Document · PDF

2024.12.04 Bijlage 1 Rapportage interim-bevindingen Breda 2024

gemeenteraad 4 december 2024, gemeente BredaBij agendapunt: Rapport tussentijdse bevindingen PwC11.104 woorden

Open het PDF bij iBabs ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 2

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader Vooruitkijkend Bijlagen

Rapportage interim-bevindingen Controle 2024

Gemeente Breda PricewaterhouseCoopers Accountants N.V. 4 december 2024

Bron: https://seebreda.nl/blog-breda/spanjaardsgat/

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen

Inleiding

Vooruitkijkend

Gemeente Breda T.a.v. de gemeenteraad en het college van burgemeester en wethouders Postbus 90156 4800 RH Breda

Bijlagen

4 december 2024

Controlekader

Geachte leden van de raad en het college, Graag presenteren we u hierbij onze tussentijdse bevindingen die voortkomen uit de controle van de jaarrekening van gemeente Breda over het boekjaar dat eindigt op 31 december 2024. We hebben onze werkzaamheden uitgevoerd in overeenstemming met ons controleplan 2024.

We bespreken de inhoud van dit verslag graag tijdens de vergadering met de auditcommissie op 4 december 2024. Mocht u nog vragen hebben, aarzelt u dan niet om contact met ons op te nemen. Wij zijn uiteraard graag bereid om de inhoud van deze rapportage nader toe te lichten.

Dit rapport is gebaseerd op onze werkzaamheden tot en met oktober 2024. Indien er na deze datum nieuwe bevindingen zijn met betrekking tot de interne beheersing, dan zullen wij dit met u delen in ons accountantsverslag.

Hoogachtend, PricewaterhouseCoopers Accountants N.V.

Het rapport bestaat uit drie delen. In deel 1 geven wij een overzicht van onze kernboodschappen. Deel 2 beschrijft diverse aspecten gerelateerd aan de interne beheersing. Deel 3 beschrijft de relevante ontwikkelingen voor uw gemeente en uw status van voorbereiding op deze ontwikkelingen.

drs. T.A.G. van Boxtel RA senior director

PricewaterhouseCoopers Accountants N.V., Lage Mosten 59, 4822 NK Breda, Postbus 1042, 4801 BA Breda T: 088 792 00 76, F: 088 792 95 17, www.pwc.nl PwC’ is het merk waaronder PricewaterhouseCoopers Accountants N.V. (KvK 34180285), PricewaterhouseCoopers Belastingadviseurs N.V. (KvK 34180284), PricewaterhouseCoopers Advisory N.V. (KvK 34180287), PricewaterhouseCoopers Compliance Services B.V. (KvK 51414406), PricewaterhouseCoopers Pensions, Actuarial & Insurance Services B.V. (KvK 54226368), PricewaterhouseCoopers B.V. (KvK 34180289) en andere vennootschappen handelen en diensten verlenen. Op www.pwc.nl treft u meer informatie over deze vennootschappen, waaronder deze algemene (inkoop) voorwaarden die ook zijn gedeponeerd bij de Kamer van Koophandel te Amsterdam.

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader Vooruitkijkend Bijlagen

Inhoudsopgave Inleiding

Detailbevindingen

Inhoudsopgave

Informatief

Onze kernboodschappen

Onze communicatie

Controlekader

Controleomgeving

Interne beheersing

Inkopen en aanbestedingen

Inkomende subsidies

Diverse ontwikkelingen

IT-risico's en beheersing

Cybersecurity

Fraude en wet- en regelgeving

Vooruitkijkend

Digitaliseren en innoveren

Financiële positie

Het controleproces

Generative AI

Bijlagen

Rapportage interim-bevindingen – Gemeente Breda

Inleiding

Onze kernboodschappen

Inhoudsopgave Onze kernboodschappen

•

Controleomgeving en controlekader

•

Controlekader Vooruitkijkend

Geen wijzigingen ten opzichte van het controleplan

•

Bijlagen •

•

De controleomgeving van gemeente Breda krijgt voldoende aandacht en vormt een solide basis voor de interne beheersing.

Bevindingen en observaties

De gemeente kent hoge ambities en stevige uitdagingen die het nodige vergen van de organisatie om uiteindelijk meer ‘in control te komen’, waardoor prioritering van belang is. Volwassenheidsniveau in de diverse processen veschilt. Een uitwerking van het drielijnenmodel per proces kan helpen bij rolduidelijkheid. Tevens is het creëren van bewustzijn ten aanzien van het belang van interne controle en verantwoording in het primaire proces van belang. De eerste auditrapportage 2024 van Team Audit geeft goed inzicht in de huidige stand van zaken en aandachtsgebieden voor de organisatie.

Controleomgeving en controlekader

Ontwikkelingen

Wijzigingen in controleplan

Bevindingen en observaties

Controle gemeente Breda

•

Voornamelijk gegevensgerichte audit in lijn met controleplan.

•

Het proces omtrent inkomende subsidies verdient verdere aandacht. Er is reeds een coördinator aangesteld om meer grip te krijgen op het proces. Het is echter noodzakelijk om concrete acties te formuleren en op korte termijn actie te ondernemen.

•

Het is van belang om lering te trekking uit de (data)migratie van ADP naar AFAS met het oog op toekomstige (data)migraties van kernsystemen, zoals het nieuwe financiële systeem.

•

Gebrek aan identificatie van digitale kroonjuwelen (meest waardevolle en kritieke informatie of systemen van gemeente Breda die beschermd moeten worden tegen cyberdreigingen) en grote hoeveelheid schaduw-IT maken gemeente Breda kwetsbaar op het gebied van cybersecurity.

•

Uit onze eerste gegevensgerichte werkzaamheden zijn nog geen bijzonderheden naar voren gekomen.

Ontwikkelingen

• •

•

Door middel van het organisatieontwikkelprogramma (FIT) zet gemeente Breda continue stappen naar een meer volwassen organisatie. Gemeente Breda zet diverse stappen ter ontwikkeling van de interne beheersing. Voorbeelden zijn het interne onderzoek naar risicomanagement en de “In Control-rapportages”. Dit biedt aanknopingspunten voor een verdere professionalisering. In de werkzaamheden tot deze rapportage zijn geen aanwijzingen van (materiële) fraude onder onze aandacht gekomen. Er is een verdiepende frauderisicoanalyse opgesteld, wat inzicht geeft in eventuele frauderisico’s en de werkzaamheden die kunnen worden uitgevoerd om dit risico te mitigeren.

Onze observaties leiden niet tot wijzigingen in de controleaanpak ten opzichte van het controleplan.

Onze samenwerking

Vooruitkijkend

•

Om verder te digitaliseren en innoveren is verhoging van de datakwaliteit vanuit het primaire proces noodzakelijk. Een voorbeeld hiervan hebben we geconstateerd in het proces omtrent inkopen en aanbestedingen.

•

Handreiking van de Coalition of the Willing als richtlijn voor duurzaamheidsrapportage gepubliceerd.

Wij ervaren een goede samenwerking

•

We hebben een fijne samenwerking ervaren met de organisatie. Communicatie is helder, lijntjes zijn kort en bijzonderheden worden tijdig vanuit beide kanten aangedragen ter bespreking. De eerste afspraken zijn gemaakt ten aanzien van de uitvoering van de jaareindecontrole. Verder streven we naar tijdige en informatieve afstemming van de (jaar)agenda van de auditcommissie om het bestuurlijk proces en ieders rol hierin te optimaliseren.

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader Controleomgeving Interne beheersing Inkopen en aanbestedingen Inkomende subsidies Diverse ontwikkelingen IT-risico's en beheersing Cybersecurity Fraude en wet- en regelgeving Vooruitkijkend Bijlagen

Controlekader Dit hoofdstuk is bedoeld om u inzicht te geven in de controleomgeving inclusief de maatregelen ter voorkoming van fraude. Daarnaast reflecteren we in dit hoofdstuk op de status van de interne beheersing, inclusief de beheersing van de ITomgeving.

Rapportage interim-bevindingen – Gemeente Breda

Controleomgeving Uw interne beheersing krijgt de juiste aandacht en vormt de solide basis, maar met de hoge ambities is prioritering belangrijk Grote ambities en opgaven op korte termijn bij gemeente Breda Gemeente Breda heeft hoge ambities voor de stad opgenomen in het bestuursakkoord en de begroting. Hierin vallen onder andere de stadsontwikkelingen, die in de komende jaren gerealiseerd gaan worden (zoals ‘t Zoet). Middels het programma FIT is ook aandacht voor het verder ontwikkelen van de organisatie. Dit alles zorgt voor stevige uitdagingen die het nodige vergen van de organisatie om uiteindelijk meer ‘in control te komen’. We zien dat gemeente Breda de juiste stappen neemt en focus aanbrengt waar nodig, maar tegelijkertijd zien we ook dat het juist prioriteren in de toekomst van groot belang blijft met de hoge ambities. Daarnaast vragen wij aandacht voor de soft controls binnen de gemeente als onderdeel van de interne beheersing. Gemeente Breda heeft cultuur en gedrag ingebed in het programma FIT als onderdeel van het fundament. Verantwoordelijkheden van het college en de raad, en de paragraaf bedrijfsvoering ter verantwoording en sturing Graag wijzen wij u in onze rapportage op de verantwoordelijkheden van het college en de raad ten aanzien van de interne beheersing, wat het uitgangspunt vormt voor onze aanbevelingen en adviezen.

Het college is verantwoordelijk voor het inrichten van een interne controleomgeving die het mogelijk maakt een jaarrekening op te stellen die geen afwijkingen van materieel belang bevat door fraude of fouten. Sturen en beheersen van de bedrijfsprocessen zijn daarbij de primaire verantwoordelijkheid van het college. De raad moet zich een oordeel kunnen vormen over de inrichting en het functioneren van de bedrijfsvoering in de zin dat deze doeltreffend en doelmatig is ingericht. Een paragraaf bedrijfsvoering op voldoende kwalitatief en kwantitatief niveau is

daarbij essentieel. Het college stelt ten minste een keer per jaar in de paragraaf bedrijfsvoering de raad op de hoogte van de hoofdlijnen van het strategische beleid, de algemene en financiële risico's en het beheersings- en controlesysteem van de gemeente. In deze paragraaf moet het college ook specifiek ingaan op de afwijkingen die zijn geconstateerd in de rechtmatigheidsverantwoording. Het is van belang dat de raad kennisneemt van de paragraaf om zodoende de daarin opgenomen gemeente specifieke aandachtspunten mee te nemen in de kaderstellende en controlerende activiteiten. De raad en het college hebben de volgende verantwoordelijkheden: •

Kaderstellen: de raad is verantwoordelijk voor het vaststellen van de doelstellingen en kaders in de vorm van beleid, begroting en verordeningen. Het college voert het beleid uit binnen de kaders die de raad heeft gesteld;

•

Controleren: de raad ziet ook toe op de uitvoering door het college. Zijn de kaders gevolgd, welke resultaten zijn bereikt en wat zijn de financiële resultaten? Dit gebeurt niet alleen via de begroting en jaarverslag. De paragraaf bedrijfsvoering informeert raadsleden over de realisatie van beleidsdoelstellingen die door de raad zijn vastgesteld bij begroting. Dit is een onderdeel van hun controlerende rol.

De elementen van de controleomgeving vormen een solide basis Onze conclusie is dat de elementen van de controleomgeving gezamenlijk een solide basis. Hiermee concluderen we dat de controleomgeving en de interne beheersing van voldoende niveau is om te komen tot een betrouwbare jaarrekening, inclusief de toelichting over rechtmatigheid. In de paragraaf over Interne beheersing gaan wij in op de mogelijke verbeterpunten.

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader Controleomgeving Interne beheersing

Onze observaties van uw controleomgeving De controleomgeving vormt de basis voor een goede opzet van de processen en de effectieve werking hiervan. Hieronder hebben we uw interne controleomgeving geëvalueerd per onderdeel van de interne beheersing en geven wij u onze aanbevelingen. Onze conclusie is dat de elementen van de controleomgeving gezamenlijk een juiste basis vormen voor de andere onderdelen van de interne controle. 3. Controleactiviteiten 1. Controleomgeving •

Inkopen en aanbestedingen Inkomende subsidies

•

Raad oefent toezichtstaken uit door mee te kijken bij diverse relevante thema’s, zoals het bepalen van concrete indicatoren om beleid te meten, en de ontwikkelingen rondom risicobeheersing en klimaatdoelstellingen.

•

Gemeentesecretaris stelt structuur, autoriteit en verantwoordelijkheid vast middels het invoeren van het programma FIT.

Diverse ontwikkelingen IT-risico's en beheersing Cybersecurity Fraude en wet- en regelgeving

2. Risicobeoordeling •

Vooruitkijkend Bijlagen

Het college toont een streven naar integriteit en ethische waarden, de verdere verdieping in het organisatieontwikkelprogramma (FIT) werkt dit streven operationeel uit.

•

Gemeente Breda heeft recent een actualisatie van de frauderisicoanalyse doorgevoerd, waarin de belangrijkste frauderisico’s voor de gemeente worden onderkend. Significante wijzigingen in de IT-omgeving, zoals de vervanging van het salarissysteem in 2024 en de vervanging van de financiële administratie brengen nieuwe risico’s met zich mee. En de uitwerking van kroonjuwelen is nog niet afgerond om risico’s ten aanzien van cybersecurity inzichtelijk te maken.

•

Breda werkt met "In Control-rapportages" per afdeling waarin de interne beheersing en voortgang daarbij wordt geëvalueerd. Deze rapportages worden tweemaal per jaar opgesteld en besproken met de directie.

•

Een verdere uitwerking van het drielijnemodel zorgt voor meer duidelijkheid ten aanzien van rollen en verantwoordelijkheden. Wij vragen hier dan ook de aandacht voor.

•

Team Audit, als derde lijn, heeft haar bevoegdheden en verantwoordelijkheden uitgewerkt in een vastgestelde Auditcharter. Dit draagt bij aan het verhogen van de kwaliteit van het uitvoeren van een onafhankelijke interne controle.

Activiteiten, rapportage en naleving

1. Controleomgeving 2. Risicobeoordeling 3. Controleactiviteiten

4. Informatie en communicatie •

4. Informatie en communicatie 5. Monitoringactiviteiten

•

Uitwerking van de processen,inclusief de daarbij horende risico’s en interne beheersmaatregelen. is een verantwoordelijkheid van de eerste en tweede lijn.

•

Breda laat zelf momenteel een doelmatigheidsonderzoek uitvoeren ten aanzien van risicomanagement met als doel om te evalueren of de mate van de huidige inrichting van het risicomanagement binnen de gemeente voldoet om in control te zijn in realisatie van de gemeentelijke doelen.

Breda heeft de ambitie om de FP&C-cyclus ‘toekomst proof" te maken. Er wordt gewerkt aan een ontwerp van de ontbrekende informatievoorziening binnen de P&Ccyclus om tot actiepunten te komen over de systematiek en aanvullende producten die benodigd gaan zijn. De organisatie toont hiermee een pro-actieve houding. Het is aan te bevelen om ook ambities omtrent gebruik van AI en datagedreven werken hierin op te nemen.

5. Monitoringactiviteiten •

Binnen de organisatie is meer en meer aandacht voor het gebruik van dashboarding om processen te monitoren. Ook team Audit maakt hier gebruik van en voert afzonderlijke evaluaties uit voor een grote diversiteit aan onderwerpen.

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave

Controlekader Controleomgeving Interne beheersing Inkopen en aanbestedingen Inkomende subsidies Diverse ontwikkelingen

Cybersecurity Fraude en wet- en regelgeving Vooruitkijkend

In de controlewerkzaamheden tot en met oktober 2024 hebben we inzicht verkregen in de processen van gemeente Breda, risicoinschattingswerkzaamheden uitgevoerd en voor diverse processen interimcontroles uitgevoerd. Deze werkzaamheden zien toe op onder andere toe op inkopen en aanbesteden, verstrekte subsidies, betalingsorganisatie, salarissen, grondexploitaties en inkomende subsidies. De bevindingen in deze processen hebben wij gerapporteerd in de bijlagen. Zo zien we onder andere dat binnen het Sociaal Domein diverse stappen zijn gezet ter verbetering van de interne beheersing. Zo is er onder andere middels een toezichtsteam geinvesteerd in verdere kwaliteitsborging, uitvoeren van aanvullende onderzoeken en monitoring. Voor monitoring wordt ook gebruik gemaakt van diverse PowerBI-dashboards, niet alleen in het sociaal domein maar in de brede interne beheersing. We zien dit als een positieve ontwikkeling, maar vragen aandacht voor het verhogen van de datakwaliteit om het verder datagestuurd werken mogelijk te maken. Op basis van de geconstateerde bevindingen voeren we een voornamelijk gegevensgerichte controle uit, in lijn met voorgaand jaar en in lijn met het controleplan 2024. Hierbij maken we zo veel mogelijk gebruik van de werkzaamheden van Team Audit. Beluister de PwC Podcast uit de serie ‘Breed perspectief op lokale overheden’ voor het belang van de interne beheersing.

SOCIAAL

Bijlagen

De gerapporteerde informatie over de controleomgeving en interne beheersing is gebaseerd op onze controlewerkzaamheden tot en met oktober 2024. Als we in de komende maanden of tijdens de jaarrekeningcontrole nieuwe bevindingen hebben, zullen we deze rapporteren in ons accountantsverslag.

FYSIEK

IT-risico's en beheersing

Onze observaties op de interne beheersing op procesniveau

Proces

BEDRIJFSVOERING

Onze kernboodschappen

Interne beheersing krijgt voldoende aandacht

1/2e lijn

3e lijn

Inkopen en aanbesteden





Inhuur









Inkomende subsidies





Treasury



IT(GC)



Leges





Belastingopbrengsten





Verstrekte subsidies





Grondexploitatie



Opbrengsten vastgoedbeheer/ verhuur





Parkeeropbrengsten



Omgevingsvergunningen





Jeugd





Wmo





Participatie





Opbrengsten Werk



T.o.v. 2023

Legenda  In opzet ontoereikend  In opzet toereikend, maar één of meer beheersmaatregelen bestaan in de praktijk niet  Proces is adequaat opgezet en beheersmaatregelen bestaan Het proces verdient prioritering om verbetering mogelijk te maken in de interne beheersing

Rapportage interim-bevindingen – Gemeente Breda

Interne beheersing krijgt voldoende aandacht De interne beheersing is toereikend voor onderbouwing van de jaarrekening en de rechtmatigheidsverantwoording Aandacht voor interne beheersing middels organisatieontwikkeling De organisatie is in beweging en mede middels het programma FIT (flexibel, integraal en toekomstgericht) krijgt de organisatieontwikkeling voldoende aandacht en focus op zowel directieniveau als organisatiebreed. Dit heeft al geleid tot meer volwassenheid in diverse processen, maar tegelijkertijd zien we nog grote verschillen hierin tussen de processen. Graag vragen we dan ook aandacht hiervoor en we bevelen aan om het belang van interne beheersing te blijven benadrukken in de gehele organisatie. We zien dat het programma FIT hiervoor een goed middel is. We benadrukken ook het belang van het culturele aspect in dit ontwikkelprogramma. Controlewerkzaamheden Team Audit zijn sluitstuk in interne beheersing en verdere professionalisering vindt plaats Team Audit vervult de derde lijn van de organisatie en vormt een belangrijke basis voor de rechtmatigheidsverantwoording van de gemeente Breda. Team Audit voert ieder jaar procesbesprekingen en daarbij behorende lijncontroles uit om deze vervolgens up to date te verwerken in de Audit Management Software.

Het is van belang dat alle processen en bijbehorende risico’s en eventuele interne beheersingsmaatregelen jaarlijks worden geëvalueerd en aangepast waar nodig naar de nieuwe situatie. Tijdens onze controlewerkzaamheden blijkt dat nog niet voor alle processen is gedaan gedurende 2024. We bevelen aan het proces gezamenlijk met de eerste en tweede lijn, met inbegrip van de risico’s en interne beheersingsmaatregelen minimaal jaarlijks te actualiseren. Hierbij helpt het tevens als, als onderdeel van de procesbeschrijving, een uitwerking wordt opgenomen van de inrichting van het drielijnenmodel, zodat de rollen en verantwoordelijkheden duidelijk blijven.

We zien dat de derde lijn, zoals ook in afgelopen jaren geconstateerd, nog echt als sluitstuk van de interne beheersing dient. Interne beheersmaatregelen die niet, of niet voldoende worden uitgevoerd in de eerste of tweede lijn worden uiteindelijk opgepakt in de derde lijn. Om verder in control te komen is een verder professionalisering van Team Audit opgezet, onder andere door de uitvoering van een kwaliteitstoets ten aanzien van IIA. De aanbevelingen uit deze kwaliteitstoets zullen aanknopingspunten bieden voor verdere verbetering en prioritering. Een van de punten die reeds hieruit is opgepakt, is het opzetten van een kwaliteitshandboek en auditcharter waarin duidelijk de rollen en verantwoordelijkheden zijn opgenomen. Ook de uitbereiding van het team Audit zorgt voor verdere professionalisering, bijvoorbeeld door toevoeging van een IT auditor. Belangrijke stappen die nog gezet moeten worden zien met name toe op de (consistente) vastlegging van de uitgevoerde werkzaamheden. Hierin worden stappen gezet o.a. middels het AMS-systeem. Vervanging van key-systemen in de interne beheersing als kans, maar brengt ook risico’s met zich mee Als impuls voor de kwaliteit van de interne beheersing kan ook de vervanging van key applicaties gebruikt worden.

Tegelijk zien we dat een dergelijke migratie ook risico’s en extra inspanningen binnen de organisatie en Team Audit met zich meebrengt. Zo heeft in 2024 de migratie plaatsgevonden van het salarissysteem ADP naar AFAS en is de organisatie momenteel druk met de aanbesteding omtrent het financiële pakket.

Rapportage interim-bevindingen – Gemeente Breda

Inkopen en aanbestedingen

Een proces dat continue verbetering kent en aandacht behoeft voor verdere doorontwikkeling Verbeterslagen in de organisatie

Gebruik van het contractenregister optimaliseren

Gemeente Breda is actief bezig met het verbeteren van het inkoopproces, zo wordt er actie ondernomen om alle inkomende orders en facturen te koppelen aan een contract (ook met terugwerkende kracht), er wordt inzicht verkregen in de omvang van de verschillende stromen inkopen met behulp van PowerBIdashboards en er worden diverse controles uitgevoerd op de volledigheid van informatie omtrent contracten in het systeem. Deze acties zijn een goede stap richting een betere controleomgeving.

Naar aanleiding van het inzicht in de verschillende stromen van inkopen en daarmee ook de verschillende stromen aanbestedingen identificeren wij dat de contractinformatie niet altijd volledig in Proactis is verwerkt. Het is van belang juiste en volledige informatie te hebben rondom de maximale contractwaarde, looptijd en einddatum voor de controle op rechtmatigheid. Het uiteindelijke uitgangspunt is dan ook dat iedere order, vallend onder een contract, wordt gekoppeld aan een contract via Proactis. Op deze manier kan de spend per contract in beeld worden gebracht en wordt de grip op de aanbestedingswetgeving vergroot. We bevelen aan om het gebruik van Proactis, dat nu gebruikt wordt als contract beheerssysteem, verder te optimaliseren zodat op basis hiervan contractmanagement kan plaatsvinden.

Om gebruik te kunnen maken van de PowerBI-dashboards dient de dataoverdracht tussen verschillende systemen (Proactis, Key2Financiën en PowerBI) betrouwbaar te zijn. Het blijkt dat de betrouwbaarheid van de data nog niet gewaarborgd kan worden. Wij bevelen aan op een geautomatiseerde wijze de volledigheid en juistheid van de data-overdracht te waarborgen (zoals via een automatische interface) en om ook het belang hiervan in het primaire proces te benadrukken. Daarnaast constateren we, dat in lijn met voorgaand jaar, er ook dit jaar bevindingen verwacht worden in het assurancerapport van de leverancier van Proactis, ten aanzien van logische toegangsbeveiliging, gebruikersbeheer en continuïteit. We bevelen we aan om in gesprek te gaan met de leverancier hoe bevindingen op korte termijn opgevolgd kunnen worden, en om een impactanalyse uit te voeren en waar nodig risicobeperkende maatregelen te treffen voor Breda.

Prestatieverklaringen Tijdens onze controlewerkzaamheden hebben we geconstateerd dat er niet altijd een prestatieverklaring is toegevoegd voorafgaand aan betaling, en dat dit ook niet wordt afgedwongen door het systeem. Het komt vaak voor dat achteraf gezocht moet worden naar een juiste prestatieverklaring. Op basis van de nieuwe richtlijnen binnen Breda dient bij iedere factuur > 1000 euro een prestatieverklaring te zijn toegevoegd. Bij non-po’s, afwijkingen tussen de order en factuur en enkelvoudige betalingen dient deze altijd nog geautoriseerd te worden door een budgethouder. Tijdens onze controlewerkzaamheden hebben wij geconstateerd dat de prestatieverklaring niet altijd opgenomen was, maar deze wel is geautoriseerd en betaald. Wij bevelen aan het bewustzijn rondom prestatieverklaringen nog meer te vergroten binnen de organisatie om te voorkomen dat gelden uit de organisatie vloeien zonder dat de prestatie is geleverd.

Rapportage interim-bevindingen – Gemeente Breda

Inkomende subsidies

Het proces omtrent inkomende subsidies is nog onvoldoende geformaliseerd. Een eerste analyse is opgesteld om hiermee aan de slag te gaan. Grip op de inkomende subsidies, waaronder SiSa-regelingen, verdient aandacht Gemeente Breda heeft een coördinator verantwoording inkomende subsidies aangesteld om de grip op de inkomende subsidies, waaronder SiSa-regelingen te versterken. De coördinator zal de tweede lijns werkzaamheden die eerder nog door Team Audit werden uitgevoerd overnemen en dienen als aanspreekpunt voor de eerste lijn. Hierdoor worden de verantwoordelijkheden op de juiste plek in het drielijnenmodel belegd en kan Team Audit in de toekomst een onafhankelijke review uitvoeren op de verantwoording van SiSaregelingen en andere inkomende subsidies. Project beheersing Het streven van gemeente Breda is om meer grip en inzicht te verkrijgen van de stroom inkomende subsidies. De coördinator verantwoording inkomende subsidies kan de lijnorganisatie ondersteunen om dit streven te realiseren. De coördinator heeft een verbeterplan opgesteld om meer grip te krijgen op het proces rondom (verantwoording van) inkomende subsidies. In het verbeterplan wordt het proces van de aanvraagfase tot verantwoordingsfase uitgewerkt aan de hand van observaties van het proces tot een oplossing van de geïdentificeerde valkuilen.

Met dit plan wordt een goede stap gezet richting het verkrijgen van grip op de stroom inkomende subsidies. Tegelijkertijd constateren we dat het verbeterplan nog geen concrete acties bevat en derhalve ook nog geen opvolging is gegeven aan de eerder geconstateerde bevindingen. Dit komt onder andere door andere prioriteiten in de organisatie en beperkte beschikbaarheid van capaciteit voor dit onderwerp. We signaleren dat subsidies door iedere afdeling aangevraagd kunnen worden, zonder dat hier een kosten-baten analyse en doelmatigheidstoets wordt

afgedwongen. Doordat iedere afdeling haar eigen subsidie kan aanvragen, is er geen centraal overzicht van de aangevraagde subsidies en de daarbijbehorende subsidievoorwaarden waaraan voldaan moet worden. Het risico dat hierbij wordt gelopen betreft onderbesteding en/of terugbetaling van de subsidie. Wij bevelen daarom ook aan om een beleid op te stellen voor de aanvraag van subsidies en een centraal subsidieregister bij te houden. Sisa-controle ontbreekt nog in het primaire proces Tijdens onze werkzaamheden blijkt dat de controles in de eerste en tweede lijn ten aanzien van de SiSa-verantwoording nog niet volledig worden uitgevoerd, waardoor de derde lijn additionele werkzaamheden uit moet voeren. We bevelen aan om meer sturing te geven aan het verantwoordingsproces, het belang hiervan te benadrukken in het primaire proces en met name het eerder starten van de (risicogerichte) controlewerkzaamheden op de Sisa-regelingen. Sisa-regelingen als onderdeel van de jaareindecontrole In 2024 zijn voor gemeente Breda 60 Sisa-regelingen van toepassing, die verantwoord moeten worden in de Sisa-bijlage van de jaarrekening. Het aantal Sisa-regelingen is vergelijkbaar met het aantal regelingen in 2023.

Bij ontvangst van het definitieve overzicht van SiSa-regelingen van het Rijk moet de ambtelijke organisatie per SiSa-regeling de afhankelijkheden van derden in kaart brengen en hier zo spoedig mogelijk acties op uitzetten om de informatie tijdig te ontvangen. Wij hebben van de organisatie vernomen dat er interne controles zijn gepland op de Sisa-regelingen en dat dit wordt meegenomen in de onderbouwing van de rechtmatigheidsverantwoording. In onze controleverklaring zullen wij een specifiek oordeel geven over de rechtmatigheid van de Sisa-regelingen.

Rapportage interim-bevindingen – Gemeente Breda

Overige processen en ontwikkelingen Voldoen aan wet- en regelgeving Zoals ook afgelopen jaar geconstateerd, worden verschillende betalingsstromen buiten het reguliere systeem om geregistreerd, zoals leefgeld voor Oekraïners en vrijwilligersvergoedingen. Deze informatie wordt vastgelegd in een excelsheet in de Sharepoint-omgeving, waar iedereen die toegang heeft het document kan aanpassen en inzien. Het is van belang dat privacy-gevoelige informatie wordt afgeschermd in het kader van de AVG. Daarnaast bevelen we aan om deze betalingsstromen te registreren in de daarvoor passende systemen als onderdeel van het reguliere betaalproces. Grondexploitaties Het proces omtrent grondexploitaties is in de basis op orde. Voor de dossiervorming is momenteel nog geen centrale vastlegging aanwezig, maar hier worden stappen in genomen. Gedurende het huidige jaar zijn er geen nieuwe grote projecten bijgekomen in de portefeuille van gemeente Breda. Als onderdeel van de jaareindecontrole zullen we de assumpties in de huidige grondexploitaties toetsen. Daarnaast zullen we in het accountantsverslag rapporteren over de voortgang van majeure projecten zoals de ontwikkeling van ‘t Zoet en het gebied rondom de oude rechtbank en het oude belastingkantoor.

Sociaal domein Zoals eerder benoemd zijn diverse stappen gezet in het Sociaal Domein ter verbetering van de interne beheersing, waardoor een voldoende basis staat voor de interne beheersing. Tegelijkertijd zien we dat de kwaliteitfuncties binnen Jeugd onder druk staan waardoor momenteel nog niet gesproken kan worden van een volwaardig tweedelijnsfunctie. Het helpt hierbij om de processen uit te werken, inclusief de rollen en verantwoordelijkheden en dat deze taken ook voldoende prioriteit en capaciteit krijgen om uitgevoerd te worden. Ten aanzien van het WBO, hebben we wederom kennisgenomen van het onderzoeksplan van het team binnen de gemeente Breda. Wij zijn de steekproefomvang samen overeengekomen en zullen gebruik maken van de uit te voeren werkzaamheden door Team WBO.

Rapportage interim-bevindingen – Gemeente Breda

IT-risico’s en interne beheersing Introductie

Wij merken over het algemeen een toenemende aandacht voor IT en het beheersen van de daarmee gepaard gaande relevante risico's. Met name op het gebied van cybersecurity zijn diverse initiatieven gestart en ten dele reeds afgerond om de beheersing van dit aspect van IT te verbeteren. Meer detail omtrent cybersecurity is opgenomen op de volgende pagina. Wij hebben voor de controle van de jaarrekening van 2024 besloten om onze bestaande kennis van de algemene IT-interne beheersingsmaatregelen te updaten aan de hand van een IT-workshop met de relevante functionarissen vanuit Gemeente Breda, waaronder Gegevensbescherming, en het bestaan van de interne beheersingsmaatregelen in het netwerk van de gemeente vast te stellen. Wij hebben echter de effectieve werking van de interne beheersingsmaatregelen niet uitgebreid getoetst, in lijn met het controleplan, om dat er nog niet op gesteund kan worden in het kader van de controle. Daarom zullen wij voor dit jaar een voornamelijk gegevensgerichte audit plan hanteren, in lijn met 2023. Wel zijn diverse stappen besproken om naar een meer datagedreven en systeemgerichte controle te kunnen bewegen in de toekomst. Datamigratie ADP naar AFAS: verbeterpunten en inzichten In het afgelopen jaar is de migratie van ADP naar AFAS afgerond.

Hierbij zijn enkele zaken niet gelopen zoals vooraf aanvankelijk bedacht, zoals de vastlegging van de migratie en het leveranciersmanagement. Met het oog op toekomstige datamigraties is het van belang om lering te trekken uit deze punten, zodat toekomstige migraties in één keer correct kunnen worden uitgevoerd en ook achteraf toetsbaar zijn. Het is belangrijk om interne (IT-)beheersing integraal vanaf het begin van het project mee te nemen. Als onderdeel van het migratieplan tot aan de livegang. Dit omvat o.a. het adequaat inrichten (en handhaven) van rollen en rechten, een

duidelijke tijdslijn en verantwoordelijkheden, inclusief de nauwe betrokkenheid van de IT-afdeling. Daarnaast is het essentieel om de nauwkeurigheid en volledigheid van de gemigreerde data, de ondernomen stappen gedurende het proces en de interne controle op het juiste verloop van de migratie adequaat te documenteren. Dit om betrouwbaarheid van data te waarborgen, gegevensverlies te voorkomen en aantoonbaarheid van interne controle te realiseren. Graag willen wij wanneer de migratie van het potentiële nieuwe financiële pakket dichterbij komt, in een oriënterend gesprek meekijken met het opgestelde plan van aanpak voor de datamigratie, zodat wij voor de start van het proces eventuele observaties alvast kunnen delen. Onvoldoende monitoring gedelegeerde toegangsrechten Active Directory Wij hebben bij het uitvoeren van onze werkzaamheden vastgesteld dat zes medewerkers van de gemeente Breda onterecht gedelegeerde toegangsrechten toegekend hadden (o.a. door functiewisseling). Met gedelegeerde toegangsrechten kan een functionaris die niet een volledige beheerder is, wel specifieke beheerderstaken uitvoeren. Daarom is het van belang om periodiek te monitoren op de juistheid van deze gedelegeerde toegangsrechten. Intern geen MFA-oplossing voor toegang tot IT-omgeving

Bij het inloggen vanaf een interne werkplek binnen de gemeente wordt er niet gevraagd om een multi-factor authenticatie (MFA), enkel een wachtwoord. We hebben begrepen dat de gemeente bezig is om het aantal interne werkplekken verder te reduceren en dat voor de resterende een oplossing wordt onderzocht waar MFA wel is toe te passen. Totdat dit volledig is gerealiseerd is het inloggen via interne werkplekken wel kwetsbaar en is daar een hoger risico om misbruik te maken van gebruikersaccounts (door een minder hoog niveau van beveiliging).

Rapportage interim-bevindingen – Gemeente Breda

Cybersecurity vraagt blijvende aandacht Cybersecurity-incidenten (bijvoorbeeld ransomware aanvallen) kunnen een grote impact hebben op de primaire processen en de bedrijfsvoering. W ij hebben gesproken met diverse medewerkers en kennisgenomen van documentatie om inzicht te krijgen in de wijze waarop Gemeente Breda omgaat met cybersecurityrisico’s. We willen benadrukken dat we geen diepgaande beoordeling hebben uitgevoerd om te bepalen of er adequate maatregelen zijn genomen om te voldoen aan relevante wet- en regelgeving met betrekking tot de bescherming van persoonsgegevens en cyberbeveiliging. Op basis van de uitgevoerde werkzaamheden en gevoerde gesprekken hebben we vastgesteld dat er diverse verbeterinitiatieven geïnitieerd en afgerond zijn, zoals omtrent de aandacht voor en verbeteren van bewustzijn van medewerkers, de groei van team gegevensbescherming en het trainen van functioneel beheer (van kernapplicaties) vanuit security perspectief. Tegelijkertijd constateren wij een tweetal belangrijke aandachtspunten die in hoge mate de randvoorwaardelijke basis vormen om adequaat cybersecurity risico's te kunnen beheersen: •

De identificatie van (digitale) 'kroonjuwelen' is (nog) niet vastgesteld. Dit is de meest waardevolle en kritieke informatie of systemen van gemeente Breda die beschermd moeten worden tegen cyberdreigingen. Deze uitkomsten vormen de basis voor een adequaat cybersecurity risicomanagement en het aanbrengen van de juiste prioritering op het gebied van het inrichten van gegevensbescherming. Met name met het oog op de NIS2-richtlijn in 2025, en ook voor het naleven van de AVG, is dit een belangrijk onderdeel om als gemeente verbetering in aan te brengen.

•

Er is centraal geen volledig overzicht van alle applicaties en softwarepakketten binnen het netwerk van gemeente Breda. Hierdoor is een

Bijlagen

groot aantal applicaties niet centraal in beheer door IT (‘Schaduw-IT’). Mede doordat afdelingen zelf IT-middelen en/of applicaties mogen aanschaffen tot een bepaald bedrag. Het risico is dat deze applicaties niet onderworpen zijn aan dezelfde standaard van gegevensbescherming en cybersecurity, wat kan leiden tot een verhoogd risico op datalekken en cyberaanvallen. Daarom is een inventarisatie van de schaduw-IT noodzakelijk waar vervolgens actie op wordt gezet om deze te integrreren in officiele IT-omgeving van de gemeente Breda, of anders waar nodig deze applicaties te vervangen of te verwijderen. Vervolgens is de inrichting een juiste governance van belang om het belang en begrip in de organisatie te creëren dat zich dit in de toekomst niet blijft herhalen. Voorbeelden hiervan zijn centrale monitoring op alle IT-middelen en applicaties, of het implementeren van een centrale aanvraag, om dit proces ook in de toekomst in voldoende mate te kunnen beheersen. Op basis van interviews hebben we vernomen dat zich geen grootschalige (cyber) security-incidenten hebben voorgedaan in 2024 tot het moment van deze rapportage met impact op de jaarrekeningcontrole.

Rapportage interim-bevindingen – Gemeente Breda

NIS2-richtlijn: wat betekent dit voor gemeenten? Per 17 oktober 2024 moeten EU-landen de Network and Information Security Directive (NIS2-richtlijn) hebben omgezet in nationale wetgeving. In Nederland gebeurt dit via de Cyberbeveiligingswet. De wet is deze zomer in consultatie geweest en zal medio 2025 van kracht worden. De haalbaarheid, betaalbaarheid en uitvoerbaarheid van de wet voor gemeenten stonden hier voorop. De richtlijn heeft belangrijke implicaties voor gemeenten als het gaat om informatiebeveiliging en de meld- en zorgplicht rondom (cyber)incidenten. Nog niet alle plichten uit de nieuwe wet zijn duidelijk De VNG heeft aangegeven hierover voortdurend in contact te zijn met het Rijk. Verschillende ministeries, zoals BZK, JenV, IenW en VWS, stellen nadere regels. Denk hierbij bijvoorbeeld aan verkeer, weg- en waterbeheer en de zorgsector. Dit zijn processen die in de NIS2-richtlijn zijn genoemd en die in Nederland lokaal zijn georganiseerd. In de periode dat de richtlijn van kracht is maar de wet nog niet, geldt dat organisaties die onder de richtlijn vallen al wel rechten hebben, maar nog geen wettelijke plichten. Zo hebben gemeenten het recht op hulp bij digitale incidenten en ondersteuning bij het voorkomen daarvan door de VNG/Informatie-beveiligingsdienst (IBD), als sectorale Computer Incident Response Team (sectorale CSIRT).

Wij adviseren de ontwikkelingen nauwgezet te volgen.

11I

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader

Fraude, omkoping en corruptie en het niet naleven van wet- en regelgeving Meer inzicht in frauderisico’s en de gevolgen door verdiepende frauderisicoanalyse

Controleomgeving

Bewustwording risico’s door frauderisicoanalyse

Interne beheersing

Als onderdeel van onze controlewerkzaamheden hebben wij de interne beheersing rond het voorkomen en identificeren van fraude beoordeeld. Aangezien het voorkomen en opsporen van fraude de primaire verantwoordelijkheid is van het college en de raad, verwachten we dat er een zeker minimaal niveau van interne controle is, rekening houdend met de omvang en complexiteit van de gemeente en haar activiteiten.

Inkopen en aanbestedingen Inkomende subsidies Diverse ontwikkelingen IT-risico's en beheersing Cybersecurity Fraude en wet- en regelgeving Vooruitkijkend Bijlagen

bedrijfsvoering te rapporteren, conform 2023, zodat wij hier in onze controleverklaring naar kunnen verwijzen en de door u gerapporteerde informatie kunnen bevestigen. Frauderisicoanalyse uitgevoerd door Team Audit Tijdens onze werkzaaamheden in de planningsfase heeft Team Audit de verdiepende frauderisicoanalyse voor de volgende processen geformaliseerd: •

Betalingsorganisatie

•

Grondexploitaties

•

Inhuur

Controleverklaring van accountants ten aanzien van fraude

•

Inkopen en aanbestedingen

Vanaf 2023 hebben wij in onze controleverklaring gerapporteerd over het vermogen van uw gemeente inzake het opvangen van financiële risico’s en frauderisico’s. Een editie van PwC’s Spotlight is volledig gewijd aan fraude en het geeft onder andere inzicht in de diverse rollen en verantwoordelijkheden voor verschillende gremia. Ook bevat het handvatten over hoe de ambtelijke organisatie een frauderisicoanalyse kan opstellen.

•

Verstrekte subsidies

Tijdens onze tussentijdse controlewerkzaamheden zijn geen aanwijzingen van fraude onder onze aandacht gekomen. De geïdentificeerde frauderisico’s zijn niet gewijzigd ten opzichte van het controleplan.

Team Audit identificeert verschillende significante frauderisico’s in de processen grondexploitaties en inkopen en aanbestedingen, welke wij ook identificeren in onze controlewerkzaamheden. De werkzaamheden op de frauderisico’s zijn nog niet uitgevoerd. Door het opstellen van de verdiepende frauderisicoanalyse en de impact en blootstelling hierbij te beoordelen zet gemeente Breda stappen naar een volwassen controleomgeving. Ons advies is om de frauderisicoanalyse Daarnaast adviseren we de directie en het college om te beoordelen wat de ook uit te voeren op de overige processen en voldoende werkzaamheden uit te kwaliteit is van het gehele fraudepreventieprogramma en, indien nodig, tijdig voeren om de significante risico’s af te dekken, en om de actualisatie van deze maatregelen te treffen om de kwaliteit van dit programma te verbeteren. De kwaliteit van dit programma is mede bepalend voor de bevindingen die wij in de analyse in te bedden in een periodiek proces. controleverklaring zullen (moeten) rapporteren. Wij adviseren de directie en het college tevens om hierover zelf in de risicoparagraaf in uw paragraaf

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader Vooruitkijkend Digitaliseren en innoveren Financiële positie Het controleproces Generative AI Bijlagen

Vooruitkijkend In deze sectie kijken we vooruit naar de eindejaarscontrole van uw jaarrekening van 2024, naar relevante thema’s en accountingonderwerpen die uw gemeente raken en hoe we met u samenwerken om het controleproces zo soepel mogelijk te laten verlopen.

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader Vooruitkijkend Digitaliseren en innoveren Financiële positie Het controleproces Generative AI Bijlagen

Digitaliseren en innoveren van de controleaanpak Voorbereidingen voor een meer datagedreven controle voor morgen

innovatie toe in de controle. Zo hebben we met de organisatie onderzocht of de In het controleplan hebben we aandacht gegeven aan de voorbereidingen voor spendanalyse voor de aanbestedingen meer datagedreven vorm kan krijgen, een datagedeven aanpak. Afhankelijk van de inschatting van de kwaliteit van de maar blijkt de datakwaliteit nog niet van het gewenste niveau te zijn. Daarnaast zullen we een data-analyse uitvoeren op de salarissen door middel van een interne beheersing of efficiëntie in het controleproces wordt per proces een controleaanpak gekozen. De keuze voor de controlemix hangt niet alleen af van 100% bruto-netto controle. Als laatste voorbeeld, maken we reeds enkele jaren gebruik van HALO. Dit betreft een bekroonde data-analyse tool waarmee de de mate van in control zijn, maar is ook afhankelijk van andere factoren, zoals betrouwbaarheid van informatie kan worden getoetst en wij onze efficiency en mogelijkheden tot data-analyse. We streven daarbij naar een werkzaamheden omtrent manuele journaalposten uitvoeren. ontwikkeling van de controlemix van een voornamelijk gegevensgerichte controle, naar een systeemgerichte en procesgerichte controle, naar uiteindelijk De toegevoegde waarde voor gemeente Breda wordt groter met de stappen die een continue monitoring die datagedreven is. gezet worden richting een meer datagedreven controle.

Voor een meer datagedreven controle is het van belang dat interne beheersingsmaatregelen zichtbaar en reproduceerbaar worden vastgelegd, daarnaast is het van belang de manuele handelingen (buiten systemen om) te beperken. Gemeente Breda kan zich hier nog verder ontwikkelen, zoals in de betalingsorganisatie of het proces met betrekking tot salarissen. Met de implementatie van het nieuwe salarissysteem kunnen stappen gezet worden richting een meer datagedreven controle, indien deze juist is geïmplementeerd met betrekking tot de rollen en rechten. Binnen het Sociaal Domein worden mooie stappen gezet aan de hand van PowerBI-dashboards, welke data-analyse uitvoeren en eventuele onregelmatigheden worden op deze manier eerder gedetecteerd. Wanneer deze dashboards verder ontwikkeld worden en de betrouwbaarheid van de data kan worden vastgesteld kunnen deze dashboards helpen richting een meer volwassen en in control organisatie. Als onderdeel van de controle 2024 zijn we met de organisatie in gesprek gegaan middels een IT-workshop om meer inzicht te krijgen in de stappen die Breda zet op dit gebied, en hoe dit kan bijdrage aan automatisering en digitalisering van de bedrijfsvoering en controleactiviteiten bij de gemeente. Daarnaast passen we ook in 2024 al op diverse plekken digitalisering en

Gegevensgerichte controle

Systeem- en procesgerichte controle

Continue monitoring en datagedreven

Gegevensgerichte controle op transacties

Handmatig toetsen van controlemaatregelen

geautomatiseerde controles

Testen ITbeheersomgeving

Handmatig toetsen van Handmatig toetsen van controlemaatregelen controlemaatregelen Continue en integrale controle op uitzonderingen Toetsen van

Testen ITbeheersomgeving

Toenemende toegevoegde waarde voor de gemeente Breda Figuur: Ontwikkeling controlemix

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave

Financiële positie: groei vraagt om keuzes

Onze kernboodschappen

Miljoenennota geeft nog geen duidelijkheid over ‘ravijnjaar’

Bestuursrapportage september 2024

Op 17 september 2024 is de Miljoenennota gepresenteerd waarin het nieuwe kabinet haar plannen heeft gepresenteerd. In het regeerakkoord is opgenomen dat het van belang is dat er een juiste balans is tussen ambitie, taken, middelen en uitvoeringskracht voor medeoverheden. De verdere uitwerking hiervan moet nog concreet gemaakt te worden.

De bestuursrapportage geeft op hoofdlijnen aan dat Breda financieel gezien op koers ligt. Breda verwacht dat het jaarrekeningresultaat voor 2024 € 1,5 mio positief is. Ten opzichte van een begroting van positief € 10,6 mio. Dit is het resultaat na mutaties van de reserves. In programma 1 ‘Vitaal en Sociaal’ toont de grootste afwijkingen. Deze zijn niet los te zien van de groeiende prijs van en vraag naar zorg en ondersteuning. Op het gebied van jeugd hebben de getroffen beheersmaatregelen een dempend effect op de instroom, maar het aantal aanvragen blijft nog steeds stijgen. De in 2024 ingezette lijn wordt voortgezet en in de kadernota zijn al scherpe keuzes voor de begroting voor 2025 gemaakt. Financieel verantwoord blijven groeien en ambities waar kunnen blijven maken, is het uitgangspunt. In de bestuursrapportage is ook een actualisatie opgenomen van de strategische investeringen in 2024. Totaal begroot voor 2024 is € 113 mio en de actualisatie van de uitgaven is lager, € 90 mio. In deze prognose zit een stevige ambitie voor nog te realiseren uitgaven in 2024.

Controlekader Vooruitkijkend Digitaliseren en innoveren Financiële positie Het controleproces Generative AI Bijlagen

In de recent gepresenteerde Miljoenennota zijn verschillende maatregelen opgenomen die invloed hebben op de financiën van gemeenten. De regeringscoalitie had ook plannen om specifieke uitkeringen, bekend als SPUKS, over te brengen naar het gemeentefonds. Dit was mede een reactie op klachten van gemeenten over de hoge administratieve lasten die deze uitkeringen met zich meebrachten. Echter, hierbij was een korting van 10% voorzien, wat de gemeenten meer dan €600 miljoen zou kosten. Recentelijk heeft het kabinet echter besloten om de specifieke uitkeringen gerelateerd aan de opvang van Oekraïners, de problematiek in Groningen en de toeslagenaffaire niet over te hevelen naar het gemeentefonds en deze ook niet te korten. Hierdoor is de totale korting verlaagd naar €438 miljoen. Deze korting is vanaf 2026 reeds opgenomen in de departementale begrotingen, maar nog niet in het gemeentefonds. De VNG heeft aangegeven de ambities met het kabinet te delen, maar dat de bezuiniging op het Gemeentefonds vanaf 2026 contrair is aan deze ambitie. Naast het juist prioriteren en het maken van keuzes, kan men ook kijken naar de mate van arbeidsproductiviteit, samenwerking tussen de lijnen in de interne beheersing, maar ook het zichtbaar maken van de beïnvloedbaarheid van lasten, als oplossingen voor de disbalans tussen taken en middelen.

Begroting 2025 De begroting 2025 heeft als titel “Groei vraagt om keuzes”. In de kadernota is een negatief resultaat voor 2025 gepresenteerd van €11 mio. Met maatregelen van €16 mio is dat omgebogen naar een positief resultaat van €5 mio. In de begroting is dat uiteindelijk €0,05 mio geworden inclusief een eenmalige onttrekking uit de algemene reserve van €2,5 mio. Voor 2025 is voor €119 mio investeringen in de stad geprogrammeerd, in in de periode 2025 tot en met 2028 zelfs €517 mio. We vragen aandacht voor het concreet uitwerken van de maatregelen voor 2025 op een wijze waarop hierop een goede voortgangsbewaking en sturing kan plaatsvinden.

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader Vooruitkijkend Digitaliseren en innoveren

Het controleproces en voorbereidingen voor de eindejaarscontrole

Financiële positie

Om aan de behoeften van gemeente Breda te kunnen voldoen en het proces voor de jaareindecontrole verder te kunnen verbeteren, vinden we het belangrijk om het proces periodiek te evalueren en onze bevindingen met u te delen.

Het controleproces

Onze samenwerking

Generative AI

Gedurende onze interim-controle ondervonden we een goede samenwerking met Team Audit. Onder andere de huidige werkdruk van de eerste en tweede lijn met betrekking tot bijvoorbeeld inkopen en aanbestedingen, inhuur en inkomende subsidies maakte dat de interne controles nog niet volledig afgerond waren, alvorens de interim-werkzaamheden van ons gepland waren. Hierover zijn afspraken gemaakt om de tijdslijn van de resterende controle niet verder in gevaar te brengen. Wij vragen uw aandacht voor het naleven van deze afspraken.

Bijlagen

De communcatielijnen zijn kort en bijzondere onderwerpen worden waar nodig tijdig met ons afgestemd. Daarnaast zijn er goede afspraken gemaakt voor de jaareindecontrole. Client Connect Om u te ondersteunen bij uw voorbereidingen van de jaareindecontrole, hebt u een gedetailleerde lijst ontvangen van specificaties die in Client Connect moeten worden gezet. Een tijdige levering van alle items voor aanvang van de controle is nodig voor een soepel controleproces en om overschrijdingen te voorkomen.

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader Vooruitkijkend Digitaliseren en innoveren Financiële positie Het controleproces Generative AI Bijlagen

Verantwoord gebruik maken van generative AI Verantwoord gebruikmaken van AI binnen uw gemeente In ons controleplan hebben wij u adviezen gegeven met betrekking tot Artificial Intelligence (AI). We zien dat gemeente Breda diverse initiatieven neemt ten aanzien van het verantwoord gebruik maken van AI, bijvoorbeeld door het gebruik van Copilot als onderdeel van de VNG-pilot. Op basis van gesprekken met uw ambtelijke organisatie geven wij onze reflectie hierop. Advies #1: vergroot de bewustwording en vaardigheden van werknemers Het is van belang om ook uw ambtelijke organisatie te betrekken zodat uw medewerkers meer bewust zijn van de werking en risico’s van AI, bijvoorbeeld door het verschaffen van trainingen en een overzichtelijke intranetpagina gericht op AI. Nadat uw visie op verantwoord AI-gebruik is vastgesteld, kunnen geschikte AI-toepassingen worden gedeeld binnen uw gemeente. Op dit moment worden AI-tools, zoals ChatGPT, niet geblokkeerd door de gemeentelijke firewall. Hierdoor bestaat het risico dat uw medewerkers deze tools onverantwoord gebruiken, bijvoorbeeld door het invoeren van persoonsgegevens in een AI-tool. Wij adviseren om deze tools af te schermen dan wel medewerkers met een pop-up bewust te maken van de risico’s. Advies #2: breng uw huidige en de verwachte AI-toepassingen in kaart Uw gemeente beschikt nog niet over een algoritmeregister.

Wij bevelen aan om dit register uit breiden met al uw AI-toepassingen, ook die onderdeel zijn van reeds bestaande software maar nog niet in beeld is. Dit dient ook specifiek te worden meegenomen bij toekomstige software-inkopen. Advies #3: implementeer richtlijnen voor verantwoord AI-gebruik Vertrouwelijk en verantwoord omgaan met data is van groot belang bij het werken met AI. Voordat uw gemeente AI breder kan inzetten, zijn duidelijke kaders en richtlijnen nodig. Deze visie moet aansluiten op de regels opgenomen in de EU-AI Act. Daarnaast zijn de voorwaarden die de Vereniging

Nederlandse Gemeenten (VNG) overeenkomt met Microsoft voor het gebruik van Microsoft applicaties ook op gemeente Breda van toepassing. Wij adviseren uw gemeente om samen met andere gemeenten de VNG erop aan te dringen dat Microsoft Copilot wordt opgenomen in de voorwaarden zodat de vertrouwelijkheid wordt geborgd.

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader Vooruitkijkend Bijlagen Detailbevindingen Informatief Onze communicatie

Appendices Bijlagen In dit hoofdstuk hebben we de bijlagen opgenomen waaronder detailbevindingen en een overzicht van de vereiste communicatie.

05 04

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave

Detailbevindingen

Vooruitkijkend

Onderstaande tabel bevat de detailbevindingen inclusief de status ten opzichte van voorgaand jaar en de prioriteit van de detailbevindingen. Het taartdiagram hiernaast visualiseert dat. Op de volgende pagina’s staan de detailbevindingen uitgeschreven. De prioriteit van een detailbevinding of een combinatie van detailbevindingen in de interne controle is niet alleen afhankelijk van het feit of er daadwerkelijk sprake was van een onjuistheid, maar ook van de waarschijnlijkheid dat een onjuistheid zou kunnen plaatsvinden en de potentiële omvang van de onjuistheid

Bijlagen

Detailbevinding

Detailbevindingen

Informatief

Onze kernboodschappen Controlekader

Onze communicatie

Voortgang bevindingen

Status 2024

Status 2023

Prioriteit

De kwaliteit van dossiervorming en archivering van grondexploitaties is niet op het gewenste niveau.



Laag

De subsidiekalender is niet volledig.



Hoog

Geen centrale monitoring van de subsidievoorwaarden.



Hoog

Onzekerheid door onvoldoende interne beheersing omtrent de lasten sociaal domein.



Laag



Laag



Laag



Laag



Laag



Hoog



Hoog

Onderhanden



Middel

Opgelost



Middel

5 6 7 8 9 10 11 12

Geen interne beheersing omtrent belastingen na uitbesteding aan de Belastingsamenwerking West Brabant (BWB). Toetsing op bouwaanvraag wordt niet zichtbaar vastgelegd en geen controletechnische functiescheiding in Powerbrowser aanwezig. De vastlegging van de toets in het vaststellingsproces vindt niet consequent zichtbaar plaats. Geen controletechnische functiescheiding bij de invoer van tarieven voor vastgoedbeheer. Handmatige betalingen vinden plaats buiten het reguliere proces en reguliere systemen. De prestatieverklaring wordt niet altijd zichtbaar vastgelegd of gecontroleerd voorafgaand aan een betaling. Geen sprake van het matchingprincipe bij inkomende facturen <50k ontvangen in het opeenvolgende boekjaar. IT bevinding - Monitoring ontbreekt op kritische handelingen binnen Proactis.

Nieuw geïdentificeerde detailbevinding

Eerder gerapporteerde detailbevinding, onderhanden

Eerder gerapporteerde detailbevinding, geen voortgang

1 4

6 1

Geen voortgang Nieuw

Opgeloste detailbevinding

19I

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader

Detailbevindingen #

Detailbevinding

De kwaliteit van dossiervorming en archivering van grondexploitaties is niet op het gewenste niveau.

Vooruitkijkend

Status 2024

Status 2023



De dossiervorming met betrekking tot gemaakte overwegingen en afspraken over de verschillende projecten is niet op het gewenste niveau. De dossiervorming bestaat voornamelijk uit de verkenner en mailbox van de keyfunctionarissen. Dit kan van invloed zijn op de significante schattingen gemaakt door key-functionarissen in het waarderingsproces van de grondexploitaties per jaareinde.

Bijlagen Detailbevindingen Informatief

De subsidiekalender is niet volledig. De gemeente Breda beschikt niet over een volledig overzicht van alle inkomende subsidies. Dit kan van invloed zijn op de verantwoording van inkomende subsidies in het jaarverslag.

Prioriteit

Risico: Het onjuist waarderen van grondexploitaties.

Prioriteit

Aanbeveling: Het inrichten van een projectadministratie voor de dossiervorming van grondexploitaties.

Laag

Update 2024: Het is de wens van de afdeling om gestructureerde dossiervorming te hebben. De gemeente geeft echter geen prioriteit aan het inrichten van een projectadministratie, waardoor deze bevinding blijvend van toepassing is.

Onze communicatie 2

Risico en aanbeveling



Risico: Onvolledige verantwoording van inkomende subsidies in de jaarrekening. Aanbeveling: Het opstellen van een subsidiekalender met een centraal beheer en centraal omschreven proces, het registreren van subsidies in deze kalender integreren in het proces, en het consistent bijwerken van de subsidiekalender.

Prioriteit Hoog

Update 2024: In 2023 gaf de organisatie aan een nieuwe subsidiekalender te introduceren, dit is per heden nog niet ingevoerd, waardoor de bevinding van toepassing blijft.

Nieuw geïdentificeerde detailbevinding

Eerder gerapporteerde detailbevinding, onderhanden

Eerder gerapporteerde detailbevinding, geen voortgang

Opgeloste detailbevinding

19II

Rapportage interim-bevindingen – Gemeente Breda

Inleiding Inhoudsopgave Onze kernboodschappen Controlekader

Detailbevindingen #

Detailbevinding

Geen centrale monitoring van de subsidievoorwaarden.

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij iBabs is leidend. Bron: https://api.notubiz.nl/document/14894795/1