3.2 Weerstandsvermogen en risicobeheersing

De provincie staat voor grote en complexe opgaven in een tijd van nationale en geopolitieke spanningen. Deze tijd van verandering vraagt om voldoende aanpassingsvermogen van de provincie. Risicomanagement draagt hier in belangrijke mate aan bij. Ten opzichte van de risico-inventarisatie in de jaarrekening 2025 is de belangrijkste wijziging dat het risico, dat er wellicht te weinig budget is voor de sanering van de PFAS-verontreiniging van grond en grondwater op de voormalige Vliegbasis Soesterberg, eruit gehaald. Dit omdat dit risico zich heeft voorgedaan. Voor meer informatie over belangrijke wijzigingen zie paragraaf 3.2.4.

De inventarisatie van risico’s leverde in totaal 139 risico’s op. Deze zijn opgenomen in ons risicomanagementsysteem. Van de 139 hebben 58 risico’s een financieel effect. Het totaalbedrag waarover we risico lopen bedraagt momenteel € 78,8 miljoen. Het is onwaarschijnlijk dat alle opgenomen risico’s zich tegelijkertijd voordoen. Daarom wordt jaarlijks een Monte Carlo-analyse uitgevoerd waarbij statistisch met 90% (landelijke norm) wordt berekend wat het benodigde weerstandsvermogen is. Hieruit blijkt dat € 10,1 miljoen voldoende is om alle risico's op te vangen.

In het onderstaande overzicht presenteren we de belangrijkste 9 risico's. Dit zijn de risico’s met de hoogste impact op het benodigd weerstandsvermogen. Deze risico’s zijn samen goed voor ongeveer 55% van de berekende omvang van het benodigd weerstandsvermogen. De Financiële Klasse is bepaald op het maximaal financieel risico. Als het verwachte financieel gevolg bekend is, is dat ingevuld onder financieel gevolg. Zo niet, dan is het maximale financieel gevolg ingevuld.

(Bedragen x € 1 miljoen)

Uitvoering concessies openbaar vervoer 
De uitvoering van de concessies openbaar vervoer in de provincie Utrecht heeft in 2026 de nodige problemen. Er zijn diverse oorzaken daarvoor, zoals beschikbaarheid en kosten van personeel, netcongestie en stijgende prijzen die niet standaard geïndexeerd worden. De mogelijke oplossingen hiervoor zijn divers en complex. De gesprekken daarover vinden de komende tijd plaats. Een grotere rol van de provincie bij het waarborgen van de continuïteit kan daarbij aan de orde komen. De financiële gevolgen hiervan kunnen momenteel nog niet worden ingeschat, maar kunnen aanzienlijk zijn. Gelet op de potentiële financiële impact is het mogelijke risico zekerheidshalve opgenomen in het weerstandsvermogen.

Er vindt een cyberincident plaats
Een cyberincident, zoals een hack, ransomwareaanval, digitale sabotage of ongeoorloofde toegang tot systemen, kan ertoe leiden dat ICT-systemen en/of operationele besturingssystemen tijdelijk niet beschikbaar zijn of niet meer functioneren zoals bedoeld. Ook kan sprake zijn van overname of manipulatie van systemen, met mogelijke gevolgen zoals verstoring van bedrijfsprocessen, fysieke schade, ontwrichting, desinformatie of reputatieschade. Voorbeelden zijn het niet kunnen uitvoeren van provinciale processen, ongewenste berichten op provinciale websites, rituitval binnen het trambedrijf of verstoring van verkeerslichten. De kans op een cyberincident blijft reëel, mede door de aanhoudende dreiging vanuit cybercriminaliteit en statelijke actoren. De provincie werkt daarom structureel aan het versterken van haar digitale weerbaarheid. Door samenwerking met andere provincies, aansluiting op dreigingsinformatie vanuit het Nationaal Cyber Security Centrum en de realisatie van een Security Operations Center (SOC) wordt dreigingsinformatie sneller ontvangen, ontstaat een beter situationeel beeld en kunnen aanvallen eerder worden gedetecteerd en opgevolgd. In 2026 is daarnaast verdere voorbereiding getroffen op sectorale SOC-samenwerking, waardoor risico ook sectorbreed beter in beeld komen. Ondanks deze beheersmaatregelen kan een cyberincident niet volledig worden voorkomen. De inzet is erop gericht de kans op een incident te verkleinen en de impact bij een incident zoveel mogelijk te beperken.

Fouten bij de berekening van de provinciale opcenten door de belastingdienst   
Dit risico is opgenomen omdat de provinciale opcenten een materiële inkomstenbron vormen en de provincie hierbij afhankelijk is van een juiste uitvoering door de Belastingdienst. Bij fouten in de berekening of verwerking (bijvoorbeeld door systeem- of procesfouten) kan sprake zijn van te lage of te hoge afdrachten, met als gevolg een incidentele tegenvaller, correcties achteraf en onzekerheid over de gerealiseerde baten. Gezien de mogelijke omvang van nabetalingen of terugbetalingen en de beperkte directe beïnvloedbaarheid door de provincie is het risico opgenomen in het weerstandsvermogen. De kans is ingeschat op 30% en de maximale financiële impact op € 4 miljoen. Ter voorkoming hiervan is via het IPO een structurele afstemmingslijn met de Belastingdienst ingericht om tijdig signalen op te halen en mogelijke afwijkingen in de berekening te voorkomen.

Uitlekken van vertrouwelijke informatie
Het uitlekken van vertrouwelijke, privacygevoelige of bestuurlijk gevoelige informatie kan leiden tot schade voor betrokkenen, reputatieschade voor de provincie en aantasting van het vertrouwen in provinciale en gedeputeerde staten. Naast AVG-gerelateerde gevolgen kan het bijvoorbeeld gaan om openbaarwording van vertrouwelijke besluitvorming, persoonsgegevens of andere informatie die niet voor derden bestemd is. De Meldplicht Datalekken verplicht organisaties die persoonsgegevens verwerken om datalekken te melden bij de Autoriteit Persoonsgegevens wanneer sprake is van een mogelijk risico voor betrokkenen. Voorbeelden zijn een verloren laptop of gegevensdrager, ongeoorloofde toegang tot systemen met persoonsgegevens of het verzenden van privacygevoelige informatie aan een onjuiste ontvanger. Het niet of onvoldoende zorgvuldig omgaan met dergelijke incidenten kan leiden tot herstelkosten, schadeclaims, toezichtmaatregelen of boetes. De provincie Utrecht investeert actief in risicobewustzijn rondom informatiebeveiliging en privacy. Uit de BIO-zelfanalyse blijkt dat het volwassenheidsniveau van de beveiligingsorganisatie de afgelopen jaren is gegroeid: van 2,3 in 2024 naar 3,1 in 2025 op een schaal van 1 tot 5. In 2026 is dit verder versterkt door de realisatie van een SOC, voorbereiding op sectorale SOC-samenwerking en het verplicht stellen van opleidingen op het gebied van informatiebeveiliging en privacy bewustzijn. Verdere verbetering, borging en naleving van maatregelen blijven noodzakelijk om de kans op incidenten te verkleinen en de gevolgen van eventuele incidenten te beperken.

ICT- gerelateerde voorvallen
Door de toenemende digitalisering van provinciale processen neemt ook de afhankelijkheid van ICT-middelen, applicaties, data, cloudvoorzieningen, leveranciers en digitale ketens toe. Uitval, verminderde beschikbaarheid of onvoldoende werking van ICT-diensten kan grote impact hebben op de continuïteit van werkzaamheden, dienstverlening en bedrijfsvoering. Dit kan bijvoorbeeld ontstaan door technische storingen, softwarefouten, afhankelijkheid van leveranciers, uitval van voorzieningen, onvoldoende beheerste wijzigingen of verstoringen in de digitale infrastructuur. De provincie monitort de beschikbaarheid van systemen continu en past beheersmaatregelen aan wanneer risicoanalyses of incidenten daartoe aanleiding geven. Maatregelen zijn onder meer een actueel bedrijfscontinuïteitsplan, toegangsbeveiliging met passende autorisatiemaatregelen en twee-factor-authenticatie, uitwijkprocedures met leveranciers en hostingpartners, opvang bij stroomuitval en het tijdig inschakelen van experts bij verstoringen. Daarnaast wordt bij nieuwe contracten de exitstrategie uitgewerkt, wordt cloudbeleid geïmplementeerd en worden risicoanalyses uitgevoerd op bestaande en nieuwe ICT-voorzieningen. Ook wordt de ICT-infrastructuur gemoderniseerd en waar nodig onderworpen aan diepgaande risicoanalyses, waarbij nieuwe of aangepaste programmatuur zorgvuldig wordt getest voor implementatie. Met het programma ‘ICT-fundament op orde’, waarvan afronding eind 2026 is voorzien, wordt de basis voor continuïteit, beheersbaarheid en weerbaarheid verder versterkt. Daarmee wordt de kans op ICT-gerelateerde voorvallen verkleind en wordt de impact bij verstoringen zoveel mogelijk beperkt.

Uitval kritieke operationele systemen
Bij het trambedrijf kunnen de operationele systemen door een aantal oorzaken uitvallen met als gevolg rituitval. Belangrijkste oorzaken zijn storingen en hacking van het systeem. Storingen kunnen o.a. veroorzaakt worden door het veranderde klimaat, waardoor onderdelen bij extreme weersomstandigheden voortijdig uitvallen. Dit risico blijft ook na de verzelfstandiging van het Trambedrijf bestaan voor de provincie. Hoewel de operationele verantwoordelijkheid voor de uitvoering bij het Trambedrijf wordt belegd, blijven de operationele systemen eigendom van de provincie. De aan deze systemen verbonden risico's blijven daarmee eveneens de verantwoordelijkheid van de provincie.

(HvdH en VBS) – Hogere plankosten door netwerkcongestie en extra combinatierisico’s
Voor de projecten HvdH en VBS is één risico opgenomen ten laste van het weerstandsvermogen. Dit risico bestaat uit twee onderdelen. Ten eerste bestaat het risico dat netwerkcongestie leidt tot vertraging in de aansluiting op het water- en elektriciteitsnet. Hierdoor kunnen planvorming en uitvoering vertragen, met hogere plankosten als gevolg. Daarnaast is binnen dit risico rekening gehouden met een aanvullend combinatierisico. Dit betreft een bundeling van meerdere, relatief kleinere projectrisico’s die bij gebieds- en bouwprojecten kunnen optreden, zoals schaarste op de arbeidsmarkt, de invoering van financieringsrente bij de provincie en extra tijd en kosten als gevolg van Woo-procedures.

Oude Tempel (HvdH) – kans op hogere grondopbrengsten
De gemeente Soest werkt aan een definitief stedenbouwkundig plan voor Oude Tempel waarbij rekening wordt gehouden met ruimte voor de natuurmaatregelen. In dit risico wordt een bandbreedte aangegeven. Enerzijds kans op lagere grondopbrengsten doordat de maatregelen voor de natuur ten koste gaan van uitgeefbaar gebied of extra investeringen vragen. Anderzijds zijn ook hier de grondopbrengsten conservatief geraamd. Kans is dat de grondopbrengsten uiteindelijk hoger uitvallen. Dit betreft een algemeen risico.

Niet voldoen aan voorwaarden van specifieke uitkeringen (SPUK)
Het risico bestaat dat de provincie niet, niet volledig of niet tijdig voldoet aan de voorwaarden die verbonden zijn aan specifieke uitkeringen (SPUK). Dit kan bijvoorbeeld ontstaan wanneer de onderbouwing, documentatie of verantwoording van een project onvoldoende op orde is, terwijl al wel verplichtingen zijn aangegaan of kosten zijn gemaakt.
Dit kan ertoe leiden dat de specifieke uitkering geheel of gedeeltelijk niet wordt ontvangen, lager wordt vastgesteld of achteraf moet worden terugbetaald. Daarmee kan een financiële tegenvaller ontstaan en kan daarnaast sprake zijn van extra bestuurlijke en administratieve inspanning om correcties of herstelmaatregelen door te voeren.
Voor het SiSa-gedeelte is inmiddels een oplossing gevonden. Daarnaast worden de beheersmaatregelen verder aangescherpt door de voorwaarden per specifieke uitkering explicieter vast te leggen, verantwoordelijkheden in de uitvoering en verantwoording duidelijker te beleggen en de dossiervorming en monitoring gedurende de looptijd van projecten te versterken. Hiermee wordt beoogd om afwijkingen eerder te signaleren en tijdig bij te sturen, zodat de kans op financiële correcties of terugvordering wordt beperkt.