Integrales Risikomanagement des Regierungsrates, Grundsätze, Festlegung

Auszug aus dem Protokoll des Regierungsrates des Kantons Zürich Sitzung vom 6. Juli 2022

1001. Integrales Risikomanagement des Regierungsrates, Grundsätze

Erwägungen

1. Ausgangslage und Auftrag Im Nachgang zur aufgrund der Coronapandemie angeordneten ausser- ordentlichen Lage im ersten Halbjahr 2020 beauftragte der Regierungs- rat die Staatskanzlei, eine Evaluation des Krisenmanagements des Kan- tons Zürich in die Wege zu leiten. Die mit der Evaluation beauftragte Arbeitsgemeinschaft, bestehend aus der Universität Bern und der bpc bolz + partner consulting ag, legte ihren Schlussbericht mit zehn Emp- fehlungen im Februar 2021 vor. Der Regierungsrat beauftragte darauf- hin die zuständigen Direktionen und die Staatskanzlei, die Ergebnisse zu prüfen, Anträge an den Regierungsrat zu ihrer Umsetzung zu erarbei- ten und den Handlungsbedarf in ihren Zuständigkeitsbereichen umzu- setzen (RRB Nr. 172/2021). Die Staatskanzlei beauftragte er mit der Prü- fung und Antragstellung zur Umsetzung von Empfehlung 1, Einrichtung eines integralen Risikomanagements. Dies hatte unter Einbezug der Sicherheitsdirektion, der Finanzdirektion und der Gesundheitsdirek- tion, unter Berücksichtigung des Risikomanagements Bevölkerungs- schutz und der Pandemievorsorgeplanung sowie unter der Klärung des Verhältnisses zur betrieblichen Risikoanalyse gemäss RRB Nr. 292/2019 zu erfolgen. Im Juni 2021 und März 2022 konkretisierte er den Auftrag. Zusätzlich zur Empfehlung 1 ist zur Sicherstellung des Verwaltungsbe- triebs die Empfehlung 8a betreffend Kontinuitätsmanagement einzu- beziehen.

2. Rechtliche Grundlagen Mit § 2 Abs. 3 des Gesetzes über die Organisation des Regierungs- rates und der kantonalen Verwaltung (OG RR, LS 172.1), §§ 1–3 und 8 des Bevölkerungsschutzgesetzes (BSG, LS 520), Art. 2 Abs. 2 Bst. c, Art. 8 Abs. 2 und Art. 19 Abs. 1 des Epidemiengesetzes (SR 818.101) sowie der Vollzugsverordnung zur eidgenössischen Epidemiengesetzgebung (LS 818.11) bestehen ausreichende Grundlagen für ein integrales Risi- komanagement auf Stufe Regierungsrat, das auch den Beizug der zur Bewältigung einer ausserordentlichen Lage erforderlichen Partner- organisationen vorsieht.

3. Zielsetzung Das Integrale Risikomanagement des Regierungsrates verfolgt folgen- de Ziele: a. Der Regierungsrat erfasst und steuert die wesentlichen Risiken, die eine ausserordentliche Lage gemäss § 2 BSG herbeiführen könnten, um in Umsetzung von § 1 BSG in ausserordentlichen Lagen die Grund- versorgung der Bevölkerung sowie den Schutz, die Rettung und die Betreuung von Menschen und Tieren zu gewährleisten, die natürli- chen Lebensgrundlagen, Kulturgüter und Sachwerte zu schützen so- wie die Handlungsfähigkeit der Behörden und der öffentlichen Ver- waltung sicherzustellen. b. Der Regierungsrat erfasst und steuert weitere hoch zu wertende Risi- ken, die keine ausserordentliche Lage auszulösen vermögen, deren Steuerung jedoch seine Kompetenzen erfordert. c. Den Partnerorganisationen gemäss § 3 BSG wird aufgezeigt, für welche wesentlichen Risiken der Regierungsrat die Sicherung ihrer Handlungsfähigkeit als erforderlich erachtet. Die Kompetenzen der zuständigen Direktionen und der weiteren Organisationseinheiten des Kantons bleiben gewahrt. Als Mindest- mass für die Sicherstellung der Handlungsfähigkeit der Behörden und der öffentlichen Verwaltung gilt die Kontinuität der Schlüsselprozesse des Kantons. Gegenüber den mit dem bestehenden Risikomanagement Bevölke- rungsschutz zu erfassenden Risiken sind neu zusätzlich Risiken zu er- fassen, welche die Handlungsfähigkeit der Verwaltung und der Regie- rung gefährden, aber keine ausserordentliche Lage auszulösen vermö- gen. Die Abhängigkeiten zwischen den verschiedenen Risikotypen sind zu berücksichtigen. Damit die Risiken untereinander vergleichbar sind, sind einheitliche methodische Vorgaben für alle Risikoanalysen des Kantons erforderlich.

4. Verfahren und Ergebnisse

4.1 Kernprozess Das Integrale Risikomanagement wird nach einer einmaligen Initiali- sierung in einen jährlichen Regelkreis übergeführt. Der Regelbetrieb wird erstmalig direkt im Anschluss an die Initialisierung durchgeführt und schliesst so den Regelkreis ab. Anschliessend wird der Regelbetrieb jährlich als vollständiger Regelkreis durchgeführt.

Staatskanzlei

Adaptiertes Framework IRM

Auftrag und Rahmenbedingungen

Grundlagen und Methoden im Plan IRM schaffen Do

IRM weiter- IRM Nahtstellen zu: entwickeln betreiben • Finanzrisiken/Versicherung • Kontinuitätsmanagement

Act Check Initialisierung IRM überwachen (dann Regelbetrieb) und überprüfen Regelbetrieb

Abbildung 1: Hauptprozess Integrales Risikomanagement (IRM, Grundlage: ISO/IEC 31 000)

4.1.1 Initialisierung Der Teilprozess Initialisierung wird nach den folgenden Grundsätzen durchgeführt, welche die Einführung des Regelbetriebs zum Ziel haben: a. Die Staatskanzlei, die Sicherheitsdirektion und die Finanzdirektion bilden einen Steuerungsausschuss Initialisierung. Dieser ist verant- wortlich für den Teilprozess und bezieht über die Generalsekretären- konferenz (GSK) die Direktionen mit ein. b. Zuhanden des Steuerungsauschusses erarbeiten die damit beauftrag- ten Organisationseinheiten gemäss Ziff. 5 Normen, Methoden (ein- schliesslich Metrik) und Kriterien zur Bestimmung der Risiken und Geschäftsfortführung. Zur Erarbeitung der Methodik wird auf die Norm ISO/IEC 31 000 zurückgegriffen. Die Methodik wird betref- fend Anwendbarkeit und Struktur an die Bedürfnisse des Kantons angepasst. Die Staatskanzlei unterbreitet die erarbeiteten Vorgaben dem Regierungsrat bis Sommer 2023 zum Beschluss. c. Aufgrund der beschlossenen Vorgaben werden die Risiken erhoben und bewertet. Zentral bei der Bewertung ist die Auswirkung der Ri- siken auf die Zielsetzung gemäss § 1 BSG. Weitere Risiken, die nicht aufgrund von § 1 BSG bewertet werden, können aufgrund einer poli- tischen Bewertung aufgenommen werden. Zusätzlich zu den höchst- bewerteten 10–20 Risiken können weitere ermittelte Risiken kurz do- kumentiert werden, verbunden mit einer jeweiligen Einschätzung, warum ein Risiko als gegenwärtig weniger wesentlich bewertet wird. Jedes als wesentlich bewertete Risiko wird einer Risikoeignerin oder einem Risikoeigner zugeteilt, die oder der bei der weiteren Risiko- bewertung und -steuerung federführend ist.

In diesem Zusammenhang wird geklärt, welche Partnerorganisationen gemäss § 3 BSG miteinzubeziehen sind und in welchem Rahmen die Zusammenarbeit mit diesen stattfinden soll.

4.1.2 Regelbetrieb Für den Teilprozess Regelbetrieb gelten folgende Grundsätze: a. Die definierten Grundlagen werden bei jeder Durchführung auf An- passungsbedarf überprüft. Die erfassten Risiken werden darauf hin überprüft, ob sie noch zutreffen, ob neue aufzunehmen sind oder ob bestimmte Risiken wegfallen. b. Die Veränderung der Risikobewertung wird gemessen. c. Der Handlungsbedarf zur Risikosteuerung wird pro Risiko hergelei- tet und zugeteilt, einschliesslich Massnahmen zur Sicherung der Kon- tinuität von Schlüsselprozessen. d. Das Controlling und Reporting des Vollzugs des Handlungsbedarfs wird durchgeführt und festgehalten. e. Ein Bericht samt Risikoinventar, Controlling sowie sich daraus erge- benden Anträgen zur Risikosteuerung wird zuhanden des Regie- rungsrates verfasst. Der Bericht dient als Grundlage zur strategi- schen Risikosteuerung. Zur Übersicht enthält er eine Risikomatrix. Bei seiner ersten Ausführung wird er umfassender gestaltet, in den Folgejahren kann er schlanker ausfallen. Die organisationsspezifischen Risiken werden in den Direktionen (Ämtern) mit einheitlichen Methoden erhoben und später konsolidiert. Der Ausarbeitung der Risikoerhebungs- und -bewertungsmethoden gilt es besondere Beachtung zu schenken.

4.2 Zuordnung von Teilprozessen und Einzelaspekten Im Laufe der Arbeiten wurden die folgenden Teilprozesse und Einzel- aspekte geprüft. Diese werden wie folgt dem Hauptprozess zugeordnet:

4.2.1 Finanzielles Risikoreporting, Versicherungswesen Gemäss § 14 der Verordnung über die Organisation des Regierungs- rates und der kantonalen Verwaltung (VOG RR, LS 172.11) sowie RRB Nr. 292/2019 besteht ein Auftrag zur finanziellen Risikobericht- erstattung. Mit Beschluss Nr. 560/2017 hat der Regierungsrat das Ver- sicherungskonzept des Kantons Zürich festgelegt. Dieses stützt sich auf § 5 der Finanzcontrollingverordnung (LS 611.2) und die daraus entwi- ckelte Praxis. Der im Kernprozess erarbeitete Bericht soll auch die gemäss § 14 VOG RR zu erhebenden finanziellen Risiken miteinschliessen bzw. deren Erhebung ablösen. Die im Bericht erwähnten Risiken können auch

vom Versicherungsdienst geprüft werden und er kann eine Beurteilung dazu abgeben. RRB Nr. 292/2019 ist aufzuheben, da sein Zweck im Rahmen des vorliegenden Beschlusses in veränderter und umfassende- rer Form erfüllt wird.

4.2.2 Handlungsfähigkeit der Behörden und der öffentlichen Verwaltung Die Sicherung der Handlungsfähigkeit der Behörden und der öffent- lichen Verwaltung in allen Lagen ist als Teil des im Kernprozess zu be- stimmenden Handlungsbedarfs zu verstehen. Für die Gewährleistung des Kontinuitätsmanagements sind grundsätzlich die Direktionen und die Staatskanzlei in den ihnen durch die VOG RR zugewiesenen Zu- ständigkeitsbereichen zuständig. Die Direktionen und die Staatskanz- lei sind dabei auch zuständig für die Erhebung und Festlegung der da- für notwendigen Schlüsselprozesse. Für eine koordinierte Erhebung der Schlüsselprozesse und ihre Abstimmung auf das neue integrale Risiko- management sind die Staatskanzlei (RRB Nr. 172/2021, Empfehlung 8a) und die neu geschaffene Stelle «Integrales Risikomanagement» (vgl. Ziff. 5.2) besorgt. Mit RRB Nr. 172/2021 wurde die Finanzdirektion beauftragt, verschie- dene Einzelaspekte des Kontinuitätsmanagements (vgl. Empfehlung 8a, Kontinuitätsmanagement) zu klären. Sie wird nach Vorliegen des vorlie- genden Beschlusses dazu Bericht erstatten.

4.3 Ergebnisse Folgende Ergebnisse sind zu erarbeiten:

4.3.1 Initialisierung (Staatskanzlei) – Prozess- und Methodenbeschreibung einschliesslich Kriterien für die Aufnahme von Risiken (Frist: Sommer 2023) – Aufträge für die Erhebung bei den Direktionen und der Staatskanzlei (Frist: Sommer 2023) – Risikoinventar: Aufgrund der Risikoidentifizierung, -bewertung und -priorisierung

4.3.2 Regelbetrieb (Sicherheitsdirektion) – Risikobericht (mit Risikomatrix): Status, Entwicklung, Massnahmen Stufe Direktionen pro Risiko zur Kenntnisnahme (Frist: Herbst 2024) – Vorlage zur Risikosteuerung: Ziele, Massnahmen des Regierungs- rates (mit Fristen und Kosten), Zuständigkeiten pro Risiko zum Be- schluss (Frist: Herbst 2024)

5. Organisation Zur Umsetzung des Integralen Risikomanagements wird eine Orga- nisation festgelegt, die sich an den bestehenden Zuständigkeiten orien- tiert. Der Steuerungsausschuss Initialisierung besteht befristet bis Ende der Initialisierung, die weiteren Organisationseinheiten erfüllen ihre Auf- gaben im Rahmen des gesamten Kernprozesses (Initialisierung gemäss Ziff. 4.1.1 und Regelbetrieb gemäss Ziff. 4.1.2).

5.1 Steuerungsausschuss Initialisierung Der Steuerungsausschuss Initialisierung unter der Leitung der Staats- kanzlei, mit Beteiligung der Sicherheitsdirektion und der Finanzdirek- tion, ist verantwortlich für den Teilprozess Initialisierung. Er leitet die erstmalige Erarbeitung der Grundlagen und Vorgaben sowie des Risiko- inventars (vgl. Ziff. 4.3.1) und sichert dabei die Konformität der Ergeb- nisse mit dem vorliegenden Beschluss. Über die GSK bezieht er die Direktionen sowie gegebenenfalls Behörden und Partnerorganisatio- nen mit ein. Mit der Einbindung der Finanzdirektion wird die Verbin- dung zu den Querschnittthemen Finanzen, Personal und IKT sowie dem Versicherungswesen gewährleistet.

5.2 Stelle «Integrales Risikomanagement»

5.2.1 Organisatorische Einordnung Die Stelle «Integrales Risikomanagement» wird der Sicherheitsdirek- tion zugeordnet und ist in der Kantonspolizei (Sicherheitspolizei, Bevöl- kerungsschutzabteilung) einzurichten. Die Bevölkerungsschutzabtei- lung führt die Geschäfte des Fachstabs der Kantonalen Führungsorga- nisation (KFO) in Vorsorge und Bewältigung bevölkerungsschutzrele- vanter Ereignisse. Sie kann auf der Erfahrung mit der Risikoanalyse Bevölkerungsschutz aufbauen; die erforderlichen Fachkompetenzen und -personen zum Aufbau des Integralen Risikomanagements sind vor- handen. Sie stellt sicher, dass sich das Risikomanagement an der Zweck- setzung des BSG orientiert. Gemäss § 3 Abs. 1 lit. i der Verordnung über die strategische Führung und den Einsatz der kantonalen Führungs- organisation (LS 172.5) ist die für das integrale Risikomanagement zu- ständige Stelle im KFO-Fachstab vertreten.

5.2.2 Aufgaben Die Stelle «Integrales Risikomanagement» führt den Kernprozess ge- mäss Ziff. 4.1 unter Beizug der Staatskanzlei und der Finanzdirektion. Sie wendet standardisierte Methoden und Verfahren an, stellt geeignete Werkzeuge zur Erfassung und Steuerung der Risiken in den Organisa- tionseinheiten zur Verfügung und unterstützt die zuständigen Personen in den Direktionen sowie der Staatskanzlei mit dem Ziel, die wesent-

lichen Risiken zu erfassen, zu priorisieren, zu bewerten und zu steuern. Periodisch erhebt sie mittels Befragung von Verwaltungskadern der Direktionen die den Kriterien entsprechenden Risiken (einschliesslich der Handlungsfähigkeit von Behörden und Verwaltung betreffende Risi- ken). Gestützt darauf bereitet sie die Beschlüsse des Regierungsrates zur Risikosteuerung vor. Doppelspurigkeiten mit weiteren Planungs-, Steuerungs- und Berichterstattungsverfahren der Controllingdienste ge- mäss § 16 VOG RR sind zu vermeiden und Synergien zu nutzen. Beim Einbezug des Verwaltungskaders ist die strategische, umfas- sende Risikoproblematik und nicht die technische oder operative Ebene anzusprechen. Die Stelle «Integrales Risikomanagement» setzt auf persönliche Ansprache dieser Führungsebene, baut ein Netzwerk zu den Ansprechstellen der Direktionen auf und pflegt dieses. Dadurch wird das Verwaltungskader zur Vorbereitung der Bewältigung von Krisen- situationen in die Pflicht genommen. Das Risikomanagement soll rasch operativ sein und den Problemdruck zeitnah senken. Um die genannten Aufgaben zu erfüllen, wurde im Stellenplan der Kantonspolizei auf den 1. Januar 2023 eine zusätzliche Stelle geschaffen (RRB Nr. 656/2022).

5.3 Zuständigkeiten von Staatskanzlei und Generalsekretärenkonferenz Im Rahmen des Integralen Risikomanagements sind die Zuständig- keitsbereiche des Kantons systematisch zu erfassen. Zu einer Vielzahl von Akteurinnen und Akteuren in der Verwaltung, den Behörden und Partnerorganisationen ist ein optimaler Zugang zu gewährleisten. Da- für zieht die Stelle «Integrales Risikomanagement» die Staatskanzlei bei, die unter Einbezug der GSK die erforderlichen Beiträge der Direk- tionen einbringt. Vor der Antragstellung an den Regierungsrat stellt die Sicherheits- direktion die Ergebnisse gemäss Ziff. 4.3.2 der Staatskanzlei zur Vor- bereinigung in der GSK und anschliessend den Direktionen zum Mit- bericht zu. Die GSK nimmt folgende Aufgaben wahr: a. Einbringen der Bedürfnisse der Direktionen in das Integrale Risiko- management b. Einbezug der relevanten Organisationseinheiten und Partnerorgani- sationen, Durchsetzung der Vorgaben in den Direktionen c. Verabschiedung des Risikoinventars im Regelbetrieb zuhanden der Sicherheitsdirektion

Durch den Einbezug der Staatskanzlei und der GSK in das Integrale Risikomanagement werden diese hinsichtlich ihrer Aufgaben in Krisen und Notlagen sensibilisiert. So sind sie in der Lage, in ihrem Aufgaben- gebiet die nötigen Vorsorgeplanungen zu leisten und im Ereignis deren Umsetzung zu überwachen. Damit wird eine weitere Empfehlung aus der Evaluation des Krisenmanagements der ersten Phase der Covid-19- Pandemie umgesetzt, nämlich Empfehlung 6 betreffend Koordination (vgl. RRB Nr. 172/2021).

5.4 Mitwirkung der Direktionen und der Staatskanzlei Die Direktionen und die Staatskanzlei stellen die für das Integrale Risikomanagement erforderlichen Angaben mit ihren bestehenden Mitteln bereit. Bei ihrem internen Risikomanagement und Kontinui- tätsmanagement beachten sie die aus dem Integralen Risikomanage- ment erfolgenden Vorgaben.

5.5 Anträge an den Regierungsrat Während der Initialisierung unterbreitet die Staatskanzlei dem Re- gierungsrat die Anträge zur Beschlussfassung gemäss Ziff. 4.3.1. Im Regelbetrieb geht die Zuständigkeit für die Antragstellung gemäss Ziff. 4.3.2 an die Sicherheitsdirektion über. Die GSK verabschiedet ge- mäss Ziff. 5.3 das Risikoinventar vorgängig zuhanden der Sicherheits- direktion. Diese unterbreitet es vor der Antragstellung den Direktionen und der Staatskanzlei zum Mitbericht. Die Antragstellung zur Umsetzung der einzelnen Steuerungsmass- nahmen erfolgt gemäss den ordentlichen Zuständigkeiten durch die je- weils zuständige Direktion.

6. Rechtsanpassungen Als Voraussetzung des Kernprozesses ist in der VOG RR eine Rege- lung vorzusehen, die nicht mehr wie gemäss § 14 nur finanzielle Risiken, sondern alle unter das Integrale Risikomanagement fallenden Risiken abdeckt. Auch die Eckwerte von Organisation und Verfahren (Mitarbeit der Direktionen, Bündelung durch die Stelle «Integrales Risikomanage- ment») sind festzuhalten. Die Bestimmungen gemäss § 14 VOG RR sind somit abzulösen. Die Finanzdirektion wird ihre auf § 14 VOG RR beru- hende bzw. diese Bestimmung konkretisierende Verfügung «Grundsätze zum finanziellen Risikocontrolling» vom 1. September 2016 aufheben.

7. Finanzierung Mit Beschluss Nr. 656/2022 hat der Regierungsrat im Stellenplan der Kantonspolizei auf den 1. Januar 2023 eine Stelle geschaffen. Die erfor- derlichen Mittel von jährlich rund Fr. 180 000 werden im Konsolidierten Entwicklungs- und Finanzplan 2023–2026 in der Leistungsgruppe Nr. 3100, Kantonspolizei, eingestellt. Die Aufgaben der Staatskanzlei und der Finanzdirektion im Rahmen des Kernprozesses sowie die inhaltlichen Beiträge der Direktionen und der Staatskanzlei sind mit deren bestehenden Mitteln zu erbringen. Die Aufwendungen für die aufgrund des Integralen Risikomanage- ments erfolgenden Steuerungsmassnahmen (einschliesslich Kontinuitäts- management) werden nach den ordentlichen Zuständigkeiten getragen.

8. Weiteres Vorgehen Die erforderlichen Änderungen der VOG RR und die Einsetzung des Steuerungsauschusses Initialisierung sind bis Oktober 2022 vorgesehen. Die Stelle «Integrales Risikomanagement» in der Bevölkerungsschutz- abteilung wird voraussichtlich auf Anfang 2023 besetzt, die Grundlagen und Vorgaben sollen dem Regierungsrat bis Sommer 2023 vorgelegt wer- den. Die erstmalige Erfassung des Risikoinventars und die erstmalige Durchführung des Regelbetriebs Integrales Risikomanagement werden bis Herbst 2024 erwartet. Bereits laufende oder geplante Risikoerhe- bungen auf Stufe Direktion können fortgeführt und allenfalls nach dem Aufbau der Organisation des Integralen Risikomanagements in dieses integriert werden.

Dispositiv

Auf Antrag der Staatskanzlei beschliesst der Regierungsrat:

I. Die Grundsätze zum Integralen Risikomanagement werden gemäss den Erwägungen festgelegt.

II. Die Staatskanzlei wird beauftragt, in Umsetzung der Grundsätze in Zusammenarbeit mit der Sicherheitsdirektion und der Finanzdirek- tion dem Regierungsrat bis Oktober 2022 eine Änderung der Verord- nung über die Organisation des Regierungsrates und der kantonalen Verwaltung betreffend Vorgaben über das Integrale Risikomanage- ment zu unterbreiten.

III. RRB Nr. 292/2019 betreffend Bericht über die Grossrisiken mit geringer Eintretenswahrscheinlichkeit wird aufgehoben.

IV. Die Staatskanzlei wird beauftragt, dem Regierungsrat in Zusam- menarbeit mit der Sicherheitsdirektion und der Finanzdirektion bis Som- mer 2023 die Ergebnisse gemäss Ziff. 4.3.1 der Erwägungen zu unter- breiten.

V. Die Sicherheitsdirektion wird beauftragt, dem Regierungsrat in Zusammenarbeit mit der Staatskanzlei und der Finanzdirektion bis Herbst 2024 die Ergebnisse gemäss Ziff. 4.3.2 der Erwägungen zu unter- breiten.

VI. Mitteilung an die Sicherheitsdirektion, die Finanzdirektion, die Gesundheitsdirektion und die Staatskanzlei.

Vor dem Regierungsrat Die Staatsschreiberin:

Kathrin Arioli