Bijlage 3 - Controllerrapport 2024

Controllerrapport 2024

April 2025 Marco Slinger

2

Deze beknopte rapportage bevat de bevindingen van de concerncontroller over de rechtmatige en doelmatige/doeltreffende uitvoering van de begroting 2024. Rechtmatigheid gaat over het vaststellen dat financiële handelingen en vastleggingen in overeenstemming zijn met wet- en regelgeving. Doelmatigheid ziet toe op de relatie tussen inzet van middelen en de daarmee gerealiseerde prestaties. Tevens wordt in deze rapportage kort stilgestaan bij Informatieveiligheid. I. Rechtmatigheid In de Financiële verordening is bepaald dat het college jaarlijks zorg draagt voor de toetsing op rechtmatig handelen (art. 29). Aan dat voorschrift wordt invulling gegeven door op planmatige en gestructureerde wijze toetsingswerkzaamheden uit te voeren. De uit te voeren werkzaamheden liggen vast in een controleplan dat is afgestemd met de accountant en vastgesteld door de directie. De bevindingen van de controlewerkzaamheden communiceert het college via de rechtmatigheidsverantwoording in de jaarstukken. In de jaarrekening 2024 is een bedrag van 4,9 miljoen euro als onrechtmatig aangemerkt. 4,1 miljoen euro heeft betrekking op inkoop en aanbesteding en 0,8 miljoen euro heeft betrekking op begrotingsonrechtmatigheid. Kortheidshalve wordt verwezen naar de paragraaf bedrijfsvoering in de programmarekening voor een uiteenzetting van de oorzaken en maatregelen die dit in de toekomst moeten voorkomen. II.

Overige opmerking over de jaarrekening en het proces van totstandkoming daarvan • Grondbeleid Een belangrijke post in de jaarrekening betreffen de eigen grondexploitaties (actief grondbeleid) en de kosten voor bouw- en woonrijp maken die op private ontwikkelaars worden verhaald (faciliterend grondbeleid). De kosten en opbrengsten die samenhangen met het grondbeleid strekken zich uit over meerdere jaren en zijn in financiële zin van wezenlijke omvang. Om te monitoren of de financiële uitgangspunten nog juist zijn, is een jaarlijkse actualisatie van de kosten en opbrengsten noodzakelijk. Dit uitgangspunt ligt ook vast in de in 2023 door de raad vastgestelde ‘Nota Grondbeleid’.1 Het afgelopen jaar heeft zich bij een aantal exploitaties een aanzienlijke kostenstijging (m.n. civieltechnisch) voorgedaan als gevolg van de actualisaties (o.a. De Loeten en De Scheg). Ook laten de financiële resultaten van (kleinere) facilitaire projecten van derden zien dat de gemeente daarop bijlegt. Op dit moment kan nog niet worden geduid of de ramingen voor de eigen grondexploitaties en facilitaire projecten aan de voorkant niet accuraat genoeg waren, of dat zich in de uitvoering tegenvallers hebben voorgedaan (dan wel een combinatie van beide).

Geadviseerd wordt het proces van ramen en actualiseren tegen het licht te houden en te beoordelen of, en zo ja, welke optimalisaties daarin zijn aan te brengen. • Afsluit- en rapportageproces Het afsluitings- en rapportageproces voor de jaarrekening kent een zeer korte doorloopperiode. In de regel zijn alle financiële boekingen en de toelichting op de programma’s eind januari gereed. Twee weken later start de accountant zijn controle. Op zichzelf zitten er positieve effecten aan het snel opleveren van de cijfers (bijv. de mogelijkheid sneller bij te kunnen informeren en bij te sturen). Nadelen zijn echter dat de opgeleverde informatie volledig én vrij van fouten moet zijn om juiste conclusies te trekken en de juiste beslissingen te kunnen nemen. Door het snelle

1

Blz. 23: “Jaarlijks actualiseert de gemeente de grondexploitaties (in voorbereiding (AGIV) en in exploitatie (BIE)), de facilitaire projecten (FAC), de risicoanalyse, de benodigde voorzieningen en het benodigde weerstandsvermogen voor de grondexploitatie portefeuille. Het college biedt dit aan bij de programmarekening en rapporteert hierover in de paragraaf grondbeleid… Bij de jaarlijkse herziening vindt een actualisatie van de boekwaarde, de kosten- en opbrengstenramingen en de parameters (op basis van een extern advies) plaats.”

3

afsluitproces is het niet ongebruikelijk dat op het moment dat de accountant komt controleren er toch nog aanpassingen op de cijfers moeten worden gemaakt. Vraag is daarnaast of in de gemeentelijke context de voordelen van het snelle afsluitproces wel volledig ten gelde gemaakt kunnen worden. Gemeenten zijn namelijk voor het volledig en juist opstellen van hun jaarrekening voor een groot deel afhankelijk van de aanbieders jeugdzorg en Wmo, de Sociale Verzekeringsbank (uitbetaling pgb) en het CAK (eigen bijdrage Wmo). Die hanteren een ander tijdspad dan die de gemeente hanteert. Zij komen in maart/april met hun cijfers en verklaringen. Om die reden vindt het (opstellen en) controleren van de jaarrekening in twee fases plaats (februari en april). Geadviseerd wordt om ambtelijk het afsluit- en rapportageproces te evalueren en op basis daarvan dit te heroverwegen dan wel intact te laten. III. Onderzoeken naar doelmatigheid en doeltreffendheid Het afgelopen jaar zijn de volgende onderzoeken uitgevoerd die een indicatie geven in welke mate de door het bestuur en organisatie gestelde doelstellingen behaald kunnen worden en welke middeleninzet daarvoor benodigd is geweest. • Inhuur extern personeel De kosten voor inhuur van externe medewerkers bedroeg in 2023 zo’n 28 mln. euro. Een omvangrijk bedrag dat alleen daarom al vroeg om nader inzicht van hetgeen achter de cijfers schuil gaat.

Een andere reden om het onderzoek uit te voeren was dat in 2023 gebleken was dat het Amstelveen – in vergelijking met referentiegemeenten - minder goed lukte de bezetting met eigen personeel in te vullen. Beide ontwikkelingen vormden de aanleiding om meer in detail de externe inhuur te analyseren. De volgende conclusies zijn op basis van het onderzoek getrokken: -

een kwart van de inhuur werkt vier jaar of langer voor de gemeente; voor een substantieel deel ging het om voltijdse inhuur voor werkzaamheden die tot het reguliere lijnactiviteiten van een gemeente behoren; de kosten op jaarbasis van een ingehuurde medewerker liggen (wezenlijk) hoger dan de kosten van een eigen medewerker in een vergelijkbare functie (gecorrigeerd voor vakantie, ziekte en indirect productieve uren). Dit verschil neemt toe naarmate het functieniveau toeneemt.

Naar aanleiding van deze uitkomsten hebben directie en HRM, samen met de afdelingen waar relatief veel inhuur voorkomt, beoordeeld of en op welke wijze inhuur afgebouwd kan worden en omgezet kan worden naar vaste formatie. Dit eveneens vanuit het oogpunt dat de Belastingdienst vanaf 2025 strenger optreedt tegen zelfstandigen die dat volgens het arbeidsrecht feitelijk niet zijn (de zogenoemde ‘schijnzelfstandigen’). In de jaarrekening wordt in de paragraaf bedrijfsvoering nader ingegaan op het afbouwen van externe inhuur van 28 mln. euro (2023) naar 22 miljoen euro (2024). Daarnaast heeft het college via de raadsbrief ‘Inzicht in inhuur’ de achtergronden en werkwijze rondom externe inhuur uiteengezet. • IT-beveiliging en informatiebeveiliging Om vast te stellen of de geautomatiseerde omgeving zo veilig als mogelijk is, wordt gebruik gemaakt van de instrumenten audits en door ethische hackers uitgevoerde penetratietesten. Bij audits worden de procedures en beveiligingsmaatregelen getoetst zonder dat er toegang tot het systeem wordt verschaft. Bij penetratietesten wordt daadwerkelijk een poging gedaan om (met toestemming) in te breken in de gemeentelijke systemen. a) Kwetsbaarheden-scan en penetratietest Jaarlijks wordt met behulp van externe expertise een onderzoek uitgevoerd naar mogelijke kwetsbaarheden in de IT-infrastructuur.

Doel van een dergelijk onderzoek is inzicht verkrijgen in de risico’s en, als gevolg daarvan, mogelijk misbruik door derden.

4

De laatste onderzoeken dateren van een jaar geleden. De bevindingen uit het onderzoek van 2024 zijn geprioriteerd en (nagenoeg geheel) opgelost. Momenteel worden de voorbereidingen getroffen om voor de zomer 2025 een nieuwe penetratietest uit te voeren. b) ENSIA-audit Door middel van de resultaten van een zogeheten ENSIA-audit krijgen gemeenten eveneens inzicht in de informatiebeveiliging op een aantal specifieke terreinen2. ENSIA is gebaseerd op de normen die gelden voor de Nederlandse overheid, de Baseline Informatieveiligheid. In het ENSIA-traject voert de gemeente een zelfevaluatie uit, stelt een verantwoordingsrapportage op en laat deze controleren door een onafhankelijke gecertificeerde IT-auditor. Uit de rapportage van de auditor zijn geen bevindingen naar voren gekomen.

Basisregistratie Personen (BRP) en Reisdocumenten, Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Waardering Onroerende Zaken (WOZ) en de Structuur uitvoeringsorganisatie Werk en Inkomen (SUWI) 2