Board Letter gemeente Den Haag 2022

Gemeentelijke Accountantsdienst

<Titel Rapport> Board Letter 2022 GAD

GAD/2023.02 20 januari 2023 RISnr 314358 Spui 70, 2511 BT Den Haag www.denhaag.nl 1/33

Gemeentelijke Accountantsdienst

Voorwoord Voorwoord

Geachte leden van de raad en geacht college,

Bestuurlijke boodschappen

Wij geven u graag de Board Letter met onze tussentijdse bevindingen van de gemeente Den Haag die voortkomen uit de controle op het boekjaar 2022. Als onderdeel van de controle van de jaarrekening 2022 van de gemeente hebben wij aandacht besteed aan de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing. Wij hebben onze werkzaamheden uitgevoerd conform onze controleaanpak 2022.

Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022

Met een afvaardiging van de ambtelijke organisatie en de portefeuillehouder hebben wij onze zienswijzen, bevindingen en aanbevelingen van deze Board Letter besproken. Daarnaast hebben wij via managementnotities de diensten van de gemeente Den Haag afzonderlijk over onze detailbevindingen geïnformeerd. De interim-controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van administratieve organisatie en interne controle, voor zover deze relevant zijn voor de jaarrekeningcontrole 2022. Ook heeft deze interim-controle als doel om de aandachtspunten voor de jaarrekening 2022 te signaleren en onder uw aandacht te brengen. In de voorliggende Board Letter zijn onze bevindingen en aanbevelingen daarover opgenomen. De bevindingen en aanbevelingen kunnen worden gelezen als constructieve aanwijzingen voor het college, als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening. Onze tussentijdse bevindingen zijn gebaseerd op onze werkzaamheden tot en met eind november 2022. Indien er na deze datum nieuwe bevindingen zijn met betrekking tot de interne beheersing, dan zullen wij dit met u delen in het Accountantsverslag 2022.

Ontwikkelingen jaarrekening 2022

Wij beginnen deze Board Letter met een samenvatting van onze belangrijkste boodschappen voor u en de belangrijkste risico’s voor de jaarrekening 20202. Verder bestaat deze Board letter uit drie onderdelen. ▪ Deel 1 geeft onze visie op de interne beheersing. ▪ Deel 2 blikt vooruit op de jaareindecontrole 2022 en behandelt de meest relevante aandachtsgebieden. ▪ Deel 3 geeft een beschrijving van de belangrijkste ontwikkelingen voor de jaarrekening 2022.

Bijlage 1: Onafhankelijkheid

In de bijlagen vindt u onze onafhankelijkheidsverklaring, onze communicatiemiddelen en de opvolging van onze eerdere bevindingen uit de Board Letter en het Accountantsverslag 2021.

Bijlage 2: Communicatie

Op 25 januari 2023 bespreken wij de Board Letter 2022 in de Rekeningcommissie.

Bijlage 3: Opvolging bevindingen 2021

Als u tussentijds vragen heeft, aarzel dan niet om contact met ons op te nemen. Met vriendelijke groet, Was getekend Gemeentelijke Accountantsorganisatie Den Haag Den Haag, 20 januari 2023 drs. C.G.A. Slotema-Tesser RA MPC CPC 2/33

Gemeentelijke Accountantsdienst

Bestuurlijke boodschappen Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

1. Prioriteren in turbulente tijden Ook 2022 stond in het teken van crisisbeheersing, na amper de effecten van Covid-19 te hebben doorstaan, was er vervolgens de oorlog tussen Oekraïne en Rusland. In toenemende mate komen gemeenten voor uitdagingen te staan die van invloed zijn op haar taakuitoefening en die elkaar in rap tempo opvolgen. Hierbij kunt u onder andere denken aan de opvangproblematiek, woningbouwopgave, klimaattransitie (verduurzaming en stikstofproblematiek), een mobiliteitsopgave en de toename van wet- en regelgeving door onder andere het sterk groeiend aantal SiSa-regelingen. Dit alles in een tijd van algehele prijsstijging, krapte op de arbeidsmarkt en schaarse middelen. De effecten hiervan op het uitgavenniveau van de reguliere begroting worden steeds zichtbaarder. Gevolg is bijvoorbeeld dat de financiële prognoses onzekerder worden en het risicoprofiel van de investerings- en grondexploitatieprojecten, ook door de inflatie, toeneemt. Gelijktijdig is sprake van een krapte op de arbeidsmarkt waardoor vacatures minder snel worden ingevuld en u mogelijk meer inhuurkrachten inzet. Daarnaast spelen net als vorig jaar diverse (omvangrijke complexe) vraagstukken met betrekking tot Europese aanbestedingen die ook dit jaar extra aandacht vergen.

Deze uitdagingen vragen veel van het college en van de ambtelijke organisatie en benadrukken het belang van prioritering in ambities. Het is prettig om met elkaar te constateren dat de gemeente op het gebied van de interne beheersing gerede inspanningen heeft geleverd die voortzetting behoeven. Wij zien dan ook dat de gemeente een routekaart heeft ontwikkeld voor de financiële keten welke door loopt tot eind 2023. Van belang hierbij is dat deze plannen ook tot daadwerkelijke resultaten leiden met goede informatievoorziening aan het college en de raad. 2. Overall beeld interim-controle 2022 In de interim-controle beoordelen wij de kwaliteit van de interne beheersingsmaatregelen binnen de belangrijkste bedrijfsprocessen die wij relevant achten in relatie tot de controle van de jaarrekening van de gemeente Den Haag. Momenteel zien wij dat de directie Bedrijfsvoering met de concerncontroller een belangrijke rol vervullen in de aansturing en doorontwikkeling van de

interne beheersing. De ingezette verbetertrajecten lopen door in 2023 en zijn daarmee nog niet afgerond, als gevolg waarvan op dit moment nog geen uitspraak gedaan kan worden omtrent eventuele verbeteringen. Onze afdronk is dan ook dat stappen worden gezet in de interne beheersing, waarbij de verbetereffecten van onderhanden inspanningen naar verwachting in 2023 zullen volgen, zoals bijvoorbeeld het AtB proces en de frauderisicoanalyse. Wij (h)erkennen het veelvoud aan verbeteractiviteiten dat is geïnitieerd en gerealiseerd door de gemeente in 2022 met betrekking tot het verbeteren van de interne beheersing. Deze verbeterinitiatieven leiden nog niet tot een situatie waarbij wij, bezien vanuit onze controle 2022, op (volledig) de interne beheersing kunnen steunen. Hetgeen een logisch gevolg is van de onderhanden positie van het verbetertraject en op geen enkele wijze afbreuk doet aan de inspanningen die door de gemeentelijke organisatie zijn geleverd om tot een verbetering van de interne beheersing te komen. Dergelijke verbetertrajecten vergen immers een lange adem. Volledigheidshalve merken wij op dat onze werkzaamheden niet gericht zijn op het vormen van een totaal oordeel over de administratieve organisatie als zodanig, maar specifiek betrekking hebben op die bedrijfsprocessen in relatie tot onze controle. 3.

Bespoedigen van informatievoorziening Het jaar 2022 stond bij de gemeente in het teken van de verkiezingen en de coalitievorming. De aangepaste begroting 2022, naar aanleiding van het coalitieakkoord, is daardoor (pas) in december 2022 vastgesteld door de raad. Daarnaast zien wij dat de informatievoorziening over de realisatie op onderdelen anders is gelopen dan het regulier P&C cyclus proces. Zo zijn in 2022 de tussentijdse viermaands- en achtmaands rapportages vervangen door een uitvoeringsnota in december 2022. Voor de MPG en GRIP rapportages geldt dat deze producten vertraagd in december 2022 zijn uitgebracht. Het college en de raad zijn erbij gebaat te werken met zo actueel mogelijke informatie. Een eventuele vertraging vermindert de informatiewaarde.

3/33

Gemeentelijke Accountantsdienst

Bestuurlijke boodschappen Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

4. Omdenken Na het plaatsvinden van een incident of een fraude zien wij de natuurlijke reactie van de gemeente ontstaan om ‘nog meer’ beheersmaatregelen in te bouwen of om bepaalde activiteiten in zijn geheel te beëindigen. Beheersmaatregelen leiden niet automatisch tot een betere beheersing of verlaging van risico’s en kunnen zelfs leiden tot het tegenovergestelde. Er kan immers een schijnzekerheid worden gecreëerd doordat bijvoorbeeld frauderisico’s worden verplaatst in plaats van gemitigeerd.

gemeenten structurele kosten moeten dekken met structurele inkomsten en niet met incidentele middelen. In perioden waarin veel incidenteel geld beschikbaar is, rijst de vraag hoe gemeenten dat kunnen inzetten voor het realiseren van hun doelen en opgaven. Om uw gezamenlijke doelen te behalen is een begroting met structurele begrotingsoplossingen, voldoende bemensing, tussentijds actuele informatievoorziening en een correcte jaarrekening van wezenlijk belang.

Wij zijn dan ook een groot voorstander van een meer holistische benadering op risicobeheersing binnen en tussen processen, bijvoorbeeld door middel van het vaker toepassen van een waarde kringloopgedachte en/of gebruik te maken van verbandcontroles. Daarbij de oproep aan de gemeente om meer en vooral slimmer gebruik te maken van de beschikbare datastromen om deze manier van kijken te kunnen realiseren. Een dergelijke benaderingswijze kan waardevolle nieuwe inzichten verschaffen en komt de risicobestendigheid en de interne beheersing van de gemeentelijke organisatie ten goede. Bijkomend voordeel is dat het kan leiden tot het terugdringen van onnodige bureaucratie. 5. Doorontwikkeling van lerend en kritisch vermogen Vorig jaar hebben wij opgemerkt dat de gemeente het lerend vermogen verder kan versterken. Het lerend vermogen staat bijvoorbeeld voor het leren van fouten en kritisch vermogen is van belang voor het stellen van de juiste vragen en eigenaarschap. Wij zien dat de gemeente zich meer ervan bewust wordt om het lerend vermogen verder te stimuleren. Bijvoorbeeld in de visie op de doorontwikkeling van de financiële keten is dit een continu proces ‘lerende organisatie’ geworden door opleidingen, communicatie en samenwerken. Maar het lerend en kritisch vermogen kenmerkt zich ook door (ongeschreven) omgangsregels tussen mensen.

Wij constateren dat het opvolgen van bevindingen meer tijd vergt dan initieel geambieerd en daarbij is een eerder gemaakte boodschap uit de Board Letter 2021 nog steeds van kracht: dat de opvolging van redresplannen achterblijft. 6. Structurele zorgen op lange termijn? De herziene begroting 2022 en de uitvoeringsnota 2022 laten een positief beeld zien van de financiële positie van de gemeente. De komende jaren is er incidenteel geld beschikbaar vanuit het Rijk mede door crisissen zoals Covid19. Vanaf 2026 kan dit mogelijk anders zijn. Dit maakt begroten lastig omdat 4/33

Gemeentelijke Accountantsdienst

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie

Evaluatie van de interne beheersing-overkoepelend beeld Voorgaande jaren hebben wij in onze rapportages diverse aanbevelingen genoemd ter verbetering van bestaande interne beheersing van de gemeente. Wij zien dat de gemeente belang hecht aan deze punten en een goede/gezonde ambitie om te verbeteren heeft.

De vervolgstappen voor het verder op orde krijgen van de interne beheersing zijn hierin gezet, maar nog niet (volledig) geëffectueerd, waardoor bezien vanuit onze controlewerkzaamheden over 2022 hierop logischerwijs nog niet gesteund kan worden. Dit komt hoofdzakelijk doordat het verbetertraject voor de interne beheersing in 2023 nog doorloopt.

Het college is verantwoordelijk voor het inrichten van een interne controleomgeving die het mogelijk maakt een jaarrekening op te stellen die geen afwijkingen van materieel belang bevat door fraude of fouten. In 2022 zijn diverse plannen nader uitgewerkt en projecten gestart om de basis verder op orde te krijgen en vervolgens de interne beheersing door te ontwikkelen. Zo heeft de gemeente een routekaart ontwikkeld voor de financiële keten welke doorloopt tot eind 2023. Het plan hierbij is dat eerst het fundament wordt gelegd waarin een versterking van de interne beheersing zal plaatsvinden en meer duidelijkheid wordt gegeven over rollen, taken en verantwoordelijkheden. Hierna zal doorontwikkeling van het fundament plaatsvinden, hetgeen uiteindelijk moet resulteren in een lerende organisatie. De routekaart bevat onder andere ook verbeterinitiatieven inzake internal audit, risico- & procesmanagement en het expertise bureau subsidies en inkopen.

Het overall beeld is een feitelijke weging van de interne beheersingsmaatregelen binnen de belangrijkste bedrijfsprocessen die wij relevant achten in relatie tot de controle van de jaarrekening 2022 als geheel. Onze afdronk is dan ook dat stappen worden gezet in de interne beheersing, waarbij de verbetereffecten van onderhanden inspanningen naar verwachting in 2023 zullen volgen, zoals bijvoorbeeld het AtB proces en de frauderisicoanalyse.

Wij constateren dat de gemeente door een routekaart voor de financiële keten prioriteiten stelt en dat de gemeente weloverwogen en zorgvuldig te werk gaat. Wij vinden het belangrijk dat de gemeente de tijd neemt om het fundament op orde te brengen. In onze optiek is het essentieel om de gehele organisatie hierbij te betrekken, zodat een breed draagvlak wordt gecreëerd. Interne beheersing is immers niet een ‘speeltje’ van bedrijfsvoering en controlling, maar een verantwoordelijkheid van de gehele gemeentelijke organisatie. Vervolgstappen zijn implementatie en borging in de gemeentelijke organisatie.

Onze stellingname dat wij voor de controle van 2022 niet (volledig) kunnen steunen op de interne beheersing is dan ook een logisch gevolg van de huidige onderhanden positie van het verbetertraject en doet op geen enkele wijze afbreuk aan de inspanningen die door de gemeentelijke organisatie zijn geleverd om tot een verbetering van de interne beheersing te komen. Dergelijke verbetertrajecten vergen immers een lange adem. Volledigheidshalve merken wij op dat onze werkzaamheden niet gericht zijn op het vormen van een totaal oordeel over de administratieve organisatie als zodanig, maar specifiek betrekking hebben op die bedrijfsprocessen die wij betrokken hebben in onze interim-werkzaamheden en derhalve relevant achten in relatie tot ons controle object.

Bijlage 3: Opvolging bevindingen 2021

5/33

Gemeentelijke Accountantsdienst

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Beeld interne beheersing per bedrijfsproces Wij hebben tijdens onze interim-controle de procesrisico’s onderzocht, en ons hierbij gericht op de opzet, het bestaan en de werking van de interne beheersingsmaatregelen, voor zover relevant voor de controle van de jaarrekening 2022. Onze tussentijdse bevindingen en observaties blijken uit de komende paragrafen en zijn gebaseerd op onze werkzaamheden tot en met eind november 2022. Indien er na deze datum nieuwe bevindingen met betrekking tot de interne beheersing in beeld komen, zullen wij dit, middels ons Accountantsverslag 2022, met u delen. In de onderstaande tabel evalueren wij per onderkend proces tussentijds de interne beheering. Uit de tabel blijkt tevens de vergelijking van de interne beheersing tussen het verslagjaar 2021 en 2022. Onze afdronk is dan ook dat stappen worden gezet in de interne beheersing, waarbij de verbetereffecten van onderhanden inspanningen naar verwachting in 2023 zullen volgen.

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid

* Vorig jaar was dit proces niet in scope. ** De controle van dit proces is nog onderhanden. Eventuele bevindingen met betrekking tot de interne beheersing, zullen wij rapporteren in ons Accountantsverslag 2022.

Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

6/33

Gemeentelijke Accountantsdienst

Interne beheersing: Financiële administratie Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie

Financiële Administratie (FA) Tijdens de interim-controle hebben wij geconstateerd dat de financiële administratie tussentijds op onderdelen achterstanden kent. Voorbeelden zijn: ▪ Tussentijdse achterstanden in het doorboeken van onderhandenwerk projecten naar de balans (materiële vaste activa). ▪ Achterstanden in het verwerken van declaraties verbouwing- en nieuwbouwkosten van schoolbesturen in de financiële administratie (materiële vaste activa). Daarnaast geldt dat de raadsbesluiten voor nieuwe grondexploitaties in de financiële administratie (voorziening negatieve plannen) pas worden verwerkt nadat de financiering middels een begrotingswijziging door de raad is goedgekeurd. Het risico hierbij is dat door de achterstanden de financiële administratie niet tijdig is en u niet voorziet in actuele informatie, wat ook gevolgen heeft voor een efficiënte en effectieve jaarafsluiting en jaarrekeningcontrole. Wij adviseren de gemeente in bredere zin te bezien op welke wijze de actualisatie van de financiële administratie verbeterd en daarmee de eindejaarsdrukte verminderd kan worden. Hierin zien wij een rol voor afdeling Financiële Administratie, die verantwoordelijk is voor een tijdige financiële administratie en voor de lijnorganisatie die tijdig informatie moet aanleveren aan afdeling Financiële Administratie.

Wij hebben de 9-maands proefafsluiting separaat van een feedback aan de gemeentelijke organisatie voorzien waarbij bovengenoemde observaties eveneens zijn betrokken. Memorialen Memoriaalboekingen verhogen het risico op de doorbreking van interne beheersmaatregelen en onregelmatigheden. Met memoriaalboekingen kan een medewerker namelijk alle mogelijke mutaties in de financiële administratie doorvoeren, waarbij interne beheersingsmaatregelen die in het reguliere boekingsproces zijn ingeregeld, worden omzeild. Daarom krijgen de memoriaalboekingen bijzondere aandacht in onze controle. De gemeentelijke organisatie kent verschillende types memoriaalboekingen. De gemeente geeft aan dat de procesbeschrijving voor de memoriaalboekingen met betrekking tot het onderdeel intern verrekenen is opgesteld. De ambitie is om voor de overige memoriaalboekingen de procesbeschrijvingen in het eerste kwartaal 2023 op te stellen. Vervolgens gaat de gemeente ook in 2023 verder inzetten op de kwaliteit van de onderbouwing van de memoriaalboekingen. Het idee van de gemeente is om voor elke memoriaalboeking documentatie toe te voegen waaruit de onderbouwing en motivatie blijkt.

Het 4-ogenprincipe maakt onderdeel uit van de werkwijze binnen het proces, maar wordt vooralsnog systeemtechnisch niet afgedwongen, waardoor het risico op het doorbreken van interne beheersmaatregelen in de praktijk blijft bestaan. Tussenrekeningen De afgelopen twee jaar rapporteerden wij dat wij saldi op tussenrekeningen zien oplopen. Ook dit jaar zien wij per stand eind september 2022 hoge saldi op tussenrekeningen. Evenals in voorgaande jaren adviseren wij om tussenrekeningen, waaronder de rekening ‘Nog in kosten te boeken’ tijdig te analyseren en af te letteren om zodoende te voorkomen dat tussenrekeningen per jaareinde hoge saldi vertonen en posten mogelijk onjuist worden geclassificeerd in de jaarrekening.

Bijlage 3: Opvolging bevindingen 2021

7/33

Gemeentelijke Accountantsdienst

Interne beheersing: Inkopen en betalingen Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalingen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

Blijvende aandacht nodig voor de naleving van inkoop- en aanbestedingsregels Aanbestedingen De naleving van Europese aanbestedingsregels is voor veel organisaties complexe materie. Als gevolg van complexe regelgeving en het aantal betrokkenen bij het inkoopproces, kan eenvoudig een verkeerde (niet Europese) aanbestedingsprocedure worden doorlopen. Uw gemeente is aan de slag gegaan de afgelopen jaren om diverse verbeterplannen op te stellen om de naleving van de interne- en Europese aanbestedingsregels beter te borgen. Wij vragen blijvend uw aandacht voor het verder verbeteren van de preventieve beheersmaatregelen omtrent de naleving van de Europese aanbestedingsregels. De verbetermaatregelen in de lijn zijn tot op heden niet (volledig) geïmplementeerd, waardoor de controle door Internal Audit Team van belang blijft. Daarbij wordt jaarlijks nagegaan of een opdracht niet via een verkeerde procedure ‘in de markt’ is gezet. Tijdens de interim-controle was de opvolging van onze eerdere aanbevelingen nog niet zichtbaar. Dit betreft: ▪ Een volwaardige spendanalyse binnen de gemeente ontbreekt momenteel. Op dienstniveau zijn de eerste rapportages opgesteld. Om tot een volwaardige spendanalyse te komen verwijzen wij de gemeente naar het format volgens Pianoo.

Denk bij het uitvoeren van de spendanalyse aan: ▪ inzicht verkrijgen in de uitnutting van het achterliggend contract en waarbij de verantwoordelijke dienst tijdig een signaal ontvangt wanneer de Europese aanbestedingsdrempel overschreden dreigt te worden; ▪ inzicht verkrijgen in meerdere afzonderlijke, maar vergelijkbare, inkopen die ten onrechte niet in samenhang zijn beschouwd. Volgens de gemeente is een volwaardige spend een volgende stap. ▪ De gemeentelijke organisatie heeft voor de escalatieprocedure voor het bewust afwijken van de aanbestedingsregels een proces ingericht, waarbij de algemeen directeur in de gelegenheid is te tekenen voor de afwijking. De gemeente is van plan nog een procedure op te stellen voor het registreren van de bewuste afwijkingen van de aanbestedingsregels in een totaaloverzicht. Dit overzicht wordt, aldus de gemeente, in de toekomst in het Gemeentelijk Management Team (GMT) en het college periodiek besproken. Op deze manier verkrijgen het GMT en het college meer inzicht

in onrechtmatigheden binnen de gemeente, mede gezien de invoering van de rechtmatigheidsverantwoording in 2023. Net als vorig jaar spelen diverse (complexe) vraagstukken met betrekking tot Europese aanbestedingen die ook dit jaar extra aandacht vergen. Onderstaande dossiers zijn de dossiers die wij in het bijzonder in onze controle betrekken: ▪ Opvang van de Oekraïense vluchtelingen. ▪ Aanbesteding van het doelgroepenvervoer. ▪ Sancties van de EU tegen Rusland en de verplichting van het beëindigen van lopende contracten boven de EU-drempelwaarde met Russische partijen. ▪ Inhuur medisch personeel en beveiligers ten behoeve van corona. De gemeente is actief bezig met bovenstaande aanbestedingsdossiers en informeert ons omtrent de voortgang. De inkopen van het doelgroepenvervoer (€ 25 mln.) en inhuur medisch personeel en beveiligers ten behoeve van corona (€20 mln.) kunnen dit jaar mogelijk een materiële impact hebben op het rechtmatigheidsoordeel. Daarnaast geeft de gemeente aan opvolging te hebben gegeven aan onze eerdere rechtmatigheidsbevindingen, bijvoorbeeld door het opnieuw aanbesteden van onrechtmatige opdrachten. Tijdens onze jaarrekeningcontrole zullen wij vaststellen of dit het geval is. Wij rapporteren hierover in ons Accountantsverslag 2022.

Inkopen Voor het nieuwe proces Aanvraag tot Betalen (AtB) proces, dat volgens de gemeente in de eerste helft van 2023 in werking zal treden, benadrukken wij het belang van het waarborgen van functiescheiding tussen de beschikkende functie (lees: budgethouder) en bewarende functie (lees: prestatieverklaarder) bij inkopen waarbij niet gewerkt wordt met een inkooporder. Het risico van geen functiescheiding is dat een functionaris een aantal stappen zelf kan doorlopen in het inkoopproces en daarbij de interne beheersingsmaatregelen kan omzeilen. De gemeente geeft aan dit bij het nieuwe AtB proces mee te nemen. Voor de verdere status van de opvolging van onze bevindingen, verwijzen wij naar de tabel in bijlage 3.

8/33

Gemeentelijke Accountantsdienst

Interne beheersing: Inkopen en betalingen Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalingen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022

Betalingen Bij de interim-controle hebben wij verschillende processtappen van het betalingsproces, in samenhang met het inkoopproces, betrokken. Met betrekking tot het betalingsproces zijn geen nieuwe bevindingen naar voren gekomen ten opzichte van 2021. Met de gemeente zijn wij op dit moment in overleg over de controle op de betaallijsten (betreft een observatie vanuit het verleden) en het betalingsproces als geheel. Dit verantwoordingsjaar heeft er een incident plaatsgevonden bij transactieverwerking met als gevolg een dubbele betaling van een subsidiebatch. Tijdens de interim-controle hebben wij vastgesteld dat het proces en de werkinstructie van handmatig nietig verklaren is aangescherpt door de gemeente. De gemeente geeft aan nader te onderzoeken of het mogelijk is of er een koppeling gemaakt kan worden tussen het betalingsverwerkingssysteem APRO en Oracle, waardoor het nietig verklaren van een betaalbatch kan worden geautomatiseerd. Wij gaan tijdens de jaarrekeningcontrole data-analyse inzetten bij het proces van het nietig verklaren en bij eventuele dubbele betalingen. In het Accountantsverslag 2022 zullen wij hierover rapporteren.

Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

9/33

Gemeentelijke Accountantsdienst

Interne beheersing: Fysiek domein Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

Aandachtspunten in turbulente tijden Als gevolg van de eerder benoemde volatiele tijden waar gemeenten mee geconfronteerd worden, zoals de woningbouwopgave, klimaattransitie (verduurzaming en stikstofproblematiek), een toename van het tekort aan (bouw)materiaal en een sterk oplopende inflatie en rente, is het van belang dat de grondexploitatie- en investeringsprojecten toch kunnen aanvangen en voortgang kunnen boeken. Wij zullen met de gemeente een aantal afspraken maken om te waarborgen dat sprake is van een efficiënt en effectief opstel- en controleproces van de (waardering van de) grondexploitatie en investeringsprojecten bij de jaarrekening 2022. Het spreekt voor zich dat het belangrijk is de ontwikkelingen en de voortgang ter zake blijvend te monitoren. Voorts is het belangrijk in relatie tot de begrote kosten- en opbrengstenontwikkeling, dat: ▪ Het college in de jaarrekening adequaat toelicht waarom welke uitgangspunten zijn gekozen en wat de financiële impact is/kan zijn als de werkelijke prijsstijging in de komende jaren hiervan (sterk) afwijkt. ▪ Ter onderbouwing van de genoemde financiële impact voor de jaarrekening enkele (extra) scenario’s op dit aspect doorgerekend worden. Een dergelijke analyse maakt inzichtelijk hoe gevoelig de individuele grondexploitatie- en investeringsprojecten zijn voor afwijkingen in de toekomstige kosten- en opbrengstenontwikkeling.

▪ Het kan zijn dat in de komende periode – zelfs nog in 2023, bij/na het opmaken maar voor het vaststellen van de jaarrekening 2022 – nog informatie of inzichten beschikbaar komen, waardoor het nu gekozen percentage kosten- en opbrengstenstijging opnieuw aanpassing vergt. Wij adviseren daarom volledigheidshalve de ontwikkelingen nauwgezet te blijven volgen en hiermee waar nodig rekening te houden in de definitieve berekeningen en onderbouwingen voor de jaarrekening 2022.

gespecificeerde onderbouwing van de waardering van de onderhanden grondexploitatieprojecten per 31-12-2022. In deze MPG zullen tevens de ‘bijstellingen’ van de waardering van de grondexploitatieprojecten worden gemotiveerd ten opzichte van de laatste MPG (per stand 31-3-2022). Wij zullen de MPG per 31-12-2022 bij onze eindejaarscontrole van de jaarrekening 2022 betrekken en daarover nog nadere afspraken maken met de gemeente. Over onze bevindingen inzake de waardering van de grondexploitatie rapporteren wij in het Accountantsverslag bij de jaarrekening 2022. In onze eerdere Board Letters en onze Accountantsverslagen 2020 en 2021 hebben wij de gemeente geadviseerd om de Verordening Beheersregels Grondexploitaties en Strategisch Bezit 2018 aan te passen voor wat betreft de normering van de zogenaamde PPT-criteria (Proportionaliteit, Profijt, Toerekenbaarheid) en voor wat betreft het partieel afsluiten van grondexploitaties. Vooruitlopend op de aanstaande aanpassing heeft de gemeente voor de nieuwe grondexploitatieprojecten in de raadsvoorstellen de PPT-criteria afzonderlijk gemotiveerd. Nieuwe grondexploitaties; Dreven Gaarden Zichten Begin 2022 zijn twee raadbesluiten genomen inzake nieuwe grondexploitaties. In februari 2022 is door de raad de grondexploitatie project Dreven Gaarden Zichten fase 1 vastgesteld. Wij hebben dit project in onze interim-controle betrokken.

Wij hebben de volgende verslaggevingstechnische bevindingen bij deze nieuwe grondexploitatie die tot een correcte weergave in de jaarrekening vragen: ▪ (nog) niet onderbouwde stelpost voor onvoorzien ad € 5,1 mln. ▪ ten onrechte verwerkte bijdrage aan Verstratingsfonds ad € 2,4 mln. ▪ niet goed onderbouwde kosten nieuwe aanleg riolering ad € 6,5 mln.

Grondexploitatieprojecten Aanpassing van de gemeentelijke verordening De gemeente heeft aangegeven om, vooruitlopend op de aanpassing van de Verordening Beheersregels Grondexploitaties en Strategisch Bezit 2018 hieromtrent, een MPG per ultimo jaareinde op te stellen, gebaseerd op de standen van de grondexploitatiestanden zoals die ook in de jaarrekening 2022 op de balanspost ‘Voorraden Onderhanden werk-bouwgronden in exploitatie’ zullen worden verantwoord. Hiermee beschikt de gemeente dan over een 10/33

Gemeentelijke Accountantsdienst

Interne beheersing: Fysiek domein Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

Investeringsprojecten Meerjareninvesteringsplan (MIP) Voor de beheersing, verantwoording en sturing van de door de raad toegekende investeringsbudgetten is het gewenst dat de informatievoorziening naar het gemeentebestuur wordt uitgebreid met een tussentijdse rapportage van het MIP. De huidige P&C-cyclus voorziet nog niet in tussentijdse voortgangsinformatie met betrekking tot het MIP. Met de tussentijdse voortgangsinformatie krijgt de raad tijdiger inzicht in de voortgang en de besteding van de door haar toegekende investeringsbudgetten. Daarvoor is het wel van belang dat de voortgangsinformatie in lijn is met de financiële administraties van de diensten en dat financiële administraties bij zijn. Wij constateren dat de financiële administratie en daarmee de informatievoorziening nog niet actueel is. Wij adviseren om de tussentijdse voortgangsinformatie op te nemen in de P&Ccyclus van de gemeente en deze te verankeren in de aan te passen Verordening Beheersregels Grondexploitaties en Strategisch Bezit 2018. Verkoop bedrijfsverzamelgebouw; De Titaan Begin 2022 is het door de gemeente te realiseren bedrijfsverzamelgebouw De Titaan verkocht. De feitelijke oplevering van het te vervaardigen gebouw door de gemeente en de daaropvolgende levering aan de koper zal begin 2023 plaatsvinden volgens de gemeente.

Momenteel zijn wij met de gemeente in gesprek over de juiste waardering en presentatie van de verkoop in de jaarrekening. Investering Rotterdamse Baan In het derde kwartaal van 2022 hebben wij de controle van het subsidieeindverslag aan MRDH van het project Rotterdamse Baan afgerond en voorzien van een goedkeurende controleverklaring. Hiermee is afdoende zekerheid verkregen over de ‘hardheid’ van de te ontvangen lumpsumsubsidiebijdrage van MRDH op dit project. De gemeente heeft het positieve resultaat van het project nog niet verwerkt in haar financiële administratie van 2022, maar wel voorlopig berekend (op circa € 35 miljoen) en verwerkt in de nog definitief vast te stellen programmabegroting 2022. Wij adviseren om in het vierde kwartaal 2022 het definitieve en exacte projectresultaat uit de financiële administratie te berekenen en alsnog te boeken, zodat dit resultaat ook in de jaarrekening 2022 wordt gepresenteerd. Ons advies voor de administratieve afwikkeling geldt ook voor alle andere projecten die in 2022

zijn afgerond en waarvoor subsidieverantwoordingen van een controleverklaring zijn voorzien. Investeringen schoolgebouwen De gemeente is economisch eigenaar van schoolgebouwen in Den Haag en verantwoordt derhalve investeringen in schoolgebouwen (verbouw en nieuwbouw) op de balans in haar jaarrekening. Tussentijds (lees: stand oktober 2022) is er slechts nauwelijks aan investeringen in schoolgebouwen verwerkt in de financiële administratie terwijl er in het MIP voor € 37 miljoen voor geheel 2022 is begroot. Volgens verkregen toelichting van de gemeente wordt de ogenschijnlijke onderuitputting veroorzaakt door het achterblijven van declaraties van schoolbesturen enerzijds (externe oorzaak) en achterstanden door onderbezetting op een gemeentelijke dienst in het verwerken en honoreren van ingediende declaraties anderzijds (interne oorzaak). Om in de jaarrekening 2022 een juiste en volledige stand te kunnen verantwoorden van de gerealiseerde investeringen in schoolgebouwen is het nodig dat de gemeentelijke dienst de huidige achterstanden in het toekennen van ingediende declaraties wegwerkt en toeziet op een volledige en juiste opgave van de schoolbesturen van de over 2022 gerealiseerde verbouwingskosten.

Gezien de (achterblijvende) administratieve stand ten tijde van onze tussentijdse controle hebben wij nog geen activeringen van schoolgebouwen bij onze tussentijdse controlewerkzaamheden kunnen betrekken en zal de piek van onze controle daarom bij de eindejaarscontrole komen te liggen. Inmiddels zijn volgens de gemeente de investeringen in schoolgebouwen voor jaareinde bijgewerkt. Wij zullen de eindstand aan investeringen bij onze eindejaarscontrole betrekken. Investeringen programma’s Buitenruimte en Mobiliteit De gemeente realiseert (met name) investeringen op de programma’s Buitenruimte (MIP-begroting 2022 t.w.v. € 84 miljoen) en Mobiliteit (MIPbegroting 2022 t.w.v. € 61 miljoen). In 2022 worden de projectsaldi van de in uitvoering zijnde investeringsprojecten nog op een administratief omslachtige wijze verantwoord. Het verantwoordingstraject is voor de financiële administratie arbeidsintensief en complex waardoor niet zelden (aanzienlijke) achterstanden in het doorboeken ontstaan. Hierdoor hebben wij nog amper activeringen bij onze tussentijdse controlewerkzaamheden kunnen betrekken en zal de nadruk van onze controle daarom bij de eindejaarscontrole komen te liggen. 11/33

Gemeentelijke Accountantsdienst

Interne beheersing: Sociaal domein Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

Uitkeringen Het beschikkingsproces voor de sociale uitkeringen is in opzet in 2022 ten opzichte van 2021 nauwelijks gewijzigd. Wij hebben dan ook geen bijzonderheden geobserveerd. Energietoeslag De energieprijzen zijn hard gestegen. Huishoudens (en studenten) met een laag inkomen krijgen een energietoeslag van de (rijks)overheid. Een belangrijke voorwaarde voor de energietoeslag is dat het netto-inkomen lager is dan 130% van de bijstandsnorm. De inwoner van Den Haag heeft voor 2022, indien wordt voldaan aan de voorwaarden, recht op een energietoeslag van in totaal €1.400. Daarnaast is sprake van een vooruitbetaling van € 500 van de € 1.300 totaal voor het jaar 2023. Tot slot vernemen wij dat de afdeling bezwaarschriften van de desbetreffende gemeentelijke dienst het druk heeft met burgers die in bezwaar gaan tegen een negatieve beschikking voor de energietoeslag. Een trage afhandeling van een bezwaar kan op een individuele burger van Den Haag financiële consequenties hebben in moeilijke tijden. Wij adviseren om de bezwaarschriften binnen de wettelijk gestelde termijn af te handelen. Aflossing van de private schulden van de gedupeerde ouders toeslagenaffaire De kredietbank houdt zich bezig met de aflossing van de private schulden van de gedupeerde ouders (toeslagenaffaire) conform de aanwijzingen van Sociale Banken Nederland (SBN).

De kredietbank richt haar processen conform de aanwijzingen van SBN in en heeft in een kort tijdsbestek de opzet moeten realiseren. Wij constateren dat de processen veel handmatige bewerkingen (lees: workaround) kennen en daarmee foutgevoelig zijn. De handmatige bewerkingen vinden plaats in de documenten Cliëntendatabase en Uitbetaling SBN. Daarnaast werkt de kredietbank voor deze (tijdelijke) klus relatief gezien met veel ingehuurd personeel. Wij zien risico’s voor de kwaliteit en continuïteit van de werkzaamheden. Wij adviseren handmatige bewerkingen te verminderen en een verbijzonderde interne controle in te richten om de kans op fouten te verkleinen.

Jeugd en WMO Voor Jeugd en WMO geldt dat de procesinrichting ten opzichte van 2021 nagenoeg gelijk is gebleven. Conform 2021 en eerder zal de gemeente over 2022 de zekerheid omtrent de prestatielevering, en daarmee omtrent de getrouwheid en rechtmatigheid van de lasten van de Zorg In Natura, verkrijgen via productieverantwoordingen vanuit de zorgaanbieders die voorzien zijn van een controleverklaring overeenkomstig het landelijk voorgeschreven controleprotocol. Momenteel loopt de oriëntatie van de gemeentelijke organisatie hoe de afhankelijkheid van derden in het sociaal domein verminderd kan worden door het proces anders in te richten. Zo heeft de gemeente gesprekken gevoerd met twee andere gemeenten die een pilot aan het voorbereiden zijn om de kosten via een ander model (lees: het bekostigingsmodel) te laten verantwoorden. De gemeente blijft in contact met deze gemeenten om samen tot een verbetering te komen. Verder is de gemeente inmiddels gestart met haar controle op de prestatielevering (getrouwheid) en rechtmatige besteding van de PGB’s. De controle is gericht op de prestatielevering bij zorgverleners die maandelijks hetzelfde bedrag ontvangen en voorkomt potentiële onzekerheden in de prestatielevering.

Subsidies Subsidies met kenmerken Inkoop Naar aanleiding van onze bevinding uit 2020 over subsidies met kenmerken van inkoop (RIS: 308965) heeft de gemeente acties ondernomen. In 2022 heeft de gemeente een afwegingskader (lees: een werkinstructie) aangescherpt om tot een onderbouwd besluit te komen welk instrument (lees: subsidie of inkoop) beter passend is voor het (beleids)doel. Voor 2022 heeft de gemeente actief ingezet op het onderbouwen van alle actieve subsidieregelingen en subsidies die daarop worden verstrekt. Dit is een blijvend proces voor nieuwe subsidieregelingen. Daarnaast is volgens de gemeente de onderbouwing uitgevoerd voor alle begrotingssubsidies 2022 en 2023. Wij adviseren de gemeente het afwegingskader ook te hanteren voor subsidies die verstrekt worden zonder een specifieke subsidieregeling. Het aantal subsidies buiten een regeling zal in 2023 verder afnemen door de inzet op het opstellen van subsidieregelingen. 12/33

Gemeentelijke Accountantsdienst

Interne beheersing: Sociaal domein Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

Aanvullend vragen wij aandacht voor het ontwerpen en invullen van een checklist voor de beoordeling van de staatsteun. Voor de beoordeling van de (ongeoorloofde) staatsteun ontbreekt momenteel een duidelijk ingericht proces. Gezien de complexiteit van dit vraagstuk, is de betrokkenheid van juridische expertise bij de beoordeling van de (ongeoorloofde) staatsteun essentieel, om een (ongeoorloofde) staatssteun uit te sluiten. Bij de controle 2021 op de subsidieverleningen hebben wij een aantal adviezen geconstateerd, die volgens ons bij toekomstige subsidieverleningen en herinrichting van het primair subsidieproces moeten worden aangepakt. Onze aandachtspunten waren: 1. De gemeente stelt een inhoudelijke beoordeling/materiële toets van de subsidieverstrekking en -vaststelling vanuit de beleidsafdeling verplicht. 2. De gemeente gebruikt geen taal in een (subsidie)aanvraag of in een gemeentelijke beschikking te die tot verwarring leidt. 3. De gemeente maakt een beter onderscheid tussen de subsidiabele prestaties/activiteiten, subsidievoorwaarden en subsidieverplichtingen in de subsidiebeschikkingen. 4. De gemeente werkt (vaker) met een specifieke subsidieregeling. 5. Om in het primaire subsidieproces van de gemeente een procedure in te richten waarbij in de toekenningsfase de aard van de verstrekking onderzocht wordt. 6.

Om de Interne auditfunctie van de gemeente een periodieke controle op de subsidies uit te laten voeren; is de subsidie terecht als subsidie gekwalificeerd. Wij zien dat de gemeente in opzet de adviezen heeft opgelost. De komende periode moet in de uitvoering naar voren komen of alle aandachtspunten hebben geleid tot een betere beheersing van het subsidieverleningsproces. Het aanpassen en verbeteren van de beheersingsmaatregelen is een continu proces. Subsidie vaststellingen Door de transitie van de applicatie ABBA naar CVS is een vertraging ontstaan in het afhandelen van aanvragen tot vaststellingen waardoor in veel gevallen de vaststeltermijn (mogelijk) niet zal worden gehaald. De niet tijdige behandeling van de aanvraag tot subsidievaststelling kan ertoe leiden dat de gemeente in gebreke wordt gesteld door de subsidieontvanger. Dit kan bijvoorbeeld tot

gevolg hebben dat de subsidieontvanger recht heeft op wettelijke rente over het bedrag dat nog niet is bevoorschot. Wij adviseren om de (wettelijke) termijn voor de vaststelling te monitoren en aanvragen tot vaststelling waarbij sprake is van hogere risico’s (lees; de kans op lagere vaststelling) met prioriteit te behandelen. De gemeente geeft aan de subsidierelaties te hebben geïnformeerd over de doorlooptijd van de vaststellingen en risicogericht de openstaande subsidievaststellingen op te pakken. Subsidieregister Het doel van het subsidieregister is de transparantie vergroten over de verleende en vastgestelde subsidies door de gemeente. Op deze manier zijn belanghebbenden op de hoogte gesteld over welke subsidie aan een subsidiepartner is verstrekt om beleidsdoelen te realiseren. Momenteel is nog geen formeel beleid binnen de gemeente aanwezig over welke subsidies in het subsidieregister behoren. Daarnaast is de vraag relevant welke verstrekkingen of uitgaven voldoen aan de definitie van subsidies. Het ontwikkelen van een dergelijke norm, ten aanzien van het formeel beleid en de definitie van subsidies, biedt meer inzicht in de volledigheid van het subsidieregister van de gemeente.

Meerjarig subsidiëren De gemeente is voornemens meerjarig subsidiëren mogelijk te maken en heeft hiertoe (in concept) een Handreiking meerjarige subsidiëring en Kader meerjarige subsidieafspraken opgesteld en heeft ons gevraagd om een reactie te geven op de conceptstukken. Wij hebben dan ook vanuit haar natuurlijke adviesfunctie een reactie gegeven. In het (concept) Kader meerjarig subsidiëren is ruime aandacht besteed aan het budgetrecht van de raad. Onze reactie en adviezen hebben onder andere betrekking op de onderwerpen: ▪ Eerlijk speelveld bij subsidiëring waarborgen; ▪ Aandacht voor stabiele financiële situatie aanvrager; ▪ Invulling monitoring: neem verplichtingen op.

13/33

Gemeentelijke Accountantsdienst

Interne beheersing: IT Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

General IT Controls De General IT Controls (GITC) zijn randvoorwaardelijke beheersingsmaatregelen om de ongestoorde werking van beheersmaatregelen in applicaties te waarborgen. De documentatie van diverse proceshandboeken, waaronder het handboek wijzigingsbeheer management, is niet meer ‘up-todate’. Diverse proceseigenaren hebben aangegeven de actualisatie in 2023 op te pakken. Momenteel bestaat het risico dat software en/of hardware wijzigingen niet volledig en/of juist worden geïmplementeerd en dit nadelig effect kan hebben op de dienstverlening. Te denken valt dan aan een slechte performance, storingen, of het niet compliant zijn aan de wettelijke kaders; Baseline Informatiebeveiliging Overheid (BIO) of Algemene Verordening Gegevensbescherming (AVG). Verder nemen wij op het gebied van continuïty management proces geen nieuwe ontwikkelingen waar. Wij adviseren om in navolging van het TNO onderzoek over IT business continuïty management uitgevoerd bij één gemeentelijke dienst, om ook bij de andere diensten een dergelijk onderzoek uit te (laten) voeren. Tot slot hebben wij in relatie tot de uitbesteding van IT-diensten een aandachtspunt. Voor diverse applicaties die relevant zijn voor de jaarrekening, zoals IBS2000, CVS en Planon, zijn vooralsnog geen assurance rapporten beschikbaar.

Het risico bestaat dat de externe dienstverlening niet meer voldoet aan de (beveiligings)eisen die voor de gemeente gelden. Application Controls Application controls (APC) zijn geautomatiseerde controles die in de programmatuur/applicatie zijn vastgelegd. Alle kritieke applicaties van de gemeente dienen te voldoen aan de BIO. Van diverse applicaties zoals de Key2applicaties en MO-platform is het autorisatiebeheer nog niet op orde en daarmee niet BIO-proof. Zo vindt geen periodieke controle plaats op autorisaties of is deze controle niet aantoonbaar. Daarnaast wordt onder meer voor de diverse Key2 applicaties vanwege de ‘End Of Life’ geen inspanning meer verricht in het autorisatiebeheer van de ‘oude’ applicaties. Voor deze applicaties worden risico’s voor de logische toegangsbeveiliging gelopen. Wij adviseren conform de BIO om minimaal 2x per jaar een controle uit te voeren op het autorisatiebeheer en dit vast te leggen. Deze controle wordt wel uitgevoerd voor Oracle eBS.

Tot slot constateren wij dat vanuit het Identity and Access Management (IAM) project stappen zijn gezet in het opstellen van het benodigde beleid inclusief de procedures op tactisch en operationeel niveau. Zo zijn de documenten ‘Tactisch beleid Identificatie en Authenticatie’, ‘Tactisch beleid logische toegangsbeveiliging’ en ‘Operationeel Autorisatiebeleid Gemeente Den Haag’ recentelijk opgeleverd. Verantwoordelijkheden van het college Het college is verantwoordelijk voor voldoende betrouwbaarheid en continuïteit van de elektronische gegevensverwerking. Dit omvat de voortzetting van de werking van geautomatiseerde applicatiecontroles en geautomatiseerde financiële procedures die afhankelijk zijn van generieke ITprocessen. Dit omvat tevens de betrouwbaarheid van alle andere door het systeem gegenereerde informatie die relevant is voor het opstellen van financiële overzichten die vrij zijn van materiële onjuistheden als gevolg van fraude of fouten. Informatiebeveiliging en cybersecurity De blijvende dreiging van cyberaanvallen (onder meer als gevolg van de oorlog in Oekraïne) is en blijft een actueel vraagstuk. Het werken aan digitale weerbaarheid (om de impact van een cybersecurity incident tot een minimum/aanvaardbaar risico te reduceren) en het testen hiervan zijn van essentieel belang.

Mede als gevolg van het gebruik van clouddiensten adviseren wij de gemeente om gezamenlijk met haar ketenpartners de cyber-risico’s en interne beheersingsmaatregelen blijvend in kaart te brengen. In verband met de vernieuwing van de ISO27002 norm, zullen de BIO en daarmee het Information Security Management System van de gemeente (waarvoor momenteel een aanbesteding loopt) aangepast moeten worden. Op 28 november 2022 is de Europese Commissie akkoord gegaan met de Network and Information Systems 2 (NIS2) richtlijn. De NIS2 is een Europese richtlijn waarmee wordt verscherpt wat kritisch is en zorgt voor een bredere toepasbaarheid. De NIS2 moet nu binnen 21 maanden worden omzet naar de lokale Nederlandse wetgeving door de Nederlandse overheid, die ook gaat gelden voor gemeenten. Vanwege de DDoS aanval eind 2021 bij de gemeente willen wij vaststellen of op het gebied van cybersecurity van dit incident lering is getrokken. Voor 2022 14/33

Gemeentelijke Accountantsdienst

Interne beheersing: IT Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

stellen wij dan ook een onderzoek in op het gebied van Cybersecurity. Momenteel werken wij onze onderzoeksaanpak uit.

▪ ▪

IT compliance Het afgelopen jaar heeft de gemeente enkele (rand-)voorwaarden gecreëerd om een inhaalslag te maken in het compliant worden op het gebied van de AVG. Zo is er een Chief Privacy Officer (CPO) aangesteld met in het takenpakket de privacy strategie van de gemeente en geeft de CPO leiding aan het Expertisecentrum Privacy. Verder zijn tijdelijk externe Privacy Officers/medewerkers aangesteld die bezig zijn met een inhaalslag op het gebied van één centrale AVG-verwerkingenregister en ondersteuning verlenen bij het opstellen van Data Protection Impact Assessments binnen de gemeente. De Functionaris Gegevensbescherming (FG) geeft aan dat de gemeente niet compliant is aan de AVG en vraagt aandacht voor de inhaalslag die de gemeente op dit gebied moet maken. Verder maken wij uit het externe Wet politiegegevens (Wpg) onderzoek op dat de gemeente hier nog een (grote) inhaalslag te maken heeft. Kortom, zowel op het gebied van de AVG alsmede op het gebied van de Wpg lijkt de gemeente nog niet compliant.

In de financiële administratie met name bij de memoriaalboekingen en tussenrekeningen, en; Bij nevenactiviteiten.

Over de uitkomsten informeren wij u in het Accountantsverslag 2022.

Conversie en migratie In 2023 staan diverse conversie/migratie trajecten - al dan niet naar de cloud gepland. Zeker bij grote conversie/migratie trajecten, loopt de gemeente het risico dat niet de juiste dan wel volledige data(set) gemigreerd wordt. Wij vragen de gemeente aandacht om dit zorgvuldig met behulp van een migratiestrategie/-plan uit te voeren. Daarnaast adviseren wij hierbij de nodige checks and balances uit te voeren en dit vast te leggen om een audittrail mogelijk/inzichtelijk te maken. Data-analyse Ook dit jaar zetten wij data-analyse in voor de controle van opvallende en ongebruikelijke transacties. Net als vorig jaar voeren wij een element van onvoorspelbaarheid (het zogenaamde ‘verrassingselement’) in de controle. Daar waar mogelijk zoeken wij naar verdere uitbreiding van onze eerder gemaakte analyses, waarbij het mogelijk is om focus te leggen op uitzonderingen en zwakheden in de interne beheersing. Dit jaar passen wij data-analyse specifiek toe op de volgende gebieden: ▪ De volledigheid van het subsidieregister; ▪ Bij mogelijk dubbele & nietig verklaren van betalingen; 15/33

Gemeentelijke Accountantsdienst

Interne beheersing: Fraude Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022 Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

Frauderisicoanalyse Er zijn goede stappen gezet met betrekking tot het periodiek uitvoeren van een frauderisico-analyse. Dit proces is zowel binnen de gemeentelijke organisatie als binnen de GAD verder geprofessionaliseerd en verbeterd. Wij hebben kennisgenomen van de frauderisico-analyse zoals opgesteld door de gemeentelijke organisatie en vergeleken met onze frauderisico-analyse. Deze analyse behoeft naar de toekomst toe periodieke actualisatie. Volgens de gemeente is tot op heden een tweetal rondes langs de directieteams gemaakt voor een update van de frauderisico-analyses en maatregelen daaromtrent. Deze acties moeten het bewustzijn binnen de gemeente verder vergroten.

treffen. Wij beoordelen of deze redresplannen tijdig en toereikend zijn. Daarnaast overwegen wij eventuele gevolgen van de gesignaleerde fraude op de controle. De tijdigheid waarop betreffende redresplannen worden opgesteld en de kwaliteit van de redresplannen behoeven binnen de gemeente verdere verbetering. Dit geldt ook voor de tijdige implementatie van de verbetermaatregelen uit de redresplannen. Het (leer)effect binnen de gemeentelijke organisatie zal immers worden vergroot als de doorlooptijd van het redresplan afneemt en de kwaliteit toeneemt.

Omdenken De natuurlijke reactie nadat fraude heeft plaatsgevonden is om ‘nog meer’ controls in te bouwen of om bepaalde activiteiten in z’n geheel te beëindigen. Meer controls leidt niet automatisch tot een betere beheersing of verlaging van risico’s en kan zelfs leiden tot het tegenovergestelde. Er kan immers een schijnzekerheid worden gecreëerd doordat bijvoorbeeld frauderisico’s worden verplaatst in plaats van gemitigeerd. Je kunt de deur immers op slot doen, maar als je één raam open laat staan is het effect van een slot op de deur verwaarloosbaar.

Fraudeprotocol Wij hebben in 2022 een fraudeprotocol opgesteld om duidelijk te maken wat de rol van de accountant is in relatie tot fraude op basis van de thans geldende wet- en regelgeving en zet daarmee uiteen wat van ons verwacht kan worden met betrekking tot fraude. De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude berust bij het college, onder toezicht van de raad. Wij zijn niet primair verantwoordelijk voor het voorkomen van fraude. De gebruiker van de jaarrekening kan dus niet verwachten dat wij alle fraude binnen de gemeente voorkomen en/of detecteren, desalniettemin is het wel de verantwoordelijkheid van ons om een redelijke mate van zekerheid te verkrijgen dat de jaarrekening (als geheel genomen) vrij is van materiële onjuistheden, ongeacht of deze worden veroorzaakt door fraude of door fouten.

Wij zijn dan ook een groot voorstander van een meer holistische benadering op risicobeheersing binnen en tussen processen, bijvoorbeeld door middel van het vaker toepassen van een waarde kringloopgedachte en/of gebruik te maken van verbandcontroles. Daarbij de oproep aan de gemeente om meer en vooral slimmer gebruik te maken van de beschikbare datastromen om deze manier van kijken te kunnen realiseren. Een dergelijke benaderingswijze kan waardevolle nieuwe inzichten verschaffen en komt de risicobestendigheid van de gemeentelijke organisatie ten goede. Bijkomend voordeel is dat het kan leiden tot het terugdringen van onnodige bureaucratie.

Wij vervullen binnen de gemeente onder andere de rol van poortwachter door het signaleren en adequaat opvolgen van (fraude)risico’s. Om dit te kunnen realiseren voeren wij proactieve en reactieve werkzaamheden uit. Het fraudeprotocol geeft op hoofdlijnen inzicht in wat deze werkzaamheden behelzen. Daarnaast geeft het fraudeprotocol inzicht in de wijze waarop wij door de gemeentelijke organisatie geïnformeerd en betrokken behoren te worden om adequaat invulling te kunnen geven aan betreffende poortwachtersrol. Laatstgenoemde informatieplicht behoeft verdere aanscherping.

Redresplannen Als daadwerkelijk sprake (b)lijkt te zijn van fraude, zorgt de gemeentelijke organisatie voor een redresplan. Dat betekent: zorgen voor herstel (correctie) van de fraude en het treffen van maatregelen om herhaling te voorkomen. Bij redres gaat het om het leren van fouten door het identificeren van de grondoorzaak van de fraude om adequate beheersingsmaatregelen te kunnen 16/33

Gemeentelijke Accountantsdienst

Vooruitblik jaarrekeningcontrole 2022 Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Financiële administratie Inkopen en betalen Fysiek domein Sociaal domein IT Fraude

Vooruitblik jaarrekeningcontrole 2022

Ontwikkelingen jaarrekening 2022 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2021

Jaarrekeningcontrole 2022 Voor een doelmatige en effectieve eindejaarscontrole zijn wij met de ambtelijke organisatie van de gemeente momenteel in gesprek over de lijst op te leveren stukken (LOTS) en het maken van onderlinge procesafspraken. Wij hebben afgesproken om net als voorgaand jaar voorafgaand aan de jaarrekeningcontrole een scan uit te voeren op het (digitale) jaarrekeningdossier ter beoordeling of de opgevraagde controledocumentatie is opgeleverd en een goede basis biedt voor de aanvang van onze werkzaamheden. Op basis van de kennis die wij van de gemeente hebben verkregen bij onze voorgaande controles geven we de volgende aanbevelingen op voorhand mee: ▪ Aanlevering van een volledige (concept) jaarrekening welke reeds intern is getoetst op de naleving van het BBV. Wij zullen de gemeente hiervoor de checklist 2022 nog aanreiken. ▪ Aanlevering van een kwalitatief en kwantitatief goed balansdossier waarop intern een zichtbare ‘kwaliteitscheck’ is verricht. ▪ Een actualisatie van de grondexploitatie opzetten per 31-12-2022 inclusief financiële doorrekeningen. ▪ Een aanlevering van de spendanalyse over de gehele vierjaarsperiode 2019-2022 met een interne toetsing op de naleving van de Europese aanbestedingsregels.

Wij adviseren hierbij rekening te houden met de aandachtspunten uit de notitie ‘Uitvoering van controle op aanbestedingsrechtmatigheid bij jaarrekeningcontrole van decentrale overheden’ van de NBA-SDO. ▪ Aanlevering van een overzicht van de lasten WMO per zorgaanbieder met de onderliggende productieverantwoordingen en bijbehorende controleverklaringen inclusief een verschillenanalyse. ▪ Aansluiting tussen de saldi in de onderhoudsvoorzieningen per 31-12-2022 en de beheerplannen inclusief een verschillenanalyse. ▪ Tijdige aanlevering van (vertrouwelijke) informatie. Tijdens de interimcontrole hebben wij niet alle benodigde informatie ontvangen. Onze inspanningen om tot alle informatie te komen is onevenredig hoog. Wij vragen daarom aandacht voor de toegang tot alle voor onze controle benodigde informatie mede gezien de schriftelijke bevestiging bij de gemeentelijke jaarrekening die wij van de burgemeester en de gemeentesecretaris ontvangen.

▪

▪

In november 2022 hebben wij een concept overzicht ontvangen met het aantal SiSa regelingen dat de gemeente moet invullen en die de GAD moet controleren. In totaal zijn dit meer dan 50 regelingen die in dit boekjaar verantwoord moeten worden. Wij constateren dat zowel het aantal regelingen als de complexiteit van de regelingen de afgelopen jaren fors zijn toegenomen. Dit onderdeel van de controle vergt (steeds) meer capaciteit voor zowel de gemeentelijke organisatie als van ons. Hierbij vragen wij aan de gemeente om de stukken tijdig, juist en volledig aan te leveren volgens onze onderling gemaakte afspraken. Een zichtbare follow-up van (eerdere) bevindingen en aanbevelingen uit onze Board Letters en Accountantsverslagen.