Onderzoeksrapport
Risicomanagement bij gemeenten in relatie tot het weerstandsvermogen
Utrecht, februari 2012
ConQuaestor bv • Orteliuslaan 871, 3528 BE Utrecht • Postbus 8227, 3503 RE Utrecht Tel +31 (0)30 290 61 00 • Fax +31 (0)30 290 61 01 • info@conquaestor.nl www.conquaestor.nl • Bank 3602.13.545 • KvK 39085048 • BTW NL812858074B01
Niets uit deze uitgave mag worden verveelvoudigd en/of openbaar worden gemaakt, op welke wijze dan ook, zonder voorafgaande schriftelijke toestemming van één van de auteurs.
I
Inhoudsopgave 1. Risicomanagement en weerstandsvermogen bij gemeenten: nog de nodige stappen te zetten
5
2. Samenvattende conclusies
6
3. Resultaten
7
4. Beheersen van risico’s
16
5. Rapporteren van risico’s
18
6. Taken, bevoegdheden en verantwoordelijkheden
20
7. Classificatie van volwassenheid
26
1
1. Risicomanagement en weerstandsvermogen bij gemeenten: nog de nodige stappen te zetten Sinds het Besluit Begroting en Verantwoording in 2004 van kracht werd, zijn gemeenten verplicht hun weerstandsvermogen, waarmee financiële tegenvallers worden opgevangen, in kaart te brengen aan de hand van haar risico’s en deze weer te geven in een afzonderlijke risicoparagraaf in zowel de begroting als in de jaarrekening. Om aan deze wettelijke verplichting te voldoen, moeten gemeenten risicomanagement steeds meer professionaliseren. Ook vragen burgers om meer transparantie en verantwoording bij de besteding van gemeenschapsgelden.
Noodzaak risicomanagement Risicomanagement bij gemeenten is noodzakelijk. Jaarlijks verliezen gemeenten miljoenen bij gebrek aan deugdelijk risicomanagement. Zo heeft gemeente Beuningen inmiddels € 20 miljoen verloren op het zandwinningsproject Beuningse Plas en heeft de gemeente Amersfoort inmiddels bijna € 11 miljoen verloren aan het Eemshuis. De gemeente Ommen is inmiddels met € 28 miljoen het schip in gegaan met project Drieslag. De gemeente Bergen op Zoom heeft een geschat verlies van € 50 miljoen op het project Bergse Haven bij gebrek aan een goede risico-analyse. Om maar te zwijgen over de honderden miljoenen kostenoverschrijding van de Noord-Zuidlijn door een te krappe initiële inschatting van de post onvoorzien. In het voorjaar constateert Ernst & Young dat het huidige risicomanagement vooral instrumenteel van aard is en nog onvoldoende bijdraagt aan financiële sturing. Veel overheden laten hiermee een groot besparingspotentieel liggen.
Onderzoek Wanneer gemeenten nu wordt gevraagd naar de wijze waarop het risicomanagement in relatie tot het weerstandsvermogen is ingeregeld, dan geeft men volmondig toe dat hiervoor nog de nodige stappen moeten worden gezet. Dit blijkt uit een onderzoek door ConQuaestor onder 60 gemeenten in het najaar van 2011:
Type gemeente Aantal Gemiddeld Gemiddeld respondenten aantal inwoners aantal medewerkers
Gemiddeld balanstotaal (in miljoenen euro’s)
Klein Middelgroot Groot Totaal
107 318 816
41 27.136 187 12 68.726 598 7 171.586 1.971 60
5
2
2. Samenvattende conclusies
Toegevoegde waarde risicomanagement onvoldoende onderkend Ruim 90% van de respondenten geeft aan dat binnen de ambtelijke organisatie niet gewerkt wordt met incontrol-verklaringen door het management. Dit zijn interne verklaringen waaruit blijkt in hoeverre men de processen, systemen en de organisatie afdoende beheerst met de daaraan gerelateerde risico’s. Zeer in het oog springend geldt daarbij, dat een zeer ruime meerderheid van de respondenten aangeeft dat risicomanagement geen tot weinig toegevoegde waarde heeft voor de gemeente of hierover geen uitspraak kan doen. Daarbij komt dat politiek-bestuurlijke afwegingen nog regelmatig prevaleren boven een integrale risicoafweging.
Geen diepgaande verankering van risicomanagement Van een diepgaande verankering van risicomanagement binnen de processen, systemen en organisatie van de gemeente is momenteel nauwelijks sprake. Dit laatste wordt onder meer geïllustreerd doordat gemeenten zich niet of nauwelijks laten leiden door een risicomanagement standaard. Daarnaast wordt weinig gebruik gemaakt van specifieke elektronische hulpmiddelen. Daarbij geeft bijna 90% van de respondenten aan dat taken, bevoegdheden en verantwoordelijkheden ten aanzien van risicomanagement niet in functiebeschrijvingen of persoonlijke ontwikkelingsplannen zijn vastgelegd. Daar waar risicomanagement juist van belang is voor alle lagen van de gemeente, is risicomanagement voor een groot gedeelte belegd bij de financiële kolom. Ook wordt het management vrijwel niet beloond voor goed risicomanagement of hierin permanent getraind.
De ambtelijke wil is er Een professionele invulling van risicomanagement is een must om de huidige recessie en bezuinigingen het hoofd te kunnen bieden. Hierdoor zal men zich o.a. minder laten verleiden tot risicovolle trajecten die potentieel de financiële draagkracht van de gemeente te boven gaan. Ongeveer de helft van de respondenten geeft toe dat in dit kader de graad van volwassenheid van risicomanagement nog op het initiële niveau verkeert waarbij wordt geëxperimenteerd met risicomanagement door een aantal individuen binnen een aantal projecten. Risicomanagement op ad hoc basis dus. Wel wordt aangegeven dat thema’s rondom risicomanagement op het vlak van bijvoorbeeld risicobewustzijn, risicocultuur en kwantificering van risico’s hoog op de agenda staan van de diverse raden, colleges en ambtelijke top. Uit de reacties van de respondenten blijkt een bewustzijn dat hiervoor nog veel werk moet worden verstouwd. Maar de ambtelijke wil is er. Voor meer informatie: Thomas A. Ros, msc (06-13360734; thomas.ros@conquaestor.nl, Ivo Franssen; Ivo.Franssen@conquaestor.nl (06-10908314), management consultants van de vakgroep Governance, Audit Risk & Compliance van ConQuaestor. ConQuaestor (www.conquaestor.nl en www.conquaestor.tv) biedt organisaties in zowel de profit als de public sector oplossingen voor strategische en operationele vraagstukken op het gebied van finance en risk. Ruim 600 consultants werken aan financiele, bedrijfseconomische en administratieve projecten en processen op de bedrijfsvoering van opdrachtgevers te verbeteren, onder de noemer Mastering Finance.
6
3
3. Resultaten Hiernavolgend zullen de resultaten van het onderzoek worden gepresenteerd aan de hand van de vraagstellingen en tabellen.
Algemeen
Bij Nederlandse gemeenten wordt het weerstandsvermogen op verschillende manieren gedefinieerd en samengesteld. Voor dit onderzoek hanteren we de volgende definitie van weerstandsvermogen (naar Besluit Begroting en Verantwoording): Het verhoudingsgetal (ratio) tussen de beschikbare en de benodigde weerstandscapaciteit. De weerstandscapaciteit is het bedrag dat wordt gereserveerd voor kosten verbonden aan onvoorziene gebeurtenissen. Soms wordt dit bedrag aangeduid met de term weerstandsvermogen. De benodigde weerstandscapaciteit kan worden bepaald aan de hand van risico-identificatie en –kwantificatie maar is vaak een vast percentage van de begroting.
Hoe wordt het weerstandsvermogen bij uw gemeente uitgedrukt? 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Verhoudingsgetal beschikbare en benodigde weerstandscapaciteit
7
Uit welke onderdelen (van de balans) bestaat het weerstandsvermogen/de weerstandscapaciteit bij uw gemeente? 100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Algemene reserve Onbenutte belastingscapaciteit Stille reserve Vrij aanwendbare (bestemmings)reserve
Grote gemeente Reserve onvoorzien Reserve grondexploitatie Begrotingsruimte Risicoreserve
Reserves t.b.v. weerstandsvermogen
Identificeren en analyseren van risico’s in relatie tot weerstandscapaciteit / -vermogen. De benodigde weerstandscapaciteit kan worden bepaald aan de hand van risico-identificatie en –kwantificatie maar kan ook een vast percentage van de begroting zijn.
Welke stelling geldt voor uw gemeente in dit kader? 70% 60% 50% 40% 30% 20% 10%
Heeft geen enkele relatie met de risico’s
Betreft vast percentage begroting De vastgestelde weerstandscapaciteit
8
Heeft directe relatie met risico’s
100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Geen enkele relatie met risico’s Betreft vast percentage begroting
Grote gemeente Heeft directe relatie met risico’s
De vastgestelde weerstandscapaciteit...
Indien de vastgestelde weerstandscapaciteit niet in relatie staat tot de omvang van de geïnventariseerde risico’s, kunt u toelichten hoe de vastgestelde weerstandscapaciteit bij uw gemeente tot stand komt? De antwoorden op deze vraag zijn te divers om tot een betrouwbaar en representatief beeld te komen.
Is er sprake van een risicomanagementbeleid binnen uw gemeentelijke organisatie sinds de invoering van het Besluit Begroting en Verantwoording in 2004? 100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Ja Nee Sprake van risicomanagementbeleid
9
Op welke wijze is het risicomanagementbeleid gecommuniceerd? 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Geen Deels via o.m. intranet
Grote gemeente Volledig via o.m. intranet Anders
Communicatiewijze risicomanagementbeleid
Onder ‘Anders’ valt onder meer communicatie via werkoverleggen, MT, nota’s en paragrafen weerstandsvermogen in begroting en jaarrekening.
Wanneer is uw gemeentelijke organisatie van start gegaan met de introductie van risicomanagement in relatie tot het weerstandsvermogen? 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Nog niet Nog niet, maar wel van plan Minder dan 1 jaar geleden Start risicomanagement
10
Grote gemeente Tussen 1 en 3 jaar geleden Tussen 3 en 5 jaar geleden Langer dan 5 jaar geleden
Heeft u bij de inrichting van het risicomanagement binnen uw gemeentelijke organisatie zich laten leiden door een risicomanagement standaard (zoals COSO, INK, ISO31000)? 100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Geen risicomanagement standaard
Voor zover u zich heeft laten leiden door deze standaard; bent u tevreden over deze standaard? Het aantal respondenten dat deze vraag heeft beantwoord is niet toereikend om een representatief beeld te geven.
11
Hoe vaak dient het management van uw gemeentelijke organisatie een risicoinventarisatie- en analyse uit te (laten) voeren en hierover te rapporteren? 50%
40%
30%
20%
10%
Kleine gemeente
Middelgrote gemeente
Bij grote investeringsprojecten Bij grote projecten Nooit Minder dan eens per jaar Risicoinventarisatie en -analyse
Grote gemeente Per Per Per Per
jaar half jaar kwartaal maand
Welke technieken worden binnen uw gemeentelijke organisatie gebruikt voor het identificeren en analyseren van risico’s? 50%
40%
30%
20%
10%
Kleine gemeente
Middelgrote gemeente
Workshops/interviews Scenario-analyse Incidentenregistratie
Grote gemeente Vragenlijst / checklist Audits Andere
Technieken risico-identificatie en -analyse
Onder ‘Andere’ zijn antwoorden gegeven zoals het proces van jaarrekening en begroting, planning & control–cyclus, opgave afdelingshoofden en de inzet van externe adviseurs.
Kent u casussen binnen uw gemeente waarbij politiek-bestuurlijke afwegingen hebben geprevaleerd boven een integrale risicoafweging? 100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Nooit Meerdere malen per jaar - eens in de vier jaar Prevalering politiek-bestuurlijke overwegingen
13
Wordt er binnen uw gemeentelijke organisatie elektronische hulpmiddelen (tools) gebruikt bij risicomanagement? 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Geen elektronische hulpmiddelen
Kunt u aangeven hoe de risico’s worden doorvertaald in de weerstandscapaciteit en het weerstandsvermogen? 100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Geen enkel risico leidt tot de reservering van een bepaalde hoeveelheid weerstandscapaciteit (Sommige) risico’s leiden altijd tot de reservering van een bepaalde hoeveelheid weerstandscapaciteit
Grote gemeente Anders
Doorvertaling risico’s in weerstandscapaciteit
Onder ‘Anders’ zijn antwoorden gegeven waaruit over het algemeen blijkt dat (sommige) risico’s leiden tot de reservering van een bepaalde hoeveelheid weerstandscapaciteit.
14
15
4
4. beheersen van risico’s Welke beheersmaatregelen of beheerssystemen zijn in uw gemeentelijke organisatie aanwezig en hoe beoordeelt u de effectiviteit op een schaal van 1 tot en met 10? 50%
40%
40%
20%
10%
Kleine gemeente
Middelgrote gemeente
Gedragscode Klokkenluiderregeling Planning & Control systematiek AO/IC Risk & Control matrices
Grote gemeente Kwaliteitsmanagement Performance management Business Continuity Planning Audit Andere
Soorten van beheersmaatregelen
Onder ‘Andere’ zijn antwoorden gegeven die meestal een combinatie betreffen van de genoemde beheersmaatregelen.
Kunt u toelichten welke soorten risico’s en bijbehorende beheersmaatregelen een positieve dan wel negatieve invloed hebben? De antwoorden op deze vraag hebben geen representatief en betrouwbaar beeld opgeleverd.
Hoeveel geld geeft uw organisatie naar schatting jaarlijks uit aan risicomanagement? Door grote diversiteit (euro, manuren, interne capaciteit, externe capaciteit, onbekend) in de antwoorden op deze vraag kan geen betrouwbaar gemiddeld bedrag per categorie gemeente worden berekend.
16
Welke beheersmaatregelen of beheerssystemen zijn in uw gemeentelijke organisatie aanwezig en hoe beoordeelt u de effectiviteit op een schaal van 1 tot en met 10? (vervolg van pagina 16) 10,0 9,0 8,0 7,0 6,0 5,0 4,0 3,0 2,0 1,0
Kleine gemeente
Middelgrote gemeente
Gedragscode Klokkenluiderregeling Planning & Control systematiek AO/IC Risk & Control matrices
Grote gemeente Kwaliteitsmanagement Performance management Business Continuity Planning Audit
Gemiddelde scores beheersmaatregelen
Hoeveel vertrouwen heeft u over het geheel genomen dat de beheersmaatregelen van uw gemeentelijke organisatie aanzienlijke financiĂŤle schade zullen voorkomen? 8,0 7,0 6,0 5,0 4,0 3,0 2,0 1,0
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Gemiddeld cijfer
17
5
5. Rapporteren van risico’s Is het risicomanagement proces geïntegreerd in de reguliere planning & control cyclus? 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Ja Gedeeltelijk
Grote gemeente Nee
Mate van integratie risicomanagement binnen Planning & Control - cyclus
Wordt er binnen uw gemeentelijke organisatie gewerkt met een verklaring van het verantwoordelijke management dat hun organisatieonderdeel ‘in-control’ is? 100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente Geen in-control verklaring
18
Grote gemeente
Hoe rapporteert uw organisatie in de jaarrekening over risicomanagement in relatie tot het weerstandsvermogen? 100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Geen rapportage over risicomanagement in de jaarrekening Rapportage van de belangrijkste risico’s Rapportage werking van het risicomanagement- systeem in dat jaar
Grote gemeente Rapportage van aangebrachte wijzigingen in risicomanagementsysteem Rapportage van geplande wijzigingen in risicomanagementsysteem
Rapportagewijze risicomanagement in relatie tot weerstandsvermogen
19
6
6. Taken, bevoegdheden en verantwoordelijkheden Zijn de taken, bevoegdheden en verantwoordelijkheden van functionarissen ten aanzien van risicomanagement vastgelegd? 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Niet vastgelegd Vastgelegd in risicomanagementbeleid en/of procedures
Grote gemeente Vastgelegd in functiebeschrijvingen / POP
Vastlegging taken en verantwoordelijkheden
Hoe is de risicomanagement (ondersteunende) functie binnen uw gemeentelijke organisatie belegd? Type gemeente
Geen risico- management afdeling
Zelfstandige risicomanagent functie / afdeling
Klein 7 Middelgroot 2 3 Groot Totaal 9 3
20
Finance & Control
Interne Audit
23 4 4 2 3 29 7
Andere Afdeling
7 3 2 12
Welke rol vervult u als leidinggevende in het risicomanagement? 100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Uitvoerend Ondersteunend Implementatie van risicomanagement systeem of proces
100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Uitvoerend Ondersteunend Identificeren en / of analyseren van risico’s
21
100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Uitvoerend Ondersteunend Verbetering van beheersing van risico’s
100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Uitvoerend Ondersteunend Monitoren uitvoering verbeterplannen t.a.v. risicobeheersing
22
Grote gemeente
100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Uitvoerend Ondersteunend Rapporteren van risico’s
100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Uitvoerend Ondersteunend Opstellen van risicomanagement beleid en procedures in begroting jaarrekening
23
Worden managers in uw gemeentelijke organisatie getraind in risicomanagement? 100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Geen risicomanagement training
Worden managers beloond voor goed risicomanagement? 100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Geen beloning goed risicomanagement
Kunt u toelichten op welke manier managers worden beloond voor goed risicomanagement? De antwoorden op deze vraag hebben geen representatief en betrouwbaar beeld opgeleverd.
24
Kunt u de mate van tevredenheid over risicomanagement aangeven binnen uw gemeente? 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Niet aan te geven Risicomanagementbeleid heeft beperkte toegevoegde waarde voor de gemeente
Grote gemeente Risicomanagement heeft grote toegevoegde waarde voor de gemeente
Vastlegging taken en verantwoordelijkheden
25
7
7. Classificatie van volwassenheid De respondenten is gevraagd een classificatie te geven voor de mate van volwassenheid van risicomanagement aan de hand van de volgende definities:
• • • •
Niveau 1 – Ad Hoc. Op dit niveau is de organisatie zich er niet van bewust dat risicomanagement noodzakelijk is. Niveau 2 – Initieel. Op dit niveau wordt geëxperimenteerd met risicomanagement door een aantal individuen binnen een aantal projecten. Niveau 3 – Herhaalbaar. Op dit niveau is risicomanagement geïmplementeerd in de routinematig processen en de diverse projecten van de gemeentelijke organisatie. Niveau 4 – Lerend. Op dit niveau is er in elke laag van de gemeentelijke organisatie een risico bewuste cultuur ontwikkeld. De informatie over risico’s wordt dan ook continu verwerkt en gebruikt om de processen in de organisatie te verbeteren.
Kunt u de mate aangeven waarin risicomanagement in uw gemeentelijke organisatie is geïncorporeerd? 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Niveau 1 Niveau 2 Volwassenheid risicomanagement
26
Grote gemeente Niveau 3
Voor zover u de volwassenheid van risicomanagement in de gemeentelijke organisatie op het niveau 1, 2 of 3 classificeert, bestaat er de ambitie om deze volwassenheid op een hoger niveau te brengen en, zo ja, op welke termijn?
100% 90% 80% 70% 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Binnen 3 jaar naar een hoger niveau
Welke thema’s/projecten heeft uw gemeente gedefinieerd om het weerstandsvermogen beter vast te kunnen stellen door middel van professioneel risicomanagement? 60% 50% 40% 30% 20% 10%
Kleine gemeente
Middelgrote gemeente
Grote gemeente
Geen thema’s / projecten definieert Tooling Risicobewustzijn / cultuur Andere Kwantificeren van risico’s Thema’s risicomanagement
27
28