Document · PDF

2 Bijlage 1 Management letter Deloitte 2023 Gemeente Haarlem

commissie Bestuur 14 december 2023, gemeente HaarlemBij agendapunt: Management letter Deloitte 2023 Gemeente Haarlem (FR)9.122 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 2

Managementletter 2023 Gemeente Haarlem, 17 november 2023

Deloitte Accountants B.V. Wilhelminakade 1 3072 AP Rotterdam Postbus 2031 3000 CA Rotterdam Nederland Tel: 088 288 2888 Fax: 088 288 9830 www.deloitte.nl

Aan het college van burgemeester en wethouders van de gemeente Haarlem Postbus 511 2003 PB HAARLEM Onderwerp Managementletter 2023

Geacht college, Hierbij brengen wij verslag uit van de bevindingen naar aanleiding van de recentelijk afgesloten interim-controle. De aanpak en de aandachtspunten van deze tussentijdse controle, die wij hebben uitgevoerd in opmaat naar de controle van de jaarrekening 2023 van de gemeente Haarlem, zijn vastgelegd in het auditplan 2023.

Datum 17 november 2023

Wij benadrukken dat de interim-controle primair is bedoeld om de interne-beheersingsmaatregelen in uw organisatie te beoordelen en te toetsen, als basis om te komen tot een oordeel over de betrouwbaarheid van de in de jaarrekening 2023 opgenomen informatie. Het voorgaande impliceert dat onze werkzaamheden niet de hele interne-beheersingsomgeving van de gemeente Haarlem omvatten. Tevens heeft de interimcontrole als doel om de aandachtspunten voor de jaarrekening 2023 te signaleren en onder uw aandacht te brengen.

Ons kenmerk 2311BAB687/EP

Wij merken op dat deze managementletter is opgesteld ten behoeve van het college van burgemeester en wethouders van de gemeente Haarlem en niet zonder onze toestemming aan derden mag worden verstrekt. Wij hebben deze rapportage reeds met de wethouder, gemeentesecretaris en uw ambtelijke organisatie besproken. Wij vertrouwen erop u hiermee van dienst te zijn en danken u en uw medewerkers voor de samenwerking tijdens de interim-controle en bij de totstandkoming van deze managementletter. Hoogachtend, Deloitte Accountants B.V. Was getekend: drs. A.J. Schutgens RA

Op alle opdrachten verricht door Deloitte, behoudens M&A Diensten, zijn de Algemene Voorwaarden Dienstverlening Deloitte Nederland, januari 2020 gedeponeerd bij de Kamer van Koophandel onder nummer 24362837 van toepassing. Deloitte Accountancy & Advies B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te Rotterdam onder nummer 57666954. Deloitte Accountancy & Advies B.V. is een zogenoemde affiliate van Deloitte NSE LLP en maakt onderdeel uit van het internationale netwerk van Deloitte Touche Tohmatsu Limited.

Inhoudsopgave Managementsamenvatting | Bestuurlijk relevante bevindingen en aanbevelingen interim-controle

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage A | Detailbevindingen interim-controle en opvolging aanbevelingen voorgaande jaren

Bijlage B | Reikwijdte van onze werkzaamheden

Bijlage C | IT Bevindingen & IT Maturity

2311BAB687/EP/3

Uw controleteam Wij beantwoorden graag uw vragen over deze managementletter:

Arjan Schutgens Director Deloitte Accountants B.V. Tel: 06 1201 1605 aschutgens@deloitte.nl

Bob Leeuwenkamp Senior Manager Deloitte Accountants B.V. Tel: 06 1201 1643 bleeuwenkamp@deloitte.nl

Bart de Nijs Junior Manager Deloitte Accountants B.V. Tel: 06 1210 4989 bdenijs@deloitte.nl

2311BAB687/EP/4

Managementsamenvatting Bestuurlijk relevante bevindingen en aanbevelingen interim-controle

2311BAB687/EP/5

Bestuurlijk relevante bevindingen en aanbevelingen interim-controle Onderwerp

Boodschap

Overall beeld interne beheersing

Overall beeld interim-controle | Evalueren en keuzes maken De komende periode zien wij een aantal belangrijke (financiële) uitdagingen, zoals: •

Het realiseren van de maatschappelijke opgaven met als complicerende factor de krappe arbeidsmarkt.

•

De grote investeringsagenda en specifiek de keuzes en planning in relatie tot capaciteit.

•

De gevolgen van een eventuele economische recessie, met ook minder geld voor de gemeenten.

•

De ontwikkeling van de rente en inflatie.

•

De ontwikkeling van de algemene uitkering vanaf 2026 (korting en nieuwe systematiek).

•

Nieuwe taken op het gebied van de energietransitie, duurzaamheid, woningbouw, mobiliteit en jeugdzorg.

Deze uitdagingen vragen veel van het college en van de ambtelijke organisatie en maken ook dat het prioriteren van ambities blijvend een belangrijk aandachtspunt vormt. Wij concluderen ten aanzien van uw interne beheersing dat de basis op orde is. Wij hebben de jaarrekeningcontrole 2022 met uw organisatie geëvalueerd, waarbij best practices en concrete acties zijn benoemd voor een gestroomlijnd verantwoordings- en controleproces. Wat betreft de jaarrekeningcontrole hebben wij samen met uw ambtelijke organisatie specifiek aandacht voor de volgende onderwerpen: •

Het aantal regelingen dat uw gemeente moet verantwoorden in de SiSa-bijlage en het aantal overige inkomende subsidiebaten neemt jaarlijks toe (2019: 10 regelingen, 2022: 37 regelingen). Het is belangrijk de interne controle op de getrouwe verantwoording in de SiSa-bijlage en op overige inkomende subsidies en de rechtmatigheid van de bestedingen (dit valt binnen de rechtmatigheidsverantwoording van het college van B&W) tijdig uit te voeren en adequaat te documenteren. Wij hebben dan ook reeds in een vroegtijdig stadium afstemming met uw organisatie over de documentatie, de interne controle en de timing van onze controlewerkzaamheden. U geeft aan dat uw Subsidiebureau de afgelopen periode te maken heeft met verloop en uitval van medewerkers. Dit betreft een aandachtspunt voor het verantwoordings- en controleproces. Indien dit een knelpunt is voor de (doorlooptijd van de) uw opstelproces en de jaarrekeningcontrole, dan communiceren wij hierover tijdig met u.

•

Het beschikbaar hebben van een toereikende onderbouwing van de waardering van het onderhanden werk (voorraad) inzake de grondexploitaties, inclusief position papers. Specifiek aandachtspunten hierbij zijn: een actuele onderbouwing van de voor 2024 e.v. verwachte inflatie, een kosten- en opbrengstenindexatie, de (potentiële) effecten van de stikstofproblematiek op de grondexploitaties van de gemeente Haarlem (programma en planning) en de (potentiële) effecten van het tekort aan bouwmaterialen. Wij zullen, in lijn met vorig jaar, met uw planeconomen en uw Audit team afspraken maken over de voor de controle benodigde stukken en onderbouwingen.

•

Per 1 januari 2023 bent u voor de complexe jeugdhulp overgegaan naar de taakgerichte uitvoeringsvariant (met lumpsum bekostiging). Ook voor een deel van de uitvoering van de Wmo, namelijk individuele begeleiding, stapt u per 1 januari 2023 over naar de taakgerichte uitvoeringsvariant. Uw beleid, processen, interne beheersing en controle heeft u nog niet (tijdig) bijgesteld naar deze nieuwe situatie. Ook zijn niet alle afspraken met uw samenwerkende gemeenten en consortia (hoofdaannemers van jeugdzorg) niet voor alle partijen duidelijk en eenduidig vastgelegd. Dit is een urgent aandachtspunt richting de jaarrekeningcontrole. Wij verwachten in verband met de wijzigingen en hiervoor genoemde aandachtspunten aanvullende controlewerkzaamheden uit te voeren.

•

Het beheersen van de budgetten binnen het sociaal domein als gevolg van de (gedeeltelijke) overstap naar een taakgerichte bekostigingsvariant, waarbij met vaste (lumpsum) budgetten wordt gerekend. Het afgelopen jaar is de financiële positie van zorgaanbieders onder druk komen te staan door onder meer een nieuwe cao en inflatie. Hierdoor is het voor de gemeente van nadrukkelijk belang om enerzijds de kwaliteit en continuïteit van zorg te waarborgen en anderzijds de financiële risico’s voor de gemeente te beheersen en beperken. U heeft afspraken gemaakt over loon- en prijscompensatie. Zodra aanbieders om andere redenen in financiële problemen komen dan voert u gesprekken hierover via de landelijke escalatie-ladder van de Jeugdautoriteit. 2311BAB687/EP/6

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

Bestuurlijk relevante bevindingen en aanbevelingen interim-controle Onderwerp

Boodschap

Interne beheersing | Frauderisicomanagement

Fraude Fraude blijft een actueel en relevant thema in onze controleaanpak. Wij informeren u daarom jaarlijks over uw aandacht voor fraude, onze zienswijze en evaluatie daarbij. U besteedt op een goede manier aandacht aan de thema’s fraude en integriteit. U bespreekt de frauderisicoscan met de portefeuillehouder financiën, agendeert deze in de auditcommissie en stelt deze vast in het college van B&W. Hieruit blijkt dat op bestuurlijk niveau aandacht wordt besteed aan het onderwerp ‘fraude’. U heeft de afgelopen jaren invulling gegeven aan onze adviespunten door frauderisico’s nadrukkelijk te ‘pinpointen’. Daarnaast heeft u ook (fraude)risico’s ten aanzien van het oneigenlijk toe-eigenen van activa, frauduleuze verslaggeving, management override of controls, omkoping & corruptie en cybersecurityrisico’s meegenomen in de analyse. Jaarlijks neemt u actualiteiten mee in uw frauderisicoscan. U test beheersmaatregelen op basis van uw jaarlijkse foutenevaluatie (intern Audit Team) en door een aantal waarnemingen te doen op de beheersmaatregelen ten aanzien van frauderisico's met een hoge kans en impact. Dit past bij een risicogerichte aanpak en tevens uw three lines of defence model, waarbij uw interne Audit Team als repressieve maatregel achteraf toetsingen uitvoert. Wij hebben gesproken met uw integriteitscoördinator.

Wij constateren dat integriteit en bewustwording van het thema in de organisatie, hoog op uw agenda staan. Iedere medewerker ontvangt een aanbod van workshops over de thema’s fraude en integriteit, waaronder verplichte workshops. De afgelopen jaren zien wij dat een kwaliteitsimpuls is gegeven aan uw meldpunt integriteit en wijze van registratie van integriteitsmeldingen. U heeft een actuele meldprocedure integriteit en ongewenst gedrag en daarnaast zijn nieuwe gedragscodes in de maak, namelijk: •

De gedragscode integriteit raads- en commissieleden.

•

De gedragscode integriteit burgemeester en wethouders.

•

Het protocol vermoeden van integriteitsschending door politieke ambtsdragers.

Voorafgaand aan onze jaarrekeningcontrole nemen wij kennis van uw integriteitsjaarverslag en integriteitsmeldingen in het kader van onze controle.

Interne beheersing | Jeugdhulp

Overstap naar een taakgerichte bekostigingsvariant in relatie tot herinrichten van interne beheersing Met ingang van 1 januari 2023 is uw organisatie voor de bekostiging van jeugdhulp gedeeltelijk overgestapt van een inspanningsgerichte uitvoeringsvariant (P*Q) naar een taakgerichte bekostigingsvariant (lumpsum). Deze overstap heeft geresulteerd in het definiëren van nieuwe afspraken met (consortia van) jeugdzorgaanbieders en het opnieuw inrichten van processen en interne-beheersingsmaatregelen om deze financiële stroom te beheersen. Gedurende de interim-controle hebben wij verschillende besprekingen gevoerd met uw organisatie en kennis genomen van de contractuele afspraken, alsmede het vaststellen van de opzet en het bestaan van de nieuwe interne-beheersingsmaatregelen. U geeft aan dat u in de dialooggesprekken bij de aanbesteding van de jeugdhulp aandacht besteed heeft aan risicoanalyse en de beheersing van risico’s. U voert tevens op regelmatige basis overleg met samenwerkende gemeenten en consortia om te komen tot heldere financiële en niet-financiële afspraken. Onderdeel van uw strategische agenda is het ‘formaliseren’ van de gemaakte afspraken. Wij constateren ten tijde van onze interim-controle dat: •

Momenteel nog actuele procesbeschrijvingen worden opgesteld, waarin relevante processtappen en interne-beheersmaatregelen concreet zijn benoemd.

•

Uw verordening Jeugdhulp nog wordt gewijzigd naar de nieuwe systematiek (NB. U geeft aan dat de oude verordening ‘kan’-bepalingen bevat, waardoor dit geen rechtmatigheidsrisico’s met zich meebrengt).

•

Discussie loopt over de verdeling van de kosten tussen de samenwerkende gemeenten.

U legt verantwoording af op basis finale kwijting. Wij maken met uw organisatie de komende maanden, voorafgaand aan de jaarrekeningcontrole, nadere afspraken over de timing verantwoording en controle van de bestedingen jeugdhulp. 2311BAB687/EP/7 © 2023. For information, contact Deloitte The Netherlands.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten Aandachtspunten jaarrekeningcontrole jaarrekeningcontrole2023 2023

Bijlage Bijlage

Bestuurlijk relevante bevindingen en aanbevelingen interim-controle Onderwerp

Boodschap

Interne beheersing | Jeugdzorg en Wmo

Actuele ontwikkelingen en taakgerichte bekostiging

Interne beheersing | Grondexploitaties

Een belangrijk aandachtspunt in het kader van de beheersing van budgetten en mogelijke tekorten is de ontwikkeling van de financiële positie van zowel aanbieders van jeugdzorg als aanbieders die zich bezighouden met de uitvoering van de Wmo. In toenemende mate zien wij dat zorgaanbieders moeite hebben om tot een sluitende exploitatie te komen. Daarbij zijn de lonen in de zorg fors toegenomen op basis van de recentelijk gesloten cao’s, hetgeen zeer waarschijnlijk voor gemeenten van invloed zal zijn op de kosten van de jeugdzorg en de Wmo (aangezien verwacht wordt dat de hogere lonen resulteren in hogere tarieven). Mogelijk heeft dit ook effect op de vaste afspraken volgens de taakgerichte uitvoeringsvariant en op het (beperkter) deel dat op basis van P*Q (inspanningsgerichte uitvoeringsvariant) wordt afgerekend. Wij vragen uw aandacht om tijdig met (consortia van) zorgaanbieders in gesprek te gaan om wederzijdse overeenstemming te bereiken over het definitieve uitvoeringsbudget. In onze voorgaande rapportages hebben wij aan u gerapporteerd dat de door ons geconstateerde en gerapporteerde bevindingen inzake de interne beheersing gedeeltelijk zijn opgevolgd. Een enkele bevinding is op dit moment nog onderhanden en wordt opgepakt bij de actualisatie van de nieuwe Nota Grondbeleid, welke naar verwachting in 2024 aan u wordt voorgelegd.

Wij verwijzen naar bijlage A (Detailbevindingen interim-controle en opvolging aanbevelingen voorgaande jaren) voor een nadere toelichting hieromtrent. Op grond hiervan concluderen wij dat de interne beheersing rondom de grondexploitaties in de basis op orde is. U wordt met verschillende uitdagingen geconfronteerd, die eveneens een raakvlak hebben met c.q. impact hebben op de ruimtelijke ontwikkeling binnen uw gemeente, zoals bijvoorbeeld de versnelling van de woningbouwopgave, de klimaattransitie (verduurzaming en stikstofproblematiek) en de opvang van statushouders en ontheemden (Oekraïners), evenals de ontwikkeling van inflatie en rente. Deze (macro-economische) ontwikkelingen dienen centraal te staan bij het actualiseren van de grondexploitatieramingen ten behoeve van de jaarrekening 2023. Specifiek benoemen wij hier de geschatte percentages voor kosten- en opbrengstenstijgingen. In ons accountantsverslag 2022 hebben wij aan u gerapporteerd dat wij ons kunnen vinden in de door de gemeente gekozen en gehanteerde schattingen en parameters. Wij vragen uw aandacht voor de evaluatie van dit schattingselement, alsmede voor de impact daarvan op de ramingen in zijn geheel. Het is daarbij van belang dat u de ramingen en overige indices kritisch blijft volgen en deze waar mogelijk in lijn brengt met de marktontwikkelingen.

Net als vorig jaar maken wij een aantal terugkerende afspraken en formuleren wij acties om het proces (net als vorig boekjaar) efficiënt en effectief te laten verlopen. Wij benoemen hier de belangrijkste aandachtspunten en afspraken: •

Uw organisatie informeert ons gedurende het boekjaar proactief over belangrijke vraagstukken. Er worden in ieder geval tussentijdse gesprekken gepland over de parameters voor de grondexploitatie, en over de procesmatige ontwikkelingen in aanloop naar de actualisatie van de nieuwe Nota Grondbeleid. U informeert ons over in het boekjaar nieuw geopende en te openen grondexploitaties. Dit is in 2023 niet van toepassing.

•

Het vervroegen van de uitvoering van onze risicoanalyse op complexniveau in het voorjaar van 2024 en de vervroeging van de inhoudelijke controle op complexen met een hoger risico.

Net als vorig jaar vragen wij u in relatie tot het geschatte percentage kosten- en opbrengstenstijging, dat: •

Het college in de jaarrekening adequaat toelicht waarom welke percentages zijn gekozen en wat de financiële impact is/kan zijn als de werkelijke stijging in de komende jaren hiervan (sterk) afwijkt.

•

Ter onderbouwing van de genoemde financiële impact voor de jaarrekening enkele (extra) scenario’s op dit aspect doorgerekend worden. Een dergelijke sensitiviteitsanalyse maakt inzichtelijk hoe gevoelig de individuele projecten en de totale grondexploitatie zijn voor afwijkingen in de toekomstige kosten- en opbrengstenontwikkeling.

•

Het kan zijn dat in de komende periode – zelfs nog in 2024, bij/na het opmaken maar voor het vaststellen van de jaarrekening – nog informatie of inzichten beschikbaar komen, waardoor het nu gekozen percentage kosten- en opbrengstenstijging nog aanpassing vergt. Wij adviseren daarom volledigheidshalve de ontwikkelingen nauwgezet te blijven volgen en hiermee waar nodig rekening te houden in de definitieve berekeningen en onderbouwingen voor de jaarrekening 2023.

Over onze uiteindelijke bevindingen inzake de beheersing en waardering van de grondexploitatie rapporteren wij in het accountantsverslag bij de jaarrekening 2023. © 2023. For information, contact Deloitte The Netherlands.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten Aandachtspunten jaarrekeningcontrole jaarrekeningcontrole2023 2023

2311BAB687/EP/8

Bijlage Bijlage

Bestuurlijk relevante bevindingen en aanbevelingen interim-controle Onderwerp

Boodschap

Interne beheersing | Rechtmatigheidsverantwoording en Europese aanbestedingen

Uw gemeente heeft in de afgelopen jaren diverse maatregelen getroffen om de naleving van de interne en Europese aanbestedingsregels beter te borgen. Wij constateerden vorig jaar een zeer beperkte toename in de omvang van de onrechtmatigheden als gevolg van het niet naleven van de Europese aanbestedingsregels. Uit de controle 2022 is een rechtmatigheidsfout gebleken van in totaal circa € 2,5 miljoen (2021: circa € 2,4 miljoen). De totale omvang van de fout ligt hiermee in lijn met vorig jaar. De kanttekening hierbij is dat met u met ingang van 2022 een aantal contracten als fout aanmerkt die ook in 2021 bestonden (en eveneens tot een fout hadden geleid). Op basis daarvan is de kwantitatieve omvang van de fout lager dan in boekjaar 2021. De fout komt voornamelijk voort uit opdrachten die in voorgaande jaren als onrechtmatig zijn aangemerkt (€ 1,6 miljoen). In 2022 zijn voor een bedrag van € 0,9 miljoen nieuwe Europese aanbestedingsafwijkingen geconstateerd. De rechtmatige naleving van de aanbestedingsregels staat hoog op uw agenda en het onderwerp maakt vanaf dit jaar verplicht onderdeel uit van uw rechtmatigheidsverantwoording in de jaarrekening. U heeft in 2021 en 2022 al een pilot gedraaid voor de rechtmatigheidsverantwoording ter voorbereiding hierop. Wij hebben kennisgenomen van de acties die u heeft ingezet om de interne beheersing te versterken, met aandacht voor: •

Het organiseren van workshops binnen verschillende afdelingen omtrent de te kiezen aanbestedingsvorm.

•

Het digitaliseren en centraliseren van uw inkoopkalender.

•

Het periodiek actualiseren van de kennis en beschikbare leidraden op uw intranet.

Uw organisatie maakt gebruik van een contractregistratiesysteem. Wij hebben van uw organisatie begrepen dat de functionaliteiten van dit systeem niet optimaal (kunnen) worden ingezet voor de borging van rechtmatige aanbestedingen. Dit wordt onder andere veroorzaakt doordat de contractgegevens die zijn opgenomen in uw contractregistratiesysteem niet altijd betrouwbaar zijn en dat een beschikbare signaleringsfunctie voor aflopende contracten slechts beperkt wordt benut. Daarbij komt dat de centrale en digitale ‘inkoopkalender’ waarin de verschillende uit te voeren aanbestedingen zijn opgenomen, niet in dit systeem zijn geïntegreerd. Voor uw rechtmatigheidsverantwoording is uw repressieve controle door middel van steekproeven, die worden uitgevoerd door afdeling Financiën en interne Audit Team, een belangrijke beheersmaatregel. Daarbij wordt jaarlijks nagegaan of een opdracht niet via een verkeerde procedure ‘in de markt’ is gezet. Dit gebeurt aan de hand van een spendanalyse. Als gevolg van de niet optimale benutting van het contractregistratiesysteem kost de spendanalyse uw organisatie jaarlijks een grote inspanning. Wij hebben van uw organisatie begrepen dat u gestart bent met een project voor de aanbesteding van een nieuw contractmanagementsysteem, waarbij u bovenstaand aandachtspunt betrekt.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

Bestuurlijk relevante bevindingen en aanbevelingen interim-controle Onderwerp

Boodschap

Interne beheersing | Betrouwbaarheid en continuïteit geautomatiseerde gegevensverwerking

Jaarlijks geven wij u een update van de opvolging van de bevindingen uit de IT-audits van voorgaande jaren, waarbij wij op basis van gesprekken met de betrokken functionarissen de voortgang op de bevindingen ten aanzien van de betrouwbaarheid van de algemene IT-beheersmaatregelen onderzoeken. Deze werkzaamheden zijn geïntegreerd in onze jaarrekeningcontrole. In lijn met afgelopen jaren hebben wij gedurende de interim-controle inzicht verkregen in de opzet en bestaan van algemene IT-beheersingsmaatregelen voor de applicaties GFS (JDE), GWS (SSD), Oracle Database en het Windows AD Domein. Wij hebben geconstateerd dat u in 2023 verschillende verbeteringen heeft doorgevoerd om de betrouwbaarheid en continuïteit van data te waarborgen. Deze verbeteringen zien met name toe op het verbeteren van priviliged access management en het periodiek evalueren van rechten en rollen binnen de genoemde applicaties. Wij merken op dat nog niet alle bevindingen zijn opgelost. Vorig jaar hebben wij een IT Maturity Scan (zie uitleg hieronder) uitgevoerd met aandacht voor de onderwerpen: IT Governance, IT-Risk management, Informatie en privacy, IT-leveranciersmanagement en General IT-Controls (hierna: GITC’s). Tijdens deze Scan hebben wij een nulmeting verricht en uw organisatie afgezet tegen het gewenste IT volwassenheidsniveau.

Op basis van onze besprekingen hebben wij vastgesteld dat u in 2023 verbeteringen heeft doorgevoerd om het volwassenheidsniveau van de IT-omgeving van de gemeente te verhogen en te groeien naar het gewenste volwassenheidsniveau. Wij hebben hierbij onder meer kennis genomen van de uitbreiding van uw IT-organisatie en uw geactualiseerde interne beleidsnota’s. U heeft bijvoorbeeld: •

Een Virtual Security Team opgericht.

•

Uw awareness op het gebied van informatieveiligheid binnen de organisatie vergroot.

•

IT afhankelijkheden beter inzichtelijk.

In overleg met uw auditcommissie is een speerpunt bepaald om de ontwikkelingen te beschrijven binnen de domeinen IT-volwassenheid, -continuïteit en cyber security. Derhalve hebben wij geen integrale, gevisualiseerde opvolging verricht van de nulmeting uit 2022, maar hebben wij de ontwikkelingen op de drie gedefinieerde thema’s beschreven. In bijlage C van deze managementletter rapporteren wij over de IT-bevindingen op de algemene IT-beheersingsmaatregelen en beschrijven wij de ontwikkelingen binnen het IT landschap van de gemeente. Basis IT Maturity Scan De IT Maturity Scan hebben wij ontwikkeld om op een andere, vernieuwende wijze te kijken naar de IT. Naar onze mening draagt de scan bij aan het op een meer eenvoudige en toegankelijke wijze inzichtelijk maken van de mate waarin de IT op een aantal aspecten voldoet aan het ambitie niveau dat wij verwachten. De bevindingen en aanbevelingen uit de scan zijn vervolgens ook begrijpelijker en daardoor eenvoudiger op te volgen/lossen, waardoor het volwassenheidsniveau van uw IT verder kan groeien.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

2311BAB687/EP/11

Bestuurlijk relevante bevindingen en aanbevelingen interim-controle Onderwerp

Boodschap

Interne beheersing | Overall beeld

Tijdens de interim-controle hebben wij de interne beheersing onderzocht van de voor de jaarrekening relevante processen. Overall is de interne beheersing – vanuit de opdracht voor de jaarrekeningcontrole bezien – van een voldoende niveau. De processen die wij tijdens de interim-controle hebben onderzocht, zijn: • Memoriaalboekingen en financiële verslaggeving • Investeringen • Grondexploitatie • Inkopen (inclusief aanbestedingen) en betalingsverkeer • Algemene uitkering • Plaatselijke belastingen en heffingen • Salarissen • Sociaal domein en uitkeringen Sociale Zaken • Treasury • Subsidieverstrekkingen • Overige opbrengsten: subsidie-, verhuur- en parkeeropbrengsten Wij merken op dat de interne beheersing binnen de jeugdhulp, specifiek de beheersing van de nieuwe bekostigingsvariant, aanvullende aandacht verdient. Gedurende de interim-controle hebben wij namelijk nog niet de opzet en het bestaan van de interne-beheersingsmaatregelen daarvan kunnen vaststellen. In deze managementletter hebben wij in bijlage A onze detailbevindingen weergegeven (inclusief status opvolging eerdere aanbevelingen).

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

Bestuurlijk relevante bevindingen en aanbevelingen interim-controle Onderwerp

Boodschap

Interne beheersing | Aandachtspunten voor de jaarrekening 2023

Voor het opstel- en controleproces van de jaarrekening benoemen wij op basis van de jaarrekeningcontrole 2022 en de interim-controle 2023 de volgende specifieke aandachtspunten: •

Een toereikende onderbouwing van de waardering van het onderhanden werk (voorraad) inzake de grondexploitaties, inclusief position papers. Specifiek aandachtspunt hierbij is een actuele onderbouwing van de voor 2024 e.v. verwachte inflatie/kosten- en opbrengstenindexatie. Met uw interne Audit Team hebben wij separate afspraken gemaakt over de voor de controle benodigde stukken en onderbouwingen. Tevens plannen wij periodieke gesprekken, waarin wij elkaar actief op de hoogte houden van belangrijke ontwikkelingen.

•

Het mogelijk doorbreken van de interne beheersing door het management (‘management override’), waarbij wij specifiek aandacht vragen voor de onderbouwing van de materiële schattingen in de jaarrekening (inclusief een evaluatie van de in de jaarrekening 2022 opgenomen schattingen) en een toereikende autorisatie van en controle op memoriaalboekingen. Dit maakt onderdeel uit van uw reguliere proces en jaarlijkse (verbijzonderde) interne controle.

•

Het aantal regelingen dat uw gemeente moet verantwoorden in de SiSa-bijlage is de afgelopen jaren toegenomen. U bent daarom reeds gestart met de (voorbereiding van de) uitvoering van de benodigde interne controles op de getrouwe verantwoording in de SiSa-bijlage en de rechtmatigheid van de bestedingen. Voor de jaarrekeningcontrole hebben wij reeds nadere (plannings)afspraken gemaakt met uw Audit Team. Een belangrijk aandachtspunt betreft het verloop en uitval bij uw medewerkers van de Subsidiebureau.

•

Gewijzigde bekostigingssystematiek van financiële deelstromen binnen de Jeugdzorg en Wmo: het is noodzakelijk dat u tijdig afspraken met ons maakt over verantwoording en controle. Wij verwachten dat u voorafgaand aan onze jaarrekeningcontrole inzicht heeft in het definitieve budget dat is overeengekomen met (consortia van) zorgaanbieders. De overeenstemming over het definitieve budget krijgt zijn weerslag in een wederzijds ondertekend document, waarin de financiële afspraken over het boekjaar definitief zijn vastgelegd. Indien afspraken met uw samenwerkende gemeenten en consortia laat tot stand komen heeft dit mogelijk invloed op de doorlooptijd van de jaarrekeningcontrole en invloed op uw bestuurlijke termijnen.

•

In lijn met voorgaande jaren verkrijgen wij graag een position paper met een fiscale onderbouwing van een eventuele verplichting voor de vennootschapsbelasting.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

Speerpunten auditcommissie Verslag speerpunten auditplan

2311BAB687/EP/14

Verslag speerpunten auditplan Onderwerp

Boodschap

Speerpunt Auditcommissie | IT-volwassenheid, continuïteit en cyber security

Wij rapporteren hierover in bijlage C van deze managementletter.

Speerpunt Auditcommissie | Inzicht in balanspositie specifieke uitkeringen

Wij rapporteren hierover in ons accountantsverslag bij de jaarrekening.

Speerpunt Auditcommissie | Verantwoording en controle sociaal domein (wijziging bekostigingsmethode Jeugdzorg en Wmo)

Wij rapporteren hierover in deze managementletter en ons accountantsverslag bij de jaarrekening.

Managementsamenvatting

Speerpunten Speerpunten auditcommissie auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

Aandachtspunten jaarrekeningcontrole 2023

2311BAB687/EP/16

Aandachtspunten jaarrekeningcontrole 2023 Onderwerp

Boodschap

Rechtmatigheidsverantwoording

De rechtmatigheidsverantwoording is per 1 januari 2023 in werking getreden. De verantwoordelijkheid van het college van burgemeester en wethouders voor de rechtmatigheid wordt hiermee benadrukt doordat het college een verantwoording over rechtmatigheid af moet gaan geven in plaats van dat de accountant dit doet. De accountant geeft vanaf de jaarrekening 2023 een getrouwheidsoordeel over de rechtmatigheidsverantwoording. Dit betekent dat de accountant vaststelt of de rechtmatigheidsverantwoording van het college een getrouwe weergave bevat over de mate waarin het college rechtmatig heeft gehandeld. Het uitgangspunt van de wetgever is dat de reikwijdte van de verantwoording door het college niet wijzigt ten opzichte van de situatie waarin de accountant een rechtmatigheidsoordeel gaf. In de Kadernota Rechtmatigheid 2023 is door de commissie BBV nadere invulling gegeven aan de rechtmatigheidsverantwoording en de wijze waarop het college deze vormt dient te geven. Specifieke vereisten die de totstandkoming van de rechtmatigheidsverantwoording moeten onderbouwen, worden hierin behandeld. Het is van belang dat de gemeente de richtlijnen uit deze Kadernota nauwgezet opvolgt om daarmee een gedegen basis te hebben voor het opstellen van de rechtmatigheidsverantwoording. Wij lichten enkele belangrijke aspecten hieromtrent onderstaand toe.

U heeft de afgelopen jaren reeds een pilot gedraaid om te komen tot een rechtmatigheidsverantwoording. Wij hebben vorig jaar vastgesteld dat de aanpak van uw gemeente een solide basis biedt als basis voor de rechtmatigheidsverantwoording van het college. Uw gemeente toont via verbijzonderde interne controles aan dat: • De baten, lasten en balansmutaties voldoen aan de voorwaardencriteria • De criteria van begrotingsrechtmatigheid zijn nageleefd • Het M&O beleid is nageleefd Actualisatie verordeningen Doordat het college formeel verantwoordelijk is voor het controleren van de rechtmatigheid en het college daarover dient te rapporteren in de jaarstukken, vervalt hiermee het oordeel van de accountant voor wat betreft het onderdeel rechtmatigheid. Dit betekent ook dat de Controleverordening (ex art. 213 Gemeentewet) aangepast wordt door de gemeente om hieraan invulling te geven. De VNG heeft hiertoe een geactualiseerde modelverordening opgesteld die in de basis hiervoor kan worden gebruikt. Naast uw Controleverordening, kent de gemeente ook de Financiële verordening (ex art. 212 Gemeentewet). De VNG heeft ook hiertoe een geactualiseerde modelverordening opgesteld met enkele specifieke aanpassingen/toevoegingen die voortkomen uit de Kadernota Rechtmatigheid 2023.

In de modelverordening wordt bijvoorbeeld invulling gegeven aan de verantwoordings- en rapportagegrens die de gemeenteraad dient vast te stellen en het vaststellen van het autorisatieniveau van de begroting waarbinnen het college uitgaven mag doen. Uw financiële verordening is inmiddels geactualiseerd en uw controleverordening wordt naar verwachting vastgesteld in december 2023. Controleprotocol Vanuit de controle over de boekjaren tot en met 2022 bent u eraan gewend met een controleverordening te werken. In deze verordening werden de goedkeuringstoleranties voor de accountantscontrole voor zowel de getrouwheid als rechtmatigheid vastgelegd. Vanaf 2023 gelden deze toleranties niet alleen voor de accountant voor wat betreft het getrouwheidsoordeel, maar ook voor het college voor wat betreft het rechtmatigheidsoordeel (de zogenaamde ‘verantwoordingsgrens’). In de modelverordeningen van de VNG is opgenomen dat de toleranties voor wat betreft de verantwoordings- en rapportagegrens worden verwerkt in de Financiële verordening. U heeft dit verwerkt in de in 2023 door de gemeenteraad vastgestelde Financiële verordening 2024. Interne controleplan In de rechtmatigheidsverantwoording legt het college verantwoording af over een drietal rechtmatigheidscriteria, te weten het voorwaardencriterium, het begrotingscriterium en misbruik & oneigenlijk gebruik.

De basis voor toetsing van deze drie rechtmatigheidscriteria als onderdeel van de rechtmatigheidsverantwoording, ligt vast in uw ‘Plan van aanpak Rechtmatigheidsverantwoording 2023’. Op deze wijze geeft het college nadere invulling en toetst het college deze criteria zichtbaar. Het door de gemeenteraad vastgestelde normenkader is hiervoor de basis en leidt tot een toetsingskader in de vorm van specifieke werkplannen per financiële stroom of proces. U heeft op basis van uw plan een passend tijdspad geborgd om de interne controlewerkzaamheden uit te voeren en conclusies te kunnen trekken als basis en onderbouwing voor de rechtmatigheidsverantwoording in de concept jaarstukken over 2023. 2311BAB687/EP/17

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

Aandachtspunten jaarrekeningcontrole 2023 Onderwerp

Boodschap

Rechtmatigheidsverantwoording (vervolg)

Algemene aandachtspunten Graag geven wij u nog enkele algemene aandachtspunten mee: -

Voor het door de gemeenteraad bepalen van het normenkader zijn bij wettelijke bepalingen alleen de financiële beheershandelingen van belang, zoals bijvoorbeeld Europese aanbestedingsrichtlijnen. Voor de verordeningen geldt dat alle verordeningen deel uitmaken van het normenkader, voor zover deze bepalingen bevatten over financiële beheershandelingen. Andere besluiten van de gemeenteraad, dus niet zijnde verordeningen, met een kaderstellend karakter die bepalingen bevatten met betrekking tot financiële beheershandelingen, zijn ook een verplicht onderdeel van het normenkader.

Het is niet toegestaan dat de gemeenteraad eigen verordeningen buiten beschouwing laat bij de rechtmatigheidsverantwoording. Wel kan de gemeenteraad besluiten dat aan bepaalde onderdelen van verordeningen geen consequenties voor de financiële rechtmatigheid worden verbonden. Dat kan alleen als deze onderdelen niet verplicht voortvloeien uit hogere regelgeving. Collegebesluiten vallen niet onder de rechtmatigheidsverantwoording, tenzij de verantwoording hiervan verplicht is op basis van hogere regelgeving of raadsbesluiten c.q. verordeningen. In dit kader adviseert de Commissie BBV om de door de gemeenteraad aan het college gedelegeerde bevoegdheden niet op te nemen in het normenkader rechtmatigheid.

Van begrotingsonrechtmatigheden is sprake als het college van B&W bij de realisatie van doelen en het realiseren van activiteiten de door de gemeenteraad vastgestelde budgetten voor wat betreft de lasten of investeringsbudgetten overschrijdt (1), toevoegingen en onttrekkingen aan de reserves doet die niet door de gemeenteraad zijn vastgesteld (2) en als bij onderschrijdingen van lasten of investeringsbudgetten en/of lagere of hogere baten dan begroot de begroting niet tijdig met begrotingswijzigingen is aangepast (3). Wat niet tijdig concreet betekent wordt bepaald door de ‘spelregels’ tussen de gemeenteraad en het college van B&W over het informeren en vaststellen van begrotingswijzigingen bij onderschrijdingen van lasten of investeringsbudgetten en/of lagere of hogere baten dan begroot. De Commissie BBV adviseert gemeenten duidelijke afspraken te maken op welke wijze begrotingsonrechtmatigheden in deze nieuwe situatie benaderd worden. Deze afspraken kunnen worden vastgelegd in de Financiële verordening. Zo kan de gemeente een nadere invulling geven op welk abstractieniveau de onrechtmatigheden in de rechtmatigheidsverantwoording moeten worden opgenomen door het college.

U heeft voor het rechtmatigheidsbegrip misbruik & oneigenlijk gebruik een (actueel) beleid en geeft hieraan opvolging bij het uitvoeren van uw ‘Plan van aanpak Rechtmatigheidsverantwoording 2023’. De Kadernota Rechtmatigheid 2023 schetst diverse interne-beheersmaatregelen die erop zijn gericht te borgen dat er in de organisatie effectieve maatregelen zijn getroffen om misbruik en oneigenlijk gebruikt te voorkomen, dan wel op te sporen. Wij adviseren u hiervan kennis te nemen. Het is aan de gemeente om er zorg voor te dragen dat dit rechtmatigheidsbegrip voldoende is afgehecht in de organisatie en dat daarover kan worden gerapporteerd.

Voor wat betreft de verbonden partijen van de gemeente is onderscheid te maken naar diverse soorten verbonden partijen. Wij vragen u om – mede op basis van de toelichting in de Kadernota Rechtmatigheid 2023 – in kaart te brengen voor welke verbonden partijen er sprake is van invloed op de rechtmatigheidsverantwoording van de gemeente. Hierbij is het ook van belang om na te gaan of uw gemeente een centrumgemeente is. Zo wordt duidelijk of u de betreffende hiermee samenhangende financiële stromen dient te betrekken in de rechtmatigheidsverantwoording.

Wij voeren op regelmatige basis overleg met uw organisatie over de uitvoering en de uitkomsten van uw verbijzonderde interne controles voor de rechtmatigheidsverantwoording.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

Aandachtspunten jaarrekeningcontrole 2023 Onderwerp

Boodschap

Fraude

Vorig jaar heeft de beroepsorganisatie voor accountants, de NBA, bepaald dat accountants vanaf het controlejaar 2022 in hun controleverklaring verplicht dienen te rapporteren over (hun werkzaamheden op het gebied van) fraude. Dit moet dan niet gebeuren in algemene bewoordingen, maar specifiek per klant, met aandacht voor de onderkende risico’s, de uitgevoerde werkzaamheden, en - indien mogelijk en relevant ook de uitkomsten van die werkzaamheden. In de afgelopen twee jaar hebben wij hier ook aandacht aan besteed en is dit in de controleverklaring toegevoegd als een separate paragraaf. U heeft uw frauderisicoscan een prominente plek gegeven in uw jaarlijks intern auditplan en heeft blijvende aandacht voor (de beheersing van) fraude. U onderkent mogelijke kwetsbaarheden op het gebied van fraude en onderbouwt deze met de getroffen beheersmaatregelen. De actuele frauderisicoscan wordt vastgesteld in de directie, wordt besproken met de portefeuillehouder financiën en aangeboden ter bespreking in de auditcommissie. Zo gaat en blijft u in gesprek over, en blijft u continu aandacht houden voor, het onderwerp ‘fraude’.

Naast deze frauderisicoanalyse beschikt uw gemeente over diverse beleidsdocumenten en over een intern beheersingssysteem, zoals de ‘Meldprocedure integriteit en ongewenst gedrag gemeente Haarlem 2023’, inclusief bijbehorend onderzoeksprotocol (meldprocedure voor de ambtelijke organisatie), integriteitsmeldingenregistratie en uw jaarlijks Integriteitsjaarverslag. Ook zijn op dit moment nieuwe gedragscodes in de maak, zoals de gedragscode integriteit raads- en commissieleden en integriteit burgemeester en wethouders en wordt een protocol opgesteld voor het vermoeden van integriteitsschending door politieke ambtsdragers.

Aanpassingen BADO

Op basis van de huidige verwachtingen zal het Besluit accountantscontrole decentrale Overheden (BADO) vanaf 2025 worden aangepast, waarbij de goedkeuringstolerantie wordt aangepast van 1% naar 2%. Daarnaast wordt ook de omvangsbasis aangepast. Op dit moment omvat dit de totale lasten, inclusief dotaties aan de reserves. Dit laatste komt te vervallen, waardoor de omvangsbasis alleen de lasten omvat, exclusief de reservemutaties. Dit heeft in beginsel geen gevolgen voor de gemeente of voor de controlewerkzaamheden die worden uitgevoerd in het kader van de rechtmatigheidsverantwoording. Wel kan dit betekenen dat er sprake is van een impact op de omvang van uit te voeren controlewerkzaamheden vanaf boekjaar 2025, zoals het uitvoeren van detailcontroles. Op basis van de begroting 2025 kan een eerste inschatting gemaakt worden van de impact hiervan tussen boekjaar 2024 en 2025. Wij treden tijdig met u in overleg om te bespreken wat deze wijziging voor boekjaar 2025 betekent.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

Bijlage A Detailbevindingen interim-controle en opvolging aanbevelingen voorgaande jaren

Detailbevindingen interim-controle en opvolging aanbevelingen voorgaande jaren

Nr. 1.1

Follow-up 2023

2021 – Grondexploitaties - zichtbare interne controle 1e en 2e lijn Uw planeconomen actualiseren twee maal per jaar de grondexploitatieopzetten (per 30 september en per 31 december). De planeconomen toetsen of geplande investeringen voldoen aan WRO/BRO en het BBV, of de planning realistisch is en of de prognoses onderbouwd zijn (1e lijn). Het Audit Team heeft geconstateerd dat achteraf niet vastgesteld kan worden dat deze toetsen gedurende het jaar zijn uitgevoerd, behalve dan wellicht aan de hand van eventuele mailcorrespondentie. De uiteindelijke uitkomsten van de toets blijken overigens wel uit de grondexploitatie project memorandums.

Het Audit Team adviseerde in het verleden om via een beperkte procedurebeschrijving inzichtelijk te maken op welke wijze toetsing in de 1e lijn plaatsvindt en welke aspecten daarin worden betrokken. Wij onderschrijven deze bevinding en vragen uw aandacht om interne controles zichtbaar te maken, zodat achteraf herleidbaar is dat de berekeningen (op de juiste wijze) zijn gecontroleerd.

Door het ontbreken van zichtbare interne beheersing kunt u achteraf niet aantonen dat controles in de 1e lijn daadwerkelijk (zichtbaar) hebben plaatsgevonden. Dit heeft tot gevolg dat grondexploitatieopzetten na controle in de 1e lijn mogelijk nog afwijkingen bevatten ten aanzien van de WRO/BRO of BBV, dat de planning niet realistisch is of dat de prognoses onvoldoende onderbouwd zijn door de 1e lijn. Dit zorgt mogelijk voor extra werkzaamheden bij uw Audit Team (3e lijn).

1.2

Status 2023

Bevinding

2021 – Grondexploitaties – opstellen scenario’s Wij adviseren u om scenario’s op te stellen om inzicht te verkrijgen in de mogelijke (negatieve) financiële gevolgen van alternatieve scenario’s. De uitkomsten van de scenario’s en in het bijzonder het worst-case scenario kan het daarmee samenhangende risico worden gekwantificeerd en mee worden genomen in het bepalen van de benodigde weerstandscapaciteit en de ratio’s van het weerstandsvermogen.

Uit bespreking met uw planeconomen en uw Audit Team is gebleken dat bovenstaande bevinding nog steeds van toepassing is. Uw planeconomen merken op dat sprake is van een compact team en dat veelal informeel afstemming plaatsvindt. Gezien sprake is van een gelaagdheid binnen uw team met planeconomen adviseren wij u om een zichtbare, collegiale toetsing uit te voeren waarbij bijvoorbeeld de senior planeconomen de berekeningen van de junior planeconomen beoordelen. Daarnaast adviseren wij u om beslispunten en actiepunten uit het periodieke ‘planeconomenoverleg’ schriftelijk vast te leggen zodat deze te allen tijde traceerbaar zijn en worden uitgevoerd. Uw organisatie is op dit moment bezig met de actualisatie van de Nota Grondbeleid. Deze zal naar verwachting medio 2024 aangeboden worden aan de gemeenteraad. In deze nieuwe Nota Grondbeleid zal onder meer aandacht zijn voor opstellen van scenarioanalyses.

Uw planeconomen zijn medio 2022 gestart met het explicieter in kaart brengen van project- en marktrisico’s ten einde de risico’s per complex beter te kunnen kwantificeren. U ervaart deze ingeslagen werkwijze als positief. Het expliciet opstellen van best- en worst case scenario’s is echter nog niet geborgd in uw Nota Grondbeleid. Wij adviseren u om dit te doen.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

Detailbevindingen interim-controle en opvolging aanbevelingen voorgaande jaren

Nr. 2.1

Status 2023

Bevinding

Follow-up 2023

2021 – Europese aanbestedingen – preventieve maatregelen In het proces van aanbestedingen ligt de focus op detectieve in plaats van preventieve maatregelen. De functionaliteit van het contractenregister wordt nog niet volledig benut om te fungeren belangrijke beheersingsmaatregel ter borgen van de naleving van het eigen inkoopbeleid en externe wetgeving.

Bij de jaarrekeningcontrole 2022 zijn de onrechtmatigheden inzake EU-aanbestedingen zeer beperkt toegenomen ten opzichte van boekjaar 2021, waardoor het effect van de verbeteringen stabiliseert. Gedurende 2023 heeft u verdere verbeteringen doorgevoerd, zoals:

Uw Audit Team merkt op dat het bewustzijn omtrent onrechtmatig handelen op het gebied van aanbestedingen is toegenomen en dat het team Inkoop en Aanbesteden en de directie worden geconsulteerd en geïnformeerd bij een afwijking van EU-aanbestedingsrichtlijnen. Daarnaast heeft uw organisatie verschillende procesmatige verbeteringen doorgevoerd om het bewustzijn omtrent rechtmatig aanbesteden te vergroten.

•

Het organiseren van workshops binnen verschillende afdelingen omtrent de te kiezen aanbestedingsvorm.

•

Het digitaliseren en centraliseren van uw inkoopkalender.

•

Het periodiek actualiseren van de kennis en beschikbare leidraden op uw intranet.

Wij zullen tijdens de jaarrekeningcontrole 2023 kennis nemen van het effect van de genomen verbetermaatregelen. Ten aanzien van het contractenregister hebben wij van uw organisatie begrepen dat u de vervanging van dit register onderzoekt. Wij benadrukken het belang van een adequate signaleringsfunctie in geval van de vervanging van het contractenregister in de nabije toekomst. Daarnaast is het van belang dat uw centrale inkoopkalender wordt geïntegreerd in het nieuwe contractenregister. 3.1

2021 – Sociaal Domein – Controle prestatielevering In 2018 heeft uw Audit Team het Auditplan Jeugd en Wmo opgesteld. In dit plan is een groeimodel opgenomen om te komen tot een sluitende controleaanpak ten aanzien van de baten en lasten gerelateerd aan het sociaal domein. De gemeente Haarlem wil toegroeien naar een model waarin de eigen interne organisatie voldoende waarborgen biedt om zelfstandig de benodigde zekerheid te verkrijgen omtrent de daadwerkelijke realisatie (en kwaliteit) van in rekening gebrachte zorg. Wij hebben vastgesteld dat voor zowel Jeugdhulp als Wmo interne controleplannen zijn opgesteld en dat een start is gemaakt met de implementatie hiervan. De implementatie is echter nog niet zo ver dat prestatielevering van de geleverde zorg zelfstandig kan worden vastgesteld. In afgelopen jaarrekeningcontroles hebben wij vastgesteld dat u verbeteringen heeft doorgevoerd om de onzekerheden op het gebied van prestatielevering binnen de stroom Wmo PGB weg te nemen. Dit doet u door middel van het laten uitvoeren van een steekproef door een externe partij om getrouwheid van de geleverde zorg vast te stellen. Bij de overige stromen binnen het sociaal domein merken wij op dat u nog afhankelijk bent van productieverantwoordingen van zorgaanbieders om de getrouwheid van geleverde zorg vast te stellen.

Wij hebben, door middel van een bevestigend vragenonderzoek met de betrokken functionarissen, vastgesteld dat in 2023 weer gebruik maakt van de diensten van een externe partij, waarbij het de verwachting is dat de omvang van de onrechtmatigheden zullen afnemen als gevolg van uw nieuwe beleid. Wij zullen tijdens de jaarrekeningcontrole kennis nemen van de uitkomsten van deze werkzaamheden. Ten aanzien van de overige stromen binnen het sociaal domein merken wij op dat de mix aan interne-beheersingsmaatregelen wijzigt als gevolg van wijzigingen in de bekostigingsmethodiek en nieuwe contractuele afspraken met zorgaanbieders. Als gevolg van de ontwikkelingen binnen het sociaal domein adviseren wij u om het Auditplan Jeugd en Wmo te actualiseren en het ‘mandje’ aan interne-beheersingsmaatregelen kritisch te beoordelen. Hierbij is het van belang dat u inventariseert welke interne-beheersingsmaatregelen u reeds heeft geïmplementeerd en welke interne- beheersingsmaatregelen gecombineerd kunnen worden om de getrouwheid van de geleverde zorg vast te stellen.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

2311BAB687/EP/22

Bijlage

Detailbevindingen interim-controle en opvolging aanbevelingen voorgaande jaren

Nr. 4.1

Status 2023

Bevinding

Follow-up 2023

2023 – Subsidieverstrekkingen

Gedurende 2023 is uw organisatie gestart met een nieuwe systematiek om een uniforme registratie binnen dit proces zichtbaar te maken. Uit verkregen informatie hebben wij afgeleid dat de nieuwe systematiek nog niet als zodanig in processen is geborgd en de beheersingsmaatregelen niet expliciet zichtbaar zijn.

Wij hebben de interne beheersing inzake het verstrekken, beheersen en vaststellen van uitgaande subsidies beoordeeld. Hierbij hebben wij in voorgaande jaren geconstateerd dat een zichtbare registratie van de besluitvorming binnen dit proces ontbreekt om de rechtmatige verstrekking en vaststelling van subsidies te borgen. Hierbij ontstaat het risico dat niet expliciet zichtbaar is welke beoordeling door welke functionaris heeft plaatsgevonden om vast te stellen dat de subsidieaanvragen en verzoeken tot subsidievaststelling conform de kaders van de Algemene Subsidieverordering (ASV) zijn beoordeeld. Het expliciet zichtbaar maken van deze processtappen draagt bij aan de beheersing van de rechtmatige verstrekking en vaststelling van subsidies in het kader van de rechtmatigheidsverantwoording.

Wij adviseren u om de nieuwe systematiek te effectueren om te voldoen aan de kaders van uw ASV en interne beheersing zichtbaar te maken. Hiermee kan achteraf reproduceerbaar vastgesteld worden op basis van welke gronden en motivaties een subsidies is verstrekt dan wel is vastgesteld.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

Bijlage B Reikwijdte van onze werkzaamheden

2311BAB687/EP/24

Reikwijdte van onze werkzaamheden Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van een controleopdracht dat wij daarmee voldoende en geschikte controle-informatie verkrijgen voor het door ons af te geven oordeel over de jaarrekening van 2023, teneinde vast te stellen dat deze een getrouw beeld geeft van de financiële positie van de gemeente Haarlem, met inachtneming van de wettelijke bepalingen van het Besluit Begroting en Verantwoording. Een jaarrekeningcontrole heeft niet als doel om enige zekerheid te geven over de kwaliteit van de interne organisatie. De controle bestaat uit een combinatie van controlewerkzaamheden, waaronder een risicoanalyse, analytische procedures, detailcontroles en, voor zover mogelijk en efficiënt, het testen van de interne-beheersingsmaatregelen die zijn gerelateerd aan en relevant voor de controle. Wij richten ons hierbij alleen op de interne controle-omgeving die relevant is voor onze oordeelsvorming over de jaarrekening. De managementletter is gebaseerd op onze interim-controle als onderdeel van de jaarrekeningcontrole 2023. Volledigheidshalve merken wij op dat onze controlewerkzaamheden, analyse en evaluatie zijn uitgevoerd in het kader van de door uw gemeenteraad verstrekte opdracht tot controle van de jaarrekening 2023.

De geselecteerde werkzaamheden zijn afhankelijk van de door ons als accountant van de gemeente Haarlem toegepaste oordeelsvorming, met inbegrip van het inschatten van het risico dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschatting nemen wij de interne beheersing in aanmerking die relevant is voor het opmaken van de jaarrekening en voor het getrouwe en rechtmatige beeld daarvan, gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden. De risico-inschatting heeft niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel over de opzet, het bestaan en de efficiency van de interne beheersing als geheel en bestrijkt deze daarom niet noodzakelijkerwijs alle in de interne organisatie vervatte tekortkomingen. Daarnaast is onze controle niet specifiek gericht op het ontdekken van fraude. Indien wij aangesteld zouden zijn om een fraudeonderzoek bij de gemeente Haarlem uit te voeren, zouden wij wellicht andere bevindingen hebben geconstateerd en observaties hebben gerapporteerd dan die welke nu zijn opgenomen in deze managementletter.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

Bijlage C IT Bevindingen & IT Maturity

IT Maturity & Roadmap Onderwerp

Boodschap

IT Maturity & Roadmap

Overall bezien is onze conclusie dat de kwaliteit van de algemene IT-beheersingsmaatregelen (GITC’s) op dit moment onvoldoende is om een systeemgerichte controleaanpak in het kader van de jaarrekeningcontrole te ondersteunen. Om deze reden hanteren wij een primair gegevensgerichte controleaanpak. Wij hebben onderstaande IT-roadmap opgesteld met (5) stappen voor de gemeente om naar een systeemgerichte controleaanpak toe te werken. Afgelopen jaar hebben wij geconstateerd dat de gemeente (deels) voldeed aan stap 1 van onderstaande roadmap. Op basis van gesprekken functionarissen binnen het IT-domein hebben wij vastgesteld dat u in 2023 bent doorgegroeid naar de tweede stap. Hierbij is het van belang dat binnen de organisatie een toename in slagkracht en eigenaarschap ontstaat om de ingezette groei door te zetten. Op de volgende pagina benoemen wij specifieke ontwikkelingen op het gebied van IT Governance, continuïteit en cyber security.

Managementsamenvatting

Speerpunten auditcommissie

Aandachtspunten jaarrekeningcontrole 2023

Bijlage

IT Maturity Onderwerp

Boodschap

IT Maturity | Algemeen

In 2022 hebben wij, in aanvulling op onze IT audit, een IT Maturity Assessment verricht om inzicht in de IT-beheersing van uw organisatie te verschaffen op de onderwerpen IT Governance, IT Risk management, Informatie en privacy, IT-Leveranciers management en General IT Controls. Tijdens deze IT Maturity Assessment hebben wij de volwassenheidsniveaus van de vijf componenten van IT-beheersing afgezet tegen een ambitieniveau. Deze ambitieniveaus kennen een schaal van 1 tot 5 en zijn gebaseerd op onze inschatting van het benodigde volwassenheidsniveau op basis onze ervaring, marktdata en IT risico’s binnen een gemeentelijke organisatie. Afgelopen jaar betrof een nulmeting, waardoor de gemeente nog niet op het gewenste ambitieniveau is. In overleg met uw Auditcommissie is een speerpunt bepaald om de ontwikkelingen te beschrijven binnen de domeinen van IT-volwassenheid, -continuïteit en cyber security. Derhalve hebben wij geen integrale, gevisualiseerde opvolging verricht van de nulmeting uit 2022, maar zullen wij hieronder de ontwikkelingen beschrijven op de drie gedefinieerde thema’s.

IT Maturity | IT Volwassenheid

Wij hebben gedurende de interim-controle verschillende gesprekken gevoerd met onder andere uw CIO, CISO, Afdelingsmanager IV en verschillende applicatiebeheerders. Uit deze gesprekken is naar voren gekomen dat uw organisatie het afgelopen jaar meerdere stappen heeft gezet om de aandachtspunten uit onze IT-Maturity Assessment en de jaarlijkse, externe ISO 27001 op te volgen. Voorbeelden hiervan betreffen het opzetten van kaders op het gebied van Business Continuity Management (BCM), het actualiseren en toekomstbestendig maken van uw Informatiebeveiligingsbeleid- en Bedrijfscontinuïteit en het nadrukkelijker beschikbaar maken van capaciteit binnen afdeling IV. Deze stappen worden met enthousiasme uitgevoerd door uw organisatie en bevatten concrete acties voor de aankomende periode waarbij (voldoende) capaciteit beschikbaar wordt gemaakt. Wij merken echter op dat een alomvattende IT strategie en visie ontbreekt en dat periodieke informatievoorziening aan het college op het gebied van IT gebruik, risico’s en beheersing niet structureel plaatsvindt. Gedurende 2023 is de informatievoorziening aan uw directieteam wel verder uitgebreid door middel van rapportage rondom BCM. Wij adviseren u om een vaste IT governance structuur op te zetten waaruit de bestuurlijke informatievoorziening blijkt.

Hierbij kunnen vooraf gedefinieerde KPI’s ondersteunen in het monitoren en rapporteren van de voortgang over IT onderwerpen. Daarnaast adviseren wij u om een nadere uniforme werkwijze op te zetten door processen en procedures nadrukkelijker formaliseren in de vorm van procesbeschrijvingen.

IT Maturity | Continuïteit - intern

In 2023 heeft u het Strategisch gemeentelijk beleid voor Informatiebeveiliging en Bedrijfscontinuïteit voor de periode 2023 tot 2028 opgesteld. In dit strategisch beleid is nadrukkelijke aandacht voor het onderwerp bedrijfscontinuïteit, aangezien dit onlosmakelijk verbonden is met informatiebeveiliging. Het definiëren van een gemeentelijk beleid toont aan dat uw organisatie het belang van bedrijfscontinuïteit onderkent. In 2023 is uw Business Continuity Manager gestart met het in kaart brengen van bedrijfskritieke processen en heeft daar in het najaar van 2023 voor het eerst over gerapporteerd. Uit deze rapportage blijkt dat 29 kritieke processen zijn geïdentificeerd en dat voor slechts 2 processen een noodplan wordt uitgewerkt. Voor de overige processen worden op dit moment startsessies gepland of moet nog een inventarisatie plaatsvinden. Uw organisatie heeft de ambitie om medio 2024 voor alle geprioriteerde processen een noodplan te hebben ontwikkeld en getest te hebben. De realisatie van deze ambitie is afhankelijk van de beschikbare capaciteit van uw organisatie en de Business Continuity Manager. Door de beperkte beschikbaarheid kunnen onderwerpen als back-up en herstelstrategieën en kwetsbaarhedenanalyses mogelijk minder aandacht verkrijgen.

Wij onderschrijven het belang van de realisatie van deze ambitie en verzoeken u om periodiek de voortgang van dit project te monitoren om de continuïteit van uw interne processen te waarborgen.

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/13567661/1