Risico's

Algemeen

In dit deel gaan we in op de risico's. Deze risico's zijn financieel vertaald en geven daarmee aan in welke mate de risico's afgedekt moeten worden door het beschikbare weerstandsvermogen.
Bij de risico's maken we onderscheid in planexploitatierisico's,  programmarisico's en investeringsrisico's. Bij programmarisico's hebben we tot de samenstelling van de stadsbegroting 2018-2021 de risico's van het programma Zorg en Welzijn apart gehouden omdat deze risico's een eigen dekking kenden in de eigen bestemmingsreserves. De bestemmingsreserve WMO-jeugd is echter  eind 2017 uitgeput en de risico's vanuit Zorg en Welzijn zullen dan ook afgedekt moeten worden door de saldireserve.
De risico's die samenhangen met investeringen zijn in het verleden niet expliciet in deze paragraaf benoemd. De financiële consequentie van een overschrijding van een investeringskrediet komt in de begroting tot uiting als hogere kapitaallasten.  Omdat een overschrijding van een investeringskrediet wel van invloed is op de beschikbare kredietruimte voor nieuwe investeringen, worden de investeringsrisico's  apart benoemd.  Naast de risico's die een claim leggen op de beschikbare financiële middelen, zijn er ook risico's die wanneer ze optreden niet direct financiële gevolgen hebben, maar vooral imagoverlies met zich meebrengen. Het treffen van maatregelen om deze risico's in te perken is dan ook van groot belang en in sommige gevallen ook wettelijk voorgeschreven. Een belangrijk aandachtsgebied hierbij is de databeveiliging. Onder de kop risico's wordt dan ook een apart item gewijd aan dit onderwerp. Een ander bijzonder onderwerp is vennootschapsbelasting en de mogelijke consequenties daarvan. Ook op dit onderwerp wordt specifiek ingegaan.
In het laatste deel van deze paragraaf laten we het totale risicoprofiel zien. De hoogte hiervan is van belang om te bepalen of het weerstandsvermogen toereikend is.

Planexploitatierisico's

Onderstaand zijn de planexploitatierisico's weergegeven tegen netto contante waarde. Dat betekent dat alle risico’s zijn bepaald naar de huidige inzichten. De omvang van het risico zoals hier gepresenteerd, is de uitkomst van de omvang van het risico gecombineerd met de verwachte kans.
De risico's  zijn opnieuw beoordeeld ten tijde van de in februari 2019 vastgestelde VGP (Voortgangsrapportage Grote Projecten) . Hier wordt volstaan met een opsomming van de totale risico's en een samenvatting.
Na de risico-inventarisatie zijn de geïdentificeerde risico’s ook in de tijd uitgezet en in een tabel opgenomen.
Volgens afspraken met uw Raad zijn beide systemen naast elkaar gepresenteerd: een totaal score en de risico’s uitgezet in de tijd.

Het totale risicoprofiel van het programma Grondbeleid is afgenomen  ten opzichte van de begroting 2019, met name in de Waalsprong .
Het risico in de Waalsprong is in vergelijking met het risicoprofiel zoals dat is gepresenteerd bij de begroting 2019 afgenomen afgenomen door het afronden van meerdere tenders en het uitwerken van verschillende deelplannen.

Het risicoprofiel voor het Waalfront  is gebaseerd op de vastgestelde vastgestelde Grex 2018, en is lager dan het bij de stadsbegroting gepresenteerde risicoprofiel. Enkele risico's zijn in de grex 2018 verwerkt, daarnaast zijn risico’s komen te vervallen door voortgang van het project.

Voor een uitgebreide toelichting wordt verwezen naar de risico's per planexploitatie zoals opgenomen in de VGP 2019.

Onderstaand zijn de risico's in de tijd uitgezet. Opgemerkt wordt nog dat overeenkomstig de afspraken bij de nieuwe kadernota 2016 bij het uitzetten in de tijd, de dempingsfactor van 10% achterwege is gelaten. Hierbij zijn de eerste jaren in jaarschijven weergegeven en na 2022 de risico's die tot en met 2033 lopen.  Voor Waalsprong geldt als laatste jaar 2033 en voor Waalfront is het laatste risicobedrag in 2028 opgenomen.

De parameters voor de planexploitaties zijn in de Zomernota 2018 vastgesteld. Deze zijn ongewijzigd ten opzichte van vorig jaar. Voor de renteparameter was er onzekerheid over de renteontwikkeling op langere termijn. Deze zijn vastgesteld op 1,25%. Hiermee is dan in de VGP 2019 (peildatum 1 oktober 2018) gerekend.

Investeringsrisico's

Investeringen hebben dikwijls een lange doorlooptijd en er kunnen zich tegenvallers voordoen die bij het aanvragen van het krediet niet waren voorzien. Bij analyseren van de investeringen gedurende de looptijd wordt bezien of het oorspronkelijke krediet voldoende is of dat zich nog risico's kunnen voordoen. Wanneer overschrijding zeker is, wordt een aanvullend krediet aangevraagd bij uw Raad. Zolang het in de risicosfeer ligt, wordt het opgenomen in deze paragraaf. Op basis van huidige kennis en inzichten signaleren we de volgende risico’s met betrekking tot investeringen.

De Bastei is in het voorjaar 2018 in gebruik genomen. Er spelen nog risico’s over mogelijk hogere (uiteindelijke) bouw- en archeologische kosten. Ook moet de eindverantwoording van de subsidie nog plaatsvinden.

De herinrichting van de Oostelijke Waalkade (fase 2: vergroening kade) zal op korte termijn starten. Door een beperkt budget, complexe uitvoering (hoge ambitie) en een complexe omgeving (veel partijen) is er een risico op meerkosten. Daarnaast is tijdens de uitvoering een risico op archeologische meerkosten. Ook moet de eindverantwoording van de provinciale subsidie nog plaatsvinden.

De bouw van topsporthal Talent Centraal Nijmegen wordt in 2018 opgeleverd.  Er is een risico op meerwerk vanuit het laatste stadium van de  bouw- en inrichtingskosten van de sporthal.  Ook moet de eindverantwoording van de provinciale subsidie nog plaatsvinden.

Programmarisico's

De risico inventarisatie in ons risicomanagementsysteem hebben we geactualiseerd. Deze inventarisatie heeft 80 geïdentificeerde risico's opgeleverd die  die voldoen aan de afgesproken criteria:

• risico’s met grote financiële gevolgen,
• waarvoor de oorzaken niet door de gemeente kunnen worden beïnvloed of waarvoor de gemeente nog niet in staat is geweest om passende beheersingsmaatregelen te treffen om de kans of het gevolg van het risico terug te dringen.

Risico’s die al zijn afgedekt door maatregelen laten we buiten beschouwing.  Het deel van financiële risico’s dat is afgedekt door verzekeringen laten we eveneens buiten beschouwing.

Hieronder geven we de top‐10 met de belangrijkste risico’s. In de eerste kolom geven we een korte omschrijving van het risico. Daarnaast geven we het maximale bedrag dat het risico als nadeel in de begroting tot gevolg kan hebben.
Onder ‘kans’ schatten we hoe groot de kans is dat het risico zich voordoet. De cijfers in deze twee kolommen kunnen niet zomaar vermenigvuldigd worden. Op basis van de geschatte kans en het financiële  risico na toepassen van beheersmaatregelen, voert het risicomanagementsysteem Naris een statistische analyse uit, waarmee wij kunnen beoordelen of ons weerstandsvermogen toereikend is om met een redelijke zekerheid deze risico’s op te kunnen vangen.
Als een risico zich daadwerkelijk voordoet, dan zullen we eerst de directe effecten in de lopende begroting proberen op te vangen, alvorens een beroep te doen op de saldireserve. Is er sprake van structurele effecten, dan zullen we in de volgende zomernota beleidsmaatregelen voor de nieuwe begrotingsperiode moeten voorstellen, om deze effecten op te vangen.

Bij een zekerheidspercentage van 80% komt uit de Monte Carlo-simulaties € 7,7 miljoen. Hierbij houden we rekening met beheersmaatregelen.Dat is  iets lager dan bij de Stadsbegroting 2019-2022 toen we op € 7,8 miljoen uitkwamen bij 80%.  Bij de Stadsbegroting 2020-2023 voeren we weer een actualisatie uit van alle risico’s.

Gemeentefonds

Een belangrijke inkomstenpost voor de gemeente is de  gemeentefondsuitkering. Deze uitkering is gebaseerd op een aantal parameters (zoals inwoneraantallen, oppervlakte etc), op de rijksuitgaven (trap op-trap af systematiek), ruimte onder het BCF plafond.
Jaarlijks blijkt dat de definitieve vaststelling van het gemeentefonds afwijkt van de verwachting. Deze afwijking kan zowel positief als negatief zijn. Overigens worden de verwachtingen bij elk P&C document herijkt en in de begroting aangepast.

Ruimte onder het BCF plafond
Voor de begroting 2019 en verder, is bekend dat de wijze van ramen van de ruimte onder het BCF plafond ter discussie staat. Het BCF (Btw Compensatie Fonds) en het gemeentefonds zijn communicerende vaten. Dat wil zeggen dat het bedrag dat overblijft in het BCF, nadat alle aanspraken verrekend zijn, toegevoegd wordt aan het gemeentefonds. Tot dit jaar werd dit bedrag opgenomen in de meicirculaire en toegevoegd aan de begrote  uitkering gemeentefonds. Vanaf 2019 wordt dit bedrag niet meer geraamd, maar alleen nog  uitgekeerd op realisatiebasis. In de begroting hebben wij conform voorgaande jaren een raming opgenomen voor de ruimte onder het BCF plafond. Het risico bestaat dat die ruimte niet geheel tot uitkering komt, evenals dat wij een risico lopen op afwijkingen in  de realiteit van de overige parameters.

Verwacht accres 2018
De Najaarsnota van het rijk geeft aan dat de verwachte uitgaven voor 2018 ten opzichte van de Miljoenennota verder afnemen. Als het rijk in een jaar minder uit geeft dan geraamd, is er sprake van onderuitputting. Dit zou leiden tot een negatieve bijstelling van het accres 2018. De decembercirculaire is echter geen moment voor nieuwe ramingen van het accres (toe- of afname van het gemeentefonds). Hiervoor moeten we de meicirculaire 2019 afwachten. Het is ook gebruikelijk om die effecten niet in de jaarrekening te verwerken, maar te verwerken in het jaar van de circulaire.  De commissie BBV heeft dit ook als spelregel opgenomen. We  weten echter dat het te verwachten effect nadelig is en dat het ongeveer € 1 miljoen zal gaan bedragen.  Om die reden willen we wel een risico in de paragraaf weerstandsvermogen opnemen

Databeveiliging

De verdergaande digitale vastlegging van gegevens vraagt er om alert te zijn op de risico’s die automatisering met zich meebrengt
Op basis van het vastgestelde Informatieveiligheidsbeleid werken we in 2019 verder aan de realisatie van alle te nemen maatregelen die gesteld worden vanuit de Baseline Informatieveiligheid Gemeenten (BIG) en de verdere ontwikkeling richting de Baseline Informatiebeveiliging Overheid (BIO). Daarnaast streven we er naar om naast op organisatieniveau, binnen alle werkprocessen in control te komen voor wat betreft de verplichtingen vanuit de AVG. Hiertoe is er een Functionaris Gegevensbescherming  en wordt uitvoering gegeven aan het vastgestelde privacybeleid.. We zoeken hierbij steeds naar een goede balans tussen de kerntaken van de gemeente en de privacy van de burger. Hierbij streven we naar transparantie over ons handelen en de achtergronden daar van.

Welke risicovolle gebeurtenissen worden zoal onderkend:

• Het ontstaan van schade aan of verstoring van het terrein en de  data van de organisatie, bedrijfsmiddelen en onderbreking van de bedrijfsactiviteiten als gevolg van het feit dat onbevoegden  toegang krijgen tot de fysieke of logische omgeving;
• Verlies, schade of diefstal van apparatuur en/of  data;
• Het ontstaan van fysieke bedreigingen en gevaren van buitenaf;
• Verlies, schade of diefstal door nalatigheid of opzettelijk misbruik van panden, apparatuur en  data in het bezit van de gemeente;
• Externe leverancier voldoet niet aan de contractueel vastgestelde kwaliteits- en veiligheidseisen.

Gevolgen:

• Onbevoegde krijgen toegang tot kritieke systemen en/of waardevolle data. Deze informatie kan misbruikt worden voor fraude of andere criminele activiteiten.
• De gemeente werkt  samen met zelfstandig verantwoordelijke ketenpartners en besteedt  taken uit. Om dit mogelijk te maken worden data gedeeld. Bij beheer van systemen en gegevens door een derde partij, kunnen ook data van de gemeente op straat komen te liggen of onjuist/voor andere doeleinden dan bedoeld, of toegestaan,  door derden gebruikt worden. Dit door toedoen van deze derde partij. De gemeente blijft eindverantwoordelijk voor de  databeveiliging van haar gegevens, ook  in dat deel van de keten waarbij het beheer bij een andere partij ligt. In overeenkomsten zijn veiligheidsvoorschriften vastgelegd.
• De gemeente voldoet niet aan de aan haar gestelde kwaliteits- en veiligheidseisen, als  de externe leveranciers zich niet houden aan de contractueel vastgestelde eisen en de gemeente dit niet periodiek of structureel toetst.
• Digitale data van de gemeente wordt nagenoeg niet vernietigd en/of soms wordt er digitale data vernietigd die (op grond van de Archiefwet) bewaard had moeten blijven.

Maatregelen:

• Toegang tot niet-openbare gedeelten van gebouwen, beveiligingszones, netwerkzones en programmatuur is alleen mogelijk na autorisatie daartoe.
• In diverse panden (of zones) van de gemeente wordt gebruik gemaakt van cameratoezicht ter bescherming van de medewerkers en eigendommen.
• (Data)verbindingen worden beschermd tegen interceptie of beschadiging. De gemeente heeft deze activiteit uitbesteed aan de IRvN (zie DVO). Daarnaast zorgt de IRvN (in opdracht van de gemeente) dagelijks voor het beheer van deze beveiliging.
• Gegevens en programmatuur worden van apparatuur verwijderd of veilig overschreven, voordat de apparatuur wordt afgevoerd. De Archiefwet is  de leidraad, niet alleen voor de analoge data, maar het dient dit ook te zijn voor de digitale data. Echter met betrekking tot de digitale data is dit qua procedure/procesmatig zeer beperkt geregeld. De gemeente heeft deze activiteit uitbesteed aan de IRvN (zie DVO). Daarnaast zorgt de IRvN (in opdracht van de gemeente) dagelijks voor het beheer van deze beveiliging.
• Data worden bewaard en vernietigd conform de Archiefwet 1995 en de daaruit voortvloeiende archiefbesluiten, alsook  de AVG
• Er wordt structureel gewerkt aan het bewustzijn van de medewerkers binnen de gemeentelijke organisatie, leveranciers en derden die uitvoering geven aan deel of ketentaken. Dit gebeurt via INsite team Informatiebeveiliging en Privacy, campagnes op afdelingsniveau informatiebewustzijn (mystery guest, enquêtes, e-learning modules etc.). De check op leveranciers is vastgelegd in verwerkersovereenkomsten (via daarin opgenomen afspraken). De beheersmaatregel met betrekking tot derden vraagt meer. De gemeente maakt in dit verband gebruik van het programma Open en Weerbaar aan het verhogen van het bewustzijn en bewustwording van burgers en bedrijven in Nijmegen.
• Bij externe hosting van data en/of services (uitbesteding) blijft de gemeente eindverantwoordelijk voor de betrouwbaarheid van uitbestede diensten. Dit is gebonden aan regels en vereisen goede (contractuele) afspraken en controle hierop.

Vennootschapsbelasting

Met ingang van 2016 zijn gemeenten Vpb-plichtig. Onze gemeente heeft het nodige onderzoek gedaan naar de verplichtingen die hier mee samenhangen. Op de eerste plaats moest beoordeeld worden of de gemeente door de 'ondernemerspoort' komt. Daarvoor wordt gekeken naar de activiteiten die mogelijkerwijs winst met zich meebrengen. Conclusie uit deze onderzoeken was dat noch de parkeervoorzieningen, noch de vastgoedtak , noch de activiteiten van het  ontwikkelbedrijf door de ondernemerspoort komen. Begin 2019 heeft de gemeente Nijmegen afstemming met de fiscus bereikt over de ingenomen/gehanteerde standpunten. De fiscus is hiermee akkoord gegaan.
Uit de berekeningen blijkt dat de gemeente Nijmegen voor de laatstgenoemde bedrijfsonderdelen noch voor 2017 noch voor 2018 vennootschapsbelastingplichtig is.