2022.12.01 bijlage 3 ML Breda 2022 22-11
Tekst van het document
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Concept rapportage interimbevindingen
Controlekader Vooruitkijkend Bijlagen
Jaarrekeningcontrole 2022
Gemeente Breda PricewaterhouseCoopers Accountants N.V. 1 december 2022
0I
1
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Inleiding
Vooruitkijkend
Gemeente Breda T.a.v. het college van burgemeester en wethouders Postbus 90156 4811 RH BREDA
Bijlagen
1 december 2022
Controlekader
Referentie: SSCMSFDJUY3D-1420785742-34 Geachte leden van het college van burgemeester en wethouders, Graag presenteren we u hierbij onze tussentijdse bevindingen die voortkomen uit de controle van de jaarrekening van de gemeente Breda over het boekjaar dat eindigt op 31 december 2022. We hebben onze werkzaamheden uitgevoerd in overeenstemming met ons controleplan 2022.
We bespreken de inhoud van dit verslag graag tijdens de vergadering met de auditcommissie op 1 december 2022. Mocht u nog vragen hebben, aarzelt u dan niet om contact met ons op te nemen. Wij zijn uiteraard graag bereid om de inhoud van deze rapportage nader toe te lichten.
Dit rapport is gebaseerd op onze werkzaamheden tot en met oktober 2022. Indien er na deze datum nieuwe bevindingen zijn met betrekking tot de interne beheersing, dan zullen wij die met u delen in ons accountantsverslag.
Hoogachtend, PricewaterhouseCoopers Accountants N.V.
Het rapport bestaat uit drie delen. In deel 1 geven wij een overzicht van onze kernboodschappen. Deel 2 beschrijft diverse aspecten gerelateerd aan de interne beheersing. Deel 3 beschrijft de relevante ontwikkelingen voor uw gemeente en uw status van voorbereiding op deze ontwikkelingen.
drs. A.E. Gerritsma RA senior director
PricewaterhouseCoopers Accountants N.V., Fascinatio Boulevard 350, 3065 WB Rotterdam, Postbus 8800, 3009 AV Rotterdam T: +31 (0) 88 792 00 10, www.pwc.nl ‘PwC’ is het merk waaronder PricewaterhouseCoopers Accountants N.V. (KvK 34180285), PricewaterhouseCoopers Belastingadviseurs N.V. (KvK 34180284), PricewaterhouseCoopers Advisory N.V. (KvK 34180287), PricewaterhouseCoopers Compliance Services B.V. (KvK 51414406), PricewaterhouseCoopers Pensions, Actuarial & Insurance Services B.V. (KvK 54226368), PricewaterhouseCoopers B.V. (KvK 34180289) en andere vennootschappen handelen en di ensten verlenen. Op www.pwc.nl treft u meer informatie over deze vennootschappen, waaronder deze algemene (inkoop)voorwaarden die ook zijn gedeponeerd bij de Kamer van Koophandel te Amsterda m.
2
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Vooruitkijkend Bijlagen
Inhoudsopgave Inleiding
1
Accounting & controle
19
Inhoudsopgave
2
Het controleproces
20
Onze boodschappen
3
Controlekader
4
Detailbevindingen
22
Controleomgeving
5
Detailbevindingen IT
23
Controleactiviteiten
6
Wet normering topinkomens
24
IT-risico's en beheersing
7
ISA-vereisten
25
Fraude en wet- en regelgeving
8
Impact op aanpak
9
Vooruitkijkend
10
Grondexploitaties
11
Sociaal domein
12
Inkopen, aanbestedingen, inhuur
13
Overige ontwikkelingen
14
Opvang vluchtelingen
15
Rechtmatigheidsverantwoording
16
ESG en lokale overheden
17
Specifieke onderwerpen
18
Bijlagen
21
3
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Vooruitkijkend Bijlagen
Onze boodschappen In dit hoofdstuk staan we stil bij onze belangrijkste boodschappen die we hebben geformuleerd naar aanleiding van de interim-controle bij gemeente Breda.
01
3I
Rapportage interim-bevindingen
Inleiding Inhoudsopgave
Onze kernboodschappen
Onze boodschappen
Ontwikkelingen
Geen wijzigingen ten opzichte van het controleplan
•
•
Controlekader Vooruitkijkend
• Bijlagen
Huidige macro-economische ontwikkelingen zorgen voor uitdagingen bij de ambtelijke organisatie. Deze komen tevens tot uitdrukking in grotere onzekerheden in de begroting 2023. Er zijn veel initiatieven om Breda klaar te maken voor de toekomst. Het inzichtelijk maken en het prioriteren van deze initiatieven en ontwikkelingen is belangrijk om focus te houden op de realisatie van de ambities van gemeente Breda.
Ontwikkelingen
Wijzigingen in controleplan
Bevindingen en observaties
•
• Waarnemingen
• •
•
• •
De elementen van de controleomgeving vormen gezamenlijk een juiste basis voor verbetering van de andere onderdelen van de interne beheersing. De eerste auditrapportage 2022 van de afdeling Concerncontrol geeft goed inzicht in de huidige stand van zaken en aandachtsgebieden voor de organisatie, met inachtneming van de uitdagingen waar ze voor staat. Breda werkt aan structurele borging van beheersmaatregelen, waarbij de uitdaging is om de eerste en tweede lijn hierop in te richten. Met het opstellen van een transitieplan, vanuit het verbeterplan zet Breda de volgend stap, inclusief het control framework. Gemeente Breda is bezig met het opstellen van een frauderisicoanalyse. Algemene IT-beheersmaatregelen zijn goed op orde voor de relevante systemen voor de jaarrekening.
Waarnemingen
Bevindingen en observaties
Controle gemeente Breda
•
Vooruitkijkend
• •
Wij ervaren een goede samenwerking
•
Heldere en open communicatie zorgt voor een fijne samenwerking. We zullen, waar mogelijk, weer wat vaker fysiek aanwezig zijn bij de gemeente Breda om deze goede samenwerking in stand te houden.
De effectiviteit van de controleactiviteiten met betrekking tot subsidies, inkoop/aanbestedingen en inhuur in de eerste en tweede lijn zijn in ontwikkeling op basis van het verbeterplan rechtmatigheid. De leemten die bestaan in de eerste/tweede lijn worden opgevangen in de derde lijn. Voor de verbeteringen verwjizen wij naar de detailbevindingen.
Vooruitkijkend
•
Onze samenwerking
Onze observaties leiden niet tot wijzigingen in de controleaanpak ten opzichte van het controleplan.
De huidige economische omstandigheden en stijgende prijzen kunnen voor onzekerheid zorgen voor de waardering van de grondexploitaties. Het college is, op enkele formele punten na, klaar voor de officiële implementatie van de rechtmatigheidsverantwoording in 2023. Gemeente Breda is actief bezig met de ontwikkeling ter waarborging van de prestatieleveringen in het proces van het sociaal domein. De begroting 2023 laat een structureel tekort zien in 2026, al is dit door voordelen in de septembercirculaire minder geworden. Daarnaast nemen de gekwantificeerde risico’s af, maar zijn de macroeconomische risico’s toegevoegd als PM-posten. Daarnaast neemt de algemene reserve toe en door financiering van toenemende investeringen daalt de solvabiliteit tijdelijk. Wij adviseren deze verschillende onderdelen mee te nemen in de beoordeling van het jaarresultaat en de paragraaf weerstandsvermogen.
4
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Controleomgeving Controleactiviteiten IT-risico's en beheersing Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen
Controlekader Dit hoofdstuk is bedoeld om u inzicht te geven in de controleomgeving inclusief de maatregelen ter voorkoming van fraude. Daarnaast reflecteren we in dit hoofdstuk op de status van de interne beheersing, inclusief de beheersing van de ITomgeving en optioneel: data-analyse.
02
5
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Controleomgeving
Onze observaties van uw controleomgeving De controleomgeving vormt de basis voor een goede opzet van de processen en de effectieve werking hiervan. Hieronder hebben we uw interne controleomgeving geëvalueerd per onderdeel van de interne beheersing en geven wij u onze aanbevelingen. Onze conclusie is dat de elementen van de controleomgeving gezamenlijk een juiste basis vormen voor de andere onderdelen van de interne beheersing. 1. Controleomgeving
3. Controleactiviteiten
Controleactiviteiten
•
•
IT-risico's en beheersing
•
Fraude en wet- en regelgeving •
Impact op aanpak Vooruitkijkend
•
Bijlagen
Het college wil transparant, integer en ethisch handelen. De uitwerking van het verbeterplan laat deze intentie duidelijk zien. De raad kijkt kritisch mee bij diverse thema’s, zoals de invoering van de rechtmatigheidsverantwoording, en stelt vragen vanuit de toezichthoudende rol. De directie wil door middel van het organisatieontwikkelprogramma investeren in de organisatie. Het doel is om de basis van de organisatie te versterken en het ontwikkelvermogen te vergroten. Belangrijk onderdeel hiervan is het verbeteren van de processen en daarmee ook werken aan de cultuur en de gezamenlijke waarden.
activiteiten, rapportage en naleving • •
1. Controleomgeving
4. Informatie en communicatie 2. Risicobeoordeling
•
3. Controleactiviteiten
•
2. Risicobeoordeling •
•
•
De 1e lijn en Concerncontrol identificeren en analyseren significante wijzigingen. De 2e lijn en directie zouden de evaluatie van de risico’s en koppeling met beheersmaatregelen explicieter kunnen vormgeven. De gemeente Breda beschikt nog niet over een organisatiebrede frauderisicoanalyse, maar deze is wel in de maak. Afdeling Concerncontrol pakt dit het eerste jaar op. Verantwoordelijkheid en periodieke actualisatie van de risico’s moet in de primaire afdelingen worden belegd.
De effectiviteit van de controleactiviteiten met betrekking tot subsidies, inkoop/aanbestedingen en inhuur in de 1e en 2e lijn zijn in ontwikkeling op basis van het verbeterplan. Ook bij processen die buiten het plan vallen zien we progressie. Concerncontrol voert de controle- en monitoringactiviteiten uit op basis van het Auditplan dat is goedgekeurd door het college.
4. Informatie en communicatie 5 . Monitoringactiviteiten
•
Breda heeft de ambitie om de P&C-cyclus 2030 proof te maken, met als onderdeel een ‘in control’ statement. Voortgang op interne beheersing wordt door de directie gerapporteerd en gecommuniceerd naar het college en de auditcommissie op de onderdelen van het verbeterplan. Via de reguliere P&C cyclus komt de rapportage op hoofdlijnen terug. Er wordt gewerkt aan verhoging van bewustwording en verantwoordelijkheid van de 1e en 2e lijn op basis van het verbeterplan rechtmatigheid.
5. Monitoringactiviteiten • •
Concerncontrol voert afzonderlijke evaluaties uit op basis van de voortgang van het verbeterplan. Concerncontrol evalueert en meldt tekortkomingen.
5I
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Controleomgeving Onze visie op uw interne beheersing: uw controleomgeving vormt een juiste basis voor verbetering
Controlekader Controleomgeving Controleactiviteiten IT-risico's en beheersing Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen
Verantwoordelijkheden van het college en de raad ten aanzien van de interne controleomgeving Het college is verantwoordelijk voor het inrichten van een interne controleomgeving die het mogelijk maakt een jaarrekening op te stellen die geen afwijkingen van materieel belang bevat door fraude of fouten. Sturen en beheersen van de bedrijfsprocessen zijn de primaire verantwoordelijkheid van het college. De raad moet zich een oordeel kunnen vormen over de inrichting en het functioneren van de bedrijfsvoering in de zin dat deze doeltreffend en doelmatig is ingericht. Het college stelt daarom ten minste een keer per jaar in de paragraaf bedrijfsvoering de raad op de hoogte van de hoofdlijnen van het strategische beleid, de algemene en financiële risico's en het beheersings- en controlesysteem van de gemeente. Een paragraaf bedrijfsvoering op voldoende kwalitatief en kwantitatief niveau is daarbij essentieel. Zoals vorig jaar in ons accountantsverslag is opgenomen, vinden wij dat gemeente Breda goed invulling aan de paragraaf bedrijfsvoering heeft gegeven door een proefverantwoording op te nemen in de jaarrekening 2021. Wel zien wij verbetermogelijkheden in de paragraaf bedrijfsvoering als het gaat om de toelichting en visie op de organisatieontwikkeling en visie op beheersing.
Als onderdeel van de jaarrekeningcontrole 2022 zullen wij onze waarnemingen ten aanzien van de paragraaf bedrijfsvoering opnemen in ons accountantsverslag.
Het college moet vanaf 2023 in de paragraaf bedrijfsvoering ook specifiek ingaan op de afwijkingen die zijn geconstateerd in de rechtmatigheidsverantwoording. In de jaarrekening van 2021 is door gemeente Breda in de paragraaf bedrijfsvoering een passage over de rechtmatigheidsverantwoording opgenomen en ze is voornemens om dat ook voor 2022 op te nemen.
De elementen van de controleomgeving vormen een juiste basis voor verbetering
Onze conclusie is dat de elementen van de controleomgeving gezamenlijk een juiste basis vormen voor de verdere verbetering van de interne beheersing. Dit blijkt ook uit de eerste auditrapportage 2022, opgesteld door de afdeling Concercontrol. De toon van het rapport zorgt voor een juiste balans tussen het aankaarten van geconstateerde bevindingen, benodigde verbetering in de primaire processen, met inachtneming van de uitdagingen waar de ambtelijke organisatie gezamenlijk voor staat. Daarnaast blijkt uit deze auditrapportage dat Concerncontrol dichter op de organisatie is komen te staan en samen met de organisatie op zoek gaat naar de mogelijkheden om verder te ontwikkelen. Het is positief dat beide afdelingen elkaar makkelijker weten te vinden, maar tegelijk constateren wij dat Concerncontrol qua verantwoordelijkheden soms tè dicht op de organisatie staat en verantwoordelijkheden van de 1e en 2e lijn overneemt. We zien hierbij ontwikkelingen in de 1e en 2e lijn, hierbij blijft het zichtbaar maken van de beheersmaatregelen een belangrijk aandachtspunt in de primaire processen
5II
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Controleomgeving Controleactiviteiten IT-risico's en beheersing Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen
Doorontwikkeling interne beheersing Ambities, verbeterplannen en ontwikkelingen
De wereld om ons heen verandert en brengt uitdagingen met zich mee, zoals opvang van vluchtelingen, energiearmoede, maar ook inflatie en een tekort aan personeel. Dit is ook zichtbaar in de organisatie van gemeente Breda. De aandacht gaat daarbij begrijpelijkerwijs primair uit naar de uitvoering en dienstverlening, waarbij de beschikbare capaciteit een knelpunt blijft. Ondertussen is er grote aandacht voor de verbetering van kwaliteit van de interne beheersing. Het is goed om te zien dat er diverse initiatieven en ontwikkelingen lopen om de ambities van gemeente Breda waar te maken. Voorbeelden hiervan zijn het verbeterplan omtrent rechtmatigheid, uitwerking van het control framework, maar ook de voorbereidingen en aanbestedingen ten aanzien van de implementatie van diverse kernapplicaties zoals het Sociaal domein, HR, Financiële systeem en het systeem omtrent inkoop en aanbestedingen. Het geheel van deze ontwikkelingen raakt de gehele organisatie.. Hierdoor bestaat het risico dat initiatieven niet altijd op elkaar worden afgestemd, en is de beschikbaarheid van middelen mogelijk onvoldoende inzichtelijk om te beoordelen of doelen binnen de gestelde termijn kunnen worden gerealiseerd. Wij raden aan om de initiatieven in kaart te brengen, prioriteiten te geven, inclusief de toewijzing van middelen en de koppeling aan het ontwikkelprogramma en eventueel ambities bij te stellen.
Reflectieverslag vierde voorgangsrapportage verbeterplan Rechtmatigheid De organisatie werkt aan de verbetering van de effectiviteit van de interne beheersing in de primaire processen. Op basis van het verbeterplan rechtmatigheid zijn de processen inkopen & aanbesteden, subsidies en inhuur als eerste prioriteit aangemerkt. Zoals wij in het reflectieverslag ten aanzien van de vierde voortgangsrapportage hebben aangegeven, zien we dat Breda werkt aan structurele borging van beheersmaatregelen. Het college heeft daarom besloten om een transitieplan in samenhang met de uitwerking van het control framework op te stellen. Gezien de genomen acties en bewustwording van het belang van de borging van interne beheersing zien wij het als goede stap dat het verbeterplan wordt omgezet naar een transitieplan. Wij adviseren om in het transitieplan te focussen op de basis op orde en de zichtbaarheid van kritische beheersmaatregelen in de primaire processen (‘push left’), inclusief een meetbare tijdlijn voor de inrichting hiervan. Zie voor de details van de ontwikkelingen en onze controleaanpak hierop, de volgende sheet.
6
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Controleomgeving Controleactiviteiten IT-risico's en beheersing Fraude en wet- en regelgeving Impact op aanpak
Bijlagen
Ons beeld van de interne beheersing is gebaseerd op de door ons uitgevoerde werkzaamheden tot en met oktober 2022 en geeft de huidige status van de beheersing weer. Wanneer wij in de komende maanden of bij de jaarrekeningcontrole nieuwe bevindingen hebben, zullen wij deze rapporteren in ons accountantsverslag. In ieder geval rapporteren wij over de voortgang van het verbeterplan rechtmatigheid. De organisatie werkt aan de verbetering van de effectiviteit van de interne beheersing in de primaire processen (zie reflectie). De voortgang is echter nog niet zover dat het bestaan en de werking van deze beheersmaatregelen kan worden vastgesteld. De leemten die bestaan in de 1e/2e lijn worden nog steeds opgevangen in de 3e lijn. De afdeling Concerncontrol vervult de 3e lijn en loopt op schema in het uitvoeren van de auditwerkzaamheden. De auditwerkzaamheden uitgevoerd tot en met oktober 2022 hebben wij beoordeeld en wij kunnen ons vinden in de conclusies zoals opgenomen door Concerncontrol.
SOCIAAL
Wij hebben geen onderscheid gemaakt in de 1e en 2e lijn, omdat de theoretische scheiding tussen deze lijnen in de Bredase praktijk niet altijd te identificeren is. Wij adviseren om bij de herinrichting van de processen volgens het verbeterplan deze scheiding wel zichtbaar te maken, omdat dit helpt in het inrichten van de verantwoordelijkheden.
Proces
FYSIEK
Vooruitkijkend
Uitwerking en bevindingen drielijnenmodel gemeente Breda
BEDRIJFSVOERING
Controlekader
Controleactiviteiten zijn in ontwikkeling
We lichten de verdere details van onze bevindingen in de bijlage toe. Hier blijkt dat veel maatregelen onderhanden zijn.
1/2
Lijn 3
t.o.v. 2021
Inkopen en aanbesteden
Opbrengsten Werk
HR inclusief inhuur
Inkomende subsidies
Treasury
IT(GC)
Grondexploitatie
Vastgoed
Parkeeropbrengsten
Belastingopbrengsten
Omgevingsvergunningen
Jeugd
Wmo
Participatie
Verstrekte subsidies
Legenda
Klik hier voor een toelichting op het drielijnenmodel.
In opzet ontoereikend. In opzet toereikend, maar het bestaan van één of meerdere beheersmaatregelen kan in de praktijk niet worden vastgesteld. Proces is adequaat opgezet en beheersmaatregelen bestaan.
6I
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Controleomgeving Controleactiviteiten IT-risico's en beheersing
Wat is het drielijnenmodel? Onze controleaanpak is naast het controleren van de jaarrekening gericht op het verbeteren van uw bedrijfsvoering inclusief digitalisering hiervan. In onze controle hanteren wij daarvoor het drielijnenmodel. Dit model geeft handvatten om te beoordelen waar in de interne beheersing risico’s worden ondervangen: • In de eerste lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar. • In de tweede lijn: in de ondersteunende processen zoals financiën en control, waar checks and balances ingericht zijn om fouten te signaleren. • In de derde lijn: in uw verbijzonderde interne controle achteraf.
Fraude en wet- en regelgeving
1e
Impact op aanpak
lijn
lijn
3e
lijn
Ondersteuning
Verbijzonderde interne controle
Afdelingen/teams
Administratie, financieel adviseurs en Financiën
Concerncontrol
Vooruitkijkend
Gemeente
Bijlagen
2e
Lijnmanagement
• Primair verantwoordelijk voor getrouwheid en rechtmatigheid transacties binnen eigen processen
• Ondersteunt de afdelingen bij de optimalisering van de primaire processen
• De VIC voert interne controles uit op de getrouwheid en rechtmatigheid van de financieel-kritische processen
PwC
• Verantwoordelijk voor kwalitatieve analyse en toelichting P&C-producten
• De administratie voert bij de verwerking een aantal primaire controles uit op de eerste lijn
• Adviseert (met Concerncontrol) over preventieve interne controlemaatregelen in het primaire proces
• Adviseert preventieve interne controlemaatregelen in het ondersteunende proces en de IT
• Adviseert/klankbord om te komen tot een effectieve en efficiënte controleaanpak
• Geeft feedback om leesbaarheid/ informatiewaarde P&C-documenten te verhogen
• Geeft adviezen om effectiviteit controlwerkzaamheden te vergroten
• Maakt waar mogelijk gebruik van de werkzaamheden van Concerncontrol
• Adviseert over verbetering in de eerste en tweede lijn
Wij rapporteren via het push-leftprincipe Het push-leftprincipe is erop gericht de interne beheersing in de eerste en tweede lijn te optimaliseren. Dit vanuit het uitgangspunt dat fouten voorkomen beter is dan achteraf constateren. Indien er tekortkomingen zijn in de interne beheersing in de eerste en tweede lijn, dan zullen wij deze daarom rapporteren als bevinding, ook als deze in de derde lijn met verbijzonderde interne controle ondervangen wordt.
7
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Controleomgeving Controleactiviteiten IT-risico's en beheersing Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen
IT-risico’s en interne beheersing Gemeente Breda is actief bezig om de basis van haar informatieomgeving op orde te brengen, meer gebruik te maken van data en te digitaliseren/innoveren. Het streven is de komende jaren de ingezette lijn van digitalisering te versnellen om de bredere ambitie van een stad met optimale digitale mogelijkheden te kunnen realiseren voor 2030. Wij spraken met de organisatie over de noodzaak van een goede governance en regie om sturing te geven aan de verschillende initiatieven en het bepalen van de juiste balans tussen innoveren en het op orde brengen en houden van de basis. Het toenemende gebruik van cloud-applicaties vraagt om een verdere transitie van de huidige IT-uitvoeringsorganisatie naar een regieorganisatie. In gesprekken met de organisatie omtrent het toenemende gebruik van cloud-applicaties zijn ook de zorgen geuit over informatiebeveiliging.
Algemene IT-beheersmaatregelen van voldoende niveau, doorontwikkeling nodig om stap naar een meer systeemgerichte controleaanpak te maken De algemene IT-beheersmaatregelen zijn het beleid en de procedures die worden gebruikt om de IT-omgeving en de IT-activiteiten te beheren die het effectief functioneren van geautomatiseerde beheersmaatregelen ondersteunen. We hebben de IT-beheersmaatregelen (waaronder wijzigingsbeheer en autorisatiebeheer) voor de applicaties in scope (ProActis en AFAS) in opzet en bestaan beoordeeld. Voor de audit van gemeente Breda maken wij beperkt gebruik van geautomatiseerde beheersmaatregelen in de financiële systemen. Als gevolg hiervan hebben wij in 2022 geen update uitgevoerd van ons begrip van de beheersing rondom Key2Financien, Suite voor Sociaal domein en Zorgned. Wel begrijpen wij dat gemeente Breda de ambitie heeft om de effectiviteit van de interne beheersing te vergroten en meer te steunen op geautomatiseerde beheersmaatregelen. Wij adviseren deze lijn voor de toekomst door te zetten.
Risk, compliance and policy management
Change and configuration management
Privileged access monitoring
IT strategy and governance
Threat intelligence, patch and vulnerability management
Incident and crisis management
Figuur IT-risico’s
Identity and access management
IT risks Back-up and (disaster) recovery
Physical and environmental Third-party management
7I
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Algemene IT-beheersmaatregelen Algemene IT-beheersmaatregelen zijn voldoende op orde voor de
Controlekader
jaarrekening relevante systemen
Controleomgeving
.In de tabel rechts ziet u samenvattend de status van de algemene IT-beheersmaatregelen. Samenvattend zien we in 2022 dat de algemene ITbeheersmaatregelen rondom ProActis het deels mogelijk maken om in de controleaanpak te steunen op IT-afhankelijke controlemaatregelen. Voor Proactis is de inrichting van de autorisaties (onder andere workflows) gedurende 2022 onderhanden, waardoor we niet voor het hele boekjaar zekerheid hierover kunnen krijgen. De belangrijkste verbeterpunten ten aanzien van Proactis zijn:
Controleactiviteiten IT-risico's en beheersing Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend
Autorisaties binnen Proactis worden toegekend op basis van een kopie van een bestaande gebruiker en bijvoorbeeld niet met behulp van een autorisatiematrix;
•
Monitoring ontbreekt op kritische handelingen van beheerders/gebruikers binnen Proactis.
Bijlagen
Wij hebben geen detailwerkzaamheden uitgevoerd op Zorgned, met als belangrijkste reden dat gemeente Breda onvoldoende zekerheid krijgt over de uitbestede IT-beheertaken van de leverancier. De leverancier van Zorgned stelt geen assurancerapportage beschikbaar aan haar afnemers. Wij adviseren de gemeente nadere afspraken te maken met Zorgned hoe ze aantoonbaar kan maken dat ze voldoende ‘in control’ is en om het verstrekken van een dergelijke verklaring mee te nemen bij een toekomstige aanbesteding. Voor een gedetailleerde beoordeling verwijzen we naar sectie IT-bevindingen en observaties.
IT-systemen
•
Algemene IT-beheersmaatregelen
Wijzigingsbeheer
Autorisatiebeheer
Continuïteit
ProActis Digitale factuurverwerking
AFAS Personeel- & salarisadministratie
N.t.b
N.t.b
N.t.b
Windows Netwerk
Bevindingen
= met hoge audit-impact
Bevindingen
= met beperkte audit-impact
=
Geen bevindingen met audit-impact
7II
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Controleomgeving Controleactiviteiten IT-risico's en beheersing Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen
Cyberrisico’s blijven actueel, versnelling nodig Als onderdeel van de jaarrekeningcontrole van gemeente Breda hebben we ons begrip geactualiseerd van de wijze waarop u cyberrisico’s aanpakt. Hierbij hebben we specifiek aandacht voor hoe de gemeente bezig is met het voldoen .aan de Baseline Informatiebeveiliging Overheid (BIO) en Algemene vrordening gegevensbescherming (AVG). Wij hebben gesproken met de CISO, FG en Auditafdeling en kennisgenomen van documentatie om inzicht te krijgen in de wijze waarop de gemeente omgaat met cybersecurity-risico’s. We benadrukken dat we geen diepgaande beoordeling hebben uitgevoerd om te bepalen of er adequate maatregelen zijn genomen om te voldoen aan relevante wet- en regelgeving met betrekking tot de bescherming van persoonsgegevens en cyberbeveiliging. We zien een security- en privacyorganisatie die actief bezig is om de digitale weerbaarheid van de gemeente te vergroten en periodiek rapporteert over de voortgang. Het gebruik van het ISMS-systeem helpt bij het aantoonbaar maken van nieuwe/bestaande beheersmaatregelen en bij het bewaken van de voortgang. Om de basis op orde te krijgen en houden is ons inziens meer regie nodig op directieniveau en eigenaarschap binnen de lijnorganisatie.
In de huidige situatie is de security- en privacyorganisatie de belangrijkste drijfveer van verbetering, maar kunnen proceseigenaren meer betrokken worden bij de noodzakelijke verbetering. Wij adviseren daarbij specifiek aandacht te geven aan: •
Om ‘security- en privacy by design’ op termijn goed te verankeren is een cultuurverandering nodig waarbij meer eigenaarschap komt te liggen bij de lijnorganisatie en proceseigenaren op dit vlak. De huidige security- en privacyorganisatie is momenteel de primaire drijfveer van activiteiten, maar zou meer ondersteunend/faciliterend moeten zijn aan een lijnorganisatie die sturend is op het veilig gebruiken van systemen en data. Uiteindelijk bepalen directies en proceseigenaren welke risico’s kritisch zijn en deels geaccepteerd kunnen worden.
•
Het periodiek maken en regelmatig testen van offline back-ups en oefenen met het reageren op een mogelijke ransomwareaanval verdient aandacht. Breda werkt aan het verbeteren van de huidige back-up en restore mogelijkheden en het opzetten van business continuity waarbij de lijnorganisatie en proceseigenaren leidend zijn in het bepalen van de eisen aan beschikbaarheid, integriteit en vertrouwelijkheid. Dit verdient prioriteit.
•
Blijf structureel aandacht geven aan het vergroten en op peil houden van het informatiebeveiligings- en privacy-bewustzijn van eindgebruikers. Hier is door de gemeente Breda reeds flink in geïnvesteerd in de afgelopen periode en dit blijft structureel van belang. Informatiebeveiliging moet onderdeel worden van de dagelijkse manier van werken en structureel aandacht krijgen via terugkerende activiteiten, bijvoorbeeld jaarlijks terugkerende trainingen. Door het toenemend gebruik van clouddiensten, onder meer van Microsoft voor e-mail en samenwerking, wordt het verantwoord gebruik hiervan steeds belangrijker. Wij adviseren om dit specifiek onder de aandacht te brengen.
•
Gemeente Breda voert jaarlijks een penetratietest uit in het kader van de ENSIA audit, dit betreft een test met een beperkte scope. Voer periodiek (minimaal jaarlijks) een brede penetratietest uit, tevens bij grote technische aanpassingen in de IT-infrastructuur en het applicatielandschap. Waarborg daarnaast dat bij de huidige kwetsbaarhedenscans door de externe leverancier NFIR specifiek gekeken wordt naar het mogelijk gebruik van clouddiensten die niet onder regie van de centrale IT-afdeling vallen.
•
Blijf aandacht geven aan de toenemende afhankelijkheid van (software)leveranciers (Third-Party Management) en het agenderen van security en privacy op tactisch en strategisch niveau. Waarborg bij nieuwe cloud-oplossingen dat leveranciers beschikken over de juiste certificeringen en jaarlijks assurancerapportages beschikbaar stellen.
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Controleomgeving
Fraude, omkoping en corruptie en het niet naleven van wet- en regelgeving Frauderisicoanalyse in ontwikkeling
Controleactiviteiten IT-risico's en beheersing Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen
In 2022 is het opzetten van een frauderisicoanalyse opgepakt. De afdeling Concerncontrol werkt aan een concept fraudeanalyse op basis van de kennis als onderdeel van de auditprogramma’s. Dit zorgt voor inzicht in de organisatie op het gebied van fraude en zal de organisatie helpen met het voorkomen en opsporen van fraude. De analyse is naar verwachting in december 2022 afgerond. Vervolgens brengt Concerncontrol een advies uit aan het management om de frauderisicoanalyse op de juiste wijze in de organisatie te beleggen. Door het betrekken van de 1e en 2e lijn in de frauderisicoanalyse, wordt tevens het bewustzijn van de organisatie verhoogd op het gebied van fraude. Het management zal de integratie van de frauderisicoanalyse uitvoeren. Als onderdeel van de jaarrekeningcontrole zullen wij de interne beheersing rond het voorkomen en identificeren van fraude beoordelen. Aangezien het voorkomen en opsporen van fraude de primaire verantwoordelijkheid is van het college en de raad, verwachten we dat er een gedegen niveau van interne controle is ingericht, rekening houdend met de omvang en complexiteit van de gemeente en haar activiteiten. We adviseren de directie en het college om te beoordelen wat de kwaliteit is van het gehele fraudepreventieprogramma en, indien nodig, tijdig maatregelen te treffen om de kwaliteit van dit programma te verbeteren.
De kwaliteit van dit programma is mede bepalend voor de bevindingen die wij in de controleverklaring zullen (moeten) rapporteren. Tijdens onze tussentijdse controlewerkzaamheden zijn geen aanwijzingen van fraude onder onze aandacht gekomen.
8
8I
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader
Update ten aanzien van de frauderisicoanalyse In ons controleplan hebben wij onze initiële frauderisicoanalyse opgenomen. Als onderdeel van onze tussentijdse controle hebben wij vastgesteld of beheersingsmaatregelen zijn getroffen om deze frauderisico’s te ondervangen.
Controleomgeving Geconstateerd frauderisico
Controleactiviteiten IT-risico's en beheersing 1 Fraude en wet- en regelgeving Impact op aanpak
2
Vooruitkijkend
Managementbeïnvloeding: Het doorbreken van interne beheersingsmaatregelen door het management. Frauderisico in de inkomende subsidies (juiste afgrenzing en voldoen aan voorwaarden) en transacties van grond en gebouwen zijn niet gebaseerd op zakelijke transacties
Reeds in controleplan opgenomen
Daarnaast hebben wij de opzet van de interne beheersing van uw belangrijkste financiële processen beoordeeld. Hieruit blijken geen aanvullende frauderisico’s ten opzichte van ons controleplan. In onderstaande tabel hebben wij de uitkomsten voor u samengevat.
Nieuw in tussentijdse controle
In opzet aanwezige beheersingsmaatregel om risico te ondervangen
Gezien de aard van het risico ondervangen interne beheersingsmaatregelen dit risico niet geheel.
De gemeente heeft functiescheiding in haar processen opgenomen die dit moet waarborgen. Gezien de aard van het risico ondervangen interne beheersingsmaatregelen dit risico niet geheel.
De gemeente heeft functiescheiding in haar processen en beschikt daarnaast over een inkoopbeleid. Gezien de aard van het risico ondervangen interne beheersingsmaatregelen dit risico niet geheel.
Bijlagen 3
Omkoping en corruptie in de aanbestedingen: Gunning van (Europese) aanbestedingen aan bevriende partijen
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Controleomgeving
Impact van onze tussentijdse werkzaamheden op onze controleaanpak De impact van de tussentijdse werkzaamheden op ons controleplan
Controleactiviteiten IT-risico's en beheersing Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen
In ons controleplan hebben we de belangrijkste risico’s geïdentificeerd. Op basis van deze risico’s hebben we de verhoogde risico’s voor wat betreft uw financiële verslaglegging gepresenteerd. De geplande controleaanpak is op basis van deze risico’s vastgesteld. We hebben onze risicoanalyse en controleaanpak geëvalueerd op basis van de interimcontrolewerkzaamheden die specifiek voor deze risico’s zijn uitgevoerd, waaronder de impact van de uitkomsten van de door ons tot op heden verrichte werkzaamheden. We concluderen dat er geen relevante wijzigingen in de controleaanpak zijn. Bij onze tussentijdse werkzaamheden hebben we de focus gelegd op aanbestedingen, inkopen, inhuur, Wmo, Jeugd, verstrekte subsidies, parkeeropbrengsten, omgevingsopbrengsten, personele lasten en opbrengsten Werk. Onze bevindingen hieromtrent liggen in lijn met de eerste auditrapportage van Concerncontrol. Hieruit volgen geen inzichten die leiden tot een aangepaste controleaanpak.
9
10
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Vooruitkijkend Grondexploitaties Sociaal domein Inkopen, aanbestedingen, inhuur Overige ontwikkelingen Opvang vluchtelingen Rechtmatigheidsverantwoording ESG en lokale overheden Specifieke onderwerpen Accounting & controle Het controleproces
Bijlagen
Vooruitkijkend In deze sectie werken we specifieke thema’s uit, kijken vooruit naar de jaarrekeningcontrole en reflecteren we op onderwerpen die relevant kunnen zijn voor uw gemeente of de jaarrekening.
03
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Vooruitkijkend Samen met u werken aan een efficiënte eindejaarscontrole
Controlekader Vooruitkijkend Grondexploitaties Sociaal domein Inkopen, aanbestedingen, inhuur Overige ontwikkelingen Opvang vluchtelingen Rechtmatigheidsverantwoording ESG en lokale overheden Specifieke onderwerpen Accounting & controle Het controleproces
Bijlagen
In deze sectie kijken we vooruit naar de eindejaarscontrole van uw jaarrekening van 2022, naar relevante thema’s en accountingonderwerpen die uw gemeente raken en hoe we met u samenwerken om het controleproces zo soepel mogelijk te laten verlopen. We presenteren ook een tijdlijn van de belangrijkste mijlpalen tussen nu en de voltooiing van de definitieve audit. Tot slot geven we een update over de impact van onze bevindingen op de geplande en verwachte uren.
10I
11
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Grondexploitaties De hoge inflatie kan negatieve invloed hebben op uw grondexploitatieprojecten.
Controlekader Vooruitkijkend Grondexploitaties Sociaal domein Inkopen, aanbestedingen, inhuur Overige ontwikkelingen Opvang vluchtelingen Rechtmatigheidsverantwoording ESG en lokale overheden Specifieke onderwerpen Accounting & controle Het controleproces
Bijlagen
Projectenportefeuille en onzekerheid ten aanzien van de huidige economische omstandigheden in de waardering van grondexploitaties We merken op dat gedurende 2022 de projectenportefeuille is uitgebreid met drie nieuwe projecten. Dat zorgt voor meer balans in de projectenportefeuille ten opzichte van voorgaand jaar toen voornamelijk projecten in de afrondende fase aanwezig waren. De huidige economische omstandigheden en stijgende prijzen kunnen effect hebben op de waardering van de projecten. Deze effecten zullen in combinatie met contractuele afspraken inzichtelijk moeten zijn voor de actualisatie van de Meerjaren Prognose Grondexploitatie. Denk hierbij aan budgetoverschrijdingen of vertragingen in projecten. De huidige economische omstandigheden komen ook terug in de rapportage van Metafoor, waar door de onzekerheid in de markt de ingeschatte bandbreedtes een stuk ruimer zijn in vergelijking met normale jaren. Het effect van de economische omstandigheden en stijgende prijzen zal voor de jaarrekening het grootste zijn wanneer een in eerste opzet winstgevende exploitatie omslaat naar een verlieslatende exploitatie. Ook de looptijd en druk op de grondprijzen hebben effect op de winstgevendheid en daarmee de waardering.
Geen procedure voor taxaties Verder hebben wij opgemerkt dat de gemeente niet beschikt over een procedure met een beschrijving van onder welke voorwaarden de aankoop van grond mag plaatsvinden zonder aanwezigheid van een taxatierapport. In de te actualiseren nota grondbeleid wordt de procedure opgenomen inzake, onder meer, de waardering van aan te kopen grond. Wij adviseren u om het beleid te actualiseren en om ervoor te zorgen dat het te doorlopen proces zichtbaar wordt gemaakt en geoptimaliseerd wordt.
Restant-koopsom ‘t-Zoet afbetaald met korting volgens contract Bij het tekenen van de koopovereenkomst van het CSM-terrein is een betalingsschema opgenomen voor het restant van de koopsom. In 2022 is op initiatief van Corbion een allonge op deze overeenkomst getekend, waarmee de restant-koopsom direct is afbetaald met een toegepaste korting vanuit Corbion. Voor de gemeente Breda bedraagt de korting €390.000, waarmee het krediet kan worden verlaagd. Tevens wordt de voorziening, die is gevormd bij de aankoop van het CSM-terrein, ultimo 2022 verlaagd. Wij zullen de juiste verwerking van deze transactie, inclusief de impact op de waardering, beoordelen tijdens de balanscontrole 2022.
12
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Sociaal domein Ontwikkelingen, aandachtspunten en aanbevelingen
Controlekader Vooruitkijkend Grondexploitaties Sociaal domein Inkopen, aanbestedingen, inhuur Overige ontwikkelingen Opvang vluchtelingen Rechtmatigheidsverantwoording ESG en lokale overheden Specifieke onderwerpen Accounting & controle Het controleproces
Bijlagen
Verminder afhankelijkheid van derden bij verantwoording over prestatielevering van zorg in natura Voor de zorg in natura heeft het college voor 2022 (evenals in 2021) gekozen om de prestatielevering van de zorg vast te stellen op basis van de verantwoordingen van zorgaanbieders. Dit zorgt voor vertragingstijd bij het verkrijgen van de relevante controle-informatie. Naar wij begrijpen zijn ontwikkelingen gaande om deze afhankelijkheden van derden te verkleinen en het proces te versnellen. Zo zijn er al tussentijdse evaluaties met cliënten, cliënttevredenheidsonderzoeken, opvolging van klachten en uitvoering van materiële controles en kwaliteitsonderzoeken. De organisatie maakt deze bestaande beheersmaatregelen nu inzichtelijk en evalueert of deze de onzekerheden omtrent prestatielevering en de afhankelijkheid van derden voldoende verkleinen. Overwegingen bij vernieuwd onderzoeksplan Team WBO We hebben kennisgenomen van het vernieuwde onderzoeksplan van Team WBO, waarbij ditmaal een nadrukkelijk onderscheid is gemaakt in kwaliteitsonderzoeken (ten behoeve van doelmatige zorglevering) en materiële controles gericht op getrouw- en rechtmatigheid. Wij adviseren om de overwegingen voor gekozen onderzoeksaanpak uit te werken en duidelijk vast te leggen.
Ook vragen wij aandacht voor de te bepalen triggers voor een onderzoek en daaropvolgende foutenevaluatie, waarbij wij graag meedenken.
ISAE 3403-verklaring ontbreekt bij Zorgned Ten behoeve van de controle waren we voornemens de mogelijkheden te onderzoeken om een (gedeeltelijke) systeemgerichte controle uit te voeren, maar het ontbreken van een ISAE 3402-verklaring over werking van beheersmaatregelen rondom de applicatie Zorgned bij de leverancier is hierbij een limiterende factor. Ons advies is om het verstrekken van een dergelijke verklaring mee te nemen bij een toekomstige aanbesteding.
Geen NV COS 4400 werkzaamheden op auditrapportage WBO Sinds 1 januari 2021 is WBO (en daarmee gemeente Breda) verantwoordelijk voor het voeren van de WBO-administratie. Dit houdt in dat de processen rondom het autoriseren en betalen van de zorgfacturen inzake de WBO apart zijn ingericht in de administratie van de gemeente Breda. Het controleplan en de afstemming met de accountants van de deelnemende gemeenten heeft inmiddels plaatsgevonden. Hierbij is afgesproken dat wij, in tegenstellig tot voorgaand jaar, geen separate specifiek overeengekomen werkzaamheden (NV COS 4400) meer uitvoeren op de auditrapportage van concerncontrol. Voor de toekomst bestaat de wens om de jeugdsamenwerking vorm te geven in een gemeenschappelijke regeling. Dit sluit aan bij de landelijke ontwikkeling vanuit de VNG en NvO (Norm voor Opdrachtgeverschap) die werken aan een wettelijke verankering van de samenwerking.
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Sociaal Domein Ontwikkelingen, aandachtspunten en aanbevelingen
Controlekader Vooruitkijkend Grondexploitaties Sociaal domein Inkopen, aanbestedingen, inhuur Overige ontwikkelingen Opvang vluchtelingen Rechtmatigheidsverantwoording ESG en lokale overheden Specifieke onderwerpen Accounting & controle Het controleproces
Bijlagen
Meer grip op prestatielevering WMO De gemeente Breda heeft met een aantal gerichte maatregelen meer grip gekregen op de prestatieleveringen binnen de WMO. Hier spelen met name de geactualiseerde WMO-verordeningen en nieuwe contracten met zorgaanbieders (met meer kaders en gedetailleerde afspraken) een belangrijke rol. Ook de opvolging van signalen in het nieuwe klachtensysteem Naris draagt hier aan bij. Verder merken we op dat de (in het kader van feitelijke zorglevering onzekere) PGB-stroom is gedaald van €2,5 miljoen in 2021 naar €1,2 miljoen dit jaar. Ook dit is het gevolg van enkele concrete maatregelen, waaronder het gelijktrekken van eisen aan ZIN-aanbieders door in het nieuwe contract meer handvatten op te nemen om concrete zorgafspraken te maken, de introductie van kennismakingsdocumenten en meer differentiatie tussen informele en professionele PGB-zorg. Tot slot hebben we vastgesteld dat de 2e lijnsfunctie een impuls heeft gekregen door het toevoegen van diverse reviewslagen in Checkpoint. Bij onze eigen gegevensgerichte werkzaamheden op dossierniveau hebben wij vooralsnog geen bevindingen.
12I
13
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Ontwikkelingen Inkopen, aanbestedingen en inhuur Nog een aantal stappen vereist om het gewenste volwassenheidsniveau te bereiken
Controlekader Vooruitkijkend Grondexploitaties Sociaal domein Inkopen, aanbestedingen, inhuur Overige ontwikkelingen Opvang vluchtelingen Rechtmatigheidsverantwoording ESG en lokale overheden Specifieke onderwerpen Accounting & controle Het controleproces
Bijlagen
Nieuwe beheersmaatregelen rondom inkopen en aanbestedingen zijn gedeeltelijk of geheel ingericht Het begin van het jaar heeft in het teken gestaan van het afronden van het opsporen van fouten, het inrichten van herstelacties en het voorkomen van nieuwe fouten door integrale dossieranalyse. De implementatie van de structurele verbeteringen in de processen is nog onderhanden en de zichtbare structurele borging in primaire processen blijft hierbij aandacht vragen. We hebben geconstateerd dat diverse beheersmaatregelen gedeeltelijk of geheel zijn ingericht, zoals het inkoopjaarplan, accountgesprekken en inkoopordercontrole. De gemeente Breda is daarmee op de goede weg, maar om het gewenste volwassenheidsniveau te bereiken, moeten nog een aantal stappen worden gezet. Een van de stappen die nog moet worden gezet, die voortkomt uit het verbeterplan, is de ingevoerde inkooporder-controle, die is aangepast na evaluatie met de werkgroep. Hierbij is de controle gesplitst in twee onderdelen: administratieve controle vindt plaats voor orders boven €1.000 en de rechtmatigheidscontrole vindt plaats vanaf €25.000. Omdat ProActis momenteel deze splitsing nog niet kan maken, is de rechtmatigheidscontrole nog niet zichtbaar te toetsen.
Een ander aandachtspunt is bijvoorbeeld dat ProActis niet de mogelijkheid biedt om de aanwezigheid van én minimale inhoudelijke vereisten voor een bijlage ten behoeve van de prestatieverklaring systeemtechnisch af te dwingen. Hierdoor is de vastgelegde bewijsvoering soms onvoldoende. Verder moet het gebruikmaken van inkooporders nog consequenter worden toegepast. Tegelijk heeft de focus op het aanbestedingsproces tot minder rechtmatigheidsfouten geleid. De afronding van het onbekende foutenonderzoek 2021 heeft geleid tot drie ‘nog niet bekende fouten’ voor 2022. Verder is naar aanleiding van een risico-gerichte controle één extra fout geconstateerd. De overige (reguliere) gegevensgerichte werkzaamheden hebben geen nieuwe bevindingen aan het licht gebracht.
Kwaliteitsimpuls binnen inhuurproces In lijn met het Projectplan Optimalisatie Inhuurproces heeft de interne beheersing rondom inhuur dit jaar een kwaliteitsimpuls gekregen. Sinds mei van dit jaar worden uren digitaal geregistreerd en geautoriseerd in Flex West-Brabant, dat de basis vormt voor een door het systeem gegenereerde e-factuur. Hierdoor heeft de organisatie meer grip op de ontwikkeling van gerelateerde kosten.
14
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Vooruitkijkend Grondexploitaties Sociaal domein Inkopen, aanbestedingen, inhuur Overige ontwikkelingen Opvang vluchtelingen
Overige ontwikkelingen en aanbevelingen Proces rondom verstrekte subsidies is in beweging Wij constateren dat de interne beheersing ten aanzien van het subsidieproces is versterkt. Dit blijkt met name uit een verhoogde aandacht voor het juridisch en financieel rechtmatig afhandelen van subsidiedossiers. Hiervoor is ook het subsidieloket opgericht. Verder constateren wij dat door het zaaksysteem Djuma de vindbaarheid van (de meer uniforme) documenten is verhoogd. Tegelijk benadrukken wij dat de eindstreep in het proces naar volwassenheid nog niet is behaald. Uit de gegevensgerichte werkzaamheden van Concerncontrol op de verleningen blijkt bijvoorbeeld dat weinig aandacht wordt geschonken aan de financiële positie van de subsidiepartijen. Dit wordt deels ingegeven door de onduidelijkheden rondom de Algemene Subsidie Verordening (met name ten aanzien van reservevorming bij subsidiepartijen), waarvan wij begrijpen dat deze spoedig wordt geactualiseerd zodat subsidies vanaf 2024 op basis van de nieuwe ASV kunnen worden verstrekt.
Rechtmatigheidsverantwoording ESG en lokale overheden Specifieke onderwerpen Accounting & controle Het controleproces
Bijlagen
Overige inzichten Naast de al vermelde opmerkingen hebben wij voor een aantal processen de werking voor een deel van het kalenderjaar gecontroleerd. Hier volgen geen bevindingen uit. Daarnaast hebben we voor de volgende processen en/of posten een gegevensgerichte controle over een deel van het kalenderjaar uitgevoerd: personele lasten, factuurafhandeling, opbrengsten Werk, parkeeropbrengsten en participatie. Hoewel hierbij nog enkele vragen open staan, hebben wij vooralsnog geen belangrijke bevindingen geconstateerd. Bij de participatie-stroom is wel bekend dat archiveringsproblemen vanuit 2020 een impact hebben op 2022 voor de nog doorlopende dossiers.
Opvolging IB-signalen
Bij de jaarrekeningcontrole 2021 is vastgesteld dat de procedure omtrent de opvolging van IB-signalen onvoldoende heeft gewerkt. Wij vragen uw aandacht omtrent een juiste opvolging van de IB-signalen gerelateerd aan Tozouitkeringen en het verloop van terugvorderingen naar aanleiding van de beoordeelde IB-signalen.
Europees Sociaal Fonds Subsidie (ESF) De gemeente Breda heeft een ESF-subsidiebeschikking ontvangen inzake de arbeidsmarktregio Breda. Tijdens de jaarrekeningcontrole 2021 was het voor de gemeente Breda niet mogelijk een betrouwbare inschatting van de realisatie ultimo 2021 op te stellen, omdat geen betrouwbaar inzicht in de inzet van de subsidiemiddelen kon worden opgesteld. Daarom is er geen subsidieopbrengst aan 2021 toegerekend. Momenteel is er een declaratie ingediend. Deze zal als onderdeel van de eindejaarscontrole 2022 door PwC worden beoordeeld. De aanbeveling omtrent het meten van de voortgang van meerjarige subsidies, inclusief de realisatie per jaarschrijf uit het accountantsverslag 2021 blijft van kracht, ook met het oog op de nieuwe periode van de ESF-subsidieaanvraag.
Onderhoudsvoorzieningen en beleidskader kapitaalgoederen Uit de evaluatie van het geactualiseerde beleidskader kapitaalgoederen bleek dat het beheer en onderhoud van de openbare ruimte steeds verder begon achter te lopen. Om de achterstanden in te kunnen lopen en het onderhoud naar een hoger niveau te kunnen brengen zijn extra gelden beschikbaar gesteld. Als onderdeel van de eindejaarscontrole 2022 zal het nieuwe beleidskader en de verwerking hiervan in de jaarrekening worden beoordeeld.
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen Controlekader Vooruitkijkend Grondexploitaties Sociaal domein Inkopen, aanbestedingen, inhuur Overige ontwikkelingen Opvang vluchtelingen Rechtmatigheidsverantwoording ESG en lokale overheden Specifieke onderwerpen Accounting & controle Het controleproces
Bijlagen
Opvang vluchtelingen uit Oekraïne Aandacht voor rechtmatige verwerking van de bestedingen ten aanzien van de opvang van vluchtelingen uit Oekraïne De gemeente Breda heeft net als veel andere gemeenten de taak op zich genomen om vluchtelingen uit Oekraïne op te vangen. De vluchtelingenstroom kwam heel snel op gang waardoor in korte tijd opvang moest worden geregeld. De opvang heeft geleid tot extra kosten voor de gemeente. De kosten moeten worden verantwoord via de SiSa-bijlage. Als accountant kijken wij in de kostenverantwoording mee als onderdeel van de werkzaamheden op de SiSa-bijlage. De borging van de rechtmatigheid ten aanzien van de aanbesteding van de opvang heeft daarnaast onze expliciete aandacht. Vanwege de onvoorziene situatie en de onmogelijkheid om op korte termijn een aanbestedingsprocedure op te starten, heeft uw gemeente voor een gedeelte van de kosten gebruikgemaakt van de aanbestedingsprocedure voor bijzondere situaties waarvoor geen aankondiging vooraf nodig is: de onderhandelingsprocedure zonder voorafgaande bekendmaking. Deze mag - onder voorwaarden - worden toegepast als sprake is van dwingende spoed (artikel 32 lid 1 sub c Aanbestedingswet 2012). Er dient wel een aankondiging van gegunde opdracht achteraf plaats te vinden.
Gemeente Breda maakt de toegepaste procedures en gemaakte kosten ten aanzien van de opvang van vluchtelingen uit Oekraïne inzichtelijk. Per jaareinde zullen wij deze beoordelen of de bestedingen opvang rechtmatig zijn aanbesteed en dat de bestedingen in de SiSa-bijlage voldoen aan de voorwaarden van de SiSa-regeling.
15
16
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Rechtmatigheidsverantwoording Implementatie rechtmatigheidsverantwoording ligt op koers
Controlekader
Vereiste communicatie op grond van controlestandaarden
Heeft het college reeds afspraken gemaakt over deze onderwerpen: Ja
Vooruitkijkend Grondexploitaties Sociaal domein Inkopen, aanbestedingen, inhuur Overige ontwikkelingen Opvang vluchtelingen Rechtmatigheidsverantwoording ESG en lokale overheden Specifieke onderwerpen Accounting & controle Het controleproces
Bijlagen
Vanaf boekjaar 2023 moet het college de rechtmatigheidsverantwoording in de jaarrekening opnemen. Dit betekent dat wij over het boekjaar 2023 de getrouwheid van de rechtmatigheidsverantwoording zullen toetsen. Afgelopen jaar heeft gemeente Breda reeds proefgedraaid met de implementatie van de rechtmatigheidsverantwoording. Ondanks het uitstel van de rechtmatigheidsverantwoording naar 2023 zien we dat de gemeente Breda de ingeslagen weg uit 2021 doorzet en daarmee ook wil doorpakken in een proef rechtmatigheidsverantwoording in 2022. Wij concluderen dat uw college klaar is voor de officiële implementatie van de rechtmatigheidsverantwoording en enkel nog enkele formele zaken, zoals benoemd in de tabel hiernaast, moet regelen. Hier zijn echter al de juiste stappen op ondernomen. Daarnaast zien we dat de kwaliteit van de verantwoording over de rechtmatigheid en de paragraaf bedrijfsvoering op orde is en dat de afdeling Concerncontrol daar een rol in vervult. Belangrijk aandachtspunt betreft nog het opstellen van een overkoepelende nota Misbruik & Oneigenlijk gebruik waarin de algemene uitgangspunten voor het voorkomen van misbruik en oneigenlijk gebruik worden vastgelegd als kader voor de lijn.
De verantwoordingsgrens voor 2023 is bepaald op basis van de totale lasten inclusief toevoegingen aan reserves
Onderhanden
De verantwoordingsgrens voor 2023 is vastgesteld door de raad
Het normenkader 2023 is onderhanden of datum vaststelling door de raad is gepland
De financiële verordening is herzien indien er staat dat de accountant de rechtmatigheid toetst
De financiële verordening bevat op welke wijze wordt omgegaan met begrotingsonrechtmatigheden
Het college en de raad hebben overeenstemming inzake de mate van detail in de paragraaf Bedrijfsvoering Het interne controleplan van de gemeente bevat een scoping van de processen en balansposten, risicoanalyses per proces en post en controleaanpak
N.v.t.
17
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
ESG en lokale overheden Wij gaan graag het gesprek aan om de impact van ESG-beleid zichtbaar te maken
Controlekader Vooruitkijkend Grondexploitaties Sociaal domein Inkopen, aanbestedingen, inhuur Overige ontwikkelingen Opvang vluchtelingen Rechtmatigheidsverantwoording ESG en lokale overheden Specifieke onderwerpen Accounting & controle Het controleproces
Bijlagen
ESG en lokale overheden Lokale overheden hebben elke dag te maken met de drie ESG-thema’s. Overstromingen door heftige regenval (environmental), het beschermen van de privacy van burgers (social) en een cyberaanval op de IT-infrastructuur (governance): lokale overheden doen al ongelooflijk veel op dit gebied; het maken en samenbrengen van beleid op de ESG-factoren wordt de komende jaren steeds belangrijker. Lokale overheden hebben daarbij een belangrijke rol in het behalen van de door Nederland internationaal afgesproken doelstellingen. De impact van lokale overheden op het realiseren van de klimaatdoelstellingen verdient het om zichtbaar te zijn, zowel qua resultaten als kosten en investeringen. Lokale overheden zetten al grote stappen op het gebied van ESG en nu is het tijd voor de volgende stap. Voor lokale overheden is geïntegreerde verantwoording noodzakelijk om alle inspanningen zichtbaar en vergelijkbaar te maken. Sinds april vorig jaar moeten vennootschappen volgens de door de Europese Commissie aangenomen richtlijn Corporate Sustainability Reporting Directive’ (CSRD) meer transparantie bieden op het gebied van duurzaamheid. Op den duur moet dit leiden tot regelgeving die duurzaamheidsrapportage op één lijn brengt met financiële rapportage.
De eisen van de Europese Unie met betrekking tot duurzaamheidsverslaggeving zullen worden uitgebreid tot alle grote ondernemingen en beursgenoteerde ondernemingen.
Voor lokale overheden is er nog geen (Europese) rapportagerichtlijn voor klimaat beschikbaar, bijvoorbeeld in het ‘Besluit begroting en verantwoording provincies en gemeenten’ (BBV). In de klimaatbegroting 2022 is de doelstelling van gemeente Breda opgenomen: Breda wil in 2044 een CO2-neutrale stad zijn. Die doelstelling richt zich op het beperken van energiebehoefte en duurzaam energie opwekken, in stad en regio. Wij gaan graag met u in gesprek over welke maatregelen door de gemeente Breda worden genomen om deze doelstelling te behalen, hoe hierover wordt gerapporteerd (bijvoorbeeld in de jaarstukken en begroting) en welke (vervolg) stappen u daarin kunt zetten om de doelstelling meetbaar te maken. Wij denken aan de volgende lijnen.
Adviezen inzake duurzaamheidsverslaggeving voor lokale overheden • • •
Breng focus aan in de klimaat- en duurzaamheidsdoelstellingen waarop u wilt sturen, meten en controleren in de komende coalitieperiode. Zorg vervolgens voor een centrale plek in de Planning- en Controlproducten voor duurzaamheid en klimaat. Maak investeringen gekoppeld aan ESG-doelstellingen apart zichtbaar om deze ook in de realisatie van de beleidsdoelstellingen mee te nemen.
Lees ook onze blog ‘Lokaal bestuur, maak impact van ESG-beleid zichtbaar’.
18
Rapportage interim-bevindingen
Inleiding Inhoudsopgave Onze boodschappen
Specifieke onderwerpen Diverse ontwikkelingen die van invloed zijn op onze jaarrekeningcontrole en uw jaarrekening
Controlekader Vooruitkijkend Grondexploitaties Sociaal domein Inkopen, aanbestedingen, inhuur Overige ontwikkelingen Opvang vluchtelingen Rechtmatigheidsverantwoording ESG en lokale overheden Specifieke onderwerpen Accounting & controle Het controleproces
Bijlagen
Hoofdlijnen begroting 2023 ten aanzien van weerstandsvermogen en solvabiliteit De begroting 2023 laat op basis van de meerjarenraming een structureel sluitend saldo zien tot 2025. De laatste jaarschijf van deze begroting is niet sluitend doordat het Rijk de opschalingskorting voor dat jaar niet heeft bevroren en doordat het accres landelijk, lager dan de jaren ervoor, is vastgeklikt. Hiervoor voert de VNG gesprekken met het ministerie van BZK. Door voordelen op basis van de septembercirculaire wordt het beeld wel weer bijgesteld.
Het weerstandsvermogen groeit naar verwachting, door een daling van de opgenomen risico’s en de stijging van de beschikbare weerstandsreserve (met name door de stijging van de algemene reserve). De daling van de opgenomen risico’s van €53,3 miljoen in 2021 naar €46 miljoen in 2026 komt met name door het verlagen van de financiële impact van risico’s in het sociaal domein door het toewijzen van extra budgetten en het nemen van risicobeperkende maatregelen. Wij adviseren om de daling van de opgenomen risico’s inzichtelijk te houden met de macro-economische uitdagingen waar de gemeente voor staat. Daarnaast laat de begroting 2023 een stijging van de investeringen zien, die een stijging van de vaste schulden met zich meebrengt. Het solvabiliteitsratio komt daardoor naar verwachting in 2026 uit op 17%. Dat is ongeveer gelijk aan de jaarschijf 2022, maar de ratio kent een daling in de tussenliggende jaren.
Bij het Strategisch investeringsplan geeft Breda in de begroting aan dat uit ervaring niet alle geplande investeringen ook daadwerkelijk conform programmering tot investeringsuitgaven zullen leiden. Wij adviseren om een eventuele achterstand te blijven monitoren in combinatie met de solvabiliteit.
De datum voor de inwerkingtreding van de Omgevingswet is uitgesteld naar 1 juli 2023 De Omgevingswet brengt een grote stelselwijziging in het omgevingsrecht en een nieuwe manier van werken in de ontwikkeling en het beheer van de fysieke leefomgeving. De reikwijdte van de wet strekt zich uit van strategische visie, gebiedsontwikkeling en beheer tot vergunningverlening, handhaving en toezicht en de bijbehorende (digitale) informatievoorziening en dienstverlening. De impact van de wet is daarmee groot. De invoering van de wet is uitgesteld naar 1 juli 2023. Voor die tijd is het van belang dat alle processen binnen de gemeente in lijn worden gebracht om de livegang per 1 juli 2023 mogelijk te maken. Er zijn vier belangrijke producten te onderscheiden: de Omgevingsvisie, het Omgevingsplan, de Omgevingsvergunning en het Omgevingsloket. • De gemeenteraad heeft in 2021 de omgevingsvisie Breda 2040 vastgesteld. • Bij de invoering van de wet (2023) is de informatie over de fysieke leefomgeving digitaal toegankelijk voor iedereen via het landelijke Omgevingsloket.