Managementletter 2024 e250001027 (geanonimiseerd)

,

,

,

30

Corporate Sustainability Reporting Directive (CSRD) Inleiding

Inleiding Inhoudsopgave

Inhoudsopgave Management -samenvatting

Management samenvatting Belangrijkerisico’s

Belangrijke risico’s Procesbeheersing

De Global Goals zijn 17 door de VN gedefinieerde doelstellingen gericht op het realiseren van een duurzame en inclusieve samenleving (de zogenaamde “SDG doelstellingen”). Doelstellingen die aansluiten op de rol taken en verantwoordelijkheden van gemeenten. Doelstellingen die uitdagen tot samenwerking binnen en tussen gemeenten maar zeker ook vragen om samenwerking met het bedrijfsleven. ,

,

Hoewel duurzaamheid in meer of mindere mate al een onderwerp is binnen de gemeente is het (integraal) toepassen ervan veelal een uitdaging. Aspecten die hierbij een rol spelen zijn: ,

Over de verschillende aspecten van duurzaamheid te rapporteren (mens milieu en governance)

,

Te verkennen waar de verantwoordelijkheid en impact van de gemeente start en stopt

•

Het voordeel van samenwerking tussen overheid onderwijs (“triple helix”)

•

Daarmee het gesprek intern te voeren en te komen tot een actieplan duurzaamheid

•

Samenwerken (intern):

•

Hoe zorg je dat het duurzaamheidsvraagstuk een vraagstuk van de gehele gemeente is en niet van een aantal domeinen? Hoe werk je samen om het gemeenschappelijk doel te bereiken?

,

,

ondernemingen en

•

Planning & Control:

•

Denken vanuit (meervoudige) waarden voor je organisatie (mens

Bijlagen

en

,

milieu

financieel)

•

Hoe meet je impact van duurzaamheidsmaatregelen?

•

Hoe zorg je dat duurzaamheid een integraal onderdeel binnen de programmabegroting wordt?

Hoewel bovenstaande aspecten een rol (gaan) spelen zou het zinvol zijn te starten met een vorm van duurzaamheidsverslaggeving. We merken dat deze behoefte nadrukkelijk binnen de publieke sector bestaat en inmiddels zorginstellingen en onderwijsinstellingen al van start gaan met het kunnen verantwoorden het thema duurzaamheid. ,

Managementletter2024 Gemeente Ermelo

•

•

Actualiteiten

Bijlagen

,

Het belang van een nieuwe balans tussen economische ecologische en sociale ontwikkeling

Detailbevindingen

Actualiteiten

Hiertoe wordt veelal de vrijwillige duurzaamheidsverslaggeving (“VSME”) gehanteerd die speciaal ontwikkeld is voor het MKB. Dit is een zeer beknopte versie van de Europese duurzaamheidsverslaggeving (“CSRD”). Het is een vertrekpunt om:

•

IT-audit Detailbevindingen

,

Samenwerken (extern):

Procesbeheersing IT-audit

Deze instellingen hebben net als gemeenten nog geen (wettelijke) verplichting ten aanzien van duurzaamheidsverslaggeving maar deze verplichting zal er op (korte) termijn naar verwachting wel komen (mede vanwege de behoefte aan het gelijke speelveld tussen private en publieke sector).

In de praktijk merken wij gebaseerd op inmiddels ruim 10 ondersteuningstrajecten CSRD bij bedrijven dat alleen al het bewust worden van de discrepantie tussen jouw huidige positie binnen de (waarde)keten en de gewenste/verwachte positie een belangrijke uitkomst is van het proces om te komen tot een eerste duurzaamheidsverslag. Het leidt in veel gevallen dan ook tot een concreet actieplan duurzaamheid voor de komende jaren. ,

,

Overigens komen de elementen van de VSME (o. a. materialiteitsanalyse stakeholderdialoog) ook terug in de CSRD. Daarmee is de VSME een goede ,

opstap om te komen tot een eerste duurzaamheidsverslag. Wachten op de sector met betrekking tot duurzaamheids-verslaggeving specifiek voor gemeenten lijkt daarmee niet langer een optie.

31

BIO2 , NIS2 en ENSIA IT-audit Inleiding

Inleiding

•

Met de recente ontwikkelingen op het gebied van informatiebeveiliging binnen de overheid willen wij u op de hoogte brengen van de veranderingen die een impact zullen hebben op uw gemeente. Deze ontwikkelingen zijn met name relevant voor de inrichting van risicomanagement de ENSIA IT-audit en de algemene naleving van de nieuwe wet- en regelgeving met betrekking tot informatiebeveiliging. Hieronder beschrijven wij de belangrijkste aandachtspunten en wat dit voor uw organisatie betekent. ,

Inhoudsopgave

Inhoudsopgave Management -samenvatting

Management samenvatting Belangrijkerisico’s

Belangrijke risico’s Procesbeheersing

Procesbeheersing

In augustus 2024 is de vernieuwde Baseline Informatiebeveiliging Overheid (BIO2) officieel gelanceerd. Deze vernieuwde versie komt voort uit een grondige evaluatie van de huidige BIO en introduceert de eisen van de NIS2richtlijn binnen de overheid. Het doel van BIO2 is om informatiebeveiliging binnen alle lagen van de overheid te verbeteren en te uniformeren waardoor een veiliger digitale omgeving ontstaat. Een belangrijk aspect van BIO2 is de vereenvoudiging van de maatregelen en voorschriften waarbij bijna 60% van de eerdere voorschriften zijn gereduceerd. Dit maakt het voor overheidsorganisaties eenvoudiger om te voldoen aan de eisen zonder in te boeten op de kwaliteit van de beveiliging. Daarnaast worden er drie Basisbeveiligingsniveaus (BBN) los gelaten. Uit de evaluatie van de BIO blijkt dat het toepassen van de BBN’s in de hand werkt dat de focus op het classificeren van de individuele systemen op BBN kwam te liggen en daardoor minder op algemeen risicomanagement en de specifieke risico’s ,

IT-audit

IT-audit

,

Detailbevindingen

Detailbevindingen Actualiteiten

Actualiteiten Bijlagen

Bijlagen

,

voor informatiesystemen.

Managementletter2024 Gemeente Ermelo

,

informatiebeveiligingsbeleid. •

Er is een duidelijke reductie in het aantal voorschriften wat de implementatie eenvoudiger maakt maar tegelijkertijd vraagt om een scherpere focus op maatwerkbeveiliging en het naleven van de kernmaatregelen. ,

,

NIS2 – Europese Richtlijn voor Cyberweerbaarheid Vanaf januari 2025 zal de Europese NIS2-richtlijn (Network and Information Security) in werking treden. Deze regelgeving is van cruciaal belang voor alle overheidsorganisaties en vitale sectoren omdat het hen verplicht om hun cyberweerbaarheid verder te versterken. De exacte implementatiedatum wordt later bevestigd maar het is belangrijk dat gemeenten zich hier tijdig op voorbereiden. ,

,

BIO2 fungeert als het normenkader voor gemeenten om aan de eisen van de NIS2-richtlijn te voldoen. Dit betekent dat uw gemeente niet alleen moet voldoen aan de eisen die specifiek door BIO2 worden gesteld maar ook aan de bredere Europese verplichtingen rondom netwerk- en informatiebeveiliging. Deze nieuwe ,

kaders zullen naar verwachting een aanzienlijke impact hebben op de wijze waarop uw gemeente haar digitale veiligheid organiseert. Een ander belangrijk aspect van de NIS2-richtlijn is de verplichting om incidenten tijdig te rapporteren aan bevoegde autoriteiten. Dit vereist dat gemeenten een goed ingericht incidentresponsproces hebben waarbij ze snel kunnen reageren op cyberaanvallen of datalekken en deze binnen een gestelde termijn rapporteren. Dit zal leiden tot een betere coördinatie tussen gemeenten en nationale of Europese instanties op het gebied van cyberveiligheid. ,

Wat betekent dit voor uw gemeente? •

De rol van bestuurders wordt versterkt wat betekent dat zij een grotere verantwoordelijkheid zullen dragen in het vormgeven en bewaken van het

BIO2 richt zich sterk op risicomanagement waardoor u als gemeente uw informatiebeveiligingsbeleid op basis van risicoanalyses dient in te richten. ,

32

Aanpassing van de ENSIA IT-audit Inleiding

Inleiding Inhoudsopgave

Inhoudsopgave Management -samenvatting

Een ingrijpend gevolg van de invoering van BIO2 is de herziening van de ENSIA IT-audit. Voor uw gemeente betekent dit dat de jaarlijkse verantwoording op het gebied van informatiebeveiliging een nieuwe structuur en aanpak vereist. De ENSIA-audit zal moeten worden aangepast om te voldoen aan de eisen van BIO2 wat vraagt om een meer op risico’s gebaseerde benadering.

Wij raden aan om op korte termijn de verantwoordelijkheden rondom informatiebeveiliging opnieuw te evalueren en in te richten en waar nodig bij te sturen. Door proactief aan de slag te gaan met deze ontwikkelingen zorgt uw gemeente ervoor dat zij tijdig voldoet aan de eisen van zowel de BIO2 als de NIS2-richtlijn en voorkomt u mogelijke knelpunten in het auditproces. ,

,

,

,

Management samenvatting Belangrijkerisico’s

Belangrijke risico’s

Wat vraagt dit van uw gemeente? •

Procesbeheersing

Een intensievere samenwerking tussen uw interne controleafdelingen en de externe IT-auditors met als doel om een toekomstbestendige verantwoording op het gebied van informatiebeveiliging te waarborgen. ,

Procesbeheersing •

IT-audit

IT-audit Detailbevindingen

Detailbevindingen Actualiteiten

Actualiteiten

De verwachting is dat deze veranderingen niet alleen van invloed zullen zijn op de rapportage maar ook op de manier waarop informatiebeveiligingsrisico's binnen de organisatie worden gemonitord en aangepakt. ,

Conclusie en Advies De invoering van BIO2 de komst van de NIS2-richtlijn en de aanpassing van de ENSIA IT-audit vragen om een grondige herziening van uw informatiebeveiligingsbeleid. Wij adviseren u om zo spoedig mogelijk te starten met de implementatie van de benodigde maatregelen. Vanuit Eshuis IT-audit & Assurance kunnen wij u ondersteunen bij de inrichting van deze processen de aanpassing van de verantwoording en het uitvoeren van de ENSIA IT-audit volgens de nieuwe kaders. ,

Bijlagen

Bijlagen

,

Managementletter2024 Gemeente Ermelo

33

PE

Eshuis

Bij lagen K

AN

AN

N

NS

ZN:

(geanonimiseerd) Per saldo

persoonlijker

NN

RN SEANRON Ns

®

\

Wij zijn onafhankelijk van de gemeente Ermelo

Inleiding

Inleiding Inhoudsopgave

Inhoudsopgave Management -samenvatting

Management samenvatting

De voorschriften in het kader van onafhankelijkheid zijn binnen de Koninklijke Nederlandse Beroepsorganisatie van Accountants (de NBA) opgenomen in de “Verordening inzake Onafhankelijkheid (ViO)” en vormen een belangrijk onderdeel van het ‘normenkader’ waaraan een accountant moet voldoen. De naleving van de ViO is binnen de organisatie van Eshuis ingebed.

Ons zijn geen relaties bekend tussen Eshuis Registeraccountants B. V. en haar zuster- en of dochterondernemingen en de gemeente die naar ons professionele oordeel mogelijk van invloed kunnen zijn op onze onafhankelijkheid. ,

Belangrijkerisico’s

Belangrijke risico’s Procesbeheersing

Procesbeheersing IT-audit

IT-audit Detailbevindingen

Detailbevindingen Actualiteiten

Actualiteiten

Stelsel van waarborgen om onze onafhankelijke positie te waarborgen Eshuis beschikt over een stelsel van maatregelen om haar onafhankelijke positie bij controlecliënten te waarborgen. Dit stelsel van maatregelen is een integraal onderdeel van de bestuurlijke organisatie en van het voor de gehele organisatie van toepassing zijnde stelsel van kwaliteitsbeheersingsmaatregelen. Bijgaande nietlimitatieve opsomming geeft u een indruk van de maatregelen die bijdragen aan het waarborgen van onze onafhankelijke positie: •

Schriftelijke onafhankelijkheidsbepalingen waarin alle bestaande onafhankelijkheidsvereisten en de risico’s ten aanzien van de bedreiging van de onafhankelijkheid en de daaraan gerelateerde waarborgen zijn verwerkt.

•

Procedures voor tijdige bekendmaking van de voorschriften en de daarin aangebrachte wijzigingen aan alle partners en werknemers bij Eshuis.

•

Procedures voor de organisatie van periodieke trainingen inzake de toepassing van de onafhankelijkheidsvoorschriften.

•

Procedures die erop gericht zijn dat onze partners en werknemers in specifieke casussen en omstandigheden de onafhankelijkheidsvoorschriften naleven.

•

Procedures voor het interne toezicht in relatie tot de toetsing en bewaking van de naleving van de onafhankelijkheidsvoorschriften.

Bijlagen

Bijlagen

Managementletter2024 Gemeente Ermelo

35

Inleiding

Inleiding

Volledigheidshalve merken wij op dat onze analyse en evaluatie is uitgevoerd in het kader van de door u verstrekte opdracht tot controle van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking die relevant is voor het opmaken van de jaarrekening en voor het getrouwe beeld daarvan gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden. Deze risico-inschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. ,

Inhoudsopgave

Inhoudsopgave Management -samenvatting

Management samenvatting Belangrijkerisico’s

Belangrijke risico’s

,

Hierdoor is onze analyse en evaluatie beperkter dan dat deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet het bestaan de effectiviteit en de efficiency van de interne beheersing als geheel en deze bestrijkt daarom niet noodzakelijkerwijze alle in de interne organisatie vervatte tekortkomingen. Wij attenderen u erop dat deze managementletter is opgesteld ten behoeve van het college van de gemeente en daarom niet zonder onze toestemming aan derden mag worden verstrekt. ,

,

Procesbeheersing

Procesbeheersing

.

IT-audit

IT-audit Detailbevindingen

Detailbevindingen Actualiteiten

Actualiteiten Bijlagen

Bijlagen

Managementletter2024 Gemeente Ermelo

36