Boardletter gemeente Harderwijk 2025 getekend

Registeraccountants

Aan de gemeenteraad van de Gemeente Harderwijk Postbus 149 3840 AC HARDERWIJK

Spoetnik 42 3824 MG Amersfoort Postbus 206 7600 AE Almelo Tel. 088-500 95 00 E-mail info@eshuis.com

Datum:

7 april 2026

Betreft:

Boardletter 2025

Geacht raad, U ontvangt van ons de boardletter 2025. Dit betreft een samenvatting van de uitgebrachte managementletter 2025. In deze boardletter hebben wij de belangrijkste boodschappen vanuit de managementletter samengevat om u een zo goed mogelijk beeld te geven over de kwaliteit van uw administratie organisatie en interne beheersing met inbegrip van de IT-omgeving. Algemene indruk We hebben vanuit een prettige samenwerking de interim-controle succesvol afgerond. Ons algemene beeld is dat de kwaliteit van de AO/IB van voldoende niveau is om een controle uit te voeren op de getrouwheid van de jaarrekening over boekjaar 2025. Dit zal een gegevensgerichte controle worden. De kwaliteit van de AO/IB Zoals hierboven geschetst is de kwaliteit van de AO/IB van voldoende niveau. Echter zien we ook kansen om de AOIB verder te optimaliseren. Gelet op een aantal repeterende detailbevindingen blijven wij aandacht vragen van het college voor de opvolging. Gemeente Harderwijk dient naar onze mening in kaart te brengen welke kwaliteitseisen aan de interne beheersing worden gesteld en welke keuzes daarvoor dienen te worden gemaakt. Dit gecombineerd met het opdrachtgeverschap richting Meerinzicht waar een aantal bedrijfsactiviteiten in mandaat zijn belegd. Het is van belang om een toekomstvisie te ontwikkelen waarmee een toekomstbestendig en beheersbaar systeem voor AO/IB kan worden opgezet.

Dit systeem moet niet alleen voldoen aan de eisen vanuit wet- en regelgeving, maar ook in lijn liggen met het ambitieniveau en de doelen die men over 3-5 jaar wil bereiken. Wij zijn van mening dat het ambitieniveau voor de interne beheersing verhoogd kan worden. De toekomstvisie op interne beheersing is ook relevant voor de doorontwikkeling van de rechtmatigheidsverantwoording. Volgens het ‘’three lines-model heeft de eerste lijn een belangrijke rol, in harmonie met de tweede lijn. De VIC is de derde lijn en die zakt in de huidige situatie te ver terug naar de eerste en tweede lijn. Om dit te veranderen is een toekomstvisie nodig die verder gaat dan alleen controletechnieken. Het gaat dan ook om voldoende gekwalificeerd personeel (in eigen dienst) dat de eerste en tweede lijn kan helpen veranderen/verbeteren en procesbevindingen op leidinggevend niveau kan terugkoppelen.

Eshuis Registeraccountants BV  Algemene voorwaarden / Handelsregister K.v.K. Enschede nr. 08151214  Lid van het

Ons belangrijkste thema voor de managementletter is dan ook om met Gemeenschappelijke Regeling Meerinzicht (hierna: GR Meerinzicht) het gesprek te blijven voeren over de geleverde dienstverlening en verdere ontwikkelingen. Dat vraagt initiatief van uw gemeente en eigenaarschap van GR Meerinzicht. Verbijzonderde interne controle Op basis van het door het college vastgestelde interne controleplan en de tot nu toe door de VIC uitgevoerde werkzaamheden constateren wij dat de VIC op het eerste ambitieniveau acteert en voorzichtig beweegt richting niveau twee, zoals door de VNG is gedefinieerd. Deze ambitieniveaus bestaan uit drie niveaus, waarbij het eerste niveau alleen aan de wettelijke vereisten wordt voldaan. Het tweede niveau geeft aan dat de eerste lijn op bepaalde processen in-control is, waardoor de VIC-functie meer ruimte krijgt voor thema-onderzoeken en controles waar behoefte aan is. Het derde niveau is het meest vergaand, waarbij het college over al haar processen kan aantonen dat de eerste lijn in-control is via een zogenoemd in-control statement. Een hoger niveau leidt tot een efficiënter controleproces en kwalitatief betere totstandkoming van de rechtmatigheidsverantwoording. De huidige ambitie betekent dat de focus ligt op het voldoen aan de minimale vereisten, waarbij de controle voornamelijk gegevensgericht wordt ingezet vanuit de VIC-functie.

We zien overigens wel bij een aantal processen, waaronder de omgevingsvergunningen, dat ook wordt gekeken vanuit de VIC naar procesoptimalisatie. Daarin zien wij dus een verschuiving van het eerste ambitieniveau naar het tweede. Tegelijkertijd moedigen we aan deze ontwikkeling door te zetten, waarbij ook de eerste en tweede lijn meer eigenaarschap en verantwoordelijkheid gaan voelen rondom de financiële rechtmatigheid. Daarin is een meerjarenplan voor de doorontwikkeling van de VIC een pré. Een uitsluitend handmatige controle zal op de middellange termijn niet meer toereikend zijn gezien de toenemende complexiteit van beheersingsmaatregelen die in de IT verankerd zijn. Het is daarom van belang om vooruit te kijken naar wat u wilt doen en wat daarvoor nodig is. Versterken inkoopproces inclusief interne beheersing Rechtmatig inkopen is een aandachtspunt voor uw organisatie. Uw organisatie heeft afgelopen jaren dan ook diverse maatregelen getroffen om grip te krijgen op de rechtmatige inkopen. In boekjaar 2024 hebben wij geconstateerd dat het controleproces vanuit de VIC goed is ingericht, maar dat er toch bevindingen waren rondom de uitvoering van de maatregelen. Toen hebben wij ook gesignaleerd dat de lijnorganisatie worstelt met het naleven van de regelgeving.

Vanuit onze interim-controle 2025 hebben wij vastgesteld dat men het team Inkoop van GR Meerinzicht steeds beter weet te vinden en dat steeds vaker vooraf afstemming plaatsvindt omtrent het doen van inkopen. Dit is een positieve ontwikkeling en wij raden u aan deze ontwikkeling door te zetten. Voor de gemeente Harderwijk brengt het onderwerp ‘grip op aanbesteden’ actiepunten met zich mee. In de managementletter hebben wij enkele observaties opgenomen, vergezeld van aanbevelingen om uw gemeente te ondersteunen bij het aanpakken van deze uitdagingen. Deze aanbevelingen richten zich zowel op operationele verbeteringen als op het verbeteren van de datakwaliteit en informatievoorziening met betrekking tot huidige- als toekomstige inkopen. 2

Dit is des te belangrijker in het licht van de verlaging van de verantwoordingsgrens naar 2% in de rechtmatigheidsverantwoording die sinds boekjaar 2025 geldt. IT-omgeving Goed functionerende geautomatiseerde systemen dragen bij aan de doorontwikkeling van processen, zodat Harderwijk toekomstbestendig blijft opereren en risico’s effectief en efficiënt kan afdekken. Zoals eerder genoemd, is digitale informatievoorziening een belangrijk aandachtspunt en we merken op dat de gemeente hierin achterloopt als het gaat om het voldoen aan wet- en regelgeving. Het verkrijgen van zekerheid over de beheersing van IT-processen wordt steeds belangrijker, zowel in het kader van de rechtmatigheidsverantwoording, de jaarrekeningcontrole als voor het compliant zijn met de NIS2-richtlijn. Op 23 september 2025 is de BIO2 effectief in werking getreden als norm voor de NIS2. Ook de ENSIA IT-audit wordt hierop aangepast. Voor uw gemeente betekent dit dat de jaarlijkse verantwoording op het gebied van informatiebeveiliging een nieuwe structuur en aanpak vereist. De ENSIA-audit moet worden aangepast om te voldoen aan de eisen van BIO2, wat vraagt om een risico gebaseerde benadering. In het kader van de jaarrekeningcontrole voeren wij een IT-audit uit bij de GR Meerinzicht als onderdeel van de jaarrekeningcontrole.

Uit deze audit blijkt dat er op enkele gebieden nog verbeteringen nodig zijn om te voldoen aan de BIO2, met name met betrekking tot applicaties die invloed hebben op de jaarrekening. Voor een uitgebreide toelichting verwijzen wij u graag naar onze boardletter en managementletter over 2025 van GR Meerinzicht. Daarin blijven we echter wijzen op de verantwoordelijkheid die u vanuit opdrachtgeverschap hierin draagt. De gemeente is verantwoordelijk dat er beleid en een visie is op het gebied van (cyber)security en deze wordt in de samenwerking met GR Meerinzicht uitgewerkt en vastgesteld. Hoogachtend,

Antine van de Groep

Digitaal ondertekend door Antine van de Groep DN: cn=Antine van de Groep, c=NL, o=Antine van de Groep Datum: 2026.04.07 16:20:44 +02'00'

A. van de Groep Msc RA

3