Boardletter 2024 e250001030 (geanonimiseerd)
Tekst van het document
Registeraccountants
Spoetnik 42
Aan de gemeenteraad van de Gemeente Ermelo Postbus 1 3890 AA Ermelo
3824 MG
Amersfoort
Postbus 206 7600 AE
Almelo
Tel. 088-500 95 00 E-mail info @eshuis.com
Datum:
29 november 2024
Betreft:
Boardletter 2024
Geachte raad
,
U ontvangt van ons de boardletter 2024. Dit betreft een samenvatting van de uitgebrachte managementletter 2024. In deze boardletter hebben wij de belangrijkste boodschappen vanuit de managementletter samengevat om u een zo goed mogelijk beeld te geven over de kwaliteit van uw administratie organisatie en interne beheersing met inbegrip van de IT-omgeving. Algemene indruk We hebben vanuit een prettige samenwerking de interim-controle succesvol afgerond. Ons algemene beeld is dat de kwaliteit van de AO/IB voor nu van voldoende niveau is om een controle uit te voeren op de getrouwheid van de jaarrekening over boekjaar 2024. Dit zal een gegevensgerichte controle worden. Ondanks ons algemene beeld hebben wij gemerkt dat in onze vier jaar van dienstverlening het opvolgen van detailbevindingen moeizaam gaat. Daarmee blijft de kwaliteit en effectiviteit van de AO/IB op bepaalde onderwerpen kwetsbaar en blijft doorontwikkeling uit. Wij hebben een doorkijk gemaakt waar dit in zit. In onze analyse komen wij vooral uit op een inrichtingsvraagstuk waarbij strakke werkverdeling tussen gemeente en Meerinzicht in de kern ervoor zorgt dat innovatie moeilijk van de grond komt. ,
De gemeente heeft een aanzienlijk deel van de processen aan GR Meerinzicht uitbesteed. Deze processen vallen echter wel onder de verantwoordelijkheid van de gemeente omdat de taken aan Meerinzicht zijn gemandateerd maar niet gedelegeerd. Wij signaleren dat voor uw interne beheersing een noodzaak is tot verandering en (door)ontwikkeling. Doorontwikkeling vraagt een visie en daarna een uitvoering door mensen die verstand hebben van de materie. U heeft de inhoudelijke kennis ondergebracht bij Meerinzicht. De beleidsvisie moet echter van de gemeente komen want strikt formeel is Meerinzicht daar niet toe bevoegd. De algemene visie is bij de gemeente aanwezig maar de specifieke technische details liggen grotendeels bij Meerinzicht. Wij zien in de praktijk dat juist door deze scheidslijnen het ontwikkelen van een toekomstvisie blijft liggen in het ‘niemandsland’ tussen de gemeente en Meerinzicht. Wij zien dit specifiek voor het ontwikkelen van een visie op de rol en het belang van IT-beheersingsmaatregelen en IT-beveiligingsmaatregelen. De NIS2-protocollen en vereisen voor meerdere systemen binnen uw gemeente aanvullende beheersingsmaatregelen die kennis van zowel de inhoudelijk als technische medewerkers vraagt. ,
,
Eshuis Registeraccountants BV
Algemene voorwaarden / Handelsregister K. v. K. Enschede nr. 08151214
Lid van het
Alles in aanmerking nemend snappen wij dat dit voor u een inrichtingsvraagstuk is dat u niet op korte termijn kan oplossen. Dit lijkt ons echter wel een mooie aanleiding om de samenwerking met Meerinzicht te versterken en naar een volgende stap te brengen. De belangrijkste bevindingen We hebben ten aanzien van voorgaand jaar één nieuwe bevinding. Wij hebben geconstateerd dat de betaalorganisatie kwetsbaar is doordat afgedwongen 4-ogenprince ontbreekt. Dit brengt een (fraude)risico op onjuiste dan wel onrechtmatige betalingen met zich mee. Wij hebben de organisatie gevraagd hier passende maatregelen op te treffen waaronder het herzien van het procuratieschema van de bank en een interne controle op de juistheid en rechtmatig van de betalingen over afgelopen boekjaar. Als auditrespons verhogen wij het risico op betalingen en zullen wij passende gegevensgerichte werkzaamheden uitvoeren per jaareinde. ,
,
De kwaliteit van de AO/IB Zoals hierboven geschetst is de kwaliteit van de AO/IB van voldoende niveau. We zouden echter uw accountant niet zijn als we geen ruimte zien voor verbetering. Daarin doen wij ook een beroep op het gewenste ambitieniveau binnen de organisatie waarvoor wij verwijzen naar de bovenstaande analyse over de samenwerking met Meerinzicht. ,
Een belangrijk terugkomend onderwerp t. a. v. de kwaliteit van de AO/IB betreft de naleving van het inkoopproces en de kwaliteit van de inkoop- en betaalomgeving. Het waarborgen van rechtmatige inkopen blijft voor lokale overheden een voortdurende uitdaging en dit geldt ook voor uw gemeente. Factoren zoals een decentraal inkoopmodel een groot aantal leveranciers en projecten en frequente personeelswisselingen dragen bij aan deze complexiteit. Er zijn inmiddels diverse acties ingezet om met name de onterecht aanbestede contracten op korte termijn worden opgelost. U verwacht dit voor het einde van 2024 te kunnen doen. Wij hebben dit bij de interim 2024 nog niet kunnen toetsen. ,
Wel blijkt dat in de praktijk de realiteit weerbarstig is door bovengenoemde factoren. Het oplossen van de individuele contracten adresseert het onderliggende inrichtingsvraagstuk nog niet. Voor de gemeente Ermelo brengt dit verschillende risico’s en actiepunten met zich mee. In de managementletter hebben wij enkele observaties opgenomen vergezeld van aanbevelingen om uw gemeente te ondersteunen bij het aanpakken van deze uitdagingen. Deze aanbevelingen richten zich zowel op preventieve maatregelen als op het verbeteren van de datakwaliteit en informatievoorziening met betrekking tot huidige- als toekomstige inkopen. ,
IT-omgeving In het kader van de jaarrekeningcontrole over het boekjaar 2024 heeft Eshuis IT-audit werkzaamheden uitgevoerd met betrekking tot de opzet en het bestaan van de algemene ICT beheersmaatregelen binnen de automatiseringsomgeving van de gemeente Ermelo zoals belegd bij GR Meerinzicht. Wij hebben daarbij uitsluitend die maatregelen getest die het meest relevant zijn in het kader van de jaarrekeningcontrole. In overleg met u rapporteren wij de gedetailleerde uitkomsten van onze IT audit uitsluitend in de managementletter gericht aan GR Meerinzicht. Wij verwijzen dan ook naar die managementletter voor de resultaten van onze audit. In deze boardletter geven wij hierover een korte samenvatting. De gemeente heeft een aanzienlijk deel van de processen aan GR Meerinzicht uitbesteed. Deze processen vallen echter wel onder de verantwoordelijkheid van de gemeente en zijn daarmee blijvend onderdeel van de 2 ,
rechtmatigheidsverantwoording noodzaak door
is tot
Ermelo aanwezig,
praktijk
dat
maar
hebben
de
specifieke
bij het ontwikkelen
van
Wij zien dit
beheersingsmaatregelen
en
uw
GR aanvullende
de materie.
van
gezet dienen te worden. binnen
Wij signaleren dat voor De
algemene
technische details
een
specifiek
voor
deze
De
van
een
visie
die kennis
van
doorontwikkeling volgens
ons
daarna IT is
bij
een
uitvoering
de gemeente
Meerinzicht. Wij zien in de en
Meerinzicht nog stappen
visie op de rol
inhoudelijke
in lijn met de
voor
en
het
belang
meerdere
beweging
naar
een
belegd liggen bij de
GR Meerinzicht, de mede
de NIS2.
IT-beheersingsmaatregelen
en
de
IT-
als technische
die
de
in van
systemen
aan
aan
(geanonimiseerd)
en
van
een
(als opdrachtgever) om
de BIO2-norm
verplichting
gebied
beheersing
Ermelo
aandacht te hebben
te voldoen
een
zowel
binnen de organisatie. Wij vragen de gemeente
Hoogachtend,
het
NIS2-protocollen vereisen
datagedreven werkwijze van
interne
liggen grotendeels bij
het ontwikkelen
beheersingsmaatregelen, ligt
visie op
toekomstvisie tussen de gemeenten
IT-beveiligingsmaatregelen.
medewerkers vragen. Daarnaast
komst
uw
verandering en (door)ontwikkeling. Doorontwikkeling vraagt
die verstand
mensen
door de gemeente.
meer
met
de