In dit deel gaan we in op de risico's. Deze risico's zijn financieel vertaald en geven daarmee aan in welke mate de risico's afgedekt moeten worden door het beschikbare weerstandsvermogen.
Bij de risico's maken we onderscheid in planexploitatierisico's, programmarisico's en investeringsrisico's.
De risico's die samenhangen met investeringen zijn in het verleden niet expliciet in deze paragraaf benoemd. De financiële consequentie van een overschrijding van een investeringskrediet komt in de begroting tot uiting als hogere kapitaallasten. Omdat een overschrijding van een investeringskrediet wel van invloed is op de beschikbare kredietruimte voor nieuwe investeringen, worden de investeringsrisico's apart benoemd. Naast de risico's die een claim leggen op de beschikbare financiële middelen, zijn er ook risico's die wanneer ze optreden niet direct financiële gevolgen hebben, maar vooral imagoverlies met zich meebrengen. Het treffen van maatregelen om deze risico's in te perken is dan ook van groot belang en in sommige gevallen ook wettelijk voorgeschreven. Een belangrijk aandachtsgebied hierbij is de databeveiliging. Onder de kop Risico's wordt dan ook een apart deel gewijd aan dit onderwerp. Een ander bijzonder onderwerp is vennootschapsbelasting en de mogelijke consequenties daarvan. Ook op dit onderwerp wordt specifiek ingegaan.
In het laatste deel van deze paragraaf laten we het totale risicoprofiel zien. De hoogte hiervan is van belang om te bepalen of het weerstandsvermogen toereikend is.

Planexploitatierisico's

Onderstaand zijn de planexploitatierisico's weergegeven tegen netto contante waarde. Dat betekent dat alle risico’s zijn bepaald naar de huidige inzichten. De omvang van het risico zoals hier gepresenteerd, is de uitkomst van de omvang van het risico gecombineerd met de verwachte kans.
De risico's  zijn opnieuw beoordeeld ten tijde van de in februari 2019 vastgestelde VGP (Voortgangsrapportage Grote Projecten). Hier wordt volstaan met een opsomming van de totale risico's en een samenvatting.
Na de risico-inventarisatie zijn de geïdentificeerde risico’s ook in de tijd uitgezet en in een tabel opgenomen.
Zoals afgesproken met de gemeenteraad zijn beide systemen naast elkaar gepresenteerd: een totaalscore en de risico’s uitgezet in de tijd.

Het totale risicoprofiel van het programma Grondbeleid is toegenomen ten opzichte van de Stadsrekening 2018 . Het risico in de Hezelpoort is -in vergelijking met het risicoprofiel zoals dat is gepresenteerd bij de Stadsrekening 2018- toegenomen door het bouwen van woningen in een ander marktsegment.

Het risicoprofiel voor het Waalfront is gebaseerd op de vastgestelde Grex 2018, en is ongewijzigd ten opzichte van het bij de stadsrekening 2018 gepresenteerde risicoprofiel.
Ten opzichte van de Stadsbegroting 2019 is het risico verlaagd. Enkele risico's zijn in de Grex 2018 verwerkt, daarnaast zijn risico’s komen te vervallen door voortgang van het project.
Onderstaand zijn de risico's in de tijd uitgezet. Opgemerkt wordt nog dat -overeenkomstig de afspraken bij de nieuwe kadernota 2016 bij het uitzetten in de tijd- de dempingsfactor van 10 procent achterwege is gelaten. Hierbij zijn de eerste jaren in jaarschijven weergegeven, en na 2022 de risico's die tot en met 2033 lopen. Voor Waalsprong geldt als laatste jaar 2033 en voor Waalfront is het laatste risicobedrag in 2028 opgenomen.

De parameters voor de planexploitaties zijn in de Zomernota 2019 vastgesteld.

Investeringsrisico's

Investeringen hebben dikwijls een lange doorlooptijd. Er kunnen zich tegenvallers voordoen, die bij het aanvragen van het krediet niet waren voorzien. Zo zijn investeringen in onderwijshuisvesting afhankelijk van de resultaten van onderhandelingen met andere partijen. Een actueel risico betreft de sterke stijging van bouwprijzen door de overspannen bouwmarkt.
Onzekerheden zijn niet altijd financieel van aard. Bij grote investeringsprojecten is realisatie vaak ook afhankelijk van eisen en wensen van andere partijen. De uitkomst van bestuurlijke onderhandelingsprocessen is niet vooraf te voorspellen. Daardoor is op voorhand niet altijd zekerheid over zaken zoals de wijze waarop invulling wordt gegeven aan een investering en wanneer een investering wordt gerealiseerd.
Drie keer per jaar, bij de Zomernota, de Nota Slotwijzigingen en de Stadsrekening, geven wij een voortgangsrapportage over de lopende investeringen. Dat zijn ook de momenten waarop we aangeven hoe eventueel kan worden bijgestuurd. Tegenvallers worden opgevangen door de investeringsbegroting bij te stellen of overschrijding van investeringen te accepteren. Hogere investeringsuitgaven leiden in de regel tot hogere kapitaallasten (rente en afschrijving) in de toekomst. In het kader van solide begroten hanteren we de rekenregel dat daarmee de beschikbare ruimte voor nieuwe investeringen kleiner wordt. Het financiële risico van tegenvallers op het gebied van investeringen is daardoor afgedekt. En als de ruimte voor nieuwe investeringen te klein is, kan aan de gemeenteraad de keuze worden voorgelegd de ruimte te vergroten.

Programmarisico's

De risico-inventarisatie in ons risicomanagementsysteem is geactualiseerd. Deze inventarisatie heeft 85 geïdentificeerde risico's opgeleverd die voldoen aan de afgesproken criteria:

• risico’s met grote financiële gevolgen,
• waarvoor de oorzaken niet door de gemeente kunnen worden beïnvloed, of waarvoor de gemeente nog niet in staat is geweest om passende beheersingsmaatregelen te treffen om de kans of het gevolg van het risico terug te dringen.

Risico’s die al zijn afgedekt door maatregelen laten we buiten beschouwing.  Het deel van financiële risico’s dat is afgedekt door verzekeringen laten we ook buiten beschouwing.
Hieronder staat de top 10 met de belangrijkste risico’s, met in de eerste kolom een korte omschrijving van het risico en daarnaast het maximale bedrag dat het risico als nadeel in de begroting tot gevolg kan hebben.

Onder ‘kans’ schatten we hoe groot de kans is dat het risico zich voordoet. De cijfers in deze twee kolommen kunnen niet zomaar vermenigvuldigd worden. Op basis van de geschatte kans en het financiële risico na toepassen van beheersmaatregelen, voert het risicomanagementsysteem Naris een statistische analyse uit, waarmee wij kunnen beoordelen of ons weerstandsvermogen toereikend is om met een redelijke zekerheid deze risico’s op te kunnen vangen.

Als een risico zich daadwerkelijk voordoet, dan zullen we eerst de directe effecten in de lopende begroting proberen op te vangen, voordat we een beroep doen op de saldireserve. Is er sprake van structurele effecten, dan zullen we in de volgende Zomernota beleidsmaatregelen voor de nieuwe begrotingsperiode moeten voorstellen om deze effecten op te vangen.
Bij een zekerheidspercentage van 80% komt uit de Monte Carlo-simulaties € 6,8 miljoen. Hierbij houden we rekening met beheersmaatregelen. Dat is minder dan bij de Stadsrekening 2018, toen we op € 7,7 miljoen uitkwamen bij 80%. Bij de Stadsrekening 2019 voeren we weer een actualisatie uit van alle risico’s.

Databeveiliging

De verdergaande digitale vastlegging van gegevens vraagt er om alert te zijn op de risico’s die automatisering met zich meebrengt. Op basis van het vastgestelde Informatieveiligheidsbeleid werken we in 2019 verder aan de realisatie van alle te nemen maatregelen vanuit de Baseline Informatiebeveiliging Overheid. Daarnaast streven we er naar te voldoen aan de AVG. Hiertoe is er een Functionaris Gegevensbescherming benoemd en wordt privacybeleid vastgesteld en uitgevoerd. We zoeken steeds een goede balans tussen de kerntaken van de gemeente en de privacy van burgers. Hierbij streven we naar transparantie over ons handelen en de achtergronden daarvan.

Welke risicovolle gebeurtenissen worden zoal onderkend:

• Het ontstaan van schade aan of verstoring van het terrein en de  data van de organisatie, bedrijfsmiddelen en onderbreking van de bedrijfsactiviteiten als gevolg van het feit dat onbevoegden  toegang krijgen tot de fysieke of logische omgeving;
• Verlies, schade of diefstal van apparatuur en/of data;
• Het ontstaan van fysieke bedreigingen en gevaren van buitenaf;
• Verlies, schade of diefstal door nalatigheid of opzettelijk misbruik van panden, apparatuur en data in bezit van de gemeente;
• Een externe leverancier voldoet niet aan de contractueel vastgestelde kwaliteits- en veiligheidseisen.

Gevolgen:

• Onbevoegde toegang tot kritieke systemen en/of waardevolle data. Deze informatie kan misbruikt worden voor fraude of andere criminele activiteiten.
• De gemeente werkt steeds meer samen met ketenpartners en besteedt steeds meer taken uit. Om dit mogelijk te maken worden data gedeeld. Bij beheer van systemen en gegevens door een derde partij, kunnen door toedoen van deze derde partij, ook data van de gemeente op straat belanden. Of onjuist of voor andere doeleinden dan bedoeld of toegestaan,  door derden gebruikt worden.  De gemeente blijft eindverantwoordelijk voor de  databeveiliging van haar gegevens, ook  in dat deel van de keten waarbij het beheer bij een andere partij ligt. In overeenkomsten zijn dan veiligheidsvoorschriften vastgelegd.
• De gemeente voldoet niet aan de aan haar gestelde kwaliteits- en veiligheidseisen als de externe leveranciers zich niet houden aan de contractueel vastgestelde eisen en de gemeente dit niet periodiek of structureel toetst.
• Digitale data van de gemeente worden nagenoeg niet vernietigd. Of soms worden digitale data vernietigd die op grond van de Archiefwet bewaard hadden moeten blijven.

Maatregelen:

• Toegang tot niet-openbare gedeelten van gebouwen, beveiligingszones, netwerkzones en programmatuur is alleen mogelijk na autorisatie daartoe.
• In diverse panden (of zones) van de gemeente wordt gebruik gemaakt van cameratoezicht.
• (Data)verbindingen worden beschermd tegen interceptie of beschadiging. De gemeente heeft deze activiteit uitbesteed aan de IRvN (zie DVO). Daarnaast zorgt de IRvN (in opdracht van de gemeente) dagelijks voor het beheer van deze beveiliging.
• Gegevens en programmatuur worden van apparatuur verwijderd of veilig overschreven, voordat de apparatuur wordt afgevoerd. De Archiefwet is in theorie de leidraad, niet alleen voor de analoge data, maar  ook voor digitale data. Dit is voor digitale data echter is dit qua procedure/procesmatig zeer beperkt geregeld. De gemeente heeft deze activiteit uitbesteed aan de IRvN (zie DVO). Daarnaast zorgt de IRvN (in opdracht van de gemeente) dagelijks voor het beheer van deze beveiliging.
• Data worden bewaard en vernietigd conform de Archiefwet 1995 en de daaruit voortvloeiende archiefbesluiten, alsook de Wbp en de AVG.
• Er wordt structureel gewerkt aan het bewustzijn van de medewerkers binnen de gemeentelijke organisatie, leveranciers en derden die uitvoering geven aan deel of ketentaken. Dit gebeurt via het intranet INsite (Team informatiebewustzijn) en een interne campagne informatiebewustzijn ('mystery guest', enquêtes, e-learning modules). De check op leveranciers is vastgelegd in bewerkersovereenkomsten (via daarin opgenomen afspraken). De beheersmaatregel met betrekking tot derden vraagt meer. De gemeente maakt gebruik van het programma Open en Weerbaar voor het verhogen van het bewustzijn van inwoners en bedrijven in Nijmegen.
• Bij externe hosting van data en/of services (uitbesteding) blijft de gemeente eindverantwoordelijk voor de betrouwbaarheid van uitbestede diensten. Dit is gebonden aan regels en vereist goede (contractuele) afspraken en controle hierop.

Vennootschapsbelasting

Met ingang van 2016 zijn gemeenten vennootschapsbelastingplichtig. Wij hebben onderzoek gedaan naar de verplichtingen die hiermee samenhangen. Op de eerste plaats moest beoordeeld worden of de gemeente door de 'ondernemerspoort' komt. Daarvoor wordt gekeken naar gemeentelijke activiteiten die mogelijkerwijs winst met zich meebrengen. Conclusie is dat de parkeervoorzieningen, de vastgoedtak en de activiteiten van het  Ontwikkelbedrijf niet winstgevend zijn.
De resultaten van deze onderzoeken worden aan de fiscus voorgelegd om tot afstemming te komen over de gehanteerde uitgangspunten. Omdat het een nieuw fenomeen is voor gemeenten, is er veel overleg geweest over de beoordelingswijze. Het blijkt dat er ook nu nog discussie bestaat over de spelregels. Zolang de afstemming met de fiscus nog niet geleid heeft tot overeenstemming, moet er rekening worden gehouden met het risico dat een bedrijfsonderdeel wel door de ondernemerspoort komt. Dat wil nog niet direct zeggen dat er een Vennootschapsbelastingschuld ontstaat, maar wel de verplichting om de administratie zo in te richten dat een eventuele Vennootschapsbelastingplicht hieruit af te leiden is.