Bijlage 5 - Accountantsverslag 2025 gemeente Amsterdam.pdf

Home

Accountantsverslag 2025 gemeente Amsterdam

18 mei 2026 700.000.25-V

Auditdienst ACAM – Accountantsverslag 2025

Home

Inhoudsopgave Inleiding

3

Hoofdstuk 1 Kernpunten van de controle 1.1 Controleverklaring 1.2 De in de jaarrekening aanwezige afwijkingen

4 4 4

Hoofdstuk 2 Overzicht adviezen en aandachtspunten

5

Hoofdstuk 3 Verslaggeving en financieel beheer 3.1 AFIS 3.2 Begroting versus realisatie 3.3 Waardering grondexploitaties 3.4 Waardering Afval Energiebedrijf 3.5 Duurzaamheidsinformatie in het jaarverslag 3.6 Weerstandsvermogen en risicomanagement 3.7 Administratieve hygiëne 3.8 Prestatieverklaringen 3.9 Naleving Wet DBA

9 9 10 12 14 14 15 18 19 20

Hoofdstuk 4 ICT en informatieveiligheid 4.1 Cyberbeveiligingswet 4.2 Digitale autonomie 4.3 Beheersing SaaS-applicaties 4.4 Autorisatiebeheer 4.5 ENSIA-audit

21 21 22 23 24 26

Hoofdstuk 5 Single information Single audit (SiSa)

27

Bijlage 1 SiSa tabel fouten en onzekerheden

30

Auditdienst ACAM – Accountantsverslag 2025

2

Home

Inleiding Geachte leden van de gemeenteraad, Voor u ligt het accountantsverslag bij de controle van de jaarrekening 2025 van de gemeente Amsterdam. Bij de door het college vastgestelde jaarrekening hebben wij op 23 april 2026 een controleverklaring met een goedkeurend oordeel afgegeven. Een goedkeurend oordeel betekent dat de jaarrekening een getrouw beeld geeft van de grootte en de samenstelling van de baten en lasten over 2025 en van het vermogen van de gemeente op 31 december 2025 alsmede een getrouw beeld van de financiële rechtmatigheid over 2025 in overeenstemming met het Besluit begroting en verantwoording provincies en gemeenten (BBV).

Administratieve hygiëne vormt echter een terugkerend aandachtspunt. Onze bevindingen laten zien dat de basis van het financieel beheer en de informatievoorziening nog niet voldoende op orde is. Structurele verbetering vraagt om heldere kaders, consistente uitvoering en actief toezicht. De ingezette organisatieontwikkeling, in combinatie met de verdere doorontwikkeling van AFIS, biedt een kans om de benodigde verbeteringen duurzaam te realiseren. Hoogachtend,

Origineel getekend door: drs. D.A. van Hooff RA

In dit verslag rapporteren wij de uitkomsten van onze controle, evenals onze bevindingen ten aanzien van de interne beheersing binnen de gemeente. Waar relevant hebben wij deze bevindingen voorzien van aandachtspunten en adviezen. Aandachtspunten onderstrepen het belang van specifieke constateringen; de adviezen zijn gericht op het ondersteunen van het college bij het realiseren van verbeteringen. Op verschillende plaatsen in dit verslag gaan wij in op de gevolgen van de implementatie van het Amsterdams Financieel en Inkoop Systeem (AFIS). Dit systeem bundelt informatie uit diverse bronnen en vervult een centrale rol in de administratieve processen en de informatievoorziening. Het college heeft de gemeenteraad herhaaldelijk geïnformeerd over de bijbehorende knelpunten en de voorgenomen vervolgacties.

Auditdienst ACAM – Accountantsverslag 2025

3

Home

Hoofdstuk 1 Kernpunten van de controle 1.1 Controleverklaring Bij de jaarrekening 2025 van de gemeente Amsterdam hebben wij op 23 april 2026 een goedkeurende controleverklaring verstrekt. De tekst van de verklaring is opgenomen in hoofdstuk 10 van het jaarverslag.

1.2 De in de jaarrekening aanwezige afwijkingen Afwijkingen(bedragen x € 1 miljoen)

Nummer

Beschrijving

01

Afgrenzing baten / lasten boekjaar

29,7

02

Toevoegingen / onttrekkingen aan reserves en voorzieningen

16,3

03

Tussenrekeningen

7,8

04

SiSa

6,6

05

Overig

6,6

Totaal

67

Tabel 1 Afwijkingen in jaarrekening

In de jaarrekening is voor circa € 67 miljoen aan ongecorrigeerde afwijkingen geconstateerd. Groot deel van deze afwijkingen heeft betrekking op niet zuivere afgrenzing van het boekjaar bij verantwoorden van baten en lasten (€ 29,7 miljoen). Het overgrote deel van dit bedrag betreft investeringsuitgaven die geactiveerd zouden zijn als die waren verwerkt. Daarnaast zijn voor € 16,3 miljoen aan toevoegingen en onttrekkingen aan reserves en voorzieningen onvoldoende onderbouwd. Hiervan heeft circa € 6,1 miljoen betrekking op reserves. Ook zijn bij tussenrekeningen saldi geconstateerd die hadden moeten aflopen of onvoldoende onderbouwd zijn (€ 7,8 miljoen). In de SiSa bijlage zijn afwijkingen van in totaal € 6,6 miljoen geconstateerd waarbij € 5,5 miljoen daarvan onzekerheden betreffen. Tot slot zijn diverse (kleinere) afwijkingen geconstateerd ter grootte van circa € 6,6 miljoen.

Auditdienst ACAM – Accountantsverslag 2025

4

Home

Hoofdstuk 2 Overzicht adviezen en aandachtspunten Hoofdstuk

Advies / Aandachtspunt

3. Verslaggeving en Financieel beheer

Aandachtspunt (3.1 AFIS) Wij vragen uw aandacht voor het monitoren van de voortgang van de verbetermaatregelen. Advies (3.2 Begroting versus realisatie) • Wij adviseren voor de navolgbaarheid de belangrijkste verschillen tussen de primaire begroting en de jaarrekening op programmaniveau toe te lichten. • Wij adviseren te investeren in toelichtingen van vergelijkbare diepgang en kwaliteit. • Wij adviseren om tussentijds geen toevoegingen aan de algemene reserve door te voeren. • Wij adviseren te onderzoeken in hoeverre het aantal projectreserves verder kan worden afgebouwd. Advies (3.3 Waardering grondexploitaties) • Wij adviseren de Nota financiële verantwoording grondexploitaties en erfpachtuitgifte te actualiseren. • Wij adviseren om het inkomstenpotentieel bij transformaties inzichtelijk te maken in de besluitvormingen verantwoordingsdocumenten. • Wij adviseren in de besluitvorming de financiële effecten en risico’s van het clusteren van grondexploitaties te expliciteren. Aandachtspunt (3.4 Waardering Afvalenergiebedrijf) Wij vragen uw aandacht voor het gegeven dat afhankelijk van de financiële resultaten van het AEB in de toekomst een ander inzicht kan ontstaan over de waarde van de deelneming en de mate waarin de lening kan worden terugbetaald.

Aandachtspunt (3.5 Duurzaamheidsinformatie in het jaarverslag) Wij vragen uw aandacht voor het blijvend bewaken van de herleidbaarheid en controleerbaarheid van de duurzaamheidsinformatie.

Auditdienst ACAM – Accountantsverslag 2025

5

Home Hoofdstuk

Advies / Aandachtspunt

Advies (3.6 Weerstandsvermogen en risicomanagement) • Wij adviseren de wendbaarheid van de begroting expliciet op te nemen in de paragraaf Weerstandsvermogen en risicobeheersing. Bijvoorbeeld door het opnemen van de mate van beïnvloedbaarheid van de programma’s. • Wij adviseren alle risico’s te voorzien van een inschatting van kans en impact zodat de organisatie op basis daarvan een risicoscore kan berekenen. • Wij adviseren te onderzoeken of een periodieke analyse op de kwaliteit van het risicomanagementproces toegevoegde waarde oplevert. • Wij adviseren de kwaliteit en navolgbaarheid van de informatie over uitvoeringsrisico’s in de programmaonderdelen te verbeteren. Advies (3.7 Administratieve hygiëne) • Wij adviseren de kwaliteit van het reguliere administratieve proces en de interne beheersing te versterken, zodat fouten en achterstanden eerder worden gesignaleerd en gecorrigeerd. • Wij adviseren in te zetten op een actuele administratie om op den duur een ‘hard close’ mogelijk te maken. • Wij adviseren de wijziging van AFS naar AFIS en de aankomende herziening van het rekeningschema spoedig door te voeren in het Amsterdams Accounting Manual. Advies (3.8 Prestatieverklaringen) Wij adviseren het proces van prestatie akkoordverklaren verder te verbeteren en bij de keuze voor het afzien van een verklaring vervangende beheersmaatregelen te treffen.

Hierbij kan gedacht worden aan controles met steekproeven of risicogerichte controles. Aandachtspunt (3.9 Naleving wet DBA) Wij vragen uw aandacht voor de uitkomsten van de inventarisatie en de structurele borging van de naleving van de wet DBA.

Auditdienst ACAM – Accountantsverslag 2025

6

Home Hoofdstuk

Advies / Aandachtspunt

4. ICT en informatieveiligheid Aandachtspunt (4.1 Cyberbeveiligingswet) Wij vragen uw aandacht voor het belang van het gesprek over digitale veiligheid tussen de raad en het college. Aandachtspunt (4.2 Digitale autonomie) Wij vragen uw aandacht voor de belangrijke uitdaging voor de organisatie in het bewaken van de balans tussen autonomie, continuïteit en informatiebeveiliging. Advies (4.3 Beheersing SaaS-applicaties) • Wij adviseren u voor de SaaS-applicaties afspraken te maken met de leveranciers voor het jaarlijks tijdig verkrijgen van de assurance- rapportages en adviseren u de naleving van deze afspraken te monitoren. • Wij adviseren de vroeg in het jaar beschikbaar komende assurance- rapportages met prioriteit te beoordelen. • Wij adviseren, voor zover bestaande afspraken met leveranciers de tijdige beoordeling niet mogelijk maken, om in overleg met de leverancier te sturen op het eerder beschikbaar stellen van de rapportages. Advies (4.4 Autorisatiebeheer) • Wij adviseren een proces in te richten om ongeautoriseerde afwijkingen op of ongeautoriseerde aanpassingen aan uitgegeven toegangsrechten te signaleren, vast te leggen als beveiligingsgebeurtenis en deze als zodanig af te handelen.

• Wij adviseren de in de BIO voorgeschreven frequentie (1x per kwartaal) voor controle van speciale rechten na te leven, gebruik van speciale rechten te loggen en te monitoren op ongewenste functievermenging waarbij een actuele autorisatiematrix een belangrijke randvoorwaarde is. • Wij adviseren u het autorisatiebeheer te uniformeren, indien nodig het ontwerp te herzien en te overwegen om gebruik te gaan maken van de geautomatiseerde mogelijkheden die de leverancier biedt. Verder adviseren wij de periodieke controles op functiescheiding en toegangsrechten in te richten. Advies (4.5 ENSIA-audit) Wij adviseren om in de verbeterplannen expliciet en concreet op te nemen op welke wijze de tekortkomingen structureel worden opgelost en hoe de effectieve werking van de maatregelen aantoonbaar wordt geborgd (monitoring, interne controles, periodieke toetsing) en welke verantwoordelijken daarbij horen. Auditdienst ACAM – Accountantsverslag 2025

7

Home Hoofdstuk

Advies / Aandachtspunt

5. Single information Single audit (SiSa)

Aandachtspunt Wij vragen aandacht voor de bredere noodzaak van kwaliteitsbewaking binnen de SiSa-keten.

Auditdienst ACAM – Accountantsverslag 2025

8

Home

Hoofdstuk 3 Verslaggeving en financieel beheer 3.1 AFIS Inleiding Het is bekend dat de implementatie van het nieuwe Amsterdams Financieel en Inkoop Systeem (AFIS) niet vlekkeloos is verlopen en het systeem nog niet naar behoren functioneert. Gedurende het jaar hebben zich verschillende verstoringen voorgedaan die van grote invloed waren op de uitvoering van de financiële processen en beschikbaarheid van betrouwbare stuurinformatie. Ondanks de problematiek, is het afsluitingsproces binnen de tijdslijnen geslaagd. Op verschillende plekken in ons accountantsverslag komt de problematiek met en/of als gevolg van AFIS naar voren. In dit gedeelte willen we de raad informeren over de uitgevoerde health checks en de vervolgstappen die zijn ingezet. Knelpunten zijn inzichtelijk gemaakt, de conclusies zijn zorgelijk De gemeente tracht door middel van nader onderzoek de problematiek rondom AFIS scherp te krijgen en daar gerichte actie op te nemen. De organisatie heeft onder andere medio 2025 een evaluatie gedaan van de problemen met betalen als gevolg van de AFIS-implementatie en vervolgens een vijftal health checks laten uitvoeren binnen het programma AFIS naar de huidige inrichting en werking van AFIS. Verder is er een dwarskijksessie gehouden.

Auditdienst ACAM – Accountantsverslag 2025

De conclusies van de onderzoeken zijn vooralsnog zorgelijk. De onderzoeken laten zien dat de risico’s vooral liggen in eigenaarschap, sturing en de veranderkracht binnen de organisatie. Daarnaast zijn er technisch gezien problemen die risico’s voor de toekomst met zich meebrengen. Daarmee wordt geconcludeerd dat AFIS niet alleen een systeemimplementatie is, maar een organisatie brede verandering van gemeente brede ketens voor Verkoop-Ontvangst en Inkoop tot betalen. De organisatie is bezig om de problematiek op te lossen. De doorontwikkeling van AFIS vindt inmiddels plaats langs 7 werksporen gericht op het (her)implementeren en verbeteren van processen en systemen. De health checks zijn uitgevoerd omdat naast het oplossen van de verstoringen (korte termijn) de huidige inrichting van AFIS onvoldoende aansloot op de behoefte aan sturing. De vijf health checks zijn gericht op het (1) verbeteren en optimaliseren van de financiële projectbeheersing, (2) financieel plan tot uitvoering tot en met verantwoording, (3) het factuurverwerkingsproces, (4) Ariba (inkoopmodule) en (5) beheer van stamdata. Onderstaand geven wij enkele conclusies uit de health checks die de urgentie onderstrepen: 1.

Financiële projectbeheersing: AFIS ondersteunt financiële projectbeheersing onvoldoende; alleen een integrale herinrichting van AFIS (SAP) biedt duurzame oplossing voor sturing, budgettering en rapportage. 2. Financieel plan tot uitvoering en verantwoording: diverse knelpunten geconstateerd op het gebied van workflow, gebruikersvriendelijkheid,

9

Home autorisaties, onbetrouwbare rekenkernen en gebrekkige rapportages & audit functionaliteit. Deze knelpunten waren niet tijdig op te lossen waardoor besloten is het vorige systeem (LIAS) voorlopig weer in gebruik te nemen. 3. Factuurverwerkingsproces: de inrichting en configuratie is goed maar de effectiviteit van het proces kan verbeterd worden. In de huidige inrichting worden de functionaliteiten onvoldoende benut. 4. Bestelproces (inkoopmodule Ariba): zes kritieke knelpunten geconstateerd die de efficiëntie van de inkoop, de naleving en de financiële nauwkeurigheid beïnvloeden. 5. Beheer stamdata: De processen zijn inefficiënt, en er is veel handmatig werk waardoor de beheerlast structureel hoog blijft. Dit geeft verhoogde kans op fouten, ongeautoriseerde toegang, complianceschendingen en verstoringen van kritieke processen. Wij constateren dat in diverse werksporen waarin de uitkomsten van de health checks worden opgepakt voortgang wordt geboekt en dat belangrijke stappen worden gezet. Tegelijkertijd stellen wij vast dat er nog knelpunten openstaan en grote inspanningen nodig zijn om AFIS stabiel en volgens de gestelde eisen te laten functioneren. Aandachtspunt Wij vragen uw aandacht voor het monitoren van de voortgang van de verbetermaatregelen.

3.2 Begroting versus realisatie Inleiding De begroting en jaarstukken zijn van belang voor sturing en het budgetrecht van de raad. De jaarstukken betreffen een verantwoording van het college waarmee de raad kan nagaan of is gedaan wat is afgesproken.

Auditdienst ACAM – Accountantsverslag 2025

De Gemeentewet bepaalt de uitgangspunten voor de begroting en jaarstukken. In het BBV is aangegeven dat de jaarstukken conform de begroting worden opgesteld. Ook bepaalt het BBV dat de jaarrekening een toelichting bevat van het verschil tussen de begroting na laatste wijziging en de realisatie. Hierbij dienen over- en onderschrijdingen goed herkenbaar in de jaarrekening te worden opgenomen. Toereikende verklaringen over verschillen tussen de ramingen in de begroting en de realisatie in de jaarstukken zijn van belang voor de raad voor de uitoefening van zijn kaderstellende en controlerende rol. Het rekeningresultaat € 29,3 miljoen hoger dan geraamde resultaat Tabel 2 Begroting 2025 en realisatie Primaire begroting 2025

Begroting 2025 (Najaarsnota)

Rekening 2025

Verschil Rekening begroting 2025 (Najaarsnota)

Baten

6.821,0

7.496,7

7.624,7

128,0

Lasten

6.799,1

7.569,4

7.568,7

-0,7

Saldo baten en lasten

21,9

-72,2

56,0

128,2

Onttrekking

1.289,8

2.043,2

2.117,1

73,9

Toevoeging

1.311,6

1.946,6

2.120,0

173,4

Saldo onttrekkingen en toevoegingen reserves

-21,9

96,6

-2,9

-99,5

0,0

23,8

53,1

29,3

Totaal

10

Home Het relatief kleine totaalverschil van € 29,3 miljoen is het gevolg van de systematiek van het werken met systeem reserves, waardoor afwijkingen van baten en lasten direct een effect hebben op de daaraan gekoppelde reserves. De gerealiseerde onder- en overschrijdingen op deze baten en lasten worden zo automatisch gecompenseerd door een tegengesteld effect op met name systeemreserves erfpacht, het vereveningsfonds en egalisatiereserves, zonder dat hier aparte besluitvorming voor nodig is. Grote verschillen tussen de primaire begroting en de realisatie Het verschil tussen de primaire begroting en de jaarrekening is op het niveau van baten en lasten relatief groot. Het verschil in de baten is € 803,7 miljoen en in de lasten bedraagt dit € 769,6 miljoen. De verschillen tussen de begrote onttrekkingen (€ 827,3) en toevoegingen (€ 808,4) in de reserves zijn vanwege de systematiek van vergelijkbare omvang. Het verschil tussen de primaire begroting en de jaarrekening is inhoudelijk alleen navolgbaar indien, naast de primaire begroting en de jaarrekening, de voorjaarsnota, de begroting 2026 en de najaarsnota worden geraadpleegd. In paragraaf 6.6 van het jaarverslag is een brugstaat opgenomen die inzicht geeft in de mutaties, maar een inhoudelijke uitleg ontbreekt. Voor de navolgbaarheid c.q. de begrijpelijkheid is een toelichting onmisbaar.

Advies Wij adviseren voor de navolgbaarheid de belangrijkste verschillen tussen de primaire begroting en de jaarrekening op programmaniveau toe te lichten. Verschillen in kwaliteit en diepgang van toelichtingen op programma’s In lijn met artikel 28 van het BBV dienen over- (en ook) onderschrijdingen goed herkenbaar in de jaarrekening te worden opgenomen. Als het gaat om overschrijdingen waarbij het college binnen het door de gemeenteraad uitgezette beleid is gebleven, worden de uitgaven bij het vaststellen van de jaarrekening alsnog door de gemeenteraad geautoriseerd. Het is dan ook

Auditdienst ACAM – Accountantsverslag 2025

van belang dat begrotingsafwijkingen in het jaarverslag worden voorzien van een redengevende verklaring op basis waarvan vastgesteld kan worden of het college binnen het door de gemeenteraad vastgestelde beleid is gebleven. In algemene zin is de kwaliteit van de toelichtingen op de begrotingsafwijkingen van voldoende niveau. In hoofdstuk 2 Financiële hoofdlijnen en in hoofdstuk 3 Programma’s van het Jaarverslag 2025 wordt per programma of per programmaonderdeel in de paragraaf “Financiële toelichting” ingegaan op de belangrijkste afwijkingen ten opzichte van de begroting 2025 zoals vastgesteld bij de najaarsnota. De kwaliteit en diepgang van de toelichtingen in de programma’s is echter verschillend. Een aantal programma’s kent uitgebreide redengevende toelichtingen waarom de realisatie afwijkt van de begroting. Ook in het geval dat het om relatief kleine bedragen gaat. De toelichting bij andere programma’s is dan in verhouding relatief summier terwijl het om een veel groter financieel belang gaat. Daarnaast bevatten de begroting en de jaarrekening op belangrijke onderdelen veel “techniek” wat voor een gemiddelde gebruiker lastig te volgen is. De werkwijze van het vereveningsfonds is daarbij het meest in het oog springend. Advies Wij adviseren te investeren in toelichtingen van vergelijkbare diepgang en kwaliteit.

Mutaties in de algemene reserve zijn toegestaan, maar minder goed navolgbaar In het jaarverslag worden bij de verloopstaat reserves en bij de toelichting op de algemene reserve de mutaties 2025 beschreven. Deze bestaan uit de toevoeging resultaat 2024, het opheffen van reserve duurzaamheidsfonds en de toevoeging van het geraamde resultaat 2025.

11

Home Het toevoegen van het resultaat is in lijn met de vaststelling van het jaarverslag 2024 en een logische mutatie. Het opheffen van een reserve ten gunste van de algemene reserve is toegestaan, maar het is transparanter om de vrijval in het jaarrekeningresultaat te verwerken. Door het toevoegen van het geraamde resultaat van € 135,1 miljoen (het geraamde saldo van de begroting) gedurende het boekjaar is het jaarresultaat niet eenvoudig te volgen in het jaarverslag 2025. De toelichting op de balans in de jaarrekening is op dit punt lastig te begrijpen: ”De onttrekking aan de Algemene Reserve betreft de onttrekking van het resultaat over 2024 van € 6,5 miljoen. De toevoegingen betreffen aanvullingen voor het sluitend maken van de begroting inclusief een toevoeging van € 2,2 miljoen; het saldo van de opgeheven reserve Duurzaamheidsfonds.”

Gezien de hoogte, het doel van en de mutaties op een aantal van de zogenoemde projectreserves vragen wij ons af of deze lasten niet mee kunnen lopen in de reguliere baten en lasten in plaats van via mutaties in de reserves. Het verminderen van projectreserves, zoals beoogd in de Beleidsnota reserves en voorzieningen, maakt de P&C documenten transparanter en meer navolgbaar. Advies Wij adviseren te onderzoeken in hoeverre het aantal projectreserves verder kan worden afgebouwd.

3.3 Waardering grondexploitaties In ons accountantsverslag 2022 hebben wij geadviseerd om tussentijds geen toevoegingen aan de algemene reserve door te voeren. Bij de vaststelling van het jaarverslag wordt het jaarresultaat (automatisch) toegevoegd aan de algemene reserve. In de bestuurlijke reactie op ons accountantsverslag heeft het college aangegeven ons advies op te volgen. Advies Wij adviseren om tussentijds geen toevoegingen aan de algemene reserve door te voeren.

Budgetten vast in groot aantal projectreserves Door het toevoegen van middelen aan reserves worden deze middelen gereserveerd ter dekking van uitgaven van latere jaren. In 2024 is een gewijzigd reservebeleid vastgesteld. Diverse reserves zijn naar aanleiding hiervan vervallen en door het striktere beleid zijn de mogelijkheden tot het instellen van projectreserves beperkt.

Auditdienst ACAM – Accountantsverslag 2025

Inleiding De gemeente heeft 166 actieve grondexploitaties met een onderhandenwerk-saldo van € -131,4 miljoen eind 2025. De voorziening voor negatieve grondexploitaties bedraagt € 409,5 miljoen en is ten opzichte van 2024 verder toegenomen door nieuwe en verslechterde plannen. In de jaarrekening 2024 was de omvang van deze voorziening € 334,2 miljoen. De voorziening negatieve grondexploitaties is een schatting van de verwachte verliezen op actieve grondexploitaties. De Nota financiële verantwoording grondexploitaties en erfpachtuitgifte is op onderdelen onvoldoende uitgewerkt De gemeente heeft als onderlegger van de financiële verordening een nota die de financiële verantwoording van grondexploitaties en erfpachtuitgifte behandelt. Naast deze nota bestaan diverse interne notities die een nadere invulling geven aan de uitgangspunten in de nota en/of ingaan op specifieke keuzemogelijkheden. Vanwege de transparantie, rechtmatigheid en controleerbaarheid vinden wij het belangrijk dat de gemeenteraad bewust de kaders stelt. Dit borgt een consistent beleid in de uitvoering.

12

Home Een aantal onderwerpen uit de steeds verder voortschrijdende praktijk zien wij nog niet voldoende terug in de nota. Dit zijn grondexploitaties met daarin transformaties van gebouwen, het moment van het afsluiten van een plan en het starten van een restplan, de wijze van toerekenen van bovenwijkse voorzieningen aan plannen en het (ont)clusteren van grondexploitaties. Ook kunnen de reeds bekende Amsterdamse afwijkingen van het BBV hier een plek krijgen. Advies Wij adviseren de Nota financiële verantwoording grondexploitaties en erfpachtuitgifte te actualiseren.

Onvoldoende inzicht in het inkomstenpotentieel bij transformaties De gemeente heeft grondexploitaties waarbij een gebied wordt getransformeerd. Dit betekent dat een bestaand gebied een nieuwe functie krijgt, bijvoorbeeld wanneer kantoren worden omgebouwd tot woningen. Het transformeren van een gebied levert de gemeente extra inkomsten op. Het daadwerkelijk realiseren van deze extra inkomsten hangt af van de bereidheid van grondeigenaren (of bestaande erfpachters) om mee te werken aan de transformatie. Bij grondexploitaties waarbij transformaties centraal staan wordt in de regel pas gerekend met opbrengsten wanneer er een afsprakenbrief met de marktpartij is getekend. In een enkel geval, wanneer veel onzekerheid bestaat over de bereidheid van partijen om te transformeren, gaat de gemeente in de grondexploitatiebegroting uit van het verwerven en opnieuw uitgeven van grond. De inspanningen blijven echter wel gericht op het transformeren van een gebied. Zodra er voldoende zekerheid is dat partijen daadwerkelijk gaan transformeren, wordt de grondexploitatiebegroting aangepast.

Auditdienst ACAM – Accountantsverslag 2025

De gemeente kan ervoor kiezen om de extra inkomsten uit transformaties niet of slechts gedeeltelijk in de grondexploitatiebegroting op te nemen als de onzekerheid te groot is. Het niet meenemen van deze inkomsten resulteert in een lager grondexploitatieresultaat. Bij een negatieve grondexploitatie(begroting) moet dan gelijk een voorziening worden getroffen voor het verlies, terwijl het plan in potentie positief kan uitvallen. Advies Wij adviseren om het inkomstenpotentieel bij transformaties inzichtelijk te maken in de besluitvorming- en verantwoordingsdocumenten. Houd rekening met financiële effecten en risico’s van clusteren De gemeente kan afzonderlijke grondexploitaties samenvoegen tot één cluster. Door grondexploitaties te clusteren worden deze financieel als één geheel behandeld. Hiermee worden bijvoorbeeld ingewikkelde vraagstukken voorkomen bij het toerekenen van (gezamenlijke) kosten aan de afzonderlijke grondexploitaties. Een voorbeeld hiervan zijn de kosten van infrastructuur die meerdere grondexploitaties doorkruizen. Het bijkomend effect is dat verlieslatende grondexploitaties, waarvoor eerder een verliesvoorziening is gevormd, kunnen worden gesaldeerd met positieve plannen waardoor een verliesvoorziening niet meer nodig is. Deze werkwijze brengt risico’s met zich mee omdat het nog maar de vraag is of de baten in de toekomst gerealiseerd gaan worden.

Voor positieve plannen betekent het clusteren met negatieve plannen dat er geen of minder tussentijdse winst wordt genomen. Advies Wij adviseren in de besluitvorming de financiële effecten en risico’s van het clusteren van grondexploitaties te expliciteren.

13

Home

3.4 Waardering Afval Energiebedrijf Inleiding De gemeente is 100% eigenaar van het Afval Energie Bedrijf (AEB). In 2025 is de achtergestelde lening omgezet in aandelenkapitaal en is een nieuwe lening verstrekt. Gezien het financiële belang en het risicoprofiel is de waardering van het AEB een belangrijk onderwerp in onze controle. Waardering AEB ongewijzigd ten opzichte van 2024 De omzetting van de achtergestelde lening naar aandelenkapitaal is administratief enigszins technisch, om die reden heeft gemeente onder andere in paragraaf 7.1.onder Financiële vast activa de ontwikkelingen op de gemeentebalans toegelicht. Uit deze toelichting komt naar voren dat de waardering van de deelneming gelijk is aan de waardering per jaareinde 2024. In deze toelichting is ook zichtbaar gemaakt dat het verlies op de deelneming is opgelopen tot € 267,9 miljoen, waarvan € 259,4 miljoen al in eerdere jaren als last is genomen via het instellen van voorzieningen. In 2025 is € 8,5 miljoen aan een voorziening toegevoegd, waarna de voorzieningen volledig zijn onttrokken om de afboeking van de boekwaarden op te vangen. Het bedrag waarover de gemeente Amsterdam risico loopt is gestegen van € 182 miljoen per jaareinde 2024 naar € 313,3 miljoen per jaareinde 2025. Dit bedrag bestaat voor € 154,9 miljoen uit aandelenkapitaal en € 158,4 miljoen aan leningen.

Waarderingen komen tot stand op basis van een veelheid aan aannames, zoals schattingen over toekomstige opbrengsten en kosten, de disconteringsvoet, het benodigde onderhoud, de haalbaarheid van innovatieve oplossingen et cetera.

Auditdienst ACAM – Accountantsverslag 2025

Aandachtspunt Wij vragen uw aandacht voor het gegeven dat afhankelijk van de financiële resultaten van het AEB in de toekomst een ander inzicht kan ontstaan over de waarde van de deelneming en de mate waarin de lening kan worden terugbetaald.

3.5 Duurzaamheidsinformatie in het jaarverslag Inleiding Duurzaamheidsverslaggeving is een relatief nieuwe vorm van verslaglegging en nog volop in ontwikkeling. Met duurzaamheidsverslaggeving kunnen organisaties verantwoording afleggen over hun duurzaamheidsprestaties. De gemeente Amsterdam rapporteert sinds de begroting 2025 actief en vrijwillig over haar duurzaamheidsprestaties via de begroting en jaarrekening. Vanaf begroting 2028 is de gemeente van plan om een klimaatbegroting te introduceren, waarbij gestuurd wordt op de CO2uitstoot via de begroting en jaarrekening. Het is belangrijk dat de informatie in de (klimaat)jaarrekening betrouwbaar is. In onze boardletter 2023 hebben wij aandacht gevraagd voor het experimenteren met herleidbaarheid en controleerbaarheid van de duurzaamheidsinformatie (normen en indicatoren) in de jaarrekening. De organisatie heeft hier opvolging aan gegeven door onder andere het oprichten van een datateam duurzaamheid in 2025. Dit datateam is in 2026 de data-hub aan het bouwen. De data-hub is een centrale plek waar duurzaamheidsinformatie uit verschillende bronnen wordt verzameld, gestructureerd, bewerkt en ontsloten. Het voornemen is om deze informatie te gebruiken voor de klimaatbegroting en jaarrekening. Het centraliseren van de informatievoorziening kan naar onze mening de herleidbaarheid en

14

Home controleerbaarheid van informatie verbeteren. Wij hebben begrepen dat de focus in de klimaatbegroting gericht is op CO₂-informatie, scope 1 en 2. De CO₂-informatie in de klimaatbegroting en jaarrekening komt tot stand na verschillende bewerkingsslagen op bronbestanden. Het documenteren van dit proces is nog in ontwikkeling. Het is belangrijk dat dit zorgvuldig plaatsvindt, voor de herleidbaarheid en controleerbaarheid. Gemeente voortvarend aan de slag, herleidbaarheid en controleerbaarheid in duurzaamheidsverslaglegging blijft aandachtspunt De komende periode wordt verder gewerkt aan de doorontwikkeling van de data-hub en organisatie. Met de doorontwikkeling geven wij de organisatie mee blijvende aandacht te hebben voor het herleidbaar en controleerbaar zijn van normen en indicatoren die samenhangen met de duurzaamheidsdoelstellingen. Initieel zal dit zijn voor CO2-normen (waar nu de focus op ligt) en op termijn mogelijk voor andere indicatoren. In het jaarverslag 2025 is voor het eerst gerapporteerd over de totale CO₂uitstoot van een programmaonderdeel. Daarnaast bevat het jaarverslag voor het eerst de paragraaf Duurzaamheid. Wij hebben kennisgenomen van het totstandkomingsproces van de gerapporteerde CO₂-informatie voor het onderdeel scope 1 en 2 van de gemeentelijke organisatie.

Daarnaast hebben wij voor het jaarverslag als geheel en op programmaonderdeelniveau de gerapporteerde CO₂-uitstoot voor de eigenorganisatie (scope 1 en 2) aangesloten met de hiervoor gebruikte dataset met de broninformatie. Hoewel hier geen verschillen uit zijn geconstateerd, vragen wij aandacht voor dit proces gezien de veelheid aan bronnen en bewerkingsslagen dat hiermee gemoeid is.

Auditdienst ACAM – Accountantsverslag 2025

Aandachtspunt Wij vragen uw aandacht voor het blijvend bewaken van de herleidbaarheid en controleerbaarheid van de duurzaamheidsinformatie.

3.6 Weerstandsvermogen en risicomanagement Inleiding Het is belangrijk dat de gemeente inzicht heeft in de risico’s die zij loopt, zodat gestuurd kan worden op een goede balans tussen de financiële risico’s en de financiële mogelijkheden om deze risico’s op te vangen. Het Amsterdamse beleid is dat de benodigde weerstandscapaciteit gelijk is aan de normhoogte van de algemene reserve. Deze reserve is de enige direct beschikbare bron voor het opvangen van incidentele tegenvallers op de korte termijn zonder dat de beleidsdoelen direct aangepast moeten worden. Voor de algemene reserve is daarom een minimumhoogte gesteld op 5% van het begrotingstotaal exclusief mutaties in reserves. De algemene reserve voldoet aan de normhoogte De berekende normhoogte bedraagt eind 2025 € 377 miljoen. De algemene reserve bedraagt circa € 420 miljoen, dit is ruim boven de door de raad gestelde norm. In de begroting 2025 worden de risico’s benoemd die binnen de programma’s zijn onderkend en (deels) worden beheerst. Daarnaast is het resterende risico opgenomen, zijnde het deel dat redelijkerwijs niet binnen de programma’s kan worden opgevangen; dit bedraagt € 271 miljoen. In de jaarrekening is gekozen voor een afwijkende presentatie. Het op pagina 278 opgenomen histogram toont dat het resterende risico varieert tussen € 10 miljoen en € 990 miljoen. Op basis van een betrouwbaarheidspercentage van

15

Home 97% wordt geconcludeerd dat de algemene reserve van € 420 miljoen in de komende twee jaar toereikend is om onverwachte tegenvallers op te vangen. Dit blijkt ook uit het opgenomen kengetal voor het weerstandsvermogen. Het college stelt dat een weerstandsvermogen tussen de 1 en 1,4 betekent dat de gemeente redelijk zeker is dat er voor de komende twee jaar dekking is voor een negatief rekening resultaat als gevolg van de resterende risico’s. Het weerstandsvermogen uitgedrukt in een kengetal komt eind 2025 uit op 1,1 wat een verbetering is ten opzichte van 2024 (2024: 0,85).

De financiële ruimte staat onder druk De Gemeentewet stelt dat sprake dient te zijn van een begroting die structureel en reëel in evenwicht is. Op jaarschijfniveau kan hiervan weliswaar worden afgeweken, als dit evenwicht in latere jaren maar wordt hersteld. Verschillende ontwikkelingen hebben naar verwachting een negatief effect op de meerjarenbegroting. Onder andere macroeconomische ontwikkelingen, bezuinigingen vanuit de Rijksoverheid en de groei van de stad drukken een stempel op het meerjarige beeld. Aangezien onzekerheden toenemen is het belangrijk een wendbare begroting te hebben, zodat indien nodig relatief eenvoudig kan worden bijgestuurd.

De berekening van het weerstandsvermogen is afhankelijk van de kwaliteit van de aannames Wij merken op dat de berekeningen van de resterende risico’s en daarmee ook de berekening van het weerstandsvermogen voortvloeien uit het brede proces van risicomanagement en sterk afhankelijk is van aannames. Het proces begint bij de inventarisatie van risico’s en beheersmaatregelen. Welke (rest)risico’s worden meegenomen? Hoe wordt de kans van optreden bepaald? En op welke manier wordt de financiële impact berekend? Deze keuzes beïnvloeden de uitkomst die daarmee inherent subjectief is. Risicomanagement omvat het gehele proces van identificeren, analyseren, prioriteren en monitoren van risico’s. De uitvoering van dit proces behoeft nog steeds verbetering.

Zorgen over kwaliteit van risicoschattingen In totaal zijn ruim 1.100 risico’s opgenomen in het risicomanagementsysteem Fully in Control (FIC). Van deze risico’s is ongeveer 6% gekenmerkt als resterend risico. Deze resterende risico’s worden meegenomen in de simulatie van het weerstandsvermogen.

De uitkomst van het weerstandsvermogen moet dan ook met de nodige voorzichtigheid worden geïnterpreteerd. Hoewel vaak wordt gesteld dat een ratio onder de 1,0 wijst op kwetsbaarheid, is deze norm niet vastgelegd in het BBV. Het risico bestaat dat de aandacht verschuift naar het behalen van een cijfermatige norm, terwijl de kwaliteit van de onderliggende aannames onvoldoende wordt besproken.

Om prioriteiten te stellen kwantificeert de organisatie risico’s op basis van kans en (financiële of maatschappelijke) impact. Het interne beleid schrijft voor dat het minimale financiële gevolg nooit nul is: als een risico optreedt, ontstaat er in de regel altijd schade. Op basis van kans en maximale impact berekent de organisatie vervolgens een risicoscore. De directies identificeren risico’s, schatten kans en impact in en treffen beheersmaatregelen.

Auditdienst ACAM – Accountantsverslag 2025

Advies Wij adviseren de wendbaarheid van de begroting expliciet op te nemen in de paragraaf Weerstandsvermogen en risicobeheersing. Bijvoorbeeld door het opnemen van de mate van beïnvloedbaarheid van de programma’s.

16

Home Wij constateren dat bij een groot deel van de risico’s de inschatting van kans en impact ontbreekt of onvolledig is. Hierdoor kan de organisatie voor deze risico’s geen risicoscore berekenen. Dit belemmert een goede prioritering, waardoor mogelijk relevante risico’s buiten beschouwing blijven. Advies Wij adviseren alle risico’s te voorzien van een inschatting van kans en impact zodat de organisatie op basis daarvan een risicoscore kan berekenen. Risicomanagement steunt op een goede inventarisatie van de risico’s door de directies. De afbakening van de directies om een risico wel of niet aan te merken als resterend risico en de kwaliteit van de schattingen die daarmee samenhangen kan grote invloed hebben op de uiteindelijke simulatie en de informatie zoals opgenomen in de paragraaf in het jaarverslag. Advies Wij adviseren te onderzoeken of een periodieke analyse op de kwaliteit van het risicomanagementproces toegevoegde waarde oplevert.

Wisselende kwaliteit van informatie over risicobeheersing per programmaonderdeel In het jaarverslag beschrijft de organisatie per programmaonderdeel de actuele risico’s en getroffen maatregelen. De kwaliteit van deze toelichtingen verschilt sterk. Wij zien onder andere maatregelen die niet aansluiten op de genoemde risico’s, maatregelen die alleen het verleden beschrijven en maatregelen met een onduidelijke inhoud.

Auditdienst ACAM – Accountantsverslag 2025

Advies Wij adviseren de kwaliteit en navolgbaarheid van de informatie over uitvoeringsrisico’s in de programmaonderdelen te verbeteren. Start gemaakt met het versterken van de 1e lijn Op basis van de toezeggingen op het accountantsverslag 2024 is in 2025 een besluit genomen voor het vormen van een hybride verbijzonderde interne controleteam (VIC). Dit team zal de komende maanden bij cluster R&E een start maken ter versterking van de eerste lijn. Door middel van risicosessies worden bij de directies van dit cluster de operationele risico’s en de risico’s van de kernprocessen besproken. Het plan richt zich zowel op het beheersen van de risico’s in kernprocessen als de standaard operationele risico’s. Het frauderisico is een onderdeel van de standaardrisico’s en valt daarmee in de scope. Door middel van een nulmeting en een plan van aanpak worden de gewenste stappen per directie inzichtelijk. Onderdeel van de risicosessies betreft ook de inventarisatie van de beheersmaatregelen toetsing van de effectieve werking en beoordeling welke aanvullende maatregelen er nog benodigd zijn. Vervolgacties frauderisicobeheersing in gang gezet Eind 2025 is het plan van aanpak “fraudebeheersing” vastgesteld. In dit plan van aanpak is een prioritering opgenomen op basis van het aantal openstaande beheersingsmaatregelen zoals opgenomen in FIC.

In deze prioriteit staan cluster Stadsdelen Beheer en Dienstverlening en Ruimte en Economie bovenaan. De vervolgacties betreffen onder meer het implementeren van de beheersingsmaatregelen, het monitoren van de voortgang en toetsing van de werking. De vervolgacties zullen in de loop van 2026 worden uitgevoerd.

17

Home

3.7 Administratieve hygiëne Inleiding Afgelopen jaren hebben wij op verschillende momenten aandacht gevraagd voor het belang van financiële hygiëne en de kwaliteit van sturingsinformatie. Hoewel er herhaaldelijk pogingen zijn gedaan om verbeteringen door te voeren, zijn structurele verbeteringen vooralsnog uitgebleven.

Advies Wij adviseren de kwaliteit van het reguliere administratieve proces en de interne beheersing te versterken, zodat fouten en achterstanden eerder worden gesignaleerd en gecorrigeerd.

De recente organisatieveranderingen, waarbij een directe koppeling is aangebracht tussen directies, clusters, begrotings-programma’s en bestuurlijke portefeuilles, en de doorontwikkeling van AFIS bieden nieuw momentum om verbeteringen daadwerkelijk te realiseren.

Administratie gedurende het jaar onvoldoende actueel voor sturing De ambitie was de financiële administratie periodiek af te sluiten zodat richting jaareinde er geen sprake zou zijn van achterstalligheid. Een ‘hard close’ zou ook helpen bij het tijdig verwerken van gegevens tot relevante managementinformatie. De administratie is echter nog onvoldoende ontwikkeld. Bij periodieke afsluitmomenten is de administratie niet actueel. Denk hierbij bijvoorbeeld aan het periodiek muteren van reserves en voorzieningen, het tijdig boeken van projecten en investeringen naar de balans, het bijwerken en aansluiten van sub-administraties, het bepalen van transitoria en het realiseren van een evenwichtige spreiding van jaarboekingen.

Ingrijpende correcties in het proces van opstellen en controleren van de jaarrekening Idealiter is de organisatie zodanig ‘in control’ dat bij het opstellen en controleren van de jaarrekening slechts enkele “bespreekpunten” resteren. In de huidige situatie is hiervan geen sprake. De bevindingen overschreden aanvankelijk de goedkeuringstolerantie. Pas na het corrigeren van majeure fouten kon een goedkeurend oordeel worden afgegeven.

Ook uit interne rapportages en (eerder) uitgevoerde opschoonacties blijkt dat de organisatie zich al lange tijd bewust is van de noodzaak tot verbetering van de kwaliteit en actualiteit van de financiële administratie. Desondanks is de voortgang hierin beperkt. Het uitblijven van structurele verbetering brengt inherente risico’s met zich mee voor de betrouwbaarheid van de financiële informatievoorziening en de mate waarin daarop gestuurd kan worden.

De kern van onze bevindingen is dat de basis van het financieel beheer en de informatievoorziening onvoldoende op orde is. Structurele verbetering vraagt om scherpere kaders, consequente uitvoering en actief toezicht.

Het valt op dat zelfs eenvoudige boekhoudkundige fouten niet altijd tijdig worden gesignaleerd. Hoewel sprake was van een bijzonder jaar door de perikelen rondom AFIS, hebben wij hier al eerder aandacht voor gevraagd.

Auditdienst ACAM – Accountantsverslag 2025

Advies Wij adviseren in te zetten op een actuele administratie om op den duur een ‘hard close’ mogelijk te maken.

18

Home Het Amsterdams Accounting Manual is achterhaald Voor goede (financiële) sturings- en verantwoordingsinformatie is naleving van wet- en regelgeving noodzakelijk. Dit betreft onder andere het BBV, IV3voorschriften en belastingwetgeving. Daarnaast gelden de interne Amsterdamse richtlijnen, gebaseerd op de financiële verordening. Het Amsterdams Accounting Manual vertaalt de relevante wet- en regelgeving naar concrete richtlijnen voor het vastleggen van financiële gegevens in de administratie. Het manual bevat ook boekingsinstructies die bijdragen aan een volledige, juiste, betrouwbare en rechtmatige financiële verantwoording. Ook ondersteunt het bij verplichte rapportages, zoals IV3, SiSa en subsidieverantwoordingen. Het Amsterdams Accounting Manual is echter gericht op het oude systeem AFS en is daardoor achterhaald. Het ontbreekt momenteel aan een document dat een vergelijkbare basis biedt. Eén van de werksporen rondom AFIS is het vereenvoudigen van de basisinrichting waaronder het rekeningschema. De inrichting sluit nu niet aan bij waar de organisatie op stuurt en/of verantwoording over moet afleggen. Er is onder andere sprake van te veel detaillering, inconsistentie in de toepassing, veel extra werk, vertraging, meer kans op fouten en problemen met de performance van het systeem. Er liggen voorstellen tot aanpassing klaar.

Advies Wij adviseren de wijziging van AFS naar AFIS en de aankomende herziening van het rekeningschema spoedig door te voeren in het Amsterdams Accounting Manual.

Auditdienst ACAM – Accountantsverslag 2025

3.8 Prestatieverklaringen Inleiding Het is van belang dat inkoopfacturen alleen worden betaald wanneer de prestaties zijn geleverd. Als een zichtbare vastlegging ontbreekt valt achteraf niet vast te stellen of de prestatie is geleverd en of die voldeed aan de daaraan te stellen eisen. Een vastlegging/onderbouwing is een document dat laat zien dat de leverancier het product, de dienst of het werk echt heeft geleverd zoals afgesproken in de offerte of het contract. Bij elk soort product, elke dienst of elk werk dat de gemeente inkoopt hoort een bepaalde onderbouwing. Zowel uit intern onderzoek als uit onze controle blijkt dat het proces van prestatieakkoordverklaring niet naar behoren werkt Gedurende 2025 heeft de gemeente een onderzoek uitgevoerd naar het bewijs van prestatielevering van een aantal geselecteerde inkoopfacturen. Wij hebben vernomen dat uit deze monitoringsactiviteiten naar voren is gekomen dat niet bij alle inkoopfacturen een bewijs van prestatielevering is toegevoegd. Dit is in lijn met onze bevindingen. Uit onze controle blijkt dat voor het merendeel van de gecontroleerde facturen toereikende documentatie in AFIS ontbreekt. Wij hebben de ontbrekende documentatie opgevraagd bij de directies. Voor een klein deel hebben wij geen documentatie ontvangen en bestaat er een onzekerheid of deze facturen terecht (volledig) zijn betaald.

Onderzoek naar het overslaan van prestatieakkoordverklaringen Voor 2026 heeft de organisatie voorgesteld om een pilot te starten waarbij voor een aantal inkoopcategorieën het geven van een prestatieakkoord wordt overgeslagen. Gezien de aard en omvang van de geleverde producten en diensten, concludeert de gemeente dat de toegevoegde waarde van deze controle minimaal is. Op dit moment is het systeemtechnisch nog niet mogelijk om de procedure voor prestatieakkoord over te slaan.

19

Home Advies Wij adviseren het proces van prestatieakkoordverklaren verder te verbeteren en bij de keuze voor het afzien van een verklaring vervangende beheersmaatregelen te treffen. Hierbij kan gedacht worden aan controles met steekproeven of risicogerichte controles. Risico als gevolg van versnellingsmaatregelen implementatie AFIS Als gevolg van de problemen bij de implementatie bij AFIS zijn er versnellingsmaatregelen getroffen voor het betalen van de inkoopfacturen. In tegenstelling tot het reguliere gemeentelijk beleid is besloten dat de gemeentesecretaris voor de versneld betaalde facturen in zijn geheel akkoord geeft voor de prestatielevering van deze inkopen. De bewijzen van prestatielevering van deze facturen met een totaalbedrag van ongeveer € 5 miljoen zijn hierdoor niet geregistreerd. De gemeente loopt voor deze inkoopfacturen het risico dat de geleverde prestaties niet volgens de afspraken zijn.

worden opgelegd. De financiële risico’s kunnen aanzienlijk zijn, gezien het aantal zzp’ers dat voor de gemeente werkt. De Belastingdienst beoordeelt de inzet van de zzp’ers op 9 indicatoren. In 2025 heeft de gemeente het inhuurproces en de naleving van de Wet DBA laten onderzoeken. Hieruit blijkt dat het inhuurproces in opzet toereikend is, maar de uitvoering bij directies in de praktijk tekortschiet. De uitkomsten van dit onderzoek hebben geleid tot het aanscherpen van de beheersmaatregelen en de interne controle op de wet DBA. Zo wordt er geen gebruik meer gemaakt van de uitzondering voor cruciale, moeilijk vervulbare posities. Daarnaast wordt een standaardovereenkomst van opdracht toegepast die geactualiseerd wordt om te voorkomen dat deze onbedoeld elementen bevat die wijzen op een dienstbetrekking. Ondanks deze verbeteringen heeft de gemeente geen volledig beeld van de naleving van de wet en blijft het risico bestaan op een inconsistente interpretatie en toepassing ervan.

3.9 Naleving Wet DBA De Wet DBA, ingevoerd in 2016, is bedoeld om schijnzelfstandigheid tegen te gaan. Dit houdt in dat iemand officieel als zzp’er werkt, maar feitelijk in een situatie zit die lijkt op een dienstverband. In de Boardletter 2024 hebben wij hier al eerder advies over gegeven. Door de omvangrijke inhuur van zzp’ers loopt de gemeente financiële risico’s als de wet niet wordt nageleefd. Strengere handhaving vanaf 2026 vergroot financiële risico’s De Belastingdienst hervatte in 2025 de handhaving op de naleving van de Wet DBA. Zij hebben het voornemen om vanaf 2026, maar met terugwerkende kracht vanaf 1 januari 2025, naheffingen op te leggen bij het overtreden van de wet. Bij kwaadwilligheid kan hierover ook een boete

Auditdienst ACAM – Accountantsverslag 2025

In 2026 is een speciaal team binnen de gemeente, met vertegenwoordigers uit verschillende expertises, gestart met een inventarisatie van alle zzp’ers en of er wordt gewerkt volgens de contractuele afspraken. Dit proces bestaat uit drie stappen: inventariseren, beoordelen en adviseren. Aandachtspunt Wij vragen uw aandacht voor de uitkomsten van de inventarisatie en de structurele borging van de naleving van de wet DBA.

20

Home

Hoofdstuk 4 ICT en informatieveiligheid 4.1 Cyberbeveiligingswet Inleiding De Cyberbeveiligingswet (Cbw) implementeert de Europese NIS2-richtlijn in Nederland. Het doel is om bedrijven en organisaties beter te beschermen tegen cyberdreigingen. Sectoren die essentieel zijn voor de samenleving, zoals gemeenten, krijgen specifieke verplichtingen. De wet wordt naar verwachting in de loop van 2026 van kracht. Voor een grote gemeente als Amsterdam is dit een belangrijke wet, vanwege de omvang, kritieke dienstverlening en complexe ketens. De Cbw brengt nieuwe verplichtingen met zich mee, zoals: - Operationele techniek (OT): de Cbw gaat niet alleen om de beveiliging van kantoorautomatisering, maar nadrukkelijk ook om de operationele techniek zoals (de bediening van) tunnels en bruggen. - Meldplicht: de Cbw schrijft voor dat de gemeente alle (bijna) incidenten die (kunnen) leiden tot een significante verstoring van de belangrijkste processen moet melden. - Toezicht: De Cbw kent een onafhankelijke toezichthouder op de naleving van de verplichtingen uit de richtlijn. Voor gemeenten is de Rijksinspectie Digitale Infrastructuur (RDI) aangewezen als toezichthouder. De RDI is nog bezig haar toezicht vorm te geven, maar zal voor het toezicht op de Cbw zoveel mogelijk gebruikmaken van bestaande verantwoordingsstructuren.

Bijvoorbeeld aan de ENSIA-methodiek (Eenduidige Normatiek Single Information Audit).

Auditdienst ACAM – Accountantsverslag 2025

-

Verantwoordelijkheid bij bestuurders: de verantwoordelijkheid voor het weerbaar maken van een organisatie ligt bij het college. Zij zijn verantwoordelijk voor beslissingen over netwerk- en informatiebeveiliging en moeten voldoende kennis hebben om weloverwogen keuzes te maken. De Cbw verplicht de bestuurders ook een training te volgen.

Implementatie Cyberbeveiligingswet loopt mee in beheersingsmaatregelen informatiebeveiliging De gemeente Amsterdam heeft de afgelopen jaren met de implementatie van de BIO (Baseline Informatiebeveiliging Overheid) al veel stappen gezet op het vlak van informatiebeveiliging. Met de implementatie van de BIO geeft de gemeente ook invulling aan het onderdeel zorgplicht van de Cbw. In voorbereiding op de implementatie van de Cbw is de gemeente Amsterdam vorig jaar gestart met een programma. Het programma is uitgezet op zeven sporen waarbinnen de gemeente doelen heeft benoemd. De sporen richten zich op onder andere governance, risicomanagement, bewustwording, bedrijfscontinuïteitsmanagement en leveranciersrelaties. Een belangrijke focus van het programma is het in kaart brengen van het totale landschap met Operationele Techniek. Ook geeft het programma invulling aan de verantwoordelijkheid van bestuurders. Daarom wordt ook een training voorbereid in G-4 verband. Afgelopen jaren hebben wij gezien dat verschillende raadsleden het initiatief genomen hebben om de digitale veiligheid van de gemeente ter sprake te brengen. Tegelijkertijd zien wij dat bijvoorbeeld de periodieke bestuurlijke rapportages informatiebeveiliging, het jaarverslag van de Functionaris

21

Home Gegevensbescherming en (college) verantwoording over ENSIA regelmatig onbesproken (als ‘TKN’ geagendeerd) op de agenda van de commissievergadering en raad komen. Aandachtspunt Wij vragen uw aandacht voor het belang van het gesprek over digitale veiligheid tussen de raad en het college.

4.2 Digitale autonomie Inleiding Regelmatig hebben wij in onze accountantsverslagen en managementletters aandacht gevraagd voor onderwerpen als informatiebeveiliging en bedrijfscontinuïteitsmanagement (BCM). Vorig jaar rapporteerden we over de voortgang die de gemeente heeft geboekt binnen zowel BCM als informatiebeveiliging. Tegelijkertijd zagen we in 2025 dat zowel informatiebeveiliging als BCM nieuwe uitdagingen kent, ingegeven door een gewijzigd geopolitiek landschap en bewustwording over de risico’s van afhankelijkheid van commerciële cloudplatformen en softwareleveranciers. De gemeente Amsterdam heeft daarom ook veel aandacht gegeven aan het onderwerp digitale autonomie. Autonomie vergroten met blijvende aandacht voor continuïteit en informatiebeveiliging Digitale autonomie is uitgegroeid tot een van de belangrijke thema’s voor de gemeente, onder andere dankzij de aandacht vanuit de gemeenteraad en de inspanning van de wethouder ICT. De gemeente wil minder afhankelijk worden van grote, vooral niet‑Europese technologiebedrijven en meer grip krijgen op haar eigen digitale infrastructuur en data. In de nieuwe Sourcingen Cloudstrategie 2026–2030 benadrukt de gemeente dat bescherming van

Auditdienst ACAM – Accountantsverslag 2025

burgerdata, transparantie en controle over kritieke processen centraal moeten staan. Amsterdam kiest daarom voor een koers van “autonoom, tenzij”: de gemeente bepaalt waar mogelijk zelf de inrichting van digitale systemen, het gebruik van technologie en het databeheer. De gemeente Amsterdam wil minder afhankelijk zijn van grote buitenlandse leveranciers, maar deze partijen leveren momenteel wél veel kritieke diensten. Te snelle afbouw van afhankelijkheden kan risico’s opleveren voor de continuïteit van dienstverlening aan inwoners. Tegelijkertijd brengt afhankelijkheid van niet‑Europese leveranciers risico’s met zich mee voor toegang tot data en geopolitieke kwetsbaarheid. De nieuwe Sourcing- en Cloudstrategie 2026-2030 benadrukt daarom terecht een gefaseerde aanpak: autonomie vergroten waar het kan, maar continuïteit borgen waar het moet. Digitale autonomie is nauw verbonden met digitale veiligheid. Minder afhankelijkheid van buitenlandse cloudproviders verkleint enerzijds de risico’s op extraterritoriale toegang tot data (bijvoorbeeld via buitenlandse wetgeving); anderzijds moet de gemeente investeren in eigen beveiligingscapaciteit of alternatieven zoeken bij Europese of Nederlandse cloudproviders. Bij de keuze hierin is aandacht voor informatiebeveiliging een belangrijke randvoorwaarde. De koers die de gemeente volgt is een zoektocht met dilemma’s.

Positief hierin is dat de gemeente Amsterdam kiest voor een gefaseerde aanpak, focus heeft op de kritische applicaties van de gemeente en de samenwerking zoekt met andere (overheids)organisaties.

22

Home Aandachtspunt Wij vragen uw aandacht voor de belangrijke uitdaging voor de organisatie in het bewaken van de balans tussen autonomie, continuïteit en informatiebeveiliging.

4.3 Beheersing SaaS-applicaties Inleiding De toenemende inzet van SaaS-applicaties binnen gemeenten vraagt om een duidelijk en volledig inzicht in het beheer bij alle betrokken leveranciers. Amsterdam heeft met de nieuwe Sourcings- en Cloud strategie ingezet op minder afhankelijkheid van grote, vooral niet-Europese technologiebedrijven om zodoende meer grip te krijgen op eigen digitale infrastructuur en data. Inzicht in de beheersing van de SaaS-diensten die de gemeente afneemt, vormt hierbij een belangrijke randvoorwaarde. In het licht van de nieuwe strategie van de gemeente Amsterdam is dergelijk inzicht essentieel om de mate van afhankelijkheid van (internationale) SaaSleveranciers te kunnen beoordelen en om regie te behouden over data, systemen en dienstverlening. Het inzicht in het beheer bij deze leveranciers verkrijgt de gemeente Amsterdam onder andere via afgesproken assurancerapportages en de beoordeling hiervan. In onze eerdere managementletters, boardletters en accountantsverslagen hebben we herhaaldelijk gewezen op het belang van dit inzicht en het ontbreken hiervan. In 2024 is de gemeente een project SaaS-Assurance gestart dat gericht is op het vergroten van het inzicht.

Aanwezigheid assurance-rapportage: voor zes jaarrekening relevante applicaties geen assurance-rapportages aanwezig Positief is dat voor een aantal applicaties in scope van de jaarrekeningcontrole inmiddels afspraken zijn gemaakt voor het verkrijgen van de assurance rapportages in de toekomst.

Auditdienst ACAM – Accountantsverslag 2025

Tegelijkertijd constateren wij dat de gemeente voor zes applicaties die onderdeel uitmaken van de jaarrekeningcontrole geen assurance-rapportage over 2025 beschikbaar heeft. Het inzicht in de beheersing van deze diensten over het controlejaar 2025 is, evenals voorgaande jaren, daarmee voor deze applicaties nog ontoereikend. Dit betreft: • de subsidiesystemen; • het systeem voor verhuur van sportaccommodaties; • het beleensysteem van de Stadsbank van Lening; • het systeem voor grondexploitaties; • de twee systemen voor de toekenning van individuele zorg (Wmo en Jeugdwet). Wij hebben begrepen dat voor een aantal van deze systemen wel al afspraken zijn gemaakt met de leveranciers voor 2026. Advies Wij adviseren u voor de SaaS-applicaties afspraken te maken met de leveranciers voor het jaarlijks tijdig verkrijgen van de assurance- rapportages en adviseren u de naleving van deze afspraken te monitoren. Beoordeling beheer informatie leverancier: beoordeling over 2025 moet nog plaatsvinden. Op basis van eerdere bevindingen over het inzicht in het beheer bij leveranciers is het project SaaS-Assurance gestart in 2024. Dit project sluit aan bij de doelstellingen van de Digitale Autonomie Strategie en richt zich op het vergroten van transparantie, beheersbaarheid en risicobeheersing bij de inzet van SaaS-diensten.

Drie belangrijke onderdelen binnen het project zijn: • Het maken van een gap-analyse tussen de gemeentelijke eisen en de huidige afspraken die zijn gemaakt over het beheer met de SaaSleveranciers.

23

Home • Bepalen van eventuele risico’s en mitigerende maatregelen op basis van de geconstateerde gaps. • Het beoordelen van de bestaande assurance-rapportages en daarmee vast te stellen welke impact eventuele bevindingen of tekortkomingen hebben op de gemeentelijke dienstverlening. Wij hebben geconstateerd dat de beoordelingen op de aanwezige beheerinformatie vanuit de leveranciers over het controlejaar 2025 nog niet heeft plaatsgevonden. Enerzijds is dit te verklaren door de afwezigheid van afspraken over het verkrijgen van assurance- rapportages. Anderzijds is aangegeven dat de assurance- rapportages over controlejaar 2025 die wel beschikbaar (zullen) zijn pas later in 2026 worden beoordeeld. Advies • Wij adviseren de vroeg in het jaar beschikbaar komende assurance- rapportages met prioriteit te beoordelen. • Wij adviseren, voor zover bestaande afspraken met leveranciers de tijdige beoordeling niet mogelijk maken, om in overleg met de leverancier te sturen op het eerder beschikbaar stellen van de rapportages.

4.4 Autorisatiebeheer Inleiding Het beheer van autorisaties omvat onder andere het periodiek controleren van toegangsrechten, het waarborgen en monitoren van een adequate functiescheiding en speciale toegangsrechten. Deze onderdelen zijn van essentieel belang voor het handhaven van een effectief informatiebeveiligingsbeleid en kunnen helpen bij het minimaliseren van potentiële risico’s, waaronder fraude. Hieronder leest u per onderdeel meer over onze waarneming.

Auditdienst ACAM – Accountantsverslag 2025

Periodieke controle (bijna) overal minimaal tweemaal per jaar uitgevoerd: opvolging van bevindingen vereist aandacht In ons accountantsverslag over 2024 hadden wij geconstateerd dat voor tweederde van de voor de jaarrekening relevante applicaties de periodieke controle (minimaal) tweemaal is uitgevoerd door de lijnorganisatie. In 2025 is dit voor alle applicaties, met uitzondering van 3, tweemaal volgens de richtlijn BIO uitgevoerd. Voor de 3 applicaties waar deze controle niet is uitgevoerd, is de autorisatiematrix niet volledig en/of actueel. In september 2025 is de BIO2.0 van kracht geworden en is de periodiciteit waarmee de periodieke controle moet worden uitgevoerd, aangepast naar minimaal eenmaal per jaar, tenzij met een risicoafweging is bepaald dat dit sneller moet. De BIO2.0 geeft ook aan dat ongeautoriseerde afwijkingen op uitgegeven toegangsrechten worden beschouwd als beveiligingsgebeurtenis en als zodanig moeten worden vastgelegd en afgehandeld. Tijdens de periodieke controle door de lijnorganisatie wordt regelmatig ontdekt dat de toegang voor gebruikers moet worden ingetrokken en worden deze vervolgens ingetrokken door functioneel beheer. Dit gebeurt onder andere omdat een gebruiker niet langer werkzaam is binnen de betreffende afdeling, directie of gemeente.