3.2 Weerstandsvermogen en risicobeheersing

De inventarisatie van risico’s leverde in totaal 144 risico’s op. Deze zijn opgenomen in ons risicomanagementsysteem. Van de 144 hebben 97 risico’s een financieel effect. Het totaalbedrag waarover we risico lopen bedraagt momenteel € 192,9 miljoen. Het is onwaarschijnlijk dat alle opgenomen risico’s zich tegelijkertijd voordoen. Daarom wordt jaarlijks een Monte Carlo-analyse uitgevoerd waarbij statistisch met 90% (landelijke norm) wordt berekend wat het benodigde weerstandsvermogen is. Hieruit blijkt dat € 20,9 miljoen voldoende is om alle risico's op te vangen.

In het onderstaande overzicht presenteren we de top 10 van het aantal risico's. Dit zijn de risico’s met de hoogste impact op het benodigd weerstandsvermogen. Deze risico’s zijn samen goed voor ongeveer 61% van de berekende omvang van het benodigd weerstandsvermogen. De Financiële Klasse is bepaald op het maximaal financieel risico. Als het verwachte financieel gevolg bekend is, is dat ingevuld onder financieel gevolg. Zo niet, dan is het maximale financieel gevolg ingevuld.

In onderstaande tabel staan tevens 3 risico's van het programma Hart van de Heuvelrug/ Vliegbasis Soesterberg opgenomen. We informeerden u over het volledige risicoprofiel van het programma Hart van de Heuvelrug/ Vliegbasis Soesterberg bij de actualisatie van de grondexploitaties 2024 in maart 2024.

Effect herijking provinciefonds op de begroting
Vermoedelijk voert het nieuwe kabinet een nieuw verdeelmodel voor het provinciefonds in. Wij zijn naar verwachting een nadeelprovincie. Dit betekent dat wij op termijn een lagere uitkering ontvangen uit het provinciefonds. Het nadeel is berekend op ongeveer € 20 miljoen. Bij de invoering zal waarschijnlijk ook een ingroei pad bepaald worden. In de Kaderbrief 2024-2027 is uit voorzichtigheid uitgegaan van een periode van 4 jaar met een ingroei van 25% per jaar. Echter, het daadwerkelijke verloop van de ingroei is onzeker. Daarom is er een risico opgevoerd in het provinciaal risicomanagementsysteem.

Garantiefonds Energie

Voor het stimuleren van de energietransitie maken we gebruik van het Energiefonds. Stichting Energietransitie Utrecht (SETU) beheert dit fonds. Wij gaven een borgstelling van maximaal € 16 miljoen af voor SETU, waardoor zij datzelfde bedrag konden lenen. Zij verstrekken daarvan leningen aan projecten die een bijdrage leveren aan de energietransitie maar elders niet gefinancierd kunnen worden. Er is tot nu toe geen beroep op het weerstandsvermogen gedaan. Aan het einde van het vierde kwartaal 2023 is het risico-op de uitstaande financieringen gedaald van 7,3% naar 3,5% van het totaal aan uitstaande leningen binnen het provinciale deel van het fonds. Sinds de start van het fonds zette SETU € 19,2 miljoen aan leningen uit. Daarvan is € 9,5 miljoen afgelost. Het actuele saldo van de uitstaande leningen steeg van € 8,6 miljoen naar € 9,7 miljoen. Er is nog € 6,3 miljoen voor leningen beschikbaar.

Er vindt een cyberincident plaats
Er is een reële kans dat wij worden geconfronteerd met een cyberincident, zoals een hack, ransomware aanval of inbraak. Wij kunnen dit, ondanks getroffen beheersmaatregelen, niet helemaal voorkomen. De dreigingsbeelden van Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) en Nationaal Cyber Security Centrum (NCSC) geven aan dat dreigingen vanuit criminaliteit en ook vanuit statelijke actoren weer toegenomen zijn. Onze inzet is bedoeld om de kans dat een cyberincident gebeurt te verminderen en de impact bij een incident te beperken.

Wij zijn sinds januari 2023 aangesloten bij het interprovinciaal Information Sharing and Analysis Center (IP-ISAC). Dit is een sectoraal overleg over cybersecurity. In een ISAC wordt een vertrouwde omgeving gecreëerd met organisaties uit dezelfde sector. Het doel is om gevoelige en vertrouwelijke informatie over incidenten, dreigingen, kwetsbaarheden, maatregelen en leerpunten op het gebied van cybersecurity te delen. Het doel van het IP-ISAC is om door uitwisseling van kennis en ervaring de digitale weerbaarheid van de provincie te verhogen. Verder besloten alle provincies en BIJ12 eind 2023 om aan te sluiten bij NCSC als nationaal Cyber Security Respons Team (CSIRT). Door samenwerking tussen de provincies en de diensten vanuit NCSC, wordt dreigingsinformatie sneller ontvangen en ontstaat een (beter) situationeel beeld van de potentiële dreigingen. We kunnen aanvallen eerder detecteren, risico-inschattingen verbeteren en effecten van mitigerende maatregelen beter beoordelen.

Uitlekken van vertrouwelijke informatie
De Meldplicht Datalekken zorgt ervoor dat organisaties die privacygevoelige gegevens opslaan en/of verwerken, verplicht zijn om een datalek bij de Autoriteit Persoonsgegevens te melden als er mogelijk risico’s voor de betrokkenen zijn. Het begrip datalek is hierbij breed gedefinieerd. Voorbeelden van een potentieel datalek zijn onder andere een verloren USB-stick of laptop, ongeoorloofde toegang tot systemen met persoonsgegevens of het versturen van een email met privacygevoelige gegevens naar een onjuiste persoon.

Het niet melden van dergelijke incidenten kan naast eventuele schadeclaims van derden ook leiden tot boetes van de toezichthouder. Dit geldt ook voor het niet of onvoldoende inlichten van betrokkenen, of onvoldoende zorgvuldige beveiliging van en omgang met privacygevoelige informatie. Onder de Europese AVG kunnen maximale boetes worden opgelegd tot (theoretisch) € 20 miljoen of 4% van de jaaromzet. De organisatie investeert blijvend in de kennis en in het bewustzijn van de medewerkers over dit onderwerp.

ICT- gerelateerde voorvallen
Door de toenemende digitalisering van ons werk neemt ook de afhankelijkheid van IT-middelen en services toe. Uitval of het niet beschikbaar zijn van IT-middelen en services heeft een grote impact op de continuïteit van onze werkzaamheden en onze bedrijfsvoering. We monitoren de beschikbaarheid van onze systemen dan ook continu en passen onze maatregelen daartoe aan. We hebben onder andere deze maatregelen actief:

• een (actueel) bedrijfscontinuïteitsplan;
• voldoende controle op toegang door autorisatie maatregelen (twee-factor authenticatie);
• zorgen voor uitwijkprocedures in overeenkomsten met leveranciers en hostingpartners en opvang bij stroomuitval (signalering en inschakelen experts bij uitval);
• moderniseren van ICT-infrastructuur en regelmatig onderwerpen aan een diepgaande risicoanalyse (DRA), waarbij nieuwe of aangepaste programmatuur grondig wordt getest voor implementatie.

Vliegbasis Soesterberg, project Woonwijk: grondopbrengst wordt lager door imagoschade PFAS-verontreiniging.
Op de voormalige vliegbasis troffen we een PFAS verontreiniging aan. We stellen een saneringsplan op voor de bodemsanering en ter bescherming van het grondwater. Na de sanering is de locatie geschikt om te wonen. De sanering kan echter wel een smet werpen op het imago van het gebied, waardoor de woonlocatie minder gewild is en de grondopbrengsten dalen. Deskundigen kijken nu al op welke manier we open en transparant kunnen communiceren en de effecten van de sanering inzichtelijk kunnen maken voor de toekomstige bewoners.

Baggerdepot oostelijke Vechtplassen
Het baggerdepot op de huidige locatie is in strijd met de provinciale regelgeving, specifiek artikel 6.45 lid b van de Interim Omgevingsverordening (IOV). GS besloten in 2023 de vergunning te verlenen op basis van de hardheidsclausule IOV. Dit gebeurde na een integrale afweging van provinciale belangen. De realisatie van het baggerdepot weegt met het oog op de te revitaliseren natuur, Kaderrichtlijn water en recreatie zwaarder dan de (tijdelijke) verstoring van de ganzen in het ganzenrustgebied. Zo kunnen we het gebiedsakkoord Oostelijke Vechtplassen uitvoeren. Het depot mag niet langer dan 3 jaar op de huidige locatie aanwezig zijn en na afronding van het baggerproject moeten we de functionaliteit als ganzenrustgebied herstellen. Daarnaast moeten we compenserend areaal ganzenrustgebied aanwijzen, zodat we de winterrust voldoende kunnen garanderen. Zo voldoen we aan de afspraken uit de Utrechtse uitwerking van het Ganzenakkoord. Het opgenomen risico bestaat uit het juridisch sneuvelen van de vergunning (door bezwaar/beroep). Daardoor wordt uiteindelijk ook schade geleden bij andere onderdelen van het gebiedsakkoord, die als gevolg van het sneuvelen van de vergunning niet kunnen worden uitgevoerd met het baggerdepot op de huidige locatie (en de te maken kosten in de daaropvolgende zoektocht naar een alternatieve locatie). Vooral de borging van compenserend areaal is zeer belangrijk. Dit geldt expliciet in de maand maart, wanneer de eerste ontheffingen beheer en schadebestrijding gebruikt mogen worden (en er dus op standganzen geschoten wordt in de rest van de provincie). Dit komt doordat juist dan de functionaliteit als ganzenrustgebied voor de trekganzen cruciaal is. Deze beheersmaatregel is ecologisch en juridisch van grote waarde, ook om aan de voorwaarden van de Utrechtse uitwerking van het Ganzenakkoord te kunnen voldoen

Tegenvallend fondsrendement ROM
Het risico is dat het Participatiefonds onvoldoende revolveert om het fonds in stand te houden. We hebben in totaal € 16 miljoen gestort als aandelenkapitaal in de ROM Regio Utrecht. Dit is voor financiële ondersteuning aan startups, scale-ups en innovatief midden- en kleinbedrijf (mkb). Als beheermaatregel voegden we € 4 miljoen toe aan het weerstandsvermogen. Dit op basis van ervaringscijfers bij andere ROM’s die veelal een risicopercentage hanteren van 25%. Ook is afgesproken dat de ROM de performance van het gehele portfolio van het participatiefonds monitort en rapporteert op kwartaalbasis.   

Onze huidige risico-inschatting blijft 25% mede omdat de aannames voor de bepaling van dit percentage niet gewijzigd zijn. Voor de meer risicovolle fondsen binnen de ROM, zoals het proof of concept-fonds (POC-fonds) en vroegefase-fonds (VFF), lopen wij geen risico omdat wij de fondsstortingen als lasten in de exploitatie nemen. De revolverendheid van het Participatiefonds van de ROM is door het korte bestaan en de geringe omvang van de uitstaande investeringen op dit moment nog niet goed toetsbaar. Het zal nog een aantal jaar duren voordat we hier beter zicht op krijgen. Vooruitlopend daarop wordt de portefeuille van het fonds ieder kwartaal beoordeeld of een waarde-afschrijving noodzakelijk is en indien nodig een reservering voor opgenomen. Vanaf 2024 wordt daarnaast tweemaal per jaar een fair-value waardering uitgevoerd. Vanaf dat moment valt iets meer te zeggen over de waardeontwikkeling, alhoewel pas bij een verkoop van een belang het daadwerkelijke resultaat bekend is.

Hart van de Heuvelrug, project Oude Tempel: hogere opbrengst gronduitgifte
Oude Tempel is één van de projecten van het programma Hart van de Heuvelrug. In dit programma zijn de projecten onderverdeeld in trekkerschap tussen Zeist, Soest en ons, de provincie Utrecht. Wij zijn voor dit programma financieel eindverantwoordelijk. Dat is vastgelegd in de samenwerkingsovereenkomst Hart van de Heuvelrug in 2015. De gemeente Soest is trekker van het project Oude Tempel.

Er is een verkaveling opgesteld. Mocht er ontheffing verleend worden in het kader van de Wet natuurbescherming, dan kunnen we extra kavels uitgegeven aan de oostzijde. Dit leidt tot extra inkomsten, waarmee nu geen rekening is gehouden. Dit is een financiële kans in plaats van een risico.

Hart van de Heuvelrug, project Oude Tempel: hogere kosten bouw- en woonrijpmaken
In het project Oude Tempel is gekozen voor een natuurinclusieve ontwikkeling. Dit vraagt om een zorgvuldige inpassing van de aanwezige bomen en de huidige natuurwaarden in het gebied en een andere manier van bouw- en woonrijp maken ten opzichte van traditionele bouw. Dit leidt mogelijk tot hogere kosten.

^[1]  Poly- en perfluoralkylstoffen