N 18092025 Auditcommissie

NOTULEN VAN DE VERGADERING VAN DE AUDITCOMMISSIE VAN HET BREDAAS BERAAD van 18 september 2025 Voorzitter: Griffier/secretaris:

de heer H. Jansen de heer R. Wiersma

(Burger-)raadsleden:

de heer S. Vos mevrouw L. van Kelle mevrouw I. Verdaasdonk dhr. K. Braspenning de heer P. Jong de heer I. Gesink dhr. I. Dienjes dhr. M. van Woudenberg

Portefeuillehouders:

dhr. P. Bakker mevrouw C. Kranenborg-van Eerd

Rekenkamer:

B. Rook

BDO accountants:

dhr. M. Steehouwer

Ambtel. ondersteuning:

mevr. N. de Rijke dhr. J. Veuger mevr. E. Simons mevr. P. Ramakers mevr. S. van den Berg de heer C. Kuijpers

Vastgesteld in de vergadering van

, voorzitter

, griffier

Notulen auditcommissie d.d. 18 september 2025 Pagina 1

1. Opening De voorzitter opent het openbare gedeelte van de vergadering. Voorafgaand hieraan was een besloten deel, waarin de leden van de auditcommissie geïnterviewd werden door de Rekenkamer in het kader van een landelijk Rekenkameronderzoek naar onderbesteding. De voorzitter heet iedereen welkom, in het bijzonder de accountant van BDO, die voor het eerst aanwezig is. Daarnaast een speciaal welkom terug voor de heer De Groot. 3. Mededelingen 3.a. College Wethouder Bakker heeft geen mededelingen 3.b. Rekenkamer Mevrouw Rook deelt mee dat het landelijk onderzoek, waarover de voorzitter sprak, in volle gang is. Vandaag heeft de Rekenkamer het startgesprek gehad voor het verkennend onderzoek naar de ethische inzet van algoritmes. De secretaris-onderzoeker van de Rekenkamer gaat dit onderzoek doen. Het onderzoek naar verbonden partijen is afgerond en gepresenteerd aan de raad. Binnenkort start een onderzoek naar het woningbouwbeleid. Dat wordt uitgevoerd door Bureau Companen. De Rekenkamer zal de onderzoeksopzet, zodra die gereed is, delen met de raad. Bij de vergaderstukken zat de groslijst voor volgende onderzoeken. Als er vragen of opmerkingen over zijn is de Rekenkamer altijd te bereiken via de secretaris-onderzoeker. 4. Ingekomen stukken De voorzitter geeft aan dat er vandaag geen ingekomen stukken zijn. 5.

Vaststellen notulen van 15 mei 2025 De notulen worden ongewijzigd vastgesteld, met dank aan de notuliste. 6. Aandachts-en actiepuntenlijst en jaarplan Er zijn geen vragen of opmerkingen hierover. 7. Voorstel behandeling begroting De voorzitter vraagt of iemand vragen of opmerkingen heeft over het voorstel wat bij de stukken zit. Mevrouw Van Kelle merkt op dat de moties op woensdag 12 november voor 15.00 uur aangeleverd moeten zijn maar de fracties hebben pas op dinsdag de appreciatie van het college ontvangen. Zij neemt aan dat het daarna altijd mogelijk is om wijzigingen aan te brengen. De voorzitter antwoordt dat moties altijd gewijzigd kunnen worden totdat ze ingediend worden en zelfs daarna nog. Dit is een streefdatum. De voorzitter zal de agendacommissie laten weten dat de auditcommissie akkoord is met dit voorstel. 8. Presentatie college over Functionaris Gegevensbescherming Wethouder Bakker geeft aan dat mevrouw De Rijke, de FG (Functionaris Gegevensbescherming) is voor de raad, de burgemeester en de organisatie, dus drie bevoegde gezagen. De FG heeft een eigen positie, die bij de aanstelling geregeld is. In juni is het jaarrapport van de FG met daarop de reactie van het college naar de auditcommissie gestuurd. De voorzitter constateert dat daar geen vragen of opmerkingen over zijn. Wethouder Bakker geeft aan dat de presentatie van de FG zes adviezen bevat. 1.

In je dagelijkse routines gegevensbescherming een plek geven. Er zijn grote stappen gezet maar dat moet echt geïnternaliseerd worden in de reguliere processen. Het gaat ook over het een plek geven in het jaarplan en is voor een deel ook cultuur. 2. Neem zaken op als controle van het register van verwerkingen. Zodra er persoonlijke gegevens verwerkt worden, moet je een register maken. We hebben DPIA’s (Data Protection Impact Assessments), dat is een manier om te doordenken wat je aan gegevens verwerkt, wat raakt mensen, waar wil je zorgvuldig mee omgaan. Het uitvoeren van DPIA’s wordt opgenomen in de jaarplannen. 3. Sturen op voortgang en het behalen van de privacy jaarplanning. 4. Breng alle applicaties in kaart en zorg dat de informatie op de juiste manier op de juiste plek wordt opgeslagen. 5. Implementeer een Data Loss Prevention toepassing. Mevrouw De Rijke vult aan dat dit een manier is om data te beveiligen maar ook terug te kunnen zoeken. Wethouder Bakker 6. Borg de gegevensbescherming in alle basiswerkwijzen, canvassen, projectplannen en formats. Zorg dat het niet alleen bij planvorming blijft maar dat het ook gedaan wordt. Een canvas is een onderdeel van een projectplan. Dat gaat niet over de inhoud maar over alle dingen die erbij komen. De resultaten op basis waarvan de FG tot die conclusies is gekomen zijn: 1.

In 2024 zijn 10 nieuwe DPIA’s gemaakt en ongeveer 55 uitgevoerd. 2. Het register van verwerkingen is bijna compleet. 3. Er zijn veel e-learning- en bewustwordingssessies gehouden voor de medewerkers. 4. Er zijn 99 inzageverzoeken behandeld. Notulen auditcommissie d.d. 18 september 2025 Pagina 2

5. Er is een Veiligheid routekaart opgesteld ter voorbereiding van de NIS2, een Europese cyberbeveiligingswet, die binnenkort ingaat. 6. Toetsing van privacy/security is bij de inzet van nieuwe technologie uitdrukkelijk meegenomen, bijvoorbeeld bij Copilot. Voor de proef met Copilot is heel nadrukkelijk gewerkt met een DPIA en is heel nauw met de FG opgetrokken. 7. Domein 1 WPG (Wet Politie Gegevens) heeft grote stappen in volwassenheid gezet. Mevrouw De Rijke vult aan dat dit over de boa’s in de openbare ruimte en de politiegegevens gaat. Wethouder Bakker 8. Privacy en security wordt op verschillende plekken geborgd in de control rapportages, formats en in werkgroepen en projecten. De heer Dienjes vraagt uit te weiden over de volwassenheid. Mevrouw De Rijke geeft aan dat je vanuit de WPG verplichte audits moet doen op een aantal onderdelen. Er worden ook interne audits gedaan en eens in de vier jaar een externe audit. Wethouder Bakker 9. Medewerkers weten de Privacy en Security professionals goed te vinden. We zijn er nog niet maar we zijn wel goed op weg. De heer Jong vraagt of er een waakhondfunctie in zit wat betreft gegevensbescherming en of er verslag wordt gedaan als er niet gehouden is aan de regelgeving. Wethouder Bakker antwoordt dat de FG niet voor niets een aparte positie heeft. Die spreekt doorlopend iemand aan als iets niet goed gaat.

Daarnaast wordt in het jaarverslag nadrukkelijk gesignaleerd wat voor verbetering vatbaar is. De FG kan tussentijds de organisatie en het college erop aanspreken als iets niet goed gaat. De heer Van Woudenberg neemt aan dat het bij de e-learning en bewustwordingssessies over de beveiliging van gegevens gaat. Wethouder Bakker antwoordt dat alle medewerkers van tijd tot tijd een diploma daarop moeten halen. Als ze het niet halen, kunnen ze niet meer op hun pc werken. Dat is nodig om mensen doorlopend bewust te maken en dit onderdeel van de basishouding te krijgen. De heer Gesink vraagt of de privacy incidenten geteld worden. Mevrouw De Rijke antwoordt dat dat in het verslag staat. De voorzitter vraagt wat bedoeld wordt met inzageverzoeken, wat wordt dan aangeleverd. Wethouder Bakker antwoordt dat mensen het recht hebben om in te zien wat over hen wordt opgeslagen. Het is best een kleine groep mensen, die dat opvraagt maar die zijn daar heel vasthoudend in. De voorzitter vraagt of dit betekent dat hij kan vragen wat over hem geregistreerd is bij de gemeenteraad. Mevrouw De Rijke antwoordt dat de gemeenteraad los van de organisatie staat. Daar is ook een verslag van geweest. De heer Jong vraagt of mensen hun eigen dossier mogen inzien. Mevrouw De Rijke: dat klopt. De heer Jong vraagt hoe dat zich verhoudt tot de privacy van de ambtenaren.

Wethouder Bakker antwoordt dat je een verslag krijgt van de dingen die over jou geregistreerd staan maar niet van diegenen die het behandelen. De heer Jong vraagt of je het dossier dan niet in mag zien. Wethouder Bakker antwoordt dat het geen dossier is maar een overzicht van de gegevens die over je geregistreerd staan. De heer Jong merkt op dat elke cliënt een dossier heeft. Daar zit ook een rapportage in. De voorzitter concludeert dat de inhoud van het dossier niet wordt getoond maar er wordt getoond wie wat gedaan heeft. Mevrouw De Rijke geeft aan dat in brieven die de gemeente schrijft, de naam van de behandelend ambtenaar staat dus die is bekend. Het zijn gewoon zakelijke gegevens. Mevrouw Verdaasdonk vraagt of dit de verzoeken zijn, waarin mensen vragen met welke derden hun gegevens zijn gedeeld. Mevrouw De Rijke antwoordt dat dat er ook in staat. In het inzageverzoek is een kolom, waarin wordt aangegeven aan welke instanties de gegevens zijn doorgegeven. Mevrouw Verdaasdonk vraagt of alle inzageverzoeken zijn om te weten met wie je gegevens uit je BRP zijn gedeeld. Mevrouw De Rijke antwoordt dat de BRP apart is, dat is een ander soort aanvraag voor. Mevrouw Verdaasdonk heeft nog geen flauw idee wat inwoners dan vragen. De voorzitter vraagt of de gemeente voor die 99 inzageverzoeken moet oplepelen aan wie en waar ze de persoonsgegevens ‘rondgestrooid’ hebben.

Mevrouw De Rijke antwoordt dat mensen recht hebben op een overzicht van de persoonsgegevens. Bij de gemeente Breda krijgen ze ook de stukken die daarbij horen. Dat is geen verplichting. In het overzicht staat “deze persoonsgegevens zijn gedeeld met de volgende instanties”. Mevrouw Van Kelle vraagt, voor de helderheid, of iemand inzage krijgt in de gegevens die de gemeente van diegene opgeslagen heeft. De heer Jong vraagt wat er gebeurt als eruit komt dat de burger zelf geen toestemming heeft gegeven om die informatie door te sturen naar anderen. Mevrouw De Rijke antwoordt dat inwoners niet altijd toestemming hoeven te geven. Soms is het een wettelijke verplichting. Notulen auditcommissie d.d. 18 september 2025 Pagina 3

Wethouder Bakker geeft aan dat mensen een klacht in kunnen dienen als ze het er niet mee eens zijn. Daar zijn procedures voor. Mevrouw Verdaasdonk probeert het helder te krijgen. Dit inzageverzoek is dus alleen om te weten wat de gemeente over jou verzameld heeft. Dan is de vervolgvraag, zijn er ook mensen die vragen met wie de gemeente hun gegevens gedeeld heeft? Gaat de FG daarover of ligt dat bij iemand anders? Mevrouw De Rijke gaat daar niet over maar ziet er alleen op toe dat het goed gebeurt. Mevrouw Verdaasdonk merkt op dat er bij de politie een algoritme schijnt te zijn, waardoor gegevens van mensen soms wel 35 keer in één week gedeeld worden. Is dat ook iets waar de FG zich mee bezighoudt? Mevrouw De Rijke gaat niet over de politie maar wel als het vanuit de gemeente aan de politie wordt gegeven. Wethouder Bakker geeft aan dat de politie zijn eigen gegevens heeft. Mevrouw Verdaasdonk merkt op dat er mensen zijn die vanuit de gemeente lijsten krijgen waarin staat dat de politie tot 35 keer toe in een week bij de gemeente de gegevens heeft ingezien. Wat maakt dat dit niet in de resultaten voorkomt? Mevrouw de Rijke kan daar geen antwoord op geven, het komt haar niet bekend voor. De heer Van Woudenberg merkt op dat er allerlei dingen worden genoemd zoals AI, smart city, crowd management.

Gaat het er dan om hoe we gegevens van burgers kunnen beschermen, bijvoorbeeld bij crowd management? Wethouder Bakker antwoordt dat in het actieplan staat dat er toezicht wordt gehouden of dat soort processen goed gedaan wordt. De heer Gesink merkt op dat er een keer een dame van Breda University hier filmde en er was heel klein aangegeven dat er gefilmd werd en dat dat gebruikt kon worden voor onderzoek. Wil de gemeente de privacy beschermen in dat soort contexten? Wethouder Bakker antwoordt dat dat een belangenafweging is. Als het gaat om harde veiligheid wordt veel gebruik gemaakt van cameratoezicht maar daar moet je zorgvuldig mee omgaan en gezichtsherkenning moet geregistreerd worden. De basisoverweging in ieder plan van aanpak is om gegevens niet nodeloos lang vast te houden. De heer Dienjes merkt op dat afgelopen jaren mensen in Hoge Vucht in het kader van LSI bezocht zijn. De raad heeft gevraagd de opgeslagen gegevens te vernietigen maar dat is niet gebeurd. Hoe kijkt de FG daarnaar? De voorzitter merkt op dat dit een politieke vraag is. Wethouder Bakker antwoordt dat er indertijd veel over gewisseld is. Als er veel belangstelling voor is kan hij een overzicht van de inzageverzoeken laten opstellen en naar de auditcommissie sturen. De heer Dienjes: prima. De voorzitter dankt wethouder Bakker en mevrouw De Rijke voor de toelichting op het rapport.

Misschien is het goed dat de auditcommissie een presentatie krijgt over het werk van de FG. De secretaris zal daarover contact opnemen. 9. Presentatie Bedrijfsvoering De heer Veuger gaat samen met mevrouw Van den Berg, mevrouw Simons (afdelingshoofd HR) en mevrouw Ramakers de presentatie geven. Mevrouw Simons wil, net als vorig jaar, de arbeidsmarkt en inhuur aan de orde laten komen. Op een paar onderwerpen wordt het ingewikkelder om mensen te vinden: techniek en ICT, senior/strategische adviesfuncties, juridisch en control en sociaal domein en veiligheid. Er hangen weer promotieborden langs de weg, in cafés e.d. en we werven steeds actiever via LinkedIn. We hebben een recruitmentteam en benaderen mensen voor moeilijk vervulbare functies steeds proactiever. We hebben trainees en starters en we werken veel samen met onderwijsinstellingen en andere gemeenten. Het recruitmentteam werkt veel sterker samen met managers om te kijken of er minder ingehuurd kan worden en meer met vaste krachten ingevuld kan worden. De heer Jong vraagt of er criteria zijn wanneer ingehuurd mag worden. Mevrouw Simons antwoordt dat die er zeker zijn maar er werd vaak onvoldoende aan de voorkant geadviseerd door HR. De heer Jong vraagt wat het hoofdcriterium is. Mevrouw Simons antwoordt dat je kijkt wat nodig is op dat moment.

Soms is inhuur logischer omdat er een bepaalde expertise nodig is, die we anders niet kunnen krijgen. Als het voor langere termijn is, is het niet handig een inhuurkracht in te zetten. De heer Vos vraagt of Breda voldoet aan de wet op de schijnzelfstandigheid of worden er stappen toe gezet. Mevrouw Simons antwoordt dat de belastingdienst handhaaft op de wet DBA (Deregulering Beoordeling Arbeidsrelaties). HR heeft een analyse uitgevoerd en geconstateerd dat er inderdaad wel mensen in die categorie waren. Als er sprake was van onrechtmatige inhuur, is er met de inhurende manager en eventueel het bureau waar ingehuurd wordt, gezamenlijk naar een oplossing gezocht. Daar is een extra beheersmaatregel opgezet door in het aanbestedingsproces, wat we met de regio hebben ingericht, de verklaring van de detachering al in te laten vullen voordat de opdracht wordt verstrekt. De heer Vos vraagt of er concrete doelen zijn als het gaat om verminderen van inhuur en hoe de samenwerking met de regio eruitziet. Mevrouw Simons antwoordt dat er niet expliciet een doel is gesteld maar er wordt wel doelgerichter met vacatures omgegaan. We zitten in West-Brabant in een samenwerkingsverband met het Mobiliteitscentrum. Daar Notulen auditcommissie d.d. 18 september 2025 Pagina 4

doen we met verschillende gemeenten gezamenlijk de inhuur. De aanbestedingen doen we gezamenlijk, om schaalwinst te behalen. Breda heeft een eigen Inhuurdesk, de kleinere gemeenten niet. De heer Van Woudenberg vraagt of de trend om de inhuur te verminderen en meer expertise in huis te halen doorzet. Mevrouw Simons verwacht dat die groei doorzet omdat de arbeidsmarkt steeds krapper wordt. Mensen willen graag een vast contract, al zal dat niet meer voor 40 jaar zijn. Mevrouw Van Kelle vraagt hoe de arbeidsvoorwaarden van de gemeente Breda zich verhouden tot die van vergelijkbare gemeenten. Bijvoorbeeld voor reiskostenvergoeding, opleidingsbudgetten en dergelijke. Wethouder Bakker antwoordt dat we ons best doen om een competitieve werkgever te zijn en tot nu toe lukt het behoorlijk goed om aan personeel te komen. Bijvoorbeeld bij Afvalservice lukt het nog steeds om een goede dienstregeling te maken, wat bijvoorbeeld de NS niet lukt. De cao Gemeenten maakt het moeilijk om competitie aan te gaan. Je moet allerlei elementen, zoals reiskostenvergoeding maar ook werkcultuur, tegen elkaar afwegen. Mevrouw Van Kelle zou best een volgende keer een beeld willen hebben hoe Breda in de arbeidsvoorwaarden zit in vergelijking met andere gemeenten.

Missen wij kansen om mensen aan te nemen, zeker op de gebieden waar tekorten zijn? Wethouder Bakker antwoordt dat bijvoorbeeld Maastricht een andere job te doen heeft dan hartje Utrecht. Mevrouw Simons zit in een landelijk netwerk van grote gemeenten en daar komt dit soort thema’s aan de orde. Zij kan daar volgende keer wel iets over zeggen. De voorzitter merkt op dat er in de berap nog altijd overschrijdingen door inhuur geconstateerd worden. Wat is de reden daarvoor? De heer Veuger antwoordt dat de oorzaken meerledig zijn. Bij bepaalde functies is inhuur duurder dan mensen in dienst. Het kan ook zijn dat vanwege ziekte gekozen wordt voor inhuur, wat kan leiden tot overschrijding. Wethouder Bakker vult aan dat je als gemeente gewoon wil dat de dienstverlening doorgaat, ook als je intern niet aan mensen kunt komen of als mensen ziek zijn. De heer Jong vraagt of er op wordt toegezien dat de juiste inhuur gedaan wordt en wordt daar ook op gehandhaafd. Mevrouw Simons antwoordt dat alle inhuur via de Inhuurdesk verloopt. De rechtmatigheid is goed geborgd via het zgn. DAS-systeem wat daar gebruikt wordt. De heer Veuger vult aan dat er periodiek controles op worden gevoerd vanuit de financiële administratie. Af en toe komt er een enkeling naar boven die buiten het systeem om is gegaan en daar wordt actie op ondernomen.

Mevrouw Simons toont een tabel met redenen voor inhuur: projecten, piekwerkzaamheden, ziekte maar vooral vervanging in vacatureruimte. De heer Veuger geeft aan dat gevraagd is om de auditcommissie bij te praten op de organisatieontwikkeling, onder de naam van FIT (Flexibel, Integraal en Toekomstgericht). Dit is een continue ontwikkeling die inspeelt op alles wat er om ons heen verandert. We investeren in medewerkers om de doelen te kunnen realiseren. Daarom is er een visie op Leren en Ontwikkelen ontwikkeld met een uitvoeringsplan. We zijn nadrukkelijk bezig met teamontwikkeling en leiderschapsontwikkeling. In ieder team worden gesprekken gevoerd over wat het team te doen heeft, hoe staat het ervoor, hoe doen we dat samen etc. Dat gebeurt binnen de organisatie op een eenduidige manier. De leiderschapsontwikkeling richt zich met name op de groep leidinggevenden. We zijn nadrukkelijk bezig met het versterken van de laag teamleiders. Die krijgen veel voor hun kiezen. We zijn nadrukkelijk aan de slag met ‘strategic foresight’, wat komt er in de toekomst op ons af en hoe kunnen we daar als organisatie op acteren. We hebben de basiswerkwijze ontwikkeld voor projectmatig werken, procesmatig werken en programmatisch werken. Dat moet de komende tijd in de praktijk gebracht worden bij iedereen in de organisatie.

We zijn gestart met het werken met afdelingsplannen op basis van het coalitieakkoord, de begroting, wat er gebeurt in de wereld, wat dat betekent voor de taken van de afdeling, hoe gaan we dat doen en wat vergt het aan capaciteit. Tegelijkertijd willen we ook innoveren. Dat zijn we verplicht gezien ontwikkelingen als AI en de krimpende arbeidsmarkt. De heer Jong vraagt of de organisatie ook investeert in medewerkers, wat betreft houding en gedrag en vriendelijkheid naar de burger. De heer Veuger antwoordt dat er vorig jaar door het college een visie op dienstverlening is vastgesteld. Dat betekent niet dat iedereen meteen conform die visie werkt maar we hebben een team van medewerkers die het gesprek voert over de interne processen en de visie dienstverlening in de praktijk. De heer Van Woudenberg vraagt wat de oefeningen met AI inhouden. De heer Veuger antwoordt dat de organisatie momenteel in een pilotfase zit. Er wordt gekeken bij welke processen of werkzaamheden AI een toegevoegde waarde kan hebben en hoe we AI in kunnen zetten. We zijn in gesprek met de OR om van de pilotfase afscheid te kunnen nemen en het ‘in het echt’ te gaan doen. De heer Van Woudenberg vraagt of dat allemaal binnen de privacy wetgeving gebeurt. De heer Veuger antwoordt dat er een AI-act is en andere wet- en regelgeving, waarbinnen geopereerd wordt.

De heer Dienjes vraagt welke tools voor AI bij de gemeente gebruikt worden. De heer Veuger antwoordt dat er op dit moment met Microsoft Copilot wordt gewerkt en op andere plekken wordt ontdekt wat er voor mogelijkheden zijn, zoals een pilot op het gebied van het formuleren van inkoop- en aanbestedingsdocumenten. Notulen auditcommissie d.d. 18 september 2025 Pagina 5

De heer Dienjes concludeert dat het echt nog op gebruikersniveau is en vraagt iets meer te vertellen over het stimuleren van gebruik van data in de organisatie. De heer Veuger antwoordt dat de organisatie datagedreven/datagestuurd wil werken. Dat wordt ontwikkeld en uiteindelijk zal gestimuleerd worden dat daar gebruik van wordt gemaakt in de organisatie. De heer Gesink vraagt meer beeld te geven bij oefenen met strategische vooruitziendheid. De heer Veuger antwoordt dat er jaarlijks een trendverkenning wordt gemaakt op acht thema’s in de volle breedte van brede welvaart. Wat zijn de effecten voor die onderwerpen in de organisatie en uiteindelijk in de gemeente Breda. De heer Gesink vraagt of er dan scenario’s bedacht worden. De heer Veuger antwoordt dat dat het doel op lange termijn zou kunnen zijn. Nu wordt er gekeken wat de effecten betekenen voor ons werk en de toekomst. Mevrouw Ramakers, afdelingshoofd RDI (Regie Data en Informatie), zal verder gaan met de presentatie. Mevrouw Ramakers licht toe dat RDI registreert wat er gebeurt op het gebied van digitale veiligheid. Er zijn 2.949 pogingen gedaan om ons netwerk binnen te komen. Die hebben we allemaal kunnen pareren. Van de 7,8 miljoen mailtjes zijn er best nog wat waarvan we ons afvragen of die veilig zijn, die blokkeren we bij de ingang.

De heer Dienjes ziet bijna 3.000 verdachte pogingen om het netwerk binnen te komen en 1 DDoS-aanval. Wat zijn die andere pogingen dan? Mevrouw Ramakers antwoordt dat dit allerlei aanvallen zijn, groot en klein. Hackers zijn heel erg actief. De heer Dienjes vraagt of dat vanuit de hacking spirit is. Mevrouw Ramakers vermoedt van wel. De heer Gesink vraagt waarom 62 datalekken niet bij de Autoriteit Persoonsgegevens zijn gemeld. De heer Veuger antwoordt dat niet alle datalekken gemeld hoeven te worden. 26 van de 88 zijn gemeld. De heer Jong vraagt of er bij de gemeente Breda malware binnen kan komen. Wethouder Bakker antwoordt dat dit de reden is waarom bijvoorbeeld TikTok niet toegestaan is binnen de gemeente en werknemers met de gemeentelijke telefoon niet bij sommige webshops kunnen winkelen. Mevrouw Ramakers geeft aan dat de organisatie AI aan het ontdekken is en een voorwaarde om AI succesvol te laten zijn is trainingen. Er is een keuze gemaakt voor het meest veilige platform, Copilot. De FG is daarbij betrokken. We zijn bezig met de ontwikkeling van AI-beleid om meer kaders te hebben hoe we AI gaan inzetten. In overheidsland is een trend om steeds meer collectiever te kijken naar de digitaliseringsopgave.

Daar zullen ook stappen gezet worden en een van de vragen is dan blijven we onze data bij Microsoft neerzetten of ontwikkelen we een gezamenlijke cloud, zodat we minder afhankelijk zijn van Amerika. Ook wordt gekeken hoe we digitale dienstverlening vormgeven op landelijk niveau. Breda sluit actief aan bij de landelijke ontwikkelingen maar die zijn nog maar net in gang gezet. Mevrouw Van den Berg is gevraagd om een update te geven over het nieuw financieel systeem. De aanbesteding is eind vorig jaar afgerond. Tot het eind van het jaar werken we met het systeem van Centric. Sinds januari zijn we druk met de implementatie van het systeem van Unit Four. Op dit moment zitten we in de zogenaamde gat-fase, de Gebruikers Acceptatie Testfase, waarin mensen kunnen testen waar ze straks mee gaan werken. Ondertussen is RDI bezig met alle koppelingen met andere systemen. We worden daarbij goed ondersteund door Unit Four. Bijvoorbeeld het hele proces van bestellen tot en met betalen moet naadloos aansluiten op het financieel systeem. De planning is om in december de datamigratie te laten plaatsvinden zodat we per 1 januari live kunnen. Het boekjaar 2025 wordt afgerond in het huidige systeem en in 2026 gaan we verder met het nieuwe systeem. Er is ook gevraagd te vertellen hoe het project Inkoop behoefte tot en met betalen loopt.

Dat is gestart in 2020 en had als doel een structurele oplossing te vinden voor een efficiënt, doelmatig en rechtmatig proces van inkoop tot en met betalen. Dat is kort daarna onderdeel geworden van het Verbeterplan Rechtmatigheid en later het transitieplan Rechtmatigheid. De afgelopen jaren hebben we 32.000 facturen aan contracten gekoppeld, om inzicht te krijgen hoe het zit met de uitnutting van contracten. Je wilt niet dat een contractwaarde wordt overschreden met een eventuele onrechtmatigheid tot gevolg. We hebben nu veel beter inzicht in de einddata maar ook in hoeveel er onder die contracten al is uitgegeven. Iedere budgethouder heeft 24/7 inzicht in de eigen contractinformatie. Het proces van afwijkingen op het inkoop- en aanbestedingsbeleid is afgelopen jaar gedigitaliseerd. Mochten we een keer afwijken, dan vindt er een gestroomlijnde ‘approval flow’ plaats. Voorlopig ligt de focus op het koppelen aan het nieuwe financieel systeem. Mevrouw Verdaasdonk maakt complimenten voor hoe er is ingezet op dit dossier. Ze weet van hoe ver we kwamen. De voorzitter sluit zich daarbij aan en vraagt of er nog onderwerpen zijn die de auditcommissie volgende keer graag besproken ziet. Deze kunnen ook later nog doorgegeven worden aan de griffie. De heer Gesink vraagt of de presentatie op Notubiz gezet kan worden.

De voorzitter zal ervoor zorgen dat de presentatie bij de notulen gevoegd wordt. 10. Bespreking normenkader en financiële verordening De voorzitter geeft aan dat dit een jaarlijks terugkerend fenomeen is. Voordat de accountant aan de slag kan, moet er een gedegen financiële verordening en een normenkader vastgesteld zijn. De financiële verordening is Notulen auditcommissie d.d. 18 september 2025 Pagina 6

op twee plaatsen gewijzigd. Dat heeft te maken met een aangenomen motie over overprogrammering in het SIP en met wijzigingen door de rijksoverheid. De heer Kuijpers merkt op dat dit fenomeen jaarlijks in december terugkeerde maar ook hier heeft de auditfunctie een versnelling ingezet. Het gaat om een drietal aanpassingen van de financiële verordening. Dat gaat over uitvoering van de motie over de overprogrammering in het SIP, de professionalisering van de auditfunctie en de wijzigingen in de landelijke wetgeving, waardoor we van 1% materialiteit op fouten naar 2% materialiteit op fouten én onzekerheden gaan. De heer Van Woudenberg vraagt of die 2% verplicht is of dat het een advies is. De heer Kuijpers antwoordt dat die 2% gebaseerd is op het Besluit Accountantscontrole Decentrale overheden. De regel was 1% voor fouten en 3% voor onzekerheden en is aangepast naar 2% fouten plus onzekerheden. Er wordt dus geen onderscheid meer gemaakt tussen fouten en onzekerheden. Daarmee sluiten we aan bij het Rijk en de private sector. 2% is het maximale, je mag scherper maar scherper betekent een grotere controle inspanning en meer controlekosten intern en van de accountant. De tolerantie voor onzekerheden is eigenlijk teruggebracht van 3% naar 1%.

Met name in het sociaal domein zijn er onzekerheden, die we wel proberen te minimaliseren maar een bepaalde mate van onzekerheid houden we altijd. De heer Van Woudenberg vraagt of de onzekerheden onder het risicomanagement vallen. De heer Kuijpers antwoordt dat dit twee verschillende dingen zijn. De risico’s komen terug in de risicoparagraaf en de onzekerheden zijn onzekerheden in de controle, waar we niet voldoende informatie krijgen voor de controle. Dat gaat bijvoorbeeld over prestatieleveringen in het sociaal domein, is de zorg echt verleend of niet. De kosten en de baten worden dan gewogen. Het normenkader is een heel pak papier, waar alle relevante wet- en regelgeving in staat, die als basis dient voor de controle maar in eerste aanleg voor de rechtmatigheidsverantwoording, zoals die afgegeven wordt door het college. Er zit ook een lange was-wordt-lijst in. Normaal gesproken werd het normenkader in december voorgelegd en moest de raad het snel vaststellen. Nu weten we nog niet definitief welke regelgeving er allemaal is dus is het zaak dat het college een mandaat krijgt om dat normenkader waar nodig aan te vullen, bijvoorbeeld als er nog nieuwe SISA-regelingen komen. Of als de raad een verordening vaststelt met een ingangsdatum in 2025, die dan alsnog in het normenkader opgenomen moet worden.

De heer Vos merkt op dat de vorige accountant schreef als we de jaarrekening 2024 doortrekken naar 2025, komen we over die 2%. Wat voor acties worden ondernomen om onder de 2% te blijven? De heer Kuijpers antwoordt dat er in 2024 onzekerheden waren voor € 17 miljoen, dat valt ruim binnen de tolerantie. Ook in voorgaande jaren zouden we met deze 2% nog steeds een goedkeurende verklaring hebben gekregen. Mevrouw Van Kelle merkt op dat D66 bij de kadernota heeft aangegeven zich te kunnen vinden in de verhoging van 30% en 40% in de jaarschijven 3 en 4 maar de fractie is wel benieuwd welke risico’s daarmee samenhangen. Hoe kijkt de provincie daar tegenaan? Dat staat niet in het voorstel. D66 vindt het lastig om dit voorstel naar de hamerraad te sturen omdat deze vragen nog leven. Heeft de wethouder daar misschien een goed antwoord op? Wethouder Kranenborg antwoordt dat de risico’s niet heel groot zijn. De raad heeft ervoor gekozen om het college opdracht te geven in jaar 3 en 4 die verhoging toe te passen en dat schuift steeds op. Jaar 1 en 2 blijft steeds onder de 25%. Dat komt omdat de raad bij de begroting 2026 als enige de jaarschijf 2026 vaststelt. Er is geen project risico. Het enige risico is dat de raad in jaar 2 keuzes moet gaan maken. Tegelijkertijd is de achtergrond van overprogrammering ook dat je steeds beter inzicht krijgt wat je realisatievermogen is.

In de brieven van de provincie wordt de overprogrammering wel aangestipt en wordt gezegd dat er geen kapitaallasten tegenover staan. Dat klopt, anders was het geen overprogrammering. Het is geen belangrijk punt voor de provincie, ze hebben ook nog nooit onze begroting gecorrigeerd. Mevrouw Van Kelle kan de wethouder een eind volgen maar we kiezen voor die 30% en 40% omdat we denken daarmee meer te kunnen realiseren. Het zijn natuurlijk best wel arbitraire percentages. Het is ingewikkeld dat er bij de verordening geen analyse zit hoe realistisch die percentages zijn. De voorzitter wijst erop dat het gaat om de uitvoering van een motie die unaniem aangenomen is. Wethouder Kranenborg antwoordt dat het gewoon een opdracht van de raad aan het college is om het in de financiële verordening op te nemen. Het is inderdaad arbitrair, het had ook 36% of 41% kunnen zijn. Het college is hier slechts uitvoerend. De heer Vos denkt dat het misschien iets voor de auditcommissie is om de percentages regelmatig in de gaten te houden. Mevrouw Van Kelle kan zich daarin vinden. D66 kan ermee uit de voeten als er regelmatig een evaluatie plaatsvindt in de auditcommissie. De voorzitter zal het college vragen dit te verwoorden in de begroting en zet het op de actielijst van de auditcommissie.

De heer Van Woudenberg vraagt waarom het college in sommige gevallen zelf wijzigingen mag aanbrengen in deze nieuwe verordening. De voorzitter licht toe dat de raad het college mandateert om het normenkader aan te passen als er tussen de vaststelling en 1 januari 2026 wijzigingen in de regelgeving vanuit Den Haag komen die bij de controle meegenomen moeten worden of als de raad een verordening vaststelt of wijzigt, die invloed heeft op het normenkader. Notulen auditcommissie d.d. 18 september 2025 Pagina 7

De heer Van Woudenberg merkt op dat het college kan bepalen dat bepaalde overschrijdingen acceptabel zijn terwijl daar geen heldere criteria voor zijn. Kan dat explicieter gemaakt worden? De heer Kuijpers geeft aan dat de uitgangspunten hiervoor in de financiële verordening uitgewerkt zijn. Die zijn niet gewijzigd ten opzichte van vorig jaar. De voorzitter vraagt of dit naar de hamerraad kan. Mevrouw Van Kelle wil nog even met de wethouder praten en het meenemen naar de fractie. Daarna zal zij erop terugkomen. 11. Bespreking controleplan De heer Steehouwer geeft aan dat er een trendbreuk is omdat er een nieuwe accountant is maar tegelijkertijd doet de accountant de controle volgens de geldende regels, misschien met wat accentverschillen. De risico’s die de accountant op dit moment ziet staan op pagina 6. Een belangrijk risico is dat het management afdwingt dat zaken worden verwerkt die niet conform de regels zijn of conform de bedoeling. Dat risico is niet specifiek voor Breda. Een ander risico waar de accountant verhoogde aandacht aan geeft, is de waardering van de bouwgronden en de grondexploitaties. Daarbij wordt onderscheid gemaakt tussen complexen waar veel of weinig schattingsonzekerheid in zit. De accountant zit op dit moment nog midden in het goed in kaart brengen van alle processen in de organisatie.

Er is een plezierige afstemming met de vorige accountant geweest, die is deze week afgerond. De accountant werkt prettig samen met het team Audit en wil zoveel mogelijk steunen op het werk van dit team. De materialiteit is net al aan de orde geweest. Daar volgen we de wet qua ondergrens en bevindingen worden gerapporteerd in het verslag. Dat zijn alle bevindingen boven de € 500.000. Dat staat ook in de verordening en is niet gewijzigd ten opzichte van vorig jaar. Op pagina 7 staan de hoofdlijnen van de planning. Deze maand wordt de fase van risico inschatting afgerond. De IT audit is gestart en de interimcontrole zal samen met team Audit deze en volgende maand plaatsvinden. Dat leidt tot de presentatie van een managementletter of boardletter in de vergadering van december. Tussen november en april vinden allerlei werkzaamheden plaats in het kader van de controle van de cijfers in de jaarrekening. De bevindingen worden in mei toegelicht aan de auditcommissie. Op pagina 9 staan de afspraken die in het aanbestedingstraject gemaakt zijn. Met de griffie wordt gekeken hoe we dat in de hele planning inpassen. Het moet bijvoorbeeld ook passen in de beoordeling van de begroting. De griffie zal een voorstel naar de auditcommissie sturen. Op pagina 10 staan de processen en de overige aandachtspunten zoals we die tot nu toe hebben geïdentificeerd.

Het is belangrijk dat er geen gat valt tussen de lijn van de vorige accountant of het opvolgen van de actiepunten van vorig jaar. De bijlagen gaan met name in op rollen en verantwoordelijkheden van college, raad en accountant. Als daar nog vragen over zijn, kunnen die in de volgende auditcommissie aan de orde gesteld worden. Dan rest nog de vraag naar speerpunten bij de controle. De heer Gesink vond het interessant dat de gemeente en het college de verantwoordelijkheid hebben voor het bevorderen van een cultuur die eerlijkheid en ethisch gedrag bevordert. Is daar een rol voor de accountant aan gekoppeld? De heer Steehouwer denkt dat dit een mooi onderwerp is voor de workshop die BDO aangeboden heeft, om in de diepte te gaan en te koppelen aan fraude risicobeheersing. Daar kan best een lijntje gelegd worden naar corruptie, ethisch gedrag en dat soort onderwerpen. De voorzitter vraagt of de accountant extra aandacht aan de Europese aanbestedingen wil geven. De heer Steehouwer antwoordt dat dit in het kader van de rechtmatigheidsverantwoording herbelegd is bij het college in 2023 maar de accountant kijkt wel naar de getrouwheid van die rechtmatigheidsverantwoording. Daar is aanbestedingen belangrijk in. De heer Vos vraagt of de accountant ook een rol kan spelen als het gaat over onderbesteding.

Hoe kun je processen daarvoor opzetten? De heer Steehouwer maakt in ieder geval een analyse van de jaarrekening, wat heb je begroot, wat heb je gerealiseerd. Daar volgt een over- en onderbesteding uit. De ambitie is om daar iets concreets aan de raad mee te kunnen geven en dat zal gaandeweg de komende jaren groeien. De voorzitter geeft aan dat vragen naar speerpunten tot 30 september bij de heer Wiersma aangegeven kunnen worden. Dit komt volgende vergadering terug. 12. Evaluatie kadernota De voorzitter geeft aan dat een unaniem aangenomen motie is gevraagd om de kadernota aan te laten sluiten op de jaarrekening en de begroting. De vraag is of de kadernota daaraan voldaan heeft. Hij stelt voor om uit de auditcommissie een commissie samen te stellen, die gaat kijken of voldaan is aan die motie. Hij wil zelf deelnemen aan deze commissie en ook de heer Dienjes en mevrouw Peereboom willen deelnemen. De secretaris zal deze commissie ondersteunen. De heer Gesink stelt voor om de accountant mee te laten kijken. De voorzitter zal hulp van de accountant vragen. Notulen auditcommissie d.d. 18 september 2025 Pagina 8

13. Rondvraag en sluiting De heer Van Woudenberg wil nog eens goed naar de financiële verordening kijken, mogelijk in een oordeelsvorming. Mevrouw Van Kelle bespreekt dit maandagavond in de fractie. De voorzitter vraagt de heer Van Woudenberg voor dinsdagmorgen zijn bevindingen aan de griffie door te geven. Misschien kunnen de vragen dan beantwoord worden en kan het toch naar de hamerraad. Wethouder Kranenborg merkt op dat via de griffie de geijkte manier is maar het college voert hier een raadsopdracht uit. Het is geen voorstel van het college. De motie is indertijd unaniem aangenomen. Als er vragen zijn, is zij bereid die te beantwoorden maar ze wil voorkomen dat er een spervuur van vragen richting het college komt. Dan hebben we de verhoudingen niet helemaal juist. De voorzitter zal met de secretaris een spervuur van vragen voorkomen en zal zijn best doen om een uitleg te geven bij de financiële verordening. Mevrouw Verdaasdonk merkt op dat de auditcommissie de plek is om niet politieke vragen te beantwoorden. De heer Vos denkt dat het zuiverder was geweest om de vragen vandaag hier te bespreken. De heer Van Woudenberg merkt op dat de werkdruk voor een eenmansfractie enorm hoog is. Het is moeilijk om je flink in iets te verdiepen als je ook een parttime baan hebt. De voorzitter zal proberen de heer Van Woudenberg meer inzicht in de financiële verordening te geven.

Hij dankt iedereen voor de inbreng en sluit de vergadering.

Notulen auditcommissie d.d. 18 september 2025 Pagina 9