Boardletter 2023.pdf
Tekst van het document
Boardletter 2023 – gemeente Amsterdam
Auditdienst ACAM
Datum: 23 november 2023
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
>
Inhoudsopgave
1. Aanbieding.........................................................................................................................................................…………… 3 2. Verslaggeving en accountantscontrole..................................................................................................................……… 4 2.1 Totstandkoming SiSa-bijlage en aanlevering informatie behoeft aandacht………………………………………………………………………. 5 2.2 Experimenteer met herleidbaarheid (duurzaamheid)informatie in de jaarrekening…………………………………………………………… 7 2.3 Urgentie gevraagd voor de totstandkoming van de rechtmatigheidsverantwoording………………………………………………………… 8 2.4 Waardering specifieke balansposten extra toelichten…………………………………………………………………………………………………… 11 3. Interne beheersing ……………………………………………………………………………………………………………..…………………….. 13 3.1 Live gang AFIS uitgesteld, meer tijd voor een volwaardige migratie………………………………………………………………………………… 14 3.2 Beleid verlofsparen is nog onderhanden…………………………………………………………………………………………………………………….. 16 3.3 Inschatting frauderisico’s verdient nog de nodige aandacht …………………………………………………………………………………………… 16 3.4 Het proces van het meten van prestaties is kwetsbaar…………………………………………………………………………………………………..
17 3.5 Monitoring afspraken uitbestede IT-beheer: aanwezig voor generieke IT-diensten; in ontwikkeling voor SaaS-applicaties……… 18 3.6 Autorisatiebeheer op onderdelen niet conform het stedelijk kader en de Baseline Informatiebeveiliging Overheid (BIO)………… 20 3.7 Beheersing DC1 – Afsluiting in 2023 niet haalbaar; beheersing blijft van belang………………………………………………………………… 22
<
> |2
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
1. Aanbieding
Geachte leden van de gemeenteraad,
Inhoudsopgave Aanbieding Verslaggeving en accountantscontrole Interne beheersing
Voor u ligt de boardletter over 2023. Het doel van deze rapportage is u tussentijds te informeren over ontwikkelingen in de interne beheersing van de gemeente en aandachtspunten voor het jaarrekeningtraject 2023 onder uw aandacht te brengen. De boardletter is gebaseerd op de managementletters die wij in 2023 aan de gemeentesecretaris hebben uitgebracht. Deze rapportage bevat de voor de raad relevante elementen uit die managementletters. De totstandkoming van de SiSa-bijlage en de rechtmatigheidsverantwoording zijn onderwerpen waar wij in het kader van het opstellen van de jaarrekening extra aandacht voor vragen. Vanzelfsprekend zijn wij bereid tot een nadere toelichting. Met vriendelijk groet,
Origineel getekend door: drs. D.A. van Hooff RA Auditdienst ACAM
<
> |3
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
2. Verslaggeving en accountantscontrole
Inhoudsopgave Inhoudsopgave Aanbieding Aanbieding Verslaggeving en Kernpunten managementletter accountantscontrole (Verwachte) Ontwikkelingen Interne beheersing 2021
<
> |4
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
2. Verslaggeving en accountantscontrole
2.1 Totstandkoming SiSa-bijlage en aanlevering informatie behoeft aandacht
Inhoudsopgave Inhoudsopgave Aanbieding Aanbieding Verslaggeving en Kernpunten managementletter accountantscontrole (Verwachte) Ontwikkelingen Interne beheersing 2021
Middels de SiSa-bijlage in de jaarrekening legt het college verantwoording af over de besteding van de van de Rijksoverheid ontvangen specifieke uitkeringen. De aanpak van de accountantscontrole op deze SiSa- bijlage wordt door het ministerie van BZK via de Nota Verwachtingen Accountantscontrole voorgeschreven. Amsterdam kent een grote hoeveelheid aan specifieke uitkeringen. Het gaat om circa 75 uitkeringen voor in totaal een bedrag van circa € 800 miljoen. De afgelopen jaren hebben wij veelvuldig aandacht gevraagd voor het proces van totstandkoming van de SiSa-bijlage in de jaarrekening en de onderbouwing van de in de bijlage opgenomen gegevens. Voor de interimcontrole 2023 hebben wij een concept SiSa-bijlage van de bestedingen tot 1 september 2023, welke aansluit met het financieel systeem AFS en de toekenningsbeschikking van de Rijksbijdrage uitgevraagd. Het doel van deze uitvraag was om tussentijds inzicht te krijgen in hoeverre de specifieke uitkeringen rechtmatig zijn ingezet en directies de gelegenheid te geven tijdig bij te sturen voor de definitieve SiSa-verantwoording in de jaarrekening 2023. Begin oktober is geconstateerd dat de helft van de directies er niet in is geslaagd om de gevraagde informatie (tijdig) aan te leveren. Onduidelijkheden over de contactpersonen bij de SiSa-coördinatoren heeft onder andere geleid tot het vertraagd aanleveren van
<
informatie. Bovendien hadden sommige afdelingen meer tijd nodig om de informatie aan te leveren. Uiteindelijk heeft dit een vertraging opgeleverd van circa een maand. Een maand vertraging is in het jaarrekeningtraject en het daaropvolgende bestuurlijke traject niet wenselijk. Gegeven voorgaande hebben wij aangegeven dat het belangrijk is directies bewust te maken van het belang van de SiSa- bijlage om herhaling van de beschreven situatie te voorkomen. (Mogelijke) terugbetalingen aan het Rijk van ontvangen specifieke uitkeringen In het Accountantsverslag 2022 hebben wij met betrekking tot de verantwoorde bestedingen voor circa € 28 miljoen aan onzekerheden gerapporteerd. De rechtmatige besteding van de specifieke uitkeringen kon niet afdoende worden onderbouwd. Dit deed zich voornamelijk voor bij activiteiten die de gemeente heeft uitbesteed en waarbij nog geen verantwoordingsinformatie van derden is ontvangen. De afgelopen jaren hebben wij gewezen op het risico dat in deze gevallen de specifieke uitkeringen geheel of gedeeltelijk terugbetaald moeten worden. Er zijn vanuit verschillende directies signalen dat ministeries dreigen met terugvorderingen als gevolg van de gerapporteerde onzekerheden. In een enkel geval heeft het Rijk een deel van de uitkering al teruggevorderd.
> |5
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
2. Verslaggeving en accountantscontrole
Ook voor 2023 bestaat het risico dat bijdragen (deels) worden teruggevorderd indien deze situatie zich wederom voordoet.
Inhoudsopgave Inhoudsopgave Aanbieding Aanbieding Verslaggeving en Kernpunten managementletter accountantscontrole (Verwachte) Ontwikkelingen Interne beheersing 2021
Wij hebben geadviseerd een inventarisatie te maken van de specifieke uitkeringen waarbij dit probleem zich voordoet om vervolgens afspraken te maken (met derden) om de benodigde verantwoordingsinformatie over de uitgaven te verzamelen vóór 5 februari 2024. Daarnaast hebben wij aangegeven dat indien terugbetaling van ontvangen Rijksbijdragen dreigt het raadzaam is contact op te nemen met het desbetreffende ministerie om afspraken te maken over aanvullend aan te leveren informatie. Wij zijn uiteraard bereid om de gemeente hierbij te ondersteunen. Met ingang van jaarrekening 2023 SiSa explicieter in de controleverklaring De twee oordelen over getrouwheid en rechtmatigheid in de controleverklaring zullen vanwege de invoering van de rechtmatigheidsverantwoording verdwijnen. Bij de jaarrekening 2023 zal één oordeel worden verstrekt, waarbij de rechtmatigheidsverantwoording van het college bij het getrouwe beeld wordt betrokken. De rechtmatigheidsverantwoording gaat in op het begrotingscriterium, het voorwaardencriterium en het misbruik en oneigenlijk gebruik criterium.
<
Naast het getrouwheidsoordeel bij de jaarrekening als geheel wordt door de wetgever nog een direct oordeel van de accountant gevraagd bij de rechtmatigheid van de specifieke uitkeringen in de SiSa-bijlage. Het rechtmatigheidsbegrip is hierbij breder dan de drie criteria waarover het college zich dient te verantwoorden via de rechtmatigheidsverantwoording. Vanwege hetgeen bepaald in de Gemeentewet zullen wij een afzonderlijke paragraaf opnemen in de controleverklaring waarin wij een rechtmatigheidsoordeel geven over de specifieke uitkeringen. De accountantscontrole en de wijze van rapporteren, via het accountantsverslag, wijkt niet af van eerdere jaren. Daar waar mogelijk zullen wij nog steeds gebruik maken van de aanwezige interne beheersing (inclusief interne controles), ook als het gaat om de totstandkoming van en het getrouwe beeld over de rechtmatigheidsverantwoording. De door de Auditdienst Rijk bij ACAM uitgevoerde SiSareview over 2022 is positief afgerond Als onderdeel van de SiSa-systematiek voert de Auditdienst Rijk reviews uit op het werk van de accountants die verantwoordelijk zijn voor de controle van de SiSa-bijlage. Gezien het financiële belang dat Amsterdam heeft in het totaal aan specifieke uitkeringen betekent dit in de praktijk dat ACAM jaarlijks een review krijgt vanuit het Rijk.
De review over 2022 heeft geen bevindingen opgeleverd en is daarmee positief afgerond.
> |6
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
2. Verslaggeving en accountantscontrole
2.2 Experimenteer met herleidbaarheid (duurzaamheid)informatie in de jaarrekening
Inhoudsopgave Inhoudsopgave Aanbieding Aanbieding Verslaggeving en Kernpunten managementletter accountantscontrole (Verwachte) Ontwikkelingen Interne beheersing 2021
De begroting en de jaarrekening bevatten een grote hoeveelheid aan niet- financiële informatie. Als bijlage bij de begroting 2023 is de “Verbeterde doelenboom Begroting 2023” opgenomen. Hierin worden op het niveau van begrotingsonderdeel activiteiten gekoppeld aan indicatoren. De gedachte is dat deze indicatoren een beeld geven in hoeverre de doelen in een specifiek begrotingsonderdeel worden behaald. Wij vinden het relevant dat de indicatoren bruikbaar en herleidbaar (controleerbaar) zijn. Ook op het gebied van externe verslaggeving zien wij de tendens dat niet-financiële informatie steeds belangrijker wordt. De ontwikkelingen spitsen zich momenteel toe op duurzaamheidsinformatie. Op basis van de Europese Corporate Sustainability Reporting Directive dienen grote bedrijven zich vanaf 2024 via de European Sustainability Reporting Standards (ESRS) te verantwoorden over hun impact op mens en klimaat. De richtlijn vereist dat ze rapporteren over zaken als CO2-uitstoot en het sociaal kapitaal, maar ook over de impact die je als organisatie hebt op biodiversiteit en mensenrechtenschendingen in de keten. In de jaren na 2024 zullen de richtlijnen ook, al dan niet in aangepaste vorm, van toepassing worden op kleinere bedrijven. Bovendien zullen deze gegevens onderwerp worden van de accountantscontrole.
<
>
Wij verwachten dat een vergelijkbare verplichting in de nabije toekomst wel in het Besluit begroting en verantwoording zal worden opgenomen. Momenteel lopen landelijk diverse initiatieven met als doel te komen tot een voor de publieke sector bruikbare set aan standaarden. Naast de ESRS worden in dit kader ook de uitgangspunten van Brede Welvaart en bijvoorbeeld de Sustainable Development Goals betrokken. In de doelenboom worden bij diverse activiteiten indicatoren vermeld die een relatie hebben met duurzaamheid en milieu. Mede gezien de ambities van de stad zoals verwoord in de bestuursopdracht ‘Duurzame Toekomst Stad en Organisatie’ en bovengenoemde ontwikkelingen is het belangrijk dat de indicatoren een goed beeld geven van de voortgang van de activiteiten c.q. het behalen van de doelen en dat deze indicatoren uiteindelijk herleidbaar (controleerbaar) zijn. Het is verstandig om hier vroegtijdig mee te gaan experimenteren. Aangezien dit geldt voor zowel de opsteller als de controleur bieden wij aan om in samenspraak met het college een aantal indicatoren te selecteren en hierover te rapporteren. Wij raden aan tijdig te starten met het herleidbaar/controleerbaar maken van indicatoren met betrekking tot duurzaamheid. Ook is het raadzaam ontwikkelingen op het gebied van verslaggeving ten aanzien van dit onderwerp te (blijven) volgen.
Voor de publieke sector is er nu nog geen sprake van een doorvertaling van de ESRS naar een verplichting voor gemeenten om een duurzaamheidsrapportage op te stellen. Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
|7
2. Verslaggeving en accountantscontrole
2.3 Urgentie gevraagd voor de totstandkoming van de rechtmatigheidsverantwoording
Inhoudsopgave Inhoudsopgave Aanbieding Aanbieding Verslaggeving en Kernpunten managementletter accountantscontrole (Verwachte) Ontwikkelingen Interne beheersing 2021
Over 2023 zal de gemeente voor het eerst zelf een rechtmatigheidsverantwoording opstellen. Wij hebben eerder aangegeven dat verschillende initiatieven gericht op de totstandkoming zijn ondernomen, maar dat deze nog onvoldoende in elkaar grijpen. Met betrekking tot de opzetfase constateren wij dat deze zich in een afrondende fase bevindt. Een risicoanalyse aan de hand van de door de raad vastgestelde rechtmatigheidsmatrix ontbreekt nog. Een dergelijke analyse inventariseert bij welke onderdelen risico’s bestaan op het mogelijk niet financieel rechtmatig handelen en welke werkzaamheden er dienen te worden uitgevoerd om de risico’s te mitigeren.
De planning lijkt geen rekening te houden met de situatie dat onderbouwingen van de rechtmatigheidsverantwoordingen kwalitatief onder de maat kunnen zijn of dat onderdelen zelfs ontbreken. Ervaring leert dat dit een verstorend effect heeft op de verder geplande werkzaamheden. Wij hebben de aanbeveling gedaan om onderkende leerpunten op gebied van verantwoordelijkheden, kennis en documentatie uit de 8-maandscontrole tijdig op te pakken en de planning daar op aan te passen. In de rechtmatigheidsverantwoording dient te worden ingegaan op het begrotingscriterium, het voorwaarden criterium en het M&O criterium. Opname volgt indien de door de raad vastgestelde verantwoordingsgrens wordt overschreden.
Een van de belangrijkste onderdelen met betrekking tot het financieel rechtmatig handelen is de rechtmatigheid van de inkoopuitgaven. Recent is de gemeentelijke aanpak met bijbehorende planning opgeleverd en daarmee is de opzetfase rondom inkopen nagenoeg afgerond. De uitvoerbaarheid en effectiviteit van de aanpak zal nog moeten blijken, waarbij de controle op de eerste 8 maanden kan worden beschouwd als een generale repetitie. Tevens zal dan blijken in hoeverre de planning realistisch is.
<
>
Wij hebben begrepen dat een evaluatie van de tussentijdse controle onderdeel is van het proces richting de eindejaarscontrole. Deze evaluatie kan gebruikt worden om de werkzaamheden en de planning voor het eindejaarproces bij te stellen. Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
|8
2. Verslaggeving en accountantscontrole
Begrotingscriterium
Inhoudsopgave Inhoudsopgave Aanbieding Aanbieding Verslaggeving en Kernpunten managementletter accountantscontrole (Verwachte) Ontwikkelingen Interne beheersing 2021
Voor het begrotingscriterium geldt onder andere dat indien de daadwerkelijke lasten de begroting overschrijden, dit op basis van de gemeentewet, formeel onrechtmatig is. Deze onrechtmatigheid dient te worden opgenomen in de rechtmatigheidsverantwoording. Het college en de raad kunnen met elkaar overeenkomen welke onrechtmatigheden worden geaccepteerd. Hiertoe zijn afspraken vastgelegd in de financiële verordening. De afwijkingen van de begroting zijn dan weliswaar formeel onrechtmatig maar geven naar verwachting geen aanleiding voor een ‘goed gesprek’ tussen de raad en het college indien het college heeft gehandeld conform het door de raad vastgestelde beleid. Op basis van de resultaten van voorgaande jaren verwachten wij dat het verschil tussen de najaarsnota en de jaarrekening zodanig groot is dat dit voor het jaar 2023 leidt tot opname van bevindingen die betrekking hebben op het begrotingscriterium.
<
>
Gebruik systeemreserves Een attentiepunt is de begroting in relatie tot reserves. Veel reserves volgen een systeem waarbij het resultaat van baten en lasten wordt gecompenseerd met een mutatie in de reserves. In het geval van een positieve ontwikkeling van het saldo van baten en lasten volgt een toevoeging van gelijke omvang aan de reserves. Bij een negatief resultaat volgt een onttrekking aan de reserves. Hierdoor veranderd het totaal resultaat van een programma(onderdeel) niet. Deze is dan gelijk aan de begroting, terwijl sprake kan zijn van majeure afwijkingen met financiële consequenties.
Voor de gebruiker van de jaarrekening betekent dit dat goed moet worden gekeken naar de mutaties in de reserves om een beeld te krijgen van de ontwikkeling van het resultaat en de financiële positie. Wij raden aan om de noodzaak en wenselijkheid van het brede gebruik van systeemreserves nader te beschouwen en daarbij ook uitgangspunten als toegankelijkheid en navolgbaarheid te betrekken. M&O criterium In de financiële verordening is onder het hoofdstuk Rechtmatigheidsverantwoording opgenomen; “het college zorgt voor en legt vast de regels voor het voorkomen van misbruik en oneigenlijk gebruik van gemeentelijke regelingen en eigendommen”. Wij hebben eerder geadviseerd om een overkoepelende M&O beleidsnota op te stellen om zo aan te kunnen geven waar de algemene uitgangspunten en de filosofie van de gemeente met betrekking tot het voorkómen van misbruik en oneigenlijk gebruik uit bestaan. Op die wijze kunnen voor de dagelijkse praktijk richtinggevende kaders ten behoeve van het uitwerken van beheersmaatregelen worden bepaald, bijvoorbeeld op het gebied van vertrouwen versus wantrouwen, discretionaire ruimte versus uniformiteit en checks- and balances in relatie tot complexiteit van regelingen.
|9
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
2. Verslaggeving en accountantscontrole
Inhoudsopgave Inhoudsopgave Aanbieding Aanbieding Verslaggeving en Kernpunten managementletter accountantscontrole (Verwachte) Ontwikkelingen Interne beheersing 2021
Misbruik (M) is het opzettelijk niet, niet tijdig, onjuist of onvolledig verstrekken van gegevens met als doel ten onrechte overheidssubsidies of -uitkeringen te verkrijgen of niet dan wel een te laag bedrag aan heffingen aan de overheid te betalen. Bij oneigenlijk gebruik (O) is het door het aangaan van rechtshandelingen, al dan niet gecombineerd met feitelijke handelingen, verkrijgen van overheidsbijdragen of het niet dan wel tot een te laag bedrag betalen van heffingen aan de overheid, in overeenstemming met de bewoordingen van de regelgeving maar in strijd met het doel en de strekking daarvan.
Dit type fraude is een onderdeel van de getrouwheidsverklaring van de accountant en wordt daarom niet opgenomen in de rechtmatigheidsverantwoording. De commissie BBV adviseert om geconstateerde fraude door eigen medewerkers toe te lichten in de paragraaf bedrijfsvoering. Wij ondersteunen dit advies omdat dit inzicht geeft in de kwetsbaarheden in de interne beheersing en de verbeteracties die het college in gang zet om deze kwetsbaarheden te mitigeren.
Duidelijk beleid helpt ook bij het opstellen van de rechtmatigheidsverantwoording. M&O beleid is daarin immers een belangrijk criterium. Duidelijk beleid kan er ook voor zorgen dat burgers op een vergelijkbare wijze worden benaderd en behandeld. Gezien het bovenstaande adviseren wij gemeentebreed M&O beleid op te stellen. Fraude en de rechtmatigheidsverantwoording Als accountant hebben wij een verantwoordelijkheid met betrekking tot fraude in het kader van de controle van de jaarrekening. Dit type fraudes omvat opzettelijke handelingen door één of meerdere personen binnen de gemeente, waarbij gebruik wordt gemaakt van misleiding teneinde een onrechtmatig of onwettig voordeel te behalen. Een voorbeeld is het betalen van valse facturen waarbij één of meerdere personen binnen de gemeente betrokken zijn.
<
> | 10
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
2. Verslaggeving en accountantscontrole
2.4 Waardering specifieke balansposten extra toelichten
Inhoudsopgave Inhoudsopgave
Onzekerheden waardering grondexploitaties neemt toe
Aanbieding Aanbieding Verslaggeving en Kernpunten managementletter accountantscontrole (Verwachte) Ontwikkelingen Interne beheersing 2021
In 2023 hebben de in de Actualisatie Meerjarenperspectief Grondexploitaties (AMPG) 2022/2023 geschetste ontwikkelingen geleid tot een verdere verslechtering van de woningbouwproductie, de realisatie van grondexploitaties en de beschikbare vrije ruimte in het Vereveningsfonds. Er is door de gemeente geanticipeerd op economische verslechteringen door het treffen van maatregelen en het aanhouden van buffers. Het aantal woningen dat medio 2023 in aanbouw is genomen bedraagt 2.355. De prognose voor heel 2023 ligt tussen de 4.000 en 4.500 woningen. Deze aantallen vallen aanzienlijk lager uit dan de doelstelling van 7.500 woningen, zoals vastgelegd in het Woningbouwplan 2022-2028. De vooruitzichten in de halfjaarrapportage van het Woningbouwplan 2022/2028 zijn niet positief, wat de uitdaging om de woningbouwopgave te realiseren des te groter maakt. Er is een doorbouwakkoord met marktpartijen overeengekomen, maar daadwerkelijke realisatie blijft afhankelijk van de marktpartijen die de woningen bouwen.
<
>
De vrije ruimte in het Vereveningsfonds heeft als belangrijk doel om grondexploitaties met een negatief plansaldo uit te kunnen voeren. Deze plannen zijn nodig voor het behalen van de gemeentelijke woningbouwambities op langere termijn. Echter, als gevolg van de huidige marktomstandigheden, is sprake van een aanzienlijke krimp van deze vrije ruimte.
De inflatie waarmee gerekend is in de AMPG 2023 is nog relatief hoog (6%). In 2022 was de inflatie ook aanzienlijk. De hoge inflatie heeft ook bijgedragen aan een daling van grondprijzen. Voor 2023 wordt een daling verwacht van circa 20%. Deze neerwaartse trend werd zichtbaar in de eerste helft van 2023. De achterblijvende woningbouwproductie en de afname van de grondprijzen zijn in de AMPG 2023 als voornaamste oorzaken genoemd voor de verslechtering van de vereveningsruimte. De voortdurend veranderende marktomstandigheden brengen een toename van onzekerheden met zich mee, die van invloed zijn op de waardering van de grondexploitaties. In 2022 was dit onder andere zichtbaar bij de voorziening voor negatieve plannen. In de AMPG 2022 werd aangegeven € 105 miljoen toe te voegen aan de voorziening. In de jaarrekening 2022 werd op basis van de actualisatie van de plannen € 16 miljoen toegevoegd. In de AMPG 2023 valt opnieuw een aanzienlijke toevoeging aan de voorziening voor negatieve plannen op. Het gaat om een bedrag van € 170 miljoen. Deze toename wordt met name toegeschreven aan inflatie en lagere grondprijzen. De toevoeging wordt gedekt uit het in 2022 verhoogde weerstandsvermogen en de gevormde reserveringen. Het is inherent onzeker in welke mate deze voorspellingen daadwerkelijk zullen uitkomen, vooral bij wisselende economische omstandigheden.
De moeilijk voorspelbare marktschommelingen zullen naar verwachting invloed hebben op de uiteindelijke waardering van de grondexploitaties in de jaarrekening 2023. | 11
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
2. Verslaggeving en accountantscontrole
Inhoudsopgave Inhoudsopgave Aanbieding Aanbieding Verslaggeving en Kernpunten managementletter accountantscontrole (Verwachte) Ontwikkelingen Interne beheersing 2021
Bovenstaande in combinatie met structurele (winst) afdrachten uit het Vereveningsfonds maakt dat het risicoprofiel stijgt. Dit omdat als gevolg van de onzekere economische omstandigheden (structurele) winst uit de gebiedsontwikkeling niet vooraf gegarandeerd kan worden. Met het oog op het versterken van het begrip van de saldi van de grondexploitaties in de jaarrekening en om inzicht te bieden in de onzekerheden die met deze post samenhangen, adviseerden wij om een scenarioanalyse op te nemen in de toelichting in de jaarrekening. Onderbouwing waardering deelneming Afval Energie Bedrijf Met het ontbreken van toestemming van de ACM voor de verkoop van het Afval Energie Bedrijf is de vraag wat de deelneming waard is weer actueel. Indien de marktwaarde onder de boekwaarde daalt dient een voorziening te worden gevormd of te worden afgewaardeerd. De waardering is mede afhankelijk van keuzes die de gemeente maakt in het verkoopproces en externe factoren en wellicht nog in beweging per jaareinde. Wij hebben om een onderbouwing van de waardering van de deelneming per jaareinde gevraagd met daarbij een externe validatie. Gezien de situatie is het belangrijk dat deze waardering goed wordt toegelicht in de jaarrekening.
<
> | 12
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
3. Interne Beheersing
Inhoudsopgave Aanbieding Verslaggeving en Proces van meten van prestaties accountantscontrole Proces afsluiten abonnementen Interne beheersing (garageparkeren)
<
> | 13
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
3. Interne beheersing
3.1 Live gang AFIS uitgesteld, meer tijd voor een volwaardige migratie
Inhoudsopgave Aanbieding Verslaggeving en Proces van meten van prestaties accountantscontrole Proces afsluiten abonnementen Interne beheersing (garageparkeren)
Onlangs is besloten om de live gang van het nieuw financieel en inkoop systeem (AFIS) uit te stellen naar medio 2024. Het gedurende het boekjaar wisselen van financieel pakket noodzaakt om de gemaakte keuzes nogmaals tegen het licht te houden. Wat is een logisch overgangsmoment, dat bijvoorbeeld aansluit op een periodeafsluiting of P&C-cyclus moment? Wat moet er met de historische detailinformatie gebeuren die nog in het oude systeem is bijgehouden in het lopend boekjaar (en de jaren ervoor)? Is er voldoende personele capaciteit beschikbaar op moment van de overgang (bijvoorbeeld in de (zomer)vakantieperiodes)? Wij hebben geadviseerd om bij dit soort vraagstukken nogmaals stil te staan. Continueer inspanningen contractenregister In het uitvoeringsplan Inkopen is aangegeven dat AFIS een belangrijke rol speelt ter ondersteuning van het rechtmatig en doelmatig inkopen. Onder meer wordt gedoeld op het invoeren van een contractenmanagementsysteem waardoor inzicht ontstaat op welke contracten kan worden ingekocht (koppeling met de bestedingen) en tijdig te weten wanneer een nieuwe aanbesteding moet worden gestart.
<
>
Hiervoor is benodigd dat het contractenregister juist en volledig is. Wij zijn geïnformeerd dat het verkrijgen van een volwaardig contractenregister geen gemakkelijke opgave is. Een fors deel van de contracten is nog niet in beeld.
Het is derhalve van belang dat de inspanningen rondom het contractenregister ook in het half jaar uitstel gecontinueerd worden zodat een volwaardige migratie naar AFIS kan plaatsvinden. Zet in op een adequate projectadministratie Het belang van een adequate (financiële) projectadministratie is evident voor projectbeheersing. Zoals ook uit de brief van 9 mei 2023 van de wethouder verkeer, vervoer en luchtkwaliteit aan de gemeenteraad naar voren komt is het niet eenvoudig een totaaloverzicht te genereren van overschrijdingen in budget en tijd. Om een dergelijk overzicht te genereren wordt uit verschillende bronnen en rapportagesystemen geput. Doordat volledig intra-comptabel administreren van projectgegevens nog onvoldoende mogelijk is, zijn handmatige verwerkingsslagen nodig. Dit bemoeilijkt het op elk moment inzicht kunnen krijgen in de voortgang van projecten, waardoor vertragingen en kostenoverschrijdingen te laat kunnen worden opgemerkt. Dit krijgt extra gewicht binnen het kader van het investeringsstelsel waarin gewerkt wordt met portfolio’s en investeringsplafonds met als hoofddoel de beperkt beschikbare middelen doelmatig in te zetten voor investeringen. Een meer volwaardige projectadministratie middels het nieuwe systeem AFIS wordt gezien als de toekomstige oplossing.
De gedachte is om via de nieuwe administratie met “1 druk-op-de-knop” in de benodigde managementinformatie te voorzien. | 14
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
3. Interne beheersing
Inhoudsopgave Aanbieding Verslaggeving en Proces van meten van prestaties accountantscontrole Proces afsluiten abonnementen Interne beheersing (garageparkeren)
Ten behoeve van de inrichting raden wij aan om in ieder geval aandacht te besteden aan de belangrijke rol die het Meerjareninvesteringsprogramma (MIP) speelt in het beheer van investeringen en de registratie ervan. De wijze waarop dat nu gaat benadrukt de essentie van een robuuste projectadministratie binnen AFIS. In het MIP worden alle geplande investeringen en bijbehorende kredieten voor meerdere jaren, inclusief de daadwerkelijke uitputting ervan, bijgehouden.
Daarbij adviseerden wij in ieder geval de volgende aspecten te registreren:
Het toegekende krediet/begrotingsbedrag; De reeds in voorgaande jaren bestede uitgaven; De jaarlaag-begroting; De besteding in het lopende jaar; De toekomstig begrote jaarlagen.
In de afgelopen tijd zijn verbeteringen aangebracht in het MIP zoals het starten met opschonen en herstructureren van data en het toepassen van AMI-rapportages. De basis voor de MIP in AMI was een Excel spreadsheet waarin in de loop der jaren diverse onnauwkeurigheden zijn ontstaan. Om die reden is een project gestart om het MIP ook inhoudelijk op orde te krijgen en op die wijze juist inzicht te krijgen in: Mogelijke krediet/begrotingsoverschrijdingen; Investeringen in projecten waarvoor geen krediet aanwezig is; Boekingen op reeds afgesloten kredieten; en Niet tijdig afgesloten kredieten. Wij begrijpen dat het maar beperkt lukt om vervolgstappen te zetten om het MIP inhoudelijk op orde te krijgen. Er is geen of weinig follow-up op bevindingen en onregelmatigheden die aan de lijn zijn teruggelegd.
<
>
Ons advies is prioritiet te geven aan het op orde krijgen van het MIP en bij de invoering van AFIS voldoende rekening te houden met de investeringsprojecten, waaronder meerjarige projecten. | 15
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
3. Interne beheersing
3.2 Beleid verlofsparen is nog onderhanden
Inhoudsopgave Aanbieding Verslaggeving en Proces van meten van prestaties accountantscontrole Proces afsluiten abonnementen Interne beheersing (garageparkeren)
In de bestuurlijke reactie op het accountantsverslag 2022 is aangegeven dat voor het zomerreces 2023 het beleid over langdurig verlofsparen zoals benoemd in de CAO (die is ingegaan op 1 januari 2022) gereed zal zijn en dat het salarissysteem hierop wordt ingericht. Tevens is in de reactie opgenomen dat het nieuwe beleid zorgt voor passende maatregelen om de financiële risico’s te beperken. Medio oktober 2023 hebben wij een (concept) memo ‘voorziening verlofsparen’ ontvangen. In het memo wordt gesteld dat vanuit goed werkgeverschap een werknemer niet hoeft aan te geven of verlof dient te worden omgezet in spaarverlof. Dit gebeurt automatisch. Het memo gaat vooral in op de werkwijze en kosten rondom de te vormen voorziening. In het memo worden aannames gedaan en uitgangspunten geformuleerd. Hierover zijn door ons vragen gesteld. Mocht de voorziening muteren dan zal de omvang van de mutatie niet eerder zichtbaar zijn dan in de jaarrekening. Er is momenteel nog geen sprake van een gewijzigd en/of vastgesteld beleid ten aanzien van verlofsparen. Wij hebben de aanbeveling gedaan om voortvarend het beleid nader uit te werken, te implementeren en de financiële gevolgen daarvan te verwerken in de jaarrekening.
<
3.3 Inschatting frauderisico’s verdient nog de nodige aandacht De frauderisico’s worden voor de gehele gemeentelijke organisatie opgenomen in Fully in Control (FIC). Wij constateren dat voor een aantal directies geen frauderisico’s zijn opgenomen in FIC, terwijl dit wel in de lijn der verwachting zou liggen. Diverse frauderisico’s en integriteitsrisico’s, zoals corruptie, het lekken van informatie, misbruik van bedrijfsmiddelen en diefstal kunnen op elke directie van toepassing zijn. Daarnaast zijn op basis van de aanwezige financiële stromen binnen een directie, zoals bijvoorbeeld voorraad en opbrengsten, specifieke frauderisico’s te identificeren. Bij de in FIC opgenomen risico’s is een verdere invulling gegeven van de kans dat het risico zich voordoet en is de minimale, de verwachte en de maximale impact opgenomen. Wij constateren dat ook ten aanzien van de inschatting van kans maal impact nog een verbeterslag mogelijk is. Onlangs is de handreiking “systematiek standaard operationele risico’s voor directeuren” vastgesteld. Deze handreiking bevat tien standaardrisico’s waaronder vijf fraude- en integriteitrisico’s. De verwachting is dat deze risico’s voor het opstellen van het jaarverslag 2023 zijn opgenomen in FIC. Wij hebben geadviseerd om gemeentebreed te gaan werken met de nieuwe handreiking en daarbij de kans- en impact van het risico reëel in te schatten.
> | 16
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
3. Interne beheersing
Inhoudsopgave Aanbieding Verslaggeving en Proces van meten van prestaties accountantscontrole Monitoring afspraken uitbestede Interne beheersing IT-beheer
3.4 Het proces van het meten van prestaties is kwetsbaar
Decentrale onderliggende registraties, kwaliteit verschillend
De afgelopen jaren hebben wij bij de jaarrekeningcontrole geconstateerd dat bij het meten van de geleverde prestaties van inkopen, de gemeente zich niet houdt aan haar eigen toepassingsregels. Deze schrijven voor dat prestatiemetingen worden vastgelegd in AFS of dat er een verwijzing wordt opgenomen in AFS waar de prestatiemetingen zijn vastgelegd. Ook is aangegeven waaraan een prestatieverklaarder de prestatie toetst. Inmiddels zijn twee pilots gestart om vast te stellen of door het verlagen van de drempelbedragen de administratieve last kan worden beperkt.
Bestellingen en leveringen van inkopen worden decentraal bijgehouden, de kwaliteit van de registraties is wisselend; Door de wisselende kwaliteit van de onderliggende registraties, is de reproduceerbaarheid van de prestatiemeting verschillend per afdeling. Deze kwaliteit gaat van één op één herleidbaarheid met een planningsysteem tot een mondelinge navraag waarbij niets schriftelijk is vastgelegd; De kwaliteit van de prestatiemetingen is wisselend. Deze kwaliteit gaat van één op één afstemming met een onderliggende registratie tot steekproef of analyse op de factuur, zonder vastlegging.
Het niet (hoeven) te verantwoorden/onderbouwen van prestaties kent een inherent frauderisico. Zoals bekend hebben wij als accountant een verantwoordelijkheid ten aanzien van het ontdekken van materiële fraude. Wij zijn gedurende het eerste half jaar bij een aantal directies meer diepgaand nagegaan op welke wijze de prestatiemetingen tot stand komen. Hierbij zijn de volgende observaties naar voren gekomen. Prestatiemetingen worden veelal niet in AFS vastgelegd
<
>
Het merendeel van de prestatiemetingen is niet in AFS vastgelegd en/of ontbreekt een verwijzing; De vastlegging van de prestatiemeting in AFS wordt als arbeidsintensief ervaren. Als er systemen zijn voor bestelling en planning, zijn deze niet gekoppeld aan AFS, dit betekent een hogere administratieve last; Het nut van het vastleggen van de prestatiemeting in AFS wordt niet door alle prestatieakkoord verklaarders onderkend.
Onbekendheid AFS en toepassingsregels Enkele budgethouders geven aan dat zij zelf hun weg hebben moeten vinden in AFS en niet te weten op welke wijze zij een vastgelegde prestatiemeting in AFS zouden kunnen zien; Bij enkele budgethouders en prestatieverklaarders ontbreekt kennis van de toepassingsregels; Werkafspraken zijn niet altijd uitgewerkt en niet altijd vastgelegd. De bovenstaande observaties versterken het beeld wat uit de controle 2022 naar voren is gekomen. Onze verwachting is dat de observaties op meerdere organisatieonderdelen van toepassingen zullen zijn. Er zijn verschillen geconstateerd tussen de geselecteerde directies. Registraties van bestellingen en leveringen worden bij sommige afdelingen handmatig en lokaal bijgehouden met als gevolg dat de prestatieverklaarders | 17 veel uitzoekwerk moeten verrichten.
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
3. Interne beheersing
Inhoudsopgave Aanbieding Verslaggeving en Proces van meten van prestaties accountantscontrole Monitoring afspraken uitbestede Interne beheersing IT-beheer
Doordat een groot deel van de uitgevoerde prestatiemetingen niet in AFS is vastgelegd en er vanuit AFS geen verwijzingen zijn opgenomen naar de onderliggende registraties, is van een factuur niet zichtbaar te herleiden of een prestatiemeting (juist) is uitgevoerd met als risico dat niet tijdig wordt ontdekt dat een prestatie niet is geleverd. Bijkomend risico is dat de gemeente onjuiste betalingen verricht, met name bij handmatige en lokale registraties. Ook maakt dit de prestatieverklaarder zelf kwetsbaar. Bij eventuele onjuiste betalingen kan deze in onvoldoende mate aantonen waarom de geleverde prestatie akkoord was verklaard en of de levering aan de gemeente daadwerkelijk heeft plaatsgevonden. Wij hebben de volgende aanbevelingen gedaan:
<
>
Analyseer welke (sub)systemen binnen de gemeente gebruikt worden en onderzoek of deze aan AFIS gekoppeld kunnen worden. Hierbij denken wij aan systemen zoals: VISI (aanbestedingen en projecten in het fysieke domein), portals met uitzendbureaus en Ultimo (Wagenparkbeheer). Het doel is dat bestellingen en leveringen in AFIS raadpleegbaar zijn; Benoem per directie de registraties van bestellingen en leveringen waarbij geen koppeling mogelijk is met AF(I)S en neem verwijzingen op naar deze registratie; Voer, zoals is voorgesteld door het project Bewust Verbeteren, een centrale controle in om vast te stellen dat prestatiemetingen worden vastgelegd conform de toepassingsregels. Aangegeven is dat AFIS hierin kan faciliteren;
Besteed bij de implementatie van AFIS voldoende aandacht aan de opleiding van prestatieakkoordverklaarders en budgethouders zodat zij inzicht hebben in het belang en de werking van de factuurwerking in AFIS. 3.5 Monitoring afspraken uitbestede IT-beheer: aanwezig voor generieke IT-diensten; in ontwikkeling voor SaaS-applicaties Wij hebben in onze rapportages aandacht gevraagd voor risico’s die samenhangen met uitbesteding van ITdiensten. Wij zien dat in 2022 meerdere nieuwe SaaSoplossingen zijn afgenomen waarbij over 2022 geen (afdoende) assurance-rapportage beschikbaar is. Door de centralisatie van het I-domein en de oprichting van de vakgroep Inkoop, contract- en leveranciersmanagement zijn de functionarissen betrokken bij leveranciers- en contractmanagement gebundeld. Het monitoren van afspraken en eisen opgenomen in het SaaS contract (zoals het opleveren van een assurance-rapport) is één van de taken van de contractmanagers. Afhankelijk van het type contract (4 typen) wordt contractmanagement ingericht. Elk type contract kent eigen richtlijnen en vereisten voor contractmanagement die zijn opgenomen in het gemeentelijk “Handelingskader voor contractmanagement”.
| 18
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
3. Interne beheersing
Generieke IT-diensten: strategisch contractmanagement zichtbaar/ingericht
Inhoudsopgave Aanbieding Verslaggeving en Proces van meten van prestaties accountantscontrole Monitoring afspraken uitbestede Interne beheersing IT-beheer
De contracten voor de generieke IT-diensten ADW, het netwerk, TAB/Hosting en het SOC (security operations center) uitbesteed aan externe leveranciers wordt conform het gemeentelijk beleid geclassificeerd als een “Type 1” contract. Voor deze contracten hebben wij vastgesteld dat de IT-beheer afspraken opgenomen in het contract conform het “Handelingskader voor contractmanagement” worden gemonitord. Er is op verschillende momenten in het jaar strategisch, tactisch en operationeel overleg met de leveranciers over de afspraken en geleverde prestaties. De geleverde prestaties naar aanleiding van het IT-beheer worden middels Service Level Rapportages en een Assurance rapportage aangetoond. SaaS-applicaties: Centraal overzicht aanwezig, verdere borging contractmanagement noodzakelijk In de reactie op het accountantsverslag 2022 is aangegeven dat het proces voor het monitoren van ITbeheer afspraken voor SaaS-applicaties nog niet is gerealiseerd.
<
>
Door de centralisatie van het I-domein en de oprichting van de vakgroep Inkoop, contract- en leveranciersmanagement is het centraal inzicht in SaaSapplicaties binnen Amsterdam verbeterd. Er is een overzicht opgesteld door de vakgroep waarin centraal wordt bijgehouden welke SaaS-applicaties er binnen Amsterdam gebruikt worden.
Dit overzicht wordt bijgehouden door contractmanagers van de vakgroep binnen Topdesk C. Het overzicht is nog niet compleet en wordt nog aangevuld met applicaties die later nog in beheer bij functioneel beheer komen. Wij merken op dat SaaS-contracten nogal van elkaar kunnen verschillen als het gaat om eisen gesteld aan het IT-beheer. De eisen bij de aanbesteding van een nieuwe (SaaS) applicatie worden opgenomen in het programma van eisen. Wij hebben geconstateerd dat het programma van eisen geen vaste set van IT-beheer eisen kent. Het risico hierbij dat SaaS leveranciers niet voldoen aan relevante wet- en regelgeving binnen het I-domein. Wel loopt momenteel een actie om een RASCI tabel op te stellen waarin is aangegeven welke functie/ afdeling welke rol heeft bij de monitoring. Wij hebben de volgende aanbevelingen gedaan: Stel een template van IT-beheer eisen (gebaseerd op bijvoorbeeld wet en regelgeving, type contract, et cetera) op met daarin een afwegingskader en neem dit template op in het programma van eisen bij een aanbesteding. Ga voor de huidige SaaS-applicaties na of er naar aanleiding van de aangepaste IT-beheereisen nieuwe afspraken met de SaaS leveranciers gewenst zijn en overweeg dit tussentijds te bespreken met de SaaS leverancier.
| 19
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
3. Interne beheersing
Monitoring contractafspraken/-eisen
Inhoudsopgave Aanbieding Verslaggeving en Proces van meten van prestaties accountantscontrole Monitoring afspraken uitbestede Interne beheersing IT-beheer
In reactie op ons accountantsverslag over 2022 is dit onderkend en is aangegeven dat de beschikbaarheid van assurance-rapportages bij belangrijke uitbestede ITsystemen (waaronder SaaS-toepassingen) absoluut noodzakelijk is om als gemeente te kunnen sturen op risico’s. Het monitoren van eisen in het SaaS contract (zoals het opleveren van een assurance-rapport) is een belangrijk onderdeel van contractmanagement. Afhankelijk van de classificatie (type) van het SaaScontract kunnen dan de juiste eisen en richtlijnen voor het contractmanagement worden ingericht. In het overzicht van SaaS-applicaties is een classificatie opgenomen, echter sluit deze (nog) niet aan op de classificatie opgenomen in het “Handelingskader voor contractmanagement”. Voor type 1 contracten is een contractmanager. Voor de overige type contracten is dit niet het geval en is het onduidelijk wie de verantwoordelijkheid draagt voor het monitoren van de eisen in het contract. Onze aanbeveling luidde: Classificeer de huidige en toekomstige SaaS-contracten volgens het “Handelingskader voor contractmanagement” en richt daar conform dit kader monitoring van het contract op in.
<
3.6 Autorisatiebeheer op onderdelen niet conform het stedelijk kader en de Baseline Informatiebeveiliging Overheid (BIO) Autorisatiebeheer gaat om het correct toewijzen van de juiste autorisaties aan de juiste personen op het juiste moment. Wij vragen specifiek aandacht voor de onderdelen periodieke controle op autorisaties, monitoring van speciale uitgegeven toegangsrechten en monitoring op functiescheiding. Het niet (adequaat) inrichten en uitvoeren van deze onderdelen kan verschillende risico's met zich meebrengen, zoals: Beveiligingsrisico's: Ongeautoriseerde gebruikers, beheerders, cybercriminelen kunnen uitgebreide toegang krijgen tot gevoelige informatie en middelen, waardoor de vertrouwelijkheid, integriteit en beschikbaarheid van bedrijfsgegevens in gevaar komen. Onnodige toegangsrechten kunnen leiden tot misbruik van gegevens waardoor het risico op fraude kan toenemen. Compliance-risico's: Bedrijven kunnen niet voldoen aan wettelijke vereisten voor gegevensbescherming en beveiliging, zoals de BIO of AVG, die vereisen dat toegangsrechten van gebruikers regelmatig worden gecontroleerd en beoordeeld. Operationele risico's: Onnodige gebruikers kunnen leiden tot hogere licentiekosten.
> | 20
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
3. Interne beheersing
Periodieke controle op autorisaties niet altijd uitgevoerd
Inhoudsopgave Aanbieding Verslaggeving en Proces van meten van prestaties accountantscontrole Monitoring afspraken uitbestede Interne beheersing IT-beheer
Wij hebben voor de eerste helft van 2023 tijdens onze interim werkzaamheden geconstateerd dat er niet voor alle jaarrekeningrelevante applicaties een (adequate) periodieke controle op autorisaties is uitgevoerd. De periodieke controle op gebruikerstoegang is een proces waarbij de toegangsrechten van gebruikers en beheerders in applicaties worden beoordeeld (conform de BIO minimaal twee keer per jaar) en gevalideerd. Naar aanleiding van dezelfde bevinding voorgaande jaren, is er binnen functioneel beheer een check ingebouwd die moet waarborgen dat de review (in elk geval jaarlijks) wordt uitgevoerd. Wij hebben dit aandachtspunt zowel gedurende het boekjaar als na afloop van het boekjaar met de gemeente besproken. Hoewel er verbetering zichtbaar is, heeft dit nog tot onvoldoende resultaat geleid. Wij hebben de aanbeveling gedaan om conform de BIO en het stedelijke autorisatiebeheerproces controles uit te voeren op autorisaties. Geen monitoring van uitgegeven speciale rechten
<
>
Een ander belangrijk onderdeel van autorisatiebeheer is het monitoren van uitgegeven speciale toegangsrechten. Wij hebben tijdens onze interim werkzaamheden vastgesteld dat voor een groot deel van de applicaties in scope voor de jaarrekeningcontrole de speciale rechten niet worden gemonitord. In sommige gevallen is dit niet mogelijk omdat er geen logging aanwezig is op deze speciale toegekende rechten.
De BIO schrijft voor dat deze uitgegeven rechten minimaal eens per kwartaal gemonitord dienen te worden. Wij hebben geadviseerd om conform de BIO monitoring in te richten op de uitgegeven speciale toegangsrechten en hier periodiek op te monitoren. Weinig inzicht in en monitoring op ongewenste functievermenging In het accountantsverslag bij de jaarrekening 2022 hebben wij stilgestaan bij het onderwerp frauderisico’s en beheersing. Hierin is aangegeven dat het hanteren en monitoren van functiescheiding in een IT-systeem kan helpen in het mitigeren van frauderisico’s. Desondanks constateren we vanuit onze interim-controle in 2023 dat er niet voor alle jaarrekeningrelevante applicaties inzicht is in en monitoring is op ongewenste functievermenging. Monitoring op ongewenste functievermenging begint met het inzichtelijk hebben welke combinatie van rollen en rechten tot mogelijk ongewenste functievermenging kan leiden. Vervolgens is het van belang hier actief op te monitoren en actie op te ondernemen indien dergelijke conflicten spelen. Wij hebben de aanbeveling gedaan om inzichtelijk te maken welke combinatie van rollen ongewenst is en hier conform de BIO en het stedelijk autorisatiebeheerproces periodiek op te monitoren.
| 21
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl
3. Interne beheersing
3.7 Beheersing DC1 – Afsluiting in 2023 niet haalbaar; beheersing blijft van belang
Inhoudsopgave Aanbieding Verslaggeving en Proces van meten van prestaties accountantscontrole Monitoring afspraken uitbestede Interne beheersing IT-beheer
In de reactie van het college op ons accountantsverslag 2022 is aangegeven dat DC1 in de loop van 2023 daadwerkelijk gesloten zou gaan worden. Tijdens onze interim- werkzaamheden is aangegeven dat de ontmanteling van DC1 niet plaats zal vinden vóór het einde van 2023. Voor zowel de erfpachtsuite als de huidige werkplekomgeving ADW lopen er momenteel (migratie)trajecten die het ontmantelen van DC1 belemmeren. Deze migraties vergen inspanning van zowel de directies als het I-domein. De Erfpachtsuite zou in 2023 worden overgezet naar een (tijdelijke) Cloud platform, echter is het migratietraject vertraagd. De verwachting is dat de Erfpacht applicaties in het tweede kwartaal van 2024 naar het Cloud Platform zullen worden gemigreerd. Voor de migratie van ADW Next naar de nieuwe ADW, geldt dat sinds september 2023 deze is opgeschaald naar ongeveer 1000 medewerkers per week, met als doel om eind 2023 grotendeels gereed te zijn. Tot de daadwerkelijke sluiting van DC1 blijven beheersmaatregelen van belang. Wij zullen de voortgang van de sluiting van DC1 blijven volgen.
<
> | 22
Auditdienst ACAM – Oudezijds Voorburgwal 300, 1012 GL Amsterdam – Postbus 1078, 1000 BB Amsterdam – Telefoon (020) 2549000 – Email info@acam.amsterdam.nl