RIS320392 Board Letter GAD 2024

[Typ hier]

Gemeentelijke Accountantsorganisatie Den Haag

Rapport>Den Haag Board Letter<Titel 2024 Gemeente

GAD/2024.87 RISnr. 320392 4 december 2024 Spui 70, 2511 BT Den Haag Secretariaatgad@denhaag.nl www.denhaag.nl 1/31

Gemeentelijke Accountantsorganisatie Den Haag

Voorwoord Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

Geachte leden van de raad en geacht college, Met deze Board Letter wordt door ons een beeld geschetst van de kwaliteit van de interne beheersmaatregelen, die naast de rechtmatigheid en getrouwheid van de cijfers mede van belang zijn voor het realiseren van de gemeentelijke ambities, zoals verwoord in het coalitieakkoord uit 2023. Zonder een adequate bedrijfsvoering wordt het immers lastig om deze ambities in voldoende mate waar te maken. Tekortkomingen met betrekking tot de belangrijkste financiële processen kunnen daarbij bovendien nog leiden tot risico’s op fraude en corruptie. Dit alles geeft het grote belang aan van het op orde hebben en krijgen van de interne beheersmaatregelen rond de (financiële) bedrijfsprocessen van de gemeente Den Haag. Hoewel er sprake is van een verbetering van de interne beheersing over de afgelopen jaren blijft het voor de gemeente een behoorlijke opgave om de verbetervoorstellen van de accountant tijdig op te volgen. Het aantal nieuwe bevindingen in deze Board Letter is hoger dan het aantal in 2024 opgeloste bevindingen uit voorgaande jaren. Het oplossen van bevindingen vraagt gezien de omvang van de gemeente vaak een meerjarige aanpak om te komen tot structurele veranderingen in beleid, processen, systemen en mensen (gedrag). Dit is begrijpelijk gelet op de complexiteit en de omvang van dergelijke veranderingen.

Bij twee gewijzigde processen hebben wij nieuwe risico’s geconstateerd met mogelijke gevolgen voor de programmarekening 2024. Dit betreft de betrouwbare verantwoording van ingekochte jeugdzorg op basis van de nieuwe lumpsum financiering én het volledig factureren van omgevingsvergunningen gebruikmakend van een nieuw landelijk IT-systeem dat nog niet toereikend werkt. Beide risico’s hebben de aandacht van het college om de mogelijke consequenties voor de programmarekening 2024 zoveel mogelijk te beperken. Tevens merken wij op dat de komende jaren een forse ICT vervanging voor de deur staat in het kader van de modernisering van bedrijfsvoeringssystemen, zoals nader toegelicht in de commissiebrief Programma MBS. Een operatie die veel energie en aandacht van de ambtelijke organisatie zal vragen waarbij de afbreukrisico’s zo klein mogelijk moeten worden gehouden. Daarom is adequaat risicomanagement, programmasturing en monitoring belangrijk. Vanuit onze functie en expertise stellen wij voor (IT-)onderzoeken uit te voeren om de voortgang en kwaliteitsbewaking van dit meerjarige en impactvolle programma verder te versterken. Samenvattend wil ik aangeven dat de kwaliteit van de interne beheersmaatregelen niet alleen van belang is als basis voor de controleactiviteiten van de accountant, maar in feite een veel breder doel dient zoals het kunnen realiseren van de gemeentelijke ambities.

Met alle ontwikkelingen die ook op nationaal niveau op de gemeente afkomen, zoals de woningbouwopgave, energietransitie en opvang van asielzoekers wordt de uitdaging alleen maar groter en relevanter. Natuurlijk is een goed ingerichte bedrijfsvoering niet voldoende om al deze uitdagingen het hoofd te bieden en onaangename verrassingen te voorkomen, maar het draagt er zeker aan bij. Met vriendelijke groet, Origineel getekend door Gemeentelijke Accountantsorganisatie Den Haag Den Haag, 4 december 2024 drs. C.G.A. Slotema-Tesser RA MPC CPC 2/31

Gemeentelijke Accountantsorganisatie Den Haag

Bestuurlijke boodschappen Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

Deze bestuurlijke boodschappen zijn voornamelijk bedoeld voor de raad. Als we kijken naar de (organisatie)ontwikkelingen in de afgelopen periode en vooruitkijken naar de jaarrekeningcontrole 2024 en het boekjaar 2025, dan onderkennen we een aantal onderwerpen die politiek en/of bestuurlijk prioriteit hebben dan wel moeten krijgen. Vooruitzien is regeren Binnen Nederland zijn momenteel diverse uitdagingen die impact hebben op gemeenten en haar bedrijfsvoering. De woningbouwopgave, energietransitie en de opvang van asielzoekers en ontheemden uit Oekraïne zijn hier voorbeelden van. Voor de benodigde snelle reactie vanuit de gemeenten zijn een robuuste organisatie en interne beheersing van groot belang. Wij onderkennen dat dit veel vraagt van de organisatie met de huidige capaciteit, rekening houdend met de krappe arbeidsmarkt. Verder merken wij op dat een toereikende interne beheersing een belangrijke randvoorwaarde is om op een passende en tijdige wijze in te spelen op deze uitdagingen. Het optimaliseren en moderniseren van de interne beheersing alsook het opvolgen van de aanbevelingen in de Board Letter gaat bijdragen aan het realiseren van uw ambities. Doorontwikkeling interne beheersing Bij de interim-controle 2024 hebben wij de interne beheersing onderzocht van de relevante processen voor de programmarekening van uw gemeente.

Bij de beoordeling stellen wij vast of in de processen de minimaal noodzakelijke functiescheiding aanwezig is, bevoegdheden adequaat in het proces zijn belegd en of toereikende beheersingsmaatregelen aanwezig zijn. Indien sprake is van relevante bevindingen (‘tekortkomingen’) in een proces informeren wij u hierover in deze Board Letter en het accountantsverslag. Wij stellen vast dat deze bevindingen gestaag worden opgepakt en opgelost. Dit is een positieve ontwikkeling. Wij zien tevens dat veel toezeggingen van de collegereactie op de Board Letter 2023 voortvarend zijn opgepakt door de organisatie. Wel constateren wij dat in 2024 ongeveer een kwart van onze resterende adviezen over 2020 – 2023 is gerealiseerd waarmee circa driekwart

nog onderhanden is. Tevens constateren wij 17 nieuwe bevindingen ten opzichte van voorgaand jaar, waardoor het totaal aantal bevindingen is gestegen. Daarnaast zien wij dat vooral bij veranderingen in processen nieuwe tekortkomingen kunnen ontstaan, zoals bij de inkoop van jeugdzorg (lumpsum) en het factureren voor afgegeven omgevingsvergunningen (ITsysteem). Deze bovenstaande bevindingen kunnen een negatieve impact hebben op de betrouwbaarheid en tijdigheid (indien zaken niet worden geconstateerd) van de tussentijdse informatievoorziening en sturingsinformatie binnen de gemeente, waardoor u mogelijk niet in staat wordt gesteld om bij te sturen waar nodig. Eveneens merken wij op, zoals geconstateerd tijdens het afgelopen jaarrekeningtraject, dat deze bevindingen bijdragen aan een verhoogde kans op fouten en afwijkingen in de programmarekening en vertragingen in het proces. Wij adviseren de raad om de voortgang van openstaande bevindingen door het college te monitoren en waar mogelijk te laten versnellen. Meer aandacht voor financiële sturing De gemeente heeft een onderzoek naar de prognosekracht uitgevoerd, is met u in overleg over de contourennota, past deels (financiële) verordeningen aan, komt met een nieuwe systematiek voor het weerstandsvermogen en tracht de begroting en verantwoording inzichtelijker te maken.

Wij zien dat de aandacht voor financiële sturing in 2024 verder is verbeterd. Vervanging vitale IT-systemen De gemeente is bezig met de implementatie van een nieuw financieel systeem, Enterprise Resource Planning (ERP) en een nieuw systeem voor personeelsadministratie en salarisverwerking (programma MBS: Modernisering Bedrijfsvoeringssystemen). Hiermee worden het huidige financiële systeem (Oracle FIN), de personeelsadministratie (Oracle HRS) en de salarisverwerking (thans belegd bij ADP) vervangen. Het vervangen van zulke vitale applicaties is over het algemeen een impactvol traject, omdat een tijdige en betrouwbare (financiële) informatievoorziening hiervan afhankelijk 3/31

Gemeentelijke Accountantsorganisatie Den Haag

Bestuurlijke boodschappen Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid

is. Ook voor de jaarrekeningcontrole van de gemeente is het van groot belang dat de overgang op financieel gebied betrouwbaar verloopt. Wij kunnen aanvullend op de (interne) kwaliteitsreviews gevraagd en ongevraagd tussentijdse (IT-)onderzoeken uitvoeren naar onder meer de inrichting, security en projectbeheersing. Dit zodat de IT-systemen blijven voldoen aan de vereisten. Samenwerking Recent hebben wij samen met de Rekeningencommissie, het Presidium en de griffier afspraken gemaakt over de planning van onze jaarrekeningcontrole 2024 en de oplevering van onze controleproducten. Concreet is afgesproken dat wij ernaar streven onze controleverklaring op 6 mei 2025 af te geven. Van belang hierbij is een tijdige aanlevering van de benodigde documenten door de gemeente voor aanvang van de controle voor een soepel controleproces en om vertraging te voorkomen. Wij zullen de raad via de Rekeningencommissie informeren over de voortgang hiervan. Uiteraard nemen wij de aandachtspunten van de Rekeningencommissie (totstandkoming en de toepassing van het cofinancieringsfonds in 2024 en een inzicht in het financieel belang van het aantal SiSa-regelingen) mee in onze controle en rapporteren hierover in het accountantsverslag.

Laatste verantwoordingsjaar gemeenteraad Tot slot, vanwege de gemeenteraadsverkiezingen in maart 2026 is dit voor de raad de laatste controle op de programmarekening in deze coalitieperiode, dus tijd om de balans op te maken. Ons voorstel is om samen met uw Rekeningencommissie te komen tot een meerjarig overzichtsdocument waarin op hoofdlijnen een terugblik van onze belangrijkste bevindingen staan en een vooruitblik op kansen, bedreigingen en toekomstige ontwikkelingen.

Bijlage 4: Communicatie 4/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

Opzet

Bestaan

Bedrijfsvoering

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Proces Inkopen - aanbestedingen

●

●

+

Inkopen – overig

Treasury Voorzieningen

● ● ● ● ● ●

● ● ● ● ● ●

+

BSD

▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Domein

Voortgang Interne beheersing t.o.v. 2023

Subsidieverleningen en vaststellingen

●

●

=

Debiteuren SZW

● ● ● ● ●

● ● ● ● ●

Nieuw

● ● ● ● ● ●

+

Belastingen en heffingen

● ● ● ● ● ●

Secretarieleges

●

●

Sociaal domein

Interne beheersing

Voor onze interim-controle hebben wij bedrijfsprocessen gecontroleerd die vanwege hun financiële impact voor de gemeentelijke jaarrekening relevant zijn. Wij geven afzonderlijke oordelen over de opzet en het bestaan per gecontroleerd bedrijfsproces, inclusief de voortgang ten opzichte van vorig jaar (zie bijgaande tabel 1). Voor twee veranderde processen (Jeugd en Omgevingsvergunningen) achten wij de interne beheersing ontoereikend. Voor de overige processen is de situatie veelal onveranderd of iets verbeterd. Per proces hebben wij de opzet, het bestaan en de voortgang ten opzichte van voorgaand jaar onderzocht. Bij opzet beoordelen wij de inrichting van een proces, oftewel hoe de gemeente wil dat het proces werkt. Daarbij controleren wij vooral of er toereikende beheersingsmaatregelen zijn om de belangrijkste financiële risico’s te ondervangen. Het bestaan gaat feitelijk over de implementatie van de opzet. Met andere woorden, voeren mensen (in geval van handmatige controles) en/of systemen (bij geautomatiseerde controles) de benodigde beheersingsmaatregelen uit? Op basis van deze uitkomsten kunnen wij bepalen of de interne beheersing toereikend is voor onze accountantscontrole, of dat aanvullende gegevensgerichte controles (bijvoorbeeld steekproeven) noodzakelijk zijn.

Betalingen Lonen en salarissen Memorialen

Sociale uitkeringen WMO Jeugd

Legenda

Grondexploitaties

= toereikend = verbeteringen gewenst, adviespunt = ontoereikend = niet onderzocht en niet van toepassing = = interne beheersing onveranderd t.o.v. voorgaand jaar + = interne beheersing verbeterd t.o.v. voorgaand jaar -/- = interne beheersing verslechterd t.o.v. voorgaand jaar nieuw = nieuw proces, geen bevindingen uit voorgaande jaren

Materiële vaste activa/ Investeringen

Fysiek domein

Bestuurlijke boodschappen

Samenvattend beeld interne beheersing

Tijdschrijven Parkeeropbrengsten Omgevingsvergunningen Huren

Publiek domein

Voorwoord

= = = = +

= = -/=

= = Nieuw Nieuw = +

Tabel 1: Uitkomsten interim-controle 2024 per proces

5/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024

Aanpassingen in een proces kunnen leiden tot risico’s die nieuwe beheersingsmaatregelen vergen. Concrete voorbeelden in 2024 zijn de veranderde bekostiging van de Jeugdzorg en de invoering van een nieuw landelijk geautomatiseerd systeem voor Omgevingsvergunningen. Een toereikende kwalificatie uit voorgaande jaren op de interne beheersing van een proces kan daardoor wijzigen in een daaropvolgend jaar.

aanbevelingen uit voorgaande jaren, is later in dit hoofdstuk per domein uiteengezet. In bijlage 1 van dit rapport zijn de resterende bevindingen en de status hiervan uit de periode 2020 – 2023 opgenomen. In bijlage 2 hebben wij onze nieuwe bevindingen in 2024 opgenomen. Wij vragen het college om in haar reactie op onze Board Letter 2024 nadrukkelijk in te gaan op de resterende en nieuwe bevindingen inclusief de beoogde opvolging en doorlooptijd.

Opvolging van bevindingen zijn onderhanden In totaal zijn 41 bevindingen c.q. aanbevelingen uit voorgaande jaren opgenomen in bijlage 1 van deze Board Letter. Daarvan zijn 10 aanbevelingen in 2024 opgevolgd of door de gemeente bewust geaccepteerd en daarmee afgerond. Alle ‘nog op te volgen’ aanbevelingen uit voorgaande jaren zijn in 2024 onderhanden genomen, waardoor voortgang wordt geboekt. Desondanks is het aantal openstaande bevindingen uit voorgaande jaren nog steeds hoog en daarmee de voortgang in opgeloste of geaccepteerde risico’s relatief beperkt. Wij adviseren de raad om de voortgang van openstaande bevindingen door het college te monitoren en waar mogelijk te laten versnellen. Jaren

Aantal bevindingen begin 2024

2020 2021 2022 2023 2024 Tot.

9 6 14 12 41

Aantal opgelost of geaccepteerd in 2024 (3) (3) (3) (1) (10)

Aantal nieuwe bevindingen in 2024 17 17

Aantal bevindingen eind 2024 6 3 11 11 17 48

Bijlage 3: Onafhankelijkheid

Tabel 2: Ontwikkeling Board Letter bevindingen in 2024

Bijlage 4: Communicatie

Over 2024 hebben wij 17 nieuwe bevindingen geconstateerd bij de onderzochte betrokken bedrijfsprocessen en staan nog 31 bevindingen uit de vorige Board Letter open. De toelichting hiervan, alsmede de opvolging van de openstaande 6/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord

Governance: sturing en interne beheersing

Bestuurlijke boodschappen

In het kader van sturing en interne beheersing als belangrijke aspecten van governance hebben wij net als vorig jaar specifiek aandacht geschonken aan de volgende onderwerpen.

Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

Financiële sturing verbetert gestaag Financiële sturing is essentieel om publieke middelen zo effectief en doelmatig mogelijk te besteden. De begroting is daarbij een belangrijke pijler en uitgangspunt. Mede naar aanleiding van onze bevindingen uit voorgaande jaren heeft de Rekeningencommissie het college gevraagd om een onderzoek naar de prognosekracht van de begroting. De resultaten van dit interne onderzoek heeft het college recent aan u gerapporteerd (RIS319892). Dit is een positieve ontwikkeling op basis waarvan verder vooruit kan worden gekeken. Een volgende stap kan zijn om inzichtelijk te maken hoe proactief vooraf met oorzaken omgegaan kan worden. Dit doet het college al voor de geaccepteerde begrotingsafwijkingen, maar kan ook gelden voor het planningsoptimisme en vertragingen in projecten door personeelstekort, etc. Zo kan de gemeente de benodigde capaciteit inzichtelijk maken voor de realisatie van de voorgenomen investeringen in vergelijking tot de beschikbare capaciteit in de regio. Om het realiteitsgehalte van de begroting en de voorspelbaarheid hiervan verder te vergroten, adviseren wij het college de analyse verder te verdiepen. Wij begrijpen overigens dat dit met schattingen gepaard gaat maar het zorgt er wel voor dat college en gemeenteraad nog gerichter focus in de ambities van de stad kunnen aanbrengen.

Verbetering in de kwaliteit van de financiële informatie voor een goede sturing verwacht het college te realiseren door herziening van de opzet van tussentijdse rapportages, waaronder ook aandacht voorbegrotingswijzigingen, mede om formele begrotingsonrechtmatigheden te voorkomen. Ook is de begroting 2025 – 2028 aangepast, onder meer door de samenhang tussen gemeentelijke doelen, activiteiten en budgetten op basis van de drie W-vragen te verbeteren. Deze opzet zal ook gehanteerd worden voor de programmarekening 2024. Daarnaast is de interne gesprekscyclus aangescherpt om begroting en realisatie

te monitoren en hierop tijdig te kunnen anticiperen. Tenslotte streeft het college ernaar om de geactualiseerde Financiële verordening eind 2024 door de raad te laten vaststellen. Wij waarderen de inspanningen van het college om de financiële sturing steeds verder te verbeteren zoals ook is aangegeven in de contourenbrief over de actualisatie van het financieel beleid (RIS314462). Wel constateren wij dat de implementatie van deze verbeteringen veel tijd, overleg en daadkracht vergen, zowel binnen de gemeentelijke organisatie als tussen het college en de raad. Anticiperen op begrotingsonrechtmatigheden In ons accountantsverslag 2023 hebben wij het college geadviseerd om de tussentijdse reparatiemogelijkheden voor het tijdig autoriseren van begrotingswijzigingen te verkennen om begrotingsonrechtmatigheden zo veel mogelijk te kunnen beperken. Het college heeft toegezegd om conform het verzoek van de Rekeningencommissie in het najaar van 2024 een voorstel tot aanpassing van de Verordening financieel beheer & beleid naar de raad te sturen. In de aangepaste verordening is hiermee rekening gehouden. Versterking van risicomanagement De gemeentelijke organisatie heeft in 2024 voor de eerste keer plenaire gesprekken met de zeven diensten gevoerd om de belangrijkste niet-financiële risico’s van de diensten te identificeren, resulterend in een gemeentebreed risicoprofiel.

Dit gemeentebrede risicoprofiel en de directe betrokkenheid van de diensten is een belangrijke ontwikkeling in de verdere professionalisering van het risicomanagement proces in uw gemeente. Een volgende stap die uw gemeente wil maken is het bevorderen van een positieve en proactieve insteek gericht op het realiseren van kansen. Wij verwachten dat dit ‘waarderend risicomanagement’ stimulerend kan werken en aansluit bij de organisatie- en cultuurverandering van de gemeente Den Haag. Wij geven het college in overweging om de uitkomsten van het gemeentebrede risicoprofiel te integreren met andere risico-inventarisaties binnen uw gemeente. Daarmee ontstaat er meer uniformiteit in de ‘risicotaal’ 7/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

(taxonomie), waardoor de aansluiting van strategisch en operationeel risicomanagement wordt versterkt. Professionalisering van Internal Audit De afdeling Internal Audit (hierna: IA) vertegenwoordigt de ‘third-line’ binnen het interne beheersingssysteem van de gemeente Den Haag. Uit het voortgangsrapport van IA uit mei 2024 blijkt dat bijna de helft van de beschikbare capaciteit is besteed aan de rechtmatigheidscontrole 2023, vooral van aanbestedingen. Voor 2024 is de benodigde inzet op de rechtmatigheidscontrole ook groot. IA verwacht hun inzet de komende jaren te kunnen verminderen door middel van ingezette verbeteringen in het inkoopproces en de oplevering vanuit de organisatie van de benodigde informatie. Daarbij is het belangrijk dat de verantwoordelijkheid voor een rechtmatige uitvoering nog meer zichtbaar en concreet wordt ingevuld door de verschillende gemeentelijke diensten in zowel de eerste als de tweede lijn. Wij benadrukken het belang van een onafhankelijke uitvoering en vooral positionering van IA binnen de gemeentelijke organisatie. De huidige positionering van IA binnen de dienst Bedrijfsvoering (DBV) in de portefeuille Financiën en Inkoop borgt de beroepsmatig vereiste onafhankelijkheid onvoldoende, zowel organisatorisch als beleidsmatig, ondanks enkele waarborgen hiervoor in het Internal Audit Charter.

De huidige positionering is door uw gemeente bewust gekozen om te kunnen professionaliseren tot een volwaardige Internal Audit afdeling. In het verlengde van onze aanbeveling hebben wij begrepen dat het onderbrengen van IA onder de Bestuursdienst vanaf 2026 als de meest realistische oplossing wordt beschouwd.

zelf hadden geactualiseerd of verwezen naar eerder door de GAD opgestelde controledocumenten uit voorgaande interim-controles. Op basis van eigen onderzoek concludeert uw gemeente dat alle financieel kritische processen zijn beschreven, of dat actualisatie nog onderhanden is of gepland. Het verbeteren van procesbeschrijvingen zal bijdragen aan een consistente manier van werken, kwaliteitsverhoging en hogere compliance (voldoen aan wet- en regelgeving). Daarbij is het ook noodzakelijk om de processen in detail en uniform te beschrijven. Deze procesbeschrijvingen vormen het formele kader waarbinnen de beheershandelingen plaats dienen te vinden en zijn de basis voor de interne monitoring en de externe accountantscontrole. Dit formele kader zorgt voor eenduidig handelen en voorkomt verrassingen achteraf. Om te komen tot verdere uniformering van de procesbeschrijvingen heeft de gemeentelijke organisatie een applicatie ‘Engage’ aangeschaft. Om de beoogde verbeteringen van de procesbeschrijvingen te realiseren, adviseren wij het college dat: ▪ Proceseigenaren (eerste lijn) verantwoordelijk zijn voor, en aangesproken worden op, het opstellen van hun procesbeschrijvingen (in Engage). ▪ Het team Proces- & Risicomanagement (tweede lijn) periodiek monitort op de actualiteit van deze procesbeschrijvingen.

▪ De afdeling IA (derde lijn) risicogericht de kwaliteit van deze procesbeschrijvingen toetst in het kader van haar onderzoeken naar interne beheersing.

Verbeteren van procesbeschrijvingen Voor onze interim-controle hebben wij gebruik gemaakt van bestaande procesbeschrijvingen. Wij constateren dat de kwaliteit en uniformiteit van de procesbeschrijvingen nog steeds verschilt. De door externe ondersteuning opgestelde procesbeschrijvingen van financieel kritische processen zijn kwalitatief goed. Voor de overige procesbeschrijvingen bleek dat diensten deze 8/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord

Interim bevindingen: Bedrijfsvoering

Bestuurlijke boodschappen

Onder het domein bedrijfsvoering vallen de concernbrede processen: Inkopen, Aanbestedingen, Betalingen, Lonen en salarissen, Memorialen en Treasury. Per proces volgen hierna onze belangrijkste bevindingen met betrekking tot de opzet en/of het bestaan van de beheersmaatregelen binnen het proces.

Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

Inkopen De inkopen van de gemeente Den Haag bedragen circa € 700 miljoen per jaar. De gemeente heeft het IBB-proces (Inkopen, Bestellen, Betalen) in 2023 geïmplementeerd. Een belangrijke verbetering in 2024 is het realiseren van de primaire functiescheiding in Oracle tussen de budgethouder en de prestatieverklaarder bij inkoopfacturen indien geen inkooporder (IO) is aangemaakt. Ook het komend jaar staat in het teken van de verdere doorontwikkeling van het IBB-proces, waaronder het verhogen van het relatieve aantal inkooporders bij inkopen, de zogenoemde “IO-dekking”. Deze bedraagt tot en met augustus bijna 77%. Het ontbreken van inkooporders is risicovol en fraudegevoelig. Ook leidt het tot een arbeidsintensief intern controleproces voordat facturen kunnen worden betaald. Beoogde verbetermaatregelen zijn het niet meer in behandeling nemen van facturen zonder IO, het invoeren en stimuleren van efacturatie door leveranciers en het uitvoeren van zogenoemde spendanalyses (zie bij Aanbestedingen). Omdat deze maatregelen nog niet voldoende zijn ingericht, handhaven wij onze beoordeling voor de opzet als ‘oranje’. Mede op basis van deze verbeteringen beoogt de gemeente een IO-dekking van 100% te realiseren.

Een andere belangrijke bevinding is dat voor facturen boven € 1.000 documentatie met betrekking tot de prestatieverklaring niet consequent door de lijnorganisatie wordt vastgelegd. Hierdoor kan achteraf niet vastgesteld worden of ingekochte goederen of diensten daadwerkelijk zijn geleverd. De gemeentelijke organisatie heeft deze tekortkoming zelf ook onderkend. Mede in het kader van de doorontwikkeling van het IBB-proces gaat de gemeente een steekproef uitvoeren naar de vastlegging van prestatieverklaringen. Wij

adviseren het college te onderzoeken of de prestatieverklaring geautomatiseerd kan worden opgenomen dan wel wordt verwezen naar de externe vastlegging. Aanbestedingen Binnen het proces Aanbestedingen constateren wij twee belangrijke verbetermaatregelen: uitvoering van spendanalyses en de invoering van een escalatieprocedure. Uitvoering van spendanalyses Door de gemeentelijke organisatie worden spendanalyses uitgevoerd op dienst(decentraal) en concernniveau (centraal), waardoor inzicht ontstaat over de inkopen onderverdeeld naar contracten, inkooporders en leveranciers. Tevens bieden spendanalyses inzicht in administratieve onvolkomenheden in het inkoopproces (bijvoorbeeld facturen zonder inkooporder of gerelateerd contract) en daarmee mogelijke frauderisico’s. De centrale inkooporganisatie stelt verbetermaatregelen voor aan de diensten, die verantwoordelijk zijn voor de invoering. Ook worden de spendanalyses gebruikt om inkopen steeds meer via raamcontracten uit te zetten, waardoor doelmatigheid (kostenbesparing) en rechtmatigheid (tegengaan van overschrijding van aanbestedingsgrenzen of inkopen buiten raamcontracten) worden versterkt. De operationele verantwoordelijkheid voor het (rechtmatig) gebruik van deze raamcontracten is binnen uw gemeente belegd bij contractmanagers in de diensten.

Een signaleringsfunctie is beschikbaar voor contractmanagers indien de maximale omvang of looptijd van een contract wordt benaderd. Een centrale monitoring en sturing op de toereikende werking van dit rechtmatigheidsaspect binnen contractmanagement ontbreekt echter nog. Om potentiële rechtmatigheidsrisico’s tijdig te signaleren adviseren wij het college om de concernbrede monitoring op contractmanagement te versterken. Escalatieprocedure medio 2024 van kracht De gemeente heeft per 1 juli 2024 de escalatieprocedure ingericht voor het bewust afwijken van de Europese aanbestedingsregels bij een inkoop boven de 9/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

Europese drempelwaarde. Met deze procedure wordt de ambtelijke leiding vooraf geïnformeerd over mogelijk onrechtmatige inkopen en vervolgens het college periodiek achteraf. Tot en met september 2024 zijn nog geen meldingen via deze procedure gedaan.

kinderopvangtoeslag (KOT). De omvang hiervan is weliswaar niet materieel voor onze controle, het proces is wel gevoelig voor fouten en fraude. De gemeente onderzoekt hoe het aantal handmatige betaalopdrachten verlaagd kan worden.

Naast deze verbeteringen constateren wij dat inkopen zonder tussenkomst van de Servicedesk inkopen & bestellen mogelijk zijn. Mede door bovenstaande verbetermaatregelen in het IBB-proces en aanvullende data-analyses wordt dit rechtmatigheidsrisico steeds beperkter. Aanvullend controleert Internal Audit via steekproeven de rechtmatige naleving van inkoop- en aanbestedingsregels. Wij achten het resterende risico daarmee toereikend door uw gemeente beheerst.

Lonen en salarissen Vergelijkbaar met vorig jaar kunnen wij voor onze controle steunen op de interne beheersing die in het proces is geïmplementeerd. Wel constateren wij dat er geen procesbeschrijving beschikbaar is voor dit financieel omvangrijke (circa € 800 miljoen) en op onderdelen complexe proces. Wij adviseren het college om een procesbeschrijving op te stellen voor lonen en salarissen. Ook verwijzen wij naar onze bevinding en advies over Oracle HRS (IT-audit).

Net als vorig jaar constateren wij dat een integrale procesbeschrijving voor aanbestedingen ontbreekt, waarin het proces, risico’s en beheersmaatregelen zijn uitgewerkt. Vanwege het grote financiële belang voor uw gemeente en de operationele impact op de gemeentelijke organisatie achten wij een dergelijke procesbeschrijving noodzakelijk. Dit kan meegenomen worden in de concernbrede verbeteraanpak voor procesbeschrijvingen (zie hiervoor). Wij adviseren het college om deze procesbeschrijving op te stellen, rekening houdend met bovengenoemde bevindingen.

Memorialen Memorialen zijn incidentele boekingen die aanvullend zijn op de reguliere financieel-administratieve processen zoals Inkopen en Salarissen. Deze memoriaalboekingen worden vaak gebruikt bij de jaarafsluiting. Wij hebben vastgesteld dat er in 2024 een belangrijk verbeterpunt uit onze controle 2023 is gerealiseerd in het proces Memorialen, waardoor functiescheiding is gerealiseerd tussen het opstellen en boeken van deze memorialen. Hiervoor is ook de onderliggende procesbeschrijving geactualiseerd.

Betalingen Ten opzichte van 2023 constateren wij geen verandering in het betaalproces. Onze eerdere bevinding over het hoge aantal handmatige handelingen binnen het betaalproces is nog steeds actueel. Dit brengt het risico met zich mee dat (bewuste) fouten worden gemaakt in het betalingsverkeer. Het project beheersbaar betalen zal dit risico vanaf begin 2025 mogelijk tot een aanvaardbaar niveau reduceren omdat enkele handmatige handelingen worden geautomatiseerd. Daarom handhaven wij voor 2024 de ‘oranje’ beoordeling voor opzet en bestaan van het betalingsproces.

Ondanks deze verbetering hebben wij belangrijke tekortkomingen in 2024 geconstateerd binnen dit proces. Voor interne verrekeningen is een proces ingericht dat momenteel niet adequaat wordt gevolgd. Dit betreft onder meer het aanleveren van toereikende onderbouwingen en de autorisatie door de budgethouder. Ook constateren wij dat de toets in het kader van het 4-ogen principe niet toereikend is om de kwaliteit te borgen. Hierdoor bestaat het risico dat onjuiste memoriaalboekingen in de financiële administratie worden verwerkt en tot mogelijke fouten leiden in de programmarekening. Wij adviseren het college om alleen interne verrekeningen in behandeling te nemen die volledig en juist zijn ingevuld, toereikend zijn onderbouwd met achterliggende documentatie en geautoriseerd door de betreffende budgethouder. 10/31

Op basis van onze interim-controle constateren wij vanaf juni 2024 een toename in de handmatige betalingen vanwege de hersteloperatie

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord

Interim bevindingen: Bestuursdienst

Bestuurlijke boodschappen

Treasury Voor onze controle hebben wij met name de focus gelegd op het aangaan van leningen door Treasury. Voor dit deelproces is alleen de opzet beoordeeld en toereikend bevonden.

Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

Voorzieningen De primaire verantwoordelijkheid voor het vormen van (nieuwe) voorzieningen is decentraal binnen de gemeentelijke organisatie belegd. Wij hebben in onze Board Letter 2023 het potentiële risico gemeld dat nieuwe voorzieningen niet tijdig in het verslagjaar worden verwerkt. Bij onze interim-controle 2024 hebben wij nog geen nieuwe voorzieningen in de financiële administratie geconstateerd ten opzichte van de jaarrekening 2023. Voor de betrouwbare verantwoording van nieuwe voorzieningen of aanpassingen daarvan zijn zogenoemde position papers een belangrijke beheersingsmaatregel. Ook de uniformiteit in de toepassing verbetert hierdoor. In deze position papers wordt de motivering en onderbouwing toegelicht, waarna goedkeuring door de budgethouder en aanvullende toetsing door de concerncontroller moet plaatsvinden. Net als vorig jaar is voor voorzieningen geen procesbeschrijving beschikbaar. Wij adviseren het college om position papers als beheersingsmaatregel op te nemen in de onderhanden zijnde procesbeschrijving voorzieningen.

Interim bevindingen: Sociaal domein De dynamiek en de stromen binnen het sociaal domein zijn omvangrijk. Op basis van de begroting 2024 is de totale omvang van de bestedingen binnen het sociaal domein ongeveer € 1,7 miljard, verdeeld over 5 programma’s. Het grootste deel omvat bestedingen in het kader van Wmo, Jeugd en uitkeringen inzake de Participatiewet. Jeugdzorg De gemeente heeft sinds januari 2024 de inkoop van de Jeugdzorg gewijzigd. De nieuwe inkoop is een taakgerichte bekostiging, waarbij het volledige

indicatieproces en een gedeelte van de zorglevering door nieuw opgerichte samenwerkingsverbanden van jeugdaanbieders (rondomJou en Kracht) worden verzorgd. Daarbij is sprake van een lumpsum in plaats van de voormalige “p maal q” bekostiging. Deze financieringssystematiek kan leiden tot verhoogde risico’s voor onder andere de aantoonbaarheid van geleverde prestaties van reguliere zorg, de juistheid van toerekening van zorg aan taakvelden en de rechtmatigheid van de geleverde zorg (woonplaats, leeftijd, etc.). Conform de overeenkomsten dienen de twee samenwerkingsverbanden uiterlijk 1 juli 2025 de financiële verantwoordingen over de lumpsum bedragen met controleverklaringen bij de gemeente op te leveren. Dit is drie maanden later dan voorheen (was 1 april voor de productieverantwoordingen) en te laat voor onze accountantscontrole. Het ontbreken van deze gecontroleerde financiële verantwoordingen voorafgaand aan het afronden van onze accountantscontrole kan leiden tot een onzekerheid van de ingekochte Jeugdzorg over 2024 van maximaal € 115 miljoen (getrouwheid). De gemeente is in overleg met de samenwerkingsverbanden en hun accountants om tot werkbare oplossingen te komen voor 2024 en verder.

Inmiddels zijn wel afspraken gemaakt om de rechtmatigheid van de Jeugdzorg cliënten tijdig (voor 1 april 2025) te laten controleren en voor de prestatielevering een bestuursverklaring op te stellen die aansluit bij de rapportages die de gemeente en samenwerkingsverbanden periodiek met elkaar bespreken. Wij achten verdere verbeteringen in de opzet van dit proces noodzakelijk (‘oranje’). Vanwege de onderhanden status van deze afspraken is ons oordeel over het bestaan vooralsnog ontoereikend in relatie tot de jaarrekeningcontrole 2024 (‘rood’). Wij adviseren het college deze afspraken zo spoedig mogelijk te concretiseren om de prestatielevering van de inkoop van jeugdzorg over 2024 rechtmatig en getrouw vast te kunnen stellen. Wmo In het accountantsverslag 2023 hebben wij gerapporteerd dat de opzet van het indicatieproces een verhoogd risico als gevolg heeft. De opzet en het bestaan van dit proces hebben wij daarom op oranje gezet. Onze controleaanpak wordt 11/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

daarmee voornamelijk gegevensgericht en dus arbeidsintensiever voor de gemeentelijke organisatie en de GAD. Uitkeringen In voorgaande jaren hebben wij gerapporteerd dat het bestaan van bepaalde interne beheersmaatregelen in de deelprocessen Levensonderhoud en Minimabeleid (bijzondere bijstand) niet vastgesteld kon worden. In 2024 hebben wij ook de opzet van de processen Debiteuren SZW en Loonkostensubsidie betrokken in onze interim-controle. Hieruit blijkt dat in opzet weinig tot géén functiescheidingen in deze processen zijn ingebouwd. Daarmee resteert in de opzet een risico op onrechtmatig betaalde toekenningen en onvolledig verantwoorde bijstandsvorderingen. De gemeentelijke organisatie heeft net als vorig jaar aangegeven dit risico te accepteren zodat de processen efficiënt (‘lean’) kunnen worden ingericht. De opzet en het bestaan van de uitkeringsprocessen beoordelen wij als ‘oranje’, mede omdat onze controleaanpak voor uitkeringen gegevensgericht moet worden met extra steekproeven. Overigens beoogt uw gemeente wel extra maatregelen te nemen, zoals het vierogen principe en de tijdige afwikkeling van werkopdrachten, maar dit hebben wij nog niet kunnen vaststellen. Wij adviseren het college de voorgestelde verbetermaatregelen op korte termijn te laten implementeren.

Daarnaast dienen de interne controles voor de rechtmatige toekenning van middelen en betalingen aan de uitkeringsgerechtigden (alsnog) zichtbaar vastgelegd te worden in het bestaande workflow systeem. De gemeente stelt jaarlijks een voorziening voor dubieuze debiteuren op voor incassorisico’s op bestaande bijstandsvorderingen. De berekeningswijze voor deze voorziening is uitgewerkt in een position paper, maar wordt in de praktijk onvoldoende toegepast. Wij adviseren het college om de bestaande position paper uiterlijk eind 2024 te actualiseren en toe te passen zodat de voorziening Dubieuze debiteuren beleidsmatig onderbouwd en controleerbaar is.

Subsidieverleningen Voor subsidieverleningen zijn de opzet van het proces en het bestaan van de interne beheersingsmaatregelen toereikend. Eerder hebben wij aandacht gevraagd voor de subsidies waarbij geen subsidieregeling aanwezig is en het afwegingskader ‘inkopen versus subsidies’ niet is opgesteld. Uw gemeente heeft in 2023 een position paper opgesteld met de procesmatige verwerking van deze subsidies. Subsidievaststellingen Voor subsidievaststellingen vinden wij de opzet van het proces en het bestaan van de interne beheersingsmaatregelen adequaat. Op basis van tussentijdse cijfers over 2024 (begin september 2024) constateren wij dat de eventuele achterstand beperkt is, namelijk € 1,7 miljoen. Wel adviseren wij het college de (wettelijke) termijn voor de vaststelling te bewaken en aanvragen tot vaststelling waarbij sprake is van hogere risico’s (vooral de kans op lagere vaststelling) met prioriteit te behandelen.

Interim bevindingen: Fysiek domein Voor het Fysiek domein hebben wij 6 processen als relevant aangemerkt. Wij hebben bij de interim-controle ook aandacht besteed aan de toezeggingen die door het college aan de Rekeningencommissie zijn gedaan bij de verantwoording over 2023. Het proces van parkeeropbrengsten hebben wij in onze interim-controle nog niet beoordeeld en zal in de jaareindecontrole worden meegenomen. Grondexploitaties Het aantal grondexploitaties is tot eind september 2024 nauwelijks gewijzigd. In 2024 heeft de raad één nieuwe grondexploitatie vastgesteld. Daarnaast zijn er geen grondexploitaties afgesloten, wel worden nog enkele dit jaar verwacht. Daarnaast zijn er nog geen door de raad goedgekeurde herziene grondexploitaties. Actualisatie van de grondexploitatie Dreven Gaarden Zichten (DGZ) wordt conform de toezegging van het college vóór het einde van het jaar verwacht. 12/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

Grondexploitaties kennen een lange doorlooptijd. In deze periode treden project- en marktrisico’s en kansen (positieve effecten) binnen de financiële kaders van de grondexploitatie op. Voor het proces grondexploitaties zijn de opzet en het bestaan van de interne beheersingsmaatregelen om deze risico’s zichtbaar te beperken niet toereikend. Dit betreft vooral de onvoldoende verifieerbare vastlegging van sommige eerste en de tweede-lijnscontroles en het ontbreken van een derde-lijnscontrole (Internal Audit). Het risico is hierdoor aanwezig dat financiële risico’s binnen een grondexploitatieproject onopgemerkt blijven. Vanwege deze redenen hebben wij dit proces als ‘oranje’ aangemerkt. De gemeente geeft aan de tweede-lijnscontrole in te voeren, inclusief vastlegging in een procedurebeschrijving. Wij adviseren het college aandacht te besteden aan de zichtbare vastlegging van uitgevoerde interne controles zowel in de eerste – als in de tweede lijn. Ook adviseren wij de waardering van grondexploitaties in procesbeschrijvingen op te nemen, waardoor uniformiteit wordt gestimuleerd en eenduidige sturing, monitoring en bewaking wordt ondersteund. In onze eerdere Board Letters en accountantsverslagen (2021 t/m 2023) hebben wij gerapporteerd over verslaggevingstechnische aanscherpingen in de kaders, zoals de normering van de PPT-criteria en het partieel afsluiten van grondexploitaties.

Het college heeft toegezegd de Verordening Beheersregels Grondexploitaties en Strategisch bezit 2018 uiterlijk rond de zomer 2024 te actualiseren. Begin november hebben wij een aangepaste versie van de concept verordening ontvangen. Wij constateren daarom dat de toezegging nog niet is gerealiseerd. De actualisatie van de Nota Vastgoed en de Nota Grondbeleid is eveneens nog niet afgerond. Wij benadrukken nogmaals het belang van een tijdige actualisatie en de vaststelling van deze kaders en vragen het college om inzicht in de voortgang hiervan. Tijdschrijven Het proces tijdschrijven is dit jaar als relevant proces aangemerkt voor onze interim-controle. Dit vanwege de impact van de toerekening en activering van sommige personeelskosten via het tijdschrijven binnen het Fysiek domein. Wij

hebben geen nieuwe bevindingen geconstateerd bij dit proces. De opzet van het proces vinden wij toereikend. Investeringen Het proces Investeringen, uitgaven binnen het Meerjaren investeringsplan (MIP), vinden wij in opzet toereikend. De huidige P&C-cyclus voorziet formeel nog niet voldoende in tussentijdse inzichtelijke voortgangsinformatie met betrekking tot het MIP. In de 4- en 8-maandsrapportage van 2024 heeft de gemeente vooruitlopend op de actualisatie van het financieel beleid, zoals aangegeven in de contourenbrief van het college, inzicht geboden in de verwachte uitputting van het MIP. Hiermee wordt gedeeltelijk invulling gegeven aan ons advies van afgelopen ja(a)r(en). In het accountantsverslag 2023 hebben wij gerapporteerd over de (tussentijdse) verantwoording van de onderwijshuisvesting (OCW). Net als vorig jaar constateren wij dat de tijdige administratieve verwerking en monitoring van deze kosten gedurende het jaar niet genoeg ondersteund wordt door de huidige richtlijnen voor de scholen op basis van de verordening. Het proces is hierdoor voor verbetering vatbaar. Per jaareinde is een juiste en volledige verwerking van deze kosten en daaraan gerelateerde activering daarom sterk afhankelijk van een zorgvuldig en arbeidsintensief proces van afstemming met schoolbesturen. Vanwege dit risico hebben wij dit proces wederom als ‘oranje’ geclassificeerd.

Overigens is in de verordening opgenomen dat de scholen drie jaar na oplevering nog mogen declareren. De gemeente inventariseert maatregelen ter verbetering van de sturing op dit proces. Activeringsgrens conform de Verordening financieel beheer en beleid 2019 In ons accountantsverslag 2023 hebben wij een correctie gerapporteerd over investeringen in laptops en telefoons, kleiner dan € 50.000 per stuk (gemeentebreed). In de voorgestelde herziening van de financiële verordening heeft de gemeente haar bestendige gedragslijn expliciet vastgelegd, hiervoor is artikel 4:9, lid 1c toegevoegd. Wij vinden dit aanvaardbaar. 13/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

Verhuur De opzet van het proces Verhuur voorziet in een Bibob-toets om het risico op het faciliteren van criminele activiteiten te beheersen. Bij de interim-controle constateerden wij dat voorafgaand aan een specifieke verhuurovereenkomst ten onrechte geen Bibob-toets is uitgevoerd. Naar aanleiding van onze bevinding heeft de gemeente inmiddels de opdracht gegeven om de toets alsnog uit te voeren. Wij adviseren het college om de Bibob-toets altijd uit te laten voeren bij nieuwe of onbekende klanten overeenkomstig de gemeentelijke richtlijnen. Omgevingsvergunningen (bouwleges) De invoering van de nieuwe Omgevingswet zorgt voor diverse uitdagingen voor de gemeente. Daarbij blijven de omgevingsvergunningsaanvragen, en daarmee de bouwlegesopbrengsten, in het nieuwe landelijke systeem Digitaal Stelsel Omgevingswet (DSO) achter op de begroting. Hierdoor komt de voorziening Bouwleges ultimo 2024 naar verwachting negatief uit. Daarnaast werkt de nieuwe gemeentelijke applicatie Centric Leefomgeving (CLO), waarin de aanvragen door de gemeente worden behandeld, nog niet geheel toereikend. Volledigheid baten uit bouwleges De gemeente heeft vanaf 2024 de Centric Leefomgeving (CLO) geïmplementeerd ter beoordeling en verwerking van nieuw ontvangen verzoeken voor omgevingsvergunningen.

Het gebruik van CLO leidt tot knelpunten, zoals het ontbreken van bepaalde overzichten, die voorheen in Key2vergunningen wel beschikbaar waren. Hierdoor bestaat het risico dat omgevingsvergunningen niet volledig worden gefactureerd in het daarvoor bestemde systeem IBS 2000 en daarmee in de financiële administratie en programmarekening 2024. Eind september was ongeveer € 1 miljoen gefactureerd ten opzichte van circa € 30 miljoen begroot. De gemeente is bezig om oplossingen te vinden. Vooruitlopend hierop adviseren wij het college om de standen volgens Key2vergunningen, CLO en IBS2000 tussentijds aan te laten sluiten. Hiermee wordt de mogelijke impact voor de programmarekening eerder en beter in kaart gebracht. Mogelijke oplossingen kunnen hierna concreter worden uitgewerkt.

Negatieve voorziening bouwleges Volgens de nota Lokale heffingen van de BBV is een negatieve voorziening voor bouwleges niet toegestaan. Een mogelijk tekort moet daarom ten laste van de exploitatie worden opgelost. Wij adviseren het college de raad expliciet te informeren over dit tekort via de programmarekening 2024. Tevens constateren wij dat artikel 5:10, lid 2 van de huidige “Algemene verordening financieel beheer en beleid gemeente Den Haag 2019” een negatieve voorziening wel toestaat. Daarmee is de verordening formeel niet in overeenstemming met de BBV. In de herziening van deze verordening wordt dit overigens gecorrigeerd.

Interim bevindingen: Publiek domein Belastingen In de opzet en het bestaan zijn de beheersmaatregelen voor het proces van Gemeentelijke belastingen toereikend. Wel constateren wij dat uitgevoerde interne controles niet zichtbaar worden vastgelegd. Andere beheersingsmaatregelen compenseren het risico op onvolledige belastingbaten. Toch adviseren wij het college om de uitkomsten van de uitgevoerde controles (zichtbaar) vast te leggen. Secretarieleges Voor het proces secretarieleges hebben wij de opzet en het bestaan van de interne beheersmaatregelen beoordeeld als ‘oranje’ en geen nieuwe bevindingen geconstateerd. De gemeente is bezig met het opvolgen van onze bevindingen van vorig jaar (zie bijlage 1). De gemeente is van plan om een systeem aan te schaffen voor de uitgifte van reisdocumenten en rijbewijzen en aanscherping van het voorraadbeheer. Voor de opvolging van de bevindingen met betrekking tot het kasverkeer bij de balies heeft de gemeente twee nieuwe betaalautomaten aangeschaft. Hiermee wordt een aantal geconstateerde tekortkomingen verholpen, waaronder het ontbreken van strikte kasprocedures en de fysieke scheiding in de kluis. Ook wordt de omvang van de fysieke kasgelden binnen de gemeente hierdoor 14/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen

verlaagd. Wij adviseren het college om de implementatie van de nieuwe betaalautomaten te evalueren zodra deze volledig in gebruik zijn, om vast te stellen dat de gewenste verbeteringen in de kasprocedure worden gerealiseerd.

Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie 15/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Legenda

Interim bevindingen: IT & Cyber De accountant is wettelijk verplicht te rapporteren over de bevindingen ten aanzien van de betrouwbaarheid van de geautomatiseerde gegevensverwerking. Door het testen van General IT Controls (logische toegangsbeveiliging, wijzigingsbeheer, uitbestedingsbeheer en continuïteit) worden de randvoorwaarden voor een beheerste IT-omgeving vastgesteld. Wij beschouwen de IT-omgeving van groot belang voor de gemeente Den Haag en daarmee ook voor de jaarrekeningcontrole. Op basis van onze risicoanalyse hebben wij de General IT Controls getest op de opzet, het bestaan en de werking voor de belangrijkste IT applicaties van het financiële proces (Oracle FIN en Oracle HR) en het subsidieproces CVS (Client Volg Systeem). Tijdens onze jaareindecontrole onderzoeken wij nog meer IT-applicaties conform onze controleaanpak. Bevindingen (opzet, bestaan en werking) Op basis van uitgevoerde werkzaamheden hebben wij de volgende bevindingen.

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid

Logische toegangsbeveiliging

Applicaties Oracle FIN Oracle HRS CVS

Bijlage 4: Communicatie

Authenticatie Autorisatie beheer beheer

Wijzigings- Uitbestedingsbeheer beheer

Continuïteit

= Op dit moment voldoende = Adviespunt, verdere aanscherping mogelijk = Noodzakelijke verbetering op (korte) termijn = Niet onderzocht Voor het aspect continuïteit zijn wij afhankelijk van assurance rapporten van de leveranciers. Deze worden begin 2025 verwacht als input voor onze jaarrekeningcontrole. Wij rapporteren hierover in het accountantsverslag 2024. Het algehele beeld is dat de IT-beheersing van de twee onderzochte Oracle applicaties (FIN en HRS) toereikend is. Wij verwachten daarmee voor de uitvoering van onze controlewerkzaamheden gebruik te kunnen maken van de informatieverwerking en rapportages uit deze applicaties. Voor CVS zijn onze bevindingen op het wijzigings- en uitbestedingsbeheer zodanig ontoereikend dat wij genoodzaakt zijn over te gaan op een meer gegevensgerichte controle voor subsidies, resulterend in extra steekproeven. Oracle HRS Wij hebben voor Oracle HRS geen Plan-Do-Check-Act cyclus ten aanzien van functie-autorisatiebeheer kunnen vaststellen. Door het ontbreken van juiste functie-autorisatiematrices bestaat het risico dat de functiescheiding in Oracle HRS wordt doorbroken en ongeautoriseerde wijzigingen in de personeels- en salarisadministratie worden verwerkt.

Wij adviseren het college om voor Oracle HRS ten minste alle hoog-risico gebruikers elk kwartaal te beoordelen, waarbij de leidinggevende zichtbaar beoordeelt of rechten en rollen binnen Oracle HRS terecht zijn. CVS Wij hebben voor CVS-subsidies geen beheersing voor het uitbestedingsbeheer kunnen vaststellen. De gemeente heeft technische afspraken voor CVS. Deze worden echter niet periodiek geëvalueerd waardoor prestaties onvoldoende 16/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord Bestuurlijke boodschappen Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

zichtbaar zijn en deze vanuit de gemeentelijke organisatie niet kunnen worden beoordeeld. De gemeente heeft hierdoor geen zicht op de prestaties van haar externe IT leveranciers. Door het ontbreken van het uitbestedingsbeheer bestaat de kans dat de continuïteit van data niet beschikbaar is en data onbetrouwbaar. Wij adviseren het college om contracten met serviceverleners periodiek te monitoren op het realiseren van de afgesproken kritische succes factoren volgens de Service Level Agreements en de Service Level Reports. Daarnaast hebben wij voor CVS geen beheersing rondom wijzigingsbeheer kunnen vaststellen, doordat de teststappen van wijzigingen niet zichtbaar worden vastgelegd. Door het ontbreken van een effectief wijzigingsbeheer kunnen wij niet beoordelen of softwarewijzigingen een gestructureerd wijzigingsbeheer doorlopen, waardoor wij de betrouwbaarheid van de verwerking van gegevens onvoldoende kunnen vaststellen. Wij adviseren het college om de wijzigingen een gestructureerde wijzigingsprocedure te laten doorlopen én vast te leggen.

Het vervangen van deze omvangrijke systemen heeft grote impact op het ITlandschap van de gemeente. Hierbij is vooral de samenhang en de technische koppelingen met andere systemen van groot belang. Vanwege deze risico’s, zoals mogelijke technische complicaties, de complexiteit van de integratie met bestaande systemen en de migratie van data, adviseren wij het college om: ▪ een toereikende governancestructuur in te richten en een integrale impact- en risicoanalyse uit te voeren, zodat de vervanging van deze systemen binnen de gestelde tijd, de kwaliteit en het budget kan worden gerealiseerd. ▪ de huidige situatie tijdig in beeld te brengen, processen waar nodig te standaardiseren en data op te schonen, zodat de migratie naar de nieuwe situatie beheerst uitgevoerd kan worden. Wij kunnen aanvullend op de (interne) kwaliteitsreviews gevraagd en ongevraagd tussentijdse (IT-) onderzoeken uitvoeren naar onder andere de inrichting, security en projectbeheersing. Dit zodat de IT-systemen blijven voldoen aan de vereisten.

Cyber security Begin 2025 voeren wij een nieuw cyber security assessment uit, waarbij de domeinen van het NIST-raamwerk worden getoetst. Daarbij sluiten wij aan op het lopende BIO-onderzoek (Baseline Informatiebeveiliging Overheid) binnen de gemeente. Onze bevindingen rapporteren wij in het accountantsverslag 2024. Vervanging vitale IT-systemen De gemeentelijke organisatie beoogt de komende jaren met behulp van het programma Modernisering van de Bedrijfsvoeringssystemen (MBS) een nieuw Enterprise Resource Planning (ERP) systeem en een nieuw systeem voor de personeelsadministratie en de salarisverwerking te selecteren en te implementeren. Hiermee worden het huidige financiële systeem (Oracle FIN), de personeelsadministratie (Oracle HRS) en de salarisverwerking (thans belegd bij ADP) vervangen. 17/31

Gemeentelijke Accountantsorganisatie Den Haag

Interne beheersing Voorwoord

Fraude

Bestuurlijke boodschappen

Verantwoordelijkheden De primaire verantwoordelijkheid voor het voorkomen en het detecteren van fraude berust bij het college, onder toezicht van de raad. Wij zijn verantwoordelijk voor het geven van redelijke zekerheid dat de jaarrekening als geheel vrij is van materiële onjuistheden, ongeacht of deze nu voortkomen uit fraude of fouten.

Interne beheersing ▪ ▪ ▪ ▪ ▪ ▪ ▪ ▪

Samenvattend Bedrijfsvoering Bestuursdienst Sociaal domein Fysiek domein Publiek domein IT & Cyber Fraude

Vooruitblik Bijlage 1: Opvolging bevindingen 2023 Bijlage 2: Nieuwe bevindingen 2024 Bijlage 3: Onafhankelijkheid Bijlage 4: Communicatie

Toenemende aandacht De gemeentelijke frauderisico analyse is voor het eerst opgesteld in 2022 en wordt nu jaarlijks geactualiseerd. Hierdoor is de toenemende aandacht op het management- en uitvoeringsniveau ontstaan voor het signaleren en beheersen van frauderisico’s. Wij hebben de gemeentelijke frauderisico analyse uit 2024 vergeleken met onze eigen frauderisico analyse. De gemeentelijke analyse biedt volgens ons gedegen inzicht in de frauderisico’s die de organisatie loopt. Over de impact en kans van sommige risico’s hebben wij een andere inschatting. Wij schatten bijvoorbeeld de frauderisico’s voor Inkopen en Aanbestedingen hoger in dan uw gemeente, aansluitend op onze bevindingen uit de interim-controle. Een gedeelde risico inschatting hebben wij over het mogelijk frauduleus gebruiken of verstrekken van digitale en/of fysieke vertrouwelijke (persoons)gegevens. Frauderisico’s manifesteren zich immers niet alleen op fysieke goederen of geld, maar ook op informatie. Zicht op dergelijke kwetsbaarheden binnen de gemeentelijke organisatie en de mogelijke impact hiervan kan nog verder worden verbeterd.

Beheersing van corruptierisico Het beheersen van corruptierisico’s blijft een aandachtspunt. Binnen de gemeente zijn verschillende beheersingsinstrumenten ingeregeld om het risico hierop tot een geaccepteerd niveau te kunnen reduceren. Een van de maatregelen is het uitvoeren van een Bibob-toets bij het aangaan van contractuele verplichtingen met externe partijen. Een dergelijke toets ziet toe op het voorkomen dat de overheid criminele activiteiten faciliteert. Tijdens onze interim-controle hebben wij geconstateerd dat deze Bibob-toets in een situatie niet is uitgevoerd bij huurovereenkomsten. Deze constatering leidt niet tot materiële afwijkingen in de financiële verantwoording. Wel kan het niet uitvoeren van een dergelijke toets leiden tot (onbewust) onrechtmatig handelen en verhoogt ongewenst het corruptierisico. Omdenken blijft nodig (‘out of the box’) Wij blijven een groot voorstander van een integrale benadering op (fraude) risicobeheersing binnen en tussen de gemeentelijke processen. Dit kan onder andere worden bereikt door vaker verbandscontroles toe te passen en beschikbare operationele en financiële datastromen met elkaar te vergelijken. Door (on)verwachte ‘slimme’ verbanden te leggen kunnen frauderisico’s soms tijdiger worden gesignaleerd. -