3.2 Weerstandsvermogen en risicobeheersing

3.2.3 Risicoanalyse

Er zijn vanuit de inventarisatie van risico’s in totaal 219 risico's geïdentificeerd en opgenomen in ons risicomanagementsysteem. Van de 219 hebben 92 risico’s een financieel effect. Het totaalbedrag waarover de provincie risico loopt (momentopname) bedraagt € 135,8 mln. Het is onwaarschijnlijk dat alle opgenomen risico’s zich tegelijkertijd voordoen.

Op basis van de Monte Carlo-analyse blijkt met een zekerheid van 90% (landelijke norm) dat een weerstandsvermogen van € 24,3 miljoen voldoende is om alle risico’s op te vangen.

In het onderstaande overzicht wordt de top 10 van het aantal risico's gepresenteerd. Dit zijn de risico’s met de hoogste impact op het benodigd weerstandsvermogen. Deze risico’s zijn samen goed voor circa 61% van de berekende omvang van het benodigd weerstandsvermogen. De Financiële Klasse is bepaald op het maximaal financieel risico. Als het verwachte financieel gevolg bekend is, is dat ingevuld onder financieel gevolg. Zo niet, dan is het maximale financieel gevolg ingevuld.

1.  Achterblijven reizigersopbrengsten in de concessie (eerder: terugvallen reizigersopbrengsten in de concessie)
De businesscase voor de vervoerders blijft onder druk staan, omdat de reizigers aantallen fors lager zijn dan voor Corona. Voor 2022 werd het verlies van de vervoerbedrijven in belangrijke mate door het Rijk afgedekt via de “Regeling specifieke uitkering beschikbaarheidsvergoeding regionale OV-concessies (BVOV)”. Voor 2023 heeft het Rijk een transitievergoeding OV (TVOV) ter beschikking gesteld. Via deze regeling kan een deel van het financiële risico van de vervoerder gedekt worden als de vervoerder daadwerkelijk verlies maakt. Landelijk is € 150 miljoen beschikbaar. Voor onze regio betekent dat een maximale bijdrage van € 5 tot € 10 miljoen.

Voor de periode 2023 tot en met 2026 heeft continuering van het openbaar vervoer de hoogste prioriteit. Hierover zijn verlengingsafspraken met de beide vervoerders gemaakt. De praktijk laat zich echter niet exact voorspellen. Als de reizigersopbrengsten, om welke reden dan ook, in de jaren 2023 tot en met 2026 achterblijven bij de prognoses, ontstaat er een risico dat de provincie de hierdoor ontstane tekorten voor een deel moet afdekken.

Bij de Kadernota 2023-2026 en de begroting 2023 is besloten € 50 miljoen te reserveren in de reserve OV Concessie. Deze reserve dient in 2023, 2024 en 2025 als dekking voor de eventueel achterblijvende opbrengsten als gevolg van lagere reizigersaantallen.

2. Garantiefonds Energie
Voor het stimuleren van de energietransitie maken we gebruik van het Energiefonds dat wordt beheerd door Stichting Energietransitie Utrecht (SETU). Wij hebben een borgstelling afgegeven voor SETU van maximaal € 16 miljoen, waardoor zij datzelfde bedrag kon lenen. Zij verstrekt daarvan leningen aan projecten die elders niet gefinancierd kunnen worden en een bijdrage leveren aan de energietransitie. Op dit moment is hiervan ongeveer € 8,6 miljoen uitgezet. De bedoeling is dat met de aflossingen weer nieuwe leningen kunnen worden verstrekt. Om het risico op het niet kunnen terugbetalen van de leningen te kunnen beheersen, is onder andere € 4 miljoen in de reserve weerstandsvermogen gestort.  

3.  Er vindt een cyberincident plaats
De kans op een cyberincident (hack, ransomware aanval, inbraak, etc.) is het afgelopen jaar verder toegenomen. Dit komt onder andere door de oorlog tussen Rusland en Oekraïne die resulteert in een sterk veranderd dreigingslandschap. Preventieve en repressieve maatregelen worden en zijn in de organisatie doorgevoerd om te voorkomen dat een dergelijk incident gebeurt. Repressieve maatregelen richten zich op hoe te handelen wanneer zich een cyberincident of een digitale aanval op onze organisatie heeft voorgedaan. Het gaat hierbij om het detecteren, reageren, beperken en herstellen van de eventuele schade. Het is echter onmogelijk om dit volledig te voorkomen. De inzet is bedoeld om de kans dat een cyberincident gebeurt te verminderen en de impact bij een incident te beperken. Hier wordt doorlopend veel aan gedaan, op technisch, organisatorisch (awareness, opleiding, communicatie) en procedureel (leveranciers-procedures, beleid) vlak. Het plaatsvinden van een cyberincident is toegevoegd aan het bestaande Bedrijfscontinuïteitsplan en uitgewerkt in het Cyberincident Response Plan.

4. ICT- gerelateerde voorvallen
Door de toenemende digitalisering van ons werk neemt ook de afhankelijkheid van IT-middelen en services toe. Uitval of het niet beschikbaar zijn van IT-middelen en services heeft een grote impact op de continuïteit van onze werkzaamheden en onze bedrijfsvoering. We monitoren de beschikbaarheid van onze systemen dan ook continu en passen onze maatregelen daartoe aan. We hebben onder andere de volgende maatregelen actief:

• Een (actueel) bedrijfscontinuïteitsplan;
• Voldoende controle op toegang door autorisatie maatregelen (two-factor authenticatie);
• Zorgen voor uitwijkprocedures in overeenkomsten met leveranciers en hostingpartners en opvang bij stroomuitval (signalering en inschakelen experts bij uitval);
• Moderniseren van ICT-infrastructuur en regelmatig onderwerpen aan een DRA (diepgaande risicoanalyse) waarbij nieuwe of aangepaste programmatuur grondig wordt getest voor implementatie.

5. Uitlekken van vertrouwelijke informatie
Op basis van de Meldplicht Datalekken zijn organisaties die privacygevoelige gegevens opslaan en/of verwerken, verplicht om een datalek bij de Autoriteit Persoonsgegevens te melden als er sprake is van mogelijke risico’s voor de betrokkenen. Het begrip datalek is hierbij breed gedefinieerd. Voorbeelden van een potentieel datalek zijn onder andere een verloren USB-stick of laptop, ongeoorloofde toegang tot systemen met persoonsgegevens of het versturen van een email met privacygevoelige gegevens naar een onjuiste persoon.
Het niet melden van dergelijke incidenten kan naast eventuele schadeclaims van derden ook leiden tot boetes van de toezichthouder. Dit geldt ook voor het niet of onvoldoende inlichten van betrokkenen, of onvoldoende zorgvuldige beveiliging van en omgang met privacygevoelige informatie. Onder de Europese AVG kunnen maximale boetes worden opgelegd tot (theoretisch) € 20.000.000 of 4% van de jaaromzet. De organisatie heeft het afgelopen jaar geïnvesteerd in de kennis en in het bewustzijn van de medewerkers hierover.

6. Vliegbasis Soesterberg; Woonwijk hogere plankosten
Op een deel van de voormalige vliegbasis Soesterberg ontwikkelen we samen met de gemeenten Zeist en Soest en Utrechts Landschap een nieuwe duurzame woonwijk. Deze woonwijk bevindt zich in de planontwikkelingsfase. In de woonwijk is een PFOS-verontreiniging geconstateerd. Naast onderzoek naar saneringstechnieken is ook onderzoek uitgevoerd naar de verontreiniging in de bodem en het grondwater. Met het Rijk hebben we de afgelopen tijd onderhandeld om afspraken te maken over het kostenverhaal van de benodigde sanering. De komende periode worden hiertoe afspraken schriftelijk vastgelegd.
De complexiteit omtrent de PFOS-sanering, maar ook diverse te doorlopen juridische procedures zorgen voor vertraging in de uitvoeringsplanning. Het gevolg hiervan is dat het realiseren van de woonwijk in fases wordt uitgevoerd (besluit Provinciale Staten van november 2021). Door de nog aanwezige onzekerheden in diverse juridische procedures, de planning rondom de sanering en het finaal afhechten van het kostenverhaal met het Rijk is er een verhoogd risico voor hogere plankosten van het project. Het risico op kostenoverschrijding is opgenomen in de risicoanalyse.

7. Hart van de Heuvelrug, Vliegbasis Soesterberg; wijziging bomenbalans
Voor de bomenbalans HvdH zijn in 2008 al 21 hectares bomen aangeplant, vooruitlopend op de rode ontwikkelingen. Volgens de Wet Natuurbescherming (2017) kan herplanting pas plaatsvinden nadat er gekapt is. Om de al aangeplante hectares in lijn te brengen met de wet Natuurbescherming wordt een ontheffing aangevraagd (met terugwerkende kracht) om de aanplant als compensatie aan te merken. De aanplant is namelijk wel in lijn met de strekking van de wet Natuurbescherming (geen afname van areaal bos/bomen), maar niet volgens de letter van de wet. De ontheffing is een juridisch novum en daarmee risicovol. Mogelijk wordt hiertegen bezwaar gemaakt.

8. Baggerdepot oostelijke Vechtplassen
Het baggerdepot op de huidige locatie is strijdig met de provinciale regelgeving, specifiek artikel 6.45 lid b van de Interim Omgevingsverordening (IOV). Gedeputeerde Staten hebben besloten de vergunning te verlenen op basis van de hardheidsclausule IOV. Dit gebeurt na integrale afweging van provinciale belangen. De realisatie van het baggerdepot weegt met het oog op de te revitaliseren natuur Kaderrichtlijn water en recreatie zwaarder dan de (tijdelijke) verstoring van de ganzen in het ganzenrustgebied. Zo kan het gebiedsakkoord Oostelijke Vechtplassen worden uitgevoerd. Het depot mag niet langer dan drie jaar op de huidige locatie aanwezig zijn en na afronding van het baggerproject moet de functionaliteit als ganzenrustgebied worden hersteld. Daarnaast moet compenserend areaal ganzenrustgebied worden aangewezen, zodat de winterrust voldoende kan worden gegarandeerd. Zo voldoen we aan de afspraken uit de Utrechtse uitwerking van het Ganzenakkoord. Het opgenomen risico bestaat uit het juridisch sneuvelen van de vergunning (door bezwaar/beroep). Daardoor wordt uiteindelijk ook schade geleden bij andere onderdelen van het gebiedsakkoord, die als gevolg van het sneuvelen van de vergunning niet kunnen worden uitgevoerd met het baggerdepot op de huidige locatie (en de te maken kosten in de daaropvolgende zoektocht naar een alternatieve locatie). Vooral de borging van compenserend areaal is zeer belangrijk. Dit geldt expliciet in de maand maart, wanneer de eerste ontheffingen beheer en schadebestrijding gebruikt mogen worden (en er dus op standganzen geschoten wordt in de rest van de provincie). Dit komt omdat juist dan de functionaliteit als ganzenrustgebied voor de trekganzen cruciaal is. Deze beheersmaatregel is ecologisch en juridisch van grote waarde, ook om aan de voorwaarden van de Utrechtse uitwerking van het Ganzenakkoord te kunnen voldoen

9. Tegenvallend fondsrendement ROM
De provincie Utrecht heeft in totaal € 16 miljoen gestort als aandelenkapitaal in de ROM Regio Utrecht voor financiële ondersteuning aan startups, scale-ups en innovatief MKB. Hiervoor is € 4 miljoen toegevoegd aan het weerstandsvermogen, gezien de aanname van het risico op basis van ervaringscijfers bij andere ROM’s die veelal een risicopercentage hanteren van 25%.
De ROM monitort en rapporteert op kwartaalbasis de performance van het gehele portfolio van het participatiefonds. Dat levert voor hen tot op heden geen redenen om een voorziening op te nemen waardoor zij vooralsnog uitgaan van het revolverende karakter van het fonds. In deze monitoring worden macro economische ontwikkelingen niet meegenomen. Gezien de huidige situatie op de kapitaalmarkt wordt het overall risico zeker niet lager.
Onze huidige risico-inschatting blijft 25% mede omdat de aannames voor de bepaling van dit percentage niet gewijzigd zijn. Voor de meer risicovolle fondsen binnen de ROM, zoals het POC-fonds en VVF-fonds, lopen wij geen risico omdat wij de fondsstortingen als lasten in de exploitatie nemen.

10. Hart van de Heuvelrug, project Oude Tempel; grondopbrengsten

Oude Tempel is één van de projecten van het programma Hart van de Heuvelrug. In dit programma zijn de projecten onderverdeeld in trekkerschap tussen Zeist, Soest en de provincie Utrecht. De provincie is voor dit programma financieel eindverantwoordelijk. Dat is vastgelegd in de samenwerkingsovereenkomst Hart van de Heuvelrug in 2015. De gemeente Soest is trekker van het project Oude Tempel.

Er is een verkaveling opgesteld. Mocht er ontheffing verleend worden in het kader van de Wet natuurbescherming, dan kunnen er extra kavels worden uitgegeven aan de oostzijde. Dit leidt tot extra inkomsten waarmee nu geen rekening is gehouden.