F GAD2022.136TG Memo project- en procesaudits GAD

Gemeentelijke Accountantsdienst

Aan

MEMO

Leden van de Rekeningencommissie Ter attentie van

Ons kenmerk

Typ tekst

GAD/2022.136

Afdeling

Afzender

Typ tekst

Theresia Gommans RO Dienst

Gemeentelijke Accountantsdienst Telefoonnummer

06 50 05 67 04 E-mailadres

theresia.gommans@denhaag.nl

Datum

9 november 2022 Onderwerp

Annotatie bij agendapunt F3: voorstellen nieuwe onderzoeken

Beste leden van Rekeningencommissie,

Inleiding Naast de jaarrekeningcontrole heeft u als Rekeningencommissie een aantal instrumenten die ingezet kunnen worden bij uw controlerende taak. Een van deze instrumenten is het door de GAD laten uitvoeren van de zogenaamde project- en procesaudits. Dit is vastgelegd in de controleverordening gemeente Den Haag is in artikel 8.2 . Per jaar voert de GAD twee tot vijf audits uit. Dit is mede afhankelijk van de omvang van de audits. De onderwerpen kunnen door de Rekeningencommissie los van het jaarrekeningonderzoek worden aangedragen. In dit schrijven informeren wij u wat de proces- en projectaudits inhouden. Wat kunt u laten onderzoeken en welke vragen u bijvoorbeeld kunt stellen. Dit doen wij door: • • •

aan te geven met welk soort onderzoeksvragen u bij ons terecht kunt; suggesties voor onderwerpen voor de komende periode op een rijtje te zetten; onderwerpen van audits die wij afgelopen jaren hebben onderzocht op te sommen, inclusief links naar de rapporten en verslagen van de Rekeningencommissie.

Wat voor soort vragen kunt u ons stellen over het (financieel) beheer van de organisatie? De project- en procesaudits zijn tot nu toe met name gericht op het (financieel) beheer van de organisatie en de onderwerpen liggen in het verlengde van de speerpunten van de Rekeningencommissie. Daarnaast zijn recent vanuit de raad voorstellen voor onderzoeken gedaan, zoals het onderzoek naar grote projecten. Ook in deze gevallen besluit de Rekeningencommissie over een opdrachtverstrekking aan de GAD. Wat is beheer van de organisatie en wat zijn beheersmaatregelen? De gemeente heeft bijna 9000 mensen in dienst die zorgen dat gemeentelijke taken worden uitgevoerd of dat doelstellingen worden gerealiseerd. Om te zorgen dat dit zo goed mogelijk gebeurt, richt de gemeente een organisatie(-structuur) in met ‘harde’ en ‘zachte’ beheersmaatregelen. Voorbeelden van harde beheersmaatregelen zijn beleidskaders, functiebeschrijvingen met heldere taken en verantwoordelijkheden, instructies, werkafspraken, procesbeschrijvingen, budgetten, fysieke inrichting en IT-systemen ter ondersteuning. Vragen die hierbij gesteld kunnen worden zijn: werkt men ook volgens deze wettelijke kaders, beschrijvingen, beleidskaders of de gemaakte afspraken?

Gemeente Den Haag Ons kenmerk

GAD/2022.136

Hebben de juiste personen toegang tot de IT-systemen? Wat is de uitputting van het budget, hoe is dit gebruikt? De zachte beheersmaatregelen (soft controls) hangen samen met de informele organisatie/cultuur en zijn de niet-tastbare gedragsbeïnvloedende factoren. Vragen die gesteld kunnen worden zijn: − Wat is het voorbeeldgedrag van het management? Kunnen zij hierop aangesproken worden? − Zijn mensen bekwaam om de taken uit te voeren? − Bestaat de mogelijkheid trainingen te volgen? − Is helder (gecommuniceerd) in het team wat men van elkaar verwacht? − Spreek je elkaar aan als er iets gebeurt dat niet klopt? − Wordt goed gedrag beloond?

Suggesties voor onderzoeksonderwerpen Hieronder vindt u een aantal mogelijke onderzoeksonderwerpen. Een deel van deze suggesties voor onderwerpen komt voort uit onze jaarrekeningcontrole. Een ander deel komt uit de verslagen van afgelopen jaren van de vergaderingen van de Rekeningencommissie. Tenslotte komt een aantal onderwerpen voort uit de actualiteit en toekomstige ontwikkelingen. IT-gerelateerde onderwerpen: ▪ Agile werken bij IT-projecten: binnen de gemeente wordt bij IT-projecten steeds meer gewerkt met agile methodiek. Hoe beheerst de gemeente deze projecten? ▪ Beheersing IT: uit het doelmatigheidsonderzoek (213A onderzoek) kwam naar voren dat het inzicht in IT-budgetten onvolledig is. Omdat daarna de budgetten flink zijn uitgebreid, overweegt de Rekeningencommissie onderzoek te doen naar de actuele beheersing van IT en informatieveiligheid. De Rekeningencommissie heeft aangegeven de uitkomsten van de werkbespreking met de CIO te willen betrekken bij de uit te voeren audit. ▪ Stand van zaken van het Masterplan IT. ▪ Stand van zaken van de ketengewijze automatisering.

▪ Crisisorganisatie: hoe weet de gemeente dat zij goed anticipeert op een crisis (bijvoorbeeld ITgerelateerd) of een ramp? ▪ Wijze waarop de IT-governance is ingericht, zitten er voldoende checks & balances in? ▪ I- compliance: wat is de voortgang van het voldoen aan wet- en regelgeving in het I domein? (Is de gemeente compliant en wat zet de gemeente in om compliant te worden aan de BIO, AVG, Wpg, Archiefwet 1995 en de WOO?). ▪ Welke controls heeft de gemeente ingericht rond algoritmes (NB: Rekenkamer Den Haag is voornemens een onderzoek te gaan uitvoeren naar dit onderwerp). ▪ Hoe is de beveiliging van Operational Technology (OT) systemen van bruggen en viaducten geregeld? ▪ Hoe zit het met het gebruik (c.q. de softwareontwikkeling) van API’s (deze worden vaak functioneel ontwikkeld en getest met als hoofddoel te communiceren met andere systemen, maar vaak worden ze niet uitvoerig getest op kwetsbaarheden of misbruik hiervan). ▪ Zijn er (voldoende) richtlijnen voor het gebruik op een (thuis)werkplek met IoT (internet of Things)apparaten die niet goed beveiligd zijn? Fraude en integriteit ▪ Inzicht in het beheer/het proces van (de afdoening van) fraude en of integriteitsmeldingen. ▪ Inzicht in het proces en stand van zaken van de (fraude)risicoanalyse.

▪ Zijn de preventieve maatregelen uit het Integriteitsbeleidsplan geïmplementeerd en bekend? ▪ Hoe heeft de gemeente het screeningsbeleid uitgewerkt en wordt het ook zo toegepast? ▪ Wat is de interne weerbaarheid van het ambtenarenapparaat voor ondermijning en waar zitten de kwetsbare functies?

2/4

Gemeente Den Haag Ons kenmerk

GAD/2022.136

▪

Tegenspraak is belangrijk voor een integere en veilige werkomgeving. Hoe is tegenspraak georganiseerd binnen de gemeente?

Veranderen, ontwikkelen en transities ▪ Inzicht in de voortgang van de verbeterplannen en het geven van een oorzaakanalyse als de voortgang achter blijft. Het gaat hier onder andere over de verbeterplannen beheersorganisatie (risicomanagement, Internal audit, rechtmatigheidsverantwoording, procesbeschrijvingen); ▪ De gemeente heeft steeds meer te maken met grote (verander)opgaven, bijvoorbeeld de klimaattransitie. Op welke wijze beheerst zij deze grote transities? Financiën en financiële beheersing ▪ Inzicht in het beheerproces van de Enecogelden en de uitputting van de Enecogelden; ▪ Inzicht in het proces van het bepalen van prognosticerende tussentijdse informatie; ▪ Haalbaarheid van het financieel kader 2023-2026 volgens het coalitieakkoord Den Haag 2022-2026, Voor een stad die tegen een stootje kan; ▪ Hoe houdt de gemeente grip op de overhead? Overige ▪ Verbonden partijen: is het beleidskader daadwerkelijk uitgevoerd bij omgevingsdienst Haaglanden? ▪ Hoe beheerst en rapporteert de gemeente over projecten buiten het fysieke domein? Bij de bespreking van de GRIP rapportage heeft de RC aangegeven dat het wenselijk is ook aan de raad te rapporteren over risico’s bij grote projecten buiten het fysieke domein, zoals bijvoorbeeld de Energieacademie en IT-projecten.

De RC heeft behoefte aan nader advies over de mogelijkheden van rapportage over onder meer over rapportagevorm en clustering van projecten; ▪ Cultuurmetingen of meting in hoeverre de gemeente in soft control is bij bepaalde processen/afdelingen/projecten; ▪ Inzicht in het proces van naleving van de wet Bibob bij vastgoedtransacties.

3/4

Gemeente Den Haag Ons kenmerk

GAD/2022.136

Welke audits hebben we tot nu toe voor u uitgevoerd? Om u een beeld te geven welke audits wij afgelopen jaren hebben uitgevoerd vindt u hieronder een overzicht van deze audits, inclusief links naar de rapporten en verslagen van de RC. 2018: Audit Meldplicht datalekken 2017 Auditrapport RIS299271 Verslag RC-vergadering 2018: Audit Bekostigingsproces WMO Auditrapport RIS298880 Verslag RC-vergadering 2018: Audit Plaspoelpolder Auditrapport RIS300513 Verslag RC-vergadering 2018: Audit WOM Zuidwest Auditrapport RIS300837 Verslag RC-vergadering 2019: Audit Centrum Jeugd en Gezin Auditrapport RIS301744 Verslag RC-vergadering 2019: Audit Bedrijfsinvesteringszones Auditrapport RIS302186 Verslag RC-vergadering 2019: Audit Herinrichting Tramlijn 1 Auditrapport RIS303871 Verslag RC-vergadering 2021: Audit meldplicht datalekken 2020 Auditrapport RIS307562 Verslag RC-vergadering 2020: Audit Indicatoren 2019 Auditrapport RIS306825 Verslag RC-vergadering 2021: Audit Indicatoren 2020 Auditrapport GAD2021.69 Verslag RC-vergadering Quick scan GRIP-rapportage Rapportage GAD2021.117 Verslag RC-vergadering 2021: Quick scan Omgevingswet Auditrapport GAD2021.130 Verslag RC-vergadering 2022: Indicatoren 2021 Auditrapport RIS312780

4/4