Nota Risicomanagement gemeente Apeldoorn

Transcriptie

1 Nota Risicomanagement gemeente Apeldoorn Eenheid Financiën & Control Oktober 2013

2 Voorwoord Op 28 februari 2013 heeft de gemeenteraad ingestemd met de Notitie Risicomanagement Nieuwe Stijl. In deze notitie wordt de stapsgewijze doorontwikkeling beschreven van het risicomanagement in de gemeente Apeldoorn. De notitie beschrijft de voorgenomen aanpak op het risicomanagement. De notitie was geen slotnotitie. Het legt de uitgangspunten vast om te komen tot een nieuw risicomanagement. Het systeem van het risicomanagement zelf is in deze notitie nog niet uitgewerkt. Voor u ligt nu de Nota Risicomanagement Gemeente Apeldoorn de nota waarin het systeem en instrumentarium van het risicomanagement in Apeldoorn wél wordt uitgewerkt. In deze nota wordt rekening gehouden met de principes en cultuur zoals deze zijn verwoord in de notitie Risicomanagement Nieuwe Stijl. Deze principes (en de cultuur) zijn nog eens opgenomen in bijlage 4. Heel concreet bestaat het instrumentarium uit een format voor risico s, een risico-matrix en een profiel. Hiermee is geïnvesteerd in de structuur en inhoud van risicomanagement. Maar het belangrijkste aspect van het risicomanagement is de mate waarin het gesprek over risico s gevoerd wordt. Risicobewustzijn is geen gevolg van de structuur maar van de cultuur op het risicomanagement. In die zin is het ontwikkelen van risicomanagement dus nooit af. Elke dag doen zich nieuwe ontwikkelingen voor waardoor risico s ontstaan waar de structuur nog geen oplossing voor biedt. Het gesprek voeren over nog niet nader te duiden risico s, in een cultuur waarin het onderbuikgevoel telt, is belangrijker dan welk risico-instrument dan ook. Het in deze nota beschreven instrumentarium op risicomanagement is dan ook slechts het beste instrumentarium tot nu toe. Het helpt en ondersteunt bij het onderkennen en beheersen van risico s. Maar de wijze waarop we dat doen zou in de nabije toekomst best kunnen leiden tot een beter instrument omdat in het gesprek over risico s een beter idee is ontstaan. Als dat gebeurt, is het risicomanagement succesvol geïmplementeerd

3 H1 Samenvatting en leeswijzer Risicomanagement is niet alleen in Apeldoorn een veelbesproken thema. Bijna elke gemeente is op dit moment bezig met het aanscherpen van het risicomanagement. Over wat risicomanagement is en hoe je ermee om kunt gaan worden op dit moment boeken vol geschreven, maar in H2 worden voor Apeldoorn twee hoofdsporen voor risicomanagement onderscheiden: 1) De basis van het risicomanagement ligt in de dialoog over de risico s die er (al) zijn, maar ook over risico s die we (mogelijk gaan) nemen 2) Waarbij vooral voor het beheersen van (negatieve) risico s een instrumentarium voor handen is waarin we risico s Identificeren Classificeren Beheersen met beheersmaatregelen Dit geldt voor zowel lijn- als projectrisico s. We vervolgen de nota in H3 met het niet-instrumentele onderdeel van risicomanagement: de dialoog. Daarin wordt nadruk gelegd op het feit dat risicomanagement vooral ook te maken heeft met de mate waarin je het gesprek over risico s voert en de manier waarop we omgaan met fouten. Een hoofdstuk over cultuur dus. Voor het beheersen van risico s zijn in H4 spelregels bepaald: 1) elk risico heeft een financieel effect 2) elk risico heeft impact op doelstelling en imago van de gemeente 3) voor elk risico wordt de kans dat deze zich kan voordoen bepaald 4) het benodigde weerstandsvermogen en de TOP-risico s worden bepaald uit het profiel De spelregels zijn noodzakelijk om het instrumentarium (H5) voor het risicomanagement op een goede manier te kunnen toepassen. Het instrumentarium bestaat uit: a) Het risicoformat waarin het risico wordt gedefinieerd en geclassificeerd b) De risicomatrix waarin alle risico s worden gestructureerd en waarop kan worden geanalyseerd c) Het risicoprofiel waarin risico s tegen elkaar worden afgezet op kans, financieel effect en impact. H6 gaat over de borging van het risicomanagement. Het instrumentarium krijgt een plek in de paragraaf weerstandsvermogen. Zowel bij vaststelling van de MPB als bij de jaarrekening wordt het risicoprofiel opnieuw vastgesteld en ten opzichte van het meest recente risicoprofiel wordt in rapportages en jaarrekening gerapporteerd. Nieuwe risico s kunnen via verschillende sporen worden onderkend en door een risicoparagraaf bij college- en raadsvoorstellen wordt het expliciet maken van risicomanagement geborgd. Belangrijker is echter de dialoog. Er staat niets in de weg om deze dialoog tussen managementlagen te organiseren, wat ook zal gebeuren. Met het nieuwe instrumentarium wordt risicomanagement dus meer expliciet gemaakt. Dat betekent meer zicht op meer risico s. Juist daarom is het van belang dat het gesprek over risico s open en transparant wordt gevoerd, om te voorkomen dat de ontwikkeling van de organisatie tot stilstand komt omdat risico-reserves niet kunnen worden gevuld

4 H2 De 2 sporen van risicomanagement Als verschillende mensen naar de definitie van risicomanagement worden gevraagd zullen zeer uiteenlopende antwoorden worden gegeven. De één legt daarbij de nadruk op de positieve kanten van het risicomanagement (kansen) en de andere op de negatieve kanten (belemmert, is bureaucratisch, gaat over wat we niet weten). De praktijk is dat iedereen in het normale leven, wellicht zonder dat het altijd wordt beseft, bijna elke dag aan risicomanagement doet. In het bereiken van onze doelstelling is risicomanagement in feite het zoeken van de balans tussen risico's nemen en risico's beheersen. We doen dat bijna van nature, altijd en overal. Als we bijvoorbeeld een drukke straat willen oversteken bestaat het risico dat we niet veilig de overkant bereiken. Als we 10 meter verderop een voetgangersoversteekplaats zien dan zullen we waarschijnlijk 10 meter verderop gaan oversteken. Het doel kan dan worden bereikt tegen een aanmerkelijk lager risico. We doen dus aan risicomanagement zonder dat we er expliciet bij stilstaan. Het beeld kan de afgelopen jaren zijn ontstaan dat we dit bij grote projecten of complexe situaties in de uitvoering van ons werk niet doen. En dat we dit nu gaan organiseren en het vervolgens "Risicomanagement" gaan noemen. Maar is het ook zo dat grote projecten of complexe situaties niet aan risicomanagement wordt gedaan? Nee, we doen wel degelijk aan risicomanagement. Gemeenten zijn complexe organisaties, het soort risico s zijn meer uiteenlopend dan bijvoorbeeld bij grote multinationals. En toch gaat het overgrote deel van alles wat we als gemeente doen gewoon goed! Dit is het gevolg van het feit dat we als organisatie niet alleen erg risicomijdend zijn, maar ook nog eens risico s heel goed beheersen. Maar net zoals bij het voorbeeld van het oversteken niet expliciet een risicoafweging wordt gemaakt, gebeurt dat in ons professionele leven ook niet altijd expliciet. De belangrijkste opgave voor nu is dus het expliciet maken van de afweging rondom het beheersen van risico's. Heel concreet betekent het beheersen van risico s: 1) Het identificeren van risico s: waar lopen we welke risico s? 2) Het classificeren van risico s: hoe groot is de kans, de impact en het financiële effect? 3) Het benoemen van beheersmaatregelen bij de grootste risico s Het beheersen van risico s begint echter vanuit het gesprek (dialoog) dat over risico s wordt gevoerd. Dit is het eerste en belangrijkste spoor. Vanuit de werkvloer naar het management, tussen de verschillende managementlagen maar ook op politiek niveau is dit gesprek van belang. Belangrijk is vooral dat er expliciet over risico s wordt gesproken. Vanuit de dialoog kan dan zelfs ontstaan dat we niet alleen risico s gaan voorkomen, maar zelfs ook risico s gaan nemen. Ook dat is een facet van risicomanagement. Slechts om dit te ondersteunen wordt een instrumentarium opgezet, het 2 de spoor van het risicomanagement. In het vervolg van de notitie wordt dat instrumentarium uitgewerkt. Definitie Risico en Risicomanagement Risico: een onzekere gebeurtenis die het realiseren van de doelstelling bedreigt Risicomanagement: het geheel aan activiteiten en maatregelen gericht op het expliciet en systematisch omgaan met en het beheersen van risico s

5 H3 Dialoog over risico s De wijze waarop tegen risico s wordt aangekeken zal per individu verschillend zijn, maar er zijn wel een aantal risicohoudingen te onderscheiden: - Risicomijdend: actief uit de weg gaan, bang, beredenerend, minder bereidheid tot nieuwe ontwikkelingen - Risicotolerant: ontkennen, kop in het zand, negeren - Risicozoekend: bravour, bewust nieuwe zaken zoekend, onderschatten - Risiconeutraal: weloverwogen, maatregelen in lijn met kansen en bedreigingen De risiconeutrale houding is vanzelfsprekend de meest ideale, de praktijk is echter dat de risicomijdende en tolerante houding het meest zal voorkomen. Er zijn veel aspecten die van invloed zijn op de ontwikkeling naar een risiconeutrale houding: commitment vanuit het management om over risico s te kunnen praten, de mate waarin fouten mogen worden gemaakt, de mate waarin risico s daadwerkelijk worden beheerst, etcetera. In feite hebben we het hier over cultuur. Het spreekt vanzelf dat voor veranderen van de cultuur rondom risicomanagement geen toolbox beschikbaar is waarmee de organisatie naar de gewenste cultuur kan worden geloodst. Toch heeft de organisatie zich wel een beeld gevormd van een aantal aspecten die bij deze cultuur een rol spelen. In de notitie Risicomanagement Nieuwe Stijl zijn de principes hiertoe al opgenomen. In bijlage 4 zijn deze principes nog eens weergegeven. In oktober van dit jaar heeft het management een workshop gevolgd waarin twee conclusies duidelijk naar voren zijn gekomen: - Een instrumentarium op risicomanagement is wel nodig, maar welk instrumentarium dat is doet eigenlijk niet ter zake - De mate waarin risico s of risicomanagement onderwerp van gesprek zijn/is en de manier waarop er over wordt gesproken bepaalt of risicomanagement echt succesvol is. Dit is de reden dat in het vorige hoofdstuk de samenvatting van het instrumentarium als volgt is weergegeven: Het beheersen van risico s begint en eindigt vanuit de dialoog over risico s en wordt ondersteund door het instrumentarium waarmee risico s worden geïdentificeerd, geclassificeerd en zonodig via beheersmaatregelen worden beheerst. Speak up! In de workshop voor managers over risicomanagement werd uitgelegd dat hoe hiërarchischer de cultuur, in de landen waar de piloten vandaan komen, is hoe groter de kans is op ongelukken. Daarbij werd ook aangegeven dat de training van de piloten een belangrijke reden voor het steeds veiliger worden van de luchtvaart is. In die training wordt namelijk zeer consequent het principe van speak up! toegepast. Zodra iemand in de cockpit iets ziet waar hij of zij vraagtekens bij heeft wordt van hem of haar verwacht dat deze vraagtekens worden uitgesproken. Deze actieve manier van feedback geven zorgt er dus voor dat, ondanks de enorme toename van de vluchtbewegingen, er steeds minder ongelukken gebeuren. Risicomanagement vindt men ingewikkeld omdat gesproken moet worden over iets wat er nog niet is, wat mogelijk nog komen gaat. Er moet gestuurd worden op datgene dat misschien komen gaat. Maar in feite gaat het vooral over wat er nu niet goed gaat en wat in het verleden niet goed is gegaan. Als de fouten die we maken regelmatig onderwerp van gesprek zijn en we leren van de belangrijkste fouten zodanig dat we ze in de toekomst kunnen voorkomen dan is er echt sprake van een open cultuur waarin risico s kunnen worden beheerst. De foutencultuur in een organisatie geeft aan welke kant de organisatie staat. In welke cultuur herkennen we ons het meest? Negatieve foutencultuur Verdoezelen van fouten Afstraffen van fouten Angst door fouten Positieve foutencultuur Praten over fouten Leren van fouten Risico s nemen - 4 -

6 Misplaatste arrogantie Fouten niet zien Persoonlijk falen Open voor reflectie Zoeken naar oorzaken Fouten horen erbij Het zal duidelijk zijn dat de positieve foutencultuur als enige bijdraagt aan echt risicomanagement. De meeste aspecten die hierbij in de tabel hierboven zijn genoemd, zijn aspecten waarbij het gesprek over risico s erg belangrijk is. Het gesprek over risico s, bijvoorbeeld bij projecten of nieuwe ontwikkelingen, is niet een enkele stap in het proces maar een continu onderdeel van het proces. Het is bij aanvang van een project of nieuwe ontwikkeling niet altijd mogelijk om alle risico s in beeld te krijgen. Soms wordt dat wel verwacht waardoor een risico-analyse een geforceerd karakter krijgt en sommige risico s nauwelijks te snappen of erg vergezocht zijn. Dit is niet de manier waarop we in Apeldoorn met risicomanagement om willen gaan. Het is veel belangrijker om risico s toe te voegen, aan te vullen of aan te scherpen op die momenten dat er meer te zeggen is over (de aard van) het risico. Dat kan dus betekenen dat het risicoprofiel op onderdelen (sterk) kan wijzigen. In de volgende hoofdstukken wordt ingegaan op het instrumentarium voor het Risicomanagement in Apeldoorn

7 H4 Spelregels Risicomanagement Apeldoorn Tijdens het opzetten van een nieuw instrumentarium voor het risicomanagement in Apeldoorn zijn een aantal spelregels bepaald. Deze spelregels zijn noodzakelijk om het instrumentarium op een goede manier te kunnen gebruiken. De spelregels zijn de volgende: 1) Elk risico heeft een financieel effect 1 Toelichting: Om elk risico op dezelfde manier te kunnen wegen moet voor elk risico het financiële effect aangegeven worden. In veel gevallen ligt het bedrag voor de hand, in sommige gevallen is het bedrag een beredeneerde inschatting. 2) Voor elk risico wordt de impact op de doelstelling en de impact op het imago van de gemeente bepaald Toelichting: Een belangrijk onderdeel van het classificeren van een risico is het bepalen van de impact van het risico. Nu is impact een ruim te interpreteren begrip. In Apeldoorn spitsen we de impact daarom toe op de doelstelling (waar de risicogebeurtenis op betrekking heeft) en op het imago van de gemeente. 3) Voor elk risico wordt de kans dat deze zich voordoet bepaald Toelichting: Net als bij huidige systematiek het geval is, wordt in het nieuwe instrumentarium de kans dat het risico zich voordoet als factor meegenomen. De kans wordt weergeven in een percentage tussen de 0 en 100%. Er is afgestapt van de laag-midden-hoog systematiek. De reden is dat de risicomanager de gelegenheid heeft om risico s op te nemen die qua impact hoog scoren, maar qua kans minder dan laag. 4) Het benodigde weerstandsvermogen en de toprisico s worden bepaald uit het profiel Toelichting: De (belangrijkste) risico s worden in 2 grafieken ondergebracht. Deze grafieken vormen daarmee het gemeentelijke risicoprofiel. In de grafieken wordt de kans dat het risico zich voordoet afgezet tegen het financiële effect (grafiek 1) en de impact op doelstelling in imago (grafiek 2). De plaats in het profiel bepalen of een risico een TOP-risico is en of het financiële effect wordt meegenomen in het weerstandsvermogen. 1 Er bestaat een misvatting dat het feit dat een risico een financieel effect heeft, dit het risico tot een financieel risico maakt. Dit zou betekenen dat in de Apeldoornse systematiek alle risico s financiële risico s zijn. Dit is echter niet het geval. Financiële risico s zijn namelijk risico s binnen het financiële domein: bijvoorbeeld treasury, koerswisselingen, debiteuren, liquiditeit, etcetera

8 H5 Instrumentarium Risicomanagement De spelregels helpen om risicomanagement meer expliciet te maken. Een stap verder is het instrumentarium. Het instrumentarium bestaat uit: a) het risicoformat b) de risicomatrix c) het risicoprofiel a) het risicoformat In het risicoformat wordt het risico tot op detailniveau uitgewerkt. In bijlage 1 is een (leeg) format opgenomen. De belangrijkste onderdelen van het format zijn: - Doelstelling - Oorzaak, risicogebeurtenis, gevolg - Beheersmaatregelen - Classificatie: waardering financieel effect, kans en impact Doelstelling Een risico is een gebeurtenis die het realiseren van de doelstelling bedreigt. Deze doelstelling is daarom een belangrijk onderdeel van het format. De doelstelling die in het format is opgenomen moet een herkenbare doelstelling zijn uit de MPB, het eenheidsplan of teamplan, of een belangrijke doelstelling die hiervan direct afgeleid is. (Risico)gebeurtenis, oorzaak en gevolg De risicogebeurtenis, oorzaak en gevolg ervan wordt dusdanig in het format vastgelegd dat in één keer duidelijk is waar het risico om gaat. Deze onderdelen van het format mogen geen vragen oproepen. Deze spelregel zorgt er tegelijk voor dat de echte en belangrijke risico s boven tafel komen. Het vaak toch wel negatieve imago van risicomanagement heeft vaak te maken met het idee dat alle risico s, in alle uiterste vormen van ontstaan, boven tafel moeten komen. Het tegendeel is waar: we beperken onze tot meest de concrete risico s. Beheersmaatregelen In het format worden ook de beheersmaatregelen weergegeven die nu al worden ondernomen om het risico te verkleinen. Dit is een belangrijk onderdeel van het instrumentarium. Zoals in hoofdstuk 2 is aangegeven is een doel van het instrumentarium om het risicomanagement meer expliciet te maken. Dat betekent dat we ons niet moeten beperken tot de risico s die nog niet worden beheerst, maar juist ook de risico s die al wel worden beheerst in het instrumentarium moeten opnemen. In risico-termen wordt hierbij ook wel gesproken over het netto-risico: het risico dat nog blijft bestaan nadat er al beheersmaatregelen zijn doorgevoerd. Classificatie Belangrijk binnen het instrumentarium is de classificatie van risico s: de waardering van het risico in geld en op impact. In het format moeten deze scores worden opgenomen. Bij het financiële effect moet ook worden bepaald of het risico incidenteel of structureel is. Bij structurele effecten moet ook voor de 3 jaren na het huidige jaar het effect worden bepaald, eventueel na de doorvoering van beheersmaatregelen (het netto-risico dus). De score, zowel in geld als in impact, komt veelal niet tot stand via een wetenschappelijke formule. Het is een inschatting. Tijdens de workshops is gebleken dat men de score ingewikkeld vindt, maar dat er ook altijd een redenering achter een score zit 2. Geadviseerd wordt om deze redenering in het format toe te voegen omdat het iets zegt over de overwegingen die bij classificatie een rol spelen. Het maakt het cijfer minder hard, maar verlaagt daarmee wel de drempel om een score te geven. b) de risicomatrix Alle formats worden samengevat in de risicomatrix. Vanuit de matrix wordt het profiel opgebouwd en tevens is de matrix de basisadministratie voor een risicomanager. In de risicomatrix vindt een risicomanager alle risico s terug die voor zijn of haar eenheid gelden. In onderstaande figuur is de risicomatrix weergegeven: 2 Het financiële effect is vaak makkelijker in te schatten door een bandbreedte te bepalen. Het bedrag dat ingevuld wordt is dan het gemiddelde van die bandbreedte

9 Figuur 1: risicomatrix Externe verwachtingen Nieuwe wet en regelgeving Waarde en normen Houding, vaardigheden en productiviteit Plannen en verantwoorden beleid Middelen Nr. Eenheid Risico (Klik op de link, dan naar het format) Extern Maatschappelijk Politiek/bestuurlijk Leiderschap Medewerkers Strategie en beleid Middelen Processen Financieel effect Kans Netto financieel gevolg input paragraaf weerstandsver mogen Impact op de doelstelling Impact op het Imago Totaal score 1 Eenheid A Risico A % Eenheid B Risico B % Eenheid B Risico C % Eenheid C Risico D % Eenheid D Risico E % Intern De matrix bestaat uit verschillende kolommen die kunnen worden gebruikt om risico s te analyseren en selecteren of om het risicoprofiel op te bouwen. Zo heeft elk risico een uniek nummer waardoor er geen misverstand kan ontstaan over het risico zelf, omdat de omschrijving van het risico niet altijd uniek is. Ook is elk risico gekoppeld aan een eenheid zodat een risicomanager (eenheidsmanager) snel inzicht kan krijgen in de risico s van zijn of haar eenheid. De uitwerking van het risico is uiteraard vastgelegd in het format. Via een doorkliksysteem kan vanuit de matrix het ingevulde format van het risico kan worden ingezien. Het type risico (extern/intern) wordt weergegeven aan de hand van de categorietabel (zie bijlage 2). Deze tabel is een variant op een landelijk ontwikkeld model en brengt een gewogen gemiddelde van alle risico s die zich kunnen voordoen. De tabel bevat een aantal risicotypen die mogelijk niet binnen ons profiel passen. Aan de andere kant mist de tabel ook enigszins de couleur locale. Naarmate het gebruik van de tabel toeneemt, en deze op de eigen ervaringen wordt aangepast, zal deze kanttekening snel verdwijnen. Verder is in de matrix het financiële effect, de kans en zijn de impactscores op imago en doelstelling opgenomen als resultaat van de classificatie van risico s uit het format. In het financiële effect zijn ook de meerjarige risico s meegesteld. Het netto financiële effect is het financiële effect vermenigvuldigd met de kans dat het risico zich voordoet. De risicomatrix heeft binnen het instrumentarium een ondersteunende, maar niet een bepalende waarde. Daarmee is de waarde van dit onderdeel van het instrumentarium niet minder belangrijk, de matrix is het centrale punt binnen het instrumentarium. In de matrix komen alle risico s samen. c) het risicoprofiel Het risicoprofiel is het sluitstuk binnen het instrumentarium voor het risicomanagement in Apeldoorn. Het risicoprofiel bestaat uit een kwadrantengrafiek waarin de belangrijkste risico s van de gemeente Apeldoorn zijn afgezet tegen de kans dat het zich voordoet enerzijds en het financiële effect en de impact anderzijds. Het profiel bestaat uit 2 grafieken: 1) Een grafiek waarin het financiële effect van het risico wordt afgezet tegen de kans dat het risico zich voordoet 2) Een grafiek waarin de impact van het risico wordt afgezet tegen de kans dat het zich voordoet. Hieronder zijn in figuur 2 en 3 beide profielen weergegeven: - 8 -

10 Figuur 2: profiel 1: het financiële profiel De kans dat het gebeurt 100% 90% 80% 70% 60% 50% 40% 30% 20% II III Profiel 1 Risico's in euro's t.o.v. de kans dat het gebeurt I IV I In figuur 2 wordt het financiële profiel weergegeven waarbij de kans dat het risico zich voordoet wordt afgezet tegen het financiële effect van het risico. De verticale kwadrantlijn bepaalt de grens van de kwadranten op een financieel effect van 1,0 mln. De horizontale kwadrantlijn bepaalt de grens van de kwadranten op een risico van 40%. 10% 0% Hoogte van het risico * Figuur 3: profiel 2: het impactsprofiel Kans dat het gebeurt Profiel 2 Totaal score prestatie en imago tov de kans dat het gebeurt 120% 100% 80% 60% 40% 20% 0% II I III IV 0,0 2,0 4,0 6,0 8,0 10,0 12,0 14,0 16,0 18,0 Totaal score prestatie en imago In figuur 3 wordt het impactprofiel weergegeven waarbij de kans dat het risico zich voordoet wordt afgezet tegen de impact van het risico. De impact is hierin bepaald door de optelling van de impactscore op doelstelling en imago van de gemeente. De grens van de verticale kwadrantlijn is bepaald op een impactscore van 5. Ook in deze figuur is de horizontale kwadrantlijn bepaald op een kans van 40%. Op basis van de scores na het classificeren van het risico wordt de plaats in het profiel van het risico bepaald. Ieder risico krijgt een plek in beide profielen. Voor elk kwadrant zijn opvolgmaatregelen bepaalt voor de risico s die hieronder vallen. Deze opvolgmaatregelen zijn in onderstaande tabel uitgewerkt. OPVOLGMAATREGELEN KWADRANTEN 1) De optelsom van de (financiële gevolgen van de) risico s die vallen in kwadrant I en IV van profiel 1 bepalen de hoogte van het weerstandsvermogen. Hiermee zijn de financieel grootste risico s afgedekt tegen het percentage van de kans. Ervan uitgaande dat de kans nihil is dat alle risico s zich (gelijktijdig) voordoen, wordt er van uitgegaan dat hiermee voldoende weerstandsvermogen wordt opgebouwd. 2) De risico s die, in enig profiel, in kwadrant I vallen worden aangemerkt als TOP-risico s. Dit zijn de risico s waar continu het gesprek over wordt gevoerd. In risicogesprekken tussen management en directie, in begroting, rapportages en jaarrekening wordt over (extra beheersmaatregelen voor) deze risico s gerapporteerd. 3) De risico s die in beide profielen in kwadrant II vallen dienen te worden beheerst via beschrijving en/of aanpassing van werkprocessen, bijbehorende IC-maatregelen. Doelstelling is het verlagen van de kans dat het risico zich voordoet. 4) De risico s die in beide profielen in kwadrant III vallen worden geaccepteerd vanwege de kleine kans en geringe impact cq. financiële effect. 5) De risico s die, in enig profiel, in kwadrant IV vallen worden gemonitord. Voor deze risico s worden beheersmaatregelen uitgewerkt die worden ingezet als het risico zich daadwerkelijk voor doet. Over deze risico s wordt het gesprek gevoerd als de positie in het profiel wijzigt, tevens wordt dan hierover via de P&C cyclus aan de raad gerapporteerd. Risicomanagement voor projecten - 9 -

11 Een belangrijk kader dat door de gemeenteraad is meegegeven is uniformiteit van de systematiek voor lijnrisico s én projectrisico s. In het bijzonder is hierin de positie van het Grondbedrijf genoemd. In de voorbereiding op het instrumentarium is gebleken dat Apeldoorn een viertal verschillende projectsoorten kent: 1) Ruimtelijke ontwikkelingsprojecten (o.a. Zuidbroek, Ecofactorij, hoogspanning). 2) Projecten ICT (bijv. uitrol DMS, programma digitaal Ideaal) 3) Projecten sociaal (bijv. decentralisatie, transitie jeugdzorg, huiselijk geweld etc.) 4) Projecten openbare ruimte (los van RO-projecten, bijv. Zuthpensestraat, riolering, etc.) Voor de projectsoorten 2,3 en 4 is vastgesteld dat ze heel goed in het instrumentarium inpasbaar zijn. Vaak gaat het hier eerder om een projectmatige aanpak op te realiseren doelstellingen binnen de lijnorganisatie. Bij ruimtelijke ontwikkelingsprojecten is het instrumentarium moeilijker toe te passen. Dit heeft vooral te maken met de classificatie van project-risico s. De belangrijkste projecten worden namelijk via de Monte-Carlo methode geclassificeerd. Een kenmerk van deze methode is dat de kans in de analyse wordt geïntegreerd waardoor de kans niet apart zichtbaar is. De risico s zijn vanwege de aard van de projecten ook net wat anders waardoor het format en matrix niet goed toe te passen zijn. In de uitwerking van het instrumentarium is voor de RO-projecten desondanks een profiel bepaald. Aangezien het om een beperkt aantal projecten gaat wordt deze aanpassing van het instrumentarium niet hier uitgewerkt maar in bijlage 3. 10

12 H6 Borgen Risicomanagement In de vorige hoofdstukken is uitgewerkt welke activiteiten en instrumenten onder risicomanagement vallen. In dit hoofdstuk worden aandacht besteed aan de manier waarop het nieuwe risicomanagement kan worden geborgd. De basis voor borging is uiteraard de planning & control cyclus met als startpunt de Paragraaf Weerstandsvermogen. Paragraaf Weerstandsvermogen De paragraaf Weerstandsvermogen (en risicobeheersing) is een in artikel 11 van het Besluit Begroting en Verantwoordingsvoorschriften (BBV) voorgeschreven paragraaf in de begroting en jaarrekening van een gemeente. In deze paragraaf inventariseert de gemeente de weerstandscapaciteit, de risico s en het beleid over weerstandscapaciteit en risico s. In Apeldoorn bestaat de paragraaf weerstandsvermogen uit: - Macro-economische ontwikkelingen - Inventarisatie en toelichting van de risico s - Inventarisatie van de weerstandscapaciteit - Afstemming weerstandscapaciteit en financiële effect risico s - Het beleid omtrent weerstandsvermogen en risico s De paragraaf Weerstandsvermogen wordt vaak verward met de Risicoparagraaf. Een risicoparagraaf, als aparte paragraaf waar het risicomanagement in al zijn facetten wordt geduid, heeft Apeldoorn niet, deze is ook niet voorgeschreven. Voor zover elementen van het risicomanagement terugkomen in begroting en jaarrekening is hiervoor tot op heden de Paragraaf Weerstandsvermogen gebruikt. Het instrumentarium uit deze Nota kent een meer uitgebreide opzet dan het huidige instrumentarium. Deze Nota heeft daarom ook consequenties voor de paragraaf weerstandsvermogen van de MPB (en jaarrekening). De risico-inventarisatie in de huidige paragraaf zal vervangen moeten worden door een hoofdstuk Risicobeheersing. In dit hoofdstuk Risicobeheersing wordt een overall actualisatie van het risicoprofiel opgenomen. De volgende elementen zullen in het hoofdstuk Risicobeheersing in de paragraaf weerstandsvermogen terugkomen: 1) Het gemeentelijke risicoprofiel, zowel voor (de belangrijkste) lijnrisico s als voor projectrisico s; 2) De risicomatrix met de (belangrijkste) lijnrisico s uitgewerkt; 3) Een toelichting op de TOP-risico s en risico s in kwadrant IV en de stand van zaken met betrekking tot de beheersmaatregelen. Dit geldt ook weer zowel voor lijn- als voor projectrisico s; De overall actualisatie van het risicoprofiel in het hoofdstuk Risicobeheersing van de Paragraaf Weerstandsvermogen vindt bij de MPB en de Jaarrekening plaats. Rapportage over risico s Naast de actualisatie van het Risicoprofiel zal ook op de individuele risico s worden gerapporteerd. Uiteraard op willekeurig welk moment conform de uitgangspunten van de nota Actieve Informatieplicht, maar standaard bij de Turap en de Jaarrekening wordt over de risico s gerapporteerd. De TOP-risico s en (voor zover ze afwijkingen vertonen) de risico s uit kwadrant IV zijn onderdeel van deze rapportage. Ook nieuwe risico s kunnen onderwerp zijn van de rapportage. Over de risico s wordt bij het product gerapporteerd. De risicomatrix (en daaruit volgend profiel) wordt in de nieuwe systematiek twee keer per jaar bijgehouden en op het meest ook actuele profiel wordt gerapporteerd. Dit in tegenstelling tot wat tot op heden het geval was. In de huidige systematiek wordt bij de MPB van (bijvoorbeeld) het jaar 2013, in september van 2012, een risico-inventarisatie gemaakt. Zelfs bij de jaarverantwoording over deze MPB, opgesteld in februari van 2014, wordt nog over deze oude risico-inventarisatie gerapporteerd. In de nieuwe systematiek wordt altijd over de meest recente matrix (en profiel) gerapporteerd. De twee momenten waarop de matrix en het bijbehorend risicoprofiel word bijgewerkt, en als nieuw Risicoprofiel vastgesteld, zijn: 11

13 - In februari op basis van de jaarrekening (vastgesteld in maart) - In september bij het opstellen van de MPB/Turap (vastgesteld in november) In de jaarrekening wordt zodoende gerapporteerd over het risicoprofiel van de MPB, vastgesteld een half jaar eerder, en deze rapportage leidt tot een nieuw profiel bij de vaststelling van die jaarrekening. In de daaropvolgende Turap wordt gerapporteerd over het risicoprofiel van die laatste jaarrekening. Dit leidt tot een nieuw profiel dat bij de MPB wordt vastgesteld. Het opstellen van de Turap vindt in tijd vlak na het opstellen van de MPB plaats. Daarom heeft het geen zin om zowel bij de Turap als bij de MPB een nieuw risicoprofiel vast te stellen. De verantwoording en rapportage op het risicoprofiel, zoals vastgesteld bij de jaarrekening, vindt daarom bij de Turap plaats (oktober), de consequenties ervan worden vastgesteld in een nieuw risicoprofiel bij de MPB (november). Nieuwe risico s Zoals aangegeven zijn er een tweetal momenten in het jaar waarop een nieuw Risicoprofiel wordt vastgesteld. Dit is het moment om de status van bestaande risico s te wijzigen cq. om bestaande risico s uit het profiel te verwijderen. Waar voor moet worden gewaakt is dat dit ook de enige momenten zijn dat aan nieuwe risico s wordt gedacht. Risicomanagement is niet een kunstje dat op gezette tijden wordt uitgevoerd, maar het is onderdeel van de dagelijkse gang van zaken bij het managen van een eenheid of team. Verschillende instrumenten zullen de continuïteit van dit proces ondersteunen: a) Risicoparagraaf bij College- en raadsvoorstellen b) Organiseren van het gesprek over risico s c) Opleidingsprogramma bij het instrumentarium Risicomanagement Ad a) Risicoparagraaf Standaard zal in het format voor college- en raadsvoorstellen een risicoparagraaf worden opgenomen. Deze risicoparagraaf duidt (verschillende) risico s die het gevolg kunnen zijn van het betreffende voorstel. In de risicoparagraaf zullen verschillende elementen uit het risicoformat worden opgenomen: - De risicogebeurtenis - Het financieel effect van het risico - De kans dat het zich voordoet - De impact op doelstelling en imago Met deze gegevens is de basis van het risicoformat voldoende gevuld om het risico in het profiel te kunnen plaatsen. Binnen een nader af te spreken periode na besluitvorming moet het format volledig worden ingevuld. Voor projectrisico s geldt dat een risico-analyse moet worden gemaakt waarin de risico s uiteen worden gezet. Ad b) Organiseren van het gesprek over risico s Een belangrijk onderdeel van risicomanagement is het voeren van het gesprek over risico s. In hoofdstuk 2 en 3 is hier al op ingegaan. Het voeren van het gesprek over risico s laat zich in de regel niet snel in een systematiek vatten. Toch is het een heel belangrijk onderdeel van het instrumentarium en zullen er ook specifieke risicogesprekken worden georganiseerd. De risico s uit de matrix worden per eenheid in de eenheidsplannen ondergebracht. Op het niveau van de directieraad zullen gesprekken met eenheidsmanagers worden geïnitieerd waarin de risico s van de eenheid op gezette tijden worden besproken. Vanuit de eenheidsmanagers richting de teammanagers wordt hetzelfde verwacht, maar de wijze waarop zal niet worden voorgeschreven. Mogelijk dat de workshop zoals deze het afgelopen jaar zijn georganiseerd worden gecontinueerd. Ad c) Opleidingsprogramma instrumentarium Risicomanagement Het instrumentarium op het Risicomanagement spreekt niet in alles voor zich. Daar komt bij dat Risicomanagement een bepaald imago heeft wat niet iedereen tot het eigen domein rekent. Het is daarom verstandig om via de Apeldoorn Academie gratis workshops aan te bieden waar verschillende aspecten van het risicomanagement aan bod komen. Bijvoorbeeld gaat het dan om: 12

14 - Betekenis van het risicomanagement - Uitleg van het instrumentarium - Definiëren van de risicogebeurtenis - Invullen van het format (financieel effect en scores op impact) - Kwantificeren van risico s - Oefenen met beheersmaatregelen - Lijnrisico s en projectrisico s - Etcetera 13

15 BIJLAGE 1: Risicoformat Nr. Risico: Eenheid Team MPB-progr. Productnr. Doelstelling: Definiëren risico s Oorzaak Risico: Risicogebeurtenis Gevolgen risico (waar leidt het risico toe?): Beheersmaatregelen: Classificeren risico s Financieel effect: Incidenteel/structureel Bij structurele risico s: N+1: N+2: N+3: Toelichting: Kans: 0-100% Toelichting Impact op de 1-10 doelstelling Impact op imago

16 BIJLAGE 2: Typering risico s (naar categorie) Externe Risico s Maatschappelijke risico s Politiek bestuurlijke en legislatieve risico s 1 Burger tevredenheid 6 Nieuwe respectievelijk naleving wet- en regelgeving 2 Relatie met belanghebbenden/stakeholders 7 Politieke signatuur en structuur rijksoverheid 3 Technologische innovatie 8 Politiek signatuur en structuur lokale overheid 4 Afhankelijkheid van derden 9 Conflicteren overheidsbeleid 5 Privatisering 10 Rampzalig verlies Interne risico s Leiderschap Strategie en beleid 11 Leiderschapsstijl 19 Beleidsvorming 12 Organisatiestructuur 20 Beleidshaalbaarheid 13 Bevoegdheden en verantwoordelijkheden 21 Beleidsontwikkeling 14 Waarden en normen 22 Toezicht op beleidsvoering 15 Vermogen tot veranderen 23 Verantwoordingsrapportage 16 Management fraude 24 Prestatie-indicatoren 17 Communicatie 25 Strategische planning 18 Managementinformatie (financieel en operationeel) 26 Managementrapportage Medewerkers 27 Aansluiting doelen 36 Integriteit 28 Budgettering/begroting 37 Reputatie 29 Beleidsdocumenten 38 Veiligheid medewerkers 30 Omgeving 39 Gezondheid medewerkers 31 Meten (strategisch) 40 Welzijn medewerkers 32 Investeringen 41 Arbeidsvoorwaarden 33 Prijs producten 42 Werknemersfraude 34 Inschatting 43 Kwantiteit personeel 35 Bedrijfsportfolio 44 Kwaliteit personeel 45 Arbeidsomstandigheden 46 Productiviteit 47 Motivatie Interne risico s Middelen Processen Financieel 72 Efficiency 48 Contractering 73 Uitbesteding 49 Apparaatkosten 74 Projectmanagement 50 Terugvordering subsidies 75 Product/dienstkwaliteit 51 Verplichtingen 76 Doelmatigheid 52 Programmakosten 77 Productiecapaciteit 53 Kredietrisico 78 Interne communicatie en samenwerking 54 Koersrisico 79 Klant/burgercommunicatie 55 Liquiditeitrisico 80 Milieu 56 Renterisico 81 Grondstoffen 57 Financiële instrumenten 82 Logistieke kanalen 58 Onderpand 83 Privacy Ict 84 Samenwerking 59 Beschikbaarheid 85 Naleving wet- en regelgeving 60 Aansluiting infrastructuur ketenpartners 86 Imago 61 Effectiviteit 87 Acquisitie 62 Tijdigheid 88 Productontwikkeling 63 Integrriteit 89 Kennisdaling 64 Betrouwbaarheid 90 Tevredenheid burger 65 Relevantie 91 Rolconflict 66 Toegang/beveiliging 92 Fraudegevoeligheid Technisch 67 Inzet 68 Gebruik 69 Veiligheid medewerkers 70 Levensduur 71 Onderhoud BIJLAGE 3: Risicomanagement bij RO-projecten 15

17 Tijdens de workshops is gebleken dat de risico s voor RO-projecten niet goed in het instrumentarium passen. De verbindende factor binnen tussen lijnrisico s en (RO-)projectrisico is het profiel. Ook voor projectrisico s is het mogelijk om een profiel te maken waarin financieel effect en impact het risico kwalificeren. Aangezien de kans dat het risico zich voordoet niet apart zichtbaar is, is het niet mogelijk om de kans in het profiel op te nemen. Hierdoor bestaat het profiel niet uit 2 grafieken, maar uit één grafiek. In onderstaande figuur is dit weergegeven. Figuur 4: Profiel voor projectrisico s In het bovenstaande figuur wordt op projectniveau (niet op risiconiveau) een risicoprofiel getoond, waarbij het financiële gevolg en de impact op de doelstelling tegen elkaar wordt afgezet. Aangezien de financiële gevolgen ook positief kunnen zijn is de interpretatie van de kwadranten in dit profiel wezenlijk anders dan bij de profielen voor lijnrisico s. Wat uiteraard wel uniform is, is dat het profiel bepaald welke opvolgmaatregelen noodzakelijk zijn: OPVOLGMAATREGELEN KWADRANTEN PROJECTRISICO S 1) De optelsom van de (financiële gevolgen van de) risico s van alle kwadranten bepalen de hoogte van het weerstandsvermogen 2) Bij de projecten met een risicoprofiel dat in kwadrant I valt is er sprake van TOP-risico's. Beheersmaatregelen moeten erop zijn gericht het mogelijke financiële nadeel te beperken en de impact op de doelstellingen te minimaliseren. 3) Bij de projecten met een risicoprofiel dat in kwadrant II valt is het, afhankelijk van de individuele risico's die aan het profiel ten grondslag liggen, mogelijk noodzakelijk om het financiële belang (opnieuw) af te wegen tegen de doelstellingen die zijn geformuleerd. Het is mogelijk dat hiervoor dan nadere besluitvorming moet plaatsvinden. Beheersmaatregelen moeten erop gericht zijn om het financiële voordeel te behalen en de impact op de doelstellingen te beperken. 4) Bij de projecten met een risico-profiel dat in kwadrant III valt zal via beheersmaatregelen worden gestuurd om het financiële voordeel te realiseren en de impact op de doelstellingen te minimaliseren. 5) Bij de projecten met een risico-profiel dat in kwadrant IV valt zal via beheersmaatregelen worden gestuurd om het mogelijke financiële nadeel te beperken en het de impact op de doelstellingen verder te minimaliseren. De uitkomst van de risico-analyse waarin alle individuele risico's worden meegewogen, bepaalt dus uiteindelijk het risico-profiel van een project. Voor alle projecten geldt dat via beheersmaatregelen de individuele risico's moeten worden beheerst en gemonitord. De omvang en zwaarte van de beheersmaatregelen is daarbij afhankelijk van de 16

18 mate waarin een afzonderlijk risico effect heeft op het risico-profiel van een project. Ook de plek in het risico-profiel is daarbij van belang. In risicogesprekken tussen opdrachtgever en opdrachtnemer, in begroting (MPB en MPG), tussentijdse rapportages en jaarrekening zal altijd over de belangrijkste risico's worden gerapporteerd. 17

19 BIJLAGE 4: Principes en cultuur risicomanagement nieuwe stijl Uit: Notitie Risicomanagement Nieuwe Stijl (januari 2013) In Apeldoorn werken wij al jarenlang met risicomanagement, maar we willen dit verder versterken, effectiever maken en daarmee komen tot risicomanagement nieuwe stijl. De volgende factoren hebben wij in de startnotitie al benoemd als belangrijke principes voor een effectieve invulling van risicomanagement in onze gemeente: Commitment van het bestuur (college en gemeenteraad) en de Directieraad; Risicomanagement sluit zoveel mogelijk aan bij de bestaande werkwijze binnen de organisatie. Dit betekent dat de risico s expliciet aan de orde moeten komen binnen de bestaande organisatie- en rapportagestructuur (geen apart circus ); De verantwoordelijkheid voor risico s beleggen wij éénduidig bij risicomanagers. In dat kader volgt het risicomanagement de zeggenschap. Dit betekent dat de verantwoordelijkheid voor een risico daar ligt waar ook de verantwoordelijkheid ligt voor het werk waar het risico betrekking op heeft. Met andere woorden, iedereen is verantwoordelijk voor het signaleren en treffen van maatregelen voor de risico s die binnen de eigen verantwoordelijkheid vallen; Het risicoprofiel is integraal en actueel en wordt bijgehouden in een gemeentelijke risicomatrix. Hierin zijn alle gemeentelijke risico s opgenomen. Zowel de risico s van de algemene dienst als die van (grondbedrijf)-projecten. De uitvoering van beheersmaatregelen registeren en monitoren wij actief. Nieuwe interne en externe ontwikkelingen worden systematisch op risico s getoetst en in raadsen B&W-voorstellen behoudt de risicocomponent structureel aandacht; de toets op een adequate invulling hiervan versterken wij; Essentieel is dat er bereidheid en ruimte is om open over risico s te communiceren. Die bereidheid moet er zijn op alle bestuurlijke en ambtelijke niveaus. Een louter op afrekenen gerichte cultuur is van negatieve invloed op een goed functionerend risicomanagement. De actieve informatieplicht zal voortvarend en snel worden toegepast; De risicomatrix vormt de basis voor de rapportage over gemeentelijke risico s en is opgenomen in de paragraaf Weerstandsvermogen, waarin wij alle risico s zo goed mogelijk kwantificeren en de kwalificatie PM vermijden. 18