Bijlage 01: Controle protocol 2023 gemeente Beuningen

28

Bijlage 6 Procesmanagement 1.

Criteria

Voor de interne controle zijn een aantal criteria van toepassing. Deze criteria hebben betrekking op de getrouwheid en rechtmatigheid. Voor getrouwheid moet voldaan zijn aan 6 criteria. Om aan rechtmatigheid te voldoen moet automatisch aan deze 6 criteria worden voldaan, alsmede 3 aanvullende criteria. Getrouwheid criteria: 1. Volledigheid (alle te verantwoorden opbrengsten zijn verantwoord) 2. Valutering (het tijdstip van de betalingen en de verplichtingen is juist) 3. Levering (de geleverde goederen of diensten zijn juist) 4. Calculatie (de vastgestelde bedragen zijn juist vastgesteld en/of berekend) 5. Adressering (de betaling is gedaan aan de juiste persoon of organisatie) 6. Aanvaardbaarheid (de financiële beheer handeling past binnen de gestelde kaders) Rechtmatigheid criteria: 7. Begroting Als blijkt dat de gerealiseerde lasten, zoals deze zijn weergegeven in de jaarrekening hoger zijn dan de geraamde bedragen met inbegrip van de laatste begrotingswijziging, is – voor zover het de begrotingsoverschrijdingen betreft - mogelijk sprake van onrechtmatige financiële beheer handelingen. 8. Misbruik en oneigenlijk gebruik (M&O) Door de raad is in verschillende verordeningen en besluiten een M&O beleid vastgesteld. Voor bestaande procedures wordt getoetst in hoeverre deugdelijke maatregelen ter voorkoming van misbruik- en oneigenlijk gebruik worden genomen.

Daarbij is vooronderstelling gerechtvaardigd dat binnen de belangrijkste procedures reeds (informeel) adequate maatregelen zijn getroffen ter waarborging van de getrouwheid van de financiële verantwoording 9. Voorwaarden. De gestelde voorwaarden hebben in het algemeen betrekking op:  De omschrijving van de doelgroep respectievelijk het project;  De heffings- en/of declaratiegrondslag;  Normbedragen (denk aan hoogte en duur);  De bevoegdheden (Delegatie-, volmacht- mandaatregister)  Het voeren van een administratie;  Het verkrijgen en bewaren van bewijsstukken; 10. KPI’s Het bepalen van een normenkader door gebruik te maken van KPI’s is essentieel voor de uitvoering van de processen, deze KPI’s dienen wel te meten zijn, zodat inzicht verkregen wordt de norm en de realisatie van een KPI.

2. Beheersmaatregelen 1.

Formulering key-controls Door key-controls” (belangrijkste interne beheersingsmaatregelen) vast te leggen in de processen, op basis de 6W's (wie, wat, waarom, wanneer, met welke informatie en wat wordt vastgelegd), zodat iedere betrokken functionaris weet wat er van hem of haar verwacht wordt. Wij stellen vast dat in diverse procesbeschrijvingen wel 6 W’s genoemd worden, maar dat deze niet expliciet toezien op de key-controls, zodat niet duidelijk is wat de belangrijkste keycontrol is en dus ook niet welke controlehandelingen getoetst moet worden.

2.

Zichtbaarheid interne controles Het is van belang dat in ieder proces c.q. processtap zichtbaar wordt welke controle maatregelen worden uitgevoerd, zodat achteraf te traceren is: hoe, wat, wie, waarom wanneer en welke controles zijn uitgevoerd. ‘Four Lines of Defence’ model Het ‘Four Lines of Defence’ model is een organisatiemodel dat bijdraagt aan een versterking van de risicocultuur, het nemen van verantwoordelijkheid voor het managen van risico’s en de interne beheersing, en uiteindelijk aan het verder optimaliseren en geïntegreerd samenwerken van de risicofuncties. Hieronder staan de functies van de verschillende lijnen toegelicht:

3.

29

 Eerste en tweede lijn. Uitgangspunt van het Four Lines of Defence model is dat het lijnmanagement (de business) verantwoordelijk is voor haar eigen processen. Daarnaast moet er een functie zijn die de 1e lijn ondersteunt, adviseert, coördineert en bewaakt of het management zijn verantwoordelijkheden ook daadwerkelijk neemt. Dit is de tweede lijn. Ook bepaalde beleidsvoorbereidende taken en het organiseren van integrale risk assessments zijn taken van de tweede lijn.  Internal audit als derde lijn Ten slotte is het wenselijk dat er binnen de organisatie een functie bestaat die controleert of het samenspel tussen de eerste en tweede lijn soepel functioneert en daarover een objectief, onafhankelijk oordeel velt met mogelijkheden tot verbetering. Of er geen overlapping is, of, erger, blinde vlekken bestaan. Deze functie is de derde lijn, een afdeling - vaak Internal Audit - die zoveel mogelijk los van alle andere organisatieonderdelen opereert. De internal Audit dient bij voorkeur zelfs geheel onafhankelijk te zijn, zodat aan de voorwaarden van de NV COS 610 wordt voldaan.



Vierde lijn De vierde lijn de externe accountantscontrole.

Risico Governance Framework ( Four Lines of Defence) Eerste lijn

Tweede lijn

Derde lijn

Vierde lijn

Management primaire activiteiten  Directie  Afdelingshoofd/ - manager  Teammanager/leider  Coördinator  Etc.

Bedrijfsvoering, control en risicomanagement  Business control  Financial control  Domeincontroller  Kwaliteitsmedewerker  Etc.

Interne Audit

Externe controle accountant  Externe controle accountant





Verbijzonder de interne controle Concern control

4.

Audit trail. De audit trail betekent letterlijk het spoor van een controle. Het stelt de gemeente of controleur (intern en accountant) in staat om transacties administratief te volgen en te controleren. 6 Het automatiseren van processen leidt er ook toe dat er niet meer teruggevallen kan worden op hard copy autorisaties of documenten. Wanneer de audit dus wordt geautomatiseerd, moet er rekening worden gehouden met: - effectieve general ITcontrols voor relevante applicaties; - een goede beveiliging van data en back- en recovery procedure en blijvende toegankelijkheid; - het doorvoeren van functiescheidingen binnen de geautomatiseerde systemen. Wanneer functiescheidingen bijvoorbeeld niet goed zijn verwerkt in de software, doordat er gebruik is gemaakt van generieke (anonieme) gebruikersaccount, kan een wijziging niet meer worden herleid naar een individueel persoon en kan het spoor niet meer worden gevolgd. Voor de uitvoering van de interne controlewerkzaamheden is het belangrijk dat de interne controleur aan de hand van onderliggende besluitvormingsdocumenten de transacties administratief kan volgen en kan vaststellen of beheersingsmaatregelen bestaan en hebben gewerkt. De intern controleur moet er bovendien voor zorgen dat de verwerkingsresultaten zodanig worden vastgelegd in de audit trail dat de accountant deze ook achteraf kan controleren.

h) Betrouwbaarheid lijstwerk De betrouwbaarheid van het lijstwerk is belangrijk, zowel voor de gemeente als ook voor de accountant bij zijn werkzaamheden in het kader van de jaarrekening controle. Bij het interne controle maken we gebruik van lijstwerk (rapportages. scope toetsing betrouwbaarheid lijstwerk De gemeente heeft om de betrouwbaarheid van lijstwerken (rapportages) te toetsen een rapportagetest opgesteld, waarin rapportages zijn opgenomen, die vaak worden gebruikt bij de opmaak van de jaarrekening of bij de interne controle. Wij toetsen voor de rapportages in genoemde rapportage set of deze aansluiten bij de bronapplicatie. We stellen hierbij vast of: - de gehanteerde parameters voor de rapportage adequaat zijn; - de rapportage rekenkundig juist is door deze op saldo niveau aan te sluiten. - Daarnaast wordt bij grotere rapporten een beperkte deelwaarneming gehouden op subtotalen. Voor rapporten die buiten de rapportage set om worden uitgedraaid, wordt in beginsel via print screens aansluiting gezocht met het saldo van de bronapplicatie en worden de gebruikte parameters zichtbaar gemaakt. Indien standaardrapportages uit het bronsysteem aanwezig zijn, wordt bij gebruik hiervan geen aanvullende toetsing verricht op de betrouwbaarheid van een lijstwerk.

30

Bijlage 7: Control Framework Inleiding Indien de wettelijke kaders worden aangepast zal dit document worden aangepast. Momenteel zijn de bijlage 1, 2 en 3 van toepassing. We gaan met het Control Framework starten om ons voor te bereiden op de verwachte wettelijke aanpassing.

Strategisch kader Het normenkader betreft een opsomming van alle relevante externe-en interne regelgeving waaraan een gemeente moet voldoen, de zogenaamde spelregels. In het normenkader is ook opgenomen, aan welke (externe) wet- en regelgeving en (intern) beleid ten aanzien van financiële rechtmatigheid de gemeente moet voldoen. Het normenkader vormt hiermee het uitgangspunt van de controle op financiële rechtmatigheid in het kader van de rechtmatigheidsverantwoording. Het college stelt jaarlijks het normenkader (gericht op deze doelstellingen) op en de raad stelt dit vast. (Note: Vaststelling van het normenkader hoeft niet expliciet plaats te vinden; de raad kan het ook bevestigen door voor kennisgeving aan te nemen)

31

Tactisch kader Vanaf 2024 moet het college (over 2023) zelf verantwoording afleggen aan de raad over de (financiële) rechtmatigheid van de gemeente Beuningen. Het college dient hierbij te kunnen steunen op een adequaat functionerend systeem van interne beheersing -en controle, om te waarborgen dat de gemeente bij alle (financiële) beheerhandelingen en transacties de wet -en regelgeving naleeft. In de figuur hieronder is weergegeven hoe op een praktische en gestructureerde wijze naar de rechtmatigheidsverantwoording wordt toegewerkt vanuit de diverse niveaus (raad, college en ambtelijke organisatie). Wij maken hierbij een onderscheid tussen vier fases: 

Kaderstelling en voorbereiding (strategisch / tactisch)



Uitvoering (tactisch / operationeel)



Evalueren en rapporteren (tactisch / operationeel)

Kaderstelling en voorbereiding I. Normenkader: Het college stelt jaarlijks een normenkader op en de raad stelt dit vast. In het normenkader is opgenomen aan welke (externe) wet- en regelgeving en (intern) beleid ten aanzien van rechtmatigheid de gemeente moet voldoen. Het normenkader vormt het uitgangspunt van de controle. Belangrijk is dat in het normenkader alle relevante externe wet- en regelgeving is

32

opgenomen. Ten aanzien van interne regelgeving is het van belang dat de regelingen die zijn opgenomen, praktisch uitvoerbaar zijn binnen de processen. II.

Toetsingskader: Het normenkader wordt geoperationaliseerd aan de hand van een toetsingskader. In het toetsingskader wordt vanuit het normenkader inzichtelijk gemaakt welke toetspunten relevant zijn voor de controle. Het is essentieel om duidelijke toetspunten op te stellen. Deze toetspunten dienen SMART te worden opgesteld

III.

Beheerdoelstellingen: Beheerdoelstellingen worden per proces geformuleerd. Beheerdoelstellingen maken inzichtelijk op welke aspecten een proces beheerst moet worden. In het geval van de rechtmatigheid verantwoording zullen de beheerdoelstellingen logischerwijs hoofdzakelijk gericht zijn op naleving van wet- en regelgeving en beleid en daarmee voornamelijk op rechtmatigheid en getrouwheid.

IV.

Risicoanalyse / Key controls: Risico’s worden geïnventariseerd. Externe en interne risico's kunnen immers het behalen van deze beheerdoelstellingen in gevaar brengen. De risico-inventarisatie beperkt zich in het kader van de rechtmatigheidsverantwoording tot alleen de financiële rechtmatigheidsrisico’s bij de verschillende processen. Bij de risico analyse dienen de volgende vragen te worden beantwoord:



Wat is de kans dat een risico zich voordoet en wat is de impact hiervan op het realiseren van de beheerdoelstelling(en)?

Voor risico’s met een hoge kans, een grote impact of beide dienen (interne) beheersmaatregelen opgezet en geïmplementeerd te worden. Beheersmaatregelen dienen ter mitigatie van risico’s. Er wordt in hoofdlijnen een onderscheid gemaakt tussen preventieve en repressieve beheersmaatregelen. Alleen de beheersmaatregelen die écht noodzakelijk zijn om een beheerste procesgang te garanderen, zijn key-controls. Deze key-controls borgen dat risico's die het behalen van de geformuleerde beheerdoelstellingen per proces in gevaar brengen, voldoende worden gemitigeerd. V. Control Framework: In een control frame work (CFW) worden voor de verschillende processen van de gemeente voorgaande stappen bij elkaar gebracht: per proces worden beheerdoelstellingen inzichtelijk gemaakt, de risico’s die realisatie hiervan in gevaar kunnen brengen en de (preventieve en repressieve) key controls die ter mitigatie van de risico’s zijn opgezet. Het CFW vormt de basis om te komen tot een rechtmatigheidsverantwoording. Overkoepelend IC-plan en controleplannen: Het CFW vormt vervolgens het startpunt voor het uitwerken van een overkoepelend IC-plan (masterplan) en interne controleplannen per proces. Het opstellen van het overkoepelend IC-plan en onderliggende controleplannen, alsook het geven van uitvoering daaraan (de feitelijke controle en

33

34

Bijlage 8: Communicatie en periodiek overleg Onderstaand is de overlegstructuur in een communicatiematrix vastgelegd voor het boekjaar 2022. Uit oogpunt van doelmatigheid heeft het de voorkeur zoveel mogelijk gesprekken te combineren. In het kader van het bestuurlijk overleg en de rapportage zijn de volgende contacten tussen de accountant en het bestuur en management als regel van toepassing. Aantal per jaar Afstemmingsplatform

Gemeentesecretaris/ (concern) controller

Periodiek

Financieel management

Minimaal drie

Afdeling

PM

Portefeuillehouder Financiën van de centrumgemeente. College van burgemeester en wethouders van de centrumgemeente

Drie

PM

Toelichting Het college van B&W van de centrumgemeente Beuningen is opdrachtgever van de accountant. Het afstemmingsplatform is het aanspreekpunt voor de accountant voor de opdrachtformulering. Met dit platform zal voorafgaand aan de controle een overleg plaatsvinden om te komen tot een afstemming inzake de nadere invulling van de controle-opdracht. Eventuele tussentijdse belangrijke bijstellingen van de controle zullen tussentijdse worden teruggekoppeld naar het platform. Daarnaast zullen de bevindingen van de eindejaar controle (op basis van het concept en definitief rapport van bevindingen) worden besproken in het platform. De gemeentesecretaris en (concern)controller van de centrumgemeente zijn voor de accountant belangrijke gesprekspartners binnen de gemeentelijke organisatie. Bijeenkomsten: pre-audit gesprek, de bespreking van de bevindingen van interim-controle (op basis van de concept managementletter) en de eindejaar controle (op basis van het concept rapport van bevindingen). Het financieel management is voor de accountant het eerste aanspreekpunt. Er zijn drie natuurlijke momenten: het pre-audit gesprek, de bespreking van de interim-controle en van de eindejaar controle. Daarnaast kan naar behoefte worden gekozen voor tussentijdse voortgangsgesprekken.

in het kader van onze controle, nader overleg van toepassing kunnen zijn met de manager en verantwoordelijken voor de relevante primaire processen. Pre-auditgesprek, bespreking bevindingen interim-controle en eindejaar controle. Op verzoek zal de accountant verschijnen in de vergaderingen van college.

35

Bijlage 9: Rapportage De volgende standaard rapportagemomenten worden onderkend: Rapportage Managementletter dan wel Verslag van bevindingen interimcontrole

Tijdstip Na afronding van de interimcontrole.

Controleverklaringen en het Verslag van bevindingen

Na afronding van de controle van de jaarrekening.

Inhoud Gericht aan Mogelijke risico’s, verbeter- en Directie / aandachtspunten betreffende de Dagelijks processen en procedures bestuur (beheersingsstructuur), evenals overige van belang zijnde onderwerpen. Het oordeel over de mate waarin het Bestuur Financieel Overzicht 2023 en het Verantwoordingsdocument 2023 een getrouw beeld geeft i.o.m. verslaggevingsvoorschriften en voldoet aan de eisen van rechtmatigheid.

36