Nota Risicomanagement

Transcriptie

1 Nota ONDERWERP AAN VAN Algemeen Bestuur Richard van Husel AFSCHRIFT Directie/MT/DB RISICOMANAGEMENT 2016 Bestuurlijke samenvatting. De aandacht voor risicomanagement is de afgelopen tijd sterk gegroeid. Deze nota beschrijft het beleid van GBLT inzake het risicomanagement. is een bedrijfsvoeringonderwerp dat de gehele organisatie raakt en aangaat. Kernvragen daarbij zijn: wat zijn de financiële gevolgen van risico s, wat vraagt dat van onze financiële positie en welke normen en kaders zijn daarvoor. Een ander deel van deze nota gaat over de vraag hoe we omgaan met de risico s, hoe beheren en beheersen we deze. Het gaat dan niet alleen om financiële risico s maar een veelheid van mogelijkheden, negatief op positief, waar we mee geconfronteerd kunnen worden. Risico s zijn de gevolgen van ongewenste en ongeplande gebeurtenissen, die het realiseren van de organisatiedoelstellingen in de weg staan. Die gevolgen kunnen verschillend van aard zijn; het gaat bij risicomanagement uitdrukkelijk niet alleen om financiële risico s. De bedrijfsvoeringrisico s zijn belangrijk vanuit het oogpunt van continuïteit en kwaliteit van de dienstverlening aan deelnemers en belastingbetalers. Bedrijfsvoeringrisico s zijn binnen GBLT onderwerp van specifiek beleid en controle daarop. Onder de bedrijfsvoeringsrisico s binnen GBLT wordt uitdrukkelijk ook verstaan de risico s binnen het primaire proces van GBLT; de belastingtaak. Dit omdat belastinguitvoering voor de deelnemers van GBLT een bedrijfsvoeringtaak is die onder de verantwoordelijkheid van de colleges/dagelijks besturen van de deelnemers valt. Gezien de aard van GBLT als (belasting)uitvoeringsinstantie kan worden aangenomen dat de meeste en grootste belangwekkende risico s zich bevinden op het vlak van de belastingtaak uitvoering. De belangrijkste zijn de volledigheid en juistheid van de oplegging van de belastingen. In een volgende fase van de invoering van risicomanagement zullen de specifieke risico s verder worden uitgewerkt en afgestemd met de deelnemers.

2 Het risicomanagement wordt uitgevoerd volgens een systematisch en cyclisch proces van identificeren, beoordelen en kwantificeren van risico s, het bepalen en uitvoeren van activiteiten en maatregelen die de kans van optreden en/of de gevolgen van risico s beheersbaar houdt en het evalueren en rapporteren over de verschillende stappen in het proces. is gericht op het beheersen van processen zodanig dat risico s voorkómen of beheerst worden, zodat deze zich niet (in volle omvang) manifesteren. Er zijn vier mogelijkheden om met een risico om te gaan: 1. vermijden. Dit houdt in dat het beleid, actie of een project waar een risico door ontstaat, wordt beëindigd, op een andere manier wordt vorm gegeven of geen beleid, actie project gestart wordt dat een risico met zich meebrengt. Ook kunnen werkprocessen zodanig ingevuld zijn, dat op die manier bepaalde risico s worden vermeden. 2. verminderen. Dit kan plaatsvinden door ofwel de waarschijnlijkheid van optreden van de gebeurtenis de oorzaak - terug te brengen of door de omvang van het risico het gevolg - terug te brengen. Bijvoorbeeld door projecten te faseren. Maatregelen voor de reductie van de impact van risico s liggen op het operationele vlak, zoals het nemen van voorzorgsmaatregelen. 3. overdragen. Een voorbeeld hiervan is het beleid dat een risico met zich meebrengt, uit te laten voeren door een andere betrokken partij, die daarbij ook de financiële risico s overneemt. Een ander voorbeeld is verzekeren van het financiële risico. 4. accepteren. Als een risico niet wordt vermeden, beheerst of overgedragen, dan wordt een risico geaccepteerd en zal de eventuele financiële schade volledig middels de weerstandscapaciteit moeten worden afgedekt. Dit betekent niet dat het risico niet beïnvloedbaar is en daarom maar geaccepteerd moet worden. Het betekent dat het risico op dit moment geaccepteerd wordt en niet op één of andere wijze is afgedekt. Bij het kwantificeren van risico s hanteren we voor de mate van waarschijnlijkheid van het risico drie klassen: - Kleine kans (KK) hanteren we voor risico s waarvan het niet zo waarschijnlijk is dat ze zich daadwerkelijk voor zullen doen. (vuistregel 25%). - Middelgrote kans (MK) hanteren we voor risico s die nog beide kanten op kunnen. Het kan zijn dat ze zich voordoen, het kan ook zijn van niet: het kan vriezen en het kan dooien. (vuistregel 50%).

3 - Grote kans (GK) hanteren we voor risico s waarvan de kans op optreden groot is (vuistregel 75%). Maatregelen voor het verminderen van risico s liggen op het operationele vlak. Het gaat hierbij niet alleen om het kiezen van maatregelen en het implementeren ervan, maar ook om het bewaken en controleren dat de gekozen maatregelen effect hebben en het zo nodig bijsturen hierop. Voor sturing en beheersing zijn niet alleen de afzonderlijke risico s van belang, De totale omvang van de risico s moet ook in de gaten gehouden worden. Incidentele risico s worden opgevangen met de incidentele weerstandscapaciteit, voor GBLT de post onvoorzien in de begroting. Structurele risico s worden opgevangen binnen de structurele weerstandscapaciteit; de gevormde bestemmingsreserves. Kansen, dat zijn onzekere gebeurtenissen met positieve gevolgen, behoren ook tot de risico s. Deze zijn in het kader van risicomanagement belangrijk. Voor de berekening van het weerstandsvermogen worden ook deze positieve risico s meegenomen. De weerstandscapaciteit zijn de middelen en mogelijkheden waarover GBLT beschikt om niet begrote kosten die onverwacht zijn, te dekken zonder dat de begroting en de uitvoering van het door het Algemeen Bestuur bepaalde beleid in gevaar komen. Weerstandscapaciteit wordt uitgedrukt in geld. Binnen GBLT is de weerstandcapaciteit bepaald door de in de begroting opgenomen post onvoorzien daarnaast zijn er de laatste jaren een paar specifieke bestemmingsreserves gevormd. Het weerstandsvermogen geeft aan hoe robuust de begroting is. Het is de mate waarin onverwachte financiële tegenvallers kunnen worden opgevangen. Hierbij wordt de bovengenoemde weerstandscapaciteit afgezet tegen de risico s die GBLT loopt. De financiële risico s zijn van belang voor het weerstandsvermogen. Het gaat daarbij om risico s die een financieel nadelig gevolg kunnen hebben, waarmee geen rekening is gehouden in de begroting. Als deze risico s zich effectueren, dan worden ze opgevangen via de weerstandscapaciteit. Het Algemeen Bestuur kan kaders en eisen stellen aan de omvang van dat weerstandsvermogen. Het gaat dan om een normatief kader voor de verhouding tussen de beschikbare weerstandscapaciteit en alle gewogen risico s. Binnen GBLT is het niet gebruikelijk éigen vermogen (vrije reserves) aan te houden. Daarom wordt voorgesteld de verhouding tussen de gewogen risico s en de beschikbare weerstandscapiciteit op 0 te stellen. Dit betekent dat het voordoen van risico s die niet door de weerstandscapaciteit opgevangen kunnen worden voor rekening van de deelnemers komen, eea conform de geldende kostenverdeelsleutel. Het Algemeen Bestuur stelt op voorstel van de directie eens per vier jaar de algemene kaders voor (de opzet en inrichting van het systeem van) het risicomanagement vast in de nota risicomanagement. Verantwoordelijkheden voor risico s en risicomanagement zijn in de organisatie helder belegd en in beginsel een lijnverantwoordelijkheid. Het MT maakt in de voorbereidingsfase van elk voorstel een risicoafweging. Indien wordt onderkend dat er risico's aanwezig zijn dan worden deze in MT en Bestuursvoorstellen vermeld. De risicoafweging bestaat uit drie stappen: a. identificatie van de risico's; b. analyse en beoordeling van de risico's; c. beheersing van de risico's. De uitkomsten worden zodanig gerapporteerd dat MT/Bestuur zich een oordeel kan vormen over de risico's en de voorgestelde wijze van afdoening of beheersing. In de methodiek van projectmatig werken wordt risicomanagement duidelijk belegd. Voor het in kaart brengen van risico s bij projecten worden, voor zover van toepassing, de RISMAN

4 methode gehanteerd. Bij de RISMAN-methode wordt het beleid, actie of project beschouwd vanuit de volgende invalshoeken, zodat een integraal beeld wordt verkregen: - politiek/bestuurlijk - financieel/economisch - juridisch/wettelijk - technisch - organisatorisch - maatschappelijk. Periodiek en in ieder geval bij aanvang van elke nieuwe (project)fase wordt een actualisering van de risico-inventarisatie gemaakt. De risico-analyse wordt modulair uitgevoerd op verschillende scenario s per fase, tenminste een best-case en een worst- case Zo nodig worden voorstellen gedaan om maatregelen te treffen voor (nieuw) gekwantificeerde mogelijke toekomstige risico s.

5 INLEIDING Een organisatie voeren en werkzaamheden verrichten is risico s nemen, ook binnen de overheid. Dit betekent wel dat van tevoren goed moet zijn nagedacht over die mogelijke risico s, zodat volledig afgewogen besluiten genomen worden. heeft daarom ook een bestuurlijke kant: de mate waarin risico s worden genomen is een bestuurlijke afweging. Risico s beschouwen we in deze nota niet als iets negatiefs, dat zoveel mogelijk moet worden uitgebannen. Deze nota regelt de kaderstelling op het gebied van risicomanagement en weerstandsvermogen voor GBLT. Met het vaststellen van deze nota wordt het instrumentarium op het gebied van risicomanagement bepaald en de beleidskeuzes gemaakt. En daarmee de houding van GBLT ten opzichte van risico s: in hoeverre accepteren wij risico s en op welke wijze managen wij deze risico s? Naast het bepalen van de instrumenten voor het risicomanagement wordt met deze nota ook de hoogte van het weerstandsvermogen vastgelegd. Doel van risicomanagement Het doel van risicomanagement is: zorgen dat de mate van risico die GBLT loopt overeenkomt met de mate van risico die GBLT wenst te lopen op weg naar het bereiken van haar doelstellingen. Het is vrijwel onmogelijk om alle risico s op een bepaald moment te kennen, of te beschrijven en beheersen. Het risicomanagement- en controlesysteem richt zich op de belangrijkste risico s. Belangrijk betekent hier dat deze risico s van wezenlijke invloed kunnen zijn op de uitkomsten van de geformuleerde doelstellingen of van belang kunnen zijn voor de kwaliteit van de uit te oefenen taak en het vermogen om te voldoen aan wet- en regelgeving. Visie op risicomanagement De visie op risicomanagement sluit aan bij de algemene organisatiefilosofie: Er wordt gewerkt aan een open cultuur waarin risico s expliciet onderdeel zijn van de afwegingen bij beslissingen, zodat ze bekend zijn en vervolgens ook de benodigde aandacht krijgen om te voorkomen dat ze materialiseren. Een integrale aanpak waarin aandacht is voor financiële en niet-financiële risico s, op basis van een deugdelijke inventarisatie van risico s en een optimale beheersing van deze risico s. Daarbij is het van belang om niet teveel te focussen op details, maar vooral de grotere risico s in het oog te houden en de organisatie hierop in te richten. vindt plaats binnen de lijnorganisatie. Het bedrijfsbureau (cluster controlling) ondersteunt het lijnmanagement hierin. Bij de invulling van risicomanagement wordt zoveel mogelijk gebruik gemaakt van bestaande beheerstechnieken en instrumenten. is de balans tussen risico s nemen en beheersen. Een goede manager neemt risico s en communiceert hierover Doelen en risico s horen bij elkaar: van beheersen naar sturen maakt integraal deel uit van alle processen van de organisatie ondersteunt continue verbetering van de organisatie doen we vooral zelf, op ieder niveau van de organisatie. Voorkom een negatieve foutencultuur. Elkaar feedback geven, aanspreken als het nodig is, naast vanzelfsprekende waarderingen voor de goede dingen, en reflectie op ons werk zijn belangrijke elementen voor risicomanagement. Dialoog in alle lagen van de organisatie is een belangrijke sleutel bij risicomanagement

6 Met de Nota worden de volgende doelen beoogd: 1. Kaderstelling door het Algemeen Bestuur en formuleren van uitgangspunten voor goed. De door het Algemeen Bestuur vastgestelde kaders en beleidsuitgangspunten zullen ervoor zorgen dat risicomanagement een structureel onderdeel vormt van de planning & controlcyclus en dat er voldoende weerstandsvermogen is. 2. Verhogen van het risicobewustzijn Inzicht in de risico s die de GBLT loopt, begint bij het risicobewustzijn van de medewerkers. Als zij risicobewust zijn in hun dagelijkse werkzaamheden, zal het inzicht in de risico s toenemen en kan proactief ingespeeld worden op de risico s zodat deze vroegtijdig beheersbaar gemaakt kunnen worden. 3. Inzicht in de actuele risico s Het inzichtelijk hebben van de risico s die de organisatie loopt vormt de basis voor het beheersen van de risico s. Het gaat hierbij niet alleen om financiële risico s, maar ook risico s zoals milieu, letsel/veiligheid, integriteit, imago en juridische risico s. 4. Het op een systematische wijze van beoordelen en wegen van risico s bij besluitvorming. 5. Het systematisch (integraal en dynamisch) beheer van risico s die GBLT loopt 6. Een toereikend weerstandsvermogen dat afgestemd is op de geïnventariseerde en gekwantificeerde financiële risico s Het risicoprofiel en het weerstandsvermogen van de organisatie moet geanalyseerd worden om inzicht te krijgen in het benodigde weerstandsvermogen. Met actief risicomanagement wordt een goed inzicht verkregen in het risicoprofiel waardoor het weerstandsvermogen zo optimaal mogelijk op het risicoprofiel kan worden afgestemd. 7. Een basis dienen voor het implementatieplan risicomanagement Begrippen In deze paragraaf worden de begrippen risico, weerstandscapaciteit, weerstandsvermogen en risicomanagement gedefinieerd en toegelicht, omdat ze essentieel zijn voor deze nota en regelmatig terugkomen. Risico s zijn te omschrijven als de gevolgen van ongewenste en ongeplande gebeurtenissen, die het realiseren van de organisatiedoelstellingen in de weg staan. In de werkprocessen, bij de uitvoering van het takenpakket, worden vele beslissingen genomen. Elke beslissing die wordt genomen kent risico s die het behalen van de beoogde doelstelling kan bedreigen. De gevolgen kunnen meer of minder ingrijpend zijn, maar kunnen ook geheel verschillend van aard zijn. Het gaat bij risicomanagement uitdrukkelijk niet alleen om financiële risico s. We delen risico s in de volgende soorten: Operationeel: procedures, systemen Imago/politiek/bestuurlijk: crisis, imago, Markttechnisch: vraag, prijs, kwaliteit, conjunctuur, Juridisch: rechtmatigheid, aansprakelijkheid Menselijk: zorgeloosheid, fouten, integriteit Financieel: verlies financiële middelen, overschrijding begroting Bedrijfsvoering: onvolkomenheden in proces Informatie/strategie: eenduidige strategie, volledigheid en juistheid informatie Product: continuïteit werkzaamheden of aansprakelijkheid Letsel/veiligheid: veiligheid medewerkers Hierbij moet bedacht worden dat deze typering soms betrekking heeft op de oorzaken, soms op de gevolgen. Ook ander onderscheid is mogelijk:

7 - Risico s afkomstig buiten de eigen organisatie, respectievelijk risico s binnen de eigen organisatie (externe of interne risico s); - Niet-beïnvloedbare risico s respectievelijk beïnvloedbare risico s; Algemene risico s ook wel inherente risico genoemd zijn normale risico s die voor de GBLT bij de bedrijfsvoering horen. Hiervoor wordt geen weerstandsvermogen gevormd. Te denken valt aan ontwikkelingen op het gebied van loon- en prijspeilontwikkelingen en calamiteiten. De effecten van deze risico s zijn van groot belang bij afwegingen zoals bij de kaderbrief en de begroting. Het zijn echter geen risico s die afgewogen worden tegen de weerstandscapaciteit. Concrete risico s zijn risico s waarvan de omvang van de te verwachten verplichtingen redelijkerwijs is in te schatten. Voor concrete risico s zijn voorzieningen of reserves met het karakter van een voorziening getroffen. Het gaat hierbij ondermeer om de risico s bij het uitvoeren van een reorganisatie, investeringen en in het voorbeeld van GBLT in het bijzonder; overeenkomsten met de medewerkers die GBLT gaan verlaten ed. De hoogte van voorzieningen dekt de gesignaleerde concrete risico s in financiële zin voldoende af. Het is niet nodig aanvullende voorzieningen te treffen waarvoor de weerstandscapaciteit moet worden aangesproken. Specifieke risico s zijn risico s die gelden voor de specifieke omstandigheden waarin de GBLT opereert. Deze risico s bepalen de benodigde weerstandscapaciteit. Het goed onderscheiden van deze drie categorieën is belangrijk, omdat alleen de specifieke risico s onderdeel uitmaken van het weerstandsvermogen. Uiteraard is voor de financiële risico s ook belangrijk de vraag of het gaat om terugkerende risico s (structureel)of om éénmalige risico s (incidenteel). Bedrijfsvoeringsrisico s zijn belangrijk vanuit het oogpunt van continuïteit en kwaliteit van de dienstverlening aan bestuur en belastingbetaler. Bedrijfsvoeringsrisico s zijn binnen GBLT onderwerp van specifiek beleid en controle daarop. Dat neemt niet weg dat risico s in voorkomende gevallen onderwerp zijn van risicomanagement. De belangrijkste risicogebieden zijn: - Rechtmatigheid; dit is onderwerp van de gewone en de verbijzonderde interne controle. De rechtmatigheid wordt jaarlijks getoetst door de accountant. - Beveiliging en continuïteit; het beveiligingsbeleid bestaat uit het treffen en onderhouden van een samenhangend pakket van maatregelen ter waarborging van de veiligheid van mensen, materieel en gegevens teneinde de continuïteit van de dienstverlening en bedrijfsvoering in zowel kwantitatieve als kwalitatieve zin te kunnen garanderen. Dit is binnen de kaders van de desbetreffende beleidsnota onderwerp van een specifieke programmatische aanpak. - Integriteitsbeleid; het risico van integriteitschendingen is opgepakt via ons HRM-beleid. De onderverdeling van al deze risico s suggereert dat er een scherpe afbakening is. Toch is dat niet zo. Risico s zijn het gevolg van (mogelijke) gebeurtenissen. Deze gebeurtenissen hebben vaak meerdere gevolgen, er zijn dus verschillende risico s met mee gemoeid. Eén gebeurtenis kan bijvoorbeeld een milieurisico, een financieel risico en een politiek bestuurlijk risico met zich meebrengen. De weerstandscapaciteit De weerstandscapaciteit bestaat uit middelen en mogelijkheden waarover GBLT beschikt om niet begrote kosten die onverwacht en substantieel zijn, te dekken zonder dat de begroting en de uitvoering van het door Het Algemeen Bestuur bepaalde beleid in gevaar komen. Die weerstandscapaciteit wordt onderscheiden in incidentele en structurele capaciteit. De incidentele weerstandscapaciteit is het vermogen om calamiteiten en andere eenmalige tegenvallers op te vangen zonder dat dit invloed heeft op de voortzetting van het bestaande beleid. De structurele weerstandscapaciteit wordt gevormd door de middelen die permanent

8 kunnen worden ingezet om (mogelijke) tegenvallers in de lopende exploitatie te dekken, zonder dat dit ten koste gaat van de uitvoering van de programma s. De weerstandscapaciteit bestaat uit voor GBLT uit het bedrag onvoorzien dat is opgenomen in de begroting (voor 2016 is dat ). Verder zouden hieronder de gevormde bestemmingsreserve genoemd kunnen worden. Dit zijn reserves met een bestedingsfunctie waarbij geld is weggezet voor toekomstige uitgaven of investeringen. Bij een bestemmingsreserve is weliswaar sprake van een vastgelegde toekomstige onttrekking, maar er bestaat nog geen verplichting. Het Algemeen Bestuur heeft dan ook alle mogelijkheid, als dat noodzakelijk is, om de bestemming van deze reserves te wijzigen. Daarom maken reserves deel uit van de beschikbare weerstandscapaciteit. Het weerstandsvermogen Het weerstandsvermogen is een waarborg voor de financiële gezondheid van de GBLT. Het weerstandsvermogen geeft aan hoe robuust de financiële huishouding is. Het is een maatstaf voor de mate waarin de GBLT in staat is om de gevolgen van financiële risico s op te vangen zonder dat het beleid of de uitvoering daarvan in gevaar komt. Als een niet afgedekt risico zich voordoet, zal dat moeten worden opgevangen. Het weerstandsvermogen is voldoende als financiële tegenvallers goed opgevangen kunnen worden. Het Algemeen Bestuur kan kaders en eisen stellen aan het weerstandsvermogen. Het gaat dan om een normatief kader voor de verhouding tussen de beschikbare weerstandscapaciteit en alle gewogen risico s. Er zijn verschillende mogelijkheden om met de omvang van de aanwezige risico s om te gaan in relatie met het weerstandsvermogen. Die totale omvang van de risico s kan als een gegeven beschouwd worden. Alle gewenste activiteiten worden uitgevoerd en vervolgens wordt er naar gestreefd om te realiseren dat de aanwezige vrij inzetbare reserves hoog genoeg zijn om de risico s die met de activiteiten samenhangen, te dekken. Het alternatief is dat Het Algemeen Bestuur er voor kiest om een beperkt deel van de berekende weerstandscapaciteit beschikbaar te stellen voor de risico s waarvoor dan de bestemmingsreserves kunnen dienen. Om vast te stellen dat het weerstandsvermogen op het gewenste niveau is, wordt periodiek een signaal afgegeven bij een dreigend tekort of overschot. Dit gebeurt door: 1) voor de beschikbare weerstandscapaciteit (reserves) bij de begroting en jaarrekening inzicht te geven in: - het saldo aan het begin van het jaar; - de toevoegingen of onttrekkingen gedurende het jaar; - het saldo aan het einde van het jaar. 2) per top tien-risico bij de programmabegroting en jaarrekening op administratief niveau inzicht te geven in de mutatie ten opzichte van het vorige P&C product. Risico s zijn onvermijdelijk. We moeten ons er financieel op voorbereiden dat sommige risico s zich zullen effectueren, en dat ons dat geld zal kosten. Risico s zijn er ook op niet financieel vlak. heeft betrekking op het omgaan met risico s. Het feit dat risico s onvermijdelijk zijn betekent niet dat we passief afwachten wat op ons afkomt. Het actief omgaan met die risico s, om de gevolgen zo beperkt mogelijk te houden, dat is risicomanagement. Integraal risicomanagement is een systematisch en cyclisch proces van identificeren, beoordelen en kwantificeren van risico s, het bepalen en uitvoeren van activiteiten en maatregelen die de kans van optreden en/of de gevolgen van risico s beheersbaar houdt en het evalueren en rapporteren over de verschillende stappen in het proces.

9 is een hulpmiddel om risico s op een gestructureerde en expliciete manier in kaart te brengen, te evalueren en te beheersen. is gebaseerd op het maken van risicoanalyses. richt zich op het beheersen van processen zodanig dat risico s voorkomen of beheerst worden, zodat deze zich niet (in volle omvang) manifesteren. gaat dus niet over schadebeperking na het effectueren van een risico. Doel van het risicomanagement is te zorgen dat de mate van risico die de GBLT loopt overeenkomt met de mate van risico die de GBLT wenst te lopen op weg naar het bereiken van haar doelstellingen. Uitgangspunt hierbij is dat bekende risico s veelal beheersbaar zijn en dat onbekende risico s veelal onbeheersbaar zijn. bestaat uit verschillende stappen. Het proces begint met het in kaart brengen van de risico s die de GBLT loopt. Dit noemen we de fase van identificatie en classificatie. Indien mogelijk wordt ook aangegeven wat de omvang van het risico is en wat de kans is dat het risico zich daadwerkelijk zal voordoen. Dit is de fase van kwantificeren. De indeling van de risico s in verschillende soorten (classificatie) is noodzakelijk voor de sturing op en beheersing van de risico s. Voor verschillende soorten risico s zijn namelijk verschillende 'oplossingsrichtingen' (verzekeren, voorziening treffen, weerstandsvermogen, et cetera). Identificeren In deze processtap worden alle mogelijke gebeurtenissen met potentiële risico s geïnventariseerd. Omdat risicomanagement een terugkerend proces is, is dit gekoppeld aan de natuurlijke momenten in de planning en controlcyclus. Bij het identificeren van risico s gaat het om het in kaart brengen van: - Factoren die de realisatie van de bestaande beleidsdoelstellingen in de weg kunnen staan. - Nieuwe ontwikkelingen die op de GBLT af komen (bijvoorbeeld nieuwe/gewijzigde wetgeving). De begroting geeft jaarlijks het actuele overzicht van de financiële risico s. Ook risico s met niet financiële gevolgen worden geïnventariseerd, dit kunnen bijvoorbeeld risico s zijn waaruit imagoschade of politieke schade kan ontstaan. Bij inventarisatie van risico s moet steeds de definitie van een risico in gedachten worden gehouden. Een risico is een onzekere gebeurtenis met (nadelige) gevolgen voor GBLT. Deze gevolgen kunnen beleidsmatig en/of financieel zijn. Bij het begrip weerstandsvermogen ligt de focus op de financiële gevolgen van risico s. Voor het weerstandsvermogen behoren niet tot de risico s: - Gebeurtenissen waarvan bekend is dat ze zullen optreden. Denk hierbij bijvoorbeeld aan de gevolgen van beleid en plannen waarvan we uit ervaring weten dat ze op zullen treden, zoals prijs- en loonstijgingen. Op basis van ervaringsgegevens en gegevens van bijvoorbeeld het CPB kan vooraf een inschatting worden gemaakt van de waarschijnlijke omvang hiervan, zodat deze kosten daarvan via de begroting een integraal onderdeel zijn van de besluitvorming. Wel blijft in dit voorbeeld het risico bestaan dat de werkelijke kosten afwijken van de ingeschatte bedragen. Het ontbreken van financiële dekking behoort niet tot de risico s. Het feit dat er voor dit eventuele verschil geen geld beschikbaar is, is van tevoren bekend en geen onzekerheid. - Gebeurtenissen die voor de GBLT geen financiële gevolgen hebben. Gebeurtenissen die voor de GBLT alleen niet-financiële gevolgen hebben, zoals imagoschade, kwaliteit en tijdigheid van uitvoering van de GBLT taken, komen niet terug in de paragraaf weerstandsvermogen. Tot de verantwoordelijkheden voor het risicomanagement behoort uiteraard wel het omgaan en beheren van risico's met niet-financiële gevolgen. Zeker als daarbij financiële gevolgen voor de deelnemers zijn betrokken; bijvoorbeeld het te laat opleggen van aanslagen.

10 Kansen, dat zijn onzekere gebeurtenissen met positieve gevolgen, behoren ook tot de risico s. Deze zijn in het kader van risicomanagement belangrijk. Voor de berekening van het weerstandsvermogen worden ook de positieve risico s meegenomen. Kwantificeren Het kwantificeren van risico s heeft twee doelen: - ordening aanbrengen om gericht te kunnen sturen en beheersen; - bepalen omvang benodigde weerstandscapaciteit. Het is onmogelijk en onwenselijk om te sturen op grote aantallen risico s. Dit leidt tot versnippering. Bij risico kwantificering gaat het er om ordening in de lijst met risico s aan te brengen, zodat de (meeste) tijd en energie gestoken wordt in de beheersing van en sturing op de risico s die de grootste impact kunnen hebben op de organisatie en de gestelde doelstellingen. Uit de fase van risico identificatie volgt een lijst met risico s die onderling erg verschillen. Handvatten om de mogelijke impact van risico s te bepalen zijn: - de waarschijnlijkheid dat het risico zich daadwerkelijk voordoet. - de geschatte omvang van het risico; De combinatie van deze twee elementen vormt het risico, uitgedrukt in de formule: risico = kans x gevolg. Op basis hiervan wordt ordening in de lijst met risico s aangebracht, die behulpzaam is bij de sturing op en beheersing van risico s. Tegelijkertijd kan deze informatie gebruikt worden voor het bepalen van de benodigde weerstandscapaciteit. Bepalen van de kans, de waarschijnlijkheid dat het risico zich voordoet Hier wordt een inschatting gemaakt van de waarschijnlijkheid dat het risico zich daadwerkelijk voordoet. Voor de mate van waarschijnlijkheid hanteren we drie klassen: - Kleine kans (KK) hanteren we voor risico s waarvan het niet zo waarschijnlijk is dat ze zich daadwerkelijk voor zullen doen. (vuistregel 25%). - Middelgrote kans (MK) hanteren we voor risico s die nog beide kanten op kunnen. Het kan zijn dat ze zich voordoen, het kan ook zijn van niet: het kan vriezen en het kan dooien. (vuistregel 50%). - Grote kans (GK) hanteren we voor risico s waarvan de kans op optreden groot is (vuistregel 75%). Wanneer de kans op effectueren buitengewoon klein is, is er geen sprake van een risico, we hebben het dan over calamiteiten. Een voorbeeld is een neerstortend vliegtuig. Calamiteiten maken geen deel uit van het risicomanagement. Wanneer het vrijwel zeker is dat een gebeurtenis zich voordoet, gezien de waarschijnlijkheid of op basis van ervaringscijfers spreken we evenmin van risico s. Hiervoor wordt begroot of er wordt een voorziening getroffen. Risico s ontwikkelen zich vaak over de tijd. Risico s verschuiven daarmee tussen de verschillende categorieën. Bepalen van de omvang van het risico Bij het bepalen van de omvang van het risico gaan we uit van een situatie dat de gebeurtenis zich daadwerkelijk voordoet. Vanuit die gedachte 'als de gebeurtenis zich voordoet, dan ' maken we een inschatting van het bedrag dat de GBLT kwijt is. Hierbij is volledigheid erg belangrijk: een gebeurtenis kan naast financiële andere effecten hebben. Bij het bepalen van omvang van het risico wordt rekening gehouden met de vermindering van het risico door beheersmaatregelen, met een compensatie of schadevergoeding door derden, en met hetgeen al gedekt is door reserves, voorzieningen, stelposten etc. Het verschil is het netto risico, het nog te dekken gevolg.

11 Sturen en beheersen Er zijn vier mogelijkheden om met een risico om te gaan: 1. vermijden. Dit houdt in dat het beleid waar een risico door ontstaat, wordt beëindigd, op een andere manier wordt vorm gegeven of geen beleid gestart wordt dat een risico met zich meebrengt. Ook kunnen werkprocessen zodanig ingevuld zijn, dat op die manier bepaalde risico s worden vermeden. 2. verminderen Dit kan plaatsvinden door ofwel de waarschijnlijkheid van optreden van de gebeurtenis de oorzaak - terug te brengen of door de omvang van het risico het gevolg - terug te brengen. Bijvoorbeeld door projecten te faseren. Maatregelen voor de reductie van de impact van risico s liggen op het operationele vlak, zoals het nemen van voorzorgsmaatregelen. 3. overdragen. Een voorbeeld hiervan is het beleid dat een risico met zich meebrengt, uit te laten voeren door een andere betrokken partij, die daarbij ook de financiële risico s overneemt. Een ander voorbeeld is verzekeren van het financiële risico. 4. accepteren. Als een risico niet wordt vermeden, beheerst of overgedragen, dan wordt een risico geaccepteerd en zal de eventuele financiële schade volledig middels de weerstandscapaciteit moeten worden afgedekt. Dit betekent niet dat het risico niet beïnvloedbaar is en daarom maar geaccepteerd moet worden. Het betekent dat het risico op dit moment geaccepteerd wordt en niet op één of andere wijze is afgedekt. Mocht de wens bestaan om het risico in de toekomst anders te beheersen dan zal gekozen moeten worden voor vermijden, beheersen of overdragen. Maatregelen voor het verminderen van risico s liggen op het operationele vlak. Het gaat hierbij niet alleen om het kiezen van maatregelen en het implementeren ervan, maar ook om het bewaken en controleren dat de gekozen maatregelen effect hebben en het zo nodig bijsturen hierop. Voor sturing en beheersing zijn niet alleen de individuele risico s van belang, Ook moet in de gaten gehouden worden wat de totale omvang van de risico s is. Hiervoor is aangegeven dat ook positieve risico s relevant zijn. Het spreekt voor zich dat bij positieve risico s de beheersmaatregelen niet bestaan uit vermijden, verminderen en overdragen, maar gericht zijn op zoveel mogelijk profiteren van de kansen. We hebben het dan niet over vermijden, verminderen, overdragen en accepteren, maar over monitoren, uitbuiten, stimuleren en toetrekken. 1. monitoren. Dit betekent dat we alert zijn op het optreden van de mogelijke kans en de manieren bedenken waarop we op de kans reageren. 2. uitbuiten. We voorzien dat de kans zich echt gaat voordoen en bedenken maatregelen om de gevolgen ervan te maximaliseren als dat het geval is. 3. stimuleren We bedenken maatregelen om de waarschijnlijkheid van optreden te vergroten. 4. toetrekken We besluiten een mogelijkheid bewust zelf uit te lokken, om er daardoor optimaal van te profiteren. We zij er daarbij alert op dat er geen nieuwe risico's ontstaan waartegenover we geen maatregelen hebben staan. Risico's en kansen moeten uiteindelijk goed in balans zijn. Financieel afdekken van risico s Tot slot kan op grond van deze analyses bepaald worden hoeveel middelen gereserveerd moeten worden ter afdekking van al deze risico s. Het gaat daarbij om de restrisico s. De mate waarin de getroffen beheersmaatregelen het oorspronkelijke risico terugdringen wordt hierin meegewogen. De uitkomsten hiervan worden afgezet tegen de middelen die de organisatie beschikbaar heeft. We hebben het dan over het weerstandsvermogen.

12 Financiële gevolgen van risico s Uitgangspunt bij het denken over risicomanagement is dat risico s onvermijdelijk zijn voor een organisatie. Ondanks de mogelijkheden van risicomanagement zullen een aantal risico s zich effectueren, financiële gevolgen hebben. Wat is het effect daarvan? Het weerstandsvermogen is een instrument om te beoordelen of een GBLT in staat is de financiële (gevolgen van) risico s op een goede manier op te vangen. Daarbij passen een aantal kanttekeningen. De weerstandscapaciteit bestaat uit middelen en mogelijkheden waarover GBLT beschikt om niet begrote kosten die onverwacht en substantieel zijn, te dekken zonder dat de begroting en de uitvoering van het door Het Algemeen Bestuur bepaalde beleid in gevaar komen. Incidentele risico s Incidentele risico s worden opgevangen met de incidentele weerstandscapaciteit. Voor GBLT is dit het bedrag onvoorzien dat in de begroting is opgenomen. Structurele risico s. Structurele risico s worden opgevangen binnen het weerstandsvermogen, de verhouding tussen de som van de gewogen risico s en de weerstandscapaciteit. Voorgesteld wordt om de verhouding tussen de gewogen risico s en de beschikbare weerstandscapaciteit op 0 te stellen. Dit betekent dat het voordoen van risico s die niet door de weerstandscapaciteit opgevangen kunnen worden voor rekening van de deelnemers komen, e.e.a. conform de geldende kostenverdeelsleutel. Hogere risico s worden dan niet binnen GBLT afgedekt maar gelaten bij de deelnemers. De deelnemers zijn hiervoor hoofdelijk aanspreekbaar. De risico s kunnen verlaagd worden door het stoppen of vertragen van beleid en/of projecten met een groot risicoprofiel en door het verlagen van het risicoprofiel van bestaande en/of geplande projecten en beleid. Verantwoordelijkheden in de praktijk Net als de verantwoordelijkheid voor de GBLT bedrijfsvoering valt de uitvoering van het risicomanagement onder de integrale verantwoordelijkheid van de directie. De directie is verantwoordelijk voor alle doelstellingen en de risico s die hiermee gepaard gaan en de bijbehorende acties die worden ondernomen om deze te beheersen. is een vorm van integraal management. Dit houdt in dat de lijn verantwoordelijk is voor de realisatie van de doelstellingen en de risico s die hiermee samenhangen. Voor GBLT betekent dat dat de afdelingsmanager verantwoordelijk is voor die risico s die binnen de afdeling voorkomen. Deze benadering is logisch omdat de risico s zich veelal functioneel, taakafhankelijk op afdelingsniveau uiten. Op dit niveau zijn de risico s dan vaak ook eerder inzichtelijk te maken, en op dit niveau worden ook de nodige maatregelen geïmplementeerd. Het bestuur Het Algemeen Bestuur heeft een verordenende bevoegdheid, een kader stellende en controlerende functie en budgetrecht. Het is aan Het Algemeen Bestuur om in een nota de beleidskaders vast te stellen ten aanzien van risicomanagement en het weerstandsvermogen. De uitvoering van het risicomanagement is voorbehouden aan het De directie. Het Algemeen Bestuur controleert in hoeverre de uitvoering van het beleid door het de directie binnen de vastgestelde kaders heeft plaatsgevonden. In het jaarverslag zal een paragraaf gewijd worden aan risicomanagement het weerstandsvermogen en de gekwantificeerde risico s en geeft Het Algemeen Bestuur de gelegenheid tot controle achteraf. De bestuursrapportage maakt

13 melding van niet voorziene ontwikkelingen ten aanzien van de risico s, de effectuering daarvan of de risicobeheersing. De directie maakt in de voorbereidingsfase van elk voorstel een risicoafweging. Indien wordt onderkend dat er (substantiële) risico's aanwezig zijn dan worden deze in Bestuursvoorstellen vermeld. Als openbaarmaking van de risico's de positie van de GBLT kan schaden mag in het openbare voorstel verwezen worden naar een geheime bijlage. Door het opnemen van een risicoparagraaf in voorstellen wordt het bestuur in de positie gebracht om vooraf te kunnen sturen. De risicoparagraaf bestaat uit drie stappen: a. identificatie van de risico's; b. analyse en beoordeling van de risico's; c. beheersing van de risico's. De uitkomsten worden zodanig gerapporteerd dat Het Algemeen Bestuur zich een oordeel kan vormen over de risico's en de voorgestelde wijze van afdoening of beheersing. De Directie De Directie is integraal verantwoordelijk voor het strategische risicomanagement en daarmee voor het gehele risicoprofiel van GBLT. Vanuit deze verantwoordelijkheid bepaalt de directie de prioriteiten en de planning en zorgt zij ervoor dat bewust wordt omgaan met risico s en dat dit blijft achterwege indien het de directie signaleert dat er geen relevante risico s zijn. risicomanagement GBLT breed wordt gestimuleerd. Tevens stuurt de Directie op de meest urgente risico s binnen de GBLT en is zij verantwoordelijk voor het realiseren en toepassen van de gedefinieerde beheersmaatregelen. De directie wordt inzake haar verantwoordelijkheden geadviseerd door het managementteam (MT). Het de directie maakt in de voorbereidingsfase van ieder voorstel een risicoafweging. Indien wordt onderkend dat er (substantiële) risico's aanwezig zijn dan worden deze in de voorstellen vermeld. Als openbaarmaking van de risico's de positie van de GBLT kan schaden mag in het openbare voorstel verwezen worden naar een geheime bijlage. Door het opnemen van een risicoparagraaf in voorstellen wordt Het Algemeen Bestuur in de positie gebracht om vooraf te kunnen sturen. De risicoparagraaf bestaat uit drie stappen: a. identificatie van de risico's; b. analyse en beoordeling van de risico's; c. beheersing van de risico's. De uitkomsten worden zodanig gerapporteerd dat Het Algemeen Bestuur zich een oordeel kan vormen over de risico's en de voorgestelde wijze van afdoening of beheersing. De Afdelingsmanagers Bij besluitvorming omtrent nieuw beleid wordt rekening gehouden met bijbehorende risico s. Bij substantiële nieuwe voorstellen aan het bestuur wordt een risico-analyse uitgevoerd. Hier ligt een taak van de integraal manager erop toe te zien dat in de advisering dit aspect is opgenomen, zodat het bestuur een objectief en afgewogen besluit op (nieuwe) voorstellen kan nemen, rekening houdend met mogelijke risico s en de (financiële) consequenties. De afdelingsmanager is eindverantwoordelijk voor alle risico s die binnen zijn afdeling bestaan. De manager onderkent zelf tijdig eventuele risico s en neemt passende maatregelen. De manager wordt hierbij ondersteund door de afdeling Bedrijfsbureau. Periodiek bespreekt de afdelingsmanager de risico s binnen zijn afdeling, daarbij wordt beoordeeld in hoeverre de beheersmaatregelen toereikend zijn. Daarnaast bespreekt de afdelingsmanager de belangrijkste risico s met de directie. De afdelingsmanager zorgt er verder voor dat het risicobewustzijn binnen zijn afdeling wordt gestimuleerd. De afdelingsmanager neemt de belangrijkste risico s en bijbehorende beheersmaatregelen op in het afdelingsplan.

14 De coördinator De coördinator is verantwoordelijk voor de risico s die zich voordoen binnen het eigen team. De inventarisatie van risico s start bij de coördinator die de risico s beoordeelt tegen de achtergrond van de actuele ontwikkelingen en inzichten van het komende begrotingsjaar. De coördinator kwantificeert de risico s, formuleert beheersmaatregelen en draagt zorg voor communicatie van de risico s binnen het team en richting de afdelingsmanager. Periodiek actualiseren de coördinators hun risico-overzichten ten behoeve van de verschillende rapportages, zoals afdelingsplan, begroting, jaarverslag en tussentijdse rapportages. Hierbij worden ook passende beheersmaatregelen ontworpen. De coördinator is tevens verantwoordelijk voor het toepassen van deze beheersmaatregelen. Opdrachtgever projecten De ambtelijk opdrachtgever van projecten is in de regel een lid van de directie of een afdelingsmanager. Diens verantwoordelijkheden voor risico s binnen projecten komen overeen met zijn verantwoordelijkheden voor de risico s die binnen de organisatie of zijn afdeling of bestaan, zoals boven beschreven. De Projectleider De projectleider is verantwoordelijk voor alle risico s die zich binnen het eigen project voordoen. De projectleider onderkent zelf tijdig eventuele risico s en neemt passende maatregelen. Periodiek bespreekt de projectleider de risico s binnen het projectteam. Daarnaast bespreekt de projectleider de risico s ook periodiek met zijn ambtelijk en bestuurlijk opdrachtgevers. Voor projecten dient de risicorapportage aan te sluiten bij de belangrijke mijlpalen en beslismomenten van het project. De Concerncontroller en de afdeling Bedrijfsbureau is vanuit de gedachte van integraal management een zaak van het management van de verschillende onderdelen van de organisatie. De concerncontroller - faciliteert de organisatie om op uniforme wijze risico s te identificeren en te beoordelen; - fungeert als centraal aanspreekpunt in de organisatie op het gebied van risicomanagement; - constateert of in de organisatie risicomanagement naar behoren verloopt en helpt de mogelijke problemen op te lossen en/het risicobewust zijn in de organisatie verhogen. Het cluster Controlling van het Bedrijfsbureau ondersteunt de concerncontroller hierbij. Om risicomanagement effectief te implementeren wordt vanuit het cluster Controlling toegezien op de gemaakte afspraken. Cluster controlling - beheert het GBLT brede overzicht van risico s en kansen. - adviseert de directie over de concern brede risico s en brengt deze in beeld - adviseert de directie op basis van de periodieke risico-actualisatie over de toereikendheid van de weerstandscapaciteit De directiebesluiten zijn onderbouwd door advisering over risico s, de analyse en de toekomstige beheersing daarvan, die aan het voorgenomen besluit of alternatieven verbonden zijn.

15 De deelnemers In het implementatieplan zal uitgewerkt worden hoe de binnen GBLT gesignaleerde (belastingen gerelateerde) risico s een plaats kunnen krijgen binnen het risicobeheersingssystemen van de deelnemers. Hiervoor zal afstemming gezocht worden met diegene die zich binnen de deelnemer(s) bezighoud met het risicobeheersingssysteem van die deelnemer(s). Voor het proces houdt dit voor de deelnemers in dat na behandeling van deze nota in het Algemeen Bestuur van GBLT een implementatieplan gemaakt gaan worden waarin een proces opgenomen wordt om het risicomanagement van GBLT en af te stemmen met de opdrachtgevers, zodat zij kunnen zorgdragen voor weerstandsvermogen (of andere beheersmaatregelen). Risico s beheersen doen we samen, zo luidt het devies. Sturing door Het Algemeen Bestuur, relatie met planning en controlcyclus Hoe stuurt Het Algemeen Bestuur op weerstandsvermogen en risicomanagement, waar zitten de knoppen? De financiële verordening. Het Algemeen Bestuur stelt de financiële verordening vast met algemene kaders ten aanzien van het financiële beleid en beheer. In deze verordening wordt de verantwoordelijkheid voor het risicomanagement vastgelegd. De nota risicomanagement. Het Algemeen Bestuur stelt op basis van de verordening eens per vier jaar de algemene kaders voor (de opzet en inrichting van het systeem van) het risicomanagement vast in de nota risicomanagement Programmabegroting en rekening Het Algemeen Bestuur stelt in de begroting de omvang vast van het algemene weerstandsvermogen. Hiermee stelt Het Algemeen Bestuur de verhouding vast tussen de benodigde weerstandscapaciteit en de beschikbare weerstandscapaciteit. Praktisch gezien bepaalt Het Algemeen Bestuur daarmee tot welke omvang de reserves gereserveerd blijven om financiële gevolgen van de risicoportefeuille af te dekken. In de programmabegroting en rekening worden in een paragraaf alle op dat moment bekende risico s opgenomen en toegelicht. Risico s die op basis van de Wet Openbaarheid van Bestuur (art 10 en 11) een vertrouwelijk karakter hebben (bijvoorbeeld doordat zij de privacy of vertrouwelijke bedrijfsgegevens van derden betreffen, of doordat publicatie de financiële belangen van GBLT of haar deelnemers zou schaden) worden niet opgenomen in deze paragraaf, maar via vertrouwelijke weg aan Het Algemeen Bestuur ter informatie voorgelegd. Bestuursrapportages In de bestuursrapportages wordt melding gemaakt van eventuele mutaties in de hoeveelheid risico s en/of de omvang ervan en eventueel aanvullende en/of gewijzigde beheersmaatregelen. bij projectmatig werken. Daar waar gewerkt wordt volgens de methodiek van projectmatig werken, worden de reguliere hiërarchische structuren van de lijnorganisatie vervangen door die van de projectorganisatie. Elk project kent bepaalde risico's. technische, financiële, personele en juridische: ze zijn er in alle soorten en maten en komen in elke projectfase voor. Het tijdig onderkennen en beheersen van projectrisico s is een essentieel onderdeel van het projectmanagement. Bij projecten vinden risico s en risicobeheersing uitdrukkelijk een plaats in het op te leveren resultaat.

16 Omdat de risico's van (grote) projecten aanzienlijk kunnen zijn en de realisatie van deze grote projecten een groot financieel, maatschappelijk en soms ook politiek belang hebben, is een actueel en zo volledig mogelijk inzicht in deze risico's noodzakelijk om projecten te kunnen beheersen en voor het bestuur en de directie om juiste beslissingen te kunnen nemen. Uitgangspunten risicomanagement bij projecten Belangrijke uitgangspunten bij de organisatie van risicomanagement voor projecten zijn: - sluit aan bij de bestaande werkwijze. sluit zoveel mogelijk aan bij de bestaande werkwijze binnen het project. Het rapporteren over risico's en de genomen beheersmaatregelen gebeurt op hetzelfde niveau en op hetzelfde tijdstip als het rapporteren over de bijbehorende beheersaspecten, bijvoorbeeld in de voortgangsrapportages. Het identificeren van nieuwe risico s en het bedenken en monitoren van de beheersmaatregelen gebeurt binnen alle project overleggen. - volgt de zeggenschap. Dit betekent dat de verantwoordelijkheid voor een risico daar ligt waar ook de verantwoordelijkheid ligt van het werk waar het risico betrekking op kan hebben. Met andere woorden, elke projectleider of projectteamlid is verantwoordelijk voor het signaleren van en treffen van maatregelen voor de risico s die binnen diens verantwoordelijkheid vallen. - is de verantwoordelijkheid van ieder projectteamlid. Belangrijk voor het succesvol implementeren van risicomanagement in een projectorganisatie is het uitgangspunt, dat de projectteamleden voor het uitvoeren van risicomanagement zelf verantwoordelijk externe partij hierbij ondersteunen. Het risicomanagement wordt een periodiek terugkerend onderdeel van de teamvergaderingen. De medewerkers dienen het belang er van in te zien: het moet leven binnen het project. Samenvattend: waar staan we nu en wat gaan we doen. De financiële verordening kent geen bepalingen over risico s en risicomanagement. Het past bij het belang van risicomanagement dat Het Algemeen Bestuur risicomanagement een duidelijker plaats geeft in de verordening financieel beheer. In het onder mandaatbesluit van de directeur wordt vastgelegd dat de budgethouder verantwoordelijk is voor niet alleen het budget maar ook voor het beheer van de risico s die aan het budget en de daaraan gegeven bestemming verbonden zijn. Hiertoe wordt gerekend het benoemen van risico's, het waar mogelijk bepalen van de omvang van het risico en het nemen van maatregelen ter beperking van de risico's. Naast deze twee formele kaders worden in deze nota een aantal kaders gegeven voor het risicomanagement. Het risicomanagement, het signaleren, kwantificeren en beheersen van risico s wordt op een projectmatige wijze ingevoerd in de organisatie. Een belangrijk onderdeel daarvan is het in de organisatie en bestuur noodzakelijke risicobewustzijn. MT, directie en bestuursvoorstellen worden voorzien van een risicoparagraaf. In deze paragraaf wordt melding gemaakt van (substantiële) risico s die verbonden zijn aan het voorstel (en eventuele alternatieven). Daarbij wordt ingegaan op de omvang van het risico en de beheersmaatregelen. Uit het voorstel blijkt helder wie verantwoordelijk is voor het beheer van het risico.