Nota integraal risicomanagement en weerstandsvermogen 2024 tot en met 2027

Het algemeen bestuur van SamenTwente

Gelet op:

• •

  Artikel 18 van de financiële verordening SamenTwente;

• •

  Het Besluit begroting en verantwoording provincies en gemeenten

Besluit:

• -

  Nota integraal risicomanagement en weerstandsvermogen 2024 tot en met 2027 vast te stellen;

• -

  De oude nota “Van risicomanagement tot weerstandsvermogen 2018” in te trekken.

Dagelijks maken we afwegingen die van invloed kunnen zijn op het realiseren van maatschappelijke opgaven. De omgeving waarin SamenTwente dit doet is niet altijd voorspelbaar. We krijgen te maken met onzekerheden, risico’s en kansen. Dit kan ertoe leiden dat het onzeker is of we onze doelstellingen zullen behalen. Goed risicomanagement helpt hierbij en helpt bij het nemen van onderbouwde besluiten. Risicomanagement zorgt er niet alleen voor dat risico’s duidelijk worden, maar zorgt er vooral voor dat er maatregelen getroffen worden om risico’s te beheersen.

Doel van deze notitie

Deze notitie beschrijft de uitgangspunten voor het risicomanagement bij SamenTwente en het hieraan gerelateerde weerstandsvermogen. Deze notitie biedt handvatten voor onze organisatie die helpend zijn voor zowel ons bestuur als de ambtelijke organisatie als het gaat om het managen en beheersen van risico’s. Daarnaast zijn wij als gemeenschappelijke regeling volgens het Besluit begroting en verantwoording (BBV) wettelijk verplicht om risico’s te inventariseren die van belang kunnen zijn voor onze financiële positie. Om de financiële consequenties van risico’s op te kunnen vangen wordt weerstandsvermogen aangehouden. Dit zijn middelen die een buffer vormen om de financiële effecten van risico’s op te vangen.

Kanttekeningen

Is risicomanagement dé oplossing voor het voorkomen van incidenten? Het antwoord is: nee. We kunnen namelijk nooit alle risico’s in kaart brengen die zich in een bepaalde periode zouden kunnen voordoen. Simpelweg omdat risicomanagement geen exacte wetenschap is en bovendien zou dit ook niet doelmatig zijn. Risicomanagement vergroot wel de kans op succes, draagt bij aan de bewustwording van het werken met risico’s en helpt onze organisatie om meer weloverwogen keuzes te maken.

Hebben risico’s alleen een negatief effect? Ook hierop is het antwoord: Nee. Wanneer we in dit document spreken over risico`s dan hebben we het ook over kansen. Kansen die gezien worden wanneer we het hebben over het realiseren van onze doelstellingen. Risicomanagement geeft dus niet alleen inzicht in de risico`s, maar ook in de kansen.

2.1 Kaderstelling

Naast onze interne motivatie dat risicomanagement en afspraken hierover helpen bij het realiseren van doelstellingen, is er ook sprake van wet- en regelgeving die ons verplicht om hierover afspraken te maken.

Wettelijk kader

Het wettelijk kader voor dit document ligt besloten in BBV. Het BBV bevat voorschriften voor de inrichting van de begroting en de jaarstukken. Eén van de verplichtingen is het opnemen paragraaf weerstandsvermogen en risicobeheersing. Met het vaststellen van deze nota wordt het beleid voor de komende periode vastgelegd. Daarnaast zijn er verplichtingen gesteld vanuit de Baseline Informatiebeveiliging Overheid (BIO) en de NEN-7510 als het gaat om cyberrisico’s en informatiebeveiliging en privacy risico’s.

Provinciaal toezichtkader

De provincie Overijssel houdt toezicht op SamenTwente als gemeenschappelijke regeling. In het financieel toezichtkader voor gemeenschappelijke regelingen is opgenomen dat de provincie toetst of SamenTwente inzicht geeft in de risico’s.

Financiële verordening SamenTwente

Met de financiële verordening stelt het algemeen bestuur op hoofdlijnen de financiële spelregels vast. In artikel 18 van onze financiële verordening 2024 is opgenomen dat het dagelijks bestuur tenminste eens in de vier jaar een nota risicomanagement ter vaststelling aanbiedt aan het algemeen bestuur.

2.2 Leeswijzer

De notitie begint met een managementsamenvatting waarin de belangrijkste uitgangspunten zijn opgenomen. In de navolgende hoofdstukken worden deze uitgangspunten uitgeschreven. Vervolgens wordt toegelicht hoe het risicomanagement op basis van deze uitgangspunten in de praktijk zijn uitwerking krijgt, welke aandachtspunten er zijn en welke rollen en verantwoordelijkheden bij risicomanagement horen. Deze notitie wordt afgesloten met een beschrijving van het weerstandsvermogen.

Het is belangrijk om periodiek de wijze waarop risicomanagement is ingericht tegen het licht te houden om te verbeteren en te optimaliseren. Daarnaast zijn er hiervoor ook aanleidingen vanuit de externe omgeving, zoals bijvoorbeeld het 'Besluit begroting en verantwoording' en diverse voor ons (aankomende) verplichte normen, zoals de BIO, NEN7510, NIS2, ISO 9001 en HKZ (Harmonisatie Kwaliteitsbeoordeling in de Zorgsector).

Afgezien van de externe invloeden, zien we zelf het belang groter worden voor effectief risicomanagement om onze doelstellingen te kunnen blijven behalen. Met risicomanagement willen we niet alleen ervoor zorgen dat de organisatie voldoet aan wettelijke verplichtingen, maar vooral ervoor zorgen dat effectief omgegaan kan worden met steeds veranderende en groeiende (cyber)dreigingen en uitdagingen die onze doelrealisatie in de weg kunnen staan.

Om ervoor te zorgen dat we binnen de gehele organisatie werken met een duidelijk en eenduidig kader voor risicomanagement, gebruiken we de NEN-ISO 31000 als handvat. Deze risicomanagementstandaard kan ons ondersteunen in het behalen van onze ambities op het gebied van risicomanagement, deze zijn:

• •

  Doelgebonden: risicomanagement voegt directe waarde toe;

• •

  Risicodialoog is prioriteit: het gaat niet om actueel houden van lijstjes;

• •

  Eenduidig kader: uniformiteit werkwijze binnen de gehele organisatie;

• •

  Integraal: risicomanagement doen we waar dat waarde toevoegt;

• •

  Integraal: de juiste disciplines aan tafel;

• •

  Integraal: aandacht voor strategisch risicomanagement en operationeel risicomanagement;

Voor het toepassen van risicomanagement is het van belang dat de processen van de organisatie waar nodig voldoende zijn beschreven en dat de rol van proceseigenaar én andere rollen voor het risicomanagement binnen de organisatie goed worden neergezet. Om het risicomanagement doelgebonden te maken en niet los te laten staan van de processen gaan we ook een applicatie gebruiken. Deze applicatie moet bijvoorbeeld een koppeling maken tussen doelen, risico’s en maatregelen. Hiermee voorkomen we ook dat er op verschillende manieren en op verschillende locaties risicoregisters worden bijgehouden. Dit helpt bij het samen integraal werken aan doelrealisatie en daarmee dus ook aan risicomanagement (managen van onze doelen).

Waarom (nu) belangrijk?

Risicomanagement is belangrijk omdat wij daardoor tijdig kunnen anticiperen op eventuele onverwachte invloeden op het kunnen behalen van onze doelstellingen en het uitvoeren van onze zorg- en dienstverlening. We merken dat risicomanagement steeds belangrijker wordt. Vanuit wet- en regelgeving moeten wij als overheidsorganisatie steeds meer aantonen dat we in control zijn als het gaat om risico’s. Zie als voorbeeld de toenemende (nationale en internationale) eisen rondom informatiebeveiliging, -management en privacy maar ook regelgeving over Arbo en de veiligheid van medewerkers en de rechtmatigheidsverantwoording. Dit vergt voor risicomanagement een bredere blik dan alleen een financiële.

Waar staan we nu?

Risicomanagement kan op vele verschillende manieren ingericht worden. Om een beeld te vormen van ons huidige niveau gebruiken we een volwassenheidsmodel (zie figuur 1) dat uitgaat van 4 niveaus van risicomanagement. Op dit moment is ons risicomanagement ingericht op het voldoen wat ervanuit wet- en regelgeving van ons gevraagd wordt (niveau 2). Het is erg financieel gedreven met als focus, het opstellen van de risicoparagraaf in de begroting en de jaarstukken. De koppeling met doelrealisatie kan versterkt worden. Zonder een goede koppeling met doelrealisatie is het moeilijk om risicomanagement te laten leven in de organisatie. Risicomanagement is weinig succesvol als de reden voor het uitvoeren hiervan gelegen is in het voldoen aan de wettelijke voorschriften. Volgens ons is een interne motivatie de beste drijfveer.

Figuur 1 Risico-volwassenheidsmodel NARIS

Onze ambitie

De focus ligt de komende jaren (2024-2027) op het door ontwikkelen en verder professionaliseren van risicomanagement naar het niveau van “Proactief”. Dit willen we bereiken door:

• 1.

  Doelgericht, Integraal en uniform risicomanagement

• Om het niveau van “Proactief” te bereiken is onze ambitie om risicomanagement integraal en zoveel als mogelijk uniform binnen de organisatie toe te passen. Met integraal verstaan we het breed invullen van risicomanagement (niet alleen financieel). We realiseren ons dat risicomanagement een bredere focus heeft dan enkel financieel. Daarom is het van belang om ook aandacht te hebben voor niet-financiële risico’s zoals imago, proces, en bestuurlijke risico’s/aansprakelijkheid. Managers zijn verantwoordelijk voor risicomanagement in hun werkveld. Om met deze brede bril naar risico’s te kunnen kijken, zorgen we ervoor dat risico’s identificeren een proces is waarbij meerdere disciplines bij betrokken zijn.

• Risicomanagement is geen afzonderlijke activiteit maar maakt integraal onderdeel uit van alle processen. We stimuleren het risicobewustzijn en voorkomen dat afdelingen op verschillende wijze met verschillende uitgangspunten voor risicomanagement werken. Het rekening houden met risico`s en kansen willen we terugzien in het dagelijkse denken en handelen van alle medewerkers. Daarbij leggen we een duidelijke koppeling tussen doelrealisatie en risicomanagement. Waarbij we op strategisch niveau vooral kijken naar het behalen van doelstellingen uit het vierjarige strategische programma en de programmabegroting. Op het operationele niveau kijken we naar de door vertaalde doelstellingen in de (team) jaarplannen en de processen. Bij beide gaat het om tijdig anticiperen op onverwachte invloeden die effect hebben op onze doelstellingen.

• Het gebruiken van dezelfde werkwijze en uitgangspunten maakt het mogelijk om het strategische niveau met het operationele niveau te koppelen en te spreken van doelgericht, integraal en uniform risicomanagement.

• 2.

  Dialoog stimuleren

• Het goede gesprek over risico’s en risicobereidheid is de basis van ons risicomanagement. We moeten ervoor zorgen dat op alle ambtelijke en bestuurlijke niveaus bereidheid en ruimte is om over risico’s te praten. Het gaat om het ontwikkelen van een gesprekscyclus waarbij het draait om bewustwording en het voeren van een open gesprek over risico’s (risicodialoog). Een goed risicodialoog is wat ons betreft een gesprek over expliciet, realistisch en gestructureerd omgaan met onzekerheden (risico’s en kansen) waarbij alle deelnemers aan het gesprek vrijmoedig spreken en openhartig luisteren 1 . Bij de uitvoering van het risicodialoog stellen we drie vragen centraal:

  • •

    Wat is ons doel?

  • •

    Wat is daarbij onzeker (wat zijn de risico’s en kansen)?

  • •

    Wat staat ons vanuit onze risicobereidheid te doen?

Met de hierboven uiteengezette twee punten is onze ambitie dat risicomanagement meer gaat leven en meer wordt dan enkel een financieel technische exercitie eens per jaar voor de paragraaf weerstandsvermogen.

Om het risicomanagement integraal bij SamenTwente in te kunnen richten is een raamwerk nodig. Hiervoor hebben wij gekozen voor de internationale standaard NEN-ISO 31000.

Waarom de NEN-ISO 31000

De NEN-ISO 31000 is een internationale richtlijn voor risicomanagement. Het heeft als doel om de kans op het behalen van doelstellingen te vergroten. Het voorziet daarvoor in een werkwijze op zowel strategisch als operationeel niveau voor de identificatie van kansen en bedreigingen in combinatie met de behandeling hiervan.

Deze richtlijn biedt een eenduidig raamwerk, taal en werkwijze voor de verschillende vormen van risicomanagement binnen een organisatie. De NEN-ISO 31000 is een vrij toe te passen richtlijn en kan door de organisatie zelf op maat worden gemaakt. Hierdoor wordt voorkomen dat risicomanagement naast de reguliere bedrijfsvoering komt te staan en gezien wordt als een ongewenste bureaucratische aanvulling op het dagelijkse werk. Bij diverse overheden wordt NEN-ISO 31000 dan ook veelvuldig toegepast. Wij zien de NEN-ISO 31000 als ondersteunend aan onze in hoofdstuk 4 verwoorde ambities. In onderstaande figuur is de NEN-ISO 31000 weergegeven. Deze norm zet de principes, het raamwerk en het proces van integraal risicomanagement uiteen.

Figuur 2 NEN- ISO 31000

Principes voor effectief risicomanagement (hoofdstuk 6.1)

De NEN-ISO 31000 geeft principes (te zien als randvoorwaarden) die ingevuld moeten zijn en continu gestimuleerd moeten worden om het risicomanagement binnen organisatie effectief te houden. De principes stellen de organisatie in staat om de effecten van onzekerheden op haar doelstellingen op goede en gestructureerde wijze te managen. Principes zijn richtinggevend voor de opzet van doelmatig en doeltreffend risicomanagement.

Raamwerk voor risicomanagement (hoofdstuk 6.2)

Het doel van het raamwerk voor risicomanagement is om de organisatie te helpen om risicomanagement in belangrijke activiteiten en functies te integreren. Zodat het rekening houden met risico`s en kansen en alle relevante processen terug te vinden is. Doeltreffendheid van risicomanagement hangt hiervan af. Dit vereist draagvlak vanuit belanghebbenden en leiderschap commitment van het management en het bestuur. Het ontwikkelen van het raamwerk omvat het integreren, ontwerpen, implementeren, evalueren en verbeteren van risicomanagement in de hele organisatie. Waarbij de verschillende componenten samenwerken en op maat zijn gemaakt voor het specifieke proces (de activiteit). Zo krijgt het risicomanagement voor projectmanagement bijvoorbeeld een andere invulling dan het risicomanagement voor uitvoerende zorgprocessen (zoals het zetten van vaccinaties).

Het proces van risico`s identificeren t/m behandeling (hoofdstuk 6.3)

Rekening houden met risico`s en kansen in de processen impliceert dat je op een bepaald moment in een proces nadenkt over risico’s en kansen en er vervolgens de juiste maatregelen bij bepaald. Voor het borgen van de uniformiteit biedt de NEN-ISO 3100 enkele vaste stappen. Een risicomanagementproces start altijd met het vaststellen van reikwijdte, context en criteria. In het proces is communicatie en consultatie met belanghebbenden verankerd en wordt het monitoren en beoordelen van risico’s geborgd. De NEN-ISO 31000 is geen “one size fits all”. Er is ruimte voor proportionaliteit. Dat wil zeggen dat organisatieonderdelen en/of projecten met een hoog risicoprofiel en groot belang voor het functioneren van onze organisatie, het risicomanagement zwaarder kunnen aanzetten dan waar dat minder het geval is.

In de volgende hoofdstukken wordt aangegeven hoe de NEN-ISO 31000 wordt toegepast bij SamenTwente.

In dit hoofdstuk worden de uitgangspunten beschreven zoals wij dit gaan toepassen bij het ontwerpen, implementeren en evalueren van het risicomanagement van SamenTwente.

6.1 Toepassing principes voor effectief risicomanagement

De principes (te beschouwen als voorwaarden) vormen de basis voor het managen van risico`s en kansen. De mate van en de invulling van de principes kan per organisatie verschillen en daarom dienen de principes ook op maat te worden gemaakt. Dit doen we op het moment dat we concreet processen gaan beschrijven of bestaande processen gaan aanpassen om het risicomanagement proces (de stappen) te integreren. Een voorbeeld hiervan is dat het risicomanagement dynamisch moet zijn. In praktijk betekent dat wij niet alleen op vaste geplande momenten moeten kijken naar risico`s. Maar dat wij dat ook doen wanneer de externe of interne omgeving van de organisatie verandert. In bijlage 3 is beschreven welke principes vanuit de ISO 31000 worden gehanteerd en hoe wij deze gaan toepassen bij het ontwerpen, implementeren en evalueren van het risicomanagement van SamenTwente.

Risicomanagement en de processen van SamenTwente

Wanneer je als organisatie binnen de processen rekening wilt houden met risico`s en kansen, dan is het van belang inzichtelijk te hebben hoe de processen verlopen. Hiervoor is het van belang dat we als organisatie heldere en actuele procesbeschrijvingen hanteren en beheren in het kwaliteitsmanagementsysteem. We streven naar actuele procesbeschrijvingen, maar ook geven we bijhorende proceseigenaren een duidelijke taak- en verantwoordelijkheid bij het tijdig rekening houden met risico`s en kansen in zijn of haar proces.

Risico-register

Om zicht en grip te houden op je risico`s is het van belang dat deze risico`s ergens op een eenduidige wijze zijn vastgelegd. Dit voorkomt het zoeken naar (mogelijk verouderde) Excel documenten of andersoortige documenten waarin de risico`s staan.

Hiervoor gaan we een toegankelijke applicatie hanteren die ons gaat helpen bij het actueel houden van risico`s en bijhorende maatregelen. Bovendien wordt het hierdoor mogelijk om risico’s te aggregeren en om risico`s rechtstreeks te koppelen aan processen.

Bij aggregeren gaat het bijvoorbeeld om het meenemen van de operationele risico`s bij de beoordelingen op het strategische niveau.

Bij het koppelen aan processen gaat het om de maatregelen die worden bedacht. Die kunnen dan gelijk landen in de juiste processen om daar verbeteringen te realiseren (de risico barrière). Maar ook wordt het dan mogelijk om bij het evalueren (het actualiseren) van procesbeschrijvingen de al bekende risico`s mee te nemen.

6.2 Toepassing effectief raamwerk voor risicomanagement

Het proces gaan we zoveel als mogelijk integreren binnen de bestaande processen van de organisatie. Hierbij maken we onderscheid in strategisch en operationeel risicomanagement.

Strategisch risicomanagement

Strategisch risicomanagement gaat over het managen van risico’s gerelateerd aan onze strategie en lange termijn doelstellingen. Bij het nastreven van de gestelde doelen kunnen risico’s aanwezig zijn, daarom moet nagedacht worden over welke bereidheid er is om risico te lopen. Dit noemen we risicobereidheid. Risicobereidheid (of risk appetite) hangt nauw samen met organisatie strategie en is daarmee onderdeel van strategisch risicomanagement. De risicobereidheid is de mate waarin een organisatie bewust risico’s accepteert. Denk bijvoorbeeld aan informatiebeveiliging, 100% foutloos werken kan niet. Maar tegelijkertijd is belangrijk om te realiseren dat informatiebeveiligingsrisico’s ook onderdeel zijn van het strategisch risicomanagement.

Het vaststellen van je risicobereidheid kan helpen bij het bepalen van de prioriteiten. Het bepalen van de risicobereidheid is taak van directie en management. Top down. Hierbij is het belangrijk om een terugkerende dialoog organiseren. Ter ondersteuning van de dialoog is volgens ons een risicomatrix (zie hoofdstuk 6.3.2) een goed instrument. Hiermee kan directie en management duidelijkheid verschaffen over de 10 tot 15 belangrijkste strategische risico’s die de prestatie van onze organisatie beïnvloeden. Strategische risico’s zijn risico’s die inherent zijn aan het ontwikkelen en uitvoeren van beleid en zijn daarom ook niet per definitie altijd ongewenst.

Zoals u in de inleiding heeft kunnen lezen wordt SamenTwente vanuit diverse wet- en regelgeving (BBV, BIO, NEN7510, NIS2 etc.) verplicht om risico’s te inventariseren die van belang kunnen zijn voor onze financiële positie. Om de financiële consequenties van risico’s op te kunnen vangen wordt weerstandsvermogen aangehouden. Ook dit is onderdeel van strategisch risicomanagement van SamenTwente.

Operationeel risicomanagement

Operationele risico’s zijn veelal interne risico’s, voortkomend uit de organisatie, die beheersbaar zijn en vermeden of zoveel als mogelijk opgelost moeten worden. Voorbeelden zijn risico’s van onrechtmatig handen, fouten in (geautomatiseerde) processen en ongeautoriseerde toegang. Operationele risico’s kunnen risico’s zijn die voortvloeien uit wet- en regelgeving (compliancy) maar het gaat ook om risico’s bij de uitvoering van onze taken zoals het uitvoeren van vaccinaties. Hierbij gaat het om het treffen van beheersmaatregelen en ervoor te zorgen dat er sprake van een continu proces van controleren en evalueren. Ook in het operationele risicomanagement is er sprake van risicobereidheid. Het gesprek hierover ligt dan op het niveau van teamleiders in afstemming met het management.

6.3 Het proces van risico’s identificeren t/m rapporteren

Het risicomanagement proces, op strategisch en operationeel niveau, beschrijft de stappen van risico identificatie, analyse en evaluatie.

Dit risicomanagement proces gaan we toepassen waar dit waarde toevoegt aan het beter kunnen realiseren van doelstellingen. Op het strategische niveau zien we dat terug in de planning- en control cyclus en voor het operationeel niveau valt bijvoorbeeld te denken aan:

• -

  Realisatie van jaar- en teamplannen.

• -

  Projectmanagement

Op de volgende pagina`s wordt het risicomanagement proces toegelicht.

Sinds onze vorige beleidsnota “Van risicomanagement tot reserves en voorzieningen” uit 2018 is veel ervaring opgedaan met risicomanagement. Ook door het uitvoeren van (complexe) projecten en het evalueren hiervan hebben we lessen geleerd en aandachtspunten opgedaan die belangrijk zijn bij risicomanagement.

Verschillende vormen van risicobeheersing en tegendenkkracht organiseren

Het is belangrijk om bij (complexe) projecten waarbij veel (en soms tegengestelde) belangen spelen verschillende instrumenten in te zetten om risico’s zichtbaar te maken, te voorkomen of beheersbaar te houden. Hierbij is het belangrijk om vooraf maar ook gedurende het project risico’s in beeld te (blijven) brengen. Bij het in beeld brengen is het van belang om aandacht te hebben voor risico’s met een kleine kans maar met een grote impact. Om dit scherp in beeld te brengen organiseren wij voldoende tegendenkkracht. Deze tegendenkkracht kan bijvoorbeeld intern georganiseerd worden door bij het inventariseren van risico’s (bijvoorbeeld tijdens een risicodialoog) verschillende disciplines te betrekken. Hiermee borgen we dat er vanuit verschillende invalshoeken wordt gekeken. Er kan ook externe expertise ingehuurd worden door bijvoorbeeld het laten uitvoeren van een externe juridische toets of door het laten uitvoeren van een onafhankelijke risico-inventarisatie.

Risico optimisme

Inschatting van risico’s gebeurt niet altijd rationeel en daardoor bestaat de kans dat risico’s onderschat worden. Dit kan bijvoorbeeld door kosten laag in te schatten en/of het tijdsbeslag om een project te realiseren onbewust wordt onderschat. Het is belangrijk om vooraf te realiseren dat deze risico optimisme kan gebeuren. Het is belangrijk om een cultuur te creëren waarbij dit bespreekbaar is en altijd helder en transparant te communiceren over de mogelijke hogere kosten en/of langere tijd die met het project kan zijn gemoeid.

Het is niet mogelijk alle risico’s in te schatten en risicobeheersing is geen garantie voor succes

De realiteit is ook dat het niet mogelijk is alle risico’s die SamenTwente loopt op voorhand te onderkennen. In onze complexe samenleving doen zich altijd verrassingen voor. Deze kunnen grote impact hebben. Risico’s kunnen zich ook altijd op onvoorziene wijzen manifesteren in een project.

Risicoregelreflex

Wanneer een risico zich heeft voorgedaan in de vorm van een incident is meestal de reactie “dit had nooit mogen gebeuren en dus moeten we het liefst direct maatregelen treffen”. Dit noemen we de risicoregelreflex. Dit reflex is soms adequaat, maar soms leidt dit ook tot een overmaat aan maatregelen die hoge kosten met zich meebrengen. Door bewust stil te staan en maatregelen goed te overwegen en incidenten te onderzoeken, kan SamenTwente goed omgaan met dit reflex.

Bij het ontwerpen en implementeren van risicomanagement is het van belang afspraken te maken over rollen en verantwoordelijkheden.

Hieronder is in figuur 4 schematisch weergegeven welke rollen het algemeen bestuur (AB), dagelijks bestuur (DB) en de ambtelijke organisatie hebben bij het risicomanagement binnen SamenTwente. Het algemeen bestuur en het dagelijks bestuur nemen voornamelijk besluiten waarbij risico`s worden afgewogen, bepalen de risicobereidheid en monitoren via de planning en control cyclus de grootste risico`s en het weerstandvermogen. Zij stellen de kaders waarbinnen de organisatie de risico’s kan beheersen, mitigeren en/of accepteren. De ambtelijke organisatie heeft de grootste rol binnen het risicomanagement. Zij zorgt er met name voor dat het dagelijks bestuur en het algemeen bestuur risicobewuste keuzes kunnen maken. Het inventariseren, kwantificeren en beheersen

ligt dan ook met name bij de organisatie. De medewerkers die verantwoordelijk zijn voor de uitvoering van doelen, projecten en processen zijn ook de risico-eigenaren van de hieraan gekoppelde risico`s

Verantwoordelijkheden bij het uitvoeren van risicomanagement:

Figuur 4 Overzicht rollen en verantwoordelijkheden

We zijn volgens het BBV verplicht om aan te tonen dat onze organisatie in staat is de gevolgen van risico’s op te vangen zonder dat onze beleidsuitvoering in gevaar komt. Dit doen wij aan de hand van de ratio weerstandsvermogen. Het weerstandsvermogen geeft aan in hoeverre onze organisatie in staat is (weerbaarheid) negatieve financiële consequenties van risico’s zelfstandig op te vangen.

Het weerstandsvermogen bestaat uit de relatie tussen

• a.

  de beschikbare weerstandscapaciteit, zijnde de middelen en mogelijkheden waarover onze organisatie beschikt of kan beschikken om niet begrote kosten te dekken;

• b.

  de benodigde weerstandscapaciteit, zijnde alle risico's waarvoor geen maatregelen zijn getroffen en die impactvol kunnen zijn in relatie tot onze financiële positie.

Om het weerstandsvermogen te kunnen beoordelen, zetten we de benodigde weerstandscapaciteit af tegen de beschikbare weerstandscapaciteit. De uitkomst van deze berekening vormt de ratio weerstandsvermogen.

Beschikbare weerstandscapaciteit

Om te kunnen beoordelen of we in staat zijn om risico’s op te vangen wordt in beeld gebracht welke capaciteit we hiervoor beschikbaar hebben. Hierbij maken we onderscheid in incidentele en structurele weerstandscapaciteit.

Incidentele weerstandscapaciteit

Hieronder beschouwen we de algemene reserve van SamenTwente en de beschikbare egalisatiebestemmingsreserves. Ook stille reserves (verhandelbare bezittingen die gewaardeerd zijn lager dan de verkoopwaarde) maken onderdeel uit van incidentele weerstandscapaciteit. De gedachte hierachter is dat bij verkoop van deze bezittingen winst ontstaat die eenmalig inzetbaar is om tegenvallers op te vangen. Bij SamenTwente is geen sprake van stille reserves.

Structurele weerstandscapaciteit

De structurele weerstandscapaciteit bestaat veelal uit een structurele post onvoorzien en/of uit begrotingsruimte. In overeenstemming met het besluit van het algemeen bestuur ramen wij een post onvoorzien in de begroting maar de dekking hiervan is afkomstig uit de algemene reserve. Hiermee is de dekking van post onvoorzien feitelijk niet structureel. Als de begroting (inclusief de meerjarenraming) op een positief saldo sluit dan is er sprake van begrotingsruimte. Deze ruimte zou ook ingezet kunnen worden om structurele financiële tegenvallers op te kunnen vangen. SamenTwente heeft geen structurele begrotingsruimte en daarmee dus ook geen structurele beschikbare weerstandscapaciteit.

Benodigde weerstandscapaciteit

De benodigde weerstandscapaciteit wordt bepaald door de geïdentificeerde risico’s uit te drukken in euro’s. Dit betreffen alle risico’s waarvoor geen/onvoldoende maatregelen zijn getroffen (netto verwachte omvang). Op deze wij wijze hebben we in beeld welke weerstandscapaciteit er nodig is om de financiële impact van risico’s op te vangen als deze zich voordoen.

Ratio weerstandsvermogen en norm SamenTwente

SamenTwente streeft naar voldoende weerstandsvermogen. Dit staat gelijk aan een ratio weerstandsvermogen van maximaal 1,0. Als minimale toegestane ondergrens merken we de ratio weerstandsvermogen van 0,8 aan. We kiezen voor een minimale ondergrens zodat op het moment dat het weerstandsvermogen wordt aangesproken en de ratio onder de 1,0 komt, er ruimte is om een plan te maken hoe we het weerstandsvermogen weer aan te vullen.

Bijsturen op ratio weerstandsvermogen

We vinden het van belang om tijdig bij te sturen om te voorkomen dat het weerstandsvermogen onder onze norm komt of dreigt te komen. Als de ratio onder de 0,8 komt worden bij het volgende integrale afwegingsmoment van de ontwikkelingen/kaderbrief, programmabegroting of de jaarstukken afspraken gemaakt hoe bij te sturen om de ratio weer op het gewenste niveau te krijgen. Hierbij wordt het volgende afgesproken:

• •

  positieve jaarrekeningresultaten prioritair bestemmen voor versterking van het weerstandsvermogen;

• •

  het instellen van een spaarprogramma door toevoegingen te doen aan de beschikbare weerstandscapaciteit;

• •

  bij beleid of besluiten met hoge risico’s het risicoprofiel te verlagen voor zover mogelijk door het plan bij te stellen of de uitvoering uit te stellen.