4.1 Introductie
In dit hoofdstuk worden de belangrijkste resultaten van zowel het jaarverslagonderzoek (paragraaf 4.2) als de afgenomen interviews (paragraaf 4.3) besproken. In paragraaf 4.4 worden de belangrijkste overeenkomsten en verschillen tussen het jaarverslagonderzoek en de interviews behandeld. Voor de volledige analyse van de uitkomsten van het jaarverslagonderzoek en de interviews wordt verwezen naar bijlage 4 van dit onderzoek.
4.2 Belangrijkste resultaten van het jaarverslagonderzoek
De Avans hogeschool scoort, van de 38 in het onderzoek betrokken hogescholen, het beste op het jaarverslagonderzoek in zowel 2008 als 2009. Dit is te zien in figuur 4 op pagina 54. De Design Academy Eindhoven heeft met een verbetering van 12 punten van het totaal te behalen aantal van 74 punten, de meeste verbetering in haar jaarverslag van 2009 aangebracht ten opzichte van het jaarverslag van 2008. Gezien de verwachting dat veel hogescholen een behoorlijke verbetering in hun risicoverslaggeving zouden laten zien, is het teleurstellend dat alleen de Design Academy een verbetering van meer dan 10 punten heeft gerealiseerd.
Alle 38 hogescholen hebben hun belangrijkste doelstellingen in het jaarverslag opgenomen en toegelicht. Figuur 11 op pagina 61 laat zien dat 24 van de 38 hogescholen hun doelstellingen in meerdere of mindere mate beschrijven. 14 van de 38 hogescholen beschrijven hun doelstellingen zelfs uitgebreid in het jaarverslag van 2009. Hogescholen rapporteren in de meeste gevallen over strategische doelstellingen. Verder rapporteren alle hogescholen over de aanwezigheid van een Raad van Toezicht in het jaarverslag.
Meer dan de helft van de hogescholen geeft in het jaarverslag van 2008 en 2009 informatie over het kwaliteitszorgsysteem. Dit geldt ook voor informatie over uitgevoerd toezicht, de belangrijkste risico‟s en informatie omtrent interne beheersmaatregelen. De mate waarin hogescholen informatie verschaffen over de voorgaande elementen verschilt tussen hogescholen. Waarbij moet worden opgemerkt dat de meeste hogescholen de elementen noemen maar dat een duidelijke toelichting bij de risico-elementen vaak ontbreekt. Dat slechts 10 van de 38 hogescholen hun belangrijkste risico‟s in meerdere of mindere mate hebben beschreven in het jaarverslag, is opvallend weinig gezien de verplichting tot rapportage volgens RJ 400.
De Hotelschool in den Haag is een voorbeeld van een hogeschool die 2 punten (maatregelen genoemd) scoorde op de vraag in welke mate de hogeschool rapporteert over getroffen beheersmaatregelen:
“Om 2009 toch op minimaal break even af te sluiten heeft het College van Bestuur in overleg met het midden management een aantal maatregelen genomen om de kostenoverschrijdingen drastisch terug te dringen.”
De Avans Hogeschool scoorde als enige hogeschool 3 punten op de vraag over de mate waarin de risico‟s van de hogeschool in het jaarverslag zijn beschreven. Hieronder is de informatie over één van de beschreven risico‟s weergegeven.
“De veelheid van initiatieven binnen Avans Hogeschool en de strakke wet- en regelgeving, waaraan de hogeschool zich moet houden, maken het compliant zijn bijzonder risicovol. In 2009 is extra aandacht besteed aan compliance binnen Avans Hogeschool. Een contracten register is inmiddels operationeel als opmaat voor een breed project wat zowel inzicht moet geven in wie voor welke wet- en regels verantwoordelijk is als voor de wijze waarop dit inzicht actueel kan blijven binnen Avans Hogeschool.”
Uit het jaarverslagonderzoek komt verder naar voren dat hogescholen de risico-informatie over het algemeen niet overzichtelijk weergeven in het jaarverslag. Informatie over onder andere de genomen beheersmaatregelen, de belangrijkste risico‟s en het kwaliteitszorgsysteem is vaak verspreid over verschillende plaatsen in het jaarverslag.
Figuur 6 op pagina 56 geeft aan dat de risicoparagraaf in 2009 bij bijna de helft van de hogescholen onderdeel uitmaakt van het jaarverslag. De risicoparagraaf van de NHL hogeschool bevat onder meer de volgende informatie:
“De NHL heeft een eigen Governancecode vastgelegd. Op basis hiervan is besloten om het risicomanagement structureel aan te pakken. De Raad van Toezicht stelde in 2009 daarom een auditcommissie in die onder meer toezicht moet houden op de ontwikkeling en werking van interne risicobeheersings- en controlesystemen.” “De nadruk lag op de verbetering van de planning- en controlecyclus en de invoering van nieuwe onderwijsregistrerende softwarepakketten. In 2010 zal NHL Hogeschool het risicomanagement op het gebied van ondersteunende processen, financiën en onderwijsondersteuning verder uitwerken.”
“De grootste risico‟s voor de NHL de komende jaren zijn de ontwikkeling van de liquiditeit en de mogelijke bezuinigingen van de overheid. De liquiditeit wordt vanuit de jaarprognose zorgvuldig per maand gepland met behulp van het liquiditeitsmodel.”
Hogescholen nemen in hun jaarverslag weinig informatie op over het interne beheersingsysteem. Uit figuur 14 op pagina 65, blijkt dat 16 van de 38 hogescholen in 2009 informatie hebben opgenomen over het risicomanagementsysteem. Hier vallen zowel hogescholen onder die het systeem alleen noemen, als hogescholen die het systeem noemen en daarnaast ook beschrijven. Slechts 5 van de 38 hogescholen hebben in het jaarverslag van 2009 hun risicomanagementsysteem in meerdere of mindere mate beschreven. Het resultaat bij deze vraag komt overeen met het resultaat van het onderzoek van Vos et al. (2010). Vos et al. (2010) geven aan dat minder dan 40 procent van de universiteiten, hogescholen en voortgezet onderwijsinstellingen informatie over het aanwezige risicomanagementsysteem opnemen in het jaarverslag. In dit onderzoek neemt 42 procent van de hogescholen hier informatie over op.
Ook verbeteringen in het risicomanagementsysteem worden nog lang niet altijd in het jaarverslag van de desbetreffende hogeschool opgenomen. Al is er wel een toename in rapportage over verbeteringen in het risicomanagementsysteem te zien in het jaarverslag van 2009 ten opzichte van het jaarverslag van 2008. In 2008 verstrekken 7 hogescholen informatie over verbeteringen in het risicomanagementsysteem, terwijl er in 2009 al 12 hogescholen zijn die informatie over de aangebrachte verbeteringen in het jaarverslag opnemen. Een soortgelijke verbetering is ook waar te nemen bij de rapportage over uitgevoerd toezicht met betrekking tot risicomanagement. In 2008 hebben 14 hogescholen in hun jaarverslag informatie verstrekt over uitgevoerd toezicht met betrekking tot risicomanagement. In 2009 zijn er 20 hogescholen die hier informatie over opnemen in het jaarverslag.
Over de functies en verantwoordelijkheden wordt in de jaarverslagen van hogescholen nog zelden informatie verstrekt. 5 van de 38 hogescholen nemen informatie op over de functies en verantwoordelijkheden met betrekking tot risicomanagement. Alleen de Hogeschool Utrecht heeft beknopt beschreven welke verantwoordelijkheden er binnen de hogeschool zijn in relatie tot risicomanagement. Deze informatie is hieronder weergegeven:
“Interne beheersing is primair de verantwoordelijkheid van het lijnmanagement. Daarnaast wordt op allerlei plekken in de organisatie nagedacht over mogelijke risico‟s die het behalen van de organisatiedoelstellingen bedreigen en worden vervolgens beheersmaatregelen ingericht en uitgevoerd om deze risico‟s te beheersen. Dit krijgt vooral in grote projecten zoals de nieuwbouw in Amersfoort en in het Sirius-project veel aandacht.”
Vraag 2 van het jaarverslagonderzoek betreft de volgende: “In welke mate wordt de risicohouding toegelicht in het jaarverslag?” Slechts drie hogescholen noemen in het jaarverslag hun risicohouding. Geen van de 38 hogescholen geeft uitleg over de risicohouding. Dit resultaat is erg teleurstellend. Ten eerste zijn hogescholen volgens RJ 660 verplicht hun houding ten opzichte van risico‟s op te nemen in het jaarverslag. Ten tweede blijkt uit de vijf afgenomen interviews dat alle hogescholen een plan voor risicomanagement hebben opgesteld en dit plan in drie van de vijf gevallen ook al gedeeltelijk hebben uitgevoerd. De geïnterviewde hogescholen
hebben wel een risicohouding bepaald, maar ze hebben hier geen informatie over verstrekt in het jaarverslag. Uit de resultaten van deze vraag blijkt dat er op dit punt nog veel verbetering in verslaglegging mogelijk is.
Slechts 4 hogescholen hebben een in-control verklaring opgenomen in het jaarverslag van 2009. Dit is niet opmerkelijk gezien het feit dat hogescholen risicomanagement nog niet geheel hebben geïmplementeerd. Een klein aantal hogescholen geeft in het jaarverslag aan rond 2011-2013 een in-control verklaring te willen gaan opnemen in het jaarverslag. Ook drie van de vijf geïnterviewde hogescholen geven aan dat zij rond 2011-2012 een in-control verklaring willen gaan afgeven in het jaarverslag. Dit is een positief vooruitzicht, wat erop duidt dat hogescholen het belang van risicomanagement inzien en ook verdere verbeteringen in het huidige risicomanagement gaan aanbrengen.
Een gedeelte van de in-control verklaring van Hogeschool van Hall Larenstein, die samen met de universiteit van Wageningen een jaarverslag publiceert, volgt hierna.
“Alles overziend is de Raad van Bestuur van mening dat het systeem van interne sturing van Wageningen UR met de risicobeheersings- en controlesystemen in 2009 afdoende heeft gewerkt. De werkprocessen worden zodanig beheerst dat de organisatie in voldoende mate effectief en efficiënt heeft geopereerd. Naar onze mening is de jaarverantwoording betrouwbaar en is de geldende wet- en regelgeving nageleefd.”
4.3 Belangrijkste resultaten van de interviews
De geïnterviewde hogescholen geven alle vijf aan dat zij het belangrijk vinden om risico‟s te managen zodat zij hun doelstellingen kunnen bereiken. Een belangrijke doelstelling voor hogescholen is het leveren van kwalitatief goed onderwijs. Belanghebbenden worden op verschillende manieren betrokken bij de hogeschool, zij kunnen bijvoorbeeld deelnemen aan een Medezeggenschapsraad en tevredenheidsonderzoeken. Een geïnterviewde van een hogeschool zei het volgende.
“Het mooiste vehicle vind ik zelf „een broodje met‟ de Raad van Bestuur of het MT waarin een aantal mensen worden uitgenodigd om gewoon eens een aantal vragen te stellen.”
Geen van de vijf geïnterviewde hogescholen beschikt op dit moment over een adequaat risicomanagementsysteem in de organisatie. De geïnterviewde hogescholen geven aan dat bewustwording omtrent risicomanagement op dit moment een belangrijke rol speelt. Eén hogeschool geeft dit als volgt aan.
“Uiteindelijk staat of valt risicomanagement toch bij een stuk cultuur, een stuk bewustzijn. En dat zijn ook geen dingen waar je knopjes voor hebt, dat duurt even. Uiteindelijk moet het risicomanagement, zo simpel is het, ook in de klas plaatsvinden.”
De functies binnen de hogeschool die bij vier van de vijf hogescholen op dit moment voornamelijk bij risicomanagement worden betrokken zijn, het bestuur, de hogere managementlaag en de toezichthoudende commissies. Eén hogeschool geeft aan dat naast de genoemde functies ook andere personen lager in de organisatie al bij het risicomanagement worden betrokken. Bij de andere hogescholen komt dit ook langzamerhand.
“Je ziet een soort druppeleffect door de organisatie heen.”
Alle vijf hogescholen hebben een plan voor risicomanagement opgesteld. Drie van de vijf hogescholen hebben dit plan ondertussen in meerdere of mindere mate uitgevoerd. Zij zijn dus al verder met de implementatie van risicomanagement dan de andere twee hogescholen. De geïnterviewde hogescholen zijn op dit moment vooral bezig om verbeteringen in risicomanagement aan te brengen. De hogeschool die van de vijf geïnterviewde hogescholen het verst is met de implementatie van risicomanagement, geeft het volgende aan over haar risicomanagementsysteem.
“We updaten in ieder geval jaarlijks ons risicoprofiel, daarvoor spreken wij met een aantal stakeholders in de organisatie. In ieder geval het CvB en een aantal directeuren. Daarnaast gebruiken we studentenquêtes en medewerkerstevredenheidonderzoeken ook als input. Om te kijken of daar nog grote dingen in zitten, die strategische risico‟s kunnen zijn of kunnen worden. Op basis daarvan evalueren we ons risicoprofiel, vullen we aan, halen we er dingen uit waarvan we zeggen dat is niet meer aan de orde. En van daaruit vindt eigenlijk ook een terugkoppeling plaats in de P&C cyclus, waarin we aangeven dat die onderwerpen nadrukkelijker aan de orde moeten komen in het P&C proces.”
De hogescholen waar een interview is afgenomen geven over het algemeen aan dat zij een top 5 of ander overzicht met de belangrijkste risico‟s samenstellen of willen gaan samenstellen. Twee hogescholen hebben op dit moment al een top 7 belangrijkste risico‟s opgesteld. Een andere hogeschool geeft aan op de volgende wijze een risico-overzicht te gaan samenstellen.
“We maken ook gebruik van wat andere hogescholen al doen. We hoeven het wiel natuurlijk ook niet opnieuw uit te vinden. In het risicoregister is een lijst met een 20-tal benoemde risico‟s opgenomen. Daar staan een aantal dingen achter zoals het jaar van opname, definitie, acties, maatregelen, kwantificering. Daarnaast komt er een top 5 van risico‟s, met de bijbehorende scenario‟s. En een risicorapportage, dat is het rapport van de top 5 risico‟s. Hoe zijn we daar mee omgegaan, wat zijn de voortgangen, wat zijn de bevindingen. Uiteindelijk gaat het erom dat het materiaal zo actueel mogelijk wordt gehouden.”
Risicoanalyses worden op dit moment nog niet gestructureerd uitgevoerd. Hogescholen gaan deze analyses wel gestructureerd uitvoeren als zij het risicomanagement verder hebben ingebed in de organisatie. Dit komt ook naar voren in de jaarverslagen van hogescholen. 17 van de 38 hogescholen hebben in het jaarverslag van 2009 aangegeven dat zij een risicoanalyse hebben uitgevoerd. Alleen ontbreekt de toelichting over de wijze waarop de risicoanalyse is uitgevoerd in de meeste gevallen.
Dat risicomanagement in de hbo-wereld onder de aandacht staat, kwam ook naar voren in een interview. De HBO-raad heeft een werkgroep ingesteld, die een format gaat opstellen voor risicomanagement. Het doel van dit format is hogescholen een handvat bieden voor de inrichting van hun risicomanagement.
Hogescholen geven aan dat het voor hen een bewuste keuze is om niet alle risico-informatie op te nemen in het jaarverslag. Een geïnterviewde verwoorde dat als volgt.
“Het is heel bewust, we doen wat we moeten doen. We willen voldoen aan wet- en regelgeving, dat moet je ook willen, voor je organisatie, voor je continuïteit. Maar moeten we meer doen dan moet? Waarom zou je het willen?”
Zij rapporteren voornamelijk over het verplichte deel en verstrekken daarnaast in geringe mate vrijwillig risico-informatie in het jaarverslag. Redenen voor het rapporteren in beperkte mate zijn de afweging van het nut tegen de kosten van het verslagleggen en de beschikking die belanghebbenden hebben over andere informatiebronnen waar de desbetreffende informatie wordt verstrekt. Ook zijn hogescholen bang dat lezers van het jaarverslag informatie die erin staat verkeerd zullen interpreteren.
4.4 Vergelijking resultaten van het jaarverslagonderzoek met de interviews
In deze paragraaf worden de resultaten van het jaarverslagonderzoek tegenover de resultaten van de interviews gezet. De belangrijkste overeenkomsten en verschillen worden hier besproken.
Hogescholen hebben in de interviews aangegeven dat zij risicomanagement belangrijk vinden en vertelden verder dat ze inspelen op recente ontwikkelingen in de onderwijssector om risico‟s te kunnen managen. Uit het jaarverslagonderzoek komt dit slechts gedeeltelijk naar voren. De belangrijkste doelstellingen worden duidelijk openbaar gemaakt in het jaarverslag. Risico‟s en beheersmaatregelen daarentegen worden in het merendeel van de jaarverslagen wel genoemd maar ze worden slechts in enkele gevallen toegelicht. Hogescholen maken dus via het jaarverslag niet altijd duidelijk welk belang zij werkelijk hechten aan „goed‟ risicomanagement.
Hogescholen zijn op dit moment vooral bezig met de implementatie van risicomanagement zo blijkt uit de interviews. In de jaarverslagen van hogescholen is dit gedeeltelijk terug te zien. De jaarverslagen van 2009 vertonen over het algemeen wat meer risico-informatie dan de jaarverslagen van 2008. Zo nemen hogescholen in het jaarverslag vaker een risicoparagraaf op dan in het jaarverslag van 2008.
De geïnterviewde hogescholen gaven alle vijf aan dat zij zo goed als volledig voldoen aan de geldende wet- en regelgeving met betrekking tot risicomanagement en risicoverslaggeving. Uit het jaarverslagonderzoek daarentegen kwam dit niet naar voren. Er is dus een verschil tussen het resultaat van de afgenomen interviews en het resultaat van het jaarverslagonderzoek. Elementen waarover hogescholen verplicht informatie over op dienen te nemen, zoals de risicohouding, een risicoprofiel met de belangrijkste risico‟s, een beschrijving van het risicomanagementsysteem en informatie over verbeteringen die ten aanzien van risicomanagement hebben plaatsgevonden, worden door lang niet alle hogescholen werkelijk opgenomen in het jaarverslag.