Bijlage 1 Boardletter 2023 Baarle-Nassau
Tekst van het document
18 december 2023
BOARDLETTER 2023
GEMEENTE BAARLE-NASSAU
Aanbiedingsbrief
Aan:
Geachte leden van de raad,
de gemeenteraad van de gemeente Baarle-Nassau Postbus 105 5110 AC BAARLE-NASSAU
In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2023 van de gemeente Baarle-Nassau, brengen wij u met deze boardletter verslag uit over onze bevindingen naar aanleiding van onze interim-controle. Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar onze opdrachtbevestiging.
Eindhoven, 18 december 2023
U heeft de verantwoordelijkheid ten aanzien van de bedrijfsvoering gemandateerd aan het bestuur en de directie van de ABG-organisatie. Onze bevindingen en adviezen ten aanzien van de bedrijfsvoering hebben wij in een management letter gerapporteerd aan de directie van de ABG-organisatie. In deze boardletter hebben wij de management letter voor u samengevat. De belangrijkste bevindingen hebben wij opgenomen in het dashboard van voorliggende boardletter.
Kenmerk:
Wij vertrouwen erop u met deze boardletter naar aanleiding van onze interim-controle 2023 van dienst te zijn geweest. Hoogachtend, BDO Audit & Assurance B.V. namens deze,
Ter informatie De digitale versie van dit document is vanaf de inhoudsopgave interactief. Aan de hand van de navigatiebalk onderaan de pagina en/of de menustructuur bovenaan de pagina kan door het document genavigeerd worden.
VORIGE PAGINA
VOLGENDE PAGINA
INHOUDSOPGAVE
SAMENVATTING
drs. D.O. Meeuwissen RA Partner en extern accountant gemeente Baarle-Nassau
Inhoudsopgave
DASHBOARD INTERIMCONTROLE
4. IT-BEHEER
2. ONTWIKKELINGEN & AANDACHTSPUNTEN
3. BEVINDINGEN SIGNIFICANTE PROCESSEN
4
1. Dashboard interim-controle
1.1 Dashboard interim-controle
1.1 Dashboard interim-controle RECHTMATIGHEIDSVERANTWOORDING
ONS BEELD VAN DE ORGANISATIE
Wij constateren dat er goede stappen zijn gezet ten opzichte van de boardletter 2022. Dit uit zich onder andere in de opgestelde frauderisicoanalyse en frauderesponseplan, maar vooral ook in de centrale en gestructureerde uitvoering en vastlegging van de interne controles. Hiermee is de organisatie klaar voor de komende rechtmatigheids-verantwoording. Wij onderkennen nog een aantal verbetermogelijkheden om onderdelen van een voldoende naar goed te krijgen. De in deze boardletter opgenomen adviezen betreffen adviezen vanuit onze controle 2023 én adviezen uit eerdere jaren die nog niet opgevolgd of afgerond zijn, waaronder de invoering van een nieuw Purchase to Pay systeem waarvan de implementatie nog loopt.
ONTWIKKELINGEN SOCIAAL DOMEIN
Vanaf 1 januari 2023 zijn in de regio Hart van Brabant Wmo begeleiding en dagopvang belegd bij een coalitie van zorgaanbieders. Wij adviseren het college om concrete afspraken te maken met deze coalitie omtrent de financiële verantwoording en de bepaling van de rechtmatigheid van de kosten. De verordeningen Wmo zijn aangepast naar de nieuwe situatie. Wij adviseren het college om te beoordelen of de bepalingen in de verordening aansluiten bij de daadwerkelijke uitvoering en eventueel de verordening hierop aan te passen.
DASHBOARD
5
ONTWIKKELINGEN
FRAUDERISICOBEHEERSING
De rechtmatigheidsverantwoording is met ingang van boekjaar 2023 ingevoerd. De organisatie heeft in 2023 duidelijke stappen gemaakt ten behoeve van de invoering van de rechtmatigheidsverantwoording.
Wij zullen in de controleverklaring 2023 weer rapporteren over onze werkzaamheden rondom frauderisicobeheersing en continuïteit. Wij zijn met het college in overleg gegaan over de aanwezige beheersmaatregelen rondom frauderisico’s.
Wij adviseren het college om de ontwikkelingen rondom de landelijke kaders nauwlettend te volgen en hierop tijdig te anticiperen.
De organisatie heeft duidelijke stappen gezet en verbeteringen doorgevoerd in de uitvoering en gestructureerde vastlegging van de interne controles. Wij hebben het college geadviseerd over verdere verbeterpunten en aandachtspunten ten behoeve van de vertaling naar de rechtmatigheidsverantwoording.
In 2023 heeft het college een risicoanalyse per proces opgesteld. Wij hebben het college geadviseerd om in het IC-verslag tevens een overkoepelende frauderisicoanalyse en rapportage van de bevindingen op te nemen die als basis kan dienen voor de dialoog met de gemeenteraad.
In 2023 is een frauderesponsplan opgesteld. Hiermee is door het college opvolging gegeven aan ons advies.
AANDACHTSPUNTEN JAARREKENING
INTERNE BEHEERSING & BEHEERSING IT
Aanbestedingen: Met het oog op de invoering van de rechtmatigheidsverantwoording hebben het college geattendeerd op de aandachtspunten rondom aanbestedingen, inflatie en wezenlijke wijzigingen.
Begrotingsonrechtmatigheid: Naar aanleiding van een nadere toelichting van de commissie BBV hebben wij adviseren het college tevens aandacht te hebben voor begrotingsonderschrijdingen van lasten of investeringsbudgetten en/of lagere of hogere baten dan begroot.
SISA: Doordat de SiSa-verantwoording onderdeel uitmaakt van de rechtmatigheidsverantwoording en het aantal SiSa-regelingen jaarlijks toeneemt, hebben wij afspraken gemaakt over de planning en uitvoering van de controle van de SiSa-bijlage.
INTERNE BEHEERSING
IT-BEHEER
Op basis van onze observaties concluderen wij dat de interne beheersing en controleomgeving van voldoende niveau is. De actiepunten rondom interne beheersing zijn grotendeels gelijk gebleven aan vorig jaar en zijn conform planning onderhanden.
Inzicht en continue evaluatie van de (cyber)risico’s en adequate beheersingsmaatregelen op het gebied van informatiebeveiliging en cybersecurity zijn nodig om voorbereid te zijn op hack- en phishingaanvallen en andere cybersecurity risico’s. Wij hebben het college geïnformeerd over de aanbevelingen ten aanzien van cybersecurity.
De belangrijkste bevindingen hebben betrekking op gebruikers met superuserrechten binnen Key2Financiën en Level, het uitvoeren en documenteren van een periodieke controle op de juistheid en actualiteit van toegekende autorisatie óf wordt deze niet (toereikend) gedocumenteerd en op de procedures ‘indienst en uitdienst’.
6
2. Ontwikkelingen & Aandachtspunten
2.1 Rechtmatigheidsverantwoording 2.2 Rapporteren over fraude en continuïteit in de controleverklaring 2.3 Ontwikkelingen in het sociaal domein 2.4 Aandachtspunten jaarrekening 2023
2.1 Rechtmatigheidsverantwoording (1/3)
Geen apart oordeel rechtmatigheid in controleverklaring
7
Invoering rechtmatigheidsverantwoording met ingang van 2023 - ontwikkelingen Vanaf dit boekjaar geeft het college de rechtmatigheidsverantwoording voor wat betreft de financiële rechtmatigheid (het begrotingscriterium, voorwaardencriterium en misbruik en oneigenlijk gebruik) af. De rechtmatigheidsverantwoording maakt onderdeel uit van de jaarrekening. De accountant geeft een getrouwheidsoordeel af bij de jaarrekening en daarmee ook bij de rechtmatigheidsverantwoording. Dit betekent dat de accountant vanaf boekjaar 2023 in haar controleverklaring geen apart oordeel meer afgeeft over de rechtmatigheid. Ten aanzien van de SiSa-bijlage geeft de accountant nog wel een oordeel over de rechtmatigheid. De SiSaverantwoording wordt namelijk niet alleen een onderdeel van de rechtmatigheidsverantwoording in de jaarrekening, maar ook van de accountant wordt verwacht dat deze rapporteert over de rechtmatigheid van de SiSa-verantwoording. Dat doen wij in het accountantsverslag, maar mogelijk ook in de controleverklaring bij de jaarrekening als geheel.
Bij het schrijven van deze boardletter zijn diverse documenten onderhanden, ter consultatie aangeboden of reeds gepubliceerd: Het Besluit accountantscontrole decentrale overheden en de aanpassing van het BBV zijn ter consultatie gepubliceerd; De NBA-Handreiking 1152 rechtmatigheidstoelichting decentrale overheden is ter consultatie gepubliceerd; De kadernota rechtmatigheid van de commissie BBV is begin oktober 2023 openbaar gemaakt. De notitie van de commissie BADO wordt hierna geactualiseerd. Begin november 2023 heeft de Commissie BBV nadere toelichting gegeven over de begrotingsrechtmatigheid ten aanzien van onderschrijdingen en de definitie van het begrip ‘tijdig’.
Meer bewustwording van de eigen verantwoordelijkheid
Verantwoordingsgrens wordt vastgesteld op 1%
DASHBOARD
De rechtmatigheidsverantwoording zorgt voor meer bewustwording bij het college van haar verantwoordelijkheid voor een goed financieel beheer. De kaders en uitgangspunten voor de rechtmatigheidsverantwoording liggen enerzijds vast in wet- en regelgeving en worden anderzijds bepaald door de gemeenteraad. Deze opzet stimuleert het dualisme waarin de raad een kaderstellende en controlerende rol inneemt. Stand van zaken ABG De totstandkoming van de rechtmatigheidsverantwoording is een proces met interactie tussen verschillende gremia dat start bij het bepalen van de verantwoordingsgrens door de raad. Deze verantwoordingsgrens ligt tussen de 0% en 3% en de gemeente heeft het vastgesteld op 1% van de lasten inclusief toevoegingen aan reserves. De financiële verordening van de gemeente is in december 2023 vastgesteld door de gemeenteraad. Daarnaast is ook de financiële verordening van de ABG-organisatie in december 2023 door het bestuur van ABG-Organisatie vastgesteld. De spelregels tussen het college en de raad over het begrip tijdigheid zijn in de financiële verordening verwerkt. Wij adviseren echter om ook rekening te houden met onderschrijdingen. Hiermee voorkomt u dat onduidelijk is hoe het college met deze situaties moet omgaan. Zie hiervoor ook paragraaf 2.4.
ONTWIKKELINGEN
INTERNE BEHEERSING
IT-BEHEER
2.1 Rechtmatigheidsverantwoording (2/3)
8
Vastleggen formele afspraken tussen ABGorganisatie en gemeenten inzake rechtmatigheidsverantwoording
De rechtmatigheidsverantwoording bij ABG Ten aanzien van de rechtmatigheidsverantwoording is, door de wijze van samenwerken, bij ABG sprake van een bijzondere situatie. De ambtelijke medewerkers staan op de loonlijst van GR ABG-Organisatie, maar verrichten financiële beheershandelingen waarvan de lasten terugkomen in de jaarrekening van de deelnemende gemeenten, zoals het verstrekken van subsidies of de processen rondom uitkeringen in natura en in geld. Dit geldt tevens voor de medewerkers van de interne controle afdeling. Door deze wijze van samenwerken binnen de ABG-gemeenten is niet het college van de betreffende gemeente verantwoordelijk voor de bedrijfsvoering en inrichting van de administratieve organisatie, maar het bestuur van GR ABGOrganisatie. De colleges van de gemeenten hebben geen invloed op de inrichting van de primaire processen, maar leggen wel verantwoording af aan de gemeenteraad over de rechtmatigheid. In beginsel leiden de onrechtmatigheden die voortvloeien uit het handelen van de ambtelijke medewerkers ook tot onrechtmatigheden voor de gemeenschappelijke regeling, echter, de hieruit voortvloeiende lasten zitten niet in de jaarrekening van de gemeenschappelijke regeling.
Hierdoor ontstaat de bijzondere situatie dat medewerkers van de gemeenschappelijke regeling financiële beheershandelingen verrichten die tot onrechtmatigheden in de jaarrekening van de gemeente leiden. Wij hebben het college geadviseerd om in de financiële verordening de formele afspraken vast te leggen tussen de colleges van de deelnemende gemeenten en het bestuur van de gemeenschappelijke regeling over de informatieverstrekking, meer specifiek het rapporteren over de geconstateerde onrechtmatigheden gedurende het jaar, ten behoeve de rechtmatigheidsverantwoording van de colleges van de deelnemende gemeenten.
Doorontwikkeling interne controlefunctie
Mogelijke doorontwikkeling interne controlefunctie in het kader van de rechtmatigheidsverantwoording Er is een belangrijke coördinerende rol voor de (verbijzonderde) interne controlefunctie weggelegd ten aanzien van de rechtmatigheidsverantwoording. Bij de ABG-organisatie zijn de processen zo ingericht dat met name de interne controlewerkzaamheden, de vastleggingen en de uitkomsten hiervan de basis zijn voor de onderbouwing van de rechtmatigheidsverantwoording. De verantwoordelijkheden voor de rechtmatigheidsverantwoording liggen echter veel breder; alle organisatieonderdelen, directie en bestuur van de ABG-Organisatie, maar ook het voltallige college van de gemeente zijn hiervoor verantwoordelijk. Binnen de organisatie is voldoende bewustzijn over de impact van de rechtmatigheidsverantwoording op de inrichting van interne beheersingsmaatregelen in de processen en in 2023 zijn binnen de ABG-Organisatie de nodige stappen gezet. De geldende beleidskaders (o.a. financiële verordening) zijn opgesteld en in het interne controleplan 2023 is aandacht voor de kaders, toleranties, risico’s per proces en de criteria. Tevens worden vanaf 2023 de werkzaamheden van de interne controle, de risicoanalyse en interne beheersingsmaatregelen centraal en gestructureerd vastgelegd in een online applicatie.
In deze applicatie zijn per proces de toetspunten opgenomen in, waarbij zichtbaar de controle wordt vastgesteld, inclusief de onderbouwende documenten. Daarnaast is visueel ook inzichtelijk welke bevindingen door de VIC zijn geconstateerd. Middels een VIC-verslag worden de uitkomsten van de VIC gerapporteerd. Wij zien dit als een positieve ontwikkeling waarmee de organisatie goede stappen heeft gezet ten behoeve van de invoering van de rechtmatigheidsverantwoording. Wij hebben het college geadviseerd om bij eventuele bevindingen vast te stellen wat het effect is op de werkzaamheden van de interne controle alsmede of geconstateerde bevindingen hersteld kunnen worden en ook daadwerkelijk hersteld zijn en of de geconstateerde bevinding een getrouwheidsfout dan wel rechtmatigheidsfout is. Tevens hebben wij het college gewezen op het belang van het tijdig en met voldoende diepgang uitvoeren en vastleggen van de interne controlewerkzaamheden.
DASHBOARD
ONTWIKKELINGEN
INTERNE BEHEERSING
IT-BEHEER
2.1 Rechtmatigheidsverantwoording (3/3)
9
TE ZETTEN STAPPEN
Status ten tijde van de interimcontrole 2023
AFSPRAKEN MET DE RAAD GEMAAKT? Ja
De verantwoordingsgrens voor 2023 is vastgesteld door de raad
De rapportagegrens voor 2023 is vastgesteld door de raad
De financiële verordening is herzien
De financiële verordening bevat op welke wijze wordt omgegaan met begrotingsonrechtmatigheden
Het normenkader 2023/2024 is gereed, datum vaststelling door de raad is gepland
De gemeenteraad en het college hebben overeenstemming over de inhoud van de paragraaf bedrijfsvoering
Onderhanden
De financiële verordening is in december vastgesteld de raad. De financiële verordening is op basis van de modelverordening van de VNG aangepast. Met betrekking tot de begrotingsrechtmatigheid adviseren wij, naast de overschrijdingen, ook aandacht te hebben voor onderschrijdingen (zie par. 2.4). Het normenkader van afgelopen jaar ziet toe op de boekjaren 2022 t/m 2025.
Wij adviseren om de inhoud van de paragraaf bedrijfsvoering op te nemen bij de herziene financiële verordening.
Het normenkader is geoperationaliseerd in het toetsingskader
Het (verbijzonderde) interne controleplan bevat:
Adviespunt opstellen van een toetsingskader
1. Scoping van de processen en balansposten
2. Risicoanalyses per proces en post
3. Controleaanpak
Het (verbijzonderde) interne controleplan dekt volledig de inhoud van het toetsingskader.
De uitwerking van het (verbijzonderde) interne controleplan is opgenomen in werklijsten.
De werklijsten bevatten alle benodigde toetsingscriteria om een conclusie te kunnen trekken over de rechtmatigheid.
DASHBOARD
ONTWIKKELINGEN
INTERNE BEHEERSING
Toelichting
IT-BEHEER
De toetspunten zijn gebaseerd op de onderkende risico’s en op basis hiervan zijn de toetspunten bepaald. De controleaanpak van de interne controles per proces is bepaald op basis van het normenkader. Wij hebben het college geadviseerd om per proces een toetsingskader op te stellen dat is geconfronteerd met het normenkader/onderliggende verordeningen. Hiermee kan worden vastgesteld of de interne controlewerkzaamheden toereikend zijn. De risicoanalyse, de interne beheersingsmaatregelen en de toetspunten zijn per proces in de online applicatie opgenomen en worden aldaar vastgelegd. Vanaf 2024 wordt ook het toetsingskader hierin opgenomen.
2.2 Rapporteren over fraude en continuïteit in de controleverklaring
Verplicht rapporteren in de controleverklaring over fraude en continuïteit
Fraude en het vermogen om risico’s vanuit de reguliere bedrijfsvoering financieel op te vangen
Frauderesponseplan opgesteld in 2023
Update frauderisicoanalyse per proces
10
Verplicht rapporteren in de controleverklaring over fraude en het vermogen om risico’s vanuit de reguliere bedrijfsvoering financieel op te vangen Vanaf boekjaar 2022 nemen accountants de paragrafen controleaanpak frauderisico’s en controleaanpak veronderstellingen inzake financiële risico’s in relatie tot de financiële positie op in de controleverklaring. Deze verplichting geldt voor wettelijke controles (gemeenten, provincies en waterschappen). Aanvullend zal vanaf het boekjaar 2023 een uitbreiding en verdieping van onze werkzaamheden t.a.v. het frauderisico noodzakelijk zijn naar aanleiding van de AFM rapportage ‘scherper op frauderisico’s’. Uiteraard hebben de onderwerpen fraude en het vermogen om financiële risico’s op te vangen altijd al de aandacht tijdens de accountantscontrole, maar door deze zaken nu te gaan beschrijven in de controleverklaring wordt die aandacht ook expliciet gemaakt. Wij zijn ons er van bewust dat dit om een zorgvuldig proces vraagt, wat wij samen met het college zullen doorlopen en waarover wij tijdig met het college van gedachten zullen wisselen. Onze controle gaat uit van de fraudepreventie door de gemeenschappelijke regeling In onze boardletter 2022 hebben wij reeds aandacht gevraagd voor dit onderwerp.
Onze beroepsorganisatie, de NBA, heeft een notitie uitgebracht ‘best practice maatregelen fraude(risico)beheersing voor bestuurders en toezichthouders'. In deze notitie komt nadrukkelijk de rol van bestuurders en toezichthoudende organen, zoals de gemeenteraad, bij het voorkomen en detecteren van fraude aan de orde. Door de nadruk te leggen op het voorkomen van fraude, kunnen de gelegenheden die tot fraude leiden, afnemen. Dit vraagt om actief toezicht op risico’s en beheersmaatregelen ter voorkoming van fraude. Ook de accountant heeft hierin een belangrijke rol. Frauderisicoanalyse en het frauderesponseplan bij de gemeente Wij hebben in onze boardletter 2022 gerapporteerd over het belang van frauderisicobeheersing en het frauderesponseplan. Voorgaand jaar hebben wij reeds geadviseerd om een frauderesponsplan op te stellen. Dit advies is in 2023 opgevolgd. Wij constateren dat veel gemeenten nog geen frauderesponseplan hebben; de gemeente loopt hiermee voorop in vergelijking tot veel andere gemeenten. Het college heeft in 2023 de risicoanalyse per proces geactualiseerd en opgenomen in de online applicatie waarin de interne controlewerkzaamheden worden vastgelegd.
Wij hebben het college geadviseerd om in het IC-verslag een overkoepelende frauderisicoanalyse en rapportage van de bevindingen op te nemen die gehanteerd kan worden om de frauderisicoanalyse te bespreken met de gemeenteraad. De rol van de gemeenteraad ten aanzien van frauderisicobeheersing kan verder worden vergroot door bijvoorbeeld jaarlijks één of meerdere onderkende frauderisico’s (en indien van toepassing de interne beheersingsmaatregelen die zijn genomen om deze frauderisico’s te mitigeren) nader te laten onderzoeken door de (verbijzonderde) interne controle, een accountant of een gespecialiseerde (fraude)onderzoeker.
DASHBOARD
ONTWIKKELINGEN
INTERNE BEHEERSING
IT-BEHEER
2.3 Ontwikkelingen in het sociaal domein
Wmo belegd bij SIEM
Verordening evalueren en aanscherpen indien noodzakelijk
Advies: Afstemming met SIEM omtrent de accountantsverklaring bij de financiële verantwoording
11
Overgang WMO begeleiding en dagopvang naar SIEM De ABG-gemeenten hebben sinds 1 januari 2023 samen met zes andere gemeenten in de regio Hart van Brabant (vanaf 1 januari 2024 aangevuld met gemeente Dongen) de onderdelen dagopvang en begeleiding binnen de Wmo in de regio belegd. Hiervoor is een samenwerkingsverband opgericht door tien zorgaanbieders onder de naam SIEM (tot juni 2023 nog Coalitie Hart van Brabant). RIBW is penvoerder van deze organisatie. De ABG-gemeenten hebben als één van de vier percelen een dienstverleningsovereenkomst afgesloten met SIEM. De Coalitie Hart van Brabant heeft via een aanbesteding vanaf 1 januari 2023 de verantwoordelijkheid voor de uitvoering van het WMO-aanbod op het gebied van begeleiding, beschermd wonen, dagopvang en dagbesteding. De gemeente Baarle-Nassau heeft haar Verordening Wmo geactualiseerd naar deze situatie. Wij hebben het college geadviseerd om te beoordelen of de bepalingen in de verordening aansluiten bij de daadwerkelijke uitvoering en eventueel de verordening hierop aan te passen. De dienstverlening wordt taakgericht ingekocht door SIEM. De deelnemende gemeenten betalen hiervoor op basis van aantal cliënten aan Gemeente Tilburg een bedrag (lumpsum) op jaarbasis. De afrekening over 2023 vindt na afloop van het jaar plaats op basis van de definitieve aantallen binnen bepaalde brandbreedtes.
In de overgangssituatie (de eerste twee jaar) wordt een brandbreedte gehanteerd van 2 procent. De brandbreedte is vanaf het derde jaar bepaald op 5 procent. De deelnemende gemeenten zijn voor de afrekening daarmee afhankelijk van het totaal aantal cliënten, maar hebben zelf geen zicht op het aantal cliënten van de andere deelnemers. Over 2023 zal een financiële verantwoording worden opgesteld van de totale kosten en ontvangen bijdragen. Op dit moment is nog onduidelijk of er een accountantsverklaring, en, zo ja, welk type, bij deze financiële verantwoording wordt verstrekt door de accountant van SIEM. Wij hebben het college geadviseerd om, samen met de andere deelnemende gemeenten, concrete afspraken te maken met SIEM omtrent de financiële verantwoording. De Wmo-cliënten van de gemeenten gaan niet allemaal in één keer over naar SIEM, omdat er nog sprake is van oude regelingen die aflopen in 2023. Er is daarom sprake van gefaseerde ingroei van cliënten en voor het bepalen van de bevoorschotting aan SIEM wordt gerekend met een ingroeipercentage van 75%. Nieuwe cliënten worden gelijk ondergebracht bij SIEM. Wij zien een potentieel risico dat de zorg aan cliënten dubbel wordt gefactureerd of dat onnodig hogere/duurdere zorg wordt geleverd/bepaald. De gemeente bepaalt of de aanvrager recht heeft op zorg en SIEM bepaalt recht en duur.
In dat geval wordt er een opdracht (301-melding) doorgezet naar SIEM en ontvangt de cliënt hiervan een bericht (DAT-brief). Op grond van de verordening wordt geen separate beschikking afgegeven en vormt het door de zorgaanbieder in samenspraak met de cliënt opgestelde en ondertekende ondersteuningsplan de beschikking. Hierin is ook de hoogte en duur van de zorg, de inzet van zorg en financieel opgenomen. De beschikking die de gemeente verstrekt geeft alleen aan dat de cliënt recht heeft op zorg en niet hoogte, recht en duur. Op basis van deze systematiek is de getrouwheid van de lasten geen aandachtspunt. Wel zien wij een aandachtspunt voor de rechtmatigheid(sverantwoording) met betrekking tot het voorwaardencriterium. Het voorwaardencriterium bestaat uit hoogte, recht en duur. Doordat de gemeente zelf het recht op zorg bepaalt, heeft het college hier wel zicht op, maar kan het college geen uitspraak doen over de rechtmatigheid van hoogte en duur van de geleverde zorg. Om de rechtmatigheid van de kosten vast te stellen dient gecontroleerd te worden of de kosten in lijn liggen met de verordening van de gemeente waarbij recht, hoogte en duur van de zorg wordt gecontroleerd. Vooralsnog is ons nog onvoldoende onduidelijk gebleken hoe de rechtmatigheid van de verleende zorg door SIEM wordt vastgesteld, zodat het college input heeft voor de rechtmatigheidsverantwoording.
Wij hebben voor het college twee scenario’s beschreven en aanbevolen om deze scenario’s met SIEM te bespreken en concrete afspraken te maken omtrent de financiële verantwoording en de rechtmatigheid van de kosten.
DASHBOARD
ONTWIKKELINGEN
INTERNE BEHEERSING
IT-BEHEER
2.4 Aandachtspunten jaarrekening 2023
12
Afgelopen jaar hebben wij gerapporteerd over de aandachtspunten rondom aanbestedingen, namelijk over ‘inflatie en aanbestedingsprocedure’ en over ‘inflatie en wezenlijke wijziging’. Vanwege de invoering van de rechtmatigheidsverantwoording vanaf 1 januari 2023 hebben wij deze punten nogmaals onder de aandacht gebracht bij het college.
Concrete afspraken maken omtrent de begrotingsonrechtmatigheden
Afspraken gemaakt voor de SiSa
DASHBOARD
Begrotingsonrechtmatigheid De commissie BBV publiceerde begin november een nadere toelichting van de Kadernota rechtmatigheid 2023. Deze duiding heeft betrekking op: 1. Het al dan niet tijdig melden van afwijkingen van de begroting voor zowel baten, lasten als kredieten. Wat ‘niet tijdig’ concreet betekent wordt bepaald door de ‘spelregels’ tussen de Gemeenteraad en het College van B&W over het informeren en vaststellen van begrotingswijzigingen bij onderschrijdingen van lasten of investeringsbudgetten en/of lagere of hogere baten dan begroot. Deze spelregels zijn veelal in de financiële verordening art. 212 Gemeentewet opgenomen. 2. Met de invoering van de rechtmatigheidsverantwoording, waarbij het toelichten en verantwoorden meer centraal staat, is het mogelijk om vóóraf afspraken te maken tussen de gemeenteraad en het college van B&W welke begrotingsonrechtmatigheden als acceptabel worden beschouwd (dus wel onrechtmatig, maar acceptabel). Deze afspraken zijn in de financiële verordening art. 212 Gemeentewet worden opgenomen. Wij hebben het college geadviseerd tevens aandacht te hebben voor begrotingsonderschrijdingen. Specifieke uitkeringen De omvang van de Single Information Single Audit (hierna Sisa) van de deelnemende gemeenten nemen naar verwachting toe ten opzichte van boekjaar 2022.
Zoals in paragraaf 2.1 uiteen is gezet, is Sisa onderdeel van de rechtmatigheidsverantwoording, maar rapporteert ook de accountant nog over de rechtmatigheid van de SiSa-verantwoording. Wij hebben afspraken gemaakt met het college over de planning en controle van de SiSa-bijlage.
ONTWIKKELINGEN
INTERNE BEHEERSING
IT-BEHEER
13
3. Bevindingen significante processen
3.1 Effectiviteit processen
3.1 Effectiviteit processen (1/3)
14
Inleiding Zoals afgelopen jaar aangegeven, nemen de eisen die worden gesteld aan de accountantscontrole toe. Wij vinden het daarom van groot belang dat wij inzicht geven in de normen en verwachtingen ten aanzien van onze controle en de vertaling hiervan specifiek voor ABG-organisatie. Onze inschatting van de risico’s en belangrijkste processen In het kader van de controle van de jaarrekening 2023 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien de volgende potentiële risico’s in de controle van de jaarrekening van gemeente Baarle-Nassau: In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door bestuur of management van de jaarcijfers) als belangrijk te onderkennen theoretisch risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat het risico op management override binnen de gemeente beperkt is. Om het resterende risico te beperken beoordelen wij schattingsprocessen en bijzondere journaalposten in detail; Schatting t.a.v. de nog te maken kosten en nog te realiseren opbrengsten (grondexploitatie); en Getrouwheid van de rechtmatigheidsverantwoording.
Onze controle-aanpak afhankelijk van uw interne beheersing De organisatie heeft ten behoeve van de invoering rechtmatigheidsverantwoording de processen tegen het licht gehouden. Binnen de processen is over het algemeen sprake van minimaal noodzakelijke primaire functiescheidingen en van interne beheersmaatregelen. Deze maatregelen worden echter niet altijd toereikend genoeg vastgelegd, waardoor achteraf niet direct toetsbaar is of controlemaatregelen zijn uitgevoerd en hoe deze zijn uitgevoerd. Wij kunnen, net als vorig jaar, nog niet steunen op de processen. Voor een aantal andere processen is het efficiënter om niet te steunen op beheersmaatregelen. Onze controleaanpak bestaat daarmee overwegend uit gegevensgerichte werkzaamheden. Bij de voorbereiding van de jaarrekeningcontrole maken wij met de organisatie afspraken over de resterende werkzaamheden, aanpak en de hiervoor benodigde informatie.
Follow up aanbevelingen vorig jaar In het boekjaar 2023 heeft het college zich verder gericht op de invoering van de rechtmatigheidsverantwoording. We merken op dat de actiepunten rondom de significante processen nog niet geheel zijn opgevolgd. Het college heeft een planning ten behoeve van de opvolging van deze actiepunten. De opvolging hiervan loopt conform planning. In het overzicht hiernaast zijn schematisch de actiepunten weergegeven. DASHBOARD
ONTWIKKELINGEN
INTERNE BEHEERSING
Aantallen Actiepunten voorgaande jaren
13
Opgevolgd
3
Vervallen
1
Geen prioriteit (risico-afweging is laag ingeschat door de organisatie)
3
Totaal onderhanden
6
Nieuwe actiepunten 2023
3
Totaal resterend (excl. 3 geen prioriteit)
9
IT-BEHEER
15
4. IT-BEHEER
4.1 IT-beheersmaatregelen 4.2 Informatiebeveiliging en cybersecurity
4.1 IT-beheersmaatregelen
Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening
16
IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze jaarrekeningcontrole gericht is op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van ICT-systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking.
Beoordeelde systemen: Key2Finaniën Suit4SociaalDomein Centric Leefomgeving Level
De bevindingen zoals gerapporteerd in deze boardletter zijn gericht geweest op het beoordelen van de opzet en het vaststellen van het bestaan van algemene IT-beheersmaatregelen voor zover relevant voor de jaarrekeningcontrole. Wij hebben in samenwerking met onze ITauditors deze maatregelen beoordeeld om de impact van de risico’s vanuit IT te kunnen vaststellen voor die systemen en applicaties die gekoppeld zijn aan de voor ons relevante processen en posten. De beoordeelde systemen zijn Key2Finaniën, Suit4SociaalDomein, Centric Leefomgeving en Level. De belangrijkste bevindingen hebben betrekking op gebruikers met superuserrechten binnen Key2Financiën en Level. Tevens vindt óf geen periodieke controle plaats op de juistheid en actualiteit van toegekende autorisatie óf wordt deze niet (toereikend) gedocumenteerd. Ten aanzien van de procedures indienst en uitdienst hebben wij aan het college over verbeterpunten gerapporteerd. Op het moment dat de intern getroffen algemene IT-beheersmaatregelen rondom de applicaties in scope niet (bewijsbaar) voldoende aanwezig zijn, zijn in het kader van de controle van de jaarrekening 2023 aanvullende (gegevensgerichte) werkzaamheden noodzakelijk om aan te tonen dat er zich geen risico’s of fouten hebben voorgedaan.
Op basis van de uitkomsten uit de IT-audit constateren wij dat de bevindingen en aanbevelingen in lijn liggen met organisaties van gelijke omvang. Op een aantal vlakken zijn verbeterpunten mogelijk, maar op een aantal onderdelen, zoals superusers, speelt de omvang van de organisatie een beperkende factor om verbeteringen te kunnen doorvoeren. Uw gemeente is hierin niet uniek.
DASHBOARD
ONTWIKKELINGEN
INTERNE BEHEERSING
IT-BEHEER
4.2 Informatiebeveiliging en cybersecurity
Verhoogde aandacht voor cybersecurity bij management en de toezichthouder. Ransomware kan de bedrijfscontinuïteit in gevaar brengen
17
Informatiebeveiliging en cybersecurity Vanuit onze natuurlijke adviesrol hebben wij de ABG-Organisatie geattendeerd op een aantal ontwikkelingen op het gebied van IT. Afgelopen jaren is er meer aandacht voor cybersecurityrisico’s ontstaan, mede door verhoogde (media)aandacht voor cybersecurity incidenten. Deze toegenomen aandacht voor cybersecurityrisico’s leeft bij zowel management, toezichthouders als ook het maatschappelijk verkeer. Organisaties zijn in sterke en toenemende mate afhankelijk van de continuïteit van IT-systemen. Zelfs zodanig dat bij het uitvallen of gijzeling (via ransomware) van de IT-systemen de bedrijfscontinuïteit geraakt kan worden. Dit kan daarmee een continuïteitsrisico in het kader van de jaarrekening met zich meebrengen. Een cybersecurityincident, een incident als gevolg van activiteiten/ calamiteiten in het cyberdomein (digitale domein), kan resulteren in: Verstoringen in bedrijfsvoering (en daarmee eventueel continuïteit); Datalekken door ongeautoriseerde toegang tot gegevens; Fraude (beïnvloeding/manipulatie van gegevens); Aanzienlijke reputatieschade; Diefstal.
Veranderingen in het digitale domein vragen van dat cybersecurity risico’s periodiek worden geëvalueerd om vast te stellen of deze voldoende worden geadresseerd
DASHBOARD
Wij hebben de ABG-Organisatie erop geattendeerd om continu en grondig te evalueren of cybersecurityrisico’s nog passend (juist en volledig) worden geadresseerd. De belangrijkste aanbeveling die wij de ABG-Organisatie hebben meegegeven is om jaarlijks als klant/deelnemer van serviceorganisaties een beoordeling te doen op de scoping van de relevante assurance verklaringen, ter controle of de in de assurance-verklaring gebruikte scope, c.q. het Risk-Control-Framework (RCF), nog in lijn is met wet en regelgeving en de behoefte/verwachtingen van de klant/deelnemer.
ONTWIKKELINGEN
INTERNE BEHEERSING
IT-BEHEER
18
bdo.nl