Integrales Risikomanagement des Regierungsrates, Grundsätze, Prozesse, Aufträge

1. Ausgangslage Mit Beschluss Nr. 1001/2022 hat der Regierungsrat die Grundsätze zum Integralen Risikomanagement (IntRM) festgelegt. Der Regierungsrat trägt die strategische Verantwortung für die Steuerung von Risiken und will damit auf seiner Stufe eine Übersicht über diejenigen Risiken erhalten, welche die Handlungsfähigkeit der Regierung und der Verwaltung massgeblich beeinflussen können, und das Ausmass der Risiken systematisch einschätzen. Indem er interne und externe Risikofaktoren auf allen Hierarchiestufen miteinbezieht, verfolgt er einen integralen Ansatz. Massnahmen und Verantwortlichkeiten für die Behandlung von Risiken sollen bekannt sein, und die Direktionen und die Staatskanzlei sollen beauftragt werden, Beiträge zur Risikoreduktion zu leisten. Das IntRM und die darin identifizierten Auswirkungen auf die Handlungsfähigkeit und Resilienz von Regierung und Verwaltung sind Voraussetzung für die Planung und Führung der Geschäftskontinuitätsprozesse, die in der Verantwortung der Direktionen und der Staatskanzlei liegen. Dazu erstattet die Sicherheitsdirektion dem Regierungsrat jährlich Bericht und Antrag. Das IntRM ist ein Führungsinstrument auf strategischer Ebene. Es versteht sich als Ergänzung zu bestehenden Risikomanagementprozessen. Das IntRM baut auf diesem vorhandenen Fachwissen und den wertvollen Erfahrungswerten auf und zielt somit auf eine methodische Vereinheitlichung bei der Erhebung und Bewertung von strategischen, regierungsrelevanten Risiken und von Massnahmen zu deren Reduktion ab. Zu diesem Zweck wird das IntRM entlang standardisierter Vorgaben und einer einheitlich definierten Methodik umgesetzt, die von den Direktionen, der Staatskanzlei und ihren Organisationseinheiten (OE) zu beachten sind. Als Voraussetzung für die Umsetzung des IntRM hat der Regierungsrat am 7. März 2023 eine Änderung der Verordnung über die Organisation des Regierungsrates und der kantonalen Verwaltung (VOG RR, LS 172.11) beschlossen und dabei die Eckwerte von Organisation und Verfahren (Mitarbeit der Direktionen und Staatskanzlei, Bündelung durch die Stelle «Integrales Risikomanagement» der Sicherheitsdirektion [IntRM- Stelle]) geregelt. Diese Verordnungsänderung tritt am 1. September 2023 in Kraft (RRB Nr. 279/2023). Gemäss § 14 Abs. 2 VOG RR (neu) legt der

Regierungsrat Grundsätze für die Vorgaben des IntRM fest. Mit Beschluss Nr. 1001/2022 hat der Regierungsrat die Staatskanzlei beauftragt, ihm in Zusammenarbeit mit der Sicherheitsdirektion und der Finanzdirektion bis Sommer 2023 eine Prozess- und Methodenbeschreibung einschliesslich Kriterien für die Aufnahme von Risiken sowie Aufträge für die Erhebung bei den Direktionen und der Staatskanzlei zu unterbreiten.

2. Grundsätze

2.1. Begriffe Unter Risiken werden Ereignisse und Entwicklungen verstanden, die bei Eintritt wesentliche negative nichtfinanzielle oder finanzielle Auswirkungen auf die Erreichung der Ziele und die Erfüllung der Aufgaben des Kantons haben können. Um die Auftragserfüllung und Handlungsfähigkeit der Kantonsverwaltung jederzeit sicherzustellen, braucht es demnach einen Risikomanagementprozess, der die «systematische Anwendung von Grundsätzen, Verfahren und Tätigkeiten zur Identifikation, Analyse, Bewertung, Behandlung und Überwachung von Risiken» umfasst (Bundesamt für Bevölkerungsschutz, Integrales Risikomanagement, Bedeutung für den Schutz der Bevölkerung und ihrer Lebensgrundlagen, Bern 2014). Ein IntRM stellt damit sicher, dass (1) alle wesentlichen Verantwortungsträgerinnen und -träger, Fachpersonen und Betroffenen miteinbezogen werden, (2) alle für den Regierungsrat und die Kantonsverwaltung wesentlichen strategischen Risiken festgestellt und untersucht werden, (3) bei der Bewertung der Risiken und der Wirkung der Massnahmen differenzierte Indikatoren verwendet werden und (4) bei der Behandlung und Überwachung der Risiken Massnahmen aus dem gesamten Spektrum der verfügbaren Möglichkeiten in Betracht gezogen werden.

2.2. Risikoakzeptanz Allgemein gilt, dass sich Risiken im Rahmen der ordentlichen Tätigkeit des Kantons nie vollständig vermeiden lassen. Der Regierungsrat und die Verwaltung gehen Risiken deswegen bewusst und kontrolliert ein. Sie entscheiden, wie viel Risiko im Rahmen ihrer Tätigkeit eingegangen werden soll. Dazu sollen Risiken mit einem funktionierenden Risikomanagement auf einem von der zuständigen Führungsebene akzeptierten Niveau gehandhabt werden.

2.3. Risikokultur Das IntRM soll die Mitarbeitenden der Verwaltung für den Umgang mit Risiken sensibilisieren und zu einer Risikokultur beitragen. Bausteine dafür sind eine positive Lern- und Fehlerkultur, die Berücksichtigung von Fachwissen, die Regelung von Verantwortlichkeiten, die Sensibilisierung für Beiträge zur Risikoreduktion, vernetztes Denken über Organisationseinheiten hinweg sowie ein offener Informationsaustausch zwischen den Mitarbeitenden und den Vorgesetzten.

2.4. Einbezug und Abgrenzung von anderen Managementsystemen Das IntRM ergänzt die Führungsinstrumente um den Gesichtspunkt der Risiken, ersetzt jedoch kein bestehendes Managementsystem, wie etwa das interne Kontrollsystem, das Management der Geschäftsfortführung (Business Continuity Management, BCM), das Informationssicherheitsmanagement, das Interventionsmanagement oder das finanzielle Risikocontrolling gemäss § 14 Abs. 5 VOG RR (Änderung vom 7. März 2023). Eine gute Vernetzung zwischen dem IntRM und diesen Bereichen trägt dazu bei, vorhandenes Wissen zu erschliessen und Doppelspurigkeiten zu vermeiden. Das IntRM integriert vorhandene Daten bzw. Erkenntnisse (z. B. Verdichtung des bestehenden Wissens, Bewertung, Massnahmenvorschläge) aus diesen Systemen und verbessert so die Resilienz in Bezug auf Gefährdungen, welche die Handlungsfähigkeit der Regierung und Verwaltung beeinträchtigen. Mögliche Synergien mit der strategischen Planung können durch geeignete zeitliche Koordination genutzt werden.

3. Prozesse Das Risikomanagement auf strategischer Stufe (Regierungsrat), auf koordinierender Stufe (Steuerungsausschuss [StA] und IntRM-Stelle) und auf operativer/ausführender Stufe (Direktionen und Staatskanzlei mit den OE) folgt methodisch dem integralen Risikomanagementprozess (IntRM-Prozess). Dieser gliedert sich in die drei Phasen «Umfeldanalyse», «Risikobeurteilung» (einschliesslich der Prozessschritte Risikoidentifikation, Risikoanalyse, Risikobewertung) sowie «Risikobehandlung» und endet mit der jährlichen Berichterstattung an den Regierungsrat und dessen Planvorgabe (Risikobericht und Plan Risikosteuerung).

Abbildung 1: Der integrale Risikomanagementprozess

Für die Umsetzung des IntRM-Prozesses braucht es neben klaren Vorgaben auf strategischer und koordinativer Stufe sowie nützlichen Instrumenten zur Unterstützung der operativen Ebene auch Informationen, Fachexpertise und Erfahrungswerte aus den Direktionen und der Staatskanzlei sowie ihren OE. Um diese Wechselbeziehungen gezielt zu berücksichtigen, vereint der IntRM-Prozess eine Top-down- und eine Bottom-up- Perspektive. Top-down werden inhaltliche Produkte (z. B. Risikoinventar, Massnahmeninventar) und methodische Hilfsmittel (Erfassungs- und Bemessungsanleitungen) von der IntRM-Stelle an die Direktionen und die Staatskanzlei übermittelt. Bottom-up werden Risikobewertungen, zusätzlich erkannte Risiken, zusätzliche Behandlungsmassnahmen und Expertenwissen von den Direktionen und der Staatskanzlei an die IntRM- Stelle übermittelt, wo die Informationen gesamthaft ausgewertet und verdichtet werden. Im Regelbetrieb wird der Prozess fortlaufend anzupassen und zu verbessern sein, namentlich bezüglich Schnittstellen und zeitlicher Koordination mit bestehenden Managementprozessen (z. B. andere Sicherheitssysteme, Konsolidierter Entwicklungs- und Finanzplan, Geschäftsbericht). Nachdem sich das IntRM im Regelbetrieb verstetigt hat, ist die Beschaffung einer kantonsweit einheitlich nutzbaren Informatiklösung zur Erfassung und Administration von Risiken zu prüfen. Mögliche Synergien mit weiteren Kantonsapplikationen sind dabei in Zusammenarbeit mit der Staatskanzlei und der Finanzdirektion zu berücksichtigen.

3.1. Umfeldanalyse Zur Vorbereitung des IntRM-Prozesses auf koordinierender und operativer Stufe führt die IntRM-Stelle regelmässig wiederkehrende Trend- und Kontextanalysen durch. Anhand einer umfassenden Sichtung bestehender Studien (z. B. Sicherheitsbericht [Militärakademie und Center for Security Studies an der ETH Zürich], Risikomanagement Bevölkerungsschutz [Kantonspolizei, Kantonale Führungsorganisation], Bericht Umfeldentwicklungen im Rahmen der Legislaturplanung [Staatskanzlei]) wird das Umfeld, in das der Kanton eingebettet ist, mit einer mittel- bis langfristigen Perspektive systematisch untersucht. Das Ziel ist, hieraus wesentliche Gefährdungen zu erkennen und diejenigen festzustellen, die sich auf die Regierung und Verwaltung auswirken können. Zusätzlich werden Angaben der Direktionen und der Staatskanzlei sowie ihrer OE und der Partnerorganisationen gemäss § 3 des Bevölkerungsschutzgesetzes (LS 520) untersucht, z. B. betreffend Leistungserbringende, Leistungsvereinbarungen, Lieferantinnen und Lieferanten.

3.2. Risikobeurteilung auf Stufe Integrales Risikomanagement und Direktion

3.2.1. Risikoidentifikation, -analyse, -bewertung und -behandlung auf Stufe Integrales Risikomanagement An die Trend- und Kontextanalysen schliesst das Risikoinventarverfahren an, das von der IntRM-Stelle top-down ausgeführt wird. Die zuvor abgeleiteten Risiken werden systematisch kategorisiert, einer Risikoanalyse und -bewertung unterzogen sowie erste Massnahmen zur Risikoreduktion abgeleitet. Im so entstandenen Risiko- und Massnahmeninventar werden die erfassten Risiken in Kategorien mit Unterkategorien einschliesslich Beschreibung und Bewertung zusammengestellt. Das Risiko- und Massnahmeninventar dient den Direktionen und der Staatskanzlei sowie ihren OE als Orientierungshilfe und Instrument für die Durchführung des IntRM-Prozesses auf ihrer Stufe. Die IntRM-Stelle stellt zur Unterstützung weitere Hilfsmittel wie Risiko- und Massnahmenblätter sowie einen Definitionsrahmen für das BCM zur Verfügung.

3.2.2. Risikoidentifikation, -analyse und -bewertung auf Stufe Direktion Die Direktionen und die Staatskanzlei sowie ihre OE überprüfen das unter Leitung der IntRM-Stelle entwickelte Risikoinventar und ergänzen dieses durch weitere Risiken. Die Risiken werden beschrieben und die Ursachen sowie Auswirkungen anhand vorgegebener Analysemethoden ermittelt. Anschliessend werden alle untersuchten Risiken hinsichtlich Eintrittswahrscheinlichkeit und Schadensausmass bewertet. Die Ergebnisse melden sie mit dem überarbeiteten Risikoinventar der IntRM- Stelle.

Abbildung 2: Risikobeurteilung und Risikobehandlung auf Stufe Direktion

3.3. Risikobehandlung auf Stufe Direktion

3.3.1. Massnahmen und Massnahmencontrolling Die Direktionen und die Staatskanzlei sowie ihre OE überprüfen das von der IntRM-Stelle entwickelte Massnahmeninventar und ergänzen dieses. Zu jedem analysierten und bewerteten Risiko stellen sie die bereits bestehenden Massnahmen zur Risikosteuerung zusammen und erarbeiten, falls erforderlich, neue Massnahmen. Die Ergebnisse melden sie der IntRM-Stelle.

3.3.2. Schnittstelle zum Kontinuitätsmanagement Zwischen dem BCM und dem IntRM bestehen Schnittstellen. So können die im IntRM-Prozess erhobenen Risiken zwecks Risikosteuerung Massnahmen zur Erhaltung der Geschäftskontinuität erfordern. Die Planung und Umsetzung dieser konkreten Massnahmen liegen dabei in der Verantwortung der Direktionen und Staatskanzlei. Wenn Risiken sich negativ auf die Geschäftskontinuität auswirken, sind als weitere Ausgangslage für das Management der Geschäftskontinuität Schlüsselprozesse zu identifizieren. Die Direktionen und die Staatskanzlei erheben und strukturieren diese nach einem vorgegebenen Definitionsrahmen, nachdem sie eine Priorisierung der mindestens zu erfüllenden Aufgaben vorgenommen haben. Das so ermittelte Inventar Schlüsselprozesse wird der IntRM-Stelle gemeldet. Das Inventar ist als vertraulich zu klassifizieren und wird allen Direktionen und der Staatskanzlei zur Verfügung gestellt, damit daraus ein Nutzen für deren BCM gezogen werden kann.

3.4. Konsolidierung Die Direktionen und die Staatskanzlei reichen die intern erhobenen Risiken, Steuerungsmassnahmen und Schlüsselprozesse bei der IntRM- Stelle ein. Diese wertet die Ergebnisse aus, vergleicht die Einschätzungen anhand der zugrunde liegenden Methodik, vereinheitlicht gleichartige Risikofestlegungen, identifiziert Querschnittrisiken und bereitet die Zuteilung von Zuständigkeiten durch den Regierungsrat vor (vgl. Ziff. 3.6). Unklarheiten in Bezug auf die Vergleichbarkeit werden im Dialog mit den Direktionen und der Staatskanzlei behoben. Anhand der folgenden, kumulativ anzuwendenden Kriterien Allgemeinverbindlichkeit und Grössenordnung wird ermittelt, welche der aufbereiteten Risiken von strategischer Bedeutung sind und somit in den Risikobericht sowie den Plan Risikosteuerung zuhanden des Regierungsrates aufgenommen werden: Allgemeinverbindlichkeit: Risiken, die sich weitgehend auf Stufe des Regierungsrates und bei einem Grossteil der Verwaltung auswirken können und deren Steuerung somit direktionsübergreifende Massnahmen voraussetzt.

Grössenordnung: Risiken, die eine strategische Bedeutung haben und die Erfüllung wesentlicher Leistungen und Aufträge innerhalb der Verwaltung und/oder zugunsten der Bevölkerung über einen kritischen Zeitraum hinweg einschränken und dadurch die Handlungsfähigkeit eines wesentlichen Teils der Verwaltung und allenfalls des Regierungsrates gefährden.

3.5. Kompetenzen, Rollen und Verantwortlichkeiten Die Kompetenzen der zuständigen Direktionen und der Staatskanzlei sowie ihrer OE bleiben gewahrt. Sie sind verpflichtet, die Vorgaben des IntRM zu beachten und die dafür erforderlichen Angaben, Leistungen und Schnittstellen bereitzustellen. Ein funktionsfähiges IntRM bedarf in den OE bestimmter Rollen, die geeigneten Funktionsträgerinnen und -trägern zuzuweisen sind. Rolle Beschreibung Auftrag Risikomanager/in Ein/e Risikomanager/in ist innerhalb der Pro Direktion/Staats- Direktion für die einheitliche Anwendung kanzlei ist intern ein/e des IntRM-Prozesses und der Methodik Risikomanager/in als zuständig, an deren Weiterentwicklung zentrale Ansprechperson unter Leitung der IntRM-Stelle beteiligt zu bezeichnen und der sowie zentrale Ansprechperson für die IntRM-Stelle zu melden. IntRM-Stelle. Risikoeigner/in Ein/e Risikoeigner/in ist innerhalb eines Es wird empfohlen, (Organisations- Amtes für die Führung eines oder mehrerer direktionsintern eine/n vorschlag) Risiken einschliesslich der damit verbun- oder mehrere Risikoeigdenen Steuerungsmassnahmen sowie ner/innen zu bezeichnen. für die Berichterstattung über deren Umsetzung verantwortlich. Massnahmen- Massnahmenverantwortliche werden Es wird empfohlen, verantwortliche/r von dem/der Risikoeigner/in beauftragt, direktionsintern eine/n (Organisations- eine oder mehrere Massnahmen zur oder mehrere Massvorschlag) Risikosteuerung zu führen. nahmenverantwortliche zu bezeichnen. Tabelle 1: Rollen im IntRM

Die Organisation und Ressourcenzuweisung der dargestellten Rollen und Aufgaben liegt in der Zuständigkeit der Direktionen bzw. der Staatskanzlei. Sie melden der IntRM-Stelle lediglich den/die Risikomanager/in. Die weiteren Rollen sind als Vorschlag zur Organisation des IntRM- Prozesses zu verstehen. Da vergleichbare Rollen in der Regel bereits bestehen und die IntRM-Stelle die Prozesse neu zentral unterstützt, ist in den Direktionen eine stellenneutrale Umsetzung vorgesehen. Nach einem kurzfristig erhöhten Initialaufwand wird mittelfristig höchstens ein mässiger Zusatzaufwand erwartet. Der Aufwand hängt auch vom bestehenden Reife- und Einführungsgrad des direktionseigenen Risikomanagements ab.

3.6. Zuständigkeiten bei Querschnittrisiken Während Einzelrisiken jeweils nur einzelne Direktionen oder OE bzw. die Staatskanzlei betreffen, gibt es Risiken, die für mehrere Direktionen und OE wesentlich sind. Auf die Feststellung und Bearbeitung solcher Querschnittrisiken legt das IntRM im Rahmen des Konsolidierungsprozesses besonderes Augenmerk. Bei den Querschnittrisiken folgt die Verantwortung den bestehenden Zuständigkeiten. Wo überdirektionale Koordinationsgremien bestehen, erfolgt die Zuweisung der Zuständigkeit für Querschnittrisiken dort (z. B. Konferenz der Leiterinnen und Leiter Human Resources, Operative Informatiksteuerung). Besteht noch keine Zuständigkeit, wird deren Zuweisung dem Regierungsrat unterbreitet.

4. Aufträge

4.1. Konferenz der Generalsekretärinnen und -sekretäre Die Konferenz der Generalsekretärinnen und -sekretäre (GSK) hat den Auftrag, jährlich, erstmals im Herbst 2024, zu den Entwürfen des Risikoberichts und des Plans Risikosteuerung Stellung zu nehmen, bevor diese dem Regierungsrat unterbreitet werden (§ 14 Abs. 4 VOG RR, Änderung vom 7. März 2023). Die Mitglieder der GSK gewährleisten einen optimalen Zugang zu den beizuziehenden Stellen ihrer Direktion, den Behörden und Partnerorganisationen. Sie unterstützen bei der Identifikation wichtiger Schnittstellen, bringen die Bedürfnisse ihrer Direktion in das IntRM ein und stellen die Durchsetzung der IntRM-Vorgaben in der Direktion sicher. Zur Gewährleistung dieser Funktionen zieht die IntRM-Stelle die Staatskanzlei bei.

4.2. Direktionen und Staatskanzlei – Die Direktionen und die Staatskanzlei bezeichnen bis zum 25. August 2023 die Fachperson für die Rolle der Risikomanagerin oder des Risikomanagers, die der IntRM-Stelle als Single Point of Contact dient, bzw. provisorisch eine andere zentrale Ansprechperson. – Sie weisen intern die für ein funktionsfähiges integrales Risikomanagement erforderlichen Rollen zu, z. B. die Rolle der Risikoeignerin oder des Risikoeigners und der oder des Massnahmenverantwortlichen. – Sie liefern der IntRM-Stelle die angeforderten Informationen, die für die Umsetzung des IntRM notwendig sind: – Inventar der wesentlichen Partnerorganisationen, Leistungserbringenden sowie Lieferantinnen und Lieferanten – Leistungsvereinbarungen, Grossprojekte, Ziele und strategische Schwerpunkte, Finanzplanungen, Geschäftsberichte usw. – Informationen zu bestehenden Risikomanagementkonzepten und -prozessen sowie zu weiteren wesentlichen Schnittstellen zu Bereichen der Führungsunterstützung

– Sie führen den IntRM-Prozess auf ihrer Stufe nach den Vorgaben des IntRM: – Überprüfung des Risiko- und Massnahmeninventars der IntRM- Stelle – Erhebung und Bewertung eigener Risiken und Massnahmen – Überwachung der Umsetzung von Steuerungsmassnahmen / Führen eines Massnahmencontrollings – Erarbeitung des Risiko- und Massnahmeninventars und des Inventars Schlüsselprozesse, Zustellung an die IntRM-Stelle

4.3. Steuerungsausschuss Der Steuerungsausschuss besteht aus Vertretungen der Finanzdirektion und der Sicherheitsdirektion (einschliesslich IntRM-Stelle) und wird von der Staatskanzlei geführt. Im Rahmen der gegenwärtigen Initialisierungsphase, die mit der Erarbeitung des Risikoberichts und des Plans Risikosteuerung im Herbst 2024 endet, ist der Steuerungsausschuss unter der Leitung der Staatskanzlei mit der konzeptionellen Umsetzung und verwaltungsweiten Einführung des IntRM beauftragt. Er arbeitet eng mit den Direktionen, der Staatskanzlei und ihren Ansprechpersonen zusammen und unterstützt die OE mit einem Detailzeitplan für die Initialisierungsphase, einem IntRM-Rahmenwerk, dem Risikoinventarverfahren, dem Risiko- und Massnahmeninventar und weiteren Instrumenten zur Durchführung des IntRM-Prozesses sowie bei der Abstimmung des direktionseigenen Risikomanagements auf diesen.

4.4. Sicherheitsdirektion Die Sicherheitsdirektion übernimmt das IntRM im Regelbetrieb ab Herbst 2024, wobei die IntRM-Stelle den IntRM-Prozess führt, den Austausch mit den Direktionen und ihren Ansprechpersonen sicherstellt und das IntRM koordiniert und weiterentwickelt.

5. Produkte Der IntRM-Prozess führt zu zwei Ergebnissen, die dem Regierungsrat zum Beschluss unterbreitet werden: a. Risikobericht: Dieser informiert den Regierungsrat über die rund 10–20 Toprisiken sowie deren Bewertung und Veränderung gegenüber dem letzten Bericht und bildet dies in einer Grafik ab. b. Plan Risikosteuerung: Dieser enthält die Massnahmenanalyse zur Akzeptanz und Steuerung der im Risikobericht präsentierten Toprisiken, dokumentiert die Steuerungsmassnahmen, zeigt als Controllingbericht den Vollzug durch die zuständigen Stellen, stellt einen Vergleich zum letzten Bericht her und beantragt dem Regierungsrat Steuerungsmassnahmen.