3.2 Weerstandsvermogen en risicobeheersing

Er zijn vanuit de inventarisatie van risico’s in totaal 230 risico's geïdentificeerd en opgenomen in het risicomanagementsysteem van de provincie. Het totaal aantal risico’s is gestegen, voornamelijk doordat de frauderisico’s nu zijn opgenomen in het provinciebrede risicomanagementsysteem. Met deze stap lopen de frauderisico’s mee in het reguliere proces van risico-actualisatie. Daarnaast zijn bij de actualisatie van de risico’s nieuwe risico’s benoemd bij Hart van de Heuvelrug en het domein Bedrijfsvoering (cyberincident). Bij Hart van de Heuvelrug komt dit door een toename in risicobewustzijn, doordat risicomanagement het afgelopen jaar meer aandacht heeft gekregen en risicosessies zijn georganiseerd. Van de 230 hebben 108 risico’s een financieel effect. Het totaalbedrag waarover de provincie risico loopt (momentopname) bedraagt € 143,6 mln. Het is echter niet waarschijnlijk dat alle opgenomen risico’s zich tegelijkertijd voordoen.

Op basis van de Monte Carlo-analyse blijkt met een zekerheid van 90% (landelijke norm) dat een weerstandsvermogen van € 24,1 mln. voldoende is om alle risico’s op te vangen.

In het onderstaande overzicht wordt de top 10 van het aantal risico's gepresenteerd. Dit zijn de risico’s met de hoogste impact op het benodigd weerstandsvermogen. Deze risico’s zijn samen goed voor circa 62% van de berekende omvang van het benodigd weerstandsvermogen.

De risico's met betrekking tot de opbrengsten motorrijtuigenbelasting en de ontvangsten uit het Provinciefonds wordt niet op in bovenstaande tabel verwerkt. De wijzigingen in de opbrengsten worden verwerkt in de Begroting.

Hieronder worden de risico’s toegelicht, die zijn opgenomen in bovenstaande tabel en bepalend zijn voor het benodigd weerstandsvermogen.

Terugvallen van de reizigersopbrengsten in de concessie
De vervoerbedrijven verkeren door het coronavirus nog steeds in zwaar weer. Voor 2021 wordt het verlies van de vervoerbedrijven in belangrijke mate door het Rijk afgedekt via de “Regeling specifieke uitkering beschikbaarheidsvergoeding regionale OV-concessies (BVOV)”. Daarnaast heeft recentelijk het Rijk ook de regeling doorgetrokken tot in ieder geval 1 september 2022.

Toch blijft de business case onder druk staan omdat de reizigers aantallen fors lager zijn. Voor de periode 2022 tot en met 2025 heeft continuering van het openbaar vervoer de hoogste prioriteit. Daarvoor is het nodig dat er weer sprake is van een gezonde businesscase voor de vervoerbedrijven. De provincie creëert voor deze periode een transitieplan met uitgangspunten om tot een gezonde businesscase te komen. Onderdeel van het transitieplan is een aanzet tot aanpassingen in de concessies. Deze aanpassingen richten zich met name op kostenverlaging (onder andere door een langere concessieduur), op een al dan niet afschaling van de dienstregeling en op een herverdeling van de risico’s. Het transitieplan is gebaseerd op het herstel van de vervoervraag conform de landelijke scenario’s. De praktijk is echter weerbarstiger. Als de reizigersopbrengsten, om welke reden dan ook, in de jaren 2022 t/m 2025 achterblijven bij de prognoses ontstaat er een risico dat geheel of gedeeltelijk bij de provincie ligt.

Als die risico’s zich voordoen zal de provincie de tekorten die daardoor ontstaan moeten afdekken.

• Bij de U-OV concessie ligt het risico van derving reizigersopbrengsten contractueel bij de provincie.
• Syntus kan een beroep doen op de hardheidsclausule in het contract. De provincie zal financiële ondersteuning moeten bieden om de continuïteit van het openbaar vervoer te garanderen.

Door het blijven bestaan van deze risico’s blijft de mogelijke financiële impact substantieel hoog. De verlenging van de BVOV tot in 2022 is gunstig voor de provincie, maar voor een verlaging van het risico is het nog te vroeg omdat er nog te veel onzekerheden zijn. Bij de jaarrekening zal worden bekeken of tot een verlaging van het risico kan worden overgegaan. Dit als meer inzicht is in het herstel van de markt en de inhoud van het transitieplan.

Garantiefonds Energie
Voor het stimuleren van de energietransitie maken we gebruik van het Energiefonds (SETU). De provincie Utrecht heeft een borgstelling afgegeven voor SETU van maximaal € 16 mln., waardoor zij datzelfde bedrag konden lenen. Zij verstrekken daarvan leningen aan projecten die elders niet gefinancierd kunnen worden en een bijdrage leveren aan de energietransitie. Op dit moment is hiervan ongeveer € 5,5 mln. uitgezet. De bedoeling is dat met de aflossingen weer nieuwe leningen kunnen worden verstrekt. Om het risico op het niet kunnen terugbetalen van de leningen te kunnen beheersen is onder andere € 4 mln. in de reserve weerstandsvermogen gestort. 

Eind 2020 werd duidelijk dat door een faillissement een lening van ongeveer € 0,4 mln. niet kan worden terugbetaald, hiervoor is een voorziening gevormd omdat de aflossing van de lening door SETU pas aan het eind van de looptijd plaatsvindt. 

Er vindt een cyberincident plaats
Een onderdeel van het toerusten van de organisatie op het gebied van informatieveiligheid en privacy is het vastleggen van een aantal uitgangspunten en het bieden van een handelingsperspectief voor het geval zich bij onze organisatie een cyberincident voordoet. In het geval van cyberincidenten zijn er preventieve en reactieve maatregelen.

Preventieve maatregelen worden en zijn in de organisatie doorgevoerd om te voorkomen dat een dergelijk incident gebeurt. Het is echter onmogelijk om dit volledig te voorkomen; de inzet is de kans dat het gebeurt te verminderen. Hier wordt doorlopend veel aan gedaan, op technisch, organisatorisch (awareness, opleiding, communicatie) en procedureel (leveranciers-procedures, beleid) vlak. Reactieve maatregelen richten zich op hoe te handelen wanneer een cyberincident of een digitale aanval op onze organisatie zich heeft voorgedaan. Het gaat hierbij om het detecteren, reageren, beperken en herstellen van de eventuele schade.

Het plaatsvinden van een cyberincident wordt toegevoegd, als mogelijke calamiteit, aan het bestaande Bedrijfscontinuïteitsplan. Daarnaast wordt er een Computer Emergency Response Team (CERT) ingesteld, met duidelijke afspraken over de te zetten stappen en de verdeling van de verantwoordelijkheden in het geval van deze calamiteit. Snel handelen is hierbij namelijk van groot belang.

In de tweede helft van 2021 zal een cyberincident gesimuleerd worden om op heel praktische wijze te oefenen met de respons op een dergelijke situatie.

Hart van de Heuvelrug: Project Apollo Noord
Oude Tempel is een van de projecten van het programma Hart van de Heuvelrug. In dit programma zijn de projecten onderverdeeld in trekkerschap tussen gemeenten Zeist, Soest en de provincie Utrecht. De provincie is voor dit programma financieel eindverantwoordelijk. Dat is vastgelegd in de samenwerkingsovereenkomst Hart van de Heuvelrug in 2015. Het bestemmingsplan Oude Tempel is begin 2019 vernietigd door de Raad van State. Zij heeft aangegeven dat de onderbouwing op de punten verkeer, geluid en landschappelijke- en cultuurhistorische waarden onvoldoende was. Gemeente Soest heeft de onderzoeken voor deze onderbouwingen opnieuw gedaan en een aangepast bestemmingsplan door de gemeenteraad laten vaststellen. Ook hiertegen is beroep aangetekend bij de Raad van State. De zitting van RVS is gepland op 7 oktober 2021. De uitspraak wordt niet eerder verwacht dan eind van dit jaar

Vliegbasis Soesterberg: Project Woonwijk
Op een deel van de voormalige vliegbasis ontwikkelen we samen met de gemeenten Zeist en Soest en Utrechts Landschap een nieuwe duurzame woonwijk. De woonwijk past qua sfeer en beleving in het bijzondere landschap. Deze woonwijk bevindt zich in de planontwikkelingsfase. Door de aanwezige PFOS-verontreiniging is er onderzoek gedaan naar saneringstechnieken.

Er is tot op zekere hoogte rekening in de grondexploitatie gehouden met de eventuele financiële gevolgen (€ 1,0 mln. bijdrage en extra plankosten als gevolg van vertraging). Dit kan hoger uitpakken. We onderzoeken op welke manier deze verontreiniging gesaneerd kan worden. Daarnaast onderhandelen we met Defensie over de verdeling van kosten voor de sanering.  Dit wordt in het najaar 2021/voorjaar 2022 verwacht. De provincie hanteert bij de onderhandelingen het uitgangspunt dat de partij verantwoordelijk voor de vervuiling ook de partij is die de saneringskosten draagt binnen de gemaakte privaatrechterlijke afspraken en het publiekrechterlijk spoor van kostenverhaal binnen de Wet bodembescherming. Bij deze laatste is in januari 2021 door een uitspraak van de Raad van State de beschikking van ernst en spoed van de verontreiniging van de woonwijk in stand gebleven en onherroepelijk.   

Hart van de Heuvelrug Project Apollo Noord: Kans hogere kosten bouw- en woonrijpmaken
Er bestaat een aanzienlijke kans op hogere kosten bouw- en woonrijp maken omdat de ambitie is om een woongebied te creëren in een bosrijke omgeving. Er moet voorzichtiger te werk worden gegaan met het bouw- en woonrijp maken in een bosrijke omgeving met behoud van cultuurhistorische elementen en bomen. Dat vraagt meer maatwerk. Het risico is dat dit meer geld (€ 1.400.000 = 20% van de totale bouw- en woonrijpmaken) kost dan nu geraamd.

Hart van de Heuvelrug Sortie 16: Grondopbrengsten lager dan begroot
De gebiedsvisie voor Sortie 16 is in januari 2021 opgesteld. Als gevolg van marktomstandigheden kunnen de grondopbrengsten lager uitvallen dan op dit moment in de grondexploitatie is opgenomen. Dit kan het resultaat negatief beïnvloeden. Voor het gebied is een gedifferentieerd woningbouwprogramma opgesteld. Binnen dit programma zit nog marges om wijzigingen aan te brengen om zo goed mogelijk aan te sluiten op marktontwikkelingen.

Uitlekken van vertrouwelijke informatie
Op basis van de Meldplicht Datalekken zijn organisaties, die privacygevoelige gegevens opslaan en/of verwerken, verplicht om een datalek bij de Autoriteit Persoonsgegevens te melden. Het begrip datalek is hierbij breed gedefinieerd. Voorbeelden van een potentieel datalek zijn onder andere een verloren USB-stick of laptop, ongeoorloofde toegang tot systemen met persoonsgegevens of het versturen van een email met privacygevoelige gegevens naar een onjuiste persoon.

Het niet melden van dergelijke incidenten kan naast eventuele schadeclaims van derden, ook leiden tot boetes van de toezichthouder. Dit geldt ook voor het niet of onvoldoende inlichten van betrokkenen, of onvoldoende zorgvuldige beveiliging van en omgang met privacygevoelige informatie.

Sinds mei 2018 is de Nederlandse wetgeving vervangen door Europese regelgeving. Deze stelt nog strengere eisen en kan vanaf dat moment maximale boetes opleggen tot € 20 mln. De inschatting van de impact is nog lastig, omdat het onderwerp relatief nieuw is. De nodige maatregelen en acties zijn geïnitieerd die nodig zijn om te voldoen aan de nieuwe Europese regelgeving. Hiertoe worden door de provincie de nodige investeringen gedaan en mensen en middelen.

(OV-Projecten) Scopewijzigingen
De ervaring leert dat tram/ov-projecten een hoog risicoprofiel kennen. Recentelijke projecten hebben uitgewezen dat er een aanvullende buffer voor onverwachte gebeurtenissen wenselijk is. Het investeringsvolume rondom dergelijke projecten neemt af waardoor logischerwijs dit risico op termijn zal afnemen.

Hart van de Heuvelrug Project Apollo Noord: Hogere grondopbrengsten
De eventuele hogere grondopbrengst HvdH Apollolaan is geen risico, maar een kans. De eventuele hogere opbrengsten hebben geen effect voor de algemene middelen, omdat de grondexploitaties van het programma Hart van de Heuvelrug en Vliegbasis Soesterberg een gesloten systeem zijn: investeringen worden bekostigd door de toekomstige opbrengsten binnen het programma HvdH en project VBS. Het programma en project komen derhalve niet ten laste van de algemene middelen.