UIT 20220322 2205097 gemeente Geertruidenberg ML 2021 (002).pdf

22 maart 2022

MANAGEMENTLETTER 2021

Gemeente Geertruidenberg

Aanbiedingsbrief

Aan:

Geacht college,

het college van B&W van Gemeente Geertruidenberg Postbus 10001 4941 GA RAAMSDONKSVEER

In het kader van de aan ons verstrekte opdracht tot controle van de jaarrekening 2021 van de gemeente Geertruidenberg brengen wij u met deze managementletter verslag uit over onze bevindingen naar aanleiding van onze interim-controle. Voor een nadere omschrijving van onze opdracht, de reikwijdte en aanpak van onze controle en overige afspraken verwijzen wij naar onze opdrachtbevestiging.

Tilburg, 22 maart 2022 Kenmerk: DMe/StH/CWi/1051924/2205097

In deze rapportage richten wij ons met name op mogelijke verbeterpunten in de bedrijfsvoering en de processen die wij hebben onderzocht in het kader van de controle van de jaarrekening en onze nulmeting. Onze managementletter is daarom van nature kritisch van aard. Dit heeft tot doel een bijdrage te leveren aan de interne beheersing en het zelf controlerend vermogen van uw organisatie. Als gevolg van de aanhoudende coronacrisis zijn wij niet in staat geweest om bij u op locatie te komen waardoor we veel digitaal hebben moeten afstemmen. Ondanks de minder persoonlijke en directe contacten is de interim-controle en samenwerking goed verlopen. Wij vertrouwen erop u met deze managementletter naar aanleiding van onze interim-controle 2021 van dienst te zijn geweest. Wij willen de organisatie bedanken voor de prettige samenwerking en zijn vanzelfsprekend graag bereid een nadere toelichting te verstrekken. Hoogachtend,

Ter informatie De digitale versie van dit document is vanaf de inhoudsopgave interactief. Aan de hand van de navigatiebalk onderaan de pagina en/of de menustructuur bovenaan de pagina kan door het document genavigeerd worden. VORIGE PAGINA

VOLGENDE PAGINA

INHOUDSOPGAVE

DASHBOARD

BDO Audit & Assurance B.V. namens deze,

drs. D.O. Meeuwissen RA Partner en externe accountant Gemeente Geertruidenberg

Inhoudsopgave

1. DASHBOARD

2. ONTWIKKELINGEN & AANDACHTSPUNTEN

4. INFORMATIEBEVEILIGING

5. BEVINDINGEN INTERNE CONTROLE

3. BEVINDINGEN SIGNIFICANTE PROCESSEN

4

1. Dashboard

1.1 Dashboard interim-controle

1.1 Dashboard interim-controle RECHTMATIGHEIDSVERANTWOORDING 2022



De invoering van de rechtmatigheidsverantwoording per 2022 staat voor 2022 op de agenda van de Tweede Kamer.



De gemeenteraad dient zelf een aantal keuzes te maken, waaronder het vaststellen van het grensbedrag (0%-3%) en de rapporteringstolerantie. Wij adviseren het grensbedrag gelijk te stellen aan de materialiteit voor de jaarrekeningcontrole (1%) en de rapporteringstolerantie op 5% van de materialiteit.



Doordat de behandeling van de rechtmatigheidsverantwoording meerdere keren is uitgesteld, is de stand van zaken met betrekking tot de invoering ongewijzigd ten opzichte van vorig jaar. De organisatie heeft de verdere behandeling van de invoering van de rechtmatigheidsverantwoording na de gemeenteraadsverkiezingen op de agenda staan.



Met de publicatie van de kadernota rechtmatigheid 2022 kan de organisatie verdere invulling geven aan de rechtmatigheidsverantwoording.

BEVINDINGEN SIGNIFICANTE PROCESSEN

5

FRAUDERISICOBEHEERSING





ONTWIKKELINGEN IN HET SOCIAAL DOMEIN

De komende jaren zal vanuit de accountantscontrole nog nadrukkelijker aandacht worden gegeven aan fraudepreventie, waarbij ook de rol van bestuurders en toezichthoudende organen zoals de gemeenteraad bij het voorkomen en detecteren van fraude aan de orde komt. Dit vraagt om actief toezicht op risico’s en beheersmaatregelen ter voorkoming van fraude. Frauderisico beslaat eveneens de gemeenteraad, ook bij raadsleden kunnen integriteitsissues voorkomen.



De ontwikkelingen in het sociaal domein spelen zowel landelijk als regionaal.



Binnen Wmo-begeleiding is, net als bij huishouding, een manier van beschikken waarin de hoeveelheid en naar tijdseenheden bepaalde maatschappelijke ondersteuning ontbreekt in strijd is met het rechtszekerheidsbeginsel. Dit punt wordt regionaal opgepakt.

De gemeente heeft in het kader van integriteit diverse kaders en regelingen opgesteld. Er wordt echter niet structureel gerapporteerd aan de gemeenteraad of audit commissie. Bij het actualiseren van de frauderisicoanalyse dient aandacht te worden besteed aan onder andere de verantwoordelijkheden en termijnen voor de opvolging van aanbevelingen.



Vanaf 1 januari 2022 wijzigt het begrip Woonplaatsbeginsel in de Jeugdwet, waardoor de woonplaats waar de jeugdige staat ingeschreven op het moment van de zorgvraag leidend is. Wij adviseren de effecten van deze wijziging in kaart te brengen en uw organisatie voor te bereiden op de veranderende werkwijze.



Voor de invoering van de nieuwe Wet inburgering zijn twee handreikingen verschenen. Wij adviseren kennis te nemen van beide handreikingen en waar nodig actie te ondernemen.

BEHEERSING IT

VERBIJZONDERDE INTERNE CONTROLE

Wij kwalificeren de interne beheersing over het algemeen in opzet voldoende en binnen de primaire processen is sprake van minimaal noodzakelijke primaire functiescheiding. Deze functiescheiding ontbreekt echter bij het proces aanbestedingen, en ontbrak tevens gedurende een deel van het jaar bij een proces met financieel geringe omvang voor de fiattering van inkopen wegens openstaande vacatures binnen een cluster.



Binnen de applicaties hebben geen wijzigingen plaatsgevonden in de IT-beheersmaatregelen ten opzichte van vorig jaar.



De belangrijkste bevinding bij Key2Financiën en ADP betreft dat gebruikers uit de lijnorganisaties beschikken over superuserrechten, waardoor zij de ingerichte functiescheiding kunnen doorbreken.



Ten opzichte van voorgaand jaar zijn de processen in grote lijnen gelijk gebleven en zijn er (beperkte) verbeteringen doorgevoerd.





Verbeteringen zijn met name te behalen in het opstellen of actualiseren van procesbeschrijvingen, mede met het oog op de invoering van de rechtmatigheidsverantwoording.

Informatiebeveiliging en cybersecurity zijn steeds belangrijker aan het worden. Gemeente Geertruidenberg heeft nog een aantal stappen te zetten bij het implementeren van een BIO-baseline. Tevens zijn er diverse acties en te implementeren maatregelen die gemeente Geertruidenberg ten aanzien van cybersecurity kan nemen.



DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING



Onze conclusie in relatie tot de verbijzonderde interne controle is ongewijzigd. Wij kwalificeren de VIC in overeenstemming met de BADO-notitie bij de gemeente Geertruidenberg als variant 3. VIC als interne beheersmaatregel voor het sociaal domein (Buig & Wmo). Voor de overige processen kwalificeren wij de VIC als instrument voor de aanleveren van bevindingen en onderbouwende documenten aan de accountant.



De interne controles worden uitgevoerd door de medewerker IC en is net als voorgaande jaren mede door een extra medewerker vanuit de samenwerking met de gemeente Oosterhout.



De VIC kan verder worden verbeterd door de controles eerder in het jaar uit te voeren en de rapportages sneller na afronden van de interne controles definitief te maken. Doordat de afwikkeling van de interne controles van het voorgaande boekjaar in het begin van het jaar plaatsvinden, is het vooralsnog niet mogelijk interne controles eerder in het jaar uit te voeren.

INTERNE CONTROLE

6

2. Ontwikkelingen & Actualiteiten

2.1 Gevolgen coronacrisis voor de jaarrekening 2.2 Rechtmatigheidsverantwoording

2.3 Frauderisicobeheersing 2.4 Ontwikkelingen in het sociaal domein

2.1 Gevolgen coronacrisis voor de jaarrekening 2021

Gevolgen COVID-19 strak blijven monitoren

Interne controle voortvarend opgepakt

Bijzondere aandacht voor vaststellen subsidies

DASHBOARD

7

Gevolgen coronacrisis voor 2021 en verder Vorig jaar hebben wij samen met u veel aandacht besteed aan de gevolgen van de coronacrisis, voor de korte, middellange en lange termijn. Aan de hand van een impact-analyse en de coronachecklist zijn wij nagegaan wat de effecten waren en zijn voor de informatievoorziening aan de raad, de interne beheersing alsmede de financiële implicaties op korte en lange termijn. Met name door de onduidelijkheden in het begin van de crisis omtrent de financiële gevolgen en compensatie door het rijk waren het onzekere tijden. In de loop van de tijd bleek de impact voor de meeste gemeenten mee te vallen. Niettemin is het zaak alert te blijven op de ontwikkelingen en de afwikkeling van ontvangen rijksgelden. Ook de waardering van mogelijke verhoudingen met verbonden partijen verdienen hierbij extra aandacht. Wij adviseren u dit strak te monitoren en de gemeenteraad te blijven informeren over eventuele bijstellingen van de (meerjaren)begroting. Tozo en TONK Alle coronasteunmaatregelen eindigen per 1 oktober 2021, waardoor het rijk afspraken heeft gemaakt over de afronding van Tozo en TONK. Vanaf het einde van de Tozo per 1 oktober 2021 tot het eind van het jaar geldt een tijdelijk aangepast Besluit bijstandverlening zelfstandigen (Bbz). Ook de TONK is onderdeel van het coronasteunpakket dat per 1 oktober 2021 wordt afgerond.

Vanaf dan is het aan gemeenten om huishoudens in financiële nood te ondersteunen vanuit het gebruikelijke instrumentarium, zoals bijzondere bijstand. Uiteraard dienen beide regelingen in de jaarrekening/SiSa-bijlage te worden verantwoord. Van afgelopen voorjaar weten we inmiddels dat deze controle intensief kan zijn. U bent reeds begonnen met interne controle op de verstrekte uitkeringen, zodat de verantwoording goed kan verlopen.

Vaststelling verstrekte subsidies Veelal worden de in 2020 verstrekte subsidies in het voorjaar van 2021 vastgesteld. Aan de hand van de in de subsidieverordening/beschikking opgenomen voorwaarden wordt nagegaan of een organisatie heeft voldaan aan de vereisten. Voor het jaar 2020 zal dat wellicht niet evident zijn; denk hierbij aan te leveren prestaties. Sommige gemeenten hebben (met de raad) afspraken gemaakt over de toe te passen handelswijze c.q. verantwoordingwijze. Indien dat niet het geval is adviseren wij dat alsnog te doen om zodoende de rechtmatigheid van de subsidievaststelling te kunnen waarborgen. Binnen gemeente Geertruidenberg kan het college echter gebruik maken van de hardheidsclausule waarmee gemotiveerd kan worden afgeweken van de in de beschikking gestelde voorwaarden.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

2.2 Rechtmatigheidsverantwoording (1/2)

Invoering rechtmatigheidsverantwoording 2022

Nieuwe notities: • Kadernota 2022 • Addendum Kadernota 2021 • Notitie bedrijfsvoering

8

Stand van zaken en kaders rechtmatigheidsverantwoording met ingang van 2022 Eind juni werd bekend dat de invoering van de rechtmatigheidsverantwoording een jaar is uitgesteld. Naar wij hebben begrepen staat de wetswijziging inmiddels voor 2022 op de agenda van de Tweede Kamer en zal deze naar verwachting worden ingevoerd met ingang van begrotingsjaar 2022. Daarmee is er ruimte ontstaan om, na een intensief jaar met corona, de invoering goed voor te bereiden. Eind augustus 2021 heeft de commissie BBV (na consultatie) een nieuwe kadernota Rechtmatigheid 2022 uitgebracht. Tegelijk met deze kadernota is eveneens een notitie over de paragraaf bedrijfsvoering en een addendum op de Kadernota Rechtmatigheid 2021 gepubliceerd. De verwachting is dat de commissie SDO van de NBA nog een notitie voor accountants uitbrengt over de gevolgen van invoering van de rechtmatigheidsverantwoording en de commissie BADO over de wijze van verantwoorden vanuit de optiek van gemeenten. Daarmee worden zowel accountants als gemeenten geïnformeerd en gefaciliteerd om de rechtmatigheidsverantwoording goed te kunnen invoeren. Wij adviseren u om hier kennis van te nemen. Hoofdlijnen Kadernota Rechtmatigheid 2022 In de Kadernota Rechtmatigheid 2022 wordt uitgebreid ingegaan op het bestuurlijk belang van rechtmatigheid voor de gemeenteraad.

Daarnaast worden de reikwijdte, de normen, de verantwoordelijkheden van het college en de criteria van de rechtmatigheid beschreven. Ook wordt in de nota ingegaan op de toepassing van tolerantiegrenzen, afwijkingen en de weging hiervan en is een verplicht verantwoordingsmodel opgenomen. In de Kadernota is een aantal stellige uitspraken gedaan die moeten worden gevolgd, waarbij de eerste nadrukkelijk de rol van de raad benoemd. Bij onduidelijkheden over de interpretatie van de rechtmatigheid moet de raad aangeven welke uitleg gegeven moet worden aan de regelgeving en dit vastleggen in een besluit. Het voert te ver om in deze managementletter uitgebreid in te gaan op de inhoud van deze notitie en de 10 stellige uitspraken en 7 aanbevelingen. Een aantal punten willen wij er wel uitlichten:  De kadernota 2022 introduceert het begrip ‘onduidelijkheden’. Dit begrip geeft aan dat er situaties zijn waarin het ook voor college niet duidelijk is of er rechtmatig gehandeld is. Deze moet worden toegelicht en worden gewogen door de raad.  De commissie adviseert ook fraude door eigen medewerkers toe te lichten in de paragraaf bedrijfsvoering.  Middels een verplicht model moet het college zich verantwoorden over de rechtmatigheid, afwijkingen en onduidelijkheden.

 In de paragraaf bedrijfsvoering moet vervolgens een toelichting worden gegeven op de afwijkingen en de maatregelen die het college neemt om deze in de toekomst te voorkomen.  De grens voor afwijkingen (zowel fouten als onduidelijkheden) wordt door de raad bepaald en is maximaal 3% van de lasten (inclusief mutatie reserves). Fouten en onduidelijkheden worden niet bij elkaar opgeteld.  De invoering betekent eveneens dat de verordeningen 212, 213 en het normenkader moeten worden geactualiseerd. Tevens moeten afspraken worden gemaakt met de accountant.  Bij aan derden uitbestede werkzaamheden is het belangrijk als gemeente zelf zekerheid te krijgen omtrent de rechtmatigheid. De wijze waarop dat kan is in de Kadernota uitgewerkt. Vanuit onze natuurlijke adviesrol adviseren wij het college en de raad in gesprek te gaan over bovenstaande aspecten en wij zijn graag bereid u hierbij te ondersteunen.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

2.2 Rechtmatigheidsverantwoording (2/2)

9

Notitie bedrijfsvoering de plek om afwijkingen te rapporteren

Hoofdlijnen Notitie Bedrijfsvoering De belangrijkste boodschap van deze nieuwe notitie is dat het college in de paragraaf bedrijfsvoering aanvullende informatie opneemt over individueel geconstateerde afwijkingen in de rechtmatigheidsverantwoording. Daarbij moet het college beschrijven welke actie wordt ondernomen om deze in de toekomst te voorkomen. De notitie werkt een aantal aanbevelingen en voorbeelden omtrent de paragraaf bedrijfsvoering verder uit.

Beperkte wijzigingen in de rechtmatigheid voor (het laatste jaar) 2021

Hoofdlijnen Addendum Kadernota Rechtmatigheid 2021 Het uitgangspunt van de commissie BBV is dat in principe weinig verandert in de rechtmatigheidscontrole over 2021, het laatste jaar dat de accountant een verklaring afgeeft met betrekking tot de rechtmatigheid. De wijzigingen in het addendum op de Kadernota Rechtmatigheid 2021 zijn dan ook beperkt. Er wordt meer aandacht gevraagd voor fraude en M&O-beleid en niet-financiële onrechtmatigheden in het kader van de Wet Fido moeten worden toegelicht in de paragraaf bedrijfsvoering.

Onze visie op de rechtmatigheidsverant woording hebben wij eerder gedeeld

Onze visie op de rechtmatigheidsverantwoording BDO ziet, evenals de commissie BBV, de invoering van de rechtmatigheidsverantwoording als een kans om de controlerende rol van de raad te versterken en te investeren in een verdere ontwikkeling van de bedrijfsvoering. Begin 2020 hebben wij hierover een visiepaper ‘Rechtmatigheidsverantwoording, een kans op meer control’ uitgebracht, met daarin verschillende varianten en een invoeringsplan. Het gaat bij de invoering van de rechtmatigheidsverantwoording om fundamentele vragen als:  Op welke onderwerpen en met welke diepgang wilt u als raad kaders stellen en controleren?  In hoeverre werkt het college rechtmatig en/of bent u in control?  In hoeverre is uw bedrijfsvoering, interne controle en IT-beheer op orde en wat is ervoor nodig om daar te komen?  En misschien wel de moeilijkste vraag van allemaal: wat zijn de ambities en is de organisatie in staat is om aan die doelen en verwachtingen te voldoen? De wijziging in de verantwoordelijkheden van de verantwoording ten aanzien van rechtmatigheid betekent niet dat er minder rechtmatigheidscontroles moeten worden uitgevoerd, maar dat het college deze zelfstandig/intern moet inrichten, uitvoeren, controleren en rapporteren.

Als accountant zullen wij die werkzaamheden vervolgens toetsen, teneinde te kunnen controleren en verklaren dat de rechtmatigheidsverklaring van het college een getrouw beeld geeft.

Status invoering rechtmatigheidsverantwoording

Status rechtmatigheidsverantwoording gemeente Geertruidenberg Doordat onder andere de behandeling van de wet in de Tweede Kamer en de kadernota Rechtmatigheid lang op zich lieten wachten, was er lange tijd onduidelijkheid over de precieze invulling van de rechtmatigheidsverantwoording. De status van de invoering van de rechtmatigheidsverantwoording is met name om deze reden beperkt gewijzigd ten opzichte van vorig jaar. De ambtelijke organisatie zoekt de dialoog met de auditcommissie en heeft de rechtmatigheidsverantwoording in januari 2022 ter bespreking van vervolgstappen op de agenda staan. Vanzelfsprekend denken wij graag met u mee over de invoering van de rechtmatigheidsverantwoording.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

2.3 Frauderisicobeheersing (1/2)

Februari 2021 is de best practice frauderisicobeheersing voor bestuurders en toezichthouders uitgebracht.

De controleverklaring gaat ook meer aandacht besteden aan frauderisicobeheersing en continuïteit Diverse voorbeelden van maatregelen om frauderisico’s te beheersen.

10

Ontwikkelingen met betrekking tot fraude en de controle van de jaarrekening Zoals aangegeven in ons accountantsverslag zal de komende jaren vanuit de accountantscontrole nog nadrukkelijker aandacht worden gegeven aan fraudepreventie. In februari 2021 heeft onze beroepsorganisatie de NBA heeft hiervoor een notitie “Best practice maatregelen frauderisicobeheersing voor bestuurders en toezichthouders” ter consultatie uitgebracht. In deze notitie komt nadrukkelijk de rol van bestuurders en toezichthoudende organen zoals de gemeenteraad bij het voorkomen en detecteren van fraude aan de orde. Door de nadruk te leggen op het voorkomen van fraude kunnen de gelegenheden tot fraude afnemen. Dit vraagt om actief toezicht op risico’s en beheersmaatregelen ter voorkoming van fraude. Begin september 2021 is tevens een nieuwe opzet van de controleverklaring ter consultatie uitgebracht. In de nieuwe controleverklaring, die zal ingaan vanaf boekjaar 2022, wordt van de accountants verwacht dat hij expliciete passages opneemt aangaande frauderisicobeheersing en continuïteit. Zoals opgenomen in het consultatiedocument kunnen bestuurders en toezichthouders diverse maatregelen nemen om frauderisico’s te beheersen.

De belangrijkste uit het consultatiedocument zijn:  Zorgdragen voor een goede ‘Tone at the top’, cultuur en gedrag;  Opstellen van diverse anti-corruptiemaatregelen (relaties met afnemers/ leveranciers, gedragscodes t.a.v. nevenactiviteiten/ geschenken/ etc.);  Een goede interne beheersing (AO/IB), waaronder een periodieke frauderisicoanalyse;  Het organiseren van tegenspraak, controle/ compliance functies en diversiteit;  Aandacht voor werknemers en bestuursleden (b.v. persoonlijk omstandigheden die kunnen leiden tot druk om fraude te plegen);  Periodieke medewerkers tevredenheidsonderzoeken;  Fraudemeldpunt en klokkenluidersregeling;  Contact en medewerking met uw accountant;  Training en opleiding omtrent fraudebewustzijn;  Een adequate administratie met aandacht voor (fraude-) risicovolle schattingsposten;  Een transparant en integer beloningsbeleid;  Een duidelijk plan om te reageren op (het vermoeden van) fraudes.

Frauderisico indelen naar druk, gelegenheid en rechtvaardiging.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

2.3 Frauderisicobeheersing (2/2)

Onze rol in relatie tot frauderisicobeheersing

Onze aanbevelingen in relatie tot frauderisicobeheersing

11

Onze rol als accountant inzake fraude Zoals weergegeven in de controlestandaarden en onze opdrachtbevestiging ligt de primaire verantwoordelijkheid voor het voorkomen en ontdekken van fraude bij zowel de directie, het college als de gemeenteraad. Als accountant zijn wij niet verantwoordelijk en aansprakelijk voor de preventie van fraude. Onze controleopdracht heeft tot doel om vast te stellen dat de jaarrekening geen afwijkingen van materieel belang bevat die het gevolg zijn van fraude of fouten. Het onderkennen van risico’s op materiële fraudes (frauderisico’s), het uitvoeren van daarop gerichte controlewerkzaamheden en actie ondernemen in het geval van een vermoeden van fraude, is dus een onlosmakelijk onderdeel van de accountantscontrole. Dat gezegd hebbende is het voor de accountant lastig om een daadwerkelijk fraude te identificeren: dit komt doordat de organisatie dagelijks aanwezig is en de accountant niet, doordat fraude gepaard gaat met opgezette plannen om de fraude te verhullen, zoals valsheid in geschrifte, het opzettelijk nalaten transacties vast te leggen of het opzettelijk aan de accountant verkeerd voorstellen van zaken. Samenspanning binnen organisaties of met derde partijen maakt dit vraagstuk nog lastiger.

Door de kenmerken van fraude is het dus mogelijk dat een controle, ook al is die opgezet en uitgevoerd in overeenstemming met algemeen aanvaarde controlestandaarden, een fraude van materieel belang niet ontdekt. Voor de organisatie maken wij onze werkzaamheden zichtbaar door het verstrekken van onze fraude- en compliance checklist, het bespreken van en rapporteren over fraude en vanaf 2022 zullen wij hierover communiceren met het maatschappelijk verkeer via onze controleverklaring. Onze waarnemingen en aanbevelingen inzake de fraudebeheersing Naast onze controlerende rol hebben wij in het kader van de interim controle, onze kennis en deze ontwikkeling een aantal bevindingen en aanbevelingen inzake frauderisicobeheersing:  De gemeente heeft geen afzonderlijk fraude- of M&O- beleid.  De gemeente heeft recent een frauderisicoanalyse geactualiseerd en wordt in maart besproken in het MT/DT.  De gemeente beschikt over een klokkenluidersregeling en gedragscode inzake integriteit raadsleden, B&W en ambtsdragers.  De gemeente heeft sinds 2021 een online opleidingsplatform, waar onder meer trainingen op het gebied van informatiebeveiliging en integriteit worden aangeboden aan nieuwe medewerkers.  Jaarlijks wordt geen verslag over integriteit opgesteld (bijvoorbeeld in een turap).

 Het controleplan en de werkzaamheden van de Verbijzonderde Interne Controle besteden aandacht aan fraude bij de planning en uitvoering van controlewerkzaamheden, hoewel geen specifieke controles zijn gepland met het oog op fraude en integriteit.  Fraude(preventie) staat niet periodiek op de agenda van de auditcommissie/gemeenteraad. Ons advies Wij constateren dat er binnen de gemeente diverse kaders en regelingen op het vlak van frauderisicobeheersing zijn, die zijn opgesteld in de periode 2012-2017. Wij adviseren u te evalueren of de bestaande documentatie geactualiseerd dient te worden. Tevens adviseren wij om daarbij aandacht te besteden aan verantwoordelijkheden en termijnen voor de opvolging van aanbevelingen, en jaarlijks wisselende themaonderzoeken uit te laten voeren en hierover aan u te rapporteren. Wij adviseren u beleid en kaders op te stellen waarin u aangeeft op welke wijze en over welke onderwerpen met betrekking tot interne controles en frauderisicoanalyse u geïnformeerd wenst te worden. Tot slot adviseren wij u om frauderisicobeheersing als een iteratief proces te beschouwen en de ambtelijke organisatie periodiek (opfris)trainingen te laten volgen op deze onderwerpen. Hiervoor kunt u bijvoorbeeld het nieuwe online opleidingsplatform laten benutten.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

2.4 Ontwikkelingen in het sociaal domein

12

Ontwikkelingen met betrekking tot het sociaal domein en de controle van de jaarrekening 2021 dan wel 2022 Vanuit onze natuurlijke adviesrol willen wij u attenderen op een aantal ontwikkelingen op het gebied van sociaal domein. Wij schetsen de ontwikkelingen op hoofdlijnen met als doel u te attenderen op deze ontwikkelingen. Dat betekent ook dat wij geen uitgebreid onderzoek hebben uitgevoerd naar deze onderwerpen of ze specifiek hebben gemaakt voor uw organisatie. Resultaatgerichte indiceringen

Uitspraak resultaatgericht indiceren Onlangs is er een uitspraak geweest door de Centrale Raad van Beroep (CRvB) inzake een casus met betrekking tot resultaatgericht indiceren. In deze casus is de indicatie van een cliënt voor begeleiding in natura niet langer toegekend in uren, maar in een te behalen resultaat. Uit het ondersteuningsplan blijkt wel welk resultaat moet worden behaald, binnen welke periode, met welke activiteiten en met welke frequentie, maar een tijdsindicatie ontbreekt. De CRvB oordeelt dat een manier van verstrekken die maakt dat een cliënt en een aanbieder niet weten hoeveel, naar tijdseenheden bepaalde, maatschappelijke ondersteuning het college heeft verstrekt, in strijd is met het rechtszekerheidsbeginsel. Dit is voor begeleiding niet anders dan voor huishoudelijke ondersteuning en speelt zowel landelijk als regionaal. Wij hebben begrepen dat dit punt regionaal wordt opgepakt.

Vanaf 2022 nieuw Woonplaatsbeginsel

Woonplaatsbeginsel Jeugdwet Het woonplaatsbeginsel in de Jeugdwet regelt welke gemeente (financieel) verantwoordelijk wordt. Het huidige woonplaatsbeginsel is gebaseerd op de woonplaats van de gezagsdrager van een jeugdige. Het nieuwe woonplaatsbeginsel, dat vanaf 1 januari 2022 van toepassing wordt, gaat uit van de woonplaats waar de jeugdige staat ingeschreven op het moment van de zorgvraag. Doel van de wetswijziging is het verminderen van administratieve lasten, het sneller kunnen leveren van zorg en ondersteuning aan jeugdigen en het versterken van preventie. Voor gemeenten en zorgaanbieders betekent de implementatie van het nieuwe woonplaatsbeginsel een behoorlijke (administratieve) verandering. Daarom hebben gemeenten en zorgaanbieders uitgesproken behoefte te hebben aan duidelijke afspraken over de implementatie van het woonplaatsbeginsel om onduidelijkheden en discussie te voorkomen. Om die reden zijn aanvullende afspraken gemaakt die zijn vastgelegd in het convenant. Het convenant is vastgesteld door de VNG-commissie Zorg, Jeugd en Onderwijs. Het CJG is de effecten van deze wijziging in kaart aan het brengen teneinde uw organisatie voor te bereiden op de veranderende werkwijze.

Nieuwe Wet Inburgering

DASHBOARD

Handreikingen Wet Inburgering Om gemeenten handvatten te geven op het gebied van informatievoorziening bij de invoering van de nieuwe Wet inburgering zijn onlangs twee handreikingen verschenen: De handreiking ‘Gegevensuitwisseling gemeenten en ketenpartners nieuwe Wet inburgering’ en de handreiking ‘Leveranciers’. Beide handreikingen helpen gemeenten op weg met de uitwisseling van gegevens tussen landelijke ketenpartners en de afspraken die zij moeten maken met softwareleveranciers. Wij adviseren kennis te nemen van beide handreikingen en waar nodig actie te ondernemen.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

13

3. Bevindingen significante processen

3.1 Effectiviteit processen

3.1 Effectiviteit processen (1/3)

14

Inleiding Zoals afgelopen jaar aangegeven, nemen de eisen die worden gesteld aan de accountantscontrole toe. Wij vinden het daarom van groot belang dat wij inzicht geven in de normen en verwachtingen ten aanzien van onze controle en de vertaling hiervan specifiek voor de gemeente Geertruidenberg. Alleen dan gaat de discussie niet alleen over de kwaliteit van de accountantscontrole, maar vooral ook over de wijze waarop de gemeente hiervan kan profiteren. In deze managementletter hebben wij daarom meer in detail uitgelegd op welke wijze wij de controle hebben ingericht en welke afwegingen wij daarbij maken. Wij doen dat door in deze paragraaf onze risicoinschatting, belangrijkste processen, controleaanpak en afwegingen te beschrijven. Onderkende risico’s:  Management override  EU-aanbestedingen

DASHBOARD

Onze inschatting van de risico’s en belangrijkste processen In het kader van de controle van de jaarrekening 2021 en onze aanpak hebben wij een zogenaamde initiële risico-inschatting gemaakt. Wij zien de volgende potentiële risico’s in de controle van de jaarrekening van de gemeente Geertruidenberg:  In onze controlestandaarden (NV COS) wordt expliciet het risico van management override (bewuste beïnvloeding door bestuur of management van de jaarcijfers) als belangrijk te onderkennen theoretisch risico benoemd. Als accountant moeten wij in onze werkzaamheden hier specifiek aandacht aan besteden. Wij zijn van mening dat binnen de gemeente de mogelijkheden, om buiten de getroffen interne beheersmaatregelen invloed uit te uitoefenen op de in de jaarrekening gepresenteerde uitkomsten, uitermate beperkt zijn. Om het resterende risico te beperken beoordelen wij schattingsprocessen en bijzondere journaalposten in detail.  Het niet naleven van de Europese aanbestedingsregels. Vanwege de complexiteit van de regelgeving is dit een onderwerp dat landelijk speelt. Afgelopen jaren zijn bij de gemeente Geertruidenberg geen onrechtmatigheden met betrekking tot Europese aanbestedingen geconstateerd.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

3.1 Effectiviteit processen (2/3)

15

Onze aanpak afhankelijk van uw interne beheersing In onze aanpak is het uitgangspunt daar waar mogelijk te steunen op de interne beheersing in de significante processen van de gemeente. Hiervoor beoordelen wij of er sprake is van controletechnische functiescheiding binnen de processen, of er sprake is van actueel en toereikende procesbeschrijvingen met voldoende beheersmaatregelen en de IT-maatregelen. Daarbij maken wij, indien mogelijk, gebruik van uw eigen verbijzonderde interne controle (VIC). Op basis van onze ervaring en de kwaliteit en omvang van deze processen bepalen wij of we deze procesmatig / systeemgericht toetsen of (achteraf) gegevensgerichte werkzaamheden uitvoeren in de vorm van steekproeven / deelwaarnemingen, cijferanalyses, verbandscontroles etc. Bij de voorbereiding van de jaarrekeningcontrole maken wij afspraken over de resterende werkzaamheden, aanpak en de hiervoor benodigde informatie. Samenvatting effectiviteit van de primaire processen In het overzicht op de volgende pagina geven wij weer in hoeverre de processen voldoen aan de genoemde normen (zie ook hoofdstuk 4 t.a.v. ICT). Geen wijzigingen in de belangrijkste processen ten opzichte van vorig jaar

DASHBOARD

Wij concluderen dat de door ons beoordeelde processen niet zijn gewijzigd ten opzichte van vorig jaar. Op basis van onze uitgevoerde werkzaamheden komen wij op dit moment tot de conclusie dat binnen de processen over het algemeen sprake is van minimaal noodzakelijke primaire functiescheiding. Tevens is binnen de processen sprake van interne beheersmaatregelen. Deze maatregelen worden echter niet toereikend genoeg vastgelegd, waardoor achteraf niet toetsbaar is of controlemaatregelen zijn uitgevoerd en hoe deze zijn uitgevoerd. Omdat de AO/IB en IT General Controls niet altijd goed zijn opgezet of goed werken, kunnen wij voor wat betreft de insteek van onze controle nog niet op de processen steunen en bestaat onze controleaanpak overwegend uit gegevensgerichte werkzaamheden. Voor de processen Wmo en BUIG steunen wij op de werkzaamheden van de verbijzonderde interne controle; voor de overige processen is een gegevensgerichte controleaanpak efficiënter.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

3.1 Effectiviteit processen (3/3) PROCES

CTFS

AO/IB

Planning & Control

VIC

CONCLUSIE T.A.V. DE CONTROLEAANPAK

n.v.t.

Inkopen

Aanbestedingen

Personeel

Sociaal domein

Subsidies

Belastingen

n.v.t.

Grondexploitaties Verbonden partijen ICT / automatisering

Proces is ontoereikend

DASHBOARD

n.v.t. n.v.t.

16

Er is sprake van een adequaat functionerende planning & control cyclus met een kadernota, (meerjaren)begroting, 3 Turaps en de jaarrekening. Memoriaalboekingen en begrotingswijzigingen worden opgesteld door financieel medewerkers en transitorische posten worden gecontroleerd door de controller. Niet alle memoriaalboekingen worden (zichtbaar) gecontroleerd/vastgelegd, waardoor wij de memoriaalboekingen middels data-analyse controleren. In opzet is sprake van een toereikende beheersmaatregel. Ten tijde van de interim-controle waren de verbijzonderde interne controles voor de eerste twee kwartalen van 2021 afgerond. Uit deze interne controles is gebleken dat, ondanks de genomen acties naar aanleiding van interne controles in voorgaande jaren, verplichtingen nog niet tijdig worden aangemaakt (pas bij ontvangst factuur) en dat prestatieonderbouwing in sommige gevallen nog onvoldoende wordt vastgelegd. Hierin is echter wel een verbetering ten opzichte van voorgaand jaar zichtbaar. Door openstaande vacatures zijn in 2021 sommige rollen tijdelijk waargenomen, waardoor het fiatteren van facturen (overigens met een zeer beperkte, immateriële omvang) niet altijd volgens het vier ogen principe is verlopen. De mandaatregeling en budgethoudersregeling binnen de gemeente dateren uit 2017.

Binnen het aanbestedingsproces is geen sprake van beheersmaatregelen en lijnmanagers kunnen zelf aanbestedingen doen. Het aanbestedingsproces, inclusief het aanmaken van verplichtingen, maakt onderdeel uit van de VIC inkopen. Er vindt een interne controle plaats op nieuwe, in het boekjaar, aangegane verplichtingen. Deze interne controle is nog niet als zodanig concreet verwoord en opgenomen in het IC-plan. Wel wordt door uw controller achteraf een spendanalyse uitgevoerd om onrechtmatige aanbestedingen, die niet zijn gemeld bij het inkoopbureau en in de interne controle zijn opgenomen, te constateren. Wij constateren dat het proces ongewijzigd is ten opzichte van vorig jaar. Het proces is niet gewijzigd ten opzichte van voorgaand jaar. Er is sprake van minimaal noodzakelijke functiescheiding, maar beheersmaatregelen zijn onvoldoende toetsbaar. De verbijzonderde interne controles zijn ten tijde van de interim-controle deels uitgevoerd, waarbij tot zover nog geen bijzonderheden zijn geconstateerd. Er is sprake van een minimaal noodzakelijke functiescheiding. Dit proces is onveranderd ten opzichte van voorgaand boekjaar. De in het proces opgenomen controlemaatregelen worden door de consulenten zelf uitgevoerd en zijn onvoldoende zichtbaar vastgelegd om voor de controle op te kunnen steunen.

Voor de VIC wordt deels gebruik gemaakt van de kennis en expertise van een interne controlemedewerker van een buurgemeente. In aanvulling op de standaardregelingen is in 2021 ook een VIC uitgevoerd op de Tozo-regeling. Uit de dossiercontroles 2021 zijn geen bijzonderheden gebleken. Uit de reeds uitgevoerde hercontroles over 2020 blijken diverse terugvorderingen, die zullen leiden tot een terugvordering op de ontvangers en terugbetaling van de rijkssubsidie. Er is sprake van een minimaal noodzakelijke functiescheiding. Binnen het subsidieproces zijn echter geen controlemaatregelen waar wij op kunnen steunen. Van belang is dat de controlemaatregelen zichtbaar worden vastgelegd, zoals de toets of de subsidiebeschikking aan de subsidieverordening voldoet. Uit de VIC op vaststellingen over 2020 blijkt dat regelmatig geen activiteiten hebben plaatsgevonden als gevolg van corona. Bij de vaststellingsbeschikkingen is bepaald of subsidies daarom terugbetaald moeten worden en hierbij is de hardheidsclausule toegepast. Gebleken is dat de hardheidsclausule niet altijd is opgenomen in de beschikking. Wel wordt verwezen naar de subsidieverordening, waarvan de hardheidsclausule onderdeel is. Er is sprake van een minimaal noodzakelijke functiescheiding.

Door de uitbesteding aan TOG van de WOZ-waardebepaling en gedeeltelijke behandeling van bezwaren daarop is dit proces op onderdelen veranderd ten opzichte van voorgaand boekjaar. Dit heeft niet tot wijzigingen in de mate van interne beheersing geleid. Voor onze controle is een totaalaansluiting efficiënter, waardoor wij de VIC voor dit proces niet hebben beoordeeld. Binnen het proces is sprake van minimaal noodzakelijke functiescheiding. Beheersmaatregelen rondom de actualisatie van grondexploitaties zijn echter niet zichtbaar. De VIC op grondexploitaties, aan- en verkopen is in lijn met het interne controleplan ten tijde van de interim-controle nog niet uitgevoerd. Binnen dit proces is sprake van de minimaal noodzakelijke functiescheiding. Er is geen sprake van (zichtbare) controlemaatregelen. In 2021 zijn geen nieuwe gemeenschappelijke regelingen opgericht. Ten aanzien van ICT zijn door ons net zoals voorgaande boekjaren aandachtspunten gesignaleerd (zie hoofdstuk 4).

Proces is toereikend, maar één of meerdere beheersmaatregelen bestaan in de praktijk niet

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

Proces is adequaat/beheersmaatregelen bestaan

INTERNE CONTROLE

17

4. Informatiebeveiliging

4.1 IT-beheersing 4.2 Bevindingen IT-beheersing | Key2Finance

4.3 Actuele IT-ontwikkelingen

4.1 IT-beheersing

Wij beoordelen de betrouwbaarheid en continuïteit IT voor zover relevant voor de controle van de jaarrekening

18

IT-werkzaamheden en onze controlerende rol Ingevolge artikel 2:393, lid 4 BW, dient de accountant in zijn verslag aandacht te besteden aan de bevindingen die naar voren zijn gekomen uit de beoordeling van de automatiseringsomgeving wat betreft de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking. Wij benadrukken dat onze jaarrekeningcontrole gericht is op het geven van een oordeel omtrent de jaarrekening zelf en zich niet primair richt op het doen van uitspraken omtrent de betrouwbaarheid en continuïteit van de geautomatiseerde gegevensverwerking als geheel of van onderdelen daarvan. De IT-auditwerkzaamheden zijn geïntegreerd in de controleaanpak van de jaarrekening. Het inzicht in de betrouwbare werking van ICT-systemen en applicaties en het gebruik daarvan door de organisatie, vormen een onderdeel van de kwaliteit van de interne beheersing en de administratieve organisatie. Algemene IT-beheersmaatregelen rond uw kritieke systemen leveren daarnaast een belangrijke bijdrage aan het mitigeren van de risico’s op onbeheerste wijzigingen, ongeautoriseerde handelingen en het optreden van verstoringen met impact op de gegevensverwerking.

Beoordeelde systemen:  Key2Financiën  ADP  GISVG

De bevindingen zoals gerapporteerd in deze managementletter zijn gericht geweest op het beoordelen van de opzet en het vaststellen van het bestaan van algemene IT-beheersmaatregelen. Wij hebben in samenwerking met onze IT-auditors een aantal van deze maatregelen beoordeeld voor Key2Finance. Dit om de impact van de risico’s van onbeheerste wijzigingen, ongeautoriseerde handelingen en verstoringen te kunnen vaststellen voor die systemen die gekoppeld zijn aan de voor ons relevantie processen en posten (zie hoofdstuk 3).

Op het moment dat de intern getroffen algemene IT-beheersmaatregelen rondom de applicaties in scope niet (bewijsbaar) voldoende aanwezig zijn, zijn in het kader van de controle van de jaarrekening 2021 aanvullende (gegevensgerichte) werkzaamheden noodzakelijk om aan te tonen dat er zich geen risico’s of fouten hebben voorgedaan. Afgelopen jaar hebben wij uw automatiseringsomgeving in het kader van onze jaarrekeningcontrole in detail gecontroleerd op de onderdelen logische toegangsbeveiliging, continuïteit en wijzigingsbeheer. Hierbij hebben wij geconstateerd dat IT-beheersmaatregelen deels ontoereikend zijn beoordeeld en wij voor onze controle-aanpak hier niet op kunnen steunen.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

4.2 Bevindingen IT-beheersing | Key2Financiën

PROCES

Logische toegangsbeveiliging K2F (criteria 1-5) nog deels ontoereikend

2021

KORTE OMSCHRIJVING RESULTATEN

1. Procedure autorisatiebeheer

1

Er is sprake van een procedure met betrekking tot in- en uitdiensttreding van medewerkers. Een normpositie om rechten toe te kennen aan nieuwe gebruikers ontbreekt echter. Binnen dit proces hebben geen wijzigingen plaatsgevonden ten opzichte van vorig jaar.

2. Periodieke controle op juistheid ingerichte autorisaties

2

Er is geen periodieke review uitgevoerd op de juistheid van autorisaties in Key2Financiën. Echter, er is wel een periodieke review uitgevoerd op de actualiteit van gebruikers in Key2Financiën.

n.v.t.

3

Vanwege een toereikende beoordeling in 2020 dit jaar niet opnieuw beoordeeld.

4. Wachtwoordbeleid (authenticatie)

*

4

De wachtwoordeisen in Key2Financiën voldoen aan de minimaal te stellen eisen.

5. Administrator- en superuser-accounts

*

5

In Key2Financiën zijn gebruikers met beheerrechten actief die formeel werkzaam zijn vanuit de lijnorganisatie.

6. Wijzigingenbeheer updates

6

Er hebben geen wijzigingen plaatsgevonden ten opzichte van vorig jaar. De aanbevelingen uit onze managementletter 2020 blijven onverminderd van kracht.

7. Gescheiden omgevingen (ontwikkel-test-productie)

7

Er hebben geen wijzigingen plaatsgevonden ten opzichte van vorig jaar. De aanbevelingen uit onze managementletter 2020 blijven onverminderd van kracht.

3. Identificatie van gebruikers voor toegang tot systemen en data

Change management (criteria 6-7) ontoereikend

2020

19

onvoldoende

verbeterpunten

voldoende

* Aanvullend hebben wij in het kader van de jaarrekeningcontrole het wachtwoordbeleid en de superusers GISVG en ADP beoordeeld. Het wachtwoordbeleid van beide applicaties wordt als toereikend aangemerkt. Wij adviseren bij GISVG echter wel een maximum aantal inlogpogingen te hanteren. Binnen GISVG betreffen de superusers allen medewerkers die gerelateerd zijn aan de ICT-afdeling. Binnen ADP beschikken beide salarisadministrateurs over superuserrechten en classificeren wij deze als ontoereikend. Wij merken hierbij op dat deze bevindingen gelijk zijn aan de bevindingen die wij in onze managementletter 2020 hebben gerapporteerd.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

4.3 Actuele IT- ontwikkelingen en onze natuurlijke adviesrol (1/2)

Informatiebeveiliging bij de gemeente Geertruidenberg

Ontwikkelingen rondom Informatiebeveiliging Vanuit onze natuurlijke adviesrol willen wij u attenderen op een aantal ontwikkelingen op het gebied van IT. Deze ontwikkelingen zijn niet altijd direct gerelateerd aan onze controle van de jaarrekening, maar wel van belang voor uw bedrijfsvoering. In deze informatie gedreven samenleving verwerken organisaties (steeds meer) grote hoeveelheden informatie, veelal digitaal maar ook nog analoog. Hoewel organisaties in veel gevallen afhankelijk zijn van deze informatie en deze veel voordelen biedt, kan het voor uw organisatie of voor anderen ook de nodige risico’s opleveren. Deze risico’s kunnen leiden tot vervelende en impactvolle incidenten; door digitalisering worden de gevolgen van incidenten ook steeds omvangrijker, met mogelijk een serieuze impact op de organisatiedoelen. Zicht en grip op de risico’s rondom informatie vereisen zicht en grip op de informatie zelf en de toegang daartoe. In de (lokale) overheidsbranche valt de Baseline Informatiebeveiliging Overheid (hierna: BIO) en IT-beheersing in het kader van de jaarrekeningcontrole niet meer los van elkaar te zien. Onze verwachting is dat er in de toekomst een geïntegreerde ‘Single Information Single Audit’-aanpak voor dergelijke audits zal komen. Zodat verplichte audits zoals ENSIA (DigiD en Suwinet) en WPG geïntegreerd kunnen worden.

De basis voor een geïntegreerde aanpak is een Information Security Management Systeem (ISMS). Waarmee u in kaart kunt brengen welke audits gekoppeld zijn aan welke BIO-normen*. Zoals bijvoorbeeld de IT General Controls uit deze IT-audit.

Aandachtspunten bij implementeren Baseline Informatiebeveiliging

De maatregelen die wij hebben getoetst omtrent de IT General Controls (logische toegangsbeveiliging, wijzigingsbeheer en continuïteit) laten zien dat er nog stappen nodig zijn om dit doel te realiseren. Daarnaast willen bij het implementeren baseline, u attenderen op een aantal belangrijke stappen bij het implementeren van een BIO-baseline:  Het uitvoeren van een nulmeting (gap-analyse) waarin zowel de implementatie van de huidige baseline als de te ondernemen stappen voor de BIO in kaart worden gebracht;  Het trainen van het lijnmanagement door middel van bijvoorbeeld workshops, om een risico gestuurde aanpak (omtrent informatiebeveiliging) te integreren in de bedrijfsvoering en bewustwording omtrent verantwoordelijkheden van informatiebeveiliging te creëren;  Het uitvoeren van een security scan voor het bepalen van de vereiste maatregelen per proces;  Het implementeren van de beheersingsmaatregelen die op basis van deze security scan zijn bepaald;  Het uitvoeren van een BIO-audit om te bepalen in hoeverre uw organisatie voldoet aan de BIO-vereisten. Graag denken wij in het kader van onze natuurlijke adviesrol tijdig met u mee over de gevolgen van de BIO voor de interne beheersing van de processen.

* = De BIO-normen zijn opgenomen in het document ‘Baseline Informatiebeveiliging Overheid v1.04zv’.

DASHBOARD

20

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

In-control

Overlap

4.3 Actuele IT- ontwikkelingen en onze natuurlijke adviesrol (2/2)

Cybersecurity en netwerk inbraak

21

Cybersecurity en netwerk inbraak Cybersecurity is anno 2021 een hottopic. Waar het Helmondse bedrijf Senzer nog ontsnapte aan afpersing door Russische criminelen, betalen andere ondernemingen soms miljoenen aan losgeld. Gesteld kan worden dat het niet de vraag is of uw organisatie ooit te maken krijgt met cybersecurity of netwerk inbraak, maar wanneer. Om die reden is het goed om uw organisatie niet enkel in te richten op het voorkomen van dergelijke criminaliteit, maar ook voor te bereiden indien dit zich voordoet. Uit ervaring is gebleken dat een aantal zaken belangrijk zijn om vooraf te organiseren. Ook dienen specifieke IT maatregelen geïmplementeerd te worden. Vooraf te organiseren: Wij raden aan om hierin kennis te nemen van de Baseline Informatiebeveiliging Overheid (hoofdstuk 17). Hieronder geven wij een aantal tips welke mogelijk ook voor uw gemeente van belang zijn: • Identificeren van de belangrijkste informatie assets (zogenoemde kroonjuwelen) binnen uw organisatie • De inrichting van de crisisorganisatie; • Het opstellen van een up-to-date business continuïteitsplan; • Het opstellen van een disaster recovery plan met draaiboek waarin de verschillende fasen van herstel zijn opgenomen (eerste uren, dagen, weken en nazorg).

Hierbij zijn belangrijke aandachtspunten onder andere: • Prioriteiten bepalen ten aanzien van de continuïteit van de bedrijfsvoering; • Het maken van een melding bij de Autoriteit Persoonsgegevens ingeval van persoonsgegevens; • Een communicatieplan (stakeholders); • Externe ondersteuning (specialist); • Het doen van aangifte. Minimaal te treffen IT-maatregelen op basis van ervaringen Senzer: De Senzer casus heeft ons geleerd om minimaal de volgende maatregelen (o.a. uit de BIO) te treffen: • Het bewaren van offline back-ups naast netwerk back-ups (hoofdstuk 12.3); • Het regelmatig testen van deze offline back-ups (hoofdstuk 12.3); • Het invoeren van netwerk segmentatie (hoofdstuk 13.1); • Het toepassen van multi-factor authenticatie (hoofdstuk 9.4); • Permanente monitoring op systeemlogging en dataverkeer (hoofdstuk 12.4); • Het overzetten van websites naar een beveiligde verbinding. Adequate configuraties van bijvoorbeeld beveiligingscertificaten, https://, DNSSEC en TLS-configuraties (hoofdstuk 13.2); • Zorgdragen dat wachtwoorden en toegangsrechten op een juiste wijze worden beheerd (hoofdstuk 9); • Software tijdig updaten (hoofdstuk 12.1). Uiteraard merken wij hierbij op dat de keuze voor maatregelen te allen tijde een afweging blijft tussen veiligheid, betaalbaarheid en werkbaarheid binnen de organisatie.

De set aan maatregelen zal hiermee tussen organisaties verschillen, afgestemd op de specifieke behoeften.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

22

5. Bevindingen interne controle

5.1 Verbijzonderde interne controle

5.1 Verbijzonderde interne controle (1/4)

Three Lines-model als referentiekader

23

Three Lines-model In de theorie van governance, bedrijfsvoering en risicomanagement wordt vaak het zogenaamde Three Lines-model als referentie- en inrichtingsmodel gehanteerd. Dit referentiemodel is meer dan alleen een organisatiestructuur en het benoemen van rollen. Het is een (internationaal gangbare) manier van (samen)werken en denken die kan bijdragen aan het versterken van de interne beheersing en het managen van risico’s, inclusief het verlagen van de ‘cost of control’. Op de volgende pagina geven wij een nadere toelichting op het Three Lines-model. Ons beeld De huidige opzet van de Three Lines is te onderkennen en in opzet aanwezig. Daarmee onderschrijven wij de beschreven keuzes, waarbij wij (hierna) nog wel een aantal afwegingen en adviezen geven t.a.v. de 3e lijn; de VIC.

Wij onderschrijven de gemaakte keuzes en herkennen de Three Lines

DASHBOARD

Vanzelfsprekend toetsen wij de structuur en taken niet specifiek, maar beoordelen wij de ondersteunende processen en adviseren wij (vanuit onze natuurlijke adviesrol) over planning & control en risicomanagement. Middels deze managementletter beogen wij daarnaast op het niveau van processen en de jaarrekening een bijdrage te kunnen leveren aan de optimalisering van de interne beheersing in alle drie de lijnen.

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

5.1 Verbijzonderde interne controle (2/4)

Wat is het Three Linesmodel? Onze controleaanpak is naast het controleren van de jaarrekening gericht op het verbeteren van uw bedrijfsvoering inclusief digitalisering hiervan. In onze controle hanteren wij daarvoor het Three Lines-model. Dit model geeft handvatten om te beoordelen waar in de interne beheersingsrisico’s worden ondervangen:

24

3rd Line of Defence Concern Control, CISO, FG, Verbijzonderde Interne Controle (VIC), Extern accountant

1st Line Uitgangspunt van het Three Lines-model is dat het lijnmanagement verantwoordelijk is voor haar eigen (operationele) processen. Om te borgen dat de uitvoering van processen adequaat verloopt (rechtmatig en getrouw) worden interne beheersmaatregelen uitgevoerd door de functionarissen, die betrokken zijn bij de uitvoering van de dagelijkse activiteiten in de organisatie en het lijnmanagement. Deze beheersmaatregelen uitgevoerd door bestuur, management en uitvoerende functionarissen vormen de eerstelijnscontroles.

2nd Line of Defence MT

2nd Line Daarnaast moet er wel een functie zijn die de 1e lijn ondersteunt, adviseert, coördineert en bewaakt of het management zijn verantwoordelijkheden ook daadwerkelijk neemt. Dit is de tweede lijn. In het geval van de gemeente Geertruidenberg de interne beheerscycli uitmondend bij het MT. De planning- & controlcylus en het risicomanagement zijn daarbij belangrijke instrumenten.

1st Line of Defence Afdelingen

3rd Line: Concern Control, VIC en externe audit Ten slotte kan het wenselijk zijn dat er binnen de organisatie een functie bestaat die controleert of de 1e lijn haar taken goed uitvoert en beoordeelt of het samenspel tussen de 1e en 2e lijn soepel functioneert. De derde lijn is niet verantwoordelijk voor het nemen van de beslissingen (eerste lijn) en evenmin voor het ontwerpen en implementeren van de systemen voor de beheersing van bedrijfsprocessen (tweede lijn). De 3e lijn zou daarover objectief en onafhankelijk een oordeel moeten vellen en adviezen tot verbetering geven. Eventueel kan ook de externe accountant als 3e lijn worden gezien, maar die staat meer op afstand en controleert primair de jaarrekening.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

5.1 Verbijzonderde interne controle (3/4)

BADO notitie verbijzonderde interne controle decentrale overheid

Vier varianten van VIC:  Instrument aanlevering van stukken  Onderdeel van het interne beheersingskader  Interne beheersmaatregel  Interne auditfunctie (Standaard 610)

25

Verbijzonderde Interne Controle De afgelopen jaren is veel discussie geweest over de eisen die gesteld moeten worden aan de onafhankelijkheid, positie en kwaliteit van de Verbijzonderde Interne Controle (VIC) en de wijze waarop accountants gebruik kunnen maken van de VIC. De commissie Bedrijfsvoering, Auditing Decentrale Overheden (BADO) heeft op 14 februari 2019 de notitie De verbijzonderde interne controle bij decentrale overheid uitgebracht met als doel een handreiking te bieden aan decentrale overheden ten aanzien van de inrichting van de verbijzonderde interne controle en de mogelijkheden voor de accountant om hiervan gebruik te kunnen maken. Samenvattend worden in de notitie vier varianten beschreven: 1. de VIC als instrument om de aanlevering van stukken aan de accountant te verbeteren; 2. de VIC als onderdeel van het interne beheersingskader om toezicht te houden op de uitvoering van interne beheersingsmaatregelen; 3. de VIC als interne beheersingsmaatregel, waarop de accountant kan steunen bij zijn organisatiegerichte werkzaamheden; 4. de VIC als interne auditfunctie (IAF, zoals bedoeld in Standaard 610). 1. Aanlevering stukken Allereerst kan de VIC behulpzaam zijn bij het verzamelen van allerhande gegevens en onderliggende stukken, die nodig zijn voor de controle door de accountant.

Door bijvoorbeeld tijdig een kwaliteitstoets uit te voeren op de volledigheid van de stukken, kan een positieve invloed worden uitgeoefend op de doorlooptijd van de controle. Voorts kan een goede aanlevering van stukken, een bijdrage leveren aan de efficiency van de accountantscontrole.

2. Interne beheersingskader In deze situatie gebruikt de accountant de VIC als een van de belangrijke informatiebronnen om kennis te verkrijgen van de organisatie en zo richting te geven aan zijn controle. Op deze wijze worden risico’s geïdentificeerd en ingeschat, om een basis voor het opzetten en uitvoeren van verdere controlewerkzaamheden te verkrijgen. De accountant zal in deze situatie kennisnemen van de geaccordeerde jaarplannen van de VIC en de werkzaamheden en de bevindingen van de VIC. 3. De VIC als interne beheersingsmaatregel, waarop de accountant kan steunen bij zijn organisatiegerichte werkzaamheden De derde variant is de situatie waarin de accountant kan en wil steunen, op de interne beheersingsmaatregelen van de decentrale overheid. De VIC omvat interne beheersingsmaatregelen, die de accountant kan toetsen in het kader van zijn organisatie- en procesgerichte werkzaamheden. 4. De VIC als interne auditfunctie In deze situatie concludeert de accountant op basis van zijn werkzaamheden, dat de VIC voldoet aan de eisen die Standaard 610 bevat voor de interne auditfunctie (IAF: zie de paragraaf over de drie verdedigingslinies).

Dit veronderstelt het volgende:  dat de organisatorische positie en relevante beleidslijnen alsmede procedures van de interne auditfunctie, op adequate wijze de objectiviteit van de interne auditors ondersteunen;  het competentieniveau van de interne auditfunctie gewaarborgd is;  dat binnen de interne auditfunctie een systematische en gedisciplineerde benadering gehanteerd wordt, inclusief de kwaliteitsbeheersing.

DASHBOARD

ONTWIKKELINGEN

SIGNIFICANTE PROCESSEN

INFORMATIEBEVEILIGING

INTERNE CONTROLE

5.1 Verbijzonderde interne controle (4/4)

Eisen COS 610 niet realistisch

26

Samen met de gemeente Geertruidenberg concluderen wij dat het voor een organisatie van dergelijke omvang niet realistisch om te voldoen aan de eisen van de COS 610 c.q. dit op korte termijn ook niet het streven is / moet zijn. Wel is de kwaliteit zodanig dat in goede samenwerking in belangrijke mate gebruik kan worden gemaakt van de door de VIC (in overleg met ons) voorbereide werkzaamheden; ofwel de derde variant van de BADO-notitie voor de processen BUIG en Wmo. In lijn met voorgaande jaren rapporteren wij vanuit dit uitgangspunt met betrekking tot de Verbijzonderde Interne Controle (VIC) van de gemeente als volgt:  De VIC-functie is binnen de gemeente Geertruidenberg gepositioneerd als onderdeel van de staffunctie control onder de gemeentesecretaris. De VIC-functie wordt vervuld door de medewerker Interne Controle. In aanvulling hierop wordt capaciteit ingehuurd bij de gemeente Oosterhout. De IC medewerkers voeren op basis een jaarlijks onderzoeksplan onafhankelijk van het betreffende lijnmanagement onderzoeken uit. Volgens het onderzoeksplan 2021 vinden interne controles plaats op de processen Subsidies, Belastingen, Salarisverwerking, Sociale uitkeringen, Opbrengsten, Grondbedrijf, Financiële Administratie, Algemene uitkeringen en Inkoop en aanbestedingen. Hiermee worden de voor de jaarrekeningcontrole materiële onderdelen gecontroleerd.

Deze werkzaamheden zijn van belang voor onze controle doordat wij het kwaliteitsniveau van de interne beheersing voor deze processen hoger inschatten, en gebruik kunnen maken van de (voorbereidende) werkzaamheden die door medewerker Interne Controle zijn uitgevoerd. De selecties ten behoeve van deze controle maakt de Interne Controle medewerker zelf. Hiermee is opvolging gegeven aan een aanbeveling uit de managementletter voorgaand jaar. De selecties worden nog niet gebaseerd op de omvang en risico-inschatting per proces. Hiermee is nog een verdere verbetering mogelijk.  Een belangrijk punt in het interne controleproces is de evaluatie van tijdens de interne controle geconstateerde fouten en bevindingen. Deze dienen op de juiste wijze vertaald te worden naar conclusies en eventueel aanvullend te verrichten werkzaamheden (foutherstel en/of nader onderzoek). De VIC stelt per uitgevoerde audit een rapportage op waarin men rapporteert over de uitgevoerde onderzoeken. In 2021 wordt nog geen gebruik gemaakt van een uniform format voor de rapportages voor alle processen. Hierbij is het aan te bevelen om de bevindingen en aanbevelingen uit de interne controles niet alleen met de verantwoordelijke teams en directie te delen, maar ook met het college zodat zij de kaders verder vorm kunnen geven en de organisatie kunnen bijsturen. Hierdoor is de plan-do-check-act cyclus tevens geborgd.

 Wij hebben vastgesteld dat de situatie ongewijzigd is ten opzichte van voorgaand jaar. Er wordt een planning in het IC-plan gehanteerd waaruit blijkt welke controles later in het jaar plaatsvinden. Van deze planning is geen achterstand geweest tijdens de interim-controle. Sommige controles vinden in twee delen plaats om zo het hele jaar te omvatten. De lijnorganisatie wordt per mail geïnformeerd over de bevindingen uit de interne controle en de eindrapportage wordt na afronding van de controle van alle steekproeven opgesteld en gerapporteerd aan het MT/DT die nog aanbevelingen kan doen. Daarnaast geldt als constatering dat de VIC in de uitvoering van haar werkzaamheden nu primair gericht is op het uitvoeren van de in het jaarplan opgenomen (gegevensgerichte) testaantallen. In onze optiek kan de meerwaarde van de VIC voor de organisatie nog worden vergroot door ‘aan de voorkant’ nog meer expliciet aandacht te geven aan de opzet en inrichting van de AO/IB per proces alsmede de advisering daaromtrent (systeem-procesgericht). Voor een aantal processen heeft de VIC de eerste stappen hiertoe reeds gezet en wordt in 2022 verder uitgebreid.

Kort samengevat zouden wij verwachten dat de VIC zich, alvorens over te gaan tot het uitvoeren van de testaantallen, ook richt op het beoordelen van eventuele beheersmaatregelen binnen de procesbeschrijvingen en het uitvoeren en documenteren van de omvattende lijncontroles per proces. De testwerkzaamheden zouden zich vervolgens (het liefst een-op-een) moeten verhouden tot de binnen de verschillende processen geïdentificeerde ‘key-controls’ of beheersmaatregelen.