Boardletter ACAM 2024.pdf
Tekst van het document
Home
Boardletter 2024 gemeente Amsterdam
Auditdienst ACAM – Boardletter 2024
1
Home
Inhoudsopgave Aanbiedingsbrief ............................................................................... 3 Hoofdstuk 1 Overzicht adviezen en aandachtspunten ........................... 4 Hoofdstuk 2 Het 3 lijnen model ........................................................... 8 2.1 Versterk de 1e lijn .................................................................................... 8 2.2 Pak aanbevelingen gericht op fraude op ................................................. 9
4.4 Risico’s bij zzp’ers in het kader van de Wet Deregulering Beoordeling Arbeidsrelatie (wet DBA) ....................................................................... 18 4.5 Autorisatiebeheer applicaties in scope van jaarrekeningcontrole........... 19 4.6 Aansluitaudits: Aansluiten op de gemeentelijke verstrekker (MKS) voor basisregistratie personen ....................................................................... 20 4.7 Vertragingen en wisselingen van de wacht binnen IT-projecten ............. 21 4.8 Assurance-rapportages uitbestede diensten (SaaS applicaties) ............. 21 4.9 Voldoen aan wet- en regelgeving in het I-domein.................................. 23
Hoofdstuk 3 Rechtmatigheidsverantwoording ................................... 11 Hoofdstuk 4 Interne beheersing ........................................................ 13 4.1 Migratie naar AFIS ................................................................................. 13 4.2 Onderzoek naar inkoopuitgaven............................................................ 15 4.3 Single Information Single Audit (SiSa) ................................................... 17
Hoofdstuk 5 Verslaggeving en accountantscontrole ............................ 24 5.1 Waardering Grondexploitaties .............................................................. 24 5.2 Waardering deelnemingen .................................................................... 26 5.3 Wijzigingen in Bado en BBV ................................................................... 26 Hoofdstuk 6 Duurzaamheid .............................................................. 28
Auditdienst ACAM – Boardletter 2024
2
Home
Aanbiedingsbrief Aan de gemeenteraad van de gemeente Amsterdam Amstel 1 1011 PN Amsterdam
Datum Kenmerk Onderwerp
19 november 2024 700.000.24-B Boardletter gemeente Amsterdam
Geachte leden van de gemeenteraad, Voor u ligt de boardletter over 2024. Het doel van deze rapportage is u tussentijds te informeren over ontwikkelingen in de interne beheersing van de gemeente en aandachtspunten voor het jaarrekeningtraject 2024 onder uw aandacht te brengen. Wij bespreken de boardletter eind november met de rekeningencommissie. De onderwerpen vloeien voort uit onze werkzaamheden gericht op de controle van de jaarrekening en geven daarmee geen totaalbeeld van de interne beheersing. Diverse onderwerpen komen vaker terug in onze rapportages. Wij reflecteren in die gevallen op eerder gegeven aanbevelingen.
enkele onderwerpen die niet direct relevant waren voor de managementletter, maar mogelijk wel interessant zijn voor raadsleden. De in de rapportage opgenomen adviezen zijn gericht aan het management (formeel het college). De adviezen in paragraaf 5.3 zijn specifiek voor de raad. De paragrafen 4.8 en 4.9 bevatten geen adviezen, deze zijn ter informatie opgenomen naar aanleiding van eerdere adviezen. Met het naar verwachting in januari 2025 live gaan van het Amsterdams Financieel en Inkoop Systeem (AFIS) verwachten wij een dynamisch jaarrekeningtraject. Daarnaast is de totstandkoming van de rechtmatigheidsverantwoording ook dit jaar een spannende exercitie qua afspraken en doorlooptijd. Gezien de financiële impact is de verkoop van het Afval Energiebedrijf een belangrijk onderwerp in onze controle. Wij hebben eerder gewezen op de mogelijkheid van een significant andere waardering dan de waardering per eind 2023. Wij vertrouwen erop dat wij u hiermee voldoende hebben geïnformeerd en zijn graag bereid tot een nadere toelichting. Met vriendelijke groet,
Origineel getekend door: drs. D.A. van Hooff RA
De inhoud is gebaseerd op de managementletter die wij half november aan de gemeentesecretaris hebben uitgebracht. Deze rapportage bevat de voor de raad relevante elementen uit die managementletter aangevuld met Auditdienst ACAM – Boardletter 2024
3
Home
Hoofdstuk 1 Overzicht adviezen en aandachtspunten Hoofdstuk
Advies / Aandachtspunt
2. Het 3 lijnen model 2.1 Versterk de 1e lijn •
Onderzoek of het organiseren van verbijzonderde interne controle functies op niveau van clusters hierbij kan helpen.
•
Bewaak de rolzuiverheid in het 3 lijnen model.
2.2 Pak aanbevelingen gericht op fraude op Onderzoek op welke wijze er gemeente breed geleerd kan worden van fraudes. 2.2 Pak aanbevelingen gericht op fraude op Wij vragen aandacht voor het spoedig oppakken van de eerder gedane aanbevelingen.
Hoofdstuk
Advies / Aandachtspunt
3. Rechtmatigheidsverantwoording Maak een overall planning rechtmatigheid waaruit blijkt welke informatie op welk moment dient te worden aangeleverd om de rechtmatigheidsverantwoording op te kunnen stellen, stem deze af met de directies en monitor de oplevering gericht op kwaliteit en tijdigheid van de informatie.
Auditdienst ACAM – Boardletter 2024
4
Home Hoofdstuk
Advies / Aandachtspunt
4. Interne beheersing 4.1 Migratie naar AFIS •
Wij adviseren om voorafgaande aan de datamigratie acceptatiecriteria op te stellen die voldoen aan de verwachtingen van de relevante stakeholders en de resultaten van de migratie continu te monitoren.
•
Pak uitval in samenhang vanuit alle bronnen op om te bewaken dat de gegevens uit de verschillende bronsystemen na de migratie consistent zijn in de doelapplicatie AFIS. Zorg hierbij voor voldoende capaciteit en een toezichtrol op de kwaliteit.
•
Zorg enerzijds voor een volledig contractenregister in AFIS en anderzijds het overhevelen van de uitputting van bestaande contracten tot en met eind 2024 in AFIS bij livegang.
•
Zorg voor overeenstemming vooraf over de spelregels, en de informatiebehoefte voor financiële projectbeheersing.
•
Geef prioriteit aan het ontwikkelen van de rapportages en gewenste verbeteringen.
•
De projectrapportages uit AFIS zullen beperkt zijn tot financiële informatie. Besteed ook aandacht aan andere stuurinformatie zoals projectrisico, scope, planning en kwaliteit.
•
Ga na wat de consequenties zijn van overzetten van slechts de projectsaldi voor inzichtelijkheid van projectgegevens en budgetten. Bijvoorbeeld voor het afrekenen van subsidies is een diepgaander inzicht nodig in de aard van de kosten dan alleen op totaalniveau. Zorg in ieder geval dat de data in AFS beschikbaar en benaderbaar blijft op langere termijn.
•
Zorg voor een helder en gedetailleerd draaiboek voor het afwikkelen en afsluiten van het oude boekjaar inclusief het opstellen van jaarverslag 2024 en verwerken van de eindcijfers in beginbalans 2025 in AFIS.
4.2 Onderzoek naar inkoopuitgaven •
Werk met spoed het plan van aanpak nader uit, zet de acties in gang en monitor de voortgang.
•
Zet bij de invoering van AFIS direct in op de juiste toepassing van de gemeentelijke regels omtrent prestatiemeten en handhaaf deze.
4.3 Single Information Single Audit (SiSa) •
Ga na of herstelacties meer proactief en meer gestandaardiseerd kunnen worden ingezet. Bijvoorbeeld door direct na vaststelling van onzekerheden bij de accountantscontrole te sturen op het herstel ervan.
•
Onderzoek of het mogelijk is om met de externe partijen af te spreken dat zij de verantwoording en indien nodig een controleverklaring uiterlijk begin februari aanleveren.
•
Onderzoek of het mogelijk is dat de gemeente door het jaar heen planmatig de uitbestede werkzaamheden monitort en daarmee de voor haar eigen verantwoording vereiste zekerheid verkrijgt en vastlegt.
Auditdienst ACAM – Boardletter 2024
5
Home Hoofdstuk
Advies / Aandachtspunt 4.4 Risico’s bij zzp’ers in het kader van de Wet Deregulering Beoordeling Arbeidsrelatie (wet DBA) De gemeente heeft het risico van schijnzelfstandigheid onderkend en stelt via een extern bureau onderzoek in om vast te stellen of hier sprake van is.
4.5 Autorisatiebeheer applicaties in scope van jaarrekeningcontrole •
Monitor de uitgegeven speciale rechten, eveneens in lijn met de BIO, minimaal eens per kwartaal.
•
Voer de monitoring op ongewenste functievermenging in lijn met het stedelijk autorisatiebeheer proces uit.
4.6 Aansluitaudits: Aansluiten op de gemeentelijke verstrekker (MKS) voor basisregistratie personen •
Ontwikkel een afwegingskader voor wanneer het toch wenselijk is om eerder live te gaan en de aansluitaudit nog niet is afgerond. Geef nader invulling aan de periodieke her-audit na livegang van de koppeling.
4.7 Vertragingen en wisselingen van de wacht binnen IT-projecten •
Voer een evaluatie uit om te achterhalen welke oorzaken hebben geleid tot de vertragingen en wisselingen van de wacht. Richt binnen programma’s kennismanagement in zodat kennis binnen een programma wordt vastgelegd en kennisoverdracht mogelijk is bij wisseling van medewerkers.
5. Verslaggeving en accountantscontrole 5.1 Waardering Grondexploitaties •
Onderzoek op welke wijze actuele inzichten in de grondexploitaties verwerkt kunnen worden, om te voldoen aan de verplichtingen in het BBV.
•
Wij adviseren om op planniveau te inventariseren welke gebeurtenissen na balansdatum hebben voorgedaan die een grote financiële impact hebben en deze te betrekken bij het bepalen van de toereikendheid van de voorzieningen voor negatieve grondexploitaties.
•
Wij adviseren financiële en technische aanpassingen en/of stelselwijzigingen op een consistent en systematisch te verwerken in de begroting en jaarrekening en wel op een zodanige wijze dat deze over de jaren heen begrijpelijk en transparant zijn en dit voldoet aan het BBV.
5.1 Waardering Grondexploitaties •
Wees in algemene zin terughoudend in het doen van financieel technische aanpassingen gericht op boekhoudkundige methodiek en/of stelselwijzigingen.
Auditdienst ACAM – Boardletter 2024
6
Home Hoofdstuk
Advies / Aandachtspunt 5.2 Waardering deelnemingen •
De verkoop van het AEB is uiteindelijk een bestuurlijke keuze. Afhankelijk van de gemaakte keuze kan de waardering een andere uitkomst hebben.
5.3 Wijzigingen in Bado en BBV •
Neem de gevolgen van de wijzigingen in het Bado over in de controleverordening en het Programma van Eisen voor de accountantscontrole.
•
Neem de wijzigingen in het BBV over in de Financiële verordening.
•
Wij brengen nogmaals ons eerdere aanbeveling onder uw aandacht dat de gekozen normen/indicatoren die met
6. Duurzaamheid
duurzaamheidsdoelstellingen samenhangen, naast specifiek en meetbaar, ook controleerbaar moeten zijn. •
Auditdienst ACAM – Boardletter 2024
Neem kennis van de Handreiking Duurzaamheidsrapportage en -verantwoording voor de decentrale overheden.
7
Home
Hoofdstuk 2 Het 3 lijnen model 2.1 Versterk de 1e lijn Belang van het onderwerp Amsterdam hanteert het 3 lijnen model. Dit model brengt in beeld wat de relatie is tussen directies (1e lijn), control (2e lijn) en audit (3e lijn) en is als basis gekozen voor de verdeling van de rollen en verantwoordelijkheden binnen de gemeentelijke organisatie. De drie lijnen, die elkaar opvolgen en op elkaar aansluiten vormen een compleet stelsel van beheersing en monitoring1. Verplichtingen wet- en regelgeving Niet van toepassing. Bevindingen In de praktijk zien wij dat ten aanzien van rollen en bijbehorende verantwoordelijkheden er nogal eens afwijkende verwachtingen zijn die resulteren in onduidelijkheid. Zoals over de bekendheid met of de helderheid van de kaders en de verwachte ondersteuning/advisering, wat ook door afdeling Interne Audit en Beleidsonderzoek (IA&BO) regelmatig als uitkomst van een audit wordt gerapporteerd. Maar bijvoorbeeld ook over het proces van de rechtmatigheidsverantwoording.
Op het gebied van risicomanagement is de afgelopen jaren ingezet op de inrichting van het beleid en standaardisering van risico’s. Met de invoering van het systeem Fully in Control (FIC) en het daarin opnemen van standaardrisico’s en beheersmaatregelen zien wij dat stappen zijn gezet. Tegelijkertijd merken wij op dat “kwaliteit” van de geïdentificeerde risico’s en de hieraan gekoppelde beheersmaatregelen, nog steeds, wisselend is. De inhoud van FIC is grotendeels gebaseerd op een opgave van de directies en is daarmee een inventarisatie van wat in opzet aanwezig zou moeten zijn. Belangrijk is dat de gerapporteerde beheersmaatregelen ook daadwerkelijk bestaan en het effect sorteren wat wordt beoogd (werken). Op het gebied van het beheersen van kernprocessen langs de lijn van het Kader Procesbeheersing wordt vooruitgang geboekt. Het voortgangsrapport van DMC procescontrol uit juni 2024 geeft aanknopingspunten om verdere stappen te zetten. Wij merken op dat het ook hier gaat over de opzet van de processen en dat aandacht wordt gevraagd voor de stappen in het sturingsmiddel procesbeheersing die toezien op operationele risicobeheersing in processen, te weten de activiteiten beheersen en monitoren risico’s en rapporteren. Kortom bestaan de beheersmaatregelen en werken ze. In het 3 lijnen model doet IA&BO periodiek onderzoek naar kernprocessen.
Daarnaast voert IA&BO op verzoek van de directies onderzoeken uit. Mede door deze verzoeken en capaciteitsproblemen lijkt een volwaardig onderzoek naar de opzet, bestaan en werking van kernprocessen door de
1https://hoofdstad.sharepoint.com/sites/in-rw-vi-bv/SitePages/Het-drie-lijnenmodel.aspx
Auditdienst ACAM – Boardletter 2024
8
Home jaren heen naar de achtergrond geraakt. Zo worden bijvoorbeeld kernprocessen later op de agenda gezet in verband met capaciteitsproblemen bij directies, niet volledig beoordeeld (in de praktijk veelal alleen opzet en bestaan), met beperkte reikwijdte (zonder ITcomponenten, of gericht op enkele specifieke onderdelen van het proces) of met afwijkende doelstellingen (inventariseren verbetermogelijkheden, et cetera). Wij kunnen ons voorstellen dat dit type audits toegevoegde waarde heeft. Het effect is wel dat (centraal) inzicht op de werking van processen niet eenvoudig wordt bereikt.
is om die reden van belang. Al enige jaren uiten wij via accountantsverslagen onze zorgen over de identificatie en de beheersing van frauderisico’s. Mede omdat de Rekeningencommissie fraude als thema voor 2024 heeft benoemd willen wij enkele punten op dit gebied onder uw aandacht brengen. Verplichtingen wet- en regelgeving Het Besluit begroting en verantwoording. Bevindingen
IA&BO is ook verantwoordelijk voor het opstellen van de rechtmatigheidsverantwoording. Dit is niet de meest voor de hand liggende keuze gezien de rollen en verantwoordelijkheden in het 3 lijnen model. Uitgangspunt in het model is dat de directies (1e lijn) integraal verantwoordelijk zijn voor de sturing, beheersing en verantwoording. Dit is daarmee ook een logisch startpunt om de keten te versterken. Om het management van de directies beter in positie te brengen zou gedacht kunnen worden aan een dicht op de directies gepositioneerde verbijzonderde interne controle functie. Bijvoorbeeld zoals deze bij cluster Sociaal is ingericht. Advies • Onderzoek of het organiseren van verbijzonderde interne controle functies op niveau van clusters hierbij kan helpen. • Bewaak de rolzuiverheid in het 3 lijnen model.
2.2 Pak aanbevelingen gericht op fraude op Belang van het onderwerp Fraude en corruptie is een belangrijk maatschappelijk probleem dat burgers en overheid benadeelt. Het voorkomen, detecteren en bestrijden van fraude
Auditdienst ACAM – Boardletter 2024
Geïnventariseerde frauderisico’s Het opnemen van de 240 standaardfrauderisico’s en ongeveer 120 directie specifieke frauderisico’s in FIC is een goede eerste stap. Wij zien nog wel een grote diversiteit in het inschatten van de kans en impact van de frauderisico’s. Zo zijn 86 frauderisico’s opgenomen met een maximale impact van € 0 of zonder een maximale impact. Daarnaast zijn enkele frauderisico’s benoemd waar geen verwachte kans is opgenomen in FIC. Mogelijk omdat het risicomanagementproces bij directies niet structureel plaats vindt. Een volgende stap in de cyclus en in de volwassenheid van frauderisicomanagement is het inrichten van beheersingsmaatregelen voor de geïdentificeerde frauderisico’s. Van de 1.084 geïdentificeerde beheersmaatregelen is ongeveer de helft geïmplementeerd, een derde deels geïmplementeerd en 200 maatregelen hebben de status te implementeren. Reactie college op het accountantsverslag en het verslag van de Rekeningencommissie over 2023 Wij hebben vorig jaar via het accountantsverslag geadviseerd om prioriteit te geven aan het implementeren van beheersmaatregelen gericht op het voorkomen van fraude en corruptie. Daarnaast was ons advies om
9
Home gestructureerde periodieke controle in te richten om vast te stellen of sprake is geweest van mogelijke fraude ofwel om uit te sluiten dat mogelijke fraudes hebben plaatsgevonden. De Rekeningencommissie heeft aanbevolen om zorg te dragen voor de implementatie van genoemde beheersmaatregelen (detectieve audits) (1), audits uit te voeren die gericht zijn op de implementatie en werking van de fraudebeheersingsmaatregelen zoals opgenomen in Fully in Control (2) en in kaart te brengen welke detectieve maatregelen er al zijn en te onderzoeken welke aanvullend mogelijk zijn (3). Het college heeft de adviezen van ACAM onderschreven. De adviezen van de Rekeningencommissie zijn door het college voorzien van een toelichting per aanbeveling. Deze luiden: 1. We zien toe op de implementatie van de beheersmaatregelen. In het derde kwartaal wordt een nieuwe meting uitgevoerd en indien nodig nemen we aanvullende maatregelen. 2. Ter aanvulling op de reguliere audits, waarbij onder andere wordt gekeken naar ongebruikelijke transacties en signalen van doorbreking van interne beheersingsmaatregelen, ontwikkelen we een plan van aanpak. In dit plan werken we uit hoe de werking van de fraudebeheersmaatregelen periodiek steekproefsgewijs in de praktijk kan worden getoetst. 3.
Op basis van punt 2 zal periodiek worden bepaald of aanvullende beheersmaatregelen nodig zijn, en welke maatregelen dat zijn.
om zo het frauderisicomanagement verder te versterken. Bijvoorbeeld middels vragen als: • Heeft deze situatie zich mogelijk ook in andere onderdelen van de gemeentelijke organisatie voorgedaan? • Was dit frauderisico onderkent op basis van het frauderisicomanagement? • Welke beheersingsmaatregelen waren op dit risico getroffen en waarom hebben deze niet gewerkt?
Aandachtspunt Wij vragen aandacht voor het spoedig oppakken van de eerder gedane aanbevelingen.
Advies Onderzoek op welke wijze er gemeente breed geleerd kan worden van fraudes.
Wij hebben nog geen informatie ontvangen waaruit voortgang blijkt. Voor wat betreft het acteren op geconstateerde (mogelijke) fraudes zien wij dat op adequate wijze wordt gehandeld door Bureau Integriteit en dat hierbij de benodigde partijen, zoals de politie, worden ingeschakeld. Wij zien nog wel mogelijkheden om gemeentebreed te leren van geconstateerde fraudes
Auditdienst ACAM – Boardletter 2024
10
Home
Hoofdstuk 3 Rechtmatigheidsverantwoording Belang van het onderwerp Wij constateerden over het boekjaar 2023 dat de werkwijze van de betrokken gemeentelijke onderdelen nog niet voldoende was ontwikkeld om als basis te dienen voor een uitspraak over de juistheid en volledigheid van de in de verantwoording opgenomen informatie.
Verplichtingen wet- en regelgeving De Gemeentewet, het Besluit accountantscontrole decentrale overheden, de Verordening van de raad van de gemeente Amsterdam houdende regels over het financiële stelsel (de financiële verordening) en de Kadernota rechtmatigheid 2024 van de Commissie BBV zijn van belang. Ze bepalen bijvoorbeeld dat het college de rechtmatigheidsverantwoording aflegt, evenals het percentage waarboven afwijkingen worden gerapporteerd. Bevindingen Het college dient zich via de rechtmatigheidsverantwoording te verantwoorden over het begrotingscriterium het voorwaardencriterium en de Misbruik en oneigenlijk gebruik criterium. In ons accountantsverslag 2023 hebben wij aangegeven dat naast onrechtmatigheden die betrekking hadden op inkopen en aanbesteden ook sprake was van andere voorwaarden en dat deze vanwege het moment van beschikbaar komen van informatie mogelijk ten onrechte niet zijn opgenomen in de rechtmatigheidsverantwoording over 2023.
Auditdienst ACAM – Boardletter 2024
Verder misten wij destijds informatie die als basis zou kunnen dienen voor de vraag of er bevindingen waren ten aanzien van het M&O criterium. Aanbevelingen Rekeningencommissie 2023 De Rekeningencommissie heeft in haar verslag over 2023 aanbevolen om de informatiehuishouding zo in te richten dat het management in control komt over alle relevante voorwaarden en dat deze informatie tijdig beschikbaar komt. Het college heeft in haar reactie op deze aanbevelingen aangegeven het proces van de totstandkoming van de rechtmatigheidsverantwoording te evalueren om daarvan te leren op aspecten als juistheid, volledigheid en tijdigheid van informatie over alle relevante voorwaarden. Wij hebben geen kennis van evaluaties of bijvoorbeeld plannen van aanpak die betrekking hebben op andere voorwaarden dan die relevant zijn voor het proces van inkopen en aanbesteden. Wij zien het risico dat informatie over alle relevante voorwaarden niet tijdig beschikbaar komt of niet juist en/of volledig is omdat deze onder tijdsdruk dient te worden opgeleverd. Een vergelijkbare situatie doet zich voor in relatie tot de informatie over het M&O criterium. Wijziging Kadernota 2024 M&O criterium Daarnaast zijn ten aanzien van het M&O criterium voor 2024 ook enkele wijzigingen doorgevoerd in de Kadernota rechtmatigheid.
Gemeenten hoeven in het geval dat sprake is van geconstateerd misbruik waarbij het M&O beleid is toegepast en dit beleid heeft geleid tot bijvoorbeeld terugvorderingen en het opleggen van sancties dit niet meer op te nemen in de rechtmatigheidsverantwoording.
11
Home Wel dient op basis van een stellige uitspraak van de commissie BBV via de paragraaf bedrijfsvoering inzicht te worden gegeven in de aard en (financiële) impact van het bij de gemeente geconstateerde misbruik. Advies Maak een overall planning rechtmatigheid waaruit blijkt welke informatie op welk moment dient te worden aangeleverd om de rechtmatigheidsverantwoording op te kunnen stellen, stem deze af met de directies en monitor de oplevering gericht op kwaliteit en tijdigheid van de informatie.
Auditdienst ACAM – Boardletter 2024
12
Home
Hoofdstuk 4 Interne beheersing 4.1 Migratie naar AFIS Belang van het onderwerp Een succesvolle migratie naar AFIS is noodzakelijk om de continuïteit van de bedrijfsvoering van de gemeente te waarborgen. Gezien de omvang van deze migratie, is deze niet zonder risico’s. Verplichtingen wet- en regelgeving Niet van toepassing. Bevindingen Datamigratie naar AFIS Om live te gaan met AFIS migreert de gemeente gegevens uit AFS, LIAS en Topdesk C en de extracomptabele gegevens over het MIP en reserves. Daarbij wordt tevens een nieuw rekeningschema in AFIS ingevoerd. De volledige datamigratie zal plaatsvinden voor de livegang begin januari 2025. Dan komen niet alleen de transactiedata uit AFS over naar AFIS, maar ook de gegevens uit LIAS en het MIP komen in AFIS. Het slagen van de datamigratie hangt af van het in elkaar passen van de gegevens uit verschillende bronnen in combinatie met een nieuw rekeningschema.
proefmigraties hadden echter een beperkte scope ten opzichte van de totale datamigratie. Wij onderkennen het risico dat er relatief veel uitval ontstaat bij de werkelijke migratie waarbij meer gegevens uit meerdere bronnen gemigreerd worden. Advies Wij adviseren om voorafgaande aan de datamigratie acceptatiecriteria op te stellen die voldoen aan de verwachtingen van de relevante stakeholders en de resultaten van de migratie continu te monitoren. Pak uitval in samenhang vanuit alle bronnen op om te bewaken dat de gegevens uit de verschillende bronsystemen na de migratie consistent zijn in de doelapplicatie AFIS. Zorg hierbij voor voldoende capaciteit en een toezichtrol op de kwaliteit. Onvolledige contractmodule Per 16 september is de contractmodule van AFIS live gegaan. Al geruime tijd worden met betrekking tot de contractmodule door de gemeente inspanningen geleverd om alle contracten te registreren in de module. Het risico blijft bestaan dat bij de livegang van AFIS de contractmodule nog niet volledig is.
Naar aanleiding van uitval bij de proefmigraties heeft de gemeente correcties doorgevoerd om bij de migratie de uitval te beperken. De
Auditdienst ACAM – Boardletter 2024
13
Home Bij de tussentijdse rechtmatigheidscontrole op de inkoopuitgaven bij de viermaandsrapportage is een deel van de inkoopuitgaven als onbekend aangeduid. Dit betekent dat contracten niet geregistreerd zijn of een verwijzing van een besteding naar een contract ontbreekt, dan wel dat zonder contract is ingekocht. De Taskforce Inkoop zal komende periode nog een extra inspanning (moeten) verrichten om die contractmodule volledig te krijgen. In AFIS zullen alle contracten initieel worden opgenomen zonder uitputting. Dit betekent dat voor reeds bestaande contracten van voor 2025 de gerapporteerde inkoopuitgaven op contractniveau niet volledig zullen zijn. Dit is van belang voor het contractmanagement en voor de rechtmatigheidsverantwoording. Bij de rechtmatigheidsverantwoording is zowel een contractoverschrijding als de 4-jaars eis van belang om vast te stellen dat rechtmatig is gehandeld. Advies Zorg enerzijds voor een volledig contractenregister in AFIS en anderzijds het overhevelen van de uitputting van bestaande contracten tot en met eind 2024 in AFIS bij livegang. Projectmodule in AFIS Wij hebben vorig jaar aandacht gevraagd voor een adequate projectadministratie met het oog op een goede project- en kredietbeheersing. Het belang daarvan is groot: een derde van het geld dat de gemeente per jaar uitgeeft gaat naar projecten, vooral projecten in de openbare ruimte.
Naast financiële projectgegevens is ook andere project- en stuurinformatie belangrijk.
Auditdienst ACAM – Boardletter 2024
Idealiter worden projecten uniform geadministreerd waarbij de gewenste managementinformatie snel beschikbaar is. Tevens is de koppeling tussen investeringsprojecten, investeringskredieten en vaste activa administratie van belang. Het projectteam AFIS heeft aangegeven dat het systeem (AFIS) wel technisch gereed is, inclusief de module voor de financiële projectadministratie maar toegroeien naar uniform gebruik zal daarna nog moeten gebeuren. Belangrijk daarbij is het meekrijgen van directies in verandering van de eigen verschillende werkwijzen en systemen, naar de gewenste uniforme werkwijze en gebruik van de module in AFIS. Daarbij hoort ook de vraag in hoeverre de directies voldoende inzicht krijgen in hoe de module ingericht wordt zodat zij goed kunnen beoordelen hoe zij hun eigen processen/werkwijzen kunnen aanpassen. Een ander aspect in deze context is helderheid krijgen in rollen en verantwoordelijkheden tussen directies die gezamenlijk verantwoordelijk zijn voor projecten (bijvoorbeeld waar sprake is van een opdrachtgever, opdrachtnemer relatie). Verder wordt nog gewerkt aan het realiseren van betrouwbare informatievoorziening: rapportages zowel uit de projectenmodule als daarbuiten (projectrapportages en rapportages ten behoeve van de P&C cyclus) moeten nog worden ontwikkeld. Op dit moment wordt hiervoor een plan van aanpak opgesteld.
De taskforce Financiële Projectbeheersing gaat dit proces verder ondersteunen. Tijdens de overgang naar de nieuwe werkwijze, worden al instrumenten in de huidige werkwijze losgelaten of niet verder ontwikkeld, terwijl het veranderproces nog niet is voltooid. Dit leidt tot een tussenfase met mogelijk negatieve gevolgen voor de projectbeheersing. Het is tevens de intentie om informatie over lopende projecten alleen op totaalniveau over te zetten van AFS naar AFIS. Een mogelijk gevolg van deze omstandigheden is onvoldoende inzicht in historische projectgegevens, handmatige en
14
Home foutgevoelige verwerkingen, verschillen in rapportages tussen directies en verschillen in verwachtingen tussen verschillende stakeholders binnen de gemeente. AFIS is dé kans om projectbeheersing naar een hoger niveau te helpen, doe dat zorgvuldig en neem daarbij de volgende aanbevelingen in beschouwing:
•
•
Advies • Zorg voor overeenstemming vooraf over de spelregels, en de informatiebehoefte voor financiële projectbeheersing. • Geef prioriteit aan het ontwikkelen van de rapportages en gewenste verbeteringen. De projectrapportages uit AFIS zullen beperkt zijn tot financiële informatie. Besteed ook aandacht aan andere stuurinformatie zoals projectrisico, scope, planning en kwaliteit. Ga na wat de consequenties zijn van overzetten van slechts de projectsaldi voor inzichtelijkheid van projectgegevens en budgetten. Bijvoorbeeld voor het afrekenen van subsidies is een diepgaander inzicht nodig in de aard van de kosten dan alleen op totaalniveau. Zorg in ieder geval dat de data in AFS beschikbaar en benaderbaar blijft op langere termijn.
Afsluiten boekjaar en opstellen jaarverslag 2023 Bij migratie per balansdatum ontstaan vanzelfsprekend diverse vraagstukken rondom jaarafsluiting en opstellen van het jaarverslag. Besloten is om het jaarverslag in en op basis van AFS en AMI op te stellen. Dit betekent dat AFS alle financiële informatie moet bevatten welke nodig is om de businessdossiers en het jaarverslag te kunnen opstellen. Daarnaast moeten de noodzakelijke (herstel)boekingen met betrekking tot boekjaar 2024 in AFS geboekt worden. Tevens zullen een aantal praktische punten als volledigheid en hardheid verplichtingen middels ingekomen facturen in 2024 en 2025 nog afgeletterd moeten worden aan de hand van het oude AFS in
Auditdienst ACAM – Boardletter 2024
combinatie met het nieuwe AFIS. Tot slot zullen de gecontroleerde eindcijfers conform het jaarverslag ingevoerd (hersteld) moeten worden als beginstanden in AFIS voor het boekjaar 2025. Het proces van opstellen en controleren van de jaarrekening is kortom ingewikkelder dan in eerdere jaren. Advies Zorg voor een helder en gedetailleerd draaiboek voor het afwikkelen en afsluiten van het oude boekjaar inclusief het opstellen van jaarverslag 2024 en verwerken van de eindcijfers in beginbalans 2025 in AFIS.
4.2 Onderzoek naar inkoopuitgaven Belang van het onderwerp Het verantwoorden over de rechtmatigheid van de inkoopuitgaven was voor de gemeente in 2023 geen gemakkelijke opgave. Belemmerende factoren waren dat het inkoopstelsel niet op orde was en het uitgevoerde onderzoek naar de rechtmatigheid omissies kende. Verplichtingen wet- en regelgeving • Het Besluit begroting en verantwoording, waaronder de Kadernota rechtmatigheid 2024. • (EU) aanbestedingsregels. • Gemeentelijk inkoopbeleid.
15
Home Bevindingen Vaststellen rechtmatigheid nog niet geborgd Om het verantwoordingsproces soepeler te laten verlopen heeft de gemeente voor het jaar 2024 een verbeterplan opgesteld. Dit plan is begin oktober nog niet geheel uitgewerkt en het zal naar verwachting de nodige inspanningen van de diverse gemeentelijke organisatieonderdelen vergen om de rechtmatigheid van de inkoopuitgaven (tijdig) vast te kunnen stellen. De gemeente heeft enkele verbetermaatregelen geformuleerd waarvan een aantal zijn geïmplementeerd. Zo zijn onder meer kpi's ontwikkeld om te kunnen sturen op de rechtmatigheid van de inkopen en is er een dashboard ontwikkeld om inzicht te krijgen op de rechtmatigheid. Wij zijn geïnformeerd dat de rollen en verantwoordelijkheden in het verbeterplan nog niet duidelijk zijn uitgewerkt, er nog geen uitgewerkte planning voorhanden is en de aanbevelingen van de afdeling IA&BO aan de directie Financiën & Inkoop verder dienen te worden uitgewerkt. Door de gemeente is de rechtmatigheid over de eerste vier maanden geïnventariseerd. Het bedrag aan (on)rechtmatige inkopen over de eerste vier maanden is gebaseerd op de door de directies opgegeven onrechtmatigheid. Een toets op de rechtmatigheidsverantwoordingen van de directies heeft nog niet plaatsgevonden. Het inzicht in de juistheid van de viermaands opgave is daarmee beperkt.
Momenteel worden door de gemeente werkzaamheden uitgevoerd met betrekking tot de 8e maandsrapportage. De uitkomsten hiervan worden in december verwacht. Gezien het bovenstaande spreken wij onze zorg uit of de beperkt resterende tijd toereikend zal zijn om de rechtmatigheid van de inkoopuitgaven te kunnen vaststellen. Het jaar 2023 heeft geleerd dat een realistische planning
Auditdienst ACAM – Boardletter 2024
van groot belang is om de kwaliteit van het uit te voeren onderzoek te borgen. Advies Werk met spoed het plan van aanpak nader uit, zet de acties in gang en monitor de voortgang.
Prestatiemetingen nog niet op gewenst niveau Voor het jaar 2024 hebben wij, net als voorgaande jaren, een deelwaarneming uitgevoerd op de facturen om onder meer de juistheid van de metingen van de geleverde prestaties vast te stellen. Het beeld dat hier uitkomt wijkt niet af van die van eerdere jaren. Van een behoorlijk groot aantal facturen uit de deelwaarneming is in AFS geen (verwijzing naar) een onderbouwing waaruit blijkt dat de geleverde prestatie is gemeten. Voor deze facturen hebben wij de onderbouwing bij directies opgevraagd om de prestatielevering alsnog aan te kunnen laten tonen. In het kader van de administratieve lasten rondom het meten van de geleverde prestaties zijn er twee pilots uitgevoerd. De eerste pilot behelsde het niet meten van prestaties van facturen kleiner dan € 1.000, de tweede pilot betrof facturen kleiner dan € 100. Met de pilots werd beoogd om meer tijd beschikbaar te maken voor het meten en vastleggen van de geleverde prestaties van de facturen groter dan € 1.000. De gemeente voert zelf een nulmeting uit over de juistheid van de prestatiemetingen. Doelstelling van de nulmeting is om daar lering uit te trekken voor AFIS. De uitkomsten zijn per datum van schrijven nog niet bekend. Het risico van het niet juist prestatiemeten is dat facturen betaalbaar worden gesteld waarvan de geleverde prestatie niet volgens afspraak is geleverd.
16
Home
Advies Zet bij de invoering van AFIS direct in op de juiste toepassing van de gemeentelijke regels omtrent prestatiemeten en handhaaf deze.
4.3 Single Information Single Audit (SiSa) Belang van het onderwerp De gemeente Amsterdam ontvangt jaarlijks ongeveer € 1 miljard aan specifieke uitkeringen (Spuk’s) van het Rijk via circa honderd verschillende regelingen, elk met hun eigen specifieke wet- en regelgeving. Het niet voldoen aan deze wet- en regelgeving of het niet toereikend kunnen onderbouwen hiervan, kan leiden tot het (deels) moeten terugbetalen van de ontvangen Rijksbijdrage. Verplichtingen wet- en regelgeving ▪ Specifieke wet- en regelgeving per specifieke uitkering. ▪ Artikel 17a van de Financiële verhoudingswet. ▪ Besluit begroting en verantwoording provincies en gemeenten. ▪ Regeling informatieverstrekking SiSa. Bevindingen Bij onze controle over het jaar 2023 bleek onderbouwing van meerdere bestedingen ontoereikend. In ons accountantsverslag hebben wij hierover gerapporteerd. Als gevolg hiervan loopt de gemeente het risico om ontvangen Rijksbijdrage terug te moeten betalen. De afgelopen maanden lijkt de gemeente beperkt opvolging te geven aan onze eerdere adviezen door het recentelijk oprichten van een brede vakgroep van bij SiSa betrokken medewerkers. Deze kerngroep moet mede
Auditdienst ACAM – Boardletter 2024
invulling gaan geven aan de bovengenoemde adviezen. Wij zijn enthousiast over dit initiatief maar vragen tegelijkertijd aandacht voor de snelheid die nodig is om hiervan bij de komende jaarrekeningcontrole de vruchten te kunnen plukken. Observaties over herstelacties De afgelopen periode hebben wij veel contact gehad met directies over het herstel van in 2021, 2022 of 2023 geconstateerde onzekerheden. Hierover delen wij graag een aantal observaties: • Het aantal Spuk’s is in de afgelopen jaren sterk gestegen van 14 in 2019 naar 91 in 2023. Daarmee stijgt het aantal herstelacties. Voor circa 10 regelingen heeft de gemeente inmiddels contact met ons opgenomen. • De gemeente neemt per regeling contact met ons op na bericht van de subsidieverstrekker (bijvoorbeeld RVO, DUO, Veiligheidsregio, Provincie Noord-Holland of departementen binnen het Rijk) over de gevolgen van de gerapporteerde onzekerheid. Meestal is dat de dreiging van terugvordering van (een deel van) de subsidie. • De gemeentelijke directies hebben elk afzonderlijk contact met de subsidieverstrekker. De gemeente kiest hiervoor omdat regelingen inhoudelijk verschillen en de ministeries weten of er nog gecorrigeerd kan worden.
Ook de wijze waarop fouten of onzekerheden hersteld worden verschilt: het moment van corrigeren en de aanlevering bij de subsidieverstrekker verschilt per regeling en dat geldt ook voor wat er moet worden aangeleverd. • Bij een groot deel van de geconstateerde onzekerheden gaat het om uit Spuk’s gefinancierde activiteiten waarvan de uitvoering door de gemeente is uitbesteed aan een externe partij en waarover de ontvangen verantwoording van deze externe partij tekortschiet of te laat is ontvangen. • Het herstellen van de specifieke situatie (de onzekerheid) per subsidie vraagt veel tijd en inspanning van de gemeente en ACAM.
17
Home •
De opdrachtverstrekking voor de herstelacties aan ons verloopt ad hoc en met korte tijdslijnen waarbij frequent nog niet duidelijk is welk product van ons gevraagd wordt.
Op basis van de door ons via het accountantsverslag gerapporteerde onzekerheden lijkt voorspelbaar waar herstelwerk nodig is. Uiteraard erkennen we de verschillen in de voorwaarden waar de gemeente per Spuk aan moet voldoen en kunnen afspraken met ministeries afwijkend zijn. De sterke stijging van het aantal Spuk-verantwoordingen in de afgelopen jaren vraagt wel om een meer proactieve en gecoördineerde aanpak. Deze kan wellicht belegd worden bij de vakgroep SiSa. Uiteraard is het nog beter om onzekerheden te voorkomen. De onzekerheden in de SiSa-bijlage 2023 werden vooral veroorzaakt doordat de ontvangen verantwoording van externe partijen tekortschoot of te laat is ontvangen. De SiSa-regelgeving vereist dat de gemeente de rechtmatigheid van verantwoorde bedragen onderbouwt en aantoont dat de specifieke prestaties waarvoor de Spuk is ontvangen, zijn geleverd. Door het ontbreken van de verantwoording van de externe partijen kan de gemeente dat niet tijdig. Daardoor kunnen wij niet anders doen dan deze kosten als onzeker aan te merken. Advies Ga na of herstelacties meer proactief en meer gestandaardiseerd kunnen worden ingezet. Bijvoorbeeld door direct na vaststelling van onzekerheden bij de accountantscontrole te sturen op het herstel ervan.
Onderzoek of het mogelijk is om met de externe partijen af te spreken dat zij de verantwoording en indien nodig een controleverklaring uiterlijk begin februari aanleveren.
Auditdienst ACAM – Boardletter 2024
Onderzoek of het mogelijk is dat de gemeente door het jaar heen planmatig de uitbestede werkzaamheden monitort en daarmee de voor haar eigen verantwoording vereiste zekerheid verkrijgt en vastlegt.
4.4 Risico’s bij zzp’ers in het kader van de Wet Deregulering Beoordeling Arbeidsrelatie (wet DBA) Belang van het onderwerp Bij het inhuren van zzp’ers bestaat het risico dat zzp’ers werkzaamheden verrichten die overeenkomen met een arbeidsovereenkomst. Bijvoorbeeld als er sprake is van een gezagsverhouding. Er kan dan sprake zijn van schijnzelfstandigheid. Verplichtingen wet- en regelgeving Wet Deregulering Beoordeling Arbeidsrelatie (wet DBA). Bevindingen Om te voldoen aan de wet DBA heeft de gemeente zijn maatregelen getroffen. Of deze maatregelen toereikend zijn om de schijnzelfstandigheid gemeente breed te voorkomen is volgens de gemeente niet zeker. Per 1 januari 2025 gaat de belastingdienst handhaven op de wet DBA. De wet geeft aan dat werkgever en werknemer gezamenlijk een verantwoordelijkheid dragen over de juistheid van de arbeidsrelatie van zzp’ers. Het inhuren van zelfstandige zonder personeel (zzp’er) vindt binnen de gemeente plaats middels het Dynamisch Aankoopsysteem (DAS). Dit systeem is belegd bij de leadbuyer bedrijfsvoering. Met name bij het inhuren van zzp’ers die niet via DAS zijn aangemeld is mogelijk sprake van schijnzelfstandigheid. Bij schijnzelfstandigheid bestaat het risico dat de gemeente verantwoordelijk is voor de afdrachten loonheffing en premies met daarbovenop een boete. Naast de fiscale gevolgen zijn er ook mogelijk
18
Home arbeidsrechtelijke gevolgen (onder andere doorbetaling bij ziekte en ontslagbescherming). Aandachtspunt De gemeente heeft het risico van schijnzelfstandigheid onderkend en stelt via een extern bureau onderzoek in om vast te stellen of hier sprake van is.
4.5 Autorisatiebeheer applicaties in scope van jaarrekeningcontrole Belang van het onderwerp Autorisatiebeheer gaat om het correct toewijzen van de juiste autorisaties aan de juiste personen op het juiste moment. Belangrijke onderdelen binnen autorisatiebeheer zijn de periodieke controle op autorisaties, inrichting en monitoring van functiescheiding en speciale rechten. Deze vormen samen een essentieel onderdeel van een effectief beveiligingsbeleid en kunnen helpen bij het mitigeren van (fraude)risico’s. Verplichtingen wet- en regelgeving • De Baseline Informatiebeveiliging Overheid (BIO). De BIO is het overheid brede normenkader voor informatiebeveiliging en is van toepassing op alle overheidsorganisaties. • Het gemeentelijk kader voor autorisatiebeheer. Bevindingen Voor de eerste helft van 2024 hebben wij slechts voor een deel van de applicaties in onze scope werkzaamheden kunnen uitvoeren. De hiervoor benodigde informatie is niet volledig en tijdig aangeleverd door de organisatie.
Auditdienst ACAM – Boardletter 2024
De hieronder opgenomen bevindingen geven om die reden geen volledig beeld van de stand van zaken. In de audit op tweede helft van 2024 zullen wij proberen een volledig(er) beeld te krijgen en te rapporteren. De BIO schrijft voor dat de uitgegeven speciale toegangsrechten (speciale systeembevoegdheden van ICT-beheerders(accounts)) minimaal eens per kwartaal worden gemonitord. De volgende onderdelen maken onderdeel uit van onze controle: • monitoring van uitgegeven speciale toegangsrechten. • monitoring op ongewenste functievermenging. Wij zien op bovengenoemde twee onderdelen in de eerste helft van 2024 het volgende beeld: • Voor een groot deel van de applicaties in scope hebben wij vastgesteld dat de speciale toegangsrechten niet worden gelogd en/of gemonitord. De vereiste periodieke controle van speciale toegangsrechten (minimaal eens per kwartaal) wordt niet gehaald. • Wij constateren dat er geen volledig inzicht is in en monitoring op ongewenste functievermenging. De gemeente heeft aangegeven dat in Q3 en Q4 wordt gewerkt aan het maken van risicoanalyses per applicatie voor de speciale toegangsrechten en nemen van passende maatregelen naar aanleiding van geconstateerde risico’s alsook het inrichten van monitoring. Advies • Monitor de uitgegeven speciale rechten, eveneens in lijn met de BIO, minimaal eens per kwartaal.
• Voer de monitoring op ongewenste functievermenging in lijn met het stedelijk autorisatiebeheer proces uit.
19
Home
4.6 Aansluitaudits: Aansluiten op de gemeentelijke verstrekker (MKS) voor basisregistratie personen Belang van het onderwerp De directie Data van de gemeente Amsterdam levert een persoonsgegevensdienst aan de interne gemeentelijke afnemers. De afdeling Data Office ontvangt de persoonsgegevens van de Basisregistratie Personen (BRP) en distribueert deze persoonsgegevens naar de gemeentelijke afnemers. Voordat deze distributie kan plaatsvinden wordt een aansluitaudit2 uitgevoerd. De BRP bevat persoonlijke informatie zoals volledige namen, geboortedata, adresgegevens, Burgerservicenummers (BSN), geboorteplaatsen en andere identificerende informatie. Als deze gegevens in verkeerde handen vallen, kunnen ze worden misbruikt. Het is daarom van groot belang deze informatie op passende wijze te beschermen tegen misbruik. Verplichtingen wet- en regelgeving • De Wet Basisregistratie Personen. • De Baseline Informatiebeveiliging Overheid (BIO). • De Algemene Verordening Gegevensbescherming (AVG). • De richtlijn Webapplicaties Amsterdam. • Het aansluitprotocol zoals is bepaald door de directie Data.
2
De aansluitaudit is een onafhankelijke formele beoordeling voorafgaand aan de vrijgave (per formeel besluit door de verstrekker) van de BRP-gegevensdienst op basis van het aansluitprotocol. Bron: 2022121 AansluitprotocolsystematischeBRPdienstenv1.1
Auditdienst ACAM – Boardletter 2024
Bevindingen De basis voor het aansluitprotocol is inmiddels enige tijd oud. In 2023 heeft met (beperkte) aanpassingen een update plaatsgevonden, maar Data Office heeft al enige tijd het voornemen het aansluitprotocol grondiger te herzien. Dit is positief en wij onderschrijven het belang van een grondiger update. In dat kader geven wij twee bevindingen mee om te betrekken bij de grondiger update. Applicaties al live voordat aan voorwaarden is voldaan In 2024 hebben drie vergelijkbare situaties zich voorgedaan waarbij (een deel van) de applicatie en de koppeling op de BRP al live is gegaan voordat aan alle eisen van het aansluitprotocol was voldaan. Dit mede door de druk op de voortgang van het proces. In deze gevallen zijn op basis van de openstaande eisen vanuit het aansluitprotocol, risico-acceptatieformulieren opgesteld en is de (C)ISO betrokken. Het aansluitprotocol voorziet echter niet in een situatie van livegang zonder dat de aansluitaudit is afgerond of aan alle eisen uit het aansluitprotocol wordt voldaan. Er is geen formeel afwegingskader welke in deze situaties kan worden gehanteerd. Nauwelijks sprake van her-audits In het aansluitprotocol is aangegeven dat de verstrekker de afnemer opdracht kan geven tot het uitvoeren van een her-audit (bijvoorbeeld iedere 2 jaar). In de praktijk zien wij dat hier nauwelijks invulling aan wordt gegeven.
Daarmee bestaat het risico dat onvoldoende inzicht bestaat in het blijvend borgen van de vertrouwelijkheid van BRP-gegevens na live-gang.
formeel besluit door de verstrekker) van de BRP-gegevensdienst op basis van het a
20
Home Advies Ontwikkel een afwegingskader voor wanneer het toch wenselijk is om eerder live te gaan en de aansluitaudit nog niet is afgerond. Geef nader invulling aan de periodieke heraudit na livegang van de koppeling.
4.7 Vertragingen en wisselingen van de wacht binnen ITprojecten Belang van het onderwerp Het is van belang dat IT-projecten volgens planning (in ieder geval met minimale vertraging) worden gerealiseerd en kennis gedurende het project en daarna behouden blijft in de organisatie. Een vertraagde livegang betekent dat de gemeentelijke organisatie nog niet ondersteund wordt door de nieuwe functionaliteiten van de applicatie waardoor het lastiger kan worden om de gemeentelijke doelstellingen te behalen. Daarnaast zullen hoogstwaarschijnlijk de kosten hoger uitvallen. Wisselingen van medewerkers en managers in de programma’s die verantwoordelijk zijn voor IT-projecten kan leiden tot verlies van kennis. Verplichting wet- en regelgeving Niet van toepassing. Bevindingen ACAM voert diverse audits uit op applicaties voordat deze live gaan. Wij constateren (veel) vertragingen bij de implementatie van applicaties ten aanzien van de oorspronkelijke planning. Applicaties gaan tot een jaar later dan gepland live, waardoor de organisatie langer moet werken met de bestaande, vaak verouderde, applicaties. Een algemeen bekend voorbeeld is de vertraagde live-gang van AFIS.
Auditdienst ACAM – Boardletter 2024
Naast de vertragingen zien wij ook wisselingen van medewerkers en managers in de programma’s die verantwoordelijk zijn voor de implementatie van de applicatie. Wij zien bijvoorbeeld een project waarbij binnen één jaar inmiddels de derde programmamanager actief is. Ook binnen programma AFIS zijn diverse wisselingen geweest. Wij zien dat deze personele wisselingen leiden tot verlies van kennis en mogelijk tot verdere vertragingen. Wij onderkennen dat de dagelijkse praktijk weerbarstig is. Hierbij willen wij nog opmerken dat de projecten veelal onder verantwoordelijkheid en sturing van de lijn plaatsvinden. Daarmee willen wij benadrukken dat het probleem niet sec een i-domein probleem betreft en in gezamenlijkheid moet worden opgepakt. Advies Voer een evaluatie uit om te achterhalen welke oorzaken hebben geleid tot de vertragingen en wisselingen van de wacht. Richt binnen programma’s kennismanagement in zodat kennis binnen een programma wordt vastgelegd en kennisoverdracht mogelijk is bij wisseling van medewerkers.
4.8 Assurance-rapportages uitbestede diensten (SaaS applicaties) Belang van het onderwerp De gemeente gebruikt ter ondersteuning van haar bedrijfsprocessen in toenemende mate toepassingen op basis van software as a service (SaaS) in plaats van het in eigen beheer ontwikkelen en onderhouden van ITsystemen. Uitbesteden betekent dat er afspraken nodig zijn over de beschikbaarheid, integriteit, vertrouwelijkheid en de betrouwbaarheid van de gegevens in de SaaS applicaties.
21
Home Verplichtingen wet- en regelgeving De gemeente heeft in haar format voor de verwerkersovereenkomst3 opgenomen dat de leverancier jaarlijks een assurance-rapportage dient op te leveren. Het doel hiervan is inzicht te krijgen in het beheer bij de leverancier. Bevindingen In ons accountantsverslag 2023 hebben wij gerapporteerd over (het inzicht in) het beheer van SaaS-diensten. Daarin constateerden wij dat de assurance-rapportages voor een deel van de applicaties in onze scope niet beschikbaar waren. Daarvoor waren meerdere oorzaken. Eén daarvan was het ontbreken van inzicht in de beschikbaarheid van deze rapportages op centraal niveau. Vanuit de vakgroep leveranciers- en contractmanagement is aangegeven dat er een project is gestart om: • het inzicht in het beheer bij SaaS-applicaties te vergroten. • governance en waarborgen in te richten voor het jaarlijks beoordelen van deze rapportages en de eventuele risico’s te identificeren. De vakgroep heeft aangegeven dat er wordt gewerkt aan een meerjarenplan om de interne controle en risicobeheersing bij externe IT-leveranciers verder te versterken en intern te borgen.
nieuwe contractmanagement systeem. Dit biedt contractmanagers en stakeholders efficiënte en actuele inzichten in de naleving van de beveiligingsnormen. • Fase twee richt zicht op: o Het maken van een gap-analyse tussen de gemeentelijke eisen en de huidige afspraken die er zijn gemaakt over het beheer met deze SaaS leveranciers. o Bepalen van risico’s en mitigerende maatregelen op basis van de geconstateerde gaps. Hoewel de meeste auditrapporten in Q4 2024 en Q1 2025 worden verwacht, hebben wij begrepen dat tijdelijke maatregelen zijn geïmplementeerd voor leveranciers zonder (assurance) rapporten. Deze leveranciers moeten tijdens gesprekken hun interne beheersing aantonen, onder andere via Service Level Reporting. Contractmanagers monitoren dit nauwlettend. In de raadsinformatiebrief van juni 2024 is aangegeven dat de assurancerapportages voor de 87 kritische applicaties eind Q3 2024 volledig op orde zullen zijn, inclusief afspraken en toezicht. We kijken uit naar de uitkomsten van fase 1 van het project.
Het project behelst meerdere fasen: • Fase één start met verkrijgen van inzicht in de afspraken met leveranciers betreffende het beheer. De vakgroep heeft aangegeven naast de contracten zowel de ISOverklaringen als aanwezige Assurance rapportages op te nemen in het
3
Een verwerkersovereenkomst wordt gesloten als een externe organisatie/leverancier persoonsgegevens verwerkt of gebruikt in opdracht van de gemeente en de gemeente de zeggenschap houdt over deze gegevens. De verwerker moet de instructies van de gemeente opvolgen. De gemeente blijft
Auditdienst ACAM – Boardletter 2024
verwerkingsverantwoordelijke. In de verwerkersovereenkomst worden afspraken gemaakt over hoe er met deze persoonsgegevens wordt omgegaan. Bron: Intranet gemeente Amsterdam https://hoofdstad.sharepoint.com/sites/inrw-vi-bv/SitePages/privacy-afspraken-derden.aspx
22
Home
4.9 Voldoen aan wet- en regelgeving in het I-domein Belang van het onderwerp Voor veel taken van de gemeente is digitalisering van belang en daarom ook het voldoen aan wet- en regelgeving met betrekking tot digitalisering en informatieverwerking. Het niet voldoen aan wet- en regelgeving kan bijvoorbeeld de privacy van burgers schaden of de veiligheid van de systemen. Verplichtingen wet- en regelgeving Binnen het I-domein is onder andere de volgende wet- en regelgeving van belang: • Baseline Informatiebeveiliging Overheid (BIO). • Algemene Verordening Gegevensbescherming (AVG). • Wet open overheid (WOO). • Wet politiegegevens (WPG). Bevindingen In de bestuurlijke reactie op het verslag van de Rekeningencommissie is aangegeven dat de aanbevelingen van de Rekeningencommissie worden overgenomen. De Rekeningencommissie heeft onder andere de volgende aanbevelingen gedaan: • Over gaan tot daadwerkelijke implementatie van ontbrekende beheersmaatregelen en de periodieke toetsing op opzet, bestaan en werking van relevante beheersmaatregelen te borgen (BIO). • In kaart brengen welke toekomstige wet- en regelgeving wordt doorgevoerd en processen in te richten om de toekomstige wet- en regelgeving te implementeren.
vier jaren in control komt op het gebied van informatiebeveiliging. De stappen zijn: het opstellen van een gap-analyse, verbeterplannen naar aanleiding van de gap-analyse en de implementatie van de verbeterplannen. In 2023 zijn stappen gezet om gap-analyses uit te voeren en verbeterplannen op te stellen. Wij hebben begrepen dat deze lijn is voortgezet voor 2024 en dat er een start is gemaakt met het implementeren van de acties uit de verbeterplannen. De komende tijd zal door middel van periodieke rapportages door de directies/clusters inzicht worden gegeven in de voortgang van de implementatie. Door middel van onderzoeken door interne audit wordt de opzet, bestaan en werking van de beheersmaatregelen getoetst. De Europese richtlijn NIS2 wordt op dit moment omgezet in nieuwe, landelijk wetgeving: de Cyberbeveiligingswet (Cbw). De herziene BIO (BIO2) kan worden gezien als een norm voor overheidsorganisaties, die mogelijk verplicht wordt gesteld onder de Cbw. Zowel de Cyberbeveiligingswet als de BIO2 zijn momenteel nog in een concept-stadium. De landelijke vaststelling van de Cbw wordt verwacht in het 3e kwartaal van 2025. Amsterdam heeft inmiddels een programmamanager aangesteld en een programmateam geformeerd om de aanpak voor onze organisatie uit te werken. Wij kijken uit naar de uitwerking van deze aanpak.
In 2020 is er een gemeentelijk implementatieplan voor de BIO vastgesteld. In dit plan wordt de aanpak beschreven hoe de gemeente Amsterdam in drie á
Auditdienst ACAM – Boardletter 2024
23
Home
Hoofdstuk 5 Verslaggeving en accountantscontrole 5.1 Waardering Grondexploitaties Belang van het onderwerp Grondbeleid en grondexploitaties zijn langlopend. De financiële consequenties zijn niet altijd goed te voorspellen, terwijl het wel om grote bedragen gaat. Financieel inzicht in de plannen is van belang voor het structurele evenwicht van de baten en lasten en voor de haalbaarheid van de bouwambities (de vereveningsruimte). Verplichtingen wet- en regelgeving • Het BBV, specifiek de notitie ‘Grondbeleid in begroting en jaarstukken 2023’. • De nota ‘Financiële verantwoording grondexploitatie en erfpachtuitgifte van de gemeente Amsterdam’. Bevindingen In ons accountantsverslag 2023 hebben we aanbevolen om te onderzoeken of het mogelijk is om de meest actuele inzichten te betrekken bij het proces van ramen van de grondexploitaties of het proces te bekorten. Deze aanbeveling is voortgekomen uit de majeure afwijkingen in de ramingen van grondexploitaties in de P&C producten en (A)MPG, met als voornaamste oorzaken de volatiele marktomstandigheden en de doorlooptijd (van enkele maanden) voor het opstellen van ramingen.
Auditdienst ACAM – Boardletter 2024
In het AMPG 2024 is te lezen dat de verwachte daling van grondprijzen minder sterk is dan voorspeld in het MPG 2024. Daarnaast lezen wij dat een daling verwacht wordt van de marktwaarden en de grondprijzen van middel dure (particuliere sociale) huurwoningen. Verder is de inflatie (3,5%) fors hoger dan waar normaal gesproken mee wordt gerekend (2%). Deze ontwikkelingen laten zien dat er nog steeds sprake is van moeilijk voorspelbare en onzekere marktomstandigheden. Het AMPG 2024 is gebaseerd op de actualisatie van de grondexploitaties in het voorjaar van 2024 en de prognoses voor de portefeuille als geheel. De analyse vindt plaats op portefeuilleniveau en is gebaseerd op de actualisatie van alle onderliggende actieve grondexploitaties met peildatum 1 mei 2024. Uit het AMPG komt naar voren dat uit recente informatie blijkt dat de marktwaarden en de grondprijzen van middel dure huurwoningen en particuliere sociale huurwoningen nog verder zijn gedaald als gevolg van gestegen exploitatiekosten en hogere rendementseisen. Deze doorzettende daling was bij het actualiseren van de grondexploitaties nog niet bekend. Op portefeuilleniveau is deze prognose in dit AMPG verwerkt in het weerstandsvermogen. Om te bepalen of een voorziening dient te worden getroffen is een analyse op portefeuilleniveau niet toereikend.
Indien het resultaat van individuele grondexploitaties negatief is dient hiervoor direct een voorziening te worden getroffen. Wij vinden het dan ook belangrijk dat op balansdatum, mede rekening houdende met de gebeurtenissen na balansdatum, op basis van de meest recente informatie kan worden beoordeeld in hoeverre voorzieningen nodig zijn en/of de hoogte van bestaande voorzieningen dienen te worden aangepast.
24
Home Het college heeft als reactie op ons accountantsverslag 2023 aangegeven dat het niet mogelijk is om het proces te bekorten en volledig tegemoet te komen aan ons advies. Vanwege het belang herhalen wij ons advies. Advies Onderzoek op welke wijze actuele inzichten in de grondexploitaties verwerkt kunnen worden, om te voldoen aan de verplichtingen in het BBV. Advies Wij adviseren om op planniveau te inventariseren welke gebeurtenissen na balansdatum hebben voorgedaan die een grote financiële impact hebben en deze te betrekken bij het bepalen van de toereikendheid van de voorzieningen voor negatieve grondexploitaties. Stelselmatigheid Het BBV biedt gemeenten de mogelijkheid om deels zelf te bepalen welke kosten worden toegerekend naar de grondexploitaties. De gemeente Amsterdam heeft deze BBV-regels nader uitgelegd in de "Nota financiële verantwoording grondexploitaties en erfpachtuitgifte”. Deze nota geeft onder andere specifieke richtlijnen en bepalingen welke kosten worden geactiveerd als onderhanden werk grondexploitaties. In de Gemeentewet artikel 213 staat dat gemeente financiële informatie (cijfers) op een stelselmatig wijze dienen te verantwoorden. Dit houdt in dat de financiële gegevens op een consistente en systematische wijze geregistreerd en gerapporteerd worden.
Het college heeft verschillende financieel technische voorstellen gedaan om het weerstandsvermogen en de vereveningsruimte te verbeteren of verdere financiële verslechteringen te beperken. In 2023 zijn er bijvoorbeeld
Auditdienst ACAM – Boardletter 2024
reserveringen in de VEF samengevoegd om een grotere flexibiliteit toe te passen om generieke verslechteringen in meerdere plannen op te vangen. In 2024 is een voorstel gedaan om de rente vanaf 2025 niet meer toe te rekenen aan de grondexploitaties, plannen eerder af te sluiten en alternatieve dekkingsbronnen voor bodemsaneringskosten te onderzoeken. Dit is mede ingegeven door veranderende regels waardoor het grondbedrijf het renteomslagstelsel moet volgen. De gemeente geeft aan dat trendmatig deze omslagrente behoorlijk zal stijgen. Rentestijgingen zijn slecht voor financieel negatieve plannen die direct verslechteren. Binnen de regelgeving is het toegestaan om de rente niet toe te rekenen aan de grondexploitaties. Het effect hiervan is dat bij negatieve plannen de plansaldi verbeteren en daardoor de voorziening negatieve plannen lager wordt, wat direct een positief effect heeft op de vereveningsruimte in het Vereveningsfonds. Het wel of niet (direct) toerekenen van rente aan grondexploitaties betekent natuurlijk niet dat deze kosten of opbrengsten zich niet voordoen. Deze worden alleen op een andere manier administratief verwerkt. De administratieve verwerking van grondexploitaties is op zichzelf vrij complex. Wijzigingen daarin kunnen het inzicht verder verminderen.