Effectiviteit van lokaal risicomanagement

Hoewel vrijwel iedere overheidsorganisatie in Nederland het belang van risicomanagement onderschrijft, is over de effectiviteit van risicomanagement vrij weinig bekend. Ook auteurs wijzen over het algemeen op het belang en de noodzaak van risicomanagement en van de diverse fasen die binnen risicomanagement onderscheiden kunnen worden, maar gaan minder in op het uiteindelijke effect dat risicomanagement nu heeft (Chapman, 2001, Fone en Young, 2000). Een onderzoek dat in 2010 is verricht naar risicomanagement bij steden die vallen onder het grotestedenbeleid wijst echter uit dat een adequate vorm van risicomanagement niet helpt om grote projecten binnen gemeenten te beheersen (Pol, 2011, vgl. ook Paape e.a., 2009). De effectiviteit van risicomanagement staat centraal in deze studie. In dit onderzoek is bij negen Nederlandse gemeenten de wijze waarop risicomanagement wordt vormgegeven en de effectiviteit daarvan geanalyseerd. Gelet op de omvang van dit artikel, zal het artikel zich voornamelijk beperken tot de analyse van de onderzoeksresultaten. Eerst zal aangegeven worden wat onder risico en risicomanagement kan worden verstaan. Vervolgens zullen de onderzoeksresultaten geanalyseerd worden. De studie sluit af met enkele conclusies en slotbeschouwingen.

Risico’s en risicomanagement
Risico is de mogelijkheid dat positieve verwachtingen niet in vervulling gaan (Haller, 1975). Deze definitie bevat twee basale elementen: de mogelijkheid c.q. de kans en het niet vervullen van verwachtingen c.q. het zich voordoen van bepaalde negatieve effecten. Risico verwijst dus naar de kans dat bepaalde effecten of gebeurtenissen zich al dan niet gaan voordoen, met negatieve consequenties als gevolg. Claes (2007) stelt het nog duidelijker: risico is de mogelijkheid dat in een gegeven periode en situatie positieve verwachtingen niet in vervulling gaan. Vanuit de twee basiselementen waaruit risico is opgebouwd, kan dan de volgende formule geconstrueerd worden:

Risico = Kans x Effect

Om risico’s te kunnen managen worden risico’s doorgaans gecategoriseerd al naar gelang de kans dat zij zich voordoen groter is en al naar gelang de schade die zij teweegbrengen groter is. De volgende matrix ontstaat dan:

De aandacht van het management van een organisatie zal zich met name moeten richten op categorie 2 en categorie 4. In algemene zin is een risico bedreigend wanneer de realisatie van de basisdoelstellingen van de organisatie erdoor in gevaar komt (Claes, 2007, p. 54).
Risicomanagement behelst het doen van systematisch onderzoek naar risico’s en het formuleren van maatregelen om deze risico’s te beheersen. Risicomanagement kent doorgaans een gefaseerde aanpak. Zo zullen risico’s eerst geïnventariseerd moeten worden. Vervolgens zal de kans moeten worden ingeschat dat de risico’s tot schade leiden en zal een onderzoek moeten worden ingesteld om de risico’s te verkleinen en te voorzien van beheersmaatregelen. Daarna zullen de mogelijkheden tot risicofinanciering en tot overdracht van risico’s onderzocht moeten worden. Tot slot zal het beleid regelmatig getoetst moeten worden aan de veranderende omstandigheden (vgl. Claes, 2007, p. 14). Het Committee of Sponsoring Organizations of the Treadway Commission onderscheidt het formuleren van doelstellingen, het inventariseren van gebeurtenissen, het beoordelen van risico’s, het formuleren van reacties op risico’s en beheersmaatregelen en het communiceren en monitoren. Een en ander zal in een adequate interne omgeving moeten plaatsvinden (COSO, 2004, p. 8). Dit model wordt binnen de Nederlandse overheid veelvuldig gehanteerd (Paape, 2009).

Resultaten van het onderzoek
Van negen Nederlandse gemeenten is bezien hoe de risico’s binnen de grondexploitaties worden afgedekt. Het betreft hier negen verschillende gemeenten die in 2010 een vergelijkbaar woningbouwproject hebben afgerond. De centrale gedachte bij dit onderzoek was dat gemeenten die minder adequaat omgaan met risicomanagement, meer last hebben van de economische crisis en sneller hun voorzieningen en reserves moeten aanspreken.

Onderzocht is welke vormen van risicomanagement deze gemeenten bij de woningbouwprojecten hanteren en welk effect dit uiteindelijk heeft. Daarbij is gekeken naar de manier waarop risico’s worden geïnventariseerd en geanalyseerd, welke beheersmaatregelen en voorzieningen getroffen worden, wat de perceptie en de houding ten aanzien van de risico’s is, hoe de controller is gepositioneerd, hoe er wordt gecommuniceerd over risico’s en in hoeverre de prognoses afwijken van de daadwerkelijk gerealiseerde resultaten. Tijdens het onderzoek zijn eerst dossiers geanalyseerd. Deze analyse is nadien aangevuld met interviews die zijn afgenomen met controllers, budgethouders, administrateurs van het grondbedrijf, planeconomen en leden van het managementteam. Het volledige onderzoek is gepresenteerd tijdens het 17e congres van de IRSPM in Rome (april 2012).

Analyse van de dossierstudie
De negen gemeenten laten een verschillend beeld zien. Sommige gemeenten inventariseren één keer per jaar hun risico’s met betrekking tot grondexploitatie, een enkele gemeente drie keer per jaar. Over het algemeen worden risico’s waar mogelijk gekwantificeerd. De percepties variëren van geen impact tot zeer bedreigend, terwijl de houding ten aanzien van risico’s varieert van voorzichtig tot ondernemend. Meestal worden monetaire voorzieningen getroffen, hoewel men deze doorgaans aanmerkt als bestemmingsreserves. Sommige gemeenten treffen in 2010 geen specifieke maatregelen, andere doen dat wel. Het in eigen beheer houden van de projectontwikkeling, het maken van afspraken met woningcorporaties en projectontwikkelaars en het verscherpen van de planning- en controlfunctie, lijken de meest voorkomende maatregelen.

De vergelijking tussen realisatie en prognose laat eveneens grote verschillen zien. Soms valt de realisatie tegen (-550% in het ergste geval), soms mee (4% in het gunstigste geval). Het algemene beeld is evenwel, dat de prognose niet gerealiseerd wordt. In een aantal gevallen valt dit te verklaren vanuit tegenvallende baten, in andere gevallen vallen de lasten hoger uit, in een enkel geval is een combinatie van beide aan de orde. Als een voorziening aanwezig is, wordt deze altijd aangesproken als de exploitatie met verlies wordt afgesloten. Als deze voorziening niet toereikend is voor het verlies, dan wordt de algemene reserve aangesproken.
Hoewel deze casestudie uiteraard te beperkt is om algemene conclusies te trekken, kunnen wel enkele verbanden of juist het gebrek aan verbanden worden geconstateerd. Alle gemeenten uit de studie inventariseren minimaal eens per jaar hun risico’s op het gebied van grondexploitatie. De frequentie is echter niet doorslaggevend voor de uiteindelijke realisatie. Zo inventariseren sommige gemeenten twee keer per jaar, maar wordt de prognose bij lange na niet gerealiseerd. In één geval wijkt de realisatie zelfs -279% af. Ook het al dan niet kwantificeren van risico’s (het vertalen van risico’s naar monetaire termen) biedt geen garantie voor het behalen van financiële doelstellingen op het gebied van grondexploitatie.
De perceptie en de houding ten aanzien van risico’s hebben een verband met elkaar. Als men inschat dat de risico’s geen impact hebben of weinig bedreigend zijn, betitelt men de gemeente eerder als ondernemend of neutraal. Als men de risico’s als bedreigend of zeer bedreigend ervaart, betitelt men de gemeente doorgaans als voorzichtig. Opmerkelijk is dat de gemeenten met een voorzichtige grondhouding in alle gevallen nog een positief resultaat weten te realiseren, zij het dat de financiële prognose niet altijd gehaald wordt. Eén gemeente realiseert haar doelstelling plus 22,73% en is toch ondernemend van karakter. Hierbij zij wel opgemerkt dat de oorspronkelijke prognose € 11 miljoen negatief bedraagt.

De reserves of voorzieningen worden soms per exploitatie, soms ook voor het geheel van exploitaties getroffen. Ook treffen de meeste gemeenten zoals gesteld maatregelen om risico’s op dit gebied te reduceren. Geen duidelijk verband bestaat tussen het al dan niet aanleggen van reserves en voorzieningen en de beheersmaatregelen die men treft. Ook bestaat geen verband tussen het nemen van maatregelen enerzijds en de realisatie van de doelstelling anderzijds. Eén gemeente treft bijvoorbeeld geen beheersmaatregelen, maar weet als een van de weinige gemeenten uit de studie de doelstelling te realiseren. Een andere gemeente treft eveneens geen specifieke maatregelen, maar kent een afwijking van -550%. Gemeenten die relatief veel maatregelen treffen scoren soms goed in de realisatie, maar soms ook bijzonder slecht.
De actor die geacht wordt risico’s te inventariseren en hierover te rapporteren, kan zich hiërarchisch binnen of buiten het grondbedrijf bevinden. Opmerkelijk is dat alle voorzichtige gemeenten opteren voor positionering buiten het grondbedrijf om hiermee de onafhankelijkheid te waarborgen. De enige ondernemende gemeente die eveneens opteert voor een positionering buiten het grondbedrijf is een relatief succesvolle gemeente, welke 122,73% van haar doelstelling weet te realiseren. De communicatie kent logischerwijs een direct verband met de frequentie van de inventarisatie. Als de risico’s twee keer per jaar worden geïnventariseerd, dan wordt doorgaans gekozen voor het opnemen van deze inventarisaties in de jaarrekening en de begroting. Bij een jaarlijkse inventarisatie kiest men voor opname in enkel de jaarrekening (in één geval voor opname in de bestuursrapportage). De gemeente die drie keer per jaar inventariseert, publiceert deze inventarisaties in de jaarrekening, de begroting en de bestuursrapportage. In bijna de helft van de gevallen moet de algemene reserve worden aangesproken om verliezen binnen de grondexploitatie op te vangen. Hoewel het beslag op de algemene reserve afhankelijk is van de voorziening die men heeft getroffen, kent het beslag geen verband met het al dan niet nemen van beheersmaatregelen. Gemeenten die veel maatregelen treffen moeten soms een fors beslag op de algemene reserve leggen, terwijl gemeenten die geen specifieke maatregelen nemen deze reserve niet hoeven aan te spreken.

Analyse van de interviews
De dossierstudie is vervolgens aangevuld met halfgestructureerde interviews met budgethouders, controllers, planeconomen, administrateurs en leden van het managementteam. Per gemeente zijn gemiddeld vijf interviews afgenomen. In deze interviews is verder ingegaan op de specifieke beheersmaatregelen die genomen zijn en op de manier waarop risicomanagement binnen de gemeente is geïmplementeerd.
De beheersmaatregelen die getroffen worden, verschillen van gemeente tot gemeente, afhankelijk van de visie die men hanteert op het gebied van grondexploitatie. Sommige gemeenten trekken meer activiteiten naar zich toe als de risico’s toenemen. Men heeft dan het idee meer grip op de zaak te krijgen en te houden. Zo nemen sommige gemeenten op een goed moment in 2010 zelf de verkoop ter hand, zij het zonder succes: de verkopen blijven in beide gemeenten ver achter op de prognose. Andere gemeenten zoeken beheersing liever in scherpere afspraken met woningbouwcorporaties en ontwikkelaars. De afspraken gaan dan veelal over prijs- en afnamerisico’s. Men probeert dan afspraken te maken over mogelijke verliezen als gevolg van prijsstijgingen, een langere looptijd of een tegenvallende verkoop. Aangegeven wordt, dat het erg lastig is om hierover afspraken te maken. Vaak hebben corporaties en ontwikkelaars dergelijke afspraken vooraf al ‘dichtgetimmerd’ en weigeren hierop terug te komen in een later stadium. Andere gemeenten ervaren juist dat corporaties en ontwikkelaars bewust proberen deze afspraken niet te maken of abstract te houden. Men probeert dan nadien de verliezen op de gemeenten af te wentelen die doorgaans minder ervaring hebben met dit type discussie. De gemeenten die opteren voor een risicoanalist die buiten het grondbedrijf is geplaatst, doen dit vanwege negatieve ervaringen met een interne positionering. In alle gevallen wordt de actualisatie van risico’s dan in handen van een controller gelegd, die niet is gepositioneerd binnen het grondbedrijf. Men probeert met de externe positionering de onafhankelijkheid van de inventarisatie, analyse en rapportage te waarborgen en is hier over het algemeen tevreden over. In vergelijkend perspectief komen deze gemeenten er niet slecht uit. Wel wordt soms gesteld dat deze positionering de betrokkenheid bij het grondbedrijf niet altijd ten goede komt en dat de controllers vaker op de rem gaan staan en te weinig constructief meedenken. Slechts in één geval is men hier tevreden over. Ook eerder onderzoek bevestigt het belang van een onafhankelijke functionaris die systematisch en periodiek risico’s inventariseert en analyseert (Paape e.a., 2009, p. 48).
Aan de communicatie richting het dagelijks bestuur en het algemeen bestuur besteedt men niet te veel tijd. Het dagelijks bestuur verdiept zich weliswaar naar eigen zeggen in de formele rapportages, maar wordt doorgaans liever buiten de formele communicatiekanalen mondeling op de hoogte gehouden. Het algemeen bestuur verdiept zich minder in risicomanagement. Het aanleggen van een voorziening of het treffen van beheersmaatregelen zijn beslissingen die feitelijk door het management en de controller worden genomen en vervolgens ‘als formaliteit’ aan het dagelijks bestuur en aan de raad worden voorgelegd.

Alle bestudeerde gemeenten beginnen rond 2005 met risicomanagement. Vanaf deze periode wordt jaarlijks geactualiseerd, hetgeen bestaat uit het inventariseren en kwantificeren van risico’s. Ook wordt periodiek bezien in hoeverre de risico’s zijn afgedekt met voorzieningen of beheersmaatregelen. Het afwaarderen van prognoses wordt door de voorzichtige gemeenten al in 2009 gedaan, ingegeven door de slechte economische ontwikkelingen. Gemeenten die niet afwaarderen voeren verschillende redenen aan. Soms schat men in, dat de economische situatie zal verbeteren en dat afwaarderen minder zinvol is. Soms spelen politieke overwegingen een rol: een bestuurder heeft dan minder zin om een tegenvallend resultaat te presenteren in de raad. De controllers die buiten het grondbedrijf zijn geplaatst, hebben overigens minder last van politieke invloed en politieke motieven, zo wordt aangegeven door de respondenten.

Vijf van de negen gemeenten volgen naar eigen zeggen expliciet een risicomanagementmodel. Dit model is doorgaans ontleend aan COSO II (in vier van de vijf gevallen). Andere gemeenten hanteren geen expliciet model. Alle gemeenten zijn echter in dit onderzoek beoordeeld op een eerder opgesteld normenkader dat gebaseerd is op COSO II. Gemeenten die een expliciet model hanteren, scoren niet beter op dit normenkader dan gemeenten die dit niet doen. Ook verschillen de scores per gemeente nogal. Eén gemeente bijvoorbeeld besteedt veel aandacht aan inventarisatie en kwantificering, maar weer veel minder aan het treffen van adequate maatregelen. Desgevraagd herkent men wel het nut van het normenkader, maar kan men hier niet altijd mee uit de voeten.
Zo is de kwantificering van risico’s is de praktijk een zeer lastige aangelegenheid, aldus de respons. “Men vult meestal maar wat in”, zo stelde een respondent. Ook berust de aanleg van een voorziening niet op een grondige en kwantitatieve analyse. De beheersmaatregelen zijn sterk persoonsgebonden en zijn direct terug te leiden op de manier waarop de betreffende budgethouder in het leven staat, zo wordt door de respondenten wel gesteld. De communicatie richting de gemeenteraad wordt over het algemeen zinloos geacht. Raadsleden lezen deze stukken niet of begrijpen ze niet, zo is de algemene indruk. De feitelijke beslissingen op het gebied van risicomanagement worden genomen door de betreffende budgethouder en de controller, aldus de respons. Soms participeert een dagelijks bestuurder in het besluitvormingsproces.

Het resultaat van de interviews ligt in lijn met het dossieronderzoek. Niet gesteld kan worden dat gemeenten die risicomanagement minder adequaat hebben geïmplementeerd, meer negatieve gevolgen als gevolg van de economische crisis zullen ondervinden bij het afsluiten van hun grondexploitaties. Zij zullen niet sneller voorzieningen of zelfs reserves moeten aanspreken om deze gevolgen het hoofd te bieden. Deze gedachte is eerder verwoord, zij het niet specifiek voor overheidsorganisaties: “De resultaten tonen dat de respondenten in belangrijke mate van mening zijn dat risicomanagement niet geholpen heeft de huidige crisis te voorkomen. Zij zijn ook sceptisch over het idee dat het heeft bijgedragen aan het beperken van de effecten van de crisis” (Paape e.a., 2009, p. 67).

Conclusies
Risicomanagement staat hoog op de agenda van Nederlandse gemeenten en wordt over het algemeen als noodzakelijk gezien om gemeentelijke doelstellingen te realiseren, interne en externe risico’s te beheersen en om te voldoen aan de toenemende druk om doelmatig, doeltreffend en rechtmatig te opereren.

Negen gemeenten zijn onderzocht op de implementatie van risicomanagement en op de effecten hiervan. In dit onderzoek is geen verband aangetoond tussen het nemen van beheersmaatregelen en het realiseren van financiële doelstellingen op het gebied van grondexploitatie. De onderzochte gemeenten die veel beheersmaatregelen treffen en frequent hun risico’s op het gebied van grondexploitatie analyseren, behalen hun financiële doelstellingen niet vaker dan gemeenten die geen maatregelen treffen. Logischerwijs laat dit onderzoek ook geen verband zien tussen het treffen van beheersmaatregelen en het beslag dat op de algemene reserve moet worden gelegd om verliezen binnen de grondexploitatie te dekken. Hoewel de hoogte van dit beslag uiteraard wordt beïnvloed door de voorzieningen die de onderzochte gemeenten hebben getroffen, kan niet gesteld worden dat gemeenten die meer beheersmaatregelen treffen minder beslag op de algemene reserve hoeven te doen.
De centrale gedachte dat gemeenten die minder adequaat omgaan met risicomanagement, meer last hebben van de economische crisis en sneller hun voorzieningen en reserves moeten aanspreken, kan in dit onderzoek niet bevestigd worden. Het onderzoekt neigt eerder naar de gedachte dat de perceptie van risico’s en de grondhouding ten aanzien van risico’s belangrijker zijn voor het daadwerkelijk beheersen van omvangrijke projecten dan het implementeren van risicomanagement.

De conclusie dat risicomanagement geen zin heeft, mag niet worden getrokken. Gesteld zij immers, dat het onderzoek enkel negen gemeenten betreft. Daarnaast rijst de vraag of de resultaten niet nog slechter zouden zijn geweest als de betreffende actieve gemeenten niets aan risicomanagement hadden gedaan. Anders gesteld: misschien zouden de resultaten van de minder actieve gemeenten nog beter zijn geweest, als deze gemeenten risicomanagement zouden hebben geïmplementeerd.

Rick Anderson is lector Controlling bij Inholland. Henk Klaassen is als universitair hoofddocent verbonden aan de opleiding Bestuurskunde van de Erasmus Universiteit Rotterdam.

Literatuur

• Anderson, R.J., Klaassen, H.J. (2012), The effectiveness of local risk management, paper gepresenteerd op het 17e congres van de International Research Society for Public Management, Rome, april 2012.
• Chapman, R.J. (2001), ‘The controlling influences on effective risk identification and assessment for construction design management’, International Journal of Project Management, no. 19, p. 147-160.
• Claes, P. (2007), Risicomanagement, Wolters Noordhof, Groningen.
• Committee of Sponsoring Organizations of the Treadway Commission (2004), Enterprise Risk Management Integrated Framework, PWC.
• Fone, M., Young, P.C. (2000), Public sector risk management, Butterwordt-Heineman, Oxford.
• Haller, M. (1975), Sicherheit durch Versicherung?, Herbert Lang, Bern.
• Paape, L. e.a. (2009), Risicomanagement in tijden van crisis, Rijksuniversiteit Groningen, RS Drukkerij, Den Haag.
• Pol, S. (2011), ‘Interne beheersing bij gemeenten’, TPC, Tijdschrift voor Public Governance, Audit en Control, jaargang 9, nummer 2, april.