Matrix ambtelijke reactie conceptrapport 2024

Matrix ambtelijke reactie op concept rapport 2024 (bevindingen) In de onderstaande matrix zijn die onderdelen opgenomen waarbij door BDO een standpunt wordt ingenomen en/of een aanbeveling wordt gedaan. Onderdeel Management Letter Onderwerp 2.3 Aandachtspunten 2025 Voorziening voor pensioenaanspraken van politieke ambtsdragers

Omschrijving/bevinding Ambtelijke reactie Ja, dat klopt. Met de invoering van het nieuwe pensioenstelsel is besloten dat ook de APPA-pensioenaanspraken van politieke ambtsdragers in een pensioenfonds ondergebracht moeten worden per 1 januari 2028. Dat betekent dat per die datum de APPA-voorzieningen toereikend moeten Overgang naar nominale waarde betekent een stelselwijziging en hiervoor is een raadsbesluit noodzakelijk. Eventuele zijn. Een algemeen aandachtspunt betreft het opnemen van het partnerpensioen in deze APPA-voorziening. We hebben vastgesteld bij de toekomstige vrijval van de voorziening pensioen wethouders worden toegevoegd aan de reserve nog nader te bestemmen. jaarrekeningcontrole 2024 dat uw organisatie de APPA-voorziening inclusief het partnerpensioen heeft berekend. Indien de overdracht aanvullende middelen vraagt dan kunnen we deze ten laste brengen van de reserve nog nader te bestemmen. Op het moment van overdracht per 1 januari 2028 kunnen er ten gevolge van schommelingen in de rekenrente mogelijke tekorten ontstaan. Een lagere rekenrente in het laatste jaar voor de overdracht kan een aanzienlijk gevolg hebben. Eind oktober 2024 heeft de commissie BBV in een Q&A aangegeven dat er géén vrijstelling mogelijk is voor een verplichte vrijval van de APPA-voorziening.

Een alternatief in Om de gevolgen tijdig in beeld te hebben nemen we deel aan een onderzoek van het ministerie van Binnenlandse zaken en VNG. de verslaggevingsvoorschriften van het BBV is dat de voorziening tegen nominale waarde kan worden verantwoord. Wij hebben begrepen dat u ervoor kiest om de APPA-voorziening te blijven verantwoorden op contante waarde.

2.3 Aandachtspunten 2025 Aanpassing materialiteit naar 2% Vanaf boekjaar 2025 wordt de wettelijke controlegrens voor de accountant verhoogd van 1% naar 2%. Deze wijziging betreft tevens de samenvoeging van de controlegrens van 1% voor fouten en 3% procent voor onzekerheden tot een norm van 2%. Doordat fouten en onzekerheden voor 2025 bij elkaar opgeteld moeten gaan worden, zal dit landelijk naar verwachting gaan leiden tot een toename van het aantal niet-goedkeurende controleverklaringen bij decentrale overheden. Met name gemeenten met omvangrijke onzekerheden, als het gaat om prestatieleveringen binnen het sociaal domein, lopen een risico. Wij adviseren de gemeente Bernheze hierover tijdig het gesprek met de raad aan te gaan en waar nodig actie te ondernemen om de onzekerheden binnen het sociaal te minimaliseren. Op basis van onze ervaringen de afgelopen jaren met betrekking tot de geconstateerde getrouwheidsfouten en onzekerheden verwachten wij dat dit niet direct zal leiden tot een nietgoedkeurende controleverklaring voor de gemeente Bernheze. 2.3 Aandachtspunten 2025 Kwalificatie van arbeidsrelaties (Wet DBA)

We gaan er vanuit dat de verhoging van de wettelijke controlegrens geen invloed heeft op de verklaring inzake de rechtmatigheid. We gaan jaarlijks naar de raad om het controleprotocol en het normenkader vast te laten stellen. Eventuele wijzigingen/ontwikkelingen nemen we daarin mee.

Sinds de introductie van de Wet DBA in 2016 is sprake van een handhavingsmoratorium. Dit betekent dat de Belastingdienst niet controleert en Aan de wet DBA is in 2024 uitvoerig aandacht besteed door beleid aan te passen, processen te (her)inrichten en is gewerkt handhaaft op het bestaan van een dienstbetrekking, tenzij sprake is van kwaadwillendheid. Vanaf 1 januari 2025 is het aan bewustwording door hierover het gesprek aan te gaan met de leidinggevenden van de gemeentelijke organisatie. De handhavingsmoratorium vervallen en gaat de Belastingdienst weer volledig handhaven. Hierdoor kunnen naheffingsrisico’s ontstaan. Daarnaast werkt mate waarin een inhuuropdracht bestaat uit regulier werk van de gemeentelijke organisatie vormt daarbij al een belangrijk het kabinet aan nieuwe wetgeving voor de beoordeling van arbeidsrelaties. In het Hoofdlijnenakkoord is te lezen dat de behandeling van deze kader om de inhuuropdracht te beoordelen in het kader van de wet DBA. Hierover zijn we meerdere keren in gesprek wetgeving door het nieuwe kabinet zal worden voortgezet. Kort gezegd zal de nieuwe wetgeving meer nadruk leggen op de vraag of het werk en geweest met de belastingdienst aangezien we eind 2023 een convenant Horizontaal Toezicht met de belastingdienst de werkende organisatorisch zijn ingebed in de organisatie van de werkverschaffer.

Daarmee wordt bedoeld of het werk een kernactiviteit van de hebben ondertekend. Tevens zijn we een onderzoek begonnen naar het professionaliseren van de wijze waarop wij tot organisatie vormt en zij aan zij met werknemers wordt verricht. In dat geval zal eerder sprake zijn van een arbeidsovereenkomst. Voor verdere inhuuropdrachten komen en deze uitzetten in de arbeidsmarkt. toelichting verwijzen wij naar onze managementletter 2024.

Gemeente Bernheze heeft een analyse gemaakt wat er benodigd is om de Baseline Informatiebeveiliging Overheid versie 2 (BIO2) te 2.3 Aandachtspunten 2025 NIS2 - digitale weerbaarheid In het teamplan IV is, onder de noemer Security gegarandeerd expliciet aangegeven hoe we invulling gaan geven aan de NISverankerd in wet- en regelgeving implementeren. De BIO2 geeft voor het grootste gedeelte invulling aan NIS2-vereisten. 2. Dit teamplan is afgestemd met het MO. De voortgang verantwoorden we via de reguliere P&C cyclus. Daarnaast Deze analyse is gemaakt met ondersteuning van een externe partij. Wij adviseren de uitkomsten van deze analyse om te zetten in een actieplan monitoren we de uitvoering periodiek via het overleg tussen MO en college. vanuit de EU om zo in 2025 te voldoen aan de NIS2-wetgeving. Hierbij is het aan te raden het actieplan af te stemmen met verantwoordelijk management om zo de juiste prioriteiten te bepalen. In de paragraaf weerstandsvermogen heeft het college een overzicht opgenomen van de weerstandscapaciteit. De weerstandscapaciteit De weerstandsreserve zou zonder toevoeging inderdaad een ratio geven van 0,88. Wij streven naar een Voldoende (ratio 3.2 Weerstandsvermogen Weerstandsvermogen van de gemeente Bernheze classificeert bedraagt volgens deze paragraaf € 8,7 miljoen. In de paragraaf weerstandsvermogen zijn de relevante risico’s benoemd.

De gemeente Bernheze minimaal 1,0 (100%); maximaal 1,4 (140%). Daarom hebben we in de jaarrekening opgenomen dat we de en ratio's heeft op basis van interne berekeningen het totale bedrag aan risico’s waaraan de organisatie is blootgesteld bepaald op € 9,9 miljoen. Het als matig weerstandsreserve verhogen met € 1.227.752,- zodat de ratio weer op 1,0 komt. weerstandsvermogen van de gemeente Bernheze is met 0,88 volgens het GTK 2020 ‘matig’ te noemen. Wij zien de afgelopen jaren een forse afname van de ratio weerstandsvermogen bij gemeente Bernheze (2022: 1,77, 2023: 1,08). Dit is met name het gevolg van de forse stijging van de ingeschatte risico’s (2022: € 5,8 miljoen, 2023: € 8,3 miljoen). De weerstandscapaciteit is daarentegen de afgelopen jaren slechts beperkt afgenomen (2022: € 8,9 miljoen, 2023: € 10,2 miljoen). Ten opzichte van afgelopen jaren zijn met name de risico’s inzake bouwgrondexploitaties en Heesch West fors toegenomen; deze twee onderdelen verklaren circa € 6,6 miljoen (66%) van de totale risico’s.

3.3 Ons beeld van uw financiele positie

Voorspellend vermogen

Zoals opgenomen in onze managementletter 2024 en in het volgende hoofdstuk bij de analyse van het resultaat, adviseren wij om de verbetering van het voorspellend vermogen structureel onderdeel van uw proces te maken. Dit kan door gestructureerd afwijkingen van de begroting te evalueren waarmee lering kan worden getrokken voor toekomstige prognoses. Dit wordt ook wel ‘backtesting’ genoemd. Hiermee kan het lerend vermogen van uw organisatie verbeteren. Door gestructureerd en gedocumenteerd de kwaliteit van de prognoses te beoordelen aan de hand van realisatie zoals achteraf is gebleken, kunnen toekomstige prognoses verbeterd worden en/of kan eerder bijgestuurd worden. Het verschil binnen de begroting wordt veroorzaakt door diverse afwijkingen. Deels is de raad hierover geïnformeerd. De verschillen zijn te verklaren en zijn bij de financiële toelichtingen in de programma’s opgenomen. Wij adviseren u dit nadrukkelijker onderdeel van uw proces te maken bij de bestuursrapportages en voortdurend te monitoren waardoor verschillen ontstaan en de raad te adviseren over tijdelijke en reserve-budgetten gedurende het jaar, het overhevelen hiervan bij de jaarrekening en de impact op de begroting van het lopende boekjaar.

Naar aanleiding van het accountantsrapport jaarekening 2023 en het positieve saldo in de jaarrekening 2024 hebben we al acties ondernomen en zullen we acties ondernemen om het voorspellend vermogen te verbeteren. Zo zijn diverse begrote posten voor 2025 al extra geanalyseerd n.a.v. ‘backtesting’ en deze uitkomsten worden benoemd bij de 1e tussenrapportage 2025. Tegelijkertijd betreffen het met name incidentele afwijkingen. Het onderzoek van JE Consultancy (ombuigingstraject) naar aanleiding van het ravijnjaar 2026 heeft juist uitgewezen dat de structurele budgetten ‘strak’ begroot zijn. Desalniettemin blijven we proactief op zoek naar verbetering van het voorspellend vermogen en zien we dit als onderdeel van een algehele bestuurlijke opdracht rondom de doorontwikkeling van de P&C cyclus.

3.3 Ons beeld van uw financiele positie

Meerjarenbegroting

De meerjarenbegroting toont over de aankomende vijf jaar een tekort. Het tekort doet zich voor vanaf boekjaar 2026. Wij adviseren de gemeenteraad het dialoog met het college te voeren op welke wijze aangepast beleid van de gemeente het verwacht tekort kan verhelpen.

In het najaar 2024 zijn we gestart met een ombuigingstraject onder begeleiding van JE Consultancy. Inmiddels wordt door het college een kadernota 2026-2029 aangeboden aan de gemeenteraad met alle jaren sluitend met uitzondering van het jaar 2027 (beperkt tekort van € 25.000). Hierbij hebben we nog niet alle ombuigingsvoorstellen hoeven in te zetten. In het Overhedenoverleg van 16 april jl. heeft het kabinet de zorgen van gemeenten serieus genomen. Per saldo komt voor de periode 2025 t/m 2027 cumulatief € 3 miljard beschikbaar voor gemeenten. Dit extra geld helpt voor de periode 2025 t/m 2027 om o.a. de jeugdzorguitgaven te dekken en de terugval in het gemeentefonds vanaf 2026 deels te dempen. Per 2028 wijzigt echter het financiële beeld. Het kabinet gaat ervan uit dat de maatregelen uit de Hervormingsagenda dan hun beoogde effect zullen hebben. Daarnaast wil het kabinet inzetten op extra maatregelen om de kosten van het stelsel verder te beheersen.

Te nemen acties 4.3 Rechtmatigheidsverantwoo rding

De gemeente Bernheze heeft (nog) geen beschrijving van acties opgenomen in de jaarrekening om rechtmatigheidsfouten in de toekomst te voorkomen. Dit dient aangevuld te worden in de jaarrekening.

4.3 Europese aanbestedingen Rechtmatigheidsverantwoo rding 4.5 BBV, WNT en SiSa Indicatoren

Wij adviseren in het inkoopproces (bijvoorbeeld bij de uitvoering van periodieke spendanalyses) specifiek aandacht te hebben voor potentiële wezenlijke wijzigingen, waardoor deze eerder opgemerkt worden en hier tijdig actie op ondernomen kan worden.

Omdat per rechtmatigheid niet over de rapportage grens wordt heengegaan is er per specifieke rechtmatigheid niets opgenomen en hoe deze in de toekomst te voorkomen. Wel zullen we in de jaarrekening van 2025 een algemeen stukje tekst opnemen over de stappen welke we al nemen om onrechtmatigheden tijdig op te merken en te voorkomen.

Er wordt momenteel al een maandelijkse spendanalyse uitgevoerd. Deze geeft de mutaties per maand welke vervolgens worden beoordeeld en indien nodig vergeleken met de aanwezige aanbestedingen. Deze analyze wordt specifiek gedaan om tijdig actie te kunnen ondernemen zoals in het advies benoemt. In de programma’s zijn indicatoren opgenomen met de realisatie daarvan. Hierbij is ook een referentiemeting toegevoegd. Een stuk reflectie Wij geven in de tabellen de verplichte indicatoren vanuit waarstaatjegemeente.nl weer. Om de cijfers van Bernheze te op de indicatoren zou meer informatie opleveren. Nu is niet volledig duidelijk of de realisatie conform de verwachting is en in hoeverre daarmee kunnen plaatsen hebben we daarnaast een referentiemeting opgenomen. We gebruiken hiervoor de gemiddelde waarde de juiste bewegin is ingezet. van gemeenten in de grootteklasse van 25.000 tot 50.000 inwoners. Wij hebben vastgesteld dat het gebruikersaccounts van een uit dienst getreden medewerker niet tijdig (binnen aantal werkdagen) is Applicatiebeheerder verwerkt uitdienstmeldingen zo snel mogelijk. Dit is meestal op tijd. Ook moeten medewerkers geblokkeerd. Als gevolg van het feit dat autorisaties niet tijdig worden ingetrokken bestaat het risico dat gebruikers onterecht toegang behouden bij uit dienst de apparatuur inleveren.

Wij kunnen alleen met apparatuur van de gemeente op het netwerk en bij de tot de applicaties in scope, waardoor zij mogelijk ongeautoriseerde handelingen kunnen uitvoeren. Wij adviseren om gebruikersaccounts van systemen. Na uit dienstdatum kan medewerker er dus niet meer bij. Het Risico is hier dus nihil. We zullen wel met uitdienst getreden medewerker tijdig te blokkeren. teamcoaches in gesprek gaan om te zorgen voor een tijdige uitdienstmelding.

5.2 IT-bevindingen

LT.2 Procedure autorisatiebeheer (uit dienst)

5.2 IT-bevindingen

Periodieke controle op toegang en juistheid ingerichte autorisaties

Periodieke controle op juistheid en actualiteit toegekende autorisaties wordt uitgevoerd maar is niet volledig aantoonbaar vastgelegd. Het risico bestaat dat toegekende autorisaties niet in lijn liggen met de eisen die het financieel management aan functiescheiding stelt. Wij adviseren periodiek (minimaal jaarlijks) de autorisaties te controleren op de vereisten vanuit functiescheiding. Hierbij dient vooraf de vereisten van functiescheiding door financieel management te worden vastgesteld.

In de periodieke controle worden wel alle gebruikers beoordeeld. Ook die van financiën. Echter omdat applicatieheerder ook op Financiën zit, weet deze de status van die gebruikers zelf. Afdeling Financiën is een klein team van 12 medewerkers. Bij de budgethouders is men echter wel afhankelijk van de teamcoach, vandaar dat we hierbij info opvragen bij de teamcoach.

5.2 IT-bevindingen

Authenticatie

Vastgesteld dat er gebruikers zijn uitgesloten van periodieke wachtwoordwijziging. Eén gebruiker heeft voor langere tijd het wachtwoord niet gewijzigd. Het risico bestaat dat voor de accounts waarvoor de periodieke wijziging van het wachtwoord is uitgeschakeld, het wachtwoord intern bekend raakt, waardoor deze gebruikersaccounts ongemerkt misbruikt kunnen worden. Wij adviseren om geen uitzonderingen op het wachtwoordbeleid toe te staan.

Dit is recht gezet door systeembeheer. Wij hebben sowieso een termijn van 3 maanden voor wachtwoordwijziging. Twee van de 3 genoemde bevindingen vallen dus binnen deze termijn. Ook hebben wij 2FA, dus met alleen een wachtwoord kom je niet verder, je hebt dan ook nog de vingerafdruk nodig.

5.2 IT-bevindingen

Administrators- en superuseraccounts

Wij hebben vastgesteld dat twee eindgebruikers Key2Financiën in het bezit zijn van superuser-rechten. Gebruikersaccounts met hoge bevoegdheden beschikken over alle rechten en kunnen hiermee de gewenste functiescheidingen doorbreken en eventueel ongeautoriseerde wijzigingen (bijvoorbeeld stamgegevens of financiële transacties) doorvoeren. Dit is een inherent risico van accounts met hoge bevoegdheden. Echter wordt dit risico verhoogd door deze accounts te beleggen in de lijnorganisatie. Wij adviseren om een eenduidige functiescheiding tussen gebruikersdoeleinden vanuit de lijnorganisatie en het IT-beheer van onderzochte applicaties aan te brengen.

Het team financiën is een klein team waarin de rol van applicatiebeheerder ook een financieel/administratieve rol heeft. Het applicatiebeheerderschap is gesplitst over twee personen om onderlinge controle en continuïteit te waarborgen. Daarnaast worden wijzigingen in autorisatie door het financieel systeem gelogd. Voor alle processen die te maken hebben met betalen en toevoegen/wijzigen van bankrekeningnummers geldt het vierogen principe. Dit is in het systeem technisch afgedicht. Dus ook iemand met applicatiebeheerders rechten kan niet in zijn eentje betalingen verrichten. Daar is altijd een 2e persoon voor nodig.

5.2 IT-bevindingen

Wijzigingsbeheer

5.2 IT-bevindingen

Back-up en restoretes

De impactafweging en uitgevoerde testwerkzaamheden worden beperkt gedocumenteerd waardoor wij het bestaan niet hebben kunnen vaststellen. Degene die test is ook degene die dagelijks met die transacties werkt. Deze transacties zijn vastgelegd in een Vastlegging vindt vooral plaats in Excel waarvan wij de betrouwbaarheid niet kunnen vaststellen.Door deze bevinding bestaat het risico dat testprotocol (Excel lijst). Bij fouten wordt dit vast gelegd in deze lijst. Daarover wordt contact opgenomen met Centric. Wij kwaliteitsstappen niet of met onvoldoende diepgang worden uitgevoerd wat kan leiden tot verstoringen. Wij adviseren om de doorlopen stappen zien geen extra toegevoegde waarde van bijvoorbeeld printscreens als transacties werken is er namelijk niets vast te rondom impact bepaling en uitvoeren testwerkzaamheden aantoonbaar uit te voeren. Onderdeel hiervan is het afstemmen van uitgevoerde leggen. Dit kan wel bij foutmeldingen en zullen we vanaf nu doen. testwerkzaamheden met een bevoegd functionaris. Continuïteit voor Key2Financiën wordt verzorgt door de leverancier Centric. De leverancier is niet in het bezit van een assurance-verklaring waarin Centric beschikt over de volgende certificaten ISO 9001 en ISO 27001-verklaring. Dit is de standaard aanlevering van Centric de betreffende maatregelen zijn onderzocht. aan zijn klanten.

Voor een ISAE 3000 of ISAE 3402 rapport moet Centric jaarlijks een audit uitvoeren op kosten van de Er zijn wel contractuele afspraken gemaakt maar het is onbekend of deze in voldoende mate nagekomen worden. Vanwege het ontbreken van een gemeente. We zullen dit nog in overweging nemen en met de budgethouder bespreken. Assurance-rapport bestaat het risico dat de ingerichte beheersingsmaatregelen bij de leverancier Centric mogelijk niet in lijn zijn met het beleid vanuit Gemeente Bernheze. Eveneens bestaat het risico dat mogelijk aanvullende maatregelen die door Bernheze moeten worden uitgevoerd niet bekend zijn. Wij adviseren om met Centric in gesprek te gaan over de mogelijkheid tot het verkrijgen van een assurancerapportage. Tevens adviseren wij waar mogelijk compenserende maatregelen te nemen om de impact van eventuele verstoringen te beperkten.