RIS323713 GAD Board Letter 2025

\

Board Letter 2025 Gemeente Den Haag

GAD/2025.95 RISnr 323713 27 november 2025 Spui 70, 2511 BT Den Haag secretariaatgad@denhaag.nl www.denhaag.nl 1/28

Inhoudsopgave Voorwoord Samenvatting en boodschappen Interne beheersing - governance Interne beheersing – Overkoepelend beeld Interne beheersing – Bedrijfsvoering Interne beheersing – Fysiek domein Interne beheersing – Sociaal domein Interne beheersing – Publiek domein Interne beheersing - IT Interne beheersing – fraude Aandachtspunten Rekeningencommissie Vooruitblik – planning eindejaarscontrole Vooruitblik- relevante ontwikkelingen

3 4 6 7 9 11 12 14 15 16 17 18 19

Bijlage 1: Opvolging bevindingen Board Letter 2024 Bijlage 2: Nieuwe bevindingen 2025 Bijlage 3: Bevindingen GITC per applicatie Bijlage 4: Onafhankelijkheid Bijlage 5: Communicatie

20 25 26 27 28

2/28

Voorwoord Geachte leden van de raad, geacht college, De gemeenteraadsverkiezingen van maart 2026 staan weer voor de deur. Een nieuwe beleidsperiode: dat betekent een nieuwe gemeenteraad, een nieuw college en een nieuw coalitieakkoord. Voor ons als gemeentelijke accountantsorganisatie is deze Board Letter daarom de aangewezen plek om de balans op te maken. Wat hebben de afgelopen vier jaar van controles, audits en bevindingen de gemeente Den Haag gebracht? Die balans, kan ik constateren, slaat door naar de positieve kant. De gemeente zet duidelijke stappen vooruit in de financiële beheersing en verantwoording. Met de Contourenbrief actualisatie financieel beleid (RIS314462) en duidelijkere spelregels voor de begroting en verantwoording zijn de kaders nu helder. De gemeente heeft hiermee de sleutel in handen om meer grip te krijgen op de eigen financiën, ook in de dagelijkse werkprocessen. Resultaten daarvan zijn te zien, bijvoorbeeld bij het verstrekken van subsidies, onderdelen van het betaalproces en de parkeeropbrengsten. Belangrijk voor deze ontwikkeling is de jaarlijkse rechtmatigheidsverantwoording die het college sinds 2023 aflegt over het naleven van de financiële spelregels in de eigen organisatie. Die verantwoordingsverplichting heeft het bewustzijn vergroot en werkt door binnen de hele gemeente.

De gemeente Den Haag laat zien dat ze die verantwoordelijkheid voelt: niet enkel het college, maar ook de ambtelijke organisatie.

Veel van onze bevindingen uit 2024 en de jaren daarvoor heeft de gemeentelijke organisatie inmiddels opgelost. Daarnaast zijn er punten die de komende tijd blijvend aandacht vragen, ook van de nieuwe gemeenteraad die volgend voorjaar aantreedt. Wij denken dan met name aan de IT-infrastructuur voor de leges van omgevingsvergunningen, tijdige verantwoording over Wmo en jeugdzorg, waardering van grondexploitaties en de rechtmatigheidsverantwoording – onderwerpen die tot financiële fouten en/of onzekerheden kunnen leiden in ons oordeel over de gemeentelijke jaarrekening.

Met vriendelijke groet, Origineel getekend door

Gemeentelijke Accountantsorganisatie Den Haag Den Haag, 27 november 2025 drs. C.G.A. Slotema-Tesser RA MPC CPC Directeur Gemeentelijke Accountantsorganisatie Den Haag/gemeente accountant

De gemeente beweegt dus in de goede richting, maar er zijn nog stappen te zetten. Als de organisatie al gedurende het lopende begrotingsjaar tussentijds meer inzicht krijgt in het eigen financiële handelen en de rechtmatigheid daarvan, voorkomt dat voor de gemeente verrassingen achteraf. Dat kan bijvoorbeeld door controles van de rechtmatigheidsverantwoording gespreid binnen een jaar uit te voeren en daarover per kwartaal te rapporteren. Ook het beter documenteren en opvolgen van interne controles biedt mogelijkheden tot meer tussentijds inzicht.

3/28

Samenvatting en boodschappen Governance: heldere kaders voor financieel beheer De gemeente heeft belangrijke stappen gezet in het verbeteren van het financieel beheer. De Contourenbrief actualisatie financieel beleid (RIS314462) zet de koers uit om de financiële huishouding van de gemeente toekomstbestendig te maken. Alle diensten zijn bezig om hun processen te beschrijven of te actualiseren. Actuele en betrouwbare procesbeschrijvingen zijn belangrijk als basis voor goede interne beheersing en uniform werken. Het is daarom belangrijk dat de gemeentelijke diensten dit traject voortvarend blijven uitvoeren.

Zo brengen wij het principe van ‘Samen Haags’ in praktijk. Als dit niet wordt gehaald dan informeren wij de gemeenteraad.

Om overzicht te bieden over deze beleidsperiode, hebben wij gekeken wat er is gebeurd met de bevindingen die wij de afgelopen vier jaar deden tijdens onze controles. Van de 66 eerder gerapporteerde bevindingen zijn 37 opgelost of door het college bestempeld als aanvaardbaar risico. 29 bevindingen zijn nog onderhanden, waarvan diverse IT- gerelateerde bevindingen uit 2024. Daarnaast hebben wij 10 nieuwe bevindingen geconstateerd op basis van onze interim controle 2025. Deze verdienen aandacht van het college. In grote lijnen is daarmee verbetering zichtbaar in de interne beheersing bij de door ons onderzochte gemeentelijke processen. In deze Board Letter rapporteren wij vooral risicovolle onderdelen waar verdere verbetering noodzakelijk of gewenst is. De belangrijkste bevindingen zijn in deze samenvatting opgenomen.

Basis verder verstevigen Functiescheiding: balans tussen controle en vertrouwen Bij verschillende processen binnen de gemeente zien wij dat functiescheiding tussen medewerkers ontbreekt of onvoldoende aanwezig is. Vaak heeft dat een praktische reden. Het (bijna) ontbreken van functiescheiding levert risico’s op. Veelal onderkent en accepteert de gemeente dat risico, maar onaanvaardbare situaties komen ook voor, met name bij het vernietigen van verlopen of onbruikbare reisdocumenten. Hierbij horen twee medewerkers aanwezig te zijn, maar dat is niet (altijd) het geval. Potentiële risico’s door onvoldoende functiescheiding doen zich voor op verschillende plekken in de organisatie, bijvoorbeeld in het inkoopproces bij prestatieverklaringen, bij het uitvoeren en controleren van betaalbestanden en bij het toekennen van jeugdvoorzieningen. Bij zaken als functiescheiding en onderlinge controle is het zoeken naar de juiste balans. Te rigide controle kan de effectiviteit en efficiency in de weg staan. Waar zaken als functiescheiding en het vier ogenprincipe van toepassing zijn, is het belangrijk dat de organisatie een weloverwogen risicoafweging maakt in het zoeken naar de juiste balans tussen vertrouwen en controle. Als GAD willen en kunnen wij hierin een gesprekspartner voor de diensten zijn.

Strakke planning jaarcontrole 2025 De gemeenteraad heeft ons gevraagd om de controleverklaring voor de jaarrekening 2025 af te geven op 21 april 2026. Dat is twee weken eerder dan dit jaar. Om te voorkomen dat dit ten koste gaat van de kwaliteit van het verantwoordings- en controleproces, hebben wij met de gemeentelijke organisatie strakke afspraken gemaakt over onder meer de planning én het tijdig aanleveren van kwalitatief goede gegevens. Voorbeelden zijn de tijdige oplevering van de rechtmatigheidsverantwoording en onderbouwing daarvan door de afdeling Internal Audit, de informatie over grondexploitaties, specifieke uitkeringen van het Rijk (SiSa), jeugdzorg en Wmo. Om de geplande datum te halen, is het absoluut noodzakelijk dat gemeentelijke diensten en de GAD zich houden aan deze afspraken.

Vastlegging gewenst Terwijl de gemeentelijke organisatie onmiskenbaar stappen zet in het financieel beheer, blijven er punten van aandacht. Opvallend is dat op verschillende plekken in de organisatie onvoldoende zichtbaar is of interne controles plaatsvinden, omdat deze niet of ontoereikend worden vastgelegd. Voor ons maar vooral ook voor de organisatie zelf is het daarom onduidelijk of en hoe dergelijke controles zijn verricht, en wat het resultaat daarvan was. Hiermee ontneemt de gemeente zich ook de mogelijkheid om hiervan te leren en processen te verbeteren. Wij zagen bijvoorbeeld dat de uitgevoerde interne controles op betaalbestanden en prestatieverklaringen niet altijd zichtbaar worden vastgelegd. Daarmee ontbreekt inzicht in de volledigheid en effectiviteit van dergelijke controles en wordt het risico

4/28

Samenvatting en boodschappen op mogelijke fouten groter. Ook interne controles op de juiste waardering van grondexploitaties worden gedurende het jaar achteraf vastgelegd, met als mogelijk gevolg dat financiële risico’s onopgemerkt blijven of pas laat worden gesignaleerd. Ook ontbreekt zichtbare controle vooraf op de juistheid van de legestarieven die de gemeente hanteert voor omgevingsvergunningen; dat gebeurt pas achteraf. Het ontbreken van controledocumentatie betekent dat het management niet altijd tijdig beschikt over sturingsinformatie, en dat maakt het lastig om de nodige vervolgacties in gang te zetten. Een andere consequentie is dat wij meer moeten controleren en dat controles een langere doorlooptijd hebben. Betere documentatie van interne controles betekent dus meer mogelijkheden om tijdig bij te sturen, processen te verbeteren en minder kans op verrassingen of noodzakelijke correcties achteraf. Bevindingen per domein Bedrijfsvoering: vooruitgang met ruimte voor verdere versterking Op het gebied van bedrijfsvoering constateren wij dat de gemeente stappen vooruit heeft gezet, zoals verbeteringen in de betaalorganisatie door het verbeterprogramma beheersbaar betalen. Ook bij de acht onderzochte financiële IT-applicaties constateren wij dat de gemeente bezig is om eerder gerapporteerde IT-bevindingen op te volgen.

Duidelijke verbetering zien wij bij het authenticatie- en wijzigingsbeheer, en ook in het leveranciersbeheer. Het autorisatiebeheer is bij de meeste onderzochte applicaties toereikend. Maar er blijven stappen voorwaarts te zetten, zoals bij de externe inhuur binnen raamovereenkomsten of bij uitdiensttredingen. Bij externe inhuur komt het voor dat contracten worden verlengd terwijl dat niet van tevoren is afgesproken. Daarnaast leeft de organisatie de aanbestedingsregels onvoldoende na zoals het vastleggen van gehanteerde selectiecriteria of het afgesproken maximaal aantal uren. Dit leidt tot potentiële rechtmatigheidsrisico’s. Ook melden leidinggevenden uitdiensttredingen niet altijd tijdig aan HR, waardoor de gemeente onterecht salaris doorbetaalt. Het gaat om enkele gevallen per maand. Achteraf wordt dit overigens wel gecorrigeerd.

Fysiek domein: aansluiting IT-systemen omgevingsvergunningen noodzakelijk voor betrouwbare verantwoording De IT-infrastructuur voor omgevingsvergunningen vraagt om aandacht. Nog steeds is er geen aansluiting te maken tussen het aantal aanvragen uit de landelijke applicatie, Digitaal Stelsel Omgevingswet, en het gemeentelijke systeem Centric Leefomgeving. Om deze aansluiting tot stand te brengen, is de gemeente afhankelijk van interne ITcapaciteit. Het ontbreken van een dergelijke aansluiting maakte dat wij in de controle van de jaarrekening 2024 een onzekerheid opnamen van € 6 miljoen. Zonder een toereikende aansluiting kan dat ook voor 2025 weer nodig zijn. Sociaal domein: tijdigheid verantwoordingen jeugdzorg en Wmo vraagt aandacht Een punt van aandacht is de financiële verantwoording van de aanbieders van jeugdzorg en Wmo. De samenwerkingsverbanden voor de lokale jeugdhulp hebben pas heel laat de gecontroleerde jaarrekeningen over 2024 aangeleverd. Daarnaast zijn gecontroleerde productieverantwoordingen van zorgaanbieders (Wmo en regionale jeugdzorg) per 1 april een belangrijke basis voor onze controle. Tijdige aanlevering is wederom een punt van aandacht, zeker gezien de beoogde afronding van de jaarrekeningcontrole 2025 voor het meireces 2026.

Publiek domein: vernietigen reisdocumenten en kasstaten vraagt aandacht Sinds dit jaar gebruikt de gemeente op twee stadsdeelkantoren de applicatie voor het veilig opslaan, beheren en uitgeven van identiteitsbewijzen. Dit is een stap vooruit, waarbij de toekenning voor toegangsrechten voor dit nieuwe systeem aandacht verdient. Verdere verbetering is nodig bij het vernietigen van verlopen of onbruikbare reisdocumenten waarbij twee medewerkers aanwezig horen te zijn. Aandacht verdienen ook de kasstaten. Deze worden niet structureel gecontroleerd. Kasgegevens uit de gemeentelijke betaalautomaten, -systemen en de financiële administratie worden niet periodiek op elkaar aangesloten. Wij adviseren om dat wel te doen.

5/28

Interne beheersing - governance Sturing en interne beheersing: fundament van de governance Goed bestuur vraagt om duidelijke sturing, controle en verantwoording. Deze onderdelen vormen samen de governance van de gemeente: de manier waarop de organisatie wordt bestuurd en gecontroleerd. Een belangrijk onderdeel hiervan is de interne beheersing. Dat betekent dat processen en verantwoordelijkheden zo zijn ingericht dat de gemeente grip houdt op haar werkzaamheden en geldstromen. Daardoor kan de organisatie tijdig bijsturen en fouten of onrechtmatigheden voorkomen. Sterkere financiële sturing voor meer grip op uitvoering De gemeente heeft het afgelopen jaar verder gewerkt aan het verbeteren van het financieel beleid. Met de uitvoering van de Contourenbrief actualisatie financieel beleid (RIS314462) is een duidelijke koers ingezet om de financiële huishouding toekomstbestendig te maken, bijvoorbeeld door het actualiseren van de begrotingsregels en het transparanter maken van de planning- en controlcyclus. De nieuwe Financiële verordening 2025 legt de belangrijkste begrotingsregels vast. Hierdoor zijn de spelregels binnen de organisatie duidelijker geworden op het gebied van de begroting en verantwoording, financieel beheer en beleid. Ook is de koppeling verbeterd tussen beleid, middelen en resultaten.

Bovendien is de planning- en controlcyclus vereenvoudigd: de voorjaars- en najaarsnota geven voortaan tijdiger inzicht in de tussentijdse financiële stand van zaken.

uniformiteit in de manier van werken. Het beschrijven van processen zorgt ervoor dat iedereen weet wie wat doet en hoe de gemeente haar werkzaamheden uitvoert. Dit helpt om fouten te voorkomen en maakt controles en verantwoording eenvoudiger. Het is belangrijk dat de diensten dit traject verder oppakken en afronden, zodat de gemeente beschikt over actuele en betrouwbare procesbeschrijvingen als basis voor een goed werkende interne beheersing. Versterking van onafhankelijkheid bij Internal Audit De afdeling Internal Audit (IA) vervult een belangrijke onderzoeksfunctie bij het bewaken van de interne beheersing binnen de gemeente. Per 1 juli 2025 is deze afdeling ondergebracht bij de Bestuursdienst. Dat versterkt de onafhankelijke positie van IA. Ook dit jaar moet IA een groot deel van haar capaciteit inzetten voor onderzoeken ten behoeve van de rechtmatigheidsverantwoording. Als de gemeentelijke organisatie de komende jaren het inkoopproces verder verbetert en de interne controles versterkt, kan IA de eigen onderzoeken efficiënter uitvoeren. Dit draagt bij aan een betere rechtmatigheidsverantwoording door het college en vermindert de kans op onrechtmatigheden in de jaarrekening. Ook is het belangrijk dat tijdiger inzicht bestaat over mogelijke onrechtmatigheden, bij voorkeur al gedurende het lopende jaar.

Vastleggen van processen versterkt de interne beheersing Bij de tussentijdse controle hebben wij vastgesteld dat de gemeente is gestart met het vastleggen van haar operationele en financiële processen in de applicatie Engage, zoals diverse bedrijfsvoeringsprocessen, Europese aanbestedingen en de uitvoering van de sociale uitkeringen. Dit is een belangrijke stap naar meer duidelijkheid en

6/28

Interne beheersing – Overkoepelend beeld

Op basis van de uitkomsten van deze beoordeling bepalen wij de aanpak van onze eindejaarscontrole begin 2026. Waar de interne beheersing ontoereikend is, controleren wij extra om zekerheid te krijgen over de cijfers. De uitkomsten uit onze tussentijdse controle leiden niet tot belangrijke wijzigingen in onze controleaanpak 2025. Legenda

= + -/nieuw

= toereikend = verbeteringen gewenst, adviespunt = ontoereikend = interne beheersing onveranderd t.o.v. voorgaand jaar = interne beheersing verbeterd t.o.v. voorgaand jaar = interne beheersing verslechterd t.o.v. voorgaand jaar = nieuw proces, geen observaties uit voorgaande jaren

Bedrijfsvoering Sociaal domein

Wij concluderen dat de interne beheersing bij de meeste processen is verbeterd of tenminste vergelijkbaar is met vorig jaar. Wij zien dat de gemeente stappen zet om de interne beheersing verder te verbeteren. Zo is het grootste deel van de langer openstaande bevindingen dit jaar afgewikkeld (zie volgende pagina). Voor het proces Omgevingsvergunningen vinden wij versterking van de interne beheersing noodzakelijk. Bij het proces Lonen en salarissen constateren wij een lichte verslechtering ten opzichte van vorig jaar. Voor onze detailbevindingen van risicovolle onderdelen verwijzen wij naar de toelichting per domein op pagina’s 9 – 15 in deze Board Letter.

Opzet

Bestaan

Voortgang Interne beheersing t.o.v. 2024

Inkopen - aanbestedingen

●

●

=

Inkopen – overige bedrijfskosten

●

●

+

Betalingen

●

●

+

Lonen en salarissen

●

●

-/-

Memorialen

●

●

=

Kostenverdeling

●

●

Nieuw

Subsidieverstrekkingen en vaststellingen

●

●

+

Sociale uitkeringen

●

●

=

WMO

●

●

=

Jeugd

●

●

+

Grondexploitaties

●

●

=

Omgevingsvergunningen

●

●

=

Parkeeropbrengsten

●

●

+

Afvalstoffenheffing

●

●

=

Secretarieleges

●

●

+

Domein

Publiek Fysiek domein domein

Tijdens onze tussentijdse controle (augustus – oktober) hebben wij de belangrijkste gemeentelijke bedrijfsprocessen onderzocht die invloed hebben op de jaarrekening. Per proces hebben wij afzonderlijk getoetst of de inrichting van het proces (de opzet) en de feitelijke uitvoering (het bestaan) van het proces toereikend zijn, en of sprake is van voortgang ten opzichte van vorig jaar (zie tabel 1). Daarbij hebben wij ook de onderliggende IT-applicaties meegenomen.

Proces

Tabel 1: Uitkomsten interim controle 2025 per proces

7/28

Interne beheersing – Overkoepelend beeld Veel openstaande bevindingen in 2025 afgewikkeld Bij onze jaarrekeningcontroles 2020 - 2024 hebben wij diverse bevindingen gerapporteerd in onze accountantsrapporten. De gemeente kan deze bevindingen opvolgen of het college kan ze aanmerken als geaccepteerd risico. Het college heeft de raad eerder dit jaar geïnformeerd over de opvolging van alle 48 nog openstaande bevindingen uit onze Board Letter 2024 (zie brief 8 juli 2025: RIS322763). Aanvullend hebben wij 18 nieuwe bevindingen in ons accountantsverslag 2024 gerapporteerd (RIS322001). Op basis van de collegebrief en aanvullende informatie van de gemeentelijke organisatie hebben wij de voortgang van deze bevindingen beoordeeld. De uitkomsten staan in onderstaande tabel. Tevens hebben wij 10 nieuwe bevindingen toegevoegd uit onze tussentijdse controle over 2025. Jaren Openstaande Aantal Aantal bevindingen nieuwe opgevolgd of begin 2025 bevindingen geaccepteerd in 2025 in 2025

Wij concluderen dat de gemeente 37 bevindingen heeft opgelost: in 33 gevallen is het betreffende proces voldoende verbeterd, in 4 gevallen heeft het college het mogelijke risico op fouten of fraude geaccepteerd. Veel bevindingen uit onze controles over de periode 2020-2024 zijn daarmee afgewikkeld. De gemeente werkt nog aan het oplossen van de resterende 29 openstaande bevindingen. Daarbij merken wij op dat de openstaande bevindingen uit 2021 en 2022 lastiger zijn op te lossen, waaronder de interne beheersing van grondexploitaties (zie pagina 11) en gemeentebrede toepassing van de AVG en Wpg (Wet politiegegevens). Voor een totaaloverzicht van onderhanden en nieuwe bevindingen verwijzen wij naar bijlagen 1 en 2.

Openstaande bevindingen eind 2025

2020

7

n.v.t.

(7)

-

2021

3

n.v.t.

(2)

1

2022

10

n.v.t.

(7)

3

2023

11

n.v.t.

(7)

4

2024

17

18

(14)

21

2025

n.v.t.

10

n.v.t.

10

Totaal

48

28

(37)

39

Tabel 2: Ontwikkeling voortgang bevindingen interne beheersing in 2025

8/28

Interne beheersing – Bedrijfsvoering Bij het onderdeel bedrijfsvoering hebben wij zes gemeentebrede processen beoordeeld: Betalingen, Lonen en salarissen, Europese aanbestedingen, Inkopen, Memorialen en Kostenverdeling. Betalingen Digitale opslag betaalbestanden buiten beveiligde omgeving Binnen het betaalproces constateren wij dat alle betaalbestanden vanuit dienstspecifieke systemen zoals Socrates (uitkeringen) tijdelijk worden opgeslagen op een netwerkschrijf, dus buiten de beveiligde omgeving van de financiële systemen en bank. Hierdoor bestaat het risico dat betaalgegevens ongeautoriseerd kunnen worden gewijzigd. De organisatie controleert onvoldoende periodiek of de toegangsrechten tot deze netwerkschijven actueel zijn. Deze constatering sluit aan bij onze eerdere bevinding (Bijlage 1, bevinding 2023.01). Een van de maatregelen uit het gemeentelijke verbeterprogramma Beheersbaar Betalen moet vanaf eind dit jaar leiden tot een gefaseerde oplossing van dit risico. Lonen en salarissen Niet tijdig melden van uitdiensttredingen Wij hebben vastgesteld dat leidinggevenden uitdiensttredingen niet altijd tijdig melden aan HR Services, waardoor onterecht salaris wordt uitgekeerd. Dit komt enkele malen per maand voor. De gemeente of de betreffende werknemers signaleren dit wel en daarna volgt correctie. Dit levert extra werk op.

Afwijkende controlegetallen bij salarisbetalingen Ook blijken bij salarisbetalingen de controlegetallen tussen de gemeente en de bank niet overeen te komen. Dergelijke controlegetallen waarborgen dat betaalbestanden volledig en ongewijzigd worden verzonden. De oorzaak van deze afwijkingen is onbekend, maar dit probleem speelt al meerdere jaren. De geplande overgang naar

een nieuw salarissysteem in 2026 biedt kansen om de bovenstaande structurele knelpunten op te lossen. Wij adviseren het college om bij de inrichting van het nieuwe salarissysteem vanaf begin 2026 te zorgen dat uitdiensttredingen tijdig worden afgemeld en controlegetallen tussen de gemeente en de bank overeenkomen.

Inkopen: Europese aanbestedingen Het naleven van Europese aanbestedingsregels maakt onderdeel uit van de rechtmatigheidsverantwoording die het college vanaf het verslagjaar 2023 aflegt. De afdeling Internal Audit onderzoekt jaarlijks of gemeentelijke aanbestedingen rechtmatig zijn verlopen en rapporteert hierover aan het college. Vanwege de financiële omvang (circa € 1 miljard) en complexiteit van de Aanbestedingswet nemen wij dit proces mee in onze tussentijdse controle. Meerjarige spendanalyses versterken rechtmatigheidsbewaking De gemeente analyseert periodiek de eigen inkopen en uitgaven om inzicht te krijgen waaraan en bij welke leveranciers geld wordt besteed. Zo’n analyse, een zogeheten spendanalyse, is een belangrijk middel om te signaleren of inkopen binnen de geldende aanbestedingsregels blijven. Wij constateren dat de gemeente spendanalyses op jaarbasis uitvoert, terwijl het rechtmatigheidsrisico bij aanbestedingen vaak meerjarig is. Daarmee zijn de huidige spendanalyses (nog) niet voldoende sluitend om mogelijke onrechtmatigheden tijdig vast te stellen. Wij adviseren het college om de spendanalyses meerjarig op te stellen waardoor ze nog effectiever worden voor de rechtmatigheidsbewaking.

9/28

Interne beheersing - Bedrijfsvoering Mogelijke onrechtmatigheden bij externe inhuur Bij onze steekproefcontrole van inkopen hebben wij gesignaleerd dat de gemeente bij externe inhuur binnen raamovereenkomsten soms opdrachten onrechtmatig verlengt. Daarnaast is niet altijd helder vastgelegd op welke selectiecriteria de gemeente kandidaten heeft beoordeeld en in sommige contracten ontbreekt het maximaal aantal uren of de opdrachtwaarde. Deze bevindingen kunnen leiden tot onrechtmatige inkopen omdat niet voldaan wordt aan de Aanbestedingswet. Wij adviseren het college te laten nagaan of onze bevindingen bij externe inhuur consequenties kunnen hebben voor de rechtmatigheidsverantwoording. Inkopen: overige bedrijfskosten Ontbreken van functiescheiding bij afwezigheid prestatieverklaarder Binnen het inkoopproces constateren wij dat de gemeente de noodzakelijke functiescheiding bij prestatieverklaren niet altijd kan waarborgen. Wanneer de prestatieverklaarder afwezig is door bijvoorbeeld verlof of ziekte, neemt de budgethouder deze rol soms tijdelijk over. Dit vergroot het risico op belangenverstrengeling en onrechtmatige betalingen.

Interne controles onvoldoende zichtbaar vastgelegd bij controles betaalbestanden en prestatieverklaringen Wij constateren dat de diensten uitkomsten van uitgevoerde interne controles op betaalbestanden en steekproefcontroles op prestatieverklaringen niet altijd zichtbaar vastleggen. Daarmee ontbreekt voldoende inzicht in de volledigheid en effectiviteit van de uitgevoerde controles.

Memoriaalboekingen Ontoereikende onderbouwingen en ontbrekende autorisaties bij interne verrekeningen De gemeente gebruikt memoriaalboekingen om correcties of interne verrekeningen aan te brengen naast de reguliere, veelal geautomatiseerde, processen. Juist omdat het gaat om handmatige mutaties, vraagt dit proces om een goede onderbouwing en de juiste autorisatie. De gemeente erkent de risico’s als dit niet goed gebeurt en heeft daarom dit proces verbeterd. Tijdens onze tussentijdse controle constateren wij dat bij een deel van de memoriaalboekingen de onderbouwing of autorisatie nog ontbreekt. Dat betekent dat niet altijd aantoonbaar is wie de boeking heeft goedgekeurd en op basis waarvan. Dit vergroot het (fraude)risico op onjuiste of onbevoegde mutaties in de financiële administratie. De gemeente heeft dit autorisatieproces recent verbeterd. Wij nemen dit risico als aandachtspunt op in onze eindejaarscontrole en voeren hiervoor aanvullende controles uit. Kostenverdeling Geen uniforme werkwijze kostenverdeling De gemeente is in 2025 gestart met het toerekenen van kosten aan activiteiten en programma’s (kostenverdeling) volgens de Kadernota ‘Begroting en verantwoording Overhead’. Dit draagt bij aan meer transparantie in de begroting en jaarrekening. Niet alle diensten passen deze methodiek al uniform toe, waardoor de grondslagen en normen verschillen.

Dit beperkt de vergelijkbaarheid tussen de diensten. Ook ontbreekt zichtbare interne controle op de manier waarop de diensten de methodiek toepassen.

Om de interne beheersing te verbeteren, adviseren wij het college om de uitgevoerde controles op de betaalbestanden en prestatieverklaringen bij inkopen vast te leggen, inclusief de bevindingen en opvolging hiervan.

10/28

Interne beheersing – Fysiek domein Voor het fysiek domein hebben wij drie processen als relevant aangemerkt: Omgevingsvergunningen, Grondexploitaties en Parkeeropbrengsten. Omgevingsvergunningen Geen zichtbare interne controles op gehanteerde legestarieven De gemeente handelt de omgevingsvergunningen af binnen het systeem Centric Leefomgeving (CLO). Bij de tussentijdse controle hebben wij dit proces beoordeeld. Wij constateren geen zichtbare controle op de juistheid van de gehanteerde tarieven. Verkeerde tarieven kunnen leiden tot onjuiste of onvolledige legesopbrengsten in de jaarrekening. Een gevolg kan ook zijn dat burgers verkeerd bericht krijgen over de hoogte van de leges die ze moeten betalen. De gemeente factureert deze leges via de applicatie IBS2000. Anders dan bij CLO controleert de organisatie de tarieven hier wel zichtbaar, maar dat gebeurt pas achteraf. Wij adviseren het college om vooraf zichtbare controles op tarieven omgevingsvergunningen uit te voeren, zowel in CLO als in IBS2000. Daarnaast constateren wij dat nog steeds geen volledige aansluiting bestaat tussen de landelijke applicatie voor omgevingsvergunningen, Digitaal Stelstel Omgevingswet (DSO), en het gemeentelijke systeem CLO (Bijlage 1: bevinding 2024.11).

Om diezelfde reden hebben wij eerder dit jaar bij de jaarrekeningcontrole 2024 in ons oordeel een financiële onzekerheid meegenomen van circa € 6 miljoen. De gemeente is voor de oplossing hiervan afhankelijk van IT-capaciteit elders binnen de organisatie. Als geen tijdige oplossing wordt gevonden, kan dit ook in 2025 leiden tot een onzekerheid in ons oordeel. Met de aangepaste materialiteitsgrenzen vanaf 2025 is de ruimte voor onzekerheden beperkter geworden (zie ook onze Vooruitblik op pagina 19). Daarom is het noodzakelijk dat de aansluiting tussen DSO en CLO tijdig wordt gerealiseerd, zodat deze voor de eindejaarscontrole 2025 beschikbaar is.

Grondexploitaties Voor de grondexploitaties hebben wij dit jaar geen nieuwe bevindingen geconstateerd. De gemeentelijke organisatie heeft de eerder door ons gerapporteerde bevindingen nog niet volledig opgelost. Interne controles grondexploitaties nog onvoldoende zichtbaar Om de risico’s op onjuiste waardering van de projecten te beperken, heeft de gemeente diverse beheersmaatregelen opgenomen in het proces van grondexploitaties. Tijdens onze tussentijdse controle constateren wij dat de dienst nog onvoldoende zichtbaar interne controles uitvoert en vastlegt (Bijlage 1: bevinding 2021.07). Daardoor kunnen financiële risico’s binnen een grondexploitatieproject onopgemerkt blijven. Wij benadrukken het belang van zichtbare uitvoering en vastlegging van de interne controles, die inzichtelijk maken hoe de gemeente de risico’s binnen het proces van grondexploitaties beheerst. Vaststelling verordening grondexploitaties vertraagd De verordening Beheersregels Grondexploitaties en Strategisch bezit 2026 is vertraagd doordat bevindingen van de Rekeningencommissie moesten worden verwerkt. Recentelijk is deze verordening ter vaststelling aangeboden aan de raad. Parkeeropbrengsten Uit onze tussentijdse controle komen geen bevindingen naar voren. De openstaande bevindingen uit onze eerdere controles zijn ook opgelost.

11/28

Interne beheersing – Sociaal domein In het sociaal domein hebben wij vier processen meegenomen in onze controle: Subsidieverstrekkingen en -vaststellingen, Sociale uitkeringen, Wmo en Jeugd. Subsidieverstrekkingen en -vaststellingen Bij het proces van subsidieverstrekkingen en -vaststellingen hebben wij geen nieuwe bevindingen. Onze bevinding van vorig jaar over het verwerken van bankgegevens van gesubsidieerde partijen is opgelost door de gemeente. Sociale uitkeringen Bij de sociale uitkeringen zijn dit jaar geen nieuwe bevindingen gedaan. De gemeente heeft onze bevindingen uit voorgaande jaren over functiescheiding en interne controles als risico geaccepteerd. Berekeningswijze voorziening bijstandsdebiteuren nog niet vastgesteld De voorziening bijstandsdebiteuren (vorderingen op bijstandsgerechtigden) is belangrijk voor de waardering van oudere openstaande vorderingen. De wijze waarop de gemeente deze voorziening berekent, wijkt af van de afgesproken methodiek. Bij de jaarrekeningcontrole 2024 hebben wij hierover een onzekerheid opgenomen in ons oordeel van € 4 miljoen. De berekeningswijze is inmiddels wel aangepast, maar nog niet vastgesteld.

Geen functiescheiding bij uitvoeren en controleren van betaalbestanden en controlegetallen Wij hebben vastgesteld dat bij het aanleveren van betaalbestanden uit de systemen Socrates, Raak en Allegro aan de bank, dezelfde medewerker zowel het betaalbestand uploadt als het formulier met de controlegetallen verzendt. Hierdoor ontbreekt de noodzakelijke functiescheiding tussen het uitvoeren en controleren van betalingen. Deze werkwijze brengt het risico met zich mee dat betaalbestanden en

controlegetallen kunnen worden aangepast zonder dat de gemeente dit direct opmerkt. Wij adviseren het college om te borgen dat een andere medewerker de controlegetallen verzendt dan degene die de betaalbestanden uit de systemen Socrates, Raak en Allegro uploadt naar het bankportaal. Wmo Effectiviteit van totaalbeeld Wmo-steekproeven onvoldoende inzichtelijk De wijkteams geven de indicatie af voor de Wet maatschappelijke ondersteuning (Wmo). Twee onafhankelijke kwaliteitsteams voeren steekproeven uit op onder andere de rechtmatigheid van de indicatie. Dit is een goede manier om de risico's binnen dit proces te beperken. Verdere verbetering is mogelijk als sturingsinformatie beschikbaar komt over het totaalbeeld van de steekproeven op het indicatieproces, mogelijke verbetermaatregelen en de opvolging hiervan. Jeugd Geen zichtbare aanvullende controles bij toetsingen toekennen jeugdvoorziening Bij het toekennen van een jeugdvoorziening (bijvoorbeeld opvoedondersteuning of begeleiding) toetst de gemeentelijke organisatie op woonplaats, leeftijd en duur en omvang van de voorziening. Vervolgens is er echter geen zichtbare controle of deze toets goed gebeurt. Hierdoor is het risico op het verstrekken van onrechtmatige voorzieningen onvoldoende afgedekt. Tijdens onze interim controle hebben wij geen hieraan gerelateerde fouten geconstateerd.

Wij adviseren het college om bij het toekennen van jeugdvoorzieningen een zichtbare aanvullende controle door een tweede medewerker in te richten.

12/28

Interne beheersing – Sociaal domein Gecontroleerde jaarrekeningen 2024 samenwerkingsverbanden jeugdzorg recent opgeleverd Vorig jaar bestond een mogelijke omvangrijke onzekerheid over de prestatieleveringen van de twee samenwerkingsverbanden voor jeugdzorg (Kracht en rondomJou). Dit kwam vooral omdat beide organisaties de financiële verantwoordingen niet tijdig aanleverden voor onze controle. Om die onzekerheid op te lossen heeft de gemeente als tijdelijke maatregel bestuurlijke prestatieverklaringen over 2024 opgevraagd bij de samenwerkingsverbanden. De samenwerkingsverbanden hebben hun deadline voor oplevering van gecontroleerde jaarrekeningen (juli 2025) niet gehaald, maar deze zijn onlangs aangeboden aan de gemeente. Deze informatie hebben wij nodig om de bestuurlijke prestatieverklaringen te kunnen beoordelen bij onze eindejaarscontrole 2025.

13/28

Interne beheersing – Publiek domein Voor het publiek domein hebben wij twee processen beoordeeld: afvalstoffenheffing en secretarieleges. Afvalstoffenheffingen Uit onze tussentijdse controle komen geen nieuwe bevindingen naar voren. De vorig jaar geconstateerde tekortkoming in het wijzigingsbeheer in de applicatie IBS2000 is nog niet opgelost (Bijlage 1: 2024.27). Wij voeren daarom aanvullende detailcontroles uit om vast te stellen dat wijzigingen in het systeem geen invloed hebben gehad op de juiste heffing en invordering. Secretarieleges Sinds 2025 maakt de gemeente op de stadsdeelkantoren Laak en Escamp gebruik van DocuDistri voor het beheer van identiteitsbewijzen (paspoorten, identiteitskaarten en rijbewijzen). DocuDistri is een geautomatiseerd systeem voor het veilig opslaan, beheren en uitgeven van waardedocumenten. Het college verwacht dat in 2026 ook de locatie Spui volledig overgaat op DocuDistri. Daarnaast zijn op locatie Spui betaalautomaten voor contant geld geplaatst. Autorisatierechten in DocuDistri te ruim Tijdens onze tussentijdse controle is gebleken dat zowel unitmanagers als meerdere senior medewerkers bij de afdeling burgerzaken ruime toegangsrechten hebben in DocuDistri. Met deze rechten kunnen zij onder meer de beveiligde deur van DocuDistri ontgrendelen. Een ruime toekenning van dergelijke rechten vergroot het risico op fouten of ongeoorloofd gebruik.

Wij adviseren het college om de toegangsrechten binnen DocuDistri zo effectief mogelijk in te richten.

Vernietigingsproces reisdocumenten nog niet voldoende gewaarborgd Wij hebben vastgesteld dat bij de vernietiging van verlopen of onbruikbare reisdocumenten niet tenminste twee medewerkers aanwezig zijn. Dit is niet conform de voorgeschreven werkwijze en verhoogt de kans op fouten of misbruik bij dit risicovolle proces. Wij adviseren het college om te borgen dat meerdere medewerkers aanwezig zijn bij de vernietiging van verlopen of onbruikbare reisdocumenten. Verschillen tussen de registraties van uitgereikte reisdocumenten in de systemen Tijdens de tussentijdse controle hebben wij kleine administratieve verschillen geconstateerd tussen de registraties van uitgereikte reisdocumenten in de verschillende systemen. Omdat deze systemen automatisch aan elkaar gekoppeld zijn, zouden verschillen niet mogen voorkomen. De geconstateerde verschillen worden momenteel handmatig gecorrigeerd, maar de onderliggende oorzaak wordt niet onderzocht. Tijdens de eindejaarscontrole onderzoeken wij de koppelingen tussen de verschillende systemen om vast te stellen of aanvullende maatregelen nodig zijn. Controle op kasstaten ontbreekt Tijdens onze tussentijdse controle hebben wij vastgesteld dat kasgegevens uit de betaalautomaten, de applicatie Key2Betalen en de financiële administratie periodiek worden aangesloten. Hierdoor is niet altijd geborgd dat kasgelden juist en volledig worden verantwoord.

Een structurele controle is belangrijk om mogelijke verschillen of onregelmatigheden tijdig te signaleren. Wij adviseren het college om het proces van kasbeheer aan te vullen met interne controles en om periodiek de kasgegevens uit de betaalautomaten, Key2Betalen en de financiële administratie op elkaar aan te sluiten.

14/28

Interne beheersing - IT Voor acht financiële applicaties hebben wij de General IT Controls (GITC’s) onderzocht. Dit zijn basismaatregelen die waarborgen dat de geautomatiseerde gegevensverwerking betrouwbaar is. Dit onderzoek vormt een belangrijk onderdeel van de jaarrekeningcontrole. Tijdens de tussentijdse controle hebben wij de opzet en de feitelijke uitvoering van deze beheersmaatregelen beoordeeld. Wij hebben onderzoek verricht naar vier onderdelen: • Logische toegangsbeveiliging (authenticatie- en autorisatiebeheer): zorgt ervoor dat alleen bevoegde medewerkers toegang hebben tot systemen en gegevens. • Wijzigingsbeheer: borgt dat wijzigingen in de systemen gecontroleerd en goedgekeurd worden uitgevoerd. • Leveranciersbeheer: richt zich op het beheersen van IT-diensten van externe partijen. • Continuïteit: waarborgt dat systemen bij storingen of calamiteiten blijven werken of snel worden hersteld. De kwaliteit van deze beheersmaatregelen bepaalt in belangrijke mate de betrouwbaarheid van de financiële processen die gebruik maken van deze applicaties. Voor enkele andere IT-applicaties volgen wij de voortgang van verbetermaatregelen (zie bijlage 1). Mede op verzoek van de Rekeningencommissie hebben wij de bevindingen voor de IT-applicaties en bijbehorende (financiële) processen in samenhang beoordeeld, zie ons overkoepelend beeld van de interne beheersing (pag. 7).

Verbeteringen zichtbaar in de IT beheersing De NAVO-top in juni 2025 was voor de gemeente aanleiding voor veel inspanningen en maatregelen op IT-gebied, zoals het opstellen van een continuïteitsplan. Naar aanleiding van het accountantsverslag 2024 heeft de gemeente voor alle gerapporteerde IT-bevindingen verbeteracties gestart of lopende trajecten versneld.

Daarmee toont uw gemeente dat ze zichtbaar waarde hecht aan het oplossen van deze bevindingen. Verdere versterking van de IT-beheersmaatregelen blijft echter nodig. Betrouwbare IT-systemen en informatie zijn immers essentieel voor de dienstverlening van uw gemeente. Ons totaalbeeld laat een voorzichtige verbetering zien van de IT-beheersing. Het leveranciersbeheer is verbeterd. Bij de meeste applicaties vinden inmiddels periodieke gesprekken plaats met leveranciers. Wel constateren wij dat deze gesprekken niet structureel worden vastgelegd en opgevolgd. Ook het autorisatiebeheer is bij de meeste onderzochte applicaties toereikend, met uitzondering van Oracle HRS, APRO Banking en Centric Leefomgeving (CLO). Hier zien wij bijvoorbeeld geen periodieke controles op rollen en rechten van gebruikers binnen de applicatie. Daarnaast hebben wij bij de Oracle applicaties (FIN, HRS, Apro en Datawarehouse) accounts aangetroffen die niet naar personen te herleiden zijn, zowel op applicatie- als op databaseniveau. Wijzigingsbeheer is op orde, met uitzondering van CLO. Deze applicatie wordt nog gemigreerd, waardoor een deel van de benodigde controle informatie nog niet beschikbaar is. Voor een gedetailleerd beeld per GITC-onderdeel en per onderzochte applicatie verwijzen wij naar bijlage 3. Wij ronden ons IT-onderzoek af in de eindejaarscontrole over 2025.

Daarbij beoordelen wij het onderdeel continuïteit, de autorisaties binnen de systemen en de beveiligde toegang tot gegevens in deze systemen. Ook voeren wij het onderzoek naar het programma Modernisering Bedrijfsvoeringssystemen (MBS) uit, zoals afgesproken met de Rekeningencommissie. De bevindingen hierover nemen wij op in het accountantsverslag 2025.

15/28

Interne beheersing – fraude Fraude en integriteit blijven belangrijke thema’s binnen de gemeentelijke organisatie en de jaarrekeningcontrole. Het college is verantwoordelijk voor het voorkomen en signaleren van fraude en de raad houdt hier toezicht op. Wij controleren of de jaarrekening vrij is van belangrijke fouten, ongeacht of deze het gevolg zijn van fouten of van fraude. Daartoe hebben wij een uitgebreide frauderisicoanalyse uitgevoerd en zullen wij net als voorgaande jaren verrassingselementen toevoegen in onze eindejaarscontrole. De gemeente heeft in 2024 een gemeentebrede frauderisicoanalyse opgesteld. Hierin staan de belangrijkste risico’s en de maatregelen per dienst om fraude te voorkomen. Begin 2026 wordt deze analyse opnieuw bijgewerkt. Wij zullen deze uitkomsten betrekken in onze controle. De gemeente informeert ons tijdig over mogelijke signalen van fraude, zodat wij de gevolgen voor de jaarrekening goed kunnen inschatten. Uit de tussentijdse controle komen geen bevindingen naar voren om onze controleaanpak aan te passen.

16/28

Aandachtspunten Rekeningencommissie In de vergadering van de Rekeningcommissie van 1 oktober 2025 zijn de volgende aandachtspunten overeengekomen voor in de jaarrekeningcontrole 2025. Onderzoek naar beleid tegen misbruik en oneigenlijk gebruik De Rekeningencommissie heeft gevraagd om nader onderzoek naar het gemeentelijke beleid ter voorkoming van misbruik en oneigenlijk gebruik (M&O) van publieke middelen. Het M&O-beleid maakt onderdeel uit van de rechtmatigheidsverantwoording, waarvoor het college primair verantwoordelijk is. De afdeling Internal Audit (IA) voert in dit kader controles uit op de naleving van het M&O-beleid. De wens van de Rekeningencommissie om de verschillen in M&O-beleid tussen beleidsterreinen in beeld te brengen, de mogelijkheden te verkennen voor een uniform, overkoepelend beleid en de Haagse aanpak te vergelijken met die van andere gemeenten, vergt uitgebreid onderzoek. Wij kijken of het mogelijk is om dit aanvullende onderzoek een plek te geven binnen de eindejaarscontrole.

primair verantwoordelijk. De afdeling IA voert controles uit op de naleving van de Europese aanbestedingsregels en beoordeelt daarbij bijvoorbeeld of de gecontracteerde maximumbedragen bij de raamovereenkomsten niet worden overschreden. Bij de jaarrekeningcontrole zullen wij de uitkomsten van deze controlewerkzaamheden beoordelen. In onze tussentijdse controle hebben wij enkele bevindingen geconstateerd bij externe inhuur (zie pagina 10). Inzicht tussen IT-systemen en processen De Rekeningencommissie heeft gevraagd om in de Board Letter en het accountantsverslag 2025 inzichtelijk te maken in hoeverre de IT-systemen voor bedrijfsvoering aansluiten op de bijbehorende processen. In bijlage 3 hebben wij de koppeling opgenomen tussen de onderzochte IT-systemen en de processen die wij hebben beoordeeld in onze tussentijdse controle. De IT-beheersing maakt ook onderdeel uit van ons overkoepelend oordeel over de opzet en bestaan van interne beheersmaatregelen (zie pagina 7).

Technische en financiële beheersmaatregelen rondom het automatiseringsprobleem bij leges (CLO) De Rekeningencommissie heeft aandacht gevraagd voor de automatiseringsproblemen bij de omgevingsvergunningen in het systeem CLO. Op dit moment is nog geen aansluiting mogelijk tussen de landelijke applicatie DSO en de gemeentelijke applicatie CLO (zie pagina 11). Wij zullen tijdens de eindejaarscontrole beoordelen of de door het college getroffen technische en financiële beheersmaatregelen toereikend zijn. Naleving voorwaarden bij raamovereenkomsten De Rekeningencommissie heeft gevraagd om in de eindejaarscontrole aandacht te besteden aan de naleving van de voorwaarden binnen raamovereenkomsten. Dit onderwerp valt onder de rechtmatigheidsverantwoording. Daarvoor is het college

17/28

Vooruitblik – planning eindejaarscontrole Ambitieuze planning maakt strakke afspraken noodzakelijk De planning is om de controleverklaring voor de jaarrekening 2025 op 21 april 2026 af te geven. Dat is twee weken eerder dan vorig jaar. Wij waarderen deze ambitie, maar vinden de planning zeer uitdagend. Een dergelijke versnelling is alleen haalbaar wanneer de gemeentelijke organisatie en de GAD zich houden aan de gemaakte afspraken over de planning, verantwoordelijkheden en afstemming van werkzaamheden. Wij hebben inmiddels al afspraken gemaakt over: •

• • •

•

• •

financiële verantwoording en de controle. Wij denken hierbij specifiek aan de waardering van grondexploitaties, de betrouwbare facturering van leges voor omgevingsvergunningen, de kosten voor jeugdzorg en de (rechtmatigheids-)controle van Europese aanbestedingen.

Een vóór 15 december 2025 onderling afgestemde detailplanning, waarin de wederzijdse deadlines voor de oplevering en controle zijn vastgelegd, inclusief de rechtmatigheidsverantwoording. Kwalitatief toereikende en tijdige aanlevering van het elektronisch jaarrekeningdossier (LOTS) vanaf 6 februari 2026. Gefaseerde oplevering van kwalitatief toereikende controle informatie over de Europese aanbestedingen in de periode november 2025 – medio maart 2026. Structurele verbeteringen en toereikende onderbouwing van complexe posten, zoals de grondexploitaties, inkoop Jeugdzorg en de opbrengsten bouwleges, zodat hierover tijdig zekerheid kan worden verkregen. Oplevering van de productieverantwoordingen Jeugdzorg en Wmo uiterlijk 1 april 2026. De vertraagde oplevering van de productieverantwoordingen heeft in 2024 geleid tot een onzekerheid in ons oordeel van circa € 8 miljoen. Gefaseerde en kwalitatief toereikende oplevering van de specifieke uitkeringen (SiSa) in februari 2026. Ingeplande beslismomenten in de planning om tijdig knopen door te hakken over openstaande bevindingen.

De tussentijdse controles verlopen op dit moment grotendeels volgens planning. Tegelijkertijd vragen enkele kritieke risico’s richting de eindfase om voortdurende monitoring, om te voorkomen dat tijdsdruk ten koste gaat van de kwaliteit van de

18/28

Vooruitblik- relevante ontwikkelingen Aangepaste materialiteitgrenzen voor accountantscontrole en rechtmatigheidsverantwoording Vanaf het verslagjaar 2025 zijn het Besluit Begroting en Verantwoording (BBV) en het Besluit accountantscontrole decentrale overheden (Bado) aangepast. De toegestane marge voor fouten en onzekerheden (materialiteit) is gewijzigd van respectievelijk 1 procent en 3 procent naar één uniforme grens van 2 procent van de totale lasten exclusief toevoegingen aan reserves. Deze wijziging hebben wij verwerkt in de controleaanpak en uitvoering van de jaarrekeningcontrole 2025 (RIS323184 Controleaanpak 2025).

Omzetting specifieke uitkeringen pas vanaf 2027 In het hoofdlijnenakkoord van het demissionaire kabinet Schoof is afgesproken dat het Rijk verschillende specifieke uitkeringen wil samenvoegen in het Gemeentefonds. Daarbij zou een korting gelden van ongeveer 10 procent. Voor 2025 en 2026 heeft dit echter nog geen merkbare gevolgen voor gemeenten. Het aantal specifieke uitkeringen dat in 2026 kan worden omgezet is beperkt, maar het streven en de verwachting is dat het mogelijk is om meer specifieke uitkeringen over te hevelen vanaf 2027 (Kamerbrief uitkomst omzetting specifieke uitkeringen).

De aanpassing van de materialiteitsgrens geldt ook voor de oordeelsvorming over de rechtmatigheidsverantwoording. In onze controleaanpak 2025 hebben wij de raad geadviseerd om de grens voor de rechtmatigheidsverantwoording in de Algemene verordening financieel beheer en beleid Den Haag hierop aan te passen. De gemeente is inmiddels gestart met de voorbereidingen hiervoor. Het voorstel tot wijziging van deze financiële verordening wordt binnenkort aangeboden aan de raad zodat het van toepassing is over 2025. Aangepaste BBV-notities Het Besluit Begroting en Verantwoording (BBV) is het wettelijk kader voor het opstellen en verantwoorden van de jaarrekening. In 2025 zijn twee hieraan gerelateerde notities geactualiseerd: de Kadernota rechtmatigheid 2025 en de notitie Verbonden partijen. De belangrijkste wijziging in de Kadernota rechtmatigheid betreft de aanpassing van de materialiteitsgrenzen voor de rechtmatigheidsverantwoording (zie hierboven). In de notitie Verbonden partijen is de rol van de gemeenteraad bij samenwerkingen in gemeenschappelijke regelingen versterkt, inclusief de informatievoorziening daarover.

19/28

\

Bijlage 1: Opvolging bevindingen Board Letter 2024 Opvolging bevindingen 2020 – 2022 Jaar ref. 2020.01 2020.03 2020.04

Proces/stroom Memorialen Inkopen Inkopen

2020.16

Materiële Vaste Activa

2020.18 2020.19

Parkeeropbrengsten Parkeeropbrengsten

2020.20

Omgevingsvergunningen

2021.06

Grondexploitaties

2021.07

Grondexploitaties

2021.09

Investeringen

2022.02

Tussenrekeningen

2022.08

Subsidies

2022.11

Materiële Vaste Activa

2022.13

Investeringen / MIP

2022.14

Investeringen

2022.16

General IT-control

2022.17

General IT-control

2022.18

Application controls

2022.19 2022.20

Wet- en regelgeving Wet- en regelgeving

Bevinding/Aandachtspunt Standaard proces voor de totstandkoming van de memoriaalboekingen ontbreekt. Inkooporders worden niet consequent aangemaakt in Oracle. Inkopen boven > € 50.000 zonder consultatie Servicedesk Inkopen & Bestellen mogelijk. De Nota Vastgoed is niet geactualiseerd waardoor de belangrijke wijzigingen in wet- en regelgeving niet zijn doorvertaald naar procedures. Procesbeschrijving afwaardering parkeeropbrengsten moet geactualiseerd worden. Geen zichtbare tariefcontrole bij parkeeropbrengst. Geen zichtbare controle op juistheid van de ingevoerde tarieven in de subsystemen voor omgevingsvergunningen. Formele uitgangspunten ontbreken voor het toerekenen van investeringen aan grondexploitaties en voor het tijdig afsluiten van projecten (de zogenaamde PPT-criteria en motivatie).

Status 2024

Status 2025

Geen zichtbare 2e lijnscontroles (BEC) en de 3e lijnscontrole (Internal audit) binnen de (deelprocessen) grondexploitatie. Niet tijdig reserveren van middelen voor het beheer en onderhoud van investeringsobjecten. De saldi op de tussenrekeningen loopt op zonder dat de afwikkeling hiervan tijdig wordt geadresseerd. Vertraging in de afhandeling van aanvragen tot vaststellingen. Tussentijdse achterstanden in de financiële administratie op onderwijshuisvesting. Met name in relatie tot declaraties schoolbesturen. De huidige P&C-cyclus voorziet nog niet in tussentijdse voortgangsinformatie met betrekking tot het MIP De gemeente heeft in 2022 een bijdrage van € 12,8 miljoen van derden op het gerealiseerde investeringsproject Tramlijn 16 verantwoord, zonder dat hieraan subsidietoekenningsbeschikking van de MRDH ten grondslag ligt. Proceshandboeken, waaronder handboek voor wijzigingsbeheer, is niet geactualiseerd.

Het ontbreken van assurance rapporten voor diverse applicaties die relevant zijn voor de jaarrekening (bijvoorbeeld: IBS2000, CVS). Van diverse applicaties, waaronder de Key2 applicaties, is het autorisatiebeheer niet op orde daarmee niet BIO-proof. De gemeente is niet compliant aan de AVG en inhaalslag is noodzakelijk. De gemeente is niet compliant aan de Wpg en inhaalslag is noodzakelijk.

20/28

\

Bijlage 1: Opvolging bevindingen Board Letter 2024 Opvolging bevindingen 2023 Jaarref.

Proces

2023.01

Betalingen

2023.02

Betalingen

2023.03

Voorzieningen Voorzieningen

2023.05

Jeugd/ WMO

2023.07

Uitkeringen

2023.08

Uitkeringen

2023.09

Uitkeringen

2023.10

Subsidies

2023.11

Secretatieleges

2023.12

Cyber

Bevinding/aandachtspunt

Status 2024

Status 2025

Handmatige handelingen binnen het proces van het genereren van betaalbatches tot het betaalbaar stellen Kwetsbaarheden binnen kasbetaling organisatie o.b.v. incidenten uit 2023 blootgelegd die gemitigeerd behoeven te worden. Centrale procesregie voor de vorming van (nieuwe) voorzieningen ontbreekt Procesbeschrijving rondom voorzieningen ontbreekt. Impact van mogelijke nieuwe systematiek voor Jeugd / Wmo op het oordeel van de accountant omtrent deze verantwoording. Wij hebben de in de opzet aanwezige interne beheersingsmaatregelen in de praktijk niet kunnen vaststellen op minimabeleid. Eenduidig eigenaarschap in het uitkeringen proces ontbreekt Eenduidig beleid en berekeningswijze op mogelijke voorziening op uitkeringsgerechtigden ontbreekt Subsidieverleningen waarbij geen subsidieregeling is opgesteld, zijn mogelijk strijdig met de Algemene Wet Bestuursrecht. Mitigeren van aangetroffen tekortkomingen in de interne beheersing voor de onderdelen: voorraadbeheer identiteitsbewijzen (paspoorten, ID en rijbewijzen) en kasverkeer w.o. ontbreken van fysieke scheiding in de kluis, interne controle op de kasgelden en strikte kasprocedure in relatie tot de afstortingen. Realisatie benodigde veranderingen op cyber.

Legenda status Opgevolgd Onderhanden/voldoende voortgang Nog op te volgen/voortgang stagneert Geaccepteerd risico door de gemeente Nieuwe observatie

21/28

\

Bijlage 1: Opvolging bevindingen Board Letter 2024 Opvolging bevindingen Board Letter 2024

Jaarref.

Proces

2024.01

Inkopen

2024.02

Aanbestedingen

2024.03

Aanbestedingen

2024.04

Betalingen

2024.05 2024.06

Lonen en salarissen Memorialen

2024.07

Voorzieningen

2024.08 2024.09

Debiteuren SZW Sociale uitkeringen

2024.10

Verhuur

2024.11 2024.12

Bevinding/aandachtspunt

Status 2024

Status 2025

Voor facturen boven € 1.000 wordt de documentatie met betrekking tot de prestatieverklaring niet consequent door de lijnorganisatie vastgelegd. Een centrale monitoring en sturing op de werking van de signaleringsfunctie met betrekking tot rechtmatigheid binnen contractmanagement ontbreekt. Procesbeschrijving voor aanbestedingen ontbreekt. Toename in de handmatige betalingen vanwege de hersteloperatie kinderopvangtoeslag (KOT). Procesbeschrijving voor lonen en salarissen ontbreekt. Het proces voor de interne verrekeningen wordt niet adequaat gevolgd. Voor de betrouwbare verantwoording van nieuwe voorzieningen of aanpassingen daarvan zijn position papers een belangrijke beheersingsmaatregel. In opzet weinig tot géén functiescheidingen in het proces Debiteuren SZW ingebouwd. In opzet weinig tot géén functiescheidingen in het proces loonkostensubsidie ingebouwd. Ten onrechte geen Bibob-toets uitgevoerd voorafgaand aan een specifieke verhuurovereenkomst.

Het gebruik van het nieuwe systeem Centric Leefomgeving (CLO) leidt tot mogelijke knelpunten in Omgevingsvergunningen de facturering en verantwoording van de baten. Volgens de nota Lokale heffingen van de BBV is een negatieve voorziening voor bouwleges niet Omgevingsvergunningen toegestaan. Een mogelijke tekort moet daarom ten laste van de exploitatie worden opgelost.

2024.13

Belastingen

2024.14

General IT- control

2024.15

General IT- control

2024.16

General IT- control

2024.17

IT

Interne controles rondom de processen van belastingen worden niet zichtbaar vastgelegd. Geen Plan-Do-Check-Act cyclus ten aanzien van functie-autorisatiebeheer voor de applicatie Oracle HRS. Geen beheersing voor het uitbestedingsbeheer voor de applicatie CVS. Geen beheersing rondom wijzigingsbeheer voor de applicatie CVS, doordat de teststappen van wijzigingen niet zichtbaar worden vastgelegd. Het vervangen van het huidige financiële systeem (Oracle FIN), de personeelsadministratie (Oracle HRS) en de salarisverwerking heeft grote impact op het IT-landschap van de gemeente.

22/28

\

Bijlage 1: Opvolging bevindingen Board Letter 2024 Opvolging bevindingen accountantsverslag 2024 Jaarref.

Proces

2024.18

Inkopen & Contractmanagement

De gefactureerde tarieven niet overeen met de (contractuele) prijsafspraken. Vooral prijswijzigingen bij meerjarige contracten als gevolg van jaarlijkse indexaties worden niet structureel beoordeeld door de diensten.

2024.19

Inkopen & Contractmanagement

Het contractbeheer bij de gemeentelijke diensten is nog niet toereikend. Eenduidige archivering ontbreekt en diverse inkoopdocumenten, zoals offertes, jaarlijkse indexaties en contracten, zijn niet ondertekend.

2024.20

Lonen en salarissen

2024.21

Grondexploitaties

2024.22

Bevinding/aandachtspunt

Bij investeringen in de openbare ruimte waar sprake is van gecombineerde projecten met verschillende interne en externe financieringsstromen met een looptijd van meerdere jaren, is het Inkopen / investeringen administreren en verantwoorden van deze projecten zeer complex en foutgevoelig en de monitoring en sturing lastig. IT

Tekortkomingen in het autorisatiebeheer voor de applicatie Oracle HRS: - Geen specifieke toetsing of goedkeuring op aanvragen van gebruikers en rechten. - Ontbreken periodieke reviews van gebruikers en rechten.

2024.24

IT

Tekortkomingen in het leveranciersbeheer voor de applicatie CVS WMO: - Service Level Agreement wordt niet besproken met leverancier en er worden geen Service Level Reports opgeleverd.

2024.26

Status 2025

Bij het proces van indiensttreding wordt zowel de invoer als de controle van personeelsgegevens door dezelfde medewerker uitgevoerd. Versterken van capaciteit, kennis en expertise binnen het financieel beheer van de grondexploitaties.

2024.23

2024.25

Status 2024

IT

IT

Tekortkomingen in het authenticatiebeheer en autorisatiebeheer voor de applicatie Apro banking: - Wachtwoordinstellingen APRO Banking zijn niet conform beleid - Procedures omtrent autorisatiebeheer ontbreken Tekortkomingen in het autorisatiebeheer en continuïteit voor de applicatie Mercell: - Procedure periodieke review van gebruikers en rechten ontbreekt - Procedure in/uitdiensttreding is niet toereikend - Geen Functie-Autorisatiematrix aanwezig - Uitwijkprocedure en fysieke beheersmaatregelen zijn niet beschreven in TPM.

23/28

\

Bijlage 1: Opvolging bevindingen Board Letter 2024 Opvolging bevindingen accountantsverslag 2024 (vervolg) Jaarref.

Proces

2024.27

IT

2024.28

IT

Bevinding/aandachtspunt

Status 2025

Tekortkomingen in het autorisatiebeheer, wijzigingsbeheer en leveranciersbeheer voor de applicatie IBS2000: - Procedure voor beheersing Functie-Autorisatiematrix ontbreekt - Vastgesteld dat autorisatiewijzigingen buiten de procedure omgaan. - Vastgesteld dat wijzigingen over verschillende paden gaan en derhalve is volledigheid niet vast te stellen. - Geen goedkeuringsprocedure voor wijzigingen aanwezig. - Service Level Agreement wordt niet besproken met leverancier en er worden geen Service Level Reports opgeleverd. Tekortkomingen in het leveranciersbeheer voor de applicatie Key2burgerzaken: - Service Level Agreement is niet ondertekend en er worden geen Service Level reports opgeleverd. - Geen concrete afspraken interne dienstverlening en er zijn geen restore- en uitwijktesten uitgevoerd.

2024.29

IT

Tekortkomingen in het autorisatiebeheer en continuïteit voor de applicatie Key2betalen: - Functiescheiding ontbreekt. - Geen concrete afspraken interne dienstverlening en er zijn geen restore- en uitwijktesten uitgevoerd.

2024.30

IT

Tekortkomingen in het leveranciersbeheer en continuïteit voor de applicatie Socrates: - Leveranciersprestaties worden niet besproken tijdens besprekingen met leverancier en Service Level Reports worden niet besproken met leverancier.

IT

Tekortkomingen in het autorisatiebeheer en leveranciersbeheer voor de applicatie Mercato: - Geen procedure voor Functie-Autorisatiematrix aanwezig en geen periodieke review van gebruikers en rechten. - Service Level Agreement wordt niet besproken met leverancier en er worden geen Service Level Reports opgeleverd.

2024.32

IT

Tekortkomingen in het autorisatiebeheer en continuïteit voor de applicatie Allegro: - Niet alle accounts zijn herleidbaar naar een natuurlijk persoon. - Geen concrete afspraken interne dienstverlening en er zijn geen restore- en uitwijktesten uitgevoerd.

2024.33

Liquide middelen

2024.34

SISA

2024.35

Subsidieverstrekkingen

2024.31

Status 2024

Niet kunnen vaststellen dat de bibliotheken aan het eind van het jaar kasinventarisaties hebben uitgevoerd. De interne controle bij de jaarafsluiting van specifieke uitkeringen verder verbeteren om fouten in de SiSa-bijlage en overlopende posten te voorkomen Ontoereikende functiescheiding bij het proces van verwerken van bankrekeninggegevens van gesubsidieerde partijen.