2 Brief college aan de raad 'Bestuurlijke reactie op het accountantsverslag' - incl. bijlage: Status opvolging adviesrapport nadere duiding general ITcontrols 8 april 2024

gemeente Haarlemmermeer

De leden van de gemeenteraad van Haarlemmermeer

Postbus 250 2130 AG Hoofddorp

Bezoekadres: Marktlaan 124 Hoofddorp Telefoon 0900 1852

Verzenddatum

Contactpersoon

Corporale Control Adnan Seyban

Doorkiesnummer

023-5674430

2 3 MEI 2024

cluster

Uw brief Ons kenmerk Bijiage(n)

XS-24041509.207

Status opvolging adviesrapport nadere duiding general IT-controls 8 april 2024

onderwerp

Bestuurlijke reactie op het rapport van bevindingen van de externe accountant bij de jaarrekening 2023

Geachte heer, mevrouw, Voor de behandeling van de jaarrekening 2023 heeft de raad het accountantsverslag ontvangen, inclusief de goedkeurende controleverklaring met een paragraaf ter benadrukking van aangelegenheden. Als sluitstuk van de jaarrekeningcontrole stelt de externe accountant deze stukken op, zoals dat is vastgelegd in artikel 213, lid 5 van de Gemeentewet. De accountant doet hiermee verslag van de kwaliteit van de interne beheersing van de gemeentelijke organisatie. Deze beheersing dient een getrouwe en rechtmatige verslaggeving te garanderen. Daarbij geeft de accountant adviezen ter verbetering van deze interne beheersing. Ook geeft de accountant inzicht in de aard en de omvang van fouten en onzekerheden van specifieke uitkeringen die zij heeft geconstateerd bij haar controlewerkzaamheden. Wij geven de raad hierbij onze reflectie op de bevindingen en de adviezen van de accountant over de jaarrekening 2023. Deze werkwijze is onderdeel van het jaarrekeningproces. Het draagt bij aan de transparantie over de kwaliteit van de beheersing en verslaglegging over de gemeentelijke organisatie en activiteiten, zodat de raad zijn rol als controlerend orgaan optimaal kan uitvoeren.

De controle op de jaarrekening 2023 heeft geleid tot een goedkeurende controleverklaring van de externe accountant op het aspect getrouwheid en een paragraaf ter benadrukking van aangelegenheden gericht op de rechtmatigheid. Hiermee heeft de raad zekerheid dat de gepresenteerde cijfers in de jaarrekening een getrouwe weergave geven van de werkelijkheid, en in welke mate onze gemeentelijke activiteiten zijn uitgevoerd binnen de geldende regels en door de raad gestelde grens.

Ons kenmerk: XS-24041509.207

Pagina 2

Reactie op de belangrijkste bevindingen in het accountantsverslag

De externe accountant heeft haar bevindingen bij de controle op de jaarrekening 2023 vastgelegd in het accountantsverslag. Bij deze jaarrekening 2023 legden wij voor het eerst verantwoording aan u af door middel van de wettelijk verplichte rechtmatigheidsverantwoording. Onze organisatie is daarvoor goed toegerust. De financiële- en controleverordening zijn hiervoor aangepast, de interne beheersorganisatie is verder aangescherpt en ook in 2023 zijn de interne controles vanuit de derde lijn (Corporate Control/verbijzonderde interne controle (VIC)) een belangrijke basis gebleken om tot een getrouwe rechtmatigheidsverantwoording te komen. Wij onderschrijven de positieve boodschap van de accountant dat zij op de getroffen algemene beheersingsmaatregelen en de uitgevoerde VIC goed heeft kunnen steunen en dat de rechtmatigheidsverantwoording voldoet aan de vereisten. De goedkeurende controleverklaring is dan ook de logische positieve uitkomst van de jaarrekeningcontrole van de accountant. College geeft oordeel 'onrechtmatig' in rechtmatigheidsverantwoording

In onze rechtmatigheidsverantwoording, oordeelden wij zelf dat de baten en lasten alsmede de balansmutaties op twee onderdelen niet rechtmatig tot stand zijn gekomen binnen de daarvoor door u gestelde grens. Wij merken op dat dit tevens inhoudt dat alle overige onderdelen wel rechtmatig tot stand zijn gekomen. In de rechtmatigheidsverantwoording en de paragraaf bedrijfsvoering bij de jaarrekening lichtten wij de achtergronden hiervan aan de raad toe en gaven wij weer welke maatregelen ter voorkoming van herhaling wij treffen. •

Begrotingsafwijkingen niet tijdig aan de raad gemeld

De grootste afwijking betreft de begrotingsonrechtmatigheden die niet tijdig aan de raad zijn gemeld voor een totaalbedrag van € 66,4 miljoen. In de rechtmatigheidsverantwoording bij de jaarrekening lichtten wij toe, welke mutaties aan deze onrechtmatigheid ten grondslag liggen. Wij merken op dat het hier voor een groot deel onder- en overschrijdingen van de baten en onderschrijdingen van lasten betreft. Veelal komen incidentele baten pas laat in het jaar beschikbaar waardoor deze (deels) niet meer in het betreffende jaar kunnen worden ingezet. In onze brief van 16 januari 2024 over de decembercirculaire 2023 gemeentefonds informeerden wij u over deze baten (X.2023.07756). Wij hebben alle afwijkingen die na de najaarsrapportage bekend werden, in de rechtmatigheidsverantwoording opgenomen. Dit is ingegeven door het feit dat het begrip 'tijdige informatievoorziening' op dat moment nog niet voldoende was geduid. Recent heeft de commissie Besluit Begroting en Verantwoording provincies en gemeenten (BBV) aan dit begrip wel nadere invulling gegeven. Het advies van de accountant om hiervoor de financiële verordening artikel 212 aan te passen, nemen wij in overweging. Formeel kan het aspect 'tijdigheid' hiermee worden ondervangen. Wij hechten er waarde aan dat de informatievoorziening aansluit bij de wensen en verwachtingen van de raad.

De gemeente blijft investeren in het voorspellend vermogen van zowel de verwachte baten en lasten. De negatieve ontwikkeling van de lasten in het sociaal domein, zowel ingevolge de toename van de kosten alsmede toename van het volume wordt nadrukkelijk in de verwachting betrokken. Een tweede aandachtspunt is de lage realisatiegraad in het fysieke en ruimtelijke domein. Dit is enerzijds te wijten aan de ambitieuze programmering van investeringen en anderzijds het gevolg van capaciteitsproblemen in de markt (schaarste) en ambtelijke organisatie (absorptievermogen) waardoor we niet volledig in staat zijn om de verwachte uitgaven en/of geplande investeringen te realiseren. De genoemde factoren hebben een significant effect op het gerealiseerde resultaat ten opzichte van de verwachtingen. Dit dwingt ons om nog beter te prioriteren dan wel te temporiseren, realistischer te programmeren en ook na te denken of vergroten van de capaciteit effect kan resulteren. Wij zullen voorafgaande aan het opstellen van de Programmabegroting 2025 - 2028 trachten de financiële impact van deze

Ons kenmerk: XS-24041509.207

Pagina 3

keuzes in kaart te brengen. Dit is ook in lijn met het advies van de accountant bij het speerpunt onderrealisatie en begrotingssystematiek. •

Onrechtmatige aanbestedingen/Rechtmatigheid specifieke uitkeringen

In de rechtmatigheidsverantwoording zijn onrechtmatige aanbestedingen voor een totaalbedrag van € 14,1 miljoen opgenomen. Hiervan bestaat het majeure deel, van € 12,1 miljoen, uit de onrechtmatige aanbesteding van de uitgaven voor de opvang van ontheemden uit Oekraïne. De uitgaven voor de hotelopvang, ondersteuning en beveiliging na 1 april 2023 (afloop periode dwingende spoed) kwalificeren als onrechtmatig, gezien deze dienstverlening om moverende redenen niet is aanbesteed. Wij hebben de raad hierover geïnformeerd in onze brief van 21 november 2023 (10193428). In de paragraaf Bedrijfsvoering in de jaarstukken hebben wij een doorkijk opgenomen naar 2024 en verder. Om een continuïteit in de opvang te blijven garanderen zijn diverse contracten voor hotelopvang, beveiliging en begeleiding voor 2024 (deels) gecontinueerd. Hierdoor zal met een redelijke mate van zekerheid in 2024 eveneens de tolerantiegrens voor de rechtmatigheidsverantwoording worden overschreden. Wij hebben de raad hierover geïnformeerd in onze brief van 23 januari 2024 (10332311). Financiële positie

De kwalificatie van de financiële positie wordt evenals vorig jaar door de accountant in een bepaald perspectief geplaatst. Wij onderschrijven de kwalificatie 'gezond'. Deze is gebaseerd op de situatie per ultimo 2023. De gemeente Haarlemmermeer staat voor grote opgaven in het ruimtelijk en sociaal domein en heeft te maken met exogene factoren zoals de ontwikkelingen in het sociaal domein, de rente- en prijsontwikkelingen en niet in de laatste plaats de onzekerheid als gevolg van de door het Rijk vastgestelde nieuwe financieringssystematiek via het gemeentefonds (het ravijn 2026). Wij volgen deze ontwikkelingen op de voet en zullen de raad over eventuele noodzakelijke consequenties informeren bij het opstellen van de Programmabegroting 2025-2028. Voorziening verlofsparen is te laag

Wij hebben met ingang van het boekjaar 2022 een voorziening verlofsparen in de jaarrekening verantwoord. Deze verantwoordingswijze volgt uit een uitspraak van de commissie BBV. Een voorziening is slechts toegestaan indien sprake is van fluctuerende omvang. Wij hebben op dit moment nog onvoldoende cijfers om deze fluctuaties in de omvang aan te tonen. Dientengevolge is de voorziening voor het bovenmatig bovenwettelijk verlof niet aangepast. Bij het opstellen van de Najaarsrapportage 2024 berekenen wij de stand van het bovenwettelijk verlof opnieuw en brengen wij deze in overeenstemming met een saldo dat voldoet aan de vereisten opgenomen in het BBV. Opvolging aanbevelingen rondom de IT-omgeving

De accountant rapporteert dat de opvolging van de IT-bevindingen thans nog traag verloopt. Binnen de huidige context van beperkte specialistische capaciteit en noodzakelijke inzet op de implementatie van nieuwe systemen geven wij invulling aan de aanbevelingen. In dit kader is door de Chief Information Officer een memo opgesteld waarin de voortgang ten aanzien van de opvolging wordt opgetekend. Dit is door de portefeuillehouder Digitalisering ter informatie met het college gedeeld. Voor de volledigheid voegen wij deze informatie als bijlage toe bij deze brief. Implementatie van de nieuwe systemen

Wij zijn voornemens om per 1 januari 2025 drie nieuwe financiële applicaties in gebruik te nemen (ter ondersteuning van de financiële administratie, salarisadministratie en de

Ons kenmerk: XS-24041509.207

Pagina 4

subsidieadministratie). De besluitvorming over de aanschaf heeft in december 2023 plaatsgevonden, 2024 wordt gebruikt voor de voorbereiding van de implementatie. De aanbevelingen van de accountant strekken op de gevolgen voor de processen inclusief beheersmaatregelen, afspraken met leveranciers en dataconversie. Deze aanbevelingen zijn onderdeel van de scope van het project waarbij de processen mogelijk worden aangepast aan de applicaties omdat deze leidend zijn. Hiertoe is besloten omdat een aanpassing van de processen op de applicaties het meest passend is bij onze organisatie. De afspraken met de leveranciers, onder andere over databeheer, zijn na gunning van de opdracht gemaakt en worden in 2024 indien noodzakelijk geactualiseerd. De dataconversie is een afzonderlijk onderdeel van het project. Wij gaan hiervoor een conversieplan opstellen rekening houdende met input van de accountant. Dit plan wordt vooraf met de accountant afgestemd om ervoor zorg te dragen dat dit voldoet aan de eisen. Frauderisicoanalyse is geactualiseerd

Wij hebben in 2023 de frauderisicoanalyse 2022 geactualiseerd, als aanvulling op reeds bestaande instrumenten en regelingen ter voorkoming van fraude en misbruik en oneigenlijk gebruik. Wij hebben de raad hierover geïnformeerd in onze brief van 16 januari 2024 (X.2023.07563). De actualisatie van de uitgevoerde frauderisicoanalyse gaf geen directe aanleiding tot herprioritering van de frauderisico's en beheersmaatregelen, zoals opgenomen in de frauderisicoanalyse 2022. Het algemene beeld was, dat de aanvullende beheersmaatregelen door de organisatie zijn opgepakt en dat de naleving hiervan wordt getoetst door de VIC. Naast de 'harde' beheersmaatregelen ter voorkoming van fraude, is ook nadrukkelijk aandacht gevraagd voor de inzet op soft Controls, bewustwording en blijvende aandacht voor frauderisico's. In de organisatie wordt hier al op verschillende wijzen aandacht aan gegeven, wat bijdraagt aan een veilige werkomgeving waarin het bespreken van frauderisico's en melden van signalen gestimuleerd wordt. De frauderisicoanalyse wordt jaarlijks geactualiseerd. Tevens wordt in 2024 de notitie Misbruik en oneigenlijk gebruik (RV2020.000423) herijkt. Hiermee wordt invulling gegeven aan het advies van de commissie BBV en de accountant. Overeenkomsten met zorgaanbieders ontbonden naar aanleiding van meldingen

Wij hebben in 2024 de overeenkomsten met twee zorgverleners beëindigd. Dit besluit is ingegeven naar aanleiding van de uitkomsten van een gedegen onderzoek naar de dienstverlening van beide zorgaanbieders. De raad is hierover geïnformeerd in onze brief van 2 april 2024 (X.2024.01425). De brief maakt melding van formele en materiële tekortkomingen in de dienstverlening. Wij hechten een zeer hoge waarde aan een goede en betrouwbare dienstverlening van zorgaanbieders. Vanuit dit perspectief zijn regelmatig contacten met aanbieders om de kwalitatieve dienstverlening te blijven handhaven en mogelijk nog te verbeteren. De gememoreerde contractontbinding wordt binnen ons totale zorglandschap beschouwd als een incident. Ter voorkoming van vergelijkbare incidenten in de toekomst worden in 2024 de aanwezige interne beheersmaatregelen geëvalueerd en mogelijk nog verder aangescherpt. Mogelijke voorbeelden in dit kader zijn de verdere intensivering van contractmanagement of controles op de juistheid van de urenregistraties van zorgverleners. Voorts wordt naar aanleiding van deze casus het interne afstemmingsproces verder aangescherpt. Met inachtneming van de genoemde tekortkomingen bestaat onvoldoende zekerheid over de levering van de gefactureerde zorgprestaties. De totale cumulatieve omvang van de geleverde zorg van beide zorgaanbieders was circa € 700.000.

Dit bedrag is als maximale onzekerheid opgenomen in het accountantsverslag.

Ons kenmerk: XS-24041509.207

Pagina 5

Weerstandsratio is uitstekend - aandacht voor de klimaat gerelateerde risico's

De accountant memoreert het uitstekende weerstandsratio en adviseert om ook de financiële impact van klimaat gerelateerde risico's daarbij te betrekken. Klimaatrisico's kwalificeren als strategische risico's omdat deze mogelijk de doelstellingen van de organisatie op lange termijn beïnvloeden. In 2024 worden vervolgstappen binnen de organisatie geïnitieerd gericht op de mogelijke financiële impact van de klimaatrisico's op het weerstandsvermogen. Speerpunt Duurzaamheid

De accountant reflecteert op het thema duurzaamheid en rapporteert daarbij de verbeteringen ten opzichte van het voorgaande jaar. Als mogelijk verbeterpunt adresseert de accountant het integreren van de belangrijkste doelstellingen van de bestaande klimaat- en energiemonitor in de P&C-cyclus en het betrekken van de 'Social' kant van duurzaamheid daarin. Wij gaan intern in gesprek binnen de organisatie om de impact van het advies van de accountant inzichtelijk te krijgen. Wij volgen de ontwikkelingen in de vereisten met betrekking tot duurzaamheidsrapportage (landelijk wettelijke verplichting vanaf 2025 voor ongeveer 5.000 bedrijven). Hierbij beoordelen wij best practices in de praktijk voor onze gemeente. Artificial Intelligence

Er worden de komende jaren op het gebied van privacy, security en digitalisering (waaronder Artificial Intelligence (Al)) veel nieuwe wetten vanuit de Europese Unie gemaakt. De ontwikkelingen op het gebied van Al bieden zowel kansen als risico's voor onze organisatie. In samenwerking met de Vereniging Nederlandse Gemeenten zullen wij ons hierop voorbereiden. Dit doen wij in samenhang met de verbeterplannen privacy en security die recent zijn vastgesteld. Een aanvraag voor noodzakelijke middelen voor de uitvoering van deze verbeterplannen is onderdeel van de Voorjaarsrapportage 2024. Wij verwachten u hiermee voldoende te hebben geïnformeerd. Hoogachtend, burgemeester en wethouders van de gemeente Haarlemmermeer, de secretaris.

Bijlage Bij de raadsbrief ‘Bestuurlijke reactie op het rapport van bevindingen van de externe accountant bij de jaarrekening 2023’ Onderwerp: Status opvolging adviesrapport nadere duiding general ITcontrols 8 april 2024

In onze opdracht heeft een extern bureau in 2023 een onderzoek uitgevoerd naar de achtergrond en oorzaken van de bevindingen van de accountant met betrekking tot informatietechnologie, in het bijzonder enkele zogenaamde general IT controls-processen (GITC). Naar aanleiding van dit onderzoek heeft het externe bureau een adviesrapport voor ons opgesteld, met een nadere duiding van de bevindingen. In deze bijlage ontvangt de raad een stand van zaken van de uitvoering van dit adviesrapport. Achtergrond In het kader van de jaarrekeningcontrole heeft de accountant in zijn managementletter van 2021 aandacht besteed aan de interne beheersing van de IT-omgeving voor zover die in het kader van de jaarrekeningcontrole een rol speelt. Daarbij heeft de accountant zich vooral gericht op de opzet en implementatie van een aantal generieke IT-gerelateerde processen (general IT-controls-processen ofwel GITC), te weten: • wijzigingsbeheer; • autorisatiebeheer en logische toegangsbeveiliging; • continuïteitsmaatregelen. Voor een drietal kritische applicaties is vervolgens beoordeeld of deze processen worden gevolgd en effectief zijn: • EnterpriseOne (financiële administratie); • SAM (uitkeringen); • ADP (personeels- en salarisadministratie).

Om gerichter de oplossingen van geconstateerde tekortkomingen te kunnen voortzetten en completeren is een extern bureau gevraagd de bevindingen en aanbevelingen van de accountant nader te duiden. Op 18 juli 2023 zijn wij geïnformeerd over het adviesrapport ‘Nadere duiding GITC gemeente Haarlemmermeer’. Op basis hiervan zijn wij verder aan de slag gegaan met verschillende initiatieven om de geconstateerde tekortkomingen op te lossen. Voor de korte termijn hebben wij de risico’s bij de geconstateerde tekortkomingen voldoende kunnen verkleinen. Voor de midden lange termijn zijn diverse verbeteringen in gang gezet voor de applicaties EnterpriseOne en SAM. Het streven is dat de verbeteringen in het tweede kwartaal van 2024 zijn gerealiseerd. Met de vervanging van ADP per 1 januari 2025 zullen de tekortkomingen met betrekking tot deze applicatie worden opgelost.

Status opvolging adviesrapport nadere duiding general IT-controls 8 april 2024

Pagina 2 van 3

Hieronder schetsen wij kort de belangrijkste aanbevelingen uit het rapport en de opvolging hiervan. Aanbevelingen: 1. Explicitering van het toetsingskader is noodzakelijk om vooraf voldoende duidelijkheid te scheppen in de specifieke normen waaraan de door de accountant onderzochte ITaspecten worden afgemeten. 2. De continuïteit van de Functioneel Beheer-functie voor de applicaties in scope is kwetsbaar. In termen van risico’s kan gesproken worden van een sleutelpersoon risico: gegeven de veelheid en het relatief specialistische karakter van de beheertaken betekent een langdurigere afwezigheid van een functioneel beheerder dat de kwaliteit van Functioneel Beheer, ook (of juist) ten aanzien van informatiebeveiliging, snel onder druk zal komen te staan. 3. Actualisatie van de procedures rondom wijzigingsbeheer en autorisatiebeheer is op onderdelen noodzakelijk. 4. Hoge rechten accounts en de daaraan gekoppelde applicatierollen met hoge bevoegdheden zijn beperkt gedocumenteerd en gemotiveerd in termen van (a) hun (al dan niet technische) noodzaak, (b) hun functie en karakteristieken, (c) de voorwaarden en criteria voor gebruik, (d) authenticatievereisten en (e) logging en monitoring van/controle op het gebruik. 5. Toegangspaden tot de database buiten de applicatie om zijn zeer beperkt gedocumenteerd en verantwoord. Dit staat een goede beheersing van die toegang in de weg.

Opvolging Ad. 1. Het toetsingskader is initieel geformuleerd door het externe bureau in het rapport “Nadere duiding IT-bevindingen”. Dit kader is voorafgaande aan het opstellen van het rapport afgestemd met de accountant en akkoord bevonden. Met inachtneming van mogelijke veranderingen in de bedrijfsomgeving waarin wij opereren is een jaarlijkse evaluatie (lees actualisatie) van het toetsingskader noodzakelijk. Deze evaluatie en actualisatie zal in het tweede halfjaar van 2024 plaatsvinden. Ad. 2. De kwetsbaarheid van de continuïteit van het functioneel beheer van de applicaties SAM, EnterpriseOne en ADP is tot op heden voldoende verkleind, mede door inhuur van externe medewerkers. Voor de applicatie EnterpriseOne is in 2024 een nieuwe functioneel beheerder aangetrokken. Voor de applicatie SAM is de organisatie deels afhankelijk van externe deskundigen. Het functioneel beheer voor ADP wordt uitgevoerd door 1 medewerker. Wij streven naar een structurele verbetering op de lange termijn. Gegeven de gespannen arbeidsmarkt wordt hierbij voornamelijk ingezet in opleiding van eigen medewerkers. Ad. 3, 4 en 5. In overleg met de verantwoordelijke eigenaren van de applicaties is een planning opgesteld om dit onderwerp af te ronden. De eigenaren van de applicaties EnterpriseOne en SAM verwachten dat deze actualisatie aan het einde van het tweede kwartaal 2024 is afgerond.

De eigenaar van de applicatie ADP zal geen acties ondernemen met betrekking tot deze onderwerpen. De reden is de vervanging van deze applicatie per 1 januari 2025. Dit besluit resulteert in een verhoogd risico van mogelijk ongeautoriseerde salarismutaties. Om dit risico tot een acceptabel niveau te verkleinen zijn handmatige Interne Controle-werkzaamheden ingericht om de juiste autorisatie

Status opvolging adviesrapport nadere duiding general IT-controls 8 april 2024

Pagina 3 van 3

van salarismutaties te verifiëren. Deze aanbevelingen hangen deels ook samen met de noodzakelijke stappen die moeten worden gezet om te voldoen aan de Baseline Informatiebeveiliging Overheid (BIO). Voor versterking van Informatiebeveiliging en Privacy zullen wij een aanvraag doen bij de Voorjaarsrapportage 2024.