Document · PDF

Bijlage 1 - Managementletter 2025

Commissie Bestuur, Middelen en Economie 4 december 2025, gemeente EmmenBij agendapunt: Raadsbrief - Managementletter 2025 en voortgangsrapportage7.740 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Managementletter Gemeente Emmen Boekjaar 2025

Aanbiedingsbrief

Geacht college, Als onderdeel van de jaarrekeningcontrole van boekjaar 2025 van de gemeente Emmen rapporteren wij u onze bevindingen uit de interim controle. Dit betreft ons beeld van de interne beheersing, de belangrijkste risico’s, relevante

ontwikkelingen in wet- en regelgeving en indien van toepassing andere veranderingen die voor u relevant kunnen zijn. In de bijlage hebben wij een gedetailleerd overzicht opgenomen van onze bevindingen en aanbevelingen. De bevindingen komen voort uit onze werkzaamheden in het kader van de jaarrekeningcontrole en zijn opgenomen voor zover wij het van belang achten om deze met u te communiceren. De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college als onderdeel van een continue proces van het veranderen en verbeteren van de beheersing van de organisatie. Deze managementletter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting.

Aan het College van Burgemeester en Wethouders van de gemeente Emmen Postbus 30.001 7800 RA EMMEN Onderwerp: Managementletter 2025 d.d. 10 november 2025

Met vriendelijke groet, Baker Tilly (Netherlands) B.V.

D.E. Engwerda RA 2

Inhoud 1. Management Samenvatting 2. Kwaliteit interne beheersing & IT 3. Voorbereiding jaarrekeningcontrole 4. Actualiteiten

5. Bijlagen

1. Management samenvatting

Management Samenvatting Inleiding Deze managementletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden per september 2025 in het kader van de jaarrekeningcontrole 2025. Interne Beheersing De interne beheersing bij gemeente Emmen blijft in ontwikkeling. De gemeente werkt middels het project procesverbetering aan de implementatie van haar visie op “in control”. Binnen het project zijn meerdere fasen onderkend. Met de organisatie concluderen wij dat de projectplanning vooralsnog niet wordt gehaald; beoogde projectresultaten zijn daarmee momenteel niet geborgd. Als belangrijke oorzaak geldt een nog onvoldoende adequaat ingericht projectmanagement en –sturing. Qua verbeteradvies onderschrijven wij de in dit kader intern voorgestelde verbetervoorstellen. Tevens adviseren wij het CMT nadrukkelijk te betrekken bij de monitoring (rapportagelijn). In deze managementletter hebben wij een overzicht gegeven van de door ons geconstateerde opvolging van de procesbevindingen die in de managementletter 2024 waren gerapporteerd. Wij constateren dat diverse zaken zijn opgevolgd; andere zijn nog onderhanden of zijn benoemd als voor het college acceptabele (rest) risico’s. Als nieuw aandachtspunt hebben wij benoemd de controle op de prestatielevering “Zorg in Natura” Jeugd door kleinere zorgaanbieders.

IT Beheersing In het kader van onze jaarrekeningcontrole hebben we de interne beheersing rondom uw IT onderzocht. Onderzocht zijn de applicaties Key2Financien, Civision Samenlevingszaken en Youforce. Ofschoon gemeente Emmen op verschillende onderdelen voldoende/goed scoort resulteren op onderdelen ook nog bevindingen en/of verbetermogelijkheden waarvan wordt geadviseerd deze te implementeren Actualiteiten Afgelopen jaar heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld voor toekomstige jaren. Samenvattend zijn in dit hoofdstuk de belangrijkste voorgestelde wijzigingen opgenomen

Management Samenvatting

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

2. Kwaliteit interne beheersing & IT Dit hoofdstuk bevat onze bevindingen ten aanzien van de interne beheersing (inclusief de IT-omgeving). Vanuit onze natuurlijke adviesfunctie willen wij bijdragen aan verbetering van uw bedrijfsvoering, onder andere door het analyseren van de IT-omgeving en de bedrijfsprocessen.

Onze observaties en aanbevelingen koppelen we in dit hoofdstuk aan de gemeente terug.

Actualiteiten

Bijlagen

Management Samenvatting

2. Kwaliteit interne beheersing 2.1 Algemeen

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Onderwerp

Omschrijving

Doel en reikwijdte

Het doel van onze jaarrekeningcontrole is het vormen van een oordeel over de getrouwheid van de jaarrekening (waaronder inbegrepen de rechtmatigheidsverantwoording) als geheel, zoals bedoeld in het Besluit Accountantscontrole Decentrale Overheden (Bado). Vanuit de jaarrekeningcontrole beoordelen wij de kwaliteit van de administratieve organisatie en interne beheersing voor zover relevant voor onze oordeelsvorming, en geven wij geen zelfstandig oordeel over de kwaliteit van de administratieve organisatie en interne beheersing. De controle van de jaarrekening omvat het uitvoeren van controlewerkzaamheden, waaronder risicoanalyse, cijferanalyses, beoordeling van de administratieve procedures en het daarmee samenhangende systeem van interne beheersingsmaatregelen en gegevensgerichte controlewerkzaamheden. De samenstelling en omvang van die werkzaamheden zijn noodzakelijk voor het verkrijgen van voldoende controle-informatie ter onderbouwing van ons oordeel.

Risicoanalyse als vertrekpunt voor onze controle

Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening. Dit betekent dat wij niet alle risico’s die voor u als gemeente relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij.

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Actualiteiten

De belangrijkste bij uw gemeente onderkende risico’s / kernpunten in de controle zijn: Waardering van uw grondexploitaties Prestatielevering inkopen Getrouw beeld rechtmatigheidsverantwoording, inclusief aanbestedingen Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw gemeente met name toe op de schattingsposten in de grondexploitatie en voorzieningen ▪ Waardering Wildlands ▪ ▪ ▪ ▪

Bijlagen

In ons verslag van bevindingen zullen wij rapporteren naar aanleiding van de jaarrekeningcontrole over bovenstaande punten.

Management Samenvatting

2. Kwaliteit interne beheersing 2.2 Beeld interne beheersing

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Onderwerp

Omschrijving

Visie op “in control” heeft geleid tot het project procesverbetering

De gemeente Emmen heeft - zoals ook in eerdere managementletters is benoemd - een heldere visie op “in control” geformuleerd. In control zijn is gedefinieerd als het zodanig zijn ingericht dat de juiste discussie op het juiste moment op het juiste niveau wordt gevoerd zodat (indien nodig) bijgestuurd kan worden om zo de doelstellingen te realiseren. Daarbij is benadrukt dat goed ingerichte processen en een goede procesbeheersing noodzakelijk zijn voor het “in control” zijn van de organisatie. Dit omvat ook de automatiseringsomgeving en de in de door de gemeente gebruikte kernsystemen ingebouwde controlemaatregelen (de application controls). Emmen maakt voor de invulling van haar interne beheersing gebruik van het Three Lines of Defence (3LoD) model.

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

In eerdere managementletters is als belangrijk aandachtspunt benoemd hoe de gemeente borgt dat de geschetste visie (organisatie breed) ook een gedragen werkelijkheid wordt. Dit vindt zijn weerslag in de concrete planning en uitvoering van het project procesmanagement zoals dat intern voor dit doel is onderkend. Daarbij zijn binnen het project als stappen (fasen) onderkend: Binnen het project zijn meerdere fasen onderkend

Actualiteiten

Bijlagen

1. Beschrijving door het betreffende team van haar proces(sen) in de daarvoor gemeente breed toe te passen Blue Dolphin tooling 2. Beoordeling door de VIC van het beschreven proces op aanwezige c.q. noodzakelijke zgn. key-controls. 3. Gegeven de beschrijving (stap 1) en analyse VIC (stap 2) wordt met de teams bekeken hoe hun werkprocessen er in optimale vorm uit zouden kunnen zien. De aanpak is dat op basis van deze uitwerking wordt bekeken welke acties door de resp. teams c.q. de leden van het project procesbeschrijvingen ondernomen kunnen (moeten) worden om de optimale situatie te bereiken. 4. Implementatie van de verbeteringen uit stap 3. In de managementletter 2024 was de voorgenomen tijdsplanning zoals destijds door de gemeente aangegeven inzichtelijk gemaakt. Dit overigens enkel voor wat betreft de processen die vanuit de scope van onze jaarrekeningen controle relevant (materieel) zijn. Het door de gemeente Emmen intern onderkende proceslandschap en scope zijn (veel) omvangrijker.

Management Samenvatting

2. Kwaliteit interne beheersing 2.2. Beeld interne beheersing

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Onderwerp

Omschrijving

De voorgenomen projectplanning wordt vooralsnog niet gehaald; beoogde projectresultaten momenteel niet geborgd

In opvolging hiervan hebben wij in het kader van onze interim controle 2025 de gerealiseerde voortgang beoordeeld. In lijn met de constateringen die ook reeds intern waren gedaan leidt dit tot de conclusie dat de eerder afgegeven planningen in overwegende mate niet zijn gehaald. Voor wat betreft de fase 1 (procesbeschrijvingen in Blue Dolphin) geldt dat voor de meeste processen sprake is van een vertraagde (verwachte) oplevering tot ca. een jaar. Voor de fasen 2 t/m 4 is zijn nog geen nieuwe planningen bepaald. Uit interne analyses omtrent het hoe & waarom van de opgelopen vertragingen volgt dat dit is terug te voeren op intern verschillende beelden over de aanpak en scope van het project procesmanagement. Een succesvol verder verloop van het project en de kwalitatieve borging van de beoogde projectresultaten komt daarmee nadrukkelijk in gevaar.

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Als belangrijke oorzaak geldt een nog onvoldoende adequaat ingericht projectmanagement en – sturing Actualiteiten

Actualiteiten

Wij onderschrijven de intern beschreven verbetervoorstellen. Wij adviseren het CMT nadrukkelijk te betrekken bij de monitoring (rapportagelijn)

In de managementletter 2024 hebben wij gerapporteerd dat er vooralsnog geen sprake leek te zijn van een expliciet georganiseerd projectmanagement omtrent scoping, planning, uitvoering en rapportering van het project procesverbetering als geheel. Een expliciete – organisatie breed gecommuniceerde – projectplanning (ten aanzien van álle processen in scope) was (en is) niet beschikbaar. Niet zichtbaar was (en is) in hoeverre er (periodieke) formeel wordt gerapporteerd over de voorgang (door de resp. teams aan de projectleiding, en door de projectleiding aan bv. het CMT en/of college). Daarmee is niet tastbaar in hoeverre het project procesverbetering intern ook echt “leeft”, breed gedragen wordt en waar nodig actief wordt bijgestuurd en/of prioriteit krijgt. Daarnaast was (en is) er geen sprake van een eenduidige resourceplanning ter borging van de benodigde personele capaciteit (uren) versus te bereiken mijlpalen (deliverables). In haar interne analyse van de stand van zaken rondom het project procesmanagement komt de gemeente tot een soortgelijke conclusie. Wij onderschrijven de intern geformuleerde adviezen om conform de gemeentelijk aanpak voor projectmatig creëren te gaan werken. Als belangrijke stappen gelden daarbij het opstellen van een beheersplan en (daarna) de voorgangsbewaking op basis daarvan te bewaken, inclusief het inregelen van geformaliseerde rapportagelijnen.

Aangezien het hier een gemeente breed project met een duidelijke strategische waarde adviseren wij bedoelde rapportagelijnen voor de duur van het project structureel door te laten lopen tot in het CMT.

Bijlagen

Management Samenvatting

2. Kwaliteit interne beheersing 2.2. Beeld interne beheersing

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Onderwerp

Omschrijving

De voorgang van het project procesverbetering is schematisch inzichtelijk gemaakt (zie ook volgende pagina)

Voor de volledigheid is op de volgende pagina de huidige stand van zaken rondom te planning van het project procesverbetering (conform de indeling van het overzicht zoals ook opgenomen in de managementletter 2024) nogmaals zichtbaar gemaakt. Hierbij wordt opgemerkt dat wij ons in deze uitwerking hebben beperkt tot de processen die vanuit de scope van onze jaarrekeningen controle relevant (materieel) zijn. Het door de gemeente Emmen intern onderkende proceslandschap is (veel) omvangrijker. Naar wij hebben begrepen zijn voor het gehele project procesverbetering alle in het proceslandschap onderkende processen in scope. Navolgend schema geeft daar derhalve slechts een beperkt deel van het gehele project weer. Ten behoeve van de volgbare aansluiting op het interne proceslandschap is de nummering en volgorde aangehouden zoals gemeente Emmen die zelf ook hanteert. Zoals uit de opstelling blijkt is de streefdatum voor de meeste processen ten opzichte van de planning van vorig jaar met ca. een jaar vertraagd. De eerdere streefdata voor de fasen 2 en verder zullen gezien de herziene timing van fase 1 worden overschreden.

Actualiteiten

Bijlagen

Management Samenvatting

2. Kwaliteit interne beheersing Intern #

(hoofd)proces

O1.1

Administreren – Voeren personeels- en salarisadministratie

O3.3

Bewaken digitale veiligheidseisen (informatiebeveiliging, privacy)

O4.1

Financieel Beheer (beheren financiële administratie, investeringen & kapitaalslasten, financiële processen)

O4.3

Beheren ontvangsten

O4.4

Afhandelen facturen en betalingen

O4.5

Beheren van contant geld

O5.1

Aanbesteden, inkopen en contracteren (O.5.1)

O5.2

Personeel – In, door- en uitstroom (O.5.2)

O7.4

Beheren verbonden partijen

P2.3

Ontwikkelen onroerende zaken (grexen)

P4.2

Verstrekken subsidies

P4.5

Verstrekken publieke producten (bouwleges)

P6.2

Levering maatschappelijke en financiële ondersteuning (WMO, Jeugdwet, PGB, Participatiewet, ca.)

Heffen gemeentelijke belastingen en rechten

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Actualiteiten

De kleur van het symbool geeft de status van de constatering aan.  = gereed  = onderhanden maar nog niet afgerond  = uitvoering nog niet gestart (of gepland)

Beschrijving in Blue Dolphin

Proces analyse en Implementatie verbetervoorstellen VIC verbetervoorstellen

● ● (31/12/25) ● (31/12/26) ● 1/7/26

● ●

● (31/12/25) ● (31/12/25) ● (31/12/25) ● (31/12/25) ● (31/12/25) ● ● (31/12/26) ● (31/12/26) ● (31/12/25) ● (31/12/25) ● (1/7/26) ●

● ● ● ● ● ● ● ● ● ● ● ●

(via ENSIA)

● (1/7/26) ● (1/7/26) ● (1/7/26) ● (1/7/26) ● (1/7/26) ● (31/12/25) ● (1/7/27) ● (1/7/27) ● (1/7/26) ● (1/7/26) ● (31/12/26) ● (31/12/25)

Controle 2025 systeem- of gegevensgericht

Ambitie systeemgerichte controle vanaf

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Gegevensgericht

n.t.b.

Management Samenvatting

2. Kwaliteit interne beheersing 2.2 Beeld interne beheersing

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

In onderstaand overzicht hebben wij een overzicht gegeven van de door ons geconstateerde opvolging van de procesbevindingen die in de managementletter 2024 (en eerder) waren gerapporteerd. Ten aanzien van verschillende bevindingen is inmiddels gerichte opvolging geconstateerd. Voor een aantal punten geldt dit – gegeven het ambitieniveau van de gemeente soms bewust – nog niet. Daarnaast vragen wij uw aandacht voor een nieuwe bevinding inzake de prestatielevering kleine zorgaanbieders (ZIN) WMO en Jeugd. Een gedetailleerde beschrijving van de detailbevindingen is opgenomen in bijlage (onderdeel 5 van deze managementletter). De kleur van de het symbool geeft de status van de constatering aan.

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Proces

Bevinding

Inkopen

Ontbreken vier-ogen principe inkoopfacturen

Inkopen

Gebruik en drempelbedrag inkoop startformulier

Inkopen

Waarborgen volledigheid aanbestedingen

Inkopen

De kleur van het symbool geeft de status van de constatering aan.  = opgelost ◯ = door college geaccepteerd (rest)risico en/of aanvullende IC  = actie ondernomen, maar nog niet afgerond  = geen actie ondernomen  = nieuwe bevinding

Status per heden

Prioriteit/ Toelichting

◯

Zie bijlage B

● ● ●

◯

Zie bijlage B

●

Hoog

Applicatiebeheer Key2Financien belegd in de lijn

◯

Zie bijlage B

Betalingen

Zelfstandige betalingen Rabobank

◯

Zie bijlage B

Omgevingsvergunningen

Ontbreken zichtbare controle bouwtoets

●

Omgevingsvergunningen

Ontbreken zichtbare controle vergunningverlening

Omgevingsvergunningen

Ontbreken zichtbare controle tarieven leges en omgevingsvergunningen

Betalingen

Borging naleving WNT

● ● ● ●

Sociaal Domein

Prestatielevering kleine zorgaanbieders

Subsidies

Zichtbare vastlegging juridische en financiële toets op subsidieaanvragen

Actualiteiten

Status ML 2024

◯

Zie bijlage B

● ◯

● ●

Zie bijlage B Gemiddeld Gemiddeld

Management Samenvatting

2. Kwaliteit interne beheersing 2.3 IT Beheersing – samenvatting detailbevindingen

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Onderstaande tabel geeft een overzicht van onze bevindingen ten aanzien van de processen en de (vanuit de scope van onze jaarrekeningcontrole) IT aandachtsgebieden binnen uw organisatie. Zie voor de achterliggende detailbevindingen bijlage C. De mate van risico die u als organisatie loopt bij constateringen verschilt per IT aandachtsgebied.

Applicatie

Toegangsbeveiliging Authenticatie

Voorbereiding Jaarrekeningcontrole

Netwerk

Key2Financien

Actualiteiten

● ●

Wijzigingsbeheer

Continuïteit

Autorisatie

● ●

●

Geen periodieke controle op gebruikersautorisaties

●

Geen zichtbare vastleggingen van de controle op gebruikers en gebruikersrechten

Youforce

●

Geen interne evaluatie en opvolging aandachtspunten van de ISAE 3402 rapportage

Civision

●

Onvoldoende inzicht kunnen verkrijgen m.b.t. database

Samenlevingszaken De kleur van het symbool geeft de status van de constatering aan.  = geen bevindingen ◯ = door het college geaccepteerd (rest)risico  = adviespunt, verdere aanscherping mogelijk  = tekortkoming, verbetering noodzakelijk  = niet beoordeeld (buiten scope)

Management Samenvatting

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Voorbereiding jaarrekeningcontrole Om aan uw behoeften te kunnen voldoen en om het proces voor de jaareinde controle efficiënt te laten verlopen vinden wij het belangrijk om vooraf afspraken te maken, het proces regelmatig te evalueren en onze bevindingen met u te delen. Om achteraf verassingen te voorkomen willen wij de volgende werkafspraken met u maken.

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Actualiteiten

Bijlagen

Management Samenvatting

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

3. Voorbereiding jaarrekeningcontrole Aanpassing BADO en BBV leidt tot wijziging in o.a. financiële verordening

Gevolgen onzekerheden sociaal domein

In de aanpassing van BADO op 16 april jl. is een belangrijke wijziging

afwijkingen heeft mogelijk gevolgen voor gemeenten waarbij sprake is van

opgenomen: de maximale goedkeuringstolerantie van 1% voor fouten en 3%

een hoge omvang van onzekerheden in het sociaal domein. Onder de nieuwe

voor onzekerheden (dus samen 4%) wijzigt met ingang van dit boekjaar

normering kunnen deze onzekerheden sneller leiden tot een overschrijding

2025 in een maximale goedkeuringstolerantie van 2% voor afwijkingen. Met

van controletoleranties (en aard van verklaring raken).

De hiervoor genoemde aanscherping van de tolerantiegrens naar 2% voor

afwijkingen worden zowel fouten als onzekerheden bedoeld. Daarnaast wijzigt ook de grondslag voor de goedkeuringstolerantie van lasten inclusief

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

toevoegingen aan de reserves naar lasten exclusief toevoegingen aan de reserves. Voor de rechtmatigheidsverantwoording geldt dat deze met ingang van 2025 maximaal 2% van de lasten exclusief toevoegingen aan de reserves mag bedragen (in 2023 en 2024 nog maximaal 3% van de lasten inclusief toevoegingen aan de reserves).

Actualiteiten

Om deze wijzigingen goed in de organisatie in te bedden adviseren wij u om tijdig deze aanpassingen in de financiële verordening, de controleverordening, het controleprotocol en het interne controleplan te verwerken. Bijlagen

Bijlagen

Management Samenvatting

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

3. Voorbereiding jaarrekeningcontrole Controleverklaring in aparte paragraaf ‘Overige gegevens’

Notitie grondbeleid (en rente) in jaarstukken

Met ingang van het boekjaar 2025 is het Besluit Begroting en

1. Voor het faciliterend grondbeleid zijn de verhaalsmogelijkheden van

Verantwoording (BBV) aangepast, waarbij de controleverklaring van de

kosten uitgebreid. Tevens is de kostensoortenlijst uitgebreid, waardoor

accountant voortaan wordt opgenomen onder het onderdeel ‘Overige

ook meer kosten verhaald kunnen worden.

gegevens’ van de jaarrekening. Deze paragraaf Overige gegevens moet in de

2. De voorwaarden voor warme gronden zijn gewijzigd. Deze voorwaarden

jaarstukken worden opgenomen ná de jaarrekening en dus niet als onderdeel

gelden met ingang van de nieuwe notitie ook voor bedrijventerreinen.

van de jaarrekening. Voor het proces van opstellen, goedkeuren en

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

De wijzigingen hebben met name invloed op de verslaggevingsregels:

3. Gemaakte voorbereidingskosten mogen na 5 jaar ook worden voorzien in

publiceren van de jaarstukken betekent dit dat de Raad een versie van de

plaats van te worden afgeboekt. Hierdoor wordt het mogelijk gemaakt

jaarstukken goedkeurt waarin de definitieve controleverklaring van de

om in een later stadium alsnog deze kosten op te voeren.

accountant is opgenomen. De publicatie van de jaarstukken op de website

4. In een gemengde grondexploitatie mag het resultaat gesaldeerd worden

omvat voortaan de opgestelde versie inclusief de paragraaf Overige

indien de deelgebieden in ontwikkeling onlosmakelijk met elkaar

gegevens, met daarin de controleverklaring van de accountant.

verbonden zijn. 5. Winstneming door middel van POC methode, kan alleen plaatsvinden als

Actualiteiten

de looptijd van een grondexploitatie 10 jaar of korter is. 6. Belangrijkste wijziging is dat toerekening rente aan grondexploitaties ook conform de gemeentelijke omslagrente zal plaatsvinden. Wij adviseren u te inventariseren in hoeverre genoemde wijzigingen eventueel nog een impact hebben op de waardering van uw

Bijlagen

grondexploitaties in de jaarrekening 2025. 16

Management Samenvatting

Actualiteiten Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Afgelopen jaar heeft het Rijk enkele wijzigingen op het Besluit Begroting en Verantwoording provincies en gemeenten (BBV) en het Besluit Accountantscontrole Decentrale Overheden (Bado) voorgesteld voor toekomstige jaren. Samenvattend zijn in dit hoofdstuk de belangrijkste voorgestelde wijzigingen opgenomen.

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Actualiteiten

Bijlagen

Management Samenvatting

4. Actualiteiten Wethouders pensioen

Notities structurele en incidentele baten en lasten

De nieuwe pensioenwet geldt vanaf 1 juli 2023,

De Commissie BBV heeft eind 2024 een vernieuwde notitie gepubliceerd over hoe gemeenten moeten

maar niet voor politieke ambtsdragers zoals

omgaan met structurele en incidentele baten en lasten. Deze notitie geeft extra uitleg en nieuwe afspraken,

wethouders. Zij vallen onder de aparte Appa-

vooral over het gebruik van geld uit de algemene reserve.

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

regeling, die zoveel mogelijk aansluit bij de ABP-regeling voor overheidswerknemers. Sinds

Belangrijkste wijziging: inzet van de algemene reserve

juli 2022 zijn de verschillen tussen Appa en

Vanaf begrotingsjaar 2025 is het toegestaan voor gemeenten om maximaal 10% van het overschot

ABP grotendeels gelijk getrokken. Gemeenten

(surplus) van de algemene reserve gebruiken om structurele uitgaven te betalen. Dit mag alleen als:

betalen nu nog pensioenen rechtstreeks uit hun

• De solvabiliteit (de verhouding tussen eigen vermogen en totaal vermogen) minimaal 20% is en blijft.

begroting, maar het is de bedoeling dat deze

• Er een goede risico-inventarisatie is gemaakt.

pensioenen via een collectieve

• Het weerstandsvermogen voldoende is om de risico’s op te vangen.

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

waardeoverdracht worden ondergebracht bij

Actualiteiten

het ABP. Hierdoor vervalt ook de

Wat moeten gemeenten doen?

pensioenvoorziening voor wethouders op de

• Zorg voor een duidelijke begroting

gemeentelijke balans.

Laat in de begroting en meerjarenraming zien of er sprake is van een structureel evenwicht. Gebruik hiervoor het voorbeeld uit de notitie.

In aanloop naar de overgang moet per

Bijlagen

• Maak onderscheid tussen incidenteel en structureel

gemeente inzichtelijk worden gemaakt in

Neem in de financiële verordening een grensbedrag op: vanaf welk bedrag moeten incidentele lasten en

hoeverre de nu getroffen voorziening Appa

baten apart worden toegelicht? Dit zorgt voor duidelijkheid en consistentie.

toereikend is bij waardoverdracht. Tot de uiteindelijk nog vast te stellen overgangsdatum

geldt overigens nog de huidige Appa.

• Controleer het weerstandsvermogen Zorg dat het weerstandsvermogen groot genoeg is om de geïnventariseerde risico’s te kunnen opvangen. 18

Management Samenvatting

4. Actualiteiten Notitie verbonden partijen Op 24 juni jl. heeft commissie BBV de aangepaste Notitie Verbonden partijen gepubliceerd. Wijzigingen volgen met name uit de per 1 juli 2022 aangepaste Wet gemeenschappelijke regelingen (Wgr). De belangrijkste wijzigingen die in de notitie verder worden uitgewerkt zijn:

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Versterking van de positie van gemeenteraden

Introductie van Aanvullende Controle-Instrumenten Raad

Verbetering van Governance-Structuren

Actualiteiten

• Zienswijze Indienen: Gemeenteraden krijgen meer invloed én verantwoordelijkheid doordat ze zienswijzen mogen indienen bij belangrijke besluiten zoals de begroting, jaarrekening en beleidsnota’s. • Adviescommissie: De mogelijkheid om een gemeenschappelijke adviescommissie in te stellen, die gemeenteraden ondersteunt in hun taak, is geïntroduceerd. • Informatieplicht: Colleges van burgemeester en wethouders moeten proactief de gemeenteraden op de hoogte houden van relevante ontwikkelingen binnen de GR’s.

• Recht van Enquête: Recht om onderzoek te doen naar mogelijke misstanden binnen een GR. Dit omvat het recht van enquête. • Onderzoek door Rekenkamers: Rekenkamers kunnen o.a. onderzoek doen naar het gevoerde bestuur van een GR. Omdat meerdere gemeenten en rekenkamers betrokken zijn bij GR's, worden audits waarschijnlijk vaker en grondiger uitgevoerd. • Evaluatie van de Regeling: Gemeenteraden kunnen nu afspraken maken over de frequentie en focus van evaluaties van de GR.

• Uittreding uit een Regeling: Het maken van duidelijke afspraken over de gevolgen voor het vermogen van de rechtspersoon bij uittreding uit een GR. Dit omvat zaken als personeel, contracten, huisvesting en investeringen. • Begrotingscyclus: De termijnen voor de indiening van de kadernota, de ontwerpbegroting en de begroting zijn aangepast om een betere afstemming op de besluitvorming van de gemeenteraad te waarborgen.

Actualiteiten

Bijlagen

De nieuwe verplichtingen en controle-instrumenten kunnen leiden tot een hogere ambtelijke en bestuurlijke capaciteitsdruk. Wij adviseren u uw interne processen te evalueren en waar nodig aan te passen. Daarnaast is het van belang om vast te stellen of de capaciteit binnen de gemeente voldoende is om te kunnen voldoen aan de mogelijk aanvullende belasting.

Management Samenvatting

4. Actualiteiten NIS2 / Cyberbeveiligingswet

Aandachtspunten cyberbeveiligingswet

De Cyberbeveiligingswet (Cbw), die de Europese NIS2-richtlijn

De wet introduceert de volgende verplichtingen voor gemeenten:

implementeert, is op 17 juni 2025 ingediend bij de Tweede

1. Zorgplicht: gemeenten moeten passende technische en organisatorische maatregelen nemen

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Kamer. De beoogde inwerkingtreding is het tweede kwartaal van

om hun netwerk- en informatiesystemen te beveiligen. De BIO2 normering biedt hiervoor de

2026. De wet heeft als doel de digitale weerbaarheid van vitale

beoogde uitwerking.

en essentiële organisaties te versterken, waaronder gemeenten. Gemeenten gaan rechtstreeks onder de Cbw vallen omdat ze worden aangemerkt als essentiële overheidsentiteiten.

2. Meldplicht: Ernstige cyberincidenten moeten worden gemeld aan de Rijksinspectie Digitale Infrastructuur (RDI), het CSIRT en de Informatiebeveiligingsdienst (IBD). 3. Bestuurlijke verantwoordelijkheid: Burgemeesters en wethouders zijn persoonlijk verantwoordelijk voor naleving. Zij moeten een verplichte training informatiebeveiliging volgen.

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Hoewel de wet nog niet van kracht is, hebben sommige

Bij nalatigheid kunnen boetes oplopen tot €10 miljoen voor de organisatie en €25.000 voor

bepalingen uit de NIS2-richtlijn al directe werking. Gemeenten

individuele bestuurders.

kunnen zich nu al vrijwillig registreren bij het Nationaal Cyber

Actualiteiten

Security Centrum (NCSC) en gebruik maken van dienstverlening

Baker Tilly kan de gemeente helpen bij de volgende stappen die nu al kunnen worden gezet:

van dit centrum. De informatiebeveiligingsdienst heeft ook al

• Voer een NIS2 GAP-analyse uit om inzicht te krijgen in de huidige volwassenheid van de

diverse kennisproducten en hulpmiddelen voor gemeenten

uitgewerkt.

informatiebeveiliging.

• Werk daarbij volgens de Baseline Informatiebeveiliging Overheid (BIO 2.0), die als normenkader voor de Cbw zal dienen.

Wij adviseren de gemeente om vooruitlopend op de inwerkingtreding al te starten met de implementatie van de Cyberbeveiligingswet. Wij kunnen u daarbij ondersteunen, u vindt Bijlagen

Bijlagen

hiernaast een aantal concrete adviezen.

• Implementeer een Information Security Management System (ISMS) om structureel risico’s te beheersen en compliance te borgen. • Start met bewustwording en training van bestuurders, zodat zij hun rol in risicomanagement en besluitvorming effectief kunnen invullen. • Leg verantwoording en toezicht vast in de gemeentelijke governance, inclusief betrokkenheid van de gemeenteraad.

Management Samenvatting

4. Actualiteiten Spendanalyse automatiseren Gemeenten hebben de verantwoordelijkheid om publieke middelen doelmatig, transparant én rechtmatig

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

in te zetten. Goed zicht op het inkoopproces en de uitgaven is daarbij essentieel. Een spendanalyse kan helpen om inzicht te krijgen in waar geld naartoe gaat, welke trends zich aftekenen en waar mogelijke besparingen of verbeteringen liggen.

Stap 1 Uploaden dump

Gemeenten maken meer en meer gebruik van innovatieve ontwikkelingen en data-analyse. Zeker waar (nog) onvoldoende kan worden gesteund op de beheersingsmaatregelen kan data-analyse waardevol

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

zijn. De uitkomsten kunnen leiden tot betere managementinformatie met nieuwe, heldere en vooral ook concrete inzichten, gericht op nog betere (bij)sturing. Door het inkoopproces systematisch te analyseren, ontstaat overzicht in onder andere aanbestedingen, contractbeheer en leveranciersprestaties. Dit draagt niet alleen bij aan doelmatiger inzet van middelen, maar ook aan het rechtmatig uitvoeren van aanbestedingen en het naleven van wet- en regelgeving.

Actualiteiten

Stap 2 Analyse op crediteurenniveau Stap 3 Analyse op opdrachtniveau

Baker Tilly Advisory heeft een tool ontwikkeld die dit proces ondersteunt. Deze tool helpt gemeenten om spendanalyses sneller en efficiënter uit te voeren – op totaalniveau, per crediteur of per opdracht. Het is een middel dat gebruikt kan worden om op basis van data het gesprek te voeren over inkoop, kwaliteit en doelmatigheid. Bijlagen

Bijlagen

Stap 4 Checklist

De regie ligt bij de gemeente zelf. Wij denken mee over hoe deze inzichten op een toegankelijke manier kunnen worden ingezet om onderbouwd te sturen op beleid, uitvoering en rechtmatigheid. 21

Management Samenvatting

Bijlagen Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Actualiteiten

Bijlagen

Bijlage A bevindingen interne beheersing 2025

10/11/2025

Management Samenvatting

5. Bijlage A – Bevindingen Interne Beheersing 2025 (1) Detailbevindingen interne beheersing – Bevindingen per proces Op de volgende pagina’s zijn de detailbevindingen ten aanzien van de belangrijkste processen

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

opgenomen. Per pagina is een bevinding opgenomen met daarbij het risico en de aanbeveling. Bij elke bevinding is het jaar van de eerste vermelding vermeld, evenals de geschatte kans van voorkomen en de impact op uw organisatie. Daarnaast hebben wij de gevolgen voor de controle beschreven. Tot slot verzoeken wij het management om een reactie te geven op de bevindingen.

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Bevinding

Titel bevinding

Jaar van constateren

Boekjaar eerste vermelding

Status bevinding:

Kans:

Hoog/middel/laag

Impact:

Hoog/middel/laag

Nieuw / (Geen) Actie ondernomen / Opgelost Constatering

Actualiteiten

In dit blok wordt aangegeven wat gedurende de accountantscontrole is geconstateerd en waarvan wij u graag op de hoogte willen brengen.

Risico

Hier beschrijven wij de risico's van de bevinding en wat de gevolgen voor uw onderneming kunnen zijn.

Aanbeveling

Hier geven wij u aanbevelingen met betrekking tot de bevinding. Deze aanbeveling is een mogelijke oplossing voor de bevinding.

Gevolgen voor de

Op deze plaats beschrijven wij de gevolgen van de bevinding voor de controleaanpak en de omvang van onze

jaarrekening-controle

controlewerkzaamheden.

Bijlagen

Management Samenvatting

5. Bijlage A – Bevindingen Interne Beheersing 2025 (2) Detailbevindingen interne beheersing – Bevindingen per proces

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Bevinding

Prestatielevering kleine zorgaanbieders

Jaar van constateren

2025

Status bevinding:

Kans:

Gemiddeld

Impact:

Gemiddeld

Nieuw

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Constatering

De verantwoording over de prestatielevering zorg in natura voor de Jeugdwet met kleine zorgaanbieders is contractueel niet in alle gevallen vastgelegd. De zorg wordt dan via een cliënt gebonden overeenkomst (CGO) ingekocht, waarmee de inkooprechtmatigheid is geborgd. Echter geeft dit geen zekerheid over de geleverde zorgprestatie

Risico

Doordat er geen productieverantwoording en controleverklaring van deze groep zorgaanbieders wordt ontvangen, is de prestatielevering van de geleverde zorg niet vastgesteld en daarmee onzeker.

Actualiteiten

Aanbeveling

Wij adviseren de gemeente Emmen om zelf aanvullende werkzaamheden uit te voeren om de prestatielevering van de geleverde zorg vast te stellen. Dit kan bijvoorbeeld door het uitvoeren een enquête onder de zorgcliënten. Wij gaan graag met de gemeente in

gesprek hoe dit proces kan worden ingericht. Voor nieuw af te sluiten contracten adviseren wij u om naleving van het landelijk accountantsprotocol financiële verantwoording op te nemen.

Bijlagen

Gevolgen voor de

Indien de prestatielevering van de geleverde zorg niet door middel van aanvullende werkzaamheden door de gemeente Emmen zelf

jaarrekening-controle

wordt vastgesteld, zijn deze kosten een onzekerheid in de controle die moet worden opgenomen in de foutenevaluatie bij de jaarrekening. 25

Management Samenvatting

5. Bijlage A – Bevindingen Interne Beheersing 2025 (3) Detailbevindingen interne beheersing – Bevindingen per proces

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Bevinding

Zichtbare vastlegging juridische en financiële toets op subsidieaanvragen

Kans:

Gemiddeld

Jaar van constateren

2025 (herhaald)

Impact:

Gemiddeld

Status bevinding: Nieuw (voor de ML 2025)

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Constatering

Een beleidsadviseur verricht een juridische en financiële controle op de subsidieaanvragen om de rechtmatigheid van de verstrekking te waarborgen. Deze controle wordt echter niet zichtbaar vastgelegd. Dit hadden wij bij de controle 2024 ook reeds geconstateerd. Destijds is evenwel aangegeven dat dit punt al onderhanden was en dat miv 2025 met een checklist gewerkt zou gaan worden. Tijdens het procesgesprek interim 2025 hebben wij echter geconstateerd dat dit vooralsnog niet het geval is.

Risico

Het risico is dat er geen toetsing plaatsvindt en er onrechtmatig subsidies worden verstrekt.

Aanbeveling

Onze aanbeveling is om deze controle zichtbaar vast te leggen, bijvoorbeeld door middel van een checklist

Gevolgen voor de

Aanvullende gegevensgerichte controlewerkzaamheden door of in overleg met uw VIC.

Actualiteiten

jaarrekening-controle

Bijlagen

Bijlage B opvolging bevindingen voorgaande jaren

Management Samenvatting

5. Bijlage B – Opvolging bevindingen voorgaande jaren (1) Detailbevindingen interne beheersing

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Bevinding

Opvolging 2025

Conclusie c.q. gevolgen voor onze controleaanpak

Aanbeveling

1. Ontbreken vierogen principe inkoopfacturen (2022)

De gemeente heeft aangegeven dat accorderingsroutes naar haar oordeel altijd via 2 functionarissen gaan. Wij hebben vanuit de uitgevoerde lijncontrole vastgesteld dat de accordering door 2 functionarissen wordt gedaan, maar in hoeverre dit over geheel 2025 sluitend (overal) het geval is geweest is hebben wij niet kunnen vaststellen. Daarom blijft voor 2025 de aanpak de omvattende aanwezigheid van een 4-ogen principe aan te tonen middels een data analyse in overleg met onze IT auditors.

In overleg met de IT auditors van Baker Tilly zullen wij een analyse uitvoeren die de aanwezigheid van een 4-ogen principe binnen het proces van de inkoopfacturen aantoont.

Nvt.

◯

2. Gebruik en drempelbedrag inkoop startformulier wordt niet afgedwongen (2022)

Wij hebben begrepen dat het inkoopstartformulier is ingebouwd in het medewerkersportaal, het grensbedrag voor verplicht gebruik verlaagd naar € 50.000. De gemeente heeft aangegeven dat het voorgeschreven gebruik van het formulier nog niet altijd wordt nageleefd, het blijft immers mogelijk dat medewerkers aankopen doen zonder inkoopstartformulier. Teneinde dit te ondervangen wordt er halfjaarlijks door middel van een spendanalyse gemonitord of het juiste inkooptraject wordt doorlopen.

Er zal ook over 2025 een uitgebreide spend analyse worden uitgevoerd.

Bezie of in het proces een controle op het verplichte gebruik van het inkoopstartformulier in te bouwen is. Bij andere gemeenten zien wij als maatregel wel het principe dat voor alle inkopen een vastlegging in de verplichtingen administratie vereist is. Bij die vastlegging wordt getoetst op de aanwezigheid van het inkoopstartformulier. Wanneer inkoopfacturen worden ontvangen waarvoor geen verplichting was vastgelegd worden aldus “overtredingen” meteen gesignaleerd en kunnen betrokken daarop gericht worden aangesproken.

◯

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Actualiteiten

Bijlagen

Management Samenvatting

5. Bijlage B - Opvolging bevindingen voorgaande jaren (2) Detailbevindingen interne beheersing

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Bevinding

Opvolging 2025

Conclusie c.q. gevolgen voor onze controleaanpak

Aanbeveling

3. Volledigheid aanbestedingen niet gewaarborgd (2022)

Per 2025 is er sprake van een nieuw inkoopbeleid, hierin is ook het contractmanagement opgenomen. De gemeente is voornemens het gehele contractbeheer uit te laten voeren door een externe partij, maar dit is op dit moment nog niet volledig geïmplementeerd. Voor 2025 is de detailbevindingen derhalve ongewijzigd.

Er zal ook over 2025 een uitgebreide spend analyse worden uitgevoerd.

Verbeteracties zijn onderhanden.

4. Applicatiebeheer Key2Financiën is belegd in de lijn (2023

Er is vanuit de organisatie besloten om geen wijzigingen aan te brengen in het applicatiebeheer. De VIC zal twee keer per jaar een IT-audit uitvoeren op de verrichte mutaties door de applicatiebeheerder.

Het risico (doorbreken functiescheidingen) is door de organisatie geaccepteerd, er worden de hiernaast beschreven aanvullende controlewerkzaamheden uitgevoerd.

Nvt.

◯

5. Zelfstandige betalingen Rabobank tot € 75.000 mogelijk (2022)

Er zijn geen wijzigingen. Het punt blijft hiermee staan.

Over 2025 zal een VIC worden uitgevoerd op handmatige betalingen <75.000 die enkelvoudig zijn betaald.

Wij adviseren daarnaast ook waakzaam te zijn op het uitgeven van bankpassen en de betalingen die hiermee gedaan worden.

◯

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Actualiteiten

●

Bijlagen

Management Samenvatting

5. Bijlage B - Opvolging bevindingen voorgaande jaren (3) Detailbevindingen interne beheersing

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Bevinding

Opvolging 2025

Conclusie c.q. gevolgen voor onze controleaanpak

Aanbeveling

6. Ontbreken zichtbare controle bouwtoets (2022)

Er is sprake van een afgedwongen controle in het systeem. Het is niet mogelijk dat dit door dezelfde medewerker. Het managementletter punt is hiermee opgevolgd.

Opgelost.

Nvt.

7. Ontbreken zichtbare controle vergunningverlening (2022)

Er is sprake van een afgedwongen controle in het systeem, echter kan deze wel door dezelfde medewerker worden uitgevoerd. Hiermee blijft het risico bestaan.

Actie ondernomen, maar niet geheel opgelost. Er zullen vanuit de VIC aanvullende werkzaamheden worden uitgevoerd.

Nvt.

8. Ontbreken zichtbare controle tarieven leges en omgevingsvergunningen (2023)

Vanaf boekjaar 2025 is er sprake van een zes-ogen principe bij het invoeren van de tarieven. De onafhankelijke accordering wordt zichtbaar vastgelegd.

Opgelost.

Nvt.

9. Borging naleving WNT tav belaste onkosten (uitgaven) met creditcards door gemeentesecretaris en griffier (2024).

De uitgaven van de creditcards zijn voor de jaarrekeningcontrole van 2024 geanalyseerd en bij het WNT dossier gevoegd. Voor 2025 zal dit ook zo worden gedaan.

Graag ontvangen wij ten tijde van onze controle van de jaarrekening 2025 de hierboven bedoelde toets inclusief onderliggend dossier.

Nvt.

ekeningcontrole bereiding

Voorbereiding Jaarrekeningcontrole

Actualiteiten

Bijlagen

●

◯

● ◯

Bijlagen

Bijlage C detailbevindingen IT beheersing

De kleur van het symbool geeft de status van de constatering aan.  = geen bevindingen ◯ = door het college geaccepteerd (rest)risico  = adviespunt, verdere aanscherping mogelijk  = tekortkoming, verbetering noodzakelijk  = niet beoordeeld (buiten scope) 10/11/2025

Management Samenvatting

5. Bijlage C – Detailbevindingen IT Beheersing (1) Detailbevindingen IT beheersing – Netwerk

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Voorbereiding Jaarrekeningcontrole

Authenticatie ●

Autorisatie ●

Wijzigingsbeheer ●

Continuïteit ●

Constatering

De wachtwoordeisen zijn voldoende in het kader van de jaarrekeningcontrole. Er zijn echter 140 uitzonderingen op het periodiek wijzigen, te weten: 21 serviceaccounts met verhoogde rechten; 93 met standaardrechten; 1 met verhoogde rechten; 1 generiek administratoraccount; en 24 persoonsgebonden accounts (>365 dagen ongewijzigd). Intern is MFA niet van toepassing op uitzonderingen (extern wel verplicht). Er wordt geen zichtbare periodieke controle uitgevoerd op de gehanteerde wachtwoordperiodiciteit.

Wij hebben middels inlichtingen vernomen dat gebruikersautorisaties periodiek worden gecontroleerd, maar dat de controles niet zichtbaar worden vastgelegd.

Nvt

Geen bevindingen

Risico / Gevolg jaarrekeningcontrole

Het risico bestaat dat ongeautoriseerde personen toegang kunnen krijgen tot het netwerk en de applicaties waarbij sprake is van Single Sign-On.

Het risico bestaat dat bedoelde functiescheiding binnen het netwerk en daardoor in potentie ook tot de applicatie wordt doorbroken. Gebruikers met hoge rechten kunnen gebruikers aanmaken en rechten en rollen toekennen, waardoor functiescheiding kan worden omzeild. Voor de jaarrekeningcontrole heeft dit tot gevolg niet op autorisaties op het netwerk kan worden gesteund.

Nvt

Geen impact op de jaarrekeningcontrole.

Aanbeveling

Vanuit jaarrekeningcontrole en SSO-perspectief adviseren wij om wachtwoordverloop toe te passen op alle accounts (behalve serviceaccounts) en dit te implementeren en te bewaken.

Wij adviseren om een functieautorisatiematrix op te stellen (SOLLpositie) en het zichtbaar vastleggen van de periodieke controle. Op basis van de functie-autorisatiematrix kunnen de ingerichte autorisaties op netwerkniveau periodiek worden gecontroleerd (IST).

Nvt

Actualiteiten

Bijlagen

Management Samenvatting

5. Bijlage C – Detailbevindingen IT Beheersing (2) Detailbevindingen IT beheersing – Key2Financien

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Authenticatie ●

Autorisatie ●

Wijzigingsbeheer ●

Continuïteit ●

Constatering

Voor Key2Financiën geldt dat gebruikers inloggen op basis van Single Sign-On. Hierdoor is het wachtwoordbeleid van het netwerk relevant. Er zijn geen accounts uitgezonderd van het periodiek wijzigen van het wachtwoord met toegang tot de applicatie. De authenticiteit van gebruikers is hiermee geborgd.

De hoge rechten voor Key2Financiën voor het muteren van gebruikers zijn belegd bij onafhankelijke functionarissen. Middels inlichtingen hebben wij vernomen dat periodieke controle op gebruikersrechten zijn ingepland in het najaar van 2025. Dit wordt uitgevoerd op basis van een formeel vastgestelde functie-autorisatie matrix. Wij hebben dit niet kunnen toetsen omdat die controlkes plaatsvinden na onze IT-werkzaamheden. Middels inlichtingen hebben wij vernomen dat alleen IT-medewerkers en de leverancier toegang hebben tot de database. Na onze bespreking hiervan op 2 oktober 2025, is aanvullende documentatie aan ons verstrekt wat dit onderbouwt. Wij hebben , het toetsen op de juistheid en volledigheid van toegang tot de database via de documentatie en een verificatiegesprek nog niet kunnen uitvoeren.

Er is sprake van een gestructureerde procedure voor het testen en documenteren van versiewijzigingen. Op basis van onze werkzaamheden zijn er geen bevindingen geconstateerd welke impact hebben op de jaarrekening-controle.

Geen bevindingen

Risico / Gevolg jaarrekeningcontrole

Voor de jaarrekeningcontrole zien wij geen risico en heeft dit tot gevolg dat wij op authenticatie in de applicatie kunnen steunen

Het risico bestaat dat rechten gedurende de controleperiode niet belegd zijn geweest bij onafhankelijke functionarissen, of in de toekomst verkeerd belegd kunnen worden. Voor de jaarrekeningcontrole heeft dit tot gevolg dat wij niet op autorisaties in de applicatie kunnen steunen.

Op basis van onze werkzaamheden zijn er geen bevindingen geconstateerd welke impact hebben op de jaarrekeningcontrole.

Aanbeveling

N.v.t.

Wij bevelen aan om op basis van de functieautorisatiematrix de ingerichte autorisaties uit de applicatie periodiek te controleren en dit vast te leggen.

N.v.t.

Voorbereiding Jaarrekeningcontrole

Actualiteiten

Bijlagen

Management Samenvatting

5. Bijlage C – Detailbevindingen IT Beheersing (3) Detailbevindingen IT beheersing – Youforce

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Voorbereiding Jaarrekeningcontrole

Actualiteiten

Authenticatie ●

Autorisatie ●

Wijzigingsbeheer ●

Continuïteit ●

Constatering

Buiten scope

De leverancier rapporteert jaarlijks over de interne beheersing in de vorm van een ISAE3402 verklaring. Uit inlichtingen hebben wij vernomen dat er geen formele procedure is ingericht omtrent het wijzigingsbeheer en dat de ISAE-verklaring niet aantoonbaar wordt geëvalueerd om vast te stellen, in hoeverre wijzigingen op een beheerste wijze worden doorgevoerd. Daarnaast is het voor u van belang om de maatregelen (UEC's) te identificeren die onder de verantwoordelijkheid van de gebruikersorganisatie vallen.

Geen bevindingen.

Risico / Gevolg jaarrekeningcontrole

N.v.t.

Risico is dat bevindingen of verantwoordelijkheden uit de ISAE-rapportage van Youforce niet tijdig worden opgepakt. Voor de jaarrekeningcontrole zullen wij daarom extra werkzaamheden uitvoeren door de ISAE-3402 verklaring van 2025 te analyseren.

Aanbeveling

N.v.t.

Wij adviseren de ISAE-3402 verklaring van Youforce jaarlijks aantoonbaar te beoordelen en verantwoordelijkheden van de gebruikersorganisatie tijdig te adresseren en te beheersen.

N.v.t.

Bijlagen

Management Samenvatting

5. Bijlage C – Detailbevindingen IT Beheersing (4) Detailbevindingen IT beheersing – Civision Samenlevingszaken

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

Authenticatie ●

Autorisatie ●

Wijzigingsbeheer ●

Continuïteit ●

Constatering

Voor Civision Samenlevingszaken loggen gebruikers in op basis van Single Sign-On. Hierdoor is het wachtwoordbeleid van het netwerk relevant. Wij hebben vastgesteld dat er geen accounts zijn uitgezonderd van het periodiek wijzigen van het wachtwoord met toegang tot de applicatie. De authenticiteit van gebruikers is hiermee voldoende geborgd.

Voor Civision Samenlevingszaken zijn de hoge rechten voor het muteren van gebruikers beperkt tot onafhankelijke functionarissen. Er vindt zichtbare periodieke controle plaats op de juiste toepassing van gebruikersrechten o.b.v. een formeel vastgestelde functieautorisatie matrix. Middels inlichtingen hebben wij vernomen dat alleen ITmedewerkers en de leverancier toegang tot de database hebben. Wij hebben dit besproken op 2 oktober 2025 en naderhand is er aanvullende documentatie opgeleverd.

WIj hebben geconstateerd dat er sprake is van een gestructureerde procedure voor het testen en documenteren van versiewijzigingen. Op basis van onze werkzaamheden zijn er geen bevindingen geconstateerd welke impact hebben op de jaarrekeningcontrole

Geen bevindingen

Risico / Gevolg jaarrekeningcontrole

Voor de jaarrekeningcontrole zien wij geen risico en heeft dit tot gevolg dat wij op authenticatie in de applicatie kunnen steunen

Het risico bestaat dat applicatiegebruikers ongeautoriseerde toegang hebben tot de database. Voor de jaarrekeningcontrole heeft dit tot gevolg dat wij niet op autorisaties in de applicatie kunnen steunen

Op basis van onze werkzaamheden zijn er geen bevindingen geconstateerd welke impact hebben op de jaarrekeningcontrole.

Aanbeveling

Nvt

Wij adviseren om de periodieke controle met betrekking tot rollen en rechten ook op databaseniveau zichtbaar vast te leggen.

Nvt

Voorbereiding Jaarrekeningcontrole

Actualiteiten

Bijlagen

Management Samenvatting

5. Bijlage C – Detailbevindingen IT Beheersing (5) Logische toegangsbeveiliging Wij onderscheiden vijf bouwstenen ten aanzien van toegangsbeveiliging. De bouwstenen leveren gestapeld, naast een sterke IT-beheersing, ook de meeste controlezekerheid op. Beperkingen in de onderliggende steen zorgen voor een verzwakking van de bovenliggende stenen. Onderstaand zijn de bouwstenen

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

schematisch weergegeven.

Authenticatie.

Autorisatie

Voorbereiding Jaarrekeningcontrole

Beheersen mutaties Gewenste situatie Hoge rechten Actualiteiten

Wachtwoorden Database

Bijlagen

Basis voor toegangsbeveiliging van een applicatie is dat de applicatie de enige toegangspoort is en dat niet rechtstreeks op de database gemuteerd kan worden.

Sterke, regelmatig wijzigende wachtwoorden voor applicaties en databases zijn de basis voor toegangsbeveiliging, samenhangend met bewustzijn bij medewerkers.

Voor het beheersen van autorisaties is het cruciaal dat de rechten tot het aanpassen van rechten zijn beperkt tot medewerkers die geen belang hebben bij aanpassingen.

Iedere organisatie zal moeten bepalen wat de ‘SOLL-positie’ is ten aanzien van rechten, met name gericht op kritische functiescheidingen.

Wanneer de gewenste situatie is ingericht, verwachten wij een beheerst proces ten aanzien van het toekennen, ontnemen en wijzigen van rechten, inclusief monitoring en controle.

Management Samenvatting

5. Bijlage C – Detailbevindingen IT Beheersing (6) Wijzigingsbeheer Bij het doorvoeren van wijzigingen in software-omgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat wijzigingen een proces doorlopen, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Onderstaand

Beheersing Kwaliteit interne IT

Kwaliteit interne Beheersing & IT

hebben wij per fase onze verwachting aangegeven. Onder wijzigingen verstaan wij niet alleen nieuwe versie updates, maar ook aanpassingen in (kritieke) systeemconfiguraties.

Proces

Verwachting

Risicoinschatting

Voor iedere softwarewijziging is het relevant om te beoordelen wat de risico’s zijn die de wijziging met zich meebrengt voor de hoofdprocessen. Daarnaast moet beoordeeld worden welke geïdentificeerde technische en organisatorische wijzigingsrisico’s er spelen bij het uitvoeren van de change, in het bijzonder wanneer er sprake is van maatwerk. Hiermee beoordeelt u per wijziging welke nieuwe of

Voorbereiding Jaarrekeningcontrole

gewijzigde functionaliteit een risico vormt voor een goede werking van uw bedrijfsvoering.

Opstellen testplan en aanpak

Vanuit de geïdentificeerde risico’s kan een testplan worden gemaakt, waarin de te testen elementen van de software benoemd zijn evenals de inhoudelijk uit te voeren testwerkzaamheden op deze elementen. Belangrijke elementen hierin zijn go/no-go momenten, het maken van een back-up voor implementatie, een fall-back scenario in het geval een implementatie mislukt en het definiëren van de impact op de organisatie (denk bijvoorbeeld aan het opleiden van medewerkers).

Actualiteiten

Testen en documenteren

Softwarewijzigingen kunnen gestructureerd worden getest na het correct uitvoeren van de voorgaande twee stappen. Het maken van een gedegen vastlegging van testwerkzaamheden is van belang voor de aantoonbaarheid en controleerbaarheid van de uitgevoerde stappen. Daarnaast kan de vastlegging van testwerkzaamheden een belangrijke bron van informatie zijn als er onverhoopt na het doorvoeren van de wijziging toch verstoringen van uw bedrijfsvoering optreden.

Bijlagen

Gebruikersacceptatie

Een wijziging is pas effectief als deze niet alleen is geaccepteerd vanuit een technisch oogpunt, maar ook vanuit de gebruikersorganisatie. Wij verwachten daarom een formele goedkeuring vanuit de gebruikersorganisatie, zowel voor implementatie als na de implementatie. Het kan natuurlijk ook voorkomen dat het nodig is om gebruikers te informeren over bijzonderheden als gevolg van de wijziging, zoals veranderingen in de werkwijze of aandachtspunten bij het gebruik van de applicatie.

Kantoorgegevens Baker Tilly Rozenburglaan 15-3 9727 DL Groningen T +31 (0) 88 804 7900

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Emmen&id=fca2345a-3d6b-48c2-ad84-bd84bb9efd25