Managementletter 2020
Tekst van het document
28 januari 2021
MANAGEMENTLETTER
Gemeente Baarle-Nassau
Aanbiedingsbrief
Aan het College van Burgemeester en Wethouders van de gemeente Baarle-Nassau Postbus 105 5110 AC BAARLE-NASSAU Tilburg, 28 januari 2021
Geachte leden van het College, In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2020 van de gemeente Baarle-Nassau brengen wij u met deze managementletter verslag uit over onze bevindingen naar aanleiding van onze interim-controle. Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar onze opdrachtbevestiging.
Kenmerk: BSn/Dme/MvdB/1050146/2105033 In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelfcontrolerend vermogen van uw organisatie. Als gevolg van de aanhoudende coronacrisis zijn wij helaas niet in staat geweest om bij u op locatie te komen waardoor wij veel digitaal hebben moeten afstemmen. Ondanks de minder persoonlijke en directe contacten is de interim-controle en samenwerking goed verlopen. Wij willen uw medewerkers danken voor de prettige samenwerking.
Wij vertrouwen erop u met deze managementletter naar aanleiding van onze interim-controle 2020 van dienst te zijn geweest. Wij zijn vanzelfsprekend graag bereid een nadere toelichting te verstrekken. Hoogachtend, BDO Audit & Assurance B.V. namens deze, Ter informatie De digitale versie van dit document is vanaf de inhoudsopgave interactief. Aan de hand van de navigatiebalk onderaan de pagina en/of de menustructuur bovenaan de pagina kan door het document genavigeerd worden. VORIGE PAGINA
VOLGENDE PAGINA
DASHBOARD
AANBIEDINGSBRIEF
drs. D.O. Meeuwissen RA
Inhoudsopgave
1. DASHBOARD
2. ONTWIKKELINGEN & AANDACHTSPUNTEN
4. BEVINDINGEN SIGNIFICANTE PROCESSEN
5. IT-BEHEERSING
3. BEVINDINGEN INTERNE CONTROLE
4
1. Dashboard 1.1 Dashboard
1.1 Dashboard ACTUALITEITEN – WET- EN REGELGEVING
Behandeling van de rechtmatigheidsverantwoording in de Tweede Kamer stond gepland voor december 2020 gepland. Er moeten nog meerdere stappen worden doorlopen voordat invoering een feit is, waardoor er onzekerheid is of de invoering in 2021 zal ingaan. De uitgebrachte notities door de commissie BADO en BBV bieden handvatten voor uw organisatie. De volgende notities brengen wij specifiek onder uw aandacht:
De notitie ‘Vastlegging en onderbouwing prestatielevering bij inkopen door decentrale overheidsorganisaties’ biedt een leidraad voor de vastlegging binnen uw organisatie.
Bij de gemeente Baarle-Nassau constateren wij (IST):
ACTUALITEITEN - CORONA
BDO heeft een corona-zelfscan ontwikkeld. Deze scan geeft inzicht over mogelijke gevolgen van de coronacrisis voor de financiën, organisatie en informatievoorziening en geldt als startpunt voor de jaarrekeningcontrole 2020.
De gemeenteraad wordt onder andere middels de tussentijdse rapportage geïnformeerd over de gevolgen van corona en de financiële impact hiervan.
Zorgcontinuïteit. Uit een eerste inventarisatie lijken deze bijdragen beperkt. Eventuele continuïteitsbijdragen in de Jeugdzorg verlopen via de regio. Hier is momenteel nog geen zicht op de omvang van de bijdragen.
Binnen het aanbestedingsproces vindt geen preventieve controle plaats. Achteraf worden middels een spendanalyse eventuele onrechtmatigheden geconstateerd.
Als gevolg van deze bevindingen is de controle gegevensgericht van aard.
DASHBOARD
AANDACHTSPUNTEN
In het kader van onze controle hebben wij de effectiviteit van de voor onze controle relevante processen beoordeeld. Onder ‘bevindingen significante processen’ geven wij een samenvatting van onze bevindingen.
Voor een organisatie met de omvang van de gemeente Baarle-Nassau zou de norm kunnen zijn dat de processen in opzet, bestaan en werking (inclusief IT) goed werken en getoetst worden door de VIC (SOLL).
Wij kwalificeren de interne beheersing over het algemeen in opzet voldoende en binnen de primaire processen is sprake van minimaal noodzakelijke primaire functiescheiding. Deze functiescheiding ontbreekt echter binnen het inkoopproces.
Specifiek ten aanzien van de Tozo-regeling (uitbesteed aan de gemeente Tilburg) adviseren wij zo spoedig mogelijk opvolging te geven aan de meldingen vanuit het Inlichtingen Bureau van 30 november 2020 en tevens een beeld te vormen van de onderliggende dossiers via het uitvoeren van een interne controle.
BEHEERSING IT
Niet voor alle materiële processen zijn procesbeschrijvingen geformaliseerd. Er is geen sprake van een consistente procedure inzake het vaststellen van de prestatielevering van inkopen. Mogelijk biedt de BADO-notitie ‘Vastlegging en onderbouwing prestatielevering bij inkopen door decentrale overheidsorganisaties’ een leidraad voor de organisatie.
ONS BEELD VAN DE INTERNE BEHEERSING
De notitie ‘Meerjarig financieel inzicht’ behandelt enkele onderdelen uit het BBV die erop zijn gericht de gebruiker (m.n. de raadsleden) van de jaarrekening (meer) inzicht te geven in de financiële positie van de organisatie op de korte en langere termijn.
BEVINDINGEN SIGNIFICANTE PROCESSEN
5
VERBIJZONDERDE INTERNE CONTROLE
Ten aanzien van IT-beheersing zien wij dat de gemeente Baarle-Nassau via de ABG-organisatie de nodige tijd en middelen investeert om verder in control te komen binnen deze geautomatiseerde gegevensverwerking. De maatregelen die wij hebben getoetst omtrent de IT General Controls (logische toegangsbeveiliging, wijzigingsbeheer en continuïteit) laten zien dat u de afgelopen jaren stappen hebt gezet en bezig bent om verscheidene verbeteringen te implementeren. Belangrijkste bevindingen zien toe op superuserrechten , procedure autorisatiebeheer en periodieke controle op juistheid ingerichte autorisaties. Doordat sprake is van verbeterpunten kunnen wij nog niet volledig steunen op de IT-omgeving en zullen wij onze controle overwegend gegevensgericht uitvoeren. De IT-omgeving is wel dusdanig op orde dat wij (gedeeltelijk) gebruik kunnen maken van data-analyse voor wat betreft de factuurautorisatie en crediteurenstamgegevens.
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
Onze Voor het conclusies gebruikinmaken relatievan totde dewerkzaamheden vereisten vanuitvan de de controle-standaard VIC is de door de commissie (COS) 610BADO zijn in uitgebrachte 20XX ongewijzigd. notitie “de VIC bij decentrale overheden” ons uitgangspunt. Samenwerking met de VIC is verbeterd. Tijdige De Interne Controles worden en onder verantwoordelijkheid afstemming werkzaamheden selecties zorgen voor een van de afdeling Financiën en control uitgevoerd. Deze betere controle. afdeling is niet onafhankelijk voor wat betreft De meerwaarde van de VICprocessen. voor de organisatie & onze verschillende significante controle kan nog worden vergroot door ‘aan de voorkant’ Er is sprake van een intern controleplan. Echter wordt het nog explicieter aandacht te geven aan de opzet en opgestelde intern controleplan niet consistent nageleefd. inrichting van de AO/IB per proces alsmede de advisering De VIC bij de gemeente Baarle-Nassau kwalificeert daaromtrent. overwegend als Variant 1 conform de BADO-notitie. Dit Op zogenaamde factsheets/In de als tabellen in Bijlage A wil de zeggen dat wij de VIC gebruiken instrument om de bij deze managementletter aangegeven aanlevering van stukken aanisde accountanttot te welke verbeteren. aanvullende werkzaamheden onze interim-bevindingen moeten leiden. Graag spreken wij af welke zaken primair door de VIC, en welke door ons worden opgepakt.
IT-BEHEERSING
BIJLAGEN
6
2. Ontwikkelingen & Aandachtspunten 2.1 Gevolgen coronacrisis voor de jaarrekening 2020
2.2 Rechtmatigheidsverantwoording 2.3 Actualiteiten BBV
2.1 Gevolgen coronacrisis voor de jaarrekening 2020 (1/2)
Gemeente communiceert voldoende over effecten corona
BDO corona-zelfscan als startpunt
7
Impactanalyse De langetermijnimpact van het coronacrisis op de maatschappij en economie is nog steeds hoogst onzeker. In de jaarrekening 2019 heeft de gemeente Baarle-Nassau, in lijn met de verslaggevingsrichtlijnen hieromtrent, een eerste analyse opgenomen van de belangrijkste risico’s en onzekerheden. Om een goede inschatting te maken van de mogelijke gevolgen van de coronacrisis voor de jaarrekening 2020 hebben wij een uitgebreide corona-zelfscan opgesteld en gedeeld met de organisatie. Daarbij hebben wij onderscheid gemaakt naar de impact op enerzijds de beheersing en anderzijds op de financiën. Uit de retour ontvangen scans maken wij op dat de gemeenteraad over de effecten van corona zijn geïnformeerd via de tussentijdse rapportages 2020. In de begroting 2021 is geen rekening gehouden met eventuele gevolgen van de coronacrisis. Dit geldt zowel voor de lasten als de baten. Er is dus ook geen rekening gehouden met compensatie door het Rijk. De vragen over de beheersing gaan over de invulling van de bestuurlijke informatievoorziening en de gevolgen voor de organisatie en de interne beheersing (VIC en rechtmatigheid). De vragen over de financiën gaan zowel over de balans, programma’s als specifieke onderwerpen (waaronder Tozo). Belangrijkste thema’s Voor gemeenten zijn twee thema’s als gevolg van corona van belang.
Dit betreffen de betalingen van zorgcontinuïteit en de Tozoregelingen. Beide hebben een grote impact op gemeenten.
Centrale thema’s: Zorgcontinuïteit Tozo-regeling
Zorgcontinuïteit Als gevolg van corona kunnen vanuit gemeenten betalingen plaatsgevonden aan zorginstellingen (Jeugd en Wmo) om de continuïteit van de zorg door te betalen. Tevens is door corona de prestatielevering van de zorg lastig vast te stellen. De betaling van de zorgcontinuïteit kent hierbij geen koppeling met de prestatielevering, waarbij de oproep is om de continuïteitsbijdrage te beperken tot een specifieke periode gevolgd door een verantwoording / verrekening achteraf over deze specifieke periode (afrekenen variant over een bepaalde periode). Afspraken tussen de gemeente en zorginstellingen zijn leidend voor de getrouwheid en rechtmatigheid van het voorschot en door I-sociaal domein zijn formats opgesteld die als hulpmiddel kunnen dienen om de bijdrage te berekenen. De controle op de continuïteitsbijdrage wordt uitgevoerd door de zorgaccountants en is in het ISD protocol 2020 opgenomen. Over dit onderwerp volgt nog een SDO/BADO-notitie. Uit een eerste inventarisatie lijken deze bijdragen beperkt. Eventuele continuïteitsbijdragen in de Jeugdzorg verlopen via de regio. Hier is momenteel nog geen zicht op de omvang van de bijdragen. Tozo-regeling Deze regeling is voor zelfstandig ondernemers, waaronder zzp’ers, en voorziet in een aanvullende uitkering voor levensonderhoud en in een lening voor bedrijfskapitaal om liquiditeitsproblemen op te vangen.
Tozo 1 en 2 zijn een SiSa-regeling (G4) bij de jaarrekening 2020 van gemeenten. Deze regeling kent 3 soorten rechtmatigheidseisen, te weten fundamentele, belangrijke en formele. Bevindingen bij de SiSa-controle leiden direct tot een terugvordering bij gemeenten door het Rijk en hebben daarmee directe gevolgen voor de balansposities in de jaarrekening. Bij de uitvoering van de Tozo-regeling is het deel behandelen van de aanvraag en dossiervorming uitbesteed aan de gemeente Tilburg. De gemeenten verstrekken zelf de beschikking en betalen het geld uit. Interne controle op de rechtmatigheid dient nog plaats te vinden.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
2.1 Gevolgen coronacrisis voor de jaarrekening 2020 (2/2)
Toets naast financieel impact ook effect op interne beheersing en jaarrekening
Voor de lange termijn een scenario-analyse opstellen om aan de juiste knoppen te draaien
8
Advies voor de kortere termijn; toets naast financieel impact ook effect op interne beheersing Juist omdat de onzekerheden aanzienlijk zijn, is het naar onze mening cruciaal niet alleen de financiële impact te beoordelen, maar ook de gevolgen van voor de interne beheersing. Wij adviseren hiervoor een aantal maatregelen te treffen: (niet-limitatief) ▪ Wij adviseren de gemeente Baarle-Nassau na te gaan wat het effect van corona is op de interne beheersing en de VIC; zowel inzake de uitgaven (met name subsidies en Tozo) als inkomsten (mogelijke extra verantwoordingseisen ten aanzien van bijdragen van het rijk); ▪ Specifiek ten aanzien van de Tozo-regeling (uitbesteed aan de gemeente Tilburg) adviseren wij zo spoedig mogelijk opvolging te geven aan de meldingen vanuit het Inlichtingen Bureau van 30 november 2020 en tevens een beeld te vormen van de onderliggende dossiers via het uitvoeren van een interne controle. ▪ Wij adviseren de gemeente Baarle-Nassau niet alleen de programma’s en taken te analyseren, maar ook mogelijke effecten van corona op belangrijke balanspositie zoals leningen derden en de waardering van gronden en verbonden partijen. Daarbij ligt het voor de hand tevens aandacht te schenken aan mogelijke corona-effecten op het weerstandsvermogen van de gemeente.
▪ Wij adviseren de gemeente Baarle-Nassau na te gaan wat het effect van corona is op onder andere soft controls binnen de interne beheersing en de VIC. De onzekerheden en mogelijk aanvullende eisen die kunnen worden gesteld aan de extra middelen kunnen tot gevolg hebben dat de controle meer (doorloop)tijd gaat vragen (bv. Tozo). Ook risico’s in de naleving van bijvoorbeeld subsidievoorwaarden, financiële tekorten van verbonden partijen, waarderingen van balansposten etc. kunnen dit effect hebben. Advies voor de langere termijn: Scenario-analyse Naast de analyse van de (financiële) impact en de bedrijfsvoering en is voor de langere termijn het denken in scenario’s een volgende stap, ook als uitwerking van risicomanagement en weerstandsvermogen. Daarbij de navolgende stappen kunnen worden doorlopen: ▪ Definieer organisatie (programma) specifieke toekomstscenario’s op basis onzekerheden ▪ Bepaal per toekomstscenario mogelijke strategie en maatregelen ▪ Prioriteren van maatregelen ▪ Monitor onzekerheden en verloop van scenario’s en pas eventueel maatregelen aan
Wij blijven in gesprek over effecten op controle van de jaarrekening 2020
DASHBOARD
De op te stellen scenario’s kunnen zowel betrekking hebben op het beleid als op potentiële gevolgen van corona op de processen en de bedrijfsvoering. Wij blijven de komende periode tussen de interim- en jaarrekeningcontrole met u in gesprek over deze ontwikkelingen en de gevolgen van eventuele aanvullende werkzaamheden voor de jaarrekening 2020. Ook denken wij graag met u mee in hoeverre een scenario-analyse de gemeente Baarle-Nassau kan helpen in de beheersing van de corona-onzekerheden.
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
2.2 Rechtmatigheidsverantwoording (1/2)
Invoering rechtmatigheidsverantwoording 2021
9
Invoering rechtmatigheidsverantwoording met ingang van 2021 Zoals bekend, wordt op termijn de rechtmatigheidsverantwoording ingevoerd voor decentrale overheden. Op dit moment is de formele status nog steeds dat de rechtmatigheidsverantwoording wordt ingevoerd met ingang van 2021. Als gevolg van corona behandelt de Tweede Kamer alleen vitale wetgeving en de wetgeving waaraan de rechtmatigheidsverantwoording was gekoppeld, is geen vitale wetgeving. Of het invoeringsjaar daadwerkelijk het verslagjaar 2021 zal zijn, is afhankelijk van de verdere parlementaire behandeling. De invoering van de rechtmatigheidsverantwoording heeft gevolgen voor de (interne) beheersing van de organisatie en ook de rol van de accountant verandert hierdoor. Wij verwachten dat dit een aanzienlijke uitdaging is, maar naar onze mening ook een kans voor uw organisatie en interne beheersing. Met ingang van verslagjaar 2021 worden de gemeenten, alsook hiermee indirect de gemeente BaarleNassau immers zelf verantwoordelijk voor de rechtmatigheidsverantwoording en moet het college een (onderbouwde) mededeling doen omtrent de naleving van de rechtmatigheid. De wetswijziging is niet alleen een technische verandering maar ook een cultuurverandering die effect heeft op de bedrijfsvoering van de organisatie.
Tolerantiegrenzen te bepalen (0% - 3%)
Invoering naar onze mening een kans
Uit de notitie van de commissie BBV hierover blijkt dat er een standaard model van de verklaring komt, rechtmatigheid wordt beperkt tot drie rechtmatigheidsaspecten, de gemeenteraad de tolerantiegrenzen kan bepalen (tot 3%) en bevindingen moeten worden opgenomen in de paragraaf bedrijfsvoering. De commissie BADO komt naar verwachting ook nog met een nadere uitwerking en toelichting. BDO ziet de invoering van de rechtmatigheidsverantwoording als een kans om de controlerende rol van de gemeenteraad te versterken en te investeren in een verdere ontwikkeling van de bedrijfsvoering. Het gaat daarbij om fundamentele vragen als: ▪ Op welke onderwerpen en met welke diepgang wilt u kaders stellen en controleren? ▪ In hoeverre werkt het college rechtmatig en/of bent u in control? ▪ In hoeverre is uw bedrijfsvoering, interne controle en IT-beheer op orde en wat is ervoor nodig om daar te komen? ▪ En misschien wel de moeilijkste vraag van allemaal: wat zijn uw ambities en is uw huidige organisatie in staat om aan die doelen en verwachtingen te voldoen? De wijziging in de verantwoordelijkheden ten aanzien van rechtmatigheid betekent niet dat er minder rechtmatigheidscontroles moeten worden uitgevoerd, maar dat het college deze zelfstandig/intern moet inrichten, uitvoeren, controleren en rapporteren.
Als accountant zullen wij die werkzaamheden vervolgens toetsen, teneinde te kunnen controleren en verklaren dat de rechtmatigheidsverklaring van het college een getrouw beeld geeft.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
2.2 Rechtmatigheidsverantwoording (2/2)
10
In onze visie zijn er drie varianten waar de gemeenten, en daarmee indirect de gemeente Baarle-Nassau naar kunnen streven voor de invoering van de rechtmatigheidsverantwoording:
Drie varianten op de interne controle beheersing: 1. Minimale 2. Ambitieus 3. In control Statement
1. De minimale variant van de rechtmatigheidsverantwoording (wettelijk minimum) In deze variant zorgt het college (in afstemming met de raad en accountant) voor een interne beheersing specifiek gericht op de rechtmatigheidsverantwoording. Dat betekent dat de interne controles zodanig systeem- of gegevensgericht gepland worden, dat het college tot een gedegen onderbouwd oordeel kan komen over de rechtmatigheid. De aanpak wordt vastgelegd in het interne controleplan en vanwege de relatie met de controle van de getrouwheid afgestemd met de accountant. 2. De ambitie variant In deze variant gaat de organisatie een stapje verder en gebruikt de rechtmatigheidsverantwoording als impuls om de bedrijfsvoering te verbeteren. Middels een plan van aanpak wordt uitgewerkt wat de ambitie van de organisatie is ten aanzien van de AO/IB (systeemgericht), IT-beheer en VIC. Daarbij wordt de gehele organisatie betrokken, bijvoorbeeld middels het zogenaamde ‘Three Lines Model’, zodat ook de verantwoordelijke managers in de 1e en 2e lijn mede verantwoordelijk worden voor het rechtmatigheidsbeheer. Om dit ook in de organisatie vorm te geven zal meer tijd vragen. 3. De rechtmatigheidsverantwoording plus (in control statement) Deze variant gaat nog weer een stap verder.
In dit geval verklaart het college niet alleen getrouw / rechtmatig te hebben gewerkt, maar ook dat het systeem van interne beheersing en risicomanagement toereikend is om de risico’s te beheersen, ofwel dat de organisatie ‘in control’ is. Hiervoor moet een specifiek normenkader worden afgesproken, dat verder kan gaan dan alleen interne procedures (compliance) maar ook kan gaan over de beheersmaatregelen ten aanzien van operationele en strategische doelen. In dit normenkader zouden bijvoorbeeld ook de prestaties ten aanzien van duurzaamheid kunnen worden opgenomen (afhankelijk van de behoefte van de raad en het college).
Varianten 1 en 2 meest reëel
Kijkend naar deze drie varianten zal de eerste variant voor 2021 al de nodige inspanning kosten. De tweede variant is wat ons betreft op langere termijn te adviseren, omdat dit een goede impuls kan zijn voor de bedrijfsvoering. Rechtmatigheid is immers ook de verantwoordelijkheid van de gehele organisatie en niet alleen het probleem van de afdeling Financiën en control. De derde variant zal naar onze inschatting een veel langere doorlooptijd vergen.
Advies: opstellen business case en plan van aanpak
In alle gevallen zal het komend jaar gebruikt moeten worden om een plan van aanpak te schrijven gericht op de invoering van de rechtmatigheidsverantwoording. Hiervoor moeten de volgende stappen worden gezet: 1. Informeren en afstemmen van deze ontwikkeling met de raad, het college en organisatie 2. Opstellen business case ‘rechtmatigheidsverantwoording’ 3. Vormen projectteam en opstellen plan van aanpak 4. Uitvoering en implementatie 5. Afgeven rechtmatigheidsverantwoording 6. Evaluatie business case
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
2.3 Actualiteiten wet- en regelgeving
11
BBV-actualiteiten De wijzigingen in het Besluit Begroting en Verantwoording van gemeenten en provincies (BBV) lijken dit jaar beperkt. Wel zijn er in 2020 een aantal notities uitgebracht. Wij lichten ter voorbereiding op het jaarrekeningtraject 2020 hieronder enkele actualiteiten kort toe. BADO - Vastlegging en onderbouwing prestatielevering bij inkopen door decentrale overheidsorganisaties In deze notitie wordt aangegeven waar de aandacht naar uit dient te gaan bij de vastlegging en onderbouwing van de prestatielevering bij inkopen door decentrale overheidsorganisaties. Uitgangspunt hierbij is dat de organisatie zelf verantwoordelijk is voor het inrichten van de AO/IB en een norm bepaalt wanneer de prestatielevering voldoende is vastgesteld. Deze documentatie moet altijd voldoende en geschikt zijn in relatie tot het risico. In de bijlage bij de notitie zijn concrete voorbeelden opgenomen die u als gemeente op weg helpen. Wij adviseren u kennis te nemen van deze notitie en het beleid vooraf met ons te delen, waarbij wij het risico op onrechtmatige betalingen evalueren. Lastneming subsidies In februari 2019 heeft de commissie BBV vragen en antwoorden betreffende het omgaan met subsidies gepubliceerd.
Daarna zijn vooral bij provincies vragen gerezen hoe om te gaan met de lastneming van het verstrekken van subsidies in verschillende situaties en in het bijzonder betreffende (meerjarige) projecten. De provincies hebben een memo opgesteld en voorgelegd aan de commissie BBV, wat heeft geleid tot het definiëren van een drietal vragen waarop de commissie BBV in haar laatste vergadering de antwoorden heeft vastgesteld. Dit memo ziet toe op projectsubsidies die het boekjaar overschrijden en speelt met name bij provincies, maar is ook voor gemeenten en gemeenschappelijke regelingen toepasbaar. De strekking van het memo is dat de subsidielast wordt toegerekend aan de periode waarin de prestatie wordt geleverd. Hierbij stelt de gemeenteraad het grensbedrag voor deze subsidies vast. Meerjarig financieel inzicht In september 2020 heeft de commissie BBV de notitie Meerjarig financieel inzicht voor de raad vastgesteld. Deze notitie gaat specifiek in op enkele onderdelen die in het BBV zijn voorgeschreven en erop zijn gericht om de gebruiker van de jaarrekening (met name de raadsleden) (meer) inzicht te geven in de financiële positie van de gemeente op de korte en langere termijn.
Hierbij wordt uitgelegd hoe de diverse onderdelen uit de begroting en jaarrekening in samenhang gezien kunnen worden om een oordeel te vormen over de financiële positie van de gemeente en/of de gevolgen te overzien van bepaalde beleidskeuzes voor de ontwikkeling van die financiële positie.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
12
3. Bevindingen interne controle 3.1 Verbijzonderde interne controle
3.1 Verbijzonderde interne controle (1/4)
Three Lines Model als referentiekader
13
Three Lines Model In de theorie van governance, bedrijfsvoering en risicomanagement wordt vaak het zogenaamde Three Lines Model als referentie- en inrichtingsmodel gehanteerd. Dit referentiemodel is meer dan alleen een organisatiestructuur en het benoemen van rollen. Het is een (internationaal gangbare) manier van (samen)werken en denken die kan bijdragen aan het versterken van de interne beheersing en het managen van risico’s, inclusief het verlagen van de ‘cost of control’. Op de volgende pagina geven wij een nadere toelichting op het Three Lines Model.
Inrichting Three Lines Model is beperkt
Ons beeld De huidige opzet van het Three Lines Model binnen de gemeente is naar onze mening dat deze beperkt is. Binnen de organisatie zijn in de eerste lijn (operationele processen) beperkte controles aanwezig. Achteraf worden in de tweede lijn wel interne controles uitgevoerd. Een echte onafhankelijke derde lijn (onafhankelijke VIC) is niet aanwezig. Vanzelfsprekend toetsen wij de structuur en taken niet specifiek, maar beoordelen wij de ondersteunende processen en adviseren wij (vanuit onze natuurlijke adviesrol) over planning & control en risicomanagement. Middels deze managementletter beogen wij daarnaast op het niveau van processen en de jaarrekening een bijdrage te kunnen leveren aan de optimalisering van de interne beheersing in alle drie de lijnen.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
3.1 Verbijzonderde interne controle (2/4)
Wat is het Three Lines Model? Onze controleaanpak is naast het controleren van de jaarrekening gericht op het verbeteren van uw bedrijfsvoering inclusief digitalisering hiervan. In onze controle hanteren wij daarvoor het Three Lines model. Dit model geeft handvatten om te beoordelen waar in de interne beheersingsrisico’s worden ondervangen:
14
3rd Line of Defense Concern Control, CISO, FG, Verbijzonderde Interne Controle (VIC), Extern accountant
1st Line Uitgangspunt van het Three Lines Model is dat het lijnmanagement verantwoordelijk is voor haar eigen (operationele) processen. Om te borgen dat de uitvoering van processen adequaat verloopt (rechtmatig en getrouw) worden interne beheersmaatregelen uitgevoerd door de functionarissen, die betrokken zijn bij de uitvoering van de dagelijkse activiteiten in de organisatie en het lijnmanagement/de domeinmanagers. Deze beheersmaatregelen uitgevoerd door bestuur, management en uitvoerende functionarissen vormen de eerstelijnscontroles.
2nd Line MT, Administratie en Control
2nd Line Daarnaast moet er wel een functie zijn die de 1e lijn ondersteunt, adviseert, coördineert en bewaakt of het management zijn verantwoordelijkheden ook daadwerkelijk neemt. Dit is de tweede lijn. De planning- & controlcyclus en het risicomanagement zijn daarbij belangrijke instrumenten.
1st Line Domeinen en teams
3rd Line: Concern Control, VIC en externe audit Ten slotte kan het wenselijk zijn dat er binnen de organisatie een functie bestaat die controleert of de 1e lijn haar taken goed uitvoert en beoordeelt of het samenspel tussen de 1e en 2e lijn soepel functioneert. De derde lijn is niet verantwoordelijk voor het nemen van de beslissingen (eerste lijn) en evenmin voor het ontwerpen en implementeren van de systemen voor de beheersing van bedrijfsprocessen (tweede lijn). De 3e lijn zou daarover objectief en onafhankelijk een oordeel moeten vellen en adviezen tot verbetering geven. Eventueel kan ook de externe accountant als 3e lijn worden gezien, maar die staat meer op afstand en controleert primair de jaarrekening.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
3.1 Verbijzonderde interne controle (3/4)
BADO-notitie verbijzonderde interne controle decentrale overheid Vier varianten van VIC: Instrument aanlevering van stukken Onderdeel van het interne beheersingskader Interne beheersmaatregel Interne auditfunctie (Standaard 610)
15
Verbijzonderde Interne Controle De afgelopen jaren is veel discussie geweest over de eisen die gesteld moeten worden aan de onafhankelijkheid, positie en kwaliteit van de Verbijzonderde Interne Controle (VIC) en de wijze waarop accountants gebruik kunnen maken van de VIC. De commissie Bedrijfsvoering, Auditing Decentrale Overheden (BADO) heeft op 14 februari 2019 de notitie De verbijzonderde interne controle bij decentrale overheid uitgebracht met als doel een handreiking te bieden aan decentrale overheden ten aanzien van de inrichting van de verbijzonderde interne controle en de mogelijkheden voor de accountant om hiervan gebruik te kunnen maken. Samenvattend worden in de notitie vier varianten beschreven: 1. de VIC als instrument om de aanlevering van stukken aan de accountant te verbeteren; 2. de VIC als onderdeel van het interne beheersingskader om toezicht te houden op de uitvoering van interne beheersingsmaatregelen; 3. de VIC als interne beheersingsmaatregel, waarop de accountant kan steunen bij zijn organisatiegerichte werkzaamheden; 4. de VIC als interne auditfunctie (IAF, zoals bedoeld in Standaard 610). 1. Aanlevering stukken Allereerst kan de VIC behulpzaam zijn bij het verzamelen van allerhande gegevens en onderliggende stukken, die nodig zijn voor de controle door de accountant.
Door bijvoorbeeld tijdig een kwaliteitstoets uit te voeren op de volledigheid van de stukken, kan een positieve invloed worden uitgeoefend op de doorlooptijd van de controle. Voorts kan een goede aanlevering van stukken, een bijdrage leveren aan de efficiency van de accountantscontrole.
2. Interne beheersingskader In deze situatie gebruikt de accountant de VIC als een van de belangrijke informatiebronnen om kennis te verkrijgen van de organisatie en zo richting te geven aan zijn controle. Op deze wijze worden risico’s geïdentificeerd en ingeschat, om een basis voor het opzetten en uitvoeren van verdere controlewerkzaamheden te verkrijgen. De accountant zal in deze situatie kennisnemen van de geaccordeerde jaarplannen van de VIC en de werkzaamheden en de bevindingen van de VIC. 3. De VIC als interne beheersingsmaatregel, waarop de accountant kan steunen bij zijn organisatiegerichte werkzaamheden De derde variant is de situatie waarin de accountant kan en wil steunen, op de interne beheersingsmaatregelen van de decentrale overheid. De VIC omvat interne beheersingsmaatregelen, die de accountant kan toetsen in het kader van zijn organisatie- en procesgerichte werkzaamheden. 4. De VIC als interne auditfunctie In deze situatie concludeert de accountant op basis van zijn werkzaamheden, dat de VIC voldoet aan de eisen die Standaard 610 bevat voor de interne auditfunctie (IAF: zie de paragraaf over de drie verdedigingslinies).
Dit veronderstelt het volgende: dat de organisatorische positie en relevante beleidslijnen alsmede procedures van de interne auditfunctie, op adequate wijze de objectiviteit van de interne auditors ondersteunen; het competentieniveau van de interne auditfunctie gewaarborgd is; dat binnen de interne auditfunctie een systematische en gedisciplineerde benadering gehanteerd wordt, inclusief de kwaliteitsbeheersing. DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
3.1 Verbijzonderde interne controle (4/4)
Ons beeld van de VIC
16
Ons beeld van de VIC De gemeente Baarle-Nassau kent geen afzonderlijke afdeling of functionaris(sen) die als VIC worden aangemerkt. Wel is binnen de ABG organisatie een intern controleplan aanwezig met onder andere een risicoanalyse. Op basis van de risicoanalyse en de omvang van de processen is bepaald op welke wijze de interne controle plaatsvindt. Het intern controleplan over 2020 is opgesteld door de organisatie en beoordeeld door de voorgaande accountant. De interne controle is hiërarchisch gepositioneerd onder de afdeling Financiën en control. Hierbij zijn de interne controles verdeeld over de verschillende medewerkers. De uitgevoerde werkzaamheden worden vastgelegd in checklists per proces/controle. Eventuele bevindingen worden besproken met de medewerkers. Formele rapportering over de bevindingen en waarborgen van de opvolging vindt niet plaats. Jaarlijks wordt een totaal rapportage opgesteld. Deze rapportage verwachten wij te kunnen beoordelen bij de onze jaarrekeningcontrole. De eisen die Standaard 610 stelt aan de externe accountant bij de beoordeling van de objectiviteit en competentie van de internal audit functie zijn (zeer) hoog. Volgens Standaard 610 moet de VIC voldoen aan het kwaliteitsniveau dat ook voor de controlerend accountants zelf geldt.
Dit impliceert interne kwaliteitseisen zoals het vierogenprincipe bij de uitvoering van de VIC, een zichtbare detailreview van alle uitgevoerde werkzaamheden en permanente educatie.
Variant 1/2: De VIC als verzamelfunctie en onderdeel van het beheersingskader
Wij hebben de VIC beoordeeld in het kader van de BADO-notitie. Wij concluderen dat het op dit moment niet realistisch is om te voldoen aan de eisen van de COS 610 c.q. dit op korte termijn ook niet het streven is / moet zijn. Ten behoeve van de jaarrekeningcontrole kwalificeren wij de VIC initieel als variant 1 en 2. Variant 3 is niet mogelijk omdat geen periodieke rapportering en bewaking van opvolging van bevindingen plaatsvindt. Daarnaast zorgt de situatie dat de interne controles door medewerkers van de afdeling Financiën en control die zich ook bezig houden met andere werkzaamheden en daarmee geen afzonderlijke positionering hebben binnen de organisatie dat we niet kunnen concluderen dat selecties onafhankelijk tot stand zijn gekomen. In 2020 rapporteren wij vanuit dit uitgangspunt met betrekking tot de Verbijzonderde Interne Controle (VIC) van de ABG-organisatie.
Aanbevelingen: Periodiek rapporteren over de bevindingen en opvolging hiervan bewaken Onafhankelijke rol VIC
Aanbevelingen In onze optiek kan de meerwaarde van de VIC voor de organisatie worden vergroot wanneer de rapportages kort na afronding van de interne controles worden opgesteld, waarbij ook bewaking plaatsvindt van de opvolging van de bevindingen/vragen door de procesverantwoordelijke. Daarnaast kan meerwaarde plaatsvinden door een onafhankelijkere positie binnen de organisatie, waarbij medewerkers zich focussen op de uitvoering van de interne controles. Daarnaast worden wij graag betrokken bij het opstellen van het intern controleplan 2021.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
17
4. Bevindingen significante processen 4.1 Onze controle nog transparanter
4.2 Effectiviteit processen
4.1 Onze controle nog transparanter (1/2)
Eisen aan accountantscontrole en onze rapportages
Onderkende risico’s: Management override EU-aanbestedingen Ongeautoriseerde handelingen in ITsystemen (superusers Key2Financiën)
Wij beoordelen de volgende processen
18
Inleiding De afgelopen jaren is er veel discussie (geweest) over de eisen die worden gesteld aan de accountantscontrole, wat direct en indirect ook gevolgen heeft voor de verwachtingen die wij als accountants hebben van onze klanten. Wij vinden het van groot belang dat wij inzicht geven in de normen en verwachtingen ten aanzien van onze controle en de vertaling hiervan specifiek voor uw organisatie. Een goede interne beheersing maakt immers ook dat de risico’s voor de organisatie geringer zijn en de externe controle effectiever en efficiënter kan plaatsvinden. In deze managementletter hebben wij daarom in detail uitgelegd op welke wijze wij de controle hebben ingericht en welke afwegingen wij daarbij maken. Wij doen dat door in deze paragraaf onze risico-inschatting, belangrijkste processen, controleaanpak en afwegingen te beschrijven. Onze inschatting van de risico’s en belangrijkste processen In het kader van de controle van de jaarrekening 2020 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien de volgende potentiële risico’s in de controle van de jaarrekening van de gemeente Baarle-Nassau: In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door bestuur of management van de jaarcijfers) als belangrijk te onderkennen theoretisch risico benoemd.
Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat binnen de organisatie de mogelijkheden, om buiten de getroffen interne beheersmaatregelen invloed uit te uitoefenen op de in de jaarrekening gepresenteerde uitkomsten bestaan. Om het risico te beperken beoordelen wij schattingsprocessen en bijzondere journaalposten in detail; Het niet naleven van de Europese aanbestedingsregels; Ongeautoriseerde handelingen in IT-systemen (superusers, met name Key2Financiën). In onze aanpak steunen wij, daar waar mogelijk, op de interne beheersing in de significante processen van de organisatie. Daarbij maken wij, indien mogelijk, gebruik van uw eigen verbijzonderde interne controle (VIC). In het kader van onze controle hebben wij de volgende processen beoordeeld: De interne Planning & Control-cyclus; Het inkoopproces (incl. aanbestedingen); Het proces omtrent IT/automatisering; Subsidieverstrekking; Omgevingsvergunningen; Sociaal domein; Belastingen; Grondexploitatie; Verbonden partijen. Natuurlijk zijn er meerdere processen te onderkennen die zowel door de organisatie worden uitgevoerd als zijn uitbesteed, ook met financiële gevolgen.
Op basis van onze ervaring, de kwaliteit en omvang van deze processen en om efficiency redenen hebben wij deze echter niet procesmatig / systeemgericht getoetst, maar zullen wij (achteraf) gegevensgerichte werkzaamheden uitvoeren in de vorm van steekproeven / deelwaarnemingen, cijferanalyses, verbandscontroles etc. Bij de voorbereiding van de jaarrekeningcontrole maken wij afspraken over de resterende werkzaamheden, aanpak en de hiervoor benodigde informatie.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
4.1 Onze controle nog transparanter (2/2)
Onderscheid systeemen gegevensgerichte controleaanpak
19
Onze aanpak afhankelijk van uw interne beheersing Onze controleaanpak bestaat uit systeemgerichte en/of gegevensgerichte werkzaamheden. Een proces- of systeemgerichte aanpak is gericht op de interne beheersmaatregelen in de processen en daaraan gerelateerde IT-systemen. Deze aanpak stelt hoge eisen aan de interne controles in de processen, maar betekent ook dat de organisatie beter in control is en risico’s eerder kan signaleren. Een gegevensgerichte aanpak betekent dat wij de controle uitvoeren middels steekproeven, deelwaarnemingen etc. om vast te stellen of de posten in de jaarrekening getrouw en rechtmatig zijn. Met deze aanpak steunen wij niet op interne beheersingsmaatregelen in de organisatie en verrichten wij minimale werkzaamheden aan de interne beheersing. De controleaanpak die wij, al dan niet te onderscheiden per proces / post, hanteren, is afhankelijk van het niveau van uw interne beheersing. Om onze controleaanpak te bepalen, toetsen wij de interne processen aan vier voorwaarden die wij hieronder uiteen hebben gezet. Vanzelfsprekend is ook een mix van deze aanpakken mogelijk, al dan niet te onderscheiden per proces / post.
Criteria: • Voldoende functiescheiding • Voldoende beheersmaatregelen • IT-beheersing op orde • Toetsing door verbijzonderde interne controle
De beheersorganisatie is in opzet voldoende
DASHBOARD
Uitwerking controlestrategie per proces Voor elk proces beoordelen wij de volgende onderdelen: Controle technische functiescheiding (CTFS): Is er binnen de primaire processen sprake van voldoende functiescheiding? AO/IB: Is sprake van een actueel en toereikend procesbeschrijving met voldoende beheersmaatregelen? IT-maatregelen: Zijn in en rondom het systeem voldoende waarborgen getroffen t.a.v. de betrouwbaarheid van de gegevensverwerking? VIC: Heeft de VIC de interne beheersmaatregelen getoetst en kunnen wij daar gebruik van maken? Indien al deze vragen positief kunnen worden beantwoord, is de organisatie optimaal in control en kunnen ook wij gebruik maken van uw eigen interne beheersing. De vaak tijdrovende en gedetailleerde gegevensgerichte werkzaamheden (die ook nog eens achteraf plaatsvinden), kunnen dan beperkt blijven tot een minimum. Samenvatting effectiviteit van de processen In het overzicht op de volgende pagina geven wij weer in hoeverre de processen voldoen aan de genoemde normen (zie ook hoofdstuk 5 t.a.v. IT-omgeving) en welke detailbevindingen wij per proces hebben geconstateerd. Op basis van onze uitgevoerde werkzaamheden komen wij op dit moment tot de conclusie dat binnen de processen sprake is van minimaal noodzakelijke primaire functiescheiding. Tevens is binnen de processen sprake van interne beheersmaatregelen.
Deze maatregelen worden echter niet toereikend genoeg vastgelegd, waardoor achteraf niet toetsbaar is of controlemaatregelen zijn uitgevoerd en hoe deze zijn uitgevoerd. Omdat de AO/IB en IT General Controls niet altijd goed zijn opgezet of goed werken, kunnen wij voor wat betreft de insteek van onze controle nog niet op de processen steunen en bestaat onze controleaanpak overwegend uit gegevensgerichte werkzaamheden.
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
4.2 Effectiviteit processen (1/2) PROCES
CTFS
AO/IB
Planning & Controle
20
VIC
CONCLUSIE T.A.V. DE CONTROLEAANPAK
n.v.t.
Er is sprake van een adequaat functionerende planning & control cyclus. De organisatie heeft voor verschillende processen beschrijvingen gemaakt waar taken en verantwoordelijkheden in zijn uiteengezet. Deze procesbeschrijvingen zijn niet geformaliseerd. Wij adviseren de ABG-organisatie en de gemeente om de procesbeschrijvingen te formaliseren. De memoriaalboekingen worden aangeleverd door medewerkers financiën en middels het vierogenprincipe gecontroleerd en goedgekeurd door een andere medewerker van de afdeling financiën. Er is sprake van functiescheiding tussen de medewerker welke de memoriaalboeking opstelt, controleert en goedkeurt. Wij adviseren de organisatie om deze controlemaatregel in te bedden in de financiële administratie Key2Financiën. Tot slot stellen wij vast dat het intern controleplan niet consistent wordt nageleefd. Wij adviseren u om het intern controleplan te herzien en toe te zien op naleving van het intern controleplan.
Inkopen & betalingen
Er is sprake van minimale noodzakelijke (primaire) functiescheiding met verschillende aandachtspunten. Bestellingen worden verricht door medewerkers die hier de autoriteit toe hebben middels de budgethouderregeling. De controle van de en prijs op de factuur wordt uitgevoerd door de budgethouder/budgetbeheerder. De financiële administratie verwerkt facturen en de kassier stelt betaalvoorstellen op. De controle van betalingen vindt plaats door coördinator financiën en financieel adviseur. Bij het wijzigen van crediteurenstamgegevens en het verrichten van betalingen is sprake van functiescheiding en een vierogen principe. De controle op prestatielevering wordt niet zichtbaar vastgelegd door de budgethouder. Er is geen eenduidige procedure over het omgaan met prestatieverklaringen. Daarnaast wordt bewijs van prestatielevering niet gedocumenteerd. Tot slot bestaat er geen functiescheiding tussen het aangaan van verplichtingen en het vaststellen van de prestatielevering. Mogelijk biedt de BADO-notitie ‘Vastlegging en onderbouwing prestatielevering bij inkopen door decentrale overheidsorganisaties’ een leidraad voor de gemeente in de vastlegging hiervan. Daarnaast wordt er niet preventief gewaarborgd of opdrachten voldoen aan de aanbestedingsrichtlijnen.
Aanbestedingen
Wij adviseren om aan de voorkant van het inkoopproces een waarborg in te bouwen, waarbij de voorgestelde inkoopstrategie wordt getoetst aan de geldende aanbestedingsrichtlijnen, met behulp van een inkoopadviseur, gericht op het mitigeren van het risico op onrechtmatige inkopen. Achteraf worden middels een spendanalyse eventuele onrechtmatigheden gecontroleerd en geconstateerd door de gemeente.
IT-systemen
n.v.t.
Zie voor verdere informatie hoofdstuk 5, met name doordat sprake is van superusers in de kritische processen kan niet volledig gesteund worden op het systeem en zullen hiervoor gegevensgerichte werkzaamheden moeten plaatsvinden.
Subsidieverstrekking
Er is sprake van een minimaal noodzakelijke (primaire) functiescheiding. Er vindt niet altijd tijdige vaststelling plaats van de beschikte subsidies in het voorgaande boekjaar.
Omgevingsvergunningen
Er is sprake van een minimaal noodzakelijke (primaire) functiescheiding. Op de interne berekening van de bouwkosten vindt geen controle plaats in de eerste lijn. Wel worden hier door de VIC achteraf controles op uitgevoerd.
Sociaal Domein
Er is sprake van een minimaal noodzakelijke (primaire) functiescheiding. De prestatielevering op cliënt/ factuur niveau wordt niet preventief gecontroleerd. Wij zijn reeds in overleg met uw medewerkers om te komen tot een sluitende controleaanpak (intern en extern). Afhankelijk van de resterende onzekerheid ten aanzien van prestatielevering na ontvangst van de productieverantwoordingen en de vastgelegde evaluatiegesprekken met leveranciers kunnen mogelijk nog enquêtes nodig zijn om de onzekerheid tot een acceptabel laag niveau terug te brengen.
Proces is ontoereikend, meerdere bevindingen en aanbevelingen. Risico x impact is hoog.
DASHBOARD
AANDACHTSPUNTEN
Proces is toereikend, één of enkele aanbevelingen resteren. Risico x impact is middel.
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
Proces is adequaat, enkel aanbevelingen ter verdere optimalisatie. Risico x impact is laag.
IT-BEHEERSING
BIJLAGEN
4.2 Effectiviteit processen (2/2)
PROCES
CTFS
AO/IB
VIC
CONCLUSIE T.A.V. DE CONTROLEAANPAK Er is sprake van een minimaal noodzakelijke (primaire) functiescheiding. In 2020 heeft een zichtbare controle/autorisatie van de ingevoerde tarieven plaatsgevonden.
Belastingen
Verbonden partijen
n.v.t.
Proces is ontoereikend, meerdere bevindingen en aanbevelingen. Risico x impact is hoog.
DASHBOARD
21
AANDACHTSPUNTEN
Binnen dit proces is sprake van de minimaal noodzakelijke functiescheiding. Aandachtspunt is de tijdigheid van de informatievoorziening van de verbonden partijen en de juistheid van de informatie ten behoeve van de lasten in de jaarrekening. In 2020 zijn geen nieuwe gemeenschappelijke regelingen opgericht.
Proces is toereikend, één of enkele aanbevelingen resteren. Risico x impact is middel.
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
Proces is adequaat, enkel aanbevelingen ter verdere optimalisatie. Risico x impact is laag.
IT-BEHEERSING
BIJLAGEN
22
5. IT-beheersing 5.1 IT-beheersing en onze controlerende rol
5.2 Bevindingen IT-beheersing | Overall beeld 5.3 Actuele IT ontwikkelingen vanuit onze natuurlijke adviesrol 5.4 IT-audit | Benchmark Overheid 5.5 Ontwikkelingen en risico’s van cloudoplossingen
5.1 IT-beheersing
Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening
23
IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze jaarrekeningcontrole gericht is op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van ICT-systemen en -applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking.
Beoordeelde systemen: Key2Financiën Suite4SociaalDomein GISVG
De bevindingen zoals gerapporteerd in deze managementletter zijn gericht geweest op het beoordelen van de opzet en het vaststellen van het bestaan van algemene IT-beheersmaatregelen. Wij hebben in samenwerking met onze IT-auditors een aantal van deze maatregelen beoordeeld voor Key2Financiën, Suite4SociaalDomein en GISVG. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevante processen en posten (zie hoofdstuk 4).
Detailbevindingen IT weergegeven in Bijlage B
In dit hoofdstuk geven wij allereerst een samenvatting van onze bevindingen voor de genoemde applicaties. De detailbevindingen rondom deze systemen zijn opgenomen in Bijlage B. Daarna gaan wij, vanuit onze natuurlijke adviesfunctie, in op een aantal actuele ontwikkelingen ten aanzien van Key2Financiën en uitbesteding bij Equalit.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
5.2 Bevindingen IT-beheersing | Overall beeld
Logische toegangsbeveiliging (criteria 1-2 en 5) nog deels ontoereikend. Change management (criteria 6) deels ontoereikend. Continuïteit (criteria 7) deels ontoereikend. Voor een nadere onderbouwing van de norm, bevindingen en aanbevelingen verwijzen wij naar Bijlage B
PROCES
K2F
S4SD
GISVG
24
KORTE OMSCHRIJVING RESULTATEN
1. Procedure autorisatiebeheer
1
Er is nog geen formele normpositie opgesteld waarin de rollen per functionaris worden weergegeven. Voor één willekeurige uitdiensttreding vastgesteld dat de rechten niet tijdig zijn ingetrokken.
2. Periodieke controle op juistheid ingerichte autorisaties
2
Er worden geen (aantoonbare) periodieke reviews uitgevoerd op juistheid en actualiteit van ingerichte autorisaties.
3. Identificatie van gebruikers voor toegang tot systemen en data
3
Generieke accounts binnen applicaties K2F en S4SD zijn als verklaarbaar bevonden. Binnen GISVG zijn 6 generieke accounts aanwezig, welke niet langer in gebruik zijn, derhalve is het gebruik van deze accounts onverklaarbaar.
4. Wachtwoordbeleid (authenticatie)
4
De wachtwoordvereisten voldoen aan de BDO minimum best practice. *²
5
Eindgebruikers beschikken over superuserrechten, waardoor functiescheiding doorbroken is. K2F: Dit betreffen 2 financieel medewerkers S4SD: Dit betreft 1 kwaliteitsmedewerker GISVG: Dit betreffen 4 medewerkers Belastingen en Vergunning & handhaving.
6. Wijzigingenbeheer updates en gescheiden omgevingen (ontwikkeltest-productie)
6
Alle applicaties: Er is een formeel wijzigingsbeheerproces ingericht, waarbij beoordeling van releasenotes en een akkoord zijn vastgelegd. Testwerkzaamheden worden niet gedocumenteerd waardoor niet inzichtelijk is dat eindgebruikers deze hebben verricht. S4SD: Er bevinden zich 2 leveranciers accounts in de productieomgeving, hiermee zouden ongeautoriseerde wijzigingen doorgevoerd kunnen worden.
7. Continuïteit (fysieke toegang, backup, monitoring en restoretest).
7
Continuiteitsmaatregelen zijn getroffen door de serviceorganisatie en de gemeenten en de ABG-organisatie ontvangt hier assurance over. *₁ *²
5. Administrators en superusers
onvoldoende
DASHBOARD
AANDACHTSPUNTEN
verbeterpunten
INTERNE CONTROLE
voldoende
*₁ = Dit punt behoeft nuancering gezien het bestaan en de werking van maatregelen in februari 2021 pas beoordeeld kan worden. Er is geen aanleiding om te stellen dat de maatregelen ineffectief zijn voor boekjaar 2020. *² = Hoewel dit punt toereikend is, zijn in bijlage B aanbevelingen opgenomen.
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
5.3 Actuele IT-ontwikkelingen en onze natuurlijke adviesrol (1/3)
IT en onze natuurlijke adviesrol
25
IT-werkzaamheden en onze natuurlijke adviesrol Vanuit onze natuurlijke adviesrol willen wij u attenderen op een aantal ontwikkelingen op het gebied van IT. Deze ontwikkelingen zijn niet altijd direct gerelateerd aan onze controle van de jaarrekening, maar wel van belang voor uw bedrijfsvoering. Wij schetsen in deze managementletter de ontwikkelingen op hoofdlijnen met als doel u te attenderen op deze ontwikkelingen. Dat betekent ook dat wij geen uitgebreid onderzoek hebben uitgevoerd naar deze onderwerpen. Waar relevant, zijn ze specifiek gemaakt voor uw organisatie.
De organisatie heeft een verdere verbetering van de ITbeheersing voor ogen
Professionalisering van IT-beheersing Ten aanzien van IT-beheersing zien wij dat gemeente via de ABG-organisatie de nodige tijd en middelen investeert om verder in control te komen binnen deze geautomatiseerde gegevensverwerking. De maatregelen die wij hebben getoetst omtrent de IT General Controls (logische toegangsbeveiliging, wijzigingsbeheer en continuïteit) laten zien dat u de afgelopen jaren stappen hebt gezet en bezig bent om verscheidene verbeteringen te implementeren.
Aanbesteding nieuwe belastingapplicatie
Aandachtpunten bij inrichting van nieuwe financiële applicatie Wij hebben vernomen de ondersteuning van de applicatie GISVG per 2023 wordt stopgezet. Daarom moet de gemeente Baarle-Nassau via de ABG-organisatie een nieuwe belastingapplicatie aanbesteden. Wij willen benadrukken dat belangrijke controles zoals functiescheiding (vierogenprincipe), controle op tarieven en aansluiting met de landelijke basisregistraties (bijv. BAG, LVWOZ, HR) mooie kansen biedt om verder in-control te komen. Vanuit controleperspectief willen wij graag een aantal belangrijke aandachtspunten meegeven die hier nog aan bij kunnen dragen: Bepalen van functiescheiding in de gebruikers rollen/autorisaties; Inrichting van adequate wachtwoordeisen voor (betreft: Single-Sign-On, geen accounts vrijgesteld van verplicht wachtwoord wijzigen); Inrichten van audit-trails op mutaties aan de tarieven gedurende het boekjaar; Periodieke controle op onrechtmatige leegstand van objecten (op basis van waterverbruik); Integratie van de kohierencontroles met datawarehousetooling om volledige heffing te controleren. Bij een overgang van GISVG naar een nieuwe belastingapplicatie dienen uiteraard ook werkzaamheden en vastleggingen gedaan te worden om te borgen dat de overzetting van data volledig en juist is.
In het kader van de jaarrekeningcontrole is dit tevens van belang om te voorkomen dat het achteraf tot problemen ten aanzien van de betrouwbaarheid leidt. Hieronder hebben wij een aantal belangrijke aandachtspunten opgenomen om grip te krijgen op de conversie van data. Het in kaart brengen van de belangrijkste registraties (scope van registraties zoals: Tarieven, Hefmodellen, Objecten etc.); Het opstellen van een conversieplan voor het overzetten (type overzetting zoals bijv. opschonen en verrijken van data); Het bepalen van een controle-aanpak om betrouwbaarheid (volledigheid en juistheid) van conversiedata vast te stellen; Het laten uitvoeren van een onafhankelijke review onderzoek op het conversiedossier om daarmee de betrouwbaarheid van de conversie vast te stellen. Graag denken wij tijdig met u mee over de impact van deze aandachtspunten, zodat geborgd kan worden dat uitkomsten van het nieuwe systeem dienstbaar zijn aan de interne (en externe) controle.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
5.3 Actuele IT-ontwikkelingen en onze natuurlijke adviesrol (2/3)
26
Uitbesteding van ITbeheeractiviteiten
Professionalisering van IT-beheersing Ten aanzien van IT-beheersing zien wij dat de gemeente Baarle-Nassau via de ABG-organisatie een deel van de IT-beheeractiviteiten heeft uitbesteed aan externe serviceorganisatie Equalit. De IT-beheeractiviteiten bestaan uit de IT general controls (logische toegangsbeveiliging, change management en continuïteit) waarbij Equalit maatregelen heeft getroffen om de IT-risico’s te mitigeren. Dit betreft het risico op ongeautoriseerde handelingen, onbeheerste wijzigingen en verstoringen met dataverlies als gevolg. De dienstverlening van serviceorganisatie Equalit heeft betrekking op het IT-beheer van relevante applicaties van gemeenten, die gebruikt worden voor het verwerken van de belangrijkste jaarrekening-relevante onderdelen: Financiële administratie; Salarisverwerking; Uitkeringen; Inkoop- & factuurautorisatie.
Aandachtspunten bij uitbesteding IT-beheer
Serviceorganisatie Equalit zal begin 2021 een assuranceverklaring (ISAE3402 type II) over boekjaar 2020 verstrekken. Met deze assuranceverklaring wordt verantwoording afgelegd over de effectiviteit van de genomen beheersmaatregelen rondom deze IT general controls. Daarnaast zijn de verwachte beheersmaatregelen (user consideration controls) opgenomen, welke de ABG-organisatie zelf nog dient uit te voeren om in-control te komen. Wij raden aan om deze assuranceverklaring op te vragen bij serviceorganisatie Equalit en na te gaan: Wat de scope van de assuranceverklaring betreft en of dit overeenkomt met de afgenomen diensten bij deze partij; Wat de periode van de assuranceverklaring betreft (gehele boekjaar of gedeelte van het jaar); In hoeverre de controlemaatregelen rondom de IT general controls toereikend zijn en of de maatregelen volledig dekkend zijn voor uw organisatie; Welke aanvullende controlemaatregelen (ref: user consideration controls) worden verwacht van u als gemeente Baarle-Nassau en of dit adequaat is ingericht. Op basis van gesprekken met de controller en adviseur informatievoorziening hebben wij vernomen dat de ABG-organisatie momenteel bezig is om de user consideration controls in te richten binnen de organisatie.
We raden aan om bijzonderheden ten opzichte van bovengenoemde aandachtspunten te bespreken met Equalit en waar mogelijk hier opvolging aan te geven. Graag denken wij tijdig met u mee over de impact van deze aandachtspunten, zodat geborgd kan worden dat uitkomsten dienstbaar zijn aan de interne (en externe) controle.
DASHBOARD
AANDACHTSPUNTEN
INTERNE CONTROLE
SIGNIFICANTE PROCESSEN
IT-BEHEERSING
BIJLAGEN
5.3 Actuele IT-ontwikkelingen en onze natuurlijke adviesrol (3/3)
Informatiebeveiliging bij de gemeente en ABG-organisatie
Ontwikkelingen rondom Informatiebeveiliging Ten aanzien van IT-beheersing zien wij dat de gemeente en de ABG-organisatie de nodige tijd en middelen investeren om verder in control te komen op het gebied van informatiebeveiliging. Dit met als doel om de continuïteit van de informatie en informatievoorziening tot een acceptabel niveau te beperken voor de organisatie. In de lokale overheidsmarkt valt de Baseline Informatiebeveiliging Overheid (hierna: BIO) en IT-beheersing in het kader van de jaarrekeningcontrole haast niet meer los van elkaar te zien. De maatregelen die wij hebben getoetst omtrent de IT General Controls (logische toegangsbeveiliging, wijzigingsbeheer en continuïteit) laten zien dat u goed op weg bent om dit doel te realiseren. Een belangrijk voordeel van de BIO is dat het een baseline creëert in de vorm van een managementsysteem (ISMS). In bijlage B hebben wij vanuit onze IT General Controls een referentie naar de vergelijkbare BIO-norm toegevoegd*.
Aandachtspunten bij implementeren Baseline Informatiebeveiliging
27
Daarnaast willen bij het implementeren baseline, u attenderen op een aantal belangrijke stappen bij het implementeren van een BIO-baseline: Het uitvoeren van een nulmeting (gap-analyse) waarin zowel de implementatie van de huidige baseline als de te ondernemen stappen voor de BIO in kaart worden gebracht (reeds onder handen bij ABGorganisatie); Het trainen van het lijnmanagement door middel van bijvoorbeeld workshops, om een risico gestuurde aanpak (omtrent informatiebeveiliging) te integreren in de bedrijfsvoering en bewustwording omtrent verantwoordelijkheden van informatiebeveiliging te creëren; Het uitvoeren van een security scan voor het bepalen van de vereiste maatregelen per proces; Het implementeren van de beheersingsmaatregelen die op basis van deze security scan zijn bepaald; Het uitvoeren van een BIO-audit om te bepalen in hoeverre uw organisatie voldoet aan de BIO-vereisten.