VIC en Auditjaarplan 2022_2023.pdf

VIC en Auditjaarplan 2022/2023 17 mei 2022, Haarlemmermeer

1

Inhoudsopgave 1.

Algemeen......................................................................................................................................... 3 1.1 Leeswijzer ...................................................................................................................................... 3 1.2 Wettelijk kader .............................................................................................................................. 3

2.

VIC jaarplan ..................................................................................................................................... 4 2.1 Inleiding ......................................................................................................................................... 4 2.2 Rechtmatigheidsverantwoording 2022 ......................................................................................... 4 2.3 VIC onderwerpen........................................................................................................................... 6 2.4 Bevoegdheden inzake onrechtmatigheden .................................................................................. 8 2.5 Informatievoorziening ................................................................................................................... 9 2.6 Jaarplanning Verbijzonderde Interne Controle ............................................................................. 9

3.

Behoeftegerichte audit jaarplan ................................................................................................... 11 3.1 Inleiding ....................................................................................................................................... 11 3.2 Overzicht geplande audits 2022/2023 ........................................................................................ 11

Bijlagen .................................................................................................................................................. 15 Begrippenlijst..................................................................................................................................... 15

2

1. Algemeen In onze gemeente wordt dagelijks gewerkt aan het bereiken van onze maatschappelijke doelen op het gebied van het leef- en werkklimaat voor onze burgers, instellingen en ondernemers. Deze werkzaamheden vinden plaats binnen de kaders die daarvoor zijn vastgesteld. Onze kaders zijn onder andere het vastgestelde beleid, de vigerende wet- en regelgeving, processen, afspraken en middelen. Wij hebben met elkaar controle en auditinstrumenten afgesproken om aan te tonen in welke mate de gemeente opereert binnen de kaders. Daarnaast dienen deze instrumenten om de omvang van de impact op het realiseren van onze maatschappelijke doelen inzichtelijk te maken. In dit Verbijzonderde Interne Controle (VIC) en Auditjaarplan 2022/2023 is vastgelegd op welke wijze wij uitvoering geven aan de VIC’s en behoeftegerichte audits vanuit de derde lijn voor de controlejaren 2022 en 2023. De invoering van de rechtmatigheidsverantwoording vormt ook dit jaar een belangrijk onderdeel en dit heeft invloed op de werkzaamheden en planning in 2022.

1.1 Leeswijzer Het VIC en Auditjaarplan geeft inzicht in de geplande werkzaamheden inzake de VIC en audits. Na een schets van het wettelijk kader volgt het document de volgende indeling: 1. VIC a. Inleiding b. Invoering rechtmatigheidsverantwoording en de werkzaamheden in de derde lijn c. Onderwerpen d. Procedure inzake onrechtmatigheden en de opvolging binnen de organisatie e. Inrichting van de informatievoorziening en de planning 2022/2023 2. Audits a. Inleiding b. Overzicht audits 2022/2023 De bijlage geeft inzicht in de begrippenlijst. Het VIC en Auditjaarplan Gemeente Haarlemmermeer 2022/2023 wordt, in afstemming met de accountant, ter vaststelling voorgelegd aan het college van B&W en ter kennisname voorgelegd aan de auditcommissie.

1.2 Wettelijk kader Het college stelt periodiek het VIC en Auditjaarplan vast, inclusief de uit te voeren VIC’s en audits. De wettelijke grondslag hiervan is artikel 212, 213 en 213a van de gemeentewet en artikel 25 van de financiële verordening Haarlemmermeer 2021 (2021.0000629).

3

2. VIC jaarplan 2.1 Inleiding De Verbijzonderde Interne Controle (VIC) is een instrument van Corporate Control die met een vooraf vastgestelde planning periodiek controleert of de processen en ondersteunende systemen inclusief de hierin opgenomen maatregelen van interne controle dusdanig zijn ingericht en werken om ervoor zorg te dragen dat de uitvoering van het beleid past binnen de kaders en in overeenstemming is met de afspraken. De VIC is daarmee een instrument dat onafhankelijk objectieve sturingsinformatie biedt en (mede) bijdraagt aan de versterking van de lerende en reflecterende organisatie. De VIC vormt ook de basis voor de jaarlijkse interim en jaarrekening controle van de accountant. Daar steunt de accountant grotendeels op.

2.2 Rechtmatigheidsverantwoording 2022 In dit hoofdstuk wordt uiteengezet op welke wijze er invulling wordt gegeven aan de invoering van de rechtmatigheidsverantwoording en welke invloed dit heeft op de werkzaamheden vanuit de derde lijn. Bij het opstellen van dit hoofdstuk is gebruik gemaakt van de Kadernota rechtmatigheid 2022 en van diverse notities gepubliceerd door de commissie Besluit Begroting en Verantwoording provincies en gemeenten (BBV). Ten behoeve van de invoering van de rechtmatigheidsverantwoording is ook een plan van aanpak opgesteld waarmee een ambtelijke werkgroep de implementatie voorbereidt. De invoering van de rechtmatigheidsverantwoording heeft immers consequenties voor de gehele organisatie, inclusief de eerste en tweede lijn. De organisatie streeft naar een decentrale verantwoording waarin clustermanagers hun verantwoordelijkheid nemen over de rechtmatigheid. De VIC zal hierbij een toetsende en monitorende rol vervullen. Na eerder uitstel wordt naar verwachting in 2022 het wetsvoorstel aangenomen, op basis waarvan het college verplicht wordt tot een vorm van rechtmatigheidsverantwoording aan de raad. Met ingang van het verslagjaar 2022 gaan colleges van burgemeester en wethouders van gemeenten op basis van drie rechtmatigheidscriteria zelf een rechtmatigheidsverantwoording opstellen, die integraal onderdeel is van de jaarrekening.

De criteria die vallen onder de rechtmatigheidsverantwoording zijn het begrotingscriterium, voorwaardencriterium en het misbruik en oneigenlijk gebruik criterium. De wijze waarop hier gevolg aan is gegeven wordt in de volgende paragrafen uitgewerkt.

Criteria van rechtmatigheid De wetgeving onderscheidt negen criteria van rechtmatigheid. De criteria één tot en met zes worden afgedekt door de toets van de accountant over getrouwheid (voldoet de jaarrekening aan het BBV) en worden niet afzonderlijk opgenomen in de rechtmatigheidsverantwoording van het college. Vanzelfsprekend maken de zes criteria wel onderdeel uit van de reguliere jaarrekeningcontrole. Over de criteria zeven tot en met negen moet vanaf het verslagjaar 2022 verantwoording worden afgelegd in de rechtmatigheidsverantwoording.

4

Figuur 1, criteria van rechtmatigheid Criteria

Omschrijving

1. Calculatiecriterium

De vastgestelde bedragen zijn juist berekend.

2. Valuteringscriterium

Het tijdstip van betaling en de verantwoording van verplichtingen is juist.

3. Leveringscriterium

Juistheid van ontvangen goederen en/of diensten.

4. Adresseringscriterium

De persoon of organisatie waar een financiële stroom naar toe is gegaan, is juist (rechthebbende).

5. Volledigheidscriterium

Alle opbrengsten die verantwoord zouden moeten zijn, zijn ook verantwoord.

6. Aanvaardbaarheidscriterium

De financiële beheershandelingen passen bij de activiteiten van de gemeente en in relatie tot de kosten is een aanvaardbare tegenprestatie overeengekomen.

7. Begrotingscriterium

Financiële handelingen moeten passen binnen het kader van de geautoriseerde begroting. Het totaal moet passen binnen het opgestelde en geautoriseerde programma.

8. Voorwaardencriterium

Nadere eisen die worden gesteld bij de uitvoering van financiële beheershandelingen.

9. Misbruik en Oneigenlijk gebruik criterium

De interne toetsing op juistheid en volledigheid van gegevens die door derden zijn verstrekt bij het gebruik van overheidsregelingen (= misbruik). Misbruik wordt beschouwd als onrechtmatig. De interne toetsing of derden bij het gebruik van overheidsregelingen geen (rechts)handelingen hebben verricht die in strijd zijn met het doel of de strekking van de regeling (= oneigenlijk gebruik). Oneigenlijk gebruik wordt niet als onrechtmatig beschouwd.

Voorwaardencriterium Het voorwaardencriterium heeft betrekking op de eisen die worden gesteld bij de uitvoering van de financiële beheershandelingen. De eisen/voorwaarden zijn afkomstig uit diverse wet- en regelgeving en hebben betrekking op aspecten als doelgroep, termijn, grondslag, administratieve bepalingen, normbedragen, bevoegdheden, bewijsstukken, recht, hoogte en duur. Voor de controle van het voorwaardencriterium wordt mede gesteund op VIC werkzaamheden.

Begrotingscriterium Het begrotingscriterium houdt in dat financiële beheershandelingen, die ten grondslag liggen aan de baten en lasten en aan de balansposten, tot stand zijn gekomen binnen de grenzen van de geautoriseerde begroting en de hiermee samenhangende programma's. Met de controle op de juiste toepassing van het begrotingscriterium wordt getoetst of het budgetrecht van de raad is gerespecteerd. De toe te passen normen voor het begrotingscriterium zijn op hoofdlijnen door de wetgever (Gemeentewet) bepaald en worden door de raad nader ingevuld door middel van de programmabegroting en de verordening financieel beheer ex artikel 212 van de Gemeentewet. Voor de controle van het begrotingscriterium wordt gesteund op de reguliere planning en control cyclus met inachtneming van de regels vermeld in de financiële verordening Haarlemmermeer 2021 (2021.0000629).

5

Misbruik en oneigenlijk gebruik criterium In maart 2020 heeft de raad de notitie Misbruik en oneigenlijk gebruik van regelingen 2020 (2020.000423) vastgesteld. In de notitie zijn de risicovolle processen geïnventariseerd en wat de mogelijkheden ter voorkoming van misbruik en oneigenlijk gebruik (M&O) zijn. Hiermee wordt bedoeld misbruik en oneigenlijk van buiten de organisatie. Voor de controle van dit criterium worden meerdere instrumenten ingezet. Eerst wordt een frauderisico analyse uitgevoerd door de integriteit coördinator met specifiek aandacht voor aspecten van M&O. Tevens vindt er een inventarisatie plaats van alle materiele regelingen waar M&O zich kan voordoen. Vervolgens zal jaarlijks een risicoanalyse worden uitgevoerd op de processen met een materiele financiële omvang. Deze jaarlijkse risicoanalyse zal in 2022 binnen de werkzaamheden van de derde lijn worden verstevigd.

Verantwoordingsgrens en rapportagetolerantie De verantwoordingsgrens is een door de raad vastgesteld bedrag, waarboven het college de afwijkingen moet opnemen in de rechtmatigheidsverantwoording. De verantwoordingsgrens is door de raad vastgesteld op 1% (€ 5.400.000 voor 2022). Naast de verantwoordingsgrens, wordt ook een rapportagetolerantie gehanteerd. Dit houdt in dat de raad wordt geïnformeerd over alle afwijkingen vanaf een afgesproken ondergrens. De rapportagetolerantie is door de raad op 28 januari 2021 vastgesteld op € 200.000 (2020.0003279). De rapportagetolerantiegrens is een absoluut bedrag en niet afhankelijk van de omvang van een begrotingspost.

Activiteiten in de organisatie ten behoeve van de rechtmatigheidsverantwoording Het boekjaar en de jaarrekening 2021 zijn gebruikt als pilot voor de invoering. De paragraaf bedrijfsvoering geeft onder andere inzicht in de geconstateerde onrechtmatigheden groter dan de rapporteringstolerantie inclusief de geïnitieerde activiteiten om deze in de komende jaren te voorkomen. Deze verantwoordingswijze heeft al plaatsgevonden in de najaarsrapportage 2021 en jaarrekening 2021. De rechtmatigheidsverantwoording wordt een integraal onderdeel van de jaarrekening 2022. In 2021 zijn nadere instructies opgesteld voor de wijze van rapportering door de VIC’ers. Tevens is een start gemaakt met het verder uitwerken van het criterium Misbruik en Oneigenlijk gebruik. Afronding hiervan staat gepland in het derde kwartaal van 2022. De verdere uitwerking van het M&O-criterium is onderdeel van een overkoepelende frauderisicoanalyse die door Corporate Control in samenwerking met de integriteitscoördinator in 2022 wordt opgesteld. Ten slotte is in 2021 gestart met de analyse van de financiële administratie aan de hand van de informatiekubus. Het doel hiervan is de waarborging dat alle materiële stromen daadwerkelijk in de VIC-werkzaamheden zijn opgenomen.

De afronding van deze analyse en definitieve ingebruikname, die in samenwerking met cluster Financiën & Administratie wordt ingericht, staat gepland in de tweede helft van 2022.

2.3 VIC onderwerpen Selectie VIC onderwerpen Een belangrijk criterium voor het bepalen of een VIC wordt uitgevoerd op een proces is de materialiteit (financiële omvang van de baten en/of lasten) van dit proces in de begroting. Als materialiteitsgrens voor een jaarlijkse VIC is de grens van € 2.700.000 gebruikt voor het controlejaar 2022. Dit is een half procent van de omvangbasis van de begroting 2022 en de berekeningswijze is in overeenstemming met voorgaand jaar. Een ander criterium is dat de financiële beheershandelingen binnen de processen een sterk repeterend karakter hebben en periodiek plaatsvinden. De uitvoering van een VIC over meerdere 6

periodes wordt anders niet passend geacht. Het aantonen van de getrouwheid en rechtmatigheid van niet-periodieke financiële beheershandelingen vindt plaats aan de hand van een gegevensgerichte controle, met name in het kader van het financiële jaarrekeningtraject. Op dit moment is nog niet zeker te stellen dat de onderstaande onderwerpen in paragraaf 3.2 in voldoende mate zekerheid geven voor het opstellen van de rechtmatigheidsverantwoording. De analyse hiervan vindt momenteel nog plaats. Afronding van deze analyse en definitieve ingebruikname van de informatiekubus staat gepland in de tweede helft van 2022. Indien uit de analyse blijkt dat bepaalde onderwerpen alsnog dienen te worden opgenomen, dan wordt dit via de reguliere rapportagecyclus kenbaar gemaakt.

Overzicht onderwerpen VIC In figuur 2 wordt weergegeven welke processen en deelprocessen onderdeel zijn van een VIC. Figuur 2, overzicht onderwerpen VIC Proces Baten en Lasten Aankopen grond en vastgoed

Sociaal Domein

Verkopen grond

•

Huren en Pacht Inkoop & Aanbestedingen Inkoopfacturen Burgerzaken (leges) Parkeren

• • • • • •

Balansmutaties

Uitkeringen Inkomensvoorziening PW/Bbz2004/IOAW/IOAZ Re-integratievoorzieningen PW/WSW/Loonkostensubsidie Uitkeringen Bijzondere Bijstand Doelgroepenvervoer Wmo oude taken (ZiN en PGB) nWmo (ZiN en PGB) Jeugdwet (ZiN en PGB)

Personeelslasten Subsidieverstrekkingen Omgevingsvergunningen Tijdschrijven

De kapitaallasten worden één keer per jaar in het derde kwartaal gecontroleerd aan de hand van de staat C en de notitie activabeleid. De balansmutaties zijn onderdeel van de controle op de jaarrekening.

VIC Bevindingen De VIC’s zijn primair gericht op getrouwheid (fouten en onzekerheden) en rechtmatigheid (financiële onrechtmatigheden en onduidelijkheden). Zie voor een overzicht van de rechtmatigheidscriteria paragraaf 2.2. Tijdens de controle naar getrouwheid en financiële rechtmatigheid kunnen ook bevindingen naar voren komen van kwalitatieve aard of op het gebied van juridische rechtmatigheid en/of fraude (niet zijnde misbruik door derden). Deze zullen bij constatering uiteraard ook worden gerapporteerd.

7

Versterking van de VIC, activiteiten in 2022 De directie heeft juli 2018 de opdrachtformulering “Leren en verbeteren door audits” vastgesteld over de versterking van de VIC in de bestuursperiode 2019-2022. In 2020 en 2021 is gewerkt aan het verder versterken van de vakbekwaamheid, regie en onafhankelijkheid van de VIC’er. Tevens is gewerkt aan betrokkenheid van de eerste en tweede lijn met de VIC. De organisatie investeert permanent in de versterking van de interne beheersorganisatie. Voor 2022 continueren wij met de aandachtspunten uit 2021 binnen de kaders van de evaluatie Visie op Control die in 2022 door de Raad wordt vastgesteld. Ontwikkellijnen voor de VIC zijn: •

•

• •

Investeren op versterking van de AO/IC1 in de eerste en tweede lijn (gericht op het bestaan en de werking), zodat de derde lijn in hoge mate kan steunen op de uitvoering van een zoveel mogelijk systeemgerichte VIC. Uitgangspunt is het 'push-left' principe2. Onderzoeken van de mogelijkheden om meer gebruik te maken van IT-controls in de processen inclusief de effectieve werking hiervan vast te stellen. De toetsing van de werking van de IT-beheersorganisatie is daarmee onderdeel van de centrale VIC. Evaluatie van inhoud, opzet en organisatie van de VIC's voor 2022 mede langs de lijn van de rechtmatigheidsverantwoording (zie ook hoofdstuk 2). VIC-applicatie: In 2022 zal een VIC-applicatie worden aangeschaft om de ondersteuning en standaardisatie van de VIC-werkzaamheden verder te optimaliseren.

2.4 Bevoegdheden inzake onrechtmatigheden Bevoegdheden college en raad Geconstateerde fouten kunnen bewust wel of niet worden hersteld door het college. De onderstaande procedure geldt om bevoegdheden in dit verband vast te leggen.

Raad De raad heeft de bestuurlijke kaders vastgesteld voor de rechtmatigheidsverantwoording. De verantwoordingsgrens is door de raad vastgesteld op 1% (€ 5.400.000 voor 2022), in aansluiting op de goedkeuringstolerantie voor fouten bij de accountantscontrole. Daarnaast is de rapportagetolerantie door de raad vastgesteld op € 200.000. Dit houdt in dat de raad wordt geïnformeerd over alle afwijkingen vanaf een afgesproken ondergrens. Ten slotte bevestigt de raad jaarlijks het door het college opgestelde normenkader van interne en externe wet- en regelgeving.

College Het college borgt de rechtmatigheid binnen de processen en interne beheersing, de interne toetsing hierop wordt uitgevoerd door de VIC. Uitgangspunt hierbij is volledige naleving van de vigerende wet- en regelgeving opgenomen in het normenkader. Indien sprake is van overtredingen van het normenkader, dan worden deze in de basis hersteld. Indien de primair verantwoordelijke functionaris valide overwegingen heeft om een onrechtmatigheid niet te herstellen, dan worden deze overwegingen opgenomen in de VIC-managementrapportage en de VIC-voortgangsrapportage ten behoeve van het college en worden de betreffende directeur en portefeuillehouder vroegtijdig geïnformeerd. Het college neemt het formele besluit om een fout (tijdelijk) wel of niet te herstellen. Corporate Control stemt het proces hiertoe af met de organisatie. Besluitvorming door het college kan plaatsvinden door middel van vaststelling van de VIC-voortgangsrapportage, dan wel op basis

1

Administratieve Organisatie (AO) is het geheel aan processen, procedures, werkinstructies en takenverantwoordelijkheden-bevoegdheden binnen een organisatie. Interne Controle (IC) is de toetsing van de AO. Zo kunnen tijdig onjuistheden en/of onvolledigheden in de bedrijfsprocessen worden geconstateerd. De AO/IC betreft het primaire proces van eerste en tweede lijn en is een verantwoordelijkheid van de eerste lijn. 2 Het ‘push left’-principe is de beweging waarbij de verantwoordelijkheid meer naar de eerste en tweede lijn verschuift waarmee issues aan de voorkant worden voorkomen in plaats van achteraf gerepareerd.

8

van een afzonderlijk collegevoorstel van de primair verantwoordelijke, dat na advies van Corporate Control en de directie ter besluitvorming wordt voorgelegd. Indien de fout € 200.000 of hoger is, dan wordt ook de raad geïnformeerd.

2.5 Informatievoorziening In dit hoofdstuk wordt de samenhang van informatiestromen over de uitvoering van de VIC en rapportage omtrent de VIC uiteengezet.

De externe accountant De accountant controleert de jaarrekening en verstrekt een verklaring waarin zij een oordeel geeft over het getrouwe beeld. De verantwoording over de specifieke uitkeringen blijft onderdeel uitmaken van de zogeheten SiSa-bijlage (Single Information Single Audit). Dit is een afzonderlijke bijlage in de jaarrekening. De accountant rapporteert aan de raad haar constateringen in de managementletter en het verslag van bevindingen. De accountant maakt hiervoor onder andere gebruik van de VIC’s.

Samenhang informatievoorziening De VIC’s en accountantscontroles leveren aanbevelingen en adviezen op waarmee onze interne beheersing kan worden verbeterd. Over de voortgang van de acties die bijdragen tot deze verbetering wordt periodiek gerapporteerd. In figuur 3 wordt dit schematisch weergegeven. Figuur 3, samenhang informatievoorziening

2.6 Jaarplanning Verbijzonderde Interne Controle Voor de VIC’s op processen met een repeterend karakter is het essentieel om de controles tijdig en periodiek uit te voeren. Op deze wijze is er tijdig inzicht in welke mate het proces gedurende het jaar wel of niet in control is en kan er direct bijgestuurd worden indien resultaten uit een controle hier aanleiding toe geven. De kans dat een fout een repeterend karakter krijgt wordt hierdoor verkleind. De uitvoering en geplande oplevering van de VIC’s vinden derhalve verdeeld over het jaar plaats.

9

Hoofdplanning Verbijzonderde Interne Controle In figuur 4 staan de momenten weergegeven waarop respectievelijk de directie en het college worden geïnformeerd over de uitkomsten van de VIC 2022. Figuur 4, planning VIC VIC Planning 2022 Opzet en lijncontrole Controle dossiers eerste periode 2022 (januari-april) Controle dossiers tweede periode 2022 (mei-juli) Controle dossiers derde periode 2022 (augustus-december)

Opleverdatum 28 maart 2022 7 juni 2022 19 september 2022 13 februari 2023

Behandeling in directie

Behandeling in college

7 juli 2022

30 augustus 2022

2 november 2022 8 maart 2023

23 november 2022 28 maart 2023

De perioden zijn gebaseerd op de volgende verdeling van de uitvoering van de VIC’s over het jaar: periode 1 januari t/m april, periode 2 mei t/m juli, periode 3 augustus t/m december. Deze verdeling en planning maakt het mogelijk dat de accountant bij haar interimcontrole en managementletter niet alleen naar de eerste 4 maanden van het jaar kijkt, zoals tot 2022 het geval was, maar naar de eerste 7 maanden van het jaar. Dit verhoogt de informatie- en sturingswaarde van zowel de managementletter als de voortgangsrapportage VIC periode 2 voor bestuurders. Er is dan ook een betere afstemming tussen de planning van de voortgangsrapportage VIC periode 2 en de managementletter.

Hoofdplanning accountantscontroles De planning van de accountant met betrekking tot het uitvoeren van controlewerkzaamheden voor boekjaar 2022 is: • Week van 20 juni 2022 → planningswerkzaamheden en proces besprekingen • Vanaf 3 t/m 14 oktober 2022 → interimcontrole • Vanaf 6 maart t/m 24 maart 2023 → eindejaarscontrole

10

3. Behoeftegerichte audit jaarplan 3.1 Inleiding Met de opdrachtformulering “leren en verbeteren door audits” (directiebesluit 19 juli 2018) is het besluit genomen om naast VIC’s ook interne audits (behoeftegerichte audits) uit te gaan voeren. De reikwijdte betreft (financiële) rechtmatigheid, getrouwheid, efficiëntie en/of effectiviteit van onze processen. De primaire focus ligt daarbij op (het verbeteren van) de interne organisatie. De audits zijn gericht op het verbeteren van de interne beheersing van de organisatie. De directie is daarmee als opdrachtgever in de leidende positie met betrekking tot deze audits. Door de audits op te nemen in het VIC en Auditjaarplan 2022/2023 wordt op transparante wijze weergegeven op welke wijze er wordt ingezet op het verbeteren van de interne organisatie.

3.2 Overzicht geplande audits 2022/2023 Selectie behoeftegerichte audits Voor het selecteren en prioriteren van relevante en kansrijke audit onderwerpen is in het najaar van 2021 een inventarisatie uitgevoerd onder alle clusters en zijn belangrijke ontwikkelingen binnen de gemeente gemonitord (o.a. beoordelen van risico’s, management letter en VIC rapportages). Door Corporate Control is een lijst opgesteld, deze is intern besproken en getoetst op basis van materialiteit en risico en hieruit is een selectie gemaakt, welke door de directie is vastgesteld. Gedurende het jaar kunnen aanpassingen en toevoegingen plaatsvinden als op dat moment daarvoor capaciteit en/of middelen beschikbaar zijn. Waar nodig zal gebruik worden gemaakt van specifieke interne en/of externe expertise indien de aard van de werkzaamheden dit vereist. Voor iedere audit afzonderlijk zal als onderdeel van de planningsfase een Plan van Aanpak worden opgesteld met risico’s, onderzoeksvragen en scope. Ook deze plannen van aanpak worden geagendeerd in de directie. Daarnaast wordt in het jaarplan capaciteit gereserveerd om specifieke verzoeken vanuit de directie, clusters en/of college van B&W op te kunnen pakken en om te kunnen monitoren. Voor de opvolging van de door de directie goedgekeurde aanbevelingen naar aanleiding van uitgevoerde audits is in het jaarplan ruimte gecreëerd.

In 2021 zijn door Corporate Control ook een aantal korte opdrachten uitgevoerd nadat Corporate Control door de gemeentesecretaris en/of directie was verzocht een second opinion te geven. Een tweetal voorbeelden hiervan zijn korte audits die zijn uitgevoerd op investeringsproject De Lieden en een specifieke casus met betrekking tot leges volgend op een aanvraag van een omgevingsvergunning. Naast de audit onderwerpen die in de shortlist zijn opgenomen voor 2022/2023 houdt Corporate Control ruimte beschikbaar om enkele second opinions of verzoekopdrachten voor de directie en/of het college van B&W uit te kunnen voeren.

11

Wettelijk verplichte audits Naast de behoeftegerichte audits die intern worden geïnitieerd zijn er ook wettelijk verplichte audits die vanuit wettelijke eisen uitgevoerd dienen te worden. Voorbeelden zijn de ENSIA3 en WPG audit4. Deze worden uitgevoerd door externe onafhankelijke auditors. De inzet op de wettelijk verplichte audits wordt dus niet gepleegd door de auditor die is aangesteld om de behoeftegerichte audits uit te voeren. Dit staat los van de wettelijk verplichte door derden opgelegde audits. Deze zijn clusteroverstijgend en hebben betrekking op de taken/processen van meerdere clusters. De organisatie dient in dit kader de noodzakelijke documentatie aan te leveren en kan mogelijk om toelichting worden verzocht. Corporate Control neemt de opdrachtverlening, coördinatie en centrale bewaking voor zijn rekening. Deze rol wordt door andere functionarissen ingevuld dan door de auditor van Corporate Control. Deze capaciteit is geborgd bij Corporate Control en vormt geen knelpunt voor de uitvoering van de behoeftegerichte audits. Als eerste stap is een vooronderzoek opgenomen om te inventariseren of er nog meer wettelijk verplichte audits zijn die om onze aandacht vragen.

Audits in uitvoering Op het moment van indienen van dit jaarplan, zijn enkele opdrachten in de afrondende fase. Dit betreft onderstaande onderwerpen: Tabel 1: lopende audits en evaluaties Onderwerp

Categorie

Toelichting

IOS / verdeelsleutel interne overhead

Audit

Interne verrekening van inzet uren en kosten en verdeelsleutel voor doorbelasting interne overhead. Vijf clusters gaven aan dat dit niet altijd duidelijk is, evenmin als het proces van totstandkoming tarieven. De audit richt zich met name op de vraag waarom we dit (nog steeds) op deze wijze doen en of het niet anders kan. Conform afspraak met de directie is bij de herpositionering van de IB&P functie bij CC besloten deze te evalueren. Deze evaluatie wordt vanuit CC momenteel uitgevoerd, samen met HRM en ligt binnenkort ter besluitvorming voor bij de directie.

Evaluatie positionering Evaluatie IB&P functie

Start in kwartaal Q4, 2021 (loopt door t/m Q2, 2022)

Q4, 2021 (loopt door t/m Q2, 2022)

3

ENSIA: Gemeenten verantwoorden zich over informatiebeveiliging en informatiekwaliteit middels ENSIA. Dat staat voor Eenduidige Normatiek Single Information Audit. 4

WPG audit: Gemeenten dienen zich per 2022 voor het eerst te verantwoorden over de verwerking van persoonsgegevens door een Buitengewoon opsporingsambtenaar, wanneer deze in het kader van opsporing zijn verkregen. Deze gegevens vallen onder de Wet politiegegevens (Wpg).

12

Projecten Kinheim Seevank en Dennenlaan

Projectevaluatie, Bij dit project is sprake (geweest) van een uitgevoerd overschrijding van +/- € 1 mln en een conflict vanuit CC met de aannemer. Zowel vanuit de organisatie als vanuit de raad is verzocht de oorzaken hiervan te evalueren en lessons learned te bepalen.

Q1/Q2, 2022 thans in uitvoering door CC in opdracht van BO.

Overzicht voorstel audits 2022/2023 Tabel 2: overzicht voorstel audits 2022/2023 Onderwerp

Categorie

Actualiteit en volledigheid beleidsnota’s

Vooronderzoek Onderzoek naar de wijze waarop binnen de gemeente procesmatig wordt geborgd dat bestaande beleidskaders tijdig worden geactualiseerd, vervangen en/of bijgesteld.

Procesinrichting / proceslandschap

Vooronderzoek Inventariseren hoe het (kern)proceslandschap (review) eruitziet en in welke mate kernprocessen gedocumenteerd zijn Audit (raakvlak Kwaliteit procesinrichting ten behoeve van IT-audit) implementatie nieuwe IT-systemen. Onderzocht wordt of en in hoeverre de kwaliteit van de beschrijving en/of inrichting van het proces waarvoor een ondersteunend systeem wordt aangeschaft niet altijd op orde is. Daardoor ontstaan tijdens de implementatie problemen en moeten er allerlei bypasses worden ingericht. En blijkt het soms achteraf ook niet het meest passende applicatie te zijn. Onderzocht wordt wat ervoor nodig is om dergelijke problemen te voorkomen. Follow-up / In overleg met inkoop wordt medio 2022 vooronderzoek geïnventariseerd: - Wat gedaan is met de aanbevelingen van het onderzoek contractmanagement (2021) - Wat een mogelijke onderzoeksvraagen scope is voor een verdiepend onderzoek naar inkoop en aanbestedingen Audit, combi Onderzoek naar de toepassing van VAT kosten met Corporate (normering en realisatie), volume VAT versus Control de geleverde prestaties.

Procesinrichting bij selectie nieuwe IT systemen (gelieerd aan vorige audit procesinrichting)

Contractmanagement / Inkoop en aanbestedingen

VAT kosten

Toelichting

Start in kwartaal Q4, 2022

Q3, 2022

Q3 / Q4, 2022

Q4, 2022

Q3 / Q4, 2022

13

Wettelijk voorgeschreven audits (bijv. WPG audit)

Leges Wabo

Vooronderzoek Vooronderzoek naar welke audits wettelijk (raakvlak met voorgeschreven zijn en de wijze waarop binnen IT-audit) de organisatie is geborgd dat deze wettelijk voorgeschreven audits (zoals bijv. de WPG audit en de ENSIA) door de organisatie adequaat, tijdig en effectief worden uitgevoerd met als doel hier inzicht en coördinatie op te organiseren. Follow-up Nagegaan wordt of de aanbevelingen zijn opgevolgd en in hoeverre de getroffen maatregelen n.a.v. de aanbevelingen effectief zijn gebleken

Q4, 2022 / Q1 2023

Q4 2022 / Q2 2023

Onderwerpen voor samenwerking met control •

•

Het project Kinheim Seevank (zie tabel 1: lopende audits en evaluaties) is in de inventarisatie geïdentificeerd als mogelijke audit, maar is ook via andere kanalen bij Corporate Control het verzoek gekomen deze te evalueren. Hier is een project aan toegevoegd, te weten project Dennenlaan. Beide evaluaties worden momenteel door Corporate Control uitgevoerd. De audit naar VAT kosten (zie tabel 2: voorgestelde audits) wordt uitgevoerd samen met een van de senior strategisch controllers binnen Corporate Control.

14

Bijlagen Begrippenlijst In dit VIC en Auditjaarplan wordt verstaan onder: Audit: Een audit is een activiteit (proces) die wordt uitgevoerd door een onafhankelijke partij (voldoende distantie) die beschikt over de competenties om een dergelijk ‘onderzoek’ uit te voeren. Het uiteindelijke resultaat moet de opdrachtgever zicht bieden op enerzijds de mate waarin men voldoet aan de kwaliteitsstandaarden of aspecten uit het referentiekader en anderzijds de mate waarin de organisatie zich nog kan verbeteren of ontwikkelen5. Bedrijfsvoering: Dit omvat de bedrijfsvoering clusters Financiën & Administratie, Human Resource Management, lnfo+, Inkoop & Juridische Zaken en Facility Management. En ook de stafclusters Communicatie & Externe Betrekkingen en Staf, Bestuur & Directie voor wat betreft hun bedrijfsvoeringstaken. Control (in control): De wijze van sturen, beheersen, verantwoording afleggen en toezicht houden teneinde het realiseren van de vooraf vastgestelde doelstellingen van werkprocessen, projecten of beleid met de overeengekomen kwaliteit (effectief-doeltreffend), inzet van middelen (efficiëntdoelmatig) en binnen de daartoe geldende regelgeving (rechtmatig). Corporate controller: De functionaris die door de gemeentesecretaris is aangewezen om de onafhankelijke control functie uit te oefenen.

Deze functionaris is tevens verantwoordelijk voor de auditfunctie en verantwoordelijk voor het systeem van control. De corporate controller is tevens clustermanager van het cluster Corporate Control. Fout: Er is sprake van een fout wanneer bepaalde verplichtingen, uitgaven, ontvangsten of balansposten onrechtmatig zijn. Bijvoorbeeld omdat geld niet is uitgegeven of ontvangen volgens de daarvoor geldende wetten en regels. Getrouwheid: Of de transacties, zoals ze hebben plaatsgevonden, juist en volledig in de jaarrekening zijn verwerkt. Interne controle (IC): Heeft als doel om onvolkomenheden in de procesbeheersing en de uitvoering tijdig op te sporen en te corrigeren. De interne beheersing (interne controle) vindt plaats in de lijn, dus in de werkprocessen. Lijnmanagement: Bestaat uit directie, clustermanagement en teammanagement. Procesverantwoordelijke: De clustermanagers/ procesverantwoordelijken geven leiding aan en zijn verantwoordelijk voor de (deel) processen die binnen hun cluster plaatsvinden. Sommige processen worden door meerdere clusters uitgevoerd. Bij deze processen is één procesverantwoordelijke als eindverantwoordelijke aangewezen. Rechtmatigheid: Het handelen in overeenstemming met alle wetten en regels. Bij rechtmatigheid in het kader van de rechtmatigheidsverantwoording bestaat er een duidelijke relatie met het financiële beheer.

Er moet immers worden verantwoord dat baten, lasten en balansmutaties rechtmatig tot stand zijn gekomen. Het gaat om de financiële beheershandelingen. Verbijzonderde interne controle (VIC): De VIC is een controle vanuit de onafhankelijke derde lijn. In de VIC wordt gecontroleerd of het proces juist is doorlopen, werkt zoals het is ontworpen en of de uitkomst / het resultaat uit het proces juist zijn. Bij bevindingen dan wel afwijkingen wordt de

5

Met open vizier Ronald Stevens: 2012

15

procesverantwoordelijke geadviseerd tot verbetering. De implementatie van de verbetermaatregelen leidt tot een verbetercyclus. VIC’er: Uitvoerder van de verbijzonderde interne controle. Veelal decentraal georganiseerd in de tweede lijn. 3 Lijnen model: Model voor de verdeling van verantwoordelijkheden binnen het ‘systeem van control’ binnen de gemeentelijke organisatie6. Met als doel het bevorderen van een effectieve samenhang van control werkzaamheden.

6

2018.56726 Visie op control en Controlstatuut. Het Three Lines model heette tot juli 2020 het “Three Lines of Defense” model. Deze wijziging is doorgevoerd om naast de oorspronkelijke focus op waardenbehoud ook meer het belang van waardencreatie te benadrukken.

16