag (te bepalen door A&C op basis van risicoprofiel en maximale omvang) 8