6 Board Letter 2023 accountant
Tekst van het document
De gemeente Almelo heeft zelf aandacht voor klimaat en duurzaamheid, circulaire economie en energietransitie. Onder andere middels haar website voor haar inwoners en bedrijven. Eind november 2022 heeft het Europees Parlement ingestemd met een EU-richtlijn die voorschrijft dat grote ondernemingen verplicht worden in hun bestuursverslag te rapporteren over hun impact op milieu-aspecten en HR- en sociale aspecten, oftewel mens en milieu.
Boardletter 2023 Gemeente Almelo
36
Nieuwe NIS2 richtlijn gaat veel impact hebben
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Cyberaanvallen in de vorm van onder meer ransomware nemen steeds vaker toe en de impact en schade eveneens. Aanvallen worden niet alleen uitgevoerd op ondernemingen, maar ook overheidsinstellingen, zorginstellingen en andere publieke instellingen zijn steeds vaker het slachtoffer. In het licht van deze sterke groei en dreiging van maatschappelijke ontwrichting is er vanuit de Europese Unie gewerkt aan de Network and Information Security (NIS2) directive. Deze richtlijn is gericht op een verbetering van de digitale en economische weerbaarheid. De richtlijn zal veel gevolgen en impact hebben op organisaties, aangezien de scope van ondernemingen en organisatie die onder deze richtlijn vallen vele male groter is dan de eerste NIS-richtlijn. Gemeenten zullen ook onder deze richtlijn vallen. Realiseert u zich dat sancties voor het niet naleven in lijn liggen met de vereisten vanuit de AVG/GDPR? Dit terwijl de organisatorische effecten en ook bijbehorende investeringen om compliant te zijn met deze nieuwe NIS2-richtlijn vele male groter zullen zijn dan de implementatie van de AVG/GDPR.
De organisaties welke onder de NIS2 richtlijn vallen komen onder toezicht te staan. De NIS2-richtlijn schrijft voor dat een onafhankelijk toezichthouder (buiten eventueel interbestuurlijk toezicht) naar de naleving van de verplichtingen uit de richtlijn kijkt. Zoals de zorg- en meldplicht. Momenteel wordt bekeken onder welke toezichthouder de sector Overheid komt te vallen (dit is nog niet bekend) en wat het toezicht inhoudt. Verder verplicht de NIS2 richtlijn organisaties die onder de richtlijn vallen te voldoen aan de zorgplicht en meldplicht. De zorgplicht in deze is het meest wezenlijk. Het voldoen aan bestaande kaders voor informatiebeveiliging bij gemeenten, waaronder de Baseline Informatiebeveiliging Overheid (BIO), vormt de basis om invulling te geven aan de zorgplicht die uit NIS2 volgt. Het volgen van de huidige verplichtingen is dus een belangrijk beginpunt. Voor gemeenten geldt dat de invulling van de NIS2zorgplicht zoveel mogelijk langs de lijnen van bestaande kaders zal gebeuren. Organisaties die voorheen nog niet aan de bestaande kaders voor informatiebeveiliging voldeden, hebben hier vanuit NIS2 nu wel verplichting toe. De BIO wordt naar alle waarschijnlijkheid uitgebreid met o.a. meer aandacht voor cybersecurityrisico’s.
37
Nieuwe NIS2 richtlijn (vervolg)
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing
De meldplicht houdt in dat organisaties die onder de richtlijn vallen incidenten binnen 24 uur bij de toezichthouder moeten melden. Het gaat om incidenten die de verlening van de essentiële dienst sterk (kunnen) verstoren. Een cyberincident moet ook bij het Computer Security Incident Response Team (CSIRT) gemeld worden. Dit team kan vervolgens hulp- en bijstand leveren. Factoren die een incident meldingswaardig maken, zijn bijvoorbeeld het aantal personen dat door de verstoring is geraakt, de tijdsduur van een verstoring en de mogelijke financiële verliezen.
Complementair aan de interne risicobeheersing bevelen wij u aan om diverse zogenoemde selfassessments uit te voeren, waaronder de selfassessments die de NOREA (beroepsorganisatie van IT-auditors) heeft opgesteld. Met een self-assessment brengt u snel in kaart wat de belangrijkste bedreigingen en kansen zijn ten aanzien van uw interne beheersing op cybersecurityrisico’s. Met bovenstaande set beschreven maatregelen adviseren wij de gemeente zich tijdig voor te bereiden op deze nieuwe richtlijn met het streven om in de toekomst NIS2-compliant te zijn.
IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Cybersecurityrisico’s dient u op efficiënte wijze te managen om te voorkomen dat deze uw organisatie hinderen in het behalen van de doelstellingen. Bij onze controle benaderen wij uw organisatie kritisch ten aanzien van de beheersing van cyberrisico’s, doch in beperkte mate. Dit houdt onder andere in dat wij indien nodig geacht inlichtingen verkrijgen bij sleutelfunctionarissen zoals de CISO over mogelijke cyberincidenten.
38
Wij zijn onafhankelijk van de gemeente Almelo
Inleiding Inhoudsopgave Management samenvatting
De voorschriften in het kader van onafhankelijkheid zijn binnen de Koninklijke Nederlandse Beroepsorganisatie van Accountants (de NBA) opgenomen in de “Verordening inzake Onafhankelijkheid (ViO)” en vormen een belangrijk onderdeel van het ‘normenkader’ waaraan een accountant moet voldoen. De naleving van de ViO is binnen de organisatie van Eshuis ingebed.
Belangrijke risico’s
Ons zijn geen relaties bekend tussen Eshuis Registeraccountants B.V. en haar zuster- en of dochterondernemingen en de gemeente, die naar ons professionele oordeel mogelijk van invloed kunnen zijn op onze onafhankelijkheid.
Procesbeheersing
Stelsel van waarborgen om onze onafhankelijke positie te waarborgen
IT-audit Bijlagen
Boardletter 2023 Gemeente Almelo
Eshuis beschikt over een stelsel van maatregelen om haar onafhankelijke positie bij controlecliënten te waarborgen. Dit stelsel van maatregelen is een integraal onderdeel van de bestuurlijke organisatie en van het voor de gehele organisatie van toepassing zijnde stelsel van kwaliteitsbeheersingsmaatregelen. Bijgaande nietlimitatieve opsomming geeft u een indruk van de maatregelen die bijdragen aan het waarborgen van onze onafhankelijke positie: •
Schriftelijke onafhankelijkheidsbepalingen waarin alle bestaande onafhankelijkheidsvereisten en de risico’s ten aanzien van de bedreiging van de onafhankelijkheid en de daaraan gerelateerde waarborgen zijn verwerkt.
•
Procedures voor tijdige bekendmaking van de voorschriften en de daarin aangebrachte wijzigingen aan alle partners en werknemers bij Eshuis.
•
Procedures voor de organisatie van periodieke trainingen inzake de toepassing van de onafhankelijkheidsvoorschriften.
•
Procedures die erop gericht zijn dat onze partners en werknemers in specifieke casussen en omstandigheden de onafhankelijkheidsvoorschriften naleven.
•
Procedures voor het interne toezicht in relatie tot de toetsing en bewaking van de naleving van de onafhankelijkheidsvoorschriften.
39
Inleiding Inhoudsopgave Management samenvatting
Belangrijke risico’s Procesbeheersing IT-audit
Volledigheidshalve merken wij op dat onze analyse en evaluatie is uitgevoerd in het kader van de door u verstrekte opdracht tot controle van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking die relevant is voor het opmaken van de jaarrekening en voor het getrouwe beeld daarvan, gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden. Deze risico-inschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan dat deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel en deze bestrijkt daarom niet noodzakelijkerwijze alle in de interne organisatie vervatte tekortkomingen. Wij attenderen u erop dat deze boardletter is opgesteld ten behoeve van het college van de gemeente en daarom niet zonder onze toestemming aan derden mag worden verstrekt..
Bijlagen
Boardletter 2023 Gemeente Almelo
40