In dit deel gaan we in op de risico's. Deze risico's zijn financieel vertaald en geven daarmee aan in welke mate de risico's afgedekt moeten worden door het beschikbare weerstandsvermogen.
Bij de risico's maken we onderscheid in planexploitatierisico's, programmarisico's en investeringsrisico's. Bij programmarisico's hebben we tot de samenstelling van de stadsbegroting 2018-2021 de risico's van het programma Zorg en Welzijn apart gehouden omdat deze risico's een eigen dekking kenden in de eigen bestemmingsreserves. De bestemmingsreserve WMO-jeugd is echter  eind 2017 uitgeput en de risico's vanuit Zorg en Welzijn zullen dan ook afgedekt moeten worden door de saldireserve.
De risico's die samenhangen met investeringen zijn in het verleden niet expliciet in deze paragraaf benoemd. De financiële consequentie van een overschrijding van een investeringskrediet komt in de begroting tot uiting als hogere kapitaallasten.  Omdat een overschrijding van een investeringskrediet wel van invloed is op de beschikbare kredietruimte voor nieuwe investeringen, worden de investeringsrisico's  apart benoemd.  Naast de risico's die een claim leggen op de beschikbare financiële middelen, zijn er ook risico's die wanneer ze optreden niet direct financiële gevolgen hebben, maar vooral imagoverlies met zich meebrengen. Het treffen van maatregelen om deze risico's in te perken is dan ook van groot belang en in sommige gevallen ook wettelijk voorgeschreven. Een belangrijk aandachtsgebied hierbij is de databeveiliging. Onder de kop risico's wordt dan ook een apart item gewijd aan dit onderwerp. Een ander bijzonder onderwerp is vennootschapsbelasting en de mogelijke consequenties daarvan. Ook op dit onderwerp wordt specifiek ingegaan.
In het laatste deel van deze paragraaf laten we het totale risicoprofiel zien. De hoogte hiervan is van belang om te bepalen of het weerstandsvermogen toereikend is.

Planexploitatierisico's

Onderstaand zijn de planexploitatierisico's weergegeven tegen netto contante waarde. Dat betekent dat alle risico’s zijn bepaald naar de huidige inzichten. De omvang van het risico zoals hier gepresenteerd, is de uitkomst van de omvang van het risico gecombineerd met de verwachte kans.
De risico's  zoals opgenomen in de in maart 2018 vastgestelde VGP (Voortgangsrapportage Grote Projecten) zijn opnieuw beoordeeld. Hier wordt volstaan met een opsomming van de totale risico's en een samenvatting.
Na de risico-inventarisatie zijn de geïdentificeerde risico’s ook in de tijd uitgezet en in een tabel opgenomen.
Volgens afspraken met uw Raad zijn beide systemen naast elkaar gepresenteerd: een totaal score en de risico’s uitgezet in de tijd.

Het totale risicoprofiel van het programma Grondbeleid is afgenomen  ten opzichte van de jaarrekening 2017, met name in Waalsprong en Waalfront.
Het risico in de Waalsprong is in vergelijking met het risicoprofiel zoals dat is gepresenteerd bij de stadsrekening 2017 afgenomen door met name verwachte hogere  opbrengsten voor de verkoop van bestaande panden. Daarnaast is er een risico opgenomen voor hogere verwervingskosten en hogere kosten voor nutsvoorzieningen.

Het risicoprofiel voor het Waalfront is gebaseerd op de vastgestelde Grex 2017, met een verhoging vanwege een risico op hogere civiel-technische kosten

Voor een uitgebreide toelichting wordt verwezen naar de risico's per planexploitatie zoals opgenomen in de pcportal.nijmegen.nl

Onderstaand zijn de risico's in de tijd uitgezet. Opgemerkt wordt nog dat overeenkomstig de afspraken bij de nieuwe kadernota 2016 bij het uitzetten in de tijd, de dempingsfactor van 10% achterwege is gelaten. Hierbij zijn de eerste jaren in jaarschijven weergegeven en na 2022 de risico's die tot en met 2033 lopen.  Voor Waalsprong geldt als laatste jaar 2033 en voor Waalfront is het laatste risicobedrag in 2026 opgenomen.

De parameters voor de planexploitaties zijn in de Zomernota 2018 vastgesteld. Deze zijn ongewijzigd ten opzichte van vorig jaar. Voor de renteparameter was er onzekerheid over de renteontwikkeling op langere termijn. Inmiddels is hier duidelijkheid over en wordt deze voorgesteld op 1,25%. Hiermee wordt dan in de VGP 2019 (peildatum 1 oktober 2018) gerekend.

Investeringsrisico's

Investeringen hebben dikwijls een lange doorlooptijd en er kunnen zich tegenvallers voordoen die bij het aanvragen van het krediet niet waren voorzien. Bij analyseren van de investeringen gedurende de looptijd wordt bezien of het oorspronkelijke krediet voldoende is of dat zich nog risico's kunnen voordoen. Wanneer overschrijding zeker is, wordt een aanvullend krediet aangevraagd bij uw Raad. Zolang het in de risicosfeer ligt, wordt het opgenomen in deze paragraaf. Op basis van huidige kennis en inzichten signaleren we de volgende risico’s met betrekking tot investeringen.

De Bastei is in het voorjaar 2018 in gebruik genomen. Er spelen nog risico’s over mogelijk hogere (uiteindelijke) bouw- en archeologische kosten. Ook moet de eindverantwoording van de subsidie nog plaatsvinden.

De herinrichting Valkhof: zowel bij binnenkomst van de stad over de Waalbrug als vanuit het centrum is het Valkhof een markante en betekenisvolle plek. Zowel de historische component, als het tegenwoordige intensieve gebruik  van het park zijn voor Nijmegen van groot belang.  De renovatie van het park zal, afhankelijk van ambitieniveau en cultuurhistorische belemmeringen, in  elke variant zeer waarschijnlijk  meer kosten dan het nu beschikbare budget. Het nu bepaalde risico is gekoppeld aan uitvoering van een beperkte renovatie.

De herinrichting van de Oostelijke Waalkade (fase 2: vergroening kade) zal op korte termijn starten. Door een beperkt budget, complexe uitvoering (hoge ambitie) en een complexe omgeving (veel partijen) is er een risico op meerkosten. Daarnaast is tijdens de uitvoering een risico op archeologische meerkosten. Ook moet de eindverantwoording van de provinciale subsidie nog plaatsvinden.

De bouw van topsporthal Talent Centraal Nijmegen wordt in 2018 opgeleverd.  Er is een risico op meerwerk vanuit het laatste stadium van de  bouw- en inrichtingskosten van de sporthal.  Ook moet de eindverantwoording van de provinciale subsidie nog plaatsvinden.

Programmarisico's

De risico inventarisatie in ons risicomanagementsysteem hebben we geactualiseerd. Deze inventarisatie heeft 71 geïdentificeerde risico's opgeleverd die  die voldoen aan de afgesproken criteria:

• risico’s met grote financiële gevolgen,
• waarvoor de oorzaken niet door de gemeente kunnen worden beïnvloed of waarvoor de gemeente nog niet in staat is geweest om passende beheersingsmaatregelen te treffen om de kans of het gevolg van het risico terug te dringen.

Risico’s die al zijn afgedekt door maatregelen laten we buiten beschouwing.  Het deel van financiële risico’s dat is afgedekt door verzekeringen laten we eveneens buiten beschouwing.

Hieronder geven we de top‐10 met de belangrijkste risico’s. In de eerste kolom geven we een korte omschrijving van het risico. Daarnaast geven we het maximale bedrag dat het risico als nadeel in de begroting tot gevolg kan hebben.
Onder ‘kans’ schatten we hoe groot de kans is dat het risico zich voordoet. De cijfers in deze twee kolommen kunnen niet zomaar vermenigvuldigd worden. Op basis van de geschatte kans en het financiële  risico na toepassen van beheersmaatregelen, voert het risicomanagementsysteem Naris een statistische analyse uit, waarmee wij kunnen beoordelen of ons weerstandsvermogen toereikend is om met een redelijke zekerheid deze risico’s op te kunnen vangen.
Als een risico zich daadwerkelijk voordoet, dan zullen we eerst de directe effecten in de lopende begroting proberen op te vangen, alvorens een beroep te doen op de saldireserve. Is er sprake van structurele effecten, dan zullen we in de volgende zomernota beleidsmaatregelen voor de nieuwe begrotingsperiode moeten voorstellen, om deze effecten op te vangen.

Bij een zekerheidspercentage van 80% komt uit de Monte Carlo-simulaties € 7,8 miljoen. Hierbij houden we rekening met beheersmaatregelen.Dat is  lager dan bij de Stadsrekening 2017 toen we op € 10,6 miljoen uitkwamen bij 80%.  Bij de Stadsrekening 2018 voeren we weer een actualisatie uit van alle risico’s.
De verlaging van het risicoprofiel is voor een groot deel veroorzaakt door het opnemen van middelen  in de begroting  voor Welzijn, Wijkontwikkeling en Zorg;  hierdoor zijn de risico's die hiermee samenhingen  teruggedrongen.

Algemene uitkering

Een belangrijke inkomstenpost voor de gemeente is de algemene uitkering. Deze uitkering is gebaseerd op een aantal parameters (zoals inwoneraantallen, oppervlakte etc), op de rijksuitgaven (trap op-trap af systematiek), ruimte onder het BCF plafond.
Jaarlijks blijkt dat de definitieve vaststelling van de algemene uitkering afwijkt van de verwachting. Deze afwijking kan zowel positief als negatief zijn. Overigens worden de verwachtingen bij elk P&C document herijkt en in de begroting aangepast.  Voor de begroting 2019 en verder, is bekend dat de wijze van ramen van de ruimte onder het BCF plafond ter discussie staat. Het BCF (Btw Compensatie Fonds) en het gemeentefonds zijn communicerende vaten. Dat wil zeggen dat het bedrag dat overblijft in het BCF, nadat alle aanspraken verrekend zijn, toegevoegd wordt aan de algemene uitkering. Tot dit jaar werd dit bedrag opgenomen in de meicirculaire en toegevoegd aan de begrote algemene uitkering. Vanaf 2019 wordt dit bedrag niet meer geraamd, maar alleen nog  uitgekeerd op realisatiebasis. In de begroting hebben wij conform voorgaande jaren een raming opgenomen voor de ruimte onder het BCF plafond. Het risico bestaat dat die ruimte niet geheel tot uitkering komt, evenals dat wij een risico lopen op afwijkingen in  de realiteit van de overige parameters.

Databeveiliging

De verdergaande digitale vastlegging van gegevens vraagt er om alert te zijn op de risico’s die automatisering met zich meebrengt
Op basis van het vastgestelde Informatieveiligheidsbeleid werken we in 2018 verder aan de realisatie van alle te nemen maatregelen die gesteld worden vanuit de Baseline Informatieveiligheid Gemeenten (BIG). Daarnaast streven we er naar te voldoen aan de AVG. Hiertoe is er een Functionaris Gegevensbescherming benoemd en wordt privacybeleid vastgesteld en uitgevoerd. We zoeken steeds een goede balans tussen de kerntaken van de gemeente en de privacy van de burger. Hierbij streven we naar transparantie over ons handelen en de achtergronden daar van.

Welke risicovolle gebeurtenissen worden zoal onderkend:

• Het ontstaan van schade aan of verstoring van het terrein en de  data van de organisatie, bedrijfsmiddelen en onderbreking van de bedrijfsactiviteiten als gevolg van het feit dat onbevoegden  toegang krijgen tot de fysieke of logische omgeving;
• Verlies, schade of diefstal van apparatuur en/of  data;
• Het ontstaan van fysieke bedreigingen en gevaren van buitenaf;
• Verlies, schade of diefstal door nalatigheid of opzettelijk misbruik van panden, apparatuur en  data in het bezit van de gemeente;
• Externe leverancier voldoet niet aan de contractueel vastgestelde kwaliteits- en veiligheidseisen.

Gevolgen:

• Onbevoegde toegang tot kritieke systemen en/of waardevolle data. Deze informatie kan misbruikt worden voor fraude of andere criminele activiteiten.
• De gemeente werkt steeds meer samen met ketenpartners en besteedt steeds meer taken uit. Om dit mogelijk te maken worden data gedeeld. Bij beheer van systemen en gegevens door een derde partij, kunnen ook data van de gemeente op straat komen te liggen of onjuist/voor andere doeleinden dan bedoeld, of toegestaan,  door derden gebruikt worden. Dat door toedoen van deze derde partij. De gemeente blijft eindverantwoordelijk voor de  databeveiliging van haar gegevens, ook  in dat deel van de keten waarbij het beheer bij een andere partij ligt. In overeenkomsten zijn dan veiligheidsvoorschriften vastgelegd.
• De gemeente voldoet niet aan de aan haar gestelde kwaliteits- en veiligheidseisen, als  de externe leveranciers zich niet houden aan de contractueel vastgestelde eisen en de gemeente dit niet periodiek of structureel toetst.
• Digitale data van de gemeente wordt nagenoeg niet vernietigd en/of soms wordt er digitale data vernietigd die (op grond van de Archiefwet) bewaard had moeten blijven.

Maatregelen:

• Toegang tot niet-openbare gedeelten van gebouwen, beveiligingszones, netwerkzones en programmatuur is alleen mogelijk na autorisatie daartoe.
• In diverse panden (of zones) van de gemeente wordt gebruik gemaakt van cameratoezicht.
• (Data)verbindingen worden beschermd tegen interceptie of beschadiging. De gemeente heeft deze activiteit uitbesteed aan de IRvN (zie DVO). Daarnaast zorgt de IRvN (in opdracht van de gemeente) dagelijks voor het beheer van deze beveiliging.
• Gegevens en programmatuur worden van apparatuur verwijderd of veilig overschreven, voordat de apparatuur wordt afgevoerd. De Archiefwet is in theorie de leidraad, niet alleen voor de analoge data, maar het dient dit ook te zijn voor de digitale data. Echter met betrekking tot de digitale data is dit qua procedure/procesmatig zeer beperkt geregeld. De gemeente heeft deze activiteit uitbesteed aan de IRvN (zie DVO). Daarnaast zorgt de IRvN (in opdracht van de gemeente) dagelijks voor het beheer van deze beveiliging.
• Data worden bewaard en vernietigd conform de Archiefwet 1995 en de daaruit voortvloeiende archiefbesluiten, alsook de Wbp en de AVG
• Er wordt structureel gewerkt aan het bewustzijn van de medewerkers binnen de gemeentelijke organisatie, leveranciers en derden die uitvoering geven aan deel of ketentaken. Dit gebeurt via INsite team informatiebewustzijn, campagne informatiebewustzijn (mysterie gast, enquêtes, e-learning modules etc.). De check op leveranciers is vastgelegd in bewerkersovereenkomsten (via daarin opgenomen afspraken). De beheersmaatregel met betrekking tot derden vraagt meer. De gemeente maakt in dit verband gebruik van het programma Open en Weerbaar aan het verhogen van het bewustzijn en bewustwording van burgers en bedrijven in Nijmegen.
• Bij externe hosting van data en/of services (uitbesteding) blijft de gemeente eindverantwoordelijk voor de betrouwbaarheid van uitbestede diensten. Dit is gebonden aan regels en vereisen goede (contractuele) afspraken en controle hierop.

Vennootschapsbelasting

Met ingang van 2016 zijn gemeenten Vpb-plichtig. Onze gemeente heeft het nodige onderzoek gedaan naar de verplichtingen die hier mee samenhangen. Op de eerste plaats moest beoordeeld worden of de gemeente door de 'ondernemerspoort' komt. Daarvoor wordt gekeken naar de activiteiten die mogelijkerwijs winst met zich meebrengen. Conclusie uit deze onderzoeken was dat noch de parkeervoorzieningen, noch de vastgoedtak , noch de activiteiten van het  ontwikkelbedrijf door de ondernemerspoort komen. De resultaten van deze onderzoeken worden aan de fiscus voorgelegd om tot afstemming te komen over de gehanteerde uitgangspunten. Omdat het een nieuw fenomeen is voor gemeenten, is er veel overleg geweest over de beoordelingswijze. Het blijkt dat er ook nu nog discussie bestaat over de spelregels die gehanteerd moeten worden. Zolang de afstemming met de fiscus nog niet geleid heeft tot overeenstemming, moet er rekening worden gehouden met het risico dat een bedrijfsonderdeel wel door de ondernemerspoort komt. Dat wil nog niet direct zeggen dat er een Vpb-schuld ontstaat, maar wel de verplichting om de administratie zodanig in te richten dat een eventuele Vpb-plicht hieruit af te leiden is.