Inhuur Ontwikkelexpert Risicomanagement

Visie op Risicomanagement De visie het Hoogheemraadschap van Delfland op risicomanagement is die van een structurele aanpak voor het in kaart brengen, beheersen en monitoren van kwetsbaarheden en bedreigingen die in de weg kunnen staan aan het behalen van de organisatiedoelstellingen. Hiermee streven wij een integrale aanpak na, waarbij risico's onderdeel uitmaken van de sturingsinformatie en op een bewuste manier beslissingen worden genomen over het mitigeren of juist accepteren van bepaalde risico's. Dit is niet alleen een ambitie; ten aanzien van cybersecurity risico's hebben we hiertoe ook een wettelijke verplichting (volgend uit de NIS2 richtlijn). Rollen en Verantwoordelijkheden Medewerkers: Verantwoordelijk voor het signaleren van risico's en het tijdig en correct uitvoeren van de beheersmaatregelen die binnen zijn / haar takenpakket vallen. De Risicomanager: Verantwoordelijk voor het identificeren, monitoren en administreren van risico's en het informeren van de Manager hierover. Indien gewenst kan ervoor worden gekozen om ??n Risicomanager aan te wijzen voor meerdere afdelingen / programma's / assetdomeinen / informatie / producten en diensten, zo lang dit een goede uitoefening van de Risicomanager-rol niet in de weg staat. De Manager: Verantwoordelijk voor de effectiviteit van de beheersmaatregelen en voor het monitoren en sturen van het risicoprofiel binnen de eigen sturingslijn (afdeling / programma / assetdomein / informatie / producten en diensten). De Manager is tevens verantwoordelijk voor een goede informatievoorziening richting de Risico Eigenaar, zowel periodiek als bij (dreigende) overschrijdingen van de risicobereidheid. De Risico Eigenaar: De verantwoordelijke directeur is als Risico Eigenaar eindverantwoordelijk voor het monitoren en beheersen van de risico's die onder zijn/haar verantwoordelijkheid vallen, zodat deze binnen de grenzen van de risicobereidheid blijven. Enterprise Risk Manager: Verantwoordelijk voor (de werking en continue verbetering van) het risicomanagement raamwerk binnen de organisatie. Dit betekent dat hij/zij het risicomanagement proces co?rdineert, een effectieve informatievoorziening daarbinnen borgt, eventuele knelpunten signaleert, en input levert ten behoeve van de bestuurlijke verantwoording in de Planning & Control cyclus. Opdracht Een praktische bijdrage leveren aan de organisatie brede implementatie van een uniform risicomanagement raamwerk binnen het Hoogheemraadschap van Delfland. De focus ligt hierbij op het begeleiden van de organisatie bij de praktische inrichting van de hierboven genoemde rollen van Medewerker, Risicomanager en Manager en helpen met het invullen hiervan. Dit onder andere door co-creatie van risicomanagement producten, het organiseren van de PDCA cyclus hieromheen en het stimuleren van risicobewustzijn in de verschillende (programma)teams. Verantwoordelijkheden De organisatie ondersteunen bij het praktisch inrichten van het werk in lijn met de rollen en verantwoordelijkheden van het risicomanagement beleid. Onderdeel hiervan zal zijn om samen met de organisatie te zoeken naar een passende indeling van de risicomanager rol (soms zal dit ??n risicomanager per team zijn, soms zal het bijvoorbeeld logischer zijn om deze rol op ketenniveau in te richten), en het begeleiden van medewerkers, risicomanagers en managers bij de praktische invulling van deze rollen. Dit bijvoorbeeld door de opvolging en verdieping te begeleiden van de risico workshops die op dit moment in de organisatie worden gehouden, te helpen bij het vastleggen van de uitkomsten in een risicoregister, te ondersteunen bij afspraken maken over monitoring, etc. Hierbij hoort een pragmatische aanpak, waarbij zoveel mogelijk wordt aangesloten bij de beleving en behoeften van medewerkers en teams, en wordt gezocht naar een toepassing van het beleid die hier zoveel mogelijk bij aansluit. Het beleid biedt hier ook voldoende ruimte voor. Het uiteindelijke doel is immers om eenieder in de organisatie te faciliteren en intrinsiek te motiveren om bewust en op rolvaste wijze om te gaan met risico's, op een manier die waarde toevoegt aan hun werk en hen in staat stelt om hun doelstellingen te behalen. Om bovenstaande te bereiken is het essentieel om meer risico bewustzijn te cre?ren. De opdrachtnemer ondersteunt hierbij door het stellen van (de juiste) vragen, maar soms ook door het aanreiken van oplossingen of voorbeelden. Op deze manier kunnen good practices ontstaan en breder in de organisatie worden toegepast. Hiermee fungeert de opdrachtnemer ook als een linking pin tussen de verschillende teams, en voedt hij/zij de Enterprise Risk manager met waardevolle inzichten uit de organisatie zodat de implementatie-aanpak hier waar nodig op kan worden aangepast. Gewenst Resultaat De rollen en verantwoordelijkheden uit het risicomanagement beleid zijn ingericht en geborgd in de organisatie. Medewerkers, risicomanagers, managers en directeuren weten wat hun scope is en wat er van hen verwacht wordt op het onderwerp van risicobeheersing. Zij hebben op verschillende manieren geoefend met de invulling van deze rollen (o.a. belangrijkste risico's en beheersmaatregelen integraal in beeld, eerste monitoringgesprekken gevoerd etc), zijn in staat om hier zelfstandig verder mee aan de slag te gaan en hebben met elkaar afspraken gemaakt over wat zij concreet van elkaar verwachten. Hieronder vallen bijvoorbeeld afspraken over de manier waarop de risico's en de implementatie van beheersmaatregelen worden gemonitord, hoe de uitkomsten van de monitoring worden vastgelegd en hoe (wijze en frequentie) aan de manager en de verantwoordelijke directeur hierover wordt gerapporteerd. Daarnaast wordt alle informatie en documentatie intern vindbaar en gestructureerd opgeslagen en overgedragen aan de relevante medewerkers (hieronder begrepen de Enterprise Risk Manager). In het kader van de informatieoverdracht levert opdrachtnemer op basis van opgedane ervaringen ook een overzicht op van aandachtspunten en suggesties voor de Enterprise Risk Manager, ten behoeve van de verdere implementatie. Bij het afronden van de opdracht moet de organisatie gesteld staan om de ingezette lijn zelfstandig vast te houden en door te zetten. Opleidisngsniveau o WO Eisen o Aantoonbaar WO werk- en denkniveau o Minimaal 3 jaar aantoonbare werkervaring als adviseur op het gebied van (doorontwikkeling) risicomanagement en/of organisatieontwikkeling Het is ter beoordeling aan Delfland of aan genoemde eisen wordt voldaan (zie paragraaf 4.1 methodiek, stap 2 beoordeling), Inschrijver moet in de gevraagde toelichting bij de vragen in Mercell daarom duidelijk op bovenstaande punten ingaan Wensen o Aantoonbare ervaring met de implementatie van risk control frameworks binnen een vergelijkbare organisatie o Aantoonbare inhoudelijke kennis van risicomanagement door opleiding en de toepassing daarvan in de praktijk o Aantoonbaar diverse ervaring met implementatie- en verandertrajecten binnen een decentrale overheid o Op verzoek van Delfland flexibel op- en afschaalbare inzetbaarheid o Prijs- kwaliteitverhouding o Stap 2: Beoordeling Offerte op basis van gunningcriteria Delfland checkt van de drie (3) hoogst scorende Offertes of de in het systeem ingevulde gegevens (eisen en wensen) inhoudelijk matchen met de inhoud van het CV. Indien blijkt dat de aangeboden kandidaat en/of de Inschrijver niet aan de eisen voldoet, wordt de offerte terzijde gelegd. Per eis kan er een korte toelichting worden gegeven waaruit blijkt dat de kandidaat voldoet aan de gestelde eis. De nummer vier (4) uit de ranking wordt dan meegenomen in de beoordeling. Indien blijkt dat het door Mercell aantal toebedeelde punten op de gunningcriteria naar het oordeel van de beoordelingscommissie op basis van het CV anders behoren te zijn, wordt het aantal toebedeelde punten aangepast op de onderdelen waar de mismatch werd vastgesteld. Alsdan wordt een nieuwe ranking gemaakt. Zodra de ranking opnieuw gecheckt en akkoord bevonden is, krijgen alle Inschrijvers bericht over hun voorlopige status: uitgenodigd voor een matchgesprek of niet uitgenodigd. In deze fase doet Delfland geen verdere/nadere mededelingen. De drie (3) Inschrijvers die na de check, mogelijke nieuwe ranking en opnieuw check het hoogste scoren worden uitgenodigd voor een matchgesprek. plaats op de datum zoals gemeld in de planning in paragraaf 1.5. Stap 3: Matchgesprekken Derde en laatste onderdeel van het beoordelingsproces is een matchgesprek met de door Inschrijver voorgestelde kandidaat van ongeveer