Controllerrapport 2023

Z24-043820

Controllerrapport 2023

April 2024 Marco Slinger

2

Deze beknopte rapportage bevat de bevindingen van de concerncontroller over de rechtmatige en doelmatige/doeltreffende uitvoering van de begroting 2023. Rechtmatigheid gaat over het vaststellen dat financiële handelingen en vastleggingen in overeenstemming zijn met wet- en regelgeving. Doelmatigheid ziet toe op de relatie tussen inzet van middelen en de daarmee gerealiseerde prestaties. Tevens wordt kort stilgestaan bij Informatieveiligheid en een vernieuwde insteek bij de (aan)sturing van ambtelijke organisaties. I. Rechtmatigheid De financiële verordening (art. 25) schrijft voor dat het college jaarlijks zorg draagt voor de toetsing op rechtmatig handelen. Die toetsing is onderdeel van een planmatige aanpak. De uit te voeren werkzaamheden worden vastgelegd in een controleplan dat is afgestemd met de accountant en vastgesteld door de directie. In 2023 is de gemeentewet aangepast waardoor het college zich vanaf dat boekjaar rechtstreeks aan de gemeenteraad verantwoordt over de rechtmatige uitvoering. In de jaren daarvoor gaf de accountant nog een oordeel af over de rechtmatigheid. Door de wetswijziging heeft het oordeel van de accountant vanaf 2023 alleen nog maar betrekking op het onderdeel getrouwheid1.

Tegelijkertijd zouden ook de boekhoudvoorschriften BBV en het Besluit accountantscontrole decentrale overheden ook worden aangepast waardoor de accountant in zijn oordeel over het getrouwe beeld ook zou rapporteren over de rechtmatigheidsverantwoording. De wijzigingen van het BBV en BADO zijn vanwege bezwaren van de Algemene Rekenkamer echter niet tijdig doorgevoerd. Hierover zijn gemeenten in februari 2024 door het ministerie van BZK geïnformeerd. Hierdoor ontbreekt voor de accountant een (directe) grondslag om een oordeel te geven over de rechtmatigheidsverantwoording. Het ministerie van BZK heeft gemeenten verzocht in de rekening 2023 alsnog de rechtmatigheidsverantwoording op te nemen, ondanks dat wetgeving daaromtrent nog niet volledig is vastgesteld. Al met al is het spijtig dat de definitieve invoering van de rechtmatigheidsverantwoording, met zo’n 10 jaar aan voorbereidingstijd, moeizaam verloopt. In de jaarrekening 2023 is een bedrag van 9,9 miljoen euro als onrechtmatig aangemerkt. 3,2 miljoen euro heeft betrekking op inkoop en aanbesteding en 6,7 miljoen euro heeft betrekking op begrotingsonrechtmatigheid. Kortheidshalve wordt verwezen naar de paragraaf bedrijfsvoering in de programmarekening voor een uiteenzetting van de oorzaken en maatregelen die dit in de toekomst moeten voorkomen. Eén kanttekening valt bij deze uitkomst te maken.

Met de invoering van de rechtmatigheidsverantwoording is de definitie van begrotingsonrechtmatigheid aanzienlijk verscherpt. Waar tot vorig jaar het uitgangspunt was dat in sommige gevallen begrotingsoverschrijdingen als onrechtmatig konden worden aangemerkt is dat vanaf dit boekjaar omgedraaid. Nu is de regel geworden: iedere overschrijding is in beginsel onrechtmatig. Die wijziging in regelgeving maakt dat dit jaar voor het eerst sprake is van begrotingsonrechtmatigheid. Maar dus ook dat de uitkomst van nu niet vergelijkbaar is met voorgaande jaren.

1 Getrouwheid: zijn de grootte en samenstelling van het vermogen en de baten en de lasten in de

jaarrekening in overeenstemming met de werkelijkheid en opgemaakt volgens de verslaggevingsregels.

3

II. Onderzoeken naar doelmatigheid en doeltreffendheid Het afgelopen jaar zijn de volgende onderzoeken uitgevoerd die een indicatie geven in welke mate de door het bestuur en organisatie gestelde doelstellingen behaald kunnen worden en welke middeleninzet daarvoor benodigd is geweest. • Integriteitsbeleid Hoe heeft de gemeente Amstelveen de interne processen ingericht met betrekking tot integriteit? Is er voldoende zicht op het voorkomen en detecteren van fraude, corruptie of van andere misstanden? Naar deze vragen is onderzoek gedaan door een externe partij. De uitkomst van het onderzoek luidt: “De resultaten van dit onderzoek tonen aan dat Gemeente Amstelveen een goede fundering heeft gelegd op bijvoorbeeld het gebied van integriteitsbeleid, maar dat zeker nog ruimte voor verbetering bestaat. Gemeente Amstelveen voldoet aan haar wettelijke verplichtingen. Integriteit omvat echter meer dan enkel het naleven van wettelijke verplichtingen; het gaat over het aannemen van ethische normen en waarden in alle aspecten van handelen, zelfs wanneer de wet niet specifiek voorschrijft wat juist is. …… Het uitdragen van integriteitsbeleid in de praktijk vereist niet alleen consistente naleving, maar ook communicatie, training en het stellen van het juiste voorbeeld door leidinggevenden.

Dit gaat verder dan slechts woorden op papier; het is van belang dat ethisch gedrag is ingebed in de kern van de organisatiecultuur en de dagelijkse activiteiten.” De gedane aanbevelingen zijn overgenomen en zijn omgezet in een plan van aanpak. • IT-beveiliging en informatiebeveiliging Om vast te stellen of de geautomatiseerde omgeving zo veilig als mogelijk is, wordt gebruik gemaakt van de instrumenten audits en door ethische hackers uitgevoerde penetratietesten. Bij audits worden de procedures en beveiligingsmaatregelen getoetst zonder dat er toegang tot het systeem wordt verschaft. Bij penetratietesten wordt daadwerkelijk een poging gedaan om (met toestemming) in te breken in de gemeentelijke systemen. a) Kwetsbaarheden-scan en penetratietest Jaarlijks wordt met behulp van externe expertise een onderzoek uitgevoerd naar mogelijke kwetsbaarheden in de IT-infrastructuur. Doel van een dergelijk onderzoek is inzicht verkrijgen in de risico’s en, als gevolg daarvan, mogelijk misbruik door derden. Het afgelopen jaar hebben twee onderzoeken plaatsgevonden. Het eerste beveiligingsonderzoek is uitgevoerd op het interne netwerk en de werkplekken. Het tweede beveiligingsonderzoek is uitgevoerd op de interne en externe IT-infrastructuur.

Het doel van beide onderzoeken was het onafhankelijk vaststellen van het beveiligingsniveau, het opsporen van kwetsbaarheden hierin en het aandragen van mogelijke verbeteringen. De bevindingen zijn gedeeld met het verantwoordelijk management en de CIO. Naar aanleiding van de bevindingen is een plan van aanpak opgesteld om waar nodig tekortkomingen op te lossen. Vanwege het openbare karakter van het controllerrapport wordt op deze plaats niet nader ingegaan op de specifieke bevindingen. b) ENSIA-audit Door middel van de resultaten van een zogeheten ENSIA-audit krijgen gemeenten eveneens inzicht in de informatiebeveiliging op een aantal specifieke terreinen2. ENSIA is gebaseerd op de normen die gelden voor de Nederlandse overheid, de Baseline Informatieveiligheid. In het ENSIA-traject voert de gemeente een zelfevaluatie uit, stelt een verantwoordingsrapportage op en laat deze Basisregistratie Personen (BRP) en Reisdocumenten, Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Waardering Onroerende Zaken (WOZ) en de Structuur uitvoeringsorganisatie Werk en Inkomen (SUWI) 2

4

controleren door een onafhankelijke gecertificeerde IT-auditor. Uit de rapportage van de auditor zijn geen bevindingen naar voren gekomen. III. Aanpassing aansturing (rijks)overheid: nadruk op publieke waarde i.p.v. efficiëntie In de begroting 2024 van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties informeert zij over een wezenlijke aanpassing in de aansturingswijze van de (centrale) overheid. In plaats van te sturen vanuit efficiëntie en doelmatigheid, wil zij uitgaan van publieke waarde. Zo valt te lezen: “De focus op efficiëntie en doelmatigheid is een filosofie die door veel landen, ook in ons land, is geadopteerd in de tweede helft van de vorige eeuw toen de overheidsuitgaven sterk stegen. Toentertijd is gekozen voor een meer bedrijfsmatige aanpak in de besteding van publieke middelen om de overheidsfinanciën op orde te brengen. Dit gebeurde vanuit een sturingsfilosofie (‘New Public Management'), waar waarden als efficiëntie en doelmatigheid dominant zijn. Hoewel efficiëntie en doelmatigheid van de overheid als geheel onverminderd nastrevenswaardig blijven, is het van belang om niet langer uit te gaan van New Public Management waarbij de focus is gericht op verkokerde sturing en de prestaties van de eigen organisatie, maar te werken vanuit het toevoegen van publieke waarde («public value»).

De maatschappelijke opgave en de dienende functie van de overheid ten opzichte van de samenleving zijn de uitgangspunten. Hierbij luistert de overheid naar wat er leeft, zorgt dat signalen over wat er wel of niet goed gaat haar bereiken en zorgt dat er ruimte is om in de gevallen waarin beleid en wetgeving niet heeft voorzien of onbedoelde onevenredige uitkomsten heeft, oplossingen kunnen worden geboden. De overheden werken daarbij samen, over grenzen van organisaties heen. In 2024 zullen bij de verdere ontwikkeling van een nieuwe sturingsfilosofie voor de (centrale) overheid nieuwe vormen van sturing en verantwoorden worden ontwikkeld, waarbij de maatschappelijke opgave en het realiseren van waarden die we als samenleving zinvol vinden, centraal staan. Daar waar de kaders voor de verschillende organisatievormen de gewenste sturing en verantwoording niet ondersteunen of zelfs belemmeren, wordt die kaderstelling aangepast of worden voorstellen daartoe voorbereid.” Zoals gezegd: dit betreft een wezenlijke verschuiving in de aansturingswijze waardoor een aanpassing plaats gaat vinden in een sturingsprincipe dat zo’n 40 jaar heeft gefunctioneerd. Nu heeft het bericht van het ministerie in eerste instantie betrekking op de centrale overheid, maar ook decentrale overheden zullen hiervan de gevolgen (kunnen) gaan ervaren.

Te denken valt bijvoorbeeld in de wijze van samenwerken tussen overheden onderling, de samenwerking met private en maatschappelijke instellingen, de wijze van verantwoorden aan het rijk, de benaderingswijze van inwoners en bedrijven (gebaseerd op vertrouwen) etc. De werkwijze van de ambtelijke organisatie van Amstelveen ligt al redelijk in lijn met de hiervoor genoemde uitgangspunten. De in 2023 hernieuwd aangepaste organisatiewaarden (samen, betrokken & oplossingsgericht) benadrukken voor alle medewerkers in onze organisatie in ieder geval de dienende functie als ambtenaar. Het komende jaar wordt die gewenste cultuur ook ondersteund door diverse activiteiten op organisatie- afdelings- en medewerkersniveau. Specifiek gericht op alle afdelingen en medewerkers binnen het sociaal domein is een meerjarig programma ‘menselijke maat’ opgestart. Dit is gericht op het verbeteren van de dienstverlening en het versterken van het vertrouwen van inwoners in de overheid door onder andere de vraag van de inwoner centraal te stellen, het bieden van eenvoudige toegang, klantvriendelijk te zijn en te leren van successen, maar ook van fouten. Aanvullend zal worden gemonitord of er de komende periode vanuit de VNG initiatieven worden opgestart die van invloed zijn op de sturingswijze van de ambtelijke organisatie.