Bijlage 1: Managementletter 2021 Gemeente Emmen (RIS.10526)

MANAGEMENT LETTER 2021

Gemeente Emmen

Aanbiedingsbrief

Aan:

Geacht college,

het college van B&W van gemeente Emmen T.a.v. mevrouw M. Plantinga, gemeentesecretaris Postbus 30001 7800 RA EMMEN

In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2021 van de gemeente Emmen brengen wij u met deze management letter verslag uit over onze bevindingen naar aanleiding van onze interim controle. Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar onze opdrachtbevestiging. In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelf controlerend vermogen van uw organisatie.

Groningen, 24 november 2021 Kenmerk: RHB/DP/AMT/1019811/038

Wij vertrouwen erop u met deze management letter naar aanleiding van onze interim controle 2021 van dienst te zijn geweest. Wij willen de organisatie bedanken voor de prettige samenwerking en zijn vanzelfsprekend graag bereid een nadere toelichting te verstrekken. Met vriendelijke groet, BDO Audit & Assurance B.V. namens deze,

Ter informatie De digitale versie van dit document is vanaf de inhoudsopgave interactief. Aan de hand van de navigatiebalk onderaan de pagina en/of de menustructuur bovenaan de pagina kan door het document genavigeerd worden. VORIGE PAGINA

VOLGENDE PAGINA

INHOUDSOPGAVE

DASHBOARD

drs. R.H. (Rob) Bouman RA Partner en extern accountant gemeente Emmen

Inhoudsopgave

1. DASHBOARD

4. IT-BEHEERSING

2. ONTWIKKELINGEN & ACTUALITEITEN

3. BEVINDINGEN SIGNIFICANTE PROCESSEN

4

1. Dashboard

1.1 Dashboard interim-controle

1.1 Dashboard interim-controle UW INTERNE BEHEERSING

BEHEERSING IT: IN ONTWIKKELING



In het kader van onze controle hebben wij de effectiviteit van de voor onze controle relevante processen beoordeeld.



Wij kunnen nog niet altijd steunen op de interne beheersing in de processen; de VIC en onze controle is daarmee hoofdzakelijk gegevensgericht en achteraf.



De interne beheersing van de onrechtmatigheden uit EU aanbestedingsregels heeft steeds meer uw aandacht, maar desondanks zijn ook in 2021 nog onrechtmatigheden geconstateerd.



Voor de gedetailleerde procesbevindingen verwijzen wij naar paragraaf 3.3 De gedetailleerde bevindingen hebben wij verstrekt aan de organisatie. Deze liggen in lijn met de bevindingen uit de management letter 2020.

BELANGRIJKSTE AANDACHTSPUNTEN







DETAILBEVINDINGEN



De gemeente Emmen heeft een I-VISIE opgesteld met als doel meer grip te krijgen op de informatievoorziening en te werken aan de transitie naar een data-gedreven organisatie.



Voor 2021 resteren nog dezelfde bevindingen en aanbevelingen. Maar in vergelijking met voorgaande jaren zien wij een gestage ontwikkeling (zie 4.5). Principiële discussie blijft met name (evenals voorgaande jaren) de positionering van superusers en het hanteren van autorisatiematrices Beaufort. Wij verzoeken hier een definitief standpunt in te nemen. Graag maken wij aankomend jaar afspraken over de IT-audit werkzaamheden in relatie tot deze bevinding



Net zoals over boekjaar 2020 maken wij gebruik van dataanalyse als controle-instrument voor uw financiële administratie in Key2Financiën.

VERBIJZONDERDE INTERNE CONTROLE

In onze eerdere rapportages hebben wij aandacht gevraagd voor de wijze waarop de gemeente de waardering van haar belangen in Wildlands monitort en beoordeelt. Dit heeft in 2021 geleidt tot een gemeentelijk waarderingsmodel waarbij de uitgangspunten door het College zijn bekrachtigd en het financiële risico is opgenomen in uw weerstandsvermogen. De gemeente heeft bij verdere opvolging van de IBsignalen geconstateerd dat mogelijk ten onrechte TOZO 1 gelden zijn uitbetaald. Opvolging hiervan dient aankomende periode plaats te vinden. De gemeente Emmen heeft in 2021 een onderzoek uit laten voeren over de staat van het wegenonderhoud van de gemeente. Hieruit volgt dat er binnen de gemeente sprake is van achterstallig onderhoud. Wij hebben uw organisatie gevraagd een position paper op te stellen over de mogelijke (financiële) impact hiervan.

DASHBOARD

5

ONTWIKKELINGEN







KORTE OMSCHRIJVING DETAILBEVINDINGEN

De samenwerking VIC is prettig. Tijdige afstemming werkzaam-heden en selecties zorgen voor een goede controle. De invoering van de rechtmatigheidscontrole is uitgesteld naar 2022. Inmiddels heeft de commissie BBV hiervoor een aantal notities uitgebracht en ook onze beroepsgroep zal dat dit najaar doen. Uit de zogenaamde factsheets en detailbevindingen blijken welke aanvullende gegevensgerichte werkzaamheden moeten worden uitgevoerd. Evenals voorgaand jaar maken wij graag afspraken over welke zaken door de VIC en welke door ons worden kunnen opgepakt.

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

1

Inkopen & Aanbestedingen - naleving aanbestedingsregels niet gewaarborgd in workflow

2

Inkopen & Aanbestedingen – Binnen de gemeente Emmen vindt er onvoldoende controle plaats op wijzigingen in crediteurstamgegevens

3

WMO / Jeugd – prestatielevering van de geleverde zorg wordt nog niet overal tussentijds getoetst

4

Subsidiebeheer - functiescheiding wordt niet afgedwongen en geen sluitend zaaksysteem

5

Subsidiebeheer – Nadere beleidsregels corona-subsidies worden niet in alle gevallen nageleefd en de effecten dienen geëvalueerd te worden

6

Verhuur – beheersing van de volledigheid van de verhuuropbrengsten ontoereikend

7

Verbonden partijen en samenwerkingsrelaties – Nota verbonden partijen is verouderd en de beheersing van samenwerkingsrelatie behoeft aanscherping

B1

LTB- Controle op juistheid ingerichte autorisaties Beafort en CivSam niet sluitend

B2

LTB – Binnen K2F en Beaufort zijn administrator- en superuser-accounts toegekend aan eindgebruikers

B3

CM – Release notes Beaufort worden in BOCE verband beoordeeld, hier is geen zichtbare vastlegging van

B4

CONT – Geen periodieke volledige restoretests uitgevoerd

6

2. Ontwikkelingen & Actualiteiten gemeente Emmen 2.1 Financiële positie gemeente Emmen 2.2 Ontwikkelingen Wildlands 2.3 Gevolgen Coronacrisis voor de jaarrekening 2.4 Beheersing Inkoop en Aanbesteden 2.5 Aandachtspunten jaarrekening 2.6 Rechtmatigheidsverantwoording 2.7 Frauderisicobeheersing

2.1 Financiële positie gemeente Emmen

Gemeenten hebben te maken met grote onzekerheden Sterke bezuinigingen geven zicht op voldoende weerstandsvermogen

Financiële positie gemeente Emmen herstellende

7

Financiële positie gemeente Emmen Herstellende Zoals blijkt uit de kadernota 2022 van de gemeente Emmen verkeren de gemeenten in tijden met behoorlijke onzekerheden en enorme uitdagingen. Het ontbreken van een regeerakkoord en duidelijkheid over de gemeentefinanciën, de coronacrisis en de gevolgen op de lange termijn en de klimaatcrisis zijn een paar voorbeelden hiervan. Daarnaast heeft de gemeente Emmen ook nog te maken met de uitdagingen die met Wildlands samenhangen. In de kadernota wordt duidelijk en transparant weergegeven hoe de gemeente Emmen in haar begroting omgaat met deze onzekerheden. De gemeente Emmen heeft stevig bezuinigd in de begroting 2021-2024 (structureel 12 miljoen). Sinds vorig jaar heeft u de jaarlijkse dotatie aan de algemene reserve verhoogd naar € 3,4 miljoen, wat samen met het positieve rekeningresultaat 2020 ervoor zorgt dat het weerstandsvermogen verder is verbeterd en het weerstandsvermogen ultimo 2021 naar verwachting als ‘voldoende’ kan worden aangemerkt. Hoewel dit nog niet aan de minimale stand van de algemene reserve á 3% van het begrotingstotaal, zoals in de nota weerstandsvermogen is opgenomen voldoet, onderschrijven wij de gemaakte ontwikkeling. Verder volgt uit de begroting 2022 dat de gemeente Emmen een meerjarig materieel in evenwicht zijnde begroting heeft.

In de jaarrekening 2020 heeft de gemeente Emmen een reserve corona gevormd om de effecten van corona op te vangen. De prognose vanuit de begroting 2022 van de stand van de reserve corona is positief waarbij er dus ruimte is om eventuele (aanvullende) tegenvallende resultaten als gevolg van corona op te kunnen vangen. Eventuele gevolgen van het afhandelen van de IB-signalen TOZO 2020, zoals ook in hoofdstuk 2.2 nader is toegelicht, zijn voorbeelden van tegenvallende uitkomsten die vanuit de reserve aanvullend gedekt kunnen worden. In het vervolg van deze management letter gaan wij verder in op ontwikkelingen die voor de gemeente Emmen relevant zijn.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

2.2 Ontwikkelingen Wildlands

Waardering Wildlands blijft een risico, uitgangspunten nu vastgelegd Monitoring vanuit de gemeente is adequaat ingeregeld Verwachte liquiditeitspositie 2021 beter dan begroot, mede als gevolg van noodsteunregelingen

8

Waarderingsystematiek Wildlands vastgelegd in position paper Zoals ook in de jaarrekening 2020 en ons accountantsverslag 2020 (en voorgaande jaren) is benoemd zijn de uitstaande posities voor Wildlands aanzienlijk en blijft een gedegen risicobeheersing noodzakelijk. In het voorjaar van 2021 hebben wij hierover uitvoerig gesproken en zijn door het college (d.d. 5 mei 2021) de uitgangspunten van het waarderingsmodel van Wildlands vastgelegd in een position paper. Door het formaliseren van de uitgangspunten en het toepassen van de IRR (Internal Rate of Return) heeft de gemeente de mogelijkheid om jaarlijks de belangen in Wildlands gedegen te toetsen waarbij de effecten van de aannames voor de lange termijn minder impact hebben. Monitoring Wildlands Ook in 2021 vindt vanuit de gemeente continue monitoring plaats van de ontwikkelingen van Wildlands door middel van wekelijkse bezoekersrapporten, maandelijkse managementrapportages en kwartaalrapportages. De door u opgerichte werkgroep en taskforce Wildlands komt nog steeds periodiek (digitaal) bijeen waarmee u heeft geborgd tijdig geïnformeerd te worden over de laatste stand van zaken bij Wildlands en indien benodigd tijdig kunt bijsturen. Ook voor 2021 heeft Wildlands meegekregen verdere bezuinigingen door te voeren en haar liquiditeit op orde te krijgen.

Uit de meest recente rapportages die uw gemeente heeft ontvangen volgt dat, ondanks de aanhoudende coronacrisis, Wildlands een betere liquiditeitspositie ultimo 2021 verwacht dan begroot. Dit wordt voornamelijk veroorzaakt door de ontvangen bijdrage vanuit het noodsteun dierentuinregeling van het rijk, NOW-gelden en de door uw gemeente verstrekte compensatiegelden coronakosten 2020. De bezuinigingen 2021 worden naar verwachting ook door Wildlands behaald, al komt dat voornamelijk door de verplichte parksluiting als gevolg van de coronamaatregelen en die hiermee samenhangende besparing op het niet hoeven inhuren van het variabele personeel- en marketingkosten. Desalniettemin lijkt Wildlands grote stappen te zetten in het verder terugbrengen van haar kosten teneinde een gezonde businesscase te realiseren. Aandachtspunt jaarrekeningcontrole 2021 Wildlands Vanzelfsprekend zullen wij de uitgangspunten van de waardering en de businesscase bij de controle van de jaarrekening opnieuw uitgebreid beoordelen.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

2.3 Gevolgen coronacrisis voor de jaarrekening 2021 (1/2)

Gevolgen corona strak blijven monitoren

Interne controle voortvarend oppakken

9

Gevolgen coronacrisis voor 2021 en verder Vorig jaar hebben wij samen met u veel aandacht besteed aan de gevolgen van de coronacrisis, voor de korte, middellange en lange termijn. Aan de hand van een impact-analyse en de corona-checklist zijn wij nagegaan wat de effecten waren en zijn voor de informatievoorziening aan de raad, de interne beheersing alsmede de financiële implicaties op korte en lange termijn. Met name door de onduidelijkheden in het begin van de crisis omtrent de financiële gevolgen en compensatie door het rijk waren het onzekere tijden. In de loop van de tijd bleek de impact voor de meeste gemeenten mee te vallen, met name door ruime compensatie vanuit het rijk. Niettemin is het zaak alert te blijven op de ontwikkelingen en de afwikkeling van ontvangen rijksgelden. Ook de waardering van mogelijke verhoudingen met verbonden partijen verdient hierbij extra aandacht. Wij adviseren u dit te blijven monitoren. Tozo en TONK Alle coronasteunmaatregelen vanuit het rijk eindigen per 1 oktober 2021. Vanaf het einde van de Tozo per 1 oktober 2021 tot het eind van het jaar geldt een tijdelijk aangepast Besluit bijstandverlening zelfstandigen (Bbz). Ook de TONK is onderdeel van het coronasteunpakket dat per 1 oktober 2021 wordt afgerond.

Vanaf dan is het aan gemeenten om huishoudens in financiële nood te ondersteunen vanuit het gebruikelijke instrumentarium, zoals bijzondere bijstand. Beide regelingen dienen door de gemeente Emmen in de jaarrekening/SiSabijlage te worden verantwoord. Van afgelopen voorjaar weten we inmiddels dat deze controle intensief kan zijn. Vanuit onze interim controle hebben wij vastgesteld dat de TONK-aanvragen voor de gemeente Emmen zeer beperkt zijn. De verdere afwikkeling van de TOZO-uitkeringen heeft mogelijkerwijs nog (grote) financiële en politieke impact voor uw gemeente. Uw gemeente heeft direct bij het inwerking treden van de TOZO-regelingen adequaat gehandeld en een beleid hiervoor opgesteld. Mede als gevolg hiervan hebben wij in de SiSa-verantwoording 2020 ten aanzien van desbetreffende SiSa-regeling geen fouten gerapporteerd die boven de foutmarge van € 125.000 uitkomen. Wel hebben wij hierin reeds gerapporteerd dat de uitvoering van het M&O-beleid (zoals opvolging IB-signalen) doorloopt in 2021 en eventuele fouten die hieruit voortvloeien worden gerapporteerd in de SiSa-bijlage 2021.

Diverse fouten bij opvolging IB-signalen geconstateerd Mogelijk sprake van terugvordering TOZO gelden

DASHBOARD

Ten tijde van de interim controle 2021 hebben wij diverse gesprekken met medewerkers uit de organisatie gevoerd waarbij is aangegeven dat er na afronding van de jaarrekeningcontrole, als gevolg van het verder opvolgen van de IB-signalen, nog diverse fouten zijn geconstateerd. Uit een voorlopige prognose volgen naar verwachting circa 178 dossiers waar fouten uit naar voren komen met een mogelijke financiële impact van ongeveer € 400.000. Bovenstaand heeft als gevolg dat de gemeente Emmen over dient te gaan tot het terugvorderen van TOZO-gelden bij ondernemers dan wel het onrechtmatig verkregen bedrag aan het rijk terug te betalen. Een nadere invulling hieraan dient uw gemeente nog te geven.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

2.3 Gevolgen coronacrisis voor de jaarrekening 2021 (2/2)

Bijzondere aandacht voor vaststellen subsidies In 2020 circa 1,64 miljoen onrechtmatig Naleving beleidslijn 2020 niet gedaan

Nadere regels 2021 nog door uw gemeente op te stellen

DASHBOARD

10

Vaststelling verstrekte subsidies 2020 Veelal worden de in 2020 verstrekte subsidies in de loop van 2021 vastgesteld. Aan de hand van de in de subsidieverordening/beschikking opgenomen voorwaarden wordt nagegaan of een organisatie heeft voldaan aan de vereisten. Voor het jaar 2020 zal dat wellicht niet evident zijn; denk hierbij met name aan te leveren prestaties die als gevolg van corona niet zijn geleverd. De gemeente Emmen heeft op 30 maart 2020 nadere afspraken gemaakt over de toe te passen handelswijze c.q. verantwoordingwijze van haar subsidierelaties in de beleidslijn ‘subsidies en corona’. In de jaarrekeningcontrole 2020 hebben wij vastgesteld dat er voor een bedrag van € 1,64 miljoen sprake was van subsidies waar in tegenstelling tot de geldende uitgangspunten geen lagere vaststelling en/of (gedeeltelijke) terugvordering heeft plaatsgevonden, terwijl de activiteiten aanwijsbaar niet of aangepast zijn uitgevoerd. Wij hebben van uw organisatie begrepen dat voor de subsidievaststellingen 2020 de subsidierelaties zijn verzocht, conform de beleidslijn, in de aanvraag tot subsidievaststelling met bijbehorende verantwoording met een onderbouwing aan te geven welke kosten onvermijdbare kosten zijn, zodat de gemeente daar bij de vaststelling rekening mee kan houden.

Zover we hebben begrepen heeft de toets op de vaststelling van de beleidslijn 2020 nog niet volledig plaatsgevonden. Het is nog mogelijk dat er een gedeeltelijke terugvordering dient plaats te vinden bij vaststelling van de subsidies 2020. Verder hebben wij begrepen dat er geen beleidslijn 2021 ‘subsidies en corona’ is opgesteld. Wij geven de gemeente in overweging om na te gaan op welke wijze de gemeente om wil gaan met gesubsidieerde instellingen en de afspraken over activiteiten en prestaties 2021.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

2.4 Beheersing Inkoop en Aanbesteden

Afgelopen jaren meerdere malen onrechtmatige aanbestedingen

Periodieke management rapportages stand van zaken EU aanbesteden

11

Rechtmatigheidsoordeel als gevolg van EU aanbesteden In ons accountantsverslag 2020 hebben wij benadrukt dat wij de afgelopen jaren relatief veel onrechtmatigheden uit hoofde van de naleving van EU-aanbestedingsregels hebben geconstateerd en gerapporteerd. Sinds 2017 heeft dit voor de gemeente Emmen geleid tot een oordeel met beperking inzake rechtmatigheid. Mede in het licht van de aanstaande rechtmatigheidsverklaring door het college blijft het van belang hierin verbetering aan te brengen. In het kader van onze interim controle 2021 hebben wij de wijze waarop de gemeente Emmen haar inkoop- en aanbestedingsproces heeft ingericht c.q. de inmiddels genomen verbetermaatregelen opnieuw beoordeeld en vastgesteld dat hier net zoals voorgaande jaren nog diverse leemtes in zijn geconstateerd. Wel hebben wij geconstateerd dat de gemeente Emmen de, reeds in 2020 ingezette (herstel) acties, verder heeft doorgevoerd met als doel de onrechtmatigheid ten aanzien van EU-aanbesteden terug te dringen. Deze zien met name op: ▪ Periodieke managementrapportages aan het CMT op het niveau van de individuele dossiers die vanuit de jaarrekeningcontrole 2020 als onrechtmatig zijn aangemerkt. Dit in het kader van het project ‘Oplossen en voorkomen onrechtmatigheid op inkoop & aanbesteden’.

In deze rapportages wordt periodiek gerapporteerd over de voortgang van de onrechtmatige aanbestedingstrajecten en o.a. inzicht gegeven welke formatie binnen de gemeente bezig is met het project en tot welke teams binnen de gemeente de onrechtmatige contracten behoren. ▪ Inzetten op een steeds stevigere positionering van clusterinkoop. Ten tijde van de interim controle zijn er extra functionarissen ingehuurd om clusterinkoop te versterken. Niet alleen ten behoeve van het oplossen van onrechtmatigheden maar ook voor een verdere professionalisering van de beheersing van EU-aanbestedingen. ▪ Ten aanzien van de onrechtmatige subsidies met een inkoopkarakter zijn er diverse acties in gang gezet. Zo is het plan dat, indien er mogelijk sprake is van een overheidsopdracht, deze subsidierelaties worden aangeschreven met de mededeling dat ze als subsidierelatie nader worden onderzocht door de gemeente. Ten tijde van onze interim controle 2021 hebben wij tezamen met uw VIC geconstateerd dat de verwachte onrechtmatigheden net zoals voorgaande jaren groot zijn. Net zoals in 2020 blijft er opnieuw een reële kans dat ook over 2021 niet tot een goedkeurende controleverklaring inzake de rechtmatigheid kan worden gekomen.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

2.5 Aandachtspunten jaarrekening 2021

Position paper asset management opgesteld

Beheerrapportage wegen Emmen uitgevoerd

12

Achterstallig onderhoud wegen In eerdere rapportages hebben wij de gemeente Emmen wel eens geïnformeerd over de noodzaak van adequaat asset management. Onder asset management wordt verstaan “de systematische en gecoördineerde activiteiten waarmee een organisatie haar bedrijfsmiddelen optimaal beheert (vanaf de investering) en prestaties, risico’s en kosten over de levensduur volgt met als doel een optimale bijdrage te leveren aan de strategie van de organisatie”. Door uw gemeente is in 2020 hiervoor een position paper asset management opgesteld waarbij de conclusie was dat een eerste inzicht gemaakt is, maar dat de gemeente nog geen volledig beeld heeft van haar aanwezige activa en de beheersing hiervan. De gemeente Emmen heeft in 2021, mede als gevolg van opmerkingen van de provincie Drenthe in haar toezicht brief begroting 2020 en 2021, een onderzoek uit laten voeren over de staat van het wegenonderhoud van de gemeente. Als gemeente Emmen streeft u ernaar om minimaal 80% op het niveau voldoende te houden op basis van de CROW normen. Uit de beheerrapportage wegen volgt dat dit met een percentage van 66% niet behaald wordt en dat 12% van de wegen de score onvoldoende heeft. Bij een score onvoldoende is er sprake van achterstallig onderhoud waarbij sprake is van kapitaalvernietiging en/of onveilige situaties.

In het beheerrapport zijn diverse scenario’s uitgewerkt om de kwaliteit van de wegen te verbeteren, uw gemeente heeft hierbij gekozen om het reguliere onderhoudsbudget de aankomende vijf jaar te verhogen en de meest ernstige knelpunten zo snel mogelijk aan te pakken. Verder wordt er nog een meerjarig beleidskader voor beheer en onderhoud opgesteld waarbij diverse keuzes nog in verwerkt dienen te worden.

Position Paper inzake voorziening achterstallig onderhoud noodzakelijk

Afrekening onderlinge posities Formaliseren onderlinge afspraken belangrijk

DASHBOARD

Wij hebben uw organisatie gevraagd een position paper op te stellen waarin de mogelijke (financiële) impact van bovenstaande situatie nader is uitgewerkt en de specifieke uitgangspunten vanuit de BBV notitie materiële vaste activa zijn opgenomen. Vanuit deze notitie volgt dat in het geval van achterstallig onderhoud, waarbij sprake is van kapitaalvernietiging en/of onveilige situaties, op basis van BBV artikel 44 lid 1a een voorziening gevormd moet worden. Verzelfstandiging Openbaar Onderwijs Emmen per 1-1-2022 Het jaar 2021 is het laatste jaar waarbij sprake is van een vergaande samenwerking met Openbaar Onderwijs Emmen (OOE) op financieel organisatorisch gebied. Met de verdere realisatie van de verzelfstandiging zal op enig moment een ontvlechting van de administraties moeten plaatsvinden. De verzelfstandiging heeft als gevolg dat uiteindelijk een afrekening plaats moet vinden over de opgebouwde reserves van OOE (ultimo 2020 circa 12,5 miljoen). Gedurende 2021 hebben wij als accountant reeds diverse gesprekken met uw organisatie gehad over de aanstaande ontvlechting. Tezamen met OOE is in kaart gebracht welke onderlinge posities bij de ontvlechting per 31-12-2021 verrekend dienen te worden. Wij benadrukken het belang van het formaliseren en schriftelijk vastleggen van de onderlinge afspraken en de wijze waarop OOE wordt verzelfstandigd.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

2.6 Rechtmatigheidsverantwoording (1/2)

Invoering rechtmatigheidsverantwoording 2022 Nieuwe notities: • Kadernota 2022 • Addendum Kadernota 2021 • Notitie bedrijfsvoering

13

Stand van zaken en kaders rechtmatigheidsverantwoording met ingang van 2022 Eind juni werd bekend dat de invoering van de rechtmatigheidsverantwoording een jaar is uitgesteld. Naar wij hebben begrepen staat de wetswijziging inmiddels voor januari op de agenda van de Tweede Kamer en zal deze worden ingevoerd met ingang van begrotingsjaar 2022. Daarmee is er ruimte ontstaan om, na een intensief jaar met corona, de invoering goed voor te bereiden. Eind augustus 2021 heeft de commissie BBV (na consultatie) een nieuwe kadernota Rechtmatigheid 2022 uitgebracht. Tegelijk met deze kadernota is eveneens een notitie over de paragraaf bedrijfsvoering en een addendum op de Kadernota Rechtmatigheid 2021 gepubliceerd. De verwachting is dat in het najaar de commissie SDO van de NBA nog een notitie voor accountants uitbrengt over de gevolgen van invoering van de rechtmatigheidsverantwoording en de commissie BADO over de wijze van verantwoorden vanuit de optiek van gemeenten. Daarmee worden zowel accountants als gemeenten geïnformeerd en gefaciliteerd om de rechtmatigheidsverantwoording goed te kunnen invoeren. Wij adviseren u om hier kennis van te nemen. Hoofdlijnen Kadernota Rechtmatigheid 2022 In de Kadernota Rechtmatigheid 2022 wordt uitgebreid ingegaan op het bestuurlijk belang van rechtmatigheid voor het college.

Daarnaast worden de reikwijdte, de normen, de verantwoordelijkheden van het college en de criteria van de rechtmatigheid beschreven. Ook wordt in de nota ingegaan op de toepassing van tolerantiegrenzen, afwijkingen en de weging hiervan en is een verplicht verantwoordingsmodel opgenomen. In de Kadernota is een aantal stellige uitspraken gedaan die moeten worden gevolgd, waarbij de eerste nadrukkelijk de rol van de gemeenteraad benoemd. Bij onduidelijkheden over de interpretatie van de rechtmatigheid moet de gemeenteraad aangeven welke uitleg gegeven moet worden aan de regelgeving en dit vastleggen in een besluit. Het voert te ver om in deze management letter uitgebreid in te gaan op de inhoud van deze notitie en de 10 stellige uitspraken en 7 aanbevelingen. Een aantal punten willen wij er wel uitlichten:  De kadernota 2022 introduceert het begrip ‘onduidelijkheden’. Dit begrip geeft aan dat er situaties zijn waarin het ook voor college niet duidelijk is of er rechtmatig gehandeld is. Deze moeten worden toegelicht en worden gewogen door de raad.  De commissie adviseert ook fraude door eigen medewerkers toe te lichten in de paragraaf bedrijfsvoering.  Middels een verplicht model moet het college zich verantwoorden over de rechtmatigheid, afwijkingen en onduidelijkheden.

 In de paragraaf bedrijfsvoering moet vervolgens een toelichting worden gegeven op de afwijkingen en de maatregelen die het college neemt om deze in de toekomst te voorkomen.  De grens voor afwijkingen (zowel fouten als onduidelijkheden) wordt door de raad bepaald en is maximaal 3% van de lasten (inclusief mutatie reserves). Fouten en onduidelijkheden worden niet bij elkaar opgeteld.  De invoering betekent eveneens dat de verordeningen 212, 213 en het normenkader moeten worden geactualiseerd. Tevens moeten afspraken worden gemaakt met de accountant.  Bij aan derden uitbestede werkzaamheden is het belangrijk als gemeente zelf zekerheid te krijgen omtrent de rechtmatigheid. De wijze waarop dat kan is in de Kadernota uitgewerkt. Wij adviseren het college en de gemeenteraad in gesprek te gaan over bovenstaande aspecten en wij zijn graag bereid u hierbij te ondersteunen.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

2.6 Rechtmatigheidsverantwoording (2/2)

14

Notitie bedrijfsvoering de plek om afwijkingen te rapporteren

Hoofdlijnen Notitie Bedrijfsvoering De belangrijkste boodschap van deze nieuwe notitie is dat het college in de paragraaf bedrijfsvoering aanvullende informatie opneemt over individueel geconstateerde afwijkingen in de rechtmatigheidsverantwoording. Daarbij moet het college beschrijven welke actie wordt ondernomen om deze in de toekomst te voorkomen. De notitie werkt een aantal aanbevelingen en voorbeelden omtrent de paragraaf bedrijfsvoering verder uit.

Beperkte wijzigingen in de rechtmatigheid voor (het laatste jaar) 2021

Hoofdlijnen Addendum kadernota Rechtmatigheid 2021 Het uitgangspunt van de commissie BBV is dat in principe weinig verandert in de rechtmatigheidscontrole over 2021, het laatste jaar dat de accountant een verklaring afgeeft met betrekking tot de rechtmatigheid. De wijzigingen in het addendum op de Kadernota Rechtmatigheid 2021 zijn dan ook beperkt. Er wordt meer aandacht gevraagd voor fraude en M&O-beleid en niet-financiële onrechtmatigheden in het kader van de Wet Fido moeten worden toegelicht in de paragraaf bedrijfsvoering.

Onze visie op de rechtmatigheidsverantwoording hebben wij eerder gedeeld

Onze visie op de rechtmatigheidsverantwoording BDO ziet, evenals de commissie BBV, de invoering van de rechtmatigheidsverantwoording als een kans om de controlerende rol van de gemeenteraad te versterken en te investeren in een verdere ontwikkeling van de bedrijfsvoering. Begin 2020 hebben wij hierover een visiepaper ‘Rechtmatigheidsverantwoording, een kans op meer control’ uitgebracht, met daarin verschillende varianten en een invoeringsplan. Het gaat bij de invoering van de Rechtmatigheidsverantwoording om fundamentele vragen als:  Op welke onderwerpen en met welke diepgang wilt u als raad kaders stellen en controleren?  In hoeverre werkt het college rechtmatig en/of bent u in control?  In hoeverre is uw bedrijfsvoering, interne controle en IT-beheer op orde en wat is ervoor nodig om daar te komen?  En misschien wel de moeilijkste vraag van allemaal: wat zijn de ambities en is de organisatie in staat om aan die doelen en verwachtingen te voldoen?

Wij denken graag met u mee over de invoering van de rechtmatigheidsverantwoording

DASHBOARD

De wijziging in de verantwoordelijkheden ten aanzien van rechtmatigheid betekent niet dat er minder rechtmatigheidscontroles moeten worden uitgevoerd, maar dat het college deze zelfstandig/intern moet inrichten, uitvoeren, controleren en rapporteren. Als accountant zullen wij die werkzaamheden vervolgens toetsen, teneinde te kunnen controleren en verklaren dat de rechtmatigheidsverklaring van het college een getrouw beeld geeft. Vanzelfsprekend denken wij graag mee over de invoering van de rechtmatigheidsverantwoording. Wij hebben dan ook met uw organisatie een afspraak staan om de laatste stand van zaken met uw gemeente te bespreken.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

2.7 Frauderisicobeheersing (1/2)

Februari 2021 is de best practice frauderisicobeheersing voor bestuurders en toezichthouders uitgebracht. De controleverklaring gaat ook meer aandacht besteden aan frauderisicobeheersing en continuïteit

Diverse voorbeelden van maatregelen om frauderisico’s te beheersen.

Frauderisico indelen naar druk, gelegenheid en rechtvaardiging.

DASHBOARD

15

Ontwikkelingen met betrekking tot fraude en de controle van de jaarrekening Zoals aangegeven in ons accountantsverslag zal de komende jaren vanuit de accountantscontrole nog nadrukkelijker aandacht worden gegeven aan fraudepreventie. In februari 2021 heeft onze beroepsorganisatie de NBA heeft hiervoor een notitie “Best practice maatregelen frauderisicobeheersing voor bestuurders en toezichthouders” ter consultatie uitgebracht. In deze notitie komt nadrukkelijk de rol van bestuurders en toezichthoudende organen zoals de gemeenteraad bij het voorkomen en detecteren van fraude aan de orde. Door de nadruk te leggen op het voorkomen van fraude kunnen de gelegenheden tot fraude afnemen. Dit vraagt om actief toezicht op risico’s en beheersmaatregelen ter voorkoming van fraude. Begin september 2021 is tevens een nieuwe opzet van de controleverklaring ter consultatie uitgebracht. In de nieuwe controleverklaring, die zal ingaan van af boekjaar 2022, wordt van de accountants verwacht dat hij expliciete passages opneemt aangaande frauderisicobeheersing en continuïteit. Zoals opgenomen in het consultatiedocument kunnen bestuurders en toezichthouders diverse maatregelen nemen om frauderisico’s te beheersen.

De belangrijkste uit het consultatiedocument zijn:  Zorgdragen voor een goede ‘Tone at the top’, cultuur en gedrag;  Opstellen van diverse anti-corruptiemaatregelen (relaties met afnemers/leveranciers, gedragscodes t.a.v. nevenactiviteiten/ geschenken etc.);  Een goede interne beheersing (AO/IB), waaronder een periodieke frauderisicoanalyse;  Het organiseren van tegenspraak, controle/compliance functies en diversiteit;  Aandacht voor werknemers en bestuursleden (b.v. persoonlijk omstandigheden die kunnen leiden tot druk om fraude te plegen);  Periodieke medewerkers tevredenheidsonderzoeken;  Fraudemeldpunt en klokkenluidersregeling;  Contact en medewerking met uw accountant;  Training en opleiding omtrent fraudebewustzijn;  Een adequate administratie met aandacht voor (fraude-) risicovolle schattingsposten;  Een transparant en integer beloningsbeleid;  Een duidelijk plan om te reageren op (het vermoeden van) fraudes. Voor een andere toelichting op deze maatregelen verwijzen wij naar de best practice. In de bijlage bij de best practice zijn diverse frauderisico’s benoemd gerelateerd aan Frauduleuze verslaggeving of het oneigenlijk toe-eigenen van middelen. Deze worden in de theorie en praktijk altijd ingedeeld naar drie omstandigheden (de zogenaamde fraudedriehoek), bestaande uit gelegenheid, druk en rationalisatie zoals hiernaast weergegeven.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

2.7 Frauderisicobeheersing (2/2)

Onze rol in relatie tot frauderisicobeheersing

16

Onze rol als accountant inzake fraude Zoals weergegeven in de controlestandaarden en onze opdrachtbevestiging ligt de primaire verantwoordelijkheid voor het voorkomen en ontdekken van fraude bij zowel de directie, het college als de gemeenteraad. Als accountant zijn wij niet verantwoordelijk en aansprakelijk voor de preventie van fraude. Onze controleopdracht heeft tot doel om vast te stellen dat de jaarrekening geen afwijkingen van materieel belang bevat die het gevolg zijn van fraude of fouten. Het onderkennen van risico’s op materiële fraudes (frauderisico’s), het uitvoeren van daarop gerichte controlewerkzaamheden en actie ondernemen in het geval van een vermoeden van fraude, is dus een onlosmakelijk onderdeel van de accountantscontrole. Dat gezegd hebbende is het voor de accountant lastig om een daadwerkelijk fraude te identificeren: dit komt doordat de organisatie dagelijks aanwezig is en de accountant niet, doordat fraude gepaard gaat met opgezette plannen om de fraude te verhullen, zoals valsheid in geschrifte, het opzettelijk nalaten transacties vast te leggen of het opzettelijk aan de accountant verkeerd voorstellen van zaken. Samenspanning binnen organisaties of met derde partijen maakt dit vraagstuk nog lastiger.

Door de kenmerken van fraude is het dus mogelijk dat een controle, ook al is die opgezet en uitgevoerd in overeenstemming met algemeen aanvaarde controlestandaarden, een fraude van materieel belang niet ontdekt. Voor de organisatie maken wij onze werkzaamheden zichtbaar door het verstrekken van onze fraude- en compliance checklist, het bespreken van en rapporteren over fraude en vanaf 2022 zullen wij hierover communiceren met het maatschappelijk verkeer via onze controleverklaring.

Onze aanbevelingen in relatie tot frauderisicobeheersing

Onze waarnemingen en aanbevelingen inzake de fraudebeheersing Naast onze controlerende rol hebben wij in het kader van de interim controle, onze kennis en deze ontwikkeling een aantal bevindingen en aanbevelingen inzake frauderisicobeheersing:  De gemeente heeft een M&O- beleid opgesteld, echter heeft de gemeente geen specifieke frauderisicoanalyse opgesteld.  De gemeente beschikt over een klokkenluidersregeling en gedragscode inzake integriteit ten aanzien van raadsleden, B&W en ambtsdragers. Daarnaast is er geen protocol voor vermoedens van integriteitsschendingen en wordt jaarlijks geen jaarverslag over integriteit opgesteld.  In de werkzaamheden van de VIC wordt nog maar beperkt aandacht besteed aan fraude.  Fraude (preventie) staat (nog) niet periodiek op de agenda van het college en de auditcommissie (gemeenteraad).  Onze compliance checklist is door de gemeente Emmen ingevuld. Hieruit volgen geen aanvullende risico’s die onze en uw aandacht verdienen. Uit bovenstaand overzicht blijkt dat de gemeente Emmen al het nodige met betrekking tot fraude heeft geregeld, echter is dit nog niet in een frauderisicoanalyse verder vormgegeven. Wij adviseren de gemeente Emmen om fraude specifiekere aandacht te geven in de VIC en te overwegen om dit ook (periodiek) te agenderen voor de auditcommissie (gemeenteraad).

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

17

3. Bevindingen significante processen

3.1 Onze controleaanpak 3.2. Effectiviteit processen 3.3 Overzicht van de bevindingen

3.1 Onze controleaanpak

18

Inleiding Zoals afgelopen jaar aangegeven, nemen de eisen die worden gesteld aan de accountantscontrole toe. Wij vinden het daarom van groot belang dat wij inzicht geven in de normen en verwachtingen ten aanzien van onze controle en de vertaling hiervan specifiek voor de gemeente Emmen. Alleen dan gaat de discussie niet alleen over de kwaliteit van de accountantscontrole, maar vooral ook over de wijze waarop de gemeente hiervan kan profiteren. In deze management letter hebben wij daarom meer in detail uitgelegd op welke wijze wij de controle hebben ingericht en welke afwegingen wij daarbij maken. Wij doen dat door in deze paragraaf onze risico-inschatting, belangrijkste processen, controleaanpak en afwegingen te beschrijven.

Onderkende risico’s:  Management override  EU-aanbestedingen  Waardering verstrekte leningen Wildlands

Wij beoordelen elf processen

Onze inschatting van de risico’s en belangrijkste processen In het kader van de controle van de jaarrekening 2021 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien de volgende potentiële risico’s in de controle van de jaarrekening van de gemeente Emmen:  In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door bestuur of management van de jaarcijfers) als belangrijk te onderkennen theoretisch risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat binnen de gemeente de mogelijkheden, om buiten de getroffen interne beheersmaatregelen invloed uit te uitoefenen op de in de jaarrekening gepresenteerde uitkomsten, uitermate beperkt zijn. Om het resterende risico te beperken beoordelen wij schattingsprocessen en bijzondere journaalposten in detail.  Het niet naleven van de Europese aanbestedingsregels.  Waardering van de verstrekte leningen aan Wildlands. In onze aanpak is de insteek, daar waar mogelijk te steunen op de interne beheersing in de significante processen van de gemeente Emmen. Dit noemen wij een zogenaamde systeemgerichte aanpak, waarbij wij kunnen steunen op toereikende maatregelen in uw processen en systemen. Daarbij maken wij, indien mogelijk, gebruik van uw eigen verbijzonderde interne controle (VIC).

In het kader van onze controle hebben wij de volgende processen beoordeeld:  Het Planning & Control-proces  Het inkoopproces (incl. aanbestedingen)  Het personeelsproces  Het proces uitkeringen in geld  Het WMO & Jeugd proces  Het subsidieproces  Het belastingproces  Het proces grondexploitatie  Het proces omtrent verhuur  Het proces omtrent verbonden partijen en samenwerkingsrelaties  Het proces omtrent IT-beheer Natuurlijk zijn er meerdere processen te onderkennen, ook met financiële gevolgen. Op basis van onze ervaring, de kwaliteit en omvang van deze processen en om efficiency redenen hebben wij deze echter niet procesmatig/systeemgericht getoetst, maar zullen wij (achteraf) gegevensgerichte werkzaamheden uitvoeren in de vorm van steekproeven/deelwaarnemingen, cijferanalyses, verbandscontroles, etc.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

3.2 Effectiviteit processen (1/2)

De beheersorganisatie is in opzet voldoende tot goed Voor wat betreft onze aanpak kunnen wij nog niet altijd steunen op de interne beheersing; onze aanpak is daarmee hoofdzakelijk gegevensgericht

19

Samenvatting effectiviteit van de processen In het volgende overzicht geven wij weer in hoeverre de processen voldoen aan de genoemde normen (zie ook hoofdstuk 4 t.a.v. IT). Op basis van onze uitgevoerde werkzaamheden komen wij op dit moment tot de conclusie dat de beheersorganisatie van de gemeente (voor zover relevant voor de controle van de jaarrekening) in opzet voldoende tot goed scoort, rekening houdend met de uitkomsten van de werkzaamheden van de VIC. Omdat de AO/IB niet altijd goed is opgezet of goed werkt, kunnen wij voor wat betreft de insteek van onze controle nog niet altijd op de processen steunen. Er zijn in onze aanpak daarom aanvullende gegevensgerichte werkzaamheden noodzakelijk zijn, zie voor de details van onze bevindingen en aanbevelingen de respectievelijke factsheets die reeds met de organisatie zijn gedeeld.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

3.2 Effectiviteit processen (2/2)

PROCES

OPZET AO/IB

WERKING AO/IB

ITGC’S

VIC

20

CONCLUSIE T.A.V. DE CONTROLEAANPAK

Planning & Control

Er is sprake van een adequaat functionerende planning & control cyclus waarbij de naleving van de nadere beleidsregels subsidies in relatie tot corona verdere aandacht behoeft.

Inkopen & Aanbestedingen

Gemeente Emmen werkt aan meer grip op het inkoop- en aanbestedingsproces. Periodieke rapportering ten aanzien van de acties ten aanzien van bestaande onrechtmatigheden maakt onderdeel uit van de staande P&C cyclus. Een afdwingbare workflow ten behoeve van een volledige registratie blijft net zoals voorgaande jaren een aandachtspunt.

Personeel

Het personeelsproces is, op de IT-beheersing Beaufort na, adequaat ingericht.

Uitkeringen in geld

Proces uitkeringen/participatiewet is adequaat. Wel dient de gemeente Emmen specifieke aandacht te hebben voor de TOZO-uitkeringen 2021 en de opvolging van signaleringen verstrekte TOZO-uitkeringen 2020.

WMO & Jeugd

Aandachtspunt blijft de beheersing omtrent de prestatielevering van de geleverde zorg door zorgaanbieders. Hierover zijn wij met uw gemeente in gesprek dit verder vorm te geven.

Subsidiebeheer

n.v.t.

Functiescheiding wordt niet afgedwongen en het zaaksysteem t.b.v. de verstrekte subsidies is onvolledig. Daarnaast is er in enkele gevallen sprake van niet naleving van de nadere beleidsregels subsidies in relatie tot corona, zie ook hoofdstuk 2.2.

Belastingen

n.v.t.

Proces belastingen is adequaat ingericht. De VIC richt zich voornamelijk op de juistheid van de belastingopbrengsten waarbij aandacht aan de volledigheid gewenst is.

Grondexploitaties

n.v.t.

Proces grondexploitatie is adequaat ingericht. De VIC is nu voornamelijk gericht op de aan- en verkopen. Aanvulling hierop kan zijn een controle op de parameters en uitgangspunten in de exploitaties.

Verhuur

n.v.t.

Volledigheid verhuuropbrengsten is nog niet volledig gewaarborgd, dit o.a. als gevolg van een onvolledige verhuurregistratie. Wij onderschrijven de genomen acties en de steeds verdere centralisering en registratie in de verhuuradministratie binnen de gemeente Emmen. Maakt verder ook geen onderdeel uit van jaarplan IC.

Verbonden partijen & samenwerkingsrelaties

n.v.t.

IT-beheersing

proces is ontoereikend

DASHBOARD

n.v.t.

n.v.t.

Gemeente Emmen beschikt over een verouderde nota verbonden partijen, welke eind 2021 geactualiseerd zal worden. Tussentijdse monitoring van samenwerkingsrelaties vindt steeds beter plaats waardoor tijdige sturing mogelijk is.

n.v.t.

n.v.t.

Ten aanzien van IT-beheersing zijn door ons enkele belangrijke aandachtspunten gesignaleerd (zie hoofdstuk 4).

proces is toereikend, maar één of meerdere beheersmaatregelen bestaan in de praktijk niet

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

proces is adequaat/beheersmaatregelen bestaan

hoog 

3.3 Overzicht van de bevindingen

B2

21

KORTE OMSCHRIJVING DETAILBEVINDINGEN

1

1

Inkopen & Aanbestedingen - naleving aanbestedingsregels niet gewaarborgd in workflow.

2

Inkopen & Aanbestedingen – Binnen de gemeente Emmen vindt er onvoldoende controle plaats op wijzigingen in crediteurstamgegevens.

3

WMO / Jeugd – prestatielevering van de geleverde zorg wordt nog niet overal tussentijds getoetst.

4

Subsidiebeheer - functiescheiding wordt niet afgedwongen en geen sluitend zaaksysteem.

5

Subsidiebeheer – Nadere beleidsregels corona-subsidies worden niet in alle gevallen nageleefd en de effecten dienen geëvalueerd te worden.

6

Verhuur – beheersing van de volledigheid van de verhuuropbrengsten ontoereikend.

7

Verbonden partijen en samenwerkingsrelaties – Nota verbonden partijen is verouderd en de beheersing van samenwerkingsrelatie behoeft aanscherping.

B1

Logische toegangsbeveliging - Controle op juistheid ingerichte autorisaties Beaufort en Civision samenlevingszaken niet sluitend.

B2

Logische toegangsbeveiliging – Binnen Key2Financiën en Beaufort zijn administrator- en superuser-accounts toegekend aan eindgebruikers.

B3

Change management – Release notes Beaufort worden in BOCE verband beoordeeld, hier is geen zichtbare vastlegging van.

B4

Continuïteit – Geen periodieke volledige restoretests uitgevoerd en daarnaast neemt de gemeente nog onvoldoende kennis van de gebruikersoverwegingen die in de 3402 II van Raet zijn opgenomen.

3 7

IMPACT

2

5

B4

B1 B1 B3

4

 laag

6

 laag

KANS

hoog 

Hierboven is een grafische weergave opgenomen van onze visie op de mate van risico en impact van de geconstateerde bevindingen in relatie tot de maatregelen van interne beheersing in de relevante processen. In de bijlagen hebben wij de bevindingen nader toegelicht waarin wij ingaan op de bevinding, het risico voor de organisatie, mogelijke oplossingen ter adressering van de bevindingen en de eventuele gevolgen voor onze accountantscontrole. Voor de bevindingen die belangrijk zijn én een hoge impact hebben adviseren wij u deze zo spoedig mogelijk te adresseren.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

22

4. IT-beheersing

4.1 IT-beheersing 4.2 Bevindingen IT-beheersing | Key2Financiën 4.3 Bevindingen IT-beheersing | Civision Samenlevingszaken 4.4 Bevindingen IT-beheersing | Beaufort 4.5 IT-benchmark

4.1 IT-beheersing (1/2)

Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening

23

IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze jaarrekeningcontrole gericht is op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van ICT-systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking.

Beoordeelde systemen:  Key2Financiën  Civision Samenlevingszaken  Beaufort

De bevindingen zoals gerapporteerd in deze management letter zijn gericht geweest op het beoordelen van de opzet en het vaststellen van het bestaan van algemene IT-beheersmaatregelen. Wij hebben in samenwerking met onze IT-auditors een aantal van deze maatregelen beoordeeld voor Key2Financien, Civision Samenlevingszaken en Beaufort. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevantie processen en posten (zie hoofdstuk 3).

Detailbevindingen IT verstrekt aan de organisatie

In dit hoofdstuk geven wij een samenvatting van onze bevindingen voor de genoemde applicaties. De detailbevindingen rondom deze systemen zijn verstrekt aan de organisatie. Op het moment dat de intern getroffen algemene IT-beheersmaatregelen rondom de applicaties in scope niet (bewijsbaar) voldoende aanwezig zijn, zijn in het kader van de controle van de jaarrekening 2021 aanvullende (gegevensgerichte) werkzaamheden noodzakelijk om aan te tonen dat er zich geen risico’s of fouten hebben voorgedaan.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

4.1 IT-beheersing (2/2)

Digitale samenleving

Ontwikkelingen van een nieuwe I-VISIE De gemeente Emmen is afgelopen jaar bezig geweest met het opstellen en formaliseren van een visie op de informatievoorziening, kortweg I-VISIE. Deze visie moet er voor zorgen dat de gemeente zich verder ontwikkelt naar een digitale samenleving. Door slimmer en effectiever gebruik te maken van beschikbare informatie kan de gemeente een transitie maken naar meer data gedreven werken.

Het doel van de I-VISIE

Op basis van de ontvangen documentatie rondom de I-VISIE zien wij dat goed is nagedacht over doelen die men de komende jaren wil behalen. De doelen zijn opgesteld door de IV-onderwerpen te inventariseren vanuit de gemeentelijke teams. Hieruit zijn 3 centrale doelen gedefinieerd welke aangeven waarop de gemeente qua informatievoorziening:  Doel 1 – Interactie met doelgroepen versterken: Richt zich op de invulling van het recht van bewoners en bedrijven hun zaken met onze gemeente digitaal te regelen.  Doel 2 – Optimalisatie efficiency: Focust op het verbeteren van de proces- en kostenefficiency van onze veel voorkomende (reguliere) processen.  Doel 3 – Effectievere besluitvorming: Streeft er naar besluitvorming op basis van gevoel en ervaring te verrijken met meer real time en feitelijke data en informatie.

Onderschrijving van het initiatief

Wij onderschrijven het initiatief van de gemeente om de visie op informatievoorziening op papier te zetten en te laten formaliseren door het management. Een hoge mate van volwassenheid van de geautomatiseerde gegevensverwerking is een belangrijke randvoorwaarde om grip op informatievoorziening te krijgen. Dit stelt u in staat om verder, in control te zijn, te innoveren en een data gedreven organisatie te worden.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

4.2 Bevindingen IT-beheersing | Key2Financiën

Logische toegangsbeveiliging K2F (criteria 1-5) grotendeels toereikend

PROCES

2020

2021

25

KORTE OMSCHRIJVING RESULTATEN

1. Procedure autorisatiebeheer

1

Akkoord, het proces omtrent het toewijzen, wijzigen en intrekken van autorisaties in Key2Financiën wordt beheerst en controleerbaar uitgevoerd.

2. Periodieke controle op juistheid ingerichte autorisaties

2

Een review op actualiteit van gebruikersaccounts is uitgevoerd. Een review op juistheid van ingerichte autorisaties staat voor later dit jaar op de planning bij team CCA en is om die reden nog niet beoordeeld.

3. Identificatie van gebruikers voor toegang tot systemen en data

3

Akkoord, alle aanwezige generieke accounts zijn verklaarbaar.

4. Wachtwoordbeleid (authenticatie)

4

Akkoord, de wachtwoordeisen in Key2Financiën voldoen aan de minimale te stellen eisen van BDO.

5. Administrators en superusers

5

In Key2Financiën zijn twee gebruikers met beheerrechten actief welke formeel werkzaam zijn vanuit de lijnorganisatie.

6. Wijzigingenbeheer & Gescheiden omgevingen

6

Akkoord, het wijzigingenbeheerproces wordt beheerst en zichtbaar uitgevoerd.

7

Een volledige restoretest voor Key2Financiën en Civision Samenlevingszaken is nog onderhanden. Later dit jaar wordt een rapportage opgeleverd. Tevens is de toegang tot de serverruimte toebedeeld aan medewerkers welke deze toegang niet benodigd zijn en uit hoofde van hun functie. Aangezien de serverkasten op slot zitten wordt dit risico als beperkt ingeschat.

Change management (criteria 6) toereikend Continuïteit (criteria 7) heeft nog enkele verbeterpunten

7. Continuïteit

onvoldoende

DASHBOARD

verbeterpunten

ONTWIKKELINGEN

voldoende

Niet beoordeeld

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

4.3 Bevindingen IT-beheersing | Civision Samenlevingszaken

Logische toegangsbeveiliging CivSam (criteria 1-5) nog deels ontoereikend

PROCES

2020

2021

KORTE OMSCHRIJVING RESULTATEN

1

Voor Civision Samenlevingszaken beschikt de gemeente over een normpositie (vastgestelde norm van rollen per functie) op medewerkersniveau en is zij momenteel bezig met een aanscherping om ook de rollen per organisatorische functie inzichtelijk te maken.

2. Periodieke controle op juistheid ingerichte autorisaties

2

De organisatie heeft een verbetering doorgevoerd door periodiek een review op actualiteit van gebruikersaccounts en juistheid van autorisaties uit te voeren en te documenteren. Om volledig in control te zijn zou hier nog een verdieping op moeten plaatsvinden (zie detailbevindingen)

3. Identificatie van gebruikers voor toegang tot systemen en data

3

Akkoord, alle aanwezige generieke accounts zijn verklaarbaar.

4. Wachtwoordbeleid (authenticatie)

4

Akkoord, de wachtwoordeisen in Civision Samenlevingszaken voldoen aan de minimale te stellen eisen van BDO.

5. Administrators en superusers

5

Akkoord, gezamenlijk met de verantwoordelijke functionarissen zijn de superusers in CivSam besproken en geanalyseerd waarbij is aangegeven dat de huidige inrichting voor de gemeente Emmen wenselijk is en wij ons kunnen vinden hierin.

6. Wijzigingenbeheer & Gescheiden omgevingen

6

Vanwege een toereikende beoordeling beheersmaatregel niet opnieuw vastgesteld.

7. Continuïteit

7

Zie toelichting bij Key2Financiën

1. Procedure autorisatiebeheer

Change management (criteria 6) toereikend Continuïteit (criteria 7) heeft nog enkele verbeterpunten

onvoldoende

DASHBOARD

26

verbeterpunten

ONTWIKKELINGEN

voldoende

Niet beoordeeld

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

in

2019

is

deze

4.4 Bevindingen IT-beheersing | Beaufort

Logische toegangsbeveiliging Beaufort (criteria 1-5) nog deels ontoereikend Change management (criteria 6) per jaareinde nog te beoordelen Continuïteit (criteria 7) per jaareinde nog te beoordelen

PROCES

2020

27

2021

1. Procedure autorisatiebeheer

1

Voor Beaufort is geen autorisatiematrix opgesteld waarin de rollen per functionaris worden weergegeven. Tevens hebben wij begrepen dat uitdiensttreding niet altijd tijdig en via Planon gemeld wordt.

2. Periodieke controle op juistheid ingerichte autorisaties

2

Er worden reviews uitgevoerd op de actualiteit en juistheid van gebruikers en toegewezen autorisaties in Beaufort, echter zijn deze reviews niet vastgelegd.

3. Identificatie van gebruikers voor toegang tot systemen en data

3

Vanwege een toereikende beoordeling in 2018 dit jaar niet opnieuw beoordeeld.

4. Wachtwoordbeleid (authenticatie)

4

Akkoord, de wachtwoordeisen van Beaufort voldoen aan de minimale eisen van BDO.

5

In Beaufort zijn gebruikers met beheerrechten actief welke formeel werkzaam zijn vanuit de lijnorganisatie. Tevens is de administratie van Emmen niet afgescheiden van andere gemeenten uit het BOCE verband.

6

Releasenotes worden in BOCE verband beoordeeld, hier is geen zichtbare vastlegging van. De gemeente neemt nog onvoldoende kennis van de gebruikersoverwegingen die in de assurance-verklaring van Raet zijn opgenomen. Aangezien dit jaar voor de gehele controleperiode gebruik is gemaakt van de SaaS versie van Beaufort, is dit risico lager ingeschat ten opzichte van afgelopen jaar.

7

De gemeente neemt nog onvoldoende kennis van de gebruikersoverwegingen die in de assurance-verklaring van Raet zijn opgenomen.

5. Administrators en superusers

6. Wijzigingenbeheer & Gescheiden omgevingen

7. Continuïteit

onvoldoende

DASHBOARD

KORTE OMSCHRIJVING RESULTATEN

verbeterpunten

ONTWIKKELINGEN

voldoende

Niet beoordeeld

SIGNIFICANTE PROCESSEN

IT-BEHEERSING

4.5 IT Benchmark

Gemeente Emmen heeft in de afgelopen jaren verbetering in haar IT-beheer laten zien Ten opzichte van de benchmark zijn de scores in veel gevallen beter Echter voldoet het nog niet overal aan de door BDO gestelde norm van 4

28

Uitleg benchmark Op basis van onze kennis en inzichten die wij hebben opgedaan bij de uitvoering van IT-audits hebben wij een benchmark ontwikkeld. Deze benchmark geeft inzicht in de IT-auditresultaten van uw organisatie afgezet tegen het gemiddelde van vijftig van onze klanten binnen de overheidssector. Bovendien laat deze benchmark zien hoe uw organisatie zich heeft ontwikkeld op het gebied van IT-beheersing over de afgelopen periode. Hierin is een score van 1 tot en met 5 per norm weergegeven, waarbij BDO een score van minimaal 4 toereikend acht. Voor een nadere toelichting per deelgebied verwijzen wij naar hoofdstuk 4.2 tot en met 4.5. Graag presenteren wij u de aanvullende inzichten en gaan wij met u in gesprek over het vervolg.

GEMIDDELDE EN VERLOOP

5 4,5 4 3,5 3 2,5 2 1,5 1 0,5 0

PROCEDURE AUTHORISATIEBEHEER

PERIODIEKE REVIEW

IDENTIFICATIE AUTHENTICATIE

2019

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

2020

SUPERUSERS

PROCEDURE WIJZIGINGSBEHEER

2021

IT-BEHEERSING

GESCHEIDEN OMGEVINGEN

BENCHMARK

BDO

FYSIEKE TOEGANGSBEVEILIGING

BACK-UP OPLOSSINGEN

PERIODIEKE RESTORE

29

bdo.nl