Accountant 5 Management Letter De Ronde Venen 2021

MANAGEMENT LETTER 2021

Gemeente de Ronde Venen

Aanbiedingsbrief

Aan:

Geacht college,

het college van B&W van gemeente de Ronde Venen Postbus 250 3640 AG MIJDRECHT

In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2021 van de gemeente de Ronde Venen brengen wij u met deze management letter verslag uit over onze bevindingen naar aanleiding van onze interim-controle. Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar onze opdrachtbevestiging d.d. 29 september 2021 (kenmerk: JB/JvS/HV/AA211657). Het is op deze plek goed te melden dat onze interimcontrole heeft plaatsgevonden voordat de organisatieontwikkeling is ingezet, daarmee is dit geen onderdeel geweest van onze werkzaamheden.

Amstelveen, 16 juni 2022 Kenmerk: JB/JvS/HV/AA22-1225

In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelf controlerend vermogen van uw organisatie. Als gevolg van de aanhoudende coronacrisis zijn wij helaas beperkt in staat geweest om bij u op locatie te komen waardoor wij deels digitaal hebben moeten afstemmen. Desondanks is de interim-controle en daarbij de samenwerking met uw organisatie goed verlopen. Wij vertrouwen erop u met deze management letter naar aanleiding van onze interim-controle 2021 van dienst te zijn geweest. Wij willen de organisatie bedanken voor de prettige samenwerking en zijn vanzelfsprekend graag bereid een nadere toelichting te verstrekken. Hoogachtend BDO Audit & Assurance B.V. namens deze,

Ter informatie De digitale versie van dit document is vanaf de inhoudsopgave interactief. Aan de hand van de navigatiebalk onderaan de pagina en/of de menustructuur bovenaan de pagina kan door het document genavigeerd worden. VORIGE PAGINA

VOLGENDE PAGINA

INHOUDSOPGAVE

DASHBOARD

w.g. Drs. J.M.A. Brak RA MFSME

Inhoudsopgave

1. DASHBOARD

2. ONTWIKKELINGEN & AANDACHTSPUNTEN

3. BEVINDINGEN SIGNIFICANTE PROCESSEN

4. INFORMATIEBEVEILIGING

5. BEVINDINGEN INTERNE CONTROLE

BIJLAGEN

4

1. Dashboard

1.1 Dashboard interim-controle

1.1 Dashboard interim-controle



Voor de organisatie van de gemeente de Ronde Venen geldt als uitgangspunt dat de processen in opzet, bestaan en werking (inclusief IT) geen belangrijke leemtes kennen en getoetst worden door de VIC. Wij, en de VIC, kunnen nog niet altijd steunen op de interne beheersing in de processen; de VIC en onze controle is daarmee hoofdzakelijk gegevensgericht en achteraf.



Wij constateren dat de organisatie actief opvolging geeft aan onze aandachtspunten van voorgaand jaar. Een aantal punten resteren nog, maar zijn onderhanden.



Op sociaal domein constateren wij kwetsbaarheden in de bezetting gedurende onze interim-controles. Wij geven dit graag mee als aandachtspunt voor de jaarrekeningcontrole.

ONTWIKKELINGEN





De gemeente heeft zichtbaar stappen voorwaarts gezet voor Civision (4.3) . Een natuurlijke volgende stap zou kunnen zijn om de functiescheiding en controles binnen de applicatie te versterken.



Voor het financiële pakket Unit4 resteren tekortkomingen in de logische toegangsbeveiliging.



Wij kunnen niet steunen op de uitkomsten van de applicaties en zullen, in samenwerking met de VIC, aanvullende gegevensgerichte controles uitvoeren.



De belangrijkste bevindingen zijn:  Procedure autorisatiebeheer en controle op juistheid ingerichte autorisaties niet sluitend (B1)  Eindgebruikers met in Unit4 hoge rechten zijn actief in de lijnorganisatie (B2)

2021 kenmerkt zich voor gemeenten in Nederland door de vele onzekerheden die spelen. Onzekerheden onder andere op het vlak van corona, het kabinetsakkoord en sociaal domein. Maar ook een krapte op de arbeidsmarkt waarmee gemeente worstelen.

ONTWIKKELINGEN

B2

1

5







Onze samenwerking met de VIC is verder verbeterd. Vooraf vindt afstemming plaats over de te nemen stappen, uit te voeren werkzaamheden en selecties, en dit zorgt voor een betere controle. Het “Business Control Framework” is een belangrijke invulling voor de rechtmatigheidsverklaring door het college. De meerwaarde van de VIC voor de organisatie & onze controle kan nog worden vergroot door ‘aan de voorkant’ nog explicieter aandacht te geven aan de opzet en inrichting van de AO/IB per proces alsmede de advisering daaromtrent. De organisatieontwikkeling die de gemeente heeft ingezet heeft mogelijk effect op de interne controle. Tijdens onze interim controle was deze ontwikkeling nog niet ingezet, waardoor wij nog niet mee hebben kunnen kijken naar mogelijke effecten.

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

2

B1 4

6

3

 laag

(VERBIJZONDERDE) INTERNE CONTROLE

In 2022 zal de rechtmatigheidsverantwoording (waarschijnlijk) worden ingevoerd. Momenteel zijn niet altijd beheersingsmaatregelen (zichtbaar) aanwezig in de processen. Hierdoor is het noodzakelijk de juistheid en rechtmatigheid van balansstanden en processen vast te stellen door controles achteraf. Het risico bestaat dat onrechtmatigheden niet tijdig worden gesignaleerd en niet kunnen worden gerepareerd. In 2021 is verder gewerkt aan het “Business Control Framework” om invulling te geven aan het plan van aanpak richting de rechtmatigheidsverantwoording 2022.

DASHBOARD



hoog 

In het kader van onze controle hebben wij de effectiviteit van de voor onze controle relevante processen beoordeeld.

DETAILBEVINDINGEN

IMPACT



BEHEERSING IT VAN FINANCIELE PROCESSEN VERBETERD

 laag

UW INTERNE BEHEERSING

5

RISICO

hoog 

KORTE OMSCHRIJVING DETAILBEVINDINGEN

1

Planning & control: Autoriseren begrotingswijzigingen

2

Inkopen & Aanbestedingen: Naleven aanbestedingsregels niet in de processen ingebed

3

Belastingen: Geen controle op de gegevensoverdracht

4

Sociaal Domein – Het proces rond het Sociaal Domein kent onvoldoende waarborgen voor de betrouwbaarheid van de informatie

5

Planning & control: Memoriaalboekingen autorisatie

6

Inkopen & Aanbestedingen: wijziging crediteurenstamgegevens

INTERNE CONTROLE

BIJLAGEN

6

2. Ontwikkelingen & Actualiteiten

2.1 Gevolgen coronacrisis voor de jaarrekening 2.2 Rechtmatigheidsverantwoording 2.3 Frauderisicobeheersing

2.1 Gevolgen coronacrisis voor de jaarrekening 2021

Gevolgen COVID-19 strak blijven monitoren

Interne controle voortvarend oppakken

Bijzondere aandacht voor vaststellen subsidies

Covid-19 gerelateerde uitgaven

DASHBOARD

7

Gevolgen coronacrisis voor 2021 en verder Vorig jaar hebben wij samen met u veel aandacht besteed aan de gevolgen van de coronacrisis, voor de korte, middellange en lange termijn. Aan de hand van een impact-analyse en de corona-checklist zijn wij nagegaan wat de effecten waren en zijn voor de informatievoorziening aan de raad, de interne beheersing alsmede de financiële implicaties op korte en lange termijn. Met name door de onduidelijkheden in het begin van de crisis omtrent de financiële gevolgen en compensatie door het rijk waren het onzekere tijden. In de loop van de tijd bleek de impact voor de meeste gemeenten mee te vallen. Niettemin is het zaak alert te blijven op de ontwikkelingen en de afwikkeling van ontvangen rijksgelden. Ook de waardering van mogelijke verhoudingen met verbonden partijen verdient hierbij extra aandacht. Wij adviseren u dit strak te monitoren en de gemeenteraad te blijven informeren over eventuele bijstellingen van de (meerjaren)begroting. Tozo en TONK Alle coronasteunmaatregelen eindigen per 1 oktober 2021, waardoor het rijk afspraken heeft gemaakt over de afronding van Tozo en TONK. Vanaf het einde van de Tozo per 1 oktober 2021 tot het eind van het jaar geldt een tijdelijk aangepast Besluit bijstandverlening zelfstandigen (Bbz). Ook de TONK is onderdeel van het coronasteunpakket dat per 1 oktober 2021 wordt afgerond.

Vanaf dan is het aan gemeenten om huishoudens in financiële nood te ondersteunen vanuit het gebruikelijke instrumentarium, zoals bijzondere bijstand. Uiteraard dienen beide regelingen in de jaarrekening/SiSa-bijlage te worden verantwoord. Van afgelopen voorjaar weten we inmiddels dat deze controle intensief kan zijn. Wij vragen dan ook uw aandacht voor een tijdige interne controle op de verstrekte uitkeringen, zodat de verantwoording goed kan verlopen. Vaststelling verstrekte subsidies Veelal worden de in 2020 verstrekte subsidies in het voorjaar van 2021 vastgesteld. Aan de hand van de in de subsidieverordening/ beschikking opgenomen voorwaarden wordt nagegaan of een organisatie heeft voldaan aan de vereisten. Voor het jaar 2020 zal dat wellicht niet evident zijn; denk hierbij aan te leveren prestaties. Sommige gemeenten hebben (met de raad) afspraken gemaakt over de toe te passen handelswijze c.q. verantwoordingwijze. Indien dat niet het geval is adviseren wij dat alsnog te doen om zodoende de rechtmatigheid van de subsidievaststelling te kunnen waarborgen.

Covid-19 uitgaven De gemeente De Ronde Venen ondervindt uitdagingen in het sluitend krijgen van de (meer)jarenbegroting. Vanaf 2020 wordt in de tussentijdse financiële verantwoordingen specifiek aandacht besteed aan de uitgaven gerelateerd aan Covid-19. In de tweede bestuursrapportage over 2021 wordt een nadeel van € 62.000 gerapporteerd.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

BIJLAGEN

2.2 Rechtmatigheidsverantwoording (1/2)

Invoering rechtmatigheidsverantwoording 2022

8

Stand van zaken en kaders rechtmatigheidsverantwoording met ingang van 2022 Eind juni werd bekend dat de invoering van de rechtmatigheidsverantwoording een jaar is uitgesteld. Naar wij hebben begrepen staat de wetswijziging inmiddels voor december op de agenda van de Tweede Kamer en zal deze worden ingevoerd met ingang van begrotingsjaar 2022. Daarmee is er ruimte ontstaan om, na een intensief jaar met corona, de invoering goed voor te bereiden. Eind augustus 2021 heeft de commissie BBV (na consultatie) een nieuwe kadernota Rechtmatigheid 2022 uitgebracht. Tegelijk met deze kadernota is eveneens een notitie over de paragraaf bedrijfsvoering en een addendum op de Kadernota Rechtmatigheid 2021 gepubliceerd. De verwachting is dat in het voorjaar 2022 de commissie SDO van de NBA nog een notitie voor accountants uitbrengt over de gevolgen van invoering van de rechtmatigheidsverantwoording en de commissie BADO over de wijze van verantwoorden vanuit de optiek van gemeenten. Daarmee worden zowel accountants als gemeenten geïnformeerd en gefaciliteerd om de rechtmatigheidsverantwoording goed te kunnen invoeren. Wij adviseren u om hier kennis van te nemen.

Nieuwe notities: • Kadernota 2022 • Addendum Kadernota 2021 • Notitie bedrijfsvoering

Hoofdlijnen Kadernota Rechtmatigheid 2022 In de Kadernota Rechtmatigheid 2022 wordt uitgebreid ingegaan op het bestuurlijk belang van rechtmatigheid voor de gemeente. Daarnaast wordt de reikwijdte, de normen, de verantwoordelijkheden van het college en de criteria van de rechtmatigheid beschreven. Ook wordt in de nota ingegaan op de toepassing van tolerantiegrenzen, afwijkingen en de weging hiervan en is een verplicht verantwoordingsmodel opgenomen. In de Kadernota is een aantal stellige uitspraken gedaan die moeten worden gevolgd, waarbij de eerste nadrukkelijk de rol van de gemeente benoemd. Bij onduidelijkheden over de interpretatie van de rechtmatigheid moet de gemeente aangeven welke uitleg gegeven moet worden aan de regelgeving en dit vastleggen in een besluit. Het voert te ver om in deze managementletter uitgebreid in te gaan op de inhoud van deze notitie en de 10 stellige uitspreken en 7 aanbevelingen. Een aantal punten willen wij er wel uitlichten:  De kadernota 2022 introduceert het begrip ‘onduidelijkheden’. Dit begrip geeft aan dat er situaties zijn waarin het ook voor college niet duidelijk is of er rechtmatig gehandeld is. Deze moeten worden toegelicht en worden gewogen door de gemeente.  De commissie adviseert ook fraude door eigen medewerkers toe te lichten in de paragraaf bedrijfsvoering.

 Middels een verplicht model moet het college zich verantwoorden over de rechtmatigheid, afwijkingen en onduidelijkheden.  In de paragraaf bedrijfsvoering moet vervolgens een toelichting worden gegeven op de afwijkingen en de maatregelen die het college neemt om deze in de toekomst te voorkomen.  De grens voor afwijkingen (zowel fouten als onduidelijkheden) wordt door de gemeente bepaald en is maximaal 3% van de lasten (inclusief mutatie reserves). Fouten en onduidelijkheden worden niet bij elkaar opgeteld.  De invoering betekent eveneens dat de verordeningen 212, 213 en het normenkader moeten worden geactualiseerd.  Bij aan derden uitbestede werkzaamheden is het belangrijk als gemeente zelf zekerheid te krijgen omtrent de rechtmatigheid. De wijze waarop dat kan is in de Kadernota uitgewerkt. Wij adviseren het college en de gemeente in gesprek te gaan over bovenstaande aspecten en wij zijn graag bereid u hierbij te ondersteunen.

DASHBOARD

AANDACHTSPUNTEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

INTERNE CONTROLE

BIJLAGEN

2.2 Rechtmatigheidsverantwoording (2/2)

9

Notitie bedrijfsvoering de plek om afwijkingen te rapporteren

Hoofdlijnen Notitie Bedrijfsvoering De belangrijkste boodschap van deze nieuwe notitie is dat het college in de paragraaf bedrijfsvoering aanvullende informatie opneemt over individueel geconstateerde afwijkingen in de rechtmatigheidsverantwoording. Daarbij moet het college beschrijven welke actie wordt ondernomen om deze in de toekomst te voorkomen. De notitie werkt een aantal aanbevelingen en voorbeelden omtrent de paragraaf bedrijfsvoering verder uit.

Beperkte wijzigingen in de rechtmatigheid voor (het laatste jaar) 2021

Hoofdlijnen Addendum kadernota Rechtmatigheid 2021 Het uitgangspunt van de commissie BBV is dat in principe weinig verandert in de rechtmatigheidscontrole over 2021, het laatste jaar dat de accountant een verklaring afgeeft met betrekking tot de rechtmatigheid. De wijzigingen in het addendum op de Kadernota Rechtmatigheid 2021 zijn dan ook beperkt. Er wordt meer aandacht gevraagd voor fraude en M&O-beleid en niet financiële onrechtmatigheden in het kader van de Wet Fido moeten worden toegelicht in de paragraaf bedrijfsvoering.

Het proces richting de rechtmatigheidsverantwoording door het college vraagt nog intensivering.

Rechtmatigheidsverantwoording door het college De ontwikkelingen en keuzes die wij zien binnen De Ronde Venen zijn als volgt kort weer te geven;  De gemeente heeft haar financiële verordening nog niet bijgesteld naar de invoering van de rechtmatigheidsverantwoording.  Middels het Business Control Framework is het doel om preventief en systeemgericht invulling te geven aan de rechtmatigheidsverantwoording  Binnen de gemeentelijke organisatie liggen kansen om beheersingsmaatregelen in de lijn efficiënt en effectief in te regelen. Dit kan hand in hand gaan met de ingezette organisatie verandering In 2021 is verder gewerkt aan het Business Control Framework om invulling te geven aan het plan van aanpak richting de rechtmatigheidsverantwoording 2022 binnen gemeente de Ronde Venen. Op dit moment is de VIC al bezig met het systeemgericht controleren van onder andere de volgende processen: inkoop, salarissen, subsidies, begraven, grondverkopen, huuropbrengsten, leerlingenvervoer, startersleningen, kabels en leidingen, omgevingsvergunningen, publiekszaken treasury en afschrijvingen.

Wij denken graag met u mee over de invoering van de rechtmatigheidsverant woording

De rol van ons als accountant De wijziging in de verantwoordelijkheden ten aanzien van rechtmatigheid betekent niet dat er minder rechtmatigheidscontroles moeten worden uitgevoerd, maar dat het college deze zelfstandig/intern moet inrichten, uitvoeren, controleren en rapporteren. Als accountant zullen wij die werkzaamheden vervolgens toetsen, teneinde te kunnen controleren en verklaren dat de rechtmatigheidsverklaring van het college een getrouw beeld geeft. Vanzelfsprekend denken wij graag mee over de invoering van de rechtmatigheidsverantwoording en blijven we de raad graag bijstaan in haar controlerende en taakstellende rol.

DASHBOARD

AANDACHTSPUNTEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

INTERNE CONTROLE

BIJLAGEN

2.3 Frauderisicobeheersing (1/2)

Februari 2021 is de best practice frauderisicobeheersing voor bestuurders en toezichthouders uitgebracht. De controleverklaring gaat ook meer aandacht besteden aan frauderisicobeheersing en continuïteit

Diverse voorbeelden van maatregelen om frauderisico’s te beheersen.

Frauderisico indelen naar druk, gelegenheid en rechtvaardiging.

DASHBOARD

10

Ontwikkelingen met betrekking tot fraude en de controle van de jaarrekening Zoals aangegeven in ons accountantsverslag zal de komende jaren vanuit de accountantscontrole nog nadrukkelijker aandacht worden gegeven aan fraudepreventie. In februari 2021 heeft onze beroepsorganisatie de NBA heeft hiervoor een notitie “Best practice maatregelen frauderisicobeheersing voor bestuurders en toezichthouders” ter consultatie uitgebracht. In deze notitie komt nadrukkelijk de rol van bestuurders en toezichthoudende organen zoals de gemeenteraad bij het voorkomen en detecteren van fraude aan de orde. Door de nadruk te leggen op het voorkomen van fraude kunnen de gelegenheden tot fraude afnemen. Dit vraagt om actief toezicht op risico’s en beheersmaatregelen ter voorkoming van fraude. Begin september 2021 is tevens een nieuwe opzet van de controleverklaring ter consultatie uitgebracht. In de nieuwe controleverklaring, die zal ingaan van af boekjaar 2022, wordt van de accountants verwacht dat hij expliciete passages opneemt aangaande frauderisicobeheersing en continuïteit. Zoals opgenomen in het consultatiedocument kunnen bestuurders en toezichthouders diverse maatregelen nemen om frauderisico’s te beheersen.

De belangrijkste uit het consultatiedocument zijn:  Zorgdragen voor een goede ‘Tone at the top’, cultuur en gedrag;  Opstellen van diverse anti-corruptiemaatregelen (relaties met afnemers/ leveranciers, gedragscodes t.a.v. nevenactiviteiten/ geschenken/ etc.);  Een goede interne beheersing (AO/IB), waaronder een periodieke frauderisicoanalyse;  Het organiseren van tegenspraak, controle/ compliance functies en diversiteit;  Aandacht voor werknemers en bestuursleden (b.v. persoonlijk omstandigheden die kunnen leiden tot druk om fraude te plegen);  Periodieke medewerkers tevredenheidsonderzoeken;  Fraudemeldpunt en klokkenluidersregeling;  Contact en medewerking met uw accountant;  Training en opleiding omtrent fraudebewustzijn;  Een adequate administratie met aandacht voor (fraude-) risicovolle schattingsposten;  Een transparant en integer beloningsbeleid;  Een duidelijk plan om te reageren op (het vermoeden van) fraudes. Voor een nadere toelichting op deze maatregelen verwijzen wij hier naar de best practice. In de bijlage bij de (nog te publiceren) best practice zijn diverse frauderisico’s benoemd gerelateerd aan Frauduleuze verslaggeving of het oneigenlijk toe-eigenen van middelen.

Deze worden in de theorie en praktijk altijd ingedeeld naar drie omstandigheden (de zogenaamde fraudedriehoek), bestaande uit gelegenheid, druk en rationalisatie zoals hiernaast weergegeven.

AANDACHTSPUNTEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

INTERNE CONTROLE

BIJLAGEN

2.3 Frauderisicobeheersing (2/2)

Onze rol in relatie tot frauderisicobeheersing

11

Onze rol als accountant inzake fraude Zoals weergegeven in de controlestandaarden en onze opdrachtbevestiging ligt de primaire verantwoordelijkheid voor het voorkomen en ontdekken van fraude bij zowel de directie, het college als de gemeenteraad. Als accountant zijn wij niet verantwoordelijk en aansprakelijk voor de preventie van fraude. Onze controleopdracht heeft tot doel om vast te stellen dat de jaarrekening geen afwijkingen van materieel belang bevat die het gevolg zijn van fraude of fouten. Het onderkennen van risico’s op materiële fraudes (frauderisico’s), het uitvoeren van daarop gerichte controlewerkzaamheden en actie ondernemen in het geval van een vermoeden van fraude, is dus een onlosmakelijk onderdeel van de accountantscontrole. Dat gezegd hebbende is het voor de accountant lastig om een daadwerkelijk fraude te identificeren: dit komt doordat de organisatie dagelijks aanwezig is en de accountant niet, doordat fraude gepaard gaat met opgezette plannen om de fraude te verhullen, zoals valsheid in geschrifte, het opzettelijk nalaten transacties vast te leggen of het opzettelijk aan de accountant verkeerd voorstellen van zaken. Samenspanning binnen organisaties of met derde partijen maakt dit vraagstuk nog lastiger.

Door de kenmerken van fraude is het dus mogelijk dat een controle, ook al is die opgezet en uitgevoerd in overeenstemming met algemeen aanvaarde controlestandaarden, een fraude van materieel belang niet ontdekt. Voor de organisatie maken wij onze werkzaamheden zichtbaar door het verstrekken van onze fraude- en compliance checklist, het bespreken van en rapporteren over fraude en vanaf 2022 zullen wij hierover communiceren met het maatschappelijk verkeer via onze controleverklaring.

Onze aanbevelingen in relatie tot frauderisicobeheersing

Onze waarnemingen en aanbevelingen inzake de fraudebeheersing Naast onze controlerende rol hebben wij in het kader van de interim controle, onze kennis en deze ontwikkeling een aantal bevindingen en aanbevelingen inzake frauderisicobeheersing:  De gemeente heeft geen fraudebeleid (M&O beleid)  De gemeente heeft niet (recent) een frauderisicoanalyse opgesteld  De gemeente beschikt wel over een klokkenluidersregeling en gedragscode inzake integriteit ten aanzien van raadsleden en B&W.  Daarnaast is er een protocol voor vermoedens van integriteitsschendingen en wordt jaarlijks geen jaarverslag over integriteit opgesteld.  Het controleplan en de werkzaamheden van de Verbijzonderde Interne Controle besteden geen specifieke aandacht aan fraude  Fraude (preventie) staat niet zichtbaar periodiek op de agenda van de auditcommissie/gemeenteraad  Onze compliance checklist is door de organisatie ingevuld, hieruit volgende geen aanvullende risico’s die onze en uw aandacht verdienen Onze aanbevelingen inzake frauderisicobeheersing Wij adviseren te onderzoeken hoe fraudebeheersing een integraal onderdeel kan worden van de processen binnen de gemeente, maar ook aan tafel bij de auditcommissie. Daarbij verdienen bovenstaande bevindingen een plaats in de processen.

DASHBOARD

AANDACHTSPUNTEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

INTERNE CONTROLE

BIJLAGEN

12

3. Bevindingen significante processen

3.1 Onze controle 3.2. Effectiviteit processen 3.3 Detailbevindingen

3.1 Onze controle

Onderkende risico’s:  Management override  EU-aanbestedingen

Per proces toetsen:  AO/IB  IT-maatregelen  VIC

13

Onze inschatting van de risico’s en belangrijkste processen In het kader van de controle van de jaarrekening 2021 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien de volgende potentiële risico’s in de controle van de jaarrekening van de gemeente de Ronde Venen:  In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door bestuur of management van de jaarcijfers) al belangrijk te onderkennen theoretisch risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat binnen de gemeente de mogelijkheden, om buiten de getroffen interne beheersmaatregelen invloed uit te uitoefenen op de in de jaarrekening gepresenteerde uitkomsten, uitermate beperkt zijn. Om het resterende risico te beperken beoordelen wij schattingsprocessen en bijzondere journaalposten in detail.  Onterecht niet Europees aanbesteden; Uitwerking controlestrategie per proces Voor elk proces beoordelen wij de volgende onderdelen:  AO/IB: Is sprake van een actueel en toereikend procesbeschrijving met voldoende beheersmaatregelen?  IT-maatregelen: Zijn in en rondom het systeem voldoende waarborgen getroffen t.a.v. de betrouwbaarheid van de gegevensverwerking?  VIC: Heeft de VIC de interne beheersmaatregelen getoetst en kunnen wij daar gebruik van maken?

Indien al deze vragen positief kunnen worden beantwoord, is de organisatie optimaal in control en kunnen ook wij gebruik maken van uw eigen interne beheersing. De vaak tijdrovende en gedetailleerde gegevensgerichte werkzaamheden (die ook nog eens achteraf plaatsvinden), kunnen dan beperkt blijven tot een minimum. Wij kunnen nog niet altijd steunen op de interne beheersing; onze aanpak is daarmee hoofdzakelijk gegevensgericht

DASHBOARD

Samenvatting effectiviteit van de processen In de overzichten op de volgende pagina’s geven wij weer in hoeverre de processen voldoen aan de genoemde normen (zie ook hoofdstuk 4 t.a.v. IT-omgeving) en welke belangrijkste detailbevindingen wij per proces hebben geconstateerd. Op basis van onze uitgevoerde werkzaamheden komen wij op dit moment tot de conclusie dat de beheersorganisatie van de gemeente (voor zover relevant voor de controle van de jaarrekening) in opzet voor verbetering vatbaar is, rekening houdend met de uitkomsten van de werkzaamheden van de VIC. Omdat de AO/IB en IT General Controls niet altijd goed zijn opgezet of goed werken, kunnen wij voor wat betreft de insteek van onze controle niet altijd op de processen steunen.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

BIJLAGEN

3.2 Effectiviteit processen

PROCES

2020 Totaal conclusie

OPZET AO/IB

WERKING AO/IB

Planning & Control

14

ITGC’S

VIC

CONCLUSIE T.A.V. DE CONTROLEAANPAK

N.v.t.

N.v.t.

Er is sprake van een adequaat functionerende planning & control-cyclus, echter een gestructureerd proces van (tussentijdse) financiële afsluiting ontbreekt. Er zijn beperkt zichtbare waarborgen, controles, dat het proces goed verloopt.

Prestatielevering ten aanzien van de inkopen voldoet nog niet aan de nieuwe SDO notitie. De controle achteraf van de VIC compenseert in belangrijke mate deze leemte, maar is reactief en arbeidsintensief.

Inkopen

Niet getest

Personeel

Aanbestedingen

Niet getest

Proces met betrekking tot de personeelskosten is adequaat.

N.v.t.

Het identificeren van de aanbestedingsplichtige inkopen en de monitoring op de uitputting van aanbestedingen is nog onvoldoende geborgd om onrechtmatigheden te voorkomen. De VIC compenseert middels haar controle tussentijds en achteraf voor een groot deel deze leemte, maar kan onrechtmatigheden niet herstellen.

Sociaal Domein

Het proces rond het sociaal domein kent onvoldoende waarborgen voor de betrouwbaarheid van de informatie. Met een sterke (externe) VIC wordt achteraf middels een omvangrijke steekproef zekerheid verkregen over de rechtmatigheid en getrouwheid van de lasten. In de bezetting zien we ten aanzien van sociaal domein kwetsbaarheden. Hierdoor heeft de controle op dit proces vertraging opgelopen en zijn onderdelen anders gecontroleerd om toch het gewenste inzicht te verkrijgen. Voor de eindejaarscontrole zullen we daarom onze controle moeten heroverwegen om aan te sluiten bij de mogelijkheden die er zijn voor aanlevering van documenten en geven van toelichtingen en verklaringen.

Subsidies

Proces met betrekking tot subsidieverstrekkingen is op punten kwetsbaar, maar door de controle achteraf is dit te herstellen.

Belastingen

N.v.t.

N.v.t.

N.v.t.

Grondexploitaties

proces is ontoereikend

DASHBOARD

N.v.t.

N.v.t.

N.v.t.

Belastingen is uitbesteed aan de uitvoeringsorganisatie Amstelland.

Proces met betrekking tot grondexploitatie is onveranderd.

proces is toereikend, maar één of meerdere beheersmaatregelen bestaan in de praktijk niet

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

proces is adequaat/beheersmaatregelen bestaan

INTERNE CONTROLE

BIJLAGEN

3.3 Overzicht van de bevindingen

15

KORTE OMSCHRIJVING DETAILBEVINDINGEN

Hierboven is een grafische weergave opgenomen van onze visie op de mate van risico en impact van de geconstateerde bevindingen in relatie tot de maatregelen van interne beheersing in de relevante processen. De plaats van bevindingen moet gelezen worden als een relatieve plek ten opzichte van elkaar, niet als een absolute weergave van impact en kans. In de bijlagen hebben wij de bevindingen nader toegelicht waarin wij ook ingaan op het risico voor de organisatie, mogelijke oplossingen ter adressering van de bevindingen en de eventuele gevolgen voor onze accountantscontrole. Voor de bevindingen die belangrijk zijn én een hoge impact hebben adviseren wij u deze zo spoedig mogelijk te adresseren.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

1

Planning & control: Autoriseren begrotingswijzigingen

2

Inkopen & Aanbestedingen: Naleven aanbestedingsregels niet in de processen ingebed

3

Belastingen: Geen controle op de gegevensoverdracht

4

Sociaal Domein: Het proces rond het Sociaal Domein kent onvoldoende waarborgen voor de betrouwbaarheid van informatie

5

Planning & control: Memoriaalboekingen autorisatie

6

Inkopen & Aanbestedingen: Wijziging crediteurenstamgegevens

B1

Procedure autorisatiebeheer en controle op juistheid ingerichte autorisaties niet sluitend

B2

Eindgebruikers met in Unit4 hoge rechten zijn actief in de lijnorganisatie

INFORMATIEBEVEILIGING

INTERNE CONTROLE

BIJLAGEN

16

4. Informatiebeveiliging

4.1 IT-beheersing 4.2 Bevindingen IT-beheersing | Unit 4 Financials 4.3 Bevindingen IT-beheersing | Civision Samenlevingszaken

4.1 IT-beheersing

Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening

17

IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze jaarrekeningcontrole gericht is op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van ICT-systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking.

Beoordeelde systemen:  Unit 4 Financials  Civision Samenlevingszaken

De bevindingen zoals gerapporteerd in deze management letter zijn gericht geweest op het beoordelen van de opzet en het vaststellen van het bestaan van algemene IT-beheersmaatregelen. Wij hebben in samenwerking met onze IT-auditors een aantal van deze maatregelen beoordeeld voor Unit 4 Financials en Civision Samenlevingszaken. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevantie processen en posten (zie hoofdstuk 3).

Detailbevindingen IT gedeeld met uw organisatie

In dit hoofdstuk geven wij een samenvatting van onze bevindingen voor de genoemde applicaties. De detailbevindingen rondom deze systemen zijn met uw organisatie gedeeld.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

BIJLAGEN

4.2 Bevindingen IT-beheersing | Unit 4 Financials

Logische toegangsbeveiliging Unit 4 Financials (criteria 1-5) nog deels ontoereikend Change management (criteria 6-7) toereikend

PROCES

2021

KORTE OMSCHRIJVING RESULTATEN

1. Procedure autorisatiebeheer

1

Voor Unit 4 Financials is een gebruiker te laat geblokkeerd in de Active Directory, waardoor deze te lang rechten heeft behouden.

2. Periodieke controle op juistheid ingerichte autorisaties

2

In 2021 heeft tot op heden nog geen periodieke review van ingerichte autorisaties plaatsgevonden (m.u.v. op budgethouders, niet op de gebruikers en overige autorisaties).

3. Identificatie van gebruikers voor toegang tot systemen en data

3

Voldoet aan de gestelde norm

4. Wachtwoordbeleid (authenticatie)

4

Voldoet aan de gestelde norm

5. Administrator- en superuser-accounts

5

Administrator- en superuser rechten toegekend aan een persoon in de lijnorganisatie.

6. Wijzigingenbeheer updates

6

Voldoet aan de gestelde norm

7. Gescheiden omgevingen (ontwikkel-test-productie)

7

Voldoet aan de gestelde norm

onvoldoende

DASHBOARD

2020

18

ONTWIKKELINGEN

verbeterpunten

SIGNIFICANTE PROCESSEN

voldoende

INFORMATIEBEVEILIGING

INTERNE CONTROLE

BIJLAGEN

4.3 Bevindingen IT-beheersing | Civision Samenlevingszaken

Logische toegangsbeveiliging Civision Samenlevingszaken (criteria 1-5) nog deels ontoereikend Change management (criteria 6-7) toereikend

PROCES

2021

KORTE OMSCHRIJVING RESULTATEN

1. Procedure autorisatiebeheer

1

Voldoet aan de gestelde norm

2. Periodieke controle op juistheid ingerichte autorisaties

2

Review is wel uitgevoerd, maar nog niet aan de hand van een door het management goedgekeurde normpositie.

3. Identificatie van gebruikers voor toegang tot systemen en data

3

Voldoet aan de gestelde norm

4. Wachtwoordbeleid (authenticatie)

4

Voldoet aan de gestelde norm

5. Administrator- en superuser-accounts

5

Voldoet aan de gestelde norm

6. Wijzigingenbeheer updates

6

Voldoet aan de gestelde norm

7. Gescheiden omgevingen (ontwikkel-test-productie)

7

Voldoet aan de gestelde norm

onvoldoende

DASHBOARD

2020

19

ONTWIKKELINGEN

verbeterpunten

SIGNIFICANTE PROCESSEN

voldoende

INFORMATIEBEVEILIGING

INTERNE CONTROLE

BIJLAGEN

20

5. Bevindingen interne controle

5.1 Verbijzonderde interne controle

5.1 Verbijzonderde interne controle

Business Control Framework gestart

Versterking van de VIC positie ondersteund de rechtmatigheidsverant woording door het college

21

Ons beeld De huidige opzet van de interne controle kent naast de zelfcontrole en ingerichte beheersmaatregelen een VIC functie. De VIC is gepositioneerd binnen de concernstaf. De controles worden gepland en uitgevoerd door een medewerker in overleg met de teamleider financiën, controller en concerncontroller. Voor de omvang en selectie van de van de te controleren items zoek de medewerker VIC afstemming met ons. Op dit moment is het Business Control Framework actief bij de gemeente. Vanzelfsprekend toetsen wij de structuur en taken niet specifiek, maar beoordelen wij de ondersteunende processen en adviseren wij (vanuit onze natuurlijke adviesrol) over planning & control en risicomanagement. Onze algemene indruk is dat de VIC haar controlerende functie tracht door te ontwikkelen van een vooralsnog gegevensgericht aanpak naar een systeemgerichte aanpak. Aanbevelingen Wij constateren dat de VIC in de uitvoering van haar werkzaamheden nu primair gericht is op het, samen met de lijn, uitvoeren van de in het jaarplan opgenomen testaantallen. We zien dat de VIC in haar aanpak kennis neemt van het proces, maar nog niet een complete controleaanpak plant en uitvoert. Voor de rechtmatigheidsverantwoording door het college adviseren wij de VIC het sluitstuk te laten vormen voor de verantwoording op rechtmatigheid.

Dit vraagt van de VIC een compleet controleplan dat gestructureerd in samenspraak met de rest van de organisatie wordt uitgevoerd. Deze aanbeveling ligt volgens ons in lijn met de ambitie die de gemeente heeft met haar Business Control Framework.

DASHBOARD

AANDACHTSPUNTEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

INTERNE CONTROLE

BIJLAGEN

22

Bijlagen

A

Detailbevindingen processen A1. Nieuwe detailbevindingen A2. Detailbevindingen voorgaande jaren

B

Afwikkeling detailbevindingen voorgaande jaren

A.1 Nieuwe detailbevindingen | Planning & Control

23

Bevinding

Autorisatie memoriaalboekingen

RISICO: gemiddeld

Jaar van constatering

2021

IMPACT: gemiddeld

Onze bevinding

Ten tijde van onze interimcontrole 2021 hebben wij geconstateerd dat het niet zichtbaar is in de werkstroomhistorie van Unit 4 Financials wie de memoriaalboeking heeft aangemaakt en door wie deze is geautoriseerd. Hierdoor is de toepassing van het 4-ogen principe niet zichtbaar vast te stellen.

Risico

Memoriaalboekingen hebben een bijzonder karakter doordat deze buiten de reguliere processen om worden gemaakt. Indien memoriaalboekingen zijn gemaakt die niet juist en/of volledig zijn en de controle hierop ontbreekt, ontstaat het risico op onjuistheden in de jaarrekening of tussentijdse cijfers.

Onze aanbeveling

Wij adviseren u om de memoriaalboekingen (tussentijds) periodiek te controleren op aanvaardbaarheid en deze zichtbaar te autoriseren voor akkoord door een functionaris die niet belast is met de invoer hiervan. Bovenstaand proces is in Unit 4 Financials ingeregeld, alleen hebben wij reeds in 2020 geconstateerd dat de ‘Werkstroomhistorie’ niet zichtbaar is voor deze boekingen, waardoor niet vast te stellen is wie de boeking heeft gemaakt en geautoriseerd.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

BIJLAGEN

A.2 Detailbevindingen voorgaande jaren (1/2)

24

Bevinding voorgaande jaren

Beschrijving

Opvolging

Conclusie

Waarborgen gegevensoverdracht belastingen en heffingen

Wij hebben vastgesteld dat de gemeente de Ronde Venen geen expliciete waarborgen heft die het process rondom de juistheid en volledigheid van de gegevensoverdracht waarborgen.

Wij hebben vastgesteld dat tot op heden deze waarborgen niet in dit process zijn geïmplementeerd.

KANS: Midden

Planning &Control – Procesbeschrijvingen onjuist

Wij hebben vastgesteld dat procesbeschrijvingen niet altijd specifiek zijn toegespitst op de van toepassing zijnde situatie bij de gemeente De Ronde Venen (bijvoorbeeld proces personeel en salarissen). Wij adviseren beschrijvingen te updaten, uitbreiden en vast te leggen volgens de “6-w’s”

De procesbeschrijvingen van het Sociaal Domein zijn vooralsnog niet upto-date en kennen zelfs onjuistheden. Voor 2021 is ook het

Controle op de juiste (wijziging van) bankrekeningnummers is niet zichtbaar in het proces. Wij adviseren de bedragen en de bankrekeningnummers in het betaalvoorstel te laten controleren door de tweede fiatteur en deze controle zichtbaar vast te leggen. Daarnaast adviseren wij u om bij verzoeken tot wijzigen van bankrekeningnummers te allen tijde de juistheid van de wijziging te verifiëren bij de betreffende crediteur.

Controle van bankrekeningennummers op het betaalvoorstel is vooralsnog niet zichtbaar. In Unit4 is de logging van wijziging crediteurenstamgegevens niet zichtbaar in tegenstelling tot het oude pakket waar dit wel zichtbaar was. Daarnaast heeft de controle in 2021 ook niet zichtbaar op de factuur plaatsgevonden. Hierdoor is niet vast te stellen dat de controle plaats heeft gevonden.

Binnen het proces Sociaal Domein (WMO en Jeugd) hebben wij geconstateerd dat er geen zichtbare controle plaatsvindt op de indicering door de consulent.

Tijdens de interimcontrole van 2021 hebben wij vastgesteld dat deze controle nog niet zichtbaar plaatsvindt.

Inkopen – wijziging crediteurenstamgege vens

Gebrek aan functiescheiding in het proces Sociaal Domein

IMPACT: Laag

KANS: Laag

IMPACT: Laag

KANS: Midden

IMPACT: Midden

KANS: Midden

IMPACT: Laag

DASHBOARD

AANDACHTSPUNTEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

INTERNE CONTROLE

BIJLAGEN

A.2 Detailbevindingen voorgaande jaren (2/2)

25

Bevinding voorgaande jaren

Beschrijving

Opvolging

Conclusie

SISA- geen risicoanalyse

De gemeente dient, op basis van de ‘Nota Verwachtingen Accountantscontrole SiSa’, aan te kunnen tonen welke maatregelen zij treft ter borging van een correcte verantwoording in de SISA. De Ronde venen voert nog geen risicoanalyse op de SISA regelingen.

Wij hebben vastgesteld dat tussentijds (vooralsnog) geen risico-analyse is opgesteld ten aanzien van de SiSa-regelingen.

KANS: Laag

Wij hebben de controle door de controller op de verwerking van de door de Raad goedgekeurde begrotingswijzigingen in de financiële administratie niet kunnen vaststellen omdat dit niet zichtbaar vastligt.

Tijdens de interimcontrole van 2021 hebben wij vastgesteld dat deze controle nog steeds niet zichtbaar vastligt.

Gegeven de bestaande situatie omtrent de aanbestedingen is er voor BDO in beperkte mate sprake van interne beheersmaatregelen die “hard” toetsbaar zijn.

Wij hebben tijdens de interimcontrole 2021 vastgesteld dat er een tussentijdse controle heeft plaatsgevonden op de spendanalyse 2021. Hierbij heeft een analyse plaatsgevonden op alle bestedingen gedurende 2021 en de bevindingen uit de controle over 2020 door BDO. Deze tussentijdse controle zag toe op de periode 1 januari t/m 30 juni 2021 waarin een verwachting is opgenomen van de verwachte onrechtmatigheid van ad 1.246k. Van deze verwachte posten zijn diverse bevindingen inmiddels aanbesteed of wordt door de Ronde Venen onderbouwd dat sprake is van een vendor lock, waardoor de verwachte onrechtmatigheid lager uitvalt.

Autorisatie begrotingswijzigingen

Naleving aanbestedingsregels

IMPACT: Laag

KANS: Laag IMPACT: Midden KANS: Midden

IMPACT: Hoog

Naar onze inschatting is niet geborgd dat de beheersmaatregelen volg- en controleerbaar “sluitend” zijn en niet preventief van aard zijn. Wij kunnen om deze redenen vanuit onze controlerende rol niet zonder meer steunen op beheersmaatregelen in het proces ten aanzien van aanbestedingen.

DASHBOARD

AANDACHTSPUNTEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

INTERNE CONTROLE

BIJLAGEN

B. Afwikkeling detailbevindingen voorgaande jaren

26

Bevinding voorgaande jaren

Beschrijving

Opvolging

Conclusie

Rechten binnen bankapplicatie BNG

Wij hebben vastgesteld dat een medewerker met betalingsbevoegdheden is opgenomen in het gebruikersoverzicht die niet meer in dienst is bij gemeente de Ronde Venen.

Uit het overzicht van de rechten binnen de bankapplicatie van de BNG per september 2021 hebben wij vastgesteld dat deze medewerker uit de bankapplicatie is verwijderd en hebben wij geen bevindingen geconstateerd.

Afgerond

Treasury – schatkistbankieren onrechtmatigheden

Het aanvraagformulier voor schatkistbankieren stamt uit 2013, hierna zijn de jaarlijkse drempelbedragen niet gecommuniceerd met de BNG. Wij adviseren u er op toe te zien dat het proces wordt gevolgd en dergelijke formulieren voor Schatkistbankieren worden gehanteerd.

Wij hebben bij de interimcontrole geconstateerd dat het drempelbedrag voor het automatisch afromen van overschotten aanwezig is voor boekjaar 2021 en op de juiste manier is berekend. Het verzoek tot automatisch afronden is verzonden naar de BNG Bank.

Afgerond

Grondexploitatiesgeen zichtbare controle parameters

De gemeente maakt voor de waardering van de grondexploitaties diverse schattingen. Over de gehanteerde uitgangspunten voor de grondexploitaties wordt binnen afdeling Concernstaf overlegd echter een zichtbare interne toetsing is niet aanwezig. Wij adviseren jaarlijks een interne controle uit te voeren op de gemaakte schattingen bij de grondexploitaties zodat er meerdere deskundigen meekijken.

Wij hebben vastgesteld dat jaarlijks een zichtbare toetsing heeft plaatsgevonden door de afdeling Concernstaf op de onderbouwing die ten grondslag ligt aan de schattingen en zijn aangeleverd door de planeconoom.

Afgerond

DASHBOARD

AANDACHTSPUNTEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

INTERNE CONTROLE

BIJLAGEN

27

bdo.nl