Bijlage 3 Rapportage interimbevindingen Gemeente Breda getekend
Tekst van het document
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen
Rapportage interim-bevindingen
Controlekader Vooruitkijkend
Jaarrekeningcontrole 2021
Bijlagen Inhoudsopgave
Gemeente Breda PricewaterhouseCoopers Accountants N.V. 29 November 2021
0I
1
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Inleiding
Bijlagen
Aan de leden van de raad en het college van burgemeester en wethouders van de gemeente Breda Postbus 90156 4800 RH BREDA
Inhoudsopgave
29 november 2021
Vooruitkijkend
Referentie: KZNXZWFHFTMK-1265773995-64 Geachte raadsleden en college, Graag presenteren we u hierbij onze tussentijdse bevindingen die voortkomen uit de controle van de jaarrekening van gemeente Breda over het boekjaar dat eindigt op 31 december 2021. We hebben onze werkzaamheden uitgevoerd in overeenstemming met ons controleplan 2021. Dit rapport is gebaseerd op onze werkzaamheden tot en met 5 november 2021. Indien er na deze datum nieuwe bevindingen zijn met betrekking tot de interne beheersing, dan zullen wij dit met u delen in ons accountantsverslag. Het rapport bestaat uit drie delen. In deel 1 geven wij een overzicht van onze kernboodschappen. Deel 2 beschrijft diverse aspecten gerelateerd aan de interne beheersing. Deel 3 beschrijft de relevante ontwikkelingen voor uw gemeente en uw status van voorbereiding op deze ontwikkelingen. Na de afronding van de jaarrekeningcontrole 2020 waarin een oordeel met beperking is afgegeven en de motie Vreemde ogen dwingen zijn de
organisatie en het college druk aan de slag gegaan met de te realiseren verbeteropgave. In deze rapportage geven wij onze reflectie op de stand van het verbeterplan per 1 oktober 2021. Wij hebben de inhoud van dit verslag in november/december besproken met de ambtelijke organisatie en het college. De boardletter bespreken wij met de auditcommissie op 9 december 2021. Hebt u nog vragen, neemt u dan contact met ons op. Wij zijn uiteraard graag bereid om de inhoud van deze rapportage nader toe te lichten. Hoogachtend, PricewaterhouseCoopers Accountants N.V. Dit document is elektronisch ondertekend door:
Anton Eelco Gerritsma
drs. A.E. Gerritsma RA senior director []
PricewaterhouseCoopers Accountants N.V., Fascinatio Boulevard 350, 3065 WB Rotterdam, Postbus 8800, 3009 AV Rotterdam T: 088 792 00 10, F: 088 792 95 33, www.pwc.nl PwC’ is het merk waaronder PricewaterhouseCoopers Accountants N.V. (KvK 34180285), PricewaterhouseCoopers Belastingadviseurs N.V. (KvK 34180284), PricewaterhouseCoopers Advisory N.V. (KvK 34180287), PricewaterhouseCoopers Compliance Services B.V. (KvK 51414406), PricewaterhouseCoopers Pensions, Actuarial & Insurance Services B.V. (KvK 54226368), PricewaterhouseCoopers B.V. (KvK 34180289) en andere vennootschappen handelen en di ensten verlenen. Op deze diensten zijn algemene voorwaarden van toepassing, waarin onder meer aansprakelijkheidsvoorwaarden zijn opgenomen. Op leveringen aan deze vennootschappen zijn algemene inkoopvoorwaarden van toepassing. Op www.pwc.nl treft u meer informatie over deze vennootschappen, waaronder deze algemene (inkoop) voorwaarden die ook zijn gedeponeerd bij de Kamer van Koophandel te Amsterdam.
2
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Onze kernboodschappen Controlekader Vooruitkijkend Bijlagen Inhoudsopgave
Onze boodschappen In dit hoofdstuk staan we stil bij onze belangrijkste boodschappen die we hebben geformuleerd naar aanleiding van de interim-controle bij gemeente Breda
01
3
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen
Onze kernboodschappen Onze controleaanpak blijft gelijk
Onze kernboodschappen Controlekader
•
Onze kernboodschappen •
De realisatie van het verbeterplan rechtmatigheid is serieus opgepakt door het college. Het SMART maken van de mijlpalen is onderhanden.
Vooruitkijkend •
Onze bevindingen en observaties
We constateren dat de interne beheersing in de 1 e en de 2e lijn nog moet worden versterkt.
Bijlagen •
Kernboodschappen
•
De processen inkopen & aanbesteden, subsidies en inhuur zijn als prioriteitsprocessen aangemerkt. De beschreven opzet voor deze processen laat ontwikkelingen zien. De voortgang is nog niet zo ver dat het bestaan en werking van de beheersmaatregelen vastgesteld kan worden.
•
Uw algemene IT-beheersing voor de financiële processen is van goede kwaliteit. Voor 2021 verwachten wij te kunnen steunen op IT-beheersmaatregelen rondom crediteurenstamdata. Met concerncontrol hebben wij specifieke afspraken gemaakt om voor 2022 gebruik te gaan maken van meer geautomatiseerde controles.
•
In onze werkzaamheden tot nu toe hebben wij geen indicaties voor fraude of niet-naleving van wet- en regelgeving geconstateerd.
Wijzigingen in controleplan
De 3e lijn is het sluitstuk voor de interne beheersing van gemeente Breda. Omdat dit een controle achteraf is, kunnen wij nog geen oordeel geven over de mogelijke omvang van fouten en onzekerheden in de jaarrekening 2021.
Inhoudsopgave
Uw interne beheersomgeving is in ontwikkeling op basis van het verbeterplan •
De reflectie op het verbeterplan laat zien dat veel aandacht en energie wordt gestoken in de bewustwording en aandacht voor interne beheersing en rechtmatigheid.
•
Het college werkt aan de SMART uitwerking van het verbeterplan. Dit aan de ene kant om de voortgang specifieker te maken en aan de andere kant om op basis van projectmanagement beter bij te kunnen sturen op de realisatie.
Wij ervaren een goede samenwerking •
Ondanks het werken op afstand door Covid-19 is onze samenwerking effectief. In goed overleg bepalen we of een fysieke meeting noodzakelijk is. Het controleproces loopt door het werken op afstand geen vertraging op.
Onze observaties leiden niet tot wijzigingen in de controleaanpak ten opzichte van het controleplan
Onze indruk
Gemeente Breda
Onze samenwerking
Bevindingen en observaties
Vooruitkijkend
Vooruitkijkend •
De voorbereidingen voor de rechtmatigheidsverantwoording liggen op schema.
•
Wanneer sprake is van achterstallig onderhoud kapitaalgoederen, waarbij sprake is van kapitaalvernietiging en/of onveilige situaties, moet een voorziening worden gevormd vanaf boekjaar 2021.
4
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Controleomgeving Controleactiviteiten Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen Inhoudsopgave
Controlekader Dit hoofdstuk is bedoeld om u inzicht te geven in de controleomgeving inclusief de maatregelen ter voorkoming van fraude. Daarnaast reflecteren we in dit hoofdstuk op de status van de interne beheersing, inclusief de beheersing van de IT-omgeving.
02
5
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Controleomgeving: realiseren verbeterplan Onze visie op uw interne beheersing: kwaliteitsimpuls op basis van het verbeterplan rechtmatigheid realiseren
Controleomgeving Controleactiviteiten Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen Inhoudsopgave
Laat de paragraaf bedrijfsvoering inzicht geven in de inrichting van de interne controleomgeving
rechtmatigheid. In de komende paragraaf schetsen wij de belangrijkste ontwikkeling vanuit het drielijnenmodel.
Het college is verantwoordelijk voor het inrichten van een interne controleomgeving die het mogelijk maakt een jaarrekening op te stellen die geen afwijkingen van materieel belang bevat door fraude of fouten.
Versterking 1e en 2e lijn krijgt impuls door de realisatie van het verbeterplan
Sturen en beheersen van de bedrijfsprocessen zijn de primaire verantwoordelijkheid van het college. De raad moet zich een oordeel kunnen vormen over de inrichting en het functioneren van de bedrijfsvoering in de zin dat deze doeltreffend en doelmatig is ingericht. Een paragraaf bedrijfsvoering op voldoende kwalitatief en kwantitatief niveau is daarbij essentieel. Na het doornemen van de paragraaf bedrijfsvoering vinden wij het belangrijk dat de raad kennisneemt van de paragraaf om zodoende de daarin opgenomen specifieke aandachtspunten mee te nemen in de kaderstellende en controlerende activiteiten. Ook adviseren wij de paragraaf bedrijfsvoering breder uit te werken; wij denken aan een toelichting op de hoofdlijnen van het strategische beleid, de algemene en financiële risico's en het beheersings- en controlesysteem van de gemeente Breda. De elementen van de controleomgeving vormen een juiste basis Onze conclusie is dat de elementen van de controleomgeving gezamenlijk een juiste basis vormen voor de doorontwikkeling van de interne beheersing in de 1e en 2e lijn, aansluitend op de doelstellingen uit het verbeterplan
Na het oordeel met beperking bij de jaarrekeningcontrole 2020 en de motie Vreemde ogen dwingen is het verbeterplan rechtmatigheid opgezet. Dit plan wordt uitgevoerd als vervolgstap op het MVP. Het doel van het verbeterplan rechtmatigheid is om op basis van de gekozen prioriteitsprocessen de effectieve interne beheersing in de 1e en 2e lijn te realiseren. Het verder integreren van de IT-omgeving, de mogelijkheden van data-analyse en geautomatiseerde beheersmaatregelen kan deze ontwikkeling versnellen.
Concerncontrol is het sluitstuk van de interne beheersing De afdeling concerncontrol is het sluitstuk van de interne beheersing bij gemeente Breda. In 2021 heeft concerncontrol zich gericht op de uitvoering van de audits in de derde lijn, daarnaast heeft concerncontrol een sparring partner rol gepakt in het verbeterplan rechtmatigheid. Dit zien wij als een goede ontwikkeling omdat vanuit deze rol concerncontrol adviezen geeft over de inrichting van de primaire processen, maar het verbeterplan en de implementatie een verantwoordelijkheid van bedrijfsvoering blijft.
5I
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen
Observaties en aanbevelingen voor uw controleomgeving
Controlekader Controleomgeving Controleactiviteiten
De controleomgeving vormt de basis voor een goede opzet van de processen en de effectieve werking hiervan. Hieronder hebben we uw interne controleomgeving geëvalueerd per onderdeel van de interne beheersing en geven wij u onze aanbevelingen.
Onze conclusie is dat de elementen van de controleomgeving voor gemeente Breda in ontwikkeling zijn op basis van het verbeterplan rechtmatigheid. De focus ligt hierbij op het identificeren van risico’s, beschrijven van processen, en inrichten van beheersmaatregelen. 3. Controleactiviteiten
Fraude en wet- en regelgeving
•
De effectiviteit van de controleactiviteiten in de 1 e en 2e lijn zijn in ontwikkeling op basis van het verbeterplan. In het verbeterplan zijn de eerste drie prioriteit processen opgenomen. Vervolgens dient doorgepakt te worden op de andere processen
•
Concerncontrol voert de controle- en monitoringactiviteiten uit op basis van het Auditplan dat is goedgekeurd door het college.
1. Controleomgeving Impact op aanpak
•
Vooruitkijkend Bijlagen Inhoudsopgave
College wil transparant, integer en ethisch handelen. De uitwerking van het verbeterplan laat deze intentie duidelijk zien.
•
De raad kijkt kritisch mee bij diverse thema’s, stelt vragen vanuit de toezichthoudende rol.
•
De directie wil door middel van het verbeterplan rechtmatigheid doorpakken in de ontwikkeling van de organisatie. Belangrijk onderdeel hiervan is het verbeteren van de processen en daarmee ook werken aan de cultuur en de gezamenlijke waarden.
activiteiten, rapportage en naleving
4. Informatie en communicatie
2. Risicobeoordeling
•
•
De gemeente Breda beschikt nog niet over een organisatiebrede frauderisicoanalyse. Concerncontrol is voornemens dit samen met de primaire processen uit te gaan werken De 1e lijn en concerncontrol identificeren en analyseren significante wijzigingen. De 2e lijn en directie zouden de evaluatie van de risico’s en koppeling met beheersmaatregelen explicieter kunnen vormgeven. Verantwoordelijkheid en periodieke actualisatie moeten meer de verantwoording van de primaire afdelingen zijn
Om de kwaliteit van de P&C-cyclus te verhogen is een intern onderzoek uitgevoerd. De uitkomsten en acties van dit onderzoek moeten nog omgezet worden naar acties gericht op de P&C-cyclus.
•
Voortgang op interne beheersing wordt door de directie gerapporteerd en gecommuniceerd naar het college en de auditcommissie.
•
Er wordt gewerkt aan bewustwording en verantwoordelijkheid van de 1e en 2e lijn op basis van het verbeterplan rechtmatigheid.
1. Controleomgeving
2. Risicobeoordeling •
•
3. Controleactiviteiten 4. Informatie en communicatie 5. Monitoringactiviteiten
5. Monitoringactiviteiten •
Concerncontrol voert afzonderlijke evaluaties uit op basis van de voortgang van het verbeterplan.
•
Concerncontrol evalueert en meldt tekortkomingen.
6
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Controleactiviteiten Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen
Concerncontrol loopt op schema in het uitvoeren van de auditwerkzaamheden in de 3e lijn. De auditwerkzaamheden uitgevoerd tot en met oktober 2021 hebben wij beoordeeld en wij kunnen ons vinden in de conclusies zoals opgenomen door concerncontrol. Wij hebben geen onderscheid gemaakt in de 1e en 2e lijn, omdat de theoretische scheiding tussen deze lijnen in de Bredase praktijk niet altijd te identificeren is. Wij adviseren om bij de herinrichting van de processen volgens het verbeterplan deze scheiding wel zichtbaar te maken, omdat dit helpt in het zichtbaar maken van de verantwoordelijkheden.
Proces
FYSIEK
Inhoudsopgave
De organisatie werkt aan de verbetering van de effectiviteit van de interne beheersing in de primaire processen. Op basis van het verbeterplan rechtmatigheid zijn de processen inkopen & aanbesteden, subsidies en inhuur als prioriteit aangemerkt. In de beschreven opzet van de processen zien wij hierin ontwikkeling. De voortgang is echter nog niet zover dat het bestaan en de werking van deze beheersmaatregelen kan worden vastgesteld, bijvoorbeeld bij inkopen & aanbesteden met de implementatie van ProActis.
BEDRIJFSVOERING
Controleomgeving
Werken aan verankering beheersmaatregelen in de eerste en tweede lijn
We lichten de verdere details van onze bevindingen in de bijlage toe. Hier blijkt dat veel maatregelen onderhanden zijn.
Klik hier voor een toelichting op het drielijnenmodel.
Beluister de PwC Podcast uit de serie ‘Breed perspectief op lokale overheden’ voor het belang van de interne beheersing.
SOCIAAL
Ons beeld van de interne beheersing is gebaseerd op de door ons uitgevoerde werkzaamheden tot en met oktober 2021 en geeft de huidige status van de beheersing weer. Wanneer wij in de komende maanden of bij de jaarrekeningcontrole nieuwe bevindingen hebben, zullen wij deze rapporteren in ons accountantsverslag. In ieder geval rapporteren wij over de voortgang van het verbeterplan rechtmatigheid.
1/2
Lijn 3
t.o.v. 2020
Inkopen en aanbesteden
Opbrengsten Werk
HR inclusief inhuur
Inkomende subsidies
Treasury
IT(GC)
Grondexploitatie
Vastgoed
Parkeeropbrengsten
Belastingopbrengsten
Omgevingsvergunningen
Jeugd
Wmo
Participatie
Verstrekte subsidies
Legenda In opzet ontoereikend. In opzet toereikend, maar het bestaan van één of meerdere beheersmaatregelen kan in de praktijk niet worden vastgesteld. Proces is adequaat opgezet en beheersmaatregelen bestaan.
6I
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Wat is het drielijnenmodel?
Controleomgeving
Onze controleaanpak is naast het controleren van de jaarrekening gericht op het verbeteren van uw bedrijfsvoering inclusief digitalisering hiervan. In onze controle hanteren wij daarvoor het drielijnenmodel. Dit model geeft handvatten om te beoordelen waar in de interne beheersing risico’s worden ondervangen:
Controleactiviteiten Fraude en wet- en regelgeving
•
In de 1e lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar.
Impact op aanpak
•
In de 2e lijn: in de ondersteunende processen zoals financiën en control, waar checks and balances ingericht zijn om fouten te signaleren.
Vooruitkijkend
•
In de 3e lijn: in uw verbijzonderde interne controle achteraf.
1e
Bijlagen Inhoudsopgave
lijn
2e
lijn
Lijnmanagement
Ondersteuning
Afdelingen
Administratie en Financiën
gemeente
• Primair verantwoordelijk voor getrouwheid en rechtmatigheid transacties binnen eigen processen. • Verantwoordelijk voor kwalitatieve analyse en toelichting P&C-producten.
• Ondersteunt de domeinen en teams bij de optimalisering van de primaire processen. • De administratie voert bij de verwerking een aantal primaire controles uit op de 1e lijn.
PwC
• Adviseert (met concerncontrol) preventieve interne controlemaatregelen in het primaire proces.
• Adviseert preventieve interne controlemaatregelen in het ondersteunende proces en de IT.
• Geeft feedback om leesbaarheid/ informatiewaarde P&C-documenten te verhogen.
• Geeft adviezen om effectiviteit controlwerkzaamheden te vergroten.
3e
lijn
Verbijzonderde Interne controle Concerncontrol • Concerncontrol voert audits uit op de getrouwheid en rechtmatigheid van de financieel kritische processen. • Adviseert over verbetering in de 1e en 2e lijn.
• Adviseert/klankbord om te komen tot een effectieve en efficiënte controleaanpak. • Maakt waar mogelijk gebruik van de werkzaamheden van concerncontrol.
Wij rapporteren via het push-leftprincipe Het push-leftprincipe is erop gericht de interne beheersing in de 1e en 2e lijn te optimaliseren. Dit vanuit het uitgangspunt dat fouten voorkomen beter is dan achteraf constateren. Indien er tekortkomingen zijn in de interne beheersing in de 1e en 2e lijn, dan zullen wij deze daarom rapporteren als bevinding, ook als deze in de 3e lijn met verbijzonderde interne controle ondervangen wordt.
6II
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Controleomgeving Controleactiviteiten Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen Inhoudsopgave
IT-risico’s en interne beheersing gericht op de financiële verantwoording Algemene IT-beheersmaatregelen zijn van voldoende niveau voor een systeemgerichte controleaanpak De algemene IT-beheersmaatregelen zijn het beleid en de procedures die worden gebruikt om de IT-omgeving en de IT-activiteiten te beheren die het effectief functioneren van geautomatiseerde beheersingsmaatregelen ondersteunen. We hebben de IT-beheersmaatregelen (waaronder wijzigingsbeheer en autorisatiebeheer) voor de applicaties in scope (Key2Financiën, Suite voor Sociaal Domein en ADP Workforce) en ondersteunende IT-infrastructuur (database, besturingssysteem en netwerk) in opzet en bestaan beoordeeld. Op basis van deze werkzaamheden hebben we vastgesteld dat de volwassenheid van de IT-beheersmaatregelen van voldoende niveau is voor een systeemgerichte controleaanpak. Voor de audit van gemeente Breda maken wij echter beperkt gebruik van geautomatiseerde beheersingsmaatregelen in Key2Financien, Suite voor Sociaal Domein en ADP Workforce. Dit omdat geautomatiseerde beheersingsmaatregelen niet aanwezig zijn of onvoldoende kan worden aangetoond dat geautomatiseerde beheersingsmaatregelen gedurende het gehele controlejaar effectief hebben gewerkt.
In het verbeterplan rechtmatigheid spreekt bedrijfsvoering de ambitie uit om de effectiviteit van de interne beheersing te vergroten en meer te steunen op geautomatiseerde beheersmaatregelen. In lijn met deze ambitie hebben wij aanvullend gekeken naar ProActis en ZorgNed om geautomatiseerde beheersingsmaatregelen te identificeren met als doel om de mogelijkheden voor een meer systeemgerichte audit in kaart te brengen.
Risk, compliance and policy management
Change & configuration management
Privileged access monitoring
IT Strategy and Governance
Threat intelligence, patch and vulnerability management
Incident and crisis management
Identity and access management
IT Risks Backup and (disaster) recovery
Third Party management
Physical and environmental
6III
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen
Algemene IT-beheersingsmaatregelen
Controlekader Controleomgeving Controleactiviteiten Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen Inhoudsopgave
In de tabel rechts ziet u samenvattend de status van de algemene IT-beheersingsmaatregelen. De detailbevindingen zijn in een eerder stadium afgestemd met de adviseur informatiebeveiliging en coördinator van de IT-audit.
Algemene IT beheersingsmaatregelen
Samenvattend zien we dat de algemene IT-beheersingsmaatregelen rondom Key2Financiën, Suite voor Sociaal Domein en ADP Workforce van voldoende niveau zijn om de controleaanpak te steunen op het lijstwerk, geautomatiseerde beheersmaatregelen en functiescheidingen binnen deze systemen. Randvoorwaardelijk is dat de algemene IT-beheersmaatregelen effectief werken over het gehele controlejaar. De verbeterpunten ten aanzien van deze systemen zijn:
Wijzigingsbeheer
Autorisatiebeheer
Continuïteit
Key2Financiën Financiële administratie
Suite voor Sociaal Domein Uitkeringen administratie
ADP Workforce Personeel- & Salaris administratie
het aanscherpen van de naleving van de uitdienstprocedure voor het netwerk; IT-systemen
het aanscherpen van de periodieke controle op autorisaties van (super)users binnen deze systemen en de gebruikers met schrijfrechten op de onderliggende databases van deze systemen; het aanscherpen van de wachtwoordrestricties binnen Key2Financiën; het documenteren van de periodieke controle van de 3402 rapportage van ADP Workforce.
Voor ProActis en ZorgNed zijn de algemene IT beheersingsmaatregelen niet beoordeeld. Voor een gedetailleerde beoordeling verwijzen we naar sectie IT bevindingen en observaties.
6IV
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Controleomgeving Controleactiviteiten Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen
Mogelijke IT-afhankelijkheden richting een systeemgerichte controleaanpak Een IT-afhankelijkheid kan zowel een geautomatiseerde als een IT-afhankelijke handmatige controlemaatregel betreffen. We onderscheiden vier types IT-afhankelijkheden: Lijstwerk, Geautomatiseerde controles/calculaties, Functiescheidingen en Interfaces. In onderstaande tabel zijn de mogelijke IT-afhankelijkheden weergegeven die wij hebben geïdentificeerd tijdens de procesbesprekingen. Deze IT-afhankelijkheden worden momenteel niet benut
in de interne beheersing van Breda. Wij adviseren om deze mogelijkheden te benutten. Samen met concerncontrol hebben wij een inventarisatie gemaakt welke maatregelen voor de controle 2021 ingezet kunnen worden en welke voor 2022 effectief kunnen zijn. Ook kunnen deze IT-beheermaatregelen zorgen voor een versnelling in het effectiever maken van de interne beheersing in de 1e en 2e lijn.
Systeem
IT-afhankelijkheid
Systeem
IT-afhankelijkheid
Key2Financiën
4-ogenprincipe voor muteren crediteuren bankrekeningnummers
Suite voor Sociaal Domein en participatie
Invoercontroles bij financiële afwikkeling
Autorisatieflow voor inkooporders
Inhoudsopgave Autorisatieflow voor inkoopfacturen
Klantmanagers kunnen een beoordelingsaanvraag niet muteren
Autorisatieflow voor geboekte uren op projecten (indiener, verwerker, goedkeurder)
Besluiten van klantmanagers kunnen niet gewijzigd worden ZorgNed
4-ogenprincipe op betalingsvoorstel ADP Workforce
Muteren van stamgegevens is beperkt tot een beperkt aantal medewerkers
Factureren is alleen mogelijk bij een zorgaanbieder met contract en als factuurregel in lijn is met afgesloten product, productcode, eenheid, beginen einddatum en bedrag
Autorisatieflow voor overuren Facturering komt overeen met zorgtoewijzing Autorisatieflow voor declaraties
Systeem voorkomt dubbele facturen Autorisatieflow voor verlofuren Alle facturen wordt gefiatteerd door de financiële administratie Automatische calculatie reiskosten ProActis
Autorisatieflow voor inkooporders Autorisatieflow voor inkoopfacturen 3-way match inkopen
6V
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Controleomgeving Controleactiviteiten
Cybersecurity Als onderdeel van de jaarrekeningcontrole van gemeente Breda hebben we ons begrip van de cyberrisico’s zoals opgenomen in het figuur hiernaast geactualiseerd. De vijf focus area’s zijn gebaseerd op de laatste cybersecurity-risico’s. Als een basis voor het managen van cybersecurity-risico’s hebben we geconstateerd dat gemeente Breda: •
Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend
•
rollen en verantwoordelijkheden ten aanzien van cybersecurity (o.a. CISO, teamleider gegevensbescherming) in de organisatie heeft belegd en dat een directe communicatie- en rapportagelijn richting het college aanwezig is;
•
beschikt over een procedure voor het melden en oplossen van (beveiligings)incidenten die actief bij de medewerkers onder de aandacht wordt gebracht;
•
bezig is met de implementatie van de BIO en hier elk kwartaal over rapporteert richting het college.
Bijlagen Inhoudsopgave
geen organisatiebrede risico-assessment heeft uitgevoerd ten aanzien van cybersecurity. Gemeente Breda beschikt wel over een strategisch beleid voor gegevensbescherming waarin de aanpak van de beveiliging van persoonsgegevens van burgers en medewerkers wordt toegelicht. Wij adviseren gemeente Breda om een risicoanalyse ten aanzien van cybersecurity uit te voeren;
Backup and recovery
Patch management
Cybersecurity
Intrusion prevention / detection and monitoring
Figuur: Cybersecurity-risico’s
We vragen aandacht voor de volgende cyberrisico’s: •
We zien steeds vaker dat cybercriminelen methodes ontwikkelen om bankrekeningnummers of andere kritische leveranciergegevens te wijzigen door zich, door middel van phishing, voor te doen als geautoriseerde medewerkers van leveranciers. Binnen gemeente Breda vindt het beheer van bankrekeningnummers decentraal, binnen verschillende systemen, plaats. Wij adviseren om inzichtelijk te maken op welke locaties bankrekeningnummers worden beheerd en welke maatregelen zijn getroffen om de bijbehorende risico’s te mitigeren. Deze inventarisatie is onderhanden.
•
Bij leveranciergegevens, zien we methodes waarbij frauduleuze verzoeken voor overboekingen worden gedaan met betrekking tot zakelijke transacties en leveranciersbetalingen. Gemeente Breda heeft een 4-ogenprincipe ingericht op uitgaande betalingen om het risico’s te mitigeren.
Vendor setup / modification
Electronic transfer of funds
6VI
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen
Cybersecurity
Controlekader • Controleomgeving Controleactiviteiten Fraude en wet- en regelgeving Impact op aanpak
•
Vooruitkijkend Bijlagen Inhoudsopgave •
Intrusion attacks (o.a. ransomware) vinden steeds vaker plaats, waardoor organisaties geen toegang meer hebben tot hun kritieke infrastructuur en (persoons)gegevens. Gemeente Breda heeft netwerksegmentatie aangebracht en laat periodiek een penetratietest uitvoeren om zwaktes in de infrastructuur te detecteren. Gemeente Breda is ten tijde van de auditwerkzaamheden bezig met de implementatie van een SOC en SIEM om het verkeer op het netwerk te monitoren en eventuele securitydreigingen tijdig te detecteren. Cyber- en ransomware-aanvallen maken gebruik van bekende beveiligingsproblemen die leiden tot manipulatie of verwijderen van gegevens of het beïnvloeden van beschikbaarheid van systemen. Met een adequate patch management procedure worden bekende beveiligingsproblemen verholpen waardoor ze niet misbruikt kunnen worden. Gemeente Breda beoordeelt periodiek de patches die vrijgegeven worden door de leverancier en werkt met een klankbordgroep binnen de organisatie om eventuele impact van nieuwe patches op de omgeving van gemeente Breda tijdig te detecteren. Gebrek aan effectieve back-up- en herstelprocedures kunnen als gevolg hebben dat systemen niet meer hersteld kunnen worden wanneer systemen onbruikbaar zijn geworden (bijvoorbeeld door een ransomware-aanval). Gemeente Breda beschikt over een actueel back-up- en herstelprocedure en beschikt over een calamiteitenplan.
De effectiviteit van het calamiteitenplan wordt echter niet periodiek getest en geëvalueerd. Ook hebben we geconstateerd dat onbevoegden, ten tijde van de auditactiviteiten, toegang hadden tot de serverruimte van gemeente Breda. Wij adviseren om de effectiviteit van het calamiteitenplan periodiek te testen en te evalueren en de procedures rondom de fysieke toegang tot de serverruimte aan te scherpen.
Op basis van onze gesprekken met uw CISO begrijpen we dat, ten tijde van de auditwerkzaamheden, in 2021 geen significante cyberincidenten en datalekken hebben plaatsgevonden en dat er daarom geen impact is op de jaarrekeningcontrole.
Backup and recovery
Patch management
Vendor setup / modification
Cybersecurity
Intrusion prevention / detection and monitoring
Figuur: Cybersecurity-risico’s
Electronic transfer of funds
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Controleomgeving Controleactiviteiten Fraude en wet- en regelgeving Impact op aanpak
Fraude, omkoping en corruptie en het niet naleven van wet- en regelgeving Update van het beheersingsproces van frauderisico's en risico's van het niet naleven van wet- en regelgeving en (mogelijke) fraude-indicaties.
Vooruitkijkend Bijlagen Inhoudsopgave
Als onderdeel van onze controlewerkzaamheden hebben wij de interne beheersing rond het voorkomen en identificeren van fraude beoordeeld. Aangezien het voorkomen en opsporen van fraude de primaire verantwoordelijkheid is van het college, verwachten we dat er een zeker minimaal niveau van interne controle is, rekening houdend met de omvang en complexiteit van de gemeente en haar activiteiten. Gemeente Breda beschikt over een informeel proces voor het vaststellen en beoordelen van het risico van fraude, omkoping en corruptie, voor het beheersen van deze risico's, en voor tijdige opvolging van (aanwijzingen voor) fraudegevallen. Uw organisatie is zich bewust van risico’s ten aanzien van fraude en heeft dit bij een aantal processen ook geïntegreerd in de (interne) controles en de afdeling control voert specifieke werkzaamheden uit om medewerkers bewust te maken van frauderisico’s in het inkoopproces. Tijdens onze tussentijdse controlewerkzaamheden zijn geen aanwijzingen van fraude of het niet voldoen aan wet- en regelgeving onder onze aandacht gekomen. Wij hebben op basis van onze detailbevindingen ten aanzien van de interne beheersing onze frauderisico’s heroverwogen. Zie hiervoor onze analyse op de volgende pagina.
7
7I
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Controleomgeving Controleactiviteiten
Update ten aanzien van de frauderisicoanalyse In ons auditplan hebben wij onze initiële frauderisicoanalyse opgenomen. Als onderdeel van onze tussentijdse controle hebben wij vastgesteld of beheersingsmaatregelen zijn getroffen om deze frauderisico’s te ondervangen.
Daarnaast hebben wij de opzet van de interne beheersing van uw belangrijkste financiële processen beoordeeld. Hieruit blijken geen aanvullende frauderisico’s ten opzichte van ons controleplan. In onderstaande tabel hebben wij de uitkomsten voor u samengevat.
Fraude en wet- en regelgeving Impact op aanpak
Geconstateerd frauderisico
Vooruitkijkend Bijlagen
Al in het Nieuw in auditplan tussentijdse opgenomen controle
In opzet aanwezige beheersingsmaatregel om risico te ondervangen
Restrisico
1
Het doorbreken van interne beheersmaatregelen door management
Gezien de aard van het risico hebben interne beheersingsmaatregelen geen effect op het afdekken van dit risico.
Hoog
2
Frauderisico in de inkomende subsidies (juiste afgrenzing en voldoen aan voorwaarden) en transacties van grond en gebouwen zijn niet gebaseerd op zakelijke transacties
In de opzet hebben wij geen beheersingsmaatregelen aangetroffen die het geïdentificeerde frauderisico afdekken. Wij zullen om deze reden gegevensgerichte werkzaamheden uitvoeren om voldoende zekerheid te verkrijgen.
Hoog
3
Gunning van (Europose) aanbestedingen aan bevriende partijen
De beheersmaatregelen die het risico (gedeeltelijk) afdekken dienen vanuit het verbeterplan rechtmatigheid nog geïmplementeerd te worden. Gezien de aard van het risico zullen beheersmaatregelen het risico niet in zijn geheel kunnen afdekken.
Hoog
Inhoudsopgave
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Controleomgeving Controleactiviteiten Fraude en wet- en regelgeving Impact op aanpak Vooruitkijkend Bijlagen
Impact van onze tussentijdse werkzaamheden op onze controleaanpak De impact van de tussentijdse werkzaamheden op ons auditplan In ons auditplan hebben we de belangrijkste risico’s geïdentificeerd. Op basis van deze risico’s hebben we de verhoogde risico’s voor wat betreft uw financiële verslaglegging gepresenteerd. De geplande controleaanpak is op basis van deze risico’s vastgesteld. We hebben onze risicoanalyse en controleaanpak geactualiseerd op basis van de interimcontrolewerkzaamheden die specifiek voor deze risico’s zijn uitgevoerd, waaronder de impact van de uitkomsten van de door ons tot op heden verrichte werkzaamheden.
Inhoudsopgave Bij onze tussentijdse werkzaamheden hebben we de focus gelegd op aanbestedingen, inkopen, inhuur, WMO, Jeugd, verstrekte subsidies, parkeeropbrengsten, omgevingsopbrengsten, personele lasten en opbrengsten Werk. Onze bevindingen hieromtrent liggen in lijn met de eerste auditrapportage van concerncontrol. Hieruit volgen echter geen inzichten die leiden tot een aangepaste controleaanpak.
8
9
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Vooruitkijkend Verbeterplan Rechtmatigheidsverantwoording Impact van Covid-19 Wet normering topinkomens Ontwikkelingen Sociaal Domein Overige ontwikkelingen Controleplanning Bijlagen Inhoudsopgave
Vooruitkijkend In deze sectie kijken we vooruit naar de jaarrekeningcontrole en reflecteren we op onderwerpen die relevant kunnen zijn voor uw gemeente of de jaarrekening.
03
9I
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Vooruitkijkend en reflectie Samen met u werken aan een efficiënte eindejaarscontrole
Vooruitkijkend
Rechtmatigheidsverantwoording
In dit onderdeel kijken we vooruit naar de eindejaarscontrole van uw jaarrekening over 2021, naar relevante verslaggevingsonderwerpen en hoe we met u samenwerken om het controleproces zo soepel mogelijk te laten verlopen.
Impact van Covid-19
In dit hoofdstuk gaan we onder andere op de volgende punten in:
Verbeterplan
Wet normering topinkomens Ontwikkelingen Sociaal Domein Overige ontwikkelingen Controleplanning Bijlagen Inhoudsopgave
•
De reflectie op de voortgangsrapportage van het verbeterplan rechtmatigheid
•
Invoering nieuwe rechtmatigheidsverantwoording per 2022
•
Impact van Covid-19
•
Wijzigingen in de wet normering topinkomens (WNT)
•
Overige ontwikkelingen zoals de voorziening achterstallig onderhoud, Incidentele baten en lasten en de omgevingswet die per 2022 ingaat
We presenteren ook een tijdlijn tussen nu en de voltooiing van de definitieve audit.
10
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Reflectie voortgang realisatie verbeterplan (1/2) Grote stappen gezet op de verschillende onderdelen, focus op SMART resultaten gaat helpen in de realisatie
Vooruitkijkend Verbeterplan Rechtmatigheidsverantwoording Impact van Covid-19 Wet normering topinkomens Ontwikkelingen Sociaal Domein Overige ontwikkelingen Controleplanning Bijlagen Inhoudsopgave
Reflectie op voortgangsrapportage verbeterplan Naar aanleiding van de reflectie op het verbeterplan zijn wij overeengekomen om onze waarnemingen bij de voortgangsrapportage per 1 oktober 2021 in de rapportage interim-bevindingen te integreren. De reflectie bij de voortgangsrapportage is gebaseerd op het doornemen van de documenten, de rapportage hoofdlijnen uitkomsten reguliere audits van concerncontrol en de waarnemingen uit de werkzaamheden van onze interim-controle. Uit onze gesprekken met de organisatie en de voortgangsrapportage zien wij dat er hard gewerkt wordt aan de realisatie van het verbeterplan. Rechtmatigheid en verbetering van de primaire processen staan hoog op de agenda. SMART-uitwerking helpt behaalde voortgang concreter en duidelijker weer te geven In navolging op onze reflectie van het verbeterplan heeft het college toegezegd per 1 december een verdere SMART-uitwerking van de doelen per (sub)proces gereed te hebben. Wij denken dat hiermee de behaalde voortgang concreter en duidelijker zichtbaar wordt. Wij adviseren om aan de SMART-uitwerking een projectmatige aanpak te koppelen om focus te kunnen leggen op kritische onderdelen in de voortgang. In de voortgangsrapportage is zichtbaar dat door onder andere capaciteitsproblemen, geconstateerde bijzonderheden en de grote omvang van veranderingen nog niet alle voorgenomen stappen zijn gerealiseerd.
We zien een grote inspanning en voortgang op veel onderdelen, de SMART-uitwerking zal hierbij helpen de voortgang te kunnen meten in relatie tot de tijdsdoelen.
De SMART-uitwerking helpt om keuzes te maken gericht op de kritische zichtbare beheersing van processen.
De organisatie geeft aan dat het uitdenken en uitwerken van de visie op interne beheersing, normenkader gekoppeld aan risico’s per proces en de uitwerking van het drielijnenmodel in gang is gezet. De uitwerking van deze onderdelen komt naar onze mening de SMART-heid in meetbare resultaten ten goede. Voortgangsrapportage kent een duidelijke structuur In de voortgangsrapportage is een heldere structuur aangebracht door terug te koppelen vanuit dezelfde deelvragen. Aan de andere kant is de voortgangsrapportage in een grote mate van detail uitgewerkt en bevat veel informatie. Doordat de koppeling met de te realiseren (sub)doelstelling ontbreekt is het niet altijd duidelijk wat het effect is van de acties en/of afwijkingen. Risico’s voor het niet behalen van een doelstelling zijn niet opgenomen in de voortgangsrapportage, terwijl deze wel zijn opgenomen in de observaties van concerncontrol. Neem bij de inrichting van interne beheersmaatregelen de mogelijkheden van geautomatiseerde controles mee In brede zin adviseren wij om bij de formulering van beheersmaatregelen nadrukkelijk stil te staan bij de mogelijkheden van geautomatiseerde controles. Een overzicht van mogelijkheden binnen de bestaande applicaties van gemeente Breda hebben wij opgenomen in de analyse van de IT-omgeving. In de voortgangsrapportage is de voortgang per proces uitgewerkt.
Concerncontrol heeft dit aangevuld met de waarnemingen uit de auditwerkzaamheden in de eerste auditrapportage van 2021.
10I
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Vooruitkijkend Verbeterplan Rechtmatigheidsverantwoording Impact van Covid-19
Reflectie voortgang realisatie verbeterplan (2/2) Inkoop en aanbestedingen: verloopt conform planning; aandacht voor acties gericht op zichtbare interne beheersing De implementatie van ITB en Proactis verloopt grotendeels conform planning. In de praktijk komen knelpunten naar voren met effect op de zichtbare interne beheersing. Hier adviseren wij op door te schakelen, zodat per 1 januari 2022 de interne beheersing de benoemde risico’s afdekt. Op hoofdlijn in de interne beheersing is de voortgang als volgt: •
Inkoopordercontrole is uitgevoerd op basis van opgestelde werkinstructie. Op basis hiervan zijn diverse aandachtspunten naar voren gekomen. Procesbeschrijving in lijn met ITB is onderhanden.
•
Afwijkingsbesluiten EU-aanbestedingen worden besproken en goedkeuring tot afwijking EU-aanbesteding ligt bij het college (waarmee een besluit tot afwijking niet zorgt voor een rechtmatige aanbesteding). Het proces, de vastlegging en monitoring dienen nog verder uitgewerkt te worden.
Wet normering topinkomens Ontwikkelingen Sociaal Domein Overige ontwikkelingen Controleplanning • Bijlagen Inhoudsopgave
•
Handboek prestatieverklaring is opgesteld, echter blijkt dat dit nog niet altijd wordt nageleefd, doordat het systeem het toevoegen van bijlagen niet altijd afdwingt. De analyse van de fouten uit de jaarrekeningcontrole 2020 is uitgevoerd.
De verbinding tussen de voortgangsrapportage en de auditrapportage laat duidelijk zien waar de processen zijn gewijzigd en waar acties benodigd zijn om de zichtbare interne beheersing te versterken. Dit zien wij als een waardevolle koppeling; door hierbij ook de risico’s voor de jaarrekeningcontrole mee te nemen, breng je de meest urgente acties in kaart. Inhuur derden: implementatie in voorbereiding Uit de voortgangsrapportage blijkt dat de implementatie in voorbereiding is. De projectgroep werkt aan de uitwerking van de scenario’s. Ook is gewerkt aan
het opschonen van het inhuursysteem als voorbereiding op de modules urenregistratie en facturering in 2022. Volgend op de implementatie van de modules dienen processen ingericht worden. Het opstellen van het inhuurbeleid is onderhanden en het doel is om deze per februari 2022 gereed te hebben. Vanaf het 2e kwartaal 2021 wordt de foutenlijst in het directieoverleg geagendeerd om inzicht te geven in de omvang van fouten vanuit inhuur. Vanaf augustus wordt gewerkt aan het opnemen van financiële gegevens vanuit de periode 2018-2021. Het is nog niet gelukt om deze gegevens compleet te hebben. Het is voor de komende maanden belangrijk om het inzicht zo compleet mogelijk te krijgen om te beoordelen of de fouten voor financiële onrechtmatigheden zorgen.
Er is de mogelijkheid vanaf juli 2021 om tot een afwijkingsbesluit van de directie te komen als inhuuropdrachten op korte termijn niet beëindigd kunnen worden. Dit is een goede verbetering in het proces, maar een afwijkingsbesluit zorgt er niet voor dat een contract rechtmatig wordt. Subsidies: focus op inrichting interne beheersing De herinrichting van het subsidieproces is een omvangrijk project. Uit de voortgang blijkt dat de beschikbare capaciteit in de projectgroep niet voldoende is. Hierop wordt doorgepakt. De focus ligt op verbeterslagen in de inrichting van de administratieve organisatie van het subsidieproces. De doelstellingen in het verbeterplan zijn nog niet SMART gemaakt en is de relatie met de voortgang in de planning niet zichtbaar. Wel zien wij dat stappen worden gezet in het zichtbaar maken van functiescheiding bij subsidiedossiers, dossiers digitaal worden opgeslagen en oriënterende gesprekken over de actualisatie van de algemene subsidieverordening.
11
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen
Rechtmatigheidsverantwoording (1/2)
Controlekader Vooruitkijkend Verbeterplan Rechtmatigheidsverantwoording Impact van Covid-19 Wet normering topinkomens Ontwikkelingen Sociaal Domein Overige ontwikkelingen Controleplanning Bijlagen
De rechtmatigheidsverantwoording als kans
De kadernota rechtmatigheid 2022 is gepubliceerd
Het college was altijd al verantwoordelijk voor het rechtmatig handelen van de gemeente. Maar in de nieuwe situatie – na de invoering van de rechtmatigheidsverantwoording over 2022 – neemt het de expliciete verantwoordelijkheid en legt het hierover in de jaarrekening verantwoording af aan de raad. De landelijk veelgehoorde term ‘het moest van de accountant’ zal hiermee hopelijk tot het verleden behoren. De kaderstellende en controlerende taak van de raad op de financiële rechtmatigheid van transacties krijgt hierdoor weer extra aandacht.
In augustus 2021 is de kadernota rechtmatigheid 2022 verschenen. De kadernota bevat stellige uitspraken en aanbevelingen die relevant zijn voor uw gemeente. Er is een hoofdstuk (hoofdstuk 2) waarin voor raadsleden op hoofdlijnen uitleg wordt gegeven over het begrip rechtmatigheid en de rollen die de verschillende partijen hebben bij de toepassing van rechtmatigheid. Wij adviseren u om kennis te nemen van dit hoofdstuk. Vanuit de kadernota komen de volgende stellige uitspraken en aanbeveling naar voren:
Vanuit PwC hebben we recent een blog gepubliceerd over ‘De rol van de staten bij de rechtmatigheidsverantwoording’ waarin een zestal adviezen zijn geschreven voor staten- en raadsleden. Een van die adviezen is: ‘wees helder over de gewenste rapportage door het college’. Dit kun je concretiseren door de discussie over de bepaling van de verantwoordingsgrens samen met de gemeenteraad.
•
Bepaal de verantwoordingsgrens met de raad en leg deze vast in de financiële verordening.
•
Het normenkader moet worden vastgesteld door de raad.
•
In de bedrijfsvoeringsparagraaf geeft het college een toelichting op alle afwijkingen (boven de rapporteringsgrens).
•
Ontbrekende afrekeningen van subsidies leiden niet tot een onrechtmatigheid.
•
De raad moet regels voor begrotingsonrechtmatigheid vastleggen in de financiële verordening.
Inhoudsopgave Concerncontrol ziet 2021 als pilotjaar om goed voorbereid in 2022 de rechtmatigheidsverantwoording op te kunnen stellen Concerncontrol voert op basis van de auditplanning systeem- en gegevensgerichte werkzaamheden uit op de materiële processen van de gemeente Breda. Op basis van deze werkzaamheden ziet concerncontrol 2021 als een pilotjaar en op basis hiervan is het doel om een rechtmatigheidsverantwoording in de jaarstukken 2021 op te nemen. Het college pakt hiermee de invoering van de rechtmatigheidsverantwoording tijdig op.
Stellige uitspraken:
Aanbeveling: •
Afspraken over verschuivingen tussen jaarschijven vastleggen in de financiële verordening.
11I
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Vooruitkijkend Verbeterplan Rechtmatigheidsverantwoording
Rechtmatigheidsverantwoording (2/2) Kadernota rechtmatigheid 2021 Ter overbrugging van het jaar uitstel van de rechtmatigheidsverantwoording is de kadernota rechtmatigheid 2021 uitgebracht als addendum op de kadernota rechtmatigheid 2018. Deze kadernota bevat ook stellige uitspraken en aanbevelingen die relevant zijn voor uw gemeente voor het begrotingsjaar 2021: Stellige uitspraak:
Impact van Covid-19
•
Wet normering topinkomens Ontwikkelingen Sociaal Domein
Niet-financiële onrechtmatigheden in verband met het niet naleven van bepalingen uit de Wet fido en bijbehorende regelingen dienen te worden opgenomen en toegelicht te worden in de paragraaf bedrijfsvoering (bijvoorbeeld kasgeldlimiet).
Aanbevelingen: Overige ontwikkelingen
•
Geconstateerde fraude door eigen medewerkers dient te worden toegelicht in de paragraaf bedrijfsvoering.
•
Afspraken tussen college en raad over verschuivingen van uitgaven tussen jaarschijven in een meerjarig investeringsbudget moeten worden vastgelegd in de financiële verordening. Zolang aannemelijk is dat het totaal van de uitgaven binnen een investeringsbudget blijft, levert de overschrijding van een jaarschijf, tenzij anders besloten door de staten, geen onrechtmatigheid op. Een overschrijding moet wel worden toegelicht in de jaarrekening.
•
Het advies is om kaders op te nemen in de financiële verordening indien specifieke budgetten bij onderuitputting op jaareinde in bestemmingsreserves worden opgenomen. In de nota is een aantal opties voor de verwerking hiervan opgenomen.
Controleplanning Bijlagen Inhoudsopgave
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen
Impact van Covid-19
Controlekader Vooruitkijkend Verbeterplan Rechtmatigheidsverantwoording Impact van Covid-19 Wet normering topinkomens Ontwikkelingen Sociaal Domein Overige ontwikkelingen Controleplanning Bijlagen Inhoudsopgave
In dit hoofdstuk staan we stil bij de impact van Covid-19 op de financiële positie en de getrouwheid en rechtmatigheid van transacties. Wat we hebben gezien is dat de gemeente over wendbaarheid beschikt. In korte tijd zijn diverse acties ondernomen om de dienstverlening te laten doorlopen, maar ook bijvoorbeeld door het inrichten en uitvoeren van regelingen om instellingen en ondernemingen te ondersteunen in de Covid-19-tijd. Hierbij werd ook ‘getrouwheid’ en ‘rechtmatigheid’ zoveel mogelijk in acht werden genomen. Covid-19 heeft ook gevolgen voor jaarrekening 2021, opstellen analyse van belang; analyse bij jaarrekening 2020 is hiervoor een goede basis. Ook voor de jaarrekening 2021 gelden nog belangrijke aandachtspunten als gevolg van Covid-19. Zo is het belangrijk om te kijken naar de waarderingen van deelnemingen en vorderingen, dient te worden bepaald of er sprake is van garanties die concreet worden, is het belangrijk om de uitgangspunten van de grondexploitatie te toetsen en dienen diverse subsidies te worden vastgesteld waarbij op voorhand soms al duidelijk is dat de prestaties niet zijn gerealiseerd. Het hanteren van de juiste besluitvormingsprocessen is hierbij in het kader van de rechtmatigheid van belang. Daarbij dient voor de jaarrekeningcontrole een interne analyse te worden uitgevoerd op de gevolgen van Covid-19 voor de jaarrekening.
In de bestuursrapportage en de begroting is een actualisatie opgenomen van het Bredase steunpakket corona. De actualisatie van het Bredase steunpakket corona in de jaarrekening is hierbij de basis van de analyse.
12
13
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen
Wet normering topinkomens
Controlekader Vooruitkijkend Verbeterplan Rechtmatigheidsverantwoording Impact van Covid-19 Wet normering topinkomens Ontwikkelingen Sociaal Domein
Uw WNT-norm 2021
Aandachtspunten WNT-verantwoording 2021
De WNT is van toepassing op gemeente Breda (hierna: ‘uw instelling’). Het bezoldigingsmaximum voor topfunctionarissen van uw organisatie wordt bepaald door het algemeen wettelijk maximum. Het algemeen voltijds- en voljaarsbezoldigingsmaximum voor 2021 is met ingang van 1 januari 2021 €209.000 (2020: €201.000).
De volgende aandachtspunten zijn mogelijk relevant voor de WNT-verantwoording 2021 van uw gemeente:
Uw interne beheersing rondom WNT
•
(Wijzigingen in) bezoldigingsafspraken met topfunctionarissen dienen expliciet vooraf aan de WNT te worden getoetst;
Hebt u niet-topfunctionarissen in dienstbetrekking die in 2021 méér bezoldiging ontvangen dan hun deeltijdfactor x €209.000, dan moet u deze (op functie) als ‘overige functionarissen’ in de WNT-verantwoording opnemen. In afwijking van 2020 wordt vanaf 2021 de periode waarin de betrokken functionaris in dienst was niet langer vermeld.
•
Uw instelling beschikt per topfunctionaris over een overzicht van alle betalingen in het kalenderjaar;
Wijzigingen WNT vanaf 2022
De volgende interne beheersingsmaatregelen rondom een juiste toepassing van de WNT zijn essentieel:
Overige ontwikkelingen Controleplanning Bijlagen
Ontvangt een topfunctionaris ook nog een bezoldiging op andere gronden dan de topfunctie? Dan moet u (vanaf 2021!) mogelijk een extra overzicht in uw WNT-verantwoording opnemen.
•
Er wordt een vakantiedagenregistratie voor uw topfunctionarissen bijgehouden (voor zover dit leidt tot een saldo vakantiedagen dat vervolgens wordt uitbetaald);
•
Afspraken met topfunctionarissen dienen vooraf expliciet (zichtbaar) aan de WNT te worden getoetst.
•
Het valt aan te bevelen de template voor de rondrekening WNT aan te houden bij het opmaken van de verantwoording, zodat wordt gewaarborgd dat alle relevante looncomponenten worden meegenomen.
Inhoudsopgave
Het algemeen voltijds- en voljaarsbezoldigingsmaximum is voor 2022 verhoogd naar €216.000 (2021: €209.000). Voor topfunctionarissen zonder dienstverband worden de maxima €28.700 (2021: €27.700) per maand voor de eerste zes maanden plus €21.700 (2021: €21.000) per maand voor de tweede zes maanden, met een maximum uurtarief van €206 (2021: €199).
14
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Ontwikkelingen Sociaal Domein Prestatielevering sociaal domein blijft een aandachtspunt, wijzigingen in de samenwerking WBO
Vooruitkijkend Verbeterplan Rechtmatigheidsverantwoording Impact van Covid-19 Wet normering topinkomens Ontwikkelingen Sociaal Domein Overige ontwikkelingen Controleplanning Bijlagen Inhoudsopgave
Verminder afhankelijkheid van derden bij verantwoording over prestatielevering van zorg in natura Voor de zorg in natura heeft het college voor 2021 (evenals in 2020) gekozen om de prestatielevering van de zorg vast te stellen op basis van de verantwoordingen van zorgaanbieders. Dit zorgt voor vertragingstijd bij het verkrijgen van de relevante controle-informatie. Wij adviseren om de afhankelijkheden van derden te verkleinen en het proces te versnellen door de indicaties en cliëntgesprekken inzake de zorglevering in het primaire proces te documenteren. Op die manier kan de gemeente vanuit de eigen interne beheersing een uitspraak doen over zorglevering. Aanvullende werkzaamheden PGB’s ingericht De verantwoording van de PGB-bestedingen wordt ontvangen van de Sociale Verzekeringsbank (SVB). Om voldoende zekerheid te verkrijgen bij de PGB-gelden voert de gemeente Breda aanvullende werkzaamheden uit op onder meer de SVB-bestedingen in relatie tot de toekenningen. Ook worden zelfcontroles uitgevoerd op belangrijke rechtmatigheidsaspecten, zoals op de aanwezigheid van een zorgtoekenning en de aanwezigheid van BSN-nummers voor burgers waarvoor de SVB-uitbetalingen heeft gedaan. Het doel is om deze werkzaamheden structureel in de 1e en 2e lijn in te richten.
Aanpassing administratie WBO proactief opgepakt Vanaf 1 januari 2021 is WBO (en daarmee gemeente Breda) verantwoordelijk voor het voeren van de WBO-administratie. Voorheen werd deze uitgevoerd door Zorg Lokaal. Dit houdt in dat de processen rondom het autoriseren en betalen van de zorgfacturen inzake de WBO apart zijn ingericht in de administratie van de gemeente Breda. Het controleplan en de afstemming met de accountants van de deelnemende gemeenten heeft plaatsgevonden. De gemeente Breda heeft hierin proactief gehandeld.
15
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Overige ontwikkelingen
Vooruitkijkend
Voorziening voor achterstallig onderhoud van toepassing per 1 januari 2021, nieuwe handreiking over incidentele baten en lasten en per 1 juli 2022 treedt de omgevingswet in werking
Verbeterplan
Voorziening achterstallig onderhoud
Omgevingswet uitgesteld naar 1 juli 2022
In de notitie materiële vaste activa 2020 is een stellige uitspraak opgenomen inzake de voorziening achterstallig onderhoud; deze is vanaf 2021 van toepassing. De stellige uitspraak stelt dat er in geval van achterstallig onderhoud, waarbij sprake is van kapitaalvernietiging en/of onveilige situaties, een voorziening moet worden gevormd.
De Omgevingswet treedt per 1 juli 2022 in werking. De wet is bedoeld om te zorgen voor een goede balans tussen het benutten en beschermen van de fysieke leefomgeving en om met overzichtelijkere regels de leefomgeving meer in samenhang in te richten.
Rechtmatigheidsverantwoording Impact van Covid-19 Wet normering topinkomens Ontwikkelingen Sociaal Domein Overige ontwikkelingen Controleplanning Bijlagen Inhoudsopgave
Het is belangrijk om een inventarisatie te maken van het achterstallig onderhoud, waarbij ook een financiële vertaling wordt gemaakt voor de benodigde voorziening. Het is handig om hier het meerjarenonderhoudsplan als basis voor te nemen.
De kosten die worden gemaakt voor de uitvoering van het onderhoud dienen ten laste van de gevormde voorziening te worden verantwoord. Achterstallig onderhoud kan ook worden verholpen door de betreffende activa versneld te vervangen. In dit geval hoeft er geen voorziening te worden gevormd. De gemeente Breda heeft verschillende acties in gang gezet om na te gaan of sprake is van achterstallig onderhoud waar een voorziening voor gevormd dient te worden.
Incidentele baten en lasten In 2021 is er een handreiking ‘verduidelijking structurele en incidentele baten en lasten’ uitgekomen die een toelichting geeft over de verduidelijking van de structurele en incidentele baten en lasten in de jaarrekening. Deze handreiking geeft inzichten, uitgangspunten en voorbeelden voor het opstellen van de incidentele baten en lasten in de jaarrekening.
De implementatie van de Omgevingswet is bij de gemeente Breda vormgegeven in het expeditieprogramma Omgevingswet. Begroting 2022 vanaf 2023 structureel sluitend De meerjarenbegroting laat vanaf 2023 een structureel sluitend beeld zien. Dit wil zeggen dat structurele lasten met structurele middelen afgedekt worden, als uitgangspunt van solide financiën. In 2021 en 2022 is dat niet het geval. In 2021 is gewerkt aan het Strategische investeringsplan (SIP), dit met als doel om de investeringsruimte beter te benutten, omdat op basis van de begrotingen van de afgelopen jaren zichtbaar was dat de investeringsruimte volgepland was, terwijl niet alle investeringen in de praktijk gerealiseerd kunnen worden. Wij vinden dit een goede ontwikkeling voor de beheersing van de investeringsambitie en de koppeling met de meerjarenbegroting. In de bestuursrapportage 2021 is sprake van een tekort op de organisatie van €2,6 miljoen van de oorspronkelijke €5,5 miljoen aan taakstelling. Hierin zijn de uitkomsten van de september en decembercirculaire nog niet verwerkt. Wij adviseren de realisatie hiervan in de jaarrekening 2021 zichtbaar te maken.
15I
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Overige ontwikkelingen Aankomende wijzigingen in de controleverklaring van accountants ten aanzien van fraude
Vooruitkijkend Verbeterplan Rechtmatigheidsverantwoording Impact van Covid-19 Wet normering topinkomens Ontwikkelingen Sociaal Domein Overige ontwikkelingen Controleplanning Bijlagen Inhoudsopgave
Achtergrond
Fraude
In september heeft de Koninklijke Nederlandse Beroepsorganisatie van Accountants (NBA) een consultatiedocument uitgebracht met voorgestelde wijzigingen in de door accountants vanaf het boekjaar 2022 te verstrekken controleverklaringen bij jaarrekeningen. Het betreft zowel wettelijke als vrijwillige controleopdrachten. De wijzigingen zien op de door de NBA, in afstemming met de door de minister van Financiën aangestelde kwartiermakers, verplichte uitgebreide rapportage door accountants over de uitgevoerde werkzaamheden ten aanzien van fraude en continuïteit. Ook heeft de NBA aangekondigd dat bij Organisaties van Openbaar Belang (OOB’s) reeds in de controleverklaring bij de jaarrekening over het boekjaar 2021 moet worden gerapporteerd over fraude. Bij andere organisaties wordt een pilot uitgevoerd met betrekking tot de uitgebreide controleverklaring ten aanzien van fraude en continuïteit.
Ten aanzien van fraude zullen wij op basis van de aangepaste standaard gaan rapporteren over de risico-inschatting, verrichte werkzaamheden en materiële bevindingen ten aanzien van fraude. Ten behoeve daarvan zullen we het fraudepreventieprogramma van gemeente Breda onderzoeken, waaronder:
Deze wijzigingen zullen derhalve ook van invloed zijn op de controleverklaring die wij vanaf 2022 bij de jaarrekening van gemeente Breda verstrekken en het is van belang dat wij hiervoor gezamenlijk de voorbereidingen treffen.
•
de implementatie van een gedragscode met ethische gedragsregels voor het creëren van een cultuur van eerlijkheid;
•
de door het management uitgevoerde frauderisicoanalyse;
•
de maatregelen van interne beheersing die getroffen zijn om specifieke frauderisico’s te mitigeren;
•
de wijze waarop het management opvolging geeft aan meldingen van klokkenluiders of andere signalen van fraude;
•
het opstellen van een redresplan en uitvoeren en monitoren van de acties.
Wij adviseren u te beoordelen wat de kwaliteit is van uw fraudepreventieprogramma en indien nodig tijdig maatregelen te treffen om de kwaliteit van dit programma te verbeteren aangezien de kwaliteit van dit programma mede bepalend is voor de bevindingen die wij in de controleverklaring zullen (moeten) rapporteren. Wij adviseren u ook om hierover zelf in de paragraaf bedrijfsvoering te rapporteren zodat wij hier in onze controleverklaring naar kunnen verwijzen en de door u gerapporteerde informatie kunnen bevestigen.
16
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Controleplanning Een overzichtelijk controleproces
Vooruitkijkend Verbeterplan Rechtmatigheidsverantwoording
We faseren onze controle zo gelijkmatig mogelijk gedurende het jaar en besteden veel tijd aan het begrijpen van wijzigingen in de controleomgeving, het testen van tussentijdse saldi en het bespreken van mogelijke transacties en accountingkwesties. Ons doel is om tijdig (complexe) accountingonderwerpen te bespreken, te testen en op te lossen wanneer deze zich voordoen en ruim voor het einde van het jaar. In onderstaande tabel is de planning voor de audit 2021 gevisualiseerd.
Impact van Covid-19 Wet normering topinkomens Ontwikkelingen Sociaal Domein Overige ontwikkelingen Controleplanning Bijlagen Inhoudsopgave