Zoals aangegeven in paragraaf 4.1 is risicomanagement een continu proces dat zich niet alleen beperkt tot de begroting en de jaarstukken en dat geldt ook voor de invulling van de diverse rollen en verantwoordelijkheden.
De raad heeft een kaderstellende en een controlerende taak. Daarin zijn voor de raad de volgende sporen te herkennen:
De raad heeft de beleidskaders voor het risicomanagement al vastgesteld in de financiële verordening en in de nota reserves en voorzieningen. In het kort komt dit er op neer dat de ratio voor het weerstandsvermogen minimaal 1 moet zijn, dat de algemene reserve een minimale omvang van € 7 miljoen moet hebben om tegenvallers op te vangen en dat de raad via de paragraaf weerstandsvermogen en risicobeheersing bij de jaarstukken en de begroting door het college wordt geïnformeerd over de voortgang en relevante ontwikkelingen. Dat gebeurt ook tussentijds via de voor- en najaarsnota als daarvoor aanleiding bestaat, ook voor de grote projecten;
aan de hand van concrete raadsvoorstellen weegt de raad risico's mee in de besluitvorming over de gemeentelijke beleidsvraagstukken;
zoals aangegeven, wordt de raad via de reguliere P&C cyclus geïnformeerd over het risicomanagement op basis waarvan de raad kan vaststellen of hieraan conform de kaders uitvoering is gegeven.
Het college heeft de verantwoordelijkheid voor de gemeentelijke bedrijfsvoering en daarmee ook voor het risicomanagement en het weerstandsvermogen. Het college dient ervoor te zorgen dat de doelstellingen ten aanzien van risicomanagement en weerstandscapaciteit worden behaald.
Het college stelt met deze notitie de uitvoeringskaders vast zoals deze onder de visie en de doelstellingen zijn geformuleerd en zich vanuit de praktijk vanaf 2008 hebben ontwikkeld. De uitvoeringskaders worden integraal weergegeven en dienen als basis voor de verdere doorontwikkeling van het risicomanagement door de ambtelijke organisatie. Het college is verantwoordelijk voor het informeren van de gemeenteraad over de uitvoering en de ontwikkeling van het risicomanagement. Dit gebeurt via de reguliere P&C-cyclus.
De ambtelijke organisatie is verantwoordelijk voor de verdere uitvoering. Het managementteam (MT) werkt hiervoor de uitvoeringslijnen uit (zie bijlage 1). Het management is verantwoordelijk voor de concrete invulling van risicomanagement binnen de teams. De teams nemen de wijze van invulling van risicomanagement mee in de doorontwikkeling van de teamplannen. Periodiek rapporteert het management aan het MT niet alleen over financiële resultaten, maar over de gehele bedrijfsvoering waar risicomanagement onderdeel van uit maakt.
Binnen Soest hanteren wij vanuit de control de zogenaamde Three Lines (of Defense) methodiek (3LM), een drie lijnenmethode met een heldere verantwoordelijkheid die ertoe bijdraagt dat de belangrijkste risico’s goed beheerst worden. Hieronder staat hoe de inrichting volgens deze drie lijnen er voor Soest uitziet.
De eerste lijn
De eerste lijn, de primaire verantwoordelijkheid om te zorgen dat we de goede dingen op de goede manier doen, ligt bij het lijnmanagement die is gericht op sturing en beheersing van het primaire proces door het lijnmanagement. Het lijnmanagement (managers en teamleiders) is eigenaar en verantwoordelijk voor doelrealisatie, werkprocessen van de gemeenteorganisatie en het beheersen van risico’s. Dus alle processen, systemen en medewerkers in de uitvoering, inclusief alle beheersmaatregelen die daar inbegrepen zijn. De managers en teamleiders inventariseren de risico’s en interveniëren als deze zich voordoen.
De tweede lijn
In tweede lijn is er de controlfunctie die bijdraagt aan de sturing en beheersing van de organisatie en realisatie (bedrijfsvoering). Hier worden taken uitgevoerd als adviseren, begeleiden, toetsen, analyseren en rapporteren van zaken die verband houden met het management van risico’s uit het primaire proces binnen de (vak)afdelingen. Een helpende/ondersteunende functie met specialistische kennis en expertise (bijvoorbeeld financieel en juridisch) zodat het lijnmanagement zo goed mogelijk kan sturen. Geen scherp toezicht achteraf maar signaleren, ondersteunen en adviseren.
De derde lijn
De derde lijn betreft de interne auditfunctionaliteit die is gericht op onafhankelijk controle en toetsing of processen en systemen werken en voldoende waarborgen bevatten voor een rechtmatige en juiste uitkomst ervan. Hierbij worden aanbevelingen gedaan ter verbetering en voor de opvolging daarvan op een tijdlijn geplaatst.
Onafhankelijke positie van de concerncontroller
De formele rol van concerncontroller is belegd bij de functie van manager bedrijfsvoering en richt zich primair op de strategische invulling van concerncontrolling, waar onder risicobeheersing en instrumentontwikkeling. De concerncontroller legt verantwoording af aan de algemeen directeur/gemeentesecretaris. De rol van concerncontroller wordt verricht vanuit een onafhankelijke positie. Deze onafhankelijkheid wordt ingevuld doordat de concerncontroller, buiten de hiërarchische lijn met de algemeen directeur/gemeentesecretaris om, toegang heeft tot het bestuur en daarmee een functionele relatie heeft met het college van B&W.
De concerncontroller heeft een toetsende en adviserende verantwoordelijkheid en doet dit gevraagd en ongevraagd richting de algemeen directeur/gemeentesecretaris en het college over alle zaken die de gemeentelijke bedrijfsvoering betreffen. Indien de mening van de concerncontroller niet wordt gedeeld door de algemeen directeur/gemeentesecretaris, kan de concerncontroller zich rechtstreeks wenden tot het college van B&W, onder gelijktijdige mededeling daarvan aan de algemeen directeur/gemeentesecretaris.
Het inrichten van het risicomanagement langs deze lijnen is meer dan een organisatiestructuur model. Het is vooral een manier van (samen)werken die bijdraagt aan het gezamenlijk in control komen en blijven.
Afbeelding drie lijnenmodel:
Hoofdstuk 4
Artikel 4.2
Rollen en verantwoordelijkheden van raad, college en ambtelijke organisatie
Onderdeel van Uitvoeringskader risicomanagement gemeente Soest 2023