Bijlage Visie op control 2025

Visie op Control Haarlemmermeer 2025 Versie 3 juni 2025

Inleiding In artikel 31 van de Financiële verordening is opgenomen dat het college de raad tenminste eens in de zes jaar de Visie op Control aanbiedt. In dat artikel wordt het college tevens opgeroepen om tenminste eens in de zes jaar het Controlstatuut vast te stellen. In het Controlstatuut worden de kaders voor de controlorganisatie in de gemeentelijke organisatie ingevuld. Het Controlstatuut wordt ter informatie aan de raad gezonden. Op 18 september 2018 heeft de gemeenteraad de Visie op Control en het Controlstatuut (RV2018.0056726) vastgesteld. Op 21 maart 2023 heeft het college de Evaluatie Visie op Control vastgesteld. Conclusie daarvan was dat de sturing en beheersing door de organisatie is versterkt. Gelet op de afspraak uit de Financiële verordening heeft het college de Visie op Control en het Controlstatuut geactualiseerd en opgenomen in het nieuwe Organisatiebesluit en daarin ook de belangrijkste opgaves van dit moment verwerkt. Veel van de huidige visie blijft daarbij behouden. Voorgeschiedenis In 2016 is, in het kader van Duurzaam in Control (DinC), door prof. dr. Hans Bossert een onderzoek uitgevoerd naar de controlfunctie in nauwe samenwerking met raadsleden, bestuurders en ambtenaren.

De hoofdconclusie van het onderzoek was dat de controlfunctie krachtiger, meer precies en met meer discipline mag worden ingericht (brief aan de raad ‘Informeren over adviesversterking control’, 23 november 2016, X2016.34607). In 2018 heeft de raad als vervolgstap op dit onderzoek de Visie op Control en het Controlstatuut vastgesteld met drie ambities: versterken sturing en beheersing, gebruiken samenwerkingsmodel Three Lines of Defense en investeren in medewerkers. In de Evaluatie Visie op Control stond de vraag centraal of dit nu heeft gewerkt. En het antwoord op die vraag wordt bevestigd in de evaluatie: de control door de organisatie is versterkt. Het evaluatierapport bevat ook aanbevelingen voor verdere ontwikkeling waarbij de insteek is om zoveel als mogelijk in het spoor van de eerdere besluitvorming door de raad te blijven. Er is op basis van de evaluatie en actuele thema's een overzicht gemaakt van de aanbevelingen en deze zijn omgezet in acties en opgenomen in de Uitvoeringsagenda doorontwikkeling Visie op Control. Belangrijkste thema’s in die doorontwikkeling: - Sturing en beheersing investeringsopgave/grote projecten - Capaciteitssturing en sturingscylus - Risicomanagement, Verbijzonderde Interne Controle (VIC), informatiebeveiliging - Audits - Controlorganisatie - Soft controls Stuk voor stuk belangrijk blijvende thema’s voor de komende jaren.

Ontwikkelingen sinds 2018, speerpunten vanaf 2025 In de afgelopen jaren heeft de controlorganisatie zich verder ontwikkeld. In de managementletter 2024 zegt de accountant hierover dat de beheersing in de processen stabiel is en dat de kwaliteit van de interne beheersing van voldoende niveau is om tot een betrouwbare jaarrekening en rechtmatigheidsverantwoording te komen. Dit is een degelijk oordeel en waar we tevreden mee mogen zijn. Tegelijkertijd zegt de accountant: ‘Uw interne beheersing is overwegend klassiek ingericht’. Dat zien we als een compliment en als een opgave. Vanuit het behoud van de goede interne beheersing willen we de komende jaren vooral werken aan vier speerpunten:

Visie op Control 2025

2

1. Behouden van het huidig model: three lines èn investeren in mensen Het huidig model heeft tot op heden goed gewerkt. Het vraagt voortdurend onderhoud. De organisatiecultuur en houding en gedrag van medewerkers en leidinggevenden zijn cruciale factoren om de organisatiedoeleinden te kunnen realiseren. Deze zogenaamde soft controls zijn naast harde beheersmaatregelen van groot belang voor de organisatie. In de afgelopen jaren is daarom veel geïnvesteerd in onze profilering als werkgever en onze recruitmentcapaciteit waardoor we vele nieuwe collega’s hebben kunnen verwelkomen. Ook is de inzet in de organisatie vergroot op strategisch personeelsmanagement en op de bredere doelstelling van het ‘binden en boeien’ van medewerkers. Het zorgt bij elkaar voor een betere beheersing van de in- door- en uitstroom van medewerkers. Dit neemt echter niet weg dat er op nogal wat plekken te snelle uitstroom is, langdurig wordt gesteund op inhuur en de wet DBA zorgt voor nieuwe vraagstukken en risico’s. 2. Digitaal in control Haarlemmermeer heeft een klassieke beheersorganisatie. Een klassieke inrichting betekent dat een organisatie de toetsing van haar interne beheersing achteraf periodiek vaststelt aan de hand van willekeurig getrokken financiële items.

Het is nodig om te groeien naar een meer proces gerichte controle waarbij technologie gebruikt wordt om processen continu te scannen op fouten en risico’s. Bij succes leidt dit tot efficiëntere en effectievere controle. 3. Digitaal weerbaar Er komen veel digitale ontwikkelingen op de gemeente af. Dat biedt kansen om de strategische doelstellingen van de organisatie beter te ondersteunen en de gemeenschap beter van dienst te zijn. Dat kan alleen in een veilige omgeving en vraagt een grote inzet voor onze weerbaarheid. En anderzijds een enorme opgave om veilig, digitaal weerbaar te werken. Deze verantwoordelijkheid wordt groter met komende Europese wetgeving zoals de NIS2 en de Cyber Resilience Act. We achten de risico’s van deze thematiek dermate belangrijk dat dit ook als speerpunt in de Visie op Control is opgenomen. 4. Doorontwikkeling control op de grote opgaven In het voorjaar van 2024 is voor het eerst het strategisch perspectief investering (SPI) gepubliceerd. In het SPI worden alle lopende en toekomstige investeringen tot en met 2040 gezamenlijk in beeld gebracht. Het SPI bevat een totaalbeeld van investeringen van ambitie (lange termijnperspectief) naar plan (nog te autoriseren) tot uitvoering (lopende investeringen). Het omvat een totaal aan investering van meer dan € 1 miljard met diverse grote en complexe projecten en programma’s.

Reden waarom het nodig is om te werken aan de doorontwikkeling van portfoliomanagement en projectcontrol. Het doel hiervan is beter grip krijgen en houden op portfolio, goede keuzes kunnen maken in het reëel plannen, begroten en uitvoeren van investeringsopgaven. Wat willen we bereiken? Met het vaststellen van de Visie op Control geeft de raad een kader mee aan de opgave voor control door de gemeentelijke organisatie. En met het vaststellen van een Controlstatuut worden de kaders voor de controlorganisatie in de gemeentelijke organisatie ingevuld. Door het helder maken van de doelen die worden nagestreefd (Visie op Control) en van de rollen, taken en verantwoordelijkheden (Controlstatuut) wordt op deze manier bijgedragen aan het ‘duurzaam in control’ zijn van de organisatie. Het Controlstatuut richt zich op de beheersingsverantwoordelijkheden van het college, en benoemt alleen de bijzonderheden die specifiek gelden voor de controlorganisatie. Een dergelijk separaat document is vanuit de situatie van 2018 begrijpelijk. Thans vindt het college belangrijk om die verantwoordelijkheden te benoemen in samenhang met de totale governance van de organisatie:

Visie op Control 2025

3

hoofdstructuur, sturing en control. Daarom is het controlstatuut niet langer meer een op zichzelf staand document, maar geïntegreerd in het recent vastgestelde Organisatiebesluit 2025. Wat gaan we daarvoor doen? In een visie wordt de vraag verwoord ‘waar gaan we voor?’ Dat is ook in de Visie op Control 2025 het geval. De vier hoofddoelen zijn: 1. Behoud van het goede van het huidig model: three lines èn investeren in mensen 2. Digitaal in control 3. Digitaal weerbaar 4. In control op de grote opgaven 1. Behouden van het huidig model: three lines èn investeren in mensen Het Three Lines of Defense (3Ld) model dat we in Haarlemmermeer hanteren, heet inmiddels het Three Lines Model (3L model). De focus ligt niet alleen meer op risicobeheersing, maar ook op verbetering van de organisatie. Het model gaat over het inrichten van de verschillende rollen en functies in de organisaties waardoor er waarborgen komen om de organisatiedoelstellingen te realiseren en de risico’s te minimaliseren. In het model zijn er drie verdedigingslinies die als het goed gaat elkaar versterken. In het 3L model is het uitgangspunt dat de primaire verantwoordelijkheid voor control bij de lijnorganisatie ligt.

Het lijnmanagement is verantwoordelijk voor realisatie van doelstellingen en de wijze waarop de middelen worden ingezet en dat dit plaatsvindt binnen geldende regelgeving (doeltreffend, doelmatig en rechtmatig) (eerste lijn). De bedrijfsvoeringadviseurs ondersteunen, adviseren en signaleren aan lijnmanagers bij het realiseren van de doelen binnen de kaderstelling (tweede lijn). De concerncontroller is verantwoordelijk voor de opzet en werking van het systeem van control en voor de uitvoering van de interne auditfunctie (derde lijn). In het Controlstatuut als onderdeel van het Organisatiebesluit is om de positie van de concerncontroller te markeren een aantal escalatiebevoegdheden uitgewerkt. In het 3L model heeft de Interne Audit (waaronder de Verbijzonderde Interne Controle) als de onafhankelijke derde lijn een belangrijke rol. In onze organisatie is dit ondergebracht bij de concerncontroller. Dat willen we ook behouden. Bekend is dat de werking van het model sterk afhankelijk is van de organisatiecultuur en het gedrag van mensen. Daarom blijven we investeren in elkaar, in de gezamenlijke opgave, in kennis, competenties en vaardigheden. Het doel om transparant, en doelmatig, doeltreffend en rechtmatig te werken, blijft daarbij overeind.

In de komende jaren is het doel om de derde lijn naast de toezichthoudende rol ook meer in een (risico) adviserende rol aan de voorkant te krijgen. Daarvoor is het belangrijk dat Concerncontrol een hoog expertgehalte combineert met verbindende vaardigheden. De opgave blijft om de komende jaren de ‘hard controls’ (onder andere richtlijnen, procedures, werkafspraken en gedragscodes) op orde te houden door deze te toetsen, analyseren en over te adviseren. Tegelijkertijd houden we veel aandacht voor de zogenaamde ‘soft controls’ zoals cultuur, organisatieklimaat, sociale omgangsvormen (inclusief bijvoorbeeld het kunnen en durven bieden van tegenspraak) en voorbeeldgedrag van het management. Bij de hard controls gaan we vooral inzetten op verbeteren van het strategisch risicomanagement. Bij de soft controls ligt de aandacht vooral bij het ‘binden en boeien’ van medewerkers en het werken aan het ‘Haarlemmermeerse DNA’ van medewerkers. 2. Digitaal in Control

Visie op Control 2025

4

De beheersorganisatie van de gemeente Haarlemmermeer is goed ingericht en functioneert effectief. Het huidige klassieke model biedt een solide basis, maar om toekomstbestendig te blijven, is vernieuwing noodzakelijk. De ontwikkelingen in het digitale landschap gaan razendsnel. Binnen een paar jaar zal de huidige werkwijze niet meer volstaan. Daarom moet de beheersorganisatie meebewegen met nieuwe technologieën zoals cloudoplossingen, voorspellende analyses en kunstmatige intelligentie (AI). Deze digitale technieken worden steeds belangrijker binnen de controllingpraktijk. Technologische innovatie en control We spelen in op technologische innovatie en control door in te gaan op de aanbeveling van de accountant: de transitie naar nieuwe systemen voor financiële administratie, salarisadministratie en subsidieadministratie is een kans om de beheersing meer IT-gedreven te maken. Dit vraagt om een verschuiving naar een procesgerichte controle, gebaseerd op twee pijlers: 1.

Inzicht in geautomatiseerde beheersmaatregelen

Dit betreft het analyseren en verbeteren van automatiserings- en applicatiecontroles die zorgen voor een betrouwbare verwerking van financiële transacties. 2.

Continue controles binnen financiële processen

Geautomatiseerde beheersmaatregelen moeten altijd correct worden uitgevoerd om een financiële transactie te valideren. Een voorbeeld hiervan is de automatische afstemming tussen een inkooporder en een factuur. Het uiteindelijke doel is de invoering van continuous monitoring en continuous auditing. Dit betekent dat financiële transacties continu en frequent worden getoetst aan vooraf vastgestelde normen. Hierdoor kunnen afwijkingen vroegtijdig worden opgespoord en aangepakt, wat leidt tot: • Verbetering van de dagelijkse bedrijfsvoering • Efficiëntere en effectievere controle • Betere betrouwbaarheid van de financiële verslaglegging Door deze digitale transitie zorgen we ervoor dat de beheersorganisatie niet alleen voldoet aan de huidige eisen, maar ook klaar is voor toekomstige ontwikkelingen in control en financiële verantwoording. 3. Digitaal weerbaar Digitaal in control zijn betekent ook dat we digitaal weerbaar moeten zijn. De I-strategie van het Rijk 2021-2025 definieert digitale weerbaarheid als het waarborgen dat (basis)informatie altijd beschikbaar is: op tijd, correct en volledig, en alleen toegankelijk voor de juiste personen. Gaat er iets mis? Dan moet dit snel worden opgemerkt en direct worden hersteld. Lukt dat niet, dan lopen we grote risico’s.

Om digitale weerbaarheid te waarborgen, werken we aan drie pijlers: • Sturing op risico’s (governance): zorgen voor goed beleid en duidelijke richtlijnen. • Feitelijke veiligheid: bescherming van systemen, data en processen tegen digitale dreigingen. • Weerbare mensen: medewerkers en bestuur bewust maken van digitale risico’s en hun rol daarin. Deze pijlers gelden ook voor de gemeente Haarlemmermeer. Daarom combineren we technologische innovatie en digitalisering met het naleven van steeds complexere wet- en regelgeving, zodat publieke waarden en dienstverlening gewaarborgd blijven. Voor de verbetering van informatiebeveiliging en privacy is een speciaal programma opgezet. Visie op Control 2025

5

De komende jaren richten we ons op effectieve beheersmaatregelen tegen digitale risico’s. Dit doen we door beleid, processen en cultuur zo in te richten dat de organisatie wendbaar blijft bij technologische veranderingen. Onze belangrijkste aandachtsgebieden zijn: • • • •

Een veilige digitale werkomgeving: bescherming van data en systemen tegen cyberdreigingen. Naleving van wet- en regelgeving: zoals de AVG/GDPR en de NIS2-richtlijn. Continuïteit en crisisbeheersing: snel en adequaat reageren op digitale incidenten. Bewustwording en verantwoordelijkheid: medewerkers en bestuur leren omgaan met digitale risico’s.

Door proactief in te zetten op digitale weerbaarheid zorgen we ervoor dat we niet alleen voldoen aan de wet, maar ook voorbereid zijn op toekomstige digitale uitdagingen. 4. In control op de grote opgaven In het najaar van 2016 is voor een betere sturing op de projecten voor het eerst het Meerjarenperspectief Investeringen (MPI) aangeboden aan de raad. Hierbij wordt van de grote investeringen de algemene projectinformatie gegeven, de stand van zaken per investering wordt toegelicht, kansen en risico's worden aangegeven en indien van toepassing worden beslispunten aan de raad voorgelegd. In het MPI wordt ingegaan op projecten die niet zijn opgenomen in het (tussentijds) Meerjarenperspectief Grondzaken ((t)MPG). Inmiddels is het MPI vervangen door het Strategisch Perspectief Investeringen (SPI) omdat er ook een doorkijk wordt gegeven in de cijfers van de ambities. MPG en SPI geven samen een beeld van de totale investeringsopgave van de gemeente. Het MPI van 2016 bevatte een 5 jaren programma van € 153 miljoen. Het SPI van het najaar van 2024 bevat een 5 jaren programma van € 562 miljoen. Deze omvang vraagt om een heel ander niveau van control dan een aantal jaren geleden.

De organisatie werkt op dit moment aan de invoering van Integraal Projectmanagement (IPM) waar nodig en portfoliomanagement en projectcontrol om grip te houden op de totale projectenportefeuille waar het gaat om o.a. beheersing, uitvoerbaarheid, onderlinge afhankelijkheden en risico’s. Gelet op de grote projecten in het verschiet is dit een belangrijke opgave voor de komende jaren. De organisatie is daar zeker al in meegegroeid, maar er is wel extra investering nodig. Evaluatie en monitoring Visie op Control De raad beschikt over zijn eigen onderdelen en instrumenten om zijn controlerende rol in te vullen. Deze onderdelen, de gemeenteraad met zijn auditcommissie, de rekenkamercommissie en de accountant, hebben een wettelijke grondslag. De instrumenten van de raad, zoals het vragenrecht, het enquêterecht en recht van interpellatie, zijn vastgelegd in de Gemeentewet (hoofdstuk IX de bevoegdheden van de raad). Via geëigende momenten, zoals de VIC-voortgangsrapportages, de managementletter en het accountantsverslag wordt de raad geïnformeerd over de interne beheersing van de gemeentelijke organisatie. Ook past de raad de methode Duisenberg toe om beter grip te krijgen op P&C producten. Met de vaststelling van deze visie stemt de raad in de met de vier hoofddoelen voor de ontwikkeling van de controlfunctie.

Het college zal de organisatie vragen om een uitvoeringsagenda op deze visie te maken om na drie jaar te kunnen evalueren hoe ver de realisatie van de visie is. Dan kan ook de vraag aan de orde komen of het gelet op de borging nog nodig is om t.z.t. een nieuwe visie op te stellen.

Visie op Control 2025

6

Bijlage(n):

•

Controlstatuut: Organisatiebesluit inrichting controlfunctie Gemeente Haarlemmermeer 2025

Visie op Control 2025

7