2. Bijlage 1: Management letter 2022 gemeente Haarlem van Deloitte

Managementletter 2022 (inclusief detailbevindingen) Gemeente Haarlem, 18 november 2022

Deloitte Accountants B.V. Wilhelminakade 1 3072 AP Rotterdam Postbus 2031 3000 CA Rotterdam Nederland Tel: 088 288 2888 Fax: 088 288 9830 www.deloitte.nl

Aan de gemeenteraad van de gemeente Haarlem Postbus 511 2003 PB HAARLEM Onderwerp Managementletter 2022 (inclusief detailbevindingen) Datum 18 november 2022 Ons kenmerk 221101E512/ATG

Geacht college, Wij hebben, conform het door uw gemeenteraad genomen besluit, als onderdeel van de jaarrekeningcontrole 2022, de interim-controle voor de gemeente Haarlem uitgevoerd. De interim-controle is primair gericht op de analyse en evaluatie van de interne beheersomgeving en de daarin opgenomen maatregelen van administratieve organisatie en interne controle, voor zover deze relevant zijn voor de jaarrekeningcontrole 2022. Tevens heeft de interim-controle als doel om de aandachtspunten voor de jaarrekening 2022 te signaleren en onder uw aandacht te brengen. In de voorliggende managementletter zijn onze bevindingen en aanbevelingen ter zake opgenomen. Volledigheidshalve merken wij op dat onze analyse en evaluatie is uitgevoerd in het kader van de door u verstrekte opdracht tot controle van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico’s dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten.

Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking die relevant is voor het opmaken en het getrouwe beeld van de jaarrekening en de rechtmatige totstandkoming van de baten, lasten en balansmutaties, gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden. De risico-inschattingen hebben niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing, of over de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel, en bestrijken daarom niet noodzakelijkerwijs alle in de interne organisatie vervatte tekortkomingen. De bevindingen en aanbevelingen kunnen worden gelezen als constructieve aanwijzingen voor het college, als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening. Graag lichten wij deze rapportage en onze bevindingen en aanbevelingen nader aan u toe. Hoogachtend, Deloitte Accountants B.V. drs. A.J. Schutgens RA

Op alle opdrachten verricht door Deloitte, behoudens M&A Diensten, zijn de Algemene Voorwaarden Dienstverlening Deloitte Nederland, januari 2020 gedeponeerd bij de Kamer van Koophandel onder nummer 24362837 van toepassing. Deloitte Accountants B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te Rotterdam onder nummer 24362853. Deloitte Accountants B.V. is a Netherlands affiliate of Deloitte NSE LLP, a member firm of Deloitte Touche Tohmatsu Limited.

Inhoudsopgave Contact De volgende personen beantwoorden graag uw vragen over deze managementletter: Arjan Schutgens Director Deloitte Accountants B.V. Tel: 06 1201 1605 ASchutgens@deloitte.nl Bob Leeuwenkamp Senior Manager Deloitte Accountants B.V. Tel: 06 1201 1643 BLeeuwenkamp@deloitte.nl

Managementsamenvatting | Bestuurlijk relevante bevindingen en aanbevelingen interim-controle •

Overall beeld interne beheersing en organisatieontwikkeling

5

•

Speerpunten auditcommissie

6

•

Aandachtsgebieden interne beheersing

6

Bijlagen Bijlage A. Bevindingen interim-controle 2022

16

Bijlage B. Reikwijdte van onze werkzaamheden

22

Bijlage C. IT bevindingen & IT maturity scan

24

Bart de Nijs Junior Manager Deloitte Accountants B.V. Tel: 06 1210 4989 BdeNijs@deloitte.nl

Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 3

Managementsamenvatting Bestuurlijk relevante bevindingen en aanbevelingen interim-controle

221101E512/ATG/4

Managementsamenvatting | Aandachtsgebieden auditplan 2022 In deze managementsamenvatting geven wij u aan de hand van de aandachtsgebieden uit het auditplan 2022 inzicht in de (ontwikkeling van de) interne beheersing van de gemeente Haarlem voor zover relevant voor de jaarrekeningcontrole 2022. Wij hebben gekozen voor een uitgebreide managementsamenvatting die de essentie van onze bevindingen bevat, zodat deze zelfstandig leesbaar is en geschikt is om te delen met de gemeenteraad. In bijlage A (‘Bevindingen interim-controle 2022’) hebben wij bevindingen voor het college en de ambtelijke organisatie meer in detail toegelicht.

Onderwerp

Boodschap

Overall beeld interne beheersing en organisatieontwikkeling

Overall beeld interim-controle 2022 | Evalueren en keuzes maken in turbulente tijden In toenemende mate komen gemeenten voor uitdagingen te staan die elkaar in rap tempo opvolgen. Hierbij kunt u onder andere denken aan de opvangproblematiek, woningbouwopgave, klimaattransitie (verduurzaming en stikstofproblematiek), een mobiliteitsopgave en de toename van wet en regelgeving door onder andere het sterk groeiend aantal SiSa-regelingen. Dit alles in een tijd van algehele prijsstijging en tekort aan (bouw)materiaal en een effect op het uitgavenniveau van de reguliere begroting. Gevolg is dat de prognoses van de woningbouwproductie onzekerder worden en het risicoprofiel van de grondexploitaties, ook door de stijgende rente, toeneemt. Gelijktijdig is sprake van een krapte op de arbeidsmarkt waardoor vacatures minder snel worden ingevuld en u mogelijk meer inhuurkrachten inzet. Deze uitdagingen vragen veel van het college en de ambtelijke organisatie en benadrukken het belang van prioritering van ambities. Het is prettig om met elkaar te constateren dat de gemeente Haarlem deze uitdagingen aan kan gaan met een interne beheersing die in de basis op orde is. Op korte termijn zien wij door de huidige turbulente tijden een aantal specifieke aandachtspunten voor de jaarrekeningcontrole 2022. Deze betreffen het volgende: •

Jaarlijks stelt u ons een onderbouwing van de waardering van het onderhanden werk (voorraad) inzake de grondexploitaties beschikbaar inclusief position papers. Specifiek aandachtspunten hierbij zijn dit jaar een actuele onderbouwing van de voor 2023 e.v. verwachte inflatie, kosten en opbrengstenindexatie, (potentiële) effecten van de stikstofproblematiek op de grondexploitaties van de gemeente Haarlem (programma en planning) en (potentiële) effecten van het tekort aan bouwmaterialen. Wij maken met uw interne Audit Team afspraken over de voor de controle benodigde stukken en onderbouwingen.

•

Het aantal regelingen dat uw gemeente moet verantwoorden in de SiSa-bijlage alsmede het aantal overige inkomende subsidiebaten neemt in 2022 verder toe. Het is belangrijk de interne controle op de getrouwe verantwoording in de SiSa-bijlage en overige inkomende subsidies en de rechtmatigheid van de bestedingen ervan tijdig uit te voeren en adequaat te documenteren. Wij maken hier met uw interne Audit Team separate afspraken over.

•

Uw interne Audit Team heeft afgelopen jaar te kampen gehad met verloop van medewerkers. Wij zien dat u concrete acties uitzet om openstaande vacatures zoveel als mogelijk in te vullen in een combinatie van vaste en tijdelijke medewerkers. Wij zien dat het Audit Team hierdoor kwetsbaar is en dat bestaande kennis en ervaring verloren is gegaan. Dit is een risico voor de kwaliteit van de interne controles in de derde lijn en voor het balansdossier van de jaarrekening.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 5

Managementsamenvatting | Aandachtsgebieden auditplan 2022 Onderwerp

Boodschap

Speerpunten auditcommissie

In ons auditplan 2022 hebben wij de volgende speerpunten voor de accountantscontrole 2022 geformuleerd: • •

De omvang van de balanspost “Vooruit ontvangen subsidies overheidslichamen” is de afgelopen jaren toegenomen naar € 34 miljoen. U vraagt ons om inzicht te verkrijgen in de samenstelling van dit bedrag, de reden van de toename en inzicht te verkrijgen in de taken en de planning van de gemeente om deze activiteiten uit te voeren. De gemeente Haarlem heeft concrete acties geformuleerd gericht op continuïteitsmanagement (continuïteit van ICT bedrijfsvoering) en strategisch informatiebeveiligingsbeleid, met aandacht voor Cyber Security. Verzoek aan de accountant is om aandacht te besteden aan deze onderwerpen als onderdeel van de IT audit. Deloitte voert een IT maturity analyse uit waarin deze onderwerpen worden geraakt en rapporteert hierover.

Wij zullen over het eerste speerpunt in het accountantsverslag 2022 rapporteren. Het tweede speerpunt maakt onderdeel uit van deze managementletter. Interne beheersing | Fraude en interne frauderisicoanalyse Frauderisicomanagement Fraude blijft een actueel en relevant thema in onze controleaanpak. Wij informeren u daarom jaarlijks over uw aandacht voor fraude, onze zienswijze en evaluatie daarbij. In onze controleverklaring bij de jaarrekening 2021 hebben wij gerapporteerd over het thema fraude en onze werkzaamheden in het kader van de jaarrekeningcontrole. De door ons geïdentificeerde frauderisico’s en uitgevoerde specifieke werkzaamheden zijn als volgt: • Het ingrijpen van het management in de interne beheersing van de gemeente Haarlem (dit risico is altijd aanwezig en is ingegeven vanuit de controlestandaarden*) en controlewerkzaamheden uitgevoerd die inspelen op dit geïdentificeerde frauderisico, waaronder het uitvoeren van een analyse op handmatige journaalposten. • Vanwege het inherente risico dat een schatting vatbaarder is voor fraude bij het maken van de schatting, hebben wij de belangrijkste schattingsposten geëvalueerd. Tevens hebben wij controlewerkzaamheden verricht ten behoeve van het identificeren van ongebruikelijke transacties. Uw gemeente heeft in 2020 voor het eerst een interne frauderisicoscan opgesteld.

Deze interne frauderisicoscan wordt jaarlijks besproken en vastgesteld in de directie. U heeft vorig jaar opvolging gegeven aan onze adviespunten en bespreekt de frauderisicoscan met de portefeuillehouder financiën en agendeert deze in de auditcommissie. Hieruit blijkt dat op bestuurlijk niveau aandacht wordt besteed aan het onderwerp ‘fraude’. U heeft tevens opvolging gegeven aan onze adviespunten door frauderisico’s nadrukkelijk te ‘pinpointen’. Daarnaast heeft u in uw actualisatie jaarlijks ook aandacht voor (fraude)risico’s ten aanzien van het oneigenlijk toe-eigenen van activa, frauduleuze verslaggeving, management override of controls, omkoping & corruptie en cybersecurityrisico’s. Vorig jaar deden wij de aanbeveling om het bestaan en de werking van de genoemde beheersmaatregelen te toetsen en dit zichtbaar vast te leggen. U geeft ons adviespunt invulling door beheersmaatregelen te testen op basis van uw jaarlijkse foutenevaluatie (intern Audit Team) en door een aantal waarnemingen te doen op de beheersmaatregelen ten aanzien van frauderisico's met een hoge kans en impact. Dit past bij een risicogerichte aanpak en tevens uw three lines of defence model, waarbij uw interne Audit Team als repressieve maatregel achteraf toetsingen uitvoert.

* NV COS 240.32 Het management bevindt zich in een unieke positie om fraude te plegen, omdat het in staat is de administratieve vastleggingen te manipuleren en frauduleuze financiële overzichten op te stellen door interne beheersingsmaatregelen te doorbreken die anderszins effectief lijken te werken. Hoewel het risico dat het management interne beheersingsmaatregelen doorbreekt in sommige entiteiten groter is dan in andere, is het in alle entiteiten aanwezig.

221101E512/ATG

Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 6

Managementsamenvatting | Aandachtsgebieden auditplan 2022 Onderwerp

Boodschap

Interne beheersing | Grondexploitatie

In onze managementletter 2021 hebben wij gerapporteerd dat eerder door ons geconstateerde en gerapporteerde bevindingen inzake de interne beheersing nog niet opgevolgd zijn. In Bijlage A hebben wij de detailbevindingen opgenomen en geconcludeerd dat uw organisatie op bepaalde vlakken verbetering heeft aangebracht in de interne beheersing. Wij vinden dit een positieve ontwikkeling. Op grond hiervan concludeerden wij dat de interne beheersing rondom de grondexploitaties in de basis op orde is. Als gevolg van de eerder benoemde uitdagingen waar gemeenten mee geconfronteerd worden, zoals de woningbouwopgave, klimaattransitie (verduurzaming en stikstofproblematiek), een toename van het tekort aan (bouw)materiaal en een sterk oplopende inflatie en rente, is het voor het controleproces van de grondexploitatie ten behoeve van de jaarrekening 2022 van groot belang dat deze tijdig kan aanvangen. Als gevolg van de personele wisselingen binnen uw Audit Team, zullen wij een aantal afspraken maken om te waarborgen dat sprake is van een efficiënt en effectief opstel- en controleproces van de (waardering van de) grondexploitatie bij de jaarrekening 2022. Het spreekt voor zich dat het belangrijk is samen de ontwikkelingen en de voortgang ter zake nauwgezet te monitoren en tijdig met elkaar te overleggen als de afgesproken planning mogelijk niet haalbaar is.

Voorts is het belangrijk in relatie tot het geschatte percentage kosten- en opbrengstenstijging, dat: - Het college in de jaarrekening adequaat toelicht waarom welke percentages zijn gekozen en wat de financiële impact is/kan zijn als de werkelijke stijging in de komende jaren hiervan (sterk) afwijkt. - Ter onderbouwing van de genoemde financiële impact voor de jaarrekening enkele (extra) scenario’s op dit aspect doorgerekend worden. Een dergelijke sensitiviteitsanalyse maakt inzichtelijk hoe gevoelig de individuele projecten en de totale grondexploitatie zijn voor afwijkingen in de toekomstige kosten- en opbrengstenontwikkeling. - Het kan zijn dat in de komende periode – zelfs nog in 2023, bij/na het opmaken maar voor het vaststellen van de jaarrekening – nog informatie of inzichten beschikbaar komen, waardoor het nu gekozen percentage kosten- en opbrengstenstijging nog aanpassing vergt. Wij adviseren daarom volledigheidshalve de ontwikkelingen nauwgezet te blijven volgen en hiermee waar nodig rekening te houden in de definitieve berekeningen en onderbouwingen voor de jaarrekening 2022. Over onze bevindingen inzake de waardering van de grondexploitatie rapporteren wij in het accountantsverslag bij de jaarrekening 2022.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 7

Managementsamenvatting | Aandachtsgebieden auditplan 2022 Onderwerp

Boodschap

Interne beheersing | Blijvende aandacht voor de naleving van Europese aanbestedingsregels

De naleving van Europese aanbestedingsregels is voor veel organisaties complexe materie. Als gevolg van complexe regelgeving en het aantal betrokkenen bij het inkoopproces, kan eenvoudig een verkeerde (niet Europese) aanbestedingsprocedure worden gekozen. Uw gemeente heeft de afgelopen jaren diverse maatregelen getroffen om de naleving van de interne- en Europese aanbestedingsregels beter te borgen. Als onderdeel van deze maatregelen werkt de organisatie momenteel aan een centrale inkoopkalender, kennis- en informatiedeling via uw Intranet en is een richtlijn ontwikkeld in het geval dat uw organisatie wilt afwijken van uw inkoopbeleid. In het laatste geval dient uw juridisch team verplicht geconsulteerd te worden. Met deze consultatieverplichting wilt u borgen dat opdrachten onrechtmatig worden verstrekt. Wij verwijzen naar Bijlage A voor een gedetailleerde beschrijving van de verrichte verbeteringen in de interne beheersing. Aangezien de genoemde maatregelen tot op heden niet (volledig) geïmplementeerd zijn, blijft de repressieve controle door financiën en uw Audit Team van belang. Daarbij wordt jaarlijks nagegaan of een opdracht niet via een verkeerde procedure ‘in de markt’ is gezet. Dit gebeurt aan de hand van een spendanalyse.

Wij hebben dit jaar uw en onze aanpak verder met elkaar in lijn gebracht door controlewerkzaamheden in een eerder stadium uit te voeren ten einde eerder conclusies te kunnen vormen over de rechtmatige aanbesteding van uw inkopen. Uw organisatie is op dit moment bezig om de rechtmatigheidsfout van onterecht niet Europees aanbestede contracten te bepalen welke mogelijk doorwerken vanuit 2021 (en eerder). De verwachting is dat dit in de komende periode afgerond is, waarna wij onze controlewerkzaamheden verrichten. Wij vragen blijvend uw aandacht voor het verder verbeteren van de preventieve beheersmaatregelen omtrent de naleving van de Europese aanbestedingsregels. Inmiddels heeft u acties in gang gezet. Zie tevens onze bevindingen.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 8

Managementsamenvatting | Aandachtsgebieden auditplan 2022 Onderwerp

Boodschap

Interne beheersing | Betrouwbaarheid en continuïteit geautomatiseerde gegevensverwerking

Het primaire doel van een controle van de jaarrekening is het afgeven van een controleverklaring bij de jaarrekening. Voor dit doeleinde inventariseren wij de IT-omgeving, risico’s en tekortkomingen ten aanzien van de volgende drie gebieden: Logische toegangsbeveiliging, Wijzigingsbeheer, Datacentrum en Netwerkactiviteiten. Wij hebben in het kader van onze IT audit inzicht verkregen in opzet en bestaan van algemene IT-beheersingsmaatregelen voor de applicaties GWS (SSD), GFS (JDE), Oracle Database en het Windows AD Domein. Bevindingen naar aanleiding van deze IT audit hebben wij afgelopen jaar gerapporteerd. Tijdens de interim-controle 2022 hebben wij werkzaamheden verricht op de opvolging van deze bevindingen. Ten aanzien van de algemene IT beheersmaatregel heeft de gemeente in 2022 verschillende acties uitgevoerd om de betrouwbaarheid en continuïteit te versterken, zoals het opnemen van prioriteiten van toegangsrechten, toegang van beheerders in het informatieveiligheidsplan 2021 en het versterken van beheersprocessen. Wij merken op dat ten tijde van de interimcontrole niet alle bevindingen, met name op gebruikersrechten en gebruikersrollen, zijn opgepakt. De bestaande systemen waar onze IT bevindingen op toezien bieden onvoldoende functionaliteit om deze op te lossen.

Voor 2022 waren wij niet voornemens om de algemene IT-beheersingsmaatregelen te toetsen op effectieve werking. Gezien het aantal en de aard van onze bevindingen naar aanleiding van de uitgevoerde IT audit is dat op dit moment ook niet effectief om te doen. Dat impliceert dat wij op dit moment geen systeemgerichte controleaanpak toepassen waarbij gesteund kan worden op de algemene IT-beheersingsmaatregelen van de systemen. Tevens hebben wij een IT Maturity Assessment uitgevoerd. In bijlage C van deze managementletter rapporteren wij over IT bevindingen en ons IT Maturity Assessment.

Interne beheersing | Verlofsparen (wel of geen voorziening te vormen)

Met de invoering van de cao gemeenten 2021-2022 kunnen medewerkers vanaf 1 januari 2022 bovenwettelijke vakantie-uren sparen. Met dit 'verlofsparen' kunnen medewerkers passend bij hun levensfase hun bovenwettelijke vakantie-uren inzetten op een manier die aansluit bij hun persoonlijke levens- en carrièreplanning en het gemeentelijke vitaliteitsbeeld. Deze vakantie-uren verjaren niet. Het verlofsparen kan leiden tot verlofstuwmeren die medewerkers bijvoorbeeld inzetten voor een sabbatical of om eerder met pensioen te gaan, en roept daarmee een tweetal vraagstukken op: •

Voor de continuïteit van de bedrijfsvoering heeft uw gemeente in beeld wie aan verlofsparen doet c.q. gaat doen en wanneer de medewerkers verwachten deze uren op te nemen. Met dit inzicht kan de gemeente tijdig anticiperen op bijvoorbeeld langdurige afwezigheid bij een sabbatical of vertrek van medewerkers door vervroegd pensioen.

•

Voor de financiering van de verplichting uit hoofde van gespaarde verlofuren is het de vraag of de gemeente ter zake een voorziening moet vormen. Aangezien bij verlofsparen (waarschijnlijk) sprake is van arbeidskostengerelateerde verplichtingen die een niet voorspelbare opbouw en daarmee ook onvoorspelbare afbouw kennen, dient de gemeente hiervoor een voorziening dient te vormen (voor arbeidskostengerelateerde verplichtingen met een jaarlijks vergelijkbaar volume geldt vanuit het BBV een verbod op het vormen van een voorziening). De organisatie brengt momenteel – voor zover dit nu al kan – de mogelijke financiële gevolgen in beeld. Hierbij zijn diverse uitvoeringsvraagstukken te onderkennen, zoals met welk uurtarief de gemeente moet rekenen en in hoeverre de gemeente rekening moet houden met het verwachte moment van opname van de gespaarde verlofuren. Inmiddels is dit voorgelegd aan de commissie BBV. Zodra de commissie BBV de vragen heeft beantwoord, kan uw organisatie de hoogte van de voorziening bepalen en de gemeenteraad hierover informeren (inclusief voorstel voor dekking van de te vormen voorziening). 221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 9

221101E512/ATG/10

Managementsamenvatting | Aandachtsgebieden auditplan 2022 Onderwerp

Boodschap

Interne beheersing | Ontwikkeling financiële beheersing sociaal domein

Actuele ontwikkelingen en interne beheersing sociaal domein Het sociaal domein kent een constante zoektocht naar het vinden van een balans tussen het verder verbeteren van de beheersing en de dagelijkse ‘uitdagingen’. We zien in de afgelopen jaren dat in toenemende mate maatschappelijke uitdagingen ontstaan waarvoor het sociaal domein van de gemeente aan de lat staat. Je kunt hierbij denken aan de uitvoering van de Tijdelijke ondersteuning zelfstandig ondernemers (TOZO), de toeslagenaffaire, de asielcrisis, en de toenemende schuldenproblematiek als gevolg van inflatie. De uitdaging die hierbij ontstaat is dat u de dienstverlening binnen het sociaal domein slechts in een zeer beperkte mate kunt prioriteren. De verschillende crises vragen om een snelle actie van het gemeentebestuur daar het direct het welzijn van inwoners uit de stad raakt. Wij zien dat u passende aandacht heeft voor de wijze waarop de dienstverlening wordt georganiseerd. Afgelopen jaar hebben wij met uw organisatie een deep-dive sessie georganiseerd, waaruit duidelijk blijkt waar uw prioriteiten liggen voor de organisatie van het sociaal domein. Een aantal van de verbeterpunten die wij in ons accountantsverslag hebben gerapporteerd maakt al onderdeel uit van uw eigen voorstellen.

Tevens heeft u een aanbesteding van de Jeugdzorg doorlopen, waarbij u kritisch heeft gekeken naar onder meer uw organisatiedoelen (waaronder compliance), aantallen zorgaanbieders, de bekostigingsmethode, verantwoording en (interne) controle. Wij hebben op basis van onze kennis bij andere gemeenten gesprekken met u over de inrichting van verantwoording en (interne) controle bij een wijziging van bekostigingsmethode naar de taakgerichte uitvoeringsvariant. Het terugbrengen van het aantal zorgaanbieders en afrekenen op basis van de taakgerichte uitvoeringsvariant brengt andersoortige beheersmaatregelen met zich mee. Bijvoorbeeld door toepassing van data-analyse aan de hand van het zorgberichtenverkeer en kwartaalevaluaties over de uitputting van het vaste (lumpsum) budget. Zodra op basis van een vast (lumpsum) budget wordt afgerekend is het voor de verantwoording in de jaarrekening tevens van belang om vooraf duidelijke afspraken te maken over de wijze waarop het definitieve budget wordt vastgesteld en bijstelling kan plaatsvinden. U heeft ten aanzien van de PGB's in 2021 een onderzoek laten uitvoeren door een extern bureau, waarbij in de vorm van o.a. huisbezoeken voor de Wmo nader inzicht verkregen wordt in de getrouwe besteding (prestatielevering) van PGB-bestedingen en de kwaliteit van de geleverde zorg.

Op basis van de uitkomsten van het onderzoek bent u beter in staat om fouten en onzekerheden te kwantificeren. Het afgelopen jaar heeft de evaluatie van fouten en onzekerheden van zowel u als ons extra controletijd gevergd. Met uw ambtelijke organisatie maken wij afspraken om vroegtijdig betrokken te zijn in het onderzoek door het extern bureau, specifiek in de wijze waarop fouten en onzekerheden worden gedefinieerd en vervolgens gekwantificeerd. De reden is dat het onderzoek door het extern bureau breder is (meerdere doelen dient) dan onze controle van de jaarrekening. Wij benaderen de evaluatie vanuit het perspectief van controle op een getrouwe en rechtmatige verantwoording in de jaarrekening. Concreet betekent dit dat wij de gemeente aandacht vragen voor met name: • De populatie waarop de steekproef is gebaseerd en de wijze van het trekken van de steekproeven. • De toetspunten die betrokken worden in het onderzoek en de classificatie van deze toetspunten naar relevantie voor een oordeel over getrouwheid (prestatielevering) en (financiële) rechtmatigheid;. • Het onderscheid in financiële en niet-financiële fouten. • De wijze van het extrapoleren van geconstateerde fouten en onzekerheden. • Het formuleren van een standpunt over de omvang van fouten en onzekerheden in de jaarrekening, waarbij onderscheid gemaakt wordt in fouten ten aanzien van getrouwheid en rechtmatigheid.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 11

Managementsamenvatting | Aandachtsgebieden auditplan 2022 Onderwerp

Boodschap

Interne beheersing | Rechtmatigheidsverantwoording

Op 27 september 2022 heeft de eerste kamer de Wet versterking decentrale rekenkamers vastgesteld. Een onderdeel van deze wet vormt de invoering van de rechtmatigheidsverantwoording. Met ingang van 2023 zal niet langer de accountant een oordeel geven over het al dan niet rechtmatig handelen door het college, maar zal het college hierover zelf verantwoording afleggen in de jaarrekening. Dit betreft de rechtmatigheidsverantwoording. Wij zullen als uw accountant de rechtmatigheidsverantwoording in de jaarrekening toetsen zoals wij ook andere toelichtingen in de jaarrekening toetsen. Verantwoordelijkheid van de gemeenteraad Een belangrijk element binnen de rechtmatigheidsverantwoording betreft de verantwoordingsgrens. De verantwoordingsgrens is de grens waarboven het college de afwijkingen rapporteert in de rechtmatigheidsverantwoording. Deze verantwoordingsgrens moet liggen tussen de 0% en 3% van uw lasten. Uw raad heeft in maart 2021 besloten om een verantwoordingsgrens van 1% voor fouten en onduidelijkheden te hanteren. De materialiteitsgrens van 1% sluit aan bij de grens die wij hanteren voor de jaarrekeningcontrole. Aangezien de verantwoordingsgrens geen impact heeft op de diepgang van de door de accountant uitgevoerde werkzaamheden zorgt het hanteren van een verantwoordingsgrens gelijk aan de materialiteit voor een eenduidig beeld bij de beoordeling van afwijkingen.

De raad kan naast de verantwoordingsgrens een rapporteringsgrens meegeven aan het college waarboven een nadere uiteenzetting in de paragraaf bedrijfsvoering wordt verwacht. Voor zover afwijkingen de rapporteringsgrens overschrijden is het college verplicht om een toelichting te geven welke maatregelen worden genomen om deze afwijkingen in de toekomst te voorkomen. Uw raad heeft een rapporteringsgrens van 5% van de verantwoordingsgrens vastgesteld. Voor de controle van het boekjaar 2023 is het verder van belang dat de van toepassing zijnde kaders (ofwel het normenkader voor de financiële rechtmatigheid) tijdig door de raad worden vastgesteld. Een belangrijke wijziging treedt op in de controleverordening. In de controleverordening zijn de kaders voor toetsing door de accountant opgenomen. Doordat het college gaat rapporteren over de rechtmatigheid en de accountant de toetsing van de rechtmatigheid zal doen aan de hand van de rechtmatigheidsverantwoording zal dit leiden tot een aanpassing. Verder kan aan de financiële verordening de verantwoordingsgrens worden toegevoegd. Dit is echter geen verplichting. De controleverordening dient wel te worden aangepast op de veranderende verantwoordelijkheden rondom de getrouwheid en rechtmatigheid.

Verantwoordelijkheid van het college Het college voert het met de gemeenteraad overeengekomen beleid uit binnen de door de gemeenteraad vastgestelde kaders. Het college is met ingang van 2023 verantwoordelijk voor: • Het opmaken van de jaarrekening die het vermogen en resultaat getrouw dient weer te geven in overeenstemming met het Besluit Begroting en Verantwoording (hierna BBV). Daarin is begrepen de zogenaamde rechtmatigheidsverantwoording, die een getrouw beeld geeft van de rechtmatige totstandkoming van de in de jaarrekening opgenomen lasten, baten en balansmutaties. • Een zodanig systeem van interne beheersing, inclusief het operationaliseren van het normenkader naar een rechtmatigheidstoetsingskader, dat noodzakelijk is om het opmaken van de jaarrekening inclusief de rechtmatigheidsverantwoording mogelijk te maken zonder afwijkingen van materieel belang als gevolg van fraude of fouten.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 12

Managementsamenvatting | Aandachtsgebieden auditplan 2022 Onderwerp

Boodschap

Interne beheersing | Rechtmatigheidsverantwoording (vervolg)

Verantwoordelijkheid van het college (vervolg) De verantwoordelijkheid van het college voor het opstellen van een betrouwbare rechtmatigheidsverantwoording brengt met zich mee dat het college moet zorgdragen dat de gemeentelijke administratie adequate onderbouwing bevat voor de beweringen in de rechtmatigheidsverantwoording. In dat kader dient het college te borgen dat (rechtmatigheids)bevindingen (centraal) worden geregistreerd. Op basis van deze registratie heeft het college inzicht in de ontwikkeling van de onrechtmatigheden (gedurende het jaar en over jaargrenzen heen), kan corrigerend worden opgetreden om onrechtmatigheden te voorkomen en waar mogelijk te (tijdig) herstellen. Het college is verantwoordelijk voor het vormgeven van zodanige interne beheersing dat te allen tijde rechtmatig wordt gehandeld. Dit kan middels interne beheersing in de lijnorganisatie (zoals voldoende controle technische functiescheiding, formats voor beschikkingen, toetsingsrapportages, etc.), werkzaamheden door ondersteunende afdelingen (Financiën en Interne Dienstverlening) en eventuele overige verbijzonderde interne controles (VIC door uw Audit Team). Waar staat de gemeente Haarlem nu? De gemeente heeft de afgelopen jaren een solide basis gelegd in aanloop naar de rechtmatigheidsverantwoording.

Met behulp van uw Audit Team is een Financial audit plan 20222024 vormgegeven op basis waarvan een zodanige interne beheersing is vormgegeven dat het college in staat stelt verantwoording af te leggen middels de rechtmatigheidsverantwoording. Als gevolg van de invoering van de rechtmatigheidsverantwoording past u uw controleverordening en financiële verordening aan. De aanpassingen worden aan de raad voorgelegd. Uw ambtelijke organisatie borgt de implementatie van de rechtmatigheidsverantwoording door middel van het uitbreiden van een pilot. Over controlejaar 2021 heeft uw organisatie een pilot uitgevoerd en over de uitkomsten gerapporteerd in de jaarstukken. De processen, en bijbehorende transactiestromen, rondom Jeugd, Wmo, Sociale uitkeringen en Inkoop & Aanbesteding waren onderdeel van de pilot. Om verantwoording af te leggen over de rechtmatigheid van deze processen heeft uw organisatie verscheidene (verbijzonderde) interne controles uitgevoerd. Deze werkzaamheden sluiten aan op de werkzaamheden die uw Audit team reeds verrichtte. Van uw organisatie hebben wij begrepen dat de uitgevoerde pilot soepel is verlopen en dat de reacties van de betrokken afdelingsmanagers eveneens positief waren. Voor controlejaar 2022 bent u van plan om de pilot voor de rechtmatigheidsverantwoording uit te breiden naar alle processen.

Op basis van de uitgevoerde pilot en uw Financial audit plan 2022-2024 vragen wij aandacht voor het volgende: •

De primaire processtap voor de rechtmatigheidsverantwoording ligt bij de vakafdelingen. Op basis van het three lines of defencemodel voert de derde lijn (intern Audit Team) achteraf verbijzonderde interne controlewerkzaamheden uit. Als gevolg van de wisselingen binnen uw Audit Team is het van belang dat de geplande (verbijzonderde) interne controles uitgevoerd blijven worden teneinde verantwoording te kunnen afleggen over de rechtmatigheid van alle transactiestromen. Wij vragen u om tijdig in kaart te brengen wat de impact is van de wijzigingen binnen uw Audit Team op uw Financial audit plan 2022-2024, de geplande werkzaamheden en de uitvoering van interne controle werkzaamheden.

•

Wij vragen u om een kritische beschouwing te doen van het beoogde moment van afronding van de verbijzonderde interne controles. Specifiek voor werkzaamheden binnen het Sociaal Domein en op het gebied van de rechtmatigheid Europese aanbestedingen. 221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 13

Managementsamenvatting | Aandachtsgebieden auditplan 2022 Onderwerp

Boodschap

Interne beheersing | Opvolging (overige) aanbevelingen managementletter en accountantsverslag 2021

Bij de interim- en jaarrekeningcontrole 2022 gaan wij ook de opvolging na van onze overige aanbevelingen uit de managementletter en het accountantsverslag (voor zover deze zaken niet als afzonderlijk speerpunt zijn benoemd). In dit kader doen wij hierna verslag over ons overall beeld van de interne beheersing vanuit de door ons bij de interim-controle onderzochte processen.

Interne beheersing | Overall beeld

Bij de interim-controle 2022 hebben wij de interne beheersing onderzocht van de voor de jaarrekening relevante processen. Overall is de interne beheersing – vanuit de opdracht voor de jaarrekeningcontrole bezien – van voldoende niveau.

In het accountantsverslag bij de jaarrekening 2022 rapporteren wij over de opvolging van onze (overige) aanbevelingen die gerelateerd zijn aan de jaarrekening(controle).

De processen die wij bij de interim-controle hebben onderzocht, zijn: • Memoriaalboekingen en financiële verslaggeving • Investeringen • Grondexploitatie • Inkopen, aanbesteden en betalingsverkeer • Algemene uitkering • Plaatselijke belastingen en heffingen • Salarissen • Sociaal domein en uitkeringen sociale zaken • Treasury • Subsidieverstrekkingen; en • Overige opbrengsten: subsidie-, verhuur- en parkeeropbrengsten In deze managementletter hebben wij onze detailbevindingen weergegeven (inclusief status opvolging eerdere aanbevelingen).

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 14

Managementsamenvatting | Aandachtsgebieden auditplan 2022 Onderwerp

Boodschap

Interne beheersing | Aandachtspunten voor de jaarrekening 2022

Voor het opstel- en controleproces van de jaarrekening 2022 benoemen wij op basis van de jaarrekeningcontrole 2021 en interim-controle 2022 de volgende specifieke aandachtspunten: • Jaarlijks stelt u ons een onderbouwing van de waardering van het onderhanden werk (voorraad) inzake de grondexploitaties beschikbaar inclusief position papers. Specifiek aandachtspunten hierbij zijn dit jaar een actuele onderbouwing van de voor 2023 e.v. verwachte inflatie, kosten en opbrengstenindexatie, (potentiële) effecten van de stikstofproblematiek op de grondexploitaties van de gemeente Haarlem (programma en planning) en (potentiële) effecten van het tekort aan bouwmaterialen. Wij maken met uw interne Audit Team afspraken over de voor de controle benodigde stukken en onderbouwingen. • Onderbouwing van de voorziening voor verlofsparen op basis van de (nog uit te brengen) uitspraak van de commissie BBV. • Het mogelijk doorbreken van de interne beheersing door het management (‘management override’), waarbij wij specifiek aandacht vragen voor de onderbouwing van de materiële schattingen in de jaarrekening (inclusief evaluatie van de in de jaarrekening 2021 opgenomen schattingen) en een toereikende autorisatie van en controle op memoriaalboekingen. Dit maakt onderdeel uit van uw jaarlijkse verbijzonderde interne controles.

• Uw interne en onze externe controle op Europese aanbestedingen sluiten goed op elkaar aan. Van belang is dat een tijdige controle op de rechtmatigheid van de inkopen wordt uitgevoerd, waarbij tijdig inzicht bestaat over de doorwerkende rechtmatigheidsfout van eerdere jaren en een foutenevaluatie is uitgevoerd. U heeft dit in uw planning opgenomen. • Het aantal regelingen dat uw gemeente moet verantwoorden in de SiSa-bijlage neemt naar verwachting in 2022 verder toe. Het is belangrijk de interne controle op de getrouwe verantwoording in de SiSa-bijlage en de rechtmatigheid van de bestedingen tijdig uit te voeren en adequaat te documenteren. Dit maakt onderdeel uit van uw jaarlijkse planning. • Net als voorgaande jaren een position paper met een fiscale onderbouwing van een eventuele verplichting voor de vennootschapsbelastingplicht.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 15

Bijlage A Bevindingen interim-controle 2022

221101E512/ATG/16

Bijlage A – Bevindingen interim-controle 2022 Inleiding Bij de interim-controle 2022 hebben wij de interne beheersing onderzocht van de voor de jaarrekening relevante processen. Overall is de interne beheersing – vanuit de opdracht voor de jaarrekeningcontrole bezien – van voldoende niveau. De detailbevindingen lichten wij in dit hoofdstuk toe en wij hanteren daarbij als ‘scores’:

Voor de detailbevindingen hebben wij de gerapporteerde bevindingen als basis gehanteerd en daarbij een toelichting gegeven wat uw voortgang is 2022.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 17

Bijlage A – Bevindingen interim-controle 2022 #1.1 Grondexploitaties – zichtbare interne controle 1e en 2e lijn Bevinding interim-controle 2021 Uw planeconomen actualiseren twee maal per jaar de grondexploitatieopzetten (per 30 september en per 31 december). De planeconomen toetsen of geplande investeringen voldoen aan WRO/BRO en het BBV, of de planning realistisch is en of de prognoses onderbouwd zijn (1e lijn). Het Audit Team heeft geconstateerd dat achteraf niet vastgesteld kan worden dat deze toetsen gedurende het jaar zijn uitgevoerd, behalve dan wellicht aan de hand van eventuele mailcorrespondentie. De uiteindelijke uitkomsten van de toets blijken overigens wel uit het grondexploitatie project memorandum waarmee de planeconoom (en procesmanager) verantwoording afleggen voor ieder grondexploitatieproject. Door het ontbreken van zichtbare interne beheersing kunt u achteraf niet aantonen dat controles in de 1e lijn daadwerkelijk (zichtbaar) hebben plaatsgevonden. Dit heeft tot gevolg dat grondexploitatieopzetten na controle in de 1e lijn mogelijk nog afwijkingen bevatten ten aanzien van de WRO/BRO of BBV, dat de planning niet realistisch is of dat de prognoses onvoldoende onderbouwd zijn door de 1e lijn. Dit zorgt mogelijk voor extra werkzaamheden bij uw Audit Team (3e lijn).

Het Audit Team adviseerde vorig boekjaar om via een beperkte procedurebeschrijving inzichtelijk te maken op welke wijze de toetsing in de 1e lijn plaatsvindt en welke aspecten daarin worden betrokken. Wij onderschrijven deze bevinding en vragen uw aandacht om uiteen te zetten waar brongegevens, die worden gehanteerd in de opzetten, aan zijn ontleend en welke controles de gemeente heeft uitgevoerd om te borgen dat de berekeningen juist en volledig zijn. Hierbij is het belangrijk dat de controles zichtbaar worden vastgelegd zodat achteraf herleidbaar is dat de berekeningen (op de juiste wijze) zijn gecontroleerd. Overigens wordt de controle achteraf door het Audit Team wel zichtbaar vastgelegd. Status interim-controle 2022 Uit bespreking met uw planeconomen en uw interne Audit team is gebleken dat bovenstaande bevinding nog steeds van toepassing is. Op dit moment is uw organisatie bezig met de actualisatie van de nota Grondbeleid 2018. In de geactualiseerde versie van de nota Grondbeleid zal aandacht besteed worden aan interne beheersing, het proces rondom de actualisatie van grondexploitatieberekeningen en de periodiciteit van informatievoorziening. De nieuwe nota Grondbeleid zal in 2023 aan de gemeenteraad worden voorgelegd.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 18

Bijlage A – Bevindingen interim-controle 2022 #1.2 Grondexploitaties – opstellen scenario's Bevinding interim-controle 2021 Wij hebben bij de interim-controle 2021 vastgesteld dat de grondexploitaties worden opgesteld op basis van het realistische scenario (best estimate). De gemeente heeft geen scenario's voor 'worst' en 'best' case of een crisis scenario. De gemeente neemt wel risico's mee in haar grondexploitatie waarbij rekening gehouden wordt met faseringsrisico's of prijsrisico's. Het opstellen van scenario’s geeft u inzicht in de mogelijke (negatieve) financiële gevolgen van alternatieve scenario’s. De uitkomsten van de scenario’s en in het bijzonder het worst case scenario kan het daarmee samenhangende risico worden gekwantificeerd en mee worden genomen in het bepalen van de benodigde weerstandscapaciteit en de ratio’s van het weerstandsvermogen Status interim-controle 2022 Wij hebben met uw planeconomen gesproken en vastgesteld dat u in uw Meerjaren Perspectief Grondexploitaties (MPG) een scenario-analyse heeft opgenomen met betrekking tot de faseringsrisico's en prijsrisico's. Dit betreffen onder andere scenario's met analyses rondom de gehanteerde parameters voor kosten- en opbrengstenstijgingen. Uw planeconomen zijn medio 2022 gestart met het explicieter in kaart brengen van project- en marktrisico's ten einde de risico's per complex beter te kunnen kwantificeren.

U ervaart deze ingeslagen werkwijze als positief bij de eerste complexen. De benoemde werkwijze zal nadrukkelijk meegenomen worden in de actualisatie van de Nota Grondbeleid. Deze zal naar verwachting medio 2023 aangeboden worden aan de gemeenteraad. Als gevolg van de huidige marktontwikkelingen en oplopende inflatiecijfers, vragen wij u om, in aanloop naar de jaarrekening, kritisch de complexen door te nemen en eventuele project specifieke risico's te identificeren. Daarbij is het van belang dat u aanvullende aandacht heeft voor best- en worst case scenario’s. Overigens vragen wij u om deze werkzaamheden uit te voeren passend bij het al dan niet beperkte risicoprofiel van de verschillende complexen. Ons aandachtspunt heeft voornamelijk betrekking op nog te starten en meer risicovolle projecten, zoals WBI (woningbouwimpuls)-zones. Afhankelijk van het risicoprofiel geeft u in het MPG aandacht aan scenarioanalyses.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 19

Bijlage A – Bevindingen interim-controle 2022 #2.1 Europese aanbestedingen – preventieve maatregelen Bevinding interim-controle 2021 In het proces van aanbestedingen ligt de focus op detectieve in plaats van preventieve maatregelen. De functionaliteit van het contractenregister wordt nog niet volledig benut om te fungeren als belangrijke beheersingsmaatregel ter borging van de naleving van het eigen inkoopbeleid en externe wetgeving. Uw Audit Team merkt op dat het bewustzijn omtrent onrechtmatig handelen op het gebied van aanbestedingen is toegenomen en dat de directie in een aantal gevallen is geconsulteerd over risico's op mogelijke afwijkingen van de EU-aanbestedingsrichtlijnen. Steeds vaker vooraf, maar regelmatig ook achteraf bij het constateren van onrechtmatigheden. Omdat het op dat moment niet meer mogelijk is herstelacties uit te voeren, adviseert het Audit Team om een formele escalatieprocedure in te stellen. Dit maakt de aanbesteding dan niet rechtmatig, maar de motivatie is op voorhand wel duidelijk. Overigens dient slechts in uitzonderingsgevallen sprake te zijn van het toepassen van deze escalatieprocedure. De onrechtmatigheid dient, na het toepassen van deze procedure, altijd gemeld te worden aan het college.

Een belangrijke preventieve beheersmaatregel in het proces van aanbesteden is de interne afspraak dat budgethouders inkopen vanaf EUR 70.000 centraal dienen aan te melden bij Team Inkoop en Aanbesteden. Op dat moment start het inkooptraject. Team Inkoop en Aanbesteden verstrekt een maatwerkadvies ten aanzien van de te volgen aanbestedingsprocedure waarbij eveneens de centrale contractenbank geraadpleegd wordt om vast te stellen of de gemeente voor soortgelijke leveringen of diensten reeds een (raam)overeenkomst heeft afgesloten. In de praktijk wordt deze beheersmaatregel (zeker bij kleinere inkopen) echter vaak niet nageleefd. Status interim-controle 2022 Bij de jaarrekeningcontrole 2021 zijn de onrechtmatigheden inzake EU-aanbestedingen afgenomen ten opzichte van boekjaar 2020, waardoor de ingeslagen weg positieve effecten laat zien. Uw organisatie heeft de afgelopen periode verschillende verbeteringen doorgevoerd, zoals: •

Een procedure in het geval van afwijkend van het aanbestedingsbeleid, waarbij de teammanager, de afdelingsmanager of team JZ/Inkoop om advies wordt gevraagd en de directie al dan niet instemt met het verzoek om af te wijken.

•

Het professionaliseren van contractbeheer, -management en beheer van de contractenbank.

•

Het zoveel als mogelijk onderbrengen van nieuwe opdrachten onder bestaande (of nieuwe) raamcontracten te verstrekken.

•

Het verstevigen van de kennis en bewustwording binnen uw organisatie door middel van het faciliteren van trainingen en publicaties op uw intranet.

•

Het digitaliseren en centraliseren van uw inkoopkalender.

E.e.a. is aan bod gekomen tijdens onze deep-dive sessie die wij in het kader van de jaarrekeningcontrole 2021 hebben georganiseerd met uw ambtelijke organisatie. Wij zullen tijdens de jaarrekeningcontrole 2022 kennis nemen van het effect van de genomen verbetermaatregelen. Wij zien een positieve tendens aan de hand van de afname van de afwijking in het afgelopen jaar ten opzichte van het jaar daarvoor. 221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 20

Bijlage A – Bevindingen interim-controle 2022 #3.1 Sociaal Domein – Controle prestatielevering Bevinding interim-controle 2021 Met ingang van 2015 zijn gemeenten in Nederland middels de zogenaamde ‘decentralisatie sociaal domein’ verantwoordelijk voor de taken binnen het sociaal domein. Een belangrijk onderdeel om vast te stellen of de bestedingen in het sociaal domein rechtmatig zijn betreft de controle of de prestatie voor de betaalde zorg daadwerkelijk geleverd is. De gemeente Haarlem is op dit moment ten aanzien van het aspect prestatielevering in grote mate afhankelijk van de productieverantwoordingen met bijbehorende controleverklaringen van zorgaanbieders. Medio 2018 heeft uw Audit Team het Auditplan Jeugd en Wmo opgesteld. In dit plan is een groeimodel opgenomen om te komen tot een sluitende controleaanpak ten aanzien van de baten en lasten gerelateerd aan het sociaal domein. De gemeente Haarlem wil toegroeien naar een model waarin de eigen interne organisatie voldoende waarborgen biedt om zelfstandig de benodigde zekerheid te verkrijgen omtrent de daadwerkelijke realisatie (en kwaliteit) van in rekening gebrachte zorg. Wij hebben vastgesteld dat voor zowel Jeugdhulp als Wmo interne controleplannen zijn opgesteld en dat een start is gemaakt met de implementatie hiervan.

De implementatie is echter nog niet zo ver dat prestatielevering van de geleverde zorg zelfstandig kan worden vastgesteld. De afhankelijkheid van de productieverantwoordingen van de zorgaanbieders past niet in de doelstellingen van de implementatie van het sociaal domein. Hoewel er veelal weer sprake is van een goedkeurende controleverklaring bij de productieverantwoording van de zorgaanbieder, zorgt de deadline van 1 april van het daaropvolgende boekjaar voor de productieverantwoordingen van zorgaanbieders voor een vertraging in het tijdspad van het jaarrekeningproces van de gemeente. Hierdoor kan de controle sociaal domein van de gemeente Haarlem pas enkele weken na de periode van de jaarrekeningcontrole worden uitgevoerd. Daarnaast kan het hierdoor voorkomen dat belangrijke verschillen in zorgkosten tussen gemeente en aanbieder pas in een zeer laat stadium bekend worden. Veel gemeenten worstelen met de beheersbaarheid van knelpunten en tekorten in het sociaal domein waardoor de situatie zich voordoet dat tijdige bijsturing nog beperkt mogelijk is. Status interim-controle 2022 Op basis van bevestigend vragenonderzoek met uw organisatie en onze ervaringen tijdens de afgelopen jaarrekeningcontrole is gebleken dat u gedurende 2021 een verbetertraject heeft ingezet om de onzekerheden t.a.v. prestatielevering in het sociaal domein weg te nemen.

Hiertoe heeft u een externe partij ingeschakeld om aanvullende werkzaamheden te verrichten teneinde de getrouwheid van de geleverde zorg vast te stellen. De ingeschakelde partij heeft specifieke werkzaamheden verricht om de prestatielevering vast te stellen voor de transactiestroom Wmo PGB. Gedurende de jaarrekeningcontrole 2021 hebben wij kennis genomen van de uitkomsten van het onderzoek van de externe partij en geconcludeerd dat deze zowel onzekerheden als (formele) fouten heeft geconstateerd. De fouten hebben wij meegewogen in ons accountantsoordeel bij de jaarrekening 2021. Voor het boekjaar 2022 maakt u eveneens gebruik van de diensten van een externe partij om de onzekerheden op het gebied van prestatielevering binnen de stroom Wmo PGB weg te nemen. Indien deze nieuwe bevindingen constateert, worden deze onderzocht door een casemanager om vast te stellen of deze gegrond zijn en wat de (financiële) impact betreft. Ten tijde van de interim-controle zijn de werkzaamheden over verslagjaar 2022 nog onderhanden, waardoor wij tijdens de jaarrekeningcontrole kennis zullen nemen van de uitkomsten van deze werkzaamheden. Graag worden wij vroegtijdig bij het trekken van conclusies inzake fouten en onzekerheden betrokken, zodat wij de uitkomsten kunnen kwalificeren voor ons oordeel bij de getrouwheid en rechtmatigheid van de jaarrekening.

Voor nadere informatie verwijzen wij naar onze managementsamenvatting. 221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 21

Bijlage B Reikwijdte van onze werkzaamheden

221101E512/ATG/22

Bijlage B - Reikwijdte van onze werkzaamheden Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van een controleopdracht dat wij daarmee voldoende en geschikte controle-informatie verkrijgen voor het door ons af te geven oordeel over de jaarrekening van 2022, teneinde vast te stellen dat deze een getrouw beeld geeft van de financiële positie van de gemeente Haarlem, met inachtneming van de wettelijke bepalingen van het Besluit Begroting en Verantwoording. Een jaarrekeningcontrole heeft niet als doel om enige zekerheid te geven over de kwaliteit van de interne organisatie. De controle bestaat uit een combinatie van controlewerkzaamheden, waaronder een risicoanalyse, analytische procedures, detailcontroles en voor zover mogelijk en efficiënt het testen van de interne beheersingsmaatregelen die zijn gerelateerd aan en relevant zijn voor de controle. Wij richten ons hierbij alleen op de interne controle-omgeving die relevant is voor onze oordeelsvorming over de jaarrekening. De managementletter is gebaseerd op onze interim-controle als onderdeel van de jaarrekeningcontrole 2022. Volledigheidshalve merken wij op dat onze controlewerkzaamheden, analyse en evaluatie zijn uitgevoerd in het kader van de door uw gemeenteraad verstrekte opdracht tot controle van de jaarrekening 2022.

De geselecteerde werkzaamheden zijn afhankelijk van de door ons als accountant van de gemeente Haarlem toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico’s dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen nemen wij de interne beheersing in aanmerking die relevant is voor het opmaken van de jaarrekening en voor het getrouwe en rechtmatige beeld daarvan, gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden. De risico-inschattingen hebben niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet, het bestaan en de efficiency van de interne beheersing als geheel en bestrijkt deze daarom niet noodzakelijkerwijs alle in de interne organisatie vervatte tekortkomingen. Daarnaast is onze controle niet specifiek gericht op het ontdekken van fraude.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 23

Bijlage C IT bevindingen & IT maturity scan

221101E512/ATG/24

IT bevindingen: roadmap Onderwerp

Boodschap

Interne beheersing |

Overall bezien is onze conclusie dat de kwaliteit van de algemene IT-beheersingsmaatregelen (GITC’s) op dit moment onvoldoende is om een systeemgerichte controleaanpak in het kader van de jaarrekeningcontrole te ondersteunen. Om deze reden hanteren wij een primair gegevensgerichte controleaanpak. Wij hebben onderstaande IT-roadmap opgesteld met (5) stappen voor de gemeente om naar een systeemgerichte controleaanpak toe te werken. De gemeente gaf in 2020 aan dat onderstaande roadmap het komend jaar wordt geïntroduceerd om stappen te zetten naar een hoger volwassenheidsniveau voor de systemen in scope. Wij constateren dat er sprake is van een halfjaarlijkse rapportage met betrekking tot informatiebeveiliging aan college en de raadscommissie. Hiermee wordt (deels) aan stap 1 voldaan.

IT-Roadmap

1 2 3 4 5

Interne risicoanalyse op IT-risico’s binnen de organisatie Voer een risicoanalyse uit a.d.h.v. de key-processen inclusief IT.

IT-Raamwerk opstellen Stel een IT-raamwerk op met daarin de onder stap 1 onderkende IT-risico’s per proces, algemene IT-beheersingsmaatregelen en (semi)-geautomatiseerde beheersingsmaatregelen.

Procesbeschrijving/flowcharts opstellen Stel procesbeschrijvingen of flowcharts op waarin de onder stap 2 genoemde algemene IT-beheersingsmaatregelen en (semi)-geautomatiseerde beheersingsmaatregelen terugkomen. Houdt daarbij rekening met verantwoordelijkheden, eigenaarschap van processen en beheersingsmaatregelen en schrijf het zodanig uit dat het voorgenoemde 6W-proof is. Intern opzet en bestaan toetsen en documenteren van algemene IT-beheersingsmaatregelen Na stap 3 te hebben uitgevoerd verricht een 0-meting en stel vast en documenteer of de processen en beheersingsmaatregelen in opzet en bestaan effectief zijn. Gebruik de resultaten om de onder stap 3 opgestelde werkwijze aan te scherpen.

Intern effectieve werking toetsen en documenteren van algemene IT-beheersingsmaatregelen Verricht afhankelijk van de frequentie van elke beheersingsmaatregel en op basis van een onafhankelijke genomen steekproef periodiek een toets op de effectieve werking van de beheersingsmaatregelen. Bij voorkeur uitgevoerd door een onafhankelijke partij van betrokkenen onder stap 3.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 27

IT Maturity Onderwerp

Boodschap

Interne beheersing |

Aanvullend op de IT audit van de algemene IT beheersmaatregelen hebben wij dit jaar een IT Maturity Assessment verricht om inzicht in de IT-beheersing van uw organisatie te verschaffen op de onderwerpen IT Governance, IT Risk management, Informatie en privacy, IT Leveranciers management en General IT Controls. In bijlage C hebben wij de IT Maturity beoordeling gevisualiseerd.

IT Maturity

In ons IT Maturity Assessment zetten wij de door ons beoordeelde volwassenheidsniveaus van vijf verschillende componenten van IT-beheersing af tegen een ambitieniveau. Dit ambitieniveau hebben wij gebaseerd op onze inschatting van de benodigde volwassenheid op basis van onze ervaring, marktdata en IT-risico’s. Deze ambitieniveaus kennen een schaal van 1 tot 5. Het assessment is een eerste nulmeting en wij rapporteren over de huidige volwassenheid ten opzichte van het gewenste (toekomstige) ambitieniveau per pijler. Dat betekent dat het logisch is dat de gemeente op dit moment nog niet het gewenste ambitieniveau heeft gerealiseerd. Voor de General IT Controls (GITCs) is een belangrijk doel en kritieke succesfactor dat vanuit de accountantscontrole hiervan, naast opzet en bestaan, de operationele werking kunnen toetsen om te kunnen steunen op de IT-omgeving. Wij adviseren daarom om dit ambitieniveau op een 3 (van werking) te stellen. Ook voor IT Governance, IT-Risicomanagement, IT Leveranciersmanagement adviseren wij het ambitieniveau op een 3 te stellen. Voor Informatieveiligheid en privacy adviseren wij het ambitieniveau op een 4 te stellen, omdat de gemeente veel persoonsgegevens verwerkt, de cyberdreigingen significant zijn. Uiteraard is het aan de gemeente om het gewenste ambitieniveau per pijler vast te stellen.

Interne beheersing | Op basis van de IT Maturity Assessment maken wij op dat de gemeente Haarlem het afgelopen jaar stappen heeft gezet om IT binnen de organisatie in volwassenheid te laten groeien. Uit Belangrijkste uitkomsten onze interviews is gebleken dat medewerkers met enthousiasme hieraan werken. Zo is er meer aandacht voor security awareness en uitvoeren van security en privacy testen. In veel IT Maturity (1/2) gevallen ontbreekt het binnen de gemeente nog aan vastgelegde kaders, processen en procedures resulterend in een uniforme werkwijze. In het algemeen stellen wij vast dat de gemeente de juiste stappen zet gezien de hiervoor beschikbare capaciteit. Ook zien we dat de gemeente middelen beschikbaar heeft gemaakt. Wij verwachten dat het mogelijk is om de komende periode te groeien naar het gewenste volwassenheidsniveau. Hierbij is het relevant om te prioriteren in de ambitieniveaus per pijler. IT Governance Wij merken op dat de gemeente Haarlem nog geen IT strategie en visie heeft vastgelegd omtrent de inzet, risico's en beheersing van IT. Wel wordt momenteel een IT visie uitgewerkt. Uit onze interviews blijkt dat het college het belang rondom IT risico's en beheersing beperkt uit. U geeft aan dat via halfjaarlijkse rapportage via het college aan de raadscommissie wordt gerapporteerd over beveiligingsrisico’s.

Dit is een onderdeel van de bredere IT governance structuur. Op basis van de bestaande IT governance structuur stellen wij vast dat het college niet periodiek geïnformeerd wordt over de stand van zaken rondom IT gebruik, de (overige) risico's en beheersing daarvan. Wij bevelen de gemeente aan om een vaste IT governance structuur op te zetten waaruit de bestuurlijke informatievoorziening duidelijk blijkt. Het opstellen en monitoren van KPI’s kan helpen om te komen tot een vaste structuur in de rapportering van IT onderwerpen.

221101E512/ATG Managementsamenvatting

Bevindingen interim-controle

Reikwijdte werkzaamheden

Blz. 28

IT Maturity Onderwerp

Boodschap

Interne beheersing |

Informatieveiligheid en Privacy Rondom informatieveiligheid en privacy heeft de gemeente een beleid opgesteld. Dit beleid wordt momenteel geactualiseerd. Jaarlijks wordt er een ISO 27001 audit uitgevoerd ten behoeve van het actueel houden van het beleid. Omdat de gemeente niet beschikt over een vastgesteld protocol aangaande cyberincidenten adviseren wij de gemeente deze op te stellen. De gemeente laat jaarlijks penetratietesten uitvoeren, waaruit kwetsbaarheden naar voren zijn gekomen. Wij adviseren toe te zien op de opvolging van de bevindingen.

Belangrijkste uitkomsten IT Maturity (2/2)

Op het gebied van security awareness is het belangrijk om medewerkers te informeren en te trainen. Uit onze interviews merken wij op dat voor dit onderwerp meer aandacht is gekomen, waarbij hulp van externe partijen is ingeschakeld. Vanuit een planmatige aanpak worden diverse maatregelen getroffen, waaronder trainingen en e-learnings. De organisatie monitort de uitvoering van de getroffen maatregelen. Hier wordt echter (nog) niet over gerapporteerd en het niet voldoen aan de maatregelen heeft geen consequenties. Wij adviseren de organisatie om een ‘open meldcultuur’ te stimuleren en periodiek te communiceren over de kernpunten van het informatiebeveiligingsplan en privacybeleid. IT Risk management Jaarlijks voert u een risicoanalyse uit over informatieveiligheid. Deze rapportage wordt aan het college en de raadscommissie als geheime bijlage verstrekt. Het verdient aanbeveling om te komen tot een integrale risicobenadering, waarin de gehele IT organisatie wordt meegenomen. Wij adviseren het college om de hierin risicobereidheid expliciet te definiëren, vast te leggen en te delen met de organisatie. Vanuit de geïdentificeerde risico’s kan een integraal (IT) control framework worden opgesteld. Wij adviseren om zowel op bestuurlijk als organisatorisch niveau betrokkenheid te hebben bij het IT-risicomanagement, ingebed in het brede risicomanagement.