6 Board Letter 2023 accountant
Tekst van het document
Gemeente Almelo
Raadsbrief ter informatie
Postadres: Gemeente Almelo Postbus 5100 7600 GC Almelo
Aan de raad van de gemeente Almelo Bijlage -
Doorkiesnummer
Behandeld door R Schuttevaar
Datum 27 november 2023
Onderwerp Board Letter 2023 accountant
Geachte leden van de raad, Wij informeren u hierbij over de resultaten van de tussentijdse controle van de externe accountant. Eshuis Registeraccountants heeft van de raad de opdracht gekregen om de jaarrekening 2023 te controleren. Bij de tussentijdse controle gaat de accountant de interne beheersmaatregelen na en gaat hij nader in op de algemene ontwikkelingen en aandachtspunten voor de controle op de jaarrekening 2023. De uitkomsten worden gerapporteerd in een Board Letter. Dit is een samenvatting van de Management Letter na de interim-controle en die door het college ter kennisgeving aangenomen is. De accountant vermeldt in de Board Letter enkele bevindingen. Dit zijn aanbevelingen voor de interne beheeromgeving en de financiële processen. Wij houden de raad op de hoogte van de opvolging van deze bevindingen via de voor- en najaarsrapportage als onderdeel van de planning- en controlcyclus.
Belangrijkste aandachtspunten accountant Almelo heeft eind 2023 weer een solide financiële positie. Vanuit een duidelijk zwakker financieel startpunt heeft de gemeente zich terug geknokt naar een gezond huishoudboekje. Dat is gelukt dankzij een sterk (financieel) beleid. Anno nu staat Almelo voor een duidelijke toekomstvisie voor de stad, geflankeerd met daadkrachtig optreden. De toekomstvisie voor de stad is leidend voor het handelen van gemeentebestuur. Voor de komende jaren staan daarom grote projecten op de agenda waarmee grote bedragen gemoeid zijn. De bedrijfsvoering moet ondersteunend zijn in het beheersen en besturen van die projecten. De accountant ziet in het hier en nu drie onderwerpen waar het gemeentebestuur op moet acteren. Daarnaast ziet de accountant drie onderwerpen voor de toekomst die noodzakelijk zijn om goed te organiseren. Aandachtspunten voor vandaag vanuit de Management - & Board letter De drie hoofdpunten uit de managementletter zijn: IT-systemen, organisatiebeheer en cultuur. -
De IT-systemen van de gemeente Almelo zijn goed ingericht op het gebied van interne beheersing. De accountant kan steunen op de IT-systemen en doet dat ook. De IT-systemen leveren een belangrijke bijdrage aan de kwaliteit van de interne beheersing. IT-systemen kunnen door ingebedde controlemaatregelen (functiescheidingen, geautomatiseerde controles) handmatig werk vervangen. Daarnaast is een goede IT-huishouding de basis voor betrouwbare managementinformatie. De menselijke capaciteit van de ambtenaren kan bij een goed werkend IT-systeem worden ingezet op het verrijken en duiden van
Pagina 1 van 3 Raad - 2308057 DCS - 2386187
-
-
managementinformatie en niet op het handmatig controleren of bewerken van managementinformatie. De accountant wil dan ook verder met het steunen op de IT-systemen en de voorsprong die Almelo hierin heeft vasthouden. Organisatiebeheer. In de managementletter benoemt de accountant een aantal verbeterpunten die noodzakelijk zijn om de huidige interne beheersing goed te laten functioneren. Dit zijn klussen die aangepakt moeten worden maar er is geen sprake van zeer dringende tekortkomingen. De gemeentesecretaris heeft zich hier rekenschap van gegeven en de nodige opvolgende acties uitgezet. Cultuur. De accountant constateert dat Almelo vanuit een naar binnen gekeerde cultuur komt. Organisatieonderdelen functioneerden als ‘eilandjes’. Door de instroom van nieuwe ambtenaren en een andere visie op de bestuurscultuur is dit aan het veranderen, maar nog niet voltooid. Zeker met de grote projecten die de gemeente gaat aanpakken is een matrixorganisatie nodig: meerdere afdelingen die vanuit hun eigen expertise samenwerken, informatie delen en gezamenlijk voor een totaaldoel gaan. Hierin is nog werk te doen.
Belangrijkste aandachtspunten voor de toekomst De accountant ziet als belangrijkste aandachtspunten het beheersen van grote projecten, liquiditeitsmanagement en de nieuwe NIS2-richtlijn. -
-
-
Beheersing van grote projecten. Zoals aangegeven zijn de grote projecten een aandachtspunt. Grote projecten vragen om brede expertise en scherpe financiële sturing. Zowel naar het college als naar de raad. De gemeente maakt al gebruik van een ‘grote projecten monitor’ in rapportages. Meer geavanceerde systemen zoals dashboards of rapporteringssoftware kunnen een real-time inzicht geven de werkelijke bestedingen op het project. Voor het beheersen van risico’s is vooral menselijke expertise nodig. Daarbij gaat het om gekwalificeerde en ervaren specialisten op de inhoud maar ook om controllers, juristen en fiscalisten die projecten vooraf en gedurende het project screenen op risico’s om ‘te zien wat er niet is’. Op het gebied van die beschikbare expertise is de gemeente nog kwetsbaar in relatie tot de werklast die de projecten met zich meebrengt. De gemeente heeft inmiddels weer voldoende vermogen maar in projecten geldt: ‘cash is king’. De gemeente heeft al een groot leningenpakket lopen dat deels voor herfinanciering in aanmerking komt. Bij de BNG kan de gemeente lenen om meer cash tot haar beschikking te krijgen, maar de rente stijgt en dus zullen bij herfinanciering de rentekosten naar verwachting ook stijgen. Om de liquiditeitsbehoeften en de aanwezige liquiditeit te beheersen is liquiditeitsmanagement nodig.
De gemeente gebruikt nu al een liquiditeitsprognose maar deze bevat nog niet alle effecten van de geplande projecten. Dat komt ook omdat met name de kosten nog niet altijd goed geschat kunnen worden. De accountant adviseert om actief op de liquiditeit te sturen en hierin ook zo actueel mogelijk te blijven. De liquiditeitsprognose moet gevoed worden via het eerder genoemde projectmanagement. NIS2. Dit is een nieuwe richtlijn van de overheid gericht op privacy en cybersecurity. Voor de gemeente zal dit o.a. een meldplicht van cyberincidenten met zich meebrengen en een vorm van aansprakelijkheid voor dergelijke incidenten. Naast formele vereisten zijn bescherming van gegevens van burgers en reputatierisico’s belangrijke aandachtspunten in het beheersen van cyberrisico’s. De accountant constateert dat de gemeente nu nog niet klaar is voor NIS2, specifiek op het gebied van het (tijdig) signaleren van rapporteren van cyberincidenten. Om tijdig klaar te zijn voor de implementatie van de richtlijn zijn investeringen nodig. De algemeen directeur gaat in kaart brengen wat nodig is om aan de richtlijn te voldoen en op welk tijdspad dit haalbaar is.
Almelo staat voor uitdagingen, maar die uitdagingen komen voort uit de ambitie Almelo haar krachtige positie te behouden als centrumgemeente in Noordwest Twente. Daarvoor moet de organisatie zich steeds blijven verbeteren en ontwikkelen. De accountant geeft ons aandachtspunten mee, maar verrast het college daarmee niet. Op de aandachtspunten van de accountant zal het college vanzelfsprekend acteren. Wij zullen uw raad in de planning- & controlcyclus over de voortang rapporteren.
Vervolgproces
Pagina 2 van 3
De Auditcommissie zal de Board Letter 2023 in haar eerstkomende vergadering van 11 december 2023 bespreken, waarbij Eshuis Registeraccountants aanwezig zal zijn.
Hoogachtend, Burgemeester en Wethouders van Almelo, de secretaris, de burgemeester,
J. Dijkstra
Pagina 3 van 3
M.M. van ’t Veld
BOARDLETTER 2023
29 NOVEMBER 2023
Vertrouwelijk Aan de auditcommissie van de gemeente Almelo Postbus 5100 7600 GC ALMELO
Kenmerk: 1012457-BL-2023
Datum 29 november 2023
Wij hebben, als onderdeel van de controle van de jaarrekening 2023, de interim-controle voor de gemeente Almelo uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. Tevens heeft deze controle als doelstelling om de aandachtspunten voor de jaarrekening 2023 te signaleren en onder uw aandacht te brengen. In onze managementletter zijn onze bevindingen en aanbevelingen ter zake opgenomen. De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college van burgemeester en wethouders als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening.
Ons kenmerk 1012457/BL23 Behandeld door M.B. Baveld MSc RE RA en G.C. Helminck RA MSc EMA
Almelo, 29 november 2023 Geachte leden van de auditcommissie,
De managementletter bespraken wij in concept met een vertegenwoordiging van de ambtelijke organisatie. Deze boardletter is daar een samenvatting van, in die zin dat wij onze gedetailleerde bevindingen en adviezen alleen hebben opgenomen in onze managementletter. Wij willen de betrokken medewerkers van uw gemeente bedanken voor de prettige samenwerking en hopen deze boardletter op korte termijn aan de audit commissie toe te lichten. Met vriendelijke groet, Eshuis Registeraccountants B.V. Was getekend: drs. C.L. (Caroline) Willems RA
Boardletter 2023 Gemeente Almelo
2
Inleiding Inhoudsopgave
▪ Managementsamenvatting
4
▪ De belangrijke risico’s in onze controle
14
Management samenvatting
▪ Totaaloverzicht procesbeheersing & samenvatting bevindingen
17
▪ IT-audit
28
Belangrijke risico’s
▪ Bijlagen
32
▪ Bijlage 1: Actualiteiten & vooruitblik
Procesbeheersing
▪ Bijlage 2: Onafhankelijkheid ▪ Bijlage 3: Disclaimer en beperking in het gebruik
IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
3
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s
Voor u ligt de boardletter 2023, waarin wij verslag uit brengen over de interim-controle welke in september 2023 is uitgevoerd. Wij kijken positief terug op de prettige samenwerking met de ambtelijke organisatie. De interimcontrole is primair gericht op het beoordelen van de interne beheersmaatregelen (key controls) in de voor de jaarrekening relevante bedrijfsprocessen. Dit zijn die processen binnen de gemeente Almelo die een koppeling hebben met materiële posten in de jaarrekening, en ook processen waarin wij verhoogde (fraude)risico’s onderkennen. We hebben daarbij oog voor onderwerpen die naar onze mening van belang zijn voor uw bedrijfsvoering of die richting kunnen geven aan het verder verbeteren van de procesbeheersing. Wij hebben ook kennis genomen van (en inzicht verkregen in) de door uw VIC-medewerkers uitgevoerde interim-controle in het kader van de rechtmatigheidsverantwoording door het college, die voor het eerst onderdeel zal zijn van de jaarrekening.
Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Wij hebben een goed beeld gekregen van uw gemeentelijke administratieve organisatie en interne beheersing. De gemeente heeft een deel van de processen aan diverse verbonden partijen uitbesteed. Denk hierbij met name aan de afvalopbrengsten die deels zijn belegd bij Twente Milieu N.V. en het GBT. Deze processen zijn wel onderdeel van de rechtmatigheidscontrole door de gemeente. Daarover afspraken met elkaar maken en zoeken naar efficiency vanuit de samenwerking zijn wat ons betreft speerpunten. Van belang is dat de zekerheid die uit interne beheersing kan worden verkregen bij dergelijke verbonden partijen, middels een zogenoemde ISAE rapportage kan worden “gedeeld” met uw VIC-functie. Van belang is ook daadwekelijke dergelijk instrumenten in te zetten in de controle op de rechtmatigheid, zoals ook het ISAE rapport rondom de diftar-verantwoording vanuit Twente Milieu.
5
Onze indruk van Almelo
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
In ons tweede jaar als uw accountant zien we in Almelo nog steeds die stad die vooruit wil en vooruit gáát. De afgelopen jaren is door gericht financieel beleid de financiële positie van de stad sterk verbeterd. In de komende jaren staat u echter voor twee inhoudelijke uitdagingen: de (nog steeds) voorgenomen afbouw van het gemeentefonds én de opgave om verder te investeren in de stad. De plannen voor nieuwbouw in de stad zijn ambitieus. Het doel is om deze investeringen te realiseren en tegelijkertijd het ‘huishoudboekje’ op orde te houden. Als accountant zijn wij gericht op deze backoffice, dus de manier waarop uw gemeente dat huishoudboekje beheerst. Wij zien dat Almelo inzet op versteviging van de beheersing door de inzet van meer ITgebaseerde controles en de gerichte inzet van menselijke kennis. Voorbeelden hiervan zijn de beheersing van het sociaal domein en uw aanpak voor de beheersing van Europese aanbestedingen.
Naast wat er inhoudelijk voor de stad gedaan wordt, staat u ook voor een formele uitdaging. Vanaf boekjaar 2023 moet het college namelijk zelf de verklaring over rechtmatigheid (het naleven van de op u de wetten met een financieel aspect die op de gemeente Almelo van toepassing zijn). Dat vraagt een omslag in de interne beheersing, zeker omdat u de interne controles die aan deze verantwoording ten grondslag liggen in voorgaande jaren had uitbesteed aan een externe partij. Vanaf dit boekjaar gaat u die controles zelf uitvoeren. Dat vraagt een beslag op de interne controlecapaciteit. De uitkomsten van dit werk moeten wij nog beoordelen, aangezien nog niet alles is afgerond. Interimcontrole algemeen De interimcontrole is allereerst gericht op het beoordelen van de interne beheersmaatregelen (key controls) in de voor de jaarrekening relevante bedrijfsprocessen. Dit zijn die processen binnen de gemeente Almelo die een koppeling hebben met materiële posten in de jaarrekening, en ook processen waarin wij verhoogde (fraude)risico’s onderkennen. We hebben daarbij oog voor aspecten die naar onze mening van belang zijn voor uw bedrijfsvoering dan wel richting kunnen geven aan het verder verbeteren van de procesbeheersing. Wij hebben een goed beeld gekregen van uw gemeentelijke administratieve organisatie en interne beheersing.
Boardletter 2023 Gemeente Almelo
6
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Almelo beschikt over een goed team ambtenaren, maar met name op de centrale planning & controlfuncties komt veel verantwoordelijkheid af. Wij zien daarin ook een verschuiving van de verantwoordelijkheden van de lijn naar planning & control. Overigens niet op alle thema’s, maar wel als het aankomt op afdelingsoverstijgend richting geven aan controle en beheersing. Daarnaast zien wij een aantal verbeterpunten in de detailprocessen en de ITomgeving. Daarvan geven wij ons samenvattende oordeel in deze managementsamenvatting. De aandachtspunten zijn nader uitgewerkt in de boardletter zelf. Tenslotte benoemen wij in bijlage 1 ‘Actualiteiten & Vooruitblik’ de aandachtspunten voor de jaarrekening en de nieuwe ontwikkelingen in uw sector. Versterken inkoopproces inclusief interne controle Wij hebben in de controle over boekjaar 2022 geconstateerd dat een relatief groot aantal bestedingen niet voldoet aan de Europese aanbestedingsregels met rechtmatigheidsfouten tot het gevolg. Dit heeft dan ook geleid tot een oordeel met beperking over de rechtmatigheid bij de jaarrekening van 2022. De gemeente heeft dit zelf ook geconstateerd en is al voor het afronden van de accountantscontrole gestart met een gericht plan van aanpak om de aanbestedingen beter te beheersen. Inmiddels zijn in 2023 de nodige contracten afgesloten om inkopen te bundelen en het aanbestedingsproces te vergemakkelijken.
Zoals wij ook aangaven in ons accountantsverslag 2022: deze verbeterslag gaat zich in 2023 nog niet (volledig) uitbetalen. Daarvoor kwam de verbeterslag te laat. Voor 2024 verwacht u het volledige positieve effect. Voor 2023 zal u moeten bepalen hoeveel contracten nog fout zijn. Als deze fout groter is dan de goedkeuringstolerantie, zal er opnieuw sprake zijn van een niet-goedkeurend oordeel op rechtmatigheid. Het verschil is wel, dat in 2023 het college dit oordeel moet vellen. Uiteraard kijken wij als accountant nog wel mee. Wij stellen daarbij vooral vast hoe het college de al bekende fouten uit 2022 heeft geëvalueerd en hoeveel werk is gedaan om nieuwe fouten te ontdekken.
7
IT-systemen
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing
Goedwerkende geautomatiseerde systemen kunnen bijdragen aan de doorontwikkeling van deze en andere processen zodat Almelo toekomstbestendig kan (blijven) opereren en daarmee risico’s op effectieve en efficiënte wijze mitigeren. Hierboven werd het onderwerp informatievoorziening aangehaald en wij zien dat de gemeente voor loopt ten opzichte van andere decentrale overheden. Voor boekjaar 2023 voeren wij in november en december onze IT-audit op de applicaties Decade, Donau en Suite4SociaalDomein uit. Hierover zullen wij afzonderlijk rapporteren richting management, gezien de gevoeligheid rondom informatiebeveiliging, en aan uw raad verantwoorden in ons accountantsverslag in mei 2024. Wij zien kansen voor de gemeente om op korte termijn de bestedingen in het sociaal domein inzichtelijk te beheersen door gebruik te maken van effectieve dashboarding op de in- en uitstroom van cliënten, doorlooptijden, indicatievereisten alsmede ingeschatte toekomstige kosten. Mede gelet op het aantal toegenomen cliënten en de gestegen prijzen per indicatie zal dashboarding bijdragen aan het optimaliseren van processen in het sociaal domein. Uiteraard kijken wij graag vrijblijvend met u mee op deze digitale ontwikkelingen.
IT-audit Anti-corruptieprogramma
Bijlagen
Boardletter 2023 Gemeente Almelo
Wij hebben mede vanuit de verwachtingen vanuit de maatschappij en ook vanuit de geactualiseerde NBA handreiking 1137 meer aandacht gehad voor de manier waarop de gemeente Almelo corruptierisico’s beheerst. Ook voor gemeenten wordt het steeds belangrijker geacht om te rapporteren over mogelijke integriteitsschendingen en de wijze waarop u deze beheerst en opvolgt. Denk hierbij aan uw anticorruptieprogramma in de vorm van de klokkenluidersregeling, de gedragscodes, de wijze waarop integriteitsmeldingen kunnen worden gedaan waardoor een veilig meldingsklimaat ontstaat en de aanwezigheid van onderzoeksprotocollen. Verder kunt u transparant maken over hoe u nevenfuncties identificeert bij alle medewerkers en hoe de organisatie risico’s adresseert rondom een mogelijke samenloop van nevenfuncties en inkoop- en/of subsidierelaties van uw gemeente.
8
Inleiding Inhoudsopgave Management samenvatting
Op basis van onze werkzaamheden zien wij dat u beheersing hieromtrent gedegen en professioneel is. Naar ons inziens zijn er voldoende maatregelen genomen voor het creëren van een veilig meldingsklimaat. Wij bevelen u aan om de plannen rondom het opzetten van een centraal meldingsregister rondom potentiële integriteitsmeldingen of ongewenst gedrag door te zetten. Hierdoor wordt meldingsdrempel verder verlaagd. Naar aanleiding van een integriteitsbevinding heeft u een aanvullend programma opgezet, gericht op bewustwording, cultuur, versterking van IT-beheersingsmaatregelen en gericht onderzoek. Dit programma wordt in 2024 uitgevoerd.
Belangrijke risico’s Verbijzonderde interne controle (VIC)
Procesbeheersing IT-audit Bijlagen
Ten aanzien van de VIC merken wij op dat de gemeente voor wat betreft het uitvoeren van de interne rechtmatigheidscontroles voor het eerst de gehele verantwoordelijkheid draagt. Over boekjaar 2021 en 2022 is door de inzet van een externe accountancyorganisatie proefgedraaid. De controles over 2023 zijn tot op heden nog onderhanden, waarbij wel moeten constateren dat achterloopt ten opzichte van andere gemeentes waar wij accountant zijn. Tegelijkertijd merken wij wel op dat de zekerheid die nodig is voor de controle op de rechtmatigheidsverantwoording (deels) kan worden ontleend uit de interne beheersing die onderdeel is van de ITaudit. Wel is het van belang om op korte termijn te komen tot een gestructureerde planning, risico-inschatting en operationalisering van het normenkader. Wij adviseren u om het normenkader te operationaliseren naar die artikelen die u werkelijk gaat toetsen, namelijk artikelen met een materiële financiële impact (recht, hoogte, duur). Daarmee maakt u naar uw raad en college inzichtelijk wat u werkelijk zult toetsen. De bevindingen, waarnemingen en aanbevelingen in deze boardletter beogen het management en het college te ondersteunen in het proces van het voortdurend verbeteren van de interne-beheersingsomgeving en de interne risicobeheersing.
Boardletter 2023 Gemeente Almelo
9
Onderstaand hebben wij de belangrijkste bevindingen en aandachtspunten uit onze interim-controle samengevat:
Inleiding Inhoudsopgave
Onderwerp
Beschrijving
Doorpakken op openstaande verbeterpunten in de bedrijfsvoering
Vanuit besprekingen en informatiedocumenten is onze observatie dat uw gemeente zich bewust is van de urgentie om de beheersing van de relevante processen te versterken.
Fraude
Wij hebben in onze boardletter over boekjaar 2022 geadviseerd om de interne frauderisicoanalyse af te ronden en te laten vaststellen door het college en ter kennisgeving aan te bieden aan de auditcommissie. Wij hebben vastgesteld dat tijdens de interim-controle over boekjaar 2023 het stuk nog niet in concept is afgerond. Wij benadrukken nogmaals het belang van een adequaat en geformaliseerd proces rond het inschatten en beheersen van frauderisico’s en adviseren u om bovenstaande spoedig mogelijk op te pakken. Mede gezien dit onderdeel is van de rechtmatigheidsverantwoording.
Majeure projecten, o.a. Zwembad Sportpark nieuwbouw
Vanuit onder andere de programmabegroting 2023 als ook de meerjarenbegrotingen informeert het college u uitvoerig over lopende majeure projecten. Onderdeel hiervan is een specifiek op het project verrichte risico-analyse. Hierin merkt het college onder meer op dat een risico bestaat rondom de ontoereikendheid van de beschikbaar gestelde investeringskredieten. Dit is relevant gezien de benoemde bedreigingen hieromtrent. Een verlengstuk hiervan is het voordoen van mogelijke onrechtmatigheden die dit in de toekomst kan veroorzaken vanuit de controle op de rechtmatigheidsverantwoording die door uw VIC-functie wordt uitgevoerd. Zeker gezien het met de investering van dit hypermodern zwembad het gaat om circa 27 miljoen euro, waardoor overschrijdingen dit mogelijk ook impact kan hebben op het oordeel in de rechtmatigheidsverantwoording. Van belang is dat het college hierover tijdig en formeel de raad informeert in lijn met de afspraken die hiervoor zijn gemaakt in de financiële verordening. 10
Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Afgelopen jaar heeft uw gemeente een aantal verbeteringen doorgevoerd in de diverse processen, met name met betrekking tot de beheersing van de EU-aanbestedingen in de vorm van de implementatie van een MSP (Managed Service Provider). Met deze MSP wordt beoogd om de inhuur van tijdelijke inhuurkrachten geheel door deze organisatie te laten uitvoeren en daarmee in lijn te zijn met de aanbestedingswet. Tegelijkertijd zijn andere belangrijke elementen nog onderhanden, met name rond deze eenzelfde aanbestedingen waardoor onder andere in boekjaar 2022 dit heeft geresulteerd in een controleverklaring met een oordeel met beperking betreffende de rechtmatigheid.
Onderstaand hebben wij de belangrijkste bevindingen en aandachtspunten uit onze interim-controle samengevat:
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Onderwerp
Beschrijving
Rechtmatigheidsverantwoording & VIC-functie
Tot en met boekjaar 2022 besteedde de gemeente veel audits op het gebied van rechtmatigheid uit. Er is ervoor gekozen om de interne formatie van IC-medewerkers deels om te zetten in een budget en hiermee expertise in te kopen bij een externe organisatie, met ervaring op het gebied van audit en de komende rechtmatigheidsverantwoording. Inhuur van expertise heeft veel voordelen, zeker in de huidige arbeidsmarkt waarin die expertise vaak niet beschikbaar is. Maar voor boekjaar 2023 is er besloten om de controle op de rechtmatigheidsverantwoording geheel intern te beleggen. Dit is enerzijds goed voor het eigenaarschap, maar het kennisniveau en beslissingsvermogen rond de controle-aanpak is dan wel een belangrijke vereiste. De gemeente Almelo heeft veel voordeel doordat in veel volwassen processen de 1e lijn het goed op orde heeft, waardoor een systeemgerichte aanpak ook voor de rechtmatigheidsverantwoording in handbereik ligt. Dit ontslaat de gemeente echter niet van het uitvoeren van een gedegen risico-analyse en een bijbehorende diepgaande operationalisering van het normenkader. Door het aanwijzen van een interne eigenaar versterkt u ook uw terugkoppeling aan de eerste lijn. De eerste lijn heeft een grotere rol te spelen in het nieuwe rechtmatigheidsoordeel. Die boodschap zal meer beklijven als die vanuit een vaste medewerker komt.
11
Onderstaand hebben wij de belangrijkste bevindingen en aandachtspunten uit onze interim-controle samengevat:
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Onderwerp
Beschrijving
Rechtmatigheids -verantwoording & verbonden partijen
Zoals aangegeven is uw college verantwoordelijk voor de rechtmatigheidscontrole. Dat betekent ook dat u een opdrachtgevende rol te spelen heeft in de relatie met partijen die namens u taken uitvoeren. In uw geval is dat specifiek met name het GBT en Twente Milieu N.V., maar bij andere gemeenten zijn dat naast bedrijfsvoeringsorganisaties of uitvoeringsorganisaties ook bijvoorbeeld andere gemeentes. De accountant van uw uitvoeringsorganisatie het GBT (en hier inbegrepen Twente Milieu N.V.) kan u geen verklaring over rechtmatigheid (meer) verstrekken, alleen getrouwheid. Omdat het om deelverklaringen gaat, is het niet per definitie zo dat in het getrouwheidsoordeel ook een rechtmatigheidsoordeel ‘verwerkt’ zit zoals in de jaarrekening 2023. Daarin heeft u afspraken te maken met het GBT en Twente Milieu N.V. Het gaat er met name om wie verantwoordelijk is voor de controles. De huidige interne afspraken en verordeningen voorzien nog in de ‘oude’ situatie, maar formeel is nog niet geregeld hoe de verantwoordelijkheden in de ‘nieuwe’ situatie liggen. Wij adviseren u om deze afspraken schriftelijk vast te leggen en om deze in de relevante verordeningen te verwerken. Een ontwikkeling hierin het onlangs uitgebrachte memo vanuit het GBT. Hierin is gekozen voor de 3e optie die de kadernota rechtmatigheid 2023 hiervoor geeft.
Dit houdt in dat de jaarlijkse deelverantwoordingen die in het verleden zijn opgesteld door het GBT nu worden uitgebreid met een rechtmatigheidsverantwoording. Vervolgens verschaft de accountant van het GBT hier een controleverklaring bij op basis van getrouwheid waarbij daarmee werkzaamheden zijn verricht ten aanzien van de getrouwheid van de individuele rechtmatigheidsverantwoording.
12
Onderstaand hebben wij de belangrijkste bevindingen en aandachtspunten uit onze interim-controle samengevat: Onderwerp
Beschrijving
Rechtmatigheidsverantwoording & verbonden partijen
Andere opties die de kadernota voorschrijft is optie 1 waar uw VIC-functie zelf controles uitvoert bij het GBT en Twente Milieu N.V. (‘right to audit’). Dat is vaak niet wenselijk vanuit het oogpunt van het GBT. Optie 2 biedt de gemeente Almelo mogelijk wel voordeel. Hierin spelen een ISAE 3000, ISAE 3402 of SOC 2 rapport een cruciale rol. Middels dergelijke rapportages kan namelijk de zekerheid die wordt verkregen uit de interne beheersing van deze uitvoeringsorganisaties worden “gedeeld” met deelnemende gemeenten. Voorwaarde is wel dat ook interne beheersing wordt getoetst die rechtmatigheidsaspecten raken en in lijn liggen met uw normenkader die ten grondslag ligt aan de rechtmatigheidsverantwoording van de gemeente Almelo. Voordeel hiervan is een mogelijk tijdiger controle vanuit het GBT en het voor Almelo in staat zijn om tot een zogenoemde in control statement te kunnen komen. Belangrijk hierin te weten is dat Twente Milieu N.V. voor de processen rondom de Diftar beschikt over een dergelijke rapport en daarmee de eerste stappen zijn gezet.
Actualiteiten & vooruitblik
Wij hebben in bijlage 1 een aantal actualiteiten opgenomen waar wij aandacht voor vragen.
Vooruitblik richting Jaarrekeningcontrole 2023
We hebben met uw gemeente goede afspraken over de jaarrekeningcontrole gemaakt. Op voorhand identificeren we een aantal aandachtsgebieden met verhoogde aandacht in onze controle. Dit betreffen met name de controle op de “waardering van de grondexploitaties”, de “controle op de getrouwheid van de rechtmatigheidsverantwoording” en “verhoogde aandachtsgebieden vanwege de oorlog in Oekraïne en het effect hiervan op de inflatie, huisvesting, leefgelden en de energiekostentoelage”.
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
13
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing
Wij vinden het van belang dat u weet waar wij bij de gemeente Almelo de belangrijkste risico’s zien die tot mogelijke afwijkingen dan wel onzekerheden in de jaarrekening van uw gemeente kunnen leiden. Bij onze inschatting van de risico’s laten wij ons leiden door bijv. fouten uit het verleden, de bevindingen van de VIC, belangrijke gebeurtenissen en voorschriften van onze beroepsorganisatie. De belangrijkste risico’s zijn dus niet dingen die zeker fout gaan, maar de risico’s waar zich fouten kunnen voordoen die van invloed kunnen zijn op onze verklaring. U kunt dit zien als de lijst met onderwerpen waar de accountant in ieder geval op gaat letten. Voor het jaar 2023 onderkennen wij de volgende belangrijkste risico’s: Risico
Motivatie
Doorbreken interne beheersing door management
Het hiernaast genoemde risico ziet niet toe op een specifieke post, maar is op basis van onze controlestandaarden voorgeschreven bij iedere controle en de daaraan gekoppelde standaardwerkzaamheden dienen door ons uitgevoerd te worden, dan wel dienen wij aanvullende werkzaamheden op te zetten en uit te voeren op (onderdelen van) de verantwoording, in casu de jaarrekening van de gemeente.
Onjuiste waardering grondexploitatie a.g.v. onzekerheden in ontwikkelingen van kosten en opbrengsten
De waardering van uw grondexploitaties is vanwege de complexiteit en subjectiviteit van de gehanteerde uitgangspunten een belangrijk risico in onze controle.
IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Significant risico
Frauderisico
Plan steunen op AO/IB
15
Inleiding
Risico
Motivatie
Inhoudsopgave
De rechtmatigheidsverantwoording geeft geen getrouw beeld
Het opnemen van een rechtmatigheidsverantwoording in de jaarrekening over boekjaar 2023 is formeel voor het eerste jaar een vereiste. Regelgeving, kaders en praktische handvaten zijn relatief laat verschenen en het komen tot een algehele adequate aanpak in de controle hierop vergt veel van de VICfunctie. Daarnaast is het in het eerste jaar in veel opzichten nog ervaringen opdoen over wat werkt en niet. Op basis hiervan onderkennen wij dit risico en wijden hier relatief veel aandacht aan.
Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit
Significant risico
Frauderisico
Plan steunen op AO/IC
Bijlagen In deze boardletter nemen wij alleen de belangrijkste drie risico’s op. De aard van deze risico’s brengt met zich mee dat wij met name bij de controle van de jaarrekening hier aandacht aan besteden. In ons accountantsverslag dat wij naar aanleiding van de controle van de jaarrekening uitbrengen zullen wij rapporteren hoe deze risico’s zijn afgedekt.
Boardletter 2023 Gemeente Almelo
16
Evaluatie van de interne beheersing
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Wij hebben in september 2023 een interim-controle verricht bij de gemeente Almelo. Tijdens deze interimcontrole richten wij ons vooral op de opzet en bestaan van de administratieve organisatie, als ook de werking voor de processen in het sociaal domein en de digitale factuurverwerking. Wij verrichten werkzaamheden ten aanzien van de procedures binnen de organisatie voor zover deze van belang zijn om een oordeel te vormen over de getrouwheid van de jaarrekening van de gemeente Almelo. Wij hebben hieronder een samenvatting opgenomen van de getoetste processen. Voor onderliggende details en bevindingen verwijzen wij naar onze managementletter.
Onze algemene indruk van de gehele administratieve organisatie en interne beheersing binnen en buiten de gemeente Almelo is positief. Dit houdt met name verband met het volwassenheidsniveau van de belangrijkste processen en de systeemgerichte aanpak die dit mogelijk maakt zoals hierboven benoemd. Dit biedt veel aanknopingspunten voor de controle van de rechtmatigheidsverantwoording als ook het verder nadenken over waar het ambitieniveau ligt ten aanzien hiervan.
Een zogenoemd In-control statement zal mogelijk te vroeg komen of zelfs niet kostenefficiënt zijn. Echter op bepaalde andere processen liggen nog veel kansen, waardoor verder mee in control kan worden gekomen. In 2022 was sprake van een niet-goedkeurend oordeel, maar naar verwachting zal dat in 2023 niet zo zijn. Dit vanwege de verhoging van de geldende tolerantie van 1% naar 3% die door uw raad is vastgesteld. Toch vergt dit onderwerp wel aandacht en acties vanuit de gemeente, die deels al zijn genomen. In 2024 zullen de al genomen maatregelen op het aanbestedingsdomein hun volle effect krijgen. Voor 2023 is het daarom vooral van belang om een goede foutenevaluatie van de nu nog resterende fouten te maken. Resumerend zitten de belangrijkste aandachtspunten in de interne beheersing in: •
het implementeren van een beheersing voor het preventief waarborgen van aanbestedingen;
•
het verder inzetten van de MSP op de inhuur van tijdelijke krachten, als ook het uitlopen van oude contracten; en
•
het opzetten van een jaarlijkse frauderisicoanalyse.
18
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
In onze interimcontrole zijn de volgende significante processen onderkend, zoals weergegeven in onderstaande tabel. Het proces met verbetermogelijkheden betreft het inkoop- en aanbestedingsproces, in lijn met oordeel met beperking betreffende rechtmatigheid over boekjaar 2022. Deze houden verder verband met de geconstateerde tekortkomingen zoals benoemd op de volgende pagina’s. Hierin zien wij nog belangrijke aandachtspunten.
Wij verwijzen u voor de inrichting van de geautomatiseerde omgeving naar de evaluatie in ons accountantsverslag. De overige processen voldoen aan de daaraan vanuit de accountantscontrole te stellen eisen.
Proces
Conclusie opzet en bestaan
Administratie & verslaglegging
Toereikend
Inkopen en aanbestedingen
Verbetermogelijkheden
Factuurverwerking en betalingen
Toereikend met verbetermogelijkheden
Uitkeringen Participatiewet en BBZ
Toereikend
Zorgbestedingen WMO en Jeugdwet
Toereikend
Subsidiebaten en baten uit inkomensoverdrachten
Toereikend
Belastingopbrengsten
Toereikend
Algemene uitkering en overige baten
Toereikend
Personeel en salarisadministratie
Toereikend
Subsidieverstrekkingen en lasten uit inkomensoverdrachten
Toereikend met verbetermogelijkheden
Grondexploitatie
Toereikend
Fraude- en anti-corruptiebeheersing
Toereikend met verbetermogelijkheden
Geautomatiseerde omgeving
Afzonderlijk gerapporteerd
19
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Beoordeling VIC-functie getrouwheid rechtmatigheidsverantwoording De gemeenteraad stelt het normenkader aan geldende wet- en regelgeving vast, dat relevant is voor het verantwoordingsproces door de gemeente en de controle door de accountant van de getrouwheid van de jaarrekening als geheel met inbegrip van de rechtmatigheidstoelichting. Het college is verantwoordelijk voor het opstellen van een toetsingskader voor rechtmatigheid, de inrichting van de gemeentelijke processen en interne beheersing (hoofdstuk 3 Kadernota rechtmatigheid) en de verantwoording hierover in de jaarrekening. Het is vervolgens aan de VIC-functie om te komen tot het operationaliseren van de diverse relevante processen in het kader van de rechtmatigheidsverantwoording.
Het is dus van groot belang dat de VIC-functie met haar controle deze risico’s voldoende afdekt. De rechtmatigheidsverantwoording heeft als doel om de kwaliteit van de gemeentelijke bedrijfsvoering te verbeteren. Voor de invulling van de rechtmatigheidsverantwoording binnen gemeenten zijn diverse varianten mogelijk. Hieronder staan drie varianten genoemd. Dit kan middels een zogenaamde systeemgerichte en/of gegevensgerichte aanpak of een combinatie hiervan. Deze varianten zijn zowel alternatieven als ambitieniveaus. Voor de gemeente Almelo heeft de VIC-functie gekozen voor een hybride aanpak door een deels gegevensgerichte aanpak, echter voor de grote processen een systeemgerichte aanpak.
Deze operationalisering houdt in dat men de relevante wetsartikelen voor de significante processen identificeert en om zet naar een toetsingskader. Dit toetsingskader biedt dan de input voor de VIC-functie voor het uitvoeren van een risico-analyse zodat men komt tot een controle-aanpak per proces waar wij als accountant op dienen te steunen. Boardletter 2023 Gemeente Almelo
20
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Aangezien de controle op rechtmatigheid door de VICfunctie nog zal doorlopen tot circa februari/maart 2024 kunnen wij per heden nog geen uitsluitsel geven of wij kunnen steunen op de VIC-functie. Per jaareinde zullen wij zogenoemde herbeoordelingen van de werkzaamheden van de VIC uitvoeren. Op basis hiervan dienen wij te concluderen of deze werkzaamheden naar behoeven zijn uitgevoerd ten einde te steunen op de getrouwheid van de rechtmatigheidsverantwoording. Wij hebben geconstateerd dat de VIC-functie een interne controleplan in concept heeft opgesteld die ten grondslag ligt aan de controle op de rechtmatigheidsverantwoording. Tegelijkertijd ontbreekt een operationalisering van het normenkader en de bijbehorende risico-analyse ten aanzien van specifieke wetsartikelen en identificatie van werkzaamheden. We merken hierbij op dat de gemeente Almelo wat achterloopt ten opzichte van andere gemeenten. Zoals benoemd is het uitgangspunt het uiteindelijk kunnen steunen op de VIC-functie voor de getrouwheid van de rechtmatigheidsverantwoording. Belangrijke overwegingen die wij hierin moeten meenemen zijn: •
Boardletter 2023 Gemeente Almelo
Bedreigingen ten aanzien van de objectiviteit van de VIC-functie, zoals vooringenomenheid, belangenverstrengeling en oneigenlijke beïnvloeding van anderen binnen de organisatie.
•
De mate van deskundigheid, vaardigheid, professionaliteit en het gebruik van technische hulpmiddelen.
•
De systematische, gedisciplineerde aanpak en documentatie van de audittrail.
•
Het interne controleproces als geheel (uitvoering, review, hoor en wederhoor, rapportage).
•
De door de organisatie getroffen kwaliteitsmaatregelen.
•
De aard en reikwijdte van de VIC-functie (de mate van benodigde professionele oordeelsvorming, de geplande werkzaamheden in relatie tot de geïdentificeerde risico’s).
Wij concluderen op basis van de status per heden dat de VIC-functie nog de nodige stappen moet zetten. Op de volgende pagina’s benoemen wij nog een aantal aandachtspunten waarmee de formele inrichting van uw VIC versterkt kan worden.
21
Uw organisatie dient nog stappen te zetten richting de rechtmatigheidsverantwoording
Gedegen Risicoanalyse t.a.v. het voorwaardencriterium
Belangrijke risico’s
Om een rechtmatigheidsverantwoording per jaareinde te kunnen opstellen zijn een aantal stappen noodzakelijk. Wij hebben deze stappen met uw organisatie doorgesproken. Hieronder geven wij een korte samenvatting van de belangrijkste nog te nemen stappen om tot een rechtmatigheidsverantwoording te komen.
Procesbeheersing
Beleid
Wij hebben uw VIC meegegeven een gedegen risicoanalyse te doen op het normenkader binnen uw gemeente. Ofwel analyseren welke normen binnen uw normenkader voorwaarden bevatten welke risico’s t.a.v. financiële rechtmatigheid bevatten. Uw VIC mag dit doen op basis van de rapporteringstolerantie welke de raad heeft vastgesteld. Uw gemeente heeft deze vastgesteld op 3%. Uw VIC dient deze risicoanalyse nog uit te voeren. Wij vragen uw deze voortijdig met ons te delen (medio december) om de risico’s en geplande werkzaamheden af te stemmen op ons controleplan t.a.v. de getrouwheid (alsook de rechtmatigheidsverantwoording) van de jaarrekening.
Inleiding Inhoudsopgave Management samenvatting
IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Uw gemeente heeft een oplegger bij de financiële verordening gemaakt welke ingaat op de verantwoordelijkheden van de ambtelijke organisatie t.a.v. de rechtmatigheidsverantwoording. Echter dient de financiële verordening op basis van de Gemeentewet artikel 212 lid 1 aangepast te worden om de verantwoordelijkheden t.a.v. het toetsen van het rechtmatig handelen binnen uw gemeente aan te passen. Naast de financiële verordening dienen ook andere beleidsproducten aangepast te worden: •
het normenkader
•
de controleverordening
•
het controleprotocol
Uw organisatie heeft bovenstaande stukken in concept gereend en zal deze vaststellen voor 31 december 2023.
Operationaliseren normenkader Wij adviseren u om het normenkader te operationaliseren naar die artikelen die u werkelijk gaat toetsen, namelijk artikelen met een materiële financiële impact (recht, hoogte, duur). Daarmee maakt u naar uw raad en college inzichtelijk wat u werkelijk zult toetsen.
22
Inleiding Inhoudsopgave Management samenvatting
Rechtmatigheid uitbestede diensten
Uitwerken M&O criterium
Er zullen ook rechtmatigheidsvoorwaarden extern belegd zijn via uitbestede taken, zoals de belasting- en afvalstofheffingen bij het GBT en deels bij Twente Milieu N.V. (diftar proces) Uw gemeente dient afspraken te maken met uitvoerders van de uitbestede diensten om voldoende zekerheid te krijgen over het rechtmatig handelen bij de uitbestede diensten.
Ten aanzien van Misbruik en Oneigenlijk gebruik hebben wij uw organisatie gevraagd om alle beheersing rondom dit onderwerp in beeld te brengen en over 2023 zichtbaar vast te leggen in hoeverre deze beheersing ook heeft gewerkt in de organisatie. Dit kan bijvoorbeeld gaan over het misbruik maken van regelingen door externen, zoals bij uitkeringen, energietoeslagen, subsidies, aanvragen voor kwijtscheldingen van belastingen en heffingen of onvolledige leges rondom vergunningen. Het hele palet aan getroffen beheersmaatregelen vormt samen de interne beheersing welke de gemeente heeft getroffen om misbruik en oneigenlijk gebruik binnen de organisatie tegen te gaan. De rechtmatigheidsverantwoording verlangt dat de gemeente deze interne beheersing nu zichtbaar toetst en hierover rapporteert.
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
De accountants van de uitvoerders van uitbestede diensten zullen ten opzichte van vorig jaar niet zomaar een verklaring over rechtmatigheid verstrekken wanneer ook bij de betreffende organisatie de financiële verordening is aangepast t.a.v. de rechtmatigheidsverantwoording Gemeentewet artikel 212 lid 1. In dat geval zal er enkel een verklaring over de getrouwheid van de uitbestede diensten volgen. Daarin heeft u afspraken te maken met uw uitvoerders van uitbestede diensten. Het gaat er met name om wie verantwoordelijk is voor de controles. De huidige interne afspraken en verordeningen voorzien nog in de ‘oude’ situatie, maar formeel is nog niet geregeld hoe de verantwoordelijkheden in de ‘nieuwe’ situatie liggen. Wij adviseren u om deze afspraken schriftelijk vast te leggen en om deze in de relevante verordeningen te verwerken.
23
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Voorbereidingen treffen t.a.v. de begrotingsrechtmatigheid
Waar wij vorig jaar nog rapporteerden over de begrotingsrechtmatigheid zal de gemeente dit nu zelf moeten doen via de rechtmatigheidsverantwoording e/of de paragraaf bedrijfsvoering. Uw gemeente dient lastenoverschrijdingen op programmaniveau en kredieten te monitoren en deze als onrechtmatigheden op te nemen in de rechtmatigheidsverantwoording. Wanneer de overschrijdingen conform beleid zijn is er verder geen actie noodzakelijk. Indien overschrijdingen niet conform beleid zijn dient de gemeente deze toe te lichten in de paragraaf bedrijfsvoering van het jaarverslag. Wij hebben vastgesteld dat uw gemeente voldoende aandacht heeft binnen de P&C-cyclus voor dit onderwerp, enkel de actieve rapportering en afweging t.a.v. de individuele overschrijdingen is nieuw. Graag uw aandacht hiervoor.
24
Hieronder vindt u een visualisatie van de geconstateerde bevindingen. Voor details verwijzen wij naar onze managementletter.
Inleiding Inhoudsopgave 3
Management samenvatting
Procesbeheersing
Kwetsbaarheid
Belangrijke risico’s
1
2
10
IT-audit
4
8
Bijlagen 7
5
9 6 Impact Significante bevinding met een hoog risico en potentieel een grote impact op de jaarrekening, compliance en/of operationele prestaties. Een bevinding waar het management direct actie op moet ondernemen.
Boardletter 2023 Gemeente Almelo
Bevinding met een gemiddeld risico en potentieel een gemiddelde impact op de jaarrekening, compliance en/of operationele prestaties. Een bevinding waarvoor stappen dienen te worden genomen door het management gebaseerd op een actieplan, inclusief einddata.
Bevinding met een laag risico en potentieel een lage impact op de jaarrekening, compliance en/of operationele prestaties. Een bevinding waarvoor actie voor kan worden ondernomen door het management, maar waarvan het risico ook kan worden geaccepteerd.
25
Hieronder vindt u een visualisatie van de geconstateerde bevindingen. Voor details verwijzen wij naar onze managementletter. Nr.
Bevinding
Status 2023
Status 2022
Inleiding 1
Inkopen en aanbesteden – Inrichten purchase to pay proces dan wel verbeteren van de preventieve waarborging rondom het aanbesteden van inkopen.
Management samenvatting
2
Inkopen en aanbesteden – Gebruik Aanbestedingskalender
Belangrijke risico’s
3
Inkopen en aanbesteden – Gebruik van de MSP voor inhuur
4
Inkopen en aanbesteden - Periodieke interne rechtmatigheidscontrole
5
Frauderisicoproces - Nader concretiseren risicomanagement
6
Zorgbestedingen WMO en Jeugd - Controle prijsmasterdata Suite
7
Subsidieverstrekkingen – Tijdige subsidievaststelling
8
Subsidieverstrekkingen – Vastlegging en controle afstemming gemeente en subsidiënt
9
Subsidieverstrekkingen – Actualisatie van algemene subsidie verordening daterend uit 2013.
-
10
Factuurverwerking en betalingen - Beleid omtrent prestatieleveringscontrole en documentatie kan verder worden versterkt.
-
Inhoudsopgave
Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
26
Legenda:
Inleiding
Significante bevinding met een hoog risico en potentieel een grote impact op de jaarrekening, compliance en/of operationele prestaties. Een bevinding waar het management direct actie op moet ondernemen.
Inhoudsopgave
Bevinding met een gemiddeld risico en potentieel een gemiddelde impact op de jaarrekening, compliance en/of operationele prestaties. Een bevinding waarvoor stappen dienen te worden genomen door het management gebaseerd op een actieplan, inclusief einddata.
Management samenvatting
Belangrijke risico’s
Bevinding met een laag risico en potentieel een lage impact op de jaarrekening, compliance en/of operationele prestaties. Een bevinding waarvoor actie voor kan worden ondernomen door het management, maar waarvan het risico ook kan worden geaccepteerd.
Procesbeheersing
Nieuwe bevinding
IT-audit
Eerder gerapporteerde bevinding, niet opgelost
Bijlagen
Boardletter 2023 Gemeente Almelo
Bevinding opgelost / beheersing voldoende
27
Samenvatting tekortkomingen IT-audit
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
In dit digitale tijdperk, waarbij organisaties geautomatiseerde informatietechnologie (IT)systemen gebruiken om hun informatie te verwerken voor een betere ondersteuning van hun missies, spelen IT-risico’s en controles een cruciale rol bij het beschermen van de informatiemiddelen van een organisatie en daarmee van haar missie. Het belangrijkste doel van een organisatie in het kader van (IT) risico’s & controles, zou moeten zijn: het beschermen van de organisatie en haar vermogen om de geformuleerde missie uit te voeren, en niet enkel de IT-middelen. Wij zijn van mening dat een effectieve IT-risico- en beheeromgeving, een belangrijk onderdeel is van een succesvolle IT-strategie welke onderdeel uitmaakt van de bedrijfsstrategie.
In het kader van de jaarrekeningcontrole over het boekjaar 2023 zal Eshuis IT-audit werkzaamheden uitvoeren met betrekking tot de opzet, het bestaan en werking van de algemene ICT beheersmaatregelen binnen de automatiseringsomgeving van de gemeente Almelo. Deze werkzaamheden houden in dat wij de algemene IT beheersmaatregelen in opzet, bestaan en werking beoordelen van de meest kritische applicaties rond het uitkering- en zorgdeclaratieadministratie, de salarisadministratie, de inkoopfactuurverwerking en het grootboek. In overleg met u rapporteren wij de uitkomsten van onze IT audit in een afzonderlijke boardletter IT-audit. Wij rapporteren aan u een samenvatting in ons accountantsverslag over boekjaar 2023.
Onze jaarrekeningcontrole is gericht op het geven van een oordeel over de jaarrekening zelf en is niet primair gericht op het doen van uitspraken over de betrouwbaarheid en de continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. Onze bevindingen hebben betrekking op de onderdelen die wij onderzocht hebben in het kader van de jaarrekening, wat wil zeggen dat wij geen volledigheid pretenderen. .
Boardletter 2023 Gemeente Almelo
29
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Benadering en scope Ten behoeve van de jaarrekeningcontrole hebben wij voor elk van de mogelijke bevindingen onze eigen classificatie bepaald op basis van prioriteit van opvolging, waarbij drie niveaus zijn onderscheiden: hoog, midden en laag. Het management blijft verantwoordelijk voor haar eigen oordeelsvorming over de inschatting van de risico's als gevolg van de geconstateerde bevindingen, de daarvan af te leiden prioriteitstelling en de opvolging van de aanbevelingen. Tijdens de werkzaamheden voor de 2023 jaarrekeningcontrole zullen wij voor de gemeente Almelo de algemene IT beheersmaatregelen in opzet, bestaan en werking beoordelen voor de volgende applicaties:
Betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking Overeenkomstig artikel 2:393, lid 4 van het Burgerlijk Wetboek zijn wij verplicht om onze bevindingen te rapporteren met betrekking tot de betrouwbaarheid en continuïteit van uw geautomatiseerde gegevensverwerking. Onze controle heeft geen aangelegenheden geïdentificeerd die op dit gebied aan u gerapporteerd moeten worden, anders dan de waarnemingen zoals hiervoor besproken.
Applicatie .
Operating system
Database
Datacenter locatie
Unit4 Decade
Windows Server
OracleDB
Op locatie te Almelo
Filelinx Donau
Windows Server
OracleDB
Op locatie te Almelo
Centric Suite4SD
Windows Server
OracleDB
Op locatie te Almelo
30
Boardletter 2023 Gemeente Almelo
31
Verslaggevingskader
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
In het BBV zijn ten opzichte van voorgaand jaar geen belangrijke wijzigingen aangebracht, ook heeft de commissie BBV op het moment van het schrijven van deze boardletter geen essentiële nieuwe standpunten of notities gepubliceerd. Uiteraard is met ingang van 2023 de rechtmatigheidsverantwoording van het college voor het eerst onderdeel van uw jaarrekening. SISA-bijlage
De laatste jaren is er sprake van een toenemend aantal specifieke uitkeringen, waardoor uw SISAbijlage flink is gegroeid. De indicatoren die in deze bijlage moeten worden opgenomen moeten voldoen aan de eisen die in de betreffende inhoudelijke wetgeving is opgenomen. Door deze toename aan regelingen neemt ook de verantwoordings- en controledruk toe.
Wij adviseren u om zo vroeg mogelijk te starten met het proces van verzamelen van indicatoren en de bijbehorende onderbouwing, om daarmee de druk in het jaarrekeningproces te spreiden. Wij maken graag nadere afspraken om ook de controle van dit onderdeel naar voren te halen.
WNT De algemene bezoldiging voor een topfunctionaris mag voor 2023 niet meer bedragen dan € 223.000 per jaar. Daarnaast dienen instellingen de salarissen openbaar te maken van overige medewerkers (inclusief – wanneer aan bepaalde voorwaarden is voldaan – ingehuurd personeel) die een bezoldiging ontvangen boven deze norm. Ten slotte stelt de WNT een aantal overige eisen, zoals een maximale ontslagvergoeding voor topfunctionarissen van € 75.000.
Ten aanzien van de verantwoording van de besteding van de specifieke uitkeringen (SISA-Bijlage) is de Nota verwachtingen accountantscontrole niet alleen van belang voor de accountant, maar ook voor de opstellers van de jaarstukken. Het is van belang voor een soepel verantwoordingsproces dat u goed op de hoogte bent van de bestedingsvoorwaarden en de wijze waarop de indicatoren per regeling moeten worden onderbouwd.
33
Kadernota rechtmatigheid 2023 in relatie tot fraude en continuïteit
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
De Kadernota gaat vooral in op de nieuwe rechtmatigheidsverantwoording. De commissie BBV geeft echter in deze nota ook het advies om geconstateerde fraude door eigen medewerkers toe te lichten in de paragraaf bedrijfsvoering. Wij hopen met u, dat zulke situaties niet van toepassing zijn, maar we vinden niet dat u dan niet op dit onderwerp zou kunnen ingaan. Immers, steeds meer zien we, bijvoorbeeld bij controleplichtige ondernemingen, maar ook bij gemeenten, dat de accountant in zijn controleverklaring aandacht moet besteden aan de onderwerpen fraude en continuïteit. In de jaarrekening 2022 heeft u al beperkt aandacht hiervoor gehad en met name aangekondigd dat u hierover gaat rapporteren in de jaarrekening 2023 na het afronden van o.a. de interne frauderisico-analyse. Ten aanzien van fraude zou in 2023 in kunnen gaan over hoe u omgaat met de inschatting en afdekking van frauderisico’s en wat de eventuele bevindingen zijn. Ten aanzien van continuïteit is natuurlijk wettelijk gezien de formele continuïteit van uw gemeente gezekerd, maar het zou wel kunnen dat u plannen heeft om activiteiten of taken te beëindigen of af te stoten. Ook dat is een logisch onderwerp voor de paragraaf bedrijfsvoering. Verder zien wij ruimte voor het onderwerp rondom integriteit en de beheersing hieromtrent.
De onlangs verschenen NBA handreiking 1137 bieden ook voor gemeenten aanknopingspunten om te rapporteren over mogelijke integriteitsmeldingen en de wijze waarop u deze beheerst en opgevolgd. Denk hierbij aan uw anti-corruptieprogramma in de vorm van de klokkenluidersregeling, de gedragscodes, de wijze waarop integriteitsmeldingen kunnen worden gedaan waardoor een veilig meldingsklimaat ontstaat als ook de aanwezigheid van onderzoeksprotocol. Verder kunt u transparant maken over hoe u nevenfuncties identificeert bij alle medewerkers en hoe de organisatie risico’s adresseert rondom een mogelijke samenloop van nevenfuncties en inkoopen/of subsidierelaties van uw gemeente. Verslaggeving en controle In de verslaggeving is de belangrijkste wijziging de invoering van de rechtmatigheidsverantwoording. Ten aanzien van de door de accountant te hanteren materialiteit lijkt er binnenkort sprake van verandering. In de huidige tekst van het Besluit Accountantscontrole Decentrale Overheden is een grens opgenomen van 1% van het totaal van de lasten (inclusief toevoegingen aan de reserves) voor fouten en 3% voor onzekerheden. Het rijk en beroepsorganisatie van accountants zijn met elkaar in gesprek om dit te veranderen in 2% van het lastentotaal, waarbij fouten en onzekerheden bij elkaar worden geteld.
34
Maatschappelijke ontwikkelingen en trends in de financiering
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s
De maatschappelijke realiteit is dat de maatschappij volop in beweging is. Er spelen grote maatschappelijke vraagstukken ten aanzien van onderwerpen als klimaat, duurzaamheid, oorlogen, migratie. De houdbaarheid en betaalbaarheid van systemen heeft op verschillende niveaus de aandacht. Het zorgstelsel, de pensioenen, de organisatie en financiering van de publieke sector, het zijn slechts enkele voorbeelden van vraagstukken die op de agenda staan.
Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Gemeenten hebben langs alle kanten te maken met de effecten van de maatschappelijke thema’s en vraagstukken, en daar zitten veel factoren aan die voor gemeenten niet of nauwelijks rechtstreeks beïnvloedbaar zijn. De hoogte en de verdeling van het Gemeentefonds worden door het Rijk vastgesteld. Hoewel gemeenten de afgelopen jaren veelal positieve resultaten hadden op hun exploitatierekening, zijn naar de huidige stand van de gegevens de verwachtingen voor 2026 (Ravijnjaar) en verder, donker te noemen. Ook de gemeente Almelo zal dit ongetwijfeld gaan voelen en dient tijdig acties te ondernemen om mogelijke tekorten die dit veroorzaken te ondervangen. Almelo sorteert hier al op vooruit middels de verhoging van de onroerendezaakbelasting met name om de tekorten in het gemeentefonds op te vangen.
Kortom, u staat met uw gemeente midden in de maatschappij en wordt geacht snel te (kunnen) reageren op trends en ontwikkelingen, maar u en uw gemeente hebben daarbij beperkte eigen beleidsruimte en zijn en blijven voor de financiering in belangrijke mate afhankelijk van de rijksoverheid. Die rijksoverheid heeft de afgelopen jaren gekozen voor steeds meer incidentele (tijdelijke) specifieke geldstromen in plaats van het financieren van nieuwe opdrachten/taken vanuit het gemeentefonds. Dat maakt het maken van een meerjarenbegroting voor gemeenten lastiger, omdat niet altijd helder is, hoe lang bepaalde geldstromen zullen blijven. Ook het feit dat er in het najaar van 2023 verkiezingen zijn, en er daarna een nieuw kabinet moet worden gevormd, zorgt voor onzekerheden. Geluiden over eventuele noodzakelijke bezuinigingen en/of belastingverhogingen, maken het perspectief niet rooskleuriger. Al deze omstandigheden in gedachten houdend heeft Almelo vanaf 2026 een niet sluitende begroting bij de provincie neergelegd.
35
Klimaat(verandering) en duurzaamheid
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
De wereld heeft in 2023 diverse gebeurtenissen meegemaakt die we kunnen plaatsen binnen het thema klimaatverandering. Recordhoogten qua temperatuur enerzijds, en zomerstormen, extreme regenval en overstromingen, hagelstenen als tennisballen anderzijds. Deze excessen brengen directe schade toe aan mensen en aan bezittingen. Ook stemt dit tot nadenken over de maatregelen die nodig zijn om deze ontwikkelingen te keren, dan wel af te remmen. Daarin hebben overheden, bedrijven en burgers, allemaal een rol.
Dat is de Corporate Sustainability Reporting Directive (CSRD). Deze richtlijn geldt voor met ingang van 2025 voor grote ondernemingen en met ingang van 2026 voor beursgenoteerde mkb-ondernemingen. Als we de financiële kengetallen zoals balanstotaal en exploitatieomvang, of het aantal werknemers van gemeenten vergelijken met die van bedrijven die onder deze regeling vallen, dan kunnen wij ons indenken dat uw gemeente, mede gezien uw maatschappelijke verantwoordelijkheid, zich beraadt of en in hoeverre u ook aan de gedachten achter deze CSRD-richtlijn zou moeten willen voldoen.