2025.12.04 Bijlage 4 Boardletter 2025 Gemeente Breda

28 NOVEMBER 2025

BOARDLETTER 2025

Gemeente Breda

BDO Audit & Assurance B.V., Weena 764, 3014 DA Rotterdam, www.bdo.nl

Aan: Gemeente Breda T.a.v. de gemeenteraad Claudius Prinsenlaan 10 4811 DJ BREDA

Rotterdam, 28 november 2025 Kenmerk: MS/AK/JWB/RAxxx

Geachte leden van de raad, In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2025 (en verder) van gemeente Breda brengen wij met onze eerste boardletter voor u, verslag uit over onze bevindingen naar aanleiding van onze interimcontrole. De samenwerking met de ambtelijke organisatie is door ons als constructief en plezierig ervaren. Deze boardletter bevat onze belangrijkste observaties en bevindingen ten aanzien van de processen binnen gemeente Breda en de daarin opgenomen beheersingssystemen. In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelfcontrolerend vermogen binnen de organisatie. Tijdens onze bezoeken aan gemeente Breda komen wij ook in aanraking met andere ontwikkelingen van de organisatie en bedrijfsvoering. We bespreken graag een aantal van die andere ontwikkelingen met u. In deze boardletter besteden we daarom ook aandacht aan ontwikkelingen op andere gebieden dan de processen. De boardletter bespreken we tijdens de vergadering met de auditcommissie op 4 december 2025. Wij hopen u met dit verslag van dienst te zijn. Vanzelfsprekend zijn wij graag bereid om een nadere toelichting op de inhoud te geven.

Met vriendelijke groet, BDO Audit & Assurance B.V. namens deze,

C.M. (Marc) Steehouwer MSc RA Partner

3

BOARDLETTER 2025 – GEMEENTE BREDA

Inhoudsopgave

01

02

03

Dashboard interim-controle

Ontwikkelingen en aandachtspunten

Observaties en bevindingen interim-controle

4

BOARDLETTER 2025 – GEMEENTE BREDA

1. Dashboard interim-controle

1.1 Dashboard interim-controle

5

BOARDLETTER 2025 – GEMEENTE BREDA

UW INTERNE BEHEERSING

ONTWIKKELINGEN & AANDACHTSPUNTEN

We hebben een fijne samenwerking ervaren. De kwaliteit van de oplevering is over het algemeen op orde Voor boekjaar 2025 zijn wij voor de eerste keer de controlerend accountant van gemeente Breda. De samenwerking is door ons als constructief en plezierig ervaren. De kwaliteit van de oplevering is over het algemeen (goed) op orde, maar op onderdelen is tijdigheid een aandachtspunt. Wij constateren dat we elkaar steeds beter weten te vinden, ook als het gaat om zaken die wat verder weg staan van de controle van de jaarrekening.

Voor de jaarrekening 2025 is nog een aantal acties vereist (niet limitatief)  Wij zien geen grote obstakels richting de jaarrekeningcontrole komend voorjaar. Wel dringen wij aan op het tijdig uitwerken van een detailplanning voor de aanlevering met daarin expliciet aandacht voor SiSa/SPUK’s.  Wel acties vereist voor de organisatie om o.a.: de onzekerheid rondom de volledigheid van de voorziening voor dubieuze debiteuren sociale zaken te beperken, de toereikendheid van de onderhoudsvoorziening (vastgoedbeheer) o.b.v. actuele beheerplannen te onderbouwen, het niet naleven van de WID binnen de Wmo te ‘herstellen’ en de impact van onjuist toegepaste afschrijvingsmethodiek ultimo 2025 te bepalen.

De interne beheersing is van voldoende niveau De processen en gerelateerde beheersingsmaatregelen zijn niet veel gewijzigd t.o.v. vorig jaar. We concluderen dat de interne beheersing en controleomgeving van gemeente Breda, voor zover relevant voor de jaarrekeningcontrole, van voldoende niveau is, rekening houdend met de werkzaamheden van Team Audit achteraf.

Geen (aanwijzingen of signalen van) fraude en non-compliance geïdentificeerd  Breda heeft de basis op orde. Verbetering is mogelijk door de frauderisicoanalyse uit te breiden naar alle materiële stromen inclusief IT en cyber en deze jaarlijks te actualiseren en aan te bieden aan de auditcommissie voor bewustwording.

Er wordt zichtbaar gewerkt aan verbetering We constateren dat gemeente Breda actief aan de slag is en gaat met de opvolging van bevindingen van Team Audit, de voorgaande accountant en bevindingen die wij tussentijds rapporteren. Daarnaast zien we dat de organisatie prioriteit geeft aan de organisatieontwikkeling. Dit zien wij bijvoorbeeld terug in het Uitvoeringsprogramma FIT 2024-2026 en de vaststelling van het handboek FIT Sturen 1.0.

Ontwikkelingen in wet- en regelgeving m.b.t. NIS2/BIO2 en de APPA-voorziening  Breda heeft een volwassen fundament voor informatiebeveiliging, waarbij meerdere elementen zijn ingericht, in lijn met wetgeving. Enkele aspecten resteren die aandacht vereisen i.v.m. het verhogen van digitale weerbaarheid.  Commissie BBV komt in november 2025 met een bericht over de impact van het gewijzigde pensioenstelsel op de APPA-voorziening.

RECHTMATIGHEIDSVERANTWOORDING EN TEAM AUDIT

BELANGRIJKSTE BEVINDINGEN MATERIELE PROCESSEN

In het kader van de rechtmatigheidsverantwoording zijn er ten opzichte van vorig jaar beperkt ontwikkelingen  U heeft de verantwoordingsgrens in de aangepaste financiële verordening voor 2025 vastgesteld op 2% (€18,1 miljoen). De rapportagegrens is bepaald op € 500.000.  In 2024 was het oordeel van het college in de rechtmatigheidsverantwoording; ‘onrechtmatig’, voornamelijk door (acceptabele) begrotingsonrechtmatigheden. Breda kan stappen zetten in het voorspellend vermogen van de begroting. Wij constateren dat Breda binnen de lopende verbeteracties van de P&C-cyclus hier aandacht voor heeft.

Gemeente Breda monitort in de eerste rapportage van Team Audit de voortgang van de opvolging van de bevindingen van de accountant en de eigen bevindingen Van de opvolging van de 11 openstaande bevindingen van de voorgaande accountant zijn er 7 onderhanden. Wij hebben in deze interim-controle 7 nieuwe bevindingen geïdentificeerd. Op dit moment is sprake van twee bevindingen met prioriteit ‘hoog’:

Team Audit heeft de afgelopen periode mooie stappen gezet met o.a. de IIA certificering. Op onderdelen zien wij ruimte voor een (verdere) doorgroei  We zien dat Team Audit als sluitstuk van de interne beheersing dient. Interne beheersmaatregelen die niet, of niet voldoende worden uitgevoerd in de eerste of tweede lijn worden uiteindelijk opgepakt in de derde lijn door Team Audit.  We steunen op de werkzaamheden van Team Audit, wel dringen wij er op aan, waar dit past binnen de governancestructuur van Breda, aandacht te geven aan een aantal ‘formaliteiten’ die borgen dat Team Audit objectief en competent is/blijft.  Doorontwikkeling van Team Audit is mogelijk door kwaliteitsverbetering, focus op toetsing van interne beheersmaatregelen en vastlegging van de rolverdeling tussen Team Audit en FIJ en andere teams in de jaarplannen 2026.  Wij hebben enkele observaties en aanbevelingen om de kwaliteit van de interne controlewerkzaamheden en het lerend en zelfcontrolerend vermogen van de eerste en tweede lijn te vergroten.

geen zichtbare documentatie van de prestatielevering in Proactis. Wij realiseren ons dat Proactis geen functionaliteit biedt om de vastlegging van de prestatieverklaring af te dwingen, echter vinden wij het toch onze rol om dit te rapporteren. Momenteel wordt gewerkt aan een aanpak om (projectmatig) te trainen, kaders te stellen en richtlijnen mee te geven, alsmede rolduidelijkheid in het proces te creëren.  Memoriaalboekingen: functiescheiding wordt niet afgedwongen in de financiële administratie (danwel is achteraf niet altijd zichtbaar). Vanaf komend voorjaar wordt e.e.a. via een workflow in ERPx (wel) afgedwongen.  Factuurafhandeling:

Onze algemene indruk is dat gemeente Breda op het gebied van IT-beheersing in control is. Wel hebben we enkele aanbevelingen  Het toekennen en periodiek controleren van gebruikersrechten behoeft aandacht.  Een belangrijke IT-ontwikkeling binnen de gemeente Breda is de overgang van K2F naar ERPx per begin 2026. Er wordt voldoende prioriteit gegeven aan acties om de juistheid en de volledigheid van de datamigratie te borgen.

6

BOARDLETTER 2025 – GEMEENTE BREDA

2. Ontwikkelingen en aandachtspunten

2.1 Aandachtspunten 2.2 Ontwikkelingen in relevante wet- en regelgeving

7

BOARDLETTER 2025 – GEMEENTE BREDA

2.1 Aandachtspunten (1) In oktober 2025 zijn de aangepaste financiële verordening en het controleprotocol vastgesteld door de gemeenteraad en sluiten aan op de wijzigingen in het BBV en het BADO. De (wettelijke) materialiteit voor gemeenten is verhoogd naar 2% Vanaf boekjaar 2025 is de wettelijke controlegrens voor de accountant verhoogd van 1% naar 2%. Voor gemeente Breda komt dit, op basis van de begroting, uit op een controlegrens voor 2025 van € 18,1 miljoen. Deze wijziging betreft tevens de samenvoeging van de controlegrens van 1% voor fouten en 3% voor onzekerheden tot één norm van 2%. De omvangsbasis is gelijk aan de totale lasten van Breda, excl. toevoegingen aan reserves. In oktober 2025 zijn de aangepaste financiële verordening en het controleprotocol ter vaststelling aan de gemeenteraad voorgelegd en sluiten aan op de wijzigingen in het BBV en het BADO. Door de aanpassing van het BBV heeft gemeente Breda de verantwoordingsgrens voor 2025 verhoogd van 1% naar 2% Het wetgevingstraject rondom de rechtmatigheidsverantwoording is voor gemeenten afgerond op 21 maart 2025. Gemeente Breda hanteerde voor 2024 nog een verantwoordingsgrens van 1% (€ 9,2 miljoen op basis van de jaarrekening 2024).

Naar aanleiding van de afgeronde wijzigingen in het BBV wijzigt vanaf boekjaar 2025 het maximum van de door de raad vastgestelde verantwoordingsgrens naar 2% van de lasten exclusief dotaties aan reserves. Op basis van de begroting 2025 zal de verantwoordingsgrens voor 2025 € 18,1 miljoen bedragen. Dit is gelijk aan de wettelijke materialiteit die in het kader van de jaarrekeningcontrole over 2025 door ons wordt gehanteerd (zie voorgaande paragraaf). De rapportagegrens bedraagt € 500.000. In oktober 2025 is de, in dit kader aangepaste, financiële verordening vastgesteld door de gemeenteraad. In 2024 was het oordeel van het college in de rechtmatigheidsverantwoording; ‘onrechtmatig’, voornamelijk door (acceptabele) begrotingsonrechtmatigheden In de rechtmatigheidsverantwoording 2024 heeft het college van Breda verantwoord dat de in de jaarrekening 2024 verantwoorde baten en lasten alsmede de balansmutaties die niet rechtmatig tot stand zijn gekomen, voornamelijk het gevolg zijn van (acceptabele) begrotingsonrechtmatigheden van in totaal € 35,5 miljoen. Op basis hiervan is het onze observatie dat

gemeente Breda nog stappen kan zetten in het voorspellend vermogen van de begroting. Wij constateren dat gemeente Breda binnen de lopende verbeteracties van de P&C-cyclus hier aandacht voor heeft, maar kan meer nadruk geven aan hoe te komen tot een (meer) realistische begroting. Een realistische begroting vraagt om een goede onderbouwing. Een goede onderbouwing zorgt voor transparantie, betrouwbaarheid en uitlegbaarheid van de cijfers. Aandachtspunten voor gemeente Breda hierbij zouden kunnen zijn (deels reeds onderdeel van lopende verbeteracties van de P&C-cyclus en de pilot met programma 1):  Het formuleren van beleidsuitgangspunten en doelstellingen;  Koppeling van de begroting met prestaties en effecten (Kpi's);  Voldoende aandacht voor risicoanalyse en beschrijven van onzekerheden;  Transparantie in aannames achter de begrotingsonderdelen;  Aandacht voor uitvoerbaarheid van taken;  Gebruik maken van actuele beheerplannen en investeringsprogramma’s; en  Uniform begrotingsproces, maar een methode per taakveld voor flexibiliteit en maatwerk.

Werken aan wendbaarheid en weerbaarheid gaat hand in hand met het versterken van de sturingskracht van gemeente Breda Doel zou moeten zijn om van een budget gestuurde taakuitvoering (binnen het budget wordt getracht zoveel mogelijk taken uit te voeren) via de ‘basis op orde’ (de taken en ambities en daaruit volgende prioriteiten zijn leidend, de financiën zijn daarop ingericht en worden ook zo gestuurd) te komen tot sturing, processen, inzet van mensen, de systemen en budgetten die zijn ingericht op het realiseren van de gewenste uitkomst van de taken en ambities. Begin 2026 zijn er gemeenteraadsverkiezingen en wij adviseren de ambtelijke organisatie samen met het college scenario’s uit te werken en een prioritering in keuzes voor te bereiden in een overdrachtsdossier voor het volgende college. Daarnaast adviseren wij activiteiten te faseren gekoppeld aan de ambities, maatschappelijke doelen en uitvoeringskracht over de verschillende begrotingsjaren. Wij hebben begrepen dat dit binnen Breda deels al als zo is ingericht.

8

BOARDLETTER 2025 – GEMEENTE BREDA

2.1 Aandachtspunten (2) Aandacht voor beperken onzekerheden m.b.t. prestatielevering Wmo en Jeugdhulp en actualisatie van het normenkader in 2026 vereist. De organisatieontwikkeling heeft met het Uitvoeringsprogramma FIT 20242026 een forse impuls gekregen Op meerdere onderdelen is en wordt voortdurend geïnvesteerd om de organisatie te professionaliseren en flexibel, integraal en toekomstgericht te maken. Met het vaststellen van het handboek FIT Sturen 1.0 van de gemeente Breda heeft het directieteam in 2025 weer een volgende stap gezet. In het kader van de jaarrekeningcontrole hebben wij kennisgenomen van het Uitvoeringsprogramma en de voortgangsrapportage. Al met al ligt er een complete agenda voor organisatieontwikkeling en wordt de uitvoering steeds meer gedragen binnen de organisatie. Een expliciete formulering van Kpi's, het uitzetten van een realistisch tijdpad en de prioritering en monitoring van acties is een slag die nog gemaakt kan worden. Voor 2026 is een actualisatie van het normenkader noodzakelijk om de reikwijdte van de rechtmatigheidscontroles te bepalen Het normenkader heeft als doel de reikwijdte te bepalen van de rechtmatigheidscontrole zoals vastgelegd in artikel 213 van de Gemeentewet, het BADO en artikel 3.1 van de kadernota rechtmatigheid. Gemeente Breda heeft in haar normenkader geen externe wet- en regelgeving opgenomen.

Externe wet- en regelgeving opgesteld door de hogere overheden, voor zover deze een relatie hebben met het financieel beheer en de inrichting van de financiële organisatie van gemeente Breda, dienen onderdeel te zijn van het normenkader. Wij dringen erop aan de externe wet- en regelgeving bij de eerstvolgende actualisatie toe te voegen aan het normenkader alvorens deze ter vaststelling aan de gemeenteraad wordt vastgelegd. Wij hebben vastgesteld dat externe wet- en regelgeving wel onderdeel is van de interne controles/ audits. Wij adviseren gemeente Breda om maatregelen uit te breiden c.q. meer zichtbaar te maken om de onzekerheden rondom prestatielevering in het sociaal domein (2024: € 4,0 miljoen) te verkleinen In 2024 ontving gemeente Breda voor een groot deel van de lasten Wmo en

Jeugdhulp een productieverantwoording met controleverklaring. Voor een deel van de lasten was dit niet het geval. Gemeente Breda heeft echter andere maatregelen getroffen waarmee zij waarborgt dat de prestatie voor deze lasten ook geleverd wordt. Deze maatregelen waren echter niet voldoende om de onzekerheden te beperken tot nihil. Daarom rapporteerde de voorgaande accountant in zijn accountantsverslag 2024 een onzekerheid van € 4,0 miljoen. Dit lijkt relatief beperkt, maar door de wijziging van de BADO en BBV vanaf verslagjaar 2025 geldt er voor onzekerheden geen aparte materialiteitsgrens meer; onzekerheden worden opgeteld bij de fouten. Landelijk is bij een aantal gemeenten sprake van omvangrijke onzekerheden bij de Wmo en/of Jeugdhulp, omdat zijzelf geen controle op prestatielevering uitvoeren en de onzekerheden niet worden ondervangen door productieverantwoordingen en goedkeurende controleverklaring vanuit zorgaanbieders. Omvangrijke onzekerheden kunnen (in combinatie met ongecorrigeerde fouten uit de jaarrekeningcontrole) de materialiteit (potentieel) overschrijden. Als de materialiteit wordt overschreden, zal de gemeente alsnog werkzaamheden moeten uitvoeren om de onzekerheden te reduceren. Een herstelactie kan de bestuurlijke agenda en de jaarrekening(controle) beïnvloeden.

Gemeente Breda ontvangt vanuit de grotere zorgaanbieders productieverantwoordingen met controleverklaring. Daarmee wordt voor deze grotere zorgaanbieders reeds zekerheid verkregen over het aspect prestatielevering. Maatregelen die gemeente Breda inzet of (verder) kan inzetten om onzekerheden (verder) te beperken zijn:  Zichtbare toetsing in proces (vastgelegd contactmoment na afgifte beschikking);  Zichtbare toetsing in proces bij herindicatie en exitgesprekken;  Signalen uit eigen bijdrage worden opgepakt;  Signalen uit accountgesprekken met zorgaanbieders worden opgepakt;  Cliëntervaringsonderzoeken worden uitgevoerd en zichtbaar vastgelegd (er is bijvoorbeeld een 'belprotocol’);

9

BOARDLETTER 2025 – GEMEENTE BREDA

2.1 Aandachtspunten (3) Aandacht voor uitkomsten juridische analyse over (mogelijke) onrechtmatigheid maatwerkovereenkomsten. Acties vereist in het kader de onderbouwing voorziening dubieuze debiteuren sociale zaken en actualisatie van het MJOB.   

Betrouwbare klachtenregistratie en procedure aanwezig; Uitvoeren van controles bij zorgaanbieders zelf (risicogericht); Team Audit doet controles op bovenstaande maatregelen.

Gemeente Breda heeft preventief maatregelen genomen om de onzekerheden in het kader van de prestatielevering Wmo en Jeugdhulp grotendeels te mitigeren. Graag gaan wij met de organisatie in overleg over hoe deze werkzaamheden gedocumenteerd kunnen worden om er ook (voldoende) controlezekerheid uit te halen, zodat het risico op aanvullende werkzaamheden voor de gemeente in het voorjaar van 2026 wordt beperkt. Tevens kan het college overwegen om expliciet een besluit te nemen ten aanzien van het al dan niet verder beperken van de geconstateerde onzekerheden (kosten versus baten), zodat duidelijkheid ontstaat over de te volgen koers en de bijbehorende verantwoordelijkheden. Eind 2025 volgt een definitieve juridische analyse over (mogelijke) onrechtmatigheid in het kader van maatwerkovereenkomsten In 2024 werd een bedrag van € 1,6 miljoen als financieel onrechtmatig aangemerkt en € 2,9 miljoen als onduidelijk beschouwd, vanwege het ontbreken van voldoende juridische en administratieve onderbouwing voor de kwalificatie als maatwerk. In 2025 is een externe jurist ingeschakeld om een aanvullende juridische beoordeling uit te voeren met betrekking tot de (on)rechtmatigheid van de maatwerkovereenkomsten. Verwacht wordt dat eind 2025 een definitieve juridische analyse zal worden opgeleverd in de vorm van een formele advocatenbrief.

Op dit moment is de impact nog niet geheel duidelijk, maar voor de jaarrekeningcontrole 2025 vragen wij de gemeente een pleitbaar standpunt in dit kader uit te werken in een position paper. Acties vereist om de onzekerheid rondom de volledigheid van de voorziening voor dubieuze debiteuren sociale zaken te minimaliseren Al een aantal jaar heeft gemeente Breda onvoldoende zicht op de inbaarheid (en dus de waardering) van de openstaande posten van debiteuren sociale zaken.

Concreet gaat het hierbij om:  De uitgangspunten voor bepaling van de voorziening zijn onvoldoende diepgaand en gedetailleerd beschreven en niet nader onderbouwd (zowel de methodiek als gehanteerde percentages);  Onderliggende specificaties sluiten niet op elkaar aan; en  Incomplete data wordt gebruikt voor bepaling van de toereikendheid van de voorziening. De voorgaande accountant heeft in dit kader een onzekerheid van € 3,0 gerapporteerd in zijn accountantsverslag 2024. Door de wijziging van de BADO en BBV vanaf verslagjaar 2025 geldt voor onzekerheden geen aparte materialiteitsgrens meer; onzekerheden worden opgeteld bij de fouten. Omvangrijke onzekerheden kunnen (in combinatie met ongecorrigeerde fouten uit de jaarrekeningcontrole) de materialiteit (potentieel) overschrijden. De afgelopen periode hebben wij in dit kader enkele gesprekken gevoerd met de organisatie. Wij constateren echter dat er op dit moment onvoldoende acties ondernomen worden om deze onzekerheid te minimaliseren. Wij dringen erop aan om vooruitlopend op de jaarrekeningcontrole 2025 de uitgangspunten van de voorziening dubieuze debiteuren sociale zaken te onderbouwen. Uiteraard dienen sluitende specificaties het vertrekpunt te zijn. Hierop lopen reeds acties.

De juistheid/ toereikendheid van de onderhoudsvoorzieningen is een aandachtspunt Het MJOP van gemeente Breda is inmiddels vijf jaar oud en voldoet niet (meer) aan de vereisten voor een recent beheerplan vanuit het BBV. Daarnaast geldt dat op basis van de huidige beheerplannen over 4 tot 5 jaar sprake zal zijn van een ‘negatieve’ voorziening. Wij dringen erop aan dat op korte(re) termijn een geactualiseerd beheerplan wordt vastgesteld. Dit proces is inmiddels onderhanden.

10 BOARDLETTER 2025 – GEMEENTE BREDA

2.1 Aandachtspunten (4) Aandacht voor beperken onzekerheden m.b.t. prestatielevering Wmo en Jeugd en acties vereist in het kader van o.a. de waardering van debiteuren sociale zaken, herstelactie Wmo-identificatie. Gemeente Breda voert de Wet op de identificatieplicht (WID) binnen de Wmo niet uit. Procesaanpassingen en acties in het kader van de jaarrekening 2025 zijn noodzakelijk Tijdens de interim-controle 2025 hebben wij geconstateerd dat gemeente Breda de WID binnen het proces Wmo niet uitvoert. Naast dat dit een risico is in het kader van toekenning van zorg leidt dit, omdat de WID niet nageleefd wordt, (potentieel) tot omvangrijke onrechtmatigheden in de door het college af te geven rechtmatigheidsverantwoording. Vanuit meerdere besprekingen met de organisatie hebben wij begrepen dat een aanpassing in het primaire proces van de Wmo zal plaatsvinden door de identificatie van nieuwe cliënten op te nemen in de standaard procesgang van de Wmo. Het voornemen is om de identificatie van nieuwe cliënten vanaf 1 januari 2026 te laten starten. Voor bestaande cliënten zal een herstelactie uitgevoerd worden. Hoe en in welk tijdpad deze herstelactie zal plaatsvinden wordt momenteel door de organisatie (verder) uitgewerkt. Gemeente Breda laat zich in dit kader ondersteunen door een externe partij.

Om onrechtmatigheden voor 2025 te minimaliseren zijn wij met de organisatie in overleg om op basis van een steekproef voor 2025 een aantal cliënten (achteraf) te identificeren.

Momenteel onderzoekt gemeente Breda de financiële gevolgen voor jaarrekening 2025 van het feit dat in het verleden op het verkeerde moment gestart is met het afschrijven van investeringen In 2025 is geconstateerd dat investeringen worden geboekt in de financiële administratie waarna direct wordt gestart met het afschrijven op het actief. Dit is niet in lijn met het BBV, waarin staat dat ‘afschrijving start op het moment dat het actief beschikbaar is voor gebruik’. Voor de jaarrekening 2025 betekent dit dat mogelijk sprake is van een te lage boekwaarde van investeringen omdat in het verleden te vroeg gestart is met afschrijven (investeringsdatum in plaats van in gebruik name van het actief). Momenteel onderzoekt gemeente Breda de (mogelijke) financiële gevolgen voor de jaarrekening 2025. Met de inrichting en implementatie van ERPx wordt de huidige werkwijze aangepast in lijn met het BBV en het financieel beleid (financiële verordening). Wij hebben begrepen dat eind november hierover (meer) duidelijkheid bestaat.

11 BOARDLETTER 2025 – GEMEENTE BREDA

2.2 Ontwikkelingen in relevante wet- en regelgeving (1) Wij adviseren het colleges acties in het kader van NIS2 en Cyberbeveiligingswet verder te formaliseren. Hierdoor wordt tevens de digitale weerbaarheid van gemeente Breda structureel en toekomstbestendig versterkt. Gemeente Breda heeft op hoofdlijnen een volwassen fundament gelegd voor informatiebeveiliging, waarbij meerdere elementen aantoonbaar zijn ingericht dat in lijn met de NIS2 en Cyberbeveiligingswet De NIS2 (Network and Information Security 2) EU-richtlijn is een update van de eerdere NIS-richtlijn en is bedoeld om de cyberveiligheid en de cyberweerbaarheid van essentiële diensten in EU-lidstaten te verhogen. Daarmee wordt digitale weerbaarheid verder verankerd in wet- en regelgeving. Na eerder uitstel is nu de verwachting dat de NIS2-richtlijn in het tweede kwartaal van 2026 naar Nederlandse wetgeving is vertaald en nadien daadwerkelijk van kracht wordt onder de noemer ‘Cyberbeveiligingswet’. Organisaties vallen direct onder de Cyberbeveiligingswet, als zij actief zijn in aangewezen sectoren en gekenmerkt worden als ‘essentiële’ of ‘belangrijke’ entiteit. ‘Direct’ wil zeggen dat bovengenoemde verplichtingen voor deze organisaties direct gaan gelden zodra de wet in werking treedt. Overheidsorganisaties vallen onder de NIS2-wetgving.

Belangrijk is dat NIS2 aanvullende eisen stelt, die niet volledig door het huidige Baseline Informatiebeveiliging Overheid 2 (BIO2) beveiligingsraamwerk worden afgedekt. Dit betekent dat in de komende periode additionele maatregelen moeten worden getroffen om aan NIS2 te voldoen. Bestuurders kunnen aansprakelijk worden gesteld voor inbreuken op de beveiliging. Onafhankelijke toezichthouders gaan toezien op de naleving van de verplichtingen. Het betreft de volgende verplichtingen:  Zorgplicht: organisaties dienen een risicobeoordeling uit te voeren en op basis daarvan passende maatregelen te nemen om hun diensten te beveiligen. Er dient specifiek beleid te zijn voor onder andere. cyberhygiëne, bedrijfscontinuïteit, incident management, leveranciersmanagement (inclusief de toeleveringsketen).  Opleidingsplicht: bestuursorganen dienen opgeleid te zijn, evenals werknemers, om cyberrisico’s te identificeren, impact te bepalen en adequate beveiligingsmaatregelen te selecteren.



Meldplicht: cyberincidenten dienen binnen 24 uur bij de toezichthouder te worden gemeld. Tevens dient een cyberincident ook bij een sectorspecifiek Computer Security Incident Response Team (CSIRT) te worden gemeld, wat eventueel hulp en bijstand kan verlenen.

Op basis van onze werkzaamheden hebben wij geconstateerd dat gemeente Breda bezig is om haar kritieke landschap in kaart te brengen en er is veel aandacht voor informatiebeveiliging Er is een gap-analyse gemaakt op de BIO2 en de ambitie uitgesproken om de volwassenheidsniveaus voor kritieke applicatie op een 4 te krijgen en het overige op niveau 3. Gemeente Breda heeft op hoofdlijnen een volwassen fundament gelegd voor informatiebeveiliging, waarbij meerdere elementen aantoonbaar zijn ingericht in lijn met de NIS2 en Cyberbeveiligingswet. In het algemeen is er veel aandacht voor informatiebeveiliging binnen gemeente Breda. Zo worden gebruikers verplicht om cursussen te volgen bij indiensttreding, inclusief jaarlijkse updates. Tevens is er beleid voor technische maatregelen die benodigd zijn voor cyberweerbaarheid, worden wekelijks scans uitgevoerd en wordt jaarlijks een externe partij gevraagd om een penetratietest uit te voeren. Naast deze positieve basis zijn er enkele aspecten die aandacht vereisen in het kader van compliance met NIS2 en het verhogen van de digitale weerbaarheid De NIS2-richtlijn vereist dat organisaties een risico-gebaseerde aanpak hanteren, waarbij niet alleen interne processen maar ook externe afhankelijkheden (zoals leveranciers en ketenpartners) worden meegenomen in het beveiligingsbeleid.

De BIO sluit hierop aan door het loslaten van vaste BBNniveaus en het centraal stellen van risicomanagement en proportionaliteit. Gemeenten worden geacht hun leveranciers te classificeren op basis van cyberrisico en hierop passende maatregelen te treffen. Leveranciers zijn in toenemende mate een risico en een beleid helpt de impact van eventuele incidenten bij derde partijen minimaliseren.

12 BOARDLETTER 2025 – GEMEENTE BREDA

2.2 Ontwikkelingen in relevante wet- en regelgeving (2) Enkele relevante ontwikkelingen voor gemeente Breda m.b.t. de APPA-voorziening, de Wet DBA en de Notitie Rente van de commissie BBV. Daarnaast wordt verwacht dat gemeenten de detectie- en responscapaciteit versterken en continu verbeteren. Wij adviseren o.b.v. onze inzichten o.a.:  Een formeel beleid op te stellen voor het beheer van leveranciersrelaties (incl. koppelingen met derde partijen), te starten met een risicogebaseerde leveranciersanalyse en beveiligingsmaatregelen af stemmen op de impact en afhankelijkheid van externe partijen.  Een formeel ‘businesscontinuïteitsplan’ te implementeren dat jaarlijks wordt getest (incl. een IT continuïteitsplan). De commissie BBV zal in november 2025 met een standpunt komen inzake de voorziening voor pensioenaanspraken van politieke ambtsdragers Met de invoering van het nieuwe pensioenstelsel is besloten dat de APPApensioenaanspraken van politieke ambtsdragers in een pensioenfonds ondergebracht moeten zijn op uiterlijk 1 januari 2028. Het ministerie van Binnenlandse Zaken heeft een onderzoek gedaan om in beeld te hebben of de huidige pensioenvoorzieningen toereikend zijn voor deze overdracht.

De gemeenten die hieraan mee hebben gewerkt, hebben individueel een brief ontvangen waarin verschillende bedragen worden genoemd, zoals het benodigd vermogen per 1 januari 2025 en een herberekening van de voorziening 2024. Breda heeft ook meegedaan aan dit onderzoek. De brief kan tot vragen leiden op welke manier hier in de jaarrekening 2025 mee om moet gaan. Wij hebben begrepen dat de commissie BBV in november 2025 met een standpunt komt. Gemeente Breda heeft de kwalificatie van arbeidsrelaties (Wet DBA) en de bijbehorende risico’s voldoende in beeld Sinds de introductie van de Wet DBA in 2016 is sprake van een handhavingsmoratorium. Dit betekent dat de Belastingdienst niet controleert en handhaaft

op het bestaan van een dienstbetrekking, tenzij sprake is van kwaadwillendheid. Vanaf 1 januari 2025 is het handhavingsmoratorium vervallen en gaat de Belastingdienst weer volledig handhaven. Er kunnen dus naheffingsrisico’s ontstaan. Organisaties die werken met zelfstandigen die eigenlijk werknemer zijn, lopen financiële risico’s. Zo is er vanaf 1 januari 2025 sprake van een naheffingsrisico vanuit de Belastingdienst. Ook kunnen zelfstandigen die eigenlijk werknemer zijn vorderingen instellen op grond van arbeidsrechtelijke verplichtingen en kunnen verplichte pensioenregelingen leiden tot pensioenvorderingen. Om dergelijke risico’s te voorkomen is het voor organisaties die zelfstandigen inhuren van belang om de huidige inhuur van zelfstandigen en het inhuurproces onder de loep te nemen. De inhuurdesk van gemeente Breda monitort middels periodieke analyses de naleving van de Wet DBA. Het aantal risicodossiers voor gemeente Breda is beperkt. Wij concluderen dat de gemeente de risico’s voldoende in beeld heeft. Er is sinds kort een model beschikbaar om restwaarde te berekenen bij circulaire bouw Invest NL heeft een model ontwikkeld waarmee de restwaarde van een actief bepaald kan worden bij circulaire bouw. Dit model/ deze berekening kan onder andere in de transitie van de onderwijshuisvesting een uitgangspunt vormen voor bepaling van de restwaarde van de betreffende gebouwen.

Een aantal gemeenten is hiermee aan het experimenteren. Omdat circulair bouwen ook speelt bij gemeente Breda en deze systematiek het dekkingsvraagstuk verkleint, geven wij de toepassing van dit model graag ter overweging mee.

13 BOARDLETTER 2025 – GEMEENTE BREDA

3. Observaties en bevindingen interimcontrole 3.1 Controleaanpak en aandacht voor fraude, corruptie en non-compliance 3.2 Onze werkzaamheden bij de processen 3.3 Overzicht van onze bevindingen bij de processen 3.4 Overzicht van onze bevindingen t.a.v. de IT 3.5 Intern Auditfunctie – Team Audit

14 BOARDLETTER 2025 – GEMEENTE BREDA

3.1 Controleaanpak en aandacht voor fraude, corruptie en non-compliance (1) In het kader van de controle van de jaarrekening 2025 en onze aanpak hebben wij een zogenaamde initiële risicoinschatting gemaakt. Wij zien (vooralsnog) één verhoogd risico voor de jaarrekeningcontrole 2025. Het doel van de jaarrekeningcontrole is om een oordeel tot uitdrukking te brengen over de getrouwheid van de jaarrekening van gemeente Breda De controle heeft onder meer betrekking op het overwegen van de interne beheersing die relevant is voor het opstellen van de jaarrekening, teneinde controlewerkzaamheden op te zetten die in de gegeven omstandigheden passend zijn, maar niet met het doel om een oordeel te geven over de effectiviteit van de interne beheersing. Het gaat hierbij niet alleen om de kwaliteit van de accountantscontrole, maar ook over de wijze waarop gemeente Breda hiervan kan profiteren. Op basis van onze bevindingen bij deze werkzaamheden, geven wij, in het kader van onze natuurlijke adviesfunctie, in deze boardletter aanbevelingen over de opzet van de administratieve organisatie en berichten wij u over vastgestelde tekortkomingen in de uitvoering daarvan en in hoeverre corrigerende maatregelen door het management zijn genomen.

De aangelegenheden waarover wij rapporteren, betreffen die tekortkomingen die tijdens de controle zijn geïdentificeerd en waarvan wij van mening zijn dat deze voldoende belangrijk zijn om verslag van te doen. Op basis van onze initiële risico-inschatting zien wij (vooralsnog) één verhoogd risico voor de jaarrekeningcontrole 2025 In het kader van de controle van de jaarrekening 2025 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien hierin (vooralsnog) geen andere significante risico’s dan het hierna verder uitgewerkte en voor alle jaarrekeningcontroles door ons verplicht te onderkennen risico:  Het risico van management override of internal controls: In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding van de jaarcijfers door het college, de directie of het management) als een verplicht significant risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Om het risico te mitigeren, beoordelen wij schattingsprocessen en verrichten we controlewerkzaamheden rondom memoriaalboekingen

(handmatige boekingen). Wij hebben geen indicaties dat dit het geval is binnen Breda, maar zijn op basis van de controlestandaarden verplicht hier aandacht aan te geven. In onze controleverklaring rapporteren wij over de belangrijke frauderisico’s en de inschatting van het college om risico’s vanuit de bedrijfsvoering financieel op te vangen Als sprake is van belangrijke frauderisico’s zullen wij in onze controleverklaring bij de jaarrekening 2025 rapporteren welke werkzaamheden wij hebben uitgevoerd om de belangrijke frauderisico’s te mitigeren. Daarnaast rapporteren wij in onze controleverklaring over de inschatting van het college van gemeente Breda om de risico’s vanuit de bedrijfsvoering financieel op te vangen en welke werkzaamheden wij op de inschatting van het college hebben uitgevoerd.

15 BOARDLETTER 2025 – GEMEENTE BREDA

3.1 Controleaanpak en aandacht voor fraude, corruptie en non-compliance (2) Gemeente Breda heeft de basis op orde. Verdere verbetering is mogelijk door de frauderisicoanalyse uit te breiden naar alle materiele stromen inclusief IT en cyber en deze vervolgens jaarlijks te actualiseren en aan te bieden aan de auditcommissie. Onze bevindingen ten aanzien van fraude(risicobeheersing) en corruptie Organisaties in het publieke domein zoals gemeente Breda worden geconfronteerd met uiteenlopende uitdagingen, waaronder schaarste aan personeel en middelen, de impact van social media en de voortschrijdende digitalisering en automatisering. In deze dynamische omgeving is het cruciaal dat organisaties zich positioneren als stabiele en betrouwbare partners. Het publieke vertrouwen is daarbij van groot belang. Fraude kan aanzienlijke gevolgen hebben, niet alleen financieel maar ook op het gebied van reputatie. Een doeltreffende inrichting van frauderisicobeheersing bestaat minimaal uit de volgende onderdelen: een up-to-date fraude- en corruptiebeleid, een doorlopende frauderisicoanalyse, doeltreffend werkende maatregelen voor het beheersen van frauderisico’s, het monitoren van de goede werking van de beheersmaatregelen en een actueel frauderesponsplan. ONZE BEVINDINGEN IN HET KADER VAN FRAUDE(RISICOBEHEERSING) EN CORRUPTIE Aandachtsgebieden

2025

Evaluatie



Door gemeente Breda is een gedragscode, integriteitsbeleid (en een versterkingsplan) en klokkenluidersregeling geformaliseerd. Tevens wordt jaarlijks (o.a. vanuit de vertrouwenspersonen) gerapporteerd over incidenten (voor zover van toepassing). Inherent is bij gemeente Breda sprake van een corruptierisico bij het verstrekken van subsidies, in het inkoopproces (aanbestedingen), grondtransacties en vergunningverleningen. Gemeente Breda heeft geen centraal geformaliseerd beleid met betrekking tot het voorkomen van corruptie en ondermijning. (In)formeel is er overigens wel sprake van een mix aan (anti-) corruptiemaatregelen. Een verbeterslag die gemeente Breda nog kan maken is het expliciet integreren van de corruptierisico’s in de frauderisicoanalyse.

Doorlopende frauderisicoanalyse



Gemeente Breda heeft een frauderisicoanalyse voor de materiële processen betalingsorganisatie, inkoop en aanbestedingen, grondexploitaties, verstrekte subsidies, sociaal domein en opbrengsten geformaliseerd. In 2024 heeft een verdiepende actualisatie van een deel van de frauderisicoanalyse plaatsgevonden. Om de frauderisicoanalyse verder te verbeteren raden we aan om de motivering achter de risicoclassificatie (kans * impact) met meer diepgang uit te werken. Onze inschatting is dat dit niet direct tot andere conclusies zal leiden. Wij hebben het college geadviseerd de frauderisicoanalyse uit te breiden naar alle materiele stromen binnen de gemeente Breda, inclusief IT en cyber en deze vervolgens jaarlijks te actualiseren en aan te bieden aan de auditcommissie.

Doeltreffend werkende maatregelen voor het beheersen van frauderisico’s



Effectieve frauderisicobeheersing vraagt niet alleen om beleid en analyse, maar ook om het nemen van concrete maatregelen zoals functiescheiding, autorisatiesystemen en controles. Vanuit onze werkzaamheden tijdens de interim-controle 2025 zien wij dat binnen de materiele processen van gemeente Breda sprake is van een effectieve interne beheersing, rekening houdend met de werkzaamheden van Team Audit achteraf.

Het monitoren van de goede werking van de beheersmaatregelen



Gemeente Breda monitort de werking van de interne beheersingsmaatregelen, vooral door de werkzaamheden van Team Audit achteraf. Tot en met medio 2025 is geen sprake van geconstateerde fraude. Daarnaast volgen vanuit de werkzaamheden van Team Audit geen aanwijzingen voor materiële bevindingen met betrekking tot misbruik en oneigenlijk gebruik.

Frauderesponsplan



Gemeente Breda beschikt niet over een geformaliseerd frauderesponsplan. Een aantal aspecten komen wel terug in het Handboek. Een frauderesponsplan stelt gemeente Breda in staat om adequaat en voortvarend te handelen om schade voor de organisatie, in welke vorm dan ook, zoveel mogelijk te beperken. Ter inspiratie: de werkgroep Fraude van de NBA heeft de handreiking ‘Opstellen frauderesponsplan – Aanbevelingen voor bestuurders en toezichthouders’ ontwikkeld.

Totaal indruk



Gemeente Breda heeft de basis op orde. Verdere verbetering is mogelijk door de frauderisicoanalyse uit te breiden naar alle materiele stromen inclusief IT en cyber en deze vervolgens jaarlijks te actualiseren en aan te bieden aan de auditcommissie.

Up-to-date fraude- en corruptiebeleid

― geen waarneming

nieuwe bevinding

 geen progressie

 enigszins progressie

 veel progressie

 toereikend opgevolgd

16 BOARDLETTER 2025 – GEMEENTE BREDA

3.1 Controleaanpak en aandacht voor fraude, corruptie en non-compliance (3) Bij onze werkzaamheden en besprekingen hebben wij geen aanwijzingen voor materiële fraude en non-compliance geconstateerd. Op basis van onze besprekingen en controlewerkzaamheden hebben wij geen indicaties voor een materiële fraude Bij de planning voor de jaarrekeningcontrole van gemeente Breda houden wij rekening met het risico dat de jaarrekening als gevolg van fraude en onregelmatigheden onjuistheden van materieel belang zou kunnen bevatten. Daarnaast hebben wij beoordeeld in hoeverre sprake kan zijn van een risico omtrent corruptie of een risico omtrent het niet-naleven van wet- en regelgeving. Een van de door ons uitgevoerde maatregelen is het bespreken van de mogelijke frauderisico’s en fraudesituaties binnen de gemeente. Hiertoe hebben wij de mogelijke frauderisico’s en – situaties, mede aan de hand van de intern frauderisicoanalyse en de compliance vragenlijst, in kaart gebracht. Onze controlewerkzaamheden hebben geen indicaties voor materiële fraude opgeleverd. Tijdens de interim-controle hebben geen materiële non-compliance geconstateerd Wij hebben aandacht besteed aan de compliance met de voor de gemeente van toepassing zijnde wet- en regelgeving en overige bepalingen voor zover wij die van belang achten in het kader van onze controle van de jaarrekening.

Hierbij hebben wij de naleving van wet- en regelgeving besproken, mede aan de hand van de door de gemeente opgestelde analyse in de compliance vragenlijst. Bij die werkzaamheden hebben wij geen materiële non-compliance geconstateerd.

17 BOARDLETTER 2025 – GEMEENTE BREDA

3.2 Onze werkzaamheden bij de processen Vanuit onze natuurlijke adviesrol aanbevelingen op welke wijze verbeteringen in de interne beheersing mogelijk zijn.

Belangrijkste processen Aan de navolgende processen hebben wij specifiek aandacht geschonken tijdens onze interim-controle:  Betalingsorganisatie;  Factuurafhandeling;  Inhuur personeel;  Inkomende subsidies;  Inkoop en aanbesteding;  Jeugdhulp;  Participatiewet;  Personele lasten;  Verstrekte subsidies;  Wmo;  Begroten en verantwoording;  Memoriaalboekingen;  Huren en pachten;  Parkeeropbrengsten;  Grondexploitaties (schattingsproces);  Belastingopbrengsten;  Team Audit (zie paragraaf 3.5).

Voor elk proces beoordelen wij de volgende onderdelen:  AO/IB: Is sprake van een actuele en toereikende procesbeschrijving met voldoende beheersmaatregelen?  IT-maatregelen: Zijn in en rondom het systeem voldoende waarborgen getroffen ten aanzien van de betrouwbaarheid van de gegevensverwerking?  Team Audit: Heeft de derde lijn de interne beheersmaatregelen getoetst en kunnen wij daar gebruik van maken? Indien al deze vragen positief kunnen worden beantwoord, is gemeente Breda optimaal in control en kunnen ook wij gebruikmaken van de interne beheersing in de lijn. Een totaaloverzicht van de effectiviteit van de processen is opgenomen in paragraaf 3.3. Vanzelfsprekend geven wij vanuit onze natuurlijke adviesrol aanbevelingen over de wijze waarop verbeteringen in de interne beheersing mogelijk zijn. Het is van belang dat gemeente Breda zelf de keuze maakt welke mix van interne beheersingsmaatregelen (en dus ook risico's) acceptabel en optimaal worden gevonden. Onze controleaanpak en advisering zullen wij daarop afstemmen. Op de volgende pagina geven wij ons totaalbeeld van de significante processen.

18 BOARDLETTER 2025 – GEMEENTE BREDA

3.3 Overzicht van onze bevindingen bij de processen (1) De interne beheersing en controleomgeving van gemeente Breda zijn, met inachtneming van de achteraf uitgevoerde gegevensgerichte werkzaamheden door Team Audit, voldoende voor de jaarrekeningcontrole. Effectiviteit van de significante processen In het overzicht hieronder geven wij weer in hoeverre de processen voldoen aan onze normen. De onderstaande tabel bevat een overzicht van de status per proces. Waar wij hebben aangegeven dat het proces naar onze mening bevindingen bevat, betekent dit dat wij het college adviseren om hier actie op te ondernemen. Dit wil niet zeggen dat het gehele proces niet goed is opgezet of wordt uitgevoerd.

OVERZICHT VAN BEVINDINGEN VOORGAANDE ACCOUNTANT

PROCESSEN Proces

Opzet/ bestaan

IT

Team Audit *

Betalingsorganisatie







Factuurafhandeling







Inhuur personeel







Inkomende subsidies







Inkoop en aanbesteding







Jeugdhulp







Participatiewet







Personele lasten







Verstrekte subsidies







Wmo







Begroten en verantwoording





―

Memoriaalboekingen





―

Huren en pachten





―

Parkeeropbrengsten





―

Grondexploitaties (schattingsproces)





―

Belastingenopbrengsten





―

* Voor een aantal processen geldt dat Team Audit later in de tijd nog werkzaamheden uitvoert. Deze hebben wij nog niet kunnen beoordelen en daarom hier (vooralsnog) ‘geen waarneming’ gerapporteerd. ― geen waarneming

Overzicht van geconstateerde detailbevindingen uit voorgaande jaren (1) In onderstaand overzicht geven wij ons totaalbeeld van de geconstateerde detailbevindingen van de voorgaande accountant en de opvolging daarvan. Voor alle bevindingen geldt dat deze momenteel (deels) onderhanden zijn. Als de bevindingen opgevolgd zijn danwel gemotiveerd aangegeven wordt dat deze niet opgevolgd worden, zullen wij deze in de eerstvolgende boardletter afvoeren.

nieuwe bevinding

 geen progressie

 enigszins progressie

Nr.

Jaar

Detailbevinding

Prio

Voortgang

1

< 2025

Grondexploitaties (schattingsproces): de kwaliteit van dossiervorming en archivering van grondexploitaties is niet op het gewenste niveau.

Laag



2

< 2025

Inkomende subsidies: de subsidiekalender is niet volledig.

Middel



3

< 2025

Inkomende subsidies: geen centrale monitoring van de subsidievoorwaarden.

Middel



4

< 2025

Wmo/ Jeugdhulp: onzekerheid door onvoldoende interne beheersing omtrent de lasten sociaal domein.

Middel



5

< 2025

Belastingopbrengsten: geen interne beheersing omtrent belastingen na uitbesteding aan de Belastingsamenwerking West Brabant (BWB).

Laag



6

< 2025

Overige opbrengsten: toetsing op bouwaanvraag wordt niet zichtbaar vastgelegd en geen controletechnische functiescheiding in Powerbrowser aanwezig.

Laag



7

< 2025

Huren en pachten: geen controletechnische functiescheiding bij de invoer van tarieven voor vastgoedbeheer.

Laag



8

< 2025

Betalingsorganisatie: handmatige betalingen vinden plaats buiten de reguliere systemen.

Middel



9

< 2025

Factuurafhandeling: de prestatieverklaring wordt niet altijd zichtbaar vastgelegd of gecontroleerd voorafgaand aan een betaling.

Hoog



10

< 2025

Factuurafhandeling: geen sprake van het matchingprincipe bij inkomende facturen <50k ontvangen in het opeenvolgende boekjaar.

Middel



11

< 2025

Factuurafhandeling: monitoring ontbreekt op kritische handelingen binnen Proactis.

Middel



 veel progressie

 toereikend opgevolgd

19 BOARDLETTER 2025 – GEMEENTE BREDA

3.3 Overzicht van onze bevindingen bij de processen (2) De interne beheersing en controleomgeving van gemeente Breda zijn, met inachtneming van de achteraf uitgevoerde gegevensgerichte werkzaamheden door Team Audit, voldoende voor de jaarrekeningcontrole. Overzicht van nieuwe geconstateerde detailbevindingen In onderstaand overzicht geven wij ons totaalbeeld van de geconstateerde detailbevindingen. Als de bevindingen opgevolgd zijn, dan wel gemotiveerd aangegeven wordt dat deze niet opgevolgd worden, zullen wij deze in de eerstvolgende letter afvoeren. OVERZICHT VAN ONZE BEVINDINGEN T.A.V. DE PROCESSEN Nr.

Jaar

Detailbevinding

Prio

2025

Factuurafhandeling: geen zichtbare documentatie van de prestatielevering in Proactis (Proactis voorziet hier ook niet in).

Hoog

2

2025

functiescheiding wordt niet afgedwongen in de financiële administratie (dan wel is achteraf niet altijd zichtbaar). Vanaf komend voorjaar wordt e.e.a. via een workflow in ERPx (wel) afgedwongen, zo hebben wij begrepen.

Hoog

3

2025

Grondexploitaties (schattingsproces): proces actualisaties dient (verder) geformaliseerd te worden

Middel

4

2025

Verstrekte subsidies: (mogelijke) langdurige betrokkenheid van functionarissen.

Laag

5

2025

Participatiewet/Wmo/Jeugdhulp: geen controle prestatielevering Pgb’s, ondersteuningsplan niet zichtbaar gecontroleerd en geen integrale controle beoordeling door tweede functionaris.

Middel

6

2025

Wmo: Wet op de identificatieplicht (WID) wordt niet uitgevoerd.

Middel

7

2025

Huren en pachten: procesanalyse is nog niet volledig gedocumenteerd.

Middel

1

Voortgang

Op basis van onze observaties tijdens de interim-controle concluderen wij dat de interne beheersing en controleomgeving van gemeente Breda voor zover relevant voor de jaarrekeningcontrole van voldoende niveau is, rekening houdend met de werkzaamheden van Team Audit achteraf.

― geen waarneming

nieuwe bevinding

 geen progressie

 enigszins progressie

 veel progressie

 toereikend opgevolgd

20 BOARDLETTER 2025 – GEMEENTE BREDA

3.4 Overzicht van onze bevindingen t.a.v. de IT (1) Onze algemene indruk is dat gemeente Breda op het gebied van IT-beheersing in control is. Een belangrijke ITontwikkeling binnen de gemeente Breda is de overgang van K2F naar ERPx per begin 2026. In het kader van de jaarrekeningcontrole is een IT-audit uitgevoerd De accountant dient op basis van artikel 2:393, lid 4 BW, aandacht te besteden aan de bevindingen met betrekking tot de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. De IT-audit is primair gericht op de betrouwbaarheid van de gegevensverwerking ten behoeve van de totstandkoming van de jaarrekening. Dit betekent dat de IT-audit zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. Wij hebben de automatiseringsorganisatie dus uitsluitend in het kader van de jaarrekeningcontrole beoordeeld. Het inzicht in de gebruikte IT-applicaties en ondersteunende IT-infrastructuur vormt een onderdeel van het inzicht in de interne beheersing. Algemene ITbeheersingsmaatregelen (hierna: IT General Controls) rond de IT-processen leveren een belangrijke bijdrage aan het mitigeren van de risico's die voortkomen uit het gebruik van IT.

De scope van relevante IT General Controls wordt jaarlijks beoordeeld en kan hierdoor afwijken van de scope van voorgaande jaren. Vanuit de IT-audit werkzaamheden volgen een aantal aandachtspunten Wij hebben in samenwerking met onze IT-auditors een aantal algemene ITbeheersmaatregelen beoordeeld voor Key2Financiën (financiële administratie), Proactis (factuurafhandeling), AFAS (salarisverwerking/HR), Suite4SociaalDomein en ZorgNed (beiden sociaal domein). Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevante processen en posten. Vanaf de volgende pagina zijn de bevindingen opgenomen met betrekking tot de opzet en het bestaan van de door ons in het kader van de jaarrekeningcontrole onderzochte IT General Controls voor zover relevant voor de jaarrekeningcontrole. De impact van de bevindingen met betrekking tot de IT General Controls zal bij de betreffende processen worden behandeld in paragraaf 3.3.

Overgang van Key2Financiën naar ERPx per begin januari 2026 Een belangrijke IT-ontwikkeling binnen gemeente Breda is de overgang van Key2Financiën naar ERPx per begin 2026. Op dit moment is gemeente Breda in de GAT-fase bezig met de voorbereidingen en testwerkzaamheden en staat de overgang gepland voor begin 2026. Het is van belang dit proces op een beheerste manier te laten verlopen en de nodige vastleggingen te doen en controles te documenteren met betrekking tot uitvallijsten, juistheid interfaces en de overgang van data als bankrekeningnummers, beginbalans, projecthistorie, activastaten, etc. Inmiddels heeft een gesprek plaatsgevonden met de projectgroep en andere ‘lead’ betrokken en is een afspraak gepland om (samen) verder uit te werken welke controles door het projectteam uitgevoerd kunnen worden om de juistheid en volledigheid van de datamigratie vast te stellen. Gemeente Breda maakt via initiatieven als de City Deal en BredaRobotics steeds meer gebruik van AI. In dit kader hebben wij enkele adviezen De toepassing van Artificial Intelligence (AI) is in toenemende mate zichtbaar in de dagelijkse praktijk binnen de overheid, zo ook binnen gemeente Breda met initiatieven als de City Deal en BredaRobotics. Gemeenten zetten AI in voor de dienstverlening aan burgers, maar ook om de werkdruk van ambtenaren te verlagen.

Binnen Breda worden de komende jaren concrete AI-projecten opgezet en getest gericht op maatschappelijke opgaven zoals mobiliteit, duurzaamheid en digitale inclusie. Vanuit onze rol wijzen wij u graag op de risico’s. Denk hierbij aan ethische vraagstukken, privacy- en cyberbeveiligingsrisico’s en mogelijke financiële consequenties. Het is belangrijk te benadrukken dat deze risico’s beheersbaar zijn, mits ze tijdig worden geïdentificeerd en adequaat worden gemanaged. Breda is al vergevorderd met het opstellen van haar AI-beleid. Hierin wordt vastgelegd hoe de organisatie omgaat met AI-gerelateerde risico’s, hoe monitoring en incidentafhandeling worden ingericht (inclusief meldingen vanuit burgers), hoe kennis over AI binnen de gemeente wordt beheerd en welke rollen en verantwoordelijkheden hiervoor gelden. Op deze manier kan de organisatie de kansen van AI optimaal benutten en tegelijkertijd de risico’s beheersen.

21 BOARDLETTER 2025 – GEMEENTE BREDA

3.4 Overzicht van onze bevindingen t.a.v. de IT (2) Wij hebben de automatiseringsorganisatie uitsluitend in het kader van de jaarrekeningcontrole beoordeeld. Overzicht en evaluatie van ITCG – per applicatie, waarbij belangrijkste bevindingen toezien op autorisatiebeheer en periodieke reviews In onderstaand overzicht geven wij een overzicht en evaluatie van de bevindingen per applicatie. Onze algemene indruk is dat gemeente Breda op het gebied van ITbeheersing in control is. Gemeente Breda kan met betrekking tot de procedure autorisatiebeheer en periodieke controle op toegang en juistheid van de ingerichte autorisaties nog stappen zetten. OVERZICHT EN EVALUATIE VAN ITCG - PER APPLICATIE

AFAS

K2F

Proactis

S4SD

ZorgNed

Logische toegangsbeveiliging

2025

2025

2025

2025

2025

LT.1 - Procedure autorisatiebeheer











LT.2 - Periodieke controle op toegang en juistheid ingerichte autorisaties











LT.3 - Identificatie van gebruikers voor toegang tot applicaties











LT.4 – Authenticatie











LT.5 - Administrator- en superuser-accounts











LT.6 - Database-toegang

**



**



**

CM.1 - Wijzigingsbeheer applicaties



―*



―*



CM.2 - Gescheiden IT-omgevingen



―*



―*



Change management

* Ten tijde van de IT-audit waren voor Key2Financiën en Suite4SociaalDomein nog een wijzigingen doorgevoerd waardoor wij hier ‘geen waarneming’ rapporteren. ** Voor SaaS-applicaties AFAS en Proactis is toegang tot de database uitbesteed. Het assurance-rapport over 2025 is nog niet beschikbaar. Vanuit de IT-audit volgen een viertal detailbevindingen In onderstaand overzicht geven wij een overzicht van de bevindingen en de prioritering voor de opvolging daarvan. OVERZICHT DETAILBEVINDINGEN T.A.V. DE IT Nr.

Detailbevinding

Prio

1

LT.1 – Procedure autorisatiebeheer (alle applicaties)

Middel

2

LT.2 – Periodieke controle op juistheid ingerichte autorisaties (alle applicaties)

Middel

3

LT.6 – Database-toegang (K2F en S4SD)

Laag

4

CM.1 – Beoordeling ISAE-rapportages (AFAS, Proactis en ZorgNed)

Laag

― geen waarneming

nieuwe bevinding

 Onvoldoende  verbetermogelijkheden  eerder gerapporteerd – progressie  toereikend opgevolgd

Voortgang

22 BOARDLETTER 2025 – GEMEENTE BREDA

3.5 Intern Auditfunctie - Team Audit (1) Team Audit vervult de intern auditfunctie van gemeente Breda. Verdere professionalisering en implementatie van het 3-lijnenmodel is een van de speerpunten van gemeente Breda voor de komende periode. Dit is een ontwikkeling die wij onderschrijven. Team Audit heeft de afgelopen periode mooie stappen gezet met o.a. de IIA certificering. Graag ondersteunen wij Team Audit bij de (verdere) doorgroei Met de IIA-certificering heeft gemeente Breda een belangrijke en vooruitstrevende stap gezet in het versterken van interne controle en sturing en besluitvorming. Dit is een prestatie om trots op te zijn. Tegelijkertijd zien wij dat er op diverse onderwerpen nog ruimte is voor verdere groei. Wij gaan graag samen met Team Audit het groeipad vormgeven, zodat we vanuit ieders eigen verantwoordelijkheid de synergie vergroten en de toegevoegde waarde voor de organisatie verder laten groeien. Verdere optimalisatie en doorontwikkeling van het drielijnenmodel is een belangrijk speerpunt De intern auditfunctie (hierna: Team Audit) van gemeente Breda is ook gericht op het verkrijgen van inzicht vanuit de eigen organisatie in de getrouwe en rechtmatige totstandkoming van de baten, lasten en balansmutaties, zoals deze in de jaarrekening (inclusief de rechtmatigheidsverantwoording) tot uitdrukking komen.

Team Audit vervult de derde lijn van de organisatie en vormt een belangrijke basis voor de rechtmatigheidsverantwoording van de gemeente Breda. Breda heeft de processen zo ingericht dat met name de werkzaamheden, vastleggingen en uitkomsten van Team Audit de basis vormen voor de rechtmatigheidsverantwoording. De verantwoordelijkheden voor de rechtmatigheidsverantwoording liggen echter veel breder; alle organisatieonderdelen en het voltallige college zijn hiervoor verantwoordelijk. In het kader van deze verantwoordelijkheden werkt het college met ‘in control-rapportages’ per afdeling. Separaat van deze rapportages, kunnen de werkzaamheden die hieraan ten grondslag liggen meer in de eerste of tweede lijn opgepakt worden. Met de organisatieontwikkeling en de versteviging van interne sturing, beheersing en verantwoording en de ‘in controlrapportages’,

zal het verantwoordelijk management minder afhankelijk worden van rapportages van Team Audit en zelf in toenemende mate aantoonbaar in control komen. Er vindt dan een verschuiving plaats van ‘de VIC als onderbouwing van de rechtmatigheidsverantwoording naar ‘de VIC als bevestiging van de getrouwheid van de rechtmatigheidsverantwoording van de verschillende teams’. De definitieve ‘in control-rapportages’ najaar 2025 zijn nog niet van alle teams beschikbaar. Deze worden momenteel besproken voorzien van acties. We steunen op de werkzaamheden van Team Audit, wel dringen wij er op aan, waar dit past binnen de governancestructuur van een gemeente, aandacht te geven aan een aantal formaliteiten De intern auditfunctie wordt bij de gemeente Breda vervuld door Team Audit. Aan de hand van het kwaliteitshandboek, de Audit Charter, het auditplan 2025 en de IIA certificering hebben wij geconcludeerd dat Team Audit aan de formaliteiten voldoet om op de werkzaamheden van Team Audit te mogen steunen. De belangrijkste voorwaarden om gebruik te kunnen (blijven) maken van de werkzaamheden van Team Audit is dat er voldoende objectief en competent gehandeld wordt danwel dat de werkzaamheden aansluiten op controlestandaarden.

In dit kader adviseren wij Team Audit, waar dit past binnen de governancestructuur van een gemeente, aandacht te schenken aan:  Monitoring van opvolging van aanbevelingen uit de rapportage van de IIA certificering, bijv. in de rapportages van Team Audit, waaronder aanwijzen van een QA-manager;  Periodiek (advies jaarlijks) uitvoeren en rapporteren van een intern assessment van Team Audit, inclusief verbeterplan en monitoring van opvolging van verbeteracties;  Uitvoeren en rapporteren van interne kwaliteitstoetsingen door Team Audit (twee audits per half jaar), inclusief verbeterplan en monitoring van opvolging van verbeteracties;

23 BOARDLETTER 2025 – GEMEENTE BREDA

3.5 Intern Auditfunctie - Team Audit (2) Verbeterpunten in het kader van de implementatie van het 3-lijnenmodel richten zich op: zichtbaar vertalen van het (volledige) normenkader naar het toetsingskader, efficiency slagen vanuit risicoanalyse en kwaliteitsverbeteringen in uit te voeren interne controle werkzaamheden. 

Evaluatie van aanpak Team Audit, inclusief verbeterplan en monitoring van verbeteracties teneinde een verdere professionalisering naar het 3lijnenmodel te realiseren.

Vanuit de eerste rapportage 2025 en uitgevoerde gegevensgerichte werkzaamheden van Team Audit zien we cumulatief relatief beperkte getrouwheids- en rechtmatigheidsbevindingen. Vooraf heeft afstemming hierover plaatsgevonden met ons, zodat de juiste werkzaamheden door Team Audit worden gedaan wat een korte doorlooptijd van de controle bevordert. De tijdigheid van de werkzaamheden van Team Audit is op een beperkt aantal onderdelen een aandachtspunt. Bij de uitvoering van de interim-controle is gebleken dat enkele procesbeschrijvingen en lijncontroles nog niet beschikbaar waren. De controlewerkzaamheden van Team Audit waren eveneens nog niet volledig afgerond. Er zijn afspraken gemaakt met Team Audit over het vervolgtijdpad. Het implementeren van het 3-lijnenmodel binnen de verschillende teams is een van de speerpunten voor de komende periode We zien dat Team Audit als derde lijn, zoals ook in afgelopen jaren geconstateerd, nog echt als sluitstuk van de interne beheersing dient. Interne beheersmaatregelen die niet, of niet voldoende worden uitgevoerd in de eerste of tweede lijn worden uiteindelijk opgepakt in de derde lijn door Team Audit. Team audit voert voornamelijk gegevensgerichte werkzaamheden uit in plaats van systeemgericht. Voor enkele processen kunnen wij volledig steunen op de systeemgerichte werkzaamheden van Team Audit.