Kadernota Risicomanagement HHNK 2014

Transcriptie

1 Kadernota Risicomanagement HHNK 2014 Auteur K. Kalez Registratienummer Datum 28 augustus 2014 Versie 2.0 Status Definitief

2 Inhoudsopgave 1. Samenvatting 2 2. Inleiding Visie en Doelstellingen Leeswijzer 4 3. Kaders, richtlijnen en definities Kaders Richtlijnen Definities 5 4. Proces risicomanagement Cyclisch proces In kaart brengen van risico s Analyse en beoordeling van risico s Beheersing van risico s Informatie, communicatie Bronnenlijst 13 Bijlage: Definities 14 1

3 1. Samenvatting Risicomanagement is het systematisch inventariseren van gebeurtenissen die het behalen van je doelstellingen in gevaar kunnen brengen. Het is een continu proces, van identificatie, formuleren van beheersmaatregelen, kwantificeren van mogelijke effecten, toezien op en evaluatie van de genomen maatregelen en het stelselmatig actualiseren van risico s en de bijbehorende risicobeheersing. Periodiek checken we of de Kadernota Risicomanagement nog aansluit op de ervaringen vanuit de praktijk. Afgelopen periode is organisatie druk bezig geweest met het implementeren van de aanbevelingen uit de evaluatie risicomanagement uit De ervaringen hieruit zijn in deze kadernota verwerkt. Het doel van deze geactualiseerde kadernota is het bestuur en de ambtelijke organisatie met hetzelfde begrippenkader te laten werken en dit systematisch toe te passen. Het risicodenken vergroten en dit automatisch mee te nemen in het bestuurlijk en ambtelijk handelen. Om dit te bereiken is een sober kader geformuleerd, zodat de basis wordt gelegd om heldere keuzes te maken over risico s. Zo kan systematisch gewerkt worden aan de beheersing van risico's en kan hierover verantwoording worden afgelegd. Naast het doel, de richtlijnen, de uitgangspunten en het proces van risicomanagement is ook het communicatie-aspect ten aanzien van het risicomanagement bij HHNK opgenomen in deze kadernota. In de praktijk wordt het risicomanagement bij waterschappen bepaald door twee hoofdelementen. 1. Het eerste is het veiligheidsrisicomanagement. Dit is binnen HHNK sinds 2003 geborgd via de crisisbeheersingsorganisatie. 2. Het tweede is bedrijfsvoeringsrisicomanagement. Dit wordt onderverdeeld in drie risicocategorieën, namelijk strategische, juridische en operationele risico s. Voor de beheersing van de risico s worden concrete beheersingsmaatregelen geformuleerd en wordt bepaald wat het mogelijke effect van de beheersmaatregelen is. Vervolgens vindt besluitvorming plaats over de te nemen beheersmaatregelen. Hiervoor geldt een besluitvormingsstructuur die aansluit bij de taak- en verantwoordelijkheidsverdeling binnen HHNK. Nadat besluitvorming over de beheersmaatregelen heeft plaatsgevonden, wordt gestart met de implementatie daarvan. Deze beheersmaatregelen worden vastgelegd in een informatiesysteem waarin de ontwikkeling van de risico s wordt gevolgd. Dit informatiesysteem vormt de basis voor de verantwoording naar CHI, D&H en de directie. De begroting en de jaarrekening van HHNK bevat een verplichte paragraaf over risicomanagement en weerstandsvermogen. De concrete uitwerking van deze nota, zoals inventarisatie van risico s en de te nemen maatregelen, wordt daarmee jaarlijks opgenomen in de begroting en jaarrekening. 2. Inleiding HHNK heeft te maken met complexer wordende taken die moeten worden uitgevoerd binnen de toenemende Europese, landelijke en provinciale regelgeving. Voorbeelden zijn de Kaderrichtlijn Water, het Hoogwaterschermingsprogramma en het Nationaal Bestuursakkoord Water. Daarnaast is de trend dat bestuurders en management op alle terreinen in control moeten zijn en daar door toezichthoudende organen en burgers op worden aangesproken. Proactief omgaan met risico s (in beeld brengen, adequaat beheersen) draagt bij aan 'in control' zijn. Een goede, degelijke implementatie én verankering van risicomanagement in de organisatie is een tijdrovende zaak. De reden hiervoor is dat risicomanagement niet alleen moet gaan over het eenmalig opstellen van een risicoprofiel. Goed risicomanagement gaat over het vergroten van bewustzijn en het structureel en proactief beheersen van de risico s in de organisatie. Het helpt ons om doelstellingen te 2

4 realiseren. Het maakt ons bewuster dat er onverwachte gebeurtenissen kunnen plaatsvinden en dat we daarop vroegtijdig moeten anticiperen. Voor het risicomanagement is in de afgelopen jaren een aantal stappen gezet, te weten: Crisisbeheersorganisatie sinds 2003 Aanschaf risicomanagementinformatiesysteem NARIS in 2005 Kadernota risicomanagement 2009 ( ) Evaluatie risicomanagement 2012 ( ) Implementatie aanbevelingen risicomanagement 2013 ( ) Uitgebreide inventarisatie van risico s per afdeling, inclusief cursussen risicomanagement voor het vergroten van risicobewustzijn en voor een betere implementatie (2012 en 2013) Actualisatie van de Ontwerp en implementatie HHNK SharePointsite risicomanagement Visie en Doelstellingen Onze visie is het creëren van breed besef dat integraal RM HHNK helpt om in control te komen. Met integraal RM wordt bedoeld: Het proces is verankerd in de hele organisatie, niet alleen bij de directie en managementteams, controllers en projectmanagers, maar ook bij alle medewerkers. Medewerkers begrijpen nut en noodzaak en dragen proactief bij aan RM (van signaleren tot effectief beheersen en rapporteren). Het is een continu proces en geen eenmalige actie. Het doel van deze kadernota is dat het bestuur en de ambtelijke organisatie met hetzelfde begrippenkader werken en dit systematisch toe passen. Het risicodenken vergroten en dit routinematig meenemen in het bestuurlijk en ambtelijk handelen. Het gaat vooral om een verandering in het denken over taken en projecten. Centraal staan niet meer alleen de vragen 'Wat we willen bereiken?', 'Wat gaan we daarvoor doen?' en 'Wat het gaat kosten?'. Belangrijke aanvullende vragen zijn: 'Wat gebeurt er als we iets niet doen?' en 'Wat kan er mis gaan?' en 'Welke maatregelen kunnen worden getroffen?' en 'Wat gaan die maatregelen kosten?'. Om dit te bereiken is een kader geformuleerd waarmee de basis wordt gelegd om heldere keuzes te maken over risico s. Zo kan systematisch worden gewerkt aan de beheersing van risico s en kan hierover verantwoording worden afgelegd. De doelstelling van het RM voor HHNK is het systematisch nemen van beslissingen die gericht zijn op het voorkomen of minimaliseren van nadelige effecten van risico's. Deze doelstelling bevat verschillende subdoelen: vergroten bewustzijn en kennis over het proces RM, zowel bij het bestuur als bij de organisatie; houden van een actueel, volledig en betrouwbaar overzicht in de relevante risicos; sturen dat de gevolgen zo beperkt mogelijk zijn; opvangen, (deels) accepteren en/of rekening houden met (rest)risicos verantwoording afleggen over risico s en de wijze waarop deze beheerst en/of worden opgevangen

5 Een belangrijk randvoorwaarde is dat het risicomanagement als een hulpmiddel 2 wordt gezien om doelstellingen te realiseren en niet als doel op zich. Het maakt de organisatie bewuster dat onverwachte gebeurtenissen kunnen plaats vinden die het behalen van doelstellingen in de weg staan en dat je daarop vroegtijdig kan en wellicht moet anticiperen. Het goed uitvoeren van risicomanagement geeft geen garantie dat gebeurtenissen met een negatief gevolg niet meer zullen voorkomen. Het geeft wel de zekerheid dat je van tevoren bewust nagedacht hebt over het treffen van maatregelen om deze te voorkomen of de effecten ervan te verminderen 3. Wij kunnen immers ook bewust besluiten voor bepaalde risico s geen maatregelen te treffen, omdat de kosten te hoog zijn of de kans zodanig klein is dat je bereid bent het risico te lopen. 2.2 Leeswijzer In hoofdstuk drie staan de voor HHNK relevante wettelijke kaders en richtlijnen. Vervolgens worden de in deze kadernota gehanteerde definities gegeven. In hoofdstuk vier wordt het proces van risicomanagement beschreven en uitgewerkt voor HHNK. Hierbij wordt ingegaan op de identificatie van risico s, de analyse en beoordeling van risico s en de beheersing van risico s. Informatie, communicatie en rapportage over risicomanagement dragen bij aan een goede implementatie van risicomanagement. Deze zijn opgenomen in hoofdstuk 5. In de bijlage is een bronnenlijst en een afkortingenlijst opgenomen. 3. Kaders, richtlijnen en definities 3.1 Kaders Het risicomanagement is een onderwerp dat door de nationale overheid in het Waterschapbesluit, de Regeling Beleidsvoorbereiding en Begroting Waterschappen is verankerd. De kadernota risicomanagement is opgesteld binnen het kader van deze regelgeving, aangevuld met de HHNKverordening inzake de beleids- en verantwoordingsfunctie. Gemeenschappelijk kenmerk van deze regelgeving is het waarborgen van zorgvuldig beheer van de financiën van de waterschappen. Het risicomanagement en het weerstandsvermogen vormen hierbij belangrijke instrumenten. In het Waterschapsbesluit (2009) is vastgelegd wat de voorschriften zijn voor de paragraaf weerstandsvermogen in de meerjarenraming, de begroting en daarmee ook in de jaarverslaggeving. Deze voorschriften zijn uitgewerkt in de verordening inzake de beleids- en verantwoordingsfunctie HHNK ( ). De HHNK-verordening zegt hierover: Het beleid omtrent het weerstandsvermogen, risicomanagement, reserves en voorzieningen omvat in elk geval: a. een beschrijving van de risico s die HHNK loopt; b. de weerstandscapaciteit van HHNK, zijnde de middelen en mogelijkheden van HHNK om niet begrote kosten te dekken; c. het opvangen van risico s door verzekeringen, voorzieningen, reserves, de weerstandscapaciteit of anderszins; d. de vorming en besteding van reserves; e. de vorming en besteding van voorzieningen; f. de berekening en verwerking van rente over de reserves en voorzieningen. 2 Niet alleen de bedrijfsvoeringsdoelstellingen maar ook de doelen ten aan zien van effecten, resultaten en prestaties, inclusief Maatschappelijk Verantwoorde Overheid, dienen meegenomen te worden bij een risico identificatie en analyse. 3 Risicomanagement, Gemeente Amsterdam, Wat zou Arie doen,

6 De beleidsuitgangspunten voor het weerstandsvermogen, reserves en voorzieningen zijn beschreven in de 'Kadernota Reserves en Voorzieningen' ( ) en vastgesteld door het CHI in De berekening van het benodigde weerstandsvermogen vindt in elk geval plaats bij het opstellen van de jaarrekening. Als de risico s toe- of afnemen, kan het benodigde weerstandsvermogen naar boven of beneden worden bijgesteld. Om een stabiele situatie te creëren, wordt een marge van 5 % gehanteerd, dat wil zeggen extra stortingen of onttrekkingen aan de algemene reserve vinden alleen plaats als de risico s significant toe of afnemen. Deze nota gaat vooral in op de beleidsmatige aspecten van risicomanagement. De concrete uitwerking wordt jaarlijks opgenomen in de risicoparagraaf in de begroting en jaarrekening, waar de hoogte van het weerstandsvermogen een verplichte paragraaf is. Deze kadernota en de paragraaf weerstandsvermogen staan in nauwe relatie tot de andere paragrafen van de begroting. Ook activiteiten op het gebied van treasury en verbonden partijen hebben invloed op de risico s die HHNK loopt. 3.2 Richtlijnen Deze geactualiseerde Kadernota Risicomanagement HHNK is gebaseerd op de ISO31000-norm 4 (International Organisation for Standardization) en biedt een normenkader voor implementatie van risicomanagement en sluit aan bij de integraal-managementgedachte. De ISO31000-norm komt tegemoet aan de behoefte om meer handvatten te bieden voor structurele verankering van risicomanagement in de organisatie en gaat uit van de volgende principes: risicomanagement voegt waarde toe en draagt bij aan de verbetering van de organisatie; risicomanagement vormt een integraal onderdeel van de (besluitvormings-)processen en vormt daarmee ook een basis voor keuzes; risicomanagement past bij de context van de organisatie en volgt de veranderingen; risicomanagement is een systematisch proces dat gestructureerd en op gezette tijden plaatsvindt; risicomanagement is transparant en houdt rekening met menselijke en culturele factoren. Deze principes zijn ook de uitgangspunten voor het risicomanagement bij HHNK. Zij zijn noodzakelijk om een passende cultuur/houding ten opzichte van risicomanagement te bepalen en te realiseren. Binnen HHNK wordt gebruik gemaakt van 'Naris' (een applicatie voor risico-inventarisatie). 3.3 Definities Deze paragraaf geeft een overzicht van een aantal begrippen die in deze kadernota worden gehanteerd. Voor een uitgebreide lijst van relevante begrippen zie bijlage Proces risicomanagement Ervan uitgaande dat de doelstellingen bepaald zijn (wat willen we bereiken) worden de risico s aan de hand van drie stappen op structurele wijze in beeld gebracht en kan gestuurd worden op het verminderen, elimineren of accepteren van risico s. De volgende stappen c.q. activiteiten, welke later terugkomen in deze nota, zijn: in kaart brengen van de risico s, vaststellen van de belangrijkste risico s, in kaart brengen van de concrete beheersmaatregelen. 4 Voor de omvangrijke projecten van het Hoogwaterbeschermingsprogramma wordt de Risman methodiek (projectbureau Risman van Bouwdienst Rijkswaterstaat) gebruikt. Deze aanpak is in lijn met ISO En verschilt op hoofdlijnen nauwelijks van de aanpak zoals in de Kadernota risicomanagement is vastgelegd. 5

7 4.1 Cyclisch proces Uit de definitie van risicomanagement blijkt dat er sprake is van een systematische en periodieke actualisatie van risico s. Risicomanagement kan gezien worden als een cyclisch proces dat bestaat uit een aantal stappen (figuur 1). 6

8 4.1.1 In kaart brengen van risico s Risicos identificeren (opstellen risicoprofiel) In deze fase worden alle potentiële risico s geïnventariseerd. Te denken valt aan juridische risico s, gezondheidsrisico s, financiële risico s, imagorisico s, bestuurlijke risico s, informatierisico s en milieurisico s. Met deze brede benadering worden de werkelijke consequenties van het (laten) optreden van bepaalde risico s in de organisatie zichtbaar gemaakt. De uitkomst van deze inventarisatie is een volledig risicoprofiel, dat bestaat uit de omschrijving van de mogelijke onverwachte gebeurtenissen, oorzaken, kans en gevolg van optreden en beheersmaatregelen. Voor een goed risicoprofiel zijn volledigheid, kwaliteit en uniformiteit van essentieel belang. Uniformiteit van het risicoprofiel begint met een eenduidige en systematische aanpak waarvan iedereen in de organisatie op de hoogte is. Hier wordt de vraag beantwoord of alle belangrijke risico s zijn geïdentificeerd. Deze risico s zijn in beginsel gerelateerd aan bedrijfsvoeringsdoelstellingen maar kunnen ook gerelateerd worden aan de effecten (resultaten, prestaties) en aan doelstellingen ten aan zien van de maatschappelijk verantwoorde overheid (MVO). De kwaliteit van het risicoprofiel is onder te verdelen in: de nauwkeurigheid van de risico-identificatie: zijn ongewenste gebeurtenissen, oorzaken en gevolgen goed aangegeven? En zijn deze goed te relateren aan de doelstelling. de kwantificering van de risico s: zijn inschattingen van kans en gevolg logischerwijs aan te nemen? het benoemen van maatregelen: in hoeverre zijn deze maatregelen SMART geformuleerd, aan de desbetreffende oorzaken gekoppeld en effectief? de bepaling van een risico met de vraag: is het wel een risico voor HHNK?. Een criterium hiervoor is de mogelijke koppeling aan een programmadoelstelling of een proces van HHNK. 7

9 Op dit moment onderkent HHNK twee hoofdelementen die tezamen het risicomanagement bepalen, te weten: I. Veiligheidsrisicomanagement: De primaire taken van HHNK zijn water beheren, water keren, zorg voor goede waterkwaliteit en wegen beheren. Hieruit volgt de taak om de burgers te beschermen tegen de invloeden van calamiteiten, waardoor het oppervlaktewater of waterkeringen onmiddellijk en ernstig in gevaar komen. Normaal gesproken vormt dit onderdeel van een integraal risicomanagement. Veiligheid is echter een hoofdtaak van HHNK. Daarom is het wenselijk dat de risico s en de daarop gebaseerde beheersmaatregelen afzonderlijk in kaart worden gebracht. Bij HHNK is dit onderdeel ondergebracht bij de crisisorganisatie. Dit is vastgelegd in het Crisisbeheersingsplan 2012, bestrijdingsplannen en draaiboeken. Begin 2015 worden voor de crisisbeheersing de doelen geactualiseerd en risico s in kaart gebracht. Voor het maken van een risicoprofiel wordt dezelfde systematiek gehanteerd als voor HHNK-brede risicomanagement. Kenmerkend voor deze risico s is dat de oorzaken van buitenaf komen. Voorbeelden van veiligheidsrisico s: dijkdoorbraak, natuurrampen en terrorisme. De kans dat deze risico s zich voordoen is klein, maar de gevolgen (bijvoorbeeld doden en gewonden, materiële schade) kunnen zeer groot zijn. In dit geval wordt gesproken over een crisis. HHNK definieert een crisis als een buitengewone gebeurtenis waarop het systeem niet is ontworpen en waarbij het systeem faalt. Hoewel alles is gericht op het voorkomen van ernstige problemen kunnen onvoorziene omstandigheden leiden tot incidenten, een calamiteit of een crisis. Zoals bijvoorbeeld wateroverlast, droogte, verontreiniging van het oppervlaktewater, persleidingbreuk of een (dreigende) dijkdoorbraak. In dergelijke gevallen komt de crisisorganisatie van het HHNK in actie. Daarbij wordt nadrukkelijk rekening gehouden met het provinciale coördinatieplan, regionale crisisbeheersingsplannen, gemeenschappelijke rampenplannen en relevante plannen van andere (water)beheerders. In verschillende bestrijdingsplannen staat voor elke soort crisis een plan van aanpak beschreven. Crises worden geclassificeerd in twee categorieën: a. moedwillig menselijk handelen (terrorisme, fysiek geweld, virusspreiding via internet) b. natuurrampen. De kans op een crisis als gevolg van een directe externe oorzaak als natuurramp of terroristische aanslag, is moeilijk te beheersen. HHNK heeft de verplichting zijn crisisorganisatie goed op orde te hebben en te zorgen dat, indien zich een crisis voordoet, de gevolgen hiervan zo goed mogelijk worden beheerst. Op dit gebied vindt binnen HHNK gestructureerd een aantal activiteiten plaats. Die zijn van oudsher gericht op het beperken van de fysieke gevolgen van het falen van de beheerde objecten en wordt crisismanagement genoemd. Als een crisis als gevolg van een natuurramp en terroristische aanslag zich voordoet, is het de vraag of HHNK aansprakelijk kan worden gesteld voor de financiële gevolgen. HHNK zal in dergelijke gevallen hoogstwaarschijnlijk over onvoldoende weerstandsvermogen beschikken om de financiële gevolgen te kunnen dragen. De verwachting is dat het Rijk bij een grote crisis zal bijdragen 5. Dit is geregeld in de 'Wet Tegemoetkoming Schade' bij rampen en zware ongevallen (WTS) 6. Deze wet geeft regels over de tegemoetkoming in schade en kosten in geval van overstromingen door zoet water, aardbevingen en andere rampen en zware ongevallen. Daarom wordt dit type risico niet verbonden aan de hoogte van het benodigde weerstandsvermogen van HHNK. 5 Dit is recentelijk ook gebleken bij Brand Moerdijk Het Rijk, de provincie en het waterschap Brabantse Delta hebben de kosten onderling verdeeld. Het is belangrijk om aan te tonen hoe wij omgaan met het risicomanagement 6 Zie ook Wet veiligheidsregio s artikel één, ( 8

10 II. Bedrijfsvoeringsrisicomanagement: HHNK kent naast de veiligheidsrisico s een scala van andere risico s, zoals schade als gevolg van gebrekkige organisatie van processen, technisch falen, niet naleven van regelgeving, fouten door personeel, onvolledig geïnformeerd bestuur of organisatie. De risico s worden op hoofdlijnen onderverdeeld in drie risicocategorieën: 1. Strategische risico s: deze risico s hangen samen met het behalen van de geformuleerde doelstellingen door bestuur en organisatie en zijn afgestemd op de missie van HHNK. 2. Juridische risico s: deze risico s hebben betrekking op de naleving van de geldende wet- en regelgeving. 3. Operationele risico s: deze risico s zijn van invloed op de effectiviteit en efficiency van de bedrijfsvoering. Er is geen aparte categorie financiële risico s geformuleerd. Het financiële aspect kan een onderdeel zijn van de bovengenoemde risicocategorieën en is te omschrijven als de kans dat HHNK mogelijk financiële schade ondervindt. Met andere woorden financiën is geen apart risico, maar is een mogelijk resultaat binnen de genoemde risicocategorieën. Kenmerkend voor de geformuleerde risicocategorieën is dat de oorzaken voornamelijk binnen de eigen (bestuurlijke) organisatie liggen. Ook de extern veroorzaakte risico s die niet tot calamiteiten leiden (bijvoorbeeld uitval van elektriciteitsleverantie) vallen onder de bedrijfsvoeringsrisico s. De nadruk ligt bij risicomanagement ten aanzien van de bedrijfsvoering op het minimaliseren van de gevolgen, waarbij ook een Business Continuity Planning 7 wordt uitgevoerd zodat de essentiële onderdelen van de bedrijfsvoering altijd kunnen doorgaan. Risicomanagement voor projecten: Bij HHNK is het projectmatig werken (PMW) een instrument binnen HHNK wat is ontwikkeld om projecten beter te managen. Projectrisico's en de beheersing daarvan vallen ook onder het bedrijfsvoeringsrisicomanagement. Eén van de bouwstenen die binnen PMW wordt gebruikt is het onderdeel risicomanagement. Risico s bij projecten (en programma s) kunnen onder meer leiden tot uitloop, meerwerk en kostenoverschrijding. Risicomanagement op projectniveau draagt bij aan een succesvolle en beheerste uitvoering van projecten: binnen scope, budget en planning (tijd). De systematiek die bij het projectrisicomanagement wordt gehanteerd, komt in essentie (zoals doelstelling, ongewenste gebeurtenis, beheersmaatregelen) overeen met de HHNK concern risicomanagement. Om een optimale projectsturing mogelijk te maken is de wijze van kwantificeren op projectniveau gedetailleerder en worden ook de gevolgen van risico's voor de projectplanning (factor tijd) inzichtelijk gemaakt Uit de project- en programmarisico's worden toprisico's geselecteerd ten behoeve van het Rijk, het bestuur, directie. Deze top-project- en -programmarisico's worden in de managementteams van de afdelingen besproken alvorens deze in de kwartaalrapportages worden opgenomen. Deze risico's 8 (die buiten de invloed sfeer van het project beheerst dienen te worden) worden ook in HHNK concern risicomanagementsysteem Naris opgenomen. Daarmee worden deze risico's in de berekening van het weerstandsvermogen HHNK meegenomen. 7 Vooraf maatregelen vaststellen om (delen van) de bedrijfsvoering te allen tijde doorgang te laten vinden, zie verder bijlage definities. 8 Zie hiervoor Werkinstructie Risicomanagement HWBP, pagina 12 en 13, 2012 ( ) 9

11 4.1.2 Analyse en beoordeling van risico s Risico s analyseren (kans en gevolg) Het in kaart brengen van de risico s maakt het mogelijk deze te analyseren. De analyse bestaat uit een inschatting van de kans dat een gebeurtenis optreedt. Hierbij wordt aangegeven wat de gevolgen daarvan zijn, zowel qua geld, tijdsverlies, kwaliteitsverlies en imagoschade. Hier wordt een afweging gemaakt van hoe groot de verschillende risico s zijn, inclusief de indirecte gevolgen. Deze uitkomsten bieden beslissingsondersteunende informatie bij het bepalen van de beheersmaatregelen. Voor het identificeren en kwantificeren van bedrijfsvoeringsrisico s wordt een systematiek gehanteerd die het risico uitdrukt in kans op optreden vermenigvuldigd met het gevolg waarbij een onderscheid wordt gemaakt naar strategische, juridische of operationele gevolgen. Vervolgens zal - indien relevant - ook het financiële aspect worden meegewogen. De systematiek is dan als volgt: Kans van optreden: 1= incidenteel; minder dan één keer in een mensleven 9 Risico s beoordelen (kans x gevolg) 2= middelgroot; minimaal één keer in een mensenleven tot één keer per jaar 3= groot; één of meerdere keren per jaar Gevolg van optreden: 1= beperkt 2= middelgroot 3= omvangrijk Het bepalen van kans van optreden en de gevolgen van optreden is geen harde wetenschap, maar bestaat altijd uit het ontwikkelen van een logische onderbouwing van de score. Dit is vanzelfsprekend een leerproces waarin bestuur en ambtelijke organisatie al doende ervaring opbouwen. Dit levert een risicoscore op: Kans klasse 1 Kans klasse 2 Kans klasse 3 Gevolg klasse Gevolg klasse Gevolg klasse De volgende stap is het bepalen van de mogelijke financiële gevolgen van het mogelijk optreden. Deze bestaat uit de volgende vier categorieën: A= de maximale gevolgen zijn minder dan B= de maximale gevolgen zijn tussen de en C= de maximale gevolgen zijn meer dan en D= de maximale gevolgen zijn meer dan De gehanteerde bedragen lijken fors, maar moeten worden bezien in het licht dat het om een mogelijke gebeurtenis gaat Beheersing van risico s Benoemen beheersmaatregelen Nadat een risico is geïdentificeerd en gekwantificeerd, worden maatregelen geformuleerd om de risico s te beheersen. Deze maatregelen kunnen verschillend van aard zijn en worden gerelateerd aan de volgende opeenvolgende gebeurtenissen: bestaan van een dreiging; 9 We veronderstellen 80 jaar. Levensverwachting is in Nederland voor mannen 79,1 en voor vrouwen 82,8. (bron: 10

12 ontstaan van een verstoring; ontstaan van schade; herstel van schade. Preventieve maatregelen zijn vooral bedoeld om het ontstaan van verstoringen naar aanleiding van een aantal bedreigingen te beperken. Repressieve maatregelen moeten de door een verstoring veroorzaakte schade zoveel mogelijk beperken. Voor het herstellen van de schade zijn correctieve maatregelen nodig. Bepaald moet worden welke (aanvullende) maatregelen te nemen zijn en wat het mogelijke effect ervan kan zijn. In onderstaand figuur 2 wordt de samenhang tussen de verschillende soorten maatregelen in beeld gebracht. De drie soorten maatregelen kunnen zowel de veiligheidsrisico s als de bedrijfsvoeringsrisico s beperken. Doordat de rijks- en provinciale normen als gegeven worden beschouwd, ligt de nadruk voor de veiligheidsrisico s op de repressieve en correctieve maatregelen, terwijl dat voor de bedrijfsvoeringrisico s zoveel mogelijk op de preventieve maatregelen ligt. Gedacht kan worden aan beheersmaatregelen zoals procedures, procesaanpassing, zorgsystemen, risicofinanciering/verzekeringen en tal van andere (praktische) oplossingen. Nadat alle mogelijke maatregelen en hun bijbehorende kosten zijn geïdentificeerd wordt een kostenbatenanalyse uitgevoerd. Het resultaat is een inschatting van de mogelijke effecten op het risico in termen van vermindering van mogelijk op te treden schade en de inspanning en/of kosten die daar mee zijn gemoeid. Besluitvorming over beheersmaatregelen Op basis van de kosten-batenanalyse wordt bepaald of maatregelen worden getroffen of dat bepaalde risico s worden geaccepteerd. Toepassing van risicomanagement wil niet zeggen dat alleen maar nieuwe beheersmaatregelen met extra kosten dienen te worden getroffen. Het kan zijn dat een risico al goed wordt beheerst, of dat beheersmaatregelen kunnen worden geschrapt of dat HHNK bewust het risico neemt. Belangrijk in het beheersingsproces is dat de verantwoordelijkheid voor de te nemen maatregelen goed is vastgelegd. In financiële zin gelden de regels zoals vastgelegd in het Statuut budgetbeheer. Daar zijn de budgetbevoegdheden van CHI, D&H en ambtelijke organisatie duidelijk in vastgelegd. Als de beheersmaatregelen niet financieel te kwantificeren zijn, is de besluitvormingsstructuur als volgt: Het CHI neemt besluiten over de beheersmaatregelen voor omvangrijke strategische risico s waarvan de kans dat deze zich voordoen groot is (score 9), omdat deze van invloed zijn op de geformuleerde doelstellingen door het bestuur. 11

13 De besluitvorming door D&H richt zich op de beheersmaatregelen voor middelgrote strategische en juridische risico s waarvan de kans groot is dat ze optreden en de grote strategische en compliance risico s waarvan de kans middelgroot is dat ze optreden. Voor wat betreft de operationele risico s neemt D&H alleen besluiten bij omvangrijke risico s waarvan de kans groot is dat ze optreden. Operationele zaken zijn in principe de verantwoordelijkheid van de ambtelijke organisatie. De afdelingshoofden nemen besluiten over de beheersmaatregelen bij beperkte risico s (scores van 1 2 en 3). Voor de score 4 (alle risico s) en score 6 (operationele risico s) neemt de directie besluiten over de beheersmaatregelen. Schematisch ziet dit er als volgt uit: Strategisch risicoscore Juridisch risicoscore Operationeel risicoscore Afdelingshoofden Directie D&H CHI Implementeren van beheersmaatregelen Nadat besluitvorming heeft plaatsgevonden, wordt gestart met de implementatie van de beheersmaatregelen. De beheersmaatregelen worden vastgelegd in een informatiesysteem 10 waarmee de voortgang kan worden gevolgd. Dit informatiesysteem vormt de basis voor de periodieke rapportages over het effect van de genomen maatregelen en voor het berekenen van het weerstandsvermogen. De ambtelijke organisatie is verantwoordelijk voor de implementatie van de beheersmaatregelen. Rapporteren en evalueren Voor het beheersen van risico s is het belangrijk dat het effect van de genomen maatregelen wordt gevolgd. Het proces is hierbij als volgt: Bij nieuwe projecten wordt een aparte risicoparagraaf verplicht. Aan de bestuursvoorstellen wordt een aparte risicoparagraaf toegevoegd. In de afdelingsplannen worden alle geïdentificeerde risico s vermeld. Tijdens de concernrapportagemomenten worden ook de risico s formeel geactualiseerd. In de begroting, de jaarrekening en de programmabegroting worden de risico s met een score van 9 en/of waarvan de gevolgen meer dan bedragen vermeld. Bij zich nieuw voordoende of wijzigingen in bestaande risico s worden de volgende afspraken over direct informeren gehanteerd: Directie informeren bij een score van 4 of hoger en/of waarvan de gevolgen tussen de en bedragen. D&H informeren bij een score van 6 of hoger en/of waarvan de gevolgen tussen de en bedragen. CHI informeren bij een score van 9 en/of waarvan de gevolgen meer dan bedragen. 10 Binnen HHNK wordt risicomanagementsysteem NARIS gebruikt 12

14 5. Informatie, communicatie Door het transparant maken van de risico s met behulp van de risico-inventarisatie, de mogelijk te nemen maatregelen en een duidelijke besluitvormingsstructuur worden bestuur en organisatie beter gefaciliteerd in het besluitvormingsproces. Hierdoor kan communicatie over HHNK naar inwoners, bedrijven en organisaties effectiever worden. Er ontstaat dan een completer beeld over wat er verwacht kan worden van HHNK. 6. Bronnenlijst Afvalwaterwetenschap: Risicomanagement bij bestuurlijke besluitvorming (2006, nr. 3) A. Jansen: Risico s ter onderbouwing van het weerstandsvermogen bij waterschappen (2007) Brabantse Delta verdeling kosten (2012) HHNK: Crisisbeheersingplan HHNK 2012 (2012, ) HHNK: Discussienota Risico(management)beleid (2006, ) HHNK: Verbeterplan risicomanagement HHNK (2012, ). HHNK: Verordening inzake de beleids- en verantwoordingsfunctie (2009) Het boegbeeld als voorbeeld, NBA (2012) Risicomanagement bij Waterschappen, J. Schoten (2007) Instructie Risicomanagement HWBP (2012, ) Kadernota Reserves en Voorzieningen en vastgesteld door het CHI in (2011, ). "Risico is de mogelijkheid dat in een gegeven periode en situatie positieve verwachtingen niet in vervulling gaan (Claes, 2007) Risicomanagement, Gemeente Amsterdam, Wat zou Arie doen (2011) Risk Management Partners: Toelichting op de risico-inventarisatie Hoogheemraadschap Hollands Noorderkwartier (2004) SharePointsite HHNK Risicomanagement, Wetenschappelijke Raad voor het Regeringsbeleid: Onzekere veiligheid: verantwoordelijkheden rond fysieke veiligheid (2008) Waterschapsbesluit (2009) 13

15 Bijlage: Definities Algemene reserves: De algemene reserves zijn gereserveerde bedragen om eventuele toekomstige financiële tegenvallers van algemene aard (risico s/calamiteiten) te kunnen opvangen. Algemene reserves staan op de balans aangeven als eigenvermogen en vormen geen onderdeel van de begroting. Bedrijfsvoering: De sturing en beheersing van de bedrijfsprocessen binnen HHNK om de beleidsdoelstellingen te kunnen realiseren. Het betreft de sturing en beheersing van zowel de primaire processen als van de processen die hieraan ondersteunend zijn. Beheersmaatregel: Elke maatregel gericht op het voorkomen of reduceren van een risico, deze is in beginsel gerelateerd aan de oorzaken en dienen zo concreet mogelijk (SMART 11 ) geformuleerd te worden. Bestemmingsreserves: Bestemmingsreserves zijn reserves die door het algemeen bestuur zijn gevormd en geoormerkt voor een specifiek doel. Bijvoorbeeld de tariefegalisatiereserves of de reserve afkoop erfpachten. Ook de bestemmingsreserves worden in de bepaling van het weerstandsvermogen meegenomen. Hoewel deze reserves een specifieke bestemming hebben, kan het algemeen bestuur besluiten deze gelden in te zetten voor het opvangen van financiële tegenvallers. Business Continuity Planning: Vooraf maatregelen vaststellen om (delen van) de bedrijfsvoering te allen tijde doorgang te laten vinden, omdat deze cruciaal zijn voor de continuïteit van de organisatie en daarmee het behalen van de beleidsdoelstellingen. (Voorbeelden zijn toegankelijkheid informatievoorziening, ICT-infrastructuur, communicatie en energievoorziening.) Exogene risico s: Dit zijn risico s waar een andere entiteit primair aan de lat staat voor de beheersing en niet het project of programma zelf. Het project brengt wel de risico s in kaart, monitort en draagt bij aan de beheersing van de risico s Voorbeelden van exogene risico s (onderwerpen): o scopewijzigingen en wijzigingen in wet- en regelgeving; o cumulatieve effecten (effecten op natuur, veiligheid of anderszins in combinatie met andere projecten in het desbetreffende gebied); o grote, niet te voorziene vondsten van explosieven, archeologie, kabels & leidingen of sanering (dat wil zeggen: standaard risicoreservering opnemen in project, maar excessen elders); o risico met betrekking tot (financiering van) beheer en onderhoud; o aansturingsrisico s vanuit de bestuurlijke besluitvorming van betrokken partijen (programma, HHNK, HWBP). Endogene risico s: Ongewenste gebeurtenis, oorzaak en gevolg van risico s liggen binnen de verantwoordelijkheid van het project of programma s. De partij die de risico s het beste zelf kan beheersen. Onbenutte belastingcapaciteit: De onbenutte belastingcapaciteit is de mogelijkheid om in de toekomst belasting te heffen. Risico is een kans op het optreden van een ongewenste gebeurtenis met een oorzaak en gevolg en heeft invloed op het behalen van de doelstellingen. Wiskundig wordt het vaak uit twee elementen opgebouwd en vormen kans en effect samen het risico (Risico = Kans x Effect). Deze definitie betekent dat een knelpunt of een tegenvaller niet onder de risico s kan worden geschaard. Een knelpunt of tegenvaller heeft zich immers al voorgedaan. De oorzaak van een risico is een gebeurtenis of situatie die kan leiden tot een ongewenste gebeurtenis en daarmee tot het niet (volledig) bereiken van één of meer van de doelstellingen 11 Specifiek, meetbaar, acceptabel, realistisch en tijdgebonden. 14

16 Het gevolg van het optreden van een risico is in eerste instantie schade, hetgeen materiële schade aan het werk en/of aan de omgeving kan zijn, immateriële schade (zoals imagoverlies) of kwaliteitsschade (het niet voldoen aan specificaties, technische of functionele eisen). Het herstel van de schade kost doorgaans tijd en/of geld (tenzij de gevolgen expliciet worden geaccepteerd). Hoewel bij risico's aan negatieve gevolgen (bedreigingen) wordt gedacht, kunnen potentiële afwijkingen ook als gunstige gevolgen (kansen) beschouwd worden Risicomanagement: Het risicomanagement is het systematisch inventariseren van gebeurtenissen die het behalen van je doelstellingen in gevaar kunnen brengen. Het is geen controle achteraf, maar wordt ingezet voorafgaand aan en tijdens processen die worden uitgevoerd om doelstellingen te realiseren. Een belangrijke randvoorwaarde hierbij is dat het een continu proces is, waar niet alleen identificatie plaatsvindt maar ook het formuleren van beheersmaatregelen, kwantificeren van mogelijke effecten, toezien op en evaluatie van de genomen maatregelen en het stelselmatig actualiseren van risico s en de bijbehorende risicobeheersing. Het stelselmatig doornemen en waar nodig actualiseren van risico s is noodzakelijk want risico s zijn geen realiteiten, maar percepties. Percepties veranderen door het ontvangen van informatie, nadere details, het doen van onderzoek, het nemen van een besluit of door het verkrijgen van nieuwe inzichten. Risicoprofiel (risicolijst): Een overzicht van de risico s van het bestuur, de organisatie of organisatieonderdeel. Dit overzicht bestaat uit de omschrijving van de mogelijke ongewenste gebeurtenissen met bijbehorende kansen en gevolgen, onderverdeeld naar drie risicocategorieën te weten strategische, juridisch en operationele risico s. Statuut Budgetbeheer: Dit statuut regelt de bevoegdheden en verantwoordelijkheden op het gebied van budgetbeheer, dat is het uitvoeren van de begroting. Het statuut ( ) is in februari 2012 door het CHI vastgesteld. Voorzieningen: Voorzieningen zijn gereserveerde bedragen die ten doel hebben de kosten van toekomstige uitgaven gelijkmatig over de jaren te spreiden. Voorbeeld: de voorziening baggeren. (Voorzieningen zijn geen onderdeel van het weerstandsvermogen maar wel onderdeel van de begroting.) Weerstandsvermogen: Het vermogen om niet-structurele financiële tegenvallers op te kunnen vangen, teneinde de taken van het hoogheemraadschap ongestoord te kunnen voortzetten 15