Integrales Risikomanagement des Regierungsrates, Grundsätze, Festlegung

1. Ausgangslage und Auftrag Im Nachgang zur aufgrund der Coronapandemie angeordneten ausserordentlichen Lage im ersten Halbjahr 2020 beauftragte der Regierungsrat die Staatskanzlei, eine Evaluation des Krisenmanagements des Kantons Zürich in die Wege zu leiten. Die mit der Evaluation beauftragte Arbeitsgemeinschaft, bestehend aus der Universität Bern und der bpc bolz + partner consulting ag, legte ihren Schlussbericht mit zehn Empfehlungen im Februar 2021 vor. Der Regierungsrat beauftragte daraufhin die zuständigen Direktionen und die Staatskanzlei, die Ergebnisse zu prüfen, Anträge an den Regierungsrat zu ihrer Umsetzung zu erarbeiten und den Handlungsbedarf in ihren Zuständigkeitsbereichen umzusetzen (RRB Nr. 172/2021). Die Staatskanzlei beauftragte er mit der Prüfung und Antragstellung zur Umsetzung von Empfehlung 1, Einrichtung eines integralen Risikomanagements. Dies hatte unter Einbezug der Sicherheitsdirektion, der Finanzdirektion und der Gesundheitsdirektion, unter Berücksichtigung des Risikomanagements Bevölkerungsschutz und der Pandemievorsorgeplanung sowie unter der Klärung des Verhältnisses zur betrieblichen Risikoanalyse gemäss RRB Nr. 292/2019 zu erfolgen. Im Juni 2021 und März 2022 konkretisierte er den Auftrag. Zusätzlich zur Empfehlung 1 ist zur Sicherstellung des Verwaltungsbetriebs die Empfehlung 8a betreffend Kontinuitätsmanagement einzubeziehen.

2. Rechtliche Grundlagen Mit § 2 Abs. 3 des Gesetzes über die Organisation des Regierungsrates und der kantonalen Verwaltung (OG RR, LS 172.1), §§ 1–3 und 8 des Bevölkerungsschutzgesetzes (BSG, LS 520), Art. 2 Abs. 2 Bst. c, Art. 8 Abs. 2 und Art. 19 Abs. 1 des Epidemiengesetzes (SR 818.101) sowie der Vollzugsverordnung zur eidgenössischen Epidemiengesetzgebung (LS 818.11) bestehen ausreichende Grundlagen für ein integrales Risikomanagement auf Stufe Regierungsrat, das auch den Beizug der zur Bewältigung einer ausserordentlichen Lage erforderlichen Partnerorganisationen vorsieht.

3. Zielsetzung Das Integrale Risikomanagement des Regierungsrates verfolgt folgende Ziele: a. Der Regierungsrat erfasst und steuert die wesentlichen Risiken, die eine ausserordentliche Lage gemäss § 2 BSG herbeiführen könnten, um in Umsetzung von § 1 BSG in ausserordentlichen Lagen die Grundversorgung der Bevölkerung sowie den Schutz, die Rettung und die Betreuung von Menschen und Tieren zu gewährleisten, die natürlichen Lebensgrundlagen, Kulturgüter und Sachwerte zu schützen sowie die Handlungsfähigkeit der Behörden und der öffentlichen Verwaltung sicherzustellen. b. Der Regierungsrat erfasst und steuert weitere hoch zu wertende Risiken, die keine ausserordentliche Lage auszulösen vermögen, deren Steuerung jedoch seine Kompetenzen erfordert. c. Den Partnerorganisationen gemäss § 3 BSG wird aufgezeigt, für welche wesentlichen Risiken der Regierungsrat die Sicherung ihrer Handlungsfähigkeit als erforderlich erachtet. Die Kompetenzen der zuständigen Direktionen und der weiteren Organisationseinheiten des Kantons bleiben gewahrt. Als Mindestmass für die Sicherstellung der Handlungsfähigkeit der Behörden und der öffentlichen Verwaltung gilt die Kontinuität der Schlüsselprozesse des Kantons. Gegenüber den mit dem bestehenden Risikomanagement Bevölkerungsschutz zu erfassenden Risiken sind neu zusätzlich Risiken zu erfassen, welche die Handlungsfähigkeit der Verwaltung und der Regierung gefährden, aber keine ausserordentliche Lage auszulösen vermögen. Die Abhängigkeiten zwischen den verschiedenen Risikotypen sind zu berücksichtigen. Damit die Risiken untereinander vergleichbar sind, sind einheitliche methodische Vorgaben für alle Risikoanalysen des Kantons erforderlich.

4. Verfahren und Ergebnisse

4.1 Kernprozess Das Integrale Risikomanagement wird nach einer einmaligen Initialisierung in einen jährlichen Regelkreis übergeführt. Der Regelbetrieb wird erstmalig direkt im Anschluss an die Initialisierung durchgeführt und schliesst so den Regelkreis ab. Anschliessend wird der Regelbetrieb jährlich als vollständiger Regelkreis durchgeführt.

Staatskanzlei

Adaptiertes Framework IRM

Auftrag und Rahmenbedingungen

Grundlagen und Methoden im Plan IRM schaffen Do

IRM weiter- IRM Nahtstellen zu: entwickeln betreiben • Finanzrisiken/Versicherung • Kontinuitätsmanagement

Act Check Initialisierung IRM überwachen (dann Regelbetrieb) und überprüfen Regelbetrieb

Abbildung 1: Hauptprozess Integrales Risikomanagement (IRM, Grundlage: ISO/IEC 31 000)

4.1.1 Initialisierung Der Teilprozess Initialisierung wird nach den folgenden Grundsätzen durchgeführt, welche die Einführung des Regelbetriebs zum Ziel haben: a. Die Staatskanzlei, die Sicherheitsdirektion und die Finanzdirektion bilden einen Steuerungsausschuss Initialisierung. Dieser ist verantwortlich für den Teilprozess und bezieht über die Generalsekretärenkonferenz (GSK) die Direktionen mit ein. b. Zuhanden des Steuerungsauschusses erarbeiten die damit beauftragten Organisationseinheiten gemäss Ziff. 5 Normen, Methoden (einschliesslich Metrik) und Kriterien zur Bestimmung der Risiken und Geschäftsfortführung. Zur Erarbeitung der Methodik wird auf die Norm ISO/IEC 31 000 zurückgegriffen. Die Methodik wird betreffend Anwendbarkeit und Struktur an die Bedürfnisse des Kantons angepasst. Die Staatskanzlei unterbreitet die erarbeiteten Vorgaben dem Regierungsrat bis Sommer 2023 zum Beschluss. c. Aufgrund der beschlossenen Vorgaben werden die Risiken erhoben und bewertet. Zentral bei der Bewertung ist die Auswirkung der Risiken auf die Zielsetzung gemäss § 1 BSG. Weitere Risiken, die nicht aufgrund von § 1 BSG bewertet werden, können aufgrund einer politischen Bewertung aufgenommen werden. Zusätzlich zu den höchstbewerteten 10–20 Risiken können weitere ermittelte Risiken kurz dokumentiert werden, verbunden mit einer jeweiligen Einschätzung, warum ein Risiko als gegenwärtig weniger wesentlich bewertet wird. Jedes als wesentlich bewertete Risiko wird einer Risikoeignerin oder einem Risikoeigner zugeteilt, die oder der bei der weiteren Risikobewertung und -steuerung federführend ist.

In diesem Zusammenhang wird geklärt, welche Partnerorganisationen gemäss § 3 BSG miteinzubeziehen sind und in welchem Rahmen die Zusammenarbeit mit diesen stattfinden soll.

4.1.2 Regelbetrieb Für den Teilprozess Regelbetrieb gelten folgende Grundsätze: a. Die definierten Grundlagen werden bei jeder Durchführung auf Anpassungsbedarf überprüft. Die erfassten Risiken werden darauf hin überprüft, ob sie noch zutreffen, ob neue aufzunehmen sind oder ob bestimmte Risiken wegfallen. b. Die Veränderung der Risikobewertung wird gemessen. c. Der Handlungsbedarf zur Risikosteuerung wird pro Risiko hergeleitet und zugeteilt, einschliesslich Massnahmen zur Sicherung der Kontinuität von Schlüsselprozessen. d. Das Controlling und Reporting des Vollzugs des Handlungsbedarfs wird durchgeführt und festgehalten. e. Ein Bericht samt Risikoinventar, Controlling sowie sich daraus ergebenden Anträgen zur Risikosteuerung wird zuhanden des Regierungsrates verfasst. Der Bericht dient als Grundlage zur strategischen Risikosteuerung. Zur Übersicht enthält er eine Risikomatrix. Bei seiner ersten Ausführung wird er umfassender gestaltet, in den Folgejahren kann er schlanker ausfallen. Die organisationsspezifischen Risiken werden in den Direktionen (Ämtern) mit einheitlichen Methoden erhoben und später konsolidiert. Der Ausarbeitung der Risikoerhebungs- und -bewertungsmethoden gilt es besondere Beachtung zu schenken.

4.2 Zuordnung von Teilprozessen und Einzelaspekten Im Laufe der Arbeiten wurden die folgenden Teilprozesse und Einzelaspekte geprüft. Diese werden wie folgt dem Hauptprozess zugeordnet:

4.2.1 Finanzielles Risikoreporting, Versicherungswesen Gemäss § 14 der Verordnung über die Organisation des Regierungsrates und der kantonalen Verwaltung (VOG RR, LS 172.11) sowie RRB Nr. 292/2019 besteht ein Auftrag zur finanziellen Risikoberichterstattung. Mit Beschluss Nr. 560/2017 hat der Regierungsrat das Versicherungskonzept des Kantons Zürich festgelegt. Dieses stützt sich auf § 5 der Finanzcontrollingverordnung (LS 611.2) und die daraus entwickelte Praxis. Der im Kernprozess erarbeitete Bericht soll auch die gemäss § 14 VOG RR zu erhebenden finanziellen Risiken miteinschliessen bzw. deren Erhebung ablösen. Die im Bericht erwähnten Risiken können auch vom Versicherungsdienst geprüft werden und er kann eine Beurteilung dazu abgeben. RRB Nr. 292/2019 ist aufzuheben, da sein Zweck im Rahmen des vorliegenden Beschlusses in veränderter und umfassenderer Form erfüllt wird.

4.2.2 Handlungsfähigkeit der Behörden und der öffentlichen Verwaltung Die Sicherung der Handlungsfähigkeit der Behörden und der öffentlichen Verwaltung in allen Lagen ist als Teil des im Kernprozess zu bestimmenden Handlungsbedarfs zu verstehen. Für die Gewährleistung des Kontinuitätsmanagements sind grundsätzlich die Direktionen und die Staatskanzlei in den ihnen durch die VOG RR zugewiesenen Zuständigkeitsbereichen zuständig. Die Direktionen und die Staatskanzlei sind dabei auch zuständig für die Erhebung und Festlegung der dafür notwendigen Schlüsselprozesse. Für eine koordinierte Erhebung der Schlüsselprozesse und ihre Abstimmung auf das neue integrale Risikomanagement sind die Staatskanzlei (RRB Nr. 172/2021, Empfehlung 8a) und die neu geschaffene Stelle «Integrales Risikomanagement» (vgl. Ziff. 5.2) besorgt. Mit RRB Nr. 172/2021 wurde die Finanzdirektion beauftragt, verschiedene Einzelaspekte des Kontinuitätsmanagements (vgl. Empfehlung 8a, Kontinuitätsmanagement) zu klären. Sie wird nach Vorliegen des vorliegenden Beschlusses dazu Bericht erstatten.

4.3 Ergebnisse Folgende Ergebnisse sind zu erarbeiten:

4.3.1 Initialisierung (Staatskanzlei) – Prozess- und Methodenbeschreibung einschliesslich Kriterien für die Aufnahme von Risiken (Frist: Sommer 2023) – Aufträge für die Erhebung bei den Direktionen und der Staatskanzlei (Frist: Sommer 2023) – Risikoinventar: Aufgrund der Risikoidentifizierung, -bewertung und -priorisierung

4.3.2 Regelbetrieb (Sicherheitsdirektion) – Risikobericht (mit Risikomatrix): Status, Entwicklung, Massnahmen Stufe Direktionen pro Risiko zur Kenntnisnahme (Frist: Herbst 2024) – Vorlage zur Risikosteuerung: Ziele, Massnahmen des Regierungsrates (mit Fristen und Kosten), Zuständigkeiten pro Risiko zum Beschluss (Frist: Herbst 2024)

5. Organisation Zur Umsetzung des Integralen Risikomanagements wird eine Organisation festgelegt, die sich an den bestehenden Zuständigkeiten orientiert. Der Steuerungsausschuss Initialisierung besteht befristet bis Ende der Initialisierung, die weiteren Organisationseinheiten erfüllen ihre Aufgaben im Rahmen des gesamten Kernprozesses (Initialisierung gemäss Ziff. 4.1.1 und Regelbetrieb gemäss Ziff. 4.1.2).

5.1 Steuerungsausschuss Initialisierung Der Steuerungsausschuss Initialisierung unter der Leitung der Staatskanzlei, mit Beteiligung der Sicherheitsdirektion und der Finanzdirektion, ist verantwortlich für den Teilprozess Initialisierung. Er leitet die erstmalige Erarbeitung der Grundlagen und Vorgaben sowie des Risikoinventars (vgl. Ziff. 4.3.1) und sichert dabei die Konformität der Ergebnisse mit dem vorliegenden Beschluss. Über die GSK bezieht er die Direktionen sowie gegebenenfalls Behörden und Partnerorganisationen mit ein. Mit der Einbindung der Finanzdirektion wird die Verbindung zu den Querschnittthemen Finanzen, Personal und IKT sowie dem Versicherungswesen gewährleistet.

5.2 Stelle «Integrales Risikomanagement»

5.2.1 Organisatorische Einordnung Die Stelle «Integrales Risikomanagement» wird der Sicherheitsdirektion zugeordnet und ist in der Kantonspolizei (Sicherheitspolizei, Bevölkerungsschutzabteilung) einzurichten. Die Bevölkerungsschutzabteilung führt die Geschäfte des Fachstabs der Kantonalen Führungsorganisation (KFO) in Vorsorge und Bewältigung bevölkerungsschutzrelevanter Ereignisse. Sie kann auf der Erfahrung mit der Risikoanalyse Bevölkerungsschutz aufbauen; die erforderlichen Fachkompetenzen und -personen zum Aufbau des Integralen Risikomanagements sind vorhanden. Sie stellt sicher, dass sich das Risikomanagement an der Zwecksetzung des BSG orientiert. Gemäss § 3 Abs. 1 lit. i der Verordnung über die strategische Führung und den Einsatz der kantonalen Führungsorganisation (LS 172.5) ist die für das integrale Risikomanagement zuständige Stelle im KFO-Fachstab vertreten.

5.2.2 Aufgaben Die Stelle «Integrales Risikomanagement» führt den Kernprozess gemäss Ziff. 4.1 unter Beizug der Staatskanzlei und der Finanzdirektion. Sie wendet standardisierte Methoden und Verfahren an, stellt geeignete Werkzeuge zur Erfassung und Steuerung der Risiken in den Organisationseinheiten zur Verfügung und unterstützt die zuständigen Personen in den Direktionen sowie der Staatskanzlei mit dem Ziel, die wesent- lichen Risiken zu erfassen, zu priorisieren, zu bewerten und zu steuern. Periodisch erhebt sie mittels Befragung von Verwaltungskadern der Direktionen die den Kriterien entsprechenden Risiken (einschliesslich der Handlungsfähigkeit von Behörden und Verwaltung betreffende Risiken). Gestützt darauf bereitet sie die Beschlüsse des Regierungsrates zur Risikosteuerung vor. Doppelspurigkeiten mit weiteren Planungs-, Steuerungs- und Berichterstattungsverfahren der Controllingdienste gemäss § 16 VOG RR sind zu vermeiden und Synergien zu nutzen. Beim Einbezug des Verwaltungskaders ist die strategische, umfassende Risikoproblematik und nicht die technische oder operative Ebene anzusprechen. Die Stelle «Integrales Risikomanagement» setzt auf persönliche Ansprache dieser Führungsebene, baut ein Netzwerk zu den Ansprechstellen der Direktionen auf und pflegt dieses. Dadurch wird das Verwaltungskader zur Vorbereitung der Bewältigung von Krisensituationen in die Pflicht genommen. Das Risikomanagement soll rasch operativ sein und den Problemdruck zeitnah senken. Um die genannten Aufgaben zu erfüllen, wurde im Stellenplan der Kantonspolizei auf den 1. Januar 2023 eine zusätzliche Stelle geschaffen (RRB Nr. 656/2022).

5.3 Zuständigkeiten von Staatskanzlei und Generalsekretärenkonferenz Im Rahmen des Integralen Risikomanagements sind die Zuständigkeitsbereiche des Kantons systematisch zu erfassen. Zu einer Vielzahl von Akteurinnen und Akteuren in der Verwaltung, den Behörden und Partnerorganisationen ist ein optimaler Zugang zu gewährleisten. Dafür zieht die Stelle «Integrales Risikomanagement» die Staatskanzlei bei, die unter Einbezug der GSK die erforderlichen Beiträge der Direktionen einbringt. Vor der Antragstellung an den Regierungsrat stellt die Sicherheitsdirektion die Ergebnisse gemäss Ziff. 4.3.2 der Staatskanzlei zur Vorbereinigung in der GSK und anschliessend den Direktionen zum Mitbericht zu. Die GSK nimmt folgende Aufgaben wahr: a. Einbringen der Bedürfnisse der Direktionen in das Integrale Risikomanagement b. Einbezug der relevanten Organisationseinheiten und Partnerorganisationen, Durchsetzung der Vorgaben in den Direktionen c. Verabschiedung des Risikoinventars im Regelbetrieb zuhanden der Sicherheitsdirektion

Durch den Einbezug der Staatskanzlei und der GSK in das Integrale Risikomanagement werden diese hinsichtlich ihrer Aufgaben in Krisen und Notlagen sensibilisiert. So sind sie in der Lage, in ihrem Aufgabengebiet die nötigen Vorsorgeplanungen zu leisten und im Ereignis deren Umsetzung zu überwachen. Damit wird eine weitere Empfehlung aus der Evaluation des Krisenmanagements der ersten Phase der Covid-19- Pandemie umgesetzt, nämlich Empfehlung 6 betreffend Koordination (vgl. RRB Nr. 172/2021).

5.4 Mitwirkung der Direktionen und der Staatskanzlei Die Direktionen und die Staatskanzlei stellen die für das Integrale Risikomanagement erforderlichen Angaben mit ihren bestehenden Mitteln bereit. Bei ihrem internen Risikomanagement und Kontinuitätsmanagement beachten sie die aus dem Integralen Risikomanagement erfolgenden Vorgaben.

5.5 Anträge an den Regierungsrat Während der Initialisierung unterbreitet die Staatskanzlei dem Regierungsrat die Anträge zur Beschlussfassung gemäss Ziff. 4.3.1. Im Regelbetrieb geht die Zuständigkeit für die Antragstellung gemäss Ziff. 4.3.2 an die Sicherheitsdirektion über. Die GSK verabschiedet gemäss Ziff. 5.3 das Risikoinventar vorgängig zuhanden der Sicherheitsdirektion. Diese unterbreitet es vor der Antragstellung den Direktionen und der Staatskanzlei zum Mitbericht. Die Antragstellung zur Umsetzung der einzelnen Steuerungsmassnahmen erfolgt gemäss den ordentlichen Zuständigkeiten durch die jeweils zuständige Direktion.

6. Rechtsanpassungen Als Voraussetzung des Kernprozesses ist in der VOG RR eine Regelung vorzusehen, die nicht mehr wie gemäss § 14 nur finanzielle Risiken, sondern alle unter das Integrale Risikomanagement fallenden Risiken abdeckt. Auch die Eckwerte von Organisation und Verfahren (Mitarbeit der Direktionen, Bündelung durch die Stelle «Integrales Risikomanagement») sind festzuhalten. Die Bestimmungen gemäss § 14 VOG RR sind somit abzulösen. Die Finanzdirektion wird ihre auf § 14 VOG RR beruhende bzw. diese Bestimmung konkretisierende Verfügung «Grundsätze zum finanziellen Risikocontrolling» vom 1. September 2016 aufheben.

7. Finanzierung Mit Beschluss Nr. 656/2022 hat der Regierungsrat im Stellenplan der Kantonspolizei auf den 1. Januar 2023 eine Stelle geschaffen. Die erforderlichen Mittel von jährlich rund Fr. 180 000 werden im Konsolidierten Entwicklungs- und Finanzplan 2023–2026 in der Leistungsgruppe Nr. 3100, Kantonspolizei, eingestellt. Die Aufgaben der Staatskanzlei und der Finanzdirektion im Rahmen des Kernprozesses sowie die inhaltlichen Beiträge der Direktionen und der Staatskanzlei sind mit deren bestehenden Mitteln zu erbringen. Die Aufwendungen für die aufgrund des Integralen Risikomanagements erfolgenden Steuerungsmassnahmen (einschliesslich Kontinuitätsmanagement) werden nach den ordentlichen Zuständigkeiten getragen.

8. Weiteres Vorgehen Die erforderlichen Änderungen der VOG RR und die Einsetzung des Steuerungsauschusses Initialisierung sind bis Oktober 2022 vorgesehen. Die Stelle «Integrales Risikomanagement» in der Bevölkerungsschutzabteilung wird voraussichtlich auf Anfang 2023 besetzt, die Grundlagen und Vorgaben sollen dem Regierungsrat bis Sommer 2023 vorgelegt werden. Die erstmalige Erfassung des Risikoinventars und die erstmalige Durchführung des Regelbetriebs Integrales Risikomanagement werden bis Herbst 2024 erwartet. Bereits laufende oder geplante Risikoerhebungen auf Stufe Direktion können fortgeführt und allenfalls nach dem Aufbau der Organisation des Integralen Risikomanagements in dieses integriert werden.