Reactie college rapport van bevindingen Deloitte 2020 -

Accountantsverslag Deloitte 2020 - reactie van het college aan de raad

28 mei 2021 Concerncontrol

Inhoudsopgave 1.

Inleiding

3

2.

Conclusie

4

3.

Controlebevindingen

4

3.1

Algemene bevindingen

4

3.2

Grondexploitaties

5

3.3

Overige bevindingen

5

3.4

Begrotingsrechtmatigheid

7

3.5

Overige verantwoordings- en rapportageverplichtingen

7

3.6

Frauderisicoanalyse

7

Interne beheersing

7

4.1

Verbetering in de interne beheersing

8

4.2

Sociaal domein

8

4.

4.3 Betrouwbaarheid en continuïteit van de automatiseringsomgeving inclusief cybersecurity

8

4.4

8

Vennootschapsbelastingplicht

2

1.

Inleiding In het kader van de opdracht die aan de accountant, is verstrekt, heeft Deloitte het accountantsverslag 2020 uitgebracht. Deloitte heeft haar controlebevindingen besproken met de portefeuillehouder financiën en vertegenwoordigers van de ambtelijke organisatie. De jaarrekeningcontrole is voor het eerst uitgevoerd door Deloitte en er is sprake geweest van een goede samenwerking. De controle van de jaarrekening 2020 is noodgedwongen door de coronamaatregelen meer op afstand uitgevoerd en heeft enige vertraging opgelopen door capaciteitsproblemen bij de accountant als gevolg van het coronavirus. Des ondanks zijn de bestuurlijke deadlines als gevolg van de uitloop van de controle nagenoeg niet in het gedrang gekomen. Het college spreekt naar Deloitte daarover zijn waardering uit. In deze notitie informeert het college de raad over de uitkomsten van de controle (hoofdstuk 2) en de reactie op en beoogde opvolging van de aanbevelingen die zijn opgenomen in het rapport van bevindingen (hoofdstuk 3).

3

2.

Conclusie Het opstellen van de jaarrekening 2020 is goed doorlopen. In totaal zijn twee rondes voor naposten nodig geweest om tot de definitieve jaarrekening te komen. Er is bewust voor gekozen om ook een tweede ronde naposten uit te voeren om een zoveel mogelijk schone jaarrekening op te kunnen leveren waarbij alle afwijkingen van relevante omvang zijn gecorrigeerd. De fouten en onzekerheden die geconstateerd zijn ten aanzien van de getrouwheid en rechtmatigheid vallen binnen de goedkeuringstolerantie. Verder zijn er geen resterende controleverschillen geïdentificeerd met betrekking tot het vermogen en het resultaat. Deloitte verstrekt een goedkeurende controleverklaring (getrouwheid en rechtmatigheid) bij de jaarstukken 2020.

3.

Controlebevindingen In deze paragraaf geeft het college op basis van de in het accountantsverslag van Deloitte opgenomen bevindingen haar reactie en beoogde opvolging.

3.1 Algemene bevindingen Het accountantsverslag 2020 bevat een zestal algemene bevindingen: • Verslaggevingsgrondslagen zijn aanvaardbaar • Jaarverslag is verenigbaar met de jaarrekening • Effecten corona: het M&O beleid m.b.t. de TOZO-regeling is nageleefd. De gemeente heeft voldoende (extra) interne beheersmaatregelen getroffen om de (mogelijke) financiële effecten van corona voor het sociaal domein in beeld te brengen en te beheersen. De getroffen maatregelen hebben ertoe geleid dat de organisatie de extra kosten en vraagstukken tot een minimum heeft kunnen beperken. • de waardering van de voorzieningen en de daarbij gemaakte schattingen zijn redelijk en consistent toegepast • Kwaliteit en transparantie van de jaarstukken: de jaarstukken 2020 van de gemeente Haarlem voldoen aan de vereisten uit het BBV. Over de kwaliteit van de toelichtingen en analyses in het jaarverslag wordt per beleidsveld transparant weergegeven wat in het verslaggevingsjaar is bereikt en gedaan, en wordt ook aandacht geven aan wat niet is bereikt of gedaan en wat het eventuele financiële effect hiervan is geweest. • Informatiewaarde programmaverantwoording kan verbeterd worden door per programma of beleidsveld aan te geven wat de belangrijkste risico’s zijn en door het toevoegen van inhoudelijke oorzaakanalyses.

Het college heeft kennis genomen van de eerste vijf bevindingen waar geen verdere aanbeveling uit volgt. Ook het college heeft met waardering vastgesteld dat ondanks alle gevraagde snelheid en invoeringsdruk de Tozo-regeling effectief en efficiënt door nze organisatie is uitgevoerd ten gunste van Haarlemmers.

4

Voor wat betreft de laatste bevinding rond het toevoegen van extra risicoanalyses per beleidsveld is het van belang om te weten dat het college twee jaar geleden een traject in gang heeft gezet om de planning en control producten beter leesbaar te maken. Als onderdeel van dit traject is ervoor gekozen om de risico’s niet per beleidsveld terug te laten komen, maar op één centrale plek in het jaarverslag (namelijk de paragraaf weerstandsvermogen en risicobeheersing) terug te laten komen. Daarnaast is in de bijlage van de jaarstukken een uitgebreid overzicht met risico’s opgenomen per programma. De risico’s nogmaals per programma of beleidsveld terug te laten komen zou zorgen voor dubbele informatie waardoor de omvang van de stukken weer toeneemt. Verder wordt aanbevolen inhoudelijke oorzaakanalyses die antwoord geven op de vragen: “Waardoor is de afwijking ontstaan en waardoor was de afwijking niet eerder te voorzien c.q. te rapporteren?” toe te voegen aan het jaarverslag. Het aanscherpen van analyses vraagt continue aandacht zeker wat betreft oorzaakanalyse in de samenhang van resultaat en geld. Het belang wordt herkend en meegenomen als verbeterslag voor de volgende jaarrekening, echter kiest het college ervoor om deze oorzaakanalyses op te nemen in de analyse en toelichting per beleidsveld in de bijlage.

Op deze manier presenteren we informatie niet dubbel en blijven de producten leesbaar.

3.2 Grondexploitaties Ten aanzien van de grondexploitaties zijn de volgende bevindingen in het rapport opgenomen: • De grondexploitaties zijn geactualiseerd en daarbij zijn verslaggeving, waardering en de toegepaste schattingen redelijk en consistent gebruikt. • De resultaten uit de grondexploitaties zijn in 2020 verbeterd. In het accountantsverslag worden geen specifieke verbeterpunten of aanbevelingen meegeven met betrekking tot de grondexploitaties.

3.3 Overige bevindingen Europese aanbestedingsrichtlijnen: het totale bedrag van de rechtmatigheidsfouten is toegenomen ten opzichte van voorgaand jaar. Ten opzichte van voorgaand jaar is het bedrag aan geconstateerde onrechtmatigheden toegenomen: € 3,4 miljoen ten opzichte van € 2,5 miljoen in 2019. Een groot deel van de onrechtmatigheden komt voort uit reeds bestaande afspraken en vaak heeft dit betrekking op de inhuur van medewerkers. De organisatie is de laatste twee jaar hard aan de slag gegaan met het afsluiten van raamcontacten om deze onrechtmatigheden in de toekomst te voorkomen. Toch is er nog sprake van doorlopende contracten vanuit voorgaand jaar die niet direct stopgezet kunnen worden door reeds gemaakte afspraken. Niettemin is de onrechtmatigheid ten opzichte van 2019 gestegen. Deels is dit veroorzaakt door inhuren welke in het jaar 2020 nog niet zijn afgedekt met een raamcontract, bijvoorbeeld omdat het aanbestedingstraject toen nog liep. Ook is vooraf niet altijd goed in te schatten hoe lang een inhuur benodigd zal zijn. Het vooraf beter documenteren van de inschatting van de opdrachtwaarde / contractperiode zal meegenomen worden als aandachtspunt bij nieuwe inhuren. Ook is sprake van een aantal bijzondere opdrachten waarbij in eerste instantie EU-aanbesteding niet aan de orde leek.

Op basis van de huidige bevindingen uit de controle van de interne audit is reeds actie ondernomen door een directienota op te stellen waarin de bevindingen extra onder de aandacht zijn gebracht. Deze directienota is gelijktijdig met het rapport van bevindingen van Deloitte behandeld door de directie. De nota bevat acties waar beïnvloeding en bijsturing mogelijk is. Na vaststelling van de voorgestelde acties is gestart met de uitvoering om zo veel als mogelijk doorwerking van de onrechtmatigheden in toekomstige jaren te voorkomen.

5

Sociaal domein: • Inzake de gevolgen van corona zijn er voldoende (extra) interne beheersmaatregelen getroffen om de (mogelijke) financiële effecten van corona voor het sociaal domein in beeld te brengen en te beheersen. • Inzake de pgb-bestedingen zijn er onvoldoende aanvullende interne controles over 2020 uitgevoerd waardoor deze bestedingen als onzekerheid zijn meegenomen in de verantwoording. • Inzake jeugdzorg en Wmo zijn onzekerheden geconstateerd naar aanleiding van het ontbreken van controleverklaringen bij productieverantwoordingen van relatief kleinere zorgaanbieders. Dit betreft met name zorgaanbieders die op grond van het landelijk protocol geen controleverklaring bij de productieverantwoording hoeven aan te leveren. Ondanks de conclusie uit het accountantsrapport dat er onvoldoende aanvullende interne controles zijn uitgevoerd zijn er in 2020 wel daadwerkelijk stappen gezet ten aanzien van het verbeteren van de beheersing rond – en het verkrijgen van zicht op – de prestatielevering door zorgaanbieders, zowel voor de Zorg in Natura als de zorg via een PGB. Voorbeelden hiervan zijn: • Het uitvoeren van een cliënt ervaringsonderzoek voor Wmo met extra aandacht voor de kwaliteit van zorg en geleverde prestaties door aanbieders door het stellen van extra specifieke vragen hieromtrent. • Het evalueren van geleverde ondersteuning uit voorgaande periode.

Bij elk heronderzoek wordt hier door casemanagers naar gevraagd. • Extra aandacht van casemanagers voor kwaliteit zorg, behaalde resultaten en gerealiseerde prestaties door aanbieders in het proces van herbeoordelingen van indicaties Wmo. • Een verbeterde afstemming met contractmanagement Wmo omtrent de vastlegging van contacten met zorgaanbieders, de te bespreken punten en de opvolging hieromtrent. • Het vormgeven en uitvoeren van een interne controle op Wmo en Jeugd door kwaliteitsmedewerkers. • Het extra toetsen van rechtmatigheidsaspecten Jeugd aan de hand van informatie uitvraag bij aanbieders en CJG. • Het extra toetsen van rechtmatigheidsaspecten MO aan de hand van informatie uitvraag bij de BCT. • Extra inzet gepleegd op heronderzoeken bij PGB’s naar de kwaliteit van geleverde zorg en ook dit wordt vanaf medio 2021 gestructureerd vastgelegd. Er is ook een vragenlijst uitgestuurd om de levering van zorg tijdens Corona te onderzoeken. In 2021 zal hier een verder vervolg aan gegeven moeten worden. Zodat deze werkzaamheden ook ‘bruikbaar’ worden voor de uitvoering van de accountantscontrole. Dit ziet onder andere toe op het zichtbaar maken van bepaalde maatregelen door vastlegging en documentatie. En/of het analyseren en opvolgen van bevindingen en actiepunten afkomstig uit bovengenoemde beheersmaatregelen.

Specifiek ten aanzien van de PGB’s zal er in 2021 aanvullend een extra onderzoek uitgevoerd worden waarbij in de vorm van o.a. huisbezoeken voor zowel Jeugd als Wmo nader inzicht verkregen wordt in de rechtmatige besteding van het PGB en de kwaliteit van de geleverde zorg. Waardoor er ten tijde van de jaarrekening 2021 voldoende zekerheid zal bestaan over de gerealiseerde prestaties van de zorgverlening via PGB’s.

6

3.4 Begrotingsrechtmatigheid Overschrijdingen van de begroting zijn altijd onrechtmatig, maar wegen niet in alle gevallen mee in het accountantsoordeel. Deze kostenoverschrijdingen moeten dan wel goed herkenbaar in de jaarrekening zijn opgenomen. Op basis van de analyse die in de jaarrekening is opgenomen zijn er geen begrotingsoverschrijdingen geconstateerd die gerapporteerd moeten worden en meegewogen hoeven te worden in het oordeel. Het college heeft met instemming kennisgenomen van deze bevindingen. Hieruit volgen geen specifieke aanbevelingen.

3.5 Overige verantwoordings- en rapportageverplichtingen Ten aanzien van de overige verantwoordings- en rapportageverplichtingen zijn de volgende bevindingen opgenomen: • Er zijn geen fouten en/of onzekerheden in de SiSa-bijlage 2020 geconstateerd • Er zijn geen fouten geconstateerd met betrekking tot de naleving van de Wet Normering topinkomens (WNT) Het college heeft kennisgenomen van deze bevindingen. Hieruit volgen geen specifieke aanbevelingen.

3.6 Frauderisicoanalyse De frauderisicoscan kan op een aantal punten verbeterd worden: • •

•

De analyse is nog relatief generiek, geadviseerd wordt om de opgenomen frauderisico’s nadrukkelijk te ‘pinpointen’. Aanbevolen wordt om (fraude)risico’s ten aanzien van het oneigenlijk toe-eigenen van activa en frauduleuze verslaggeving, management override of controls, omkoping en corruptie en cybersecurityrisico’s ook op te nemen in de frauderisicoscan. Geadviseerd wordt om de frauderisicoscan jaarlijks met de portefeuillehouder financiën te bespreken en in de auditcommissie te agenderen.

Het college kan zich vinden in de aanbevelingen die zijn opgenomen in het accountantsverslag. De organisatie is op dit moment reeds bezig met de verbeterpunten. Wanneer de geactualiseerde versie van de frauderisicoscan beschikbaar is, zal deze opnieuw worden besproken met de portefeuillehouder financiën en de auditcommissie. Het streven is om deze stappen te zetten voorafgaand aan de volgende interim controle.

4.

Interne beheersing Naar aanleiding van de in het najaar uitgevoerde interim controle, gericht op de interne beheersing, zijn enkele bevindingen gerapporteerd in de Management Letter 2020. In het accountantsverslag komen deze punten beknopt terug.

7

4.1 Verbetering in de interne beheersing • •

Actuele procesbeschrijvingen van diverse processen ontbreken Geadviseerd wordt om de verantwoordelijkheid voor het uitvoeren van de interne beheersmaatregelen te verschuiven van de derde naar de eerste en tweede lijn.

De aanbeveling rondom de procesbeschrijvingen was reeds in de management letter 2020 opgenomen waarna de organisatie aan de slag is gegaan met het opstellen en actualiseren van procesbeschrijvingen. Het college heeft het initiatief genomen om de werking van de 3 lines of defence te onderzoeken. Inmiddels is het rapport van Hiemstra en de Vries inzake het 3 lines of defence onderzoek afgerond. Op dit moment worden de bevindingen en aanbevelingen die zijn opgenomen in het rapport nader geanalyseerd. Het eindrapport inclusief reactie van het college zal naar verwachting nog voor het zomerreces aan de raad worden aangeboden. Naar aanleiding van het rapport zullen aanbevelingen in acties omgezet worden.

4.2 Sociaal domein Het gedeelte rondom de interne beheersing met betrekking tot het sociaal domein bevat geen andere of aanvullende aanbevelingen ten opzichte van de bevindingen uit de controle. Hiervoor wordt verwezen naar paragraaf 3.3.

4.3 Betrouwbaarheid en continuïteit van de automatiseringsomgeving inclusief cybersecurity Over de brede lijn bezien is de conclusie van Deloitte dat de kwaliteit van de algemene ITbeheersingsmaatregelen op dit moment onvoldoende is om een systeemgerichte controleaanpak in het kader van de jaarrekeningcontrole te ondersteunen. Om deze reden wordt een primair gegevensgerichte controleaanpak gehanteerd. De vraag is of een systeemgerichte controle geprefereerd wordt boven een gegevensgerichte controle. Een systeemgerichte controle vraagt een investering in de procesvolwassenheid en vraagt een meerjarige inspanning. Overigens is er niet een gemeente in Nederland die volledig o.b.v. systeemgerichte controle door de accountant wordt gecontroleerd. Er vinden wel pilots en experimenten plaats. Het college merkt op dat er op dit gebied wel stappen worden gezet. Binnen de ICT infrastructuur zijn en worden beheerprocessen versterkt. Toegangsrechten van gebruikers en toegang van beheerders zijn opgenomen bij de prioriteiten van het informatiebeveiligingsplan voor 2021. Van belangrijke financiële applicaties zijn de rechten van gebruikers geverifieerd, en gepland is om deze verificaties te herhalen. De combinatie van bovenstaande acties vermindert de onzekerheid voor de accountant.

4.4 Vennootschapsbelastingplicht Geconcludeerd wordt dat de Vpb-aangiften over voorgaande jaren sluiten voor accountantscontrole met een Vpb-last van te verwaarlozen omvang. Het college heeft kennisgenomen van deze bevinding. Hieruit volgen geen specifieke aanbevelingen.

8

Dit is een uitgave van gemeente Haarlem, 28 mei 2021

Tekst: Concerncontrol, Fotografie: -, Ontwerp: -, Drukwerk: ________________________________ Postbus 511 2003 PB Haarlem Tel. 14 023 haarlem.nl 9