Risicoanalyse als vorm van ex-ante-rekenkameronderzoek

Het zal bijna niemand zijn ontgaan dat de gemeenten vanaf 1 januari 2015 voor een enorme nieuwe opgave staan gesteld. Vanaf die datum zijn gemeenten verantwoordelijk voor onder meer de jeugdzorg, onderdelen van de AWBZ en de sociale werkvoorziening. De decentralisaties kunnen tal van risico’s met zich meebrengen. Hoewel de voorbereiding een doorlopend proces is, kunnen rekenkamers door middel van een risicoanalyse hiernaar ex-anteonderzoek doen.

De komende decentralisaties zijn een proces van meerdere jaren geweest. Gelet op de complexiteit en de financiële omvang van het nieuwe takenpakket is een goede voorbereiding van gemeenten daarop essentieel. Rekenkamers of auditors kunnen in een dergelijke voorbereiding een faciliterende rol spelen. Op het eerste gezicht kan dat vreemd lijken, omdat rekenkamers volgens artikel 182 van de Gemeentewet geacht worden het door het bestuur gevoerde bestuur te onderzoeken. Artikel 185 geeft bovendien aan dat rekenkamers oordelen geven. De decentralisaties zijn evenwel een nog lopend proces en voor een ex post oordelend onderzoek is lijkt het dan nog te vroeg. Aan de andere kant wordt de laatste tijd regelmatig gepleit voor een actievere rol van lokale rekenkamers bij de voorbereiding van beleid.1 De rekenkamer bekleedt dan niet zozeer de rol van controleur of toezichthouder, maar eerder die van adviseur of ‘facilitator’.

Hoewel de drie grote decentralisaties per 1 januari 2015 formeel zijn afgerond, is de vraag op welke wijze een rekenkamer vooraf een bijdrage kan leveren. Zonder daarbij afbreuk te doen aan haar positie als onafhankelijk controleur. Een mogelijkheid daarbij is te kiezen voor een risicoanalyse. In zo’n geval worden voorafgaand aan een beleidsof organisatieproces (ex ante) of gedurende zo’n proces (ex durante) beleidsmatige, organisatorische of financiële risico’s in kaart gebracht. Het blijft evenwel niet bij een beschrijving van risico’s. Idealiter wordt de vervolgvraag gesteld of de risico’s door het bestuur worden onderkend en of het bestuur bijpassende beheersmaatregelen neemt. Deze laatste vragen maken dat de analyse een oordelend karakter heeft en daarmee recht doet aan de eigenlijke taak van de rekenkamer.
In dit artikel zal uiteengezet worden hoe zo’n risicoanalyse uitgevoerd kan worden en tot welke resultaten dit kan leiden. Dit doen wij aan de hand van een concreet onderzoek van de Rekenkamer Rotterdam naar de gemeentelijke voorbereiding van de decentralisatie van de jeugdzorg.2

Afbakening in risicoanalyse
Een eerste vraagstuk bij het uitvoeren van een risicoanalyse is dat van afbakening. Zonder afbakening kan een risicoanalyse ontaarden in een opsomming van risico’s die in theorie oneindig lang kan worden. Afbakening kan goed worden uitgevoerd aan de hand van twee principes die in risicomanagement vaak worden gehanteerd, namelijk risico’s die samenhangen met de beleidsdoelen en risico’s die samenhangen met door de beleidsmakers beïnvloedbare gebeurtenissen.3 Deze twee principes, die hierna nader worden toegelicht, zijn ook toegepast in het onderzoek van de rekenkamer naar de voorbereiding van de decentralisatie van de jeugdzorg.

Ten eerste dienen de risico’s te worden gerelateerd aan een of meerdere doelen die worden beoogd met het beleid waarop de analyse zicht richt. De analyse wordt dan beperkt tot risico’s voor het realiseren van die doelen. In het onderzoek van de rekenkamer is vooraf bepaald om de analyse te beperken tot risico’s voor het realiseren van de doelen die het rijk beoogt met de nieuwe Jeugdwet, te weten het verminderen van de vraag naar ‘zware’ vormen van jeugdzorg en het verminderen van de kosten van jeugdzorg. Een tweede principe is dat de analyse wordt beperkt tot gebeurtenissen waarvan of de oorzaken of de gevolgen beïnvloedbaar zijn door de beleidsmakers. Op die manier kunnen risico’s waarvan aard en reikwijdte ver buiten het betreffende beleidsterrein ligt buiten de analyse blijven. Dit principe is in het onderzoek van de rekenkamer min of meer vanzelfsprekend (namelijk zonder het vooraf expliciet te benoemen) toegepast.

Aanpak
Een volgend vraagstuk is dat van de aanpak van de risicoanalyse. Op welke wijze kunnen risico’s worden geïnventariseerd? In het geval van het onderzoek naar de jeugdzorg zijn onder meer zogenoemde proeftuinen als vindplaats van risico’s gebruikt. In deze proeftuinen hebben verschillende organisaties in de jeugdhulp samengewerkt om nieuwe manieren van werken (integraal, preventief, outreachend) uit te proberen. Risico’s voor de doelstellingen van de decentralisatie die hieruit voortkomen zijn relevant voor de situatie na 1 januari 2015. Vooropgesteld dat de beproefde werkwijzen ook na 1 januari 2015 worden toegepast, zullen adequate beheersmaatregelen moeten worden genomen.

Of iets een risico is, is deels afhankelijk van perceptie of beleving. Het benoemen van een risico draagt daarmee iets arbitrairs in zich. Deels wordt dit ondervangen door de risico’s nadrukkelijk te koppelen aan de doelstellingen van beleid (zie hiervoor). Maar om de ernst en omvang van het risico goed te kunnen beoordelen, kunnen ook andere bronnen worden gebruikt. Hierbij is van belang om op te merken dat risicoanalyse van beleid geen exacte wetenschap is. Bruikbare en in risicomanagement vaak gehanteerde methoden voor het inventariseren van relevante risico’s zijn het raadplegen van deskundigen op het betreffende terrein en desk research.4 Beide methoden zijn toegepast in het onderzoek van de rekenkamer.

Desk research is uitgevoerd door het bestuderen van reeds bestaande evaluaties van de proeftuinen. Hierin zouden, naast rapportages over geboekte resultaten, ook risico’s kunnen zijn benoemd. Het voordeel van het gebruik van deze rapportages is dat – naast de geboekte tijdsbesparing in de eigen risicoanalyse – verondersteld mag worden dat de risico’s bij de bestuurders bekend zijn. Sterker, indien uit zulke evaluaties blijkt dat er bepaalde risico’s zijn, dan zou mogen worden verwacht dat de bestuurders daarop ook acteren.

Het raadplegen van deskundigen is uitgevoerd in de vorm van interviews met professionals in het veld (in dit geval de bij de proeftuinen betrokken professionele jeugdhulpinstellingen). Dit zijn de mensen die het dichtst bij het veld staan en zicht kunnen hebben op concrete en specifieke risico’s in de nieuwe manier van werken. Om te voorkomen dat een door een bepaalde professional genoemd risico (zoals het dreigende faillissement van zijn zorginstelling) te veel verweven is met de belangen van de betreffende professional (waardoor de risico’s arbitrair blijven), is het zaak dat het betreffende risico door meerdere professionals van verschillende organisaties wordt onderkend. Idealiter wordt een risico daarnaast door concrete gegevens onderbouwd.

Zo concreet mogelijk
Aandachtspunt bij het maken van een risicoanalyse is dat risico’s zo concreet mogelijk moeten worden benoemd. Hoe concreter risico’s wordt benoemd, hoe scherper het inzicht wordt in de risico’s en in de mogelijke maatregelen die kunnen worden genomen om ze te beheersen. Een beschrijving van risico’s in te algemene termen is een euvel dat veelvuldig kan worden aangetroffen in beleidsdocumenten waarin een risicoparagraaf min of meer als verplicht onderdeel is opgenomen. In het onderzoek naar de decentralisatie jeugdzorg heeft de rekenkamer dergelijke gebrekkige risicobeschrijvingen aangetroffen in beleidsdocumenten waarin de gemeente zelf risico’s benoemde. Het gaat dan bijvoorbeeld om het aangeven van een ‘capaciteitstekort’, zonder dat concreet wordt aangegeven om welke type capaciteit het gaat (bijvoorbeeld personeel of financieel) en op welke afdeling of organisatieonderdeel het capaciteitstekort dreigt. Het te algemeen benoemen van het risico belemmert dan het inzicht in het risico en daarmee de mogelijkheid om adequate maatregelen te treffen om het risico te beheersen.

De rekenkamer heeft in het onderzoek risico’s steeds zo concreet mogelijk benoemd. Een voorbeeld hiervan zijn risico’s die in het onderzoek zijn geconstateerd voor het tijdig operationeel zijn van ICTsystemen. Waar de gemeente dit risico zelf alleen in algemene termen had onderkend, heeft de rekenkamer specifiek benoemd bij welk ICT-systeem dit risico zich voordoet en wat de mogelijke gevolgen zijn voor de beoogde gebruikers van het systeem.

Bruto- en nettorisico’s
De aldus geïnventariseerde risico’s zijn zogenoemde brutorisico’s. Het zijn de risico’s die bestaan zonder ingrijpen van de risicodrager, in dit geval de gemeente. Om te bepalen wat de nettorisico’s zijn, is van belang te weten of de gemeente de risico’s ook zelf onderkent. Als dat zo is, is de vervolgvraag of er (in opzet) adequate beheersmaatregelen worden genomen. In reactie op een risico zijn vier typen reacties mogelijk. Deze vier typen worden in de vakgebied risicomanagement vaak aangeduid als vermijden, reduceren, overdragen en aanvaarden.5 Het onderzoek van de rekenkamer richtte zich vooral op de vraag of maatregelen werden genomen om risico’s te reduceren. Indien het antwoord positief is en er dus een maatregel wordt genomen om het risico te reduceren, resteert er een in principe beheersbaar of aanvaardbaar nettorisico. Blijven beheersmaatregelen achterwege of zijn zij niet adequaat, dan is er nog steeds een reëel (netto) risico.

Beheersmaatregelen
Het vaststellen welke beheersmaatregelen zijn genomen, is relatief eenvoudig. Eerst wordt aan de hand van documenten gekeken of risico’s überhaupt onderkend worden. In het geval van de jeugdzorg in Rotterdam kon daarbij onder meer een speciaal ontwikkelde risicomonitor worden geraadpleegd. In deze monitor had de gemeente zelf risico’s benoemd en daarbij maatregelen geformuleerd. Veel risico’s in de monitor bleken echter veel te algemeen geformuleerd om te kunnen beoordelen of deze werkelijk door de gemeente werden onderkend. Zoals hierboven is aangegeven, is bij het benoemen van risico’s juist concreetheid van belang. Aanvullend is aan de risicodragers in de gemeentelijke organisatie zelf gevraagd of zij de door de rekenkamer geïnventariseerde risico’s onderkennen. Als het antwoord ontkennend luidde, is daarmee vastgesteld dat het risico niet onderkend wordt en dus ook geen beheersmaatregelen worden ondernomen.

Indien het risico wel wordt onderkend, is de logische vervolgvraag aan de risicodrager voorgelegd of maatregelen worden genomen en welke dat zijn. Daarbij is wel van belang dat er onderscheid wordt gemaakt tussen intenties of voornemens en reële maatregelen. Zo zou een maatregel al zichtbaar moeten zijn genomen of doorgevoerd. Een laatste vraag is of met de maatregel redelijkerwijze kan worden verwacht dat het risico in toom wordt gehouden. Zo stelde de rekenkamer vast dat de gemeente in sommige gevallen wel beheersmaatregelen noemde, maar dat deze geen duidelijke relatie hadden met de aard van het risico. In die gevallen kwam de rekenkamer tot het oordeel dat geen adequate beheersmaatregel was geformuleerd.

Uitkomsten
Het resultaat van de door de rekenkamer uitgevoerde risicoanalyse was een lijst van 40 risico’s. 26 van die 40 risico’s (65%) ontbraken in de eigen risicomonitor van de gemeente of waren daarin niet herkenbaar (concreet) genoeg terug te vinden. Slechts voor 6 van de 40 gevonden risico’s (15%) bleek de gemeente een adequate beheersmaatregel te hebben genomen. Zo kwamen uit de interviews van de rekenkamer met professionals diverse risico’s naar voren met betrekking tot de invoering van wijkteams in de jeugdhulp. Wijkteams moeten vanaf 1 januari 2015 de spil vormen in het nieuwe jeugdstelsel in Rotterdam. De rekenkamer constateerde dat de gemeente tal van risico’s voor de beoogde werking van wijkteams niet onderkent en geen of geen adequate maatregelen neemt om die risico’s te beheersen. Die risico’s hebben onder meer betrekking op onderwerpen als tijdige realisatie van faciliteiten voor de wijkteams (ICT, huisvesting, tijdige bemensing), gebreken in de aansturing van wijkteams en onduidelijkheid over de door wijkteamleden te hanteren hulpverleningsmethoden.
Risico’s die uit de door de gemeente zelf uitgevoerde evaluaties van de proeftuinen naar voren kwamen, betroffen onder meer de onzekerheid dat met het nieuwe jeugdstelsel werkelijk de vraag naar zware zorg en daarmee de kosten van jeugdzorg kunnen worden teruggebracht. Zo kwam uit die evaluaties naar voren dat onderdelen van het nieuwe stelsel als preventie van jeugd- en gezinsproblemen en het bevorderen van ‘eigen kracht’ van jeugdigen niet zo eenvoudig te realiseren zijn, bovendien veel tijd kosten en mogelijk zeker de eerste jaren juist tot extra kosten voor de gemeente kunnen leiden. De rekenkamer concludeerde onder meer dat de door de gemeente beoogde kostenreductie in ieder geval in het eerste jaar na invoering (2015) niet zal worden gerealiseerd.

Verklaringen
Naar aanleiding van de uitkomsten van het rekenkamerrapport dringt de vraag zich op hoe het komt dat een groot deel van de gevonden risico’s door de gemeente niet wordt onderkend of beheerst.
Een eerste mogelijke verklaring is dat de gemeente met de invoeringstermijn van de jeugdwet voor een voldongen feit is gesteld. Door diverse partijen is er de afgelopen twee jaar op gewezen dat het rijk voor de invoering van de nieuwe jeugdwet en de daarmee te realiseren bezuinigingen een te korte termijn heeft bepaald. De tijd is met andere woorden voor gemeenten te kort om alle risico’s te beheersen.

Een tweede mogelijke verklaring is dat, zoals hierboven al aangegeven, het risicomanagement van de gemeente bij de invoering van de nieuwe wet nog niet optimaal wordt uitgevoerd, onder meer omdat risico’s in de risicomonitor te weinig concreet worden benoemd.

Een derde mogelijke verklaring is dat het expliciet benoemen van risico’s bij de invoering van het nieuwe jeugdstelsel door het gemeentebestuur als onwenselijk wordt gezien voor de voortgang ervan. In de reactie op het rapport gaf het college van B&W aan diverse conclusies van de rekenkamer over de risico’s niet te delen, terwijl deze risico’s in het veld breed worden gedeeld. Als deze verklaring opgaat, zou dit de mogelijkheden voor risicomanagement bij de invoering van het nieuwe jeugdstelsel uiteraard geen goed doen. De bereidheid om risico’s openlijk onder ogen te zien en te delen vormt misschien wel de belangrijkste randvoorwaarde voor adequaat risicomanagement in organisaties.

Tot slot: de rekenkamer als voorspeller
Uit het voorgaande komt naar voren dat een risicoanalyse een goed uitvoerbaar type onderzoek is waarmee rekenkamers met behoud van de onafhankelijke positie een faciliterende rol kunnen spelen bij de voorbereiding van beleid. Ook aan de oordelende rol van de rekenkamer kan in een risicoanalyse vorm worden gegeven, namelijk door in het onderzoek te oordelen over de wijze waarop het gemeentebestuur de gevonden risico’s beheerst. Onderzoek naar de voorbereiding van beleid maakt de positie van rekenkamers daarmee veelzijdiger en kan bijdragen aan de relevantie van rekenkamers voor de bestuurlijke praktijk. Hierbij moet wel bedacht worden dat dit type onderzoek voor rekenkamers ook een kwetsbaarheid met zich meebrengt. Onderzoek naar de voorbereiding van beleid heeft voor een deel een voorspellend karakter. Er worden immers conclusies getrokken over wat na de invoering van het betreffende beleid zou kunnen gebeuren. Voorspellingen zijn echter onzeker en kunnen als zij niet uitkomen als een boomerang naar de voorspeller terugkomen. Dit betekent dat uiterste zorgvuldigheid is geboden bij het formuleren van conclusies. Maar een dergelijke zorgvuldigheid zou natuurlijk elke rekenkamer toevertrouwd moeten zijn.

Drs. K. de Waijer is senior onderzoeker bij de Rekenkamer Rotterdam. Dr. R. Willemse is teamleider bij de Rekenkamer Rotterdam.

Noten
1 Bijvoorbeeld T. van den Berg, E. Boschker, P. Castenmiller, ‘Meerwaarde door vernieuwend rekenkameronderzoek’, TPC, januari 2014 en de reacties daarop in hetzelfde nummer; M. Swarte, ‘Kansenkaart voor decentralisaties sociaal domein’, TPC, juni 2014.
2 Rekenkamer Rotterdam, Zorg om de jeugd, september 2014.
3 Bijvoorbeeld in COSO II, ook wel Enterprise Risk Management Framework (ERMF) genoemd. Dit is een van de standaard referentiemodellen die door auditors worden gebruikt bij onderzoeken naar beheersingssystemen in organisaties (zie www.coso.org).
4 In Nederland onder meer door het Nederlands Adviesbureau Risico management (NAR).
5 Bijvoorbeeld in COSO II, zie noot 3.