Document · PDF

20210610776 2. Bijlage 1 Mangementletter 2021 Deloitte Gemeente Haarlem

commissie Bestuur 20 januari 2022, gemeente HaarlemBij agendapunt: Managementletter Deloitte 2021 Gemeente Haarlem6.081 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Gemeente Haarlem

Concept managementletter 2021 18 november 2021

Deloitte Accountants B.V. Robonsbosweg 5 1816 MK Alkmaar Postbus 270 1800 AG Alkmaar Nederland Tel: 088 288 2888 Fax: 088 288 9702 www.deloitte.nl

Aan het college van burgemeester en wethouders van de gemeente Haarlem Postbus 511 2003 PB HAARLEM Onderwerp Managementletter 2021

Behandeld door B. Leeuwenkamp MSc RA

Datum 18 november 2021

Ons kenmerk CONCEPT

Geacht college, Wij hebben conform de opdracht van de gemeenteraad, als onderdeel van de controle van de jaarrekening 2021, de interim-controle voor de gemeente Haarlem uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne-beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. In onze managementletter zijn onze bevindingen en aanbevelingen ter zake opgenomen. Tevens heeft deze controle als doelstelling om de aandachtspunten voor de jaarrekening 2021 te signaleren en onder uw aandacht te brengen. Wij merken op dat deze managementletter is opgesteld ten behoeve van het college van burgemeester en wethouders van de gemeente Haarlem en niet zonder onze toestemming aan derden mag worden verstrekt.

De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor de directie en het college als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening. Wij bespreken deze rapportage op 9 november 2021 met uw concerncontroller en Audit Team en op 18 november 2021 met uw portefeuillehouder. Hoogachtend, Deloitte Accountants B.V.

drs. A.J. Schutgens RA

Op alle opdrachten verricht door Deloitte zijn de ‘Algemene Voorwaarden Dienstverlening Deloitte Nederland, januari 2021’ gedeponeerd bij de Kamer van Koophandel onder nummer 24362837 van toepassing. Deloitte Accountants B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te Rotterdam onder nummer 24362853. Deloitte Accountants B.V. is a Netherlands affiliate of Deloitte NSE LLP, a member firm of Deloitte Touche Tohmatsu Limited.

Inhoud

Managementsamenvatting

Managementsamenvatting 4

Bijlagen Bijlagen

Bevindingen Algemene observaties Detailbevindingen

01 Managementsamenvatting

Gemeente Haarlem | Managementletter 2021

Managementsamenvatting Managementsamenvatting

Aandachtspunt

Toelichting

Algemeen

Onze jaarrekeningcontrole 2021 start met een terugblik en het maken van afspraken op basis van de evaluatie van het afgelopen controlejaar. In dat kader hebben wij op 23 september 2021 samen met uw Audit Team een uitgebreide evaluatie verricht en de uitkomsten daarvan op 28 september besproken met uw concerncontroller. Wij investeren het komende jaar in opdrachtmanagement en verwachtingenmanagement.

Bevindingen

Naar aanleiding van de evaluatie hebben wij op hoofdlijnen de volgende afspraken met elkaar gemaakt om het jaarrekeningcontroleproces soepel te laten verlopen:

Bijlagen

•

• • Speerpunten auditcommissie

Wij hebben samen met uw auditcommissie de volgende speerpunten benoemd: • •

•

De controle verrichten wij zoveel als mogelijk op locatie, in nauw contact met uw Audit Team. Hiermee borgen wij een transparante controle en tijdige communicatie van knelpunten. Voorafgaand aan de controlewerkzaamheden stemmen we concreet de aard en omvang van controlewerkzaamheden af (welke populaties, welke selecties en welke werkzaamheden). Tijdige controle op belangrijke thema’s, zoals specifieke casuïstiek bij voorzieningen en EU aanbestedingen.

Three lines of defence model: onze adviespunten gerelateerd aan de conclusies uit het 213a onderzoek en rapport Berenschot. Rapportage in deze managementletter. Kredietramingen en realisatie: wij stellen van een kredietraming vast hoe deze tot stand komt en welke informatie de organisatie hanteert om de raming te maken. In het kader van het begrotingscriterium stellen wij per jaareinde vast in hoeverre investeringen passen binnen de door de raad vastgestelde kredieten. Rapportage in ons accountantsverslag. Aanbesteding Jeugdzorg en aandacht voor verantwoordingsinformatie: wij stellen op basis van het bestek vast welke criteria ten aanzien van verantwoordingsinformatie zijn opgenomen. Rapportage in ons accountantsverslag.

Gemeente Haarlem | Managementletter 2021

Managementsamenvatting Managementsamenvatting

Aandachtspunt

Toelichting

Aandachtspunten bij onze controle

Naar aanleiding van onze controle van onze kennis van uw gemeente en controle van voorgaand jaar onderkennen wij de volgende aandachtspunten bij onze controle: • • • •

Bevindingen

Rechtmatigheid van de Europese aanbestedingen Getrouwheid en rechtmatigheid van de geldstromen in het sociale domein Waardering van de grondexploitaties Inzicht in het IT landschap en interne beheersmaatregelen

De jaarrekening 2021 wordt tevens nog beïnvloed door de ontwikkelingen van COVID-19. Voorgaand boekjaar heeft uw Audit Team in kaart gebracht wat de gevolgen zijn van COVID19 voor de interne controle (derde lijn), en eventueel op de accountantscontrole. Net als vorig jaar is de Tozo-regeling een belangrijk onderwerp van controle. Wij verwachten dit jaar tevens een verdere toename ten aanzien van het aantal SiSa-regelingen. Dit leidt tot extra controlewerkzaamheden voor uw Audit Team en voor onze accountantscontrole.

Bijlagen

Belangrijkste vijf adviespunten en verbeteracties

U heeft naar aanleiding van onze controle over 2020 de belangrijkste vijf adviespunten benoemd (willekeurige volgorde) en hierop verbeteracties ingezet. 1. 2. 3. 4. 5.

Interne beheersing: verschuiving van derde lijn naar tweede en eerste lijn Europese aanbesteding: verminderen aanbestedingsfout t.a.v. EU-aanbestedingen Sociaal domein: reduceren onzekerheid PGB-bestedingen Betrouwbaarheid en continuïteit van de automatiseringsomgeving Verbeteren verschillenanalyses

In deze managementletter gaan wij in op de eerste vier onderwerpen. Ten aanzien van het verbeteren van verschillenanalyses besteedt u aandacht aan het verbeteren van inhoudelijke oorzaakanalyse bij ontstane afwijkingen, die antwoord geeft op de vragen: “Waardoor is de afwijking ontstaan en waardoor was de afwijking niet eerder te voorzien c.q. rapporteren?” Daarnaast heeft u aandacht voor verduidelijking van verschillen tussen primaire begroting, gewijzigde begroting en eindresultaat bij de jaarrekening.

Gemeente Haarlem | Managementletter 2021

Managementsamenvatting Managementsamenvatting Bevindingen

Bijlagen

Aandachtspunt

Toelichting

Interne beheersing

In het kader van onze interim-controle hebben wij interviews met de eerste lijnfunctionarissen gehouden en daarbij opzet en bestaan van relevante interne beheersmaatregelen vastgesteld. Eventuele detailbevindingen hieruit leest u in deze managementletter. Wij benoemen tevens verbeteracties van uw eigen organisatie waarop wij geen controlewerkzaamheden hebben uitgevoerd. Onze belangrijke bevindingen (over de uitwerking) hieromtrent rapporteren wij in ons accountantsverslag bij de jaarrekening. De positionering van de afdelingen en de governance structuur van de gemeente Haarlem is ingericht aan de hand van het 3-lines of defence model. Uw Audit Team vervult hierbij een belangrijke rol in de derde lijn. Ook bij de jaarrekeningcontrole van voorgaand boekjaar merken wij op dat het Audit Team nog relatief veel fouten en onzekerheden bij haar controle achteraf constateert. Ter versterking van het 3-lines of defence model adviseerden wij vorig jaar om de verantwoordelijkheid voor het uitvoeren van de interne beheersmaatregelen te verschuiven van de derde naar de eerste en tweede lijn. Wij constateren dat er verbeteringen mogelijk zijn ten aanzien van de positionering van de tweede lijn.

U heeft de volgende verbeteracties ingezet: • U heeft een nieuwe nota herstructurering IC opgesteld, waarin wordt voorgesteld om de uitvoering van verschillende interne beheersmaatregelen te verschuiven naar de eerste en tweede lijn. De nota is vastgesteld door uw directieteam en u voert gesprekken om de overdracht van taken te realiseren. • De organisatie is aan de slag gegaan met het opstellen en actualiseren van procesbeschrijvingen. Wij zien dit concreet terug aan de hand van flowcharts per proces bij onze interviews dit jaar met de eerste lijn. Dit draagt bij aan een beter begrip van uw processen en het identificeren van eventuele leemten in interne beheersing. Wij faciliteren vanuit onze natuurlijke adviesfunctie dit najaar (op 22 november en 7 december) een tweetal deep dive-sessies, namelijk op de onderwerpen inkoop en aanbesteding én sociaal domein (prestatielevering) waarbij tevens uw directieteam aansluit. Tijdens deze sessies adviseren wij u hoe bepaalde afwijkingen in dit proces in voorgaande jaren voorkomen of tijdig hersteld hadden kunnen worden door sterkere positionering van de tweede lijn. U heeft in 2021 een 213a onderzoek uitgevoerd en door Berenschot onderzoek laten doen naar het 3lines of defence model. In het hoofdstuk ‘Algemene observaties’ gaan wij hier nader op in.

Gemeente Haarlem | Managementletter 2021

Managementsamenvatting Managementsamenvatting

Aandachtspunt

Toelichting

Europese aanbesteding

In ons accountantsverslag 2020 rapporteerden wij over Europese aanbestedingsafwijkingen en uw interne controlewerkzaamheden. Ten opzichte van 2019 zijn de controlebevindingen ten aanzien van Europese aanbestedingen in 2020 gestegen tot € 3,5 miljoen (2019: € 2,5 miljoen). Hierbij geldt dat een deel van het bedrag bestaat uit nieuwe aanbestedingsafwijkingen en een deel een doorwerkende fout van het jaar daarvoor betreft.

Bevindingen

Wij constateerden bij de afronding van onze controle vorig jaar dat u een directienota heeft opgesteld waarin de bevindingen extra onder de aandacht zijn gebracht. De nota bevat acties waar beïnvloeding en bijsturing mogelijk is. U geeft aan dat inmiddels is gestart met de uitvoering om zo veel als mogelijk doorwerking van de onrechtmatigheden in toekomstige jaren te voorkomen.

Bijlagen

Bij onze interim-controle 2021 geeft u aan dat u de volgende verbeteracties heeft ingezet: • geïnvesteerd wordt in de kennis van inkoopprocedures en bewustwording van aanbestedingsregels (afdelingen Juridische Zaken en Concerncontrol) • de lijnafdeling kijkt samen met Juridische Zaken naar benodigde actie op bevindingen 2020 (afdelingsmanagers en afdeling Juridische Zaken) • u zet stappen naar inhuur via raamcontracten • geïnvesteerd wordt in de professionalisering van contactbeheer, contractmanagement en de contractenbank (traject ingezet door afdeling Juridische Zaken)

Wij hebben dit najaar een deep dive-sessie gepland staan op het onderwerp inkoop en aanbesteding. In de detailbevindingen van deze managementletter leest u de opvolging van bevindingen van vorig jaar. Sociaal domein

In ons accountantsverslag 2020 schrijven wij dat u inzake de prestatielevering van PGBbestedingen onvoldoende aanvullende interne controles over 2020 verricht, waardoor wij deze bestedingen als onzekerheid meenemen in ons oordeel. Daarbij opgemerkt dat u uitgebreide controles (waaronder detailcontroles) uitvoert, maar dat u tot de conclusie komt dat met de huidige interne controlewerkzaamheden onzekerheden ten aanzien van prestatielevering resteren. U geeft aan dat ten aanzien van de PGB’s in 2021 een extra onderzoek wordt uitgevoerd, waarbij in de vorm van o.a. huisbezoeken voor (minimaal) de Wmo nader inzicht verkregen wordt in de rechtmatige besteding van PGB-bestedingen en de kwaliteit van de geleverde zorg. Op basis van dit onderzoek verwacht u de onzekerheid ten aanzien van prestatievering van de zorgverlening via PGB’s weg te nemen. Zie verder onze detailbevinding. Gemeente Haarlem | Managementletter 2021

Managementsamenvatting Managementsamenvatting

Aandachtspunt

Toelichting

Betrouwbaarheid en continuïteit van de automatiseringsomgeving

Om inzicht te verkrijgen in uw IT omgeving hebben wij vorig boekjaar opzet en bestaan van de algemene IT-beheersingsmaatregelen van de volgende systemen beoordeeld: • GWS (SSD) applicatie; • GFS (JDE) applicatie; • Oracle Database en het Windows AD domein.

Bevindingen

Wij hebben dit boekjaar een follow-up gedaan op onze bevindingen van vorig jaar. Wij hebben bevindingen geconstateerd ten aanzien van het logische toegangsbeheerproces en daarbij risico’s onderkend. Uw organisatie geeft aan dat onze bevindingen kernpunten bevatten die u voor komend jaar geprioriteerd heeft. T.o.v. voorgaand jaar zien wij dat er reeds enkele verbeteringen zijn doorgevoerd waardoor onderkende risico’s deels worden gemitigeerd.

Bijlagen

Wij steunen voor 2021 niet op de effectieve werking van algemene ITbeheersingsmaatregelen en bespreken met uw organisatie welke (aanvullende) gegevensgerichte controlewerkzaamheden wij buiten de IT-omgeving plannen om in te spelen op de onderkende risico’s. Uw college heeft de commissie Bestuur geïnformeerd met de Informatienota Informatiebeveiliging najaar 2021 met een update ten aanzien van informatiebeveiliging. Risicomanagement

Uw gemeente heeft in 2020 voor het eerst een interne frauderisicoscan opgesteld. Deze interne frauderisico-scan wordt jaarlijks besproken en vastgesteld in de directie. U heeft opvolging gegeven aan onze adviespunten van vorig jaar en bespreekt de frauderisicoscan met de portefeuillehouder financiën en agendeert deze in de auditcommissie. Hieruit blijkt dat op bestuurlijk niveau aandacht wordt besteed aan het onderwerp ‘fraude’. Tijdens de interimcontrole hebben wij kennisgenomen van uw actuele frauderisicoscan. In het kader van de jaarrekeningcontrole 2021 zullen wij onze forensisch specialisten betrekken. NB. Hiervoor bestaat geen specifieke aanleiding. Onze inzet van forensisch specialisten en rapportering over het onderwerp fraude past bij de voorgenomen invulling van de Koninklijke Nederlandse Beroepsorganisatie van Accountants (NBA) om de controlestandaarden aan te vullen met een verplichting om in de controleverklaring over fraude en continuïteit te rapporteren. U heeft opvolging gegeven aan onze adviespunten door frauderisico’s nadrukkelijk te ‘pinpointen’. Daarnaast heeft u in uw actualisatie ook (fraude)risico’s ten aanzien van het oneigenlijk toe-eigenen van activa, frauduleuze verslaggeving, management override of 2021 Gemeente Haarlem | Managementletter controls, omkoping & corruptie en cybersecurityrisico’s meegenomen.

02 Algemene observaties

Gemeente Haarlem | Managementletter 2021

Verbijzonderde interne controle (VIC-)bevindingen Algemeen - 3-lines of defence model

Managementsamenvatting Bevindingen

Bijlagen

213a onderzoek en Berenschot rapport U heeft een 213a onderzoek uitgevoerd naar het three lines of defence model, waarbij onder meer gebruik is gemaakt van de input van de bredere evaluatie van de organisatieontwikkeling zoals uitgevoerd door Berenschot. Uit het onderzoek is het volgende geconcludeerd: • de rol en daarbij behorende verantwoordelijkheden van de eerste lijn de juiste is. De eerste lijn is aangewezen als eerstverantwoordelijke en voelt die verantwoordelijkheid ook, voelt zich eigenaar. • Een sterkere eigenstandige rol voor de tweede lijn wordt afgewezen. De tweede lijn heeft een essentiële rol om de eerste lijn en directie van informatie en adviezen te voorzien en om voorzieningen te realiseren voor de hele organisatie. Met hun activiteiten stellen ze directie en 1e lijn in staat om hun respectievelijke verantwoordelijkheden ook daadwerkelijk kunnen nemen. Daarmee is de tweede lijn ondersteunend en adviserend aan de eerste lijn en aan de directie en werkt zij in opdracht van de eerste lijn en van de directie. Ons adviespunt sluit aan op bovenstaande constatering, met als aanvullend advies de aandacht voor de interveniërende rol van de tweede lijn.

Verbeterpotentieel positionering tweede lijn Wij zien dat er verbeteringen mogelijk zijn ten aanzien van de positionering van de tweede lijn. Deze observaties liggen in lijn met de aanbevelingen van het Audit Team zoals opgenomen in hun Financial Auditplan Haarlem/ Zandvoort 2018/2019/2021. • •

•

De tweede lijn ondersteunt en adviseert de eerste lijn vanuit haar eigen achtergrond met financiële kennis en vaardigheden. Ons advies is om deze context goed in beeld te hebben en daarmee de tweede lijn concreet te positioneren. De tweede lijn zou naast een adviserende en ondersteunende rol, ook een interveniërende rol moeten hebben. De tweede lijn zou moeten kunnen ingrijpen als zij van mening is dat een risico niet door een toereikende beheersmaatregel in de eerste lijn wordt gemitigeerd. Dit kan overigens alleen als sprake is van wederzijds begrip, en in goed overleg. Ons advies is om de interveniërende rol concreet te maken. Naar aanleiding van de werkzaamheden van de derde lijn zijn bevindingen en tekortkomingen geïdentificeerd. Ons advies is om naar aanleiding van deze tekortkomingen zogenaamde deep dive-sessies te houden met de betrokkenen uit de eerste, tweede en derde lijn. Hierbij gaan we na wat de reden is van de tekortkoming en welke beheersmaatregelen noodzakelijk zijn om dit structureel op te lossen.

U heeft een nieuwe nota herstructurering IC opgesteld, waarin wordt voorgesteld om de uitvoering van verschillende interne beheersmaatregelen te verschuiven naar de eerste en tweede lijn. De nota is vastgesteld door uw directieteam en u voert gesprekken om de overdracht van taken te realiseren. Gemeente Haarlem | Managementletter 2021

Verbijzonderde interne controle (VIC-)bevindingen Algemeen - 3-lines of defence model

Managementsamenvatting

Wij hebben op 22 november 2021 een deep dive-sessie gepland staan, waarbij wij concreet kunnen aangeven hoe bijvoorbeeld in het proces van inkopen en aanbestedingen de positionering van de tweede lijn verbeterd kan worden. Uiteindelijk past een gedegen invulling en ontwikkeling van het 3-lines of defence model bij de ontwikkeling naar de rechtmatigheidsverantwoording 2021.

Bevindingen

Bijlagen

Gemeente Haarlem | Managementletter 2021

IT audit IT audit en Cybersecurity

Managementsamenvatting Bevindingen

Bijlagen

IT audit Het primaire doel van een controle van de jaarrekening is het afgeven van een verklaring bij de jaarrekening. Voor dit doeleinde inventariseren wij de IT-omgeving, risico’s en tekortkomingen ten aanzien van de volgende drie gebieden: Logische toegangsbeveiliging, Wijzigingsbeheer, Datacentrum en netwerkactiviteiten. Wij hebben in het kader van onze IT audit inzicht verkregen in opzet en bestaan van algemene IT-beheersingsmaatregelen voor: • GWS (SSD) applicatie; • GFS (JDE) applicatie; • Oracle Database en het Windows AD domein. Hierbij opgemerkt dat de IT-beheersingsmaatregelen binnen het IT proces ‘Datacentrum en netwerkactiviteiten’ niet door ons zijn beoordeeld. Voor de getoetste IT-beheersingsmaatregelen binnen het IT proces ‘wijzingsbeheer’ hebben wij geen bevindingen geconstateerd en stellen wij vast dat het door ons getoetst proces en de IT-beheersingsmaatregelen in opzet en bestaan voldoende zijn ingericht. Wij hebben wel bevindingen geconstateerd ten aanzien van het ‘logische toegangsbeveiligingsproces’ en daarbij risico’s onderkend. Hierbij merken wij op dat de bevindingen een sterke oorzaak hebben in het feit dat de applicaties legacy systemen zijn, waardoor het vaak technisch niet mogelijk is dergelijke bevindingen te voorkomen. Uw organisatie geeft aan dat onze bevindingen kernpunten bevatten die u voor komend jaar geprioriteerd heeft.

Dit is onderdeel van een continu proces en komt terug in uw (concept) informatienota die in december wordt geagendeerd in de raadscommissie. T.o.v. voorgaand jaar zien wij reeds implementatie van enkele verbeteringen t.a.v. onze bevindingen welke onze onderkende risico’s mitigeren. In het tweede jaar van onze controle waren wij niet voornemens om de algemene IT-beheersingsmaatregelen te toetsen op effectieve werking. Gezien het aantal en de aard van onze bevindingen naar aanleiding van de uitgevoerde IT audit is dat op dit moment ook niet effectief om te doen. Dat impliceert dat wij op dit moment geen systeemgerichte controleaanpak toepassen waarbij gesteund kan worden op de algemene IT-beheersingsmaatregelen van de systemen. Wij bespreken met uw organisatie welke impact dit heeft op (aanvullende) gegevensgerichte controlewerkzaamheden buiten de IT omgeving om.

Gemeente Haarlem | Managementletter 2021

IT audit IT audit en Cybersecurity

Managementsamenvatting

IT audit

Bevindingen

Wij merken daarnaast op dat de scope, het aantal op opzet en bestaan getoetste algemene IT-beheersingsmaatregelen, dit tweede jaar beperkt is geweest. Overall bezien is onze conclusie dat de kwaliteit van de algemene IT-beheersingsmaatregelen op dit moment onvoldoende is om een systeemgerichte controleaanpak in het kader van de jaarrekeningcontrole te ondersteunen. Om deze reden hanteren wij een primair gegevensgerichte controleaanpak. Wij hebben onderstaande IT-roadmap opgesteld met (5) stappen voor de gemeente om naar een systeemgerichte controleaanpak toe te werken. De gemeente gaf in 2020 aan dat onderstaande roadmap het komend jaar wordt geïntroduceerd om stappen te zetten naar een hoger volwassenheidsniveau voor de systemen in scope. Wij constateren dat er sprake is van een tweejaarlijkse rapportage met betrekking tot informatiebeveiliging aan Directie, College en de Raad. Hiermee wordt (deels) aan stap 1 voldaan.

Bijlagen

1 2 3 4 5

Interne risico-analyse op IT risico’s binnen de organisatie Voer een risico-analyse uit a.d.h.v. de key-processen inclusief IT.

IT Raamwerk opstellen Stel een IT-raamwerk op met daarin de onder stap 1 onderkende IT-risico’s per proces, algemene IT-beheersingsmaatregelen en (semi)geautomatiseerde beheersingsmaatregelen.

Procesbeschrijving /flowcharts opstellen Stel procesbeschrijvingen of flowcharts op waarin de onder stap 2 genoemde algemene IT-beheersingsmaatregelen en (semi)geautomatiseerde beheersingsmaatregelen terugkomen. Houdt daarbij rekening met verantwoordelijkheden, eigenaarschap van processen en beheersingsmaatregelen en schrijf het zodanig uit dat het voorgenoemde 6W-proof is. Intern opzet en bestaan toetsen en documenteren van algemene IT-beheersingsmaatregelen Na stap 3 te hebben uitgevoerd verricht een 0-meting en stel vast en documenteer of de processen en beheersingsmaatregelen in opzet en bestaan effectief zijn. Gebruik de resultaten om de onder stap 3 opgestelde werkwijze aan te scherpen.

Intern effectieve werking toetsen en documenteren van algemene IT-beheersingsmaatregelen Verricht afhankelijk van de frequentie van elke beheersingsmaatregel en op basis van een onafhankelijke genomen steekproef periodiek een toets op de effectieve werking van de beheersingsmaatregelen. Bij voorkeur uitgevoerd door een onafhankelijke partij van betrokkenen onder stap 3.

Cybersecurity

Als cyberrisico’s zich voordoen, kunnen deze een forse impact hebben op de financiële systemen, op de interne beheersing, en daarmee ook (direct of indirect) op de jaarrekeningcontrole. Wij besteden daarom in onze controle, als onderdeel van onze risico analyse, aandacht aan cyberrisico’s aan de hand van ons cyber assessment. Wij informeren u indien relevant separaat over deze uitkomsten. © 2021 Deloitte The Netherlands

Gemeente Haarlem | Managementletter 2021

Interne frauderisicoscan Bevinding vorig boekjaar – Interne frauderisicoscan

Managementsamenvatting Bevindingen

Bijlagen

U heeft begin 2021 een frauderisicoscan opgesteld en besproken met de directie. Hiertoe zijn diverse gesprekken in de organisatie gevoerd om een volledig beeld te krijgen over de frauderisico's voor uw gemeente. De frauderisicoscan zal verder worden betrokken bij de risico-uitvraag die tweemaal per jaar in de organisatie wordt gedaan om zo integraal onderdeel te laten zijn van de P&C-cyclus. Op deze wijze wordt de frauderisicoscan met de organisatie gedeeld en waar nodig nog verder aangevuld. Deze aanpak zorgt ervoor dat de frauderisicoscan geen statisch document is maar continu in ontwikkeling blijft en dat de bewustwording in de organisatie omtrent (mogelijke) frauderisico's wordt vergroot. Uw directie heeft de interne frauderisicoscan besproken en vastgesteld. Na actualisatie wordt het document vanaf dit jaar besproken met de portefeuillehouder financiën en aangeboden ter bespreking in de auditcommissie. Tijdens de interim-controle hebben wij kennis genomen van uw frauderisicoscan en deze met uw medewerkers besproken. Wij zien dat u opvolging heeft gegeven aan onze adviespunten van vorig boekjaar. Zie verder hieronder. Risico

Een adequaat systeem van risicomanagement helpt onder andere om risico’s - mede als gevolg van in- of externe ontwikkelingen tijdig(er) te signaleren en hierop de juiste acties te ondernemen. Daarnaast helpt het risicomanagement bij het identificeren van eventuele zwakke(re) plekken in de organisatie en in de bedrijfsprocessen. Op basis daarvan kunnen adequate (vervolg)maatregelen worden getroffen, zoals het aanpassen van beleid, richtlijnen en procedures, en het in- dan wel juist extensiveren van interne controles. Voor een adequaat systeem van risicomanagement is het van belang dat de bewustwording in de organisatie met betrekking tot het onderwerp ‘fraude’ hoog is. Aanbeveling vorig boekjaar

Wij merken op dat uw Audit Team in het Intern Auditplan 2018-2021 frauderisico’s identificeert en daarbij aangeeft welke werkzaamheden zij verricht om in te spelen op de onderkende frauderisico’s. Aangezien fraude een onderwerp is wat de gehele organisatie raakt, adviseren wij onderstaande aandachtspunten in de frauderisicoscan in te bedden. 1) De frauderisicoscan beschrijft meer algemene frauderisicogebieden dan specifieke frauderisico's. Om adequate acties te ondernemen op geïdentificeerde risico's is het van belang om de frauderisico's specifiek te maken door deze te pinpointen. Belangrijk hierbij is om aan te geven wat er mis kan gaan waardoor het betreffende risicogebied als frauderisico is geïdentificeerd. 2) De gemeente benoemt in de frauderisicoscan algemene beheersmaatregelen die in de organisatie zijn ingebed om de frauderisico's te mitigeren. Om de frauderisicoscan specifieker te maken voor uw gemeente adviseren wij om per geïdentificeerd frauderisico aan te geven welke interne beheersmaatregelen invloed hebben op de inschatting van het risico en om de uitkomsten van de interne beheersmaatregelen (c.q. bevindingen) te beschrijven.

3) Tot slot constateren wij dat in de interne frauderisicoscan nog niet voldoende aandacht is voor de volgende (fraude) risico's: oneigenlijk toe-eigenen van activa & frauduleuze verslaggeving, management override of controls, omkoping & corruptie en cybersecurity risico's. Deze risicogebieden zijn van essentieel belang voor een volledige interne frauderisicoscan. Gemeente Haarlem | Managementletter 2021

U geeft aan bovenstaande adviespunten bij het actualiseren van de frauderisicoscan te betrekken.

Interne frauderisicoscan Follow-up 2021

Managementsamenvatting Bevindingen

Bijlagen

In navolging van onze adviespunten heeft u de frauderisicoscan verbeterd op de volgende aspecten: • • • • •

frauderisico’s zijn specifiek gemaakt door toelichting, risico-inschatting en interne beheersmaatregelen op te nemen; er zijn specifieke frauderisico’s opgenomen met betrekking tot de onderwerpen: oneigenlijk toe-eigenen van activa, frauduleuze verslaggeving, management override of controls, omkoping, corruptie en cybersecurity De risico’s zijn weergegeven in een risicotabel. Er is een koppeling gemaakt tussen de frauderisico’s en de reguliere risico-inventarisatie die in de P&C-documenten is opgenomen. In deze risico-inventarisatie is nu een apart frauderisico opgenomen waarvoor deze frauderisicoscan geldt als onderlegger. Enkele risico’s zijn verwijderd aangezien deze betrekking hebben op fraude van buiten de organisatie, hiervoor is inmiddels een gemeentelijk M&O beleid in ontwikkeling.

Als vervolgstap adviseren wij u om zichtbaar vast te stellen dat interne beheersmaatregelen niet alleen in opzet zijn beschreven, maar in de praktijk ook bestaan en/of werken door hier testwerkzaamheden op te verrichten.

Gemeente Haarlem | Managementletter 2021

02 - Detailbevindingen

Gemeente Haarlem | Managementletter 2021

Grondexploitaties – zichtbare interne controle 1e en 2e lijn Bevinding vorig boekjaar – Ontbrekende zichtbare interne controle 1e en 2e lijn

Managementsamenvatting Bevindingen

De planeconomen actualiseren twee maal per jaar de grondexploitatieopzetten (per 30 september en per 31 december). De planeconomen toetsen of geplande investeringen voldoen aan WRO/BRO en het BBV, of de planning realistisch is en of de prognoses onderbouwd zijn (1e lijn). Het Audit Team heeft geconstateerd dat achteraf niet vastgesteld kan worden dat deze toetsen gedurende het jaar zijn uitgevoerd, behalve dan wellicht aan de hand van eventuele mailcorrespondentie. De uiteindelijke uitkomsten van de toets blijken overigens wel uit het grondexploitatie project memorandum waarmee de planeconoom (en procesmanager) verantwoording afleggen voor ieder grondexploitatieproject.

Bijlagen Risico

Door het ontbreken van zichtbare interne beheersing kunt u achteraf niet aantonen dat controles in de 1 e lijn daadwerkelijk (zichtbaar) hebben plaatsgevonden. Dit heeft tot gevolg dat grondexploitatieopzetten na controle in de 1 e lijn mogelijk nog afwijkingen bevatten ten aanzien van de WRO/BRO of BBV, dat de planning niet realistisch is of dat de prognoses onvoldoende onderbouwd zijn door de 1e lijn. Dit zorgt mogelijk voor extra werkzaamheden bij uw Audit Team (3 e lijn). Aanbeveling en follow-up 2021

Het Audit Team adviseerde vorig boekjaar om via een beperkte procedurebeschrijving inzichtelijk te maken op welke wijze de toetsing in de 1e lijn plaatsvindt en welke aspecten daarin worden betrokken. Wij onderschrijven deze bevinding en vragen uw aandacht om uiteen te zetten waar brongegevens, die worden gehanteerd in de opzetten, aan zijn ontleend en welke controles de gemeente heeft uitgevoerd om te borgen dat de berekeningen juist en volledig zijn. Hierbij is het belangrijk dat de controles zichtbaar worden vastgelegd zodat achteraf herleidbaar is dat de berekeningen (op de juiste wijze) zijn gecontroleerd. Overigens wordt de controle achteraf door het Audit Team (3e lijn) wel zichtbaar vastgelegd. Uit onze bespreking blijkt dat u in 2021 heeft geïnvesteerd in de uitbreiding van uw team met planeconomen en verdere versteviging van de afdeling. U bent gestart met de procesbeschrijving waarin de rol van planeconomie duidelijk is benoemd.

Gemeente Haarlem | Managementletter 2021

Grondexploitaties – opstellen scenario’s Bevinding vorig boekjaar – Ontbrekende zichtbare interne controle 1e en 2e lijn (significant risico)

Managementsamenvatting Bevindingen

Bij onze interim hebben wij gesproken met uw planeconoom en het Audit Team. Wij hebben begrepen dat de grondexploitaties worden opgesteld op basis van het realistische scenario (best estimate). De gemeente heeft geen scenario’s voor ‘worst’ and ‘best’ case of een crisis scenario’s. De gemeente neemt wel risico’s mee in haar grondexploitatie waarbij rekening gehouden wordt met faseringsrisico’s of prijsrisico’s. Risico

Bijlagen

Het opstellen van scenario’s geeft u inzicht in de mogelijke (negatieve) financiële gevolgen van alternatieve scenario’s. De uitkomsten van de scenario’s en in het bijzonder de worst case scenario kan het daarmee samenhangende risico worden gekwantificeerd en mee worden genomen in het bepalen van de benodigde weerstandscapaciteit en de ratio’s van het weerstandsvermogen. Follow-up 2021

Net als vorig jaar vragen wij u om bij de voorbereiding van de jaarrekening en verantwoording van de grondexploitaties een scenarioanalyse op te stellen. In het kader van onze interim-controle hebben wij geen gelegenheid gehad om te spreken met uw planeconomen. Op basis van onze risico-analyse plannen wij deze bespreking in voorafgaand aan de jaarrekeningcontrole.

Gemeente Haarlem | Managementletter 2021

Europese aanbestedingen – preventieve maatregelen Bevinding vorig boekjaar – Europese aanbestedingen (1/2)

Managementsamenvatting Bevindingen

Bijlagen

In het proces van aanbestedingen ligt de focus op detectieve in plaats van preventieve maatregelen. De functionaliteit van het contractenregister wordt nog niet volledig benut om te fungeren als belangrijke beheersingsmaatregel ter borging van de naleving van het eigen inkoopbeleid en externe wetgeving.

Uw Audit Team merkt op dat het bewustzijn omtrent onrechtmatig handelen op het gebied van aanbestedingen is toegenomen en dat de directie in een aantal gevallen is geconsulteerd over risico's op mogelijke afwijkingen van de EU-aanbestedingsrichtlijnen. Steeds vaker vooraf, maar regelmatig ook achteraf bij het constateren van onrechtmatigheden. Omdat het op dat moment niet meer mogelijk is herstelacties uit te voeren, adviseert het Audit Team om een formele escalatieprocedure in te stellen. Dit maakt de aanbesteding dan niet rechtmatig, maar de motivatie is op voorhand wel duidelijk. Overigens dient slechts in uitzonderingsgevallen sprake te zijn van het toepassen van deze escalatieprocedure. De onrechtmatigheid dient, na het toepassen van deze procedure, altijd gemeld te worden aan het college. Een belangrijke preventieve beheersmaatregel in het proces van aanbesteden is de interne afspraak dat budgethouders inkopen vanaf EUR 50.000 centraal dienen aan te melden bij Team Inkoop en Aanbesteden. Op dat moment start het inkooptraject. Team Inkoop en Aanbesteden verstrekt een maatwerkadvies ten aanzien van de te volgen aanbestedingsprocedure waarbij eveneens de centrale contractenbank geraadpleegd wordt om vast te stellen of de gemeente voor soortgelijke leveringen of diensten reeds een (raam)overeenkomst heeft afgesloten.

In de praktijk wordt deze beheersmaatregel (zeker bij kleinere inkopen) echter vaak niet nageleefd. Risico

U loopt het risico dat opdrachten die op basis van de Aanbestedingswet (Europees) aanbestedingsplichtig zijn, onterecht niet (Europees) worden aanbesteed. Follow-up 2021

Bij de afgelopen jaarrekeningcontrole zijn de onrechtmatigheden inzake EU-aanbestedingen toegenomen ten opzichte van boekjaar 2019, waardoor een verbetertraject noodzakelijk is. U heeft inmiddels verbeteringen doorgevoerd die wij op de volgende pagina beschrijven.

Gemeente Haarlem | Managementletter 2021

Europese aanbestedingen – preventieve maatregelen Bevinding vorig boekjaar – Europese aanbestedingen (2/2)

Managementsamenvatting Bevindingen

Bijlagen

Follow-up 2021 - vervolg

U geeft aan dat u inmiddels een formele escalatieprocedure heeft ingesteld. Wij hebben geconstateerd dat u op dit moment bezig bent met een verdere professionalisering van contractbeheer, -management en de contractenbank. Daarnaast probeert u voor nieuwe opdrachten zoveel als mogelijk onder bestaande (of nieuwe) raamcontracten te verstrekken. Ook verstevigd u de kennis van de inkoopprocedures en bewustwording rondom de aanbestedingsregels door middel van het faciliteren van trainingen en publicaties op intranet. Wij zullen tijdens de jaarrekeningcontrole kennis nemen van het effect van de genomen verbetermaatregelen.

Gemeente Haarlem | Managementletter 2021

Adviespunt controle prestatielevering Sociaal Domein Adviespunt vorig boekjaar – Sociaal Domein

Managementsamenvatting Bevindingen

Met ingang van 2015 zijn gemeenten in Nederland middels de zogenaamde ‘decentralisatie sociaal domein’ verantwoordelijk voor de taken binnen het sociaal domein. Een belangrijk onderdeel om vast te stellen of de bestedingen in het sociaal domein rechtmatig zijn betreft de controle of de prestatie voor de betaalde zorg daadwerkelijk geleverd is. De gemeente Haarlem is op dit moment ten aanzien van het aspect prestatielevering in grote mate afhankelijk van de productieverantwoordingen met bijbehorende controleverklaringen van zorgaanbieders.

Bijlagen

Medio 2018 heeft uw Audit Team het Auditplan Jeugd en Wmo opgesteld. In dit plan is een groeimodel opgenomen om te komen tot een sluitende controleaanpak ten aanzien van de baten en lasten gerelateerd aan het sociaal domein. De gemeente Haarlem wil toegroeien naar een model waarin de eigen interne organisatie voldoende waarborgen biedt om zelfstandig de benodigde zekerheid te verkrijgen omtrent de daadwerkelijke realisatie (en kwaliteit) van in rekening gebrachte zorg. Wij hebben vernomen dat er voor zowel Jeugdhulp als Wmo interne controleplannen zijn opgesteld en dat er een start is gemaakt met de implementatie hiervan. De implementatie is echter nog niet zo ver dat prestatielevering van de geleverde zorg zelfstandig kan worden vastgesteld. Risico

De afhankelijkheid van de productieverantwoordingen van de zorgaanbieders past niet in de doelstellingen van de implementatie van het sociaal domein. Hoewel er veelal weer sprake is van een goedkeurende controleverklaring bij de productieverantwoording van de zorgaanbieder, zorgt de deadline van 1 april van het daaropvolgende boekjaar voor de productieverantwoordingen van zorgaanbieders voor een vertraging in het tijdspad van het jaarrekeningproces van de gemeente. Hierdoor kan de controle sociaal domein van de gemeente Haarlem pas enkele weken na de periode van de jaarrekeningcontrole worden uitgevoerd. Daarnaast kan het hierdoor voorkomen dat belangrijke verschillen in zorgkosten tussen gemeente en aanbieder pas in een zeer laat stadium bekend worden. Veel gemeenten worstelen met de beheersbaarheid van knelpunten en tekorten in het sociaal domein waardoor de situatie zich voordoet dat tijdige bijsturing nog beperkt mogelijk is. Follow-up 2021

Op basis van bevestigend vragenonderzoek met uw organisatie blijkt dat u gedurende 2021 een verbetertraject heeft ingezet om de onzekerheden t.a.v. prestatielevering in het sociaal domein weg te nemen. Hiertoe heeft u een derde partij (SDO Support) ingeschakeld om aanvullende werkzaamheden te verrichten ten einde de rechtmatigheid van de geleverde zorg vast te stellen. Ten tijde van de interim controle zijn deze werkzaamheden nog onderhanden, derhalve zullen wij tijdens de jaarrekeningcontrole kennis nemen van de uitkomsten van deze werkzaamheden en evalueren of nog een onzekerheid bestaat met betrekking tot de Wmo.

Gemeente Haarlem | Managementletter 2021

03 Bijlagen

Gemeente Haarlem | Managementletter 2021

Disclaimer en beperking in het gebruik Managementsamenvatting Bevindingen

Volledigheidshalve merken wij op dat onze analyse en evaluatie is uitgevoerd in het kader van de door u verstrekte opdracht tot controle van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico’s dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking die relevant is voor het opmaken van de jaar-rekening en voor het getrouwe beeld daarvan, gericht op het opzetten van controlewerkzaamheden die passend zijn in de omstandigheden. Deze risico-inschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel en deze bestrijkt daarom niet nood-zakelijkerwijs alle in de interne organisatie vervatte tekortkomingen. Wij attenderen u erop dat deze managementletter is opgesteld ten behoeve van het college van de gemeente en daarom niet zonder onze toestemming aan derden mag worden verstrekt.

Bijlagen

Gemeente Haarlem | Managementletter 2021

This report has been prepared solely for the use of the Audit Committee, Supervisory Board and Executive Board of gemeente Haarlem and should not be distributed or quoted in whole or in part without our prior written consent. No responsibility to any third party is accepted as the report has not been prepared for, and is not intended for, any other purpose. As a consequence, we do not assume any liability or duty of care to any other person to whom this report is shown or into whose hands it may come. The matters raised in this report are those which have come to our attention as a result of our audit and are those that we believe we need to bring to your attention. They are not a comprehensive record of all the matters arising and in particular we cannot be held responsible for reporting all Risks in the business or all internal control weaknesses. Any conclusion, opinion or comments expressed herein are provided within the context of our opinion on the financial statements as a whole, which will be expressed in our auditor’s report. Similarly, the comments, observations and recommendations involving systems and procedures should not be read as an opinion on the internal control structure and its operation. Deloitte refers to one or more of Deloitte Touche Tohmatsu, a UK Private Company limited by guarantee, and its network of member firms.

Neither Deloitte Touche Tohmatsu nor any of its member firms has any liability for each other's acts or omissions. Each of the member firms is a separate and independent legal entity operating under the names of "Deloitte", "Deloitte & Touche", "Deloitte Touche Tohmatsu", or other related names. The ‘General Terms and Conditions for Services Deloitte Netherlands, January 2021’ registered at the Chamber of Commerce under number 24362837 apply to all engagements under which Deloitte performs services. Deloitte Accountants B.V. is registered with the Trade Register of the Chamber of Commerce and Industry in Rotterdam number 24362853. © 2021 Deloitte Accountants B.V. All rights reserved. Member of Deloitte Touche Tohmatsu Limited

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api.notubiz.nl/document/12265880/2