Van risico naar succes

Verleden jaar beschreef Peter Boorsma¹ in een reeks van vier artikelen² een onderzoek naar risicomanagement en de weerstandsparagraaf bij gemeenten als vervolg op een eerder onderzoek uit 2014³. Hij heeft mij gevraagd dit artikel te becommentariëren, waarbij ik ook graag wil reflecteren op de praktijk van 25 jaar risicomanagement in gemeenten.

In 1992, toen ik als bestuurskunde student stage liep bij een gemeente, kwam er een brief langs van het Ministerie van BZK over risicomanagement. Ik was op zoek naar een afstudeeropdracht op het snijvlak van de disciplines financieel management en organisatiekunde, en risicomanagement leek daar perfect in te passen. Een telefoontje naar BZK bracht mij een week later naar Den Haag. Ze wilden iets met risicomanagement, dat was nieuw, maar hadden nog geen idee wat het inhield en wat ze ermee moesten. Later werd mij duidelijk waarom dit toen op de agenda stond: De volhardendheid van Peter Boorsma, die destijds als senator regelmatig aandacht voor het onderwerp vroeg bij de Minister.

Na mijn bezoek aan BZK had ik een afstudeeropdracht. Maar in Nederland was in die tijd amper een boek te vinden over risicomanagement. De cultuur was ook anders: als je bestuurders en directeuren vroeg naar risico’s kreeg je steevast het volgende antwoord: Wij hebben geen risico’s, we hebben alleen maar goede mensen in dienst en die doen hun werk goed. Vervolgens ging de deur weer dicht. Tegenwoordig zouden bij dit soort opmerkingen meteen alle alarmbellen afgaan. Wat valt daar te verbergen?

De afstudeeropdracht bracht mij naar de Verenigde Staten waar ik een literatuur- en veldstudie heb gedaan naar de praktijk van risicomanagement bij lagere overheden (cities en counties) in de VS. In de VS lopen ze met dit soort onderwerpen altijd voorop, maar toch werd Nederland het eerste land met een risicoparagraaf! Met mijn afstudeeropdracht mocht ik de input leveren voor de introductie van de risicoparagraaf in de Comptabiliteitsvoorschriften ’95.

Risicoparagraaf versus weerstandsparagraaf

In de afgelopen 25 jaren is er af en toe wat veranderd aan de paragraaf. Gemeenten kopieerden in het begin veelal de risicoparagrafen van elkaar, zodat de inhoudelijke waarde beperkt bleef. Een verandering naar weerstandsparagraaf moest het meer gemeentespecifiek maken, door het risicomanagement te koppelen aan de financiële positie van de gemeente.

De toenemende vraag naar jeugdzorg ziet men veelal als financieel probleem, terwijl het zou moeten gaan over hoe het nou echt met de jeugd gaat en de gemeentelijke doelstellingen op dit vlak

Enerzijds heeft dit een positieve impuls gegeven aan de aandacht voor risicomanagement, anderzijds heeft de weerstandsparagraaf ertoe geleid dat de aandacht vooral uitging naar de financiële impact van risico’s. Zo wordt bijvoorbeeld de toenemende vraag naar jeugdzorg veelal als een financieel probleem gezien, terwijl het zou moeten gaan over hoe het nou echt met de jeugd gaat en de gemeentelijke doelstellingen op dit vlak.

Weerstandsparagraaf bij jaarrekening en begroting

De eerste risicoparagraaf moest jaarlijks bij de begroting worden gepubliceerd. De huidige weerstandsparagraaf wordt twee keer per jaar gepubliceerd: bij de jaarrekening en bij de begroting. De meeste gemeenten vullen dit in door het weerstandsvermogen 2 x per jaar te actualiseren in plaats van jaarlijks. Hier ligt een eerste gemiste kans voor gemeenten. Boorsma komt in zijn onderzoek tot de conclusie dat noch de gemeenteraad, noch de financiële commissie uitvoerig stilstaan bij de weerstandsparagraaf. Vaker opnemen leidt dus niet tot meer aandacht. Het opnemen van een weerstandsparagraaf in de jaarrekening druist ook in tegen wat je met risicomanagement wilt bereiken. De jaarrekening blikt vooral terug op het gevoerde beleid, terwijl risicomanagement juist de blik naar voren heeft gericht: Wat komt er op ons af en hoe gaan we daarmee om?

Aandacht in de jaarrekening zou vooral een terugblik moeten zijn

Aandacht in de jaarrekening zou dan ook vooral een terugblik moeten zijn. Welke risico’s hebben zich het afgelopen jaar voorgedaan? Wat voor impact heeft dat gehad op onze doelstellingen? En wat heeft ons dat gekost? Uit (Rekenkamer)onderzoek dat ik de afgelopen jaren bij tal van gemeenten heb uitgevoerd, blijkt keer op keer dat controllers en schrijvers van de weerstandsparagraaf inschatten dat risico’s zich nauwelijks voordoen, terwijl een rondje langs de afdelingen een heel ander beeld laat zien als je alle opgetreden risico’s onder elkaar zet. De essentie van een terugblik is om stil te staan bij wat er is gebeurd en vervolgens wat er kan worden geleerd om herhaling van risico’s te voorkomen. Breda is één van de weinige uitzonderingen die stil staat bij opgetreden risico’s (schades en incidenten).

Breda is één van de weinige uitzonderingen die stilstaat bij opgetreden risico’s (schades en incidenten)

Wat vinden bestuurders van risicomanagement?

Als het vaker opnemen van de weerstandsparagraaf niet leidt tot meer aandacht voor risicomanagement, hoe dit dan wel te bereiken? Boorsma concludeerde in zijn onderzoek al dat de weerstandsparagraaf nauwelijks wordt besproken.

De afgelopen jaren heb ik een rondje langs de velden gemaakt en gesproken met wethouders, secretarissen, directeuren, raadsleden, etc en hen gevraagd naar wat zij vonden van risicomanagement. Niemand zegt in de openbaarheid dat je niet aan risicomanagement moet doen. Binnenskamers hoor je veelal dat het voelt als op de rem trappen, negatieve insteek, terwijl bestuurders juist geloof hebben in hun ideeën en vooruit willen. Dit leidt tot een mismatch in de toepassing.

Van risicomanagement naar succesmanagement

Hoe krijg je dan meer de aandacht van bestuurders en de top van de organisatie? Door risicomanagement beter te laten aansluiten bij hun belevingswereld. Bestuurders hebben in een coalitieakkoord afspraken gemaakt over doelen die ze willen bereiken. Om succesvol te zijn in de doelbereiking zijn twee zaken relevant:

1. De organisatie moet de juiste activiteiten  ondernemen om doelen effectief te bereiken
2. Sturen op de belangrijkste risico’s die ervoor zorgen dat doelen niet worden behaald.

Dit principe, dat wordt weergegeven in de afbeelding hiernaast, is in zijn eenvoud het essentiële besturingsmechanisme van een succesvolle organisatie en wordt Succesmanagement genoemd⁴.

Door risicomanagement beter te laten aansluiten bij de belevingswereld van bestuurders en de organisatietop, krijg je hiervoor meer aandacht

De afbeelding maakt duidelijk dat risicomanagement niet op zichzelf staat, maar een geïntegreerd en essentieel onderdeel is van de besturing van een organisatie. Risico’s die gekoppeld zijn aan de doelen zijn de strategische risico’s die ervoor kunnen zorgen dat doelen niet worden bereikt. Bestuurders moeten inherent wakker liggen van deze risico’s en bezig zijn met het beheersen ervan. Het zijn de doeleigenaren zelf die ook eigenaar zijn van het risico. Zij hebben immers een direct belang bij het beheersen van deze risico’s.

Daarnaast zijn risico’s gekoppeld aan activiteiten (processen/projecten). Het zijn de proces- of projecteigenaren die belang hebben bij het beheersen van deze zogeheten tactische risico’s om succesvol te zijn met hun proces of project.

Risico’s en kansen

Succesmanagement heeft niet alleen oog voor de negatieve kant, de risico’s, maar ook voor de positieve kant. Hoe kunnen we onze activiteiten beter en slimmer doen om effectiever de doelen te bereiken? Onderstaande voorbeeld is een illustratie hoe aan de positieve kant van de succesdriehoek invulling kan worden gegeven. Effectievere doelbereiking en kostenbesparing gaan vaak hand in hand en bieden daardoor een interessante uitdaging voor gemeenten.

Risico eigenaarschap en ‘zwevende’ risico’s

Vanuit de driehoek van Succesmanagement zijn twee belangrijke conclusies te trekken die in de praktijk vaak tot discussie leiden:

1. Wie is verantwoordelijk/eigenaar van een risico? Dezelfde persoon die verantwoordelijk is voor het doel of de activiteit
2. Risico’s die niet te koppelen zijn aan een doel of activiteit zijn ‘zwevende’ risico’s. Voor deze risico’s voelt niemand zich verantwoordelijk en er zal in de praktijk ook nauwelijks naar om worden gekeken. Deze risico’s kunnen net zo goed achterwege worden gelaten.

Bestuurlijke informatie

Het bestuur en de raad maken met elkaar afspraken over doelen en sturen daarop bij. Voor hen is het vooral zinvol om informatie over strategische risico’s te delen. Bijvoorbeeld een  burgemeester die duidelijke doelen stelt met betrekking tot verbetering van de veiligheid (bijvoorbeeld reductie aantal inbraken). Dan wil je vooral het gesprek over de nuttige activiteiten te doen om het doel te bereiken en de showstoppers (risico’s) die ervoor kunnen zorgen dat de doelen niet worden gehaald (bijvoorbeeld te weinig politie capaciteit waardoor de pakkans laag is).

Ambtelijke informatie

Informatie over bijsturing op processen en projecten (tactische risico’s) hoort vooral thuis op de directietafel. Pas als door deze tactische risico’s de activiteiten dermate worden bedreigd dat daarmee de doelrealisatie in gevaar komt, dan wordt het ook bestuurlijk relevant.

Een algemene lijst met risico’s triggert niet het besef ‘hier moet ik iets mee’; bespreek de juiste risico's met de juiste mensen voor een effectieve informatieverstrekking en dialoog over risico’s

Voor de informatieverstrekking en dialoog over risico’s is het dus van belang dat de juiste risico’s met de juiste mensen worden besproken. Een algemene lijst met risico’s triggert niet het besef ‘hier moet ik iets mee’.

Risicomanagement en Weerstandsparagraaf: Twee werelden

Bij risicomanagement gaat het om het beheersen van risico’s. Bij de Weerstandsparagraaf gaat het erom of de gemeente voldoende reserves heeft om risico’s af te dekken. Voor de weerstandsparagraaf wordt vaak 2 x per jaar een lijstje risico’s geactualiseerd door de controller, terwijl risicomanagement een continu proces is van de bestuurder of proceseigenaar (als iets niet goed dreigt te gaan in een proces ga je niet wachten op de halfjaarlijkse actualisatie van de risico’s).

Een ander groot verschil is de bandering en formulering van risico’s. Risico’s voor de weerstandsparagraaf zijn vaak items, zoals toename jeugdzorg, Wmo, etc. Om risico’s vanuit risicomanagement te benaderen moet een risico eerst worden ontrafeld naar oorzaken en gevolgen. De beheersmaatregelen richten zich immers niet op de risicogebeurtenis zelf, maar op de oorzaken en gevolgen. Beheersing van de oorzaken leidt tot een lagere kans van optreden. Beheersing van de gevolgen leidt tot beperking van de gevolgschade (financieel of anderszins). De weerstandsparagraaf richt zich alleen op het afdekken van de financiële gevolgen, maar stimuleert beheersing van oorzaken en andere gevolgen niet.

Haarlem bijvoorbeeld traint haar medewerkers in een nieuw opleidingsprogramma voor de hele gemeente expliciet op zaken als oorzaken, gevolgen en relatie met de doelstelling

Gemeenten hebben hiervoor wel in toenemende mate aandacht. Haarlem bijvoorbeeld traint haar medewerkers in een nieuw opleidingsprogramma voor de hele gemeente expliciet op zaken als oorzaken, gevolgen en relatie met de doelstelling. Dinkelland kijkt ook naar de impact van risico’s op doelen. Haarlem heeft in een recent webinar over risicomanagement aangegeven het risicomanagement en weerstandsvermogen meer te willen samenvoegen. De weerstandsparagraaf wordt daarmee een financiële exercitie op basis van het gevoerde risicomanagement. Twee werelden komen samen.

Top 10

Boorsma geeft aan dat veel van de onderzochte gemeenten een top 10 opnemen in de weerstandsparagraaf. Veelal gerangschikt op financiële impact. Interessanter zou zijn om de strategische risico’s bij de doelen van de programma’s op te nemen. In de programma hoofdstukken kunnen de belangrijkste strategische risico’s op de doelen worden toegelicht met hun impact op doelbereiking, waarna ze in de weerstandsparagraaf samenvattend worden weergegeven. Aangevuld met de mogelijke financiële impact.

Blik naar buiten

Veel weerstandsparagrafen kennen dezelfde risico’s: lagere uitkering, jeugdzorg, corona, etc. Boorsma heeft in zijn onderzoek ook gekeken of gemeenten aan de grens met Duitsland en België ook hun blik verbreedden en risico’s met betrekking tot het buitenland benoemden. Dit bleek maar zeer beperkt het geval in de onderzochte steekrpoef. Het World Economic Forum bepaalt jaarlijks een wereldwijde risicolijst. Uit de top 10 van die lijst (nummer 2 gaat bijvoorbeeld over cybersecurity en is voor gemeenten zeker ook relevant) komt vrijwel niets terug in de onderzochte weerstandsparagrafen.

Weerstandsvermogen

Oorspronkelijk kende de eerste risicoparagraaf in 1995 geen weerstandsvermogen. In de loop van de jaren negentig investeerden veel gemeenten enorme bedragen in grote projecten. Binnenlandse Zaken maakte zich zorgen of gemeenten deze financiële risico’s wel konden dragen en wilde stimuleren dat gemeenten bewuster gingen nadenken of de risico’s die zij aangingen wel in balans waren met hun financiële positie. Dit ter voorkoming dat meer gemeenten in de artikel 12 status terecht kwamen. In het BBV 2004 werd daarvoor het begrip weerstandsvermogen geïntroduceerd.

Uitgangspunt voor de bepaling van het weerstandsvermogen is of de verhouding tussen benodigde en beschikbare weerstandscapaciteit in balans is. Omslagpunt van positief naar negatief is de ratio 1⁵. 

In het onderzoek van Boorsma vielen gemeenten op die in 2020 een ratio hadden groter dan 2, zoals Weert, Losser, Venlo, etc. Gemeenten met een ratio boven de 2 hebben veel meer vermogen beschikbaar dan ze nodig hebben om risico’s af te dekken. Deze gemeenten zouden hun vermogen iets meer kunnen inzetten ten behoeve van het realiseren van hun doelen.

Ook opvallend waren gemeenten met een ratio kleiner dan 1. Emmen had bijvoorbeeld een score van -0,05. In 2021 werd als nieuwe component een stille reserve meegenomen en werd de ratio opeens 0,78 en groeit naar de gewenste waarde van 1,4. Wijzigingen in de systematiek maken de vergelijking over de jaren heen lastig. Zonder deze nieuw toegevoegde component zou het weerstandsvermogen nog steeds ruim onvoldoende zijn.

Aan de bovenkant van de ratio proberen gemeenten hun ratio in toom te houden door systeemaanpassingen. Maassluis kiest er in de kadernota 2021-2024 bijvoorbeeld voor om het zekerheidspercentage voor de risicosimulatie van 70% naar 90% te verhogen waardoor de ratio wat dichter bij de 2 komt te liggen. Aan de onderkant werken gemeenten als Emmen er naar toe, door nieuwe elementen toe te voegen en grote risico’s buiten beschouwing te laten, om naar een voldoende beeld te komen.

Voor raadsleden zijn beschouwingen op het weerstandsvermogen veel te ingewikkeld. Ik ben zelf raadslid geweest in Enschede. Over risico’s en weerstandsvermogen kon ik inhoudelijk alleen debatteren met een accountant en een CFO die in de raad zaten. De rest liet het graag aan ons drieën over.

Waar is de provinciale toezichthouder?

Wat gemist wordt in deze is de kritische houding van de provincie als financieel toezichthouder op de gemeentefinanciën[6] om afspraken te maken over wijzigingen in de methoden en over welke risico’s wel en niet worden meegenomen. Bij tal van gemeenten worden bijvoorbeeld ook de risico’s van het Grondbedrijf buiten beschouwing gelaten, terwijl deze vaak significant kunnen zijn en daardoor juist in het gehele plaatje van belang zijn.

Weerstandsvermogen en Resilience

De wereld wordt steeds complexer en steeds meer risico’s hebben externe oorzaken waardoor ze lastiger als gemeente zelf zijn te beheersen. Dat betekent dat weerstandsvermogen een steeds belangrijkere rol gaat spelen om risico’s (zoals bijvoorbeeld Corona) te kunnen opvangen als ze zich opeens voordoen.

Tevens kunnen veel risico’s met externe oorzaken niet worden beheerst vanuit het klassieke risicomanagement (vermijden, verminderen, etc) waardoor het ook steeds belangrijker wordt dat de organisatie veerkrachtig risico’s kan opvangen en er flexibel en wendbaar mee kan om gaan (resilience).

Risicomanagement als basis voor Control

Boorsma is in zijn onderzoek niet ingegaan op de relatie tussen risicomanagement en Control en Audit. De relatie tussen beide is echter sterk en helpt ook de PDCA cyclus voor risicomanagement te borgen. Onderstaande figuur illustreert, net zoals de eerdere driehoek van succesmanagement, de relatie tussen doelen/processen en risico’s. Voor alle risico’s die groter zijn dan de risicobereidheid (risk appetite), wil je maatregelen (controls) treffen om het risico te verkleinen. Vervolgens is het van belang om te toetsen of deze maatregelen daadwerkelijk zijn geïmplementeerd en effectief zijn. Dit is een primaire verantwoordelijkheid van de risico-eigenaar in de 1^e lijn. De controller ziet er vervolgens op toe of dit ook daadwerkelijk gebeurt en denkt vervolgens mee om van de bevindingen van de toetsen te komen tot daadwerkelijke verbeteringen.

Door de verbinding tussen risicomanagement en control explicieter in te richten wordt de risicomanagementcyclus van identificatie naar beheersing naar evaluatie beter geborgd.

Tot slot

Na 25 jaar risicoparagraaf en weerstandsparagraaf behoort risicomanagement tot het meubilair van de gemeente dat er wel is, maar in veel gevallen nog te weinig wordt gebruikt. Tijd om Risico’s te laten bijdragen aan Succes⁷.

Over de auteur

Geert Haisma is vanaf zijn afstudeeropdracht bij het Ministerie van BZK in 1994 tot heden bij meer dan 100 gemeenten, provincies en waterschappen betrokken geweest bij risicomanagement. Dit heeft hij 15 jaar gedaan vanuit zijn rol als oprichter en algemeen directeur van NARIS. De laatste jaren past hij Risicomanagement toe als geïntegreerd onderdeel binnen Succesmanagement en is hij directeur van Fully in Control (integraal software platform voor onder andere risicomanagement, control en audit). Haisma is tevens al zo’n 20 jaar verbonden aan de Universiteit Twente, waaronder als kerndocent van de Masteropleiding Risicomanagement.