RIS317304 Boardletter 2023 van de Accountantsorganisatie

[Typ hier]

Gemeentelijke Accountantsorganisatie Den Haag

<Titel Rapport> Board Letter 2023 Gemeentelijke Accountantsorganisatie

GAD/2023.105.2 RISnr 317304 11 december 2023 Spui 70, 2511 BT Den Haag Secretariaatgad@denhaag.nl www.denhaag.nl 1/29

Gemeentelijke Accountantsorganisatie Den Haag

Voorwoord Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik

Geachte leden van de raad en geacht college, Wij geven u graag de Board Letter met onze tussentijdse bevindingen van de gemeente Den Haag die voortkomen uit de controle op het boekjaar 2023. Als onderdeel van de controle van de jaarrekening 2023 van de gemeente hebben wij aandacht besteed aan de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing. Met een afvaardiging van de ambtelijke organisatie en de portefeuillehouder hebben wij onze zienswijzen, bevindingen en aanbevelingen van deze Board Letter besproken. De interim-controle is primair gericht op de analyse en de evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van administratieve organisatie en interne controle, voor zover deze relevant zijn voor de jaarrekeningcontrole 2023. Ook heeft deze interim-controle als doel om de aandachtspunten voor de jaarrekening 2023 te signaleren en onder uw aandacht te brengen. In de voorliggende Board Letter zijn onze bevindingen en aanbevelingen daarover opgenomen. De bevindingen en aanbevelingen kunnen worden gelezen als constructieve aanwijzingen voor het college, als onderdeel van het continue proces van het veranderen en het verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening. Onze tussentijdse bevindingen zijn gebaseerd op onze werkzaamheden tot en met eind november 2023.

Indien er na deze datum nieuwe bevindingen zijn met betrekking tot de interne beheersing, dan zullen wij dit met u delen in het Accountantsverslag 2023.

Ontwikkelingen jaarrekening 2023

Wij beginnen deze Board Letter met een samenvatting van onze belangrijkste bestuurlijke boodschappen voor u. Verder bestaat deze Board letter uit drie onderdelen. ▪ Deel 1 verstrekt onze visie op de interne beheersing. ▪ Deel 2 geeft een vooruitblik op de jaareindecontrole 2023. ▪ Deel 3 verstrekt inzage in de relevante onderwerpen en ontwikkelingen voor de jaarrekening 2023.

Bijlage 1: Onafhankelijkheid

In de bijlagen vindt u onze onafhankelijkheidsverklaring, onze communicatiemiddelen en de opvolging van onze eerdere bevindingen uit de Board Letter 2022 en het Accountantsverslag 2022.

Bijlage 2: Communicatie

Op 14 december 2023 bespreken wij de Board Letter 2023 in de Rekeningencommissie. Als u tussentijds vragen heeft, aarzel dan niet om contact met ons op te nemen.

Bijlage 3: Opvolging bevindingen 2022

Met vriendelijke groet, Origineel getekend door Gemeentelijke Accountantsorganisatie Den Haag Den Haag, 11 december 2023 drs. C.G.A. Slotema-Tesser RA MPC CPC 2/29

Gemeentelijke Accountantsorganisatie Den Haag

Bestuurlijke boodschappen Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

1. Uitkomsten interim-controle Wij zien duidelijke verbetering in de interne beheersing ten opzichte van voorgaand jaar. De bevindingen uit onze vorige Board Letter zijn veelal opgepakt, onderhanden of afgerond. Wij constateren hierbij dat de gemeente weloverwogen en zorgvuldig te werk gaat, maar blijven aandacht vragen voor de tijdigheid en de juiste prioriteitstelling. In totaal zijn 21 van de 50 observaties c.q. aanbevelingen uit voorgaande jaren in 2023 opgevolgd c.q. geaccepteerd en daarmee afgewikkeld. Veel van de aanbevelingen zijn geïncorporeerd in de doorontwikkeling van de financiële keten. Op basis van de gerealiseerde voortgang is duidelijk zichtbaar dat onze aandachtspunten worden geadresseerd, hetgeen de interne beheersing van de organisatie ten goede komt. Over 2023 hebben wij 12 nieuwe observaties in aanvulling op de 29 nog onderhanden zijnde observaties uit onze voorgaande Board Letter. Dit verbeteringsproces vergt tijd en de organisatie maakt hierin goede vooruitgang. Wij zien de grootste voortuitgang met betrekking tot de interne beheersing ten opzichte van voorgaand boekjaar binnen het domein van Bedrijfsvoering. De verbeteringen komen met name tot uiting op de processen: Inkopen, Aanbestedingen en Betalingen. Er zijn binnen deze processen, ondanks de waargenomen verbeteringen, nog wel aanscherpingen gewenst.

Voor de processen Voorzieningen en Secretarieleges zijn significante leemtes aangetroffen. Het verbeteren van de interne beheersing vergt tijd en is een iteratief proces. Wij zien een goede ambitie van de gemeente en concluderen dat verschillende acties zijn ingezet om de interne beheersing op onderdelen verder te versterken. De verdere implementatie van verbeteringen in de interne beheersing en het borgen daarvan vergt aanhoudende discipline en draagkracht binnen het gehele ambtelijke apparaat.

2. Groeipijnen Met de bundeling van gemeente brede activiteiten op het gebied van bedrijfsvoering, zijn er steeds meer ondersteunende activiteiten gecentraliseerd. Waar diensten deze activiteiten voorheen allemaal apart organiseerden is hierin nu een meer gestroomlijnde organisatie voor in de plaats gekomen. Deze bundeling is echter nog niet voor alle processen ver genoeg doorontwikkeld, waardoor bijvoorbeeld afwijking van gewenste procedures nog steeds mogelijk is of de positionering van bepaalde activiteiten als suboptimaal kan worden ervaren. Dit komt onder andere tot uiting in: ▪ Het Inkopen en Aanbestedingen proces, waarbij de gemaakte werkafspraken om gebruik te maken van gecentraliseerde ondersteuning vanaf een bepaalde omvang, niet volledig kunnen worden afgedwongen. ▪ Het ontbreken van een centrale procesregievoering op de vorming van (nieuwe) voorzieningen, waarvoor de verantwoordelijkheden decentraal zijn belegd. ▪ De decentrale invulling van de centrale visie op datagedreven werken. ▪ Taken waar meerdere diensten gebruik van maken, zoals bijvoorbeeld subsidies, te centraliseren in plaats van deze onder één specifieke dienst te positioneren.

▪ De organisatorische positionering van riskmanagement en internal audit binnen de gemeentelijke organisatie is ons inziens naar een toekomst toe, na vervolmaking van de benodigde doorontwikkeling, het heroverwegen waard ingegeven vanuit de gewenste onafhankelijkheid en objectiviteit. De gemeente is zich bewust van bovengenoemde groeipijnen en is op onderdelen reeds met een doorontwikkeling gestart. Wij adviseren om deze ontwikkelingen nauwgezet te volgen en om te bezien of, na de ontkokering, bundeling en doorontwikkeling, de huidige organisatie inrichting het gewenste beoogde effect heeft. Bijvoorbeeld door vast te stellen dat er geen weeffouten in de governance zijn geslopen.

Wij adviseren om deze ontwikkelingen nauwgezet verder op te volgen met o.a. verantwoordelijke medewerkers en deadlines. 3/29

Gemeentelijke Accountantsorganisatie Den Haag

Bestuurlijke boodschappen Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

3. Vooruitblik jaarrekening 2023 De gemeente heeft een ambitieuze planning opgesteld voor de jaarrekeningcontrole 2023 op 23 april 2024. Wij onderschrijven deze ambitie en zien weliswaar een verbetering op de interne beheersing, maar tegelijkertijd zien wij ook dat de gemeente nog veel verbeteringen onderhanden heeft en dat de gemeente te maken heeft met grote interne en externe afhankelijkheden om de beoogde deadline te kunnen realiseren. Gelet op deze grote interne en externe afhankelijkheden willen wij alvast een early warning afgeven. In de huidige planning is geen ruimte geboden voor enige (onverwachte) uitloop.

5. Verbeteren kwaliteit en tijdigheid van informatievoorziening Net als in 2022 had de gemeente ook 2023 te maken met coalitievorming en is de gemeentelijke begroting 2023 herzien. Wij zien dat dit de financiële besluitvorming vertraagt en dat herzieningen langer doorlopen. Dit komt ook tot uiting in de informatievoorziening aan u. Wij zien dat de informatievoorziening over de realisatie op onderdelen anders is gelopen dan het regulier P&C cyclus proces. Denk hierbij aan de rapportages over de GRIP, MPG en MIP. Een ieder is erbij gebaat te werken met zo actueel mogelijke informatie. Een eventuele vertraging vermindert de informatiewaarde.

4. Rechtmatigheidsverantwoording Dit jaar is het eerste jaar dat het college aan u een rechtmatigheidsverantwoording afgeeft. U gaat vanaf nu met het college het gesprek aan over de onrechtmatigheden, de door het college genomen maatregelen en hoe en hoe vaak u hierover geïnformeerd wil worden. Het college heeft vooruitlopend op deze wettelijke verplichting reeds een pilot gedraaid in het boekjaar 2022 voor de rechtmatigheidsverantwoording. De uitkomsten van deze pilot zijn in de bedrijfsvoering paragraaf van de jaarrekening 2022 toegelicht en laten zien dat het college voldoende is voorbereid om in 2023 verantwoording af te leggen over de financiële rechtmatigheid van de transacties. Wij achten de voorbereiding en planning passend.

Wij vragen blijvende aandacht voor de kwaliteit en de tijdigheid van de (tussentijdse) informatievoorziening.

Wij adviseren om alvast na te denken of u op termijn door wil groeien op termijn naar een ‘in control statement’, waarbij de beheersing niet alleen achteraf is maar ook tussentijds en vooraf. Dit wordt door de organisatie onderkend, waarbij eerst de nadruk is gelegd op de rechtmatigheidsverantwoording zelf en daarna, in overleg, zal worden gekeken wat in aanvulling hierop wenselijk en haalbaar is. Daarbij vragen wij aandacht voor de aanpassing van het BBV en BADO en de eventuele consequenties hiervan op de rechtmatigheidsverantwoording.

6. Wendbaarheid en weerbaarheid Ook dit jaar zijn er macro-economische en politieke ontwikkelingen die van invloed zijn op deze wendbaarheid en weerbaarheid, zoals de blijvende schaarste, het veelal te laat beschikbaar komen van Rijksmiddelen, de verdere toename in complexiteit, de stikstofproblematiek, de vreemdelingenopvang en dat milieu, sociale en bestuurlijke aspecten steeds belangrijker worden. Wendbaarheid en weerbaarheid zeggen veel over de financiële gezondheid van de gemeente. Weerbaarheid gaat over hoe groot de financiële buffer moet zijn om tegen een stootje te kunnen. Dit onderdeel is beschreven in de BBV paragraaf weerstandsvermogen en maakt daarmee reeds deel uit van de P&C stukken. Wendbaarheid gaat over hoe snel je als gemeente kunt inspelen op de actuele, dynamische en ook reguliere opgaven. Dit onderdeel is nog niet beschreven. Uitdagingen vragen van het college en de ambtelijke organisatie het vermogen om trends en ontwikkelingen tijdig waar te nemen en daar snel en adequaat op te handelen. Wendbaarheid én weerbaarheid zijn nodig, maar vragen ook het belang van prioritering in ambities en een tijdige informatievoorziening. Wij adviseren om continue verandering te accepteren als het nieuwe normaal en een paragraaf over wendbaarheid op te nemen in de P&C stukken. 4/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

Overkoepelend beeld Onze interim werkzaamheden zijn niet gericht op het vormen van een totaal oordeel over de administratieve organisatie als zodanig, maar hebben specifiek betrekking op die bedrijfsprocessen die wij relevant achten in relatie tot de gemeentelijke jaarrekening. De bedrijfsprocessen die wij als relevant hebben aangemerkt zijn in onze controleaanpak reeds uiteengezet. Overall gezien is de interne beheersing van de gemeente Den Haag verbeterd ten opzichte van voorgaande jaren, hetgeen tot uiting komt in de ‘voortgang’ kolom in tabel 1. Per proces hebben wij gekeken naar de opzet, het bestaan en de voortgang van het proces ten opzichte van voorgaand(e) jaren. Bij opzet beoordelen wij de wijze waarop een proces is ingericht. Opzet geeft aan hoe de gemeente wil dat het proces werkt. Wij kijken hierbij met name of er afdoende waarborgen (keycontrols) in een proces zijn ingericht om de significante risico’s (key-risks) binnen dat proces te ondervangen. Het bestaan gaat feitelijk over de implementatie van de opzet. Met andere woorden, doen mensen (in geval van menselijke controles) en/of systemen (bij geautomatiseerde controles) hetgeen in opzet is bedacht. Met behulp van lijncontroles beoordelen wij of datgeen dat beschreven staat, bijvoorbeeld in een procesbeschrijving, ook daadwerkelijk wordt uitgevoerd.

De uitkomsten van deze beoordeling van opzet en bestaan geven ons als accountant zicht op de kwaliteit van de interne beheersing. Tabel 1: Uitkomsten interim-controle 2023 per proces

Als wij hierin significante leemtes hebben aangetroffen, ofwel in opzet, bestaan of een combinatie van beiden, dan maken wij dat zichtbaar met behulp van een ‘rood’ bolletje in Tabel 1. Een ‘oranje’ bolletje geeft aan dat er ons inziens verbeteringen gewenst zijn in een proces, echter onze observaties met betrekking tot de gewenste verbeteringen betreffen geen significante tekortkomingen. Een ‘groen’ bolletje geeft aan dat wij een proces in opzet, bestaan en/of een combinatie van beiden toereikend achten. Een ‘grijs’ bolletje geeft aan dat wij het proces niet hebben onderzocht. Hoofdzakelijk ingegeven vanuit een risico en/of efficiëntie afweging. De toelichting van onze weging zoals opgenomen in tabel 1 volgt op de navolgende pagina’s.

Van de 16 door ons voor de interim geïdentificeerde bedrijfsprocessen, onderverdeeld naar één van de drie hoofddomeinen: Bedrijfsvoering, Sociaal domein of Publiek & Fysiek domein, zien wij de grootste vooruitgang met 5/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

betrekking tot de interne beheersing ten opzichte van voorgaand boekjaar binnen het domein van Bedrijfsvoering. De verbeteringen komen met name tot uiting op de processen: Inkopen, Aanbestedingen en Betalingen. Er zijn binnen deze processen, ondanks de waargenomen verbeteringen, nog wel aanscherpingen gewenst. Voor de processen Voorzieningen en Secretarieleges zijn significante leemtes aangetroffen. In totaal zijn 6 van de 16 processen in opzet toereikend bevonden, dit betreffen de processen: Treasury, Tijdschrijven, Lonen en Salarissen, Jeugd/Wmo. Subsidies en Belastingen. De laatste vier processen zijn eveneens in bestaan toereikend bevonden. Tot slot is het goed om te beseffen dat de interne beheersing een iteratief proces is, waardoor aanpassingen in een proces tot nieuwe risico’s kunnen leiden die nieuwe beheersingsmaatregelen vergen. Een voldoende kwalificatie uit voorgaande jaren op de interne beheersing van een proces kan daardoor bijvoorbeeld van kwalificatie wijzigen in een daaropvolgend jaar. Routekaart ontwikkeling financiële keten De waargenomen verbeteringen in de interne beheersing zijn mede ingegeven met behulp van de routekaart ontwikkeling financiële keten. Op deze routekaart is een aantal accenten opgenomen, waaronder: het fundament, de ontwikkeling van het huis en de lerende organisatie.

Voor onze interim zijn de ontwikkelingen in relatie tot het versterken van het financieel fundament van belang omdat hierin de sturing en de kaders zijn opgenomen, evenals de rollen, taken en bevoegdheden als onderdeel van de interne beheersing. Het voormalige project Verbetering Beheersorganisatie onderkent vier acties: 1) Versterken procesbeschrijvingen. 2) Doorontwikkeling internal audit. 3) Versterken risicomanagement. 4) Invoering rechtmatigheidscontrole. Voor onze interim werkzaamheden hebben wij zoveel als mogelijk getracht te steunen op voornoemde acties.

Versterken procesbeschrijvingen Bij het beoordelen van de opzet van de verschillende processen hebben wij kennisgenomen van geactualiseerde procesbeschrijvingen voor zover beschikbaar. Dit is onderdeel geweest van de gemeentelijke ‘deep dives’ op 42 financieel kritische processen binnen de gemeente. Voor die processen waar de procedure beschrijvingen zijn geactualiseerd is eveneens een verbeterslag waargenomen ten aanzien van het proces- en risicomanagement in relatie tot dit proces. Overzicht en inzicht geeft immers ruimte voor verbetering. Van de 42 processen zijn er op dit moment een beperkt aantal geactualiseerd en met ons gedeeld. De organisatie geeft aan dat inmiddels meer processen zijn geactualiseerd. Wij zullen dit samen oppakken in 2024 en u informeren over de stand van zaken in het accountantsverslag.

De door ons betrokken procedurebeschrijving van het treasury proces, dat is opgesteld door een externe partij, ziet er zeer gedegen uit. Hierbij is zorgvuldig gekeken naar ‘key-risks’ en ‘key-controls’. Uit de ‘deep dives’ komen aanbevelingen ten aanzien van de opzet van de betrokken processen die op sommige punten overlap kennen met observaties van de GAD uit voortgaande Board Letters. Het is voor de hand liggend dat wij u adviseren om de nog ontbrekende procedurebeschrijvingen voor de overige financieel kritische processen, zo spoedig als mogelijk, op eenzelfde kwaliteitsniveau, te actualiseren. Het is ons inziens namelijk relevant dat de gemeente beschikt over actuele procesbeschrijvingen voor haar financieel kritische processen, waaruit blijkt hoe het proces en de interne beheersing er daadwerkelijk uitzien en op welke wijze de taken en verantwoordelijkheden zijn belegd. Het is van belang om dit jaarlijks te updaten en waar nodig bij te werken. Dit betreft derhalve een jaarlijks terugkerende inspanning. Een kleine verandering in het proces kan immers leiden tot nieuwe risico’s. Tot slot blijft een goede interne beheersing een samenspel tussen opzet, bestaan en werking.

6/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

Doorontwikkeling Internal audit De afdeling internal audit (hierna: IA) is belast met het onafhankelijk toetsen van de interne beheersing binnen de gehele organisatie. Deze afdeling vertegenwoordigt feitelijk de ‘third-line’ en fungeert daarmee als laatste vangnet binnen de ambtelijke organisatie. IA bestaat al enige jaren en heeft dit jaar eveneens een verdere ontwikkeling doorgemaakt. Wij merken op dat IA in 2023 meer dan de helft van haar capaciteit heeft ingezet ten behoeve van de rechtmatigheidsverantwoording en minder is toegekomen aan andere processen binnen de gemeentelijk organisatie. Het jaarplan 2023-2024 van IA is weliswaar afgestemd met de GAD, maar de agenda’s zouden qua doorlooptijd en inhoud beter op elkaar kunnen aansluiten. Het complementaire karakter tussen IA en de GAD laat derhalve nog veel ruimte tot verdere gezamenlijke verbeteringen. Een voorwaarde om voornoemde complementaire karakter te kunnen realiseren is wel dat de organisatorische positie en relevante beleidslijnen en procedures van de interne auditfunctie de objectiviteit van de auditors ondersteunt. Gelet op de huidige positionering van IA binnen de dienst Bedrijfsvoering (DBV) in de portefeuille Financiën en Inkoop kan de vereiste onafhankelijkheid, zowel organisatorisch als beleidsmatig, vooralsnog niet worden ondersteund.

Om dit risico te mitigeren zijn door de organisatie aanvullende beheersmaatregelen getroffen. Voornoemde laat onverlet, dat de positionering van IA , naar de toekomst toe, een gespreksonderwerp blijft. De huidige positionering, als kraamkamer binnen DBV, is door de organisatie bewust gekozen om te kunnen professionaliseren tot een volwaardige internal audit afdeling. Zodra deze ontwikkeling is afgerond is het gesprek over positionering een noodzakelijk vervolggesprek. Gelet op het onafhankelijke en objectieve karakter van de aard van de werkzaamheden van IA, in de derde lijn, is het, na vervolmaking van de

beoogde ontwikkeling van deze afdeling, een heroverweging waard om deze afdeling echt los van de gemeentelijke diensten te positioneren. Versterking Risicomanagement Risicomanagement (hierna: RM) start bij het maken van een integrale risicoanalyse om te onderkennen waar de risico’s binnen de gemeentelijke organisatie zich manifesteren. Het risicomanagement proces is dit jaar verder geprofessionaliseerd en in gezamenlijkheid met de verschillende dienstdirecties uitgevoerd. Met de getroffen versterkingen binnen het risicomanagement is het risicobewustzijn binnen de gemeentelijke organisatie verder vergroot, evenals de noodzaak voor een adequate inrichting van de administratieve organisatie en langs het three lines model. Wij moedigen deze ontwikkelingen aan. De huidige positionering van risicomanagement is een bewuste keuze van de organisatie. Riskmanagement en Interne Beheersing zijn communicerende vaten en worden organisatorisch in sommige gevallen samengebracht binnen Internal Audit. In Den Haag is dit nu gescheiden. Het is het overwegen waard, naar een toekomst toe, om te verkennen wat de ideale positionering van riskmanagement binnen de gemeente zou kunnen en moeten zijn. Rechtmatigheidscontrole Het college zal in de jaarrekening 2023 voor het eerst verantwoording afleggen over de financiële rechtmatigheid van de transacties en wij controleren o.a.

de getrouwheid van de rechtmatigheidsverantwoording. Het college heeft vooruitlopend op deze wettelijke verplichting reeds een pilot gedraaid in het boekjaar 2022 voor de rechtmatigheidsverantwoording. In voorgaand proefjaar is veelvuldig overleg geweest tussen ons en de organisatie om de scope en het proces nader aan te scherpen. Uit het proefdraaien zijn in het boekjaar 2022 door de gemeente geen bevindingen gekomen die gerapporteerd moeten worden uitgaande van de 7/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

rapportage tolerantie. De uitkomsten van deze pilot zijn in de bedrijfsvoering paragraaf van de jaarrekening 2022 toegelicht en laten zien dat het college voldoende is voorbereid om in 2023 verantwoording af te leggen over de financiële rechtmatigheid van de transacties. Wij achten de voorbereiding en de planning passend bij deze wetswijziging. Daarnaast zijn de financiële verordening en controleverordening (ex artikel 213) reeds voorbereid zodat ze in lijn gebracht zijn met de nieuwe wetgeving. De implicaties van deze verschuiving van verantwoordelijkheden betekent dat de manier van rapporteren over rechtmatigheid verandert. Wij verstrekken immers geen rechtmatigheidsoordeel meer, echter de getrouwheid van de rechtmatigheidsverantwoording valt nog steeds binnen de reikwijdte van onze controle. Net als alle andere getrouwheidsaspecten. Wij blijven benadrukken dat de lijnorganisatie primair zelf verantwoordelijk is en blijft voor het rechtmatig handelen en het vaststellen daarvan. Wij zien nu dat de derde lijn (IA) hierin een belangrijke rol vervult, die feitelijk bij de lijnorganisatie behoort te liggen. De organisatie is zich hiervan bewust en geeft aan dat dit voor nu niet anders opgelost kon worden, maar naar de toekomst toe zal worden aangepakt. Opvolging van observaties In totaal zijn 50 observaties c.q.

aanbevelingen uit voorgaande jaren opgenomen in de bijlage van deze Board Letter, waarvan er in totaal 21 in 2023 zijn opgevolgd of door de gemeente bewust zijn geaccepteerd en daarmee afgewikkeld. Alle rode ‘nog op te volgen’ aanbevelingen uit voorgaande jaren zijn in 2023 onderhanden genomen. Veel van de aanbevelingen zijn geïncorporeerd in de doorontwikkeling van de financiële keten.

Jaren

Aantal observaties in t/m 2022

Aantal opgelost of geaccepteerd in 2023

Aantal observaties onderhanden in 2023

2020 2021 2022 Totaal

20 9 21 50

11 3 7 21

9 6 14 29

Tabel 2: BL observaties uit voorgaande jaren

Over 2023 hebben wij 12 nieuwe observaties in relatie tot de 16 betrokken bedrijfsprocessen en er staan nog 29 observaties uit de voorgaande Board Letter open. De toelichting hiervan, alsmede de opvolging van de openstaande aanbevelingen uit voorgaande jaren, is in meer detail op de navolgende pagina’s per domein nader uiteengezet. In bijlage 3 van dit rapport zijn de onderliggende observaties en de status hiervan in 2023 opgenomen per domein. Van controle achteraf naar beheersing vooraf Een toereikende inrichting en werking van de interne beheersing vormt voor onze controle de basis om over te gaan van een gegevensgerichte naar een meer organisatiegerichte controlestrategie. Hierdoor wordt het mogelijk om te steunen op het systeem, waardoor minder gegevensgerichte detailcontroles hoeven te worden uitgevoerd. Beheersing vooraf biedt immers meer comfort dan controle achteraf. Daarnaast biedt een toereikende inrichting en werking van de interne beheersing ook een goede grondslag voor de rechtmatigheidsverantwoording door het college.

Op basis van ondergenoemde voortgang is duidelijk zichtbaar dat onze aandachtspunten worden geadresseerd, hetgeen de interne beheersing van de organisatie ten goede komt. 8/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

Interim bevindingen: Bedrijfsvoering Onder het domein bedrijfsvoering vallen de concernbrede processen waaronder: Inkopen, Aanbestedingen, Betalingen, Lonen en salarissen, Memorialen en Treasury. Het jaar 2023 stond in het licht van een verdere professionalisering van de gemeentelijke financiële keten. Het nieuwe proces ‘Inkopen, Bestellen en Betalen’ (IBB) is geïmplementeerd. Hiernaast lopen nog verschillende initiatieven, zoals programma doorontwikkeling Financiële administratie, project beheersbaar betalen, project verbetering kasverkeer, contractmanagement en het verder versterken van het gemeente brede procesen risicomanagement. Deze initiatieven zijn nog onderhanden. Per proces volgen hierna onze belangrijkste observaties met betrekking tot de opzet en/of het bestaan van de beheersmaatregelen binnen het proces. Inkopen Dit jaar is met succes het nieuwe proces Inkopen, Bestellen en Betalen (IBB) geïmplementeerd. Het proces is sinds mei 2023 in werking. Met de implementatie van het IBB proces zijn de openstaande bevindingen van het voorgaande controlejaar grotendeels ondervangen, met uitzondering van een beperkt aantal observaties. Een blijvende observatie is gelegen in het gegeven dat er nog een na-ijl effect zit in de meerjarige spendanalyse op concernniveau.

Dit is een logisch gevolg van de herinrichting van de financiële administratie, waarbij de spendanalyse op concernniveau in bruikbaarheid en informatiewaarde zal toenemen in de komende jaren. Een andere blijvende relevante tekortkoming in dit proces is gelegen in het ontbreken van een primaire functiescheiding tussen de budgethouder en de prestatieverklaarder voor inkopen waar geen inkooporders voor is aangemaakt. Het risico is dat een functionaris een aantal stappen in het inkoopproces zelf kan doorlopen en controleren, zonder daarbij de gangbare interne beheersingsmaatregelen te benutten, en daarmee feitelijk ongecontroleerde uitgaven kan verrichten. De gemeente is momenteel bezig met het inrichten van de goedkeuringsflow voor facturen zonder inkooporder om dit risico te mitigeren. Streven is om dit in Q4 2023 in productie te nemen.

Aanbestedingen De verbetermaatregelen in het IBB proces kunnen ervoor zorgen dat de gemeente o.a. betere grip krijgt op de rechtmatigheid van de aanbestedingen. De werkafspraak in het nieuwe IBB proces is dat de Servicedesk IBB bij een inkoopbehoefte vanaf € 50.000 voor leveringen en diensten en € 150.000 voor werken (dit zijn de gemeentelijke aanbestedingsgrenzen van het interne inkoop- en aanbestedingsbeleid) wordt benaderd. Daarnaast lopen alle bestelafspraken die niet op contract zijn langs de service desk. Inherent aan dit proces is dat de lijnorganisatie ervoor kan kiezen om het afgesproken proces niet te volgen, en direct zelf in te kopen op contract zonder tussenkomst van de Servicedesk IBB/ afdeling inkoop. Dit restrisico kan (nog) niet volledig worden afgedwongen en hierdoor loopt de gemeente nog steeds het risico dat de aanbestedingsregels niet worden nageleefd. Dit restrisico is terugkerend door ons aangemerkt en wordt door de gemeente onderkend. Door aanvullende werkzaamheden van de gemeente wordt dit voor het college tot een acceptabel niveau teruggebracht. Bijvoorbeeld met behulp van data analyse op de inkooporder dekking.

In aanvulling hierop mitigeert de gemeente het risico op niet naleving van de aanbestedingsregels eveneens door Internal Audit jaarlijks achteraf een steekproef te laten uitvoeren op de aanbestedingen om te komen tot een oordeel over de rechtmatigheid hiervan. Tot slot is de gemeente bezig met het inrichten van de escalatieprocedure waarbij bewuste afwijkingen van de aanbestedingsregels worden goedgekeurd door de directeur van desbetreffende dienst. Wij adviseren om het college onderdeel te laten uitmaken van deze escalatieprocedure, door ze actief te informeren over afwijkingen, om hun rol in relatie tot rechtmatigheid op een juiste wijze invulling te kunnen geven. Betalingen Ten opzichte van vorig jaar zien wij een verbetering in het betalingen proces. Sinds kort voert de gemeente steekproefsgewijs een inhoudelijke controle uit op iedere gegenereerde betaallijst uit de financiële administratie (Oracle). Wij constateren dat er (nog) handmatige handelingen plaatsvinden binnen het proces van het genereren van betaalbatches tot het betaalbaar stellen in de 9/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

BNG voor betalingen vanuit de verschillende subsystemen. Hierdoor bestaat het risico op (bewuste) fouten in het betalingsverkeer. Wij adviseren de gemeente om het proces van het genereren van betaalbatches tot het betaalbaar stellen in de BNG voor betalingen vanuit de verschillende subsystemen, te automatiseren. Wij hebben vernomen dat dit risico is onderkend en onderdeel uitmaakt van het project beheersbaar betalen, waarin het beperken van de handmatige betalingen als uitgangspunt is geformuleerd. Naast girale betalingen zijn er ook kasbetalingen. Ten aanzien van deze kasbetalingen is in 2023 een incident geweest die kwetsbaarheden in de opzet van het kasbetalingenproces heeft blootgelegd. Dit incident heeft enerzijds geleid tot aanpassingen van de betreffende kasprocedure en anderzijds tot een gemeentebreed onderzoek naar kasgelden. Dit onderzoek is uitgevoerd om vast te stellen of het risico in relatie tot kasgelden zich nog op andere plaatsen zou kunnen manifesteren en om dit proces gemeentebreed verder te verbeteren. In de Board Letter van vorig jaar hebben wij tot slot gerapporteerd over het proces rondom nietig verklaren van betaalbatches in de financiële administratie. De afdeling Interne Audit voert periodiek een onderzoek uit op de naleving van de procesafspraken die gemaakt zijn voor het handmatig nietig verklaren.

Dit jaar zijn (nog) geen betaalbatches nietig verklaard. Memorialen Dit jaar zijn er wijzigingen doorgevoerd op het proces Memorialen, waaronder het opstellen van een uniforme procesbeschrijving. Onze Board Letter observaties uit voorgaande jaren zijn onderkend en grotendeels opgepakt. Er zijn binnen dit proces, ondanks de waargenomen verbeteringen, nog steeds aanscherpingen gewenst. De gemeente heeft een rapportage gebouwd om procesafspraken met betrekking tot de naleving van het 4-ogen principe binnen dit proces te monitoren, omdat het momenteel niet mogelijk is om deze controle systeemtechnisch af te dwingen. Belangrijk is dat het monitoringsproces nog geen formele plek heeft gekregen in de uniforme procesbeschrijving en deze op dit punt actualisatie behoeft. In de praktijk

wordt hier wel volgens de geïnterviewden invulling aan gegeven, zonder dat wij dit achteraf kunnen vaststellen omdat hier geen vastlegging van is. Wij adviseren integratie van het monitoringsproces in de procesbeschrijving om proactief afwijkingen van de procesafspraken te identificeren en vast te leggen om hierover verantwoording te kunnen afleggen. Treasury Dit proces omvat verschillende activiteiten. Voor onze interim hebben wij onze aandacht gericht op het aantrekken, het beheren en het afwikkelen van langlopende leningen bij de BNG Bank. Bij de BNG Bank heeft de gemeente op dit moment alle langlopende leningen lopen met uitzondering van één lening die is ondergebracht bij NN. Aflossingen worden automatisch geïncasseerd, afgestemd met de betalingen en tijdig verwerkt in de financiële administratie. Voor dit proces is alleen de opzet beoordeeld en toereikend bevonden. Lonen en Salarissen In vergelijking met voorgaand jaar is het proces onveranderd gebleven. Opzet van de interne beheersmaatregel is toereikend en de interne beheersmaatregelen zijn in de praktijk geïmplementeerd. Voor onze controle kunnen wij op de interne beheersing van dit proces steunen. Voorzieningen Voorzieningen zijn dit jaar als relevant proces aangemerkt voor de interim omdat dit een schattingspost betreft en in voorgaande jaren heeft geleid tot onzekerheden in de jaarrekening.

De verantwoordelijkheid voor voorzieningen is decentraal, binnen de diensten, belegd. Hierdoor ontbreekt het aan een centrale procesregie voor de vorming van (nieuwe) voorzieningen en loopt de gemeente het (potentiële) risico dat voorzieningen niet tijdig in het verslagjaar in beeld komen en conform de geldende verslaggevingsregels onderbouwd worden. Tijdens de uitvoering van onze werkzaamheden hebben wij tot slot opgemerkt dat er geen procesbeschrijving beschikbaar is. Wij adviseren de verantwoordelijkheid te centraliseren en de procesbeschrijving op te stellen. 10/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

Interim bevindingen: Sociaal domein De dynamiek en de stromen binnen het sociaal domein zijn omvangrijk. Op basis van de begroting 2023 is de omvang van de bestedingen binnen het sociaal domein op geaggregeerd niveau ongeveer € 1.304 miljoen. Het grootste deel zijn uitkeringen. De gemeente kijkt op dit moment hoe zij met samenwerkingspartners haar beleidsinstrumenten beter kan organiseren. Dit kan leiden tot transities, nieuwe (contract)afspraken en of nieuwe tenders. Voor de processen binnen het sociaal domein geldt dat de procesbeheersing voor nu toereikend is. Het anders organiseren leidt tot nieuwe beheersingsvraagstukken en een nieuw evenwicht. Hierna lichten wij per proces onze belangrijkste observaties met betrekking tot de opzet en het bestaan van de beheersmaatregelen binnen het proces toe. Jeugd/Wmo Voor Jeugd en Wmo zijn de opzet van het proces en het bestaan van de interne beheersingsmaatregelen voor nu toereikend. Voor Wmo geldt dat geheel 2023 gewerkt is in de nieuwe applicatie CVS. Deze applicatie biedt meer inzicht in de status van een dossier en meer ruimte voor dossiervastleggingen. Het indicatieproces voor Wmo en Jeugd leent zich dan ook voor een systeemgerichte controle. Verandering op komst De gemeente verkrijgt via productieverantwoordingen vanuit de zorgaanbieders, die voorzien zijn van een controleverklaring, zekerheid omtrent de prestatielevering.

Hiermee verkrijgt de gemeente tevens zekerheid omtrent de getrouwheid en de rechtmatigheid van de lasten van de Zorg In Natura (ZIN). Jaarlijks komen de productieverantwoordingen bij de gemeente betrekkelijk laat binnen ten behoeve van de jaarrekening van de gemeente. Wij hebben eerder de gemeentelijke organisatie geadviseerd te oriënteren hoe de afhankelijkheid van derden in het sociaal domein in de toekomst verminderd kan worden door het proces anders in te richten.

Momenteel overweegt de gemeente: ▪ Bij het onderdeel Wmo de productieverantwoordingen geen controleverklaring meer te vragen. Volgens de gemeente kan de betrouwbaarheid van de cijfers in de jaarrekening van de gemeente via andere bronnen worden aangetoond. ▪ Bij het onderdeel Jeugd de realisatie gedeeltelijk te baseren op andersoortige overzichten. Bijvoorbeeld de ‘productie-overzichten met bestuursverklaring’ door zorgaanbieders bij het Service Bureau Jeugd Haaglanden. De motivatie voor beide onderdelen zal de gemeente in twee position papers nader uitwerken. Aandachtspunt voor de jaarrekeningcontrole 2023 Wij geven alvast een belangrijk aandachtspunt voor de jaarrekeningcontrole mee dat de gemeente, bij het ontbreken van de controleverklaringen, de prestatielevering door de zorgaanbieders zelfstandig zal moeten vaststellen rekening houdend met de doorlooptijd van de jaarrekeningcontrole. Het niet vaststellen van de prestatielevering zal zeer waarschijnlijk tot materiële onzekerheden voor de jaarrekening van de gemeente leiden en daarmee van grote invloed zijn op het oordeel van de accountant omtrent deze verantwoording. Recent incident Volgens berichtgeving van begin november 2023 hebben mensen, die niet als mantelzorger of vrijwilliger in Den Haag actief zijn, onterecht aanspraak gemaakt op het waarderingsprogramma.

In dit programma ontvangen Hagenaars die zich inzetten voor anderen een waardebon voor hun hulp. Toen duidelijk werd dat er sprake was van misbruik is het programma beëindigd en is er een onderzoek ingesteld. Ook heeft de gemeente aangifte gedaan. De komende weken zal uit onderzoek blijken wat de aard en de omvang van de fraude is, en zo ja wat de implicaties hiervan zijn voor de jaarrekening en de rechtmatigheidsverantwoording door het college. 11/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

Uitkeringen De opzet voor het proces Levensonderhoud en Minimabeleid (lees: armoede regeling) is toereikend. Wij hebben de in de opzet aanwezige interne beheersingsmaatregelen in de praktijk op onderdelen niet kunnen vaststellen omdat deze beheersingsmaatregelen niet zichtbaar worden vastgelegd. Dit heeft dus betrekking op het niet volledig kunnen vaststellen van het bestaan van de interne beheersingsmaatregelen op de volgende onderdelen: Levensonderhoud: ▪ Integrale controle op de betalingen groter dan € 6.000 aan burgers, met behulp van onderliggende aanwezige documentatie in Socrates. De senior consulent voert achteraf een steekproef uit op de beslissing door een junior consulent. Minimabeleid: ▪ De senior consulent controleert op ad-hoc basis een junior consulent bij de beoordeling van complexere aanvragen. ▪

Wij adviseren de gemeente om de interne beheersingsmaatregelen die essentieel zijn voor de rechtmatige toekenning van middelen en betalingen aan de uitkeringsgerechtigden zichtbaar vast te leggen in het workflow systeem. Tot slot was eigenaarschap tijdens onze interim nog onderwerp van gesprek als gevolg van onvolledige aanlevering van de vooraf opgevraagde stukken en vanwege zeer beperkte betrokkenheid van de procesmanagers bij de gesprekken over de uitkeringsprocessen. Wij vragen de gemeente de aandacht te houden op eenduidig eigenaarschap. In bepaalde gevallen ontstaat een vordering op een uitkeringsgerechtigde. Vanwege kwetsbaarheden vormt de gemeente een voorziening voor dubieuze debiteuren. Wij stellen vast dat bij de vorming van de voorziening een andere berekeningsmethode wordt gehanteerd ten opzichte van het beleid omtrent de berekeningswijze van de voorziening.

Vooruitlopend op de eindejaar afsluiting 2023 adviseren wij het beleid en de berekeningswijze van de voorziening in de praktijk te evalueren en op elkaar af te stemmen. Subsidieverstrekkingen Voor subsidieverstrekkingen zijn de opzet van het proces en het bestaan van de interne beheersingsmaatregelen toereikend. Met de volledige migratie naar CVS is ten opzichte van het overgangsjaar 2022 een betere vastleggingswijze van de inhoudelijke subsidiecriteria mogelijk. In ons Accountantsverslag 2022 hebben wij aandacht gevraagd voor de subsidies waarbij geen subsidieregeling aanwezig is en het afwegingskader ‘inkopen versus subsidies’ niet is opgesteld. Aanvullend kaart de Rekenkamer in haar recent onderzoeksrapport 'Werk aan welzijn' aan, dat subsidieverleningen waarbij geen subsidieregeling is opgesteld, mogelijk strijdig met de Algemene Wet Bestuursrecht zijn. Hierbij verleent de gemeente subsidies (enkel) op basis van de Algemene Subsidie Verordening (soms aangevuld met een interne richtlijnenbrief en of een beleidsstuk). Volgens de Rekenkamer verleent het college, in de betreffende gevallen, op basis van het beleid van het college en de gemeenteraad het merendeel van de welzijn subsidies aan vooraf geselecteerde aanbieders. Deze subsidies verleent het college niet op basis van een openbaar gepubliceerde subsidieregeling.

Wij zullen bij de jaarrekening, met inschakeling van juridische expertise, de mogelijke impact hiervan op de rechtmatigheid van de subsidies waarbij geen subsidieregeling aanwezig is nagaan. De uitkomsten hiervan zullen wij indien nodig in ons Accountantsverslag nader toelichten.

12/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

Subsidievaststellingen Voor subsidievaststellingen zijn de opzet van het proces en het bestaan van de interne beheersingsmaatregelen verbeterd ten opzichte van voorgaand jaar. In ons Accountantsverslag 2022 hebben wij aandacht gevraagd voor de administratieve achterstanden in de subsidievaststellingen over eerdere jaren. Wij hebben daarbij vastgesteld dat de populatie van subsidievaststellingen in 2022 significant lager was ten opzichte van eerdere jaren. De gemeente heeft op de achterstanden met (onder meer) de volgende maatregelen gereageerd: ▪ capaciteitsuitbreiding van het team vaststellen; ▪ extra begeleiding voor de vaststellers; ▪ managers faciliteren met voortgangsoverzichten (zodat zij binnen hun eigen team prioriteren en ervoor kunnen zorgen dat de vaststellingen afgehandeld worden). De maatregelen hebben volgens de gemeente eind oktober 2023 geresulteerd in de volgende verbeterde cijfers: ▪ reeds vastgesteld in 2023 circa € 173 miljoen (totaal vastgesteld in 2022 € 93,5 miljoen); ▪ in de workflow ter vaststelling in 2023 circa € 224 miljoen; ▪ nog vast te stellen € 277 miljoen (inclusief € 77 miljoen aan subsidies waarvan de vaststellingstermijn nog niet is verstreken). Ondanks het wegwerken van achterstanden uit het verleden in 2023 is er nog een gerede omvang aan subsidies om vast te stellen per jaareinde.

Wij adviseren, evenals voorgaand jaar, om de (wettelijke) termijn voor de vaststelling te monitoren en aanvragen tot vaststelling waarbij sprake is van hogere risico’s (lees; de kans op lagere vaststelling) met prioriteit te behandelen.

13/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

Interim bevindingen: Fysiek en Publiek domein Voor het Fysiek en Publiek domein hebben wij grotendeels in lijn met voorgaande jaren, een zestal processen als relevant aangemerkt. Nieuwe ontwikkelingen en activiteiten binnen het fysiek domein zijn dit jaar beperkt gebleven. Enkel het proces tijdschrijven is nieuw toegevoegd vanwege de (materiële) impact van de kosten van het ambtelijk personeel op de verslaggeving. Hierna lichten wij per proces de belangrijkste bevindingen met betrekking tot de opzet en het bestaan van de beheersmaatregelen binnen het proces toe. Grondexploitatie Voor het waarderingsproces grondexploitaties zijn de opzet en het bestaan van de interne beheersingsmaatregelen grotendeels toereikend. Zoals afgelopen jaren is geconstateerd, worden de 2e-lijnscontroles (dienst Bedrijfsvoering/ Control) niet verifieerbaar vastgelegd (bestaan) en ontbreekt een 3e-lijn controle (Internal Audit) in opzet binnen dit proces. Het risico is aanwezig dat financiële risico’s binnen een grondexploitatieproject onopgemerkt blijven. De gemeente geeft aan met het verbeterpunt van de 2e-lijnscontrole bezig te zijn. Het aantal (eigen) grondexploitaties is tot eind oktober 2023 ten opzichte van 2022 nauwelijks gewijzigd. Vooralsnog is geen sprake van de door de raad goedgekeurde nieuwe en of herziene grondexploitaties. Daarnaast zijn nog geen grondexploitaties afgesloten.

Omdat er in aantallen geen of nauwelijks grondexploitaties aan de portefeuille zijn toegevoegd, zal op termijn de uitgifte opbrengsten grondexploitaties van uw gemeente ook afnemen. Wij verwachten wel dat enkele afsluitingen van de grondexploitaties (in 2023) nog plaats gaan vinden. Het tijdig (tussentijds) afsluiten (tevens in de financiële administratie) van de grondexploitaties is van essentieel belang om een juiste stand van de waarde van de onderhanden grondexploitatieportefeuille per 31 december 2023 in de jaarrekening te verantwoorden. Gemeenten worden geconfronteerd met diverse uitdagingen, zoals de woningbouwopgave, klimaattransitie (verduurzaming en stikstofproblematiek),

een toename van het tekort aan (bouw)materiaal en een sterk oplopende inflatie en rente. Wij benadrukken het belang van het tijdig aanvangen en realiseren van de grondexploitatie- en investeringsprojecten, mede ingegeven door deze macroeconomische uitdagingen. In onze eerdere Board Letters en Accountantsverslagen (over 2021 én 2022) hebben wij gerapporteerd over verslaggevingstechnische aanscherpingen in de kaders. Dit betreft de aanpassingen in: de Verordening beheersregels grondexploitaties en strategisch bezit 2018, de actualisatie van de Grondprijzenbrief 2020 én de actualisatie van de Nota Vastgoed 2013. De Verordening Beheersregels Grondexploitaties en Strategisch Bezit 2018 behoeft een aanscherping voor wat betreft de normering van de zogenaamde PPT-criteria (Proportionaliteit, Profijt, Toerekenbaarheid) en voor wat betreft het partieel afsluiten van grondexploitaties. De actualisatie van de kaders betreft een jaarlijks terugkomend aandachtspunt. Tot op heden heeft de gemeentelijke organisatie de aanscherpingen nog niet aan ons voorgelegd ter consultatie. Wij herhalen opnieuw dat de aanscherpingen nodig zijn voor de eenduidige interpretatie en toepassing van de gemeentelijke regels. Voor de Meerjarenprognose grondexploitaties (MPG) rapportage naar de stand per 31 december 2022 geldt dat dit product vertraagd in oktober 2023 is uitgebracht en met de raad is gedeeld.

Deze vertraging vermindert de informatiewaarde en de bruikbaarheid voor de raad voor een tijdig toezicht. Wij adviseren deze rapportage (MPG) gelijktijdig met de jaarrekening, vóór het zomerreces, aan de raad te verstrekken. Tijdschrijven Het proces tijdschrijven is dit jaar als relevant proces aangemerkt voor onze interim-controle vanwege de (materiële) impact van de kosten van het ambtelijk personeel op de verslaggeving. 14/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

De goedkeuring van uren vindt door de leidinggevenden plaats en niet door projectleiders die budgetverantwoordelijk zijn. Wij merken op dat de gekozen flow voor de goedkeuring, in geval van budgetafwijkingen, een nadere analyse door de projectleiders vraagt. Voor het proces Tijdschrijven is de opzet van het proces toereikend. Investeringen Voor het proces Investeringen, uitgaven binnen het Meerjaren investeringsplan (MIP), is de opzet van het proces ten opzichte van 2022 nagenoeg niet gewijzigd en toereikend. Wel is er in de opzet van het proces met ingang van 2023 een wijziging doorgevoerd waardoor gerealiseerde investeringen in met name infrastructurele projecten (dienst Stadsbeheer) tijdiger in de financiële administratie en tussentijdse voortgangsrapportages kunnen worden verwerkt. Uit onze eindejaar werkzaamheden zal de effectiviteit van de proceswijziging blijken. De huidige P&C-cyclus voorziet nog niet voldoende in tussentijdse inzichtelijke voortgangsinformatie met betrekking tot het MIP. Volgens de gemeente wordt dit vraagstuk op concernniveau meegenomen; informatie over de uitputting van investeringsbudgetten is een onderdeel van de Contourenbrief actualisatie financieel beleid. Belastingen In opzet zijn de beheersmaatregelen voor het proces met betrekking tot de gemeentelijke belastingen toereikend.

Het bestaan van de interne beheersmaatregelen in de praktijk is vastgesteld, met uitzondering van het onderdeel vastgoed en taxatie. De interne beheersmaatregelen hiervoor zijn (nog) niet getoetst, als gevolg van de drukte bij de afdeling door de toegenomen bezwaren tegen de WOZ-waarde.

een functionaris bij naheffingen na beoordeling, een ‘hit’ zelfstandig kan verwijderen uit het systeem, zonder hiervan sporen in het systeem achter te laten, waardoor geen naheffingsaanslag volgt en een ‘hit’ feitelijk ongecontroleerd uit de administratie kan worden verwijderd. Wij adviseren hiervoor additionele beheersingsmaatregelen te treffen om een dergelijke ongeregistreerde onttrekking niet meer mogelijk te maken. Wij merken in aanvulling op het voorgaande op dat in het huidige parkeervergunningensysteem nauwelijks geautomatiseerde beheersmaatregelen zijn inbegrepen. Veel controlehandelingen worden nog steeds handmatig uitgevoerd en vastgelegd. Momenteel verkent de gemeente een nieuw systeem met meer mogelijkheden voor geautomatiseerde beheersmaatregelen. Wij ondersteunen deze verkenning. Secretarieleges Vorig jaar hebben wij alleen de opzet van het proces secretarieleges beoordeeld, dit jaar hebben wij ook het bestaan van de interne beheersmaatregelen in de praktijk getoetst. Wij hebben een aantal tekortkomingen geconstateerd in de interne beheersmaatregelen voor de onderdelen: voorraadbeheer identiteitsbewijzen (paspoorten, ID en rijbewijzen) en kasverkeer w.o. ontbreken van fysieke scheiding in de kluis, interne controle op de kasgelden en strikte kasprocedure in relatie tot de afstortingen.

Daarbij is een aantal suggesties gedaan om de interne beheersingsmaatregelen verder te verbeteren. Deze suggesties zijn gedeeltelijk opgepakt, mede als gevolg van onvoldoende capaciteit en middelen, bij het betreffende dienstonderdeel. Wij adviseren om de benodigde beheersingsmaatregelen tijdig te treffen en hebben van de gemeente begrepen dat dit in 2024 verder opgepakt zal worden.

Parkeeropbrengsten Voor het proces Parkeeropbrengsten is de opzet van het proces en het bestaan van de interne beheersingsmaatregelen in vergelijking met 2022 nauwelijks veranderd en nog steeds niet geheel toereikend. Dit komt met name doordat 15/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023

Interim bevindingen: IT & Cyber Veel handelingen die binnen de gemeente plaatsvinden worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in software pakketten. Wij onderzoeken het IT landschap van de applicaties van uw gemeente en rapporteren daarover in deze BL. Wij zijn wettelijk verplicht te rapporteren over de bevindingen ten aanzien van de betrouwbaarheid van de geautomatiseerde gegevensverwerking, door middel van het testen van General IT Controls (ofwel: GITC). General IT Controls (logische toegangsbeveiliging, wijzigingsbeheer en continuïteit) dienen als randvoorwaarden voor een beheerste IT-omgeving. Wij beschouwen de IT-omgeving van groot belang voor uw gemeente en daarmee ook voor de jaarrekeningcontrole. Relevante Applicaties In tabel 3 is een weergave opgenomen van de zeven applicaties die wij hebben aangemerkt als relevant voor onze werkzaamheden, onderverdeeld naar de domeinen waar deze applicaties met name betrekking op hebben.

Bijlage 1: Onafhankelijkheid

General IT Controls Hieronder zijn de drie meest kritieke General IT Controls eerst nader uitgelegd, waarna onze observaties worden toegelicht. 1) Toegangsbeveiliging: Authenticatie- en Autorisatiebeheer Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, het muteren en het ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van de ingerichte functiescheiding in het systeem. 2) Wijzigingsbeheer Bij het doorvoeren van wijzigingen in software-omgevingen kunnen risico’s ontstaan voor de bedrijfsvoering van de gemeente Den Haag. Wij verwachten daarom dat er een vaste werkwijze is ingericht voor het doorvoeren van wijzigingen in de functionaliteiten van de applicatie. Daarnaast verwachten wij dat er gebruik wordt gemaakt van een test- en productie-omgeving.

Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

ERP-pakket dat bestaat uit verschillende modules, die samen de bedrijfsprocessen ondersteunen, namelijk Oracle Enterprise Business Suite (Oracle EBS) en het Client Volg Systeem (CVS) als onderdeel van het subsidieproces. Drie van deze zeven relevante applicaties; Socrates, Key2 en IBS2000, zullen naar alle verwachting in december 2023 en/of in het eerste kwartaal van 2024 op vergelijkbare wijze door ons worden onderzocht. Deze bevindingen zijn onderhanden en derhalve niet opgenomen in deze BL en zullen, zo nodig, onderdeel uitmaken van ons Accountantsverslag.

Tabel 3: Relevante IT systemen interim 2023

Tijdens deze interim hebben wij twee van deze zeven applicaties in meer detail onderzocht. Dit zijn de belangrijkste IT applicaties van het gemeente brede

3) Continuïteit Onder de noemer continuïteit krijgen wij inzicht in de beheersing van risico’s gericht op continuïteit. Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden. 16/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Voor continuïteit zijn met name het punt in de tijd tot aan waar gegevens bij discontinuïteit hersteld kunnen worden en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Observaties Op basis van uitgevoerde werkzaamheden hebben wij observaties geconstateerd. De kleur van de het symbool geeft de status van de constatering aan.

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid

Tabel 4: Interim observaties IT samengevat

Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

Wij hebben de opzet (met andere woorden, is de beheersmaatregel beschreven in beleid en/ of werkinstructies) en het bestaan (ofwel, is de beheersmaatregel geïmplementeerd) onderzocht van de General IT Controls binnen de verschillende applicaties. Met uitzondering van het control aspect Continuïteit, gelet op het feit dat wij hiervoor afhankelijk zijn van assurance verklaringen

van de leveranciers. Deze worden in het eerste kwartaal van 2024 verwacht en zullen worden meegenomen in het Accountantsverslag 2023. Authenticatiebeheer Systeemtechnisch worden de wachtwoordinstellingen op netwerkniveau afgedwongen wegens Single-Sign-On instellingen op applicatieniveau. De wachtwoordinstellingen op netwerkniveau voldoen aan de gestelde norm. Door het ontbreken van effectieve wachtwoordinstellingen bestaat de kans dat gebruikers op een ander gebruikersaccount kunnen inloggen, waardoor handelingen niet herleidbaar zijn naar een individu. Het authenticatiebeheer voor beide betrokken applicaties is ons inziens voldoende. Autorisatiebeheer Binnen Oracle en CVS hebben wij vastgesteld dat administrator rechten zijn toebedeeld aan IT medewerkers. Daarnaast is er sprake van een formele procedure ten aanzien van in- en uit dienst tredingen én functieautorisatiebeheer (voor CVS, Oracle staat hieronder toegelicht). Het risico bestaat dat bedoelde functiescheiding binnen de applicatie wordt doorbroken. Gebruikers met hoge rechten kunnen gebruikers aanmaken en rechten en rollen toekennen om zo de functiescheiding te omzeilen. Wij hebben voor Oracle EBS geen Plan-Do-Check-Act cyclus ten aanzien van functie-autorisatiebeheer kunnen vaststellen. Door het ontbreken van juiste functie-autorisatiematrixen bestaat de kans dat gebruikers de functiescheiding kunnen doorbreken.

Wij bevelen aan om voor alle applicaties periodieke beoordelingen van autorisatiematrixen af te dwingen waarbij het hoofd van de afdeling zichtbaar beoordeelt of rechten en rollen binnen applicaties terecht zijn. Het autorisatiebeheer van CVS is ons inziens voldoende en voor het autorisatiebeheer van Oracle EBS is verdere aanscherping mogelijk.

17/29

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪

Overkoepelend Bedrijfsvoering Sociaal domein Publiek & Fysiek domein IT & Cyber Fraude

Vooruitblik Ontwikkelingen jaarrekening 2023 Bijlage 1: Onafhankelijkheid Bijlage 2: Communicatie Bijlage 3: Opvolging bevindingen 2022

Wijzigingsbeheer Er bestaat een procedure ten aanzien van wijzigingsbeheer, waarbij gekeken wordt naar: ▪ aanwezigheid ontwikkel-, test-, acceptatie- en productieomgeving; ▪ zichtbare testwerkzaamheden; ▪ zichtbare formele goedkeuring. Zonder aanwezigheid van een gestructureerde procedure bestaat de mogelijkheid dat er wijzigingen worden doorgevoerd met impact op de betrouwbare gegevensverwerking van de applicatie. Het wijzigingsbeheer voor beide betrokken applicaties is ons inziens voldoende. Continuïteit De gemeente maakt ten aanzien van het technisch beheer gebruik van externe partijen voor de applicaties Oracle en CVS. Ten aanzien van de continuïteit zijn afspraken gemaakt met de leveranciers middels Service Level Agreements. Hiervoor zijn wij afhankelijk van assurance verklaringen van de leveranciers. Resumerend IT-beheersing Het algehele beeld is dat de IT-beheersing van de twee reeds onderzochte applicaties binnen de IT-omgeving van de gemeente Den Haag, EBS Oracle en CVS, voldoende is. Dat wil zeggen dat wij voor de uitvoering van onze controlewerkzaamheden verwachten gebruik te kunnen maken van de informatieverwerking en rapportages uit deze applicaties.