Bijlage - Intern Controleplan 2021

Gemeente Arnhem

Plan interne controle 2021

1.

Inleiding en door de raad te nemen besluiten ................................................................................3 1.1 Aanleiding en indeling Interne Controleplan.................................................................................3 1.2 Ontwikkelingen..............................................................................................................................3 1.3 Door de raad te nemen besluiten..................................................................................................4

2.

Aanpak interne controle..................................................................................................................7 2.1 Inleiding .........................................................................................................................................7 2.2 Tooling ...........................................................................................................................................7 2.3 Deelverantwoording......................................................................................................................7 2.4 Significante posten en processen ..................................................................................................7 2.5 Risicoanalyse en controleaanpak per controlegebied...................................................................8 2.7 Rapportage ..................................................................................................................................10

BIJLAGE 1 - Technische bijlagen controleplan .......................................................................................11 1.1 Belang interne controle...............................................................................................................11 1.2 Wat is "in control" zijn? ...............................................................................................................11 1.3 Onderscheid interne controle en interne beheersing .................................................................12 1.4 Samenhang interne controle en externe (accountantscontrole) ................................................13 1.5 Rol en verantwoordelijkheden interne controle binnen de organisatie .....................................14 1.6 Processen organisatie..................................................................................................................15 1.7 IT-omgeving organisatie ..............................................................................................................16 1.8 Methode van uitvoering en vastlegging procescontroles ...........................................................17 1.9

Archief relevante ontwikkelingen in relatie tot de gestelde eisen aan de interne controle 20

BIJLAGE 2 - Model rechtmatigheidsverantwoording.............................................................................21 BIJLAGE 3 - Normenkader 2021.............................................................................................................22

Plan interne controle 2021

2

1.

Inleiding en door de raad te nemen besluiten

1.1

Aanleiding en indeling Interne Controleplan

Aanleiding Het college draagt zorg voor de interne toetsing van de getrouwheid van de informatieverstrekking en de rechtmatigheid van de beheershandelingen door de gemeente Arnhem. Dit is in overeenstemming met de regelgeving ad. art. 212/213 van de Gemeentewet en de door de raad vastgestelde financiële verordening ( artikel 8 'Interne controle') en controleverordening, welke laatste nadere aanwijzingen geeft aan de externe accountant over de reikwijdte van de accountantscontrole. Om hier door het college invulling aan te geven wordt jaarlijks het Interne Controleplan (hierna 'controleplan') bijgesteld en vastgesteld. Het controleplan geeft aan hoe de interne controle binnen de gemeente Arnhem georganiseerd is en dat de controle op procesniveau uitgevoerd moet worden. De externe accountant vraagt in zijn rapportage door middel van de zogenaamde 'boardletter' ook aandacht voor verbetering van de interne beheersing en rechtmatigheid op procesniveau. De aanbevelingen uit de meest actuele boardletter 2020 worden ook in dit controleplan meegenomen, vanuit ook de eerdere brief die over dit onderwerp naar de auditcommissie is gestuurd. Indeling In de indeling van dit controleplan hieronder wordt onderscheid gemaakt tussen enerzijds de actualiteiten en bijstellingen en anderzijds de meer reguliere, technische onderwerpen.

Deze laatste zijn omwille van de leesbaarheid voornamelijk in de technische bijlagen opgenomen.

1.2

Ontwikkelingen

Een aantal ontwikkelingen binnen en buiten de gemeente heeft invloed op de door het college van B&W en management gewenste doorontwikkeling van de interne controle. Hier is met een eerdere brief van het college aan de raad reeds aandacht aan besteed. De belangrijkste ontwikkeling is dat een wettelijke grondslag is gegeven aan de wens om met de uitvoering van interne controle een beoordeling te geven over het 'in control' zijn van de gemeentelijke organisatie. Deze beoordeling gebeurt in 2021 voor de eerste keer in de vorm van de zogeheten 'Rechtmatigheidsverantwoording', waarvoor het college van B&W per 1 januari 2021 zelf verantwoordelijk wordt. De wetswijziging is nog wel in afwachting van de behandeling door de Tweede Kamer, waardoor een slag om de arm gehouden moet worden voor wat betreft de ingangsdatum van deze rechtmatigheidsverantwoording. De externe accountant betrekt vervolgens de rechtmatigheidsverantwoording van het college bij het oordeel over de getrouwheid van de jaarrekening. Om een rechtmatigheidsverantwoording te kunnen afgeven moet de procesbeheersing goed op orde zijn en met behulp van interne controle moet aangetoond worden dat de rechtmatigheid op orde is. Het college moet kunnen vertrouwen op een kwalitatief goede interne controle op basis waarvan een gefundeerd oordeel kan worden gegeven en een rechtmatigheidsverantwoording kan worden afgeven.

Dit vereist een professionele interne controle aanpak, vastlegging en een gestructureerde rapportage waarbij het college meegenomen wordt in de uitkomsten van de interne controle. De rechtmatigheidsverantwoording wordt opgenomen in de jaarrekening. Deze verantwoording betreft de rechtmatige uitvoering van de taken en omvat het begrotings-, voorwaarden-, en misbruik- en oneigenlijk gebruik criterium bij de desbetreffende financiële beheershandelingen en transacties. Naast deze rechtmatigheidsverantwoording neemt het college in de bedrijfsvoeringsparagraaf van het jaarverslag een

Plan interne controle 2021

3

toelichting op over de financiële rechtmatigheid. Dit betekent dat in 2022 tijdens het vaststellen van de jaarstukken over 2021 verantwoording wordt afgelegd door het college over het handelen in 2021. Dit controleplan 2021 voorziet in de verschillende acties die worden ondernomen om de rechtmatigheidsverantwoording in de jaarstukken 2021 op te nemen. Los van de rechtmatigheidsverantwoording die het college afgeeft over de gemeentelijke jaarrekening, dient het dagelijks bestuur van gemeenschappelijke regelingen ook een rechtmatigheidsverantwoording af te leggen over de cijfers van de betreffende gemeenschappelijke regeling. Een aantal portefeuillehouders is lid van het dagelijks bestuur van een gemeenschappelijke regeling van de gemeente Arnhem. In de begroting is weergegeven om welke gemeenschappelijke regelingen het gaat. Dit controleplan gaat niet verder in op de Rechtmatigheidsverantwoording aangaande deze organisaties. Het is aan te raden dat de betreffende portefeuillehouders zich vanuit de rol van bestuurder laten informeren door de gemeenschappelijke regelingen over de stappen die aldaar gezet worden gezet om te komen tot de vereiste rechtmatigheidsverantwoording. Uiteraard kunnen de business controllers, indien nodig, de portefeuillehouders hierin adviseren / ondersteunen.

Tot slot is de coronacrisis een belangrijke ontwikkeling voor de organisatie, de processen en de financiële stromen met alle onzekerheden die daarbij horen. In dit controleplan wordt hierop verder ingegaan. In bijlage 1.9 zijn voor de volledigheid de eerdere maar nog steeds actuele ontwikkelingen opgenomen die zich doorvertalen in de toenemende eisen die aan de interne beheersing binnen de gemeente worden gesteld.

1.3

Door de raad te nemen besluiten

Voor de raad zijn de volgende vier onderdelen van dit controleplan van belang in het kader van de nieuwe rechtmatigheidsverantwoording en de BBV Notitie Rechtmatigheidsverantwoording daarover. Deze vier onderdelen hebben als doel om de kaderstellende- en controlerende rol van de gemeenteraad op het gebied van de rechtmatigheid te versterken. Het gaat om de volgende vier elementen, waarbij 1. en 2. door de raad via kennisname worden bevestigd en waarbij 3. en 4. door de raad worden vastgesteld: 1. 2. 3. 4.

Het kennis nemen van het standaardmodel voor de rechtmatigheidsverantwoording als bijlage model rechtmatigheidsverantwoording bij dit controleplan; Het vaststellen van het normenkader als bijlage normenkader 2021 bij dit controleplan; Het vaststellen van de verantwoordingsgrens op 1% van de totale lasten inclusief toevoegingen aan de reserves ; Het vaststellen van de volgende elementen die door het college in de bedrijfsvoeringsparagraaf over de rechtmatigheid moeten worden opgenomen: a. een toelichting op de oorzaken van de geconstateerde rechtmatigheidsafwijkingen en in gang gezette verbeteracties; b. indien van toepassing: een toelichting indien er een groot verschil zit tussen de door de gemeente geconstateerde rechtmatigheidsafwijkingen en die van de accountant; c. de algemene kwaliteit van de interne beheersing met optioneel ook de verbijzonderde leer- en verbeterpunten.

Ad 1. De commissie BBV heeft een standaardtekst opgesteld voor de rechtmatigheidsverantwoording, die straks een onderdeel vormt van de jaarrekening. In deze standaardtekst wordt gesproken over afwijkingen. Onder afwijkingen worden fouten en onduidelijkheden verstaan. Fouten zijn posten die niet rechtmatig tot stand zijn gekomen. Onduidelijkheden zijn posten, waarbij voor het college een onduidelijkheid bestaat over de rechtmatigheid. Deze onduidelijkheden staan niet gelijk aan de onzekerheden in de controle van de accountant. Het college voert immers geen accountantscontrole uit, maar krijgt vanuit interne toetsingen en monitoring informatie over onduidelijkheden, die twijfels oproepen over de rechtmatigheid. Het gaat hierbij

Plan interne controle 2021

4

dus niet om het ontbreken van (controle-)informatie, maar om (mogelijk tegenstrijdige) interpretaties van feiten en juridische normen. Uiteenlopende oordelen over de rechtmatigheid en de daarmee verband houdende lasten, kunnen weergegeven worden als onduidelijkheden. Het is de rol van het college om onduidelijkheden zoveel mogelijk te voorkomen. Waar deze (onverhoopt) voorkomen, moet het college ze binnen een redelijke termijn verhelderen. Ad 2. Voor een goede uitvoering van de rechtmatigheidscontrole is het belangrijk dat de geldende regelgeving duidelijk vastligt. Het college is primair verantwoordelijk voor de naleving van de wet- en regelgeving en moet dus permanent inzicht hebben in de van toepassing zijnde relevante wet- en regelgeving. Het college dient het normenkader conform de kadernota rechtmatigheid van het BBV jaarlijks voorafgaand aan de start van de jaarrekeningcontrole naar de raad te sturen. Het normenkader werd tot en met 2020 vastgesteld als bijlage in de begroting. Met ingang van 2021 wordt het normenkader opgenomen in dit controleplan. Argument hiervoor is dat het controleplan gaat over het huidige controlejaar en daarmee een betere plek is voor het normenkader dan de begroting die gaat over het nieuwe jaar. Ad 3.

De rechtmatigheidsverantwoording hanteert een verantwoordingsgrens, omdat alleen van belang zijnde aspecten in de verantwoording hoeven te worden betrokken. De verantwoordingsgrens is een door de raad vastgesteld bedrag, waarvoor geldt dat het college uitsluitend afwijkingen (fouten en onduidelijkheden) boven deze grens moet opnemen in de rechtmatigheidsverantwoording. De verantwoordingsgrens moet conform de BBV kadernota rechtmatigheid vallen binnen de bandbreedte van 0% tot 3% van de totale lasten van de gemeente, inclusief de dotaties aan de reserves. Als de afwijkingen conform de gekozen grens getrouw zijn weergegeven, heeft dit geen invloed op de strekking van de controleverklaring door de externe accountant. In de controleverklaring van de accountant wordt straks geen afzonderlijk oordeel meer gegeven over het aspect van de rechtmatigheid. Het college zal immers de rechtmatigheidsverantwoording opnemen in de jaarrekening. De accountant zal uitsluitend toetsen of de jaarrekening getrouw is, maar toetst daarbij dus ook of de rechtmatigheidsverantwoording dat is. Het college stelt voor aan de raad om dit percentage op 1% vast te stellen. Dat betekent dat het college alleen de afwijkingen (fouten en onduidelijkheden) boven deze grens rapporteert in de rechtmatigheidsverantwoording.

De verantwoordingsgrens moet conform de BBV kadernota rechtmatigheid vallen binnen de bandbreedte van 0% tot 3% van de totale lasten van de gemeente, inclusief de dotaties aan de reserves. De accountant controleert conform de controleverordening met 1% voor fouten en 3% voor onzekerheden. Met de rechtmatigheidsverantwoording door het college vallen alle afwijkingen onder één gekozen grens, die gezien kan worden als een mix tussen fouten en onzekerheden. De accountant blijft qua getrouwheid toetsen met 1% tolerantie voor fouten. Wanneer de raad de tolerantie op 1% zet, wijkt deze niet af van de tolerantie van de accountant. Wanneer de raad de tolerantie lager dan 1% zet, betekent dit naar verhouding veel extra werk in relatie tot de extra zekerheid die daarvoor wordt verkregen. Om deze reden van de optimale kosten/baten-afweging is in de controleverordening ook niet aan de accountant gevraagd om met minder dan 1% tolerantie de controle te doen. Dat sluit ook aan bij het landelijke beeld binnen de publieke sector, alsook de standaard aanpak die de accountantskantoren zelf hanteren in de private sector Ad 4. Het is aan de raad om aan het college mee te geven wat over de rechtmatigheid in de paragraaf bedrijfsvoering van het jaarverslag opgenomen moet worden, als aanvulling op de rechtmatigheidsverantwoording in de jaarrekening.

De kern daarbij is conform BBV kadernota rechtmatigheid: beheersing, rapportage en maatregelen. De genoemde onderwerpen a. - c. van het bovenstaande voorstel sluiten hierbij goed aan. Ad a.

Plan interne controle 2021

5

Het college rapporteert de feitelijk geconstateerde afwijkingen in de rechtmatigheidsverantwoording, als onderdeel van de jaarrekening. Een inhoudelijke toelichting op deze afwijkingen is niet opgenomen in het standaardmodel van de rechtmatigheidsverantwoording. Het is logisch dat het college dit doet in de bedrijfsvoeringsparagraaf met daarbij ook aandacht voor de verbeteracties. Ad b. De paragraaf bedrijfsvoering is onderdeel van het jaarverslag en niet van de jaarrekening. De accountant toetst deze dan ook anders dan de rechtmatigheidsverantwoording. De werkzaamheden van de accountant zijn er op gericht dat deze paragraaf verenigbaar is met de jaarrekening en alle informatie bevat die op grond van het BBV is vereist. Als er een groot verschil zit tussen de afwijkingen die de accountant zelf constateert ten opzichte van die door de gemeente zijn geconstateerd, mag deze informatie niet worden onthouden aan de gemeenteraad en dient het college dit ook in de paragraaf Bedrijfsvoering aan te geven. De accountant kan deze constatering ook vermelden in het accountantsverslag. Het accountantsverslag is de rapportage van de accountant aan de raad over de accountantscontrole van de jaarrekening. Ad c.

Aanvullend op de uitbreiding van de paragraaf Bedrijfsvoering met bovenstaande rechtmatigheidsinformatie, biedt deze paragraaf ook een prima gelegenheid om een ‘eigen verhaal’ aan de raad te vertellen over de kwaliteit van de interne beheersing en de leer- en verbeterpunten. Dat met als doel om als basis te dienen voor het gesprek dat raad en college over rechtmatigheid kunnen hebben. Het zou een gemiste kans zijn als bij de rechtmatigheidsverantwoording het beeld ontstaat, dat de verantwoording afgelegd wordt aan de accountant. Dat is namelijk nadrukkelijk niet de bedoeling van de rechtmatigheidsverantwoording.

Plan interne controle 2021

6

2.

Aanpak interne controle

2.1 Inleiding In dit hoofdstuk behandelen wij de controleaanpak die erop is gericht te komen tot een rechtmatigheidsverantwoording door het college, alsmede om opvolging te geven aan de procesaanbevelingen van de externe accountant . We gaan achtereenvolgens in op de tooling (2.2), de deelverantwoordingen (2.3), de significante posten en processen (2.4), de risicoanalyse en controleaanpak per proces (2.5) en de planning (2.6) en rapportage (2.7).

2.2 Tooling De tool Naris wordt door de gemeente gebruikt voor het risicomanagement. Met ingang van 2021 is een extra module van Naris in gebruik genomen voor de uitvoering van de verbijzonderde interne controle. Het voordeel van deze nieuwe tooling is dat de interne controle meer dan voorheen gestructureerd en beter gedocumenteerd kan worden uitgevoerd, om uiteindelijk het college de rechtmatigheidsverantwoording te kunnen laten opstellen.

2.3 Deelverantwoording Voordat het college de gemeentebrede rechtmatigheidsverantwoording kan afgeven, moet er vanuit de lijn een basis liggen door middel van IC-rapportages cq rechtmatigheidsverantwoordingen over de onderliggende processen. De afdelingshoofden zijn aangewezen om een rechtmatigheidsverantwoording af te geven voor hun team c.q. proces. Naast de afdelingshoofden zijn team- en procescoördinatoren (hierna 'procescoördinatoren") aangewezen voor het oppakken van verbeterpunten, die naar voren komen vanuit de gemeentelijke interne controle en de externe controle door de accountant. Zij hebben hierin een stimulerende rol richting de afdelingshoofden. De procescoördinatoren worden daarbij ondersteund door de 2e en 3e lijn. Voor uitleg van het zogenaamde 'three lines of defense model' wordt verwezen naar bijage 1.5. De procescoördinator rapporteert periodiek over de voortgang van de verbeterpunten, indien van toepassing. De interne audit functie (3e lijn) toetst vanuit een onpartijdige en deskundige rol deze voortgang, alsmede de door de afdelingshoofden afgegeven rechtmatigheidsverantwoording. Hiermee wordt een lerende organisatie gecreëerd. Bovengenoemde aanpak wordt in Naris verwerkt in de controleplannen. Per proces worden de risico’s en beheersmaatregelen in beeld gebracht die in de 1e lijn aanwezig zijn.

Periodiek worden de beheersmaatregelen getoetst door middel van de beoordeling van de opzet, het bestaan en de werking van de beheersmaatregelen. Dit begint met een jaarlijks gesprek van de 2e en/of 3e lijn met het afdelingshoofd, de procescoördinator en de medewerkers in het proces (functionarissen die verantwoordelijk zijn voor de 1e lijn). In dit gesprek worden de risico’s en beheersmaatregelen doorgenomen en geactualiseerd. Tegelijkertijd worden de bevindingen en aanbevelingen uit voorgaande interne controles doorgesproken. Vervolgens vindt door de 2e en/of 3e een lijncontrole plaats door voor één transactie de opzet, bestaan en werking van de beheersmaatregelen te toetsen. Afsluitend worden voor de hele populatie aan transacties de uitgevoerde beheersmaatregelen getoetst via steekproeven / IT controles en data-analyse. Niet alleen controles uitvoeren en rapporteren wat er niet goed gaat, maar ook de procescoördinatoren helpen om de procesbeheersing (inclusief IT) te verbeteren.

2.4 Significante posten en processen Wij toetsen jaarlijks de kwaliteit van de opzet, de invoering (het bestaan), en de werking van de belangrijkste interne controlemaatregelen voor alle significante (materiele) financiële bedrijfsprocessen. Een bedrijfsproces is in dit verband een afgebakend geheel van eenduidige maatregelen van administratieve organisatie en interne controle.

Plan interne controle 2021

7

Op basis van de financiele gegevens zijn voor 2021 onderstaande controlegebieden onderkend, met ook de aanbevelingen uit de actuele boardletter van de accountant, waar van toepassing: Controlegebieden IC Baten Algemene uitkering Belastingopbrengsten Huren Uitkeringen Rijk Subsidieontvangsten Parkeeropbrengsten Grondverkopen Overige opbrengsten Lasten Lonen en salarissen Inkopen Treasury Grondaankopen Sociaal domein (Zorg in natura en PGB) Sociale uitkeringen Subsidieverstrekkingen en gelden derden Overige controlegebieden Financiele administratie

Waardering grondexploitatie Investeringen / MVA IT omgeving

Actuele boardletter 2020

Rechtmatigheid EU aanbestedingen

Controles en kosten Tozo-regeling, impact COVID-19 Beheersing uitbestede processen

Conversie financieel pakket, inrichting, functiescheiding memoriaalboekingen, sturing op balansposten en tweedelijns controle, vennootschapsbelasting Vastleggingen grondexploitatie IT-beheersomgeving en cybersecurity

2.5 Risicoanalyse en controleaanpak per controlegebied Voor bovenstaande controlegebieden wordt per gebied een controleplan in Naris opgesteld. Basis van dit controleplan is de risicoanalyse. Daarbij wordt het inherent risico op onjuistheden en onrechtmatigheden ingeschat. Het inherente risico wil zeggen: de gevoeligheid van een bewering voor een afwijking die afzonderlijk of samen met andere afwijkingen van materieel belang kan zijn, in de veronderstelling dat er geen interne beheersingsmaatregelen zijn met betrekking tot deze bewering. Deze gevoeligheid wordt bepaald door onder andere de volgende factoren:  complexiteit van de regelgeving;  aantal en aard transacties;  automatiseringsomgeving;  bevindingen van voorgaand jaar;  eventuele andere overwegingen (bijv. wijzigingen in wet en regelgeving, politieke focus). Belangrijkste uitgangspunten van onze controleaanpak zijn:  We zetten in op het in control krijgen van de automatiseringsomgeving (general controls en application controls van relevante applicaties);  Uitgebreide vastlegging;  Werking application controls vastleggen middels print screens;  Aantonen betrouwbaarheid lijstwerk;

Plan interne controle 2021

8

  

Duidelijke aansluiting tussen de controlestukken en de financiële administratie. Werkzaamheden ten behoeve van het vaststellen van de opzet, bestaan en werking van beheersmaatregelen Gegevensgerichte werkzaamheden, waaronder steekproeven

Van de processen is het de vraag welk doel ze hebben en in hoeverre de beheersingsmaatregelen de risico’s in het proces afdichten. Hierbij worden niet alleen financiële risico’s genoemd, maar ook operationele risico’s, waardoor de organisatiedoelstellingen mogelijk niet gerealiseerd (kunnen) worden. Overigens vindt risicoanalyse voortdurend plaats, omdat alle bevindingen aanleiding kunnen zijn om de controle-aanpak bij te stellen. Op basis van de risicoanalyse worden achtereenvolgens zogeheten systeem-/organisatiegerichte en gegevensgerichte werkzaamheden uitgevoerd. De fase van systeem-/organisatiegerichte werkzaamheden is erop gericht vast te stellen of de belangrijke beheersmaatregelen in de processen en systemen inderdaad werken zoals beschreven (beoordeling opzet, bestaan en werking van de beheersmaatregelen in de processen). In deze fase komen ook de verschillen aan het licht tussen hoe de organisatie denkt dat een proces verloopt en hoe het feitelijk verloopt. De fase van gegevensgerichte werkzaamheden is onder andere erop gericht die processen of activiteiten te controleren, die geen procesbeschrijving hebben of waarvan het efficiënter is om direct naar de transacties te kijken in plaats van naar het hele proces. Een voorbeeld hiervan is het aangaan van langlopende leningen.

Daarnaast worden ook op alle andere processen die zijn genoemd in hoofdstuk 2.4 (ook degene waar systeemgerichte werkzaamheden zijn uitgevoerd) gegevensgerichte werkzaamheden uitgevoerd. Deze dienen om extra zekerheid te verkrijgen over of de beheersmaatregelen het gewenste effect hebben gehad of om extra controlezekerheid te verkrijgen in de situatie dat uit procesgerichte werkzaamheden tekortkomingen zijn gebleken. De werkzaamheden worden verspreid over het jaar uitgevoerd, zodat er, bij gebleken aandachtspunten, voldoende tijd is om bij te sturen. Omdat er wel een voldoende omvangrijke massa dient te zijn om te controleren, zullen de deelwaarnemingen overwegend in het 2e deel van het jaar uitgevoerd worden. Voor de te hanteren controletoleranties verwijzen wij naar het controleverordening. Meer informatie over de uitvoering van deze werkzaamheden is opgenomen in bijlage 1.8. De Planning & Control cyclus van gemeente Arnhem is leidend voor de uitvoering van de werkzaamheden. De planning voor de uitvoering van de IC in 2021 is als volgt: Stap 1. 2. 3. 4. 5. 6. 7. 8. 9.

10. 11.

Werkzaamheden Actualisatie interne controleplan 2021 in overleg met de concerncontroller Overleg met accountant (afstemmen en controleplan, aanpak en ophalen aandachtspunten vanuit accountant) Opstellen intern controleplan per controlegebied Coachingstraject met betrekking tot IT omgeving en opstellen intern controleplan IT omgeving Verbijzonderde interne controle opzet, bestaan en werking relevante beheersmaatregelen Uitvoeren gegevensgerichte werkzaamheden voorcontrole Bespreken uitkomsten verbijzonderde interne controle en controleaanpak per controlegebied met concerncontroller en MT inclusief rapportage Rapportage interne controle eerste half jaar Actieve rol in de interim-controle van de accountant. Wij nemen de accountant mee in de uitkomsten van de IC en “begeleiden” de accountant bij de interim-controle zodat een efficiënte interim-controle door de accountant kan worden uitgevoerd Evaluatie controleaanpak per controlegebied Werksessie met proceseigenaren om opvolging aanbevelingen door te spreken en concreet te maken inclusief tijdspad en afspraken. Op deze

Plan interne controle 2021

Tijdspad Januari - mei 2021 Januari - mei 2021 Januari - juni 2021 Januari - augustus 2021 Juli - augustus 2021 Juli - augustus 2021 November 2021 Augustus - september 2021 September 2021

Oktober 2021 Oktober - december 2021

9

12. 13. 14. 15. 16. 17. 18 19.

manier geven we concrete invulling aan de opvolging van de aanbevelingen en nemen we de proceseigenaren goed mee. Meewerken aan reactie op boardletter Uitvoeren gegevensgerichte werkzaamheden voorcontrole (juli tm oktober) maanden) Voorafgaand aan de jaarrekeningcontrole accountant vindt een afstemmingsmoment plaats om de eventueel aanvullende ICwerkzaamheden met de accountant af te stemmen. Uitvoeren gegevensgerichte werkzaamheden (november en december) Evaluatie gegevensgerichte controlewerkzaamheden Afsluitende IC rapportage naar controllers (inclusief bespreking ) en daarna naar het MT Rapportage interne controle gehele jaar, input voor rechtmatigheidsverantwoording Opstellen intern controleplan 2022, gebaseerd op de bevindingen uit de interne controle 2021 en rekening houdend met de rechtmatigheidsverantwoording 2022

Oktober - december 2021 November - december 2021 Februari 2022 Februari-maart 2022 Februari-maart 2022 maart - april 2022 April 2022 Juni 2022

2.7 Rapportage Van de periodieke controles wordt verslag gedaan aan het management zodat deze tijdig op hoogte is van de kwaliteit van de uitvoering en eventueel tijdig kan bijsturen. De frequentie waarin wordt gerapporteerd is afgestemd op de behoefte van het management en bestuur om op de hoogte blijven van de kwaliteit van de uitvoering. De interne controles en de rapportages daarover zullen worden ingepast in de reguliere planning & control cyclus van de gemeente Arnhem. De planning is als volgt:  augustus / september 2021: rapportage over de uitkomst van de interne controles wat betreft de processen.  April 2022: rapportage over de uitkomst van de interne controles over de werkzaamheden in het hele voorgaande jaar. De 2 rapportages betreffen beknopte managementrapportages die wordt vastgesteld in het MT en ter informatie wordt aangeboden aan het college. De inhoud van de rapportages is als volgt: De eerste rapportage heeft de volgende inhoud:  Stand van zaken IC  Per proces een tussentijds oordeel over de interne beheersing.  Samenvatting bevindingen  Overzicht geconstateerde fouten en onrechtmatigheden  Acties n.a.v. de bevindingen in de processen in de eerste rapportage  Voorstel actie MT en/ of college n.a.v. geconstateerde tekortkomingen.

De tweede rapportage heeft de volgende inhoud:  Conclusies per proces  Per proces een eindoordeel over de interne beheersing.  Samenvatting bevindingen (inclusief bevindingen n.a.v. managementletter accountant en acties die hierop zijn geformuleerd.  Overzicht geconstateerde fouten en onrechtmatigheden  Acties in het nieuwe jaar n.a.v. de bevindingen.  Vertaling van de bevindingen uit de interne controle naar de rechtmatigheidsverantwoording

Plan interne controle 2021

10

BIJLAGE 1 - Technische bijlagen controleplan 1.1 Belang interne controle Een goed opgezette interne controle is een belangrijke pijler voor de gemeente in het kader van planning en control. Enerzijds voor het controleren en signaleren van tekortkomingen in de uitvoering van de taken. Anderzijds voor het bijsturen en het afleggen van verantwoording over de uitgevoerde taken. Met een toereikend controleplan kan de uitvoering van taken met structuur en efficiency worden gedaan. Het primaire doel van interne controle is om een beeld te krijgen van de kwaliteit van de bedrijfsvoering. Interne controle is een middel om de kwaliteit van de bedrijfsvoering (continu) te verbeteren en tijdig bij te kunnen sturen in processen. Bij de interne controle wordt zichtbaar vastgesteld dat processen beheerst worden, zoals dat met de inrichting van de administratieve organisatie beoogd was. Ook wordt met de uitkomsten van interne controle aangetoond dat (wel of niet) aan de eisen van rechtmatigheid, verantwoording en controle wordt voldaan.

1.2 Wat is "in control" zijn? Een organisatie is 'In Control' als een organisatie zodanig is ingericht dat de juiste discussie op het juiste moment op het juiste niveau wordt gevoerd zodat (indien nodig) bijgestuurd kan worden om zo de doelstellingen te realiseren. 'In Control' wil dus zeggen dat de organisatie zo is ingericht dat goed bestuur mogelijk is. Dit betekent ook een adequate, tijdige en actuele informatieverstrekking vanuit de werkprocessen. De controleomgeving is de basisvoorwaarde voor een goed functionerende organisatie die "in control" is. De aspecten ‘soft controls’, cultuur, houding en gedrag zijn hierin belangrijk.

De BBV notitie rechtmatigheid spreekt over drie ambitie- cq. volwassenheidsniveau's van "in control" zijn, met als meest verregaande vorm het afgeven van een zogeheten “In Control Statement” (ICS) over het gehele functioneren van de organisatie. Dit gaat verder dan de rechtmatigheidsverantwoording en zegt ook iets over het functioneren van de interne bedrijfsvoering en betrouwbaarheid van (risicomanagement)processen en ITsystemen.

Plan interne controle 2021

11

De gemeente Arnhem zet met dit controleplan in op niveau 2, waarbij zowel het college als de raad de mogelijkheden hebben om andere thema's/processen toe te voegen aan de rechtmatigheidsverantwoording. Het voordeel hiervan is dat de raad aanvullend geïnformeerd kan worden over belangrijke aandachtspunten binnen de bedrijfsvoering van de gemeente, die een plek krijgen in de paragraaf Bedrijfsvoering. Uiteraard zal dit wel tot extra controle-inspanningen (middelen en formatie) leiden binnen de gemeente.

1.3 Onderscheid interne controle en interne beheersing Het in beeld brengen van de procesrisico’s en de beheersingsmaatregelen zijn de basis voor een effectieve en efficiënte uitvoering van de (verbijzonderde) interne controle. Hierbij wordt onderscheid gemaakt tussen interne beheersing en interne controle. Een korte uitleg: Interne beheersing De basis van de interne controle is een goede administratieve organisatie en daarin ingebouwde interne beheersing. Elke proceseigenaar binnen onze gemeente heeft inzicht nodig in “wat kan er fout gaan in mijn proces” en “welke maatregel heb ik getroffen om te voorkomen dat deze fout wordt gemaakt”. Deze interne beheersing in de 1e lijn moet geborgd zijn in het werkproces. Dit betekent niet dat alle afdelingen jaarlijks controles op basis van een steekproef moeten uitvoeren. In het werkproces moeten de beheersmaatregelen zijn ingeregeld. De uitvoering van de beheersmaatregel dient zichtbaar vastgelegd te worden. Naast interne beheersing in de 1e lijn is er ook interne beheersing in de 2e lijn. Dat betreft de interne beheersing die uitgevoerd wordt door de financiële adviseurs/controllers en concernadministratie.

Deze interne beheersing richt zich met name op het toetsen van de financiële uitkomsten van de processen en voert werkzaamheden uit om de volledigheid van de opbrengstenverantwoording en juistheid van de kostenweergave vast te stellen. Interne controle Naast de interne beheersing is de interne controle (IC) te onderkennen. De interne controle heeft als doel om vast te stellen dat processen beheerst worden, maar ook om tekortkomingen in de procesbeheersing en de uitvoering tijdig te onderkennen. Zodat ook tijdig actie kan worden ondernomen om correcties door te voeren. De informatie uit de interne controles en de inbedding van de interne controlemaatregelen in de organisatie helpen om de kwaliteit van de bedrijfsvoering te verbeteren. De IC richt zich voornamelijk op de zogenaamde getrouwheid van de informatieverstrekking en de rechtmatigheid van (financiële) beheershandelingen. Dit betekent dat de IC vooral gericht is op vaststellen van:  het juist gebruik van gedelegeerde bevoegdheden;  het opvolgen van de wet- en regelgeving, gemeentelijke verordeningen, voorschriften, instructies, procedures;  betrouwbaarheid (juistheid, volledigheid, tijdigheid) en rechtmatigheid van transacties en de daarbij behorende gegevensverwerking;  betrouwbaarheid (juistheid, volledigheid, tijdigheid) en rechtmatigheid van informatievoorziening en verantwoordingrapportages;

Plan interne controle 2021

12

   

te waarborgen dat wij onze processen beheersen en financiële risico’s voldoende zijn afgedekt door adequate beheersmaatregelen; te waarborgen dat de interne beheersmaatregelen werken; aanbevelingen te kunnen geven voor het verbeteren van de kwaliteit van de processen; de externe accountantscontrole voor te bereiden c.q. te ondersteunen.

De interne controle richt zich daarbij (ook) op:  Zowel de 1e lijn als 2e lijn van interne controle. Zie bijlage 1.5 voor meer informatie over deze lijnen van controle.  IT-controle. Enerzijds is hierbij de focus gericht op de algemene IT-beheersmaatregelen en beheersmaatregelen in de afzonderlijke applicaties. Anderzijds op Eenduidige Normatiek Single Information Audit (ENSIA). Zie bijlage 1.7 voor meer informatie over de IT organisatie. Het primaire doel is het verbeteren van de kwaliteit van de bedrijfsvoering; de informatie uit de interne controles en de inbedding van de interne controlemaatregelen in de organisatie helpen om de kwaliteit van de bedrijfsvoering te verbeteren. Het secundaire doel is een maximale aansluiting te realiseren tussen de werkzaamheden van de externe accountant en de verbijzonderde interne controle zodat de accountant optimaal gebruik kan maken van de werkzaamheden van de verbijzonderde interne controle functie.

1.4 Samenhang interne controle en externe (accountantscontrole) De externe (accountants) controle is sinds boekjaar 2015 belegd bij Deloitte Accountants B.V.. Een doelstelling van gemeente Arnhem is een maximale aansluiting te realiseren tussen de uitgevoerde interne controlewerkzaamheden en de door de accountant te verrichten (externe) werkzaamheden. Daarom is het belangrijk om onze accountant als adviseur te betrekken bij de aanpak van de IC en de uitvoering van de IC, waarbij het college wel de eigen verantwoordelijkheid blijft houden. Volgens de Nadere voorschriften controle en overige Standaarden (ook wel NV COS genoemd) toetst de accountant jaarlijks de kwaliteit van de opzet, de invoering (het bestaan), en de werking van de belangrijkste interne controlemaatregelen voor alle significante financiële bedrijfsprocessen. De bedrijfsprocessen zijn in paragraaf 2.4 van dit plan nader uitgewerkt.

De mate waarin de accountant gebruikmaakt van de werkzaamheden van de IC in het kader van de verbijzonderde interne controle is afhankelijk van: • de mate waarin de organisatorische positie en relevante beleidslijnen en procedures van de interne auditfunctie de objectiviteit van de interne auditors ondersteunen; • het competentieniveau van de interne auditfunctie; en • of de interne auditfunctie een systematische en gedisciplineerde benadering hanteert, inclusief kwaliteitsbeheersing (w.o. reviewfunctie). Het is aan de accountant om een keus te maken in het gebruik van de interne audit functie (IAF). Normaal gesproken zijn 3 varianten mogelijk in het gebruikmaken van de werkzaamheden van de IAF door de accountant: 1. Steunen op de IAF conform Standaard 610 (NV COS); 2. Deels gebruik maken van de werkzaamheden van de interne controle en IAF, door de IC als verlengstuk te gebruiken (voorbereiden, organiseren, verzamelen); 3. Niet steunen op de werkzaamheden van de IC. De controle van de accountant vindt grotendeels plaats op basis van variant 3. Gezien de huidige normen die accountants hanteren bij het steunen op de interne controle functie is variant 2 de ambitie.

Plan interne controle 2021

13

1.5 Rol en verantwoordelijkheden interne controle binnen de organisatie Rol en verantwoordelijkheden van de raad in het kader van interne controle De gemeenteraad is als hoogste orgaan binnen de gemeente kaderstellend en controlerend. De opdrachtverstrekking aan de accountant vindt plaats door de raad. De raad stelt in het controleprotocol het normenkader en de goedkeurings- en rapportagetoleranties vast. De accountant controleert de jaarrekening en verstrekt een verklaring waarin hij een oordeel geeft over het getrouwe beeld en de rechtmatigheid. De accountant is verantwoordelijk voor een degelijke en begrijpelijke onderbouwing van zijn oordeel in het verslag van bevindingen. De accountant rapporteert zijn constateringen aan raad. De raad heeft bij het vaststellen van de jaarrekening de mogelijkheid om met betrekking tot bepaalde onrechtmatigheden een indemniteitsprocedure te starten. Indien onrechtmatigheden voortkomen uit eigen regelgeving heeft de raad de bevoegdheid om bij voldoende uitleg deze onrechtmatige handelingen achteraf te sanctioneren. Indien de regel goed is maar de naleving onvoldoende dan is de raad verantwoordelijk om het college op te dragen maatregelen te nemen die een adequate naleving verzekeren.

Rol en verantwoordelijkheden van het college en ambtelijke organisatie in het kader van interne controle Het college is als bestuur primair verantwoordelijk voor het “in control” zijn van de organisatie. Het college is verantwoordelijk voor de getrouwheid en de rechtmatigheid van de uitvoering van het financiële en nietfinanciële beheer. Het college moet zodanige maatregelen treffen dat de getrouwheid en rechtmatigheid van de complete uitvoering gewaarborgd is. Een onderdeel hiervan is het laten opstellen van het normenkader en toetsingskader. Het college legt verantwoording af aan de raad over de uitvoering van de werkzaamheden / werkprocessen en adequate vastlegging hiervan. Het college geeft een schriftelijke bevestiging af aan de accountant waarin het college verklaart de juiste en volledige informatie te verstrekken en de zaken benoemt die in het kader van de getrouwheid en rechtmatigheid van belang kunnen zijn. De ambtelijke organisatie is verantwoordelijk voor de diverse processen en is het “werkapparaat” van het college. De ambtelijke organisatie is verantwoordelijk voor een goede bedrijfsvoering.

Voor een adequate uitvoering van de interne controle moet worden voldaan aan enkele randvoorwaarden:  onafhankelijke positie van de interne controle functie;  geen belemmeringen opgelegd door het bestuur of management;  vaktechnische bekwaamheid van de interne controleur (uitvoering getrouwheids- en rechtmatigheidswerkzaamheden);  (inhoudelijke) deskundigheid van de interne controleurs met betrekking tot het object van onderzoek;  zorgvuldigheid: planning, begeleiding, beoordeling en vastlegging. Onderstaand plaatje met de zogeheten drie lijnen van interne controle geeft invulling aan deze randvoorwaarden.

Plan interne controle 2021

14

ste

1 lijn

de

2 lijn de

3 lijn Management / Proces eigenaar Verantwoordelijk voor: - Beleid - Proces - Budget - Risicobeheersing (strategisch, tactisch, operationeel)

Control / Advies

Ondersteunt, adviseert, coördineert en bewaakt 1ste lijn bij de inrichting en uitvoering van financieel en business control.

Interne audit / control Interne audit Verantwoordelijk voor het testen van de werking van beheersmaatregelen, de beoordeling van de e

samenwerking tussen de 1 en e

2 lijn en het doen van verbetervoorstellen.

De 1e lijnfuncties vormen de basis zijn voor een goede interne beheersing. De afdelingshoofden (veelal teammanager of programmamanager) zijn eigenaar van de interne beheersing van hun processen maar ook goede en zichtbare interne beheersingsmaatregelen in hun processen. Zij worden hierbij ondersteund door de 2e en 3e lijn. In de 2e lijn hebben de business controller en gegevensmanager van de business domeinen op de afdeling Financien en Control (F&C) een belangrijke spil- en aanjaagfunctie naar het management. De verbijzonderde interne controle (VIC) functie (3e lijn) van het concern domein op de afdeling F&C heeft met name een toetsende en adviserende rol naar de 1e en 2e lijn. Deze VIC functie is primair belegd bij het team concern financiën waar de interne audit functie deel vanuit maakt en die onder de concerncontroller functioneert. De vaktechnische bekwaamheid, de deskundigheid en zorgvuldigheid geborgd, met name ook doordat meerdere RA’s functioneren op het controleteam die veel ervaring hebben met zowel externe als interne controle bij gemeenten.

1.6 Processen organisatie Een proces is een reeks samenhangende activiteiten gericht op het realiseren van een bepaald doel, bijvoorbeeld het verstrekken van WMO voorzieningen of het verstrekken van een subsidie. De basis voor een goede procesbeheersing is een goede procesinrichting. De procesinrichting moet goed afgestemd zijn op het beleid en het normenkader. De proceseigenaar is primair verantwoordelijk voor de procesinrichting en de procesbeheersing.

Plan interne controle 2021

15

• Procesbeschrijving • Automatiseringsomgeving • Normenkader

• Inventariseren risico’s en benoemen beheersmaatregelen

Procesinrichting

Risicomanagement

Rechtmatigheids verantwoording

Op orde = effectievere IC

Intern audit

• Toetsen en adviseren • Integraliteit audits (combi IT en proces audits) • security & privacy

Zelfevaluatie

• 1e lijn zelf verantwoordelijk maken voor procesbeheersing (basis voor rechtmatigheidsverantwoording ) • Gebeurt al met Ensia (zelfevaluatie) • Zelfevaluatie voeren we al uit maar moet meer zichtbaar zijn

De cyclus van de procesinrichting, risicoanalyse, zelfevaluatie en interne audit wordt al grotendeels toegepast in de interne controle aanpak van gemeente Arnhem. Aandachtspunt hierin betreffen de procesbeschrijvingen en zelfevaluatie, deze zijn niet altijd actueel en/of voldoende gedocumenteerd. Met de nieuwe controletool Naris die we met ingang van 2021 gaan gebruiken, gaat deze formele tekortkomingen meer worden afgedwongen.

1.7 IT-omgeving organisatie De IT-omgeving is het fundament voor de meeste werkprocessen binnen een organisatie. Door de toegenomen digitalisering en automatisering, de informatiebeveiliging, privacy is een goede beheersing van de automatiseringsomgeving een must.

Plan interne controle 2021

16

Binnen de gemeente is in het kader van het ENSIA (eenduidige normatiek single information auditprogramma) een CISO (chief information security officer) aangewezen en in het kader van de AVG (algemene verordening gegevensbescherming) een FG (functionaris gegevensbescherming) aangewezen die verantwoordelijk zijn voor de informatiebeveiliging en de gegevensbescherming. De basis voor de informatiebeveiliging ligt in de BIO (baseline informatiebeveiliging overheid). Een belangrijk onderdeel van de BIO is de logische toegangsbeveiliging van de automatiseringsomgeving en de applicaties. In het kader van de jaarrekeningcontrole voert de accountant een IT-audit uit. Deze IT-audit is met name gericht op de applicaties en processen die zijn gerelateerd aan de jaarrekening. Door de toenemende digitalisering van veel processen zijn goed werkende IT controls een voorwaarde voor het in control zijn. Accountants steunen niet meer op processen op het moment dat hiaten aanwezig zijn in de zogeheten IT controls. Dat betreft enerzijds de ‘general IT controls’ (logische toegangsbeveiliging, wijzigingsbeheer en de continuiteit van de gegevensverwerking) en anderzijds de ‘application controls’ (denk bijvoorbeeld aan de digitale autorisatie van een inkoopfactuur).

Reparatie achteraf door extra steekproeven en deelwaarnemingen doordat de geautomatiseerde procesbeheersing niet op orde is, moet dan zoveel mogelijk worden voorkomen. De energie wordt in de ‘voorkant’ van een proces gestoken om zo de procesbeheersing goed op orde te krijgen. Hierbij hebben wij nauw contact met De Connectie, die in 2020 zijn gestart met het verkrijgen van de zogenaamde ISAE 3402 certificering. ISAE 3402 is een internationale standaard die door de nationale beroepsorganisaties wordt gehanteerd. Deze standaard geeft aan in hoeverre De Connectie voldoet aan bepaalde eisen in de opzet, het bestaan en de werking van de interne controles in financiële werkprocessen. Dit leidt tot een efficiënt en effectief controleproces bij zowel De Connectie, als bij ons als klantorganisatie.

1.8 Methode van uitvoering en vastlegging procescontroles Jaarlijks wordt gestart met de actualisering van de significante posten en processen en de risicoanalyse. Vervolgens gaan we per proces de opzet, het bestaan en (waar nodig) de werking toetsen. Met de interne controle kijken we naar de opzet (hoe staat het op papier), het bestaan (wat is er werkelijk) en de werking (toetsing) van de beheersingmaatregelen op procesniveau. De uitvoering van een interne controle op een bedrijfsproces zal plaatsvinden in vier verschillende fases, namelijk: Fase 1: Het in kaart brengen van het bedrijfsproces (opzet) In deze fase wordt het bedrijfsproces in kaart gebracht door een (beknopte) procesbeschrijving en risicoanalyse op te stellen of te actualiseren. De procesbeschrijvingen worden gebruikt voor het beschrijven van de verrichten activiteiten c.q. handelingen, de daarbij betrokken (verantwoordelijke) functionarissen en de in- en uitgaande informatiestromen van het bedrijfsproces. We streven erna om de processen niet te gedetailleerd te beschrijven. Wel zal de essentie van de processen worden vastgelegd. Fase 2. Risicoanalyse en controle opzet Risico-inschatting is het (continue) proces waarin de organisatie zich bezig houdt met het identificeren en analyseren van risico’s (zowel interne als externe risico’s).

Plan interne controle 2021

17

In deze fase worden aan de belangrijkste functionarissen van het proces gevraagd worden aan te geven wat de belangrijkste risico’s binnen proces zijn en hun visie op de deze risico’s. Aan de hand hiervan zal de in de risicoanalyse onderkende risico’s beschreven worden en deze gekoppeld worden aan de interne beheersingsmaatregelen die deze risico’s moeten ondervangen. Fase 3: Lijncontrole en testwerkzaamheden (bestaan en de werking of vaststellen dat externe partij dit heeft uitgevoerd (bijvoorbeeld De Connectie)) Door middel van een lijncontrole wordt het gehele proces doorgelopen aan de hand van de lijncontrole en eventueel aanvullende testwerkzaamheden. Het doel van de lijncontrole is vast te stellen of de procesbeschrijvingen juist zijn en dat de in de eerste fase geïdentificeerde controle maatregelen daadwerkelijk bestaan. Eventueel worden aanvullend op de lijncontrole testwerkzaamheden uitgevoerd op de belangrijkste interne beheersingsmaatregelen. Voor de uitvoering en vastlegging van de lijncontrole en testwerkzaamheden zal o.a. gebruik worden werklijsten. Door het uitvoeren van testwerkzaamheden kan een oordeel worden gegeven over de werking van deze interne beheersingsmaatregelen. Binnen procesgericht controleren onderkennen we de volgende strategieën: -

-

Systeemgerichte controle: testen van beheersmaatregelen, op basis van analyse van het proces (opzet en bestaan) wordt bepaald in hoeverre er beheersmaatregelen bestaan binnen het proces waarop gesteund kan worden. Indien er effectieve beheersmaatregelen bestaan binnen het proces, kan gekozen worden voor controle van de werking van beheersmaatregelen Gegevensgerichte werkzaamheden worden uitgevoerd om afwijkingen van materieel belang op beweringniveau (richting) te ontdekken en omvatten detailcontroles van transactiestromen, posten in het financiële overzicht en onderdelen van de toelichting bij het financiële overzicht, alsmede gegevensgerichte cijferanalyse. Gegevensgerichte werkzaamheden worden uitgevoerd om in te kunnen spelen op het ingeschatte risico van een afwijking van materieel belang. Deze methode wordt gevolgd indien blijkt dat niet gesteund kan worden op beheersingsmaatregelen.

De doelstelling van het uitvoeren van systeemgerichte werkzaamheden is beoordelen of een interne beheersingsmaatregel effectief heeft gewerkt. Het doel van een gegevensgerichte detailcontrole is om afwijkingen van materieel belang op beweringniveau te ontdekken. Omvang deelwaarneming Voor een systeemgerichte controle is de mate (aantal) waarin een interne beheersingsmaatregel wordt uitgevoerd bepalend voor het aantal testen dat uitgevoerd zal worden. Voor een transactiegerichte test is de mate van optreden van de procesgang bepalend voor het aantal deelwaarnemingen. Hierbij speelt de omvang (in euro's) binnen een proces een rol, eveneens als de mate waarin beheersmaatregelen aanwezig zijn en of sprake is van een normaal of significant risico. Een globale richtlijn hiervoor wordt in tabel 1. weer gegeven. *Tabel 1: Richtlijn voor hoeveelheid testwerkzaamheden Soort proces (mate van optreden) Dagelijkse proces. Wekelijks proces Maandelijks proces Kwartaal Jaarlijks proces

Aantal waarnemingen Testen beheersmaatregel 25 8 2 1 1

Indien bij het toetsten fouten worden ontdekt, dient de omvang van de deelwaarneming te worden verhoogd afhankelijk van de aard van de geconstateerde afwijking. Indien bij de aanvullende deelwaarnemingen weer

Plan interne controle 2021

18

fouten worden geconstateerd dan wordt er uitgegaan van een niet/onvoldoende functionerende interne controle (zie verder fase 4 voor evaluatie). Bij detailcontroles (gegevensgerichte controle) wordt waar mogelijk gebruikt gemaakt van key-items, waarbij de grootste transacties als key item geselecteerd zal worden (om zo veel mogelijk zekerheid te verkrijgen over de verantwoorde bedragen). De toereikendheid van de aantallen voor de gegevensgerichte controle moeten in overleg met de accountant bepaald worden. De belangrijkste methoden voor het trekken van steekproeven zijn aselecte trekking, systematische trekking en willekeurige trekking. De steekproeven zullen overwegend aselect getrokken worden, waarbij tendentie in de selectie vermeden dient te worden. Hierbij dient rekening gehouden te worden met voldoende spreiding van de waarnemingen over het jaar heen. Fase 4: Evaluatie en vastlegging In de laatste fase van de uitgevoerde interne controle vindt de evaluatie van de interne beheersingsmaatregelen binnen het proces plaats en wordt een rapportage gevuld. In dit document worden onder meer eventueel gebleken tekortkomingen als bevindingen opgenomen. Geconstateerde financiële fouten kunnen in drie categorieën worden ingedeeld: - Structurele fouten; dit zijn fouten waarvan de oorzaak bekend is, zodat de financiële gevolgen zijn door te rekenen en te herstellen.

Als die analyse van de gevolgen van de gevonden foutoorzaak voldoende fouten boven tafel haalt, is extrapolatie niet meer nodig. - Incidentele fouten; van deze fouten is de oorzaak niet bekend, zodat de accountant er rekening mee moet houden dat zij zich in de gehele massa kunnen voordoen. Aanvullende werkzaamheden zijn daarom nodig. - Unieke fouten; deze fouten zijn van dien aard dat ze verder niet in de massa voorkomen. In feite zijn het fouten die zich eenmalig voordoen. Aangetoond moet worden dat de oorzaak van de fout zodanig van aard is dat deze ook daadwerkelijk verder niet meer voorkomt. Extrapolatie is niet nodig. Er wordt altijd uitgezocht hoe de fout is ontstaan. Dit kan bijvoorbeeld door het uitvoeren van een aanvullende steekproef of het inkaderen van de massa waarin de fout kan plaatsvinden. Als de fout is ontstaan in het boekjaar waarover verantwoording wordt afgelegd dan kan deze vaak worden hersteld. Als de fout wordt geconstateerd in een volgend boekjaar, dan moet na het herstellen van de fout alsnog worden meegenomen in de foutenevaluatie. Geconstateerde onrechtmatigheden kunnen vaak worden hersteld door de gemeenteraad of het college. De volgende methodes zijn beschikbaar: • De gemeenteraad is bevoegd om een voorwaarde buitenwerking te stellen. Deze voorwaarde heeft dan geen interne en externe werking en leidt dan niet tot een rechtmatigheidsfout.

• De gemeenteraad is bevoegd om een werkwijze goed te keuren. Bijvoorbeeld als subsidieaanvragen niet tijdig zijn ingediend maar toch zijn behandeld kan de gemeenteraad besluiten dat dit rechtmatig is. Deze procedure heet de indemniteitsprocedure. • Op basis van een hardheidsclausule kan het college bevoegd zijn om per geval een onrechtmatigheid goed te keuren. Het college kan dit enkel voor specifieke gevallen en mag niet een gehele massa goedkeuren, dit recht is voorbehouden aan de raad. In digitale dossiers zijn de onderliggen stukken beschikbaar waardoor de accountant de uitvoering van onze werkzaamheden kan toetsen (bijvoorbeeld: beschikkingen, facturen, printscreens, etc).

Plan interne controle 2021

19

1.9 Archief relevante ontwikkelingen in relatie tot de gestelde eisen aan de interne controle Naast de actuele ontwikkelingen voor 2021 (zie paragraaf 1.2) zijn hieronder de eerdere ontwikkelingen opgenomen, die nog steeds actueel zijn en zich doorvertalen in toenemende eisen die aan de interne beheersing binnen de gemeente worden gesteld:  Door de AFM worden flink hogere eisen gesteld aan de rol en de werkzaamheden van de accountant. Ook voor gemeenten heeft dit een forse (financiële) impact. Deze eisen vertalen zich ook door naar de eisen die aan de interne beheersing binnen de gemeente worden gesteld.  De horizontale verantwoordingsplicht van het college naar de raad als gevolg van de Wet revitalisering generiek toezicht 2012 legt een zekere druk op de kwaliteitsverbetering van de organisatie in het algemeen en de interne beheersing in het bijzonder.  Vanuit beheersingsoptiek is er sprake van een complexere en veranderende omgeving door ontwikkelingen als de decentralisaties, toename digitalisering en meer samenwerkingsverbanden.  Steeds meer auditverplichtingen (inclusief zelfevaluaties) op verschillende terreinen binnen de gemeente.

Bijvoorbeeld op het gebied van de Baseline Informatiebeveiliging Overheid (BIO) per 1 januari 2020 (de doorontwikkeling van de BIG), de Eenduidige Normatiek Single Information Audit (ENSIA), maar ook binnen het sociaal domein voor bijvoorbeeld prestatielevering door zorgaanbieders.  Steeds meer processen worden verder gedigitaliseerd en bevatten application controls (bijvoorbeeld functiescheiding bij digitale factuurafhandeling) waarbij goed werkende General IT Controls (logische toegangsbeveiliging, change management en continuïteit) een basisvoorwaarde zijn voor goed werkende application controls. Dit vraagt in toenemende mate inspanningen op deze IT onderwerpen bij het aantonen van de rechtmatigheid en getrouwheid van de jaarrekening.

Plan interne controle 2021

20

BIJLAGE 2 - Model rechtmatigheidsverantwoording Hieronder staat het model dat wordt opgenomen in de jaarrekening. Dit model met ook de extra toelichting is hier te vinden.

Model van de rechtmatigheidsverantwoording Verantwoordelijkheid college van burgemeester en wethouders1 In deze rechtmatigheidsverantwoording geeft het College van burgemeester en wethouders aan in hoeverre de in de jaarrekening verantwoorde baten en lasten, alsmede de balansmutaties, rechtmatig tot stand zijn gekomen. Dit houdt in dat deze in overeenstemming zijn met door de gemeenteraad vastgestelde kaders zoals de begroting en gemeentelijke verordeningen en met bepalingen in de relevante wet- en regelgeving. Deze verantwoording betreft de rechtmatige uitvoering van de taken en omvat het begrotings-, voorwaarden-, en misbruik- en oneigenlijk gebruik criterium bij de desbetreffende financiële beheershandelingen en transacties. Bij de waarderingsgrondslagen in de jaarrekening is het door de raad op XX XXX 202X vastgestelde normenkader van de relevante wet- en regelgeving verder toegelicht. Deze verantwoording hanteert een grensbedrag omdat alleen de van belang zijnde aspecten in de verantwoording hoeven te worden betrokken. Deze grens is door de gemeenteraad bepaald en bedraagt x% (maximaal 3) van de totale lasten inclusief mutaties in de reserves en is daarmee vastgesteld op € x.

Conclusie Het college is van mening dat de in deze jaarrekening verantwoorde baten en lasten alsmede de balansmutaties (niet) rechtmatig tot stand zijn gekomen binnen de daarvoor gestelde grens. De geconstateerde afwijkingen betreffen2:  In de paragraaf Bedrijfsvoering heeft het college beschreven welke actie zij onderneemt om de afwijkingen in de toekomst te voorkomen. 1 In deze tekst wordt gesproken over college van burgemeester en wethouders, maar deze geldt ook voor gedeputeerde staten van de provincie en het (dagelijks) bestuur van gemeenschappelijke regelingen. Daar waar gemeente staat, dient ook provincie of gemeenschappelijke regeling gelezen te worden 2 De afwijkingen (fouten en/of onduidelijkheden als gedefinieerd in de Kadernota Rechtmatigheid) worden alleen vermeld indien de door de gemeenteraad gestelde verantwoordingsgrens voor rechtmatigheid is overschreden.

Plan interne controle 2021

21

BIJLAGE 3 - Normenkader 2021 Het normenkader (voor de rechtmatigheidscontrole) betreft de inventarisatie van relevante regelgeving, waaruit financiële beheerhandelingen kunnen voortvloeien die bij niet-naleving kunnen leiden tot een onrechtmatigheid. Jaarlijks wordt het normenkader geactualiseerd. Het betreft een dynamisch document aangezien er gedurende het jaar wijzigingen kunnen optreden in de geldende regelgeving. Onderstaand is het geactualiseerde normenkader opgenomen dat door de raad samen met dit controleplan kan worden vastgesteld voor de rechtmatigheidscontrole:

Proces Gemeentefonds (Financiën) Treasury (Financiën)

Programma S00-S12

Externe wet- en regelgeving Circulaires gemeentefonds

S00-S12

Investeringen (Financiën)

S00-S12

Jaarrekening (Financiën)

S00-S12

Relatiebeheer Verplichtingen administratie (Financiën) Begroting (MJPB) en budgetbeheer Aanbestedingen (Financiën)

S00-S12 S00-S12

Wet financiering decentrale overheden (Fido) Besluit leningvoorwaarden decentrale overheden (Bldo) Uitvoeringsregeling financiering decentrale overheden (Ufdo) Regeling schatkistbankieren decentrale overheden Regeling uitzettingen en derivaten decentrale overheden (Ruddo) Burgerlijk Wetboek Gemeentewet (artikel 212) Algemene wet bestuursrecht Besluit begroting en Verantwoording Besluit Begroting en Verantwoording Wet Normering Topinkomens Kadernota rechtmatigheid BADO (Besluit Accountantscontrole Decentrale Overheden) Wet markt en overheid Regeling beleidsindicatoren gemeenten Regeling vaststelling wijze waarop kengetallen worden vastgesteld en opgenomen in begroting en jaarverslag provincies en gemeenten Regeling vaststelling taakvelden en verstrekking informatie voor derden Geen specifieke wet- en regelgeving