Statenvoorstel nr. PS/2013/8733

Transcriptie

1 Statenvoorstel nr. PS/2013/8733 Nota Risicomanagement Datum GS-kenmerk Inlichtingen bij / Dhr. R. Anderson telefoon Aan Provinciale Staten Onderwerp Nota Risicomanagement Bijlagen I. Ontwerpbesluit nr. PS/2013/873 II. Nota Risicomanagement(te raadplegen via onder het bovengenoemde PS-kenmerk en ligt ter inzage bij de receptie van het Provinciehuis) Samenvatting van het voorgestelde besluit PS stelt de nota Risicomanagement vast, welke is geactualiseerd op basis van het eerder uitgevoerde 217a onderzoek. Inleiding en probleemstelling In 2009 is, tegelijkertijd met de vaststelling van het risicomanagementbeleid, door PS vastgesteld dat het risicomanagementbeleid in 2013 geactualiseerd dient te worden. In 2013 is tevens het 217a onderzoek naar risicomanagement uitgevoerd. De resultaten hiervan zijn meegenomen in het voorliggende geactualiseerde risicomanagementbeleid (zie bijlage II). Overwegingen Op 13 november 2012 hebben wij besloten een 217a onderzoek te laten uitvoeren naar het risicomanagementsysteem binnen de provincie. Het onderzoek kende de volgende opdracht: Onderzoek of het risicomanagementsysteem dat de provincie Overijssel inzet doelmatig en doeltreffend functioneert en geef, waar mogelijk, verbeteringen voor het risicomanagementsysteem aan. De rapportage is in april 2013 door ons vastgesteld. De resultaten zijn in juni 2013 ter kennisname aangeboden aan PS. Na een nadere analyse van de bevindingen van het 217a onderzoek, zijn door ons drie hoofdthema s benoemd die verwerkt moesten worden in de actualisatie van het risicomanagementbeleid. 1. De verschillende rollen binnen het risicomanagement zullen verhelderd, geformaliseerd en gefaciliteerd moeten worden. Het betreft hier dan zowel de rol van PS en GS als de verschillende interne ambtelijke rollen. 2. De spelregels rondom het weerstandsvermogen zullen helder geformuleerd en gecommuniceerd moeten worden. 3. Het nieuw te formuleren beleid zal het cyclische karakter van risicomanagement moeten

2 benadrukken. Aandachtspunten daarbij zijn het het nemen en evalueren van beheersmaatregelen. f'"s Deze thema's zijn verwerkt in het voorliggende nieuwe risicomanagementbeleid. In het nieuwe risicomanagementbeleid is scherper in beeld gebracht welke activiteiten behoren tot het risicomanagementproces. Aan de activiteiten binnen het risicomanagement ligt een risicomanagementmodel ten grondslag dat nadrukkelijk aandacht besteedt aan de verschillende rollen van PS, GS en ambtelijke organisatie (hoofdstuk 2). Zo stelt PS de kaders voor het risicomanagement vast, maar zijn GS integraal verantwoordelijk voor een adequaat risicomanagement (2.3). Verder zijn de spelregels rondom het weerstandsvermogen expliciet opgenomen in het nieuwe risicomanagementbeleid. Elk project, programma of fonds zal in principe een eigen risicoreservering moeten opnemen van minimaal 10% (tenzij anders besloten door GS). Mocht deze reservering ontoereikend zijn, dan kan pas na een analyse een beroep worden gedaan op de saldireserve (het provinciale weerstandsvermogen)(3.3 en 4.2). Tot slot is het nieuwe risicomanagementbeleid gebaseerd op een risicomanagementmodel dat een cyclisch karakter heeft en aansluit op de P&C cyclus. De cyclus bestaat daarbij uit sturen, beheersen, verantwoorden en toezicht houden (2.2 en 3.2). Het nieuwe risicomanagementbeleid besteedt nadrukkelijk aandacht aan de informatievoorziening richting PS ten aanzien van risico's. Zo zullen in de monitors, de kerntaken beg roting en de jaarrekening, maar ook in de perspectiefnota de meest relevante risico's geduid worden en zal inzicht worden gegeven in de manier waarop wij met deze risico's omgaan en welke beheersmaatregelen getroffen worden. Daarnaast zal PS separaat geïnformeerd worden ten aanzien van risico's die zich voordoen, mocht daartoe aanleiding zijn. De ambtelijke verantwoordelijkheden zullen moeten worden uitgewerkt in nader op te stellen uitvoeringsregels, aanvullend op het geactualiseerde risicomanagementbeleid. Ook voor de spelregels met betrekking tot het weerstandsvermogen zullen nadere uitvoeringsregels worden opgesteld. Deze uitvoeringsregels worden na vaststelling van het nieuwe risicomanagementbeleid geformuleerd en uiterlijk medio 2014 door ons vastgesteld. Het streven is om de informatievoorziening zoals hierboven geschetst, na vaststelling van de uitvoeringsregels, in het najaar van 2014 zijn beslag te laten krijgen, voor zover dat nog niet gebeurd is. Conclusie De bevindingen van het eerder uitgevoerde 217a onderzoek naar risicomanagement zijn vertaald naar de nieuwe nota risicomanagement, welke ter vaststelling wordt aangeboden aan PS. Voorstel Gelet op het voorgaande stellen wij u voor het besluit te nemen, als in concept in bijlage I verwoord. Gedeputeerde Staten van Overijssel, voorzitter, secretaris, Statenvoorstel nr;-ips/2013

3 Bijlage I Ontwerpbesluit nr. PS/2013/873 Provinciale Staten van Overijssel, gelezen het voorstel van Gedeputeerde Staten d.d. 29 oktober kenmerk 2013/ besluiten: 1. De geactualiseerde nota Risicomanagement vast te stellen, als bijgevoegd (bijlage II). Zwolle, Provinciale Staten voornoemd, voorzitter, griffier, Statenvoorstel nr. PS/2013 3

4 Nota Risicomanagement

5 INHOUDSOPGAVE 1. AANLEIDING EN DOEL NOTA RISICOMANAGEMENT Achtergrond en scope Doel nota risicomanagement Leeswijzer 4 2. RISICOMANAGEMENT Doelstellingen Risicomanagementmodel Rollen en verantwoordelijkheden 6 3. STUREN Risico P&C cyclus Weerstandsvermogen 9 4. BEHEERSEN Identificeren Beheersmaatregelen VERANTWOORDING TOEZICHT CONTINUE VERBETERING 15 2

6 1. Aanleiding en doel nota risicomanagement 1.1 Achtergrond en scope In het risicomanagementbeleid dat in 2009 is vastgesteld door Provinciale Staten (PS/2009/358) staat vermeld dat de provincie Overijssel het risicomanagementbeleid om de vier jaar herijkt. Daarmee kan de provincie relevante ontwikkelingen intern en extern een plaats geven in de voortgaande beweging tot verbetering. In 2008 en 2009, ten tijde van het opstellen van het risicomanagementbeleid, stond het risicomanagement bij de provincie Overijssel nog in de kinderschoenen. In de jaren daarvoor werden eens per vier jaar alleen de risico s herijkt en gekwantificeerd. Met de komst van het nieuwe beleid in 2009 kwam de focus meer te liggen op de beheersing van de werkzaamheden aan de hand van risico s. En daarmee kwam er binnen de organisatie een meer proactieve houding in het identificeren en beheersen van risico s. In vier jaar tijd is veel werk verzet op dit vlak. De organisatie is bij de hand genomen om risico s te identificeren, te analyseren, te beheersen en te monitoren. Risicobewustzijn en inbedding van risicomanagement in de organisatie zijn daadoor verbeterd. Met name de beperktere financiële mogelijkheden, zowel intern als extern, het intensiever uitvoeren van projecten onder eigen verantwoordelijkheid, de introductie van nieuwe instrumenten om doelstellingen te realiseren (zoals het verstrekken van leningen en het participeren in ondernemingen) en het meer in samenwerking met andere organisaties uitvoeren van werkzaamheden (bijvoorbeeld in de vorm van Shared Service Centers), dwingen de provinciale organisatie nu om de beheersorganisatie nog sterker en meer risk-based neer te zetten. Het is nodig dat risicomanagement daarin een voorname rol speelt. Zowel de ambtenaren als het bestuur dienen zich de komende tijd nog bewuster te zijn van de gevolgen van risico s en het beheersen daarvan. In 2013 is het 217a onderzoek naar het risicomanagement binnen de provincie uitgevoerd. De aanbevelingen van dit onderzoek zijn waar mogelijk verwerkt in deze nota. 1.2 Doel nota risicomanagement Met het nieuwe risicomanagementbeleid geeft de provincie Overijssel aan: Waarom risicomanagement belangrijk is voor de organisatie; Hoe in de toekomst omgegaan dient te worden met het beheersen van risico s; 3

7 Wie er in de organisatie verantwoordelijk is voor het identificeren, sturen en beheersen van risico s. 1.3 Leeswijzer Deze nota geeft het risicomanagementproces weer. In hoofdstuk 1 worden de achtergrond, doel en scope van deze nota belicht. Aan de hand van de risicomanagementcyclus zoals beschreven in hoofdstuk 2 zal in de hoofdstukken daarna een toelichting gegeven worden op onderdelen van deze cyclus. Hoofdstuk 3 gaat in op kaderstelling en strategie, waaronder de verbinding met de P&C cyclus, de opbouw van het weerstandsvermogen en de rolverdeling binnen het risicomanagementproces. De beheersing van risico s komt vervolgens aan bod in hoofdstuk 4, waarbij aandacht besteed wordt aan de identificatie van risico s maar ook aan de inzet van beheersmaatregelen. Hoofdstuk 5 gaat in op de verantwoording via de paragraaf weerstandsvermogen. Het monitoren van resultaten om tijdig risico s te signaleren, adequate maatregelen te treffen en tijdig bij te kunnen sturen komt aan de orde hoofdstuk 6. Als laatste wordt ingegaan op de continue verbetering van het risicomanagementproces. 2. Risicomanagement 2.1 Doelstellingen Risicomanagement is een middel om op gestructureerde wijze om te gaan met het beheersen van risico s in relatie tot organisatie- en/of beleidsdoelstellingen. Daarbij dient risicomanagement binnen de gehele organisatie ingebed zijn en betreft het een proactief en continu proces. Risicomanagement neemt binnen de sturing en beheersing een belangrijke rol in. Het heeft tot doel: 1. Inzicht te geven in de risico s die het bereiken van de doelstellingen bedreigen en het beheersen van deze risico s: Risico s dienen te worden gerelateerd aan de te behalen doelstellingen en resultaten. 2. Het monitoren van de uitputting van de risicoreserveringen: Reserves voor het opvangen van risico s dienen een reëel beeld te geven. 3. Het mede verantwoorden richting ambtelijke en bestuurlijke organisatie: Verantwoording over risico s geeft een beeld van de haalbaarheid van doelstellingen en resultaten. 4

8 Daarnaast kent het risicomanagementbeleid enkele aanvullende doelstellingen: 4. Het voldoen aan de wettelijke verplichtingen: Het BBV schrijft voor dat bij zowel de begroting als bij het jaarverslag een paragraaf weerstandsvermogen wordt opgenomen. Waarbij een inventarisatie van de risico s en de beschikbare reserves voor het opvangen van deze risico s gemaakt moet worden. 5. Het optimaliseren van de interne beheersing: Het managen en beheersen van risico s maakt onderdeel uit van het integrale (project)management. 6. Risicomanagement moet onderdeel zijn van de planning & control cyclus: Risico s dienen te worden gerelateerd aan de te behalen doelstellingen en resultaten. Over het verloop hiervan wordt verantwoording afgelegd in de diverse P&C documenten. 7. Het risicobewustzijn van de organisatie stimuleren en vergroten: Inzicht in de risico s die de provincie loopt, begint bij het risicobewustzijn van de medewerkers in de organisatie. Als zij risicobewust zijn in hun dagelijkse werkzaamheden, zal het inzicht in de risico s toenemen en kan proactief ingespeeld worden op de risico s. 2.2 Risicomanagementmodel Onderstaand model (figuur 1) is de basis voor het risicomanagement binnen de provincie. De kaderstelling en strategie zijn nodig om richting te geven aan het risicomanagement ten dienste van het behalen van de door de organisatie gedefinieerde resultaten en doelstellingen. Beheersen omvat het inventariseren en analyseren van risico s en het inzetten van beheersmaatregelen. Toezicht betreft het monitoren van risico s en beheersmaatregelen binnen een omgeving die voortdurend aan verandering onderhevig is. Verantwoording over de risico s, reserveringen en de ontwikkelingen daarin wordt gedaan via de paragraaf weerstandsvermogen van begroting en jaarrekening. De continue verbetering staat voor aanpassingen en verbeteringen op de onderdelen van onderstaand model op basis van nieuwe inzichten uit evaluaties en audits. 5

9 Sturen Kaderstelling en strategie Beheersen Risicoanalyse en Beheersmaatregelen Continue verbetering Toezicht Monitoren resultaten Verantwoording Toezicht en toetsing Figuur 1: Risicomanagementmodel provincie Overijssel 2.3 Rollen en verantwoordelijkheden De provincie Overijssel onderscheidt in haar beleid drie actoren die een rol hebben in het risicomanagementproces. Provinciale Staten Provinciale Staten stellen het risicomanagementbeleid vast voor een periode van vier jaar. Ook stellen zij de begroting met de paragraaf over het weerstandsvermogen vast. Provinciale Staten geven daarmee de kaders aan waarbinnen het weerstandsvermogen van de provincie Overijssel moet blijven. Provinciale Staten worden in haar toezichthoudende taak ondersteund door de accountant en de Provinciale Rekenkamer. Bij onduidelijkheden of aandachtspunten zullen zij rapporteren aan Provinciale Staten. Op verzoek kan de Rekenkamer zich verder verdiepen in risicomanagement. Gedeputeerde Staten Het risicomanagement van de provincie Overijssel valt onder de integrale verantwoordelijkheid van Gedeputeerde Staten. Gedeputeerde Staten zijn uiteindelijk verantwoordelijk voor alle provinciale risico s en de acties die worden ondernomen om deze te beheersen. Gedeputeerde Staten dienen bij de besluitvorming na te gaan wat de belangrijkste risico s zijn en hierover te rapporteren aan Provinciale Staten, zodat zij op de hoogte zijn van de risico s die de doelrealisatie van het beleid in de weg kunnen staan. Dit gebeurt in de regel in de bestaande verantwoordingsstukken van de P&C 6

10 cyclus danwel meer in het bijzonder in de afzonderlijke voorstellen wanneer het onderwerp of risicobedrag hiertoe aanleiding geeft. Ambtelijke organisatie Risicomanagement is een vorm van integraal management. Dit houdt in dat de lijn verantwoordelijk is voor het beheersen van risico s. Voor de provincie Overijssel komt het er op neer dat de eenheidshoofden en ambtelijk opdrachtgevers (AOG s) verantwoordelijk zijn voor het beheersen van de risico s in respectievelijk de eenheden en de programma s/projecten/fondsen. De directie is verantwoordelijk voor het beheersen van de risico s op concernniveau en de verdere ontwikkeling van risicomanagement binnen de gehele organisatie. De ambtelijke organisatie stelt parallel aan de P&C cyclus het organisatiebrede risicoprofiel vast, monitort deze, en draagt zorg voor de beheersmaatregelen. Verder wordt binnen de ambtelijke lijn de juiste houding en gedrag ten aanzien van het analyseren en beheersen van de risico s gestimuleerd. In onderstaande tabel (tabel 1) zijn de verantwoordelijkheden per onderdeel van het model in beeld gebracht. Provinciale Staten Gedeputeerde Staten Ambtelijke organisatie Sturen Bepalen kaders en Advies/feedback Adviseren/ informatie strategie verstrekken en opstellen Beheersen Toezicht Geeft opdracht en toetst Formuleert, voert uit en monitort Toezicht Toezicht en controle Ontwikkeling kaders maatregelen Informatie verstrekken en controle Verantwoording Controle Toezicht en Continue monitoren verantwoording Continue verbetering Feedback geven bij Advies betreffende Signaleren/ formuleren verbeteren beleid verbetering beleid en implementeren Tabel 1: Verantwoordelijkheden risicomanagement binnen de provinciale organisatie. 7

11 3. Sturen 3.1 Risico Een risico kan worden ervaren als een fenomeen dat verborgen aanwezig is en dat met een bepaalde kans tot (negatieve) gevolgen kan leiden en de continuïteit of doelrealisatie van de organisatie in gevaar kan brengen. Binnen de Provincie Overijssel wordt de volgende definitie gehanteerd: Een risico is de kans op het optreden van een gebeurtenis met een negatief gevolg voor het behalen van de doelstelling. Uit voorgaande definitie van een risico volgt dat een goede omschrijving van een risico drie elementen bevat: Een kans op het optreden van een gebeurtenis. Als het optreden van een gebeurtenis 100% zeker is, is het geen risico meer. Negatief gevolg. De gevolgen kunnen zowel financieel als niet-financieel van aard zijn. Een doelstelling, in casu de doelstellingen van de Provincie Overijssel. Typen risico s Er zijn verschillende typen risico s te onderkennen met een eigen specifieke oorzaak en gevolg. Bij de provincie Overijssel wordt gekeken naar alle risico s die gevolgen kunnen hebben voor het behalen van de doelstellingen. Om gericht risico s te benoemen en te clusteren worden over het algemeen de volgende risicocategorieen nader onderscheiden. Risico s kunnen van juridische, financiele, technische, ruimtelijke, politieke en maatschappelijke aard zijn. Risico s van andere aard worden overigens niet uitgesloten, mits deze van invloed zijn op het behalen van de doelstellingen. 3.2 P&C cyclus Risicomanagement maakt onderdeel uit van de P&C functie. Deze functie richt zich immers op de beheersing van de provinciale organisatie en risicomanagement maakt daar een essentieel onderdeel van uit. Via de paragraaf weerstandsvermogen wordt gecommuniceerd over de belangrijkste risico s van de organisatie. Conform artikel 11 van het BBV dient in de paragraaf weerstandsvermogen in ieder geval opgenomen te worden: 1. Inventarisatie van de weerstandscapaciteit; 2. Inventarisatie van de risico s; 3. Het beleid omtrent de (weerstandscapaciteit) en de risico s. 8

12 Als hiervoor vermeld staat risicomanagement ten dienste van het behalen van de organisatiebrede doelstellingen. Om duidelijk zicht op risico s in relatie tot doelstellingen te creëeren en te behouden wordt de doelenboom uit de Kerntakenbegroting als kapstok gebruikt voor het risicomanagement. Risico s worden verbonden aan prestaties (zoals processen, projecten en programma s) en prestaties aan doelen. Zo ontstaat inzicht in de risico s die van invloed kunnen zijn op de te behalen prestaties en doelbereik. De verantwoording van GS naar PS vindt vanaf prestatieniveau plaats via de reguliere P&C producties. De monitors, maar ook de perspectiefnota, de kerntakenbegroting en de jaarrekening geven inzicht in de meest relevante risico s en de manier waarop GS deze risico s beheersen. Zo wordt PS periodiek en systematisch op de hoogte gehouden van de aanwezige risico s en de effectiviteit van de getroffen beheersmaatregelen. Uiteraard wordt PS tussentijds en separaat over het risicoverloop geïnformeerd, mocht daartoe aanleiding zijn. Een goede beheersing van de risico s vindt uiteindelijk zijn weerslag binnen de P&C functie. Door het inzetten van beheersmaatregelen of door veranderingen in de omgeving verandert het risicoprofiel. 3.3 Weerstandsvermogen Benodigde weerstandscapaciteit Op basis van het gekwantificeerde (kans x gevolg) risicoprofiel van de Provincie Overijssel kan de benodigde weerstandscapaciteit worden berekend. De benodigde weerstandscapaciteit wordt berekend op basis van een risicosimulatie. Uitgangspunt hierbij is een statistische benadering die er van uit gaat dat nooit alle risico s zich én tegelijk, én in hun maximale omvang voordoen. Het zekerheidspercentage dat de komende vier jaar wordt gehanteerd is 90%. Dat betekent dat er een kans bestaat van 90% dat alle risico s zich tegelijkertijd voor doen. Om de benodigde weerstandscapaciteit op het wenselijke niveau te houden dienen projecten, programma s en fondsen een risicoreservering aan te houden binnen het project-, programma- of fondsbudget. Indien het project, programma of fonds onder de verantwoordelijkheid van de provincie Overijssel wordt uitgevoerd, dient minimaal 10% van het totale budget (van het project, programma of fonds) gereserveerd te worden voor het opvangen van risico s. Dit is een gangbaar en landelijk gehanteerd percentage. Op het moment echter dat een risicoanalyse aangeeft dat de aan te houden risicoreservering groter of lager dan 10% moet zijn, zal deze analyse leidend zijn in de bepaling van de benodigde weerstandscapaciteit binnen een project, programma of fonds, een en ander na een expliciet besluit van GS. Een expliciet gemotiveerd besluit van GS kan dus leiden tot het verhogen of verlagen van de door het project, programma of fonds aangehouden 9

13 risicoreserve, op basis van een interne tweede en derde lijn analyse (zie 4.2). Opgemerkt wordt, dat de norm van 10% niet dogmatisch moet worden opgevat. Projecten en programma s verschillen immers in aard en fase en kennen dus een verschillend risicoprofiel. Het belang van een periodieke risicoanalyse om het juiste percentage te bepalen, is dan ook groot: maatwerk blijft noodzakelijk en wenselijk. Op het moment dat de financiele gevolgen van risico s de aangehouden risicoreservering dreigen te overstijgen zullen Provinciale Staten moeten beslissen om het provinciale weerstandsvermogen aan te spreken, een en ander nadat een interne analyse is uitgevoerd (zie 4.2). Voor projecten, programma s of fondsen die niet onder de verantwoordelijkheid van de provincie worden uitgevoerd hoeft geen risicoreservering aangehouden te worden. Voor verhoging van de cofinancieringsbijdrage mag het weerstandsvermogen niet aangesproken worden. De volgende risico s kunnen van materiele betekenis zijn in relatie tot de financiele positie maar worden niet meegenomen in het weerstandsvermogen: Kortingen: een voorziene (structurele) afname van inkomsten van de organisatie. Kortingen worden verwerkt in de Kerntakenbegroting van het komende begrotingsjaar. De provincie anticipeert op kortingen, waarmee een maatregel wordt getroffen die kortingsrisico s buiten de reikwijdte van het weerstandsvermogen plaatst. Kosten: gebeurtenissen waarvan zeker is dat ze zich voor gaan doen en waarvan de omvang ook al bekend is. Kosten dienen als voorzieningen meegenomen te worden en kunnen dus buiten beschouwing gelaten worden. Beschikbare weerstandscapaciteit De beschikbare weerstandscapaciteit bestaat uit de saldireserve en diverse bestemmingsreserves. De saldireserve is een reserve die uitsluitend gebruikt wordt om financiën te reserveren ter afdekking van risico s uit het concernbrede risicoprofiel. Bestemmingsreserves worden opgenomen voor specifieke prestaties. Een deel van deze reservering kan beschikbaar worden gehouden voor risico s binnen deze specifieke prestaties. Binnen projecten, programma s en fondsen wordt ook een risicoreservering aangehouden (post onvoorzien). Hoewel deze reservering formeel niet tot de beschikbare weerstandscapaciteit behoort, maakt de provincie Overijssel deze wel inzichtelijk. Elk project, programma en fonds neemt de post onvoorzien expliciet op (minimaal 10%, zie 3.3 en 4.2). Oordeel over het weerstandsvermogen De benodigde weerstandscapaciteit die uit de risicosimulatie voortvloeit, kan worden afgezet tegen 10

14 de beschikbare weerstandscapaciteit. De uitkomst van die berekening vormt de ratio weerstandsvermogen. Ratio weerstandsvermogen = Beschikbare weerstandscapaciteit Benodigde weerstandscapaciteit Om het weerstandsvermogen te kunnen beoordelen is een ratio van toepassing. Hiertoe wordt gebruik gemaakt van onderstaande waarderingstabel 1. Waarderingscijfer Ratio weerstandsvermogen Betekenis A 2,0 < x Uitstekend B 1,4 < x < 2,0 Ruim voldoende C 1,0 < x < 1,4 Voldoende D 0,8 < x < 1,0 Matig E 0,6 < x < 0,8 Onvoldoende F x < 0,6 Ruim onvoldoende Tabel 2: Waarderingstabel weerstandsvermogen Zoals vastgesteld in de Perspectiefnota 2013 wordt gedurende de looptijd van Kracht van Overijssel (KvO) een minimale ratio van 1,6 gehanteerd (categorie B). Dit om voldoende dekking te hebben voor de risicovolle prestaties en de stapeling daarvan binnen het programma. Na de realisatie van deze risicovolle prestaties kan de ratio teruggebracht worden naar categorie C, een voldoende niveau. Conform besluit (PS/2009/358) dient eens per vier jaar deze ratio vastgesteld te worden. Indien de situatie daartoe aanleiding geeft kan de ratio tussentijds gewijzigd worden. Visie op control De ambtelijke organisatie van de provincie Overijssel werkt met een Three Lines of defence Model. Dit model onderscheidt verschillende verantwoordelijkheden voor control (en dus risicomanagement). 1. De 1 e lijn: medewerkers, (adjunct) hoofden eenheden, programma- en projectleiders en de directie zijn in de eerste plaats zelf verantwoordelijk voor de sturing en beheersing van de eigen werkzaamheden. 1 Deze normeringssystematiek voor het weerstandsvermogen is ontwikkeld door het Nederlands Adviesbureau voor Risicomanagement in samenwerking met de Universiteit Twente. 11

15 2. De 2 e lijn: Specifieke controlfuncties (bijv. financieel en juridisch control, beleidscontrol) binnen de organisatie voeren tweedelijns controles uit op het risicomanagement binnen de eenheden. Bovendien adviseert de tweede lijn de eerste lijn hoe om te gaan met risicomanagement. 3. De 3 e lijn: Concerncontrol levert aanvullende zekerheid aan de directie en GS over risicomanagement. Concerncontrol beoordeelt het risicomanagementsysteem en ziet toe op voldoende beheersing van de risico s door de eerste en tweede lijn. 4. Beheersen 4.1 Identificeren Om een goede sturing op het behalen van de doelstellingen te faciliteren dienen risico s geïdentificeerd te worden. In het geval van de provincie Overijssel vindt identificatie plaats op prestatieniveau. Gebeurtenissen (risico s) worden afgezet tegen de te behalen doelstellingen van de prestaties. Risicovermelding bestaat uit een oorzaak, de gebeurtenis (het risico) en een gevolg. Bovendien zal per risico aangegeven moeten worden wat de kans en het gevolg is. Ten behoeve van de risicoidentificatie staan diverse instrumenten tot de beschikking. Naris Voor de eenduidige vastlegging van risico s en het berekenen van de benodigde weerstandscapaciteit wordt NARIS gebruikt. Een landelijk veel gebruikte risicomanagementapplicatie bij overheden. Deze applicatie biedt mogelijkheden om risico s te kwantificeren, een simulatie uit te voeren en rapportages te draaien. Verder dwingt de applicatie functiescheiding af en kan per organisatieonderdeel inzicht worden verkregen in de risico s. Overijsselse standaard (OVS) De Overijsselse Standaard (OVS) draagt onder meer zorg voor ondersteuning van het risicomanagementproces in projecten. Dit instrument verzorgd de vastlegging, uitwisseling en verantwoording van risico s. 12

16 Instrumentarium voor risicoanalyse Er staan diverse instrumenten tot de beschikking van de organisatie als het gaat om risicoanalyse. Afhankelijk van het type activiteit en de fase (bijv. plan- of uitvoeringsfase) wordt een keuze gemaakt. Voor prestaties in de verkenningsfase kan bijvoorbeeld een scenarioanalyse ingezet worden. In de plan- en uitvoeringsfase gebruikt de organisatie o.a. versnellingskamers. Dit laatste instrument zorgt in korte tijd voor een goed beeld van de belangrijkste risico s. De organisatie zet daarnaast periodieke audits in om de risicoinventarisatie en analyse, maar ook de effectiviteit van de beheersmaatregelen te verifiëren. We hebben het voornemen om vanaf 2014 de grote projecten en programma s te onderwerpen aan een gateway review. Bij elke faseovergang binnen het project of programma zal een onafhankelijk oordeel geveld worden of een project of programma voldoende beheerst wordt om de volgende fase in te gaan. 4.2 Beheersmaatregelen Zodra de risicoanalyse is gemaakt dienen beheersmaatregelen en acties te worden benoemd om risico s continu te beheersen. Beheersmaatregelen zijn te onderscheiden in soft en hard controls. Hard controls zijn te definieren als meetbare afspraken, contracten en richtlijnen waarvan wordt vastgesteld dat deze nageleefd zijn. Voor risico s die niet geheel afgedekt kunnen worden door contracten, verzekeringen, voorzieningen, prestatieafspraken of andere hard controls heeft de provincie Overijssel weerstandscapaciteit opgebouwd. Bewustzijn, houding en gedrag zijn soft controls. De kracht van soft controls wordt geactiveerd en versterkt door de interactie onderling. Het elkaar aanspreken op risicobewustzijn, houding en gedrag is daarbij erg belangrijk. Zowel binnen de ambtelijke- als de bestuurlijke organisatie. Maar ook in de interactie tussen de bestuurlijke- en ambtelijke organisatie. Een juist bewustzijn van de risico s en een adequate perceptie en cultuur ten opzichte van risico s zijn essentieel om risicomanagement goed vorm te geven en de juiste beheersmaatregelen te treffen. Door het belang van deze aspecten periodiek en systematisch onder de aandacht te brengen, neemt een goed bewustzijn ten opzichte van risico s toe en wordt een juiste risicoperceptie in de hand gewerkt. Binnen projecten, programma s, fondsen of andere activiteiten worden beheersmaatregelen ingezet om risico s te mitigeren of teniet te doen. Voor het geval dat beheersmaatregelen niet afdoende zijn of niet inzetbaar blijken, dient in principe binnen iedere activiteit (project, programma, fonds of anderszins) een financiële reservering van minimaal 10% aangehouden te worden om deze risico s op te vangen. GS kunnen besluiten af te wijken van de 10% norm. Dit besluit wordt voorafgegaan door een analyse van de 2 e en 3 e lijn control. 13

17 De saldireserve binnen het weerstandsvermogen van de provincie Overijssel wordt aangehouden om risico s af te dekken die niet meer door het project, programma, fonds of anderszins zelf afgedekt kunnen worden. Concerncontrol als 3 e Lijnscontrol toetst of de saldireserve aangewend mag worden, door een analyse uit te voeren op de inspanning die is gepleegd op het identificeren en beheersen van risico s. Op het moment dat blijkt dat er geen aantoonbare goede beheersing is gepleegd, zal dit eerst gedaan moeten worden alvorens de saldireserve aan te spreken. 5. Verantwoording De verantwoording over risicomanagement vindt in ieder geval plaats via de paragraaf weerstandsvermogen en risicomanagement in de begroting en jaarrekening. De paragraaf dient vastgesteld te worden door Provinciale Staten. Daarnaast besteden ook de andere P&C producties aandacht aan de meest relevante risico s en de beheersmaatregelen die daarvoor getroffen worden. Voor de begroting wordt een update van de risicoanalyse gemaakt om de stand voor het komende jaar aan te geven. Voor de perspectiefnota wordt een doorkijk gemaakt naar risico s die zich op de langere termijn kunnen voordoen. Met de begroting en de perspectiefnota wordt PS geïnformeerd over de risico s. Daarnaast dient er in de jaarrekening teruggekeken te worden naar de risico s in het afgelopen jaar en de status van de risico s op dat moment. Gedeputeerde Staten dienen Provinciale Staten actief te informeren indien de risico s die zich voordoen impact hebben op: Het realiseren van programma doelstellingen en te behalen prestaties; Een goede balans tussen risico s en de financiële middelen om deze risico s af te dekken (het weerstandsvermogen). Het implementeren van de 10% reserve per project, programma of fonds, maar ook het bewust afwijken daarvan, kan budgettaire effecten hebben. Deze effecten zullen via de reguliere P&C producties inzichtelijk worden gemaakt en ter besluitvorming worden aangeboden. 6. Toezicht Het speelveld van de publieke sector en dus ook van de provinciale organisatie verandert 14

18 voortdurend. De risico s dienen continu in beeld te zijn. Een goede monitoring zorgt daarvoor. Nieuwe risico s kunnen ontstaan door een wijziging in het beleid, nieuwe projecten, aanpassing van de projectscope of de omgeving. Risico s kunnen toenemen door een verandering van een tijdsplanning, aanpassing van economische omstandigheden, etc.. Overigens hoeft niet elk relatief klein risico voortdurend gevolgd te worden. De relatief grotere risico s daarentegen wel. Het doel van een continue monitoring is om tijdig risico s te signaleren, adequate maatregelen te trefffen en waar nodig bij te sturen. Uitgangspunt hierbij is dat hoe eerder een risico wordt gesignaleerd, hoe beter de gevolgen te beheersen zijn. De 1 e en 2 e lijnscontrol draagt zorg voor een volledige en juiste monitoring met als doel de beheersing te optimaliseren en de verantwoording up to date en betrouwbaar te laten zijn. Is alles geinventariseerd, zijn de risico s juist in kaart gebracht en zijn de adequate maatregelen genomen? De 3 e lijns control draagt zorg voor beantwoording van deze vragen. Er dient hier vastgesteld te worden of het proces van inventariseren, scoren en berekenen van de risico s adequaat is en hiermee dus een betrouwbare weergave is van de omvang van de risico s die de organisatie loopt en de resultaten die bereikt zijn met het treffen van maatregelen. De resultaten hiervan worden ook weer meegenomen om de kaderstelling en strategie te verbeteren. 7. Continue verbetering Risicomanagement is nooit af en vraagt continu om aanpassingen en verbeteringen. Periodiek zal het risicomanagementproces geanalyseerd worden. Via een 3 e lijnscontrol zullen evaluaties en audits uitgevoerd worden op dit proces, waarbij ook de effectiviteit van beheersmaatregelen en de werking van soft controls objecten van onderzoek zijn. De resultaten hiervan worden besproken met directie en management en zullen leiden tot verbeteringen in het risicomanagement. 15