Versie: 1.0 Datum: 1 februari 2018

Voor de Veiligheidsregio Zuid-Holland Zuid is het van belang om inzicht te hebben in relevante risico's als ook welke activiteiten ondernomen moeten worden om deze risico's te beheersen. In veel gevallen is er bij het daadwerkelijk optreden van een risico ook sprake van financiële schade. Een adequate weerstandscapaciteit is van belang om deze financiële risico's op te kunnen vangen, zonder dat de veiligheidsregio beperkt wordt in het uitoefenen van de wettelijke taken. Risicomanagement is hierin een belangrijk onderdeel van het planning- en controlinstrumentarium dat gericht is op het vergroten van de interne beheersing, het sturend vermogen en de robuustheid van de veiligheidsregio.

Het formuleren van beleid omtrent weerstandsvermogen en risicomanagement is een wettelijke plicht.

In deze nota wordt onze wijze van risicomanagement beschreven. Vervolgens wordt de berekeningswijze van de weerstandscapaciteit en samenstelling van het weerstandsvermogen bepaald. Op basis hiervan kan een uitspraak gedaan worden over de robuustheid van de begroting van de VRZHZ.

Risico’s: Een risico is een onzekere gebeurtenis met oorzaken, een kans van optreden en effecten op de realisatie van de organisatiedoelstellingen. Als er zekerheid is over het optreden van een gebeurtenis, dan is er géén sprake meer van een risico.

Risicomanagement: Risicomanagement is het proces waarbij effectief wordt omgegaan met bedreigingen die invloed hebben op de realisatie van organisatiedoelstellingen.

Risicoprofiel: Het risicoprofiel beschrijft de impact die het risico kan hebben op de realisatie van de organisatiedoelstellingen.

Weerstandsvermogen: Het weerstandsvermogen is het resultaat van de confrontatie tussen de beschikbare weerstandscapaciteit en de gekwantificeerde risico's. Het geeft aan in hoeverre de veiligheidsregio in staat is om de niet begrote financiële gevolgen van risico's op te vangen middels eigen middelen.

Weerstandscapaciteit: De weerstandscapaciteit bestaat uit middelen en mogelijkheden waarover de veiligheidsregio beschikt om niet voorziene lasten te dekken, zonder dat de concernbegroting (toewijzen van middelen) en de geformuleerde doelstellingen aangepast moet worden.

In dit hoofdstuk wordt het wettelijk kader geschetst waar deze nota uit voortvloeit. Dit wettelijk kader bestaat uit een extern (het BBV) en een intern (de financiële verordening VRZHZ) component. Conform de financiële verordening VRZHZ zal de nota Weerstandsvermogen & Risicomanagement ten minste één maal in de vier jaar geëvalueerd en indien nodig geactualiseerd en bijgesteld worden.

De nota weerstandsvermogen en risicomanagement kent de volgende doelstellingen:

Kaderstelling bestuur

Het algemeen bestuur heeft een kaderstellende, een budgetbepalende en een controlerende taak. Middels deze nota geeft het algemeen bestuur de kaders met betrekking tot weerstandsvermogen en risicomanagement aan.

Het inbedden van risicomanagement

Door het invoeren van risicomanagement is de veiligheidsregio in staat een gedegen en goed onderbouwde invulling te geven aan risicomanagement. Hiermee draagt risicomanagement als instrument bij aan het vergroten van de interne beheersing. Zowel bestuurders, management en medewerkers dienen zich bewust te zijn van kansen, onzekerheden en bedreigingen. Er is dan ook bij het toepassen van risicomanagement bijzondere aandacht voor risicobewustzijn. Op basis van deze informatie is de veiligheidsregio in staat om goed onderbouwde keuzes maken:

a. welke risico's gedragen kunnen worden

b. welke beheersmaatregelen getroffen kunnen worden

c. in hoeverre de gereserveerde middelen de risico’s afdekken.

5 Risicomanagement

Risicomanagement

Risicomanagement is een instrument om op een gestructureerde en éénduidige wijze risico's in kaart te brengen (identificeren), te analyseren (kwantificeren) en te leren beheersen. Risicomanagement is gebaseerd op het maken van risicoanalyses. Een éénmalige risicoanalyse is niet voldoende. Pas wanneer de risicoanalyse regelmatig herhaald wordt, de inventarisatie periodiek geactualiseerd wordt en de beheersmaatregelen bovendien integraal onderdeel uitmaken van onze bedrijfsvoering, is er sprake van risicomanagement. Het inschatten van mogelijke toekomstige gebeurtenissen en hun effecten kan er voor zorgen dat de veiligheidsregio minder wordt verrast en dat er voldoende maatregelen genomen zijn om negatieve effecten te kunnen opvangen.

Integraal risicomanagement

Het éénmalig inventariseren en analyseren van de risico's als basis voor de beoordeling van het weerstandsvermogen wordt als onvoldoende beoordeeld. Er moet een continu proces van identificatie, prioritering en beheersing van risico's worden ingericht. Integraal risicomanagement is een systematisch en cyclisch proces van identificeren, beoordelen en kwantificeren van risico’s, het bepalen en uitvoeren van activiteiten en maatregelen die de kans van optreden en/of de gevolgen van risico’s beheersbaar houdt en het evalueren. Het model van integraal risicomanagement wordt aan de hand van de bovengenoemde elementen vorm gegeven in het volgende cyclische proces: identificeren, analyseren, beheersen, kwantificeren en evalueren.

Identificering van risico’s

Het is van belang om in het kader van het risicomanagement onderscheid te maken in de verschillende vormen waarin risico’s zich kunnen voordoen. De inventarisatie en identificatie van risico’s gebeurt middels de P&C-cyclus en vindt plaats in het voorjaar bij de opmaak van de jaarstukken en de begroting.

Analyseren

Er zijn risico’s die verwaarloosbaar zijn, omdat de kans dat ze zich voordoen zo klein is of de financiële gevolgen zo gering, dat het niet nodig is om daartegen maatregelen te treffen. Andere risico’s zijn bijvoorbeeld verzekerbaar. Er zijn ook risico’s in de vorm van calamiteiten waartegen geen maatregelen te nemen zijn of alleen tegen zulke hoge financiële offers dat die offers niet in verhouding staan tot de kans dat zo’n calamiteit zich voordoet. De in kaart gebrachte risico’s worden op het voorgaande geanalyseerd. Primair is de risico-eigenaar hier verantwoordelijk voor.

Beheersmaatregelen

Nadat de risico’s geïdentificeerd en geanalyseerd zijn, is het moment gekomen om maatregelen te treffen om te komen tot maatregelen en activiteiten. Het onderstaand schema kan worden gebruikt als richtlijn voor de te nemen beslissing omtrent de soort maatregelen die genomen kan worden. De organisatie dient alle risico’s te beheersen. De niet beheersbare risico’s worden opgenomen in de risico-paragraaf. Hier zullen beheersmaatregelen en weerstandscapaciteit tegenover staan ter afdekking van het risico.

Figuur: schema maatregelen risico’s

Risico-paragraaf

Integraal risico-management omhelst het managen van alle risico’s, ook de risico’s die op andere manier beheerst en afgedekt worden. De risico’s die op een andere manier zijn afgedekt zijn echter niet relevant voor opname in de risico-paragraaf. Hierbij valt te denken aan:

a) Risico’s zonder financiële gevolgen;

b) Risico’s die afgedekt zijn door het instellen van voorzieningen en bestemmingsreserves;

c) Risico’s waarvan de mogelijke financiële gevolgen zijn afgedekt door middel van verzekeringen.

Deze bovenstaande risico’s worden niet meegenomen in de risico-paragraaf. Alleen de geïdentificeerde risico’s welke nog niet zijn afgedekt worden opgenomen in de risico-paragraaf. Daarnaast is het wenselijk om voor de in de risico-paragraaf op te nemen risico´s een ondergrens vast te stellen. De risico’s met een financieel risico onder de grens worden niet gekwantificeerd. Voor de Veiligheidsregio Zuid-Holland Zuid is een ondergrens van €50.000 (ca. 0,1% van het begrotingstotaal) het uitgangspunt.

Meestal is een risico niet goed te kwantificeren of te beheersen en moet deze dus worden ‘gedekt’ door de weerstandscapaciteit. De schade die zich op enig moment kan openbaren, is niet alleen financieel, maar ook niet-financieel zoals imagoschade. Ook deze dienen adequaat geadresseerd te worden in de risico-paragraaf. In beide gevallen gaat het hier om de geleden schade op te vangen of te ‘compenseren’. Indien de financiële schade goed te kwantificeren is, kan een voorziening worden getroffen of andere beheersmaatregelen worden getroffen. Indien beheersmaatregelen goed zijn ingevoerd kan er voor worden gekozen om het risico te verwijderen uit de risico-paragraaf. De benodigde maatregelen zijn getroffen en de kans op het zich voordoen van het risico is immers kleiner geworden.

Kwantificering van risico’s

Zowel de financiële gevolgen die het risico met zich meebrengt als de kans dat een risico zich manifesteert wordt bepaald in percentages. Deze worden door de risico-eigenaar in samenspraak met control bepaald. Bij de financiële gevolgen kan de financieel adviseur adviseren of ondersteuning bieden.

Voor ieder risico wordt naast een inschatting van het financiële risico en de kans dat dit risico zich voordoet, ook de ernst van het risico bepaald. Dit wordt het risico-profiel genoemd. In deze gaat het niet om de financiële impact, maar om de kwalitatieve impact op de organisatie op het moment dat het risico plaatsvindt. Uitgangspunt voor het bepalen van het risico-profiel is de mate waarin het behalen van de strategische, tactische, operationele, project-, programma- en/of jaardoelstellingen belemmerd wordt bij het zich voordoen van het risico. De inschatting van het risico-profiel vindt plaats langs de classificering laag, gemiddeld en hoog met daaraan gekoppeld een wegingsfactor van 5%, 10% respectievelijk 20%. Een risico dat grote financiële gevolgen heeft, maar bij het voordoen weinig bedreiging vormt voor de realisatie van de doelstellingen weegt hierbij minder zwaar dan een risico dat naast dezelfde financiële gevolgen ook een grote bedreiging voor de realisatie van de doelstellingen tot gevolg heeft. Inschatting kan plaatsvinden op basis van de volgende vraag: Indien het risico zich voordoet, is de organisatie, is de uitvoering of zijn haar werkprocessen in een bepaalde mate ontwricht? Ter toelichting schetsen we een fictief voorbeeld. Het risico op het failliet gaan van een schuldenaar kan een financieel gevolg met zich meebrengen. Op basis van de kwalitatieve impact van dit risico is het profiel van dit risico “laag” (5 %). Immers, het levert behoudens een financiële belemmering geen andere belemmering op voor het behalen van de doelstellingen. Het risico op een gebeurtenis, waarbij het kantoorpand van de VRZHZ onbruikbaar verklaard wordt kan een gevolg van eenzelfde financiële omvang met zich meebrengen. Echter worden ook de reguliere werkzaamheden hiermee ontwricht. Deze gebeurtenis brengt hierdoor, ondanks hetzelfde financiële verlies, een grotere belemmering voor de realisatie van de doelstellingen met zich mee. Om die reden wordt het risico-profiel van dit laatste risico geclassificeerd onder “hoog” (20%).

Het inschatten van de financiële gevolgen, de kans op het zich voordoen en het risico-profiel is vaak een subjectief oordeel wat gepaard kan gaan met intensief overleg tussen de risico-eigenaar, control, financieel adviseur en andere stakeholders. De risico-eigenaar is primair verantwoordelijk voor de inschatting en wordt hierbij in ieder geval ondersteund door control. Inschatting kan plaatsvinden op basis van onder meer ervaringscijfers, vergelijkingen met andere risico’s, het bestuurlijk en organisatorisch belang en soortgelijke voorbeelden in het land.

Op basis van de uitkomsten van het classificeren en het kwantificeren van de kans, financiële gevolgen en risicoprofiel kan het benodigd weerstandsvermogen worden bepaald. Risico’s met een incidenteel gevolg worden voor een periode van één jaar meegenomen in de berekeningen. Structurele risico’s worden voor een periode van vier jaar meegenomen in de berekeningen (het risico wordt met factor vier vermenigvuldigd wordt). Dit vanuit het uitgangspunt dat de organisatie binnen vier jaar in staat moet zijn om toereikende maatregelen te treffen om het gesignaleerde risico af te dekken.

Taken en bevoegdheden

De risico-eigenaar is binnen de ambtelijke organisatie aanspreekpunt voor zijn risico’s. De risico-eigenaar zorgt ervoor dat er wordt gerapporteerd over de risico’s. Hij/zij identificeert, analyseert, beheerst en kwantificeert. De rol van risico-eigenaar ligt bij de leidinggevenden op niveau twee (het MT VRZHZ). Control ondersteund hierbij en heeft hier een adviserende, signalerende en toetsende rol bij. De (concern)controller heeft binnen het risicomanagement een bijzondere rol. Hij toetst, informeert en rapporteert vanuit zijn onafhankelijke rol.

Evaluatie

Het evalueren van het gevoerde risicomanagement is een essentieel onderdeel van risicomanagement. Deze evaluatie heeft betrekking op de genoemde verschillende elementen in het proces. Evaluatie heeft tot doel om het totaalproces te verbeteren.

Benodigd weerstandsvermogen

Op basis van de eerder genoemde kwantificering van de risico’s in de risicoparagraaf wordt per risico het benodigd weerstandsvermogen bepaald. Dit doen we als volgt.

In dit hoofdstuk wordt beschreven uit welke bestanddelen de weerstandscapaciteit van onze de veiligheidsregio is opgebouwd.

Weerstandscapaciteit

De weerstandscapaciteit bestaat uit middelen en mogelijkheden waarover de veiligheidsregio beschikt om niet voorziene lasten te dekken, zonder dat de concernbegroting (toewijzen van middelen) en de geformuleerde doelstellingen aangepast moet worden.

De algemene reserve is een vrij besteedbare reserve en dient in die hoedanigheid als buffer voor het afdekken van niet voorzienbare risico’s en tegenvallers. Ook de post onvoorzien kent eenzelfde karakter. De algemene reserve en de post onvoorzien fungeren hierdoor als weerstandscapaciteit. In geval een risico zich voordoet en de bestaande weerstandscapaciteit dit onvoldoende kan opvangen, kan uitgeweken worden naar de volgende mogelijkheden. Deze uitwijkmogelijkheden zijn expliciet geen onderdeel van de weerstandscapaciteit, maar worden voor het volledige beeld op het vlak van risicomanagement en weerstandvermogen hieronder weergegeven:

• Bestemmingsreserves;

• Kostenreductie (cq. ombuigingen);

• Verwerking via de resultatenrekening (jaarresultaat) van de impact met de deelnemende eigenaren, namelijk de gemeenten.

Hierbij laten we de eventuele stille reserves buiten beschouwing daar in het geval van de Veiligheidsregio er veelal geen sprake zal zijn van een substantiële omvang van deze. Het is daarnaast een onwaarschijnlijk scenario dat de uitwijkmogelijkheden aangesproken, daar nooit alle risico’s zich tegelijkertijd voordoen.

Zoals gezegd vinden risico’s nooit allemaal tegelijk plaats. Daarom is het niet efficiënt als de Veiligheidsregio haar eigen risicobuffer volledig moet aanleggen. Bovendien moeten risico’s die zich daadwerkelijk voordoen allereerst binnen de Veiligheidsregio worden opgevangen. Op de 1e plaats via de exploitatie, anders via het aanwezige weerstandscapaciteit, te weten de algemene reserve en post onvoorzien. Pas indien deze geen ruimte meer hebben, kan bij voorkeur door het herbestemmen van een bestemmingsreserve of het verwerking via de resultatenrekening en dus via het jaarresultaat een beroep worden gedaan op de deelnemende gemeenten. Anderzijds moet de veiligheidsregio als zelfstandige organisatie een zekere ruimte kunnen houden voor een efficiënte bedrijfsvoering. Op basis van het bovenstaande wordt de volgende wijze van berekening van de weerstandscapaciteit, in casu de algemene reserve, gehanteerd:

• De Veiligheidsregio houdt een éénvoudige, bescheiden buffer aan van 1% van het totaal van de lasten met een minimum van € 0,5 miljoen.

• Indien de buffer lager is geworden dan de voorgestelde 1% van het lastenbegrotingstotaal wordt dit in beginsel niet aangevuld door de gemeenten. Aanvulling dient primair plaats te vinden uit mogelijke (toekomstige) voordelige jaarrekeningresultaten.

• Het is daarbij niet de bedoeling de algemene reserve aan te vullen middels een extra inwonerbijdrage.

8 Koppeling met de P&C-cyclus

Om de gewenste doelen ten aanzien van het weerstandsvermogen te bereiken is het van belang om het integrale risicomanagement inclusief weerstandsvermogen op een heldere en verantwoorde manier in de organisatie te verankeren. Op het moment dat zich bijvoorbeeld nieuwe risico’s aandienen, moet de risico-inventarisatie hierop worden aangepast. Zo ook met risico’s, waartegen adequate maatregelen doorgevoerd zijn of risico’s die niet meer relevant. Deze kunnen worden afgevoerd. Op deze wijze blijft de benodigde weerstandsvermogen ter dekking van de aanwezige risico’s actueel.

Koppeling

Even belangrijk is het op een verantwoorde manier omgaan met de beschikbare weerstandscapaciteit. Dit om te voorkomen dat de weerstandscapaciteit afneemt door bijvoorbeeld een verkeerde aanwending van middelen. Voor een effectieve verankering van risicomanagement in de organisatie is goede communicatie van belang. Een inhoudelijke communicatie over de risico’s zal plaatsvinden middels de planning & control producten. Door de koppeling van het risicomanagement aan de P&C-cyclus wordt dit thema periodiek onder de aandacht gebracht.

Jaarlijkse cyclus

Elk voorjaar dient er bij de vervaardiging van de jaarstukken T-1 en de begroting T+1 een inventarisatie plaats te vinden van de risico’s. De vervaardiging van de jaarstukken T-1 en de begroting T+1 vinden nagenoeg op hetzelfde moment plaats. De geïnventariseerde risico’s worden opgenomen in de risico-paragraaf. De risico-paragraaf wordt vervolgens voor zowel de jaarstukken T-1 als de begroting T+1 gebruikt. Bij de eerste en tweede bestuursrapportage in jaar T kan de geldende risico-paragraaf geactualiseerd worden. Hiermee wordt de risico-paragraaf een dynamisch stuk en worden in de bestuursrapportages in principe alleen die risico’s gemeld die nieuw zijn, die significant afwijken of afgevoerd moeten worden. Eénmaal per jaar zal een evaluatie plaatsvinden van het gevoerde beleid, zodat er indien nodig kan worden bijgestuurd. De rapportage over risico’s is hiermee direct gekoppeld aan de planning & control producten tenzij materieel wezenlijke zaken zich voor (dreigen te) doen. Dan kan worden besloten een separate notitie aan het bestuur aan te bieden.

Citeertitel

Deze nota kan worden geciteerd onder de naam "Nota risicomanagement en weerstandsvermogen 2018”.