A - 05 Financiën (15) Accoutantsverslag ACAM 2020

Het weerstandsvermogen is gedaald tot ver onder het gewenste niveau De gemeenteraad heeft besloten te sturen op een niveau van het weerstandsvermogen aan de bovenkant van de bandbreedte 1,0-1,4 en 5% van de begrotingsomvang. Dat het weerstandvermogen als gevolg van de coronacrisis onder druk kwam te staan en fors is gedaald is geen verrassing. De gemeente heeft berekend dat deze eind 2020 uitkomt op 0,6. Het herstelplan voor de algemene reserve biedt zicht op verbetering voornamelijk door bezuinigingen en opbrengsten uit de overstapregeling eeuwigdurende erfpacht. Het plan is de algemene reserve zodanig aan te vullen dat na drie jaar een weerstandsvermogen van minimaal 1 is bereikt. Wij merken op dat het bepalen van de benodigde weerstandscapaciteit een afgeleide is van het risicomanagementproces en het (reguliere) begrotingsproces. Als deze processen van voldoende niveau zijn dan geeft de uitkomst een redelijke indicatie van het weerstandsvermogen en de benodigde weerstandscapaciteit. Gezien de coronacrisis is de haalbaarheid van het herstelplan omgeven met onzekerheid. Wij geven de raad mee het herstel van de algemene reserve strak te (laten) monitoren.

Wij adviseren in NARIS expliciet vast te leggen of en in welke mate een voorziening getroffen is.

<

> | 25

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.

3.3 Beheersing van frauderisico’s

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid

Fraudescan; kwaliteitsimpuls nodig, daarnaast structureel de werking van genomen beheersmaatregelen nagaan De verantwoordelijkheid van de accountant beperkt zich tot het ontdekken van materiële fraude. Wij zien dat bij het ontdekken van een fraude regelmatig de vraag wordt gesteld wat de accountant heeft gedaan. De verantwoordelijkheden van de accountant ten aanzien van frauderisico’s bij de jaarrekeningcontrole zijn op hoofdlijnen:

Invoering rechtmatigheidsverantwoording 2021

• aandacht voor frauderisicofactoren bij het opstellen van onze risicoanalyse;

Risicomanagement en het weerstandsvermogen

• het uitvoeren van controles gericht op het ontdekken van materiële fraude;

Beheersing van frauderisico’s

• het melden van (mogelijke) fraude bij de daartoe aangewezen stakeholders;

Informatievoorziening Bijlagen

<

• het toezien op herstel bij ontdekte fraudes. De term fraude is juridisch niet gedefinieerd. In het dagelijks taalgebruik is het gebruikelijk misbruik en oneigenlijk gebruik ook als fraude te bestempelen, denk hierbij aan een term als ‘bijstandsfraude’ of aan ‘fraude’ met vergunningen. Dit type fraudes vallen nadrukkelijk onder het misbruik en oneigenlijk gebruik criterium. Het gaat hier om derden die misbruik maken van (gemeentelijke) regelingen. Dit misbruik en oneigenlijk gebruik moet duidelijk worden onderscheiden van fraude in het kader van de controle van de jaarrekening door de accountant.

De accountant heeft een verantwoordelijkheid met betrekking tot fraude in het kader van de controle van de jaarrekening. Dit type fraudes omvat frauduleuze financiële verslaggeving en opzettelijke handelingen door één of meerdere personen binnen de gemeentelijke organisatie, waarbij gebruik wordt gemaakt van misleiding teneinde een onrechtmatig of onwettig voordeel te behalen. Een voorbeeld is het betalen van valse facturen waarbij één of meerdere personen binnen de gemeente betrokken zijn. Naar aanleiding van gewijzigde regelgeving zal vanaf 2021 ook via de controleverklaring worden gerapporteerd over onze werkzaamheden en bevindingen in relatie tot fraude. Wij zullen in toenemende mate ook (meer) aandacht gaan besteden aan frauderisico’s die niet direct van materieel belang zijn. Dit vanuit de gedachte dat als de hele keten scherper is op fraude deze naar verwachting ook eerder worden ontdekt. De gemeente voerde de afgelopen jaren een risicoscan uit specifiek gericht op fraude- en integriteitsrisico’s. Wij hebben begrepen dat vanaf 2021 de uitvraag als aparte actie komt te vervallen en frauderisico’s, in lijn met onze eerdere aanbevelingen, actief worden betrokken in de periodieke update van de risico’s in het risicomanagementsysteem. Het valt ons op dat het aantal meldingen van fraude bij Bureau Integriteit ook in 2020 beperkt is.

De effectiviteit van een dergelijk systeem hangt af van de risico’s die zijn onderkend en de toereikendheid van de beheersmaatregelen die zijn ingezet om deze risico’s te mitigeren.

> | 26

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.

3.3 Beheersing van frauderisico’s

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Zoals ook uit de meest recente raadsinformatiebrief over dit onderwerp naar voren komt, blijkt het voor de organisatieonderdelen niet eenvoudig om tot een kwalitatief goede fraudescan te komen. Het (structureel) nagaan van de werking van de aan de risico’s gekoppelde beheersmaatregelen kan inzicht geven of de benoemde risico’s in de praktijk voldoende worden afgedekt.

Risicomanagement, fraude en rechtmatigheid Invoering rechtmatigheidsverantwoording 2021 Risicomanagement en het weerstandsvermogen Beheersing van frauderisico’s Informatievoorziening Bijlagen

<

> | 27

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.

4. Informatievoorziening

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein Stedelijke IV-werkproces autorisatiebeheer Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

<

> | 28

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.

4.1 Risicomanagement I-domein, Business Continuity Management

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein Stedelijke IV-werkproces autorisatiebeheer

De ambities in het I(V)-domein nog in voorbereiding- en planvormingsfase Op 27 februari 2020 is de eindrapportage van de bestuursopdracht I-domein uitgebracht. Deze eindrapportage geeft inzicht in hoe invulling wordt gegeven aan de digitaliseringsopgave voor de stad. In 2020 heeft de focus gelegen op het voorbereiden van de transformatie (programmaorganisatie, uitwerken plannen op deelsporen) en is gestart met wegwerken van achterstallig onderhoud. Wij onderkennen dat er in 2020 stappen zijn gezet, zoals het borgen van de CIO rol binnen het GMT en de start van de reorganisatie van I-domein die moet leiden tot minder verkokering. Tegelijk zien we ook dat veel van de ambities nog zitten in de fase van voorbereiding en planvorming. Hierdoor blijven, zeker als het gaat om zaken waarbij de basis nog onvoldoende op orde is, wel risico’s bestaan. Met name speelt dit rondom informatiebeveiliging en continuïteit. Risicomanagement I-domein krijgt vorm in NARIS

Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

In 2020 is gestart met het opnemen van risico’s vanuit het I-domein in het risicomanagement(proces) van de gemeente. Dit valt binnen het breder project versterking operationeel risicomanagement (VORM) van de gemeente. Het risicomanagementsysteem (NARIS) van de gemeente wordt aangevuld met de domeinen: • Informatiebeheer • Informatiebeveiliging en privacy

<

>

• Juridische risico’s • Procesrisico’s

Dit inzicht moet bijdragen aan het beter besturen en beheersen van de activiteiten in het I-domein om de programmadoelen te bereiken en compliant te zijn met wet- en regelgeving. Heden ontbreken deze inzichten op concernniveau. Wij zien deze positieve ontwikkeling en adviseren om de ingeslagen weg voort te zetten en een beter inzicht te krijgen in de risico´s en kwaliteit van de interne beheersing in het I-domein. Business Continuity Management (BCM) onvoldoende geborgd Begin 2020 heeft de gemeente te maken gehad met het wereldwijd spelende Citrix incident waarbij hackers misbruik maakten van kwetsbaarheden in de Citrixsoftware om toegang te krijgen tot netwerken. Mede door het moment waarop dit incident speelde (op een donderdagavond) was de invloed op de interne en externe dienstverlening te overzien, maar het vestigde opnieuw de aandacht op het onderwerp Business Continuity Management (BCM). Verder hebben er in 2020 een aantal andere incidenten gespeeld waarbij ADW niet bereikbaar was. Gevolg hiervan was ook dat de stadsloketten en het CCA een bepaalde tijd geen dienstverlening konden leveren. De gemeente onderkent dat Business Continuity Management nog onvoldoende is geborgd binnen de gemeente. Per 1 maart 2021 is een Business Continuity Manager gestart om verder invulling te geven aan BCM binnen de gemeente.

Wij willen hier het belang van BCM benadrukken en adviseren de gemeente hier prioriteit aan te geven gezien | 29 de recente incidenten in het land.

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.

4.2 Voldoen aan wet- en regelgeving voor I(V)-domein

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein Stedelijke IV-werkproces autorisatiebeheer Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

Voldoen aan wet- en regelgeving en NV NOCLAR Het belang van informatiebeveiliging en privacy staat niet meer ter discussie. Dit wordt des te meer onderstreept door de hack bij de Overijsselse gemeente Hof van Twente, het datalek bij de GGD en de recente diefstal van gegevens van directie Belastingen. Daarnaast geldt dat op deze onderwerpen wet- en regelgeving van toepassing is, zoals de Baseline Informatiebeveiliging Overheid (BIO) en de Algemene Verordening Gegevensbescherming (AVG).

>

In 2020 hebben risicosessies plaatsgevonden om na te gaan wat er nog moet gebeuren om aan de BIO te voldoen. Het beeld daaruit is dat gemeente Amsterdam nog niet compliant is met de BIO.

Vanuit de Nadere voorschriften Non Compliance with Law and Regulations (NV NOCLAR) hebben wij als Accountant een verantwoordelijkheid indien wij ons bewust worden van informatie die wijst op relevante nietnaleving van wet- en regelgeving die van fundamenteel belang kan zijn voor de operationele aspecten van de gemeente, de mogelijkheid van de gemeente om de activiteiten voort te zetten of het voorkomen van sancties van materieel belang. Van ons wordt verwacht dat wij hiervan melding maken.

In het implementatieplan is gekozen voor een meerjarige stedelijke aanpak van 3 à 4 jaar om volledig compliant te worden met de BIO. De uitvoering van dit plan in 2020 heeft vertraging opgelopen als gevolg van corona en gebrek aan menskracht. In de begroting 2021 zijn middelen beschikbaar gesteld om de bemensing op peil te brengen en uitvoering te geven aan het implementatieplan.

Op het gebied van informatiebeveiliging en privacy loopt de gemeente mogelijk risico’s omdat zij nog niet compliant is met de Baseline Informatiebeveiliging Overheid (BIO) en de Algemene verordening Gegevensbescherming (AVG).

In de algemene verordening gegevensbescherming (AVG) is voorgeschreven dat de Functionaris Gegevensbescherming (FG) rechtstreeks verslag uitbrengt aan de hoogste leidinggevende van de verwerkingsverantwoordelijke (in dit geval het college en de raad).

Gemeente nog niet compliant met Baseline Informatiebeveiliging Overheid (BIO)

<

In het implementatieplan is beschreven wat de gemeente Amsterdam vanaf 2020 wil gaan doen op het gebied van informatiebeveiliging. Onderdeel van het plan is ook risico’s die samenhangen met informatiebeveiliging, privacy en (de mate van) compliant zijn met AVG en BIO te integreren in het risicomanagementsysteem NARIS.

De Baseline Informatiebeveiliging Overheid (BIO) is vanaf 1 januari 2020 van kracht en vervangt de BIG. In 2020 is het implementatieplan BIO “Naar een veilig Amsterdam” opgesteld.

Gemeente voldoet nog niet aan de Algemene verordening gegevensbescherming (AVG)

Eind 2020 heeft dit (in een gecombineerd verslag over 2018 en 2019) ook plaatsgevonden. De FG heeft in haar verslag toegelicht dat het jaar 2019 in het teken stond van het borgen van de governance, het verder op orde brengen van de basis en de training en bewustwording | 30 van de gemeentelijke organisatie.

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.

4.2 Voldoen aan wet- en regelgeving voor I(V)-domein

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein Stedelijke IV-werkproces autorisatiebeheer Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

<

>

Dit is in 2020 gecontinueerd, maar heeft ook in 2021 nog verdere opvolging nodig om compliant te zijn met de AVG. Wij bevelen aan te onderzoeken op welke gebieden intensivering/versnelling van de verbeteracties mogelijk is, en hier middelen voor beschikbaar te stellen, om spoedig compliant te worden met AVG en BIO. Informatiebeheer

Provincie Noord-Holland concludeerde als Interbestuurlijk Toezichthouder (IBT) in januari 2020 dat het beeld van het informatiebeheer van Amsterdam onvolledig was. In 2020 is vanuit de gemeentearchivaris een kwaliteitssysteem rondom informatiebeheer opgezet en is samen met de CIO sterk gestuurd op het verkrijgen van meer zicht op de staat van het informatiebeheer. De toezichthouder IBT heeft na hertoetsing geconcludeerd dat het informatiebeheer in 2020 “redelijk adequaat” is. Wel blijft er ruimte voor verbetering om aan de wettelijke eisen vanuit de Archiefwet 1995 te voldoen. In haar meest recente jaarverslag komt de gemeentearchivaris ook tot deze conclusie. Wij zien deze positieve ontwikkelingen en juichen de ingeslagen weg toe.

ENSIA ENSIA staat voor Eenduidige Normatiek Single Information Audit. Onderdeel hiervan is dat jaarlijks een collegeverklaring wordt afgelegd inzake informatiebeveiliging. De collegeverklaring is opgesteld aan de hand van de uitkomsten van de zelfevaluaties die door de lijnverantwoordelijken zijn uitgevoerd. Een bevoegde IT-auditor controleert de collegeverklaring. Na vaststelling van de collegeverklaring zal de auditor zijn Assurance verklaring afgeven. De IT-auditor verklaart hierin dat de collegeverklaring een getrouw beeld geeft. De collegeverklaring wordt gezamenlijk met de Assurance verklaring aangeboden aan de landelijke toezichthouder. De ondertekende collegeverklaring moet uiterlijk 1 mei 2021 zijn aangeboden aan de landelijke toezichthouder (het ministerie van Sociale Zaken en Werkgelegenheid). De gemeente legt via een aparte paragraaf in het jaarverslag verantwoording af over haar informatiebeveiliging. Wij merken op dat in de paragraaf bedrijfsvoering wordt ingegaan op ICT en informatievoorziening. De tekst beschrijft in algemene termen enkele in 2020 uitgevoerde acties en gaat feitelijk niet in op de staat van informatiebeveiliging van de gemeente. Wij adviseren in het jaarverslag meer inzicht te geven in de staat van de informatiebeveiliging. Daarnaast adviseren we relevante bevindingen vanuit ENSIA ook in het jaarverslag te rapporteren.

Mogelijk is hiervoor een eerdere afronding van het ENSIA verantwoordingstraject nodig. | 31

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.

4.3 Stedelijke IV-werkproces autorisatiebeheer

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein Stedelijke IV-werkproces autorisatiebeheer Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

Autorisatiebeheer blijft kwetsbaar proces Begin 2020 hebben wij aan de CIO gerapporteerd over de implementatie van de stedelijke IV-werkprocessen autorisatiebeheer. Deze werkprocessen hebben als doel om ongeautoriseerd toegang tot en gebruik van ITsystemen en informatie te voorkomen.

Wij bevelen aan de uitkomsten uit het rapport autorisatiebeheer expliciet mee te nemen in het programma IAM-next en in de tussentijd in elk geval de periodieke review uit te voeren zoals voorgeschreven in de stedelijke IV werkprocessen autorisatiebeheer.

Uit deze audit bleek dat de werkprocessen slechts deels zijn geïmplementeerd. CIO heeft aandacht gevraagd voor implementatie van gemeentebrede werkprocessen autorisatiebeheer. Eind 2020 heeft de CIO-office een inventarisatie uitgevoerd waaruit wederom blijkt dat nog niet alle organisatieonderdelen de werkprocessen hebben ingevoerd. In het kader van de jaarrekeningcontrole 2020 hebben wij ook beoordeeld of periodieke review plaatsvindt op het uitgeven van (en van bestaande) toegangsrechten tot ITsystemen. Deze periodieke review wordt ook in de stedelijke IV werkprocessen autorisatiebeheer voorgeschreven. Van de door ons beoordeelde ITsystemen blijkt dat de periodieke review niet altijd plaatsvindt. Waar dit wel plaatsvindt is deze review niet altijd eenduidig vastgelegd. Het risico dat informatie (data) wordt ingezien dan wel gemuteerd door onbevoegde personen wordt daarom nog maar deels beheerst.

In 2020 is gestart met het programma IAM-next 2020 – 2024 dat onder andere als doel heeft om ongeautoriseerd toegang tot systemen en informatie te voorkomen.

<

> | 32

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.

4.4 Cloud-strategie, inzicht in SaaS oplossingen

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Risicomanagement Idomein, Business Continuity Management Voldoen aan wet- en regelgeving voor I(V)domein Stedelijke IV-werkproces autorisatiebeheer Cloud-strategie, inzicht in SaaS oplossingen Bijlagen

<

Cloud-strategie 2021-2025 Op 21 februari 2021 is de Cloud strategie 2021-2025 binnen de stuurgroep vastgesteld om de overstap te maken naar de Cloud. Besluitvorming in GMT en college is voorzien voor april en mei 2021. In deze strategie wordt bijvoorbeeld genoemd het realiseren van een cloudportfolio, het implementeren van een gedegen cloud governance en het opstellen van risico- en compliancy kaders. De cloud-strategie wordt verder nog uitgewerkt door de gemeente. Binnen de gemeente Amsterdam wordt momenteel gewerkt aan ontwikkeling naar een ‘multi-cloud’ situatie waarbij verschillende soorten Cloud-omgevingen mogelijk zijn. Een relevante ontwikkeling hierbinnen is de start van het Cloud Competence Center (CCC) in 2020. Gepland is op dit platform eind 2021 meerdere applicaties te hebben draaien. De cloud-strategie zal ook impact hebben op bestaande en nieuwe SaaS-toepassingen in de gemeente.

De afgelopen jaren hebben wij geadviseerd om op concernniveau inzicht te krijgen in het gebruik van SAAStoepassingen, risico’s en niveau van beheersing. Wij constateren dat in 2020 op concernniveau deze inzichten er nog niet zijn. Aan de Rekeningencommissie hebben wij afzonderlijk gerapporteerd over stand van zaken rondom de beheersing van SAAS oplossingen. De uitkomsten zijn opgenomen in bijlage 5.1 van dit verslag. Hierin hebben wij aanbevelingen gedaan die kunnen dienen als handvatten om verder vorm te geven aan de implementatie van de cloud-strategie.

Inzicht in gebruik van SaaS-toepassingen nog beperkt De gemeente gebruikt ter ondersteuning van haar bedrijfsprocessen sinds een aantal jaren steeds meer toepassingen op basis van software-as-a-service (SaaS) in plaats van het in eigen beheer ontwikkelen en onderhouden van IT-systemen. Met het gebruik van deze toepassingen zijn er ook specifieke risico’s en beheersvraagstukken ten aanzien van informatiebeveiliging, privacy en continuïteit.

> | 33

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.

5. Bijlagen

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Bijlagen Uitkomsten verzoeken gemeenteraad Tekst van controleverklaring Tabel SiSa fouten en onzekerheden

<

> | 34

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.

5.1 Bijlage uitkomsten verzoeken gemeenteraad

Inhoudsopgave Aanbieding Samenvatting Overzicht fouten, onzekerheden en overige bevindingen

Risicomanagement, fraude en rechtmatigheid Informatievoorziening Bijlagen Bijlage uitkomsten Uitkomsten verzoeken verzoeken gemeenteraad gemeenteraad Tekst van controleverklaring Tabel SiSa fouten en onzekerheden

<

> | 35

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.

Bijlage uitkomsten verzoeken gemeenteraad

Begrotingswijzigingen 2020

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

<

>

| 36

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Samenvatting Aanleiding

Doel- en vraagstelling

De gemeenteraad heeft ons verzocht een analyse te maken van het rekeningresultaat ten opzichte van de initiële begroting en de mogelijkheden tot bijsturing door de gemeenteraad gedurende het begrotingsjaar.

Observaties

• • •

Het doel van dit onderzoek is om de van belang zijnde afwijkingen in de realisatie ten opzichte van de begroting inzichtelijk te maken. Waarbij wordt geduid op welke momenten en op welke manier de gemeenteraad hiervan op de hoogte is gebracht.

Veel wijzingen hebben te maken met Corona. Baten, lasten, ramingen en reserves Ook andere wijzigingen, zoals overgang erfpacht, Stedelijk Mobiliteit, Grondexploitaties, Wijzigingen die jaarlijks voorkomen en te maken hebben met later moment van ontvangen van gelden van het rijk. Mei- en septembercirculaire en decemberbrief Geen indicaties vanuit controle 2020 dat onderzochte wijzigingen eerder hadden moeten worden gemeld.

•

Leesbaarheid kan worden verbeterd in de toelichting op de onderzochte wijzigingen: - Enkele onderzochte wijzigingen die met elkaar te hebben in de tijd zijn lastiger te volgen. Dit komt doordat vaak alleen de wijzigingen ten opzichte van het voorgaande begrotingsproduct is opgenomen. In het jaarverslag ten opzichte van de najaarsnota - Sommige wijzigingen verlopen via reserves en fondsen en zijn in combinatie lastiger te volgen. - Tekstuele toelichting bij enkele wijzingen zijn lastiger te volgen - Corona compensatiepakket Rijk is verdeeld over meerdere programma’s. Totaaloverzicht is lastiger te volgen

<

>

| 37

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Onderzoeksaanpak

Selectie

Onderzoek van de mutaties

Om de relevante verschillen tussen de initiële begroting en de gemeenterekening te analyseren, hebben wij per P&C-product de afwijkingen ten opzichte van de begroting en het voorgaande P&Cproduct in kaart gebracht. Dit hebben wij gedaan door de verschillen per programma zowel absoluut als relatief te rangschikken. Vervolgens hebben wij voor ieder P&C-product de wijzigingen boven de € 25 miljoen geselecteerd voor nader onderzoek. Voor de geselecteerde programma’s hebben wij in de P&C-producten gekeken naar de verklaringen voor deze mutaties en beoordeeld aan de hand van controle-informatie 2020.

• • • • •

<

Documentstudie Informatie vanuit de controle 2020 Bespreking DMC Informatie vanuit de controle 2020 Informatie en bespreking directie Middelen en Control (DMC)

>

| 38

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Baten en lasten, per programma, per P&C Product

Baten

De wijzigingen met een grootte van meer dan 25 miljoen euro, ten opzichte van het voorgaande P&C-product, zijn zichtbaar door het verschil in grootte van de staven. Dit is het geval bij de programma’s 2, 7, 8,10 en A. 4.000 3.500 3.000 2.500 2.000 1.500 1.000 500 0 0

1

2

3

4

5

6

7

8

9

10

11

12

A

B

Lasten

-1.000 -2.000

-3.000 -4.000 Begroting

<

Voorjaarsnota

Najaarsnota

>

Jaarverslag | 39

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Selectie: uitgezochte wijzigingen per programma In onderstaande tabel is de omvang van de wijzigingen ten opzichte van het voorgaande P&C-product weergegeven

<

Programma

Bedrag

Programma 7

751.600.000

Programma A

735.300.000

Programma 10

651.000.000

Programma 2

231.800.000

Programma 8

30.800.000

>

| 40

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Selectie: uitgezochte wijzigingen per categorie

Onderwerp

<

Bedrag

Corona

1.100.700.000

Projecten

751.400.000

Erfpacht

315.500.000

Reguliere Systematiek

232.900.000

>

| 41

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Analyse van soorten wijzigingen

Redelijk deel van de wijzigingen heeft te maken met coronagerelateerde zaken: • Tijdelijke overbruggingsregeling zelfstandig ondernemers (Tozo) • Bijstelling van de opbrengsten/lasten of raming hiervan: • Parkeeropbrengsten • Toeristenbelasting • Noodkas • Baten/lasten GGD • Sommige wijzigingen hebben deels te maken met corona: winst deelnemingen, egalisatiereserve inkomensdeel en conjunctuur

<

Naast corona gerelateerde wijzigingen zijn ook andere soorten wijzigingen: • Projecten die vertraging hebben opgelopen • Actualisatie lasten bruggen en kades • Actualisatie van Meerjarenperspectief Grondexploitaties • Overgangsregeling en afkoopsommen erfpacht • Systematiek van later moment van ontvangen gelden uit mei- en septembercirculaire

>

| 42

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Wijzigingen corona

<

Onderwerp

Programma

Tozo regeling

Programma 7

372.800.000 Najaarsnota

Baten

Tozo regeling

Programma 7

335.000.000 Najaarsnota

Lasten

Eerste schatting effect coronacrisis op belastinginkomsten

Programma A

100.000.000 Voorjaarsbrief

Baten

Hogere uitkering gemeentefonds i.v.m. misgelopen toeristen- en parkeerinkomsten Programma A

92.000.000 Najaarsnota

Baten

Lagere parkeeropbrengsten

Programma 2

75.000.000 Voorjaarsbrief

Baten

Bijstellen van macrobudget voor verstrekken van uitkeringen

Programma 7

43.800.000 Najaarsnota

Baten

Dekking van kosten gemaakt in kader van de noodkas

Programma A

42.100.000 Jaarverslag

Lasten

Daling inkomsten toeristenbelasting

Programma A

40.000.000 Najaarsnota

Baten

>

Bedrag P&C Product Baten/Lasten

| 43

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Wijziging projecten

<

Onderwerp

Programma

Clustering van projecten Strandeiland en Centrumeiland

Programma 10

Actualisatie ramingen van gebiedsontwikkelingsprojecten Vereveningsfonds en Zuidas Actualisatie ramingen van gebiedsontwikkelingsprojecten Vereveningsfonds en Zuidas Vertragingen als gevolg van aarzelingen of knelpunten bij marktpartijen

Programma 10

97.500.000 Voorjaarsbrief

Lasten

Programma 10

95.800.000 Voorjaarsbrief

Baten

Programma 10

-95.000.000 Najaarsnota

Baten

Hogere onttrekking SMF vanwege door vertraging doorgeschoven projecten 2019

Programma A

85.100.000 Voorjaarsbrief

Baten

Lagere winstneming door lagere opbrengsten uit projecten

Programma 10

-68.400.000 Najaarsnota

Baten

Lagere lasten voor projectuitgaven die gedekt worden vanuit het SMF

Programma 2

-61.500.000 Najaarsnota

Lasten

Kosten voor projecten, gefinancierd vanuit SMF, zijn lager dan initieel ingeschat

Programma 2

-51.000.000 Najaarsnota

Lasten

Hogere lasten door doorgeschoven projectbudgetten uit 2019

Programma 2

44.300.000 Voorjaarsbrief

Lasten

>

Bedrag P&C Product Baten/Lasten -152.800.000 Najaarsnota

Lasten

| 44

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Wijziging erfpacht

<

Onderwerp

Programma

Overstapregeling eeuwigdurende erfpacht

Programma A

133.000.000 Voorjaarsbrief

Lasten

Verwacht extra afkoopsommen overstapregeling erfpacht

Programma 10

80.100.000 Voorjaarsbrief

Baten

Lagere baten door minder ontvangen afkoopsommen

Programma 10

-61.400.000 Jaarverslag

Baten

Lagere toevoeging reserve vanwege verwachting meer afkoop.

Programma A

41.000.000 Voorjaarsbrief

Lasten

>

Bedrag P&C Product Baten/Lasten

| 45

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Wijziging reguliere systematiek

<

Onderwerp

Programma

Bedrag P&C Product Baten/Lasten

Negatief rekeningreultaat 2019

Programma A

83.100.000 Voorjaarsbrief

Baten

Negatief rekeningreultaat 2019

Programma A

83.100.000 Voorjaarsbrief

Lasten

Hogere baten integratie- en decentralisatieuitkeringen

Programma A

35.900.000 Najaarsnota

Baten

Hogere lasten door extra beschikbare middelen vanuit septembercirculaire

Programma 8

30.800.000 Najaarsnota

Lasten

>

| 46

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Wijziging tijdig, maar soms lastig te volgen

1. 2.

<

Geen indicaties vanuit controle dat wijzigingen eerder hadden kunnen worden gemeld Volgen van wijzigingen is in enkele gevallen lastig: a) Alleen wijzigingen ten opzichte van het vorige begrotingsproduct worden toegelicht. Dit maakt volgen wijzigingen die op meerdere momenten voordoen lastig te volgen. b) Sommige wijzigingen verlopen via reserves en fondsen en zijn in combinatie lastiger te volgen.

Voorbeeld 2b: Hogere onttrekking SMF door doorschuiven projecten 2019 van € 63,5 miljoen in voorjaarsbrief en in najaarsnota gemeld, lagere lasten van € 51,0 miljoen op basis van de actualisatie projecten die gefinancierd worden uit het Stedelijk Mobiliteitsfonds

Voorbeeld 2a: Meerjarig grondexploitaties. In voorjaarsbrief een hoger bate van circa € 96 miljoen en hogere lasten ad € 97,5 miljoen. In najaarsnota gemeld. een lagere bate ad € 95 miljoen, lagere winstnemingen ad € 68,4 miljoen en hogere lasten plantekorten ad € 45,1 miljoen.

Voorbeeld 2b: ‘Een hogere onttrekking van € 21,1 miljoen aan de reserve Meerjarige Intertemporele Compensatie voor (reguliere) kasschuiven. Conform het doel van de reserve worden begrotingstekorten en overschotten over de jaren meerjarig gesaldeerd zodat de begroting in evenwicht is.’ (najaarsnota 2020)

Voorbeeld 2a: Extra baten afkoopsom erfpacht in voorjaarsbrief van circa € 80,1 miljoen. In najaarsnota lagere baten gemeld ad € 64,1 miljoen

>

| 47

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

Wijziging tijdig, maar soms lastig te volgen

c) d)

Toelichting is soms lastig te volgen Corona compensatiepakket Rijk is verdeeld over meerdere programma’s. Totaaloverzicht is lastiger te volgen

Voorbeeld 2c: ‘Lagere lasten door gewijzigde activeringen op onderhanden werk van € 152,8 miljoen. Dit is het gevolg van de BBV-systematiek, waardoor enerzijds de lagere inkomsten van € 95,0 miljoen en anderzijds de voorgestelde clustering van Strandeiland en Centrumeiland van € 54,3 leiden tot een lagere verrekening met de balans.’

<

Voorbeeld 2c: ‘In voorgaande jaren vielen de uitgaven die gedekt zouden worden door het Stedelijk Mobiliteitsfonds (SMF) doorgaans lager uit dan begroot. Om ervoor te zorgen dat dit in 2020 niet meer gebeurt, zijn de verwachte uitgaven door middel van overprogrammering in de begroting verhoogd zonder de onttrekking aan de reserve te verhogen (per saldo € 61,5 miljoen)’ (najaarsnota 2020)

>

| 48

Begrotingswijzigingen 2020

Bijlage uitkomsten verzoeken gemeenteraad

ANTIFRAUDEOFFENSIEF

ISO-31000

AMSTERDAM SCOPE DOELGERICHT INTEGRAAL

CONTROL

RISICO MANAGEMENT

VERSTERKING OPERATIONEEL RISICOMANAGEMENT

NARIS

BELEID

KANSEN

ANALYSE

AO/IC

IMPACT

KANS

PRIORITEIT P&C-CYCLUS

RISICOBEREIDHEID

Risicomanagement

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

<

>

| 49

Risicomanagement

Bijlage uitkomsten verzoeken gemeenteraad Aanleiding

Samenvatting

De Rekeningencommissie beveelt in haar verslag bij het jaarverslag 2019 aan de verschillende ….. risicomanagementactiviteiten in de gemeente te integreren en te komen tot één gemeentelijke risicoanalyse. In het verlengde van de aanbeveling is een motie aangenomen die onder andere vraagt om eens per jaar de effectiviteit van het risicomanagementsysteem door ACAM te laten onderzoeken.

Doel- en vraagstelling

Conclusie Voor het berekenen van het weerstandsvermogen voldoet de gemeente aan de randvoorwaarden …….. zoals gesteld in ISO-31000. Tegelijkertijd zien we in de eerste lijn grote verschillen in de manier waarop risico’s geïnventariseerd en geanalyseerd worden, hoe beheersmaatregelen tot stand komen en de aandacht die aan deze processtappen besteed wordt. ISO-31000 wordt hierbij in de eerste lijn niet altijd gevolgd, terwijl een goede toepassing van deze richtlijn juist kan bijdragen aan effectiever risicomanagement binnen de gemeente. Onderstaande bevindingen bieden aanknopingspunten voor verbetering.

Auditdienst ACAM is verzocht om de effectiviteit van het risicomanagementsysteem te onderzoeken. De effectiviteit is onderzocht aan de hand van ISO-31000. Dit is de richtlijn die de gemeente Amsterdam zelf als basis voor effectief risicomanagement hanteert.

Bevindingen

1 2

3 <

ISO-31000 schrijft een gestructureerd risicomanagementproces voor. Binnen de gemeente zien wij dit beperkt terug. Risicomanagement vindt in de eerste lijn juist voor het merendeel ad hoc en niet volledig volgens de ISO-structuur plaats. Daarnaast ontbreken waarborgen binnen het risicomanagementproces mbt niet-financiële risico’s (zoals operationele en beleidsrisico’s). ISO-31000 schrijft een integraal risicomanagementproces voor, dat ondersteunend moet zijn aan de doelstellingen van een organisatie. Binnen de gemeente zien wij dit niet terug. Er is te weinig aandacht voor risico’s met een niet-financieel gevolg en/of aard. Dit uit zich onder meer in onvoldoende aandacht voor (beleids)risico’s ten aanzien van de coalitiedoelstellingen. Eerder hebben ACAM en de Rekeningencommissie aanbevolen om tot één integrale gemeentelijke risicoanalyse te komen. Er bleek dat binnen de gemeente op meerdere niveaus en volgens diverse methodes risico-inventarisaties werden gedaan. Hoewel het college geen expliciete toezegging heeft gedaan voor het opvolgen van deze aanbeveling, stemt het positief dat hier door DMC-Risicomanagement toch invulling aan gegeven wordt.

>

| 50

Risicomanagement

Bijlage uitkomsten verzoeken gemeenteraad

Bevinding 1 – Risicomanagement in de eerste lijn niet volgens ISO-structuur

Risicomanagement vindt in de eerste lijn ad hoc en niet volgens de ISO-structuur plaats

•

ISO-31000 schrijft voor dat een organisatie(onderdeel) dient te benoemen welke risico’s zij wenst te accepteren. Vervolgens dient de risico-inschatting systematisch, iteratief en in gezamenlijkheid plaats te vinden, gebruikmakend van de kennis en verschillende perspectieven van de stakeholders. De mate van structuur die ISO-31000 voorschrijft, zien we met uitzondering van projecten niet terug bij de selectie organisatieonderdelen in ons onderzoek. Uit de interviews binnen de organisatieonderdelen en onze analyse van de risicoprofielen in Naris concluderen wij dat: • expliciete risicosessies vaak beperkt of niet plaatsvinden; • onvoldoende nagedacht wordt over de risicobereidheid; • de kring van betrokkenen bij het inventariseren en analyseren van risico’s vaak beperkt blijft tot de controlfunctie;

Het risico bij onvoldoende invulling van deze punten is tunnelvisie en de mogelijkheid dat er blinde vlekken ontstaan voor (nieuwe) risico’s.

<

veelal wordt voortgebouwd op de bestaande risico’s die op dat moment al bekend zijn bij het organisatieonderdeel en in Naris zijn opgenomen.

Geen integrale stedelijke risico-inventarisatie Het gebrek aan integraliteit zien we ook terug in de verschillende (centrale) risico-inventarisaties die binnen de gemeente plaatsvinden. Risico’s worden uitgevraagd en vastgelegd ten behoeve van het berekenen van het weerstandsvermogen, in het kader van AO/IC-plannen en voor de fraudescans. Uit interviews vernemen wij dat deze verschillende uitvragen vaak niet goed op elkaar zijn afgestemd. Dit leidt meer dan eens tot dubbel werk voor de organisatieonderdelen en is daarmee niet efficiënt. A

>

B C

| 51

Risicomanagement

Bijlage uitkomsten verzoeken gemeenteraad

Bevinding 1 – Risicomanagement in de eerste lijn niet volgens ISO-structuur

Waarborgen ontbreken voor het in kaart brengen van operationele- en beleidsrisico’s In het proces van het berekenen van het weerstandsvermogen zijn verscheidene waarborgen getroffen die er voor zorgen dat risicomanagement op een effectieve wijze verloopt. Zo worden risicoinschattingen onafhankelijk gevalideerd en zijn er vaste momenten binnen de P&C-cyclus waarop organisatieonderdelen hun risicoprofiel in Naris updaten. Ook binnen projecten zijn dergelijke waarborgen aanwezig. In dit geval is risicomanagement geborgd in de processtappen van het Project Portfolio Management (PPM)-proces. Er kan pas overgegaan worden naar een nieuwe fase wanneer bepaalde projectdocumentatie is opgesteld. Deze waarborgen ontbreken voor het in kaart brengen van de operationele en beleidsrisico’s.

<

Aanbeveling(en) 1. Wat ons betreft mag de periodieke risico-inventarisatie van directies en stadsdelen meer ‘body’ krijgen. Het zou goed zijn als organisatieonderdelen periodiek een integrale risicomanagementsessie organiseren waarbij “opnieuw” wordt begonnen en niet wordt voortgebouwd op het bestaande risicoprofiel in Naris. In aanvulling hierop zou het goed zijn om hierbij vaker verschillende expertises/ achtergronden te betrekken om groepsdenken en andere biases te voorkomen. Denk hierbij bijvoorbeeld aan het organiseren van tegenspraak. 2. Risicomanagement gaat zowel over het beheersen als het benutten van kansen. Door voor je risico-inventarisatie, -analyse, en –beoordeling na te denken over de risico’s die je bereid bent te nemen, voorkom je dat je kansen onbenut laat of juist dat je onnodig te veel risico neemt. Wij bevelen dan ook aan om expliciet invulling te geven aan de risicobereidheid op directieniveau. Ieder organisatieonderdeel zou zich hierbij moeten uitspreken over de criteria die zij hanteert. Hierbij kan gedacht worden aan het verhelderen van hoe het gewenste risiconiveau bepaald wordt en hoe je de significantie van een risico meet.

>

| 52

Risicomanagement

Bijlage uitkomsten verzoeken gemeenteraad

Bevinding 2 – Te weinig focus op risico’s met een niet-financieel gevolg

Er is te weinig focus op risico’s met een niet-financieel gevolg ISO-31000 schrijft een integraal risicomanagementproces voor. In de 'Leidraad Risicomanagement' van de gemeente is beschreven dat organisatieonderdelen in het kader van de uitvraag voor de begroting en jaarrekening twee keer per jaar een integraal risicoprofiel updaten in Naris. Integraal kan onder meer betekenen dat risicomanagement alle soorten risico’s omvat en dat er voor alle soorten risico's aandacht is. Dit is ook het uitgangspunt van de risicomanagementkaders. De verschillende risicocategorieën zijn bijvoorbeeld beschreven in de leidraad. Naris biedt ook de mogelijkheid om verschillende categorieën risico's vast te leggen. Ten opzichte van andersoortige risico’s blijkt in de praktijk de nadruk echter veel op risico’s met een financieel gevolg te liggen. Uit onze steekproef blijkt dat met name financiële risico’s en de financiële gevolgen van risico’s in de risicoprofielen in Naris worden opgenomen. Andersoortige risicogevolgen komen aanzienlijk minder terug.

<

DMC Risicomanagement blijkt in de praktijk ook weinig te doen met risico’s zonder een financieel gevolg. Ook de 'Beleidsnota Risicomanagement 2018 - 2022' richt zich met name op risico's met een financieel gevolg ten behoeve van het weerstandsvermogen.

Te weinig aandacht voor beleidsrisico’s In het risicomanagementproces zien wij ook beperkt aandacht voor beleidsrisico’s. Conform de eisen van ISO 31000 is in de 'Beleidsnota Risicomanagement 2018 - 2022' beschreven dat 'Integraal risicomanagement begint met de missie, visie en kernwaarden [van de gemeente]. Het coalitieakkoord is leidend.' Ook het (nieuwe) management control framework ‘Amsterdam Doelgericht’ schrijft voor dat beheersing plaatsvindt op de programma(onderdelen) en taken uit de programmabegroting en risico’s primair worden gekoppeld aan de doelen die zijn verbonden met programma(onderdelen), taken, thema’s, processen en gebieden. Zo wordt benoemd dat we ons niet richten op ons eigen organisatieonderdeel maar juist op de doelen uit de programmabegroting.

>

| 53

Risicomanagement

Bijlage uitkomsten verzoeken gemeenteraad

Bevinding 2 – Te weinig focus op risico’s met een niet-financieel gevolg

In de praktijk blijkt het soms lastig om hier concreet handen en voeten aan te geven. Dit principe is in de beleidsstukken beperkt uitgewerkt; de Beleidsnota Risicomanagement zelf beperkt zich bijvoorbeeld met name tot het weerstandsvermogen. Ook in de interviews met DMC-Risicomanagement komt naar voren dat de aandacht voor de (beleids)doelstellingen uit het coalitieakkoord beperkt is. De focus ligt hierbij toch meer op het 'going concern' van de ambtelijke organisatie, omdat dit de grootste financiële component van de begroting is. Dit beeld wordt bevestigd door onze analyse van de risicoprofielen in Naris. Hieruit blijkt dat niet alle organisatieonderdelen uit de steekproef beleidsrisico’s in hun risicoprofiel hebben opgenomen. Hoewel Naris het risicomanagementsysteem van de gemeente Amsterdam is, moeten we dus tegelijkertijd ook vaststellen dat het systeem nog niet zo wordt gebruikt. Voorlopig worden voornamelijk risico’s met een financieel gevolg goed vastgelegd, in tegenstelling tot andersoortige risico’s. Deze onvolledige vastlegging in Naris leidt tot een gebrekkig overzicht.

<

Daarmee is opvallend dat organisatieonderdelen wel wordt gevraagd alle soorten risico's in Naris vast te leggen, terwijl in de praktijk alleen de risico’s met een financieel gevolg op een overkoepelend en organisatiebreed niveau worden geanalyseerd. Aanbeveling(en) 1. Essentieel voor breder gebruik van Naris en de kwaliteit van de vastlegging is draagvlak vanuit de eerste lijn. Zij moeten de toegevoegde waarde van Naris ervaren. Het is momenteel onduidelijk hoe hier op ingespeeld wordt. Het is aan te bevelen om gemeentebreed het belang van risicovastlegging meer onder de aandacht te brengen. 2. Het is aan te bevelen om de koppeling tussen organisatie- en programmadoelen en risico’s te versterken door risico’s expliciet te koppelen aan de programma’s waarbinnen die risico’s spelen, zodat duidelijk is hoe deze zich tot elkaar verhouden. Een randvoorwaarde hierbij is dat beleidsverantwoordelijke directies zorgen voor een heldere omschrijving van de beleidsdoelen en indicatoren in de programmabladen.

>

| 54

Risicomanagement

Bijlage uitkomsten verzoeken gemeenteraad

Bevinding 3 – Eerdere aanbevelingen ACAM deels opgepakt

Project DMC Risicomanagement is een stap in de goede richting, ook wat betreft eerdere aanbevelingen ACAM DMC-Risicomanagement is midden 2020 het project Versterking operationeel risicomanagement (VORM) gestart. In dit project wordt voor een deel invulling gegeven aan de bevindingen uit het huidige onderzoek en eerdere aanbevelingen van ACAM en de Rekeningencommissie. Dit is een stap in de goede richting. ACAM adviseerde in het accountantsverslag 2019 om tot één gemeentelijke risicoanalyse te komen en deze risico’s op gemeentebreed niveau te prioriteren. Er bleek dat op meerdere niveaus en volgens diverse methodes risico-inventarisaties werden gedaan. Enkele voorbeelden zijn de frauderisicoscans en de totstandkoming van de juridische risico’s (voorzieningen). Deze ‘inefficiëntie’ is op dit moment nog niet opgelost, maar er wordt wel aan gewerkt. Het project VORM zet onder andere in op het stroomlijnen en samenvoegen van de huidige separate risico-inventarisaties volgens een vaste planning, gekoppeld aan de P&C-Cyclus. Hoewel het college geen expliciete toezegging voor het komen tot één gemeentelijke risicoanalyse heeft gedaan, stemt het positief dat hier op dit moment toch invulling aan gegeven wordt.

<

>

Aanbeveling Het project VORM werkt aan een meer uniforme vastlegging en monitoring van operationele risico’s en beheersmaatregelen in Naris. Dit zal vermoedelijk bijdragen aan een sterkere borging van het in kaart brengen van operationele risico’s. Wij bevelen aan dat er vergelijkbare aandacht komt voor beleidsrisico’s.

| 55

Risicomanagement

Bijlage uitkomsten verzoeken gemeenteraad

Onderzoeksaanpak

Werkzaamheden

Selectie

In het onderzoek zijn interviews gehouden met medewerkers van DMC-Risicomanagement en met directeuren, business controllers en andere betrokken medewerkers van een selectie van organisatieonderdelen. Waar nodig is relevante documentatie opgevraagd. Aanvullend is een analyse uitgevoerd op het risicoprofiel van de geselecteerde organisatieonderdelen in het risicomanagementsysteem Naris.

Zes organisatieonderdelen zijn geselecteerd om deel te nemen aan het onderzoek. De belangrijkste criteria voor de selectie waren: • goede spreiding over clusters; • financiële omvang van de risico’s; • aantal risico’s in het risicoprofiel.

Gehanteerde referentiekader Om de effectiviteit van het risicomanagementsysteem in kaart te brengen is ISO-31000 als referentiekader genomen. ISO-31000 is de richtlijn die de gemeente Amsterdam zelf hanteert voor het inrichten van effectief risicomanagement. Het is een internationale richtlijn die principes en algemene richtlijnen geeft voor de inrichting van effectief risicomanagement binnen een organisatie.

<

V&OR

>

SbvL

SD-NW

Werk

P&O

A&G

| 56

Risicomanagement

Bijlage uitkomsten verzoeken gemeenteraad

Opvolging aanbeveling uitvoeringsplan inkoopstelsel

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

<

>

| 57

Uitvoeringsplan inkoopstelsel

Bijlage uitkomsten verzoeken gemeenteraad Samenvatting uitkomsten

Samenvatting

Wij hebben vastgesteld dat de speerpunten en adviezen uit de rapportage Uitkomsten onderzoek werking inkoopstelsel Amsterdam zijn overgenomen in het uitvoeringsplan. In het uitvoeringsplan zijn per actielijn activiteiten benoemd met daaraan een planning gekoppeld. Verder zijn er rapportagelijnen ingericht om de voortgang van het uitvoeringsplan te bewaken. Hiermee zijn goede stappen gezet om het inkoopstelsel succesvol te kunnen verbeteren. Voor het verbeteren van het inkoopstelsel benadrukken wij een aantal (gemeentebrede) aspecten die aandacht behoeven. Op een aantal onderdelen wordt het uitvoeringsplan nog nader uitgewerkt. Van belang is om inzicht te verschaffen hoe de verbeteringen daadwerkelijk zullen worden gerealiseerd. Voortgangsrapportages hierover zullen moeten aansluiten op de nadere uitwerking en actuele planningen. Verder is voor het realiseren van de verbeteringen in het inkoopstelsel het beschikbaar stellen van voldoende middelen een vereiste. Gezien de doorlooptijd tot 1 juli 2022 is het aan te bevelen om over een aantal maanden nog een keer te rapporteren over de aanbeveling van de Rekeningencommissie.

Achtergrond Onderzoek Op 28 januari 2019 is door de verantwoordelijk wethouder inkoop de bestuursopdracht inkoop uitgevaardigd. De aanleiding voor de bestuursopdracht was onder meer de verdubbeling van de onrechtmatige bestedingen in 2018 ten opzichte van 2017. De bestuursopdracht heeft geresulteerd in een rapportage Uitkomsten onderzoek werking inkoopstelsel Amsterdam, van tijdelijke focus op onrechtmatigheid naar duurzame inzet op doelmatigheid. Op 5 november 2020 heeft het Gemeentelijk Management Team (GMT) ingestemd met het uitvoeringsplan voortkomend uit deze rapportage. Het college heeft in de raadscommissie Kunst, Diversiteit en Democratisering (KDD) van 11 november 2020 toegezegd dat bij het afdoen van aanbevelingen er een rapportage van ACAM bij deze opvolging komt. Het uitvoeringsplan is de opvolging van de aanbeveling om het inkoopstelsel structureel te verbeteren.

Aandachtspunten

1 2 3 <

Op onderdelen is het uitvoeringsplan beschrijvend en wordt de concrete uitvoering nog nader uitgewerkt in onderliggende plannen. Dit is inherent aan een verbeterproces en er zal middels voortgangsrapportages inzichtelijk moeten worden gemaakt op welke wijze de verbeteringen zullen worden gerealiseerd. De actielijnen kennen een doorlooptijd tot 1 juli 2022. Onderdelen die dan niet gerealiseerd zijn, behoren tot de reguliere verantwoordelijkheid van de dan ontstane directie Inkoop. Onduidelijk is in hoeverre de directie Inkoop in staat zal zijn hetgeen niet is gerealiseerd te implementeren. Het uitvoeringsplan kent afhankelijkheden van andere ontwikkelingen in de gemeente. Deze zijn onder meer onderkend door het instellen van expertisepools. Het uitvoeringsplan stelt echter nog geen eisen aan resultaten die in samenhang met andere ontwikkelingen bereikt moeten worden.

>

| 58

Uitvoeringsplan inkoppstelsel

Bijlage uitkomsten verzoeken gemeenteraad

Achtergrond aanbeveling Rekeningencommissie

Op 28 januari 2019 is door de verantwoordelijk wethouder inkoop de bestuursopdracht inkoop uitgevaardigd. De bestuursopdracht kent twee sturingslijnen, te weten het op orde brengen van de beheersing rondom de rechtmatigheid van de bestedingen en het verbeteren van het inkoopstelsel. De aanleiding voor de bestuursopdracht was onder meer de verdubbeling van de onrechtmatige bestedingen in 2018 ten opzichte van 2017. De bestuursopdracht heeft geresulteerd in de rapportage Uitkomsten onderzoek werking inkoopstelsel Amsterdam, van tijdelijke focus op onrechtmatigheid naar duurzame inzet op doelmatigheid. In deze rapportage zijn 5 speerpunten en 17 adviezen opgenomen. Op 5 mei 2020 is de rapportage door het college vastgesteld.

<

| 59

Op 5 november 2020 heeft het Gemeentelijk Management Team (GMT) ingestemd met het uitvoeringsplan. Op 16 november 2020 is het plan ter kennisname voorgelegd aan de wethouder inkoop. De uitvoering van het plan is belegd bij de directeur Financiële Dienstverlening. Het college heeft aan de gemeenteraad toegezegd dat bij opvolgingen van aanbevelingen van de Rekeningencommissie er een rapportage van ACAM bij deze opvolging komt. Het uitvoeringsplan is de opvolging van de aanbeveling om het inkoopstelsel structureel te verbeteren.

>

| 59

Uitvoeringsplan inkoopstelsel

Bijlage uitkomsten verzoeken gemeenteraad

Aandachtspunt 1 – Uitvoeringsplan behoeft nadere uitwerking

De speerpunten en adviezen uit de rapportage Werking Inkoopstelsel Amsterdam zijn uitgewerkt in een uitvoeringsplan. Op onderdelen is dit uitvoeringsplan beschrijvend en wordt de concrete uitvoering nog nader uitgewerkt in onderliggende plannen. Dit is inherent aan een verbeterproces en er zal middels voortgangsrapportages inzichtelijk moeten worden gemaakt op welke wijze de verbeteringen zullen worden gerealiseerd. Voor de daadwerkelijke realisatie is het van belang om voldoende middelen beschikbaar te hebben om de verbeteringen uit te voeren. Het uitvoeringsplan stelt als doel dat alle aanbevelingen uit het eindrapport Uitkomsten onderzoek en opzet en werking Inkoopstelsel Amsterdam via verdere uitwerking tot het gewenste resultaat te brengen in een periode van anderhalf jaar.

<

Wij stellen vast dat de aanbevelingen uit het eindrapport Uitkomsten onderzoek en opzet en werking Inkoopstelsel Amsterdam zijn overgenomen in het uitvoeringsplan. De oorspronkelijke indeling in speerpunten en adviezen vanuit de eindrapportage zijn vertaald naar actielijnen. De actielijnen zijn ingedeeld op onderwerp en kennen activiteiten om het doel van de betreffende actielijn te realiseren. Wel onderkennen wij het belang dat er voldoende middelen en capaciteit beschikbaar moet zijn om de verbeteringen te realiseren. De nadere uitwerking van het uitvoeringsplan, maar ook de benodigde blijvende aandacht voor de planning en de afhankelijkheden van andere gemeentelijke ontwikkelingen vereisen dat er voldoende prioriteit gegeven wordt om de doelen van het uitvoeringsplan te bereiken.

>

| 60

Uitvoeringsplan inkoopstelsel

Bijlage uitkomsten verzoeken gemeenteraad

Aandachtspunt 1 – Uitvoeringsplan behoeft nadere uitwerking

De uitwerkingen van de actielijnen en de onderliggende activiteiten zijn verschillend in diepgang. Op aspecten is het uitvoeringsplan meer een beschrijving van de structuur om onderliggende plannen op te stellen, dan concrete activiteiten die samen tot het betreffende doel moeten leiden. De eerste actielijn is hier een voorbeeld van. Het doel van deze actielijn is het oprichten van de directie Inkoop. Het uitvoeringsplan beschrijft dat er eerst een outline opgesteld moet worden en daarna een stappenplan om tot de oprichting van de directie Inkoop te komen. Hierin zullen de inrichtingsvraagstukken en ophanging van mandaten uitgewerkt worden. De outline en het stappenplan zullen dan vervolgens de werkelijke activiteiten moeten bevatten om de directie Inkoop op te richten. In voortgangsrapportages over het uitvoeringsplan zal aansluiting moeten zijn met de uitgewerkte onderliggende plannen en bijbehorende tijdpaden om het benodigde inzicht te verschaffen in de realisatie van de activiteiten per actielijn.

<

>

| 61

Uitvoeringsplan inkoopstelsel

Bijlage uitkomsten verzoeken gemeenteraad

Aandachtspunt 2 – Realisatie uitvoeringsplan en directie inkoop

Het uitvoeringsplan heeft als hoofddoelstelling het realiseren van alle aanbevelingen voor 1 juli 2022. In het uitvoeringsplan is een planning opgenomen en die blijvend aandacht vraagt. Onder meer is het realiseren van de aanbevelingen afhankelijk van andere ontwikkelingen in de gemeente die elk hun eigen planning en uitvoering kennen. Indien onderdelen niet worden gerealiseerd voor 1 juli 2022, worden die de verantwoordelijkheid van de directie Inkoop.

Om de aanbevelingen binnen gestelde tijd te realiseren is per actielijn een planning opgesteld. Wij onderkennen drie factoren die de doorlooptijd negatief kunnen beïnvloeden.

Het uitvoeringsplan stelt als doel dat alle aanbevelingen uit het eindrapport Uitkomsten onderzoek en opzet en werking Inkoopstelsel Amsterdam via verdere uitwerking tot het gewenste resultaat te brengen in een periode van anderhalf jaar. De vijf actielijnen kennen een doorlooptijd tot 1 juli 2022. Onderdelen die dan niet gerealiseerd zijn, behoren tot de reguliere verantwoordelijkheid van de dan ontstane directie Inkoop. Het is onduidelijk in hoeverre de directie Inkoop in staat zal zijn hetgeen niet is gerealiseerd te implementeren.

De tweede factor betreft de uitwerking van onderliggende plannen zoals omschreven in de eerste bevinding. Nog op te stellen stappenplannen, analyses en notities zullen van invloed zijn op het te volgen tijdspad. Dit geldt ook voor de nog op te richten directie Inkoop. Het uitvoeringsplan beschrijft geen alternatief als het tijdspad om tot deze directie te komen, doorloopt na 1 juli 2022.

<

De eerste factor betreft de bemensing voor de uitvoering. Het bemensen van de expertisepools is afhankelijk van directies. Beoogd was om eind december 2020 de expertisepools ingevuld te hebben. Dit is later geworden, waardoor de verdere uitvoering later gestart is dan gepland. Nog onduidelijk is wat dit voor de doorlooptijd betekent.

De derde factor is de samenhang met andere gemeentelijke ontwikkelingen die terugkomen in de derde bevinding. Deze volgen hun eigen tijdspad en een vertraging elders kan hier doorwerken.

>

| 62

Uitvoeringsplan inkoopstelsel

Bijlage uitkomsten verzoeken gemeenteraad

Aandachtspunt 3 – Uitvoeringsplan kent afhankelijkheden

Het uitvoeringsplan kent afhankelijkheden van andere ontwikkelingen in de gemeente. Deze zijn onderkend door het onder meer instellen van expertisepools. Het uitvoeringsplan stelt echter nog geen eisen aan de resultaten die in interactie met andere ontwikkelingen bereikt moeten worden. Het uitvoeringsplan onderkent veel afhankelijkheden. Dit is van belang aangezien de inkoopkolom niet los gezien kan worden van de rest van de gemeentelijke organisatie. De invulling van deze afhankelijkheden vanuit het uitvoeringsplan wordt veelal ingevuld met participeren, in samenwerking onderzoeken en verkennen door stakeholders uit verschillende directies. Hiervoor zijn onder meer expertisepools ingesteld. Het daadwerkelijke einddoel en de mogelijke minimumeisen die voor het slagen van het uitvoeringsplan van belang zijn, zijn niet benoemd. Voor het realiseren van de resultaten in het uitvoeringsplan is het randvoorwaardelijk dat de andere ontwikkelingen in de gemeente, waaronder reorganisaties en een nieuw financieel systeem, deze resultaten ondersteunen.

<

Hiervoor is het van belang dat vanuit de inkoopkolom minimumeisen worden gesteld aan de resultaten van deze ontwikkelingen. De afhankelijkheid van reorganisaties doet zich voor bij de actielijnen één en vier. Bij actielijn één zijn deze afhankelijkheden van reorganisaties onderkend en worden deze meegenomen in de stappen om tot de directie Inkoop te komen. Zoals bij bevinding 2 aangegeven, bestaat hier wel een planningsrisico. Voor het behalen van de doelen in het uitvoeringsplan, is het van belang dat deze reorganisaties leiden tot een taakverdeling binnen de gemeente die aansluit op het uitvoeringsplan. Bij actielijn vijf is de samenhang met de verwerving van een nieuw financieel systeem benoemd. Aangegeven is dat de inkoopkolom vertegenwoordigd moet zijn bij deze verwerving en er zijn aandachtspunten benoemd. Voor de implementatie van het uitvoeringsplan is het van belang om de aandachtspunten om te zetten in minimumeisen waaraan een nieuw systeem moet voldoen. Deze minimumeisen zijn dan onderdeel van de definitiefase voor het nieuwe financieel systeem die in 2021 plaatsvindt.

>

| 63

Uitvoeringsplan inkoopstelsel

Bijlage uitkomsten verzoeken gemeenteraad

Onderzoeksaanpak

Het doel van dit onderzoek is tweeledig: i. vaststellen of het uitvoeringsplan voldoende is uitgewerkt om de implementatie van de voorgestelde verbeteringen op (korte) termijn te realiseren; ii.

het verkrijgen van inzicht in de stand van zaken rond de implementatie van deze voorgenomen acties.

Auditdienst ACAM heeft de volgende werkzaamheden uitgevoerd: - documentanalyse op het uitvoeringsplan; - interviews met de programmamanager van het uitvoeringsplan, het waarnemend hoofd Concern Inkoop, de kwartiermaker directie Inkoop en de directeur Financiële Dienstverlening.

Het uitwerken en implementeren van het uitvoeringsplan is recentelijk gestart en kent een doorlooptijd tot 1 juli 2022. Voor de opvolging van de aanbeveling van de Rekeningencommissie is het aan te bevelen om over een aantal maanden nogmaals de stand van zaken vast te stellen.

<

>

| 64

Uitvoeringsplan inkoopstelsel

Bijlage uitkomsten verzoeken gemeenteraad

Beheersing rond SaaS-oplossingen

Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl

<

>

| 65

Beheersing rond SaaS-oplossingen

Bijlage uitkomsten verzoeken gemeenteraad Aanleiding

Samenvatting

De Rekeningencommissie beveelt in haar verslag bij het jaarverslag 2018 aan expliciete er kaders op te stellen voor de toepassing van SaaS-oplossingen en in de kaders expliciet te laten opnemen dat servicepartners verantwoording afleggen aan de gemeente over de uitbestede processen. In de accountantsverslagen van afgelopen jaren heeft ook Auditdienst ACAM gewezen op het belang hiervan. De Rekeningencommissie heeft gevraagd naar de huidige stand van zaken.

Conclusie Wij constateren dat de gemeente Amsterdam volop in ontwikkeling is binnen het I-domein. Eén van de sporen waarop de gemeente stappen zet is de cloud. Gemeentebreed is onlangs de Cloudstrategie 2021-2025 vastgesteld. Dit vraagt nog om nadere uitwerking op het gebied van SaaSoplossingen, maar ook over het bredere onderwerp cloud. Tevens constateren we dat op concernniveau nog geen inzicht is in (de mate van beheersing over) deze uitbestede IT-processen.