RIS312200 Accountantsverslag 2021 van de gemeente Den Haag GAD2022 37
Tekst van het document
Terugblik op 2020 De jaarrekeningcontrole over 2020 heeft voor de waardering van de grondexploitaties, procedurele bevindingen, fouten en onzekerheden opgeleverd. Voor een deel van de fouten en onzekerheden heeft de gemeente aangegeven deze voor 2020 niet (meer) tijdig te kunnen corrigeren en of te herstellen. Het betrof hoofdzakelijk de volgende vraagstukken: ▪ Fouten: niet onderbouwde stelposten voor onvoorziene kosten ▪ Onzekerheden: niet onderbouwde prospectieve kosten/opbrengsten en toerekening investeringen (op basis van de PPT-criteria; Proportioneel, Profijt en Toerekenbaar) In onze Board Letter 2021 merkten wij al op dat van enkele investeringen in de openbare ruimte het onduidelijk was of de kosten terecht als onderdeel van de grondexploitatie waren opgenomen. Wij adviseerden de gemeente toen om aan te tonen in hoeverre dergelijke investeringskosten passen binnen de van toepassing zijnde regelgeving. De gemeente gaf ten tijde van de jaarrekeningcontrole aan hier meer tijd nodig voor te hebben. Wij hebben daarom in juli 2021 geadviseerd voor het jaar 2021 om concrete normen op te stellen voor de toepassing van de PPT-criteria en deze te verankeren in de Verordening Beheersregels, Grondexploitaties en Strategisch Bezit (verder in deze paragraaf: Verordening).
Daarnaast hebben wij geadviseerd te toetsen, voor investeringen die gerelateerd zijn aan de openbare inrichting, in hoeverre deze op basis van de PPT-criteria passen binnen de grondexploitatie. Ook hebben wij aangegeven dat de investeringen, binnen de gestelde voorwaarden van het BBV, onder de balanspost Materiële Vaste Activa (MVA) gebracht kunnen worden. Zichtbare inspanningen 2021 Sinds de afronding van de jaarrekeningcontrole 2020 (lees; de afgelopen zomer) heeft de gemeentelijke organisatie belangrijke inspanningen verricht om de fouten en onzekerheden voor de jaarrekening 2021 te voorkomen. Dit betreft: 1. Ten eerste kiest de gemeente er voor alle (kosten)posten die in 2020 tot een fout hebben geleid (lees; € 9,8 mln.), in de jaarrekening van 2021 volledig te repareren. Ten tweede zijn de volgende (aan de grondexploitaties gerelateerde) fouten die bij de jaarrekeningcontrole 2021 in beeld zijn gekomen, direct gecorrigeerd:
a.
2.
Ten onrechte geprognosticeerde kosten van circa € 3,6 mln. Dit betreft de grondexploitaties Laakhaven West, Laakhaven Petroleumhaven en Haga Leyweg ES-140. b. Een correctie van € 8,2 mln. voor het kostenverhaal Binckhorst; geboekte omzet en dotatie aan reservering zijn teruggedraaid, omdat er nog geen sprake is van een tegenprestatie. c. Een rubriceringsfout van € 10,7 mln.; ten onrechte verwerkte verrekeningen (subsidiebaten) in oorspronkelijke balansverkorting zijn rechtgezet. Tegelijkertijd heeft de gemeente gewerkt aan een betere onderbouwing van prospectieve kosten en toerekening investeringen op basis van PPT. Dit heeft geleid tot een substantiële daling van de PPT gerelateerde onzekerheden. Daarnaast heeft de gemeente in haar regulier proces verplicht gesteld om vooraf de onderbouwing voor de zogeheten PPTcriteria in de toelichting op het grondexploitatieplan op te nemen en daarna door u goed te laten keuren. De inspanningen van de gemeentelijke organisatie waren tevens gericht op het juist interpreteren en toepassen van regelgeving. Momenteel is het gemeentelijke kader, binnen de ruimte die het BBV biedt, aan de ruime kant en behoeft daarmee aanscherping. De gemeentelijke organisatie beaamt dit en geeft aan dat de gemeente in 2022 middels een geactualiseerde Verordening tot een nadere uitwerking wil komen, maar dat tot dat moment de vigerende Verordening de norm is.
Resterende onzekerheden Bij onze controle over de jaarrekening 2021 komen wij voor de nog lopende grondexploitaties uit op een met 2020 vergelijkbare problematiek voor de PPTcriteria, waarbij sprake is van een daling (van € 29,3 mln. in 2020 naar € 5,3 mln. aan onzekerheden in 2021). De PPT-motivatie voor (volledige) toerekening van de investering aan de grondexploitaties en de voorziening negatieve plannen is aangeleverd en voor de volgende grondexploitaties nog (deels) ontoereikend: Spuikwartier Fase 2 en 3, Grotiusplaats en Noord Boulevard Scheveningen. Tegelijkertijd zijn er enkele grondexploitaties waarvoor, volgens de gemeente, per balansdatum een herziening van de plannen wordt voorbereid en vervolgens zullen worden voorgelegd aan het college en de raad. 19/54
Gemeentelijke Accountantsdienst
Fysiek domein Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
De realiseerbaarheid van de plannen per balansdatum is onzeker, maar gezien de doorlooptijd van deze herzieningen is er geen betere inschatting dan de laatste aan college en raad voorgelegde situatie. Voor deze grondexploitaties: Grotiusplaats, Forepark en MVC Transvaal is nu een totale onzekerheid voor de jaarrekening van €26,6 mln. gekwantificeerd. In totaal maakt dat € 31,9 mln. onzeker (tegenover € 40,5 mln. in 2020). Tot slot merken wij op dat de grondexploitatie Trekvlietzone fase 1 herzien is. Deze herziening wordt nog aan u aangeboden. Afsluiten grondexploitaties In ons accountantsverslag over 2020 hebben wij u geadviseerd in overweging te nemen om de voorwaarden in de Verordening voor het (partieel) afsluiten van de grondexploitaties te heroverwegen. Dit omdat in de praktijk blijkt dat grondexploitaties lang blijven openstaan. Voor het partieel afsluiten van de grondexploitaties geeft de gemeente aan dat er op dit moment geen grondexploitaties zijn die, zonder bovenmatige inspanning partieel kunnen worden afgesloten. Inflatie- en prijsontwikkeling per heden mede door de Oekraïne crisis In haar weerstandvermogen besteedt de gemeente kort aandacht aan de gevolgen van de crisis in Oost-Europa zowel in maatschappelijke als in economische zin.
Reeds voor het uitbreken van deze crisis waren inflatie- en prijsstijgingen zichtbaar aan het worden, deze zijn onder invloed van deze crisis snel verder gestegen. Dit brengt schaarser wordende en steeds duurdere materialen met zich mee. De crisis kan verder diepgaande gevolgen hebben voor de verwachte gronduitgifte-opbrengsten voor de gemeente (a.g.v. residuele waardebepaling). Wij adviseren de gemeente om u periodiek over de ontwikkelingen hieromtrent te informeren. Parameters De waardering van de grondexploitatie is voor een groot deel afhankelijk van de gemaakte schattingen. Aan deze schattingen liggen parameters en uitgangspunten ten grondslag. De parameters inzake kostenstijgingen/opbrengstenstijging zijn ten opzichte van voorgaand jaar, gezien de marktontwikkelingen, sterk gestegen. De parameters zijn verder
voldoende onderbouwd onder meer met CPI-index en Outlook 2022 Metafoor. Gezien de marktonwikkelingen is de stijging voor 2021 plausibel. Wij merken op dat in 2021 een wisseling van software ondersteuning van de grondexploitaties heeft plaatsgevonden. In de lijn van de uniformering van de financiële systemen is de keuze gemaakt om ook de grondexploitaties in het Oracle OBIEE systeem vast te leggen en niet meer in Pagoni. De huidige registratie van de prospecties en netto contante waarde van de grondexploitaties (in spreadsheets) brengt een verhoogd risico op fouten met zich mee. Tevens bevatten deze spreadsheets geen historie/trail. Wij hebben vernomen dat de gemeente werkt aan een volwaardig GREX-pakket. Graag blijven wij op de hoogte van deze ontwikkelingen en onderschrijven de noodzaak hiervan. Onderstaand treft u onze beoordeling van de parameters aan. Parameter
2021
2020
Kostenstijging
●
●
Opbrengstenstijging
●
●
Rekenrente
●
●
Verkoopprijzen
●
●
● Controleverschil
● Voorzichtig
Toelichting De gehanteerde parameter voor de kostenstijging over 2021 is 6% (2020: 2%). De gehanteerde parameter voor de kostenstijging over 2021 is 6% (2020: 2%). Het college rekent binnen de grondexploitatie met een rekenrente van 1% (2020: 1,0%). Dit is de rente gebaseerd op de huidige lening portefeuille van de gemeente Den Haag en is conform het BBV. De prijzen zoals ingerekend in de grondexploitatie zijn enerzijds vastgelegd in grondafname- en realisatie overeenkomsten en anderzijds onderbouwd met objectieve marktinformatie. De ingerekende verkoopprijzen zijn daarmee voldoende onderbouwd. ● Evenwichtig ● Optimistisch
20/54
Gemeentelijke Accountantsdienst
Fysiek domein Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
Materiële Vaste Activa Activering (beheer en onderhoud) van grote Investeringsprojecten Het onderwijs- en cultuurgebouw Amare is in 2021 opgeleverd en in gebruik genomen. De totale investering voor Amare bedraagt circa € 191,0 mln. en is op de balans per 31 december 2021 geactiveerd. Wegens een verschil van inzicht met de Rijksbelastingdienst is niet alle (te verrekenen) BTW over het in 2021 in gebruik genomen vastgoed geactiveerd (BTW circa € 11 mln.). Dit vraagstuk heeft de gemeente in haar toelichting bij de balanspost MVA nader geduid. Wij merken graag op dat de activering van de investering, vanwege bestendige gedragslijn, inclusief de ‘restpunten’ van circa € 3 á € 4,0 mln. heeft plaatsgevonden. Dit houdt in dat een deel van afwerkwerkzaamheden in 2022 voor dit grote project nog doorloopt. Dit houdt ook in dat de gemeente als gedragslijn het jaar van de oplevering kiest voor de volledige activering van de investering, inclusief de ‘restpunten’. Wij adviseren de gemeente de in de praktijk gehanteerde gedragslijn voor de ‘restpunten’ te verankeren in haar Verordening ‘Nota Vastgoed’ (2013). In 2021 is de hoofdinfrastructuur van de Rotterdamse Baan (ROBA) opgeleverd, in gebruik genomen en geactiveerd op de balans. Het gehele projectplan is tot nu toe volledig met een vaste subsidiebijdrage van MRDH/Rijk gefinancierd (circa € 505,0 mln.).
Dit houdt in dat de activering tot en met 2021 per saldo tegen een boekwaarde van nihil is geactiveerd. Er staat per 31 december 2021 nog voor € 60,0 mln. aan te besteden subsidiemiddelen op de balans; een deel van het onderhavige door de raad in 2013 goedgekeurde projectplan dient nog te worden uitgevoerd. De subsidiemiddelen van € 60,0 mln. zijn volgens de gemeente bedoeld voor nog resterende scope van het project ROBA. Dit betreft in ieder geval: 1. Nieuwe bedieningscentrale Scheveningen; 2. 2e watertoevoer Molenvlietpark; 3. Kunstobjecten Vlietzoom en Binckhorst; 4. Bestaande administratieverplichtingen.
Daarnaast is sprake van andere doorlopende posten uit het project ROBA (lees; aanvullende plannen) die nog nader uitgewerkt moeten worden, dan wel de raad moet hier nog over geïnformeerd worden. De gemeente is momenteel in gesprek met diverse stakeholders om deze aanvullende plannen uit te werken en draagvlak te creëren. De financiële omvang van deze onderdelen is momenteel voor circa € 23,0 mln. onzeker en wordt naar verwachting bij de formele afsluiting van het project concreet. Na de subsidievaststelling zal een eventueel resterend subsidiebedrag ten gunste van het resultaat moeten komen. De gemeente heeft over de nog te besteden subsidiemiddelen een toelichting in haar jaarrekening opgenomen (onder de balanspost overlopende passiva). Na de oplevering en activering start voor alle investeringen de fase van financiering van de onderhouds-en beheerskosten. De gemeente heeft naar aanleiding van de tekorten voor het beheer en onderhoud van gemeentelijke objecten een onderzoek laten uitvoeren. Met dit onderzoek zijn het systeem en de knelpunten van de financiering van onderhouds-en beheerskosten van investeringen in beeld gebracht. Wij adviseren de gemeente tijdig te reserveren voor het beheer en het onderhoud van alle investeringsobjecten en toe te zien op de daadwerkelijke uitvoering van het beheer en het onderhoud van gemeentelijke objecten.
Versterken projectbeheersing en projectcontrol Zoals ook door de gemeente en de betrokken diensten wordt erkend, is een hoogwaardige projectbeheersing van noodzakelijk belang om een correcte en beheerste uitvoering van de complexe projecten te kunnen garanderen. Binnen de projectbeheersing hebben de projectcontrol en een eenduidige en tijdige projectregistratie een substantiële rol. Wij adviseren om dit snel verder (uniform) te ontwikkelen binnen de gemeente en te letten op tijdigheid bij afronding van projecten. Een volwassen projectbeheersing is van belang ter borging van voldoende onderbouwing van raads- en collegebesluiten, het beheersen van (financiële) risico’s en het voorkomen van verrassingen bij de uitvoer van projecten. De gemeente voldoet bij grote projecten aan de verslaggevingsregels. Wij geven u in overweging of u bij grote projecten naast het inzicht per jaar, ook een cumulatief inzicht zou willen hebben. 21/54
Gemeentelijke Accountantsdienst
Sociaal domein Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
Zorg in Natura Conform 2020 verkreeg de gemeente over 2021 de zekerheid omtrent de prestatielevering, en daarmee omtrent de getrouwheid en rechtmatigheid van de lasten van de Zorg In Natura (ZIN), via productieverantwoordingen vanuit de zorgaanbieders die voorzien zijn van een controleverklaring. Over 2021 zijn enkel goedkeurende controleverklaringen ontvangen. Momenteel is de gemeentelijke organisatie zich aan het oriënteren hoe de afhankelijkheid van derden in het sociaal domein in de toekomst verminderd kan worden door het proces anders in te richten. Wij adviseren om in G4-verband zich over dit vraagstuk te buigen. Momenteel ontbreekt een concrete oplossing voor de afhankelijkheid. Tijdens de controle is gebleken dat de kennis inzake de kostenraming voor WMO voornamelijk bij één persoon ligt. Dit zorgt voor een grote afhankelijkheid. Wij adviseren u het (schattings)proces omtrent de nog te verwachte lasten (kostenraming) verder te formaliseren en te documenteren voor zowel Jeugd als WMO. De volgende rechtmatigheidsfouten en onzekerheid doen zich voor bij de ZIN: ▪ De verplichtingen voor ZIN WMO zijn te hoog ingeschat op balansdatum, uit de definitieve raming blijkt een lager bedrag ad € 1,1 mln. Deze fout is in de jaarrekening gecorrigeerd. ▪ Van een tweetal zorgaanbieders is geen controleverklaring ontvangen (WMO ZIN). Dit zorgt voor een onzekerheid van € 0,6 mln.
▪ De verantwoording van het Servicebureau Jeugdhulp Haaglanden (SbJH) is hoger dan de financiële administratie van de gemeente. De lasten en schulden zijn daarmee te laag verantwoord in de jaarrekening 2021. Dit betreft een rechtmatigheidsfout van € 0,1 mln. ▪ Onzekerheden van € 0,4 mln. doorwerkend vanuit SbJH.
gemeente deze geleverde zorg die wel aan de andere voorwaarden voldoet, alsnog vergoedt. Voor de gemeente Den Haag betreft dit een bedrag van € 1,9 mln. Persoonsgebonden budget De accountant van de Sociale Verzekeringsbank heeft opnieuw, gelet op de rechtmatigheidsafwijkingen, een controleverklaring met beperking bij de verantwoordingen 2021 verstrekt. De projectie van de rechtmatigheidsafwijkingen naar de cijfers van de gemeente Den Haag leidt tot de volgende rechtmatigheidsfouten: ▪ Jeugd: € 0,07 mln. ▪ WMO: € 0,15 mln. Zoals vorig jaar aangegeven in ons accountantsverslag 2020 heeft de gemeente de interne controle op de prestatielevering (getrouwheid) en rechtmatige besteding van de PGB’s vormgegeven om de onzekerheden te reduceren. De gemeente heeft confirmatiebrieven verstuurd naar de zorgontvangers met het verzoek te bevestigen of zij zorg hebben ontvangen. Als gevolg van de retour ontvangen brieven, is de onzekerheid over de geleverde prestatie beperkt gebleven tot circa € 0,4 mln. (de onzekerheid over 2020 bedroeg € 5,4 mln.)
De accountant van SbJH maakt in haar controleverklaring een melding over de zorgdeclaraties die na 6 maanden na zorglevering aan SbJH worden aangeboden en contractueel niet meer in behandeling hoeven te worden genomen. Het is aan de coulance van de gemeenten zelf om te bepalen of een 22/54
Gemeentelijke Accountantsdienst
Sociaal domein Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
Tijdelijke overbruggingsregeling zelfstandig ondernemers (Tozo) De Tozo is één van de maatregelen van het kabinet-Rutte III om ondernemers tijdens de coronacrisis te ondersteunen en liep door tot het vierde kwartaal van 2021. Tozo is naast de andere specifieke uitkeringen onderdeel van de tabel van fouten en onzekerheden in ons accountantsverslag. Op basis van de uitgevoerde gegevensgerichte controlewerkzaamheden concluderen wij dat er geen sprake is van significante bevindingen. Beleid misbruik en oneigenlijk gebruik Tozo In de externe en interne regelgeving zijn diverse bepalingen opgenomen die erop zijn gericht om misbruik en oneigenlijk gebruik te voorkomen. De gemeente heeft het beleid op het misbruik en oneigenlijk gebruik vertaald in de Tozo Handreiking Misbruik en Oneigenlijk gebruik. In de handreiking is onder andere aandacht besteed aan de maatregelen die de gemeente inregelt, waaronder de controle achteraf, of en hoe zij gebruik maakt van het Inlichtingenbureau en de behandeling van de IB-signalen van het Inlichtingenbureau. De handreiking is in 2021 blijvend geactualiseerd op basis van de nieuwe inzichten en leerpunten uit 2020.
Kinderopvangtoeslag Voor de gedupeerden van de kinderopvangtoeslagaffaire heeft de Gemeentelijke Kredietbank zich in 2021 voorbereid om samen met acht andere kredietbanken onder de regie van Sociale Banken Nederland (SBN) de landelijke private schulden van gedupeerden te verifiëren en af te lossen. Dit is een enorme operatie waar landelijk tussen de € 1,2 en € 4,o mld. aan aflossingen mee gemoeid is. De gemeente is in 2022 met een team aan de slag gegaan om ongeveer 13% van de landelijke cases af te handelen. Over 2022 stelt de kredietbank een verantwoording op (lees; deel beleidsgelden) waarbij een controleverklaring van de accountant nodig is. Wij adviseren de gemeente om processen en systemen conform de aanwijzingen van SBN in te richten en de opdracht aan de gemeentelijke accountant voor te bereiden.
Wij hebben de in de handreiking beschreven opzet beoordeeld en vastgesteld dat deze wordt nageleefd. Ook hebben wij het bestaan van de maatregelen vastgesteld die de gemeente heeft ingeregeld. Wij hebben de effectieve werking van de ingeregelde maatregelen niet getest, maar vanwege efficiency gegevensgerichte controlewerkzaamheden uitgevoerd. Herziening weergave pandhuis in jaarrekening Het terugkooprecht van de beleende panden hebben wij opnieuw onderzocht. Op basis van de modelovereenkomst van het Pandhuis concluderen wij dat het Pandhuis Den Haag volgens de klassieke verpanding, waarbij de pandbelener eigenaar blijft van de beleende zaak, werkt. Tegen deze achtergrond zijn de pandleningen (€ 21,0 mln.) niet meer onder de balanspost 'Voorraden' maar onder de balanspost 'Uitzettingen < 1 jaar' opgenomen. De winkelvoorraad (€ 0,4 mln.) blijft een onderdeel uitmaken van de balanspost 'Voorraden'. De klassieke verpanding is nader beschreven in: Aanvulling van Boek 7 van het Burgerlijk Wetboek met een nieuwe titel 2D. 23/54
Gemeentelijke Accountantsdienst
Begrotingsrechtmatigheid Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
Naast de controle op de rechtmatige totstandkoming van de baten, lasten en balansmutaties in de jaarrekening 2021, hebben wij de begrotingsrechtmatigheid gecontroleerd. Het begrotingscriterium is verder verfijnd en uitgewerkt in de Kadernota rechtmatigheid 2018 van de commissie BBV. Een overschrijding van de begroting is altijd onrechtmatig, maar hoeft de accountant niet in alle gevallen mee te wegen in het oordeel. Essentieel is dat u nadere regels kunt stellen wanneer kostenoverschrijdingen (1) zijn gecompenseerd door direct gerelateerde opbrengsten, (2) passen binnen het beleid, en (3) bij openeinderegelingen deze moeten meewegen bij het oordeel van de accountant. In die gevallen dat u geen nader beleid stelt, geldt het uitgangspunt dat de accountant deze kostenoverschrijdingen niet betrekt bij de beslissingen om al dan niet een goedkeurend rechtmatigheidsoordeel af te geven. Daarnaast moet de accountant deze kostenoverschrijdingen – wanneer het college in de jaarrekening moet aangeven dat de raad deze nog dient te autoriseren – in het accountantsverslag aan de orde stellen. Extra lasten die zijn gemaakt omdat extra opbrengsten daarvoor ruimte bieden, terwijl deze extra lasten niet direct zijn gerelateerd aan de extra opbrengsten en waarbij u nog geen besluit heeft genomen over de aanwending van deze opbrengsten, zijn onrechtmatig.
In het kader van de begrotingsonrechtmatigheid beoordelen wij de lastenoverschrijdingen per programma. Op drie programma’s (inclusief algemene inkomsten en uitgaven) zijn begrotingsoverschrijdingen op de lasten te constateren. Begrotingsonrechtmatigheid is toegelicht, maar kan duidelijker De begrotingsonrechtmatigheden op de programma’s 14, 15 en 16 zijn in de jaarrekening 2021 toegelicht. Volgens artikel 28 van het BBV dienen deze overschrijdingen goed herkenbaar in de jaarrekening te worden opgenomen. Dit laatste kan worden verbeterd door het ook te adresseren als begrotingsonrechtmatigheid. Daarnaast adviseren wij de gemeente om consistent te zijn door bijvoorbeeld bij elk programma aan te geven of er wel of niet sprake is van een begrotingsonrechtmatigheid.
Begrotingsonrechtmatigheid (nr. en naam programma) 14. Stadsdelen
Lasten realisatie huidig boekjaar (x €1.000) 124.445
Overschrij ding t.o.v. begroting 2021 (x €1.000) 2.729
15. Financiën
41.293
2.367
16. Overhead
318.931
8.035
Telt mee voor het oordeel?
Toelichting
Onrechtmatig maar telt niet meer voor het oordeel Onrechtmatig maar telt niet meer voor het oordeel
U heeft met het instemmen voor de inzet van de Coronareserve uw akkoord hierop gegeven. Overschrijding i.v.m. hogere lasten vennootschapsbelasting, loon- en prijsbijstellingen, faseringsverschillen taakmutaties en organisatiekosten. U heeft met het instemmen voor de inzet van de Coronareserve uw akkoord hierop gegeven.
Onrechtmatig maar telt niet mee voor het oordeel
Naleving budgetrecht raad voor (investeringen)kredieten? Begrotingsafwijkingen en -overschrijdingen behoeven autorisatie door de raad. Indien een afwijking c.q. overschrijding het begrotingsbedrag overstijgt is strikt genomen sprake van een onrechtmatigheid. U geeft voor kredieten hoger dan € 2,5 mln. via een separaat raadsbesluit goedkeuring aan (de hoogte van) een krediet. De investeringskredieten in de jaarrekening 2021 worden op een redelijk hoog niveau gepresenteerd (zoals het samenvoegen van meerdere kredieten tot één kredietnaam onder de verschillende programma’s) in het Meerjaren investeringsplan (hierna MIP). Ook het MIP in de begroting is op eenzelfde wijze ingericht. Hierdoor is het onderscheid tussen separate gevoteerde investeringskredieten (investeringsbudget) en het budgetrecht welke via de begroting beschikbaar is gesteld niet zichtbaar en is per categorie (begrotingsafwijking op overschrijding krediet) niet vast te stellen of sprake van een onrechtmatigheid. Wij geven u in overweging of dit voldoet aan uw informatiebehoefte.
24/54
Gemeentelijke Accountantsdienst
Wet Normering Topinkomens Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
Wij hebben in 2021 geen fouten geconstateerd met betrekking tot de naleving van de Wet Normering Topinkomens (WNT) Vanaf 2013 is de de Wet Normering bezoldiging Topfunctionarissen publieke en semi publieke sector (WNT) van kracht. De WNT verhindert dat instellingen in de publieke en semi publieke sectoren in staat zijn bovenmatige bezoldigingen toe te kennen. Voor de gemeente zijn de gemeentesecretaris en de griffier als topfunctionaris aangemerkt. De algemene bezoldiging voor een topfunctionaris bij een gemeente is aangepast van € 201.000 in 2021 naar € 209.000.
Sinds 2018 geldt de zogenaamde anti-cumulatieregeling, wat betekent dat het totaal van bezoldigingen van meerdere uitvoerende topfuncties bij meerder WNT-rechtspersonen of WNT-instellingen, niet hoger mag zijn dan de algemene bezoldiging. Conform het controleprotocol hebben wij geen controle hierop uitgevoerd. Daarom bevat de controleverklaring een paragraaf inzake overige aangelegenheden over de anticumulatiebepaling van de WNT. WNT Aantal topfunctionarissen Aanstellen interim/waarnemend topfunctionaris Ontslagvergoedingen boven WNT
2021 2 0
2020 2 1
0
0
Ook moeten gemeenten de salarissen openbaar maken van overige medewerkers die een bezoldiging ontvangen boven deze norm. En moeten gemeenten voldoen aan overige vereisten die de WNT stelt, zoals een maximale ontslagvergoeding van € 75.000 voor topfunctionarissen. In 2021 hebben wij geen overschrijding van de grensbedragen van topfunctionarissen en overige medewerkers geconstateerd.
25/54
Gemeentelijke Accountantsdienst
Bevindingen SiSa-bijlage Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
Bevindingen SiSa-bijlage Wij hebben de in de SiSa-bijlage van de jaarrekening genoemde specifieke uitkeringen gecontroleerd, rekening houdend met de Nota verwachtingen Accountantscontrole 2021. De hierbij geconstateerde fouten en onzekerheden dienen op grond van het Besluit Accountantscontrole Decentrale Overheden (BADO) in het accountantsverslag te worden opgenomen indien de navolgende rapporteringstolerantie per specifieke uitkering wordt overschreden: ▪ € 12.500 indien de omvangbasis kleiner dan of gelijk is aan € 125.000. ▪ 10% indien de omvangbasis groter dan € 125.000 en kleiner dan of gelijk is aan € 1.000.000. ▪ € 125.000 indien de omvangbasis groter is dan € 1.000.000
Wij adviseren de gemeente wederom om de SiSa-regelingen buiten het sociaal domein meer procesmatig gedurende het jaar te organiseren (te denken valt aan tussentijdse risicoanalyses, lijncontroles, cijferbeoordelingen, het uitvoeren van deelwaarnemingen en het opstellen van een dossier) en hiermee in control te zijn omtrent deze specifieke regelingen. Wij hebben geconstateerd dat de SiSa-regelingen buiten het sociaal domein veelal ad- hoc aan het einde van het jaar worden uitgevoerd en deels zijn uitbesteed aan derden en de gemeente daar nog onvoldoende de eigen controlerende functie heeft georganiseerd.
De voorgeschreven SiSa-bijlage moet door de gemeente samen met een aantal andere verplicht voorgeschreven verantwoordingsstukken vòòr 15 juli 2022 aanstaande elektronisch bij het Centraal Bureau voor de Statistiek te worden aangeleverd. Door middel van een voorgeschreven tabel dienen wij te rapporteren over onze bevindingen ten aanzien van de in de jaarrekening en het addendum opgenomen SiSa-bijlage. Wij constateren dat de rijksoverheid net als vorig jaar veel nieuwe SiSaregelingen heeft geregeld. Bij uw gemeente heeft dit geleid tot 48 SiSaregelingen (2020: 31 SiSa-regelingen en 2019: 16 SiSa-regelingen). Wij ervaren dat de veelheid en divsersiteit aan regelingen ervoor zorgen dat zowel onze controle als de voorbereiding van de ambtelijke organisatie veel capaciteit vraagt. Op grond van onze controle hebben wij geen fouten geconstateerd die de voor de SiSa geldende rapporteringstolerantie overschrijden. De (verplichte) tabel met fouten en onzekerheden is opgenomen in bijlage van dit accountantsverslag. Voor de specifieke uitkering B2, BC62, G12 en H13 hebben wij een onzekerheid wegens het ontbreken van controle-informatie. Voor E38 kunnen wij de bestedingen niet aansluiten bij de financiële administratie.
26/54
Gemeentelijke Accountantsdienst
Interne beheersing Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
Interne Beheersing Als onderdeel van de jaarrekeningcontrole hebben wij in het najaar van 2021 een interimcontrole uitgevoerd. Deze interimcontrole is primair gericht op de opzet, bestaan en werking van maatregelen van de administratieve organisatie en interne beheersing (AO/IB), voor zover van belang op onze controle op de betrouwbaarheid en rechtmatigheid van de in de jaarrekening opgenomen gegevens. De bevindingen n.a.v. deze controle hebben wij opgenomen in onze Board Letter 2021. Specifiek hebben wij dit besproken met de toenmalige leden van de Rekeningencommmissie op 24 november 2021. Wij verwijzen voor onze bevindingen naar de Board Letter en waar nodig geven wij in dit accountantsverslag een update. Verbetering interne beheersing: nu en in de toekomst De gemeente is reeds twee jaar geleden, op eigen initiatief, gestart met een programma ter verbetering van de interne beheersingsorganisatie. Inmiddels heeft de gemeente stappen gezet voor het vergezicht. Zo zijn voor alle kritische financiële processen deepdives gemaakt en is duidelijk bij de verschillende afdelingen wat verbeterd moet worden. Ook de aanpak risicomanagement ligt en is de afdeling Internal Audit gestart met een kwalitatieve doorgroei. Dit vergezicht toont een grotere centralisatie van ondersteunende processen binnen de gemeente om het risico op fouten te mitigeren. De GAD juicht deze ontwikkeling toe.
Alert moet gebleven worden op potentiële schijnzekerheid in relatie tot het centraliseren van processen. In opzet kunnen processen centraal worden ingeregeld terwijl deze in praktijk veelvuldig decentraal invulling verkrijgen. Hierbij kan worden gedacht aan inkoop- en aanbestedingsprocessen. Er zijn vooralsnog veel interne vrijheden om af te wijken van gecentraliseerde processen. De voorgestelde verbeteringen van het AtB proces zullen hoofdzakelijk van invloed zijn op het uitvoeren van formele controles, om fouten en onvolkomenheden verder te mitigeren. Deze centralisatie zal bijvoorbeeld het risico op fraude in relatie tot AtB verleggen en (beperkt) verkleinen, maar niet wegnemen. Voor het slagen van de verbetering van de interne beheersing is het daarom juist nu van belang vanuit het bestuur en het management van de gemeente om blijvend aandacht te besteden aan deze onderwerpen en te blijven investeren in
de bedrijfsvoering, zodat de ingezette koers en de hiermee beoogde verbeteringen daadwerkelijk gerealiseerd gaan worden de komende jaren, zonder het risico op potentiële schijnzekerheid uit het oog te verliezen. Daarbij moet de gemeente ook rekening houden met de risico’s die zij loopt in het hier en nu (de winkel goed openhouden), omdat wij nog niet vast kunnen stellen dat de verbetermaatregelen in 2021 zijn geborgd. Versterken risicomanagement Vanaf 2019 hebben wij het college geadviseerd het proces van risicomanagement te verbeteren. In opvolging van dit advies is de afgelopen jaren tijd en energie gestoken in een meer gestructureerde aanpak. De gemeente heeft het afgelopen jaar het Haags risicomanagement model ontwikkeld. Vanaf 2022 wil de gemeente starten met risicodialogen voor risico’s op het gebied van financiën en fraude. Belangrijke risico’s gaan ook over niet-financiële risico’s bijvoorbeeld wetmatigheid of duurzaamheid. Daarom adviseren wij de gemeente om ook dit soort risico’s op te nemen in haar risicomanagement. Daarnaast adviseren wij om vanuit een integrale benadering een logische koppeling te leggen. Beginnend met een risicoanalyse, de interne beheersing van processen, de te treffen maatregelen en eindigend in de rechtmatigheidsverantwoording. Op deze manier kunt u de dialoog over o.a. de rechtmatigheid met het college voeren.
Onze observaties en adviezen De dynamische omgeving waarin gemeenten opereren en de daarmee wijzigende controleomgeving hebben impact op controles. Dit vraagt om duidelijke kaders en om het vastleggen van onderbouwingen en van interne controles. Vorig jaar rapporteerden wij u over ons controleproces en de mogelijkheden om het proces van verantwoorden en interne controle te verbeteren. Wij willen graag het volgende meegeven: 1. Evaluatie jaarrekeningcontrole 2020 uitgevoerd en verbeterpotentieel aanwezig. Wij hebben naar aanleiding van de jaarrekeningcontrole 2020 met de ambtelijke organisatie een evaluatie uitgevoerd. Wij constateren dat er op onderdelen verbeteringen zijn gerealiseerd, bijvoorbeeld door het maken van procesafspraken voorafgaand aan de controle en het vooraf uitvoerig bespreken met de gemeente over de benodigde op te leveren 27/54
Gemeentelijke Accountantsdienst
Interne beheersing Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
2.
3.
4.
5.
stukken voor de controle. Op andere onderdelen, bijv. de verdere verbetering van kwaliteit, de oplevering en uniformiteit van controleinformatie, is het nog niet gelukt om verbeteringen te realiseren. Qua jaarrekeningproces zit hier nog verbeterpotentieel waarin wij samen met de gemeente werken om dit te realiseren. Taken en verantwoordelijkheden. In onze Board Letter 2020 hebben wij geconstateerd dat rollen, taken en verantwoordelijkheden niet altijd eenduidig zijn belegd. Daarnaast zien wij een concentratie van taken en verantwoordelijkheden bij enkele personen binnen de processen, waardoor het werk daar vaak te veel samenkomt en logischerwijs vertragingen ontstaan. Wij blijven de waarde van één aanspreekpunt per onderwerp én één jaarrekeningdossier benadrukken voor onze controle, waar ook de interne controle op de aangeleverde controlestukken vanuit de gemeente ligt. Versterk het lerend vermogen door te investeren in de kennis en kunde van mensen. De kennis van medewerkers vereist nog verdere verbetering, alsook om primaire vastlegging in de administratie in één keer goed te doen, en niet onnodig gecompliceerd te maken. Zo zien wij dat dit jaar veel dezelfde fouten gecorrigeerd moeten worden t.o.v. vorig jaar. Het is van belang dat de gemeente blijft investeren in de kennis en kunde van mensen in de steeds complexer wordende bedrijfsvoering en de financiële processen.
Werken aan één gemeente. Per 1 januari 2021 is de gemeente overgegaan naar één financiële administratie. Dit betekent dat de administraties van individuele diensten zijn opgenomen in één totale administratie voor de gemeente. Wij zien dat een stap naar een meer centrale benadering en manier van werken nog moet worden gemaakt. Weliswaar constateren wij dat de ambtelijke organisatie veel tijd en energie heeft gestoken in het op orde brengen van de financiële administratie, waarbij er ‘schoon schip’ is gemaakt, maar dat er nog niet overal een duurzame verankering is in de interne beheersing. Wij hebben van de gemeente begrepen dat zij dit oppakt door haar werkwijze te uniformiseren. Daarnaast is de gemeente ook bezig met de concernontwikkelagenda die op deze ontwikkeling aansluit. Maak een routekaart en prioriteer verbeter- en ontwikkelinitiatieven. In de gemeente lopen veel ontwikkel-/ verbeterinitiatieven. Wij adviseren om
een overzicht en samenhang op gemeentelijk niveau aan te brengen in deze initiatieven. Bijvoorbeeld door gebruik te maken van een gemeentebrede routekaart. Dit helpt om met elkaar te prioriteren en te focussen, van elkaar te leren en duidelijke mijlpalen (wanneer is het afgerond) samen te bepalen. Oorzaken vertraging controleproces De oorzaak van de niet-conforme oplevering van de jaarrekening en -controle uit de gemeentelijke verordening, zoals eerder met u is besproken, is naar onze mening vijfledig. Een eerste belangrijke oorzaak is uiteraard de impact van Covid-19 op de voorbereiding van de controle als ook de controle zelf. Een tweede oorzaak is de door de Rijksoverheid opgelegde uitbreiding van controlewerkzaamheden; wederom een verdubbeling van het SiSa-regelingen. Een derde oorzaak is de afhankelijkheid van de gemeente van derden. Daarnaast zien wij dat de interne beheersing vraagt om een versterking van kwaliteit. De interne beheersing moet nog verder worden verbeterd om onjuistheden tijdig te detecteren en te corrigeren. Dit leidt tot een controle met relatief veel correcties en vragen. Ook het feit dat wij – vanwege aanvullende werkzaamheden – tegen de grenzen van onze capaciteit zijn aangelopen, heeft voor enige vertraging gezorgd.
Op basis van onze risicoanalyse hebben wij de processen van de interne beheersing van de gemeente in kaart gebracht. De evaluatie hiervan vindt u hieronder, op de volgende bladzijde.
28/54
Gemeentelijke Accountantsdienst
Interne beheersing Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
Blijvende aandacht nodig voor Memoriaalboekingen Memoriaalboekingen zijn voor een deel (correctie)boekingen die niet via de reguliere boekingsgang plaatsvinden. De gemeente gebruikt ook veel memoriaalboekingen als reguliere boekingsgang voor interne verrekeningen en voor boekingen van een sub-administratie naar Oracle voor de systemen waar geen interface voor is ingericht. Vooral de memorialen die gebruikt worden voor correctieboekingen zijn in opzet meer risicovol. Met name bij deze categorie memorialen is er een verhoogde kans op doorbreking van functiescheiding en onregelmatigheden met als risico (on)bedoelde fouten. Om deze reden besteden wij tijdens onze controle extra aandacht aan deze boekingen. In ons accountantsverslag vorig jaar en de Board Letter 2021 hebben wij aandacht gevraagd voor het proces rondom het maken van dergelijke boekingen. Bij onze controle hebben wij vastgesteld dat de gemeente ook in 2021 een groot aantal verschillende soorten memoriaalboekingen heeft gemaakt. Deze hebben zoals gezegd betrekking op intern verrekenen, subadministraties en correctiememorialen. Belangrijkste aandachtspunt zijn deze correctiememorialen. Voor correctieboekingen verwerkt als memoriaal geldt dat het primair niet altijd de juiste plaats verantwoorden van baten en lasten.
Wij vragen blijvend aandacht voor functiescheiding tussen het aanleveren, het controleren en het verwerken, zoals een 4-ogenprincipe op de juiste boekingsgang. Als ook om een onderbouwing in het financiële systeem op te nemen. De gemeente is voornemens om het intern verrekenen af te schaffen; wat wij als een positieve ontwikkeling zien. Onzekerheden saldo tussenrekeningen In de jaarrekening 2021 zijn onzekerheden onderkend van diverse tussenrekeningen, voor een bedrag van € 11,9 mln. Het betreft hier facturen die op balansdatum 31 december 2021 bij de gemeente zijn geregistreerd, maar mogelijk nog niet in de lasten zijn verantwoord (werkvoorraad). De facturen kunnen zowel betrekking hebben op 2021 als op 2022. Voor de facturen groter dan € 50.000 is uitgezocht of deze betrekking hadden op 2021, en zo ja, dat de lasten nog in 2021 zijn genomen door middel van een voorboeking. Op basis van de uitgevoerde analyse is vastgesteld dat een aantal facturen met een totale omvang van € 4,9 mln. reeds als last is verantwoord middels een voorboeking.
29/54
Gemeentelijke Accountantsdienst
Interne beheersing Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
Dit betekent dat een onzekerheid van € 7,0 mln. resteert. Het restant à € 7,0 mln. bestaat uit facturen kleiner dan € 50.000. Gezien de beperkte omvang van deze facturen heeft de gemeente er rationeel voor gekozen om niet verder uit te zoeken of deze facturen betrekking hebben op boekjaar 2021 of 2022, en of deze al zijn voorgeboekt of niet. Wij vragen net als vorig jaar wel aandacht voor het periodiek en tussentijds analyseren van de tussenrekeningen. Waardering initiatief proefafsluiting In december 2021 hebben wij een quick scan uitgevoerd op een proefafsluiting per 30 september 2021. Wij zijn enthousiast dat de gemeente deze proefafsluiting heeft gedaan. Net als de gemeente constateerden wij dat de proefafsluiting ten opzichte van haar ambitie op onderdelen niet volledig is opgeleverd. Daarentegen gaf dit initiatief naar onze visie inzichten over de tussentijdse standen en de daarmee samenhangende ‘werkvoorraad’, zoals een beperkte aansluiting van sub-administraties, het ontbreken van totaalspecificaties op concernniveau van balansposten en achterstanden in de financiële administratie. Ten tijde van de jaarrekeningcontrole was de werkvoorraad nog niet verholpen (bijvoorbeeld de analyse van de tussenrekeningen), wat voor extra werkzaamheden heeft gezorgd.
Daarnaast geldt bij de jaarrekeningcontrole dat de afgesproken balansspecificaties, vanwege verschillen in de primaire registratie per dienst, niet altijd zijn opgeleverd. Wij adviseren de gemeente om proefafsluiting ook voor het komende jaar – tijdig geheel- te doen. De gemeente oriënteert momenteel hoe zij de (proef)afsluiting verder kan professionaliseren.
30/54
Gemeentelijke Accountantsdienst
IT-Beheersing Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
IT onderzoek binnen de jaarrekeningcontrole Jaarlijks onderzoeken wij in het kader van de jaarrekeningcontrole de General IT- en Application Controls. Bij ons onderzoek betrekken wij onder andere het autorisatiebeheer en het proces voor de programmawijzigingen in IT systemen. Daarnaast onderzoeken wij de meest kritische geautomatiseerde systemen en gegevensverwerking voor zover dat noodzakelijk is voor de jaarrekeningcontrole Application controls: autorisatiebeheer verder verbeteren De gemeente is bezig met het Idendity Access Management-project waarbij op basis van IAM-doelarchitectuur een concern brede autorisatievoorziening voor de toegang tot applicaties op een veilige en gebruikersvriendelijke manier wordt geïmplementeerd. Dit is een positieve ontwikkeling die wij toejuichen. Tegelijkertijd hebben wij een aantal aandachtspunten voor het autorisatiebeheer. De aandachtspunten houden vooral verband met het actueel houden van de autorisaties en de concentratie van diverse rollen bij één persoon. Hieronder geven wij enkele voorbeelden: 1. Bij de applicaties key2eigendommen, IBS2000 en CVS ontbreekt een (actuele) autorisatieprocedure voor instroom, doorstroom, uitstroom en/of een geformaliseerde autorisatiematrix. 2.
Daarnaast is voor de applicaties key2betalen, key2burgerzaken, key2eigendommen, CVS en Exact Globe geen periodieke controle uitgevoerd naar de gebruikersautorisaties. 3. Verder constateren wij bij de applicaties Exact Globe en Key2eigendommen dat één persoon diverse rollen toebedeeld heeft gekregen, waar een potentieel risico bestaat van het doorbreken van een functiescheiding. Volgens de gemeente is in 2021 voor bepaalde applicaties een beperkt aantal inspanningen ter verbetering verricht vanwege een transitie en of een volledige uitfasering; ‘end of live’ applicaties. Zo is Exact Globe per 1 januari 2022 over gegaan naar Oracle EBS en CVS is halverwege 2021 in productie genomen als opvolger van ABBA. Met beperkte inspanningen heeft de gemeente voor de betreffende applicaties risico’s omtrent een ongeautoriseerde toegang tot
gegevens geaccepteerd. Wij adviseren de gemeente om in de toekomst bij dergelijke situaties te accepteren risico’s opnieuw af te wegen. General IT controls: continuïteitsmanagement is een must Door outsourcing van kritieke applicaties en ICT-infrastructuur naar de cloud wordt de gemeente meer afhankelijk van hoe stakeholders hun informatieveiligheid op orde hebben. Dit vraagt van de gemeente dat zij kritisch is op de partners waarmee zij samenwerkt en over de afspraken die zij maakt. Het gaat wat ons betreft hierbij (in ieder geval) over de afspraken omtrent: aanvullende zekerheden (bijv. in de vorm van een assurance-rapport) m.b.t. het op orde zijn van continuïteitsmanagement, de rollen en verantwoordelijkheden van de stakeholders. Wij vinden het een goede zaak dat de gemeente aangeeft dat het onderwerp van continuïteitsmanagement (en informatieveiligheid) prominent op de agenda bij de aanbesteding van de “SoftwareOne” voor clouddiensten staat. In onze Board Letter 2020 hebben wij aanvullende aandachtpunten voor continuïteitsmanagement opgenomen. De aandachtpunten blijven hoofdzakelijk nog van toepassing. Wij nemen in 2021 op het gebied van het continuïteitsmanagement verbetering waar. Zo hebben in 2021 binnen de gemeente twee continuïteitsoefeningen plaatsgevonden. Tegelijkertijd heeft TNO een onderzoek bij een dienst uitgevoerd over IT-business continuity management.
Een dergelijk onderzoek juichen wij toe en zou navolging moeten krijgen bij andere diensten. Tot slot is de dreiging van een cyberwar (zoals een Advanced Persistent Threat of een Wiper-aanval) mede als gevolg van de crisis in Oekraïne niet uitgesloten. Een cyberwar kan nadelige gevolgen hebben voor de continuïteit van de bedrijfsvoering en operationele processen zoals de Operational Technology (OT)-systemen van bruggen en viaducten. Wij adviseren de gemeente de adviezen van het Nationaal Cyber Security Centrum (NCSC) over de basismaatregelen, de aandachtspunten crisesmanagement en -communicatie bij digitale incidenten op te volgen. Voor meer informatie verwijzen wij naar de website van het NCSC: https://www.ncsc.nl/onderwerpen/oekraine.
31/54
Gemeentelijke Accountantsdienst
IT-Beheersing Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
DDoS aanval Op 14 december 2021 werd de gemeente getroffen door een DDoS-aanval. Deze aanval heeft ertoe geleidt dat de gemeentelijke website en het netwerk moeilijker bereikbaar waren. Ook werkten de systemen van de balies in het stadhuis en de parkeersystemen niet optimaal. De gemeente heeft adequaat gereageerd en dit binnen twee dagen hersteld. Momenteel is de gemeente bezig om versterkende technische, procedurele en organisatorische maatregelen te nemen. Vanuit onze IT- en auditexpertise denken wij met de te nemen maatregelen graag mee.
Belangrijke IT ontwikkelingen Hierna staan een aantal belangrijke IT ontwikkelingen van de gemeente beschreven. ENSIA: de verklaring van het college over 2021 De gemeente is wettelijk verplicht om de ENSIA audit naar informatieveiligheid van onder andere de DigiD aansluitingen uit te voeren. Het college heeft voor ook voor 2021 verklaard dat voor DigiD en Suwinet niet aan alle voorgeschreven normen is voldaan. Ons onderzoek bevestigt deze verklaring van het college. De in 2021 uitgevoerde verbeterplannen hebben niet geleid tot toereikend herstel van de relevante beheersmaatregelen. Inmiddels
zijn werkzaamheden gepland (en gestart) om op korte termijn noodzakelijke verbeteringen door te voeren. Conform de voorschriften zullen we hierop aanvullend (tweede kwartaal 2022) een onderzoek uitvoeren en rapporteren aan het Rijk. AVG Afgelopen jaar heeft de gemeente stappen gezet op het gebied van de Algemene verordening gegevensbescherming (AVG), zoals het inrichten van een centrale privacy-organisatie en het onafhankelijk positioneren van de functionaris gegevensbescherming. Tevens is een scan uitgevoerd naar het volwassenheidsniveau van de organisatie. Wij willen benadrukken dat het nodig is dat de gemeentelijke organisatie aandacht blijft besteden aan het naleven van de AVG. Belangrijk is het zetten van concrete stappen als organisatie om het volwassenheidsniveau omhoog te krijgen. Daarnaast is het van essentieel belang dat de aandacht van medewerkers voor de AVG niet verslapt. Voorschot op onze controleaanpak 2022 Bij de jaarrekeningcontrole maken wij gebruik van gegevens uit geautomatiseerde systemen. Hierbij is het van belang om vast te stellen dat ITsystemen betrouwbaar functioneren en dat de integriteit van gegevens is gewaarborgd. Cybersecurity is een randvoorwaarde en moet ingebed zijn in de strategie en het risicobeleid van de gemeentelijke organisatie. Digitale veiligheid moet worden onderscheiden naar belang en waarde (w.o.
vitale onderdelen, processen en data). Risico’s hiervoor moeten in kaart worden gebracht en op basis daarvan kunnen verschillende scenario’s gedefinieerd worden die potentiële aanvallers kunnen bewandelen, zodat dit kan worden geëvalueerd en daar waar nodig - bijgesteld. Risico’s voor het betrouwbaar functioneren van de IT-systemen verschuiven. Daarmee verschuiven ook onze aandachtsgebieden voor de jaarrekeningcontrole. Wij gaan in 2022 graag met de gemeente hierover in gesprek.
32/54
Gemeentelijke Accountantsdienst
Fraude, wet- en regelgeving Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
Verantwoordelijkheden: rollen en taken De primaire verantwoordelijkheid voor de preventie, detectie en responsiviteit van fraude en de naleving van wet- en regelgeving ligt bij het college onder het toezicht van de raad. Dit kan worden vormgegeven door: ▪ Beleid rondom frauderisicomanagement, zoals het hebben van een gedragscode, een klokkenluidersregeling, een compliance functie, een gemeente brede frauderisico analyse en een organisatiecultuur waarin tegengeluid wordt gehoord. ▪ Het uitvoeren en onderhouden van preventieve (zoals adequate functiescheidingen in betaalprocessen), detectieve (bijvoorbeeld dataanalyse op transactiestromen en opvallendheden daarin volgen) en repressieve (adequate interne controle) interne beheersingsmaatregelen met betrekking tot de betrouwbaarheid van de financiële verslaggeving, de werking en efficiency van de bedrijfsvoering en de naleving van de van toepassing zijnde wet- en regelgeving. ▪ Het onderzoeken van vermeende fraudesignalen en adequate opvolging ervan. ▪ Het continue evalueren en verbeteren van bovengenoemde aspecten. U, als raad, bent verantwoordelijk erop toe te zien dat dit plaatsvindt en zal hierover actief in dialoog moeten treden. De GAD is niet verantwoordelijk voor het voorkomen van fraude of nietnaleving van wet- en regelgeving.
De gebruiker van de jaarrekening kan dus niet verwachten dat de GAD niet-naleving van alle wet- en regelgeving en alle fraude detecteert. Desalniettemin is het onze verantwoordelijkheid om een redelijke mate van zekerheid te verkrijgen dat de financiële overzichten, als geheel genomen, vrij zijn van materiële onjuistheid, ongeacht of deze is veroorzaakt door fraude of een fout. Dit omdat een materiële onjuistheid het oordeel van de gebruiker omtrent de jaarrekening als geheel genomen zou kunnen beïnvloeden. U mag ten aanzien van ons als GAD verwachten dat wij: 1. Frauderisico’s met een afwijking van materieel belang identificeren en inschatten;
2. 3.
Adequaat reageren op de geïdentificeerde frauderisico’s met behulp van onze controleaanpak middels het verkrijgen van voldoende en geschikte controle-informatie; Adequaat reageren op (vermoedens) van fraude die tijdens de controle worden geïdentificeerd.
Gemeentebrede frauderisicoanalyse 2021 Vanaf het accountantsverslag 2019 hebben wij het college geadviseerd om een interne frauderisicoanalyse op te stellen. Wij zijn verheugd dat de gemeente een frauderisicoanalyse heeft opgesteld over 2021. De ambtelijke organisatie heeft de afgelopen periode veel effort gestoken in het opstellen van deze frauderisicoanalyse. Ten tijde van de jaarrekeningcontrole 2021 hebben wij voor de afronding van onze werkzaamheden een conceptversie van de gemeentebrede frauderisicoanalyse ingezien. Dit heeft niet geleid tot andere inzichten met betrekking tot de door ons reeds uitgevoerde frauderisicoanalyse ten behoeve van onze controlewerkzaamheden. Wij adviseren de gemeente om de frauderisicoanalyse (zodra deze definitief gereed is) jaarlijks te actualiseren en te bespreken met de raad, bijvoorbeeld in de Rekeningencommissie, zodat dit zichtbaar een vast onderdeel vormt van de interne beheersingsomgeving. Hierbij is het raadzaam om ons a tempo betrokken en geïnformeerd te houden. Daarnaast adviseren wij de gemeente om specifieke gebeurtenissen (zoals nu Oekraïne, Covid-19 of geconstateerde onregelmatigheden) in deze analyse mee te nemen. Middels de frauderisicoanalyse geeft het college aan de raad aan welke (fraude)risico’s het college accepteert en op welke risico’s zij acteert door middel van het inrichten van beheersingsmaatregelen.
Controleaanpak ten aanzien van frauderisico’s Wij hebben de risico's op materiële afwijkingen in de jaarrekening als gevolg van fraude vanuit onze eigen verantwoordelijkheid geïdentificeerd en ingeschat. Voorafgaand aan de controle heeft de GAD een frauderisicoanalyse uitgevoerd. De uitkomsten van deze frauderisicoanalyse zijn vertaald naar generieke en specifieke controlewerkzaamheden die onderdeel uitmaken van
33/54
Gemeentelijke Accountantsdienst
Fraude, wet- en regelgeving Voorwoord Oordelen Bestuurlijke boodschappen Oekraïne Covid-19 Financiële positie Uitkomsten jaarrekening Europese aanbestedingen Subsidies vs. Inkoop Fysiek domein Sociaal domein Begrotingsrechtmatigheid WNT SiSa-bijlage Interne beheersing Interne beheersing IT beheersing Fraude en wet-& regelgeving Ontwikkelingen Rechtmatigheidsverantwoording Uw aandachtspunten Vooruitblik Bijlagen Materialiteit Controleverschillen SiSa-tabel Verantwoordelijkheden Onafhankelijkheid
onze controleaanpak 2021. Deze is op 24 november 2021 besproken in de Rekeningencommissie. Tijdens onze controle hebben wij inzicht gekregen in het gemeentelijke systeem van interne beheersing, inclusief het risicobeoordelingsproces en het proces voor het reageren op de risico's van fraude en het bewaken van het systeem van interne beheersing. Daarnaast hebben wij kennisgenomen van de wijze waarop de raad hierop toezicht uitoefent. Wij hebben de opzet en relevante aspecten van het systeem van interne beheersing geëvalueerd. In het bijzonder de gemeentebrede frauderisicoanalyse zoals uitgevoerd in 2021, evenals de gedragscode, de klokkenluidersregeling en de kwartaalbesprekingen inzake de gemeentebrede incidentenregistratie met de gemeentesecretaris en Bureau Integriteit. Wij hebben het ontwerp en de implementatie geëvalueerd en, waar nodig geacht, de operationele effectiviteit getest van interne controles die zijn ontworpen om frauderisico's te beperken. In onze controle hebben wij elementen van onvoorspelbaarheid ingebracht. Daarnaast hebben wij de uitkomsten van onze overige controlewerkzaamheden in overweging genomen en beoordeeld of eventuele bevindingen wijzen op mogelijke fraude.
We hebben de beschikbare controle informatie in overweging genomen en navraag gedaan bij relevante personen, waaronder de concerncontroller, de gemeentesecretaris, de eindverantwoordelijke manager binnen Bureau Integriteit en diverse dienstdirecteuren binnen het GMT. Frauderisico’s Wij hebben de volgende frauderisico's geïdentificeerd: 1. Het risico op management override 2. Het risico van omkoping en corruptie bij inkopen en/of aanbesteding Onder management override verstaan wij het risico op het doorbreken van interne beheersing door management. Met management doelen wij op: het college, de raad en de ambtelijke organiseren of een combinatie van voornoemde actoren.
Vanuit onze optiek ligt het risico op fraude met name op de uitgaande geldbeweging en op management override in tegenstelling tot de volledigheid van de opbrengsten, daar deze baten hoofdzakelijk bestaan uit rijksmiddelen en uit ‘niet op basis van marktconcurrentie’ verkregen gelden. Onze respons op geïdentificeerde frauderisico’s Ten aanzien van bovengenoemde frauderisico’s hebben wij navolgende werkzaamheden uitgevoerd: 1. Risico op management override Waar relevant voor onze controle hebben wij de opzet van de interne beheersingsmaatregelen geëvalueerd die bedoeld zijn om het risico op management override te mitigeren. De belangrijkste mogelijkheden voor management manipulatie bevinden zich binnen de handmatige elementen van de controleomgeving, zoals handmatige journaalboekingen, schattingsposten en significante transacties die buiten het kader van de normale bedrijfsvoering van de entiteit vallen. Wij hebben specifiek aandacht besteedt aan de effectiviteit van de ingebouwde waarborgen in de processen met betrekking tot handmatige journaalposten (40 memoriaalboekingen gecontroleerd die geselecteerd zijn op basis van omvang en omschrijving) en het opstellen van schattingen (met betrekking tot voorzieningen voor verplichtingen, verliezen en risico’s ter egalisering van kosten (groot onderhoud).