2025.05.15 Bijlage 7 Final report Gemeente Breda samenvatting

2024.KIN.08.BVK

RAPPORT KWALITEITSTOETSING Team Audit

Kwaliteitstoetsingen IIA Nederland (KIN) Toetsteam: dr. J.R.H.J. (Bob) van Kuijck RA RC drs. R.G.M.(Ruud) Bartelink RO CIA CISA CCSA CGAP CRMA

Datum: 05 december 2024

Inhoudsopgave 1. Introductie .............................................................................................................................. 3 2. Managementsamenvatting..................................................................................................... 4 3. IIA-kwaliteitsbeoordeling...................................................................................................... 11 APPENDICES.............................................................................................................................. 17 Appendix A

Doel, reikwijdte en aanpak............................................................................... 18

Appendix B

Resultaten review van auditfiles ...................................................................... 20

Appendix C

Overzicht IIA-bevindingen ................................................................................ 22

2/24

1. Introductie In opdracht van de Coördinator Team Audit hebben wij een externe kwaliteitstoetsing uitgevoerd op het systeem van kwaliteitsbeheersing van Team Audit van de gemeente Breda. Het doel is om inzicht te krijgen in de kwaliteit van Team Audit van de gemeente Breda. In dit rapport doen wij een uitspraak over de mate waarin Team Audit voldoet aan de algemeen aanvaarde normen voor de beroepsuitoefening door Internal Auditors, zoals uitgevaardigd door het Instituut van Internal Auditors (IIA). De samenwerking met de medewerkers van de interne auditfunctie hebben wij als constructief en positief ervaren. Daarnaast spreken wij ook onze dank uit naar de Gemeentesecretaris tevens Algemeen Directeur, de Directeur Stedelijke Ontwikkeling en de externe accountant voor de hun bereidwillige en openhartige medewerking. Leeswijzer In hoofdstuk 2 zijn de resultaten van de kwaliteitstoetsing in de management samenvatting verwoord. Hierbij geven we inzicht in de volwassenheid van de auditfunctie op basis van positieve waarnemingen, geïdentificeerde verplichte verbeterpunten en aanbevelingen. De scope, doelstellingen en aanpak van de externe kwaliteitsbeoordeling zijn in Appendix A opgenomen. In de Appendices B en C geven wij verdere details met betrekking tot de IIA-kwaliteitsbeoordeling.

3/24

2. Managementsamenvatting 2.1

Overall oordeel

Het algemene oordeel van deze externe kwaliteitsbeoordeling is dat de opzet en de werking van het kwaliteitsbeheersingssysteem van Team Audit in overeenstemming zijn met de algemeen aanvaarde standaarden voor beroepsuitoefening zoals vastgesteld door het IIA. Team Audit speelt een belangrijke rol als derde lijn binnen de organisatie van de gemeente Breda en is goed in de governance van de gemeente ingebed. Team Audit heeft de afgelopen jaren een grote rol gespeeld in het verbeteren van de op de jaarrekening gerichte financiële processen. De personele bezetting van Team Audit was daar in die tijd ook opgericht. In 2024 heeft Team Audit zicht versterkt met enkele operational en IT-auditors, om zo de reikwijdte van de audits te verbreden en aan de gemeente van meer toegevoegde waarde te kunnen zijn. In 2024 heeft Team Audit audit-ondersteunende software geïmplementeerd. We hebben de eerste resultaten daarvan gezien en constateren dat deze software een grote bijdrage aan de deugdelijke procesgang en dossiervorming levert. De gemeente Breda opereert in een uitdagende omgeving en de organisatie groeit qua omvang. De huidige veranderingsprocessen waarbij gewerkt wordt aan de versterking van de eerste en tweede lijn zorgen voor de nodige uitdagingen. In dergelijke omstandigheden is een goede uitvoering van interne audits van toegevoegde waarde voor gemeente Breda.

Dit wordt als zodanig onderkend en onderschreven door de directie. Alle belanghebbenden die wij hebben gesproken waarderen de kwaliteit van Team Audit als goed. De afgelopen jaren is sprake geweest van forse personele groei en wordt Team Audit deels door externen bemand. Gedurende de onderzoekperiode is er personeel geworven en inmiddels bestaat de gehele Team Audit uit interne medewerkers. De borging van specifieke kennis van de organisatie is cruciaal om als Team Audit effectief te kunnen opereren. Daarom is speciale aandacht gewenst om de volwassenheid van Team Audit te verhogen. Binnen de gemeente Breda is men bezig de tweede lijn steviger neer te zetten, het is hierin van belang om de rolzuiverheid te bewaken van de Team Audit. 4/24

Uit onze beoordeling blijkt dat de prestaties en kwaliteit van Team Audit van de gemeente Breda gemiddeld zijn in vergelijking met interne auditfuncties van dezelfde omvang in Nederland. In de onderstaande figuur geven wij ons oordeel weer.

Niettemin blijkt uit onze kwaliteitsbeoordeling van de IIAstandaarden dat verbeteringen nodig zijn op het gebied van auditrapportering (zie paragraaf 3.4) en het programma voor kwaliteitsborging en -verbetering (zie paragraaf 3.3). Verder geven we in hoofdstuk 3 een aantal aanbevelingen die kunnen helpen om de kwaliteit van de Team Audit van de gemeente Breda verder te verbeteren. Het grafische overzicht biedt de samenvatting van ons oordeel. In paragraaf 2.2 geven we per onderdeel uitleg naar de positieve waarnemingen, de verplichte verbeterpunten en de aanbevelingen. Positieve waarnemingen refereren naar procedures, werkwijzen of omstandigheden die erg goed zijn en als voorbeeld voor anderen kunnen dienen. Verbeterpunten verwijzen naar afwijkingen van de standaarden en moeten worden aangepakt of aan de standaarden te voldoen. Aanbevelingen zijn niet verplichte adviezen, gebaseerd op good practices die geen impact hebben op de oordeelsvorming van deze kwaliteitstoetsing.

5/24

Global Internal Audit Standards Vanaf 1 januari 2025 zijn de nieuwe Global Internal Audit Standards (GIAS) die het huidige International Professional Practices Framework (IPPF) vervangen van kracht. In vergelijking met de IPPF-standaarden zijn de nieuwe standaarden uitgebreider. Het GIAS vereist enerzijds meer van de kwaliteitsbeheersing van de interne auditfuncties zelf. Anderzijds stelt het GIAS ook eisen aan het bestuur van organisatie waarin de auditfunctie is gepositioneerd en het management van deze organisatie. Onderwerpen die in het GIAS meer aandacht krijgen of aan de standaarden zijn toegevoegd, zijn: Meer gewicht aan het maatschappelijk belang van de interne auditdienst; (Domein I) Verwachtingen m.b.t. het ethisch gedrag van de interne auditors vanuit de organisatie (GIAS-standaard 1.2); Besturing van de auditfunctie vanuit het bestuur en management van de organisatie (Domein III); Auditstrategie gericht op de verdere ontwikkeling van de interne auditfunctie (GIAS-standaard 9.2); Afspraken over prestatie-indicatoren tussen bestuur en de interne auditfunctie, zowel voor wat betreft de kwaliteit, de performance als de continue verbetering van de interne auditfunctie (GIAS-standaard 12.2) en Thematische vereisten waarmee verplichte aandachtpunten aan specifieke audits worden gegeven, zoals Cyber Security, ESG of Fraude.

6/24

2.2

Samenvatting van positieve waarnemingen, verplichte verbeterpunten en aanbevelingen

Positieve waarnemingen In de hoofdstukken 3 rapporteren we in totaal 4 positieve waarnemingen. We constateren open overleg tussen Team Audit en haar stakeholders, waardoor op constructieve wijze uitvoering kan worden gegeven aan de rol die Team Audit binnen de gemeente Breda moet innemen De gemeente Breda kent het College van B&W als Audit Committee waarmee de onafhankelijkheid van Team Audit ten opzichte van het ambtelijk bestuur wordt gewaarbord. Team Audit levert korte en bondige rapportages, waarmee snel duidelijk wordt waaraan het bij de beoordeelde processen schort. Team Audit gebruikt een standaard werkwijze om de resultaten van de audits te beoordelen. Hiermee kan het directieoverleg goed prioriteit stellen in de verbeteringen die het lijnmanagement moet doorvoeren.

Vereiste verbeterpunten De vereiste verbeteringen zijn verplichte verbeteringen om te voldoen aan de IIA-standaarden. In hoofdstuk 3 rapporteren we vier vereiste verbeteringen. De vereiste verbeteringen hebben betrekking op: Het uitgebreider rapporteren over het uitgevoerde interne assessment, zodat duidelijk wordt aan welke aspecten van het IPPF Team audit nog niet voldoet. Stel op basis van het interne assessment een verbeterplan op met concrete acties, waarover aan het directieoverleg kan worden verantwoord. Maak de bespreking van de aanbevelingen met het lijnmanagement over de afhandeling van de aanbevelingen onderdeel van de auditrapportagefase. Hiermee wordt latere discussie over de bevindingen en aanbevelingen met het lijnmanagement voorkomen én wordt bij de behandeling van het auditrapport meteen duidelijk is met welke actieplannen de bevinding wordt afgehandeld. Verstuur de auditrapportage met de actieplannen aan de lijnverantwoordelijke en de proceseigenaar, zodat zij uitvoering kunnen geven aan de afgesproken actieplannen. 7/24

Aanbevelingen In de hoofdstukken 3 geven we twaalf gedetailleerde aanbevelingen. We moedigen Team Audit aan om deze aanbevelingen over te nemen, om zo de interne auditprocessen verder te verbeteren en nog meer toegevoegde waarde te leveren aan de organisatie.

8/24

2.3

Ambitie van Team Audit

Tijdens de interviews met Team Audit en de verschillende stakeholders hebben we geprobeerd een aantal ambities te identificeren die kunnen helpen om nog meer waarde toe te voegen aan de organisatie. Om nog beter in te spelen op de behoefte van de organisatie, kan Team Audit het volgende doen: Inspanningen leveren om verder te groeien in de rol van trusted advisor en partner op IT-gebied. Verder groeien in het ondersteunen van de organisatie op het gebied van culturele aspecten en ESG (bijv. focus op het bereiken dat nietfinanciële gegevens volgens dezelfde standaarden worden vastgelegd en verwerkt als financiële gegevens). Bewaken van de inbreng van Team Audit ten aanzien van de eerste en tweede lijns-activiteiten. Aandacht besteden aan de inrichting van rapportages aan verschillende gremia (o.a. detailleringsniveau, het geven van positieve feedback, terughoudendheid in verspreiding). Inspanning om de samenwerking met de externe accountant te versterken teneinde de algehele controle inspanningen te beheersen (o.a. op rechtmatigheidsonderzoek, optimal audit coverage). Om de ambitieniveaus op professioneel werken te bereiken, kan Team Audit de volgende inspanningen leveren: Meer gebruikmaken van state-of-the-art auditinnovaties en -tooling in een meer geautomatiseerde omgeving (bijv. meer gebruikmaken van data analytics en AI bij risicobeoordelingen, agile werken, etc.).

In het licht van de invoering van de GIAS per 1 januari 2025, adviseren wij Team Audit de komende maanden een impactanalyse te maken om de effecten van de nieuwe standaarden helder te krijgen en het komende jaar te werken om de compliance te realiseren. Om de ambities in personeelsbeleid te realiseren, zouden de volgende inspanningen geleverd moeten worden: Blijvend aandacht geven aan de professionele en persoonlijke groei van de huidige auditors. Bespreek actief met het (HR-)management de mogelijkheid om het werken bij Team Audit onderdeel te maken van de loopbaanontwikkeling en de strategische HR-planning binnen de gemeente-organisatie. Vergroot de zichtbaarheid van gemeente Breda op de arbeidsmarkt door een grotere participatie bij de beroepsorganisatie van internal auditors. 9/24

2.4

Reactie Coördinator Team Audit

Medio 2023 heeft de directie ingestemd met het plan van aanpak Professionalisering Auditfunctie. In dit plan werd de ambitie uitgesproken om als gemeente Breda vanaf 2025 te beschikken over een Interne auditfunctie conform de IIA-standaarden met als scope de brede beheersing van de gemeente Breda, inclusief aspecten als governance en risicomanagement. Na vaststelling van dit plan van aanpak is stelselmatig en met veel energie gebouwd aan versterking van de auditfunctie én is bewust gekozen voor een externe kwaliteitstoetsing. In 2024 hebben wij Kwaliteitstoetsingen IIA Nederland (KIN) gevraagd om een externe kwaliteitstoetsing uit te voeren. Met de uitkomsten van de door hen uitgevoerde pre-assessment in juni 2024 was duidelijk welke stappen wij als auditfunctie nog moesten zetten om aan de IIA-standaarden te voldoen. De gesprekken met de externe kwaliteitstoetsers waren zeer waardevol en constructief. Zij hebben ons op weg geholpen om tot een duidelijkere positionering in de organisatie èn uitwerking c.q. implementatie van onze basiswerkwijze in een kwaliteitshandboek én ons audit managementsysteem te komen. Inmiddels is de definitieve toetsing afgerond en is duidelijk geworden dat we enorme stappen hebben gezet in onze prestaties en kwaliteit. We herkennen ons in de inhoud van de rapportage.

Het rapport is helder en geeft mooie aanknopingspunten voor de vereiste verbeterpunten en aanbevelingen waar we mee aan de slag gaan, want stilstand is achteruitgang. En toch vraagt dit moment, het bereiken van deze mijlpaal, om even stil te staan; wat slingers op te hangen én als coördinator vooral trots te zijn op deze teamprestatie. Team Audit Breda heeft het gewoon gedaan! Naast dank voor de positief-kritische houding van de externe kwaliteitstoetsers danken we ook het bestuur en directie van Breda voor het vertrouwen en draagvlak voor de doorontwikkeling van de auditfunctie. En ten slotte ook een speciaal woord van dank aan William Lagendijk voor zijn tomeloze inzet en vasthoudendheid in dit traject.

10/24