2022.12.01 Bijlage 4 Controleplan Breda 2022
Tekst van het document
0I
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze controleaanpak Overige onderwerpen Communicatie
Morgen maak je samen_ Controleplan 2022
Gemeente Breda
Bijlagen
PricewaterhouseCoopers Accountants N.V. 2 november 2022
1
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave
Morgen maak je samen_
Onze controleaanpak
Gemeente Breda T.a.v. de gemeenteraad en het college van burgemeester en wethouders Claudius Prinsenlaan 10 4811 DJ Breda
Overige onderwerpen
15 september 2022
Onze kernboodschappen
Communicatie Bijlagen
Referentie:SSCMSFDJUY3D-1420785742-17 Geachte leden van de gemeenteraad en het college van burgemeester en wethouders, Met genoegen presenteren wij u het controleplan voor de controle van uw jaarrekening over het boekjaar 2022. Net als in voorgaande jaren is kwaliteit onze basis en delen we graag hoe we werken aan kwaliteit, terwijl we uw audit vormgeven door een aanpak die wordt geleid door onze mensen en wordt gedreven door onze technologie.
Onze controleaanpak is op maat gemaakt. Uw input is belangrijk bij de totstandkoming van onze controleaanpak. De aanpak sluit tevens aan op de bedrijfsvoering van de organisatie. Met de gekozen aanpak kunnen wij u feedback geven, vertaald in praktische, uitvoerbare aanbevelingen, afgestemd op uw gemeente.
Voor het controlejaar 2022 hebben wij net als vorig jaar het controleplan uitgewerkt in combinatie met de samenwerking met Concern Control. Op deze wijze geven wij u inzicht in de uitvoering van de controle 2022 gekoppeld aan de afgesproken rapportage momenten. Dit document geeft u een samenvattend overzicht van de manier waarop wij de controle uitvoeren. De controleaanpak is gebaseerd op een brede kennis van uw gemeente en de ontwikkelingen in uw sector. Het controleplan begint met een samenvatting voor u als raad: welke rol heeft de raad als opdrachtgever voor de controle van de jaarrekening? Daarna komen uw en onze risicoanalyse, onze controleaanpak, belangrijke actuele ontwikkelingen en de wijze waarop we samenwerken aan bod.
Als u vragen heeft over zaken die hierin worden besproken, of als u andere zaken wilt bespreken voorafgaand aan onze bijeenkomst, aarzel dan niet om contact met mij op te nemen. Met vriendelijke groet, PricewaterhouseCoopers Accountants N.V. Dit document is elektronisch ondertekend door:
Anton Eelco Gerritsma []
drs. A.E. Gerritsma RA senior director
PricewaterhouseCoopers Accountants N.V., Fascinatio Boulevard 350, 3065 WB Rotterdam, Postbus 8800, 3009 AV Rotterdam T: +31 (0) 88 792 00 10, www.pwc.nl ‘PwC’ is het merk waaronder PricewaterhouseCoopers Accountants N.V. (KvK 34180285), PricewaterhouseCoopers Belastingadviseurs N.V. (KvK 34180284), PricewaterhouseCoopers Advisory N.V. (KvK 34180287), PricewaterhouseCoopers Compliance Services B.V. (KvK 51414406), PricewaterhouseCoopers Pensions, Actuarial & Insurance Services B.V. (KvK 54226368), PricewaterhouseCoopers B.V. (KvK 34180289) en andere vennootschappen handelen en diensten verlenen. Op www.pwc.nl treft u meer informatie over deze vennootschappen, waaronder deze algemene (inkoop)voorwaarden die ook zijn gedeponeerd bij de Kamer van Koophandel te Amsterdam.
2
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze controleaanpak Overige onderwerpen Communicatie Bijlagen
Inhoudsopgave Begeleidende brief
1
Ons team
19
Inhoudsopgave
2
Controleplanning
20
Onze kernboodschappen
3
Bijlagen
21
Onze kernboodschappen
4
Vereiste communicatie
22
De fundamenten
5
Verantwoordelijkheden
23
Uw feedback
6
Onze 'audit tools'
24
Onze controleaanpak
7
Afhankelijkheid van derden
25
Reikwijdte van de controle
8
Materialiteit
9
Normenkader 2022
10
Controlefilosofie
11
Controlerisico’s
12
Fraude en niet-naleven
13
Controleaanpak
14
IT-aanpak
15
Overige onderwerpen
16
Ontwikkelingen
17
Communicatie
18
3
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze kernboodschappen De fundamenten Uw feedback Onze controleaanpak Overige onderwerpen Communicatie Bijlagen
Onze boodschappen In dit hoofdstuk staan we stil bij onze belangrijkste boodschappen en de fundamenten van onze controle. Ook staan we stil bij de feedback die we vanuit de gemeente Breda hebben gekregen.
01
4
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave
Onze kernboodschappen
Onze kernboodschappen Onze kernboodschappen De fundamenten Uw feedback Onze controleaanpak
Op basis van onze kennis van uw organisatie hebben wij onze risicobeoordeling uitgevoerd. De frauderisico’s gelden voor de gehele sector.
Onze controleopdracht bestaat uit de controle van de jaarrekening 2022 met betrekking tot de aspecten getrouwheid en rechtmatigheid (inclusief SiSa en WNT). Van het jaarverslag stellen wij alleen vast of wij, op basis van onze kennis verkregen tijdens de controle, geen onjuistheden zien.
Overige onderwerpen
Uw speerpunten
Communicatie
Bij de uitvoering van de controle kunt u ons specifieke speerpunten meegeven, waarover u additioneel geïnformeerd wilt worden. Wij zullen in ieder geval rapporteren over de voortgang van het verbeterplan rechtmatigheid en van de verbetering van de interne beheersing naar de ‘basis op orde’ op volwassenheidsniveau 3.
Bijlagen
Risicobeoordeling
Controleopdracht
Onze opdracht
Uw speerpunten
Belangrijke onderwerpen •
De invoering van de rechtmatigheidsverantwoording als
Frauderisico’s: • Het doorbreken van interne beheersingsmaatregelen door het management; • Transacties van grond en gebouwen zijn niet gebaseerd op zakelijke transacties; • Gunning van (Europese) aanbestedingen aan bevriende partijen.
Risicobeoordeling
Jaarrekeningcontrole 2022
Materialiteit van de controle
De risico’s zijn een belangrijk onderdeel van de uitvoering van de jaarrekeningcontrole Belangrijkste onderwerpen
Onze controleaanpak
onderdeel van de jaarrekening is uitgesteld naar 2023. We adviseren om in 2022 de ingezette weg als basis •
voor de rechtmatigheidsverantwoording door te zetten.
Onze controleaanpak
Door een gewijzigde controlestandaard (ISA 315R)
Onze risico-inschatting, en dus onze controleaanpak, is ongewijzigd ten opzichte van voorgaand jaar.
besteden wij in 2022 extra aandacht aan de invloed van de omgeving en activiteiten op de financiën van de gemeente Breda en onze risico-inschatting daarbij.
Significante risico’s op materiële fouten • Waardering van de grondexploitaties is onjuist; • Aanbestedingen voldoen niet aan EUaanbestedingsrichtlijnen;
Materialiteit van de controle Als raad bepaalt u door het vaststellen van de goedkeuringstolerantie met welke nauwkeurigheid wij de jaarrekeningcontrole uitvoeren. U heeft, net als veel andere gemeenten, gekozen de goedkeuringstolerantie te stellen op het wettelijke maximum van 1% van de totale lasten (€7,2 miljoen). U heeft ons gevraagd alle bevindingen boven de rapporteringstolerantie van €300.000 aan u te rapporteren.
5
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen
De fundamenten Breda focust op de interne beheersing
Onze kernboodschappen De fundamenten Uw feedback Onze controleaanpak Overige onderwerpen Communicatie
De gemeente Breda focust op de doorontwikkeling van de interne beheersing op basis van het verbeterplan rechtmatigheid. Dit met als doel om te komen tot een zichtbare interne beheersing op basis van het drie lijnen model. Voor de korte termijn ligt de focus op de herinrichting van de processen inkoop en aanbestedingen, inhuur en het subsidies in de primaire processen van de organisatie vanuit het verbeterplan. Daarnaast spelen in de gemeente Breda belangrijke thema’s en projecten zoals: •
Het organisatie-ontwikkelplan en daarbij het uitvoeringsplan als handleiding voor de uitvoering van de ambities uit het bestuursakkoord;
•
P&C 2030-proof;
•
De balans tussen maatschappelijke opgaven en ambities en de slagkracht van de ambtelijke organisatie;
•
Ontwikkeling van grondexploitaties en de woningbouwopgave in combinatie met de doorkijk naar de toekomst;
•
Realiseren van de mijlpalen van de strategische Investeringsplanning 2022-2026.
Bijlagen
Als PwC vinden wij het belangrijk om in onze controles in te spelen op deze relevante ontwikkelingen. Zoals u van ons gewend bent zetten we onze kennis en expertise in om ideeën of perspectieven te delen en te integreren in onze controle. Aan onze bevindingen bij de voortgang van het verbeterplan rechtmatigheid zullen wij daarom in iedere rapportage aandacht geven.
6
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze kernboodschappen De fundamenten Uw feedback
Uw feedback en hoe wij die opvolgen Onze toewijding aan het ondersteunen van kwaliteit De ervaring die u heeft met onze dienstverlening, is van cruciaal belang. Om aan de verwachtingen van de gemeente Breda te voldoen en deze te overtreffen, geven we prioriteit aan de kwaliteit van het werk dat we leveren, de waarde die we toevoegen en de ervaring die we bieden. We hebben geluisterd naar uw feedback over onze dienstverlening in de controle van vorig jaar. We hebben de belangrijkste aandachtsgebieden voor onze dienstverlening tijdens de controle van dit jaar samengevat.
Onze controleaanpak Overige onderwerpen Communicatie Bijlagen
Betere onderlinge communicatie rondom bevindingen De afstemming van bevindingen tussen Concern Control en de voorbereiding van het accountantsverslag gaan we beter structureren. Door heldere afspraken te maken wanneer welke rapportages beschikbaar zijn, nemen wij eerder kennis van de interne managementletter om hier ook tijdig afstemming en acties op in te zetten.
Meer vaste teamleden Vorig controlejaar hebben we relatief veel wisselingen in ons controleteam gehad. Komend jaar zal ons team meer vaste gezichten bevatten die gedurende de volledige controle betrokken gaan zijn.
Planning van de controle beter laten aansluiten op de planning van Breda We hebben reeds onderling overleg gehad over hoe we de planning van de controle beter kunnen afstemmen op de planning van de gemeente Breda. Inmiddels zijn hiertoe enkele concrete acties in gang gezet.
1
2
3
4
Verder blijven dynamiseren en IT integreren In 2021 hebben we gegevensgerichte werkzaamheden naar voren gehaald en hierover gerapporteerd in de managementletter. Dit willen we voor 2022 doorzetten en waar mogelijk bij meer posten realiseren. Tevens willen we de mogelijkheden van IT meer integreren in de controleaanpak. Dit door specifiek op beheersmaatregelen in processen te richten.
7
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze controleaanpak Reikwijdte van de controle Materialiteit Normenkader 2022 Controlefilosofie Controlerisico’s Controleaanpak Fraude en niet-naleven Controleaanpak IT-aanpak Overige onderwerpen Communicatie Bijlagen
Onze controleaanpak Dit hoofdstuk is bedoeld om u een duidelijk overzicht te geven van de wijze waarop wij met de input van de voorgaande paragrafen de controle van de jaarrekening van de gemeente Breda uitvoeren. Dit omvat inzichten in materialiteit, reikwijdte, normenkader, controlefilosofie, controlerisico’s, IT-aanpak en risico’s rondom fraude en het niet-naleven van wet- & regelgeving.
02
8
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave
Reikwijdte van de controle
Onze kernboodschappen Onze controleaanpak Reikwijdte van de controle Materialiteit
U hebt ons verzocht de jaarrekening 2022 van de gemeente Breda te controleren. De jaarstukken bestaan uit meerdere onderdelen, die wij niet allemaal met dezelfde diepgang controleren. Onderstaand hebben wij daarom weergegeven op welke wijze wij de verschillende onderdelen van de jaarstukken in onze controle betrekken.
Normenkader 2022
Bij de uitvoering van de controle kunt u ons specifieke speerpunten meegegeven, waarover u additioneel geïnformeerd wilt worden. Bij de auditcommissievergadering van 15 september 2022 hebben wij afgesproken naast de aandacht voor het verbeterplan Rechtmatigheid geen verdere speerpunten op te nemen. Tevens zullen wij de pilot rechtmatigsheidsverantwoording met Concern Control volgen en onze bevindingen daarbij rapporteren.
Controlefilosofie Controlerisico’s Jaarstukken gemeente Breda
Fraude en niet-naleven Controleaanpak IT-aanpak Overige onderwerpen
Jaarrekening
Jaarverslag
Communicatie Bijlagen
Programmaverantwoording
Paragrafen
Van deze onderdelen van het jaarverslag stellen wij, op basis van onze kennis over de jaarrekening, vast dat deze aansluiten met de jaarrekening
Balans + toelichting
Overzicht van baten en lasten + toelichting
WNT-bijlage
SiSa-bijlage
Bijlage taakvelden
Onze controleverklaring bij de jaarrekening heeft betrekking op deze onderdelen.
9
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen
Materialiteit De reikwijdte van de controle en de materialiteit nader toegelicht
Onze controleaanpak Reikwijdte van de controle Materialiteit
Reikwijdte van de controle Wij hebben de reikwijdte van onze controle zo ontworpen dat een controle van hoge kwaliteit kan worden uitgevoerd met als doel om voldoende en geschikte controle-informatie te verkrijgen ter ondersteuning van ons oordeel.
Fouten
< 1%
< 3%
> 3%
> 10%
Goedkeurend
Beperking
Afkeuring
Afkeuring
Beperking
Oordeelonthouding
Onzekerheden
Goedkeurend
Normenkader 2022 Controlefilosofie Controlerisico’s Fraude en niet-naleven Controleaanpak IT-aanpak Overige onderwerpen Communicatie Bijlagen
Materialiteit is bepaald op €7,2 miljoen De reikwijdte van onze controle wordt beïnvloed door de toepassing van de materialiteit. Wij stellen bepaalde kwantitatieve drempels voor materialiteit vast. Op basis van deze drempels, en vanuit kwalitatieve overwegingen, hebben wij de aard, het tijdschema en de reikwijdte van onze controlewerkzaamheden voor de individuele jaarrekeningposten en toelichtingen in de jaarrekening kunnen vaststellen en het effect van geïdentificeerde onjuistheden op ons oordeel kunnen beoordelen. U bepaalt binnen de wettelijke kaders welke goedkeuringstolerantie wij hanteren. Op grond van het Besluit accountantscontrole decentrale overheden, bedraagt de goedkeuringstolerantie maximaal 1% van de totale lasten (inclusief toevoegingen aan reserves) voor fouten en 3% voor onzekerheden. Als raad kunt u besluiten de accountant te vragen de jaarrekening met een lagere goedkeuringstolerantie te controleren. Dat heeft u niet gedaan. De relatie tussen de goedkeuringstolerantie, eventueel geconstateerde afwijkingen en ons oordeel is hiernaast weergegeven. De toleranties zijn nu in eerste instantie gebaseerd op de programmabegroting 2022. We actualiseren de materialiteit bij aanvang van de eindejaarscontrole om veranderingen in uw gemeente en haar financiële prestaties weer te geven.
Soort tolerantie Goedkeuringstolerantie
€7.200.000 (2021: €6.800.000).
Uitvoeringstolerantie
€5.400.000 (2021: €5.100.000).
Rapporteringstolerantie
€300.000 (2021: €300.000).
Wet Normering Topinkomens (WNT) Single information, Single audit (SiSa)
Herziening van de materialiteit naarmate de controle vordert We evalueren onze beoordeling van de materialiteit het gehele jaar door om veranderingen in uw gemeente en haar financiële prestaties weer te geven.
Controleplan gemeente Breda
Wet Normering Topinkomens
Single information, Single audit (SiSa)
Voor de controle op de bijlage Wet Normering Topinkomens gelden de toleranties zoals jaarlijks gepubliceerd in het controleprotocol WNT op www.topinkomens.nl. De betreffende toleranties variëren van 0 (in geval van wel/niet opnemen functionarissen) tot enkele duizenden euro’s ten aanzien van onjuistheden in de verantwoording.
Via de SiSa-bijlage bij de jaarrekening legt u verantwoording af over van ministeries en provincies ontvangen specifieke uitkeringen. De goedkeurings- en uitvoeringstolerantie zijn gelijk aan die voor de jaarrekening. De rapporteringstolerantie wijkt af van de jaarrekening: • Voor regelingen < €125.000: € 12.500 • Voor regelingen > €125.000 en <€1.000.000: 10% van de omvang basis van de specifieke uitkering • Voor regelingen > €1.000.000: €125.000
10
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave
Het normenkader als meetlat voor de controle
Onze kernboodschappen Onze controleaanpak
In onze controleverklaring geven wij tevens een oordeel over de rechtmatigheid van de jaarrekening. De rechtmatigheid omvat drie aanvullende aspecten:
Reikwijdte van de controle
•
Begrotingsrechtmatigheid: Handelt het college binnen de door u beschikbaar gestelde budgetten en kredieten?
•
Misbruik en oneigenlijk gebruik: Zijn in (de uitvoering van) het beleid voldoende waarborgen opgenomen om misbruik of oneigenlijk gebruik van wet- en regelgeving te voorkomen of tegen te gaan?
Materialiteit Normenkader 2022 Controlefilosofie Controlerisico’s
•
Specifiek ten aanzien het voorwaardencriterium geldt dat u als gemeente voor een deel zelf bepaalt welke wet- en regelgeving betrokken wordt in de controle. Deze wet- en regelgeving wordt vastgelegd in het normenkader. Het college stelt dit normenkader vast en legt dit minimaal ter kennisname voor aan u als raad. Het normenkader voor 2022 wordt in het najaar door de raad vastgesteld. Onderstaand is weergegeven welke keuzes u als gemeente heeft ten aanzien wat wel en wat niet in het normenkader dient te worden opgenomen.
Voorwaardencriterium: Zijn de baten, lasten en balansmutaties in overeenstemming met wet- en regelgeving tot stand gekomen?
Fraude en niet-naleven Controleaanpak
Verplicht onderdeel van het normenkader
IT-aanpak Overige onderwerpen Communicatie
• Europese aanbestedingsrichtlijnen • Staatssteunregels
Optioneel onderdeel van het normenkader
• Aanbestedingswet
• Financiële verordening
• Inkoopbeleid
• Wet maatschappelijke
• Controleverordening
• Overige besluiten
ondersteuning (Wmo)
• Subsidieverordening
NB: het inkoopbeleid van de gemeente Breda maakt
Bijlagen
geen deel uit van het normenkader.
EU-regelgeving
Landelijke / provinciale wet- en regelgeving
Verordeningen/ nota’s vastgesteld door de raad
Collegebesluiten 6
11
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave
Onze controlefilosofie
Onze kernboodschappen Onze controleaanpak Reikwijdte van de controle Materialiteit Normenkader 2022
Onze controleaanpak is, naast het controleren van de jaarrekening, gericht op het verbeteren van uw bedrijfsvoering inclusief digitalisering hiervan. In onze controle hanteren wij daarvoor het ‘three lines’-model. Dit model geeft handvatten om te beoordelen waar in de interne beheersing risico’s worden ondervangen. De verschillende lijnen staan voor de volgende plaats in de interne beheersing:
1e
Controlefilosofie Controlerisico’s Fraude en niet-naleven
IT-aanpak
gemeente
Controleaanpak
Overige onderwerpen
Bijlagen
PwC
Communicatie
lijn
•
de eerste lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar.
•
de tweede lijn: in de ondersteunende processen zoals financiën en control, waar checks and balances ingericht zijn om fouten te signaleren.
•
de derde lijn: in uw verbijzonderde interne controle achteraf.
2e
lijn
3e
lijn
Lijnmanagement
Ondersteuning
Verbijzonderde Interne controle
Afdelingen en teams
Financiën en Administratie
Concerncontrol
• Primair verantwoordelijk voor getrouwheid en rechtmatigheid transacties binnen eigen processen • Verantwoordelijk voor kwalitatieve analyse en toelichting P&C producten • Adviseert (met de VIC) preventieve interne controlemaatregelen in het primaire proces • Geeft feedback om leesbaarheid/ informatiewaarde P&C documenten te verhogen
• Ondersteunt de afdelingen bij de optimalisering van de primaire processen. • De administratie voert bij de verwerking een aantal primaire controles uit op de 1e lijn. • Adviseert preventieve interne controlemaatregelen in het ondersteunende proces en de IT • Geeft adviezen om effectiviteit controlwerkzaamheden te vergroten
• Team Audit voert interne controles uit op de getrouwheid en rechtmatigheid van de financieel kritische prossen • Adviseert over verbetering in de 1e en 2e lijn • Adviseert/klankbord om te komen tot een effectieve en efficiënte controleaanpak • Maakt waar mogelijk gebruik van de werkzaamheden van het team audit
Wij rapporteren via het push-left principe Het push-left principe is er op gericht de interne beheersing in de 1e en 2e lijn te optimaliseren. Dit vanuit het uitgangspunt dat fouten voorkomen beter is dan achteraf constateren. Indien er tekortkomingen zijn in de interne beheersing in de 1e en 2e lijn, dan zullen wij deze daarom rapporteren als bevinding, ook als deze in de 3e lijn met verbijzonderde interne controle ondervangen wordt.
11I
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen
Onze controlefilosofie Vernieuwing in de controle
Onze controleaanpak Reikwijdte van de controle Materialiteit Normenkader 2022
IT audit geïntegreerd in onze controleaanpak
Efficiëntere controle door introductie nieuwe controletechnieken
Wij geloven sterk in de inbreng vanuit verschillende perspectieven. Dat levert een nieuwe kijk op oplossingen. Daarom is IT een belangrijk onderdeel in onze controle. Zoals opgenomen in de boardletter 2021 richten wij ons samen met de ambtelijke organisatie op gebruik van IT in de controleaanpak.
Zowel de gemeente Breda als PwC hebben als doelstelling de jaarrekeningcontrole zo efficiënt en effectief mogelijk in te richten, zodat we naast de controle van de jaarrekening ook andere interessante onderwerpen nader met elkaar kunnen bespreken en onderzoeken. Hierbij hoort ook een moderne controleaanpak door gebruik te maken van bijvoorbeeld data-analyse.
Doorontwikkeling van application controls
Data-analyse geeft de mogelijkheid meer te focussen op uitzonderingen en leemtes in de interne beheersing op te vangen. Daarnaast bevat ons digitale controledossier steeds meer tooling die gebaseerd is op analyse van de cijfers die we daarvoor inlezen in het dossier. Op deze manier kunnen we materiële posten selecteren en bepalen of die significant zijn voor de jaarrekening en ondersteunt het dossier de juiste keuzes voor de controleaanpak.
Controlefilosofie Controlerisico’s Fraude en niet-naleven Controleaanpak IT-aanpak Overige onderwerpen Communicatie Bijlagen
Tijdens de controle krijgen we een goed inzicht in uw processen en uw gegevens. Omdat de gegevens die we gebruiken bij onze controle grotendeels afkomstig zijn van uw systemen, krijgen we inzicht in uw IT-omgeving en relevante IT General Controls (‘ITGC's’). De ITGC's zijn beleidsregels en procedures die worden gebruikt om de IT-omgeving en -activiteiten te beheren en om de voortdurende werking van geautomatiseerde applicatiecontroles en geautomatiseerde (financiële) procedures die afhankelijk zijn van computerprocessen te garanderen. Deze ITGC's worden ook geëvalueerd, aangezien bepaalde controles en rapporten afhankelijk zijn van door het systeem gegenereerde informatie. Tevens zullen wij tijdens het planningsproces en lijncontroles onderzoeken in hoeverre application controls in applicaties kunnen worden gebruikt bij een meer systeemgerichte controle. In de controle van het boekjaar 2022 zullen wij ons richten op mogelijke application controls in het inkoopproces en in het sociaal domein.
Door het inlezen van cijfers, door gebruik te maken van bijvoorbeeld een Alteryx workflow of Halo, kunnen we overzichten makkelijk actualiseren. Graag onderzoeken we komende periode nog een aantal van dit soort initiatieven.
12
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen
Controlerisico’s Overzicht van de significante en overige verhoogde controlerisico’s
Onze controleaanpak Reikwijdte van de controle Materialiteit
Op basis van onze kennis van uw organisatie hebben wij de controlerisico's in kaart gebracht, met als doel controleprocedures te ontwerpen waarmee de mogelijke onjuistheden in de jaarrekening kunnen worden opgespoord.
De frauderisico’s zijn inherente landelijke risico’s. Wij hebben geen indicatie dat dit daadwerkelijk bij Breda speelt. Onderstaande tabel bevat een samenvatting van alle verhoogde risico's.
Normenkader 2022 Controlefilosofie Controlerisico’s Fraude en niet-naleven Controleaanpak IT-aanpak Overige onderwerpen Communicatie Bijlagen
Risiconiveau vorig jaar
Inherente risico
Type risico
Het doorbreken van interne beheersingsmaatregelen door management
Fraude, vanuit beroepsregels verplicht
Normaal
Significant
Normaal
Significant
Frauderisico in de inkomende subsidies (juiste afgrenzing en voldoen aan voorwaarden) en transacties van grond en gebouwen zijn niet gebaseerd op zakelijke transacties
Fraude, vanuit beroepsregels verplicht
Normaal
Significant
Normaal
Significant
Gunning van (Europese) aanbestedingen aan bevriende partijen
Fraude, sectorspecifiek
Normaal
Significant
Normaal
Significant
Aanbestedingen voldoen niet aan EUaanbestedingsrichtlijnen
Sectorspecifiek
Normaal
Significant
Normaal
Significant
Waardering van de grondexploitaties is onjuist
Sectorspecifiek
Normaal
Significant
Normaal
Significant
Sectorspecifiek
Normaal
Significant
Normaal
Significant
Waardering materiële vaste activa portefeuille
Risiconiveau dit jaar
Controleplan gemeente Breda
Het doorbreken van interne beheersingsmaatregelen door management Achtergrond Hoewel het risico van het doorbreken van de interne beheersingsmaatregelen door het management van entiteit tot entiteit zal verschillen, is het risico bij alle organisaties aanwezig en tevens significant, in overeenstemming met ISA 240. Belangrijkste observaties voor dit risico Het risico van het doorbreken van interne beheersingsmaatregelen wordt beïnvloed door: •
Schattingen zoals (debiteuren) voorzieningen, bijzondere waardevermindering.
•
Ongebruikelijke journaalposten;
•
Verschuivingen tussen budgetten of projecten.
Onze controleaanpak Wij zullen voor zover relevant voor onze controle, de opzet en bestaan vaststellen van de beheersingsmaatregelen op organisatieniveau zoals het integriteitsbeleid en de klokkenluidersregeling, alsmede de maatregelen van interne beheersing in de processen voor het genereren en verwerken van journaalposten, aanvragen en declareren van subsidies,
het maken van schattingen, het bewaken van projecten en het doen van aanbestedingen. Ook beoordelen wij de effectieve werking van de interne beheersingsmaatregel met betrekking tot de autorisatie van betalingen Wij voeren gegevensgerichte werkzaamheden uit op journaalposten en boekingen die voldoen aan de risicocriteria die wij identificeren vanuit onze frauderisicoanalyse. Wij identificeren en toetsen deze ongebruikelijke transacties. Wij controleren de juistheid van de journaalposten in het grootboek en andere gemaakte correcties bij het opstellen van de jaarrekening. Dit doen wij onder andere door de toepassing van data-analyse. Daarnaast verrichten wij specifieke controlewerkzaamheden verricht ten aanzien van belangrijke schattingen van het college zoals de waardering van de grondexploitaties, vaste activa en debiteuren en het toereikend zijn van voorzieningen. Tevens voegen wij een element van onvoorspelbaarheid toe aan de controle en controleren wij schattingen op afwijkingen.
Controleplan gemeente Breda
Frauderisico in de inkomende subsidies (juiste afgrenzing en voldoen aan voorwaarden) en transacties van grond en gebouwen zijn niet gebaseerd op zakelijke transacties Achtergrond
Onze controleaanpak
Bij het vaststellen en beoordelen van het risico van materiële onjuistheden als gevolg van fraude is het risico van fraude in de grond- en vastgoed transacties en inkomende subsidies is een verondersteld significant risico (in overeenstemming met controlestandaard ISA 240).
Wij toetsen door middel van een deelwaarneming of de gedeclareerde subsidies worden onderbouwd door subsidieaanvragen en aanvragen tot vaststelling van subsidies die voldoen aan de subsidievoorwaarden.
Belangrijkste observaties voor dit risico Het inherente risico van frauduleuze financiële verslaggeving als gevolg van niet-zakelijke transacties van grond en gebouwen geven aanleiding tot dergelijke risico’s. Het frauderisico in de inkomende subsidies wordt beïnvloed door: • Grote variëteit aan voorwaarden per ontvangen subsidie. • Handmatige journaalposten.
Het risico op omkoping of schijn van afhankelijkheid bij aankopen van grond, grondposities of vastgoed adresseren wij in onze controle door bij aankooptransacties de waarde van grond, grondposities en vastgoed te toetsen aan de waarde volgens taxatierapporten van onafhankelijke taxateurs. Ook gaan wij na of de gemeente transacties is aangegaan met organisaties waarbij de verantwoordelijke wethouders een nevenfunctie hebben.
Controleplan gemeente Breda
Gunning van (Europese) aanbestedingen aan bevriende partijen Achtergrond
Onze controleaanpak
De gemeentesector is aangemerkt als een sector met een verhoogde kans op corruptie/omkoping (al dan niet in combinatie met aanbestedingen). De reden hiervoor is dat er bij gemeenten transacties van relatief grote omvang zijn die veelal tot stand komen met tussenkomst van derden.
Tijdens de controle van de aanbestedingen beoordelen we naast de rechtmatigheid tevens het proces waarin de aanbesteding tot stand is gekomen. Hierbij nemen wij onder andere functiescheidingen en totstandkoming in overeenstemming met het inkoopbeleid in overweging. Wij toetsen hierbij in hoeverre er op marktconforme gronden gehandeld is tijdens het gunningsproces.
Belangrijkste observaties voor dit risico Kans op fouten door corruptie/omkoping is inherent aanwezig. Met name de transacties ten aanzien van aanbestedingen en de verkoop van grondposities zien wij als transacties met een verhoogde kans. Deze transacties zijn veelal omvangrijk, daardoor is een mogelijke fout als gevolg van corruptie/omkoping groot. Daarnaast is het publiciteitsrisico en de gevoeligheid bij afwijkingen groot.
Controleplan gemeente Breda
Aanbestedingen voldoen niet aan EU-aanbestedingsrichtlijnen Achtergrond
Onze controleaanpak
(Europese) aanbestedingen betreft complexe regelgeving. De juiste naleving van de EU-aanbestedingsrichtlijnen wordt achteraf op basis van gegevensgerichte controlewerkzaamheden vastgesteld. Dit heeft zicht geuit in het aangepaste oordeel bij de jaarrekeningcontroles 2020 en 2021. Voor de jaarrekeningcontrole 2022 merken wij het naleven van de EUaanbestedingsrichtlijnen dan ook wederom aan als een significant risico.
We voeren een gegevensgerichte controle uit op de aanbestedingen waarbij we vaststellen dat de juiste aanbestedingsvorm is gekozen. In het bijzonder voeren we aanvullende analyses en controles uit op de volledigheid van het naleven van de EU-aanbestedingsrichtlijnen. De afdeling Concern Control beoordeelt dit ook op basis van een spend-analyse van bestedingen per crediteur over de afgelopen vier jaar.
Belangrijkste observaties voor dit risico De kans op een fout is hoog aangezien de regelgeving specifiek en complex is. Specifiek hebben wij het risico op de naleving van EU-aanbestedingen als significant risico aangemerkt. Dit vanwege de complexiteit, aanzienlijke foutgevoeligheid, de bevindingen in het verleden die doorlopen in het huidige begrotingsjaar en de omvang van aanbestedingen bij Breda. Tevens hebben wij aandacht voor de geïmplementeerde beheersmaatregelen en analyses die bijdragen een de verbetering van het proces.
Daarbij toetsen we ook de naleving van het inkoopbeleid van de gemeente Breda. Eventuele afwijkingen zullen niet in het oordeel voor financiële rechtmatigheid worden meegenomen omdat het inkoop- en aanbestedingsbeleid niet in het normenkader is opgenomen.
Controleplan gemeente Breda
Waardering grondexploitaties is onjuist Achtergrond
Onze controleaanpak
De grondexploitaties zijn een significant onderdeel van de jaarrekening van de gemeente Breda. Daarbij wordt de waardering van de grondexploitaties beïnvloed door een groot aantal schattingselementen, inclusief (mogelijk onzekere) toekomstverwachtingen.
Wij controleren in detail de toelaatbaarheid van de belangrijkste schattingselementen en uitgangspunten gebruikt bij de totstandkoming van de grondexploitatie, bestaande uit:
Belangrijkste observaties voor dit risico Het risico op de waardering van grondexploitaties wordt beïnvloed door: •
Een hoge mate van schattingen ten aanzien van de toekomstige programmering en fasering.
•
Een hoge afhankelijkheid van (toekomstige) externe ontwikkelingen.
•
Een typerend hoge balanspositie die gepaard gaat met grondexploitaties.
•
Ingerekende parameters.
•
Gehanteerde programmering/fasering.
•
Overige schattingselementen, gebruikt bij berekening van de grondexploitaties.
Controleplan gemeente Breda
Waardering materiële vaste activa is onjuist
Achtergrond
Onze controleaanpak
De gemeentesector is aangemerkt als een sector met een verhoogde kans op corruptie/omkoping (al dan niet in combinatie met aanbestedingen). De reden hiervoor is dat er bij gemeenten transacties van relatief grote omvang zijn die veelal tot stand komen met tussenkomst van derden.
Tijdens de controle van de materiële activa portefeuille beoordelen wij gegevensgericht de totstandkoming van de transacties en of deze transacties in overeenstemming zijn met de interne richtlijnen en besluitvorming. Wij toetsen hierbij in hoeverre er op marktconforme gronden gehandeld is tijdens het gunningsproces.
Belangrijkste observaties voor dit risico Kans op fouten door corruptie/omkoping is inherent aanwezig. Met name de transacties ten aanzien van aanbestedingen en de verkoop van grondposities zien wij als transacties met een verhoogde kans. Deze transacties zijn veelal omvangrijk, daardoor is een mogelijke fout als gevolg van corruptie/omkoping groot. Daarnaast is het publiciteitsrisico en de gevoeligheid bij afwijkingen groot.
13
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen
Fraude en het niet-naleven van wet- en regelgeving Het risico van fraude en het niet-naleven van wet- en regelgeving nader uiteengezet
Onze controleaanpak Reikwijdte van de controle Materialiteit Normenkader 2022 Controlefilosofie Controlerisico’s
Ons beeld van uw risicobeoordelings- en -beheersingsproces op het gebied van fraude en het niet-naleven van wet- en regelgeving Allereerst willen wij inzicht krijgen in uw risicobeoordeling en uw proces om de risico's vast te stellen, te beheersen en te communiceren op het gebied van fraude, omkoping, corruptie en niet-naleving van wet- en regelgeving. In dit verband willen wij een robuuste dialoog voeren met de directie, het college van burgemeester en wethouders en de auditcommissie, over uw risicobeoordelings- en -beheersingsproces.
Fraude en niet-naleven Controleaanpak IT-aanpak Overige onderwerpen Communicatie Bijlagen
Onze observaties en risicobeoordeling We willen graag de volgende observaties van uw risicobeoordelings- en beheersingsproces met u delen op het gebied van fraude en het niet-naleven van wet- en regelgeving: De gemeente Breda beschikt over een gedragscode en klokkenluidersregeling. Meldingen die via de klokkenluidersmeldpunten binnenkomen worden onderzocht.
13I
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze controleaanpak Reikwijdte van de controle Materialiteit
Fraude en het niet-naleven van wet- en regelgeving Het risico van fraude en het niet-naleven van wet- en regelgeving nader uiteengezet •
De gemeente Breda beschikt over een informeel proces voor het vaststellen en beoordelen van het risico van fraude, omkoping en corruptie, voor het beheersen van deze risico's, en voor tijdige opvolging van (aanwijzingen voor) fraudegevallen. Uw organisatie is zich bewust van risico’s ten aanzien van fraude en heeft dit bij een aantal processen ook geïntegreerd in de (interne) controles en de afdeling control voert specifieke werkzaamheden uit om medewerkers bewust te maken van frauderisico’s in het inkoopproces. Een frauderisicobeoordeling wordt wel meer geformaliseerd. Wij adviseren u deze te formaliseren.
•
De frauderisicobeoordeling en maatregelen ter voorkoming van mogelijke fraude zijn niet formeel goedgekeurd door de raad, en er vindt nog geen (periodieke) rapportage plaats aan de raad inzake frauderisico’s, tekortkomingen in de controle, (aanwijzingen voor) fraude en follow-up-resultaten van fraudegevallen. Dit is wel een duidelijke doelstelling van de organisatie.
Normenkader 2022 Controlefilosofie Controlerisico’s Controleaanpak Fraude en niet-naleven Controleaanpak IT-aanpak Overige onderwerpen Communicatie Bijlagen
•
De gemeente Breda beschikt niet over een geformaliseerd proces voor het identificeren en bewaken van de wet- en regelgeving die op de organisatie van toepassing is en voor het garanderen van de zekerheid daarvan, voor het beoordelen van het risico van niet-naleving en het beheersen daarvan, en voor de opvolging van (mogelijke) niet-naleving. Naleving van relevante wet- en regelgeving is opgenomen in de verschillende interne controlewerkzaamheden van de organisatie.
Op basis van onze observaties, de besprekingen met u in de planningsfase van onze controle en onze eigen analyse hebben we de significante risico’s geïdentificeerd:
Our thought leadership De bovenstaande rapporten zullen u helpen een beter inzicht te krijgen in het huidige fraudelandschap en de dynamiek van fraude •
Global Economic Crime and Fraud Survey 2022
•
Netherlands Economic Crime Survey 2019
14
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze controleaanpak Reikwijdte van de controle Materialiteit Normenkader 2022 Controlefilosofie Controlerisico’s Fraude en niet-naleven Controleaanpak IT-aanpak Overige onderwerpen Communicatie Bijlagen
Controleaanpak In het hoofdstuk controleaanpak werken we op hoofdlijnen de aanpak uit en geven een overzicht van de financieel kritische processen. Daarnaast geven we inzicht in de samenwerking met de afdeling Concern Control Afhankelijk van de inschatting van de kwaliteit van de interne beheersing of efficiëntie in het controleproces wordt per proces een controleaanpak gekozen. Het heeft de voorkeur om systeemgericht te controleren tenzij de interne beheersing in de processen niet alle risico’s afdekt of de omvang van een proces dermate beperkt is en/of alleen uit een paar grote transacties bestaat waardoor een gegevensgerichte aanpak efficiënter is. De keuze voor een systeemgerichte dan wel gegevensgerichte controle hangt niet alleen af van de mate van ‘in control’ zijn, maar is ook afhankelijk van andere factoren, zoals efficiency, mogelijkheden tot data-analyse, Systeemgerichte controle: Bij een systeemgerichte controle steunt de auditor voornamelijk op de interne beheersingsmaatregelen. Om tot zijn oordeel te komen toetst de auditor de opzet, bestaan en werking van de belangrijke interne beheersingsmaatregelen en vult dit aan met enkele gegevensgerichte werkzaamheden. Gegevensgerichte controle: Bij een gegevensgerichte controle verzamelt de auditor controle-informatie op basis van een combinatie van statistische steekproeven, cijferanalyses en/of deelwaarnemingen.
De specifieke controleaanpak wordt per proces in een werkprogramma uitgewerkt, waarin de geplande werkzaamheden zijn opgenomen inclusief een planning wanneer de organisatie diverse onderbouwingen oplevert aan ons controleteam.
In de controleaanpak voor de gemeente Breda staan de financieel kritieke processen centraal. Het gaat hierbij om de volgende processen: •
Inkopen en aanbesteden
•
Grondexploitatie
•
Sociale uitkeringen
•
WMO
•
Jeugdhulp
•
Verstrekte subsidies
•
Inkomende subsidies
•
Belastingopbrengsten
•
Personeelslasten
•
Parkeeropbrengsten
•
Verhuur panden/Vastgoed
•
Opbrengsten (omgevingsvergunningen, burgerzaken en overige opbrengsten)
•
Treasury
•
ITGC
14I
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave
Controleaanpak
Onze kernboodschappen Onze controleaanpak Reikwijdte van de controle Materialiteit Normenkader 2022 Controlefilosofie Controlerisico’s Fraude en niet-naleven Controleaanpak IT-aanpak Overige onderwerpen Communicatie Bijlagen
Wij hebben de opzet van de interne controlefunctie geëvalueerd door middel van het doornemen van de controleplannen. Op basis hiervan komen we tot de conclusie dat in opzet de kwaliteit, deskundigheid en onafhankelijkheid van afdeling Concern Control van een dermate niveau is, dat PwC ‘gebruik kan maken’ van de werkzaamheden als beheersingsmaatregel binnen de organisatie. Dat betekent dat PwC naast het gebruik maken van de door Concern Control uitgevoerde werkzaamheden, tevens aanvullende eigen waarnemingen zal uitvoeren. De selecties van transacties in het kader van de uit te voeren interne controles zullen altijd vooraf in overleg worden gemaakt. De additionele werkzaamheden zullen wij met name voor processen met een hoog inherent risico uitvoeren. De keuze van controleaanpak (gegevensgericht of systeemgericht) is gebaseerd op de belangrijkste onderdelen van elk proces. Voor de controle kan naast de werkzaamheden van Concern Control ook gebruik worden gemaakt van de voorbereidingen van controledossiers door de primaire afdelingen bij de gemeente. Concern Control zal de balansdossiers dit jaar wederom reviewen voordat deze worden aangeleverd aan PwC.
15
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen
IT-aanpak De impact van IT-risico’s en IT General Controls op onze controleaanpak
Onze controleaanpak Reikwijdte van de controle Materialiteit Normenkader 2022 Controlefilosofie Controlerisico’s Fraude en niet-naleven Controleaanpak IT-aanpak Overige onderwerpen Communicatie Bijlagen
Ons inzicht in uw IT-omgeving Tijdens de controle krijgen we een goed inzicht in uw processen en uw gegevens. Omdat de gegevens die we gebruiken bij onze controle grotendeels afkomstig zijn van uw systemen, krijgen we inzicht in uw IT-omgeving en relevante IT General Controls (‘ITGC's’). De ITGC's zijn beleidsregels en procedures die worden gebruikt om de IT-omgeving en -activiteiten te beheren en om de voortdurende werking van geautomatiseerde applicatiecontroles en geautomatiseerde (financiële) procedures die afhankelijk zijn van computerprocessen te garanderen. Deze ITGC's worden ook geëvalueerd, aangezien bepaalde controles en rapporten afhankelijk zijn van door het systeem gegenereerde informatie. In onze controle noemen we deze IT-afhankelijkheden. Bij het updaten van dit inzicht besteden we bijzondere aandacht aan de inrichting van Key2Finance. De betrouwbaarheid van uw gegevens staat ook centraal in de data-analyse die we uitvoeren tijdens onze controle.
Risk, Compliance and Policy management Strategy, Governance and management Threat intelligence and vulnerability management
Incident and crisis management
Architecture and operations
Identity and access management Information and asset protection
IT Risk Business community
Third Party management
Physical and environmental
15I
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen
IT-aanpak Belangrijke aandachtsgebieden
Onze controleaanpak Reikwijdte van de controle
De belangrijkste aandachtsgebieden in de IT-aanpak
Materialiteit
We hebben de volgende mogelijkheden vastgesteld die kunnen zorgen voor een meer gedigitaliseerde controle:
Normenkader 2022
•
De toepassing van deelmodules van Proactis en mogelijke application controls hierbij
•
Het gebruik maken van mogelijke applicaton controls binnen de applicatie Zorgned
Controlefilosofie Controlerisico’s
Relevante systemen
Fraude en niet-naleven
We beoordelen applicatiesystemen, datawarehouses, rapporten en ondersteunende ITinfrastructuur (database, besturingssysteem en netwerk) die betrokken zijn bij de relevante bedrijfsprocessen, vanaf het begin van een transactie tot de registratie ervan in het grootboek. Dergelijke transacties leiden uiteindelijk tot rapportage in de financiële overzichten, en daarom kunnen een of meer van deze systemen en IT-infrastructuur relevant zijn voor de controle.
Controleaanpak IT-aanpak Overige onderwerpen Communicatie Bijlagen
Nadat we ons begrip van IT hebben afgerond, bepalen we welke van de applicaties die door Breda worden gebruikt, in aanmerking komen voor onze controle van de jaarrekening. Op basis van de uitkomsten van de controle in 2021 verwachten wij voor een deel van de IT-afhankelijkheden voldoende zekerheid te kunnen krijgen door het in werking testen van ITGC’s. Op basis van onze huidige kennis zijn er ten opzichte van vorig jaar geen wijzigingen in onze IT-scope.
15II
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze controleaanpak Reikwijdte van de controle Materialiteit Normenkader 2022 Controlefilosofie Controlerisico’s Fraude en niet-naleven Controleaanpak IT-aanpak
Cyberbeveiliging Nieuwe digitale kwetsbaarheden, veroorzaakt door toenemende digitalisering. Hoe gaat Breda om met het risico van cybercriminaliteit?
Relevante cyber risicofactoren
Het effect van cyberbeveiliging op onze controle Als onderdeel van onze controle, beoordelen we uw aanpak op veelvoorkomende blootstellingsgebieden op het gebied van cyberbeveiliging, zoals hieronder weergegeven. We beoordelen het niveau van activiteiten en beheersingsmaatregelen dat we zouden verwachten bij een met de gemeente Breda vergelijkbare organisatie. Op basis hiervan bepalen we of er risicofactoren zijn die leiden tot een cyberbeveiligingsrisico dat een materiële impact zou kunnen hebben op de financiële overzichten en (indien nodig) plannen wij passende controleprocedures om dit risico af te dekken. Daarnaast bieden we u onze inzichten en feedback in een vergelijking met sectorstandaarden om uw cyberbeveiligingsrisico-aanpak verder te kunnen versterken. Deze aanpak ziet toe op het proces van het identificeren van bedreigingen en risico’s door het implementeren van beheersingsmaatregelen, het detecteren van mogelijke aanvallen en uw vermogen om hierop te reageren en herstelwerkzaamheden uit te voeren.
Minimumniveau van cyberveiligheids beheersing
Cyberbeveiliging als controlerisico
We beoordelen uw reactie aan de hand van het minimale beheersingsniveau dat we zouden verwachten.
We beoordelen of een cyberincident zou kunnen leiden tot een afwijking van materieel belang in de jaarrekening.
Overige onderwerpen
Veelvoorkomende blootstellingsgebieden inzake cyberbeveiliging
Communicatie
Bankoverschrijvingen en wijziging van de leveranciersgegevens: Overboekingen en/of wijzigingen in bankrekeningen (gekraakte communicatie/phishing) door personen die zich voordoen als geautoriseerd leverancierspersoneel, bedrijfsleiders en/of financiële instellingen.
Bijlagen
Inbraakpreventie/detectie en monitoring: Inbraakaanvallen (zoals ransomware), waardoor uw organisatie geen toegang krijgt tot haar kritieke infrastructuur, systemen en/of gegevens. Patchbeheer: Exploitaties van bekende (niet-gepatchte) beveiligingskwetsbaarheden resulterend in de manipulatie/vernietiging van gegevens, waardoor de systeembeschikbaarheid wordt aangetast of de hierboven vermelde blootstellingsgebieden worden geactiveerd. Backup en herstel: Gebrek aan effectieve back-up- en herstelprocedures die leiden tot cyberbeveiligingsincidenten die systemen onbruikbaar en/of niet herstelbaar maken.
16
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze controleaanpak Overige onderwerpen Ontwikkelingen Communicatie Bijlagen
Overige onderwerpen In deze sectie reflecteren we op andere onderwerpen die van invloed kunnen zijn op uw gemeente of de jaarrekening. Daarnaast staan we stil bij de afhankelijkheid van derden.
03
16I
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen
Overige onderwerpen ESG en lokale overheden
Onze controleaanpak Overige onderwerpen Ontwikkelingen Communicatie Bijlagen
Gemeenten en provincies hebben elke dag te maken met de drie ESG-thema’s. Overstromingen door heftige regenval (environmental), het beschermen van de privacy van hun inwoners (social) en een cyberaanval op de IT-infrastructuur (governance): lokale overheden doen al ongelooflijk veel op dit gebied, maar het maken en het samenbrengen van beleid op deze ESG-factoren wordt voor gemeenten en provincies de komende jaren steeds belangrijker. Gemeenten en provincies hebben daarbij een belangrijke rol in het behalen van de door Nederland internationaal afgesproken doelstellingen. De impact van gemeenten en provincies op het realiseren van de klimaatdoelstellingen verdient het om zichtbaar te zijn, zowel qua resultaten als qua kosten en investeringen. Lokale overheden zetten al grote stappen op het gebied van ESG en nu is het tijd voor de volgende stap. Voor lokale overheden is geïntegreerde verantwoording noodzakelijk om alle inspanningen zichtbaar, vergelijkbaar en controleerbaar te maken. Sinds april vorig jaar moeten organisaties en bedrijven volgens de door de Europese Commissie aangenomen richtlijn ‘Corporate Sustainability Reporting Directive’ (CSRD) meer transparantie bieden op het gebied van duurzaamheid. Op den duur moet dit leiden tot regelgeving die duurzaamheidsrapportage op één lijn brengt met financiële rapportage.
De eisen van de Europese Unie met betrekking tot duurzaamheidsverslaggeving zullen worden uitgebreid tot alle grote ondernemingen en beursgenoteerde ondernemingen. Voor lokale
overheden is er nog geen (Europese) rapportagerichtlijn voor klimaat beschikbaar, bijvoorbeeld in het ‘Besluit begroting en verantwoording provincies en gemeenten’ (BBV). Wij gaan met u het gesprek aan hoe u in uw jaarstukken hier meer inzicht in kunt geven en welke stappen u daarin kunt zetten. Wij denken aan de volgende lijnen. Adviezen inzake duurzaamheidsverslaggeving voor lokale overheden 1. Breng focus aan in de klimaat- en duurzaamheiddoelstellingen waarop u wilt sturen, meten en controleren in de komende raadsperiode. 2. Zorg vervolgens voor een centrale plek in de Planning & Control-producten voor duurzaamheid en klimaat. Wij zien nu een enorme verwevenheid in de verschillende programma’s met de ESG-doelstellingen. Breng hierbij de klimaat en duurzaamheidsdoelstellingen uit de verschillende programma’s bij elkaar. Bijvoorbeeld in een specifieke paragraaf. 3. Maak investeringen die gekoppeld zijn aan de ESG-doelstellingen apart zichtbaar om deze ook in de realisatie van de beleidsdoelstellingen mee te nemen.
17
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave
Ontwikkelingen
Onze kernboodschappen Onze controleaanpak Overige onderwerpen Ontwikkelingen Communicatie Bijlagen
Bredere risico-inschatting met herziene controlestandaard ISA 315 Als onderdeel van onze op risico's gebaseerde controle richten wij ons op de gebieden met het grootste risico op afwijkingen van materieel belang. Als reactie op een evoluerende en steeds complexere omgeving die uw gemeente beïnvloedt, zullen we onze aandacht en inspanning vergroten om uw organisatie en het risico-identificatie- en beoordelingsproces te begrijpen. Dit sluit aan bij de doelstelling van de herziene controlestandaard 315, die vanaf dit jaar van kracht wordt. De standaard richt zich op ‘het identificeren van risico’s van een materieel belang door inzicht te verwerven in de entiteit en haar omgeving’. We besteden meer aandacht aan een bredere risicoanalyse om beter op risico’s te kunnen inspelen. Verder is nader geduid ‘wat’ maar ook ‘hoe’ en ‘wanneer’ deze begripsvorming en risico-inschatting dient plaats te vinden. Dit uit zich bijvoorbeeld in de bredere afweging ten aanzien van klimaat-gerelateerde risico’s maar ook in de andere meer reguliere processen zoals de IT-beheersing en onderlinge afhankelijkheden binnen de processen. We verwachten hierbij aan te kunnen sluiten bij procesbeschrijvingen en risicoinschattingen van de gemeente Breda
Pilot wijzigingen in de controleverklaring van accountants ten aanzien van fraude en continuïteit wordt doorgezet Op 8 december 2021 heeft de Koninklijke Nederlandse Beroepsorganisatie van Accountants (NBA) besloten dat accountants voor jaarrekeningcontroles die vallen binnen het domein van de Wet toezicht accountantsorganisaties (Wta) vanaf het boekjaar 2022 uitgebreider moeten rapporteren over fraude en continuïteit in de controleverklaring. Deze wijzigingen zullen van invloed zijn op de controleverklaring die wij vanaf 2022 verstrekken. Dit ligt in lijn met de pilot die we voor de gemeente Breda reeds in 2020 en 2021 hebben toegepast. Ten aanzien van fraude rapporteren wij op basis van de aangepaste standaard over de risico-inschatting, verrichte werkzaamheden en materiële bevindingen ten aanzien van fraude. De volgende onderdelen komen aan bod: •
de implementatie van een gedragscode met ethische gedragsregels voor het creëren van een cultuur van eerlijkheid;
•
de door het management uitgevoerde frauderisicoanalyse;
•
de maatregelen van interne beheersing die getroffen zijn om specifieke frauderisico’s te mitigeren;
•
de wijze waarop het management opvolging geeft aan meldingen van klokkenluiders of andere signalen van fraude;
•
het opstellen van een redresplan en uitvoeren en monitoren van de acties.
Rechtmatigheidsverantwoording uitgesteld tot 2023 De rechtmatigheidsverantwoording is wederom een jaar uitgesteld. Dit betekent dat het college naar verwachting vanaf het boekjaar 2023 zelf verantwoording over de rechtmatigheid zal moeten afleggen, als onderdeel van de jaarrekening. Ondanks het uitstel zien we dat de gemeente Breda de ingezette weg uit 2021 wil doorzetten en daarmee ook wil doorpakken in een proef rechtmatigheidsverantwoording in 2022. Dit zien wij als een goede aanpak.
18
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze controleaanpak Overige onderwerpen Communicatie Ons team Controleplanning Bijlagen
Communicatie In deze sectie belichten we onze samenwerking, ons team en de planning van de werkzaamheden.
04
19
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen
Ons team Een betrokken en ervaren controleteam
Onze controleaanpak Overige onderwerpen Communicatie Ons team Controleplanning Bijlagen
Ons team is vastbesloten om altijd voor u beschikbaar te zijn. In de figuur hiernaast vermelden we de belangrijkste leden van ons ervaren controleteam met hun contactgegevens, zodat u ze op elk moment kunt bereiken. Uw feedback vertalen in verbeteracties Een open en eerlijke evaluatie is belangrijk voor de optimalisatie van de dienstverlening die wij bieden, en dat is ook belangrijk voor u. Via een evaluatiegesprek met uw ambtelijke organisatie hebben wij u gevraagd naar uw ervaringen en uw suggesties voor verbetering. We hechten veel waarde aan het continueren van onze open communicatie met u en vertalen uw feedback in verbeterpunten en relevante acties. Wij maken gebruik van experts Bepaalde gebieden vragen mogelijk om aanvullende expertise vereist die verder gaat dan de traditionele controlemiddelen. Gedurende de controle maken we gebruik van onze experts om de belangrijkste gebieden van uw bedrijfsrisico's te evalueren, zoals pensioenen, financiële instrumenten, WNT, SiSa en Sociale zaken. Deze specialisten zorgen ervoor dat we over de juiste middelen beschikken om onze controledoelstellingen te realiseren. Op basis van hun bestpracticekennis zal ons team standpunten geven met betrekking tot de organisatie, de industrie en naleving van de regelgeving.
Anton Eelco Gerritsma Senior director +31 6 53 38 89 20 Anton.eelco.gerritsma @pwc.com
Elke van Lankveld Manager +31 6 20 49 72 47 Elke.Van.Lankveld@ pwc.com
Annemarie Kros Director +31 6 10 81 91 03 Annemarie.kros@pwc. com
Een toegewijd team
Frank Versleijen Director IT Audit +31 6 20321204 frank.versleijen@pwc. com
Jeroen Pouw Senior Associate +31 6 22 59 67 45 Jeroen.pouw@pwc.c om
20
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen
Controleplanning Een overzichtelijk controleproces
Onze controleaanpak Overige onderwerpen Communicatie Ons team
We faseren onze controle zo gelijkmatig mogelijk gedurende het jaar en besteden veel tijd aan het begrijpen van wijzigingen in de controleomgeving, het testen van tussentijdse saldi en het bespreken van mogelijke transacties en accounting kwesties. Ons doel is om tijdig (complexe) accountingonderwerpen te bespreken, te testen en op te lossen wanneer deze zich voordoen en ruim voor het einde van het jaar. In onderstaande tabel is de planning voor de audit 2022 gevisualiseerd.
Controleplanning Bijlagen
Juli - September
September - Oktober
Planningsfase
Controle opzet processen
• Bespreken controleplan • Kennis nemen ontwikkelingen gemeente • Opzetten en bespreken risicoanalyse • Controleplanning opstellen • Afspraken met organisatie maken over planning en oplevering • Opzet algemene IT-beheersing beoordelen
• Bespreken opzet financiële processen • Vaststellen of processen in de praktijk ook bestaan zoals ze beschreven zijn
Opdrachtbevestiging raad
Managementletter college
Controleplan raad
Managementmeeting organisatie
Oktober- December
Februari - mei
Controle werking processen • Vaststellen of processen in de praktijk ook werken zoals ze beschreven zijn • Gegevensgerichte controles op de processen t/m 30/9: • Met de organisatie op te leveren specificaties jaarrekeningcontrole bespreken
• Uitvoeren/bespreken jaarrekeningcontrole • Controle van derden ontvangen verantwoordingen • Gegevensgerichte controle op de processen t/m 31/12:
Boardletter raad
Accountantsverslag raad Controleverklaring raad
20I
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen
Onze samenwerking tijdens de controle Een overzichtelijk controleproces en een constructieve samenwerking
Onze controleaanpak Overige onderwerpen Communicatie Ons team Controleplanning Bijlagen
De controle van de jaarrekening van de gemeente Breda vereist voldoende tijd en aandacht van de teamleden van het juiste niveau voor inhoudelijke werkzaamheden, beoordeling en begeleiding. In overeenstemming met de maatregelen die zijn voorgeschreven in het rapport ‘In het publiek belang’, geven wij hieronder een samenvatting van aantal uren dat PwC Nederland verwacht te besteden aan de controle over 2022. De te verlenen diensten op het gebied van controle- en geïntegreerde verslaggeving in 2022 Als onderdeel van onze controle inzake de jaarrekeningcontrole 2022 van de gemeente Breda voeren wij ons controleplan uit zoals samengevat in dit document. Wij verstrekken de volgende rapportages: •
Managementletter en boardletter;
•
Accountantsverslag per jaareinde, met een samenvatting van de bevindingen van de controle;
•
Controleverklaring over de jaarrekening 2022.
Onze geplande uren en gestelde voorwaarden/aannames In de bepaling van het honoraria gaan wij ervan uit dat de reikwijdte van onze controle niet verder wordt gewijzigd en dat de raad de vereiste informatie zal verstrekken en ons toegang verleent tot relevante medewerkers in overeenstemming met onze verwachtingen en afgestemde planning. Onze geplande uren zijn gebaseerd op in één keer goed (‘firsttime-right’) en tijdige aanlevering van de verzochte documenten. Alle werkzaamheden met betrekking tot speciale of specifieke projecten worden afzonderlijk in rekening gebracht. Wij maken gebruik van een webportal (Connect) voor het aanvragen en ontvangen van te verlenen diensten. In onze budgetbrief zullen wij de totaal geplande uren in relatie tot het honorarium uitwerken.
21
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze controleaanpak Overige onderwerpen Communicatie Bijlagen Vereiste communicatie Verantwoordelijkheden Onze 'audit tools' Afhankelijkheid van derden
Bijlagen In deze sectie hebben we de bijlagen opgenomen waaronder de vereiste communicatie, en de verantwoordelijkheden van het college, de raad en ons als externe accountant. Tot slot staan we stil bij de ‘audit tools’ die we inzetten gedurende de controle van de gemeente Breda.
05
22
Controleplan gemeente Breda
Begeleidende brief Inhoudsopgave Onze kernboodschappen Onze controleaanpak Overige onderwerpen Communicatie Bijlagen Vereiste communicatie Verantwoordelijkheden Onze 'audit tools' Afhankelijkheid van derden
Door controlestandaarden vereiste communicatie Als PwC vinden wij het van belang om u te laten zien op welke wijze wij de belangrijkste voorwaarden en aandachtspunten van de controle aan u rapporteren. Deze hebben we opgenomen in onderstaande tabel. Vereiste communicatie grond van controlestandaarden
Controleplan
Rapportage interimbevindingen en boardletter
Accountantsverslag
Mededeling over de verantwoordelijkheden van de accountant.
Bevestiging van de onafhankelijkheid van PwC
Kernpunten van de controle
Eventuele significante tekortkomingen in de interne controle