Bijlage 3 Rapportage interimbevindingen Gemeente Breda getekend
Tekst van het document
Augustus - september
September - oktober
Oktober- november
Planningsfase
Controle opzet processen
• Bespreken controleplan • Kennisnemen ontwikkelingen gemeente • Opzetten en bespreken risicoanalyse • Controleplanning opstellen • Afspraken met organisatie maken over planning en oplevering • Opzet algemene IT-beheersing beoordelen
• Bespreken opzet financiële processen • Vaststellen of processen in de praktijk ook bestaan zoals ze beschreven zijn
• Vaststellen of processen in de praktijk ook werken zoals ze beschreven zijn • Gegevensgerichte controles op de processen t/m 30/9: • Met de organisatie op te leveren specificaties jaarrekeningcontrole bespreken
Managementmeetings organisatie
Rapport interim-bevindingen raad
Opdrachtbevestiging raad Controleplan raad
Controle werking processen
Maart - mei Jaarrekeningcontrole • Uitvoeren/bespreken jaarrekeningcontrole • Controle van derden ontvangen verantwoordingen • Gegevensgerichte controle op de processen t/m 31/12:
Accountantsverslag raad Controleverklaring raad
17
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Vooruitkijkend Bijlagen Detailbevindingen Detailbevindingen IT ISA-vereisten Inhoudsopgave
Appendices Bijlagen In dit hoofdstuk hebben we de bijlagen opgenomen waaronder detailbevindingen en een overzicht van de vereiste communicatie.
05 04
18
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Detailbevindingen (1/3) Onderstaande tabel bevat een beschrijving van onze voornaamste observaties per post en proces. Hierbij zoomen we in op zowel procesmatige tekortkomingen en/of verbeteringen, als bijzonderheden die naar voren zijn gekomen naar aanleiding van gegevensgerichte werkzaamheden op het eerste deel van het jaar.
Vooruitkijkend Bijlagen Detailbevindingen
Proces
Uitgaande subsidies
T.o.v. 2020
Detailbevindingen IT ISA-vereisten Inhoudsopgave
Toelichting
Proces: Uw organisatie zit ten aanzien van de uitgaande subsidies in een verbeterproces zoals is uitgestippeld in het verbeterplan rechtmatigheid. Dit moet volgend jaar volledig tot wasdom komen. In het huidige jaar zijn al wel stappen gezet om de papieren dossiers te digitaliseren. Zo heeft de organisatie bijvoorbeeld afscheid genomen van de hardcopy toetsingschecklisten. De beoordeling van beschikkingen vindt in 2021 plaats middels opmerkingen in de Word-versies. Dit vergroot de herleidbaarheid van de beoordelingen, maar daarentegen kan de volledigheid van de genomen controlepunten lastig worden vastgesteld. Wij adviseren om hier aandacht aan te besteden bij de herinrichting van het proces en te waarborgen dat functiescheiding altijd zichtbaar is. Werking: In de algemene subsidieverordening staat opgenomen dat jaarlijkse subsidieontvangers eventuele exploitatieoverschotten mogen reserveren tot een maximum van 10% van de laatst ontvangen periodieke subsidie. Voor drie subsidies in de selectie wordt deze grens mogelijk overschreden, maar dit is nog niet zeker omdat het normenkader geen duidelijkheid geeft over de te hanteren berekeningswijze van het aandeel van de gemeente Breda in de egalisatiereserve. Wij delen hierbij het advies van concerncontrol om hier de algemene subsidieverordening op aan te passen.
Verder valt op dat bij twee subsidies uit onze steekproef op individuele subsidiedossiers dat de maximale beoordelingstermijn van dertien weken zonder duidelijk vastgelegde reden wordt overschreden. Dit heeft echter geen impact op de financiële rechtmatigheid.
Grondexploitatie
Vorig jaar rapporteerden wij dat de interne documentatie met betrekking tot de gemaakte overwegingen en afspraken over de verschillende projecten niet op het gewenste niveau is. In 2021 zijn hier geen zichtbare stappen in gezet. De dossiervorming bestaat voornamelijk uit de verkenner en mailbox van de key-functionarissen. Deze afhankelijkheid is onwenselijk. Door de start van enkele nieuwe projecten laat de grondexploitatie-portefeuille een meer gebalanceerd beeld zien. Idealiter heeft een gemeente een portefeuille met projecten in verschillende stadia om risico’s te spreiden. Op basis van de stand van vorig jaar bevonden een groot deel van de projecten zich in de eindfase, hetgeen de risicomix van de portefeuille niet ten goede kwam.
18I
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Detailbevindingen (2/3) Proces
T.o.v. 2020
Toelichting
Vooruitkijkend Bijlagen Detailbevindingen
Inkopen en Aanbestedingen
Detailbevindingen IT
Proces: De organisatie werkt actief aan het verbeteren van het proces rondom inkopen en aanbesteden. Hiertoe is het nieuwe systeem ProActis recent live gegaan, met als voorname verbetering dat bij alle aankopen met inkooporders gewerkt gaat worden en meer inzicht wordt gecreëerd in contractenverloop. Dit is een goede stap om rechtmatigheidsfouten te verlagen. Wij merken dat deze systeemtechnische maatregelen gepaard gaan met een focus op meer bewustwording in de organisatie, bijvoorbeeld door middel van trainingen en evaluatiegesprekken over foutenlijsten.
ISA-vereisten Werking: Bij onze controle op aanbestedingsdossiers hebben wij tot op heden drie inkopen gevonden waarbij Europese aanbesteding ten onrechte niet heeft plaatsgevonden (waarvan 1 inhuurdossier). In aanvulling daarop zien wij ten minste vijf inkopen waarbij het interne inkoop- en aanbestedingsbeleid (leidt niet tot een financiële onrechtmatigheid mits het onder de EU aanbestedingsgrenzen blijft) onjuist is toegepast (waarvan 2 inhuurdossiers). Hierbij delen wij de conclusies van concerncontrol. De totale impact van de bevindingen wegen wij bij de jaarrekeningcontrole.
Inhoudsopgave
Bij onze controle viel verder op dat voor sommige crediteuren dubbele crediteurnamen bestaan in het systeem (bijvoorbeeld één met spelfout en één zonder). Dit brengt onwenselijke risico’s met zich mee bij de volledigheid van de spendanalyse en in het betaalproces. WMO - PGB
De organisatie heeft stappen gezet om de PGB-stroom en daarmee ook de daaraan gerelateerde rechtmatigheidsrisico’s te verminderen. Verschillende factoren hebben hier aan bijgedragen, met name een hernieuwd beleid ten aanzien van kwaliteitscriteria en tarieven (die gelijk zijn gesteld aan de ZIN-stroom), en verhoogde focus op inhoud in plaats van geld gedurende het aanvraagproces. Bij onze gegevensgerichte werkzaamheden op dossierniveau hebben wij vooralsnog geen bevindingen geconstateerd.
Jeugd
De afhankelijkheid van Zorglokaal is in 2021 verdwenen door het verantwoordingsproces in huis te organiseren. Desondanks blijft de gemeente Breda afhankelijk van derden met betrekking tot de onderbouwing van zorglevering en de timing daarvan. Tijdens onze gesprekken met de medewerkers in de Jeugd-keten hebben we opgemerkt dat uw organisatie – met name met behulp van data-analyse – goede stappen zet om deze afhankelijkheid te beperken, maar het blijft desalniettemin een belangrijk thema voor de komende jaren. Bij onze gegevensgerichte werkzaamheden op dossierniveau hebben wij vooralsnog geen bevindingen geconstateerd.
18II
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Detailbevindingen (3/3) Proces
T.o.v. 2020
Vastgoed
Toelichting
Vooruitkijkend Bijlagen Detailbevindingen Detailbevindingen IT
Verder hebben wij opgemerkt dat de controle op de invoer van tarieven voor vastgoedbeheer door de ‘buddy’ niet wordt vastgelegd. Wij adviseren om deze controle zichtbaar te documenteren.
ISA-vereisten Inhoudsopgave
Net als vorig jaar blijkt dat uw organisatie geen aansluiting maakt tussen het vastgoedbeheersysteem Planon en de activastaat vanuit Key2Financiën. Deze aansluiting is belangrijk om te waarborgen dat de verhuuropbrengsten volledig en in het juiste boekjaar worden verantwoord. De organisatie is voornemens deze aansluiting toe te voegen aan het proces, maar de implementatie daarvan moet nog plaatsvinden.
Belastingopbrengsten
Vorig jaar rapporteerden wij dat bij het proces inzake belastingen en heffingen de organisatie te weinig sturingsinformatie ontvangt en afdwingt, met als advies om dit in een nieuw convenant in te regelen. Naar wij begrijpen is het oude convenant uit 2019 nog steeds van toepassing, maar heeft de organisatie intern de informatiebehoefte geïnventariseerd om dit najaar het gesprek met BWB aan te gaan.
Omgevingsverguningen
Alle behandelaars van de aanvragen kunnen de kritieke velden in Powerbrowser wijzigen zonder dat dit door iemand anders moet worden goedgekeurd. De mutaties worden wel gelogd, maar hier vindt geen periodieke controle op plaats. Wij adviseren deze controle uit te gaan voeren. Verder rapporteerden wij vorig jaar dat de organisatie geen zichtbare aansluiting maakt tussen OLO (waar omgevingsvergunningen worden geregistreerd) en Powerbrowser (waar deze worden verwerkt). Vanaf 2021 wordt deze aansluiting zichtbaar gemaakt. De deelwaarneming op dossiers tot en met juni 2021 hebben niet tot bevindingen geleid.
Overige processen
Naast de reeds vermelde opmerkingen hebben wij voor een aantal processen de werking voor een deel van het kalenderjaar reeds gecontroleerd. Hier volgen geen gegevensgerichte bevindingen uit, maar desalniettemin vinden wij het waardevol om reeds te rapporteren over onze werkzaamheden. Voor de volgende processen en/of posten hebben we een controle over een deel van het kalender uitgevoerd: personele lasten, factuurafhandeling, opbrengsten Werk, parkeeropbrengsten en participatie. Hoewel hierbij nog enkele vragen open staan, hebben wij vooralsnog geen belangrijke bevindingen geconstateerd. Bij de participatie-stroom is wel bekend dat archiveringsproblemen vanuit voorgaand jaar een impact hebben op 2021 voor de nog doorlopende dossiers.
19
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Vooruitkijkend Bijlagen Detailbevindingen Detailbevindingen IT
Detailbevindingen IT (1/4) De beveiliging, integriteit en betrouwbaarheid van uw financiële informatie zijn afhankelijk van juiste toegangscontroles, wijzigingsbeheer en operationele interne beheersingsmaatregelen. IT-systemen worden steeds vaker geïntegreerd in bedrijfsprocessen en beheersingsmaatregelen inzake financiële informatie. Ref#
Tekortkoming
2017.01
Een periodieke controle op de juistheid en volledigheid van de autorisaties (denk aan toegang tot kritische mappen) op het netwerk vindt niet (zichtbaar) plaats.
ISA-vereisten
Status
De onderstaande tabel biedt een overzicht van onze geconstateerde tekortkomingen en aanbevelingen. Tevens lichten wij toe wat het effect van de tekortkoming is voor de controleaanpak.
Aanbeveling en reactie management
Effect controleaanpak
Aanbeveling Voer de periodieke controle op de juistheid en volledigheid van autorisaties op het netwerk periodiek uit en documenteer deze controle incl. de opvolging.
Geen directe impact op de controleaanpak.
•
Inhoudsopgave
Reactie management ICTS voert deze controles periodiek uit op de belangrijkste ICTS beheeraccounts en registreert dit in Topdesk. Hoe andere proces eigenaren (in de lijn) dit organiseren binnen hun domein is bij ICTS niet bekend. 2020.01
Gemeente Breda beoordeelt jaarlijks de assurancerapportage (Standaard 3402 Type-II) van ADP Workforce. De beoordeling en eventuele opvolging wordt beperkt gedocumenteerd.
•
Aanbeveling Documenteer de jaarlijkse beoordeling van de assurancerapportage van ADP Workforce en geef zichtbaar opvolging aan eventuele geconstateerde risico’s, bevindingen en user entity controls.
Geen directe impact op de controleaanpak.
Reactie management De ISAE3402 verklaring is opgevraagd en desgevraagd beoordeeld door de security specialist in mei 2021. Hij concludeert het volgende: Op basis hiervan kunnen wij ervanuit gaan dat dit door ADP zelf gaat worden opgepakt en adviseer ik geen actie richting ADP hierover te ondernemen. Deze mail is ook met PWC gedeeld. Als de documentatie hiervan niet voldoende is, vernemen we graag hoe dit in het vervolg op te pakken
Nieuw geïdentificeerde tekortkoming
Eerder gerapporteerde tekortkoming, onderhanden
Eerder gerapporteerde tekortkoming, geen voortgang
Opgeloste tekortkoming
19I
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen
Detailbevindingen IT (2/4)
Controlekader Vooruitkijkend
Systeem
Tekortkoming
2020.02
Er is een gestructureerde werkwijze voor het periodiek valideren van de juistheid en volledigheid van gebruikers met schrijfrechten op de database van Key2Financiën echter is deze beperkt gedocumenteerd.
Bijlagen
Status
Aanbeveling en reactie management
Effect controleaanpak
Aanbeveling Voer de periodieke controle op de juistheid en volledigheid van superuser accounts en gebruikers met schrijfrechten op de database uit en documenteer deze controle incl. de opvolging.
Geen directe impact op de controleaanpak.
•
Detailbevindingen
Reactie management De matrix en bevindingen leggen we vast in topdesk alleen we plannen het niet periodiek via topdesk. Dit pakken we op.
Detailbevindingen IT ISA-vereisten
2020.03
Vijf medewerkers van gemeente Breda beschikken onterecht over toegang tot de serverruimte van gemeente Breda.
Inhoudsopgave
•
Gemeente Breda heeft de rechten ingetrokken na het constateren van deze bevinding. Gemeente Breda beschikt niet over logging om te valideren of de rechten onterecht zijn gebruikt.
2020.04
Op basis van één deelwaarneming van een uitdiensttreder hebben we geconstateerd dat de rechten op het netwerk niet tijdig zijn ingetrokken.
Aanbeveling Scherp de procedure voor het muteren van de autorisaties tot de serverruimte aan, valideer periodiek de juistheid en volledigheid van de autorisaties tot de serverruimte en schakel logging in om het misbruik van autorisaties achteraf te kunnen valideren.
Geen directe impact op de controleaanpak.
Reactie management Gebouwenbeheer had de afgesproken procedure niet goed doorlopen waardoor deze medewerkers ten onrechte toegang hadden tot deze ruimtes. Dit onder de aandacht gebracht bij de betreffende afdeling. Deze toegang is overigens niet misbruikt door deze medewerkers.
•
Aanbeveling Verwijder autorisaties van uitdiensttreders tijdig, in lijn met de autorisatieprocedure.
We kunnen niet steunen op functiescheiding binnen het netwerk zonder aanvullende werkzaamheden uit te voeren.
Reactie management We kunnen alleen concluderen dat er iets fout is gegaan in de keten van het uitdienst melden van een medewerker bij waarschijnlijk adeptia. De log files van adeptia gaan helaas niet terug tot januari van dit jaar. Er wordt een verzoek gedaan aan de ontwikkelaars van MGM om een controle mechanisme in te bouwen zodat wij als het misgaat wij hierover een melding krijgen.
Nieuw geïdentificeerde tekortkoming
Eerder gerapporteerde tekortkoming, onderhanden
Eerder gerapporteerde tekortkoming, geen voortgang
Opgeloste tekortkoming
19II
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen
Detailbevindingen IT (3/4)
Controlekader Vooruitkijkend
Systeem
Tekortkoming
2020.05
Gemeente Breda beschikt over een verschillende calamiteitenplannen waarin staat beschreven hoe gehandeld moet worden in geval van calamiteiten. Een periodieke test op de effectiviteit van de calamiteitenplannen heeft deels in 2021 niet plaatsgevonden. Daarnaast worden deze periodieke testen op effectiviteit niet/beperkt gedocumenteerd.
Gemeente Breda heeft logging ingericht binnen Key2Financiën, Suite voor Sociaal Domein en ADP Workforce. Een periodieke controle op logging ontbreekt echter.
Bijlagen Detailbevindingen
Status
Aanbeveling en reactie management
Effect controleaanpak
Aanbeveling Voer een periodieke (minimaal jaarlijkse) test uit van het calamiteitenplan om de effectiviteit van het calamiteitenplan te kunnen beoordelen en documenteer dit zichtbaar.
Geen directe impact op de controleaanpak.
•
Reactie management We nemen dit mee in 2022.
Detailbevindingen IT ISA-vereisten
2021.01
Inhoudsopgave
•
Aanbeveling Voer een risicoanalyse uit op kritische handelingen binnen Key2Financiën, Suite voor Sociaal Domein en ADP Workforce. Stel logging in op basis van deze risicoanalyse, controleer periodiek de logging en documenteer de resultaten van deze periodieke controle.
Geen directe impact op de controleaanpak.
Reactie management De logging is ingesteld naar de mogelijkheden van de applicatie. We voeren daar nu inderdaad geen proactieve analyse op uit. Dit doen we op aanvraag. We willen graag leren en verder komen en zouden dan ook graag in gesprek gaan over hoe we dit aan kunnen pakken
Nieuw geïdentificeerde tekortkoming
Eerder gerapporteerde tekortkoming, onderhanden
Eerder gerapporteerde tekortkoming, geen voortgang
Opgeloste tekortkoming
19III
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen
Detailbevindingen IT (4/4)
Controlekader Vooruitkijkend
Systeem
Tekortkoming
Status
2021.02
Wachtwoordrestricties binnen Key2Financiën zijn niet in lijn met het wachtwoordbeleid van Gemeente Breda:
Detailbevindingen Detailbevindingen IT
Key2Financiën
Wachtwoordbeleid
Wachtwoord historie
90 dagen
60 dagen
Vreemde tekens
Vreemde tekens niet toegestaan
Effect controleaanpak
Aanbeveling Breng de wachtwoordrestricties binnen Key2Financiën in lijn met het wachtwoordbeleid van gemeente Breda of documenteer uitzonderingen op het wachtwoordbeleid, voorzien van een risico afweging en een geldigheidsperiode voor de uitzondering.
Geen directe impact op de controleaanpak.
Bijlagen Parameter
Aanbeveling en reactie management
Minimaal één vreemd teken
ISA-vereisten Inhoudsopgave
•
Reactie management De historie wordt teruggebracht naar 60 dagen. Voor de restricties zijn we afhankelijk van de leverancier en de Oracle database die eronder ligt. Hierover is meerdere malen gesproken met de leverancier en we volgen de ontwikkelingen op de voet. We zullen de komende tijd zoeken naar mogelijkheden en/of de uitzondering documenteren, voorzien van een risico afweging.
Nieuw geïdentificeerde tekortkoming
Eerder gerapporteerde tekortkoming, onderhanden
Eerder gerapporteerde tekortkoming, geen voortgang
Opgeloste tekortkoming
20
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader
Onze communicatie over de belangrijkste voorwaarden en aandachtspunten van de controle
Vooruitkijkend Bijlagen Detailbevindingen
Vereiste communicatie op grond van de controlestandaarden
Auditplan
Rapportage interimbevindingen
Accountantsverslag
Mededeling over de verantwoordelijkheden van de accountant
Detailbevindingen IT
Bevestiging van de onafhankelijkheid van PwC
ISA-vereisten
De zaken die zijn aangemerkt als kernpunten van de controle
Inhoudsopgave
Eventuele significante tekortkomingen in de interne controle
Eventuele ontdekte of vermoede fraude
Niet naleven van wet- en regelgeving
Schriftelijke bevestigingen gevraagd van het college/management
Alle zaken die van invloed zijn op de vorm en inhoud van de controleverklaring
Standpunt van de accountant over belangrijke kwalitatieve aspecten van de verslaggeving door het college
Rapporteren over significante moeilijkheden, aangelegenheden en overige zaken die van belang zijn voor het toezicht op het financiële verslaggevingsproces
Niet-gecorrigeerde afwijkingen
Significante aangelegenheden die naar voren komen tijdens de controle in verband met verbonden partijen van de provincie.
Beschrijving van de reikwijdte en timing van de controle, waaronder significante risico’s
21
Rapportage interim-bevindingen
Inleiding Onze kernboodschappen Controlekader Vooruitkijkend Bijlagen Inhoudsopgave
Inhoudsopgave Inleiding
1
Detailbevindingen IT
19
Onze kernboodschappen
2
ISA-vereisten
20
Onze kernboodschappen Controlekader
3 4
Controleomgeving
5
Controleactiviteiten
6
Fraude en wet- en regelgeving
7
Impact op aanpak
8
Vooruitkijkend
9
Verbeterplan
10
Rechtmatigheidsverantwoording
11
Impact van Covid-19
12
Wet normering topinkomens
13
Ontwikkelingen Sociaal Domein
14
Overige ontwikkelingen
15
Controleplanning
16
Bijlagen Detailbevindingen
17 18
Inhoudsopgave
21