Plan VIC 2023 gemeentebreed september 2023 (D)

Plan (verbijzonderde) interne controle 2023

September 2023

Inhoudsopgave 1.

2.

3.

Inleiding ...........................................................................................................................................3 1.1

Aanleiding ................................................................................................................................3

1.2

Ontwikkelingen ........................................................................................................................4

Controleaanpak en risicoanalyse .....................................................................................................5 2.1

Inleiding ...................................................................................................................................5

2.2

Normenkader verbijzonderde interne controle ......................................................................5

2.3

Controleaanpak .......................................................................................................................5

Uitvoering VIC ..................................................................................................................................7 3.1

Bepaling processen uitvoering VIC ..........................................................................................7

3.2

Methode van uitvoering en vastlegging ..................................................................................8

3.3

Vastlegging en Rapportering .................................................................................................11

Bijlage 1: Visievorming op “in control”..................................................................................................12 1.1

Inleiding .................................................................................................................................12

1.2

Visie .......................................................................................................................................12

1.3

Rollen en verantwoordelijkheden .........................................................................................12

1.4

Automatiseringsomgeving .....................................................................................................13

1.5

Processen ..............................................................................................................................14

Bijlage 2: Verbijzonderde Interne Controle functie ...............................................................................15 2.1

Inleiding .................................................................................................................................15

2.2

Rollen en verantwoordelijkheden .........................................................................................15

2.3

Waarom verbijzonderde interne controle.............................................................................15

2.4

Samenhang verbijzonderde interne controle en externe (accountants)controle .................16

2.5

Positionering VIC ...................................................................................................................17

Bijlage 3: Significante transactiestromen ..............................................................................................18 Bijlage 4: Rechtmatigheidsverantwoording ..........................................................................................19

Plan verbijzonderde interne controle 2023

*Het betreft een VIC plan voor de drie gemeenten en de gemeenschappelijke regeling Meerinzicht. Overal waar college staat, Voor Meerinzicht lees het bestuur.

1.

Inleiding

1.1

Aanleiding

Het College* draagt conform art. 212/213 van de Gemeentewet zorg voor de interne toetsing van de getrouwheid van de informatieverstrekking en de rechtmatigheid van beheershandelingen. Om hier invulling aan te geven wordt jaarlijks het Controleplan bijgesteld en vastgesteld door het college van B&W. Een goed opgezette interne controle is een belangrijke pijler voor de gemeente in het kader van planning en control. Enerzijds voor het controleren en signaleren van tekortkomingen in de uitvoering van de taken. Anderzijds voor het bijsturen en het afleggen van verantwoording over de uitgevoerde taken. Met een toereikend controleplan kan de uitvoering van taken met structuur en efficiency worden gedaan. Het primaire doel van interne controle is om een beeld te krijgen van de kwaliteit van de bedrijfsvoering. Interne controle is een middel om de kwaliteit van de bedrijfsvoering (continu) te verbeteren en tijdig bij te kunnen sturen in processen. Bij de interne controle wordt zichtbaar vastgesteld dat processen beheerst worden, zoals dat met de inrichting van de administratieve organisatie beoogd was. Ook wordt met de uitkomsten van interne controle aangetoond dat (wel of niet) aan de eisen van rechtmatigheid, verantwoording en controle wordt voldaan.

De gemeenten Ermelo, Harderwijk en Zeewolde (EHZ, de brongemeenten) hebben een belangrijk deel van de bedrijfsvoering ondergebracht bij de GR Meerinzicht. Meerinzicht voert deze taken uit voor de deelnemende gemeenten. Gemeenten blijven eindverantwoordelijk voor deze taken en Colleges van B&W dienen zelfstandig verantwoording hierover af te leggen aan de gemeenteraden van EHZ voor de uitvoering van deze taken, als ware het hun eigen organisatie. Het is dan ook van belang dat er goede afspraken worden gemaakt tussen brongemeenten en Meerinzicht. Deze verantwoordelijkheid kunnen de colleges dragen door: 1. 2. 3. 4. 5. 6.

Deelname in het bestuur van Meerinzicht. Deelname in de directieraad. Deelname in de netwerkdirectie. Het maken van duidelijke afspraken met Meerinzicht in de Product dienstverlening overzicht. Verbijzonderde interne controle (VIC). De reguliere P&C-producten.

Bij de vorming van Meerinzicht zijn VIC-medewerkers van de verschillende organisaties samengebracht binnen de afdeling Financiën als team VIC. Harmonisering van de controleplannen en de uitvoering van de VIC-werkzaamheden wordt nagestreefd ten behoeve van een doelmatige uitvoering van werkzaamheden en om gebruik te kunnen maken van elkaars sterke punten. Om die reden wordt gewerkt met één uniform controleplan. In dit Controleplan 2023 geeft team VIC aan welke onderzoeken het zal uitvoeren, de wijze waarop de onderzoeken zullen worden uitgevoerd, wat er wordt gecontroleerd en wanneer onderzoeken worden uitgevoerd. Het controleplan sluit aan op het controleprotocol en het normenkader dat door de gemeenteraad jaarlijks worden vastgesteld. Het controleprotocol dient daarnaast als doel om een nadere aanwijzingen aan de accountant te geven over de reikwijdte van de accountantscontrole, de daarvoor geldende normstellingen en de daarbij verder te hanteren goedkeuringstolerantie, rapporteringstoleranties en de verantwoordingsgrens voor de controle van de jaarrekening. Het college van B&W dient vanaf dit boekjaar een zogenaamde rechtmatigheidsverantwoording bij de jaarstukken op te nemen. Het college rapporteert hierin aan de gemeenteraad over de rechtmatigheid van baten, lasten en balansmutaties.

De accountant controleert vervolgens het getrouw beeld van de rechtmatigheidsverantwoording.

1.2

Ontwikkelingen

Een aantal ontwikkelingen binnen en buiten de gemeente hebben invloed op de gewenste doorontwikkeling van de interne controle. De volgende ontwikkelingen zijn te noemen: •

•

•

•

•

Het College is vanaf boekjaar 2023 verplicht tot het afgeven van een rechtmatigheidsverantwoording bij de jaarrekening; daarbij zal de rechtmatigheidsverklaring van de accountant komen te vervallen. Dit betekent dat de procesbeheersing goed op orde moet zijn en de ambtelijke organisatie aan het College moet kunnen aantonen dat de rechtmatigheid op orde is. Voorwaarde hiervoor is een risicoanalyse met betrekking tot significante transactiestromen, analyse welke elementen uit het normenkader van invloed zijn op rechtmatigheid en controle aan de hand van deze punten van de bijbehorende processen (systeemgericht of gegevensgericht). Tevens is een controle op de begrotingsrechtmatigheid (juiste verwerking begrotingswijzigingen en kwalitatieve toelichting verschillen realisatie versus begroting) essentieel. Zie voor verdere uitwerking en stappenplan bijlage 4. Vanaf boekjaar 2022 moet de accountant vanuit de beroepsregels een expliciete passage opnemen aangaande de frauderisicobeheersing en continuïteit. Voor het boekjaar 2023 zal hier ook vanuit de organisatie extra nadruk op komen om een actueel beleid op te stellen en hier ook werkzaamheden aan te gaan verrichten. De VIC zal expliciet gaan toetsen en rapporteren over het frauderisicobeleid en M&O beleid.

Binnen de (verbijzonderde) interne controle en de accountantscontrole krijgt automatisering meer aandacht, zowel het automatiseringsproces zelf als het gebruik van automatisering binnen de werkprocessen. Steeds meer gedigitaliseerde processen bevatten application controls (bijvoorbeeld digitale factuurafhandeling) waarbij goed werkende General IT Controls (logische toegangsbeveiliging, change management enzovoorts) een basisvoorwaarde zijn voor goed werkende application controls. Controleren ‘buiten de computer om’ is niet wenselijk, zowel voor de interne als de externe controle. Steunen op de GITC en application controls geeft de mogelijkheid de totale populatie te beoordelen in plaats van zekerheid verkrijgen op basis van een deelwaarneming. De rechtmatigheid wordt door de rechtmatigheidsverantwoording de verantwoordelijkheid voor de gemeenten. Gebleken in het land is dat de grootste onrechtmatigheden bij gemeenten ontstaan op het gebied van EU-aanbesteding. Door diverse arresten worden de regels steeds verder aangescherpt. Voor 2023 is dit een belangrijk onderdeel om voor de gemeente goed in de grip te hebben. De genoemde controles worden meegenomen in het werkprogramma VIC aanbestedingen 2023. In de kadernota rechtmatigheid 2022 wordt ook aandacht gevraagd voor het beleid inzake Misbruik & oneigenlijk gebruik.

Het college dient een uitspraak te doen in hoeverre het M&O beleid - Voldoende actueel is; en voldoende is afgestemd op de meest recente wetgeving en de praktijk. - Feitelijk ook wordt nageleefd.

Mede door deze ontwikkelingen is het van belang om de eigen visie op interne controle binnen de gemeente periodiek te evalueren en bij te stellen waar nodig. Bouwstenen voor het vormen van deze visie en punten ter evaluatie hebben wij in bijlage 1 toegevoegd.

2.

Controleaanpak en risicoanalyse

2.1

Inleiding

In dit hoofdstuk behandelen wij de controleaanpak en de risicoanalyse. We gaan achtereenvolgens in op het normenkader (2.2) de controleaanpak (2.3) en de toleranties (2.4). In bijlage 2 hebben wij toelichting gegeven op de functie van de verbijzonderde interne controle.

2.2

Normenkader verbijzonderde interne controle

Het wettelijke kader voor de interne controle is geregeld in: Externe kaders: • Gemeentewet • BADO (Besluit Accountantscontrole Decentrale Overheden) • BBV (Besluit Begroting en Verantwoording) • Kadernota rechtmatigheid Interne kaders: • Beleidskader rechtmatigheid en accountantscontrole inclusief normenkader • Interne wet- en regelgeving Het normenkader (voor een rechtmatigheid controle) betreft de inventarisatie van relevante regelgeving en bestaat uit de externe wetgeving en de eigen regelgeving (o.a. verordeningen) waaruit handelingen met financieel gevolg tot stand komen. Jaarlijks dient het normenkader geactualiseerd te worden. Het betreft een dynamisch document aangezien er gedurende het jaar wijzigingen kunnen optreden in de geldende regelgeving. Tevens wordt dit normenkader per proces uitgewerkt in een toetsingskader met relevante toetspunten met betrekking tot financiële rechtmatigheid.

2.3

Controleaanpak

Belangrijkste uitgangspunten van de controleaanpak zijn: • Zoveel mogelijk controles te integreren in de bestaande reguliere processen. • Een aantal controles worden uitgevoerd in het voorjaar om de werklast gedurende het jaar te verdelen en voldoende spreiding over het jaar te realiseren. • Uitgebreide vastlegging. Onderliggende documenten worden zoveel mogelijk digitaal vastgelegd (bijvoorbeeld subsidiebeschikkingen, facturen, etc.) • Zoveel mogelijk applicatie controls vastleggen met printscreens. • Aantonen betrouwbaarheid lijstwerk • Duidelijke aansluiting tussen de controlestukken en de financiële administratie Van de geselecteerde processen is het de vraag welk doel ze hebben en in hoeverre de beheersingsmaatregelen de risico’s in het proces afdichten? Hierbij worden niet alleen financiële risico’s genoemd, maar ook operationele risico’s, waardoor de organisatiedoelstellingen mogelijk niet gerealiseerd (kunnen) worden. Overigens vindt risicoanalyse voortdurend plaats, omdat alle bevindingen aanleiding kunnen zijn om de aanpak bij te stellen. De fase van organisatiegerichte werkzaamheden is erop gericht vast te stellen of de belangrijke beheersmaatregelen in de processen inderdaad werken zoals beschreven (beoordeling opzet, bestaan en werking van de beheersmaatregelen in de processen).

In deze fase komen ook de verschillen aan het licht tussen hoe de organisatie denkt dat een proces verloopt (opzet) en hoe het feitelijk verloopt (bestaan van de opzet). De gegevensgerichte werkzaamheden zijn erop gericht die processen of activiteiten te controleren, die geen procesbeschrijving hebben of waarvan het efficiënter is om direct naar de transacties te kijken in plaats van naar het hele proces. Een voorbeeld hiervan is het aangaan van langlopende leningen.

De werkzaamheden worden verspreid over het jaar uitgevoerd, zodat er, bij gebleken aandachtspunten, voldoende tijd is om bij te sturen. Omdat er wel een voldoende omvangrijke massa dient te zijn om te controleren, zullen de deelwaarnemingen overwegend in het 2e deel van het jaar uitgevoerd worden.

2.4 De toleranties voor de controle Het intern controleplan ziet toe op zowel de controle van rechtmatigheid als getrouwheid. Met de ontwikkeling ten aanzien van de rechtmatigheidsverantwoording zijn er een tweetal toleranties relevant geworden, namelijk de goedkeuringstolerantie voor de controle op getrouwheid en de verantwoordingsgrens voor de controle op de rechtmatigheid. Deze toleranties worden hieronder nader toegelicht. Goedkeuringstolerantie De goedkeuringstolerantie wordt gesteld op 1% voor fouten en 3% voor onzekerheden van de omvangsbasis. Dit zijn de standaard toleranties die zijn vastgesteld voor accountants (conform Besluit accountantscontrole decentrale overheden). De omvangsbasis bestaat uit de totale lasten inclusief toevoegingen aan reserves van de gecontroleerde jaarrekening. Het is daarbij de doelstelling van de controle om met een redelijke mate van zekerheid, vastgesteld op 95%, een oordeel te vormen dat de jaarrekening geen fouten of onzekerheid boven de gestelde goedkeuringstolerantie bevat. In onderstaande tabel is de relatie tussen goedkeuringstolerantie en het oordeel weergegeven:

Bevindingen

Goedkeurend

Met beperking

Oordeelonthouding

Afkeurend

Fouten in de jaarrekening (% van lasten)

≤ 1%

> 1% < 3%

N.v.t.

≥ 3%

Onzekerheden in de controle (% lasten)

≤ 3%

> 3% < 10%

≥ 10%

N.v.t.

De verantwoordingsgrens

Daarnaast maken we voor de controle op de rechtmatigheidsverantwoording gebruik van de zogeheten verantwoordingsgrens. Op basis van het controleprotocol wordt de verantwoordingsgrens voor 2023 op 3% aangehouden*. De verhouding tussen de goedkeuringstolerantie en de verantwoordingsgrens Om de uniformiteit in de uitvoering van de controlewerkzaamheden te bewerkstelligen is besloten dat de werkzaamheden van de VIC uitgevoerd zal gaan worden op 1% zodat dit aansluit bij hetgeen de accountant als tolerantie hanteert. Dit zorgt ervoor dat zowel de getrouwheid als rechtmatigheidswerkzaamheden met een vergelijkbare tolerantie worden uitgevoerd om op deze wijze de controle zo efficiënt mogelijk vorm te kunnen geven.

*Onder voorbehoud vaststelling verantwoordingsgrens door de Raad, bandbreedte voor de verantwoordingsgrens bedraagt 0% tot 3%. We zullen te allen tijde de vastgestelde verantwoordingsgrens aanhouden.

Voor de gemeenten betekent dit op basis van de jaarrekening 2022 een goedkeuringstolerantie en verantwoordingsgrens van:

Harderwijk

Ermelo

Zeewolde

Meerinzicht

175.735.000 12.414.000

91.935.000 4.635.000

75.419.000 9.297.000

45.716.000

Totale lasten (incl. reservemutaties)

188.149.000

96.570.000

84.716.000

45.716.000

Goedkeuringstolerantie in € (1%)

1.881.490

965.700

847.160

457.160

Verantwoordingsgrens (3%)

5.644.470

2.897.100

2.541.480

1.371.480

Totaal lasten programma’s Stortingen in reserves

-

De goedkeuringstolerantie en verantwoordingsgrens worden gedurende de controle bijgesteld op basis van de werkelijke lasten en stortingen in reserves. Daarmee kan de goedkeuringstolerantie en verantwoordingsgrens bij het opstellen van de jaarrekening nog wijzigen.

Rapporteringstolerantie

Waar de goedkeuringstolerantie wat zegt over de diepgang van de controle, is de rapporteringstolerantie de grens waarboven gerapporteerd wordt. De gemeenteraad stelt de jaarlijks te hanteren rapporteringtolerantie voor de externe accountant vast.

3.

Uitvoering VIC

3.1

Bepaling processen uitvoering VIC

Wij toetsen jaarlijks de kwaliteit van de opzet, de invoering (het bestaan), en de werking van de belangrijkste interne controlemaatregelen voor alle significante (materiele) financiële bedrijfsprocessen en financiële bedrijfsprocessen met een hoog inherent risico. Een bedrijfsproces is in dit verband een afgebakend geheel van eenduidige maatregelen van administratieve organisatie en interne controle. Significante processen worden normaliter bepaald vanuit de IV3 matrix uitgaande van een goedkeuringstolerantie van 1% van de totale lasten inclusief mutatie reserves. Vanwege marge onontdekte fouten gaat de accountant uit van een controletolerantie die lager ligt (zgn. uitvoeringsmaterialiteit). De VIC zal de door de accountant gestelde uitvoeringsmaterialiteit volgen. De bepaalde significante processen zullen worden afgestemd met de accountant. Het inherente risico van de bedrijfsprocessen wordt bepaald aan de hand van de volgende aspecten: • • • • •

Complexiteit van de regelgeving. Bevindingen accountant en VIC van voorgaand jaar. Wijzigingen in wet- en regelgeving. Mate waarin IT-hulpmiddelen worden benut. Eventueel andere overweging (bijv. politieke focus).

Bij de beoordeling van het inherente risico wordt geen rekening gehouden met de aanwezigheid van de interne beheersmaatregelen. In bijlage 3 is een overzicht opgenomen van de risico inschatting op basis van transactiestromen, hieruit zijn de significante processen afgeleid.

3.2

Methode van uitvoering en vastlegging

De basis voor de uitvoering en vastlegging zijn de interne controle werkprogramma’s per proces. Deze worden jaarlijks geactualiseerd.

Jaarlijks starten we met de actualisering van de significante posten en processen en de risicoanalyse. Vervolgens worden per proces de opzet, het bestaan en de werking beoordeeld. Met de (verbijzonderde) interne controle wordt gekeken naar de opzet (hoe staat het op papier), het bestaan (wat is er werkelijk) en de werking (toetsing) van de beheersingsmaatregelen op procesniveau. De uitvoering van een (verbijzonderde interne controle) op een bedrijfsproces zal plaatsvinden in vier verschillende fases, namelijk: Fase 1: Het in kaart brengen van het bedrijfsproces (opzet) In deze fase wordt het bedrijfsproces in kaart gebracht door een (beknopte) procesbeschrijving en risicoanalyse op te stellen of te actualiseren. Voor de invoering van de rechtmatigheidsverantwoording zal een onderscheid aangebracht worden tussen financiële rechtmatigheid en getrouwheid. De procesbeschrijvingen worden gebruikt voor het beschrijven van de te verrichten activiteiten c.q. handelingen, de daarbij betrokken (verantwoordelijke) functionarissen en de in- en uitgaande informatiestromen van het bedrijfsproces. Het streven is om de processen niet te gedetailleerd te beschrijven. Wel zal de essentie van de processen worden vastgelegd. Fase 2.

Risicoanalyse en controle opzet Risico-inschatting is het (continue) proces waarin de organisatie zich bezig houdt met het identificeren en analyseren van risico’s (zowel interne als externe risico’s). We maken een onderscheid tussen risico’s met betrekking tot financiële rechtmatigheid en getrouwheid. In deze fase worden aan de belangrijkste functionarissen van het proces gevraagd aan te geven wat de belangrijkste risico’s binnen het proces zijn en hun visie op de deze risico’s. Aan de hand hiervan zullen de in de risicoanalyse onderkende risico’s beschreven worden en deze gekoppeld worden aan de interne beheersingsmaatregelen die deze risico’s moeten ondervangen. Fase 3: Lijncontrole en testwerkzaamheden (bestaan en de werking) Door middel van een lijncontrole wordt het gehele proces doorgelopen aan de hand van de lijncontrole en eventueel aanvullende testwerkzaamheden. Het doel van de lijncontrole is vast te stellen of de procesbeschrijvingen juist zijn en dat de in de eerste fase geïdentificeerde controle maatregelen daadwerkelijk bestaan. Eventueel worden aanvullend op de lijncontrole testwerkzaamheden uitgevoerd op de belangrijkste interne beheersingsmaatregelen. Voor de uitvoering en vastlegging van de lijncontrole en testwerkzaamheden zal o.a. gebruik worden werklijsten.

Door het uitvoeren van testwerkzaamheden kan een oordeel worden gegeven over de werking van deze interne beheersingsmaatregelen. Binnen procesgericht controleren onderkennen we de volgende strategieën: -

-

Systeemgerichte controle: testen van beheersmaatregelen, op basis van analyse van het proces (opzet en bestaan) wordt bepaald in hoeverre er beheersmaatregelen bestaan binnen het proces waarop gesteund kan worden. Indien er effectieve beheersmaatregelen bestaan binnen het proces (minimaal 2 voor een specifiek risico), kan gekozen worden voor controle van de effectiviteit van beheersmaatregelen Gegevensgerichte werkzaamheden worden uitgevoerd om afwijkingen van materieel belang op beweringniveau (richting) te ontdekken en omvatten detailcontroles van transactiestromen, posten in het financiële overzicht en onderdelen van de toelichting bij het financiële overzicht, alsmede gegevensgerichte cijferanalyse. Gegevensgerichte werkzaamheden worden uitgevoerd om in te kunnen spelen op het ingeschatte risico van een afwijking van materieel belang. Deze methode wordt gevolgd indien blijkt dat niet gesteund kan worden op beheersingsmaatregelen. Om de werking van de procesgang vast te stellen, wordt in geval niet gesteund kan worden op interne beheersingsmaatregelen een transactiegerichte test uitgevoerd: hierbij wordt vastgesteld dat voor het proces de relevante transacties werken conform verwachting en deze juist en volledig worden verwerkt in de financiële administratie

De doelstelling van het uitvoeren van systeemgerichte werkzaamheden is beoordelen of een interne beheersingsmaatregel effectief heeft gewerkt. Het doel van een gegevensgerichte detailcontrole is om afwijkingen van materieel belang op beweringniveau te ontdekken. Omdat regelmatig blijkt dat de interne beheersingsmaatregelen niet alle (specifieke) risico’s afdekken, kunnen beide doelstellingen (werking beheersingsmaatregel en afwijkingen op beweringniveau) tegelijkertijd worden bereikt door onderzoek van de interne beheersingsmaatregelen en gegevensgerichte detailcontrole van dezelfde transacties, ook wel bekend als de "dual-purpose test": hierbij wordt een transactie(stroom) getest op effectiviteit van beheersing en worden gegevensgerichte detailcontroles uitgevoerd. Voor een transactiegerichte test geldt hetzelfde: hierbij wordt vastgesteld dat voor het proces de relevante transacties werken conform verwachting en deze juist en volledig worden verwerkt in de financiële administratie. Hiermee kan de omvang van de gegevensgerichte controle beperkt worden. Voor een systeemgerichte controle is de mate (aantal) waarin een interne beheersingsmaatregel wordt uitgevoerd bepalend voor het aantal testen dat uitgevoerd zal worden.

Voor een transactiegerichte test is de mate van optreden van de procesgang bepalend voor het aantal deelwaarnemingen Een globale richtlijn hiervoor wordt in tabel 1. weer gegeven. *Tabel 1: Richtlijn voor hoeveelheid testwerkzaamheden Soort proces (mate van optreden)

Aantal waarnemingen Aantal waarnemingen Testen beheersmaatregel Testen transacties Dagelijkse proces. 25 25 Wekelijks proces 8 8 Maandelijks proces 2 2 Kwartaal 1 1 Jaarlijks proces 1 1 Indien bij het toetsten fouten worden ontdekt, dient de omvang van de deelwaarneming te worden verhoogd met 60% (bij 25 naar 40, bij 5 naar 8 en bij 2 naar 4, etc.). Indien bij de aanvullende deelwaarnemingen weer fouten worden geconstateerd dan wordt er uitgegaan van een niet/onvoldoende functionerende interne controle (zie verder fase 4 voor evaluatie). Bij detailcontroles (gegevensgerichte controle) wordt waar mogelijk gebruikt gemaakt van key-items, waarbij de grootste transacties als key item geselecteerd zullen worden (om zo veel mogelijk zekerheid te verkrijgen over de verantwoorde bedragen). De toereikendheid van de aantallen voor de gegevensgerichte controle wordt net als eerdere jaren in overleg met de accountant bepaald. De belangrijkste methoden voor het trekken van steekproeven zijn aselecte trekking, systematische trekking en willekeurige trekking. De steekproeven zullen overwegend a-select getrokken worden, waarbij tendentie in de selectie vermeden dient te worden. Hierbij dient rekening gehouden te worden met voldoende spreiding van de waarnemingen over het jaar heen.

In een aantal processen worden verbijzonderde interne controlewerkzaamheden al standaard uitgevoerd op grond van organisatorische overwegingen. Voorbeelden hiervan zijn het bijhouden van het standenregister en het opstellen van aansluiting tussen de financiële administratie en de salarisadministratie door de adviseur interne controle / kwaliteit. Fase 4: Evaluatie en vastlegging In de laatste fase van de uitgevoerde interne controle vindt de evaluatie van de interne beheersingsmaatregelen binnen het proces plaats en wordt de rapportage gevuld. In dit document worden onder meer eventueel gebleken tekortkomingen als bevindingen opgenomen. Geconstateerde financiële fouten kunnen in drie categorieën worden ingedeeld:

-

-

Structurele fouten; dit zijn fouten waarvan de oorzaak bekend is, zodat de financiële gevolgen zijn door te rekenen en te herstellen. Als die analyse van de gevolgen van de gevonden foutoorzaak voldoende fouten boven tafel haalt, is extrapolatie niet meer nodig. Incidentele fouten; van deze fouten is de oorzaak niet bekend, zodat de accountant er rekening mee moet houden dat zij zich in de gehele massa kunnen voordoen. Extrapolatie is daarom nodig. Unieke fouten; deze fouten zijn van dien aard dat ze verder niet in de massa voorkomen. In feite zijn het fouten die zich eenmalig voordoen. Aangetoond moet worden dat de oorzaak van de fout zodanig van aard is dat deze ook daadwerkelijk verder niet meer voorkomt. Extrapolatie is niet nodig.

Er wordt altijd uitgezocht hoe de fout is ontstaan. Dit kan bijvoorbeeld door het uitvoeren van een aanvullende steekproef of het inkaderen van de massa waarin de fout kan plaatsvinden. Als de fout is ontstaan in het boekjaar waarover verantwoording wordt afgelegd dan kan deze vaak worden hersteld. Als de fout wordt geconstateerd in een volgend boekjaar, dan moet na het herstellen van de fout alsnog worden meegenomen in de foutenevaluatie. Als de extrapolatie van incidentele fouten leidt tot een onacceptabel grote financiële (hoger dan de tolerantie) fout, dan wordt er aanvullend onderzoek uitgevoerd. De steekproef wordt uitgebreid op het aspect van de geconstateerde fout. Geconstateerde onrechtmatigheden kunnen vaak worden hersteld door de gemeenteraad of het college. De volgende methodes zijn beschikbaar: • De gemeenteraad is bevoegd om een voorwaarde buitenwerking te stellen. Deze voorwaarde heeft dan geen interne en externe werking en leidt dan niet tot een rechtmatigheidsfout. • Het college is bevoegd om een werkwijze goed te keuren. Bijvoorbeeld als subsidieaanvragen niet tijdig zijn ingediend maar toch zijn behandeld kan het college besluiten dat dit rechtmatig is. Deze procedure heet de indemniteitsprocedure. • Op basis van een hardheidsclausule kan het college bevoegd zijn om per geval een onrechtmatigheid goed te keuren.

Het college kan dit enkel voor specifieke gevallen en mag niet een gehele massa goedkeuren, dit recht is voorbehouden aan de raad. • De raad kan niet afwijken van Europese wet en regelgeving met betrekking tot het aanbesteden. Wanneer er niet voldaan wordt aan de Europese wet en regelgeving zullen de inkopen aangemerkt worden als onrechtmatig.

Geconstateerde fouten (en onzekerheden) met betrekking tot financiële rechtmatigheid zullen separaat worden gerapporteerd zodat deze als basis kunnen dienen voor de rechtmatigheidsverantwoording. In digitale dossiers zijn de onderliggen stukken beschikbaar waardoor de accountant de uitvoering van onze werkzaamheden kan toetsen (bijvoorbeeld: beschikkingen, facturen, printscreens, etc).

3.3

Vastlegging en Rapportering

Van de periodieke controles moet verslag worden gedaan aan de controller zodat deze tijdig op hoogte is van de kwaliteit van de uitvoering en eventueel tijdig kan bijsturen. De frequentie waarin wordt gerapporteerd en de wijze van rapportering (mondeling en/of schriftelijk) is afgestemd op de behoefte van de controller om op de hoogte blijven van de kwaliteit van de uitvoering. De rapportagefrequentie loopt synchroon met de onderzoeksperioden. De lijn is dat de rapportage eerst voorgelegd wordt aan de controllers, vervolgens zal dit op route gaan naar directie en college/bestuur. Dit zorgt ervoor dat al in de eerstvolgende controleperiode verbeteringen kunnen worden doorgevoerd. Na afloop van de verbijzonderde interne controle vindt rapportage plaats waarbij de afwijkingen met betrekking tot financiële onrechtmatigheid separaat worden weergegeven met een onderbouwing.

Bijlage 1: Visievorming op “in control” 1.1

Inleiding

In dit hoofdstuk wordt de visie op “in control” vanuit interne controle perspectief behandeld (1.2) inclusief de randvoorwaarden hiervoor zoals de rollen en verantwoordelijkheden (1.3), de automatiseringsomgeving (1.4), de processen (1.5).

1.2

Visie

De visie op “In Control” is veel breder dan de visie op AO/IC. AO/IC is echter wel een van de basisvoorwaarden om in control te zijn. Een organisatie is 'In Control' als een organisatie zodanig is ingericht dat de juiste discussie op het juiste moment op het juiste niveau wordt gevoerd zodat (indien nodig) bijgestuurd kan worden om zo de doelstellingen te realiseren. 'In Control' wil dus zeggen dat de organisatie zo is ingericht dat goed bestuur mogelijk is. Dit betekent ook een adequate, tijdige en actuele informatieverstrekking vanuit de werkprocessen. De controleomgeving is een basisvoorwaarde voor een goed functionerende organisatie. De aspecten ‘soft controls’, cultuur, houding en gedrag zijn hierin belangrijk. De organisatie moet zichzelf voortdurend de volgende vragen stellen: • Wat is het ambitieniveau als organisatie? Wat kan en wil de organisatie aan? Een hele realistische vraag! • Is onze organisatie bereid om te leren en te verbeteren? • Is onze organisatie afgestemd op uw ambities?

Interne beheersing is voor veel organisaties in het publieke domein een uitdaging. De bedrijfsprocessen veranderen door de verdergaande digitalisering en automatisering. De verdergaande digitalisering en automatisering van de processen hebben ook effect op de aanpak van de (verbijzonderde) interne controle. De automatiseringsomgeving en de application controls in de applicaties worden steeds belangrijker. Dit is ook terug te zien in de landelijke aandacht voor de informatiebeveiliging en privacy binnen onze organisatie waarbij voldaan dient te worden aan de nieuw normen en de organisatie druk is met de invoering van de BIO en AVG.

1.3

Rollen en verantwoordelijkheden

De gemeenteraad is als hoogste orgaan binnen de gemeente kaderstellend en controlerend. Het College van B&W is als bestuur primair verantwoordelijk voor het “in control” zijn van de organisatie. De ambtelijke organisatie is verantwoordelijk voor de diverse processen en is het “werkapparaat” van het College. De ambtelijke organisatie is verantwoordelijk voor een goede bedrijfsvoering.

Bovenstaand plaatje geeft aan dat de 1e lijnfuncties de basis zijn voor een goede interne beheersing. Het afdelingshoofd / teamleider en proceseigenaren zijn zelf verantwoordelijk voor de interne beheersing van hun processen maar ook goede en zichtbare interne beheersingsmaatregelen in hun processen. Zij worden hierbij ondersteund door de 2e en 3e lijn. De interne controle functie (3e lijn) heeft met name een toetsende en adviserende rol naar de 1e en 2e lijn.

1.4

Automatiseringsomgeving

De IT-omgeving is het fundament voor de meeste werkprocessen binnen een organisatie. Door de toegenomen digitalisering en automatisering, de informatiebeveiliging, privacy is een goede beheersing van de automatiseringsomgeving een must.

In het kader van de jaarrekeningcontrole voert de accountant een IT-audit uit. Deze IT-audit is met name gericht op de applicaties en processen die zijn gerelateerd aan de jaarrekening. Door de verdere digitalisering van veel processen zijn goed werkende IT controls een voorwaarde voor het in control zijn. Bovendien steunen accountants niet meer op processen op het moment dat hiaten aanwezig zijn in de IT controls, denk hierbij aan de zogenoemde ‘general controls’ (logische toegangsbeveiliging, wijzigingsbeheer en de continuïteit van de gegevensverwerking) en de ‘application controls’ (denk bijvoorbeeld aan de digitale autorisatie van een inkoopfactuur).

Een IT-audit als onderdeel van de verbijzonderde interne controle is dan ook niet meer weg te denken. Reparatie achteraf door extra steekproeven en deelwaarnemingen doordat de procesbeheersing niet op orde is, moet dan zoveel mogelijk worden voorkomen. De energie moet dan in de ‘voorkant’ van een proces worden gestoken om zo de procesbeheersing goed op orde te krijgen.

1.5

Processen

Een proces is een reeks samenhangende activiteiten gericht op het realiseren van een bepaald doel, bijvoorbeeld het verstrekken van WMO voorzieningen of het verstrekken van een omgevingsvergunning. De basis voor een goede procesbeheersing is een goede procesinrichting. De procesinrichting moet goed afgestemd zijn op het beleid en het normenkader.

Bijlage 2: Verbijzonderde Interne Controle functie 2.1

Inleiding

In dit hoofdstuk behandelen wij de inhoud van de verbijzonderde interne controle functie. We gaan achtereenvolgens in op de rollen en verantwoordelijkheden (2.2), waarom verbijzonderde interne controle (2.3), het normenkader van de verbijzonderde interne controle (2.4), de samenhang tussen de interne controle en de externe controle (2.5) en de positionering van de VIC functie (2.6).

2.2

Rollen en verantwoordelijkheden

Het College van B&W is verantwoordelijk voor de getrouwheid en de rechtmatigheid van de jaarrekening, en voor het daaraan ten grondslag liggende (financiële) beheer. De opdrachtverstrekking aan de accountant vindt plaats door de Raad. De Raad stelt in het controleprotocol het normenkader en de goedkeurings- en rapportagetoleranties vast. De accountant controleert de jaarrekening en verstrekt een verklaring waarin hij een oordeel geeft over het getrouwe beeld. De accountant is verantwoordelijk voor een degelijke en begrijpelijke onderbouwing van zijn oordeel in het verslag van bevindingen. De accountant rapporteert zijn constateringen aan de Raad. De Raad heeft bij het vaststellen van de jaarrekening de mogelijkheid om met betrekking tot bepaalde onrechtmatigheden een indemniteitsprocedure te starten. Indien onrechtmatigheden voortkomen uit eigen regelgeving heeft de Raad de bevoegdheid om bij voldoende uitleg deze onrechtmatige handelingen achteraf te sanctioneren. Indien de regel goed is maar de naleving onvoldoende dan is de Raad verantwoordelijk om het college op te dragen maatregelen te nemen die een adequate naleving verzekeren. Het college is verantwoordelijk voor de getrouwheid en de rechtmatigheid van de uitvoering van het financiële en niet-financiële beheer.

Het college moet zodanige maatregelen treffen dat de getrouwheid en rechtmatigheid van de complete uitvoering gewaarborgd is. Een onderdeel hiervan is het laten opstellen van het normenkader en toetsingskader. Het college legt verantwoording af aan de Raad over de uitvoering van de werkzaamheden / werkprocessen en adequate vastlegging hiervan. Het college geeft een schriftelijke bevestiging af aan de accountant waarin het college verklaart de juiste en volledige informatie te verstrekken en de zaken benoemt die in het kader van de getrouwheid en rechtmatigheid van belang kunnen zijn. Voor het jaar 2023 zal het college inzake de rechtmatigheid moeten verantwoorden in de jaarrekening.

2.3

Waarom verbijzonderde interne controle

Het in beeld brengen van de procesrisico’s en de beheersingsmaatregelen zijn de basis voor een effectieve en efficiënte uitvoering van de (verbijzonderde) interne controle. Hierbij wordt onderscheid gemaakt tussen ‘interne controle’ en verbijzonderde interne controle. Interne controle De basis van de interne controle is een goede administratieve organisatie en daarin ingebouwde interne beheersing. Elke proceseigenaar binnen onze gemeente heeft inzicht nodig in “wat kan er fout gaan in mijn proces” en “welke maatregel heb ik getroffen om te voorkomen dat deze fout wordt gemaakt”. Deze interne controle in de 1e lijn moet geborgd zijn in het werkproces. Dit betekent niet dat alle afdelingen jaarlijks controles op basis van een steekproef moeten uitvoeren. In het werkproces moeten de beheersmaatregelen zijn ingeregeld. De uitvoering van de beheersmaatregel dient zichtbaar vastgelegd te worden. Naast interne controle in de 1e lijn is er ook interne controle in de 2e lijn. Dat betreft de interne controle die uitgevoerd wordt door de 2e lijn. Deze interne controle richt zich met name op het toetsen van de financiële uitkomsten van de processen en voert werkzaamheden uit om de volledigheid van de opbrengstenverantwoording en juistheid van de kostenweergave vast te stellen.

Verbijzonderde interne controle Naast de interne controle is de verbijzonderde interne controle (VIC) te onderkennen. De verbijzonderde interne controle heeft als doel om vast te stellen dat processen beheerst worden, maar ook om tekortkomingen in de procesbeheersing en de uitvoering tijdig te onderkennen. Zodat ook tijdig actie kan worden ondernomen om correcties door te voeren. De informatie uit de interne controles en de inbedding van de interne controlemaatregelen in de organisatie helpen om de kwaliteit van de bedrijfsvoering te verbeteren. De VIC richt zich voornamelijk op de zogenaamde getrouwheid van de informatieverstrekking en de rechtmatigheid van (financiële) beheerhandelingen. Dit betekent dat de VIC vooral gericht is op vaststellen van / bijdragen aan: • het juist gebruik van gedelegeerde bevoegdheden; • het opvolgen van de wet- en regelgeving, gemeentelijke verordeningen, voorschriften, instructies, procedures • betrouwbaarheid (juistheid, volledigheid, tijdigheid) en rechtmatigheid van transacties en de daarbij behorende gegevensverwerking; • betrouwbaarheid (juistheid, volledigheid, tijdigheid) en rechtmatigheid van informatievoorziening en verantwoordingrapportages.

• te waarborgen dat wij onze processen beheersen en financiële risico’s voldoende zijn afgedekt door adequate beheersmaatregelen; • te waarborgen dat de interne beheersmaatregelen werken; • aanbevelingen te kunnen geven voor het verbeteren van de kwaliteit van de processen; De verbijzonderde interne controle richt zich daarbij (ook) op: • Zowel de 1e lijn als 2e lijn van interne controle. • IT-audit. De focus gericht op de algemene IT-beheersmaatregelen en beheersmaatregelen in de afzonderlijke applicaties. Het primaire doel is het verbeteren van de kwaliteit van de bedrijfsvoering; de informatie uit de interne controles en de inbedding van de interne controlemaatregelen in de organisatie helpen om de kwaliteit van de bedrijfsvoering te verbeteren. Het secundaire doel is een maximale aansluiting te realiseren tussen de werkzaamheden van de externe accountant en de verbijzonderde interne controle zodat de accountant optimaal gebruik kan maken van de werkzaamheden van de verbijzonderde interne controle functie.

2.4

Samenhang verbijzonderde interne controle en externe (accountants)controle

Een doelstelling van de gemeente is een maximale aansluiting te realiseren tussen de uitgevoerde (verbijzonderde) interne controlewerkzaamheden en de door de accountant te verrichten (externe) werkzaamheden. Daarom is het belangrijk om onze accountant als adviseur te betrekken bij de aanpak van de VIC en de uitvoering van de VIC, waarbij het college wel de eigen verantwoordelijkheid blijft houden. Volgens de nadere voorschriften controle en overige standaarden (ook wel NV COS genoemd) toetst de accountant jaarlijks de kwaliteit van de opzet, de invoering (het bestaan), en de werking van de belangrijkste interne controlemaatregelen voor alle significante financiële bedrijfsprocessen. De bedrijfsprocessen worden in hoofdstuk 4 van dit plan nader uitgewerkt. De mate waarin de accountant gebruikmaakt van de werkzaamheden van de VIC in het kader van de verbijzonderde interne controle is afhankelijk van • de mate waarin de organisatorische positie en relevante beleidslijnen en procedures van de interne auditfunctie de objectiviteit van de interne auditors ondersteunen; • het competentieniveau van de interne auditfunctie; en • of de interne auditfunctie een systematische en gedisciplineerde benadering hanteert, inclusief kwaliteitsbeheersing (w.o. reviewfunctie).

Het is aan de accountant om een keus te maken in het gebruik van de VIC functie. Normaal gesproken zijn 3 varianten mogelijk in het gebruikmaken van de werkzaamheden van de verbijzonderde interne controle door de accountant: 1. Steunen op de VIC conform Standaard 610 (COS); 2. Deels gebruik maken van de werkzaamheden van de VIC, door de VIC als verlengstuk te gebruiken (voorbereiden, organiseren, verzamelen); 3. Niet steunen op de werkzaamheden van de VIC. De controle van de accountant vindt plaats op basis van variant 2. Het al dan niet op basis van COS 610 gebruik maken van de VIC is een inschatting / keuze van de externe accountant. Accountantskantoren zijn erg terughoudend in het gebruikmaken van COS 610. In het gemeentelijke landschap komt dit niet of nauwelijks voor.

2.5

Positionering VIC

Voor een adequate uitvoering van de verbijzonderde interne controle moet worden voldaan aan enkele randvoorwaarden: • onafhankelijke positie van de interne controle functie; • geen belemmeringen opgelegd door het bestuur of management; • vaktechnische bekwaamheid van de interne controleur (uitvoering getrouwheids- en rechtmatigheidswerkzaamheden); • inhoudelijke deskundigheid van de interne controleurs met betrekking tot het object van onderzoek; • zorgvuldigheid: planning, begeleiding, beoordeling en vastlegging. De externe (accountants) controle is sinds boekjaar 2021 belegd bij Eshuis accountants.

Bijlage 3: Significante transactiestromen Voor de verbijzonderde interne controle lenen zich op basis van omvang voor het controlejaar 2023 de volgende processen (keuze van de organisaties):

Ermelo Harderwijk Zeewolde Meerinzicht Aanbestedingen V V V V Betalingsverkeer V V V V Grondopbrengsten en overige o/g transacties V V V V Subsidieverlening (lasten) V V V V Inkopen (factuurverwerking en prestatielevering) V V V V Leges omgevingsvergunningen V V V V Sociaal domein (participatiewet, jeugd en WMO) * * * V Personeelsproces * * * V Belastingen * * * V * De uitvoering van deze processen liggen bij Meerinzicht en zullen in die hoedanigheid ook gecontroleerd worden vanuit Meerinzicht. De volgende processen worden, op basis van risico-inschatting of omvang van de geldstroom (niet jaarlijks gecontroleerd en worden dan ook in 2023 in principe niet gecontroleerd:

Burgerzaken Huren en pachten Opbrengsten begraafplaatsen Opbrengsten zwembad Opbrengsten havengelden Parkeeropbrengsten

Ermelo V

Harderwijk

Zeewolde

V

N.v.t.

V

N.v.t.

Meerinzicht n.v.t n.v.t n.v.t n.v.t n.v.t N.v.t.

Daarnaast wordt op basis van ervaringen vorige jaren en de invoering van de rechtmatigheids- verantwoording B&W opgenomen:

Begrotingswijzigingen/kredietvotering Kredietbenutting Krediet- en begrotingsoverschrijdingen Uitvoeren frauderisicoanalyse

Ermelo V V V V

Harderwijk V V V V

Zeewolde V V V V

Meerinzicht V V V V

De volgende procedures worden, op basis van de huidige inrichting van de organisatie en het financieel systeem op advies van de accountant jaarlijks gecontroleerd.

Memoboekingen Stamgegevens crediteuren Wachtwoordbeleid U4F Muteren gebruiksrechten in U4F

Ermelo V V V V

Harderwijk V V V V

Zeewolde V V V V

Meerinzicht V V V V

Daarnaast zijn er nog de processen waarbij de verbijzonderde interne controle – in afstemming met de accountant – vooral de accountantscontrole voorbereid en toeziet op een volledige aanlevering van het dossier. Dit betreft:

Ermelo V

Inkomende subsidies (incl. SISA)

Harderwijk V

Zeewolde V

Meerinzicht V

Bijlage 4: Rechtmatigheidsverantwoording Vanaf 2023 moeten de colleges van B&W een rechtmatigheidsverantwoording opnemen in de jaarrekening. Deze verantwoording en de onderbouwing daarvan wordt vervolgens getoetst door de externe accountant op getrouwheid. De onderbouwing van deze verantwoording wordt gevormd door de vastlegging van de controlebevindingen van het VIC-team. De scope van de rechtmatigheidsverantwoording: -

Rechtmatig handelen is handelen overeenkomstig de externe en interne regelgeving Er is onderscheid te maken tussen financiële rechtmatigheid (10% regelgeving) en niet financiële rechtmatigheid (90% regelgeving) Rechtmatigheidscontrole is ingevoerd in 2004 bij invoering BBV. Naleving rechtmatig handelen op basis van financiële geldstromen (financiële rechtmatigheid) Scope rechtmatigheidsverantwoording 2023 is alleen financiële rechtmatigheid. Dit wijzigt dus niet ten opzichte van voorgaande jaren

De volgende rechtmatigheidscriteria financiële transacties/beheer handelingen maken onderdeel uit van de rechtmatigheidsverantwoording:

Begrotingscriterium

Voorwaardencriterium

M&O criterium

• Overschrijdingen begroting • Onderbouwen of ze passen binnen het gemeentelijk beleid • Toelichten in jaarrekening

• Voldoen aan geldende wet- en regelgeving • Extern een interne regelgeving • Doelgroep, termijnen, grondslagen, normen • Recht, hoogte en duur

• Misbruik en oneigenlijk gebruik • M&O Kader • Frauderisico-analyse • Borging in processen

Jaarverslag en jaarrekening: - Rechtmatigheidsverantwoording (geen verklaring!) onderdeel van de jaarrekening. Accountant controleert deze op getrouwheid. - Toelichting in paragraaf bedrijfsvoering als verantwoordingsmiddel (eventueel in aparte paragraaf rechtmatigheid)

Paragraaf bedrijfsvoering Rechtmatigheidsverantwoording

Rolverdeling: Rol college van B&W - Gehele College integraal verantwoordelijk voor de rechtmatigheidsverantwoording Rol organisatie - Versterken kwaliteit interne beheersing en VIC - Proceseigenaarschap goed borgen. Basisvoorwaarde interne beheersing! - Sturen op samenspel 1e lijn (primaire proces), 2e lijn (control) en 3e lijn (VIC). Rol accountant: - Controle jaarrekening inclusief rechtmatigheidsverantwoording. Deze laatste wordt onderdeel van de jaarrekening. - Accountant toetst of de rechtmatigheidsverantwoording getrouw tot stand gekomen is (eens met conclusie, juiste controles uitgevoerd, dossier? De organisatie is dus zelf aan zet!)

Route naar rechtmatigheidsverantwoording Routekaart: kaders

Routekaart Uitvoering & Rapportage