CONCEPT Accountantsverslag gemeente Bernheze 11062025

29 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

4.5 BBV, WNT en SiSa 2/2 Naleving van de (publicatieverplichtingen) WNT De Wet normering bezoldiging topfunctionarissen publieke en semipublieke sector (WNT) is met ingang van 2013 van toepassing. Doelstelling van de wet is te verhinderen dat instellingen in de publieke en semipublieke sectoren rechtens in staat zijn bovenmatige bezoldigingen toe te kennen. Voor gemeenten geldt dat de gemeentesecretaris en de griffier als topfunctionaris worden aangemerkt. De algemene bezoldiging voor een topfunctionaris mag voor 2024 niet meer bedragen dan € 233.000 per jaar. De externe accountant is belast met de controle op de naleving van de WNT door de instelling. Overschrijding van de bezoldigingsnorm wordt aangemerkt als een onverschuldigde betaling, die door de topfunctionaris terugbetaald moet worden aan de instelling. Gebeurt dit niet, dan is BDO als accountant wettelijk verplicht om bij het ministerie melding te doen van deze onverschuldigde betaling. Wij hebben tevens een meldingsplicht indien u geen of onjuiste gegevens heeft gepubliceerd in de jaarrekening. Wij hebben vastgesteld dat de bezoldigingen over 2024 van de gemeente Bernheze niet strijdig zijn met de WNT en dat de jaarrekening 2024 van de gemeente Bernheze voldoet aan de publicatieverplichtingen van de WNT.

SiSa-bijlage Wij hebben de in de SiSa-bijlage van de jaarrekening 2024 genoemde specifieke uitkeringen gecontroleerd met inachtneming van de Nota verwachting accountantscontrole SiSa 2024. Op grond van ons onderzoek hebben wij bij uw specifieke uitkeringen geen fouten en/of onzekerheden geconstateerd die de voor SiSa geldende rapporteringstolerantie overschrijden. Zie tevens 5.1. In bijlage 1 van de Nota Verwachtingen Accountantscontrole 2024 wordt ingegaan op de Wet Inburgering 2021. Vanaf 1 januari 2022 is het nieuwe inburgeringsstelsel ingegaan waarin de Wet Inburgering 2021 wordt uitgevoerd door gemeenten en verantwoord in de SiSa-bijlage 2024. Gemeente Bernheze heeft de participatiewet en aanverwante regelingen, en daarmee ook de Wet Inburgering 2021, belegd bij gemeente Meierijstad. Wij hebben van de accountant van gemeente Meierijstad vernomen dat gemeente Meierijstad geen financiële onregelmatigheden op het gebied van het Voorwaardecriterium en Misbruik & Oneigenlijk gebruik (M&O-criterium) aan haar accountant heeft gerapporteerd die in de rechtmatigheidsverantwoording van gemeente Bernheze opgenomen dienen te worden.

30 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

4.6 Belangrijke schattingsposten

Inherent aan het opmaken van een jaarrekening, is dat het college met de organisatie schattingen moet maken. Bepaalde schattingen kennen een (additionele) schattingsonzekerheid en zijn van bijzonder belang door hun invloed op de jaarrekening en doordat zij een hoge mate van schattingsonzekerheid vertonen. Een goed inzicht in de jaarrekening vereist kennis van deze posten. Als onderdeel van de controle hebben wij de oordeelsvormingen en besluiten van het college bij het maken van de schattingen beoordeeld op indicaties voor mogelijke tendentie bij het college. In het hierna opgenomen overzicht hebben wij van de jaarrekeningposten waaraan een belangrijke schatting ten grondslag ligt weergegeven of wij de schatting als conservatief, neutraal of optimistisch hebben aangemerkt.

POST IN DE JAARREKENING

BEDRAG (x € 1.000)

BEOORDELING HUIDIG BOEKJAAR

BEOORDELING VORIG BOEKJAAR

Vaste activa - afschrijvingen

2.829





Afschrijving van de materiële vast activa vindt plaats op basis van de ingeschatte en vastgestelde afschrijvingstermijnen.

Voorziening dubieuze debiteuren

279





Voor debiteuren is een voorziening getroffen. Hiermee kunnen in voorkomende gevallen oninbare bedragen worden opgevangen.

Grondexploitatie - nog te maken kosten

36.859





Er is een inschatting gemaakt van de nog te maken kosten welke benodigd zijn voor afronding van de projecten.

Grondexploitatie - nog te verwachten opbrengsten

44.942





Er is een inschatting gemaakt van de nog te verwachten opbrengsten welke gerealiseerd worden voor afronding van de projecten.

 conservatief  neutraal  optimistisch, maar aanvaardbaar

TOELICHTING SCHATTING

31 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5. Bijlagen

5.1 Bevindingen SiSa-bijlage 5.2 IT-bevindingen

32 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.1 Bevindingen SiSa-bijlage

Inleiding Bij de jaarrekening wordt als bijlage de SiSa-verantwoording toegevoegd. De gemeente Bernheze heeft de rechtmatige totstandkoming van de SiSa-bijlage getoetst. In onderstaande tabel zijn de te rapporteren bevindingen opgenomen: Op grond van het Besluit accountantscontrole decentrale overheden, artikel 5, lid 4, rapporteren wij in dit rapport over de fouten en onzekerheden van de specifieke uitkeringen die in 2024 in het kader van SiSa worden verantwoord. Per regeling is aangegeven of, en zo ja welke financiële fouten of onzekerheden zijn geconstateerd. Indien geen fouten of onzekerheden zijn geconstateerd, zijn de kolommen ‘FINANCIËLE OMVANG IN €’ en ‘TOELICHTING FOUT/ONZEKERHEID’ niet ingevuld.

STREKKING CONTROLEVERKLARING 2024 Strekking controleverklaring getrouwheid (jaarrekening)

Goedkeurend Goedkeurend

Strekking controleverklaring rechtmatigheid (SiSa-bijlage) NR. B2 B2 C62 C62 C92 C92

SPECIFIEKE UITKERING OF OVERIG Regeling specifieke uitkering gemeentelijke hulp gedupeerden toeslagenproblematiek Regeling specifieke uitkering gemeentelijke hulp gedupeerden toeslagenproblematiek Specifieke uitkering aan gemeenten voor de bekostiging van de kwijtschelding van gemeentelijke belastingen van gedupeerden door de toeslagenaffaire Specifieke uitkering aan gemeenten voor de bekostiging van de kwijtschelding van gemeentelijke belastingen van gedupeerden door de toeslagenaffaire Regeling specifieke uitkering Informatiepunten Digitale Overheid Regeling specifieke uitkering Informatiepunten Digitale Overheid

FOUT OF ONZEKERHEID Fout Onzekerheid Fout Onzekerheid Fout Onzekerheid

FINANCIËLE OMVANG IN €

TOELICHTING FOUT/ONZEKERHEID

33 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.1 Bevindingen SiSa-bijlage

NR. D8

SPECIFIEKE UITKERING OF OVERIG Onderwijsachterstandenbeleid 2023-2026 (OAB)

FOUT OF ONZEKERHEID

D8

Onderwijsachterstandenbeleid 2023-2026 (OAB)

Onzekerheid

D14

Regeling specifieke uitkering inhalen COVID-19 gerelateerde onderwijsvertragingen D14 Regeling specifieke uitkering inhalen COVID-19 gerelateerde onderwijsvertragingen D22 Regeling specifieke uitkering voor de voorschoolse educatie aan ontheemde peuters D22 Regeling specifieke uitkering voor de voorschoolse educatie aan ontheemde peuters E44B Tijdelijke impulsregeling klimaatadaptatie 2021–2027 (SiSa tussen medeoverheden) E44B Tijdelijke impulsregeling klimaatadaptatie 2021–2027 (SiSa tussen medeoverheden) E84 Regeling stimulering verkeersveiligheidsmaatregelen 20222023 E84 Regeling stimulering verkeersveiligheidsmaatregelen 20222023 G2 Gebundelde uitkering op grond van artikel 69 Participatiewet_gemeentedeel 2024 G2 Gebundelde uitkering op grond van artikel 69 Participatiewet_gemeentedeel 2024 G2 Gederfde baten die voortvloeien uit kwijtschelden schulden in het kader van de hersteloperatie kinderopvangtoeslagaffaire gebundelde uitkering Participatiewet in jaar T_gemeentedeel 2024 G2 Gederfde baten die voortvloeien uit kwijtschelden schulden in het kader van de hersteloperatie kinderopvangtoeslagaffairegebundelde uitkering Participatiewet in jaar T_gemeentedeel 2024

Fout

Fout Onzekerheid Fout Onzekerheid Fout Onzekerheid Fout Onzekerheid Fout Onzekerheid Fout

Onzekerheid

FINANCIËLE OMVANG IN €

TOELICHTING FOUT/ONZEKERHEID

34 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.1 Bevindingen SiSa-bijlage

NR. G3 G3 G3 G3

G3

G3

G3

G3

SPECIFIEKE UITKERING OF OVERIG Besluit bijstandverlening zelfstandigen 2004_gemeentedeel 2024 Besluit bijstandverlening zelfstandigen 2004_gemeentedeel 2024 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden levensonderhoud BBZ in jaar T (exclusief BOB)_gemeentedeel 2024 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden in het kader van de hersteloperatie kinderopvangtoeslagaffaire levensonderhoud BBZ in jaar T (exclusief BOB)_gemeentedeel 2024 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T (exclusief BOB)_gemeentedeel 2024 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T (exclusief BOB)_gemeentedeel 2024 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden levensonderhoud BBZ en achterstallige betalingen kapitaalverstrekkingen BOB in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 BBZ vóór 2020 - Gederfde baten die voorvloeien uit kwijtschelden schulden levensonderhoud BBZ en achterstallige betalingen kapitaalverstrekkingen BOB in het kader van de hersteloperatie

kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024

FOUT OF ONZEKERHEID Fout Onzekerheid Fout

Onzekerheid

Fout

Onzekerheid

Fout

Onzekerheid

FINANCIËLE OMVANG IN €

TOELICHTING FOUT/ONZEKERHEID

35 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.1 Bevindingen SiSa-bijlage

NR. G3

FOUT OF ONZEKERHEID

G10

SPECIFIEKE UITKERING OF OVERIG BBZ vanaf 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 BBZ vanaf 2020 - Gederfde baten die voorvloeien uit kwijtschelden van achterstallige betalingen kapitaalverstrekkingen BBZ in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 Wet inburgering_ gemeentedeel 2024

G10

Wet inburgering_ gemeentedeel 2024

Onzekerheid

G12

G13

Gederfde baten die voortvloeien uit kwijtschelden schulden Bijzondere bijstand in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_ gemeentedeel 2024 Gederfde baten die voortvloeien uit kwijtschelden schulden Bijzondere bijstand in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 Gederfde baten die voortvloeien uit kwijtschelden schulden Wet Inburgering van 13 september 2012 in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 Gederfde baten die voortvloeien uit kwijtschelden schulden Wet Inburgering van 13 september 2012 in het kader van de hersteloperatie kinderopvangtoeslagaffaire in jaar T_gemeentedeel 2024 Besteding/baten onderwijsroute_gemeentedeel 2024

Fout

G13

Besteding/baten onderwijsroute_gemeentedeel 2024

Onzekerheid

G3

G12 G12

G12

Fout

Onzekerheid

Fout

Fout Onzekerheid

Fout

Onzekerheid

FINANCIËLE OMVANG IN €

TOELICHTING FOUT/ONZEKERHEID

36 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.1 Bevindingen SiSa-bijlage

NR. G13

FOUT OF ONZEKERHEID

H4

SPECIFIEKE UITKERING OF OVERIG Bestedingen/baten overige voorzieningen_ gemeentedeel 2024 Bestedingen/baten overige voorzieningen_ gemeentedeel 2024 Regeling specifieke uitkering stimulering sport 2024-2025

H4

Regeling specifieke uitkering stimulering sport 2024-2025

Onzekerheid

G13

H30

Fout Onzekerheid Fout

Specifieke uitkering versterking voor sport en bewegen, gezondheidsbevordering, cultuurparticipatie en de sociale basis 2023-2026 H30 Specifieke uitkering versterking voor sport en bewegen, gezondheidsbevordering, cultuurparticipatie en de sociale basis 2023-2026 H35B Specifieke uitkering IZA-doelen 2023-2026

Fout

H35B Specifieke uitkering IZA-doelen 2023-2026

Onzekerheid

J9

Specifieke uitkering woningbouwimpuls

Fout

J9

Specifieke uitkering woningbouwimpuls

Onzekerheid

J32

Regeling specifieke uitkering ventilatie in scholen

Fout

J32

Regeling specifieke uitkering ventilatie in scholen

Onzekerheid

J55

Aanpak energiearmoede

Fout

J55

Aanpak energiearmoede

Onzekerheid

J75B

Regiodeals 3e tranche (SiSa tussen medeoverheden)

Fout

J75B

Regiodeals 3e tranche (SiSa tussen medeoverheden)

Onzekerheid

Fout Onzekerheid

FINANCIËLE OMVANG IN €

TOELICHTING FOUT/ONZEKERHEID

37 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.1 Bevindingen SiSa-bijlage

NR. J94

J105

SPECIFIEKE UITKERING OF OVERIG Regeling specifieke uitkering verduurzaming slecht geïsoleerde woningen van eigenaar-bewoners en woningen van verenigingen van eigenaars, woonverenigingen en wooncoöperaties in het kader van het Nationaal Isolatieprogramma Regeling specifieke uitkering verduurzaming slecht geïsoleerde woningen van eigenaar-bewoners en woningen van verenigingen van eigenaars, woonverenigingen en wooncoöperaties in het kader van het Nationaal Isolatieprogramma Regeling specifieke uitkering startbouwimpuls

J105

Regeling specifieke uitkering startbouwimpuls

Onzekerheid

J209

Meerjarige regeling voor huisvesting aandachtsgroepen

Fout

J209

Meerjarige regeling voor huisvesting aandachtsgroepen

Onzekerheid

J94

J210B Meerjarige regeling specifieke uitkering flexibele inzet woningbouw J210B Meerjarige regeling specifieke uitkering flexibele inzet woningbouw K28 Tijdelijke regeling capaciteit decentrale overheden voor klimaat- en energiebeleid K28 Tijdelijke regeling capaciteit decentrale overheden voor klimaat- en energiebeleid M16 Bekostigingsregeling opvang ontheemden Oekraïne M16

Bekostigingsregeling opvang ontheemden Oekraïne

FOUT OF ONZEKERHEID

Fout

Onzekerheid

Fout

Fout Onzekerheid Fout Onzekerheid Fout Onzekerheid

FINANCIËLE OMVANG IN €

TOELICHTING FOUT/ONZEKERHEID

38 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.1 Bevindingen SiSa-bijlage | Tozo

.

NR.

SPECIFIEKE UITKERING OF OVERIG

FOUT OF ONZEKERHEID

G4

Tozo 1_fundamentele rechtmatigheidseisen _gemeentedeel 2024

Fout

G4

Tozo 1_fundamentele rechtmatigheidseisen _gemeentedeel 2024

Onzekerheid

G4

Tozo 1_belangrijke rechtmatigheidseisen _gemeentedeel 2024

Fout

G4

Tozo 1_belangrijke rechtmatigheidseisen _gemeentedeel 2024

Onzekerheid

G4

Tozo 2_gemeentedeel 2024

Fout

G4

Tozo 2_gemeentedeel 2024

Onzekerheid

G4

Tozo 3_gemeentedeel 2024

Fout

G4

Tozo 3_gemeentedeel 2024

Onzekerheid

G4

Tozo 4_gemeentedeel 2024

Fout

G4

Tozo 4_gemeentedeel 2024

Onzekerheid

G4

Tozo 5_gemeentedeel 2024

Fout

G4

Tozo 5_gemeentedeel 2024

Onzekerheid

G4 G4

G4

G4

Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire - gederfde baten die voortvloeien uit kwijtschelden schulden levensonderhoud in jaar T_gemeentedeel 2024 Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire - gederfde baten die voortvloeien uit kwijtschelden schulden levensonderhoud in jaar T_gemeentedeel 2024 Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire - gederfde baten die voortvloeien uit kwijtschelden van achterstallige betalingen op kapitaalverstrekking in jaar T_gemeentedeel 2024 Kwijtschelding schulden Tozo in het kader van de hersteloperatie kinderopvangtoeslagaffaire - gederfde baten die voortvloeien uit kwijtschelden van achterstallige betalingen op kapitaalverstrekking in jaar T_gemeentedeel 2024

Fout Onzekerheid

Fout

Onzekerheid

FINANCIËLE OMVANG IN €

TOELICHTING FOUT/ONZEKERHEID

39 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.2 IT-bevindingen Overzicht van de bevindingen t.a.v. de IT General Controls

IT-audit algemeen In het kader van de jaarrekeningcontrole is een IT-audit uitgevoerd. De IT-audit is primair gericht op de betrouwbaarheid van de gegevensverwerking ten behoeve van de totstandkoming van de jaarrekening. Dit betekent dat de ITaudit zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. Het inzicht in de gebruikte IT-applicaties en ondersteunende IT-infrastructuur, vormen een onderdeel van het inzicht in de interne beheersing. Algemene ITbeheersingsmaatregelen (hierna: IT General Controls) rond de IT-processen leveren een belangrijke bijdrage aan het mitigeren van de risico's die voortkomen uit het gebruik van IT. Bevindingen IT General Controls Hierna zijn de bevindingen opgenomen met betrekking tot de opzet en het bestaan van de door ons in het kader van de jaarrekeningcontrole onderzochte IT General Controls voor zover relevant voor de jaarrekeningcontrole. De impact van de bevindingen met betrekking tot de IT General Controls zal bij de betreffende processen worden behandeld. Per bevinding is de status in het huidige jaar en in het voorgaande jaar aangegeven met betrekking tot de onderzochte IT-applicaties, zijnde Key2Financiën en de hieraan gerelateerde IT-infrastructuur voor zover relevant voor de jaarrekeningcontrole.

Onze relevante bevindingen en overige ITgerelateerde bevindingen treft u op de volgende pagina’s aan. De scope van relevante IT General Controls wordt jaarlijks beoordeeld en kan hierdoor afwijken van de scope van voorgaande jaren.

Opvolging IT-bevindingen 2023 Ten opzichte van de IT-audit 2023 zien wij een aantal ontwikkelingen. Het belangrijkste verbeterpunt ziet toe op autorisatiebeheer. Er wordt gebruik gemaakt van een autorisatiematrix bij de toekenning van autorisaties. Geautomatiseerde gegevensverwerking De accountant dient op basis van artikel 2:393, lid 4 BW aandacht te besteden aan de bevindingen met betrekking tot de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij hebben de automatiseringsorganisatie uitsluitend in het kader van de jaarrekeningcontrole beoordeeld. De interim-controle heeft een aantal tekortkomingen in de continuïteit en betrouwbaarheid van de geautomatiseerde gegevensverwerking aan het licht gebracht. Een verdere uitwerking van onze bevindingen is op de volgende pagina’s opgenomen.

40 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.2 IT-bevindingen Overzicht van onze bevindingen t.a.v. de IT General Controls per applicatie

OVERZICHT EN EVALUATIE VAN ITCG - PER APPLICATIE

Key2Financiën

Logische toegangsbeveiliging

2024

2023

LT.1 - Procedure autorisatiebeheer (in dienst)





LT.2 - Procedure autorisatiebeheer (uit dienst)





LT.3 - Periodieke controle op toegang en juistheid ingerichte autorisaties





LT.4 - Identificatie van gebruikers voor toegang tot applicaties





LT.5 – Authenticatie





LT.6 - Administrator- en superuser-accounts





LT.7 - Database-toegang

*



Change management CM.1 - Wijzigingsbeheer applicaties CM.2 - Gescheiden IT-omgevingen

 



CON.1 – Back-up maatregelen





CON.2 - Restoretest





Continuïteit

* Databasetoegang is belegd bij Centric en daarom niet door BDO beoordeeld.

 geen waarneming

nieuwe bevinding

 onvoldoende  verbetermogelijkheden  toereikend

41 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.2 IT-bevindingen Overzicht van onze bevindingen t.a.v. de IT General Controls per applicatie BEVINDINGEN Prioriteit

Bevinding - incl. risico

Aanbeveling

Reactie management

Wij adviseren om gebruikersaccounts van uitdienst getreden medewerker tijdig te blokkeren.

Applicatiebeheerder verwerkt uitdienstmeldingen zo snel mogelijk. Dit is meestal op tijd. Ook moeten medewerkers bij uit dienst de apparatuur inleveren. Wij kunnen alleen met apparatuur van de gemeente op het netwerk en bij de systemen. Na uit dienstdatum kan medewerker er dus niet meer bij. Het Risico is hier dus nihil. We zullen wel met teamcoaches in gesprek gaan om te zorgen voor een tijdige uitdienstmelding.

Wij adviseren periodiek (minimaal jaarlijks) de autorisaties te controleren op de vereisten vanuit functiescheiding. Hierbij dient vooraf de vereisten van functiescheiding door financieel management te worden vastgesteld.

In de periodieke controle worden wel alle gebruikers beoordeeld. Ook die van financiën. Echter omdat applicatieheerder ook op Financiën zit, weet deze de status van die gebruikers zelf. Afdeling Financiën is een klein team van 12 medewerkers. Bij de budgethouders is men echter wel afhankelijk van de teamcoach, vandaar dat we hierbij info opvragen bij de teamcoach.

Wij adviseren om geen uitzonderingen wachtwoordbeleid toe te staan.

Dit is recht gezet door systeembeheer. Wij hebben sowieso een termijn van 3 maanden voor wachtwoordwijziging. Twee van de 3 genoemde bevindingen vallen dus binnen deze termijn

LT.2 Procedure autorisatiebeheer (uit dienst) Middel

Wij hebben vastgesteld dat het gebruikersaccounts van een uit dienst getreden medewerker niet tijdig (binnen aantal werkdagen) is geblokkeerd. Als gevolg van het feit dat autorisaties niet tijdig worden ingetrokken bestaat het risico dat gebruikers onterecht toegang behouden tot de applicaties in scope, waardoor zij mogelijk ongeautoriseerde handelingen kunnen uitvoeren.

LT.3 Periodieke controle op toegang en juistheid ingerichte autorisaties Middel

Periodieke controle op juistheid en actualiteit toegekende autorisaties wordt uitgevoerd maar is niet volledig aantoonbaar vastgelegd. Het risico bestaat dat toegekende autorisaties niet in lijn liggen met de eisen die het financieel management aan functiescheiding stelt.

LT.5 Authenticatie Hoog

Vastgesteld dat er gebruikers zijn uitgesloten van periodieke wachtwoordwijziging. Eén gebruiker heeft voor langere tijd het wachtwoord niet gewijzigd. Het risico bestaat dat voor de accounts waarvoor de periodieke wijziging van het wachtwoord is uitgeschakeld, het wachtwoord intern bekend raakt, waardoor deze gebruikersaccounts ongemerkt misbruikt kunnen worden.

op

het

Ook hebben wij 2FA, dus met alleen een wachtwoord kom je niet verder, je hebt dan ook nog de vingerafdruk nodig.

42 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.2 IT-bevindingen Overzicht van onze bevindingen t.a.v. de IT General Controls per applicatie BEVINDINGEN Prioriteit

Bevinding - incl. risico

Aanbeveling

Reactie management

Wij adviseren om een eenduidige functiescheiding tussen gebruikersdoeleinden vanuit de lijnorganisatie en het ITbeheer van onderzochte applicaties aan te brengen.

Het team financiën is een klein team waarin de rol van applicatiebeheerder ook een financieel/administratieve rol heeft. Het applicatiebeheerderschap is gesplitst over twee personen om onderlinge controle en continuïteit te waarborgen. Daarnaast worden wijzigingen in autorisatie door het financieel systeem gelogd. Voor alle processen die te maken hebben met betalen en toevoegen/wijzigen van bankrekeningnummers geldt het vierogen principe. Dit is in het systeem technisch afgedicht. Dus ook iemand met applicatiebeheerders rechten kan niet in zijn eentje betalingen verrichten. Daar is altijd een 2e persoon voor nodig.

Wij adviseren om de doorlopen stappen rondom impact bepaling en uitvoeren testwerkzaamheden aantoonbaar uit te voeren. Onderdeel hiervan is het afstemmen van uitgevoerde testwerkzaamheden met een bevoegd functionaris.

Degene die test is ook degene die dagelijks met die transacties werkt. Deze transacties zijn vastgelegd in een testprotocol (Excel lijst). Bij fouten wordt dit vast gelegd in deze lijst. Daarover wordt contact opgenomen met Centric. Wij zien geen extra toegevoegde waarde van bijvoorbeeld printscreens als transacties werken is er namelijk niets vast te leggen. Dit kan wel bij foutmeldingen en zullen we vanaf nu doen.

LT.6 Administrators- en superuser-accounts Hoog

Wij hebben vastgesteld dat twee eindgebruikers Key2Financiën in het bezit zijn van superuser-rechten. Gebruikersaccounts met hoge bevoegdheden beschikken over alle rechten en kunnen hiermee de gewenste functiescheidingen doorbreken en eventueel ongeautoriseerde wijzigingen (bijvoorbeeld stamgegevens of financiële transacties) doorvoeren. Dit is een inherent risico van accounts met hoge bevoegdheden. Echter wordt dit risico verhoogd door deze accounts te beleggen in de lijnorganisatie.

CM.1 Wijzigingsbeheer Middel

De impactafweging en uitgevoerde testwerkzaamheden worden beperkt gedocumenteerd waardoor wij het bestaan niet hebben kunnen vaststellen. Vastlegging vindt vooral plaats in Excel waarvan wij de betrouwbaarheid niet kunnen vaststellen. Door deze bevinding bestaat het risico dat kwaliteitsstappen niet of met onvoldoende diepgang worden uitgevoerd wat kan leiden tot verstoringen.

43 ACCOUNTANTSVERSLAG 2024 – GEMEENTE BERNHEZE

5.2 IT-bevindingen Overzicht van onze bevindingen t.a.v. de IT General Controls per applicatie BEVINDINGEN Prioriteit

Bevinding - incl. risico

Aanbeveling

Reactie management

Wij adviseren om met Centric in gesprek te gaan over de mogelijkheid tot het verkrijgen van een assurancerapportage. Tevens adviseren wij waar mogelijk compenserende maatregelen te nemen om de impact van eventuele verstoringen te beperkten.

Centric beschikt over de volgende certificaten ISO 9001 en ISO 27001-verklaring. Dit is de standaard aanlevering van Centric aan zijn klanten. Voor een ISAE 3000 of ISAE 3402 rapport moet Centric jaarlijks een audit uitvoeren op kosten van de gemeente. We zullen dit nog in overweging nemen en met de budgethouder bespreken.

COM.1 en 2 Back-up en restoretest Middel

Continuïteit voor Key2Financiën wordt verzorgt door de leverancier Centric. De leverancier is niet in het bezit van een assurance-verklaring waarin de betreffende maatregelen zijn onderzocht. Er zijn wel contractuele afspraken gemaakt maar het is onbekend of deze in voldoende mate nagekomen worden. Vanwege het ontbreken van een Assurance-rapport bestaat het risico dat de ingerichte beheersingsmaatregelen bij de leverancier Centric mogelijk niet in lijn zijn met het beleid vanuit Gemeente Bernheze. Eveneens bestaat het risico dat mogelijk aanvullende maatregelen die door Bernheze moeten worden uitgevoerd niet bekend zijn.

44 ACCOUNTANTSVERSLAG 2024 - <KLANTNAAM>