6dc96ed2-c30c-408a-9ef2-537760f17400.Pdf

Goedkeurende controleverklaring

Bij de jaarrekeningen 2020 van de stichting en de GR zijn wij voornemens een goedkeurende controleverklaring te verstrekken. Vanuit onze controle hebben wij geen ongecorrigeerde verschillen die de goedkeuringstoleranties overschrijden. Een overzicht van ongecorrigeerde verschillen is opgenomen in bijlage 1.

5

2. Opdracht, scope en uitkomsten 6

2. Opdracht, scope en uitkomsten Controleopdracht De opdracht tot controle van de jaarrekening is uitgevoerd conform de met u gemaakte afspraken die zijn vastgelegd in de opdrachtbevestigingen d.d. 8 september 2020.

Ons onderzoek richt zich niet specifiek op het ontdekken van fraude. De primaire verantwoordelijkheid voor het voorkomen en ontdekken van fraude berust bij het dagelijks bestuur van de gemeenschappelijke regeling en de directie van de stichting. De accountant is niet verantwoordelijk en aansprakelijk voor de preventie van fraude.

De jaarrekeningcontrole is gericht op het uitbrengen van een onafhankelijk oordeel omtrent de getrouwheid en rechtmatigheid van de jaarrekening 2020 van de gemeenschappelijke regeling Werkvoorzieningschap Kampen & Dronten en de getrouwheid van de jaarrekening 2020 van Stichting Impact. Daarbij hebben wij gecontroleerd of de jaarrekening van de gemeenschappelijke regeling Werkvoorzieningschap Kampen & Dronten in alle van materieel belang zijnde opzichten is opgesteld in overeenstemming met het Besluit begroting en verantwoording provincies en gemeenten (BBV) en tot stand is gekomen in overeenstemming met de begroting en de in de relevante wet- en regelgeving opgenomen bepalingen, zoals opgenomen in het normenkader. Tevens hebben wij gecontroleerd of de jaarrekening van Stichting Impact in alle van materieel belang zijnde opzichten is opgesteld in overeenstemming met RJ 640.

Controleverklaring Wij zijn voornemens om u op 26 mei 2021 te machtigen om onze goedkeurende controleverklaringen op te nemen onder de overige gegevens in uw jaarrekeningen 2020.

Opzet en reikwijdte controle Onze controle is gericht op het verkrijgen van een redelijke mate van zekerheid dat de jaarrekening geen afwijkingen van materieel belang bevat. Niet uitgesloten is dat afwijkingen voorkomen die voor de jaarrekening als geheel niet van belang zijn. De gehanteerde materialiteit bij het uitvoeren van de jaarrekeningcontrole is € 74.606. Bij het rapporteren van de afwijkingen is een rapportagedrempel van € 3.730 gehanteerd. In de bijlage is een overzicht opgenomen met alle gecorrigeerde en ongecorrigeerde verschillen.

Grondslagen De accountantscontrole omvat onder meer een onderzoek door middel van deelwaarnemingen, het controleren van de grondslagen van de financiële verslaggeving en van belangrijke schattingen die bij het opmaken van de jaarrekening zijn gehanteerd. Wij hebben met het management de aanvaardbaarheid van de gehanteerde waarderingsgrondslagen en de consistente toepassing daarvan besproken. In dit kader komen tevens zaken aan de orde die een significante invloed hebben op de kwaliteit van de jaarverslaggeving, zoals nieuwe of gewijzigde waarderingsgrondslagen, schattingen, onzekerheden en bijzondere transacties. Naar onze mening zijn de door het management en dagelijks bestuur gekozen waarderingsgrondslagen aanvaardbaar en consistent toegepast met betrekking tot de significante jaarrekeningposten en bijzondere transacties. In het verslagjaar 2020 zijn geen wijzigingen doorgevoerd in de keuze of de toepassing van belangrijke verslaggevingsgrondslagen.

7

2. Opdracht, scope en uitkomsten Jaarverslag en overige gegevens Wij hebben het jaarverslag en de overige in de jaarstukken opgenomen informatie gelezen en op basis van onze kennis en ons begrip, verkregen uit de jaarrekeningcontrole of anderszins, overwogen of deze informatie materiële afwijkingen bevat. Hierbij hebben wij geen materiële afwijkingen geconstateerd. Tevens bevestigen wij dat het jaarverslag voldoet aan de in de relevante wet- en regelgeving opgenomen bepalingen. Managementinzicht en schattingen Schattingen op basis waarvan sommige jaarrekeningposten worden bepaald, zijn gebaseerd op inzichten van het management. Wij hebben de belangrijkste gehanteerde factoren en veronderstellingen getoetst op basis waarvan de afzonderlijke oordelen en schattingen zijn gevormd. Wij hebben vastgesteld dat dit aanvaardbaar is in het kader van de jaarrekening als geheel. Administratieve Organisatie en Interne Beheersing In het kader van de controle van de jaarrekening 2020 hebben wij onder meer werkzaamheden verricht ten aanzien van de Administratieve Organisatie en Interne Beheersing (hierna te noemen: AO/IB). Hierbij is tevens de geautomatiseerde gegevensverwerking betrokken, voor zover van belang voor de jaarrekeningcontrole.

Tijdens de uitvoering hebben wij ons gericht op de opzet en het bestaan en waar relevant ook de werking van de AO/IB en de daarin opgenomen maatregelen van interne beheersing. In hoofdstuk 5 hebben wij onze bevindingen naar aanleiding van deze werkzaamheden opgenomen.

Geautomatiseerde gegevensverwerking Op grond van artikel 393 lid 4, Titel 9 Boek 2 BW rapporteren wij onze bevindingen met betrekking tot de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking in dit verslag. Hierbij dient opgemerkt te worden dat de accountantscontrole van de jaarrekening niet specifiek is gericht op de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij zijn van mening dat voldoende maatregelen zijn getroffen om de betrouwbaarheid en de continuïteit van de geautomatiseerde gegevensverwerking en informatievoorziening te waarborgen. In hoofdstuk 5 hebben wij een aantal attentiepunten ten aanzien van de IT-omgeving opgenomen. Opbouw en inzet controleteam Het controleteam heeft tot en met heden 349 uur aan de controle besteed. Daarnaast zijn extra uren benodigd geweest als gevolg van het deels op afstand werken in verband met de coronapandemie. Het verwachte aantal te besteden uren was 302. In de onderstaande tabel zijn deze uren uitgesplitst naar functieniveaus binnen het team. Overzicht bestede uren

Budget

Werkelijk

Eindverantwoordelijk accountant

18

22

Manager

36

45

Overige teamleden

248

282

Totaal

302

349

Deze teamopbouw en de inzet van het team heeft geleid tot een kwalitatief goede controle.

8

3. Vermogen en resultaat 9

3 Vermogen en resultaat 3.1 Gemeenschappelijke regeling Werkvoorzieningschap Kampen & Dronten Eigen vermogen Het BBV kent een duidelijk onderscheid tussen resultaatbepaling en resultaatbestemming. Alle baten en lasten dienen via het overzicht van baten en lasten te lopen. Een gemeenschappelijke regeling mag geen baten of lasten rechtstreeks in het eigen vermogen muteren. De mutaties in het eigen vermogen vinden plaats door middel van de resultaatbestemming. Het nog te bestemmen jaarresultaat (= gerealiseerde resultaat) is nihil. De reserves van uw gemeenschappelijke regeling zijn daarom ultimo 2020 gelijk aan ultimo 2019 waarbij het eigen vermogen € 260 bedraagt ofwel circa 0,04% van het balanstotaal (2019: 0,04%). Resultaat Het overzicht van baten en lasten over 2020 toont, evenals over 2019, een nihil resultaat. Voor een meer uitgebreide analyse van het resultaat over het jaar 2020 verwijzen wij naar de toelichting op het overzicht van baten en lasten.

3.2 Stichting Impact Eigen vermogen Het eigen vermogen ultimo 2020 bedraagt € 436.000 (ultimo 2019: € 495.000) ofwel circa 3,9% van het balanstotaal (2019: 4,3%). Resultaat De winst- en verliesrekening over 2020 toont een resultaat van € 59.000 negatief (2019: 59.000 positief). Voor een meer uitgebreide analyse van het resultaat over het jaar 2020 verwijzen wij naar de toelichting op de winst- en verliesrekening.

10

4. Controlebevindingen en overige significante zaken 11

4 Controlebevindingen en overige significante zaken 4.1 Aandachtspunten in de controle Vanuit onze controle van de jaarrekening van de gemeenschappelijke regeling Werkvoorzieningschap en Stichting Impact hebben wij een aantal onderwerpen en/of bevindingen die wij specifiek aan u willen melden. Deze onderwerpen zijn het meest significant geweest voor onze controle. Onderstaand is een uiteenzetting van deze onderwerpen opgenomen. Stelselwijziging waarderingsgrondslag voorzieningen Vanaf 2020 dienen voorzieningen gewaardeerd te worden tegen contante waarde als het effect van tijdswaarde materieel is. Voor uw stichting betekent dit dat de voorziening onderhoud die ultimo 2019 was gewaardeerd tegen nominale waarde ultimo 2020 is gewaardeerd tegen contante waarde. Voorgaande is niet verwerkt als stelselwijziging in het beginvermogen van de voorziening. Hierdoor zijn de voorziening onderhoud per 1 januari 2020 en het resultaat over 2020 voor een bedrag van € 6.000 te hoog verantwoord en is de beginstand van het eigen vermogen per 1 januari 2020 voor eenzelfde bedrag te laag verantwoord. Voorgaande hebben wij meegenomen als ongecorrigeerde fout in bijlage 1.1.

Impact corona-virus op uw organisatie Wij hebben overeenkomstig aangepaste regelgeving uw jaarrekening inhoudelijk getoetst op het gebied van Corona. Wij hebben vastgesteld dat stichting Impact geen gebruik heeft gemaakt van steunmaatregelen (NOW) op het gebied van Corona. Uw beleid is er gedurende geheel 2020 op gericht geweest om medewerkers, met inachtneming van alle veiligheidsmaatregelen, aan het werk te houden. Hierdoor heeft u, rekening houdend met de ontvangen dekkingsbijdrage corona-compensatie ad € 532.000, een beperkt resultaat weten te realiseren van € 39.000. Tezamen met uw voorstel om een bedrag ad € 59.000 te onttrekken aan de bestemmingsreserve die via de resultaatbestemming 2019 is gevormd, resulteert voorgaande, rekening houdend met het negatieve subsidieresultaat van € 629.000, in een dekkingsbijdrage ad € 531.000.

Voorziening jubilea Tijdens onze controle hebben wij vastgesteld dat sprake is van schattingsafwijkingen ten aanzien van de vertrekkans en gehanteerde disconteringsvoet waardoor de voorziening niet op juiste wijze is berekend. Het hiermee samenhangende bedrag ad € 11.000 is gecorrigeerd in de definitieve jaarrekening. Continuïteit Wij hebben met het management van stichting Impact gesproken over de continuïteitsveronderstellingen. De toelichting inzake de continuïteit in de waarderingsgrondslagen hebben wij getoetst aan de hand van onderliggende documentatie. Ondanks het beperkte vermogen geven de balansposities geen aanleiding tot risico’s die gerede twijfel doen ontstaan omtrent de mogelijkheid tot een duurzame voortzetting. Ook uit het Ondernemingsplan 2018-2021 blijkt de constructieve samenwerking tussen Impact en de gemeenten Kampen en Dronten. Beide gemeenten hebben dit ondernemingsplan goed ontvangen. 12

4 Controlebevindingen en overige significante zaken 4.2 Managementschattingen Bij het opstellen van de jaarrekening maakt de directie belangrijke schattingen en licht deze toe in de jaarrekening. Wij hebben de schattingen die het management heeft gemaakt bij het opstellen van de jaarrekening 2020 gecontroleerd. De onderstaande tabel geeft een overzicht van onze bevindingen met motivering van onze inschatting.

13

4 Controlebevindingen en overige significante zaken 4.3 Rechtmatigheid Uw gemeenschappelijke regeling moet voldoen aan een veelheid van externe en interne wet- en regelgeving. Wij zijn bij onze controle op het voorwaardencriterium uitgegaan van het normenkader voor de accountantscontrole. Wij hebben bij onze controle op het gebied van de externe en interne wet- en regelgeving geen rechtmatigheidsfouten aangetroffen. Begrotingsrechtmatigheid De toe te passen normen voor het begrotingscriterium zijn gebaseerd op artikel 189, 190 en 191 van de Gemeentewet en moet het algemeen bestuur zelf nader invullen en concretiseren. Dit gebeurt onder andere door middel van de begroting. Het systeem van budgetbeheer en -bewaking moet waarborgen dat de baten en lasten binnen de begroting blijven en dat het dagelijks bestuur belangrijke wijzigingen of dreigende overschrijdingen tijdig meldt aan het algemeen bestuur, zodat het algemeen bestuur hierover tijdig (binnen het begrotingsjaar) een besluit kan nemen. Een systeem met onvoldoende waarborgen voor tijdige melding aan het algemeen bestuur van budgetoverschrijdingen heeft het risico in zich dat het dagelijks bestuur inbreuk maakt op het budgetrecht van het algemeen bestuur. Het begrotingscriterium is verder verfijnd en uitgewerkt in de Kadernota Rechtmatigheid 2018 van de Commissie BBV.

Een overschrijding van de begroting is altijd onrechtmatig, maar hoeft de accountant niet in alle gevallen mee te wegen in zijn oordeel. Essentieel is dat het algemeen bestuur nadere regels kan stellen wanneer kostenoverschrijdingen die zijn gecompenseerd door direct gerelateerde opbrengsten (1), kostenoverschrijdingen passend binnen het beleid (2) en kostenoverschrijdingen bij openeinderegelingen (3) moeten meewegen bij het oordeel van de accountant. In die gevallen dat het algemeen bestuur geen nader beleid stelt, geldt het uitgangspunt dat de accountant deze kostenoverschrijdingen niet betrekt bij de beslissing of hij al dan niet een goedkeurend rechtmatigheidsoordeel kan afgeven.

Daarnaast moet de accountant deze kostenoverschrijdingen – waarvan het dagelijks bestuur in de jaarrekening moet aangeven dat het algemeen bestuur deze nog dient te autoriseren – in het verslag van bevindingen aan de orde stellen. Extra lasten die zijn gemaakt omdat extra opbrengsten daarvoor de ruimte bieden, terwijl deze extra lasten niet direct zijn gerelateerd aan de extra opbrengsten en waarbij het algemeen bestuur nog geen besluit heeft genomen over de aanwending van deze extra opbrengsten, zijn onrechtmatig. In totaal heeft uw gemeenschappelijke regeling € 6,7 miljoen aan lasten begroot (na wijziging). De werkelijke lasten zijn hoger uitgevallen dan de begrote lasten en komen uit op € 7,5 miljoen. In totaal is sprake van een overrealisatie van € 0,8 miljoen (11,9%). Aan baten had uw gemeenschappelijke regeling een bedrag van € 6,7 miljoen begroot, tegenover € 7,5 miljoen werkelijke baten. In totaal gaat het om een hogere realisatie aan baten van € 0,8 miljoen (11,9%). In het kader van de begrotingsrechtmatigheid moet de accountant kijken naar of lastenoverschrijdingen al dan niet meewegen in het oordeel. Hierbij zijn lastenoverschrijdingen in te delen naar de hiervoor genoemde 3 categorieën zoals genoemd in de Kadernota Rechtmatigheid 2018 van de Commissie BBV.

Wij verwijzen voor een inhoudelijke en meer specifieke analyse van deze overschrijdingen naar de toelichting op het overzicht van baten en lasten in de jaarrekening. De geconstateerde kostenoverschrijdingen worden gecompenseerd door extra opbrengsten en hoeven daarom op grond van de Kadernota 2018 van de commissie BBV niet meegeteld te worden in het accountantsoordeel.

14

5. Bevindingen Interne Beheersing 15

5 Bevindingen interne beheersing 5.1 Bevindingen per proces In november en december 2020 hebben wij onze tussentijdse controle uitgevoerd. Onze doelstelling van deze controle is om een beeld te krijgen of de interne beheersingsomgeving en de daarin opgenomen maatregelen van interne controle toereikend zijn in het kader van onze opdracht tot de controle van de jaarrekening van uw organisatie. Dit beeld is in belangrijke mate bepalend voor onze risico-inschatting en hiermee voor de omvang en diepgang van onze werkzaamheden die wij bij de jaarrekeningcontrole moeten uitvoeren teneinde de gewenste zekerheid te verkrijgen dat de jaarrekening géén materiële fouten bevat. Wij hebben vastgesteld dat de administratieve organisatie en interne beheersing van stichting Impact en de gemeenschappelijke regeling Werkvoorzieningschap Kampen & Dronten voldoet aan de daaraan te stellen minimale eisen. In bijlage 2 hebben wij onze bevindingen en adviezen die uit onze tussentijdse controle naar voren zijn gekomen in detail uitgewerkt. In paragraaf 5.2 en verder gaan wij in op onze bevindingen ten aanzien van de IT-beheersing.

16

5. Bevindingen IT-beheersing 5.2 Algemeen IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van uw IT omgeving en rapporteren daarover in dit accountantsverslag. Op basis van de door ons uitgevoerde werkzaamheden in december 2020 hebben wij onze inschatting van de kwaliteit van uw IT systeem en/of applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven: Benodigd verbetering op (korte) termijn Adviespunt, verdere aanscherping mogelijk Op dit moment voldoende

Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van uw IT omgeving zoals in de tabel rechts opgenomen. Op de navolgende pagina’s zullen wij onze bevindingen rapporteren.

Onderwerp 5.3 Toegangsbeveiliging Bij het toetsen van ‘toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Vervolgens onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij in de controle gebruik maken van ingerichte functiescheiding in het systeem. Een adequate inrichting kan preventief risico’s voor uw organisaties beperken en tegelijkertijd efficiency voordelen opleveren in de controle. 5.4 Wijzigingsbeheer (Change management) Bij het toetsen van ‘wijzigingsbeheer’ wordt vastgesteld dat wijzigingen aan de applicatie op gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u verwacht na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen. 5.5 Continuïteitsmaatregelen en beveiliging Onder de noemer continuïteit en beveiliging krijgen wij inzicht in uw beheersing van risico’s gericht op continuïteit van uw bedrijfsvoering. Hierbij kan discontinuïteit worden veroorzaakt door menselijk of technisch falen, maar ook door interne of externe kwaadwillenden.

Voor continuïteit zijn met name het punt in de tijd aan tot waar u gegevens bij discontinuïteit kunt herstellen en de tijd die het kost om tot een normale bedrijfsvoering te komen bij discontinuïteit van belang. Hiernaast schatten wij uw beheersing van cyber risico’s in. 5.6 Adviespunten zonder directe impact Het is van ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT strategie, beveiliging en functiescheiding. Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de IT omgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk.

17

5. Bevindingen IT-beheersing 5.3 Toegangsbeveiliging De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre wij gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle. Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts. Generieke accounts zijn dan ook niet wenselijk omdat functiescheiding kan worden doorbroken bij te ruime rechten en zijn mutaties niet te herleiden tot een persoon. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatie-structuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk.

Authenticatie

Netwerk

Autorisatie

Onze bevindingen De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau. De authenticiteit van gebruikers is hiermee geborgd. Er zijn geen bevindingen geconstateerd van persoonsgebonden accounts die zijn uitgezonderd van het periodiek wijzigen van het wachtwoord. De hoge rechten in de Windows Active Directory zijn beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole.

Exact Globe

Voor Exact Globe geldt dat gebruikers inloggen op basis van Single Sign-On. Hierdoor zijn de wachtwoordeisen van het netwerk relevant. De ingestelde wachtwoordeisen van het netwerk zijn van voldoende niveau. Hierin zijn geen uitzonderingen geconstateerd voor persoonsgebonden accounts met toegang tot Exact Globe. De authenticiteit van gebruikers is hiermee geborgd. De hoge rechten in Exact Globe zijn voor 5 accounts niet beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Gezien de beperkte omvang van de organisatie is dit een bewuste keuze. Er is geen sprake van een periodieke controle op gebruikers en gebruikersrechten. Tevens is er geen functieautorisatiematrix opgesteld. Wij adviseren u om een functie-autorisatie matrix in te richten en deze te hanteren bij het muteren van gebruikers(rechten). Tevens adviseren wij u om de gehanteerde werkstappen omtrent het muteren van gebruikers(rechten) te documenteren.

Compas

De ingestelde wachtwoordeisen van Compas zijn van voldoende niveau. De authenticiteit van gebruikers is hiermee geborgd. De hoge rechten in Compas zijn voor 4 accounts niet beperkt tot onafhankelijke functionarissen in het kader van de jaarrekeningcontrole. Gezien de beperkte omvang van de organisatie is dit een bewuste keuze. Er is geen sprake van een periodieke controle op gebruikers en gebruikersrechten. Wel is er een functie-autorisatiematrix opgesteld. Wij adviseren u om een functie-autorisatie te hanteren bij het muteren van gebruikers(rechten) en de gehanteerde werkstappen omtrent het muteren van gebruikers(rechten) te documenteren.

18

5. Bevindingen IT-beheersing 5.4 Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben in de tabel aangegeven wat wij verwachten per fase en wat wij hebben geconstateerd tijdens onze controle (deels op basis van interview) en of dit overeen komt met de verwachting.

Proces

Onze bevindingen

Risico inschatting

De wijzigingsbeheer procedure kan met name worden aangescherpt met het uitvoeren en vervolgens periodiek evalueren van een risico inschatting per applicatie. Wij hebben vernomen dat er sprake is van een risico inschatting voordat een nieuwe release verder wordt opgepakt. Deze risico inschatting wordt niet gedocumenteerd. Wij adviseren u om deze inschatting te documenteren.

Opstellen testplan en aanpak

Wij hebben vernomen dat er geen testplan wordt opgesteld waarin de aanpak van de testwerkzaamheden in is opgenomen. U heeft aangegeven dat de aanpak wel wordt afgestemd maar niet wordt gedocumenteerd. Wij adviseren u om deze werkstap te documenteren.

Testen en documenteren

Wij hebben vernomen dat er testwerkzaamheden worden uitgevoerd. Deze werkzaamheden worden niet gedocumenteerd. Wij adviseren u om de testwerkzaamheden te documenteren.

Gebruikers acceptatie

U heeft aangegeven dat de ‘Business’ wordt betrokken bij het proces voor het doorvoeren van softwarewijzigingen, deze betrokkenheid is echter niet geformaliseerd in een akkoord vanuit de gebruikersorganisatie naar de verantwoordelijke voor het doorvoeren van de updates/fixes. Wij adviseren u om deze werkstap te documenteren.

19

5. Bevindingen IT-beheersing 5.5 Continuïteitsmaatregelen en beveiliging Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Continuïteitsmaatregelen Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd. Back-ups: U heeft aangegeven dat back-ups dagelijks worden gemaakt en worden opgeslagen in een datacenter van uw externe serviceorganisatie. Daarnaast vindt er monitoring plaats op de uitvoering van de back-ups door de externe serviceorganisatie. De RPO bedraagt maximaal een dag. Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden.

Vervolg RTO: Recovery: Recent heeft er geen volledige recovery test plaatsgevonden op organisatie. Wel worden er periodiek recovery testen uitgevoerd op onderdelen van de organisatie. Hierdoor beschouwen wij het risico op dataverlies en downtime voor uw IT organisatie als laag. Wij raden u wel aan om een volledige recovery test uit te voeren op de gehele organisatie, zodat er kan worden gewaarborgd dat bij complete uitval van de gehele organisatie, alle onderdelen tegelijk weer terug te brengen zijn. Uitwijk: Uw externe serviceorganisatie repliceert data naar een tweede datacenter, die als uitwijklocatie gebruikt kan worden vanuit de leverancier. Stichting IMpact kan extern inloggen, waardoor deze bij uitval van het kantoornetwerk kan uitwijken naar externe locaties. Hiermee is een adequate en passende uitwijkprocedure ingericht. Beveiliging Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.

Vervolg Beveiliging Fysieke beveiliging: De servers zijn ondergebracht in een data center. De serveruimtes zijn voorzien van diverse beveiligingsmaatregelen ten aanzien van temperatuur, klimaat, noodstroomvoorzieningen en brandrisico’s. Preventie: Een firewall en virusscanner zijn aanwezig en wordt actief beheerd en gemonitord. Remote access: Voor het extern inloggen wordt gebruik gemaakt van extra beveiligingsmaatregelen zoals two-factor authenticatie. Hiermee wordt een extra authenticatie stap afgedwongen. Monitoring: U heeft aangegeven dat er recent geen attack- en penetration test of kwetsbaarheidsscan heeft plaatsgevonden. Door het uitvoeren van een dergelijke test worden zwakheden in de IT-omgeving blootgelegd en kan actie ondernomen worden. Een praktische oplossing kan zijn om elke paar jaar een diepgaande attack- en penetration test af te wisselen met een jaarlijkse (minder diepgaande) kwetsbaarheidscan.

20

5. Bevindingen IT-beheersing 5.6 Adviespunten zonder directe impact Let op: de onderwerpen volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten.

Beleid en Plannen Beleid Binnen de organisatie is er sprake van een informatiebeleid plan, waarin de uitgangspunten voor IT beheer, informatiebeveiliging, privacy en ontwikkelingen zijn beschreven. Dit plan wordt jaarlijks herzien en op basis hiervan wordt de strategie van de organisatie verder vorm gegeven. Tevens wordt op basis van dit document bepaalt welke ontwikkelingen de organisatie wilt doorvoeren en realiseren.

Verantwoordelijkheden en regiefunctie Wij verwachten dat binnen uw organisatie duidelijke afspraken zijn gemaakt ten aanzien van verantwoordelijkheden over uitvoering en strategie op het gebied van IT. U heeft aangegeven dat dit het geval is. Uw organisatie maakt gebruik van een externe serviceorganisatie voor het netwerkbeheer. Met deze partij is een Service Level Agreement overeengekomen. Daarnaast zijn er per applicatie personen aangesteld als verantwoordelijke.

Uitvoering Beheersing van incidenten Om de performance van uw IT systemen en eventueel de performance van uw IT organisatie te beheersen, is registratie van de incidenten en de problemen van belang. Hiermee kunnen verstoringen worden geïdentificeerd. Er is geen gestructureerde vastlegging van probleem- en incidentenbeheer aanwezig in een ticketsysteem. Hierin wordt gesteund op registratie van problemen en incidenten door de serviceorganisatie en interne registratie in bijvoorbeeld mail.

Uitvoering beheersingsmaatregelen IT Op verschillende vlakken worden (nog) geen toetsbare beheersingsmaatregelen uitgevoerd binnen uw organisatie. Denk aan:  Procedure voor wijzigingsbeheer t.b.v. de gebruikersorganisatie/applicaties (zie ook punt ‘Wijzigingsbeheer’);  Procedure rondom uitgifte en controle op unieke en individuele gebruikersnamen;  Periodieke controle op actieve gebruikers;  Periodieke controle op inrichting van wachtwoordbeleid;  Procedure voor het gestructureerd toekennen, wijzigen en ontnemen van rechten;  Periodieke controle op inrichting van rechten in het systeem conform beleid (middels functieautorisatie matrix). Deze procedures en daaruit volgende controlemaatregelen zorgen ervoor dat uw organisatie grip houdt op de IT-omgeving en faciliteren dat de randvoorwaarden, die de effectiviteit van ingerichte beheersingsmaatregelen beïnvloeden, van voldoende niveau zijn. Een aantal procedures worden binnenkort geformaliseerd en vastgesteld. Wij adviseren u om bovenstaande procedures in te richten en (toetsbaar) periodiek te beheersen in de organisatie. 21

6. Overige onderwerpen 22

6. Overige onderwerpen 6.1 Fraude en naleving wet- en regelgeving De directie van de stichting en het dagelijks bestuur van de gemeenschappelijke regeling zijn primair verantwoordelijk voor het voorkomen van fraude, het naleven van wet- en regelgeving en voor een cultuur van eerlijkheid en integriteit en dient zowel preventieve als repressieve beheersingsmaatregelen te nemen om de kans op fraude en overtreding van wet- en regelgeving zo veel mogelijk te beperken. Het (algemeen) bestuur is verantwoordelijk voor het toezicht op de directie en het dagelijks bestuur in de uitvoering van deze taken. Voor het uitoefenen van deze verantwoordelijkheid maakt het management gebruik van diverse beheersingsmaatregelen, zoals interne richtlijnen en gedragscodes, controle technische functiescheiding en periodieke rapportages over financiën. Ten behoeve van onze jaarrekeningcontrole identificeren wij, in het kader van NV COS 240/250, de risico’s met betrekking tot fraude en overtreding van wet- en regelgeving en vormen wij ons een beeld van de interne beheersingsmaatregelen die gericht zijn op het voorkomen en signaleren van (materiële) fraude en nietnaleving van wet- en regelgeving. Voor zover relevant voor onze controle voeren wij gegevensgerichte controlewerkzaamheden uit. Onze controle is echter niet specifiek gericht op het signaleren van fraude en niet-naleving van wet- en regelgeving.

In het kader van onze controle hebben wij geen bevindingen te melden met betrekking tot fraude.

6.3 Kwaliteitsborging Baker Tilly heeft diverse organisatorische maatregelen getroffen om haar onafhankelijkheid en die van haar medewerkers te waarborgen. Deze maatregelen omvatten onder meer: • Jaarlijkse bevestiging van onafhankelijkheid door partners, professionals en ondersteunende stafdiensten; • Cliënt- en opdrachtacceptatieprocedures, waaronder een beoordeling of er sprake is van mogelijk conflicterende diensten; • In- en extern kwaliteitsonderzoek; • Twee registeraccountants betrokken bij wettelijke controleopdrachten; • Reviews door partners die niet betrokken zijn bij de opdracht ter waarborging van een deugdelijk / deskundig oordeel. 6.4 Wet Normering Topinkomens (WNT) De WNT is van toepassing op uw organisatie. Daarom hebben wij de WNTverantwoording in de jaarrekening gecontroleerd op basis van het ‘Controleprotocol WNT 2020’. Bij deze werkzaamheden zijn geen bijzonderheden geconstateerd. Wel zullen wij, evenals voorgaand jaar, een paragraaf ter benadrukking van de naleving van de anticumulatiebepaling WNT opnemen in onze controleverklaring. Ons oordeel is als gevolg van deze aangelegenheid niet aangepast.

6.2 Bevestiging onafhankelijke positie Op grond van dit verslag zijn wij van mening dat wij in relatie tot uw organisatie, in overeenstemming met de Verordening inzake de onafhankelijkheid van accountants bij assurance-opdrachten (ViO) onafhankelijk hebben gefunctioneerd en dat de objectiviteit van onze oordeelsvorming in het afgelopen jaar niet is aangetast.

23

Bijlagen 24

Bijlage 1: Fouten evaluatie 1.1 Ongecorrigeerde verschillen Tijdens onze controle hebben wij de volgende ongecorrigeerde controleverschillen geconstateerd, die zowel individueel als in totaliteit niet van materiaal belang worden geacht in relatie tot de financiële overzichten als geheel.

Stichting Impact en Gemeenschappelijke regeling Werkvoorzieningschap Kampen & Dronten EUR (x 1.000)

Activa EUR

Passiva EUR

Eigen vermogen EUR

Stelselwijziging voorziening onderhoud is niet verwerkt in de beginbalans

Totaal

Resultatenrekening EUR -

0

0

0

6

0

N.B.: de gehanteerde materialiteit bedraagt € 74.606 met een controletolerantie van € 52.224. Verschillen beneden de ondergrens van € 3.730 zijn bij het opstellen van dit overzicht niet meegenomen.

25

Bijlage 1: Fouten evaluatie 1.2 Gecorrigeerde verschillen Tijdens onze controle hebben wij de volgende controleverschillen geconstateerd die zijn gecorrigeerd door de directie:

Stichting Impact en Gemeenschappelijke regeling Werkvoorzieningschap Kampen & Dronten EUR (x 1.000)

Activa EUR

Eliminatie vordering Imwerk niet verwerkt (Impact)

-

158

Passiva EUR -

-

Schattingsafwijking prijsverschil voorraden (Impact)

7

-

6

-

-

5 8

Voorziening jubilea is te hoog verantwoord (Impact)

-

Dekkingsbijdrage is te hoog verantwoord (Impact)

8

11

-

6 4

-

158

7 5

Voorziening onderhoud is te laag verantwoord (Impact)

Presentatiecorrectie vooruitbetaalde bedragen (Impact)

7 6

7

Saldibalans toont een hogere voorraad dan de voorraadlijst (Impact)

Totaal

Resultatenrekening EUR

158

Bestedingen Veranderplan niet volledig verantwoord (Impact) Omzet Re-Integratie is te hoog verantwoord (Impact)

Eigen vermogen EUR

11 6

4

-

158

0

0

N.B.: de gehanteerde materialiteit bedraagt € 74.606 met een controletolerantie van € 52.224. Verschillen beneden de ondergrens van € 3.730 zijn bij het opstellen van dit overzicht niet meegenomen. 26

Bijlage 2: Bevindingen interne beheersing

27

Bevindingen tijdens de interimcontrole Onderdeel

Bevinding

Risico

Advies/aanbeveling

Gevolgen jaarrekeningcontrole

1. Voorraadmutaties

Op 25 november 2020 hebben wij een ongeplande voorraadinventarisatie uitgevoerd. Gedurende deze voorraadinventarisatie hebben wij geconstateerd dat sprake is van verschillen tussen de werkelijk aanwezige voorraad en de voorraad die aanwezig zou moeten zijn conform de administratie. Tevens bleek dat veelal voorraden aan het magazijn worden onttrokken vanuit de werkvloer zonder dat dit adequaat wordt geregistreerd. Hiermee geeft de voorraadwaarde in de administratie een te hoog beeld. Tevens geeft het tussentijdse resultaat een te hoog beeld.

Als gevolg van onze bevinding loopt u het risico dat voorraden worden vervreemd zonder dat dit tijdig wordt opgemerkt door uw organisatie. Daarnaast beschikt u hierdoor niet over adequate informatie omtrent de werkelijk aanwezige voorraden waardoor mogelijk niet kan worden voldaan in het verwerken van orders doordat de benodigde materialen niet aanwezig zijn. Ook uw tussentijdse resultaten geven een onjuist beeld.

Wij adviseren u het proces rondom de voorraadadministratie te verbeteren waarbij het picken van de voorraden voor naar de werkvloer wordt geregistreerd in de voorraadadministratie. Tevens adviseren wij u om rondom balansdatum een adequate voorraadinventarisatie te verrichten en hierbij de voorraadverschillen te corrigeren, zodat de werkelijk aanwezige voorraad per balansdatum in overeenstemming is met de verantwoorde voorraad.

Wij hebben tijdens onze controle kennis genomen van de door uw uitgevoerde inventarisatie rond balansdatum en vastgesteld dat de geconstateerde verschillen zijn verwerkt in de administratie.

De huidige handelswijze is deels een bewuste keuze van u door het delegeren van bevoegdheden naar de fiatteurs, als vanuit een kosten/batenafweging. Wij begrijpen vanuit efficiency overwegingen dat deze keuze is gemaakt.

Wij hebben de controle op de verantwoorde inkopen deels gegevensgericht uitgevoerd, aangezien wij niet volledig kunnen steunen op de beheersingsmaatregelen in het proces. De door ons gevraagde stukken zijn door uw organisatie verzameld.

Classificatie risico: Gemiddeld 2. Autorisatie inkopen

Bij de factuurcontrole controleert de 1e fiatteur of de inkoopfactuur in overeenstemming is met de gemaakte afspraken, waaronder de prijs en de hoeveelheid, alsmede of levering heeft plaatsgevonden. Indien akkoord wordt de factuur in Exact gefiatteerd. De fiat wordt niet zichtbaar onderbouwd voor wat betreft de prijs en prestatielevering voor niet-productie gerelateerde inkopen, waardoor het niet herleidbaar is of de fiat terecht is. Hierdoor wordt niet aangetoond dat de inkoopfactuur terecht wordt verantwoord in de financiële administratie.

Onjuiste verantwoording van kosten en/of activa doordat de inkoopfactuur niet in overeenstemming is met de geleverde prestatie of met de gemaakte afspraken. Classificatie risico: Laag

Wij vragen jullie aandacht voor het maken van bewuste keuzes om prestatielevering nader te documenteren. Hierbij is het aanbrengen van een notitie bij de autorisatie van de factuur een optie.

27