Bijlage 5 - Accountantsverslag 2024 gemeente Amsterdam.pdf

Home

Accountantsverslag 2024 gemeente Amsterdam

Auditdienst ACAM – Accountantsverslag 2024

Home

Aanbiedingsbrief Aan de leden van de gemeenteraad van Amsterdam Amstel 1 1011 PN Amsterdam

Datum Kenmerk Onderwerp

15 mei 2025 700.000.24-V Accountantsverslag 2024 gemeente Amsterdam

Geachte leden van de gemeenteraad, Hierbij ontvangt u het accountantsverslag van de controle van de jaarrekening 2024 van de gemeente Amsterdam. Bij de door het college vastgestelde jaarrekening hebben wij op 24 april een goedkeurende controleverklaring verstrekt. Waar over boekjaar 2023 nog een oordeel met beperking was afgegeven als gevolg van tekortkomingen in het proces van totstandkoming van de rechtmatigheidsverantwoording is dit proces over 2024 sterk verbeterd, wat het goedkeurend oordeel (mede) verklaard.

Het resultaat is ten opzichte van de laatste begroting, de najaarsnota, € 99,5 miljoen lager. Het negatieve resultaat van € 6,5 miljoen wordt, naast enkele niet begrote tegenvallers, veroorzaakt doordat per saldo € 165 miljoen meer aan de reserves is toegevoegd dan begroot. De afgelopen jaren hebben wij veelvuldig geschreven over inkopen en aanbesteden. De invoering van het Amsterdams Financieel en Inkoopsysteem zou een aanjager zijn van verbeteringen in de processen en registraties. Het is bekend dat begin januari 2025 problemen zijn ontstaan na live-gang van het systeem. Deze problemen hebben beperkt effect gehad op de controle van de jaarrekening 2024. Voor 2025 verwachten wij een grotere impact aangezien in het kader van herstel- versnellingsacties ook buiten de administratie om wordt gewerkt en facturen in bepaalde gevallen eerst worden betaald voordat deze worden gecontroleerd. Wij vertrouwen er op dat wij u met dit verslag voldoende hebben geïnformeerd en zijn graag bereid tot een nadere toelichting. Hoogachtend,

Origineel getekend door: drs. D.A. van Hooff RA

Via dit verslag rapporteren wij onze bevindingen ten aanzien van de interne beheersing voor zover deze relevant zijn voor de jaarrekeningcontrole. Over verreweg de meeste onderwerpen hebben wij eerder gerapporteerd. Wij constateren op een aantal onderwerpen vooruitgang. Tegelijkertijd zien wij op een aantal onderwerpen, ondanks de inspanningen, weinig vordering.

Auditdienst ACAM – Accountantsverslag 2024

2

Home

Inhoudsopgave Aanbiedingsbrief ............................................................................... 2 Hoofdstuk 1 Kernpunten van de controle ............................................. 4 1.1 Controleverklaring .................................................................................. 4 1.2 De in de jaarrekening aanwezige fouten en onzekerheden ..................... 4 Hoofdstuk 2 Overzicht adviezen en aandachtspunten ........................... 6 Hoofdstuk 3 Getrouw beeld .............................................................. 10 3.1 Begroting versus realisatie ..................................................................... 10 3.2 Waardering grondexploitaties................................................................ 11 3.3 Afval Energiebedrijf ............................................................................... 12 Hoofdstuk 4 Rechtmatigheid ............................................................ 13 4.1 Rechtmatigheids- verantwoording ........................................................ 13

Hoofdstuk 7 ICT en informatieveiligheid ............................................ 21 7.1 Voldoen aan wet- en regelgeving in het I-domein .................................. 21 7.2 Verschuiving van eigen hosting naar outsourcing nagenoeg afgerond ... 23 7.3 Assurance-rapportages uitbestede diensten (SaaS-applicaties) ............. 24 7.4 Autorisatiebeheer is op onderdelen verbeterd; inzicht in en monitoring van functiescheiding en speciale rechten blijven aandacht vragen ......... 25 Hoofdstuk 8 Varia ............................................................................ 27 8.1 Inkoopproces en prestatiemeting .......................................................... 27 8.2 Implementatie nieuw beleidskader subsidies ........................................ 28 8.3 Omgevingsvergunningen ...................................................................... 29 8.4 Toezicht op bekostiging en levering individuele Jeugdhulp behoeft versterking ............................................................................................ 29 Bijlage 1 SiSa tabel fouten en onzekerheden ...................................... 32

Hoofdstuk 5 Single information Single audit (SiSa) ............................. 15 5.1 Single Information Single Audit ............................................................. 15 Hoofdstuk 6 Inzicht in risico’s ........................................................... 17 6.1 Weerstandsvermogen in relatie tot de financiële risico’s ........................ 17 6.2 Risicomanagement en frauderisico’s ..................................................... 18 6.3 Bedrijfs Continuïteits Management (BCM) ............................................. 19

Auditdienst ACAM – Accountantsverslag 2024

3

Home

Hoofdstuk 1 Kernpunten van de controle 1.1 Controleverklaring Bij de door het college vastgestelde jaarrekening hebben wij op 24 april 2025 een goedkeurende controleverklaring verstrekt.

1.2 De in de jaarrekening aanwezige fouten en onzekerheden De fouten en onzekerheden overschrijden in totaal de door de gemeenteraad vastgestelde rapporteringsgrens van 0,3% van de lasten inclusief toevoegingen aan de reserves. Om die reden worden de belangrijkste hieronder toegelicht.

Tabel 1 fouten en onzekerheden Nummer

Beschrijving

Fouten (bedragen x € 1 miljoen)

Onzekerheden (bedragen x € 1 miljoen)

01

SiSa

3,1

28,7

02

Dotaties/onttrekkingen aan reserves en voorzieningen

8,0

2,9

03

Overige bevindingen, betreft veelal transitorische posten

13,6

5,2

Totaal

24,7

36,8

Auditdienst ACAM – Accountantsverslag 2024

4

Home Nr. o1: SiSa Voor een nadere toelichting op de SiSa bevindingen verwijzen wij naar hoofdstuk 5 en bijlage 1 van dit verslag. Nr. 02 Toevoegingen en onttrekkingen aan reserves en voorzieningen Dit betreffen bevindingen inzake toevoegingen en onttrekkingen aan reserves en voorzieningen die niet conform onderliggende (onderhouds)plannen c.q. besluitvorming door de raad zijn verlopen. Nr. 03 Overige bevindingen Deze bevindingen betreffen vooral transitorische posten in de jaarrekening. Vaak is hier de jaarafgrenzing niet secuur toegepast. In enkele gevallen gaat het om ontbreken van een onderbouwing van de post. Tot slot betreft dit overige bevindingen van diverse aard. Belangrijkste kwalitatieve bevinding Bij het sluiten van de administratie (december 2024) worden onder de overlopende passiva verplichtingen opgenomen voor prestaties die in 2024 zijn geleverd maar waarvoor de factuur nog niet is ontvangen. Een onderdeel van onze controle is het op basis van eind 2024 en begin 2025 ingekomen facturen nagaan in hoeverre alle verplichtingen over 2024 daadwerkelijk zijn opgenomen. Voor een beperkt deel van de facturen hebben wij deze controle niet kunnen uitvoeren vanwege problemen met AFIS. Dit betekent dat mogelijk niet alle verplichtingen eind 2024 zijn opgenomen in de jaarrekening.

Auditdienst ACAM – Accountantsverslag 2024

5

Home

Hoofdstuk 2 Overzicht adviezen en aandachtspunten Hoofdstuk

Advies / Aandachtspunt

3. Getrouw beeld 3.1 Begroting versus realisatie Bewaak de opvolging van eerdere adviezen van de Rekeningencommissie, ACAM en de Rekeningkamer inzake de kwaliteit van de begroting. 3.2 Waardering grondexploitaties Wij vragen uw aandacht voor ons eerdere advies om te onderzoeken of het mogelijk is de meest actuele inzichten te betrekken bij het proces van ramen van de grondexploitaties en/of het proces te verkorten. 3.3 Afval Energie Bedrijf Wij wijzen u op het gegeven dat afhankelijk van de mate van realiseerbaarheid van de strategie en de resultaten van het AEB in de toekomst een ander inzicht kan ontstaan over de waarde van de onderneming. 4. Rechtmatigheid 4.1 Rechtmatigheidsverantwoording Versterk het contractmanagement door duidelijke afspraken met contracteigenaren te maken over aflopende contracten en tijdige signalering hiervan zodat bij een doorlopende inkoopbehoefte, tijdig een aanbestedingstraject kan worden gestart. De nieuwe contractmodule in AFIS lijkt hiervoor een logisch startpunt. Monitor dat inkoopopdrachten vanaf het interne grensbedrag waarbij leadbuyers betrokken moeten worden, ook gemeld worden bij de leadbuyer zodat deze aan de voorkant vroegtijdig kan bepalen welk inkooptraject vereist is in plaats van achteraf te bepalen of het gevolgde inkooptraject juist was.

Auditdienst ACAM – Accountantsverslag 2024

6

Home

5. Single information Single audit (SiSa) 5.1 Single Information Single Audit •

Versterk de kwaliteit van de opgeleverde (controle-) informatie door een stevigere kwaliteitstoetsing voor oplevering.

•

Formuleer bij voorkeur gemeentebreed M&O beleid en specifiek beleid voor de Wet inburgering.

6. Inzicht in risico’s 6.1 Weerstandsvermogen in relatie tot de financiële risico’s Geef in het jaarverslag ook inzicht in het totaalbedrag aan resterende risico’s op eenzelfde wijze zoals in de begroting is opgenomen. 6.2 Risicomanagement en frauderisico’s Eerder hebben wij geadviseerd om: •

Een plan van aanpak te maken voor het implementeren van de inactieve beheersingsmaatregelen in Fully in Control.

•

Gestructureerde periodieke controle in te richten voor het testen van de werking van de beheersingsmaatregelen.

•

Gestructureerde periodieke controles in te richten om vast te stellen of sprake is geweest van mogelijke fraudes ofwel om uit te sluiten dat mogelijke fraudes hebben plaatsgevonden.

Auditdienst ACAM – Accountantsverslag 2024

7

Home 7. ICT en informatieveiligheid 7.1 Voldoen aan wet- en regelgeving in het I-domein Met betrekking tot BIO benadrukken wij nogmaals dat aandacht nodig is voor de implementatie en voor het toetsen van de werking van de beheersingsmaatregelen.

7.2 Verschuiving van eigen hosting naar outsourcing nagenoeg afgerond Om vast te stellen dat de gemeente voldoet aan de eigen sourcing strategie, geven wij de gemeente twee aanbevelingen mee: •

Voer een inventarisatie uit om vast te stellen waar nog applicaties gehost worden op een fysieke gemeentelijke locatie. Breng in beeld wat de daarmee samenhangende (rest)risico’s zijn en bepaal de vervolgstappen.

•

Breng alle contracten centraal onder bij de afdeling Leveranciers- en contractmanagement zodat de gemeente op uniforme wijze contractmanagement uitvoert op de ICT.

7.3 Assurance-rapportages uitbestede diensten (SaaS-applicaties) Breidt de aanpak/werkwijze uit naar alle SaaS-applicaties binnen de gemeente. 7.4 Autorisatiebeheer is op onderdelen verbeterd; inzicht in en monitoring van functiescheiding en speciale rechten blijven aandacht vragen Wij vragen uw aandacht voor onze eerdere adviezen om in lijn met de vereisten vanuit de BIO: •

Twee maal per jaar de periodieke controle op autorisaties uit te voeren.

•

Per kwartaal een controle uit te voeren op uitgegeven speciale rechten.

•

Te monitoren op ongewenste functievermenging.

Auditdienst ACAM – Accountantsverslag 2024

8

Home 8. Varia 8.1 Inkoopproces en prestatiemeting Betrek prestatieverklaarders, budgethouders en andere betrokkenen in de stappen van de versnelling en heb daarbij voldoende aandacht voor de impact op het reguliere werkproces en extra werkdruk.

8.2 Implementatie nieuw beleidskader subsidies Denk bij de implementatie aan: •

Een goed onderbouwd afwegingskader om te bepalen welke organisaties in aanmerking komen voor een verlicht regime.

•

Communicatie over de voorwaarden, consequenties en toegepaste criteria binnen de risicoprofilering.

•

Tussentijdse monitoring om de voortgang en impact van het beleid te bewaken.

8.3 Omgevingsvergunningen •

Controleer scherper op het voldoen aan afgesproken doorlooptijden voor het vergunningsbesluit.

•

Onderzoek of binnen de juridische kaders alternatieven mogelijk zijn voor het moment van de legesaanslag en opbrengstverantwoording.

8.4 Toezicht op bekostiging en levering individuele Jeugdhulp behoeft versterking Om meer zekerheid te krijgen of de gefactureerde zorg ook daadwerkelijk is geleverd kan worden gedacht aan het voeren van periodiek overleg met de verwijzers die regievoerder zijn voor de jeugdigen en de zorgtrajecten.

Auditdienst ACAM – Accountantsverslag 2024

9

Home

Hoofdstuk 3 Getrouw beeld 3.1 Begroting versus realisatie Belang van het onderwerp voor de raad De begroting en jaarstukken zijn van belang voor het budgetrecht van de raad. Met het vaststellen van de begroting bepaalt de raad waar het geld aan moet worden uitgegeven. Ook autoriseert de raad dan het college tot het uitvoeren van de begroting. Tevens dient de raad ervoor te zorgen dat de baten en lasten structureel in evenwicht zijn. Dit betekent dat er keuzes moeten worden gemaakt. De jaarstukken betreffen een verantwoording van het college waarmee de raad kan nagaan of is gedaan wat is afgesproken. Verschillen tussen de ramingen in de begroting en de realisatie in de jaarstukken zijn van belang voor de raad voor de uitoefening van zijn kaderstellende en controlerende rol. Verplichtingen wet- en regelgeving De Gemeentewet bepaalt de uitgangspunten voor de begroting en jaarstukken. In het BBV is aangegeven dat de jaarstukken conform de begroting worden opgesteld. Ook bepaalt het BBV dat de jaarrekening een toelichting bevat van het verschil tussen de begroting na laatste wijziging en de realisatie. Hierbij dienen over- en onderschrijdingen goed herkenbaar in de jaarrekening te worden opgenomen.

Auditdienst ACAM – Accountantsverslag 2024

Bevindingen De verschillen tussen de primaire begroting en de uiteindelijke realisatie zijn relatief beperkt. Het rekeningresultaat 2024 is € 99,5 miljoen lager dan het in de najaarsnota geraamde saldo. De najaarsnota is 11 december 2024 door de raad vastgesteld. In theorie zouden er niet al te grote afwijkingen kunnen ontstaan tussen het moment van vaststellen en het sluiten van het boekjaar. Tabel 2 Begroting 2024 en realisatie Primaire begroting 2024

Najaarsnota 2024

Rekening 2024

Verschil Rekening Najaarsnota 2024

Baten

6.474,8

6.766,7

7.104,5

337,8

Lasten

6485,8

6.717,4

6.989,7

272,3

Saldo baten en lasten

-11,0

49,3

114,8

65,5

Onttrekking

581,5

861,7

999,7

138,0

Toevoeging

570,5

818,0

1.121,1

303,1

Saldo onttrekkingen en toevoegingen reserves

11,0

43,7

-121,4

165,0

Totaal

0,0

93,0

-6,5

-99,5

10

Home Er zijn met name (verplicht) lasten genomen die niet zijn begroot. Zo heeft een relatief grote toevoeging aan de voorzieningen plaatsgevonden voor het Afval Energiebedrijf. Andere opvallende niet begrote lasten hebben betrekking op een tegenvaller in het gemeentefonds. Voor een belangrijk deel zijn de overschrijdingen van de baten en lasten te relateren aan grond en erfpacht. Naast de “reguliere” afwijkingen op deze onderdelen was een boekhoudkundig technische correctie noodzakelijk om te voldoen aan het BBV. Hierdoor zijn de baten en lasten beiden verhoogd zonder dat dit resultaatseffect had. De gemeente is voornemens dit in 2025 juist in de begroting te verwerken. De afwijking tussen de begrote en gerealiseerde mutaties van reserves is wederom relatief groot. Per saldo is € 303 miljoen meer aan de reserves toegevoegd en € 138 miljoen meer onttrokken dan bij de najaarsnota was voorzien. Dit komt mede doordat de gemeente werkt met systeemreserves waardoor de daarmee samenhangende mutaties in baten en lasten direct een effect hebben op de mutaties van deze systeemreserves. De gerealiseerde onder- en overschrijdingen op deze baten en lasten worden zo automatisch gecompenseerd door een tegengesteld effect op met name egalisatiereserves zonder dat hier aparte besluitvorming voor nodig is.

Aandachtspunt Bewaak de opvolging van eerdere adviezen van de Rekeningencommissie, ACAM en de Rekeningkamer inzake de kwaliteit van de begroting.

3.2 Waardering grondexploitaties Belang van het onderwerp voor de raad Grondexploitaties zijn langlopende trajecten met financiële consequenties die niet altijd goed te voorspellen zijn. Dit is vooral relevant omdat het vaak

Auditdienst ACAM – Accountantsverslag 2024

om grote bedragen gaat. Eind 2024 bedraagt de post ‘onderhanden werken grondexploitaties’ in de jaarrekening van de gemeente € 88,4 miljoen negatief. De verliesvoorziening voor negatieve plannen (€ 334,1 miljoen), onderdeel van het onderhanden werk, is gebaseerd op prognoses. Inzicht in de ontwikkeling van plannen is essentieel om een goed beeld te krijgen van de beschikbare ruimte in het Vereveningsfonds. Dit fonds is onder andere van belang voor het kunnen realiseren van toekomstige bouwprojecten. Om de gemeenteraad goed geïnformeerd te houden, wordt middels het MPG en AMPG tweemaal per jaar gerapporteerd over zowel de inhoudelijke als financiële ontwikkelingen binnen de grondexploitatieportefeuille. Verplichtingen wet- en regelgeving • Het BBV en de notitie ‘Grondbeleid in begroting en jaarstukken’ van de Commissie BBV . • De nota ‘Financiële verantwoording grondexploitatie en erfpachtuitgifte van de gemeente Amsterdam’. Bevindingen In 2024 zien we een afwijking van circa € 45 miljoen tussen de begrote en gerealiseerde mutatie in de voorziening negatieve plannen. Bij de najaarsnota was een verhoging van deze voorziening met € 20 miljoen begroot. In de jaarrekening is deze voorziening verlaagd met € 25 miljoen. Een verklaring hiervoor is dat bij de najaarsnota de bestaande plannen nog niet geactualiseerd waren.

Deze begrotingsaanpassing van de voorziening had alleen betrekking op grondexploitatieplannen met een negatief saldo die toegevoegd waren aan de portefeuille. Dit laat zien dat de huidige ramingssystematiek dergelijke majeure afwijkingen niet kan ondervangen.

11

Home

Aandachtspunt Wij vragen uw aandacht voor ons eerdere advies om te onderzoeken of het mogelijk is de meest actuele inzichten te betrekken bij het proces van ramen van de grondexploitaties en/of het proces te verkorten.

3.3 Afval Energiebedrijf Belang van het onderwerp voor de raad De gemeente is 100% eigenaar van het Afval Energiebedrijf (AEB). Daarnaast heeft de gemeente het AEB leningen verstrekt. De waardering van het AEB is daarom een belangrijk onderwerp in onze controle. De deelneming in het aandelenkapitaal van het AEB en de uitstaande lening zijn voor de waardering als één geheel te beschouwen. De kernvraag is of sprake is van een duurzaam lagere marktwaarde. Verplichtingen wet- en regelgeving Besluit begroting en verantwoording; leningen worden gewaardeerd tegen de nominale waarde. Als een lening (deels) niet kan worden afgelost is er sprake van een duurzame waardevermindering en dient te worden afgewaardeerd.

Waarderingen komen tot stand op basis van een veelheid aan aannames, zoals schattingen over toekomstige opbrengsten en kosten, de disconteringsvoet, het benodigde onderhoud, de haalbaarheid van innovatieve oplossingen et cetera. Er bestaan mogelijk verschillende inzichten over belangrijke aannames in de financiële prognose die de basis zijn voor het berekenen van de waardering. Zoals de gemeente op diverse pagina’s in het jaarverslag heeft aangegeven en toegelicht schat zij de waarde van de met het AEB samenhangende financiële vaste activa per jaareinde 2024 € 59 miljoen lager in dan per jaareinde 2023. De verwerking van de duurzame waardevermindering heeft plaatsgevonden doormiddel van het treffen van een voorziening. Aandachtspunt Wij wijzen u op het gegeven dat afhankelijk van de mate van realiseerbaarheid van de strategie en de resultaten van het AEB in de toekomst een ander inzicht kan ontstaan over de waarde van de onderneming.

Bevindingen De afgelopen jaren zijn pogingen ondernomen het AEB te verkopen. Het verkooptraject is in 2024 beëindigd met de uitkomst dat de gemeente Amsterdam de aankomende 10 jaar de aandeelhouder blijft. Nu verkoop van het AEB niet plaatsvindt en er geen “marktprijs” is ontstaan is het aan de gemeente om de deelneming en de uitstaande leningen te waarderen. Wij hebben eerder gewezen op de mogelijkheid van een significant andere waardering van het AEB in de gemeentelijke jaarrekening dan de waardering per eind 2023.

Auditdienst ACAM – Accountantsverslag 2024

12

Home

Hoofdstuk 4 Rechtmatigheid 4.1 Rechtmatigheidsverantwoording Belang van het onderwerp voor de raad De gemeente besteedt publieke middelen. Het is van belang dat de besteding rechtmatig is. Vanaf het begrotingsjaar 2023 legt het college zelf verantwoording af over de naleving van de financiële rechtmatigheid: • Het college rapporteert aan de raad over afwijkingen met een verantwoordingsgrens van 2% van de lasten, inclusief toevoegingen aan de reserves, via de rechtmatigheidsverantwoording. • In de paragraaf Bedrijfsvoering worden de geconstateerde afwijkingen groter dan 0,3% nader toegelicht. Daarbij gaat het college in op de geconstateerde afwijkingen en de acties om onrechtmatigheden in de toekomst te voorkomen. Deze informatie stelt de raad in staat om met het college het gesprek aan te gaan over rechtmatigheid. Verplichtingen wet- en regelgeving De Gemeentewet, het Besluit accountantscontrole decentrale overheden, de Verordening van de raad van de gemeente Amsterdam houdende regels over het financiële stelsel (Gewijzigde financiële verordening 2023) en de Kadernota rechtmatigheid 2024 van de Commissie BBV zijn van belang. Ze bepalen bijvoorbeeld dat het college de rechtmatigheidsverantwoording aflegt, evenals het percentage waarboven afwijkingen worden gerapporteerd.

Auditdienst ACAM – Accountantsverslag 2024

Bevindingen Totstandkoming rechtmatigheidsverantwoording Bij de jaarrekening 2023 hebben wij een beperking afgegeven doordat de gemeente haar processen onvoldoende op orde had om tot een getrouwe rechtmatigheidsverantwoording te komen. In 2024 heeft de gemeente processen op orde gebracht. Wij constateren dat de totale onrechtmatigheid nog boven de norm van 2% uitkomt. In 2024 heeft de gemeente een nieuw proces ingericht om tot de rechtmatigheidsverantwoording te komen. In dit proces zijn de interne taken belegd, de verantwoordelijkheden vastgelegd en de organisatie versterkt met capaciteit en deskundigheid. Dit heeft geleid tot een tijdige aanlevering van de rechtmatigheidsverantwoording, inclusief het onderliggende dossier met de controle informatie. Begrotingscriterium In artikel 189, lid 3 van de Gemeentewet is bepaald dat lasten hoger dan in de (bijgestelde) begroting opgenomen altijd onrechtmatig zijn. Aangezien het voor de hand ligt dat de realisatie veelal (iets) kan afwijken van een begroting is het begrip “acceptabel’ geïntroduceerd. Dit wil zeggen dat lastenoverschrijdingen die binnen het beleid vallen door college en raad als acceptabel kunnen worden beschouwd, ondanks dat deze formeel onrechtmatig zijn. De overschrijding van de lasten bedraagt in de rechtmatigheidsverantwoording € 383,6 miljoen. Zoals in paragraaf 3.1.

‘Begroting versus realisatie’ aangegeven valt een deel van de overschrijding van de lasten te relateren aan een boekhoudkundige (technische) correctie noodzakelijk om te voldoen aan het BBV.

13

Home Voorwaardencriterium Met betrekking tot het voorwaardencriterium zijn ten opzichte van 2023 de onrechtmatige inkoopuitgaven gestegen met € 5,3 miljoen. In 2023 bedroeg de inkooprechtmatigheidsfout € 75,9 miljoen. In 2024 is dit € 81,2 miljoen. Wij zien vier aspecten die hierbij van belang zijn: • Inkooporders met bijbehorende verwijzingen naar contracten zijn niet in alle gevallen zodanig geregistreerd dat een koppeling kon worden gemaakt met de facturen. • De gemeentelijke afwijkingsprocedure is niet altijd gevolgd waardoor het college geen mogelijkheid krijgt om een bewuste keuze te maken om wel of niet rechtmatig in te kopen. • De leadbuyers werden niet of niet tijdig ingeschakeld om een aanbestedingstraject in gang te zetten. • De inrichting van het contractmanagement is nog niet voldoende voor beheersing van het rechtmatig inkopen. Ten eerste is sprake van een onvolledige contractenregister en ten tweede ontbreekt het aan voldoende signalering van aflopende contracten.

Aandachtspunt Versterk het contractmanagement door duidelijke afspraken met contracteigenaren te maken over aflopende contracten en tijdige signalering hiervan zodat bij een doorlopende inkoopbehoefte, tijdig een aanbestedingstraject kan worden gestart. De nieuwe contractmodule in AFIS lijkt hiervoor een logisch startpunt. Monitor dat inkoopopdrachten vanaf het interne grensbedrag waarbij leadbuyers betrokken moeten worden, ook gemeld worden bij de leadbuyer zodat deze aan de voorkant vroegtijdig kan bepalen welk inkooptraject vereist is in plaats van achteraf te bepalen of het gevolgde inkooptraject juist was.

Criterium Misbruik & Oneigenlijk gebruik Conform de kadernota Rechtmatigheid heeft de gemeente in 2024 de terugvorderingen op basis van Misbruik & Oneigenlijk gebruik verantwoord in de paragraaf Bedrijfsvoering in het jaarverslag. In 2024 betreft dit de terugvorderingen op de bijstandsuitkeringen.

Auditdienst ACAM – Accountantsverslag 2024

14

Home

Hoofdstuk 5 Single information Single audit (SiSa) 5.1 Single Information Single Audit Belang van het onderwerp voor de raad De gemeente Amsterdam ontvangt jaarlijks circa € 1 miljard aan specifieke uitkeringen (Spuk’s) van het Rijk. In 2024 gaat het om circa 95 verschillende regelingen, elk met hun eigen specifieke wet- en regelgeving. Het niet voldoen aan deze wet- en regelgeving of het niet toereikend kunnen onderbouwen hiervan, kan leiden tot het (deels) terugbetalen van de ontvangen Rijksbijdrage. Verplichtingen wet- en regelgeving • Specifieke wet- en regelgeving per specifieke uitkering. • Artikel 17a van de Financiële verhoudingswet. • Besluit begroting en verantwoording provincies en gemeenten (BBV). • Regeling informatieverstrekking SiSa. Bevindingen In 2024 komen wij tot € 3,1 miljoen aan fouten en € 28,7 miljoen aan onzekerheden in de SiSa-verantwoording van de gemeente. Bij onze controle op de verantwoording van specifieke uitkeringen moeten wij als onderdeel van de rechtmatigheid controleren of de uitkering ook daadwerkelijk is besteed aan het doel van de Spuk. We controleren ook of aan eventuele andere specifieke eisen is voldaan. Denk daarbij aan co-

Auditdienst ACAM – Accountantsverslag 2024

financieringsvereisten of technische vereisten. Een voorbeeld van de laatste is de meting van de luchtkwaliteit na installatie van nieuwe ventilatiekanalen in schoolgebouwen. Oorzaak van fouten en onzekerheden: • Medewerkers van de gemeente zijn gewend om te werken vanuit financiering met beleidsvrijheid en zijn daardoor minder bekend met de beperktere kaders van specifieke uitkeringen en daardoor soms onbekend met de (afwijkende) eisen die daarbij komen kijken. • De gemeente besteedt werkzaamheden uit aan externe partijen. De afspraken die de gemeente over de verantwoording van deze werkzaamheden maakt met de externe partijen sluiten inhoudelijk of qua tijdslijnen niet altijd aan bij de informatie die de gemeente nodig heeft om zelf adequaat te kunnen verantwoorden in de SiSa-bijlage in de gemeentelijke jaarrekening. Over afgelopen jaar zien wij de volgende positieve ontwikkelingen: • De gemeente heeft een vakgroep SiSa opgericht. Deze vakgroep is samengesteld uit financieel adviseurs, collega’s van de lijn, control, advisering interne beheersing en kwaliteit, regie en consolidatie. De vakgroep is (nog) vooral procesgericht. • De coördinatie op de aanlevering is verbeterd alsook de bewaking ervan. • De gemeente is voornemens om handreikingen te gaan maken voor medewerkers die voor het eerst aan de verantwoording van SiSaregelingen werken.

Wij denken dat dit een bijdrage kan leveren aan verdere groei van de professionaliteit van de SiSa-verantwoordingen.

15

Home • Binnen het Sociaal Domein zijn het Subsidiebureau en de Interne Audit afdeling gestart met initiatieven om het aantal onzekerheden en fouten in de SiSa-verantwoording te verkleinen. Ondanks deze positieve ontwikkelingen verloopt de oplevering van de informatie door de gemeente bij diverse regelingen moeizaam. Ook is de informatie niet altijd op de afgesproken tijd aanwezig. Dat is lastig voor onze controle en kost veel tijd. De inhoudelijke kwaliteit van het dossier, de tijdigheid van opleveren en de inhoudelijke toetsing van het dossier voor oplevering moet beter.

Advies • Versterk de kwaliteit van de opgeleverde (controle-) informatie door een stevigere kwaliteitstoetsing voor oplevering. • Formuleer bij voorkeur gemeentebreed M&O beleid en specifiek beleid voor de Wet inburgering.

Op basis van artikel 49 van het BBV dienen ontvangen uitkeringen vanuit Europa en het Rijk met een specifiek bestedingsdoel onder de overlopende passiva te worden opgenomen. De gemeente heeft een deel van deze gelden onder de voorzieningen verantwoord. Om inzicht te geven in de ontvangen uitkeringen is in paragraaf 7.4 van het jaarverslag de verloopstaat “Ontvangen doeluitkeringen” opgenomen. M&O beleid Wet inburgering De Nota verwachtingen accountantscontrole SiSa 2024 schrijft voor dat van gemeenten wordt verwacht dat zij in aanvulling op het bestaande M&Obeleid bij een gemeente specifiek aandacht aan de Wet inburgering 2021 besteden. Een gemeente die reeds beschikt over een goede opzet en een goed werkend M&O-beleid, kan dit M&O-beleid doortrekken naar de Wet inburgering 2021. Daarin zal dan wel extra aandacht nodig zijn voor specifieke risicofactoren en -afwegingen inzake de Wet inburgering 2021. De accountant van de gemeente controleert of de opzet van het M&O-beleid van de gemeente inzake de Wet inburgering 2021 toereikend is. De gemeente Amsterdam heeft geen apart M&O-beleid voor de Wet inburgering 2021. En in de opzet van het M&O beleid van de gemeente is geen specifieke aandacht besteed aan de Wet inburgering 2021.

Auditdienst ACAM – Accountantsverslag 2024

16

Home

Hoofdstuk 6 Inzicht in risico’s 6.1 Weerstandsvermogen in relatie tot de financiële risico’s Belang van het onderwerp voor de raad Het is belangrijk om een goede balans te hebben tussen de financiële risico’s die de gemeente loopt en de financiële mogelijkheden om deze risico’s op te vangen.

Verplichtingen wet- en regelgeving In artikel 11 van het BBV is aangegeven dat het college via de paragraaf weerstandsvermogen en risicobeheersing inzicht geeft in de middelen en mogelijkheden waarover de gemeente beschikt of kan beschikken om niet begrote kosten te dekken en alle risico's waarvoor geen maatregelen zijn getroffen en die van materiële betekenis kunnen zijn in relatie tot de financiële positie. Sinds boekjaar 2022 dienen accountants bij wettelijke controles via een verplichte paragraaf in de controleverklaring te rapporteren over de controleaanpak met betrekking tot continuïteit van de organisatie. Omdat gemeenten formeel niet failliet kunnen gaan is er landelijk voor gekozen om deze paragraaf te richten op het vermogen van de gemeente om de financiële risico’s vanuit de reguliere exploitatie en onverwachte tegenvallers op te kunnen vangen.

Auditdienst ACAM – Accountantsverslag 2024

Bevindingen Het college heeft in paragraaf 3.1 van het jaarverslag ‘Weerstandsvermogen en Risicobeheersing’ de relatie gelegd tussen de onderkende risico’s, de benodigde weerstandscapaciteit en het weerstandsvermogen. Het BBV vereist tevens opname van kengetallen, zoals de netto schuldquote en de solvabiliteit. Ook deze kengetallen zijn opgenomen in genoemde paragraaf. Het Amsterdamse beleid is dat de benodigde weerstandscapaciteit gelijk is aan de normhoogte van de algemene reserve. Deze reserve is de enige direct beschikbare bron voor het opvangen van incidentele tegenvallers op de korte termijn zonder dat de beleidsdoelen direct aangepast moeten worden. Voor de algemene reserve is daarom een normhoogte gesteld op 5% van het begrotingstotaal exclusief mutaties in reserves. De berekende normhoogte bedraagt eind 2024 € 342 miljoen. De algemene reserve bedraagt € 289 miljoen en is daarmee lager dan de norm. In de begroting 2024 zijn de risico’s die binnen de programma’s zijn erkend en (deels worden beheerst) benoemd. Tevens is het resterende risico, het deel dat niet redelijkerwijze kan worden opgevangen binnen die programma’s, opgenomen wat in de begroting € 225 miljoen bedraagt. De in de paragraaf opgenomen grafiek geeft wel een indicatie, maar een bedrag zoals opgenomen in de begroting is niet terug te vinden in het jaarverslag.

Het is om die reden ook niet goed mogelijk om direct een relatie te leggen tussen de resterende risico’s en de (benodigde) weerstandscapaciteit.

17

Home In de begroting 2024 stelt het college dat een weerstandsvermogen tussen de 1 en 1,4 betekent dat de gemeente redelijk zeker is dat er voor de komende twee jaar dekking is voor een negatief rekening resultaat als gevolg van de resterende risico’s. Een vergelijkbare tekst ontbreekt in het jaarverslag. Het weerstandsvermogen komt eind 2024 uit op 0,85 wat een verslechtering is ten opzichte van 2023 (2023: 0,97).

Belang van het onderwerp fraude voor de raad Fraude en corruptie is een belangrijk maatschappelijk probleem dat burgers en overheid benadeelt. Het voorkomen, detecteren en bestrijden van fraude is om die reden van belang. Al enige jaren uiten wij in onze accountantsverslagen onze zorgen over de identificatie en de beheersing van frauderisico’s.

Wij merken op dat de berekeningen van de resterende risico’s voortvloeien uit het brede proces van risicomanagement en dat de uitvoering van dit proces nog steeds verbetering behoeft (zie paragraaf 6.2).

Verplichtingen wet- en regelgeving Artikel 11 van het BBV verplicht overheden om risicomanagementbeleid op te stellen. Het weerstandsvermogen en het op peil houden van de financiële draagkracht van de gemeente staan daarbij centraal. Het risicomanagementbeleid is opgenomen in de beleidsnota 2022-2026.

Hoewel wij geen indicatie hebben dat de veronderstellingen van het college inzake financiële risico’s in relatie tot de financiële positie niet aannemelijk zijn onderkennen ook wij de spanning tussen ambities en (toekomstige) financiële ruimte. Waar er in de begroting 2024 vanaf 2027 een klein tekort werd gepresenteerd laat de meerjarenraming zoals opgenomen in de begroting 2025 voor de periode 2025-2028 een sluitende begroting zien. Aandachtspunt Geef in het jaarverslag ook inzicht in het totaalbedrag aan resterende risico’s op eenzelfde wijze zoals in de begroting is opgenomen.

6.2 Risicomanagement en frauderisico’s Belang van het onderwerp risicomanagement voor de raad Middels gedegen risicomanagement ontstaat inzicht in de risico’s en de mogelijke (financiële) gevolgen. Op basis van dit inzicht kan de gemeentelijke organisatie keuzes maken om te bepalen welke risico’s acceptabel zijn en welke niet.

Auditdienst ACAM – Accountantsverslag 2024

De term fraude is juridisch niet gedefinieerd. Het fraudebegrip vanuit de jaarrekeningcontrole is te onderscheiden in verslaggevingsfraude en het oneigenlijk toe-eigenen van activa. Het gaat daarbij nadrukkelijk niet om bijstandsfraude of om fraude met vergunningen. Het gaat in die gevallen om derden die misbruik maken van (gemeentelijke) regelingen. Dit type fraudes vallen onder het misbruik en oneigenlijk gebruik criterium, onderdeel van rechtmatigheid. Onze verantwoordelijkheden voor fraude laten zich in hoofdlijnen als volgt omschrijven: • Het identificeren en inschatten van risico’s op een materiële afwijking in de jaarrekening als gevolg van fraude. • Het op passende wijze inspelen op frauderisico’s en daarvoor voldoende en geschikte controle-informatie over de ingeschatte risico’s verkrijgen. • Het op passende wijze inspelen op (vermoede) fraude die tijdens de controle is geïdentificeerd. • Rapporteren in de controleverklaring over de controleaanpak met betrekking tot frauderisico’s.

18

Home Bevindingen Geen signalen van (vermeende of vermoede) fraude van materieel belang Uit onze werkzaamheden kwamen geen signalen van (vermeende of vermoede) fraude die kan leiden tot een afwijking van materieel belang. Beperkte voortgang op de implementatie van de beheersmaatregelen Het gemeentelijke risicomanagement wordt ondersteund door de applicatie Fully In Control (FIC). In FIC wordt ieder half jaar het beeld opgemaakt van de operationele risico’s. Het aantal beheersingsmaatregelen is ten opzichte van maart 2024 toegenomen met ruim 300 maatregelen. Uit de vermelde status van de beheersmaatregelen in FIC blijkt dat ongeveer de helft van de beheersmaatregelen actief is ingeregeld. Dit is onveranderd ten opzichte van vorig jaar. Interne beheersing gericht op frauderisico’s In FIC is de categorie “Fraude en Integriteit” opgenomen. Hierin zijn voor elke directie frauderisico’s en beheersingsmaatregelen opgenomen Daarnaast hebben wij een quickscan ontvangen waarin van 11 directies een samenvatting van de interne beheersing is uitgeschreven. Het is niet inzichtelijk hoe deze quickscan zich verhoudt tot de informatie in FIC. Op verzoek doet Bureau Integriteit (BI) analyses naar frauderisico’s en de werking van de getroffen beheersingsmaatregelen. Wij zien dat bij geconstateerde fraude maar ook bij concrete vermoedens van fraude adequaat wordt gehandeld door BI.

Wij worden door BI op de hoogte gehouden van lopende onderzoeken. Borging van het structureel testen van de werking ontbreekt In ons accountantsverslag en in het verslag van de Rekeningencommissie van vorig jaar wordt uw aandacht gevraagd voor het borgen van het

Auditdienst ACAM – Accountantsverslag 2024

structureel toetsen van de werking van de actieve beheersmaatregelen. Wij hebben geconstateerd dat dit nog niet is ingeregeld. Wij hebben begrepen dat voor de frauderisico’s BI in het eerste kwartaal van 2025 een plan van aanpak voor de organisatie gaat opstellen. De voortgang hierop zullen wij in 2025 blijven monitoren. Aandachtpunten Eerder hebben wij geadviseerd om: • Een plan van aanpak te maken voor het implementeren van de inactieve beheersingsmaatregelen in Fully in Control. • Gestructureerde periodieke controle in te richten voor het testen van de werking van de beheersingsmaatregelen. • Gestructureerde periodieke controles in te richten om vast te stellen of sprake is geweest van mogelijke fraudes ofwel om uit te sluiten dat mogelijke fraudes hebben plaatsgevonden.

6.3 Bedrijfs Continuïteits Management (BCM) Belang van het onderwerp voor de raad Bedrijfs Continuïteits Management (BCM) waarborgt de continuïteit van essentiële dienstverlening bij uitzonderlijke situaties zoals brand, overstromingen of cyberincidenten. Als structureel beheersproces stelt BCM de gemeente in staat (kritieke) bedrijfsprocessen te beschermen door risico’s te identificeren, responsstrategieën te ontwikkelen en herstelmaatregelen te implementeren. BCM gaat over processen, mensen en middelen. BCM dient daarom op het hoogste niveau binnen de gemeente te worden geagendeerd en organisatiebreed te worden geïmplementeerd. De toenemende afhankelijkheid van IT-systemen maakt IT essentieel voor de continuïteit.

19

Home Verplichtingen wet- en regelgeving Waar het IT-systemen betreft, is BCM onderdeel van de Baseline Informatiebeveiliging Overheid (BIO). BCM is echter, ook breder van belang dan alleen het I-domein.

BCM van mening dat het BCM als beheersproces structureel is ingebed in de organisatie.

Voortgang In het accountantsverslag 2023 hebben wij gerapporteerd over de voortgang van BCM. In 2024 zijn de volgende stappen gezet om de BCM-aanpak verder organisatiebreed te implementeren: • Het BCM-beleid is vastgesteld door het Gemeentelijk Management Team). • Voor iedere directie is er een BCM-coördinator aangewezen die de directie ondersteunt bij het opstellen of actualiseren van hun continuïteitsplan. • Voor 17 directies zijn de bedrijfscontinuïteitsplannen opgesteld. 1 Bij nog eens 17 directies is de BCM aanpak gestart. Dat houdt in dat er al een intake dan wel een oefening geweest is op basis waarvan de continuïteitsplannen worden geactualiseerd of opnieuw worden opgesteld. • Voor de overige directies (13) worden in 2025 oefeningen dan wel intakegesprekken gepland. De programmamanager BCM heeft aangegeven dat het programma zich in de laatste fase bevindt. Naar verwachting hebben alle directies in 2025 hun bedrijfscontinuïteitsplan opgeleverd. Door het vaststellen van het BCM beleid, het aanstellen van de programmamanager BCM en BCM vast onderdeel maken van de jaarlijkse P&C cyclus, is de programmamanager

1 Dit staat in de rapportages over BCM. 2 Een verwerkersovereenkomst wordt gesloten als een externe organisatie/leverancier

persoonsgegevens verwerkt of gebruikt in opdracht van de gemeente en de gemeente de zeggenschap houdt over deze gegevens. De verwerker moet de instructies van de gemeente

Auditdienst ACAM – Accountantsverslag 2024

opvolgen. De gemeente blijft verwerkingsverantwoordelijke. In de verwerkersovereenkomst worden afspraken gemaakt over hoe er met deze persoonsgegevens wordt omgegaan. Bron: Intranet Gemeente Amsterdam https://hoofdstad.sharepoint.com/sites/in-rw-djz/SitePages/Afspraken-metderden.aspx

20

Home

Hoofdstuk 7 ICT en informatieveiligheid 7.1 Voldoen aan wet- en regelgeving in het I-domein Belang van het onderwerp voor de raad Voor veel taken van de gemeente is digitalisering van belang en daarom ook het voldoen aan wet- en regelgeving over digitalisering en informatieverwerking. Het niet voldoen aan wet- en regelgeving kan bijvoorbeeld de privacy van burgers schaden of de veiligheid van de systemen aantasten. Het college heeft in de bestuurlijke reactie op het verslag van de Rekeningencommissie van 25 juni 2024 het volgende aangegeven: “de verwachting is dat voor informatiebeveiliging eind 2024 de risico’s volledig in kaart zijn gebracht en die voor privacy medio 2025.” Verplichtingen wet- en regelgeving Binnen het I-domein is onder andere de volgende wet- en regelgeving van belang: • Algemene Verordening Gegevensbescherming (AVG). • Baseline Informatiebeveiliging Overheid (BIO). • Network and Information Security Directive (NIS2)/ Cyberbeveiligingswet (Cbw)/BIO2. Sinds 2022 is de NIS2 richtlijn vastgesteld door de Europese Unie. Deze richtlijn wordt omgezet naar de Nederlandse Cyberbeveiligingswet. De verwachting is dat deze wet in het vierde kwartaal van 2025 van kracht wordt. In de Cbw wordt de BIO omgezet in de BIO2.

Auditdienst ACAM – Accountantsverslag 2024

• Baseline privacy Amsterdam (BPA). • Wet politiegegevens (Wpg). • Wet open overheid (Woo). In voorgaande accountantsverslagen hebben wij uitgebreid stilgestaan bij deze onderdelen. Wij geven in dit accountantsverslag de voortgang weer. Voortgang BIO In 2024 is de uitvoering van het gemeentelijke implementatieplan BIO voortgezet. Uit de ‘BIO update per cluster Q4 2024’ maken wij op dat ongeveer twee derde van alle geplande verbeteracties zijn afgerond. Wij hebben begrepen dat de structurele borging van het toetsen van de werking van de geïmplementeerde beheersingsmaatregelen nog niet is ingeregeld. De gemeente is voornemens de afronding van het BIO implementatieplan te integreren in het programma voor de implementatie van de Cyberbeveiligingswet. Onder dit programma wordt een project gestart voor de implementatie van de opvolger van de BIO, de BIO2. In lijn met de bestuurlijke reactie van het college heeft de organisatie de risico’s voor informatiebeveiliging in kaart gebracht. In het risicomanagementsysteem Fully in Control zijn zowel de BIO-verbeteracties als meer algemene informatiebeveiligingsrisico’s opgenomen. In de ‘BIO update per cluster Q4 2024’ zijn de risico’s per directie in kaart gebracht. In de Bestuurlijke rapportage informatiebeveiliging 2024 (die in juni 2025 verschijnt) zal de organisatie de raad verder informeren over de stand van zaken.

21

Home AVG De Amsterdamse invulling van de AVG is opgenomen in de Baseline privacy Amsterdam (BPA). In 2024 is de organisatie gestart met het in beeld brengen van de stand van zaken bij de directies. Voor het voldoen aan de AVG moet de organisatie nog de nodige stappen zetten. Op dit moment is de organisatie bezig met het valideren van het ingevulde toetsingskader. De planning is deze stap in het tweede kwartaal van 2025 af te ronden om vervolgens de verbeterplannen op te stellen. Wij zullen in 2025 de voortgang nauwlettend volgen. Wpg In 2019 is middels het Besluit politiegegevens buitengewoon opsporingsambtenaren de Wet politiegegevens (Wpg) van overeenkomstige toepassing verklaard voor buitengewoon opsporingsambtenaren (boa’s). Op grond van deze wet is de gemeente Amsterdam als verwerkingsverantwoordelijke verplicht om periodiek privacy audits te laten uitvoeren. Dit betreft jaarlijks een interne audit en eens in de vier jaar een externe audit. De externe audit wordt door ons uitgevoerd. In 2022 hebben wij de eerste externe audit naar de naleving van de Wpg afgerond. Er is toen gebleken dat op een flink aantal onderdelen verbetering noodzakelijk was. In 2023 heeft de gemeente Amsterdam voor het eerst een interne audit op de Wpg uitgevoerd op het domein Onderwijs (leerplicht). Begin 2024 is een interne audit uitgevoerd bij de overige relevante domeinen van de Wpg.

Conclusie van de audit is dat niet alle beheersingsmaatregelen om te voorzien in de borging van de wettelijke eisen met betrekking tot de verwerking van politiegegevens zijn opgezet en geïmplementeerd. Wel rapporteert interne audit in haar audit van begin 2024 dat sprake is van een duidelijke opwaartse lijn ten opzichte van de laatste externe audit. Wij hebben begrepen dat de organisatie hard bezig is geweest om verdere verbeteringen door te voeren in 2024.

Auditdienst ACAM – Accountantsverslag 2024

In 2025 zullen wij conform de vereisten van de Wpg de tweede externe audit uitvoeren en de uitkomsten rapporteren aan de organisatie. Woo In 2024 zijn de vervolgstappen gezet voor het programma openbaarheid en informatiehuishouding. Op basis van een dashboard is een actueel overzicht beschikbaar van de status van de verzoeken van het afgelopen jaar. Het overzicht geeft inzicht per cluster en directie. De gestelde norm is dat 80% van de verzoeken binnen de termijn moeten worden afgehandeld. Deze norm wordt sinds maart 2024 structureel behaald. De lijn van 2023 met betrekking tot de actieve openbaarheid is doorgezet en terug te vinden via open.amsterdam. Op open.amsterdam zijn de 11 Wooonderdelen vanuit de wet opgenomen. Op dit moment is de gemeentelijke organisatie bezig met het opstellen van een toekomstbeeld om openbaarheid (en beschikbaarheid) van informatie fundamenteel te borgen in de processen. Voorbereiding NIS2-Cbw-BIO2 Sinds 2022 is de NIS2 richtlijn vastgesteld door de Europese Unie. Deze richtlijn wordt omgezet naar de Nederlandse Cyberbeveiligingswet. In de wet worden onderwerpen als zorgplicht, meldplicht, verantwoordelijkheden van het bestuur en toezicht geregeld. Zo moeten bijvoorbeeld incidenten met een grote impact binnen 24 uur na waarneming van het incident worden gemeld.

Daarnaast komt er een zorgplicht voor organisaties om risicoanalyses uit te voeren en passende en evenredige maatregelen te nemen. In 2024 is de gemeente gestart met het programma Cyberbeveiligingswet. Wij hebben begrepen dat alle hierboven genoemde aandachtspunten in het programma worden meegenomen.

22

Home ENSIA Naast de paragraaf bedrijfsvoering en de bestuurlijke rapportage informatiebeveiliging wordt jaarlijks door het college via een collegeverklaring verantwoording afgelegd inzake informatiebeveiliging en kwaliteitsaspecten van de basisregistraties en Suwinet. Een bevoegde ITauditor controleert de collegeverklaring en geeft daarbij een assuranceverklaring af, middels de ENSIA methode. ENSIA staat voor Eenduidige Normatiek Single Information Audit. De scope van de collegeverklaring en de IT-audit betreft voor gemeente Amsterdam, zoals afgestemd met de toezichthouder, uitsluitend Suwinet. Over 2024 hebben wij de collegeverklaring informatiebeveiliging inzake Suwinet gecontroleerd. Uit de collegeverklaring en ons onderzoek blijkt dat niet aan alle gestelde normen wordt voldaan. Inmiddels zijn er verbeterplannen opgesteld. Wij zullen bij de controle van de collegeverklaring Suwinet over 2025 opnieuw toetsen of aan de normen wordt voldaan. Aandachtspunt Met betrekking tot BIO benadrukken wij nogmaals dat aandacht nodig is voor de implementatie en voor het toetsen van de werking van de beheersingsmaatregelen.

Verplichtingen wet- en regelgeving Voor de hosting en het beheer van applicaties zijn de AVG, BIO en NIS2 van belang voor beveiliging van informatie en persoonsgegevens. Daarnaast is het van belang de continuïteit van de dienstverlening door de gemeente te borgen. Dit gebeurt door ‘business continuity management’ in te regelen. Bevindingen De afbouw van Datacenter 1 is bijna gereed. In januari 2025 is de productieomgeving van de erfpachtketen naar de gemeentelijke cloud gemigreerd. Momenteel bevinden zich enkel nog de testomgevingen van de erfpachtketen in Datacenter Amstel 1. Naar verwachting zullen ook deze in het voorjaar van 2025 naar de gemeentelijke cloud worden overgebracht, waarna het datacenter ontmanteld kan worden. Dit betekent niet dat er geen applicaties meer gehost worden/draaien op andere fysieke gemeentelijke locaties. Vanuit de jaarrekeningcontrole is bij ons bekend dat bijvoorbeeld GGD nog enkele applicaties zelf in beheer heeft. Wij zijn geïnformeerd dat GGD ook een transitietraject is gestart om de hosting van deze applicaties over te dragen aan een externe partij. Hiermee wordt een volgende stap gezet in de transformatie van eigen hosting naar outsourcing.

7.2 Verschuiving van eigen hosting naar outsourcing nagenoeg afgerond Belang van het onderwerp voor de raad De gemeente maakt in toenemende mate gebruik van externe partijen voor de hosting en het beheer van applicaties. Een reden hiervoor is dat de gemeente in de sourcing strategie heeft geconstateerd dat de opslag op fysieke servers in gemeentegebouwen niet houdbaar is op de lange termijn. De gemeente bouwt daarom het eigen datacenter, Datacenter Amstel 1, gefaseerd af.

Auditdienst ACAM – Accountantsverslag 2024

23

Home Advies Om vast te stellen dat de gemeente voldoet aan de eigen sourcing strategie, geven wij de gemeente twee aanbevelingen mee: • Voer een inventarisatie uit om vast te stellen waar nog applicaties gehost worden op een fysieke gemeentelijke locatie. Breng in beeld wat de daarmee samenhangende (rest)risico’s zijn en bepaal de vervolgstappen. • Breng alle contracten centraal onder bij de afdeling Leveranciers- en contractmanagement zodat de gemeente op uniforme wijze contractmanagement uitvoert op de ICT.

7.3 Assurance-rapportages uitbestede diensten (SaaSapplicaties) Belang van het onderwerp voor de raad De gemeente Amsterdam maakt sinds enkele jaren in toenemende mate gebruik van Software as a Service (SaaS) ter ondersteuning van haar bedrijfsprocessen, in plaats van het in eigen beheer ontwikkelen en onderhouden van IT-systemen. Inzicht in het beheer bij de leverancier wordt verkregen via assurance rapportages. Indien assurance rapportages ontbreken, krijgt de gemeente mogelijk onvoldoende inzicht in risico’s die kunnen optreden met betrekking tot beschikbaarheid, integriteit en vertrouwelijkheid van gegevens binnen de uitbestede processen. Ondanks de uitbesteding van de diensten blijft de

2 Een verwerkersovereenkomst wordt gesloten als een externe organisatie/leverancier persoonsgegevens verwerkt of gebruikt in opdracht van de gemeente en de gemeente de zeggenschap houdt over deze gegevens. De verwerker moet de instructies van de gemeente opvolgen. De gemeente blijft verwerkingsverantwoordelijke. In de verwerkersovereenkomst worden afspraken gemaakt over hoe er met deze persoonsgegevens wordt omgegaan. Bron: Intranet Gemeente Amsterdam https://hoofdstad.sharepoint.com/sites/in-rw-djz/SitePages/Afspraken-metderden.aspx

Auditdienst ACAM – Accountantsverslag 2024

gemeente Amsterdam namelijk ten allen tijde verantwoordelijk voor het beheersen van de risico’s die met deze SaaS diensten samenhangen. Verplichtingen wet- en regelgeving Bij gebruik van SaaS applicaties blijven alle relevante wet- en regelgeving die gemeenten moeten naleven van toepassing en blijft de gemeente verantwoordelijk. De gemeente heeft daarom in haar format voor de verwerkersovereenkomst 2 opgenomen dat de leverancier jaarlijks een assurance rapportage dient op te leveren. Het doel hiervan is inzicht krijgen in het beheer bij de leverancier. Bevindingen Binnen onze jaarrekeningcontrole controleren wij een aantal van deze SaaSapplicaties. Onze bevinding gaat over de voor onze jaarrekeningcontrole relevante applicaties, maar speelt breder. In onze accountantsverslagen en boardletters van afgelopen jaren hebben wij gerapporteerd over het inzicht in en het beheer van SaaS-diensten. In ons laatste accountantsverslag constateerden wij dat voor een deel van de applicaties binnen onze scope wederom geen assurance rapportages beschikbaar was. Dit ondanks dat hierover voor sommige applicaties afspraken waren gemaakt met de leveranciers. In de boardletter 2024 hebben wij verslag gedaan van de aanpak binnen het Leveranciers- en Contractmanagement om de geschikte en afgesproken beheerinformatie 3 van de leveranciers te ontvangen.

3 De beheerinformatie kan bestaan uit: Certificering van het verplichte normenstelsel en verklaring van toepasselijkheid (VVT), Een assurance-rapport (TPM, bijvoorbeeld ISAE3402 of SOC type 2) van een onafhankelijke derde/auditor die ter zake aantoonbaar deskundig is en/of Rapportages van pen/hacktesten bij webapplicaties en SaaS-toepassingen van een onafhankelijke derde/auditor.

24

Home

3

Wij hebben geconstateerd dat de (benodigde) beheerinformatie langs de volgende stappen is beoordeeld: 1. Het kernteam 4 voert per leverancier een risicoanalyse uit. 2. Interne quality assurance review op de risicoanalyses ten aanzien van kwaliteitsbewaking. 3. De belangrijkste bevindingen/restrisico’s uit de risicoanalyse worden besproken in tactisch overleg met de leverancier. Indien geen assurance rapport aanwezig is wordt bepaald of een assurance rapport alsnog nodig is. 4. Indien een assurance rapport nodig is wordt samen met de leverancier bepaald hoe dit op termijn te realiseren. Er is hier nog geen vaste termijn voor afgesproken. Deze aanpak heeft ertoe geleid dat: • voor de jaarrekeningcontrole relevante applicaties vanuit de gemeente meer inzicht in en regie op het beheer bij de leverancier is; • voor één applicatie, waarvoor in voorgaande jaren geen assurance rapportage beschikbaar was, deze nu wel is verkregen. Desondanks constateren wij dat voor vier SaaS-applicaties in onze scope (in 2024) er nog geen assurance rapporten zijn. Dit betreft: • het subsidiesysteem; • het beleensysteem van de Stadsbank van Lening; • het systeem voor onderwijshuisvesting; • het vastgoedbeheer systeem (assurance rapportage ontvangen voor alleen opzet en bestaan, geen werking).

Voor deze applicaties heeft de gemeente de leveranciers aangeschreven voor het aanleveren van de assurance rapporten en wordt met de leverancier een termijn voor oplevering afgesproken. Voor de overige voor onze controle relevante applicaties ontvangt de gemeente wel de assurance rapporten en is er een opzet hoe de rapporten structureel te gaan beoordelen. Advies Breidt de aanpak/werkwijze uit naar alle SaaS-applicaties binnen de gemeente.

7.4 Autorisatiebeheer is op onderdelen verbeterd; inzicht in en monitoring van functiescheiding en speciale rechten blijven aandacht vragen Belang van het onderwerp voor de raad Het beheer van autorisaties omvat onder andere het periodiek controleren van toegangsrechten, het waarborgen en monitoren van een adequate functiescheiding en speciale toegangsrechten. Deze onderdelen zijn van essentieel belang voor het handhaven van een effectief informatiebeveiligingsbeleid en kunnen helpen bij het minimaliseren van potentiële risico’s, waaronder fraude. Verplichtingen wet- en regelgeving • De Baseline Informatiebeveiliging Overheid (BIO). De BIO is het overheid brede normenkader voor informatiebeveiliging en is van toepassing op alle overheidsorganisaties. • Het gemeentelijk kader voor autorisatiebeheer.

4 Vanuit het project is aangegeven dat het kernteam bestaat uit een I-lead, Information Security officer (ISO) keten informatiemanager (KIM-er), risicomanager en functioneel beheerder.

Auditdienst ACAM – Accountantsverslag 2024

25

Home Bevindingen Autorisatiebeheer In onze Boardletter 2024 hebben we aandacht besteed aan onderdelen van het autorisatiebeheer, zijnde periodieke controle op autorisaties en monitoring van speciale rechten en ongewenste functievermenging. De reden hiervoor is dat uit onze werkzaamheden in de eerste helft van 2024 bleek dat het autorisatiebeheer niet altijd conform het stedelijk autorisatiebeheerproces en/of de BIO uitgevoerd werd. Voor tweederde van de applicaties is de periodieke controle van autorisaties uiteindelijk tweemaal uitgevoerd, conform de richtlijnen van de BIO.

Aandachtspunt Wij vragen uw aandacht voor onze eerdere adviezen om in lijn met de vereisten vanuit de BIO: • Twee maal per jaar de periodieke controle op autorisaties uit te voeren. • Per kwartaal een controle uit te voeren op uitgegeven speciale rechten. • Te monitoren op ongewenste functievermenging.

Monitoring speciale rechten en ongewenste functievermenging Volgens de BIO dient: • Uitgegeven speciale rechten minimaal per kwartaal gecontroleerd te worden. De controle omvat de volgende onderdelen: o Juistheid van de uitgegeven rechten o Actualiteit van de uitgegeven rechten • Activiteiten van speciale toegangsrechten regelmatig beoordeeld te worden. • Monitoring op ongewenste functievermenging regelmatig uitgevoerd te worden. In 2023 hebben wij bij de controle van jaarrekening gezien dat deze controle dan wel monitoring beperkt werd uitgevoerd. In 2024 hebben we op deze onderdelen slechts beperkte voortgang gezien bij de applicaties binnen de scope van de jaarrekeningcontrole: • Bij een groot aantal applicaties is vastgesteld dat gebruik van speciale rechten niet wordt gelogd of gemonitord. • Periodieke controles worden niet per kwartaal (of vaker) uitgevoerd. • Niet voor alle applicaties, relevant voor de jaarrekeningcontrole, is inzicht in en monitoring op ongewenste functievermenging.

Auditdienst ACAM – Accountantsverslag 2024

26

Home

Hoofdstuk 8 Varia 8.1 Inkoopproces en prestatiemeting Belang van het onderwerp voor de raad Het is van belang dat inkoopfacturen alleen worden betaald wanneer de prestaties zijn geleverd conform gemaakte afspraken. Indien dat niet het geval is kunnen er ten onrechte facturen worden betaald. Verplichtingen wet- en regelgeving Er is geen specifieke wet- en regelgeving van toepassing. De gemeente heeft regels opgesteld waaraan het betaalbaar stellen van inkoopfacturen moet voldoen. Deze regels houden onder meer in dat de prestatiemeting is uitgevoerd en de documentatie daarvan is opgenomen in de financiële administratie of dat een verwijzing is naar waar de documentatie is opgenomen. Bevindingen Het meten van geleverde prestaties voor betaling van inkoopfacturen werkte in 2024 niet naar behoren. Wij hebben wederom een deelwaarneming uitgevoerd op de betaalde facturen in de financiële administratie van 2024 om vast te stellen of de prestaties zijn geleverd zoals afgesproken met de leveranciers. Voor het merendeel van de gecontroleerde facturen ontbrak toereikende documentatie in de financiële administratie. Wij hebben de ontbrekende documentatie opgevraagd bij de directies. Voor een klein deel hebben wij geen documentatie ontvangen en bestaat er een onzekerheid of deze facturen terecht (volledig) zijn betaald. Auditdienst ACAM – Accountantsverslag 2024

De gemeente heeft onderkend dat er risico’s zijn en heeft twee pilots uitgevoerd bij enkele directies. De eerste pilot betrof het niet meten van prestaties bij facturen kleiner dan € 1.000. De tweede pilot betrof facturen kleiner dan € 100. De pilots beoogden dat er meer tijd beschikbaar zou moeten komen voor het meten en vastleggen van facturen groter dan € 1.000. Uit onze deelwaarneming blijkt (nog) niet dat dit heeft geresulteerd in betere vastlegging van prestatiemeting voor facturen groter dan € 1.000. Vanaf 6 januari 2025 is AFIS live. Vanwege operationele problemen kan een groot aantal facturen niet tijdig worden betaald. De gemeente heeft aangegeven dat dit een zeer onwenselijke situatie is. Enkele maatregelen die de gemeente heeft genomen om het betalen van facturen te versnellen is het betaalbaar stellen van facturen tot € 2.500 zonder de geleverde prestatie vast te stellen en het betalen van voorschotten. De prestatiemeting wordt vervolgens achteraf vastgesteld. Een deel van deze facturen heeft betrekking op 2024. Het risico bestaat dat deze facturen onder (tijds)druk ten onrechte betaalbaar zijn gesteld. Half april 2025 is aangekondigd dat voor de oudste facturen een aanpak met betaling zonder goedkeuring en buiten het systeem om wordt ontwikkelt.