3. Verslag van bevindingen - Jaarstukken 2023 Duo+

Verslag van bevindingen 2023 Gemeenschappelijke regeling Duo+

23 mei 2024

Op alle opdrachten verricht door Publiek Belang Accountants zijn algemene voorwaarden van toepassing welke bij de Kamer van Koophandel zijn gedeponeerd. Publiek Belang Accountants is ingeschreven in het handelsregister van de Kamer van Koophandel te Den Haag onder nummer 67229328.

Lid van Coöperatie De Maatschappelijke Accountants

Sir Winston Churchilllaan 370 F442 2285 SJ Rijswijk (ZH) info@publiekbelangaccountants.nl www.publiekbelangaccountants.nl

Aan het bestuur en de directie van de Gemeenschappelijke regeling Duo+ Postbus 67 1190 AB OUDERKERK AAN DE AMSTEL

Datum:

Behandeld door:

Ons kenmerk:

23 mei 2024

drs. M.E. Dubbelman RA

24017

Onderwerp:

Verslag van bevindingen 2023

Geachte bestuurders en directie, Wij hebben de controle van de jaarrekening 2023 voor de Gemeenschappelijke regeling Duo+ (verder Duo+) uitgevoerd. Dit verslag bevat onze belangrijkste bevindingen en aanbevelingen en is bestemd voor het bestuur en de directie van Duo+. Graag lichten wij onze rapportage nader aan u toe. Hoogachtend, Publiek Belang Accountants B.V.

drs. M.E. Dubbelman RA Bijlagen: één

Verslag van bevindingen 2023 Inleiding

U heeft ons met de opdrachtbevestiging van 9 juli 2023 opdracht gegeven voor de jaarrekeningcontrole 2023. U ontvangt onze controleverklaring bij uw jaarrekening 2023 afzonderlijk. Dit verslag bevat op grond van de wet onder meer onze bevindingen over de inrichting van uw financiële beheer en financiële organisatie, gericht op de vraag of deze een getrouwe verantwoording mogelijk maken. Ook informeren wij u over (eventuele) afwijkingen in de jaarrekening en geven wij aandachtspunten en adviezen voor uw bestuur en directie. Voor de rapportage van bevindingen heeft uw bestuur de ondergrens op € 75.000 gesteld.

In het kort

•

Duo+ beheerst het jaarrekeningproces goed. De jaarrekening was vroeg in het jaar beschikbaar, is informatief en voldoet aan de verslaggevingsregels. Begrotings- en aanbestedingsonrechtmatigheden overstijgen de verantwoordingsgrens en zijn toegelicht in de jaarrekening.

•

Uw medewerkers hebben de Verbijzonderde Interne Controle (VIC) gedurende het jaar goed uitgevoerd en gedocumenteerd. De uitdaging is om dit hoge niveau vast te houden.

•

Maatwerkafspraken zijn in financiële omvang opnieuw beperkter dan vorig jaar, waardoor administratieve lasten en het risico op onvolledige verantwoording van baten afnemen.

•

Er is aandacht nodig voor het afronden van procesbeschrijvingen, zodat deze kunnen worden vastgesteld.

•

De IT-omgeving is onvoldoende betrouwbaar. Verbetering is nodig.

De jaarrekening

Onze conclusie over de jaarrekening Duo+ geeft met compacte en leesbare jaarstukken goed inzicht in de bereikte resultaten. De jaarstukken waren in februari al gereed, zodat uw directie en bestuur kort na afloop van het jaar beschikken over betrouwbare verantwoordingsinformatie. De goede voorbereiding door uw medewerkers op de jaarrekeningcontrole en hun deskundige toelichtingen zorgen voor een constructieve, prettige samenwerking en maken dat de controle soepel verloopt. Het jaarrekeningdossier met onderbouwingen was compleet bij de start van de controle. Aan nieuwe onderwerpen zoals de rechtmatigheidsverantwoording is goede invulling gegeven. Onze controle heeft vrijwel geen aanleiding gegeven tot aanpassingen. Duo+ heeft het hoge kwaliteitsniveau van vorig jaar weten vast te houden.

Maatwerk

1

Procedure facturatie van Maatwerk De financiële omvang van het Maatwerk is in 2023 opnieuw belangrijk afgenomen, omdat structurele maatwerkafspraken zoveel mogelijk worden opgenomen in de reguliere bijdragen. Net als andere jaren hebben de

Verslag van bevindingen 2023 Maatwerkvergoedingen een lumpsum-karakter. Dit betekent dat vooraf een vaste afspraak over de vergoeding wordt gemaakt en dat niet wordt afgerekend op basis van werkelijke kosten. Dit vermindert administratieve lasten en voorkomt fouten. Het proces rondom Maatwerkopbrengsten moet nog worden beschreven. Wij hebben eerder geadviseerd om de interne beheersing zo in te richten dat de volledigheid van de baten uit Maatwerk wordt gewaarborgd. Dit kan door iedere nieuwe of gewijzigde maatwerkafspraak in uw directieberaad te bespreken en na accordering een doorlopend opdrachtnummer te geven. Over 2023 was nog geen doorlopend genummerd overzicht van Maatwerkafspraken beschikbaar. In 2023 waren ook niet alle in de voortgangsrapportages opgenomen Maatwerkafspraken wederzijds getekend. Wij adviseren om toekomstige maatwerkafspraken in een doorlopend genummerd overzicht bij te houden en de afspraken door opdrachtgever en door DUO+ te laten ondertekenen. Dit voorkomt onduidelijkheid over gemaakte afspraken. Voor de controle op de volledigheid van het overzicht met alle maatwerkafspraken heeft uw directie op ons verzoek het overzicht over het hele boekjaar op volledigheid gecontroleerd en de volledigheid hiervan te bevestigd.

Verantwoorden van baten uit Maatwerk De baten en lasten uit Maatwerk worden op grond van de verslaggevingsregels toegerekend aan het jaar waarin de prestaties zijn geleverd. Veel maatwerkafspraken hebben betrekking hebben op activiteiten in het betreffende kalenderjaar en zijn niet jaargrensoverschrijdend. Voor enkele jaargrensoverschrijdende maatwerkafspraken heeft uw organisatie de voortgang per jaareinde bepaald en zijn de baten en de lasten naar rato toegerekend aan het jaar. Voor al het Maatwerk stellen uw medewerkers na afloop van het jaar vast dat het Maatwerk daadwerkelijk is uitgevoerd en dat geen dispuut bestaat over het Maatwerk met de afnemende gemeente. Voor nog uit te voeren Maatwerkafspraken is in uw balans een bedrag van € 75.000 opgenomen als vooruitontvangen bedrag. IT-omgeving

Tekortkomingen in accountbeheer Onze controle is gericht op het geven van een oordeel over de jaarrekening en is niet primair gericht op de betrouwbaarheid en de continuïteit van de geautomatiseerde gegevensverwerking. Onze bevindingen over de automatiseringsomgeving gaan over de onderdelen die van belang zijn voor de controle op de jaarrekening. Over 2021 concludeerden wij dat Duo+ belangrijke verbeteringen in de IT-omgeving had doorgevoerd, maar dat deze nog niet voldoende betrouwbaar is voor jaarrekeningdoeleinden. Dit hield verband met een beperkte en eenvoudig op te lossen tekortkoming in het accountbeheer. Bij uitstroom van medewerkers worden autorisaties niet altijd (tijdig) ingetrokken. Wij adviseerden het uitdiensttredingsproces zo aan te passen dat autorisaties direct bij uitdiensttreding worden ingetrokken. IT-audit in 2023 Bedoelde aanpassingen zijn nog niet doorgevoerd. Om die reden hebben wij na 2021 geen IT-audit meer

2

Verslag van bevindingen 2023 uitgevoerd. Deze omstandigheid heeft geen invloed op onze controle, omdat wij niet steunen op beheersmaatregelen in de automatiseringsomgeving. De bevindingen wijzen wel op een risico’s voor de betrouwbaarheid en continuïteit van de IT-omgeving. Dit wordt bevestigd door de uitkomsten van de BIO-toetsing en de uitkomsten van het onderzoek naar de IT General Controls (ITGC) en de financiële administratie. Hieruit blijken belangrijke risico’s voor de betrouwbaarheid en de continuïteit van de automatiseringsomgeving. Wij adviseren om kennis te nemen van beide rapportages en met voorrang verbeteringen aan te brengen. Verbijzonderde interne controle (VIC)

Verbijzonderde interne controle wordt goed uitgevoerd Duo+ verricht goede VIC op de aanbestedingen, de inkopen, de salarisadministratie, de Maatwerkopbrengsten en de rechtmatigheid. Uw medewerkers voeren de controles nauwgezet uit, gebruiken slimme data-analyse bij de salariscontrole en documenteren de controles goed. Uit de VIC blijken over het algemeen geen afwijkingen. Onze managementletter 2023 bevat een nadere toelichting.

Managementletter 2023

Managementletter 2023 De managementletter van december 2023 bevat onze bevindingen uit de interim controle. De belangrijkste onderwerpen waren: •

Het tijdig vaststellen door uw bestuur van nieuwe verordeningen, het normenkader rechtmatigheid en het M&O-beleid. Met uitzondering van het M&O-beleid is dit gebeurd.

•

Het actualiseren en vaststellen van procesbeschrijvingen. Dit is nog niet gebeurd.

•

Het oplossen van de bevindingen uit de vorige IT-audit. De IT-audit door de nieuwe accountant van de gemeenten zal inzicht geven in de mate waarin verbeteringen zijn gerealiseerd.

•

De interne controles van de Europese aanbestedingen wijzen op afwijkingen van aanbestedingsregels boven de verantwoordingsgrens voor de rechtmatigheidsverantwoording.

Voor een nadere toelichting verwijzen wij naar de managementletter.

Rechtmatigheid

Rechtmatigheidsverantwoording 2023 Uw directie is vanaf 2023 verantwoordelijk voor de rechtmatigheidsverantwoording in de jaarrekening. Duo+ heeft dit goed voorbereid. Het bestuur heeft het Normenkader rechtmatigheid vastgesteld met de, voor de rechtmatigheidsverantwooridng, relevante interne en externe regels. Uw Nota Reserves en voorzieningen is nog geen onderdeel van het Normenkader rechtmatigheid. Wij adviseren om het Normenkader rechtmatigheid 2024 op dit punt te actualiseren. Begrotingsonrechtmatigheid Enkele begrotingsafwijkingen boven de verantwoordingsgrens zijn niet tijdig aan uw bestuur gemeld en zijn

3

Verslag van bevindingen 2023 daardoor onrechtmatig. Onze eerste ervaringen zijn dat dit probleem optreedt bij veel decentrale overheden. Met uw medewerkers hebben wij besproken hoe dit in de toekomst zoveel mogelijk kan worden voorkomen. Afwijking van aanbestedingsregels Tot een bedrag van circa € 1,8 miljoen is bij het aanbesteden onvoldoende rekening gehouden met de Europese aanbestedingsregels. Uw verbijzonderde interne controle heeft dit geconstateerd en afwijkingen zijn nader toegelicht in de rechtmatigheidsverantwoording. De afwijkingen houden voor bijna € 1 miljoen verband met 10jarige leasecontracten en voor het overige is sprake van onrechtmatige aanbestedingen rondom inhuur van medewerkers. Ook wijkt Duo+ regelmatig af van Nationale aanbestedingsregels en van eigen inkoopregels. Wij vragen uw aandacht voor de juiste toepassing van aanbestedingsregels. gewijzigd dat een andere aanbesteding(svorm) nodig was. Wij adviseren u om altijd voorafgaand aan de aanbesteding een kostenraming op te stellen en deze op te nemen in het inkoopdossier. DUO+ heeft geen contractenregister. Daardoor bestaat een beperkt risico dat contracten worden aangegaan boven de EU-drempels, zonder dat dit tijdig wordt gesignaleerd. Dit kan zich voordoen als in het eerste jaar minder dan € 200.000 is gefactureerd.

Vorig jaar adviseerden wij u om opdrachten waarop voor het eerst en meer dan € 50.000 wordt gefactureerd, jaarlijks aanvullend in de analyse te betrekken. Dit advies is in 2023 opgevolgd. De procesbeschrijvingen van de aanbestedingen zijn in 2021 opgesteld in Engage en zijn sindsdien niet geactualiseerd. De beschrijvingen bevatten in hoofdlijnen de processtappen, de onderscheiden risico's en beheersmaatregelen. De risico's sluiten echter niet aan op de risico's in het werkprogramma voor de interne controle en de beschrijving van de beheersmaatregelen kan concreter volgens de 6W-systematiek worden uitgewerkt. In 2023 heeft uw interne controle een goede controle uitgevoerd op de naleving van de Europese aanbestedingsregels. De interne beheersing kan toenemen door de raming van een opdracht af te zetten tegen de drempelwaarde. Momenteel gebeurt dat nog niet, omdat veelal geen kostenschatting wordt gemaakt door de afdeling. Aan de hand van een goede kostenraming kan achteraf worden vastgesteld of een opdracht zodanig is. M&O-beleid nog op te stellen Artikel 13 van uw financiële beheersverordening regelt het voorkomen van misbruik en oneigenlijk gebruik als volgt: • •

De directeur van Duo+ zorgt voor en legt vast de regels voor het voorkomen van misbruik en oneigenlijk gebruik van regelingen en eigendommen in de Nota Misbruik en oneigenlijk gebruik. Uitvoering van beleid voor misbruik en oneigenlijk gebruik gebeurt conform de criteria en richtlijnen zoals vastgesteld in de nota Misbruik en oneigenlijk gebruik.

Duo+ heeft nog geen M&O-beleid. Omdat Duo+ geen uitkeringen en subsidies verstrekt zijn de hiermee samenhangende risico’s beperkter. Omdat M&O-beleid wet belangrijke onderdeel is van de

4

Verslag van bevindingen 2023 rechtmatigheidsverantwoording adviseren wij om M&O beleid op te stellen en periodiek zichtbaar te toetsen op de naleving.

Onze risicoanalyse en controlewerkzaamheden

De controlestandaarden regelen dat wij u informeren over de belangrijkste risico’s die wij bij onze controle onderkennen. Ons controleplan van 25 augustus 2023 bevat deze informatie. Onze controle is gericht op de getrouwheid van de jaarrekening. Naast gebruikelijke controlerisico’s, zoals de volledigheid van opbrengsten, de juistheid van kosten en het voldoen aan verslaggevingsregels, controleren wij op de risico’s die samenhangen met doorbreking van functiescheiding door de leiding. Onze controlewerkzaamheden met betrekking tot fraude De directie en het bestuur zijn verantwoordelijk voor het voorkomen en opsporen van fraude. Wij zijn verantwoordelijk voor het plannen en voeren van de controle om redelijke zekerheid te krijgen dat de jaarrekening als geheel geen materiële onjuistheden bevat door fraude of door fouten. Omdat onze controle niet bestond uit een controle van alle transacties, die nodig zou zijn om fouten of fraude aan het licht te brengen, kan het zijn dat bij onze controlewerkzaamheden geen materiële fraude is geconstateerd. Al wordt door effectieve interne beheersingsmaatregelen de kans dat fouten of fraude voorkomen en onopgemerkt blijven, kleiner, die mogelijkheid wordt niet uitgesloten. Daarom kunnen wij niet garanderen dat eventuele fouten of fraude worden ontdekt.

Tegen de achtergrond van het frauderisico werden controlewerkzaamheden uitgevoerd Onze werkzaamheden betreffen onder meer besprekingen met de directie, de controller en medewerkers van de administratie over de interne beheersingsmaatregelen, managementschattingen, bijzondere transacties buiten de normale gang van zaken, de Wet Normering Topinkomens en memoriaal boekingen. Op basis van onze frauderisicobeoordeling hebben wij de volgende controlewerkzaamheden uitgevoerd: • • • • • •

•

Navragen of sprake is van bekende fraudesignalen of fraudegevallen bij directie en management. Het evalueren van de organisatie- en governance structuur, de interne beheermaatregelen, de informatiesystemen en cultuur en gedrag in relatie tot fraude. Het aanbrengen van onvoorspelbaarheid in onze controlewerkzaamheden. Het evalueren van de rationaliteit van ongebruikelijke transacties en het beoordelen van schattingen. Het uitvoeren van gegevensgerichte werkzaamheden op de naleving van de Europese aanbestedingsregels en steekproefsgewijs vaststellen dat aan de verantwoorde lasten geleverde prestaties ten grondslag liggen. Het beoordelen van de aard van hoger-risicojournaalposten en overige aanpassingen in de administratie en het evalueren van de belangrijkste oordeelsvormingen en veronderstellingen voor een mogelijke tendentie door Duo+. Bij identificatie van onverwachte journaalposten hebben wij aanvullende controlewerkzaamheden uitgevoerd. Deze werkzaamheden omvatten ook het testen van transacties op basis van brondocumenten. Het zorgen voor een professioneel kritische instelling van ons team.

Tijdens onze controle van de jaarrekening 2023 zijn geen aanwijzingen voor fraude gesignaleerd.

5

Bijlage 1: De opdracht die u ons heeft verstrekt In het kader van de overeenkomst tussen Duo+ en Publiek Belang Accountants B.V. tot het controleren van uw jaarrekening bevestigen wij formeel elk jaar de onderlinge afspraken met een opdrachtbevestiging. Met de opdrachtbevestiging heeft uw directie ons namens uw bestuur op meer gedetailleerde wijze opdracht gegeven tot het controleren van de jaarrekening. Er is gedurende het verloop van de controle geen sprake geweest van een beperking in de reikwijdte van onze controle ook zijn geen meningsverschillen met het management geweest. Tijdens de uitvoering van de oorspronkelijke auditplanning hebben zich geen wijzigingen van materieel belang in de reikwijdte voorgedaan. Wij achten de reikwijdte van onze controle voldoende voor de doelstelling van onze controle. De doelstelling van de controle is het afgeven van een controleverklaring bij de jaarrekening. Onze controleaanpak bestaat in hoofdlijnen uit drie fasen: de risicoanalyse, de interim controle en de jaarrekeningcontrole. Gezamenlijke risicoanalyse als basis Onze controle start met het maken van een analyse van de risico’s waar u als gemeenschappelijke regeling (verder GR) mee te maken heeft. Deze risicoanalyse zien wij als een gezamenlijke actie van ons controleteam en vertegenwoordigers van uw GR en maakt deel uit van ons pre-auditgesprek.

Het doel hiervan is om op basis van gezamenlijke kennis van uw organisatie en uw omgeving tot een zo volledig en bruikbaar mogelijke risicoanalyse te komen, die als basis voor de verdere controlewerkzaamheden kan dienen. Het gaat hierbij primair om de externe risico’s en de risico’s in de bedrijfsvoering. Bij deze inventarisatie ligt primair de focus op de risico’s op afwijkingen van materieel belang in de jaarrekening als gevolg van fraude of fouten. Interim controle Onze risicoanalyse en de daarop gebaseerde controleaanpak richten zich niet uitsluitend op de jaarrekening zelf, maar ook op het systeem van interne beheersing. Hoe beter dat systeem functioneert, hoe meer zekerheid er bestaat dat de opgeleverde informatie betrouwbaar is, zowel tussentijds als bij de jaarrekening. Wij onderzoeken tijdens de interim controle de procesrisico’s, om te bepalen of hierin voldoende beheersmaatregelen (de AO/IB) zijn getroffen. Het product van deze fase van de controle is een managementletter met daarin opgenomen verbeterpunten ter verdere optimalisatie van de interne beheersing. Volledigheidshalve merken wij op dat onze analyse en evaluatie is uitgevoerd in het kader van de door u verstrekte opdracht tot controle van de jaarrekening.

De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking die relevant is voor het opmaken van de jaarrekening en voor het getrouwe beeld daarvan, gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden. Deze risico-inschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan dat deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel over de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel en bestrijkt daarom niet noodzakelijkerwijze alle in de interne organisatie vervatte tekortkomingen. Jaarrekeningcontrole Bij de jaarrekeningcontrole stellen wij vast of de jaarrekening is opgesteld volgens de geldende verslaggevingsvoorschriften, of de door u opgestelde jaarrekening een getrouw beeld geeft. Ook stellen wij vast dat de posten in de jaarrekening adequaat zijn toegelicht. Onze controle houdt niet in dat wij alle posten integraal controleren.

Onze aanpak heeft als doel om belangrijke afwijkingen te ontdekken, rekening houdend met de vastgestelde materialiteitsgrenzen. Het product van de jaarrekeningcontrole is de controleverklaring bij de jaarrekening en een verslag van bevindingen. In het verslag van bevindingen rapporteren wij fouten en onzekerheden die de vastgestelde rapportagetolerantie overschrijden en overige bijzonderheden die naar onze mening van belang zijn om aan uw bestuur te rapporteren.

Op alle opdrachten verricht door Publiek Belang Accountants zijn algemene voorwaarden van toepassing welke bij de Kamer van Koophandel zijn gedeponeerd. Publiek Belang Accountants is ingeschreven in het handelsregister van de Kamer van Koophandel te Den Haag onder nummer 67229328.

Lid van Coöperatie De Maatschappelijke Accountants