Managementletter Gemeente Dordrecht 2023.pdf

29 januari 2024

MANAGEMENT LETTER 2023

Gemeente Dordrecht

Aanbiedingsbrief

Aan:

Geacht college,

het college van B&W van gemeente Dordrecht Postbus 8 3300 AA DORDRECHT

In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2023 van de gemeente Dordrecht brengen wij u met deze management letter verslag uit over onze bevindingen naar aanleiding van de interim-controle. Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar onze opdrachtbevestiging.

Rotterdam, 29 januari 2024

In deze rapportage richten wij ons met name op verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening en gaan wij in op het proces om de financiële functie binnen de gemeente te versterken. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelf controlerend vermogen van uw organisatie.

Kenmerk: MS/MF/RA4308

Wij vertrouwen erop u met deze management letter van dienst te zijn geweest. Wij willen de organisatie bedanken voor de prettige samenwerking en zijn vanzelfsprekend graag bereid een nadere toelichting te verstrekken. Met vriendelijke groet, BDO Audit & Assurance B.V. namens deze,

C.M. Steehouwer MSc RA Ter informatie De digitale versie van dit document is vanaf de inhoudsopgave interactief. Aan de hand van de navigatiebalk onderaan de pagina en/of de menustructuur bovenaan de pagina kan door het document genavigeerd worden.

VORIGE PAGINA

VOLGENDE PAGINA

INHOUDSOPGAVE

SAMENVATTING

Inhoudsopgave

1. DASHBOARD INTERIM-CONTROLE

2. ONTWIKKELINGEN & AANDACHTSPUNTEN

4. BEVINDINGEN IT-BEHEER

5. SERVICEGEMEENTE DORDRECHT

3. BEVINDINGEN SIGNIFICANTE PROCESSEN

4

1. Dashboard interim-controle

1. Dashboard interim-controle

5

BOEKJAAR 2023 IN HET KADER VAN VERBETERINGEN, MAAR….

….NOG DIVERSE KNELPUNTEN OP ONS PAD

RECHTMATIGHEIDSVERANTWOORDING

Naar aanleiding van de jaarrekeningcontrole 2022 is in november een goed voorbereide evaluatieronde geweest. Op basis van deze evaluatie en de daar omheen gevoerde gesprekken is een duidelijk beeld in de organisatie ontstaan over de belangrijkste knelpunten waar op gestuurd moet worden om herhaling te voorkomen.

Bij de uitvoering van de interim-controle blijkt een terugkerend fenomeen dat de aansluiting tussen de VIC en de lijnorganisaties niet optimaal is. Medewerking vanuit de lijn om informatie aan te leveren vindt door sommige afdelingen onvoldoende plaats. Dit belemmert de voortgang en kwaliteit van de VIC. Dit leidt ook tot de situatie dat nu alsnog een deel van de VIC-werkzaamheden door ons moet worden getoetst tijdens de al drukke eindejaarscontrole. Mede in het kader van de rechtmatigheidsverantwoording is het van belang gezamenlijkheid in de organisatie te creëren.



De financiële verantwoording is aangepast en met terugwerkende kracht ingegaan per 1-1-2023. Hierin zijn de relevante bepalingen verantwoord.



Het normenkader en het controleprotocol zijn opgesteld en zullen begin 2024 worden vastgesteld door de Raad.



Een directe link tussen de controlewerkzaamheden in het kader van de rechtmatigheidsverantwoording en het normenkader ontbreekt nog. Hierdoor kan niet overkoepelend worden vastgesteld dat alle relevante normen uit het normenkader ook daadwerkelijk zijn getoetst als onderdeel van de VIC.



Er is een VIC controleplan 2023 aanwezig waarin de scoping, risicoanalyse en controle-aanpak zijn uitgewerkt. Tevens is hierin de aanpak rondom de rechtmatigheidsverantwoording opgenomen.

De eerste focus ligt daarbij op het verbeteren van de kwaliteit van de verbijzonderde interne controle (hierna: VIC of interne audit) en het inbouwen van kwaliteitscontroles in het proces van de jaarafsluiting. Daarnaast is ook duidelijk geworden dat de personele bezetting kwalitatief en kwantitatief onderbezet is geraakt door uitstroom in voorgaande jaren. De laatste maanden is Dordrecht succesvol geweest in het werven van ervaren personeel en enkele tijdelijke krachten. De controle van de grondexploitaties is fors naar voren gehaald en over de inhoudelijke aanpak en onderbouwing van uitgangspunten hebben we frequent overleg.

Op verzoek van de ambtelijke organisatie proberen we een fors deel van de eindejaarscontrole naar achteren te schuiven. Door de late timing van dit verzoek is dit geen gemakkelijke opgave, maar hebben wij hier wel grotendeels invulling aan kunnen geven. Dit vergt tegelijk een nog grotere borging van de kwaliteit in de primaire aanlevering door de organisatie, gezien de tijd voor het afwikkelen van vragen en het rapportageproces hierdoor korter wordt.

In de basis is er veel georganiseerd om herhaling te voorkomen. Daarentegen is ontwikkeling van de lijnorganisatie nog niet opgepakt.

De kwaliteit van de door ons getoetste VIC is verbeterd ten opzichte van het voorgaande jaar en ook de in achterliggende maanden intern verrichte voorbereidende werkzaamheden zien wij als positief. Vast staat dat het dit jaar nog geen optimaal controleproces zal zijn.

BEVINDINGEN SIGNIFICANTE PROCESSEN

VERBIJZONDERDE INTERNE CONTROLE



Uw organisatie heeft het opstellen van actuele procesbeschrijvingen op dit moment onderhanden. Aanbeveling is om de werkinstructies, met onderkende (fraude)risico’s en de beheersing hiervan hierin op te nemen als kapstok voor de VIC.



Factuurafhandeling kent voor tenminste een aantal afdelingen in opzet onvoldoende functiescheiding, omdat de besteller en de prestatieverklaarder (PAV-er) dezelfde persoon kunnen zijn. Een werkinstructie en adequate geborgde vastlegging hierbij ontbreekt ook (normstelling voor de PAV-er).







Bij diverse processen ontbreekt een zichtbare vastlegging van het vier-ogenprincipe, waardoor de effectiviteit van de maatregel wordt beperkt. Invoering van een volledig contractenregister en een verplichtingenadministratie is nodig om een goede contractbeheersing te kunnen uitvoeren. Aandachtspunten voor 2024 zijn de subsidieverantwoordingen die ter controle worden aangeboden. Dit proces wordt onvoldoende beheerst in de organisatie. Wij hebben dit punt ook voorgaand boekjaar gerapporteerd, maar zien hierin geen verbeteringen.

DASHBOARD

ONTWIKKELINGEN



Onze conclusie is dat de VIC-werkzaamheden in 2023 tot op heden achterlopen ten opzichte van de planning. Deze achterstand wordt met name veroorzaakt doordat de informatie die nodig is om de dossieropbouw van de VIC op orde te krijgen niet tijdig vanuit de organisatie wordt verkregen, hoewel de VIC dit circa drie maanden geleden heeft uitgevraagd. Hierdoor hebben wij voor diverse processen nog niet alle informatie ontvangen. Dit zorgt ervoor dat deze werkzaamheden pas worden opgepakt bij de start van de eindejaarscontrole. Dit zorgt voor extra druk op het jaarrekeningcontroleproces en een minder integraal beeld in deze managementletter.



Wij constateren dat de kwaliteit van de dossiers die wel bij ons zijn aangeleverd verbeterd is ten opzichte van voorgaand boekjaar. Hierdoor is het aantal vragen dat wij hebben moeten stellen over deze dossiers lager dan het voorgaande jaar.



Enkele processen zijn niet zodanig ingericht dat risico’s adequaat worden voorkomen, waardoor sprake is van een verhoogd risico op onrechtmatigheden en fouten. Zowel de VIC-werkzaamheden als onze werkzaamheden zijn om deze reden uitgebreid.

PROCESSEN

IT-BEHEER

Zoals hieronder uitgebreid is toegelicht, zijn er nog de nodige stappen te zetten in de samenwerking tussen de VIC en de lijnorganisatie. Rechtmatigheid is een verantwoordelijkheid van alle medewerkers en dat begint in de lijn. Medewerking vanuit de lijn is dan ook essentieel. Ook in het kader van verdere doorgroei l maken. ACTUALITEITEN EN VOORUITBLIK JAARREKENINGCONTROLE 



Tijdens de jaarrekeningcontrole 2022 is een aantal onrechtmatigheden vastgesteld (contracten ten onrechte niet Europees aanbesteed) waarvan de contracten in 2023 doorliepen. Hierdoor is een aantal onrechtmatigheden reeds bekend. Wij adviseren om voor 2024 ook tussentijds een spendanalyse uit te voeren om de mogelijkheid te creëren om bij te sturen op bestaande contracten die onrechtmatig zijn of dreigen te worden om zo onrechtmatigheden te voorkomen of te beperken.



Tijdens de jaarrekeningcontrole 2022 hebben wij geconstateerd dat de afgrenzing van facturen voor de BTW niet in alle gevallen juist heeft plaatsgevonden. Hierdoor bestaat het risico dat BTW niet in het juiste tijdvak wordt teruggevraagd of aangegeven. Wij adviseren u bij de jaarrekeningcontrole 2023 de factuurdatum aan te houden bij het afgrenzen van het boekjaar.



Wij constateren dat het niet voor alle processen eenvoudig is om aansluitingen te maken tussen de verschillende subadministraties die binnen de gemeente worden gehanteerd en de financiële administratie. In het kader van de jaarrekeningcontrole is het belangrijk dat de gemeente bij het opleveren van het jaarrekeningdossier de aansluitingen zichtbaar aanlevert.

SERVICEGEMEENTE

6

2. Ontwikkelingen & Aandachtspunten

2.1 Ontwikkelingen in uw organisatie 2.2 Ontwikkelingen grondexploitaties 2.3 Aandachtspunten jaarrekening 2.4 Rechtmatigheidsverantwoording 2.5 Rapporteren in de controleverklaring over fraude en het vermogen om risico’s vanuit de reguliere bedrijfsvoering financieel op te vangen 2.6 Frauderisicobeheersing 2.7 Controle subsidieverantwoordingen

2.1 Ontwikkelingen in uw organisatie

Verbeteren kwaliteit financiële kolom

Verbetering kritisch vermogen VIC Aanlevering totale selectie nog onvoldoende

Procesbeschrijvingen zijn nog niet allemaal geüpdatet

Krappe personele bezetting is verbeterd t.o.v. voorgaand jaar

7

Voortgang verbetertraject n.a.v. de jaarrekeningcontrole 2022 De jaarrekeningcontrole 2022 is niet voor het zomerreces afgerond. De vaststelling van de jaarrekening door de gemeenteraad heeft pas op 19 september 2023 plaatsgevonden. In ons accountantsverslag naar aanleiding van de jaarrekeningcontrole 2022 hebben wij verslag gedaan van onze bevindingen en de reden van deze vertraging. Om deze vertraging voor de jaarrekeningcontrole 2023 te voorkomen hebben wij op 22 november jl. met alle betrokkenen een goede en constructieve evaluatie gedaan. Met de ambtelijke organisatie vindt doorlopend afstemming plaats over zowel inhoudelijke als procesmatige zaken. Dit is een continue proces waarbij duidelijk is geworden dat voor komend jaar van beide kanten wederom veel (extra) inzet en flexibiliteit gevraagd wordt om de jaarrekeningcontrole over 2023 tot een tijdig en goed einde te doen brengen. Op een aantal onderdelen is planmatig actie ondernomen. Allereerst betreft dit de verbetering van het kritisch vermogen van de verbijzonderde interne controle. Tijdens de interim-controle hebben wij beduidend minder vragen hoeven stellen door de verbeterde uitvoering van de interne controle. Wel is gebleken dat het ontvangen van de benodigde documentatie vanuit de organisatie nog te kort schiet.

Hierdoor blijft de voortgang van de VIC en onze toetsing hierop voor een aantal processen achter, ondanks de inmiddels forse doorlooptijd van dit deel van de controle. Hier ligt dan ook een verbeteropgave. Deze vertraging en omstandigheden leiden er ook toe dat deze werkzaamheden door moeten schuiven naar het voorjaar, wat extra druk legt op het jaarrekeningtraject voor u en ons. Daarnaast bestaat het risico dat onvoldoende voortgang is geboekt om een toereikend onderbouwde rechtmatigheidsverantwoording te overleggen bij de start van de jaarrekeningcontrole. De gemeente Dordrecht heeft in het najaar van 2023 een start gemaakt met het actualiseren van de aanwezige procesbeschrijvingen. Een belangrijke normpositie voor de processen die binnen de gemeente afspelen en tevens een basis om praktische werkinstructies op te stellen. Uit een eerste beoordeling blijkt dat deze actualisaties nog niet allemaal gereed zijn. Van de volgende processen hebben wij nog geen geactualiseerde beschrijvingen kunnen beoordelen:  inkomende subsidies;  Grondexploitaties;  verbonden partijen;  Personeelsproces (voor zover niet bij de Servicegemeente belegd). Uw auditteam zou hier ook een rol in moeten vervullen, zowel qua actueel houden als qua interne advisering op het procesverloop teneinde uitvoeringsrisico’s te beheersen.

Wij zien hier dan ook nog ruimte voor verdere verbetering die aan kan sluiten bij het traject om de basis op orde te brengen. Om te zorgen dat de kwaliteit van het jaarrekeningdossier een forse verbetering kent ten opzichte van voorgaand jaar is enerzijds externe inhuur georganiseerd die de organisatie hierbij ondersteunt en is een aantal nieuwe medewerkers gestart. Naar onze indruk heeft dit geleid tot een kwaliteitsimpuls voor de financiële kolom. In hoeverre deze ook in de komende maanden al duidelijk gerealiseerd zal zijn zal moeten blijken en nemen wij mee in ons accountantsverslag.

DASHBOARD

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

SERVICEGEMEENTE

2.2 Ontwikkelingen grondexploitaties

Afspraken gemaakt n.a.v. evaluatie controle 2022 Belangrijkste grex-en tijdens interim besproken. Versnellingproces lijkt te ambiteus voor de gemeente

Nadere aandachtspunten voor de controle.

8

Actieve grondexploitaties Gemeente Dordrecht heeft een behoorlijk aantal actieve grondexploitaties voor woningbouw en bedrijfskavels. De controle van de grondexploitaties verloopt al enkele jaren moeizaam. Gegeven de grote omvang van een aantal grondexploitaties, de mogelijke impact op het resultaat en daarom ook het belang van deugdelijke actualisaties hebben wij dit traject diepgaander besproken in en naar aanleiding van de evaluatie. Voor dit jaar zijn voorbereidende gesprekken gevoerd en afspraken gemaakt om het traject te verbeteren en daarmee ook te verkorten. Tijdens de interim-controle zijn reeds de relevante ontwikkelingen binnen de actieve grondexploitaties besproken. Op basis van deze besprekingen en de verwachte status van de grondexploitaties ultimo 2023, hebben wij de complexen Stadswerven, Middenzone, Amstelwijck Wonen en Dordtse Kil IV als belangrijkste complexen/complexen met een verhoogd risico aangemerkt. De afspraak met het grondbedrijf is dat met name ten aanzien van de risicovolle trajecten in januari al diverse werkzaamheden verricht zullen worden. We merken op dat het realiseren van deze afspraken voor de organisatie lastig is, onder andere door beperkingen in de beschikbaarheid van externe bronnen.

Dit vraagt dan ook voortdurende afstemming met ons over benodigde diepgang van interne analyses, wijze en mate van onderbouwing die de organisatie moet realiseren en het bijstellen van de planning van onze werkzaamheden. Hoewel dit in goed overleg verloopt en de intenties zeker goed zijn, schuift ook hier de planning meer naar achteren dan wenselijk is, waardoor onze geplande inzet niet gerealiseerd kan worden en opnieuw gepland moet worden. Ten opzichte van voorgaand jaar zien we overigens wel een duidelijke vervroeging van dit proces en een proactievere houding om zaken goed onderbouwd aan te leveren. Op dit moment loopt overleg over:  Het adequaat onderbouwd en afgewogen innemen van standpunten over de uitgangspunten van de actualisatie. Dit betreft zowel het prijsniveau (v.o.n.) van de te realiseren bebouwing als het uitgiftetempo, kostenramingen, etc.

Met name de kwalitatieve analyse en bijvoorbeeld de afweging qua uitgangspunten tussen de verschillende deelgebieden binnen een grondexploitatie zien wij als aandachtspunt en monitoren we actief;  De opzet van een geconsolideerde beschrijving van uw beeld van de grondexploitaties, positieve en negatieve risico’s, mede in relatie tot uw nota grondbeleid en de belangrijkste ontwikkelingen ten opzichte van de actualisatie van begin 2023;  Het tijdig aanleveren van de boekwaarden ultimo 2023 inclusief bijbehorende grondexploitatieberekeningen aan het begin van de controle, maar tenminste van Stadswerven en Middenzone;  Per grondexploitatie bespreken we in hoeverre wij noodzaak zien tot het laten uitvoeren van een volledige taxatie, dan wel dit kan worden volstaan met een prijsadvies, update van een eerdere taxatie of dat vanuit gerealiseerde transacties al een goed beeld bestaat van het reële prijsniveau. Wij classificeren de diverse grondexploitaties naar risico, wat betekent dat de diepgang van onze werkzaamheden op de boekwaardemutaties en inschattingen van nog te maken kosten en nog te realiseren opbrengsten passend is bij het risicoprofiel dat wij in een grondexploitatie onderkennen.

Dit is afhankelijk van de omvang van de nog te realiseren kosten en opbrengsten, het verwachte resultaat, of een grondexploitatie een positieve of een negatieve eindwaarde heeft en nog enkele andere kwalitatieve afwegingen.

DASHBOARD

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

SERVICEGEMEENTE

2.3 Aandachtspunten jaarrekening 2023

Aandacht wordt gevraagd voor de invulling en onderbouwing van cijfers van de SiSa- bijlage.

Specifieke aandacht wordt gevraagd voor de afgrenzing van de BTW

In het kader van de jaarrekeningcontrole verwachten wij van de gemeente betere aansluitingen tussen de financiële administratie en subadministraties. Wij verwachten een volledig overzicht van de relevante verplichtingen in de jaarrekening onder de niet uit de balans blijkende verplichtingen.

DASHBOARD

9

Toename aantal SiSa-regelingen De toename van het aantal SiSa-regelingen door het Rijk die een aantal jaren terug is ingezet heeft gevolgen voor het jaarrekeningproces en bezorgt zowel bij de organisatie bij het opstellen als de accountant in de controle extra tijd en werk. Het interne proces binnen de gemeente Dordrecht om de status en bestedingen van SiSa-regelingen te monitoren is gecentreerd rondom de jaarafsluiting met het invullen van de SiSa-bijlage. Hier wordt intern goede monitoring op uitgevoerd. Van belang is dat voor nieuwe regelingen actief wordt nagegaan hoe deze te verantwoorden zijn, zodat ook de nieuwe regelingen op een eenvoudige wijze gecontroleerd kunnen worden. Bij vragen over de aanlevering van documentatie ter onderbouwing van de gegevens in de SiSa-bijlage zijn wij via de manager van de controle bereikbaar voor het geven van een toelichting/advies. Afgrenzing BTW Bij de jaarrekeningcontrole 2022 zijn wij tot de conclusie gekomen dat de gemeente bij het registreren van inkoopfacturen en verkoopfacturen het boekjaar als uitgangspunt hanteert om te bepalen in welk jaar een factuur verantwoord wordt, in plaats van dat hierbij de factuurdatum als uitgangspunt wordt gehanteerd. Deze werkwijze zorgt ervoor dat de kosten in het juiste jaar worden verantwoord.

Tegelijkertijd ontstaat echter wel het risico dat de BTW op de betreffende facturen niet in het juiste tijdvak wordt opgenomen in de aangifte BTW of BCF. Wij adviseren u bij het afgrenzen van de jaarrekening 2023 specifiek aandacht te besteden aan het registreren van de facturen en de BTW in het juiste boekjaar aan de hand van de factuurdatum van binnengekomen en uitgaande facturen. Aansluitingen subadministraties Bij de uitvoering van de jaarrekeningcontrole 2022 en de interim-controle 2023 komen wij tot de conclusie dat de labeling van kosten en opbrengsten aan kostensoorten in de financiële administratie niet altijd nauwkeurig plaatsvindt. Hierdoor worden bijvoorbeeld inkoopfacturen geboekt op de kostensoort subsidies en vice versa. Om uiteindelijk bij de jaarrekeningcontrole de aansluiting te kunnen maken tussen de verschillende sub-administraties en de financiële administratie is het relevant dat de boekingen die betrekking hebben op één sub-administratie ook herleidbaar zijn in de financiële administratie. In het belang van een tijdige afronding van de jaarrekeningcontrole is het van groot belang dat de gemeente de aansluitingen tussen de sub-administraties en de financiële administraties inzichtelijk heeft gemaakt bij de start van de eindejaarscontrole 2023.

Wat ons betreft een stap die in het kader van ‘de basis op orde’ ook ingebed moet worden in de standaard werkwijze binnen de organisatie. Verantwoording van verplichtingen In ons accountantsverslag 2022 hebben wij gerapporteerd over het opnemen van de "belangrijkste financiële verplichtingen" als onderdeel van de “Niet uit de balans blijkende verplichtingen”. Wij hebben u geadviseerd om afspraken te maken met de Raad over de definitie van een belangrijke verplichting. Wij hebben vastgesteld dat deze afspraak is opgenomen in artikel 7.3 van de vernieuwde financiële verordening. In het kader van de jaarrekeningcontrole 2023 verwachten wij in de jaarrekening een overzicht van deze verplichtingen. Vanwege het ontbreken van een toereikende inrichting van de verplichtingenadministratie verwachten wij dat de gemeente aan ons toelicht hoe zij is gekomen tot deze lijst met verplichtingen en op basis van welke uitgangspunten deze lijst met verplichtingen tot stand is gekomen. Daarnaast verwachten wij dat de gemeente onderbouwt hoe zij heeft vastgesteld dat de betreffende lijst met verplichtingen volledig is.

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

SERVICEGEMEENTE

2.4 Rechtmatigheidsverantwoording (1/2)

Geen apart oordeel rechtmatigheid in controleverklaring

Gemeente Dordrecht heeft de verantwoordingsgrens vastgesteld op 2% van de lasten inclusief mutatie reserves

10

Invoering rechtmatigheidsverantwoording met ingang van 2023 Vanaf dit boekjaar geeft het college de rechtmatigheidsverantwoording af voor wat betreft de financiële rechtmatigheid (het begrotingscriterium, voorwaardencriterium en misbruik en oneigenlijk gebruik). De rechtmatigheidsverantwoording zorgt voor meer bewustwording bij het college van haar verantwoordelijkheid voor een goed financieel beheer. De kaders en uitgangspunten voor de rechtmatigheidsverantwoording liggen enerzijds vast in wet- en regelgeving en worden anderzijds bepaalt door de raad. Deze opzet stimuleert het dualisme waarin de raad een kader stellende en controlerende rol inneemt. De rechtmatigheidsverantwoording maakt onderdeel uit van de jaarrekening. De accountant geeft een getrouwheidsoordeel af bij de jaarrekening en daarmee ook bij de rechtmatigheidsverantwoording. Dit betekent dat de accountant vanaf boekjaar 2023 in haar controleverklaring geen apart oordeel meer afgeeft over de rechtmatigheid. De SiSa-bijlage wordt onderdeel van de rechtmatigheidsverantwoording in de jaarrekening, maar ook van de accountant zal worden verwacht dat deze ook rapporteert over de rechtmatigheid van de SiSa-verantwoording. In ieder geval in het accountantsverslag en mogelijk ook nog in de controleverklaring bij de jaarrekening als geheel.

De totstandkoming van de rechtmatigheidsverantwoording is een proces met interactie tussen verschillende gremia dat start bij het bepalen van de verantwoordingsgrens door de raad. Deze verantwoordingsgrens ligt tussen de 0% en 3% en de gemeente Dordrecht heeft deze vastgesteld op 2% van de lasten inclusief mutatie reserves. Dit is hoger dan de wettelijke materialiteit voor het getrouwheidsoordeel die in het kader van de jaarrekeningcontrole over 2023 door ons wordt gehanteerd (1%). Wijzigingen wet- en regelgeving Op het moment van schrijven van deze managementletter is de wettekst van BADO en BBV nog niet door de ministerraad bepaald. De verwachting is dat dit einde van het eerste kwartaal gerealiseerd zal zijn, hoewel dit niet zeker is. Wij blijven u informeren over de actuele status en wat de eventuele impact hiervan is. De huidige status van de nog niet beschikbare relevante wet- en regelgeving is als volgt:

Diverse wet- en regelgeving is nog in consultatie

  

Het Besluit accountantscontrole decentrale overheden en de aanpassing van het BBV zijn ter consultatie gepubliceerd. De Algemene Rekenkamer moet hier nog op reageren, waarna verdere formalisering kan plaatsvinden; De NBA-Handreiking 1152 rechtmatigheidstoelichting decentrale overheden is ter consultatie gepubliceerd; De kadernota rechtmatigheid van de commissie BBV is in november 2023 in definitieve vorm gepubliceerd. Dit geldt ook voor de notitie van de commissie BADO.

Vanaf boekjaar 2023 geldt de nieuwe Kadernota Rechtmatigheid. O.a. ten aanzien van de foutevaluatie zijn belangrijke wijzigingen doorgevoerd. In het rechtmatigheidsoordeel worden alle afwijkingen boven de verantwoordingsgrens gerapporteerd. In de nieuwe Kadernota Rechtmatigheid vallen ‘afwijkingen’ uiteen in fouten en onduidelijkheden. Onduidelijkheden doen zich voor in situaties met complexe wet- en regelgeving, waarin de normstelling niet eenduidig uitlegbaar is. De Kadernota Rechtmatigheid bevat geen mogelijkheid om afwijkingen als onzekerheid op te nemen. Daarnaast wordt in de nieuwe Kadernota Rechtmatigheid nadere duiding gegeven aan het onderscheid tussen getrouwheids- en rechtmatigheidsfouten en (mogelijk) herstel van (door de VIC) geconstateerde fouten. Op de volgende pagina hebben wij de status van uw voorbereiding op de rechtmatigheidsverantwoording in een schema opgenomen. DASHBOARD

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

SERVICEGEMEENTE

2.4 Rechtmatigheidsverantwoording (2/2) AFSPRAKEN COLLEGE GEMAAKT?

TE ZETTEN STAPPEN Status invoering rechtmatigheidsverant woording bij de gemeente Dordrecht

TOELICHTING STAND VAN ZAKEN

De verantwoordingsgrens voor 2023 is bepaald en door de Raad vastgesteld.



De verantwoordingsgrens voor 2023 is opgenomen in de nieuwe financiële verantwoording en is bepaald op 2% van de totale lasten inclusief dotaties aan de reserves.

De financiële verordening is herzien en bevat de relevante bepalingen, de financiële verordening is door de Raad vastgesteld.



De financiële verordening is aangepast en met terugwerkende kracht ingegaan per 1-1-2023. Hierin zijn de relevante randvoorwaarden voor de RMV opgenomen en door de Raad vastgesteld.

Het college en de raad hebben overeenstemming over de inhoud van de paragraaf Bedrijfsvoering



De paragraaf Bedrijfsvoering wordt voor overeenstemming voorgelegd aan de raad. De wijze van rapporteren en over de inhoud moet nog worden afgestemd.

Het normenkader 2023 is gereed en vastgesteld door de raad



Het normenkader en het controleprotocol 2023 zijn geactualiseerd en zullen begin 2024 worden vastgesteld door de raad.



De gemeente heeft nog geen directe link gelegd tussen het normenkader en de controlewerkzaamheden in het kader van de rechtmatigheidsverantwoording. Hierdoor kan niet overkoepelend worden vastgesteld dat alle relevante normen uit het normenkader ook daadwerkelijk zijn getoetst als onderdeel van de VIC.

Het normenkader is geoperationaliseerd in een toetsingskader en dit is vertaald in het controlframework van de gemeente. Het interne controleplan van de gemeente bevat: 1. scoping van de processen en balansmutaties 2. risicoanalyses per proces en post 3. controle-aanpak Procesbeschrijvingen, de beoordeling van de inrichting van de processen en het bestaan van interne beheersingsmaatregelen.

Uitwerking van de detailcontroles

DASHBOARD

11

ONTWIKKELINGEN

PROCESSEN



Er is een VIC Controleplan 2023 aanwezig waarin de scoping, risicoanalyse en controle-aanpak zijn uitgewerkt. Tevens is hierin de aanpak rondom de rechtmatigheidsverantwoording opgenomen.



De gemeente heeft niet voor alle relevante processen toereikende procesbeschrijvingen opgesteld, waardoor mogelijk niet alle tekortkomingen in de interne beheersing inzichtelijk zijn. Daarnaast zijn nog niet voor alle processen lijncontroles aangeleverd.



Wij constateren dat de voortgang van de detailcontroles die door de VIC worden uitgevoerd achterlopen ten opzichte van de planning. De dossiers die wel worden opgeleverd zijn in kwaliteit verbeterd ten opzichte van 2022, maar wij maken ons zorgen over de tijdige afronding van de VIC-werkzaamheden. IT-BEHEER

SERVICEGEMEENTE

2.5 Controle subsidieverantwoordingen

Uitgevoerde subsidiecontroles in boekjaar 2023

12

Controle van subsidieverantwoordingen In het boekjaar 2023 hebben wij enkele subsidieverantwoordingen gecontroleerd:  Project RW 15 Nieuwe Dordtse Biesbosch (Waterschap Hollands Delta);  Take Part 2022-2023 van het Dordts Museum (Fonds 21);  Herstructurering maritieme infrastructuur Dolderman (Provincie Zuid-Holland);  Beheer en onderhoud Parkschap de Biesbosch 2021 en 2022 (Provincie Zuid-Holland); en  Herinrichting Lange Geldersekade (Provincie Zuid-Holland) Het laatste project is volledig afgewikkeld, de overige projecten niet.

Bevindingen ten aanzien van de subsidiecontroles

Aanleveringsproces van subsidieverantwoordingen vormgeven.

Voorgaand jaar hebben wij onze observaties en aanbevelingen ten aanzien van de verantwoording en controle ten behoeve van ontvangen subsidies met u gedeeld in onze managementletter. Wij hebben hier in het afgelopen jaar geen verbeteringen in geconstateerd. In zo goed als alle gevallen is het nodig dat bij de subsidieverstrekker uitstel wordt gevraagd voor het indienen van een verantwoording tot vaststelling van de subsidie. Vanwege de hieronder opgesomde omstandigheden is de doorlooptijd van deze controles uitzonderlijk lang. Hieronder hebben wij nogmaals onze bevindingen ten aanzien van deze subsidieverantwoordingen kort samengevat:  Alle subsidieverantwoordingen moeten voldoen aan datgene wat in de beschikking en in het controleprotocol staat. Kennis van dit controleprotocol is onvoldoende aanwezig in de organisatie, waardoor verantwoordingen en onderbouwingen veelal niet in overeenstemming zijn met de bepalingen in beschikking en controleprotocol.  Opleveringsdossiers voldoen veelal niet aan de vereisten van een goed subsidiedossier en hieruit volgende vragen worden moeizaam afgewikkeld.

 Er is een onduidelijke rolverdeling wie verantwoordelijk is voor de subsidieverantwoording: projectleider, financieel adviseur of de subsidiecoördinator? Het is aan te bevelen hierin helderheid te scheppen en zorg te dragen voor de relevante kennis bij de verantwoordelijke medewerker teneinde tijdig een goed eindproduct op te kunnen leveren;  Er is geen oog voor inkomstenverantwoordingen buiten de ontvangen subsidies van de subsidiegevers. In meerdere subsidieverantwoordingen was sprake van niet onderbouwde / controleerbare opbrengsten;  Inzet en declaratie van eigen personeel in de subsidieverantwoording is veelal niet onderbouwd (aan de hand van de vereisten van het controleprotocol); en  Controleerbare stukken worden in veel gevallen niet tijdig bij ons aangeleverd, wat een tijdige afwikkeling mede in de weg staat. Ditzelfde geldt voor de juiste en onderbouwde beantwoording van vragen naar aanleiding van deze controles. Wij adviseren met klem bovenstaand proces voor het opstellen van subsidieverantwoordingen voor aanlevering ter controle bij BDO vorm te geven zodat een goed subsidieverantwoordingsdossier wordt aangeleverd dat voldoet aan de eisen van de controleprotocollen. Indien gewenst kunnen wij hierbij adviseren. Met name de doorlooptijd van deze controles vergt veel tijd van uw medewerkers en van ons als accountant.

Mogelijk kan uw Auditteam een waardevolle rol spelen bij het vergroten van de controleerbaarheid en het verkorten van de doorlooptijd van deze controles.

DASHBOARD

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

SERVICEGEMEENTE

13

3. Bevindingen significante processen

3.1 Inrichting van onze controle 3.2. Effectiviteit processen 3.3 Overzicht van de bevindingen

3.1 Inrichting van onze controle

Kwaliteit en proces van management rapportage

14

Inleiding Zoals afgelopen jaar aangegeven, nemen de eisen die worden gesteld aan de accountantscontrole toe. Wij vinden het daarom van groot belang dat wij inzicht geven in de normen en verwachtingen ten aanzien van onze controle en de vertaling hiervan specifiek voor gemeente Dordrecht. Hierbij is niet alleen de kwaliteit van de accountantscontrole van belang, maar ook de wijze waarop de gemeente Dordrecht hiervan kan profiteren. Onze controle-aanpak afhankelijk van uw interne beheersing In onze controle-aanpak is het uitgangspunt daar waar mogelijk te steunen op de interne beheersing in de significante processen van gemeente Dordrecht. Hiervoor beoordelen wij of er sprake is van controle technische functiescheiding binnen de processen, of er sprake is van actueel en toereikende procesbeschrijvingen met voldoende beheersmaatregelen en de IT-maatregelen. Daarbij maken wij, indien mogelijk, gebruik van uw eigen verbijzonderde interne controle (VIC). Op basis van onze uitgevoerde werkzaamheden komen wij op dit moment tot de conclusie dat de beheersorganisatie van gemeente Dordrecht (voor zover relevant voor de controle van de jaarrekening) op een aantal punten en bij meerdere processen nog verbetering behoeft. De verbijzonderde interne controle beperkt dit risico op onderdelen.

Omdat de interne beheersmaatregelen in de reguliere dagelijkse processen niet altijd goed is opgezet of goed werkt, kunnen wij voor onze controle nog niet op de interne beheersing in de reguliere processen steunen. Hiervoor zal de gemeente meer moeten investeren in de borging en zichtbare vastlegging van beheershandelingen in de lijnorganisatie.

DASHBOARD

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

SERVICEGEMEENTE

3.2 Effectiviteit processen Enkele van de onderkende risico’s hebben een hoge kans / impact en krijgen daarom extra aandacht in de controle

15

Onze inschatting van de belangrijkste risico’s en belangrijkste processen In het kader van de controle van de jaarrekening 2023 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien de volgende potentiële risico’s in de controle van de jaarrekening van gemeente Dordrecht:  In onze controlestandaarden (NVCOS) wordt expliciet het risico van management override (bewuste beïnvloeding door bestuur of management van de jaarcijfers) als belangrijk te onderkennen theoretisch risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat binnen de gemeente de mogelijkheden, om buiten de getroffen interne beheersmaatregelen invloed uit te oefenen op de in de jaarrekening gepresenteerde uitkomsten, uitermate beperkt zijn. Om het resterende risico te beperken beoordelen wij schattingsprocessen en bijzondere journaalposten in detail;  Onjuiste waardering van enkele specifieke bouwgronden in exploitatie (materiële post met verschillende schattingselementen); en  Mogelijke functievermenging door bestellen en prestatiecontrole in één hand te beleggen (niet organisatie-breed). Vooralsnog zullen wij deze risico’s, indien nodig, herzien bij aanvang van de jaarrekeningcontrole indien blijkt dat uit geactualiseerde informatie dat dit alsnog een significant risico moet zijn.

Hierover zullen wij dan in het accountantsverslag rapporteren.

Wij beoordelen dertien processen

In onze aanpak is de insteek, daar waar mogelijk, te steunen op de interne beheersing van de significante processen binnen uw gemeente. Dit noemen wij een zogenaamde systeemgerichte aanpak, waarbij wij kunnen steunen op toereikende maatregelen in uw processen en systemen. Daarbij maken wij, indien mogelijk, gebruik van uw eigen verbijzonderde interne controle (VIC). In het kader van onze controle hebben wij de volgende processen beoordeeld:  Het Planning & Control-proces  Het proces memoriaalboekingen;  Het proces grondexploitaties;  Het proces inkopen & aanbesteden;  Het proces factuurafhandeling;  Het proces personeelsmutaties;  Het proces subsidieverstrekkingen & -vaststellingen;  Het proces parkeeropbrengsten;  Het proces verhuur van vastgoed en gronden (erfpacht);  Het proces gemeentelijke belastingen en lokale heffingen;  Het proces de beheersing van verbonden partijen;  Het proces subsidieopbrengsten (SiSa en overige subsidies); en  Het proces treasury. Bij deze processen is ons inziens het risico op een afwijking van materieel belang in de jaarrekening het grootst, om deze reden hebben wij van deze processen de procesopzet in kaart gebracht en eventuele beheersmaatregel in opzet geïdentificeerd en beoordeeld.

DASHBOARD

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

SERVICEGEMEENTE

3.2 Effectiviteit processen

Onderkende risico’s:  CTFS  AO-IB  VIC

16

Uitwerking controlestrategie per proces Voor elk proces beoordelen wij de volgende onderdelen:  Controletechnische functiescheiding (CTFS): Is de verdeling van bevoegdheden en verantwoordelijkheden adequaat ingeregeld?  AO-IB toereikend: Zijn de beheersmaatregelen toereikend ingericht en wordt gebruik gemaakt van actuele procesbeschrijvingen?  VIC: Heeft de VIC de interne beheersmaatregelen getoetst en kunnen wij daar gebruik van maken? Indien al deze vragen positief kunnen worden beantwoord is de organisatie optimaal in control en kunnen ook wij gebruik maken van uw eigen interne beheersing. De vaak tijdrovende en gedetailleerde gegevensgerichte werkzaamheden (die ook nog eens achteraf plaatsvinden), kunnen dan beperkt blijven tot een minimum. Vanzelfsprekend geven wij, evenals in voorgaande jaren, vanuit onze natuurlijke adviesrol aanbevelingen op welke wijze verbeteringen in de interne beheersing mogelijk zijn. Dat ligt per proces vast op de volgende pagina’s. Daarbij is het wel van belang dat uw organisatie zelf de keuze maakt welke mix van interne beheersingsmaatregelen (en dus ook risico’s) u acceptabel en optimaal vindt. Onze controle-aanpak en advisering zullen wij daarop afstemmen. In het vervolg geven wij ons totaalbeeld van de significante processen en het overzicht van de detailbevindingen.

Voor wat betreft onze aanpak kunnen wij nog niet steunen op de interne beheersing; onze aanpak is daarmee hoofdzakelijk gegevensgericht.

DASHBOARD

Samenvatting effectiviteit van de processen In het volgende overzicht geven wij weer in hoeverre de processen voldoen aan de genoemde normen (zie ook hoofdstuk 4 t.a.v. ICT). Op basis van onze uitgevoerde werkzaamheden komen wij op dit moment tot de conclusie dat er in de beheersorganisatie van de gemeente (voor zover relevant voor de controle van de jaarrekening) in opzet nog ruimte is voor verbetering, rekening houdend met de uitkomsten van de werkzaamheden van de VIC. Omdat de AO-IB niet altijd goed is opgezet of goed werkt, kunnen wij voor wat betreft de insteek van onze controle nog niet op de processen steunen. Er zijn in onze aanpak daarom aanvullende gegevensgerichte werkzaamheden noodzakelijk.

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

SERVICEGMEEENTE

3.2 Effectiviteit processen

17

OPZET & BESTAAN

VIC

T.O.V. 2022

Planning & Control







Memoriaalboekingen







Grondexploitaties







Inkoop & Aanbestedingen







Factuurafhandeling







Personeel







Subsidieverstrekking







Parkeeropbrengsten







Verhuur van vastgoed







Belastingen & heffingen





N.v.t.

Samenwerkingsrelaties (verbonden partijen)







Subsidiebaten





Treasury





PROCES 





Interne beheersorganisatie (AO/IB) en controletechnische functiescheiding voor drie processen onvoldoende Werking vaak niet toetsbaar of op onderdelen nog ontoereikend VIC-werkzaamheden in veel gevallen adequaat ingeregeld

Voor wat betreft onze aanpak kunnen wij nog niet steunen op de interne beheersing; onze aanpak is daarmee hoofdzakelijk gegevensgericht

 Gelijk

 Vooruit

 onvoldoende

DASHBOARD



 Achteruit

 verbeterpunten

ONTWIKKELINGEN



 voldoende

PROCESSEN

 geen waarneming

 niet onderzocht

IT-BEHEER

SERVICEGEMEENTE

3.3 Overzicht van de bevindingen hoog 

18

OVERZICHT DETAILBEVINDINGEN

IMPACT

A3 A6

A5

A

Detailbevindingen processen

A1

Planning & Control| Beperkte zichtbaarheid controle P&C

A2

Inkopen & Aanbestedingen | Afwijking van aanbestedingsregels

A3

Inkopen & Aanbestedingen | Geen toereikende controle prestatielevering

A4

Verhuur van vastgoed | Ontoereikend leegstandsbeheer

A5

Verhuur van vastgoed | Indexatie niet conform afspraak verwerkt

A6

IT-beheer | Datalekken – Ongeautoriseerde toegang na uitdiensttreding

A2

 laag

A4 A1  laag

KANS

hoog 

Hierboven is een grafische weergave opgenomen van onze visie op de mate van risico en impact van de geconstateerde bevindingen in relatie tot de maatregelen van interne beheersing in de relevante processen. Voor de bevindingen die belangrijk zijn én een hoge impact hebben adviseren wij u deze zo spoedig mogelijk te adresseren.

DASHBOARD

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

SESRVICEGEMEENTE

19

4. Bevindingen IT-beheer (SGD)

4.1 IT-beheer 4.2 Bevindingen IT-beheer | Key2Financiën (K2F) 4.3 Bevindingen IT-beheer | Key2Belastingen (K2B) 4.4 Bevindingen IT-beheer | Suites4Sociaal Domein (S4SD) 4.5 Bevindingen IT-beheer | AFAS Profit 4.6 Transitie

3.1 IT-beheer

Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening

20

IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze controlewerkzaamheden gericht zijn op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van ICT-systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking.

Beoordeelde systemen:  Key2Financiën  Key2Belastingen  Suite4SociaalDomein  AFAS Profit

De bevindingen zoals gerapporteerd in deze management letter zijn gericht geweest op het beoordelen van de opzet en het vaststellen van het bestaan van algemene IT-beheersmaatregelen. Wij hebben in samenwerking met onze IT-auditors een aantal van deze maatregelen beoordeeld voor Key2Financiën, Key2Belastingen, Suite4SociaalDomein – maatregelen continuïteit – en AFAS Profit. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevantie processen en posten (zie hoofdstuk 2). In dit hoofdstuk geven wij een samenvatting van onze bevindingen voor de genoemde applicaties. De detailbevindingen voor deze systemen zijn afgestemd met de betrokkenen. Op het moment dat de intern getroffen algemene IT-beheersmaatregelen rondom de applicaties in scope niet (bewijsbaar) voldoende aanwezig zijn, zijn in het kader van de controle van de jaarrekening 2023 aanvullende (gegevensgerichte) werkzaamheden noodzakelijk om aan te tonen dat er zich geen risico’s of fouten hebben voorgedaan. Wij vervolgen het hoofdstuk van IT beheersing met onze detailbevindingen per beoordeelde applicatie.

DASHBOARD

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

INTERNE CONTROLE

3.2 Bevindingen IT-beheer | Key2Financiën (K2F) PROCES

2022

21

2023

KORTE OMSCHRIJVING BEVINDINGEN

Logische toegangsbeveiliging

Logische toegangsbeveiliging K2F (criteria 1-5) toereikend

1. Procedure Autorisatiebeheer





Voor één willekeurige indiensttreder is vastgesteld dat de aanvraag gedocumenteerd door een bevoegde wordt gedaan en dat de toekenning van rechten gebeurt conform de aanvraag in lijn met de beoogde functiescheiding. Voor één willekeurige uitdiensttreder vastgesteld dat blokkering tijdig is doorgevoerd.

2. Periodieke controle op juistheid en actualiteit





Voor de deelnemers van de serviceorganisatie worden verzoeken voor een periodieke review op juistheid en actualiteit uitgezet. Na terugkoppeling van bevindingen worden deze opgevolgd.

3. Identificatie van gebruikers





Generieke accounts zijn verklaarbaar vanuit functie.

4. Administrator- en superuser-accounts





Superuser-rechten zijn beperkt tot de IT-organisatie.

5. Authenticatie





Wachtwoordmaatregelen voldoen aan de BDO minimum-practice.

Change management

Change management (criteria 6-7) nog deels ontoereikend

6.

Wijzigingsbeheer





Generieke procedure die eenmalig is getest. Zie tabblad K2B

7.

Gescheiden IT-omgevingen





Er is een acceptatieomgeving logisch gescheiden van de testomgeving aanwezig, derhalve akkoord.

Continuïteit

Continuïteit (criteria 8-10) nog deels ontoereikend

8.

Fysieke toegangscontrole





Fysieke toegangsbeheermaatregelen zijn belegd bij partij Dataplace, hiervoor is een ISO27001 certificaat beschikbaar gemaakt die het risico afdekt.

9.

Back-up maatregelen





Er zijn back-up en monitoring maatregelen ingesteld in lijn met het maximaal toelaatbaar gegevensverlies





Er wordt, specifiek voor de applicatie in scope, geen uitwijktest uitgevoerd, waardoor niet getest is of de productie-data binnen eisen omtrent maximale data-verlies en maximale hersteltijd teruggezet kan worden in geval van een calamiteit.

10. Restore-test

 Onvoldoende

DASHBOARD

 Verbeterpunten

ONTWIKKELINGEN

 Voldoende

PROCESSEN

 Geen waarneming

 Niet onderzocht

IT-BEHEER

INTERNE CONTROLE

3.3 Bevindingen IT-beheer | Key2Belastingen (K2B) PROCES

2022

22

2023

KORTE OMSCHRIJVING BEVINDINGEN

Logische toegangsbeveiliging

Logische toegangsbeveiliging K2B (criteria 1-5) toereikend

1. Procedure Autorisatiebeheer





Voor één willekeurige indiensttreder vastgesteld dat de aanvraag voor toegang en autorisaties is gedaan door een hiervoor bevoegde medewerker. Rechtentoekenning gebeurt middels een duidelijke koppeling tussen autorisatiegroepen en te bekleden functies. Voor één willekeurige uitdiensttreder vastgesteld dat blokkering tijdig is doorgevoerd.

2. Periodieke controle op juistheid en actualiteit





Er heeft een review plaatsgevonden op de actualiteit van gebruikersaccounts en de juistheid van daaraan toegekende autorisaties. Daarnaast is vastgesteld dat opvolging heeft plaatsgevonden.

3. Identificatie van gebruikers





Er zijn geen generieke accounts aanwezig binnen de applicatie.

4. Administrator- en superuser-accounts





Superuser-rechten zijn beperkt tot de IT-organisatie.

5. Authenticatie





Wachtwoordmaatregelen voldoen aan de BDO minimum-practice.

Change management

Change management (criteria 6-7) nog deels ontoereikend.

6.

Wijzigingsbeheer





Voor één willekeurige wijziging van K2B hebben wij kunnen vaststellen dat de betreffende wijzing is goedgekeurd en in productie is genomen. Wij hebben echter het testscript niet vast kunnen stellen.

7.

Gescheiden IT-omgevingen





Er is een acceptatieomgeving logisch gescheiden van de testomgeving aanwezig.

Continuïteit

Continuïteit (criteria 8-10) nog deels ontoereikend

8.

Fysieke toegangscontrole





Fysieke toegangsbeheermaatregelen zijn belegd bij partij Dataplace, hiervoor is een ISO27001 certificaat beschikbaar gemaakt die het risico afdekt.

9.

Back-up maatregelen





Er zijn back-up en monitoring maatregelen ingesteld in lijn met het maximaal toelaatbaar gegevensverlies





Er wordt, specifiek voor de applicatie in scope, geen uitwijktest uitgevoerd, waardoor niet getest is of de productie-data binnen eisen omtrent maximale data-verlies en maximale hersteltijd teruggezet kan worden in geval van een calamiteit.

10. Restore-test

 Onvoldoende

DASHBOARD

 Verbeterpunten

ONTWIKKELINGEN

 Voldoende

PROCESSEN

 Geen waarneming

 Niet onderzocht

IT-BEHEER

INTERNE CONTROLE

3.4 Bevindingen IT-beheer | Suite4SociaalDomein (S4SD) PROCES

Continuïteit (criteria 1-3) nog deels ontoereikend De overige maatregelen van deze applicatie vallen niet onder de verantwoordelijkheid van SGD.

23

2022

2023

KORTE OMSCHRIJVING BEVINDINGEN

1. Fysieke toegangscontrole





Fysieke toegangsbeheermaatregelen zijn belegd bij partij Dataplace, hiervoor is een ISO27001 certificaat beschikbaar gemaakt die het risico afdekt.

2. Back-up maatregelen





Er zijn back-up en monitoring maatregelen ingesteld in lijn met het maximaal toelaatbaar gegevensverlies

3. Restore-test





Er wordt, specifiek voor de applicatie in scope, geen uitwijktest uitgevoerd, waardoor niet getest is of de productie-data binnen eisen omtrent maximale data-verlies en maximale hersteltijd teruggezet kan worden in geval van een calamiteit.

Continuïteit

Als gevolg van de ontvlechting van de GRD is de SGD met ingang van verslagjaar 2022 (zelfstandig) verantwoordelijk voor de maatregelen continuïteit binnen Suite4SociaalDomein (S4SD). Logische toegangsbeveiliging en changemanagement vallen onder de verantwoordelijkheid van de GRS.

 Onvoldoende

DASHBOARD

 Verbeterpunten

ONTWIKKELINGEN

 Voldoende

PROCESSEN

 Geen waarneming

 Niet onderzocht

IT-BEHEER

INTERNE CONTROLE

3.5 Bevindingen IT-beheer | AFAS Profit PROCES

2022

24

2023

KORTE OMSCHRIJVING BEVINDINGEN



Voor één willekeurige indiensttreder vastgesteld dat de aanvraag voor toegang en autorisaties is gedaan door een hiervoor bevoegde medewerker. Rechtentoekenning gebeurt middels een automatische toekenning o.b.v. functie. Voor één willekeurige uitdiensttreder vastgesteld dat blokkering tijdig is doorgevoerd.

Logische toegangsbeveiliging

Logische toegangsbeveiliging AFAS Profit (criteria 1-5) nog deels ontoereikend;

Change management (criteria 6-7) nog deels ontoereikend

Continuïteit (criteria 8-10) nog deels ontoereikend

1. Procedure Autorisatiebeheer



2. Periodieke controle op juistheid en actualiteit





Er heeft een gedocumenteerde review plaatsgevonden op de actualiteit van accounts binnen de organisatie en diens deelnemers, dit middels een applicatie-overstijgende analyse op actuele dienstverbanden en huidige accounts. De controle op juistheid van autorisaties binnen AFAS is ten tijde van de audit nog niet uitgevoerd.

3. Identificatie van gebruikers





Generieke accounts zijn verklaarbaar vanuit functie.

4. Administrator- en superuser-accounts





Superuser-rechten zijn niet volledig beperkt tot de IT-organisatie. Eén medewerker Rechtspositie beschikt over superuser-userrechten als onderdeel van de lijnorganisatie. Dit is wel een verbetering ten opzichte van voorgaand boekjaar.

5. Authenticatie





Wachtwoordmaatregelen voldoen aan de BDO minimum-practice.

Change management

6.

Wijzigingsbeheer



*

Het wijzigingsbeheer is deels uitbesteed aan de externe partij AFAS Software. Testen en opvolging wordt door de gebruiksorganisatie vastgelegd. Wie getest heeft en of deze persoon akkoord is met opvolging wordt niet structureel vastgelegd.

7.

Gescheiden IT-omgevingen





De software wordt ontwikkeld in een ontwikkelomgeving bij de leveranciers, waardoor er functiescheiding tussen de ontwikkelaar en in-productienemer (SGD) aanwezig is.

Continuïteit 8.

Fysieke toegangscontrole

*

*

Fysieke toegangsbeveiliging is door de leverancier uitbesteed bij partij LeaseWeb. Hier wordt geen inzicht in verkregen middels de beschikbare assurance verklaring.

9.

Back-up maatregelen

*

*

De leverancier heeft back-ups ingericht in lijn met het maximaal toelaatbaar gegevensverlies en monitort op juist verloop.

*

*

De leverancier test de restore functionaliteit in zijn algemeen voor AFAS databases.

10. Restore-test  Onvoldoende

DASHBOARD

 Verbeterpunten

ONTWIKKELINGEN

 Voldoende

PROCESSEN

 Geen waarneming

 Niet onderzocht

IT-BEHEER

* Indien ISAE3402 over 2023 gelijke bevindingen geeft als voorgaand boekjaar

INTERNE CONTROLE

3.6 Transitie

25

Transitie Gemeenschappelijke Regeling Drechtsteden is per 1 januari 2022 grotendeels overgegaan naar de servicegemeente Dordrecht. Wij hebben begrepen dat een nieuwe I-Visie wordt opgesteld en tevens de informatievoorzieningsorganisatie tegen het licht wordt gehouden. Dit raakt vrijwel alle onderdelen van informatievoorziening, waaronder de Visie, Strategie, financiële randvoorwaarden en verrekeningen, etc. Wij hebben nog geen formele plannen hieromtrent ontvangen. Transitie van gemeenschappelijke regeling Drechtsteden naar servicegemeente Dordrecht en GR Sociaal

Advies inzake de transformatie Voor de transitie hebben wij nog geen formele planvorming geconstateerd. Daarom adviseren wij, mede door de omvang en complexiteit, extra aandacht te schenken aan formalisatie en aantoonbaar project- en risicomanagement. Een hulpmiddel zou een Project/Programma Quality Assurance rol kunnen zijn. Door het inzetten van een dergelijke methodiek en rol, worden de volgende punten gemonitord om de programma- en projectdoelstellingen te behalen: 1. 2. 3. 4. 5. 6. 7.

Programma beleid: (o.a. samenwerking en afstemming derde partijen); Programmamanagement (o.a. bewaking scope, planning en budget); Verandermanagement (o.a. communicatie en verandervermogen); Prestatiemanagement (o.a. prestatie indicatoren en stimuleringsmaatregelen); Mens (o.a. gedrag en training); Proces (o.a. aansluiting processen en interne beheersing); Technologie (o.a. koppelingen, toekomstig IT-beheer en conversie).

Graag gaan wij met u in gesprek over de invulling van een Project/Programma Quality Assurance rol binnen uw transformatie en wat voor effect dit heeft en/of kan hebben op de interne beheersing en continuïteit van de dienstverlening.

DASHBOARD

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

INTERNE CONTROLE

26

5. Bevindingen Servicegemeente Dordrecht

5.1 Relevante risico’s en processen Servicegemeente Dordrecht 5.2 Effectiviteit processen Servicegemeente Dordrecht 5.3 Overzicht bevindingen Servicegemeente Dordrecht

5.1 Relevante risico’s en processen Servicegemeente Dordrecht

Risico-inschatting, belangrijkste processen, controleaanpak en afwegingen

Geen verhoogd risicoprofiel

Onze inschatting van de risico’s en belangrijkste processen In het kader van de controle van de jaarrekening 2023 en onze aanpak hebben wij een initiële risico-inschatting gemaakt. Wij zien in de voor deze regionale managementletter relevante processen geen verhoogd risicoprofiel. We steunen daarom waar mogelijk op de interne beheersing in deze processen van de SGD. Dit noemen wij een systeemgerichte aanpak, waarbij wij kunnen steunen op toereikende maatregelen in de processen en systemen. Daarbij maken wij, voor zover mogelijk, gebruik van de verbijzonderde interne controle (VIC) van de SGD. In het kader van onze controle hebben wij de volgende processen beoordeeld:  Verwerking van memoriaalboekingen;  Salarisverwerking;  Inkoopfactuurverwerking;  Betalingsproces;  IT-beheer voor relevante applicaties (zie hoofdstuk 4). Op de volgende pagina geven wij schematisch per uitbesteed proces onze observaties weer naar aanleiding van de controle.

DASHBOARD

27

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

INTERNE CONTROLE

5.2 Effectiviteit processen Servicegemeente Dordrecht PROCES 







Interne beheersorganisatie (AO/IB) in opzet voldoende tot goed, rekening houdend met de uitkomsten van de VIC en IT Werking niet altijd toetsbaar of op onderdelen nog ontoereikend ITGC’s zijn in ontwikkeling, maar nog niet sluitend VIC-werkzaamheden in veel gevallen adequaat ingeregeld

Voor wat betreft onze aanpak kunnen wij nog niet altijd steunen op de interne beheersing; onze aanpak is daarmee hoofdzakelijk gegevensgericht

28

OPZET & BESTAAN

IT

VIC

T.O.V. 2022

Verwerking van memoriaalboekingen

**

*

***



Salarisverwerking



*

***



Inkoopfactuur-verwerking



*





Betalingsproces





***



Bedrijfsvoering

 Onvoldoende

 Verbeterpunten

 Voldoende

 Geen waarneming

 Niet onderzocht

Aanvullende toelichting: * Als onderdeel van de interim-controle bij de SGD hebben de IT auditors de opzet en het bestaan van de algemene ITbeheersmaatregelen in Key2Financiën (K2F), Key2Belastingen (K2B), Suite4SociaalDomein (S4SD) – maatregelen continuïteit – en AFAS Profit beoordeeld. De bij dit proces opgenomen inschaling is in hoofdstuk 3 van deze regionale managementletter nader uitgewerkt. ** Het proces is in opzet voldoende ingericht. Wij hebben echter geconstateerd dat bij het doorvoeren van memoriaalboekingen in de administratie geen sprake is van primaire controle technische functiescheiding. Een zichtbare autorisatie van memoriaalboekingen wordt niet in het proces geborgd. Overigens is de SGD enkel verantwoordelijk voor de technische verwerking van de memoriaalboekingen op basis van de input van de klantorganisatie. Waar mogelijk zullen in overleg met klantorganisaties acties gepland worden. *** In hoofdstuk 4 beschrijven wij in het kader van de werkzaamheden van de Verbijzonderde Interne controle (VIC) een aantal verbeterpunten waarmee de meerwaarde voor de SGD en de klantorganisaties vergroot kan worden. Deze verbeterpunten zijn inmiddels grotendeels onderhanden waardoor wij de VIC als ‘voldoende’ inschalen.

Samenvatting effectiviteit van de processen In het volgende overzicht geven wij weer in hoeverre de processen voldoen aan de normen (zie ook hoofdstuk 3 t.a.v. IT-beheer). Op basis van onze werkzaamheden komen tot de conclusie dat de beheersorganisatie van de SGD (voor zover relevant voor de controle van de jaarrekening) in opzet voldoende tot goed scoort. Omdat de AO/IB niet altijd goed is opgezet of goed werkt, kunnen wij voor wat betreft de insteek van onze controle nog niet altijd op de processen steunen. Er zijn in onze aanpak daarom aanvullende gegevensgerichte werkzaamheden noodzakelijk.

DASHBOARD

ONTWIKKELINGEN

PROCESSEN

IT-BEHEER

INTERNE CONTROLE

5.3 Overzicht van de bevindingen Servicegemeente Dordrecht

B2 hoog 

A6 A1

IMPACT

B1

A3

A5

A4

OVERZICHT DETAILBEVINDINGEN A A1*

Detailbevindingen processen De Verbijzonderde Interne Controle (VIC) voert geen controle uit op mutaties crediteurenstamgegevens.

A2*

Binnen het proces van verwerking salarismutaties wordt niet het 4-ogen principe afgedwongen.

A3*

De P&O medewerkers van de SGD kunnen zelfstandig de bankrekeningnummers aanpassen van de medewerkers zonder dat hierbij een 2e autorisatie/controle op plaatsvindt.

A4

In AFAS moeten enkele variabele vergoedingen handmatig worden toegevoegd aan de loonstrook/salarisbetaling door een P&O medewerker o.b.v. onderliggende documentatie (kostendeclaratie, jubileumformulier, verrekening verlofsaldo bij uitdiensttreding, etc.). Alle parameters (CAR/UWO, pensioen, etc.) zijn vaste bedragen/percentages o.b.v. de salarisschalen, met uitzondering van de Whk-premie en worden gevoed door AFAS. Er vindt geen integrale toets op de paramaters plaats. A.g.v. uitdiensttredingen bestaat het risico dan betaalbevoegdheden niet (tijdig) worden ingetrokken. Aanbeveling is om dit onderdeel te maken van het (standaard) uit dienst proces.

A2 A5

 laag

B3

B4 A6*

 laag

RISICO

hoog 

Hierboven zijn de bevindingen in een zogenaamde ‘heatmap’ opgenomen, gebaseerd op onze inschatting van de kans dat een risico zich voordoet en de impact van dat risico. Deze inschatting kan u helpen de opvolging te prioriteren. Voor de bevindingen die belangrijk zijn én een hoge impact hebben adviseren wij u deze zo spoedig mogelijk te adresseren.

DASHBOARD

ONTWIKKELINGEN

PROCESSEN

29

B B1

Detailbevindingen IT-beheer Periodieke controle op juistheid ingerichte autorisaties (AFAS Profit)

B2

Administrator- en Superuser-accounts (AFAS Profit)

B3

Wijzigingsbeheer (K2F, K2B en AFAS Profit)

B4

Periodieke restore test (K2F, K2B en S4SD)

* Voor deze bevindingen geldt dat inmiddels acties ingezet zijn om deze te ondervangen. Indien wij volgend jaar de follow-up toereikend achten zullen deze bevindingen volgend jaar niet (meer) gerapporteerd worden.

IT-BEHEER

INTERNE CONTROLE

30

bdo.nl