2. Verslag van bevindingen - Jaarstukken 2025 Duo+ CONCEPT

Verslag van bevindingen 2025 Gemeenschappelijke regeling Duo+

24 maart 2026

Op alle opdrachten verricht door Publiek Belang Accountants zijn algemene voorwaarden van toepassing welke bij de Kamer van Koophandel zijn gedeponeerd. Publiek Belang Accountants is ingeschreven in het handelsregister van de Kamer van Koophandel te Den Haag onder nummer 67229328.

Lid van Coöperatie De Maatschappelijke Accountants

Sir Winston Churchilllaan 370 F442 2285 SJ Rijswijk (ZH) info@publiekbelangaccountants.nl www.publiekbelangaccountants.nl

Aan het bestuur en de directie van de Gemeenschappelijke regeling Duo+ Postbus 67 1190 AB OUDERKERK AAN DE AMSTEL

Datum:

Behandeld door:

Ons kenmerk:

xx maart 2026

drs. M.E. Dubbelman RA

26012

Onderwerp:

Verslag van bevindingen 2025

Geachte bestuurders en directie, Wij hebben de controle van de jaarrekening 2025 voor de Gemeenschappelijke regeling Duo+ (verder Duo+) uitgevoerd. Dit verslag bevat onze belangrijkste bevindingen en aanbevelingen en is bestemd voor het bestuur en de directie van Duo+. Graag lichten wij onze rapportage nader aan u toe. Hoogachtend, Publiek Belang Accountants B.V.

drs. M.E. Dubbelman RA Bijlagen: één

Verslag van bevindingen 2025 Inleiding

U heeft ons met de opdrachtbevestiging van 9 juli 2025 opdracht gegeven voor de jaarrekeningcontrole 2025. U ontvangt onze controleverklaring bij uw jaarrekening 2025 afzonderlijk. Dit verslag bevat op grond van de wet onder meer onze bevindingen over de inrichting van uw financiële beheer en financiële organisatie, gericht op de vraag of deze een getrouwe verantwoording mogelijk maken. Ook informeren wij u over (eventuele) afwijkingen in de jaarrekening en geven wij aandachtspunten en adviezen voor uw bestuur en directie. Voor de rapportage van bevindingen heeft uw bestuur de ondergrens op € 75.000 gesteld.

In het kort

•

Duo+ beheerst het jaarrekeningproces goed en het jaarrekeningdossier met onderbouwingen van jaarrekeningposten is van goede kwaliteit. De jaarrekening was vroeg in het jaar beschikbaar, is informatief en voldoet aan de verslaggevingsregels.

•

Begrotingsonrechtmatigheden en afwijkingen van aanbestedingsregels zijn € 1.026.000 miljoen en overstijgen de verantwoordingsgrens van € 934.000. De afwijkingen zijn toegelicht in de jaarstukken.

•

Uw medewerkers hebben de Verbijzonderde Interne Controle (VIC) gedurende het jaar goed uitgevoerd en gedocumenteerd. De uitdaging is om dit hoge niveau vast te houden.

•

Omdat de implementatie van AFAS veel aandacht vroeg van uw medewerkers worden de procesbeschrijvingen in het voorjaar van 2026 afgerond, waarna deze kunnen worden vastgesteld.

•

Er bestaan risico’s voor de betrouwbaarheid en continuïteit van de IT-omgeving rondom de financiële administratie. Wij adviseren om verbeteringen aan te brengen.

De jaarrekening

Onze conclusie over de jaarrekening Duo+ geeft met compacte en leesbare jaarstukken goed inzicht in de bereikte resultaten. De jaarstukken waren in februari al gereed, zodat uw directie en bestuur kort na afloop van het jaar beschikken over betrouwbare verantwoordingsinformatie. De goede voorbereiding door uw medewerkers op de jaarrekeningcontrole en hun deskundige toelichtingen zorgen voor een constructieve, prettige samenwerking en maken dat de controle soepel verloopt. Het jaarrekeningdossier met onderbouwingen is van goede kwaliteit en was gereed bij de start van de controle. Onze controle heeft aanleiding gegeven tot een beperkt aantal aanpassingen. Duo+ heeft het hoge kwaliteitsniveau van vorig jaar weten vast te houden.

1

Verslag van bevindingen 2025 Maatwerk

Procedure facturatie van Maatwerk De financiële omvang van het Maatwerk was in 2025 hoger dan in 2024 en bestaat uit 22 maatwerkafspraken (2024: 18) met een financiële omvang van ruim € 1,2 miljoen (2024: €800.000). Net als andere jaren hebben de Maatwerkvergoedingen een lumpsum-karakter. Dit betekent dat vooraf een vaste afspraak over de vergoeding wordt gemaakt en dat niet wordt afgerekend op basis van werkelijke kosten. Dit vermindert administratieve lasten en voorkomt fouten. Het proces rondom Maatwerkopbrengsten is in 2025 op hoofdlijnen beschreven. In 2025 waren, net als in 2024, niet alle Maatwerkafspraken wederzijds getekend. Ook worden maatwerkafspraken soms laat in het boekjaar pas geformaliseerd en ondertekend. Dit bemoeilijkt de bewaking van de kosten per maatwerkafspraak. Wij adviseren om toekomstige maatwerkafspraken voorafgaand aan of bij de start van de opdracht te laten ondertekenen door opdrachtgever en door Duo+. Dit draagt bij aan duidelijkheid over gemaakte afspraken en zorgt voor een betere basis voor interne beheersing.

IT-omgeving

Risico’s voor de betrouwbaarheid en de continuïteit van de IT-omgeving Onze controle is gericht op het geven van een oordeel over de jaarrekening en is niet primair gericht op de betrouwbaarheid en de continuïteit van de geautomatiseerde gegevensverwerking. Onze bevindingen over de automatiseringsomgeving gaan over de onderdelen die van belang zijn voor de controle op de jaarrekening. In maart 2026 kwam het concept IT-auditrapport van BDO beschikbaar ne uw management zal daarop nog reageren. BDO concludeert dat ten aanzien van de IT-General Controls geen tekortkomingen of bijzonderheden zijn geïdentificeerd. De algemene indruk van BDO is dat Duo+ een ‘beheerst ingericht IT-landschap’ kent. Bij de IT-General Controls rondom het pakket voor de financiële administratie (Key2Financiën) bestaan tekortkomingen waardoor het niet mogelijk is om te steuen op de functiescheidingen in de applicatie. Dit betreft:

2

•

Rechtenstructuur. Het toekennen van rechten aan een gebruiker in Key2Financiën gebeurt niet aan de hand van een vooraf vastgestelde en goedgekeurde autorisatiematrix (een tabel met de toegestane rollen en rechten per functie), maar op basis van de inschatting van degene die de rechten toekent. Aangezien er in de applicatie de mogelijkheid bestaat om verschillende rollen, rechten en dimensies aan een gebruiker te koppelen, is er sprake van een relatief hoge mate van persoonlijke beoordeling. Door het ontbreken van een gestructureerde tabel met de toegestane rechten per functie, bestaat het risico dat personen te veel of onterechte rollen en rechten bezitten en hierdoor de functiescheidingsprincipes mogelijk doorbroken kunnen worden met het risico op ongeautoriseerde handelingen.

•

Gebruikersbeheer. Door het ontbreken van adequate naleving van gebruikersbeheerprocedures bestaat het risico dat personen te veel of onterechte rollen en rechten bezitten en hierdoor de functiescheidingsprincipes mogelijk doorbroken kunnen worden met het risico op ongeautoriseerde handelingen. Ook bestaat het risico dat een medewerker na uitdiensttreding toegang behoudt tot de betreffende applicaties en hierin transacties kan uitvoeren.

Verslag van bevindingen 2025 •

Back-up & recovery. De verantwoordelijkheid voor back-up & recovery is belegd bij Centric. Duo+ krijgt geen inzicht in de getroffen beheersingsmaatregelen via een assurance verklaring.

Rechten applicatiebeheerders Key2Financiën In aanvulling op het onderzoek van BDO zijn wij nagegaan hoe in Key2Financiën functiescheiding is ingericht tussen het wijzigen en het goedkeuren van mutaties in crediteuren stamgegevens, zoals IBAN-nummers. Hieruit blijkt dat de applicatiebeheerders van Key2Financiën bevoegdheden hebben om stamgegevens te wijzigen en te autoriseren. Gelet op de rollen en verantwoordelijkheden is dit een ongewenste situatie die risico’s inhoudt voor de juistheid van betalingen. In Key2Financiën is ingericht dat degene die een mutatie invoert deze niet kan autoriseren, maar in de IT audit is niet vastgesteld dat deze application control in continuïteit functioneert. Daarom, en omdat de applicatiebeheerders in het kader van hun functie geen stamgegevens bewerken of autoriseren, raden wij aan om de rechten van de applicatiebeheerders met betrekking tot de crediteurenstamgegevens te beperken tot ‘raadplegen’. Overigens hebben wij aan de hand van het mutatieverslag over 2025 vastgesteld dat applicatiebeheerders in de praktijk geen stamgegevens hebben gewijzigd. Wij adviseren om de aandachtspunten ten aanzien van Key2Financiën op te pakken, zodat Duo+ kan steunen op de functiescheidingen in de applicatie. De aandachtspunten voor de IT-omgeving hebben net als andere jaren geen gevolgen voor onze controleaanpak.

Samen met uw medewerkers hebben wij de afgelopen jaren een goede en efficiënte gegevensgerichte controleaanpak ontwikkeld waarbij wij niet steunen op beheersmaatregelen in de IT-omgeving. Deze aanpak volgden wij ook in 2025. Verbijzonderde interne controle (VIC)

Duo+ verricht goede VIC op de aanbestedingen, de inkopen, de salarisadministratie, de maatwerkopbrengsten en de rechtmatigheid. Uw medewerkers voeren de controles nauwgezet uit, gebruiken slimme data-analyse bij de salariscontrole en documenteren de controles goed. Uit de controle op de inkopen bleken enkele afwijkingen van aanbestedingsregels. Zie de toelichting bij de paragraaf rechtmatigheid in dit verslag.

Managementletter 2025

De managementletter van november 2025 bevat onze bevindingen uit de interim controle. Wij merkten op dat Duo+ in 2025 de Financiële verordening, het Normenkader voor de Rechtmatigheid en de Frauderisicoanalyse heeft geactualiseerd. Inmiddels beschikt Duo+ ook over een vastgesteld M&O-beleid. Dit draagt bij aan de kwaliteit van de interne beheersing. In de managementletter informeerden wij tevens over risico’s in de IT-omgeving, dreigende onrechtmatigheden bij aanbestedingen en het openstaande actiepunt om de procesbeschrijvingen te actualiseren en vast te stellen. Dit laatste is door de aandacht die de invoering van AFAS van uw medewerkers vroeg nog niet gebeurd, maar wij begrepen dat de procesbeschrijvingen in het voorjaar van 2026 worden opgepakt.

3

Verslag van bevindingen 2025 Rechtmatigheid

Rechtmatigheidsverantwoording Uw directie is verantwoordelijk voor de rechtmatigheidsverantwoording in de jaarrekening. Duo+ heeft dit goed voorbereid. Het bestuur heeft het Normenkader rechtmatigheid vastgesteld met de, voor de rechtmatigheidsverantwoording, relevante interne en externe regels. Begrotingsonrechtmatigheid Uw Financiële verordening regelt dat: ‘De begrotingsrechtmatigheid wordt beoordeeld op het niveau van de totale begroting waarop de begroting door het bestuur van Duo+ is geautoriseerd.’ Dit betekent dat begrotingsover- en onderschrijdingen op programmaniveau gesaldeerd worden beoordeeld. Op totaalniveau zijn de begrote lasten met € 575.000 overschreden. Daarvan past € 327.000 binnen vastgesteld beleid van uw bestuur en wordt om die reden aangemerkt als ‘acceptabel’. Afwijking van aanbestedingsregels Tot een bedrag van circa € 0,5 miljoen (2024: € 0,7 miljoen) is bij het aanbesteden onvoldoende rekening gehouden met de Europese aanbestedingsregels. Dit betreft vooral de inkoop van hardware van computersystemen. Uw verbijzonderde interne controle heeft dit geconstateerd en afwijkingen zijn toegelicht in de rechtmatigheidsverantwoording. Ook wijkt Duo+ regelmatig af van Nationale aanbestedingsregels en van eigen inkoopregels. Wij vragen uw aandacht voor de juiste toepassing van aanbestedingsregels.

Vorig jaar merkten wij op dat de beschrijving van het aanbestedingsproces (uit 2021) nog niet is geactualiseerd. De onderkende risico’s komen niet overeen met de risico's in het werkprogramma voor de interne controle en de beschrijving van de beheersmaatregelen kan concreter volgens de 6W-systematiek worden uitgewerkt. Uw medewerkers geven aan dat de geactualiseerde procesbeschrijvingen bijna gereed zijn. Wij zullen bij de interimcontrole 2026 kennisnemen van de nieuwe procesbeschrijvingen en onze bevindingen aan u rapporteren. M&O-beleid gereed Uw financiële beheersverordening regelt het voorkomen van misbruik en oneigenlijk gebruik als volgt: ‘De directeur stelt de regels op ter voorkoming van misbruik en oneigenlijk gebruik van regelingen en eigendommen van Duo+ en zorgt voor naleving van deze regels.’ Duo+ heeft in 2025 M&O-beleid opgesteld dat door het bestuur is vastgesteld. Ons advies om de relevante beheersmaatregelen die onderdeel zijn van het beleid, als toetspunt toe te voegen aan de VIC-werkprogramma’s is opgevolgd. Dit stelt Duo+ in staat om de naleving van het beleid te monitoren. Over 2025 zijn er geen afwijkingen geconstateerd met betrekking tot het M&O-criterium.

Onze risicoanalyse en controlewerkzaamheden

4

De controlestandaarden regelen dat wij u informeren over de belangrijkste risico’s die wij bij onze controle onderkennen. Ons controleplan van 18 juli 2025 bevat deze informatie. Onze controle is gericht op de getrouwheid van de jaarrekening. Naast gebruikelijke controlerisico’s, zoals de volledigheid van opbrengsten, de juistheid van kosten en het voldoen aan verslaggevingsregels, controleren wij op de risico’s die samenhangen met doorbreking van functiescheiding door de leiding.

Verslag van bevindingen 2025 Onze controlewerkzaamheden met betrekking tot fraude De directie en het bestuur zijn verantwoordelijk voor het voorkomen en ontdekken van fraude. Bij het plannen en uitvoeren van de controle houden wij er rekening mee dat de jaarrekening onjuistheden van materieel belang kan bevatten door fraude. Tijdens de controle van de jaarrekening hebben wij geen aanwijzingen voor fraude gekregen. Ook is ons geen fraude gemeld. Tegen de achtergrond van het frauderisico werden controlewerkzaamheden uitgevoerd Onze werkzaamheden betreffen onder meer besprekingen met de directie, de controller en medewerkers van de administratie over de interne beheersingsmaatregelen, managementschattingen, bijzondere transacties buiten de normale gang van zaken, de Wet Normering Topinkomens en memoriaal boekingen. Op basis van onze frauderisicobeoordeling hebben wij de volgende controlewerkzaamheden uitgevoerd: • • • • • •

5

Het evalueren van de door Duo+ opgestelde analyse van het frauderisico in relatie tot onze risicoanalyse en controleaanpak van de jaarrekening. Navragen of sprake is van bekende fraudesignalen of fraudegevallen bij directie en management. Het evalueren van de organisatie- en governance structuur en cultuur en gedrag in relatie tot fraude. Het aanbrengen van onvoorspelbaarheid in onze controlewerkzaamheden. Het evalueren van de zakelijke onderbouwing van eventuele ongebruikelijke transacties en het beoordelen van schattingen, met name bij de totstandkoming van voorzieningen. Het toetsen van handmatige journaalposten en overige aanpassingen in de administratie.

Bijlage 1: De opdracht die u ons heeft verstrekt In het kader van de overeenkomst tussen Duo+ en Publiek Belang Accountants B.V. tot het controleren van uw jaarrekening bevestigen wij formeel elk jaar de onderlinge afspraken met een opdrachtbevestiging. Met de opdrachtbevestiging heeft uw bestuur op meer gedetailleerde wijze opdracht gegeven tot het controleren van de jaarrekening. Er is gedurende het verloop van de controle geen sprake geweest van een beperking in de reikwijdte van onze controle ook zijn geen meningsverschillen met het management geweest. Tijdens de uitvoering van de oorspronkelijke auditplanning hebben zich geen wijzigingen van materieel belang in de reikwijdte voorgedaan. Wij achten de reikwijdte van onze controle voldoende voor de doelstelling van onze controle. De doelstelling van de controle is het afgeven van een controleverklaring bij de jaarrekening. Onze controleaanpak bestaat in hoofdlijnen uit drie fasen: de risicoanalyse, de interim controle en de jaarrekeningcontrole. Gezamenlijke risicoanalyse als basis Onze controle start met het maken van een analyse van de risico’s waar u als gemeenschappelijke regeling (verder: GR) mee te maken heeft. Deze risicoanalyse zien wij als een gezamenlijke actie van ons controleteam en vertegenwoordigers van uw GR en maakt deel uit van ons pre-auditgesprek.

Het doel hiervan is om op basis van gezamenlijke kennis van uw organisatie en uw omgeving tot een zo volledig en bruikbaar mogelijke risicoanalyse te komen, die als basis voor de verdere controlewerkzaamheden kan dienen. Het gaat hierbij primair om de externe risico’s en de risico’s in de bedrijfsvoering. Bij deze inventarisatie ligt primair de focus op de risico’s op afwijkingen van materieel belang in de jaarrekening als gevolg van fraude of fouten. Interim controle Onze risicoanalyse en de daarop gebaseerde controleaanpak richten zich niet uitsluitend op de jaarrekening zelf, maar ook op het systeem van interne beheersing. Hoe beter dat systeem functioneert, hoe meer zekerheid er bestaat dat de opgeleverde informatie betrouwbaar is, zowel tussentijds als bij de jaarrekening. Wij onderzoeken tijdens de interim controle de procesrisico’s, om te bepalen of hierin voldoende beheersmaatregelen (de AO/IB) zijn getroffen. Het product van deze fase van de controle is een managementletter met daarin opgenomen verbeterpunten ter verdere optimalisatie van de interne beheersing. Volledigheidshalve merken wij op dat onze analyse en evaluatie is uitgevoerd in het kader van de door u verstrekte opdracht tot controle van de jaarrekening.

De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking die relevant is voor het opmaken van de jaarrekening en voor het getrouwe beeld daarvan, gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden. Deze risico-inschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan dat deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel over de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel en bestrijkt daarom niet noodzakelijkerwijze alle in de interne organisatie vervatte tekortkomingen. Jaarrekeningcontrole Bij de jaarrekeningcontrole stellen wij vast of de jaarrekening is opgesteld volgens de geldende verslaggevingsvoorschriften, of de door u opgestelde jaarrekening een getrouw beeld geeft. Ook stellen wij vast dat de posten in de jaarrekening adequaat zijn toegelicht. Onze controle houdt niet in dat wij alle posten integraal controleren.

Onze aanpak heeft als doel om belangrijke afwijkingen te ontdekken, rekening houdend met de vastgestelde materialiteitsgrenzen. Het product van de jaarrekeningcontrole is de controleverklaring bij de jaarrekening en een verslag van bevindingen. In het verslag van bevindingen rapporteren wij fouten en onzekerheden die de vastgestelde rapportagetolerantie overschrijden en overige bijzonderheden die naar onze mening van belang zijn om aan uw bestuur te rapporteren.

Op alle opdrachten verricht door Publiek Belang Accountants zijn algemene voorwaarden van toepassing welke bij de Kamer van Koophandel zijn gedeponeerd. Publiek Belang Accountants is ingeschreven in het handelsregister van de Kamer van Koophandel te Den Haag onder nummer 67229328.

Lid van Coöperatie De Maatschappelijke Accountants