3.2 Weerstandsvermogen en risicobeheersing

De provincie staat voor grote en complexe opgaven in een tijd van nationale en geopolitieke spanningen. Daarbij komt dat wij, om onze bijdrage binnen deze opgaven te realiseren, afhankelijk zijn van externe factoren. Een belangrijke externe factor blijft de naderende herijking van het provinciefonds, welke naar verwachting een negatieve invloed op de exploitatiebegroting heeft in de toekomst. Verder blijven we waakzaam op zaken zoals cybersecurity. Deze tijd van verandering vraagt om voldoende aanpassingsvermogen van de provincie. Risicomanagement draagt hier in belangrijke mate aan bij.

In de huidige risicoanalyse hebben we voor Hart van de Heuvelrug/ Vliegbasis Soesterberg een aanpassing gedaan. Naar aanleiding van een aanbeveling van de commissie BBV hebben we scherper onderscheid gemaakt tussen algemene en project specifieke risico’s. Ten aanzien van de algemene risico’s hebben we de keuze gemaakt om deze mee te nemen in het weerstandsvermogen van de provincie. Dit omdat deze risico’s impact hebben op het hele programma Hart van de Heuvelrug/ Vliegbasis Soesterberg en niet door de afzonderlijke projecten kunnen worden beheerst. Voor de project specifieke risico’s geldt dat we hebben onderzocht of deze kunnen worden afgedekt door het verwachte resultaat van dat project. Deze redenatie is in lijn met ons huidige beleid, waarin wordt aangegeven dat risico’s opgenomen worden in het weerstandsvermogen voor zover er niet reeds dekking aanwezig is. De uitkomst is dat naast de algemene risico’s, de project specifieke risico’s van het project Sortie 16 moeten worden meegenomen in de bepaling van het benodigd weerstandsvermogen van de provincie.  

Verder zijn er twee klimaatrisico’s opgenomen in het concernbrede risicomanagementsysteem. Eén risico is verbonden aan cultureel erfgoed waarvan wij geen eigenaar zijn, maar welke wel impact heeft op het behalen van onze doelen. Door wateroverlast, overstromingen droogte en hitte kan het cultureel erfgoed verloren raken. Een ander risico heeft betrekking op onze assets op het gebied van mobiliteit waardoor wij financieel geraakt worden door eventuele schade. Met name het wegennetwerk heeft te maken met wateroverlast, droogte en bodemdaling.
Voor meer informatie over hoe we omgaan met klimaatrisico’s verwijzen we naar onze klimaatparagraaf.

De inventarisatie van risico’s leverde in totaal 146 risico’s op. Deze zijn opgenomen in ons risicomanagementsysteem. Van de 146 hebben 92 risico’s een financieel effect. Het totaalbedrag waarover we risico lopen bedraagt momenteel € 132,0 miljoen. Het is onwaarschijnlijk dat alle opgenomen risico’s zich tegelijkertijd voordoen. Daarom wordt jaarlijks een Monte Carlo-analyse uitgevoerd waarbij statistisch met 90% (landelijke norm) wordt berekend wat het benodigde weerstandsvermogen is. Hieruit blijkt dat € 20,2 miljoen voldoende is om alle risico's op te vangen.
In het onderstaande overzicht presenteren we de top 10 van het aantal risico's. Dit zijn de risico’s met de hoogste impact op het benodigd weerstandsvermogen. Deze risico’s zijn samen goed voor ongeveer 62% van de berekende omvang van het benodigd weerstandsvermogen. De Financiële Klasse is bepaald op het maximaal financieel risico. Als het verwachte financieel gevolg bekend is, is dat ingevuld onder financieel gevolg. Zo niet, dan is het maximale financieel gevolg ingevuld.

Effect herijking provinciefonds op de begroting
Al enige jaren wordt gesproken over een nieuw verdeelmodel voor het provinciefonds. Hierover vinden nog steeds discussies plaats. Recent heeft de Raad van het Openbaar bestuur meerdere aanbevelingen gedaan die het beeld flink kunnen wijzigen. Wij blijven echter naar verwachting een nadeelprovincie. Dit betekent dat wij op termijn een lagere uitkering ontvangen uit het provinciefonds. Het nadeel is eerder berekend op ongeveer € 20 miljoen maar er is verzocht om een nieuwe berekening zodat alle wijzigingen van het verdeelmodel kunnen worden meegenomen. Bij de invoering zal waarschijnlijk ook een ingroeipad bepaald worden. In de Kaderbrief 2024-2027 is uit voorzichtigheid uitgegaan van een periode van 4 jaar met een ingroei van 25% per jaar. Echter, het daadwerkelijke verloop van de ingroei is onzeker. Daarom is er een risico opgevoerd in het provinciaal risicomanagementsysteem. In oktober 2024 zijn de Staten hierover geïnformeerd via de statenbrief "Brief IPO verdeelmodel provinciefonds ".

Garantiefonds Energie
Voor het stimuleren van de energietransitie maken we gebruik van het Energiefonds. Stichting Energietransitie Utrecht (SETU) beheert dit fonds. Wij gaven een borgstelling van maximaal € 16 miljoen af voor SETU, waardoor zij datzelfde bedrag konden lenen. Zij verstrekken daarvan leningen aan projecten die een bijdrage leveren aan de energietransitie maar elders niet gefinancierd kunnen worden. Er is tot nu toe geen beroep op het weerstandsvermogen gedaan. Het risico-aandeel op de uitstaande financieringen bleef in 2024 ongewijzigd en bedraagt per ultimo Q4 2024 3,5% van het totaal aan uitstaande leningen binnen het provinciale deel van het fonds. Het totaal saldo van de uitstaande leningen daalde licht van € 9,7 miljoen naar € 8,9 miljoen door enkele vroegtijdige aflossingen en een lager volume aan uitzettingen.

PFAS – Rijksbijdrage is niet voldoende om het project uit te voeren
Voor de sanering van de PFAS-verontreiniging van grond en grondwater op de voormalige Vliegbasis Soesterberg is van het rijk een bijdrage van 23,5 miljoen euro ontvangen. Er is nog veel onzekerheid over de toekomstige kosten, onder andere omdat er nog een saneringsvariant gekozen moet worden en ook omdat de normen voor sanering van het grondwater nog niet zijn bepaald. Het kan zijn dat dit bedrag op de lange termijn onvoldoende is, om de kosten te dekken. De ontvangen bijdrage van het rijk is een lump sum, indexering is dus niet aan de orde en daarmee komt de kostenstijging ook ten laste van het bestaande budget. De sanering start na de keuze van de saneringsvariant en het verkrijgen van de benodigde vergunningen. De saneringswerkzaamheden lopen, met name voor het reinigen van het grondwater, zeker meer dan 10 jaar door. Dit risico is opgenomen, omdat de sanering geen deel uitmaakt van de Grex-en.

Er vindt een cyberincident plaats
Er is een reële kans dat wij worden geconfronteerd met een cyberincident, zoals een hack, ransomware aanval of inbraak. Wij kunnen dit, ondanks getroffen beheersmaatregelen, niet helemaal voorkomen. De dreigingsbeelden van Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) en Nationaal Cyber Security Centrum (NCSC) blijven onverminderd hoog vanuit criminaliteit en ook vanuit statelijke actoren. Onze inzet is bedoeld om de kans dat een cyberincident gebeurt te verminderen en de impact bij een incident te beperken.

Door samenwerking tussen de provincies en de diensten vanuit NCSC, wordt dreigingsinformatie sneller ontvangen en ontstaat een (beter) situationeel beeld van de potentiële dreigingen. We kunnen aanvallen eerder detecteren, risico-inschattingen verbeteren en effecten van mitigerende maatregelen beter beoordelen.

ICT- gerelateerde voorvallen
Door de toenemende digitalisering van ons werk neemt ook de afhankelijkheid van IT-middelen en services toe. Uitval of het niet beschikbaar zijn van IT-middelen en services heeft een grote impact op de continuïteit van onze werkzaamheden en onze bedrijfsvoering. We monitoren de beschikbaarheid van onze systemen dan ook continu en passen onze maatregelen daartoe aan. We hebben onder andere deze maatregelen actief:

• een (actueel) bedrijfscontinuïteitsplan;
• voldoende controle op toegang door autorisatie maatregelen (twee-factor authenticatie);
• zorgen voor uitwijkprocedures in overeenkomsten met leveranciers en hostingpartners en opvang bij stroomuitval (signalering en inschakelen experts bij uitval);
• moderniseren van ICT-infrastructuur en regelmatig onderwerpen aan een diepgaande risicoanalyse (DRA), waarbij nieuwe of aangepaste programmatuur grondig wordt getest voor implementatie.

Uitlekken van vertrouwelijke informatie
De Meldplicht Datalekken zorgt ervoor dat organisaties die privacygevoelige gegevens opslaan en/of verwerken, verplicht zijn om een datalek bij de Autoriteit Persoonsgegevens te melden als er mogelijk risico’s voor de betrokkenen zijn. Het begrip datalek is hierbij breed gedefinieerd. Voorbeelden van een potentieel datalek zijn onder andere een verloren USB-stick of laptop, ongeoorloofde toegang tot systemen met persoonsgegevens of het versturen van een email met privacygevoelige gegevens naar een onjuiste persoon.

Het niet melden van dergelijke incidenten kan naast eventuele schadeclaims van derden ook leiden tot boetes van de toezichthouder. Ook nadat melding heeft plaatsgevonden kan de Autoriteit Persoonsgegevens een boete opleggen bijvoorbeeld wanneer betrokkenen niet of onvoldoende worden ingelicht, of bij onvoldoende zorgvuldige beveiliging van en omgang met privacygevoelige informatie. Onder de Europese AVG kunnen maximale boetes worden opgelegd tot (theoretisch) € 10 miljoen of 2% van de jaaromzet. De organisatie investeert blijvend in de kennis en in het bewustzijn van de medewerkers over dit onderwerp.

Oude Tempel (HvdH) – kans op lagere of hogere grondopbrengsten
De gemeente Soest werkt aan een definitief stedenbouwkundig plan voor Oude Tempel waarbij rekening wordt gehouden met ruimte voor de natuurmaatregelen. In dit risico wordt een bandbreedte aangegeven. Enerzijds kans op lagere grondopbrengsten doordat de maatregelen voor de natuur ten koste gaan van uitgeefbaar gebied of extra investeringen vragen. Anderzijds zijn ook hier de grondopbrengsten conservatief geraamd. Kans is dat de grondopbrengsten uiteindelijk hoger uitvallen. Dit betreft een algemeen risico.

Woonwijk Vliegbasis Soesterberg – Kans op hogere grondopbrengsten
De raming van de opbrengsten is conservatief. De kans is aanwezig dat, gezien de ligging van het terrein en de te bouwen woningen, de vraag groot zal zijn en dat kan leiden tot een hogere opbrengst. Zodra de programmering vast staat is een betere inschatting te maken van de verwachte opbrengsten.

Tegenvallend fondsrendement ROM
Het risico is dat het Participatiefonds onvoldoende revolveert om het fonds in stand te houden. We hebben in totaal € 16 miljoen gestort als aandelenkapitaal in de ROM Regio Utrecht. Dit is voor financiële ondersteuning aan startups, scale-ups en innovatief midden- en kleinbedrijf (mkb). Als beheermaatregel voegden we € 4 miljoen toe aan het weerstandsvermogen. Dit op basis van ervaringscijfers bij andere ROM’s die veelal een risicopercentage hanteren van 25%. Ook is afgesproken dat de ROM de performance van het gehele portfolio van het participatiefonds monitort en rapporteert op kwartaalbasis.   

Onze huidige risico-inschatting blijft 25% mede omdat de aannames voor de bepaling van dit percentage niet gewijzigd zijn. Voor de meer risicovolle fondsen binnen de ROM, zoals het proof of concept-fonds (POC-fonds) en vroegefase-fonds (VFF), lopen wij geen risico omdat wij de fondsstortingen als lasten in de exploitatie nemen. De revolverendheid van het Participatiefonds van de ROM is door het korte bestaan en de geringe omvang van de uitstaande investeringen op dit moment nog niet goed toetsbaar. Het zal nog een aantal jaar duren voordat we hier beter zicht op krijgen. Vooruitlopend daarop wordt de portefeuille van het fonds ieder kwartaal beoordeeld of een waarde-afschrijving noodzakelijk is. Wij zijn van mening dat de huidige waardering van ons belang in de ROM op basis van de thans beschikbare informatie correct is, rekening houdend met het in het weerstandsvermogen opgenomen bedrag voor mogelijke financiële risico’s van ons belang in de ROM.

(HvdH en VBS) – Hogere plankosten door netwerkcongestie en extra combinatierisico’s
Er is een aantal onderwerpen benoemd, die bij alle projecten een rol kunnen gaan spelen. Een voorbeeld is de netcongestie: grote bouwprojecten dreigen op een wachtlijst te komen voor een aansluiting op het water – en elektriciteitsnet, wat kan leiden tot uitstel en daarmee hogere plankosten. Ook wordt rekening gehouden met schaarste op de arbeidsmarkt, invoering van financieringsrente bij de provincie, extra tijd en kosten door Woo-procedures. Dit betreft een algemeen risico.

Opstallen in ons bezit leveren bij verkoop minder op dan de waarde op de balans
Bij het aankopen van agrarische grond worden soms ook opstallen gekocht. Als deze opstallen worden gekocht vanuit de grondbank is de afspraak dat deze binnen twee jaar weer verkocht gaan worden. Hiermee verkleinen wij de kans op verlies. Mocht er bij de verkoop een verlies optreden kan dit worden verrekend met de risicoreserve van de grondbank. Bij de aankopen die rechtstreeks worden gedaan vanuit een programma zullen de risico’s moeten worden opgevangen binnen de bestemmingsreserve van dit programma. Het gaat hier om het restrisico.