Managementletter 2020 WG.pdf

Opstellen van een plan inzake het verwijderen van de gegevens van de huidige servers na afronding van een succesvolle datamigratie.

Bevinding 4.2.2

Outsourcing IT De outsourcing van het ITbeheer vraagt een andere aanpak van de beheersing van general IT controls door de gemeente. Advies: Het is noodzakelijk dat de gemeente anticipeert op de veranderingen in het proces van systeembeheer en de processen zodanig inricht teneinde inzicht te blijven houden over de effectiviteit van de general IT controls

Voor alle applicaties is er een testplan opgesteld. Dit plan is per applicatie op de nieuwe omgeving uitgevoerd. Zodra de betreffende functioneel beheerder een akkoord heeft gegeven is de migratie in gang gezet. Dit is ook gebeurd voor het infra deel. Alles is bijgehouden op een centrale plek dit om een goed overzicht te houden. Zowel voor het applicatie deel als voor de Infra deel. Documenten zijn deels beschikbaar. Qua ontmanteling laten wij de oude omgeving 6 maanden intact na oplevering. Doelstelling is om in Q1 2021 alles te ontmantelen. Dit betekent alle data verwijderen via een gecertifieerd proces en alle hardware afvoeren via een gecertificeerde partner. Gereed Er is samen met de outsourcepartner een Service Level Agreement (SLA) samengesteld waarin alle afspraken op hoofdlijnen zijn afgesproken. Tevens is er een Dossier Afspraken en Procedures (DAP) samengesteld. Het DAP beschrijft alle operationele afspraken. Elke maand krijgen wij een Service Level Rapportage (SLR) waarin wij kunnen controleren af alle afspraken worden nagekomen en kan er op basis van SLR worden gestuurd door de regie organisatie. Kopie van het

29

Verwijzing managementletter 2019

Advies

Reactie college

Prioriteit

Status

DAP, SLA en de SLR zijn beschikbaar Bevinding 4.3

Schattingselementen Wij adviseren om de beheersing van schattingselementen in de financiële cijfers te verwerken in de planning& control cyclus en gedurende het jaar interne controlewerkzaamheden te verrichten.

Het verloop van de voorzieningen ter egalisatie van kosten wordt betrokken bij de planning & controlcyclus, in het bijzonder bij de voorjaarsnota en de najaarsnota. En uiteraard bij de jaarrekening. Gedurende het jaar wordt getoetst of de uitgaven niet boven een MJOP uitgaan. Eén keer per jaar vindt een (bureau)actualisatie plaats overeenkomstig het Besluit Begroting en Verantwoording.

Middel

Gereed Door Bouwkunde wordt ieder jaar (in Q2) het MJOP door een zgn. “bureau actualisatie” doorgenomen. Wijzigingen worden dan opgenomen in het MJOP. Dit jaar heeft dit dus al plaatsgevonden. Vervolgens wordt er elke 3 jaar geactualiseerd door de panden op te nemen. Start van deze opname in 2022. Wijzigingen worden dan in overleg op het juiste moment verwerkt. Gedurende de gehele looptijd van dit MJOP 2019-2029 wordt dit dus 3 maal uitgevoerd en de laatste keer wordt er een nieuw MJOP opgesteld wat door de voorgaande actualisaties nooit extreem kan wijzigen. De kosten voor zowel bureau actualisaties als daadwerkelijk opname van de panden is als algemene kosten opgenomen in het MJOP. De verwachting is dat dit ook gaat gelden voor het zgn. (D)MJOP. Het is nog even afwachten hoe de benodigde bedragen gereserveerd worden. Bij de actualisatie worden deze werkzaamheden wel beoordeeld en gekoppeld aan het huidige MJOP.

30

Verwijzing managementletter 2019

Advies

Bevinding 4.4.1

Contractenregister Verkrijg op basis van een contractenregister inzicht in het totaal van bestedingen van de gemeente. Daarnaast adviseren wij u te overwegen om een centrale inkooporganisatie in te stellen.

Reactie college

Prioriteit

Door de afdeling informatievoorziening worden alle bestaande contracten met leveranciers vastgelegd in het zogenaamde contractenregister. Deze dient als basis om een aanbestedingskalender op te stellen.

Middel

Status

Gereed Het contractenregister in Mozard is in productie en gebruik. Informatisering is verantwoordelijk voor het correcte gebruik in de organisatie door functionele trainingen en verbeterende ontwikkelingen te organiseren op basis van de informatiebehoefte in de organisatie. Beiden kennen geen start of stop en is een continue ontwikkeling. De technische kant van het instrument “contractenregister” is ingeregeld. Het contractenregister is ook al deels gevuld. De processen en verantwoordelijkheden t.a.v. het gebruik van het “contractenregister” worden op papier gezet en de informatievoorziening (juistheid en volledigheid) uit het contractenregister structureel zichtbaar toetsen. Inmiddels is een projectgroep gestart. Er loopt op dit moment ook een actie waarin we een overzicht creëren waarin alle bestaande aanbestedingen in kaart worden gebracht. Tevens wordt er geïnventariseerd welke aanbestedingen moeten gaan plaatsvinden. Op basis van bovengenoemde inventarisatie wordt er een opzet gemaakt voor een aanbestedingskalender.

31

Bevinding 4.4.2

Onrechtmatigheid aanbestedingen In 2019 zijn de niet aanbestede inhuuractiviteiten van het IT personeel gecontinueerd. De verwachte omvang van deze inhuur over 2019 is naar schatting € 520.000. Deze inhuur is onrechtmatig en zal worden verwerkt in het rechtmatigheidsoordeel over de jaarrekening 2019. Middels deze managementletter geven wij een ‘early-warning’ af dat zeer waarschijnlijk in 2019 niet op alle onderdelen de Europese aanbestedingsrichtlijnen zijn nageleefd. De gemeente is inmiddels op basis van de opgestelde spendanalyse intern een nader onderzoek gestart inzake de rechtmatigheid voor vier andere dossiers. In aanvulling op dit onderzoek worden ook de lopende onderhoudscontracten beoordeeld. Wij zullen de deze analyse de komende periode met uw organisatie beoordelen en evalueren. Indien de totaal niet Europees aanbestede lasten onze goedkeuringstolerantie (lees materialiteit) overschrijden, zal dit gevolgen hebben voor de strekking van ons rechtmatigheidsoordeel bij de jaarrekening 2019

Wij willen de bedrijfsvoering verder verstevigen. De eerste stap in dat proces is dat het inkoopproces nader onder de loep wordt genomen. De volgende maatregelen worden genomen om onrechtmatige Europese aanbestedingen in de toekomst te voorkomen. • Als onderdeel van de jaarlijkse integrale jaarrekeningcontrole 2019 wordt een spendanalyse voor het gehele jaar opgesteld. Deze analyse wordt expliciet voorgelegd aan de accountant ter toetsing. Deze spendanalyse wordt jaarlijks opgesteld; • Daarnaast gaan we een onderzoek doen naar de organisatie van de inkoopfunctie binnen Heemstede en de mogelijke verbeteringen die hierin kunnen worden doorgevoerd. Tevens wordt bekeken hoe de verantwoordelijke domeinmanagers -met name op de genoemde risicogebiedenondersteund kunnen worden bij de implementatie van de Aanbestedingswet.

Hoog

Gereed In de organisatieaanpassing die in het najaar van kracht wordt, is geregeld dat binnen het team Financieel beleid de regie op de inkoopfunctie wordt belegd. Dat gebeurt door een nieuwe functie te creëren, namelijk de regisseur inkoop voor 0,4 fte. Deze adviseur treedt op als eerste aanspreekpunt voor de stichting RIJK en is verantwoordelijk voor regievoering op de gemeentelijke inkoopfunctie. De regisseur inkoop zorgt dat de inkoopprocessen en verantwoordelijkheden zodanig zijn ingeregeld in de organisatie dat inkoop doelmatig plaatsvindt en ertoe bijdraagt dat binnen de kaders van rechtmatigheid de maximale waarde vanuit de markt verkregen en behouden wordt. Hiermee wordt een regierol vervult naar de verschillende functionarissen in de organisatie die met inkoop bezig zijn en wordt ook een signalerende en bewakende rol ingevuld. Er is een regisseur inkoop aangesteld voor 0,4 fte. Daarnaast wordt met een stuur- en projectgroep gestart om de inkoopprocessen in de organisatie verder te verbeteren. De eerste stap is om in september te inventariseren welke teams/afdelingen/domeinen qua voorlichting de eerste aandacht behoeven. Het is de bedoeling om in het najaar een presentatie/module te geven waarin wordt aangegeven wie wat doet, waarom en wanneer.

32

Verwijzing managementletter 2019

Advies

Bevinding 4.5

Centrale registratie verhuurcapaciteit Verkrijg een centrale registratie van alle contracten en de verhuurcapaciteit

Bevinding 4.6

Fraude- en corruptierisico Geconstateerd is dat een factuur onterecht is geautoriseerd door een functionaris in plaats van de verantwoordelijke budgethouder.

Reactie college

Prioriteit

Status

Dit advies wordt betrokken bij de in gang gezette herziening van alle organisatorische aspecten met betrekking tot beheer van gemeentelijk onroerend goed.

Laag

Opgepakt, nog niet gereed

De factuur is getekend door de budgetbeheerder. Dit is de persoon die ook de opdracht gegeven heeft. De budgethouder gaf aan dat de factuur door hem niet te verwerken was. Op dat moment heeft applicatiebeheer gekeken of dit een technisch probleem was en is deze per ongeluk doorgezet. In de toekomst laten we deze factuur vervallen en wordt de factuur opnieuw door het systeem gehaald.

Middel

Gereed De stappen voor applicatiebeheer zijn: Eerst nakijken wat en waar het probleem ligt (ook meekijken met gebruiker). Absoluut niet goedkeuren. Gaat het fout in het begin van de route dan opnieuw de route toekennen (route overschrijven) zodat de factuur opnieuw aan de budgetbeheerder aangeboden wordt. Gaat het fout met de afbeelding, dan de factuur laten vervallen en de pdf opnieuw aanbieden/opnieuw registreren. Los van deze constatering zullen alle autorisatieprofielen binnen Key2Financiën dit jaar opnieuw beoordeeld, ingericht en toegekend worden.

Verwerk de beheersing van fraude- en corruptierisico’s in de planning- & control cyclus.

Middel

Opgepakt, nog niet gereed

33

Verwijzing managementletter 2019

Advies

Bevinding 4.7

Beheersing tussenrekeningen

Reactie college

Prioriteit

Status

Middel

Opgepakt, nog niet gereed Dit is in 2020 deels opgepakt, maar deels ook niet. De voormalig teamleider financiële administratie had deze taak grotendeels overgenomen van teamleden en er is een deel na zijn vertrek op de afdeling niet duidelijk belegd of proactief zelf opgepakt. De afgelopen maanden lag de focus primair op het wegwerken van opgelopen achterstanden, nu komt er weer ruimte om hier aandacht aan te besteden.

Verwerk de beheersing van tussenrekeningen in de planning- & control cyclus.

Bevinding 4.8

Centrale registratie subsidieaanvragen Registreer centraal subsidieaanvragen, (beslis)termijnen, verstrekkingen en vaststelling.

Middel

Opgepakt, nog niet gereed De planning was om dit systeem in Q4 van 2020 te gaan inregelen en inbouwen in het huidige informatiesysteem. Hieraan voorafgaand zouden we aan de slag gaan met het procesmanagement om het subsidieproces in logische digitale stappen te hebben uitgedacht, voordat we het in het informatiesysteem bouwen. Dit hele proces heeft stilgelegen omdat de afdeling welzijn (de trekker van het proces) en de afdeling informatisering vanaf maart 2020 mede vanwege corona zijn prioriteiten en de oprichting van de GR informatisering elders heeft moeten leggen. We pakken dit najaar het proces weer op.

34

Verwijzing managementletter 2019

Advies

Leg werkinstructies vast ter borging van kennis en beheersing van de processen

Reactie college

Het college kan zich vinden in deze aanbeveling en ziet het als een verdere versteviging van de bedrijfsvoering. In dit kader zijn/worden de volgende acties ondernomen: • De gemeente-breed vastgelegde (financiële) kaders/richtlijnen worden jaarlijks geïnventariseerd en getoetst op actualiteit. Door de accountant wordt ook geconstateerd dat de verordeningen binnen Heemstede up to date zijn; • M.i.v. 2019 worden richtlijnen per P&C product opgesteld ten behoeve van de ambtelijke organisatie en vastgesteld in het MT, in 2020 wordt dit gecontinueerd; • In 2020 (de voorbereidingen zijn inmiddels gestart) gaat het project “Procesmanagement” van start. De essentie is dat werkprocessen worden vastgelegd (voor zover dit nog niet heeft plaatsgevonden) en getoetst worden op efficiency en effectiviteit; Het werken aan een rechtmatigheidsverklaring voor 2021 betekent ook dat werkinstructies en controles binnen afdelingen zichtbaar moeten worden vastgelegd en dossiervorming moet plaatsvinden. Dit zal expliciet worden opgenomen in het Interne Controle Plan 2020.

Prioriteit

Middel

Status

Opgepakt, nog niet gereed

•

Er is een bestuurlijke Langer Termijn Planning, welke periodiek gedurende het jaar wordt geactualiseerd.

•

Is gedaan.

•

Is mede opgenomen in het in mei door het college vastgestelde intern controleplan 2020.

Is verwerkt in het door het college in mei vastgestelde intern controleplan 2020.

35

Verwijzing managementletter 2019 (bijlage)

Advies

Reactie college

Prioriteit

Status

3.3 General IT controls

Wij adviseren de interne controle afdeling om periodiek de effectiviteit van de general IT controls te toetsen. De interne controleafdeling kan dit doen middels afstemming tussen de GRIT, applicatiebeheerder en afdeling P&O over:

Het uitgangspunt is dat onze (financiële) informatiesystemen (met name het financieel systeem, het uitkeringssysteem en het salarissysteem) betrouwbare informatie genereren. Om dit te waarborgen zijn zogenoemde general IT controls noodzakelijk. Een belangrijk IT control is een onderbouwde toekenning (van verschillende rollen) en beheer van de autorisaties. De primaire verantwoordelijkheid hiervoor ligt bij het lijnmanagement. De interne controle afdeling toetst dit. Voor de eindcontrole van de jaarrekening 2018 wordt een nulmeting gemaakt van de stand van zaken m.b.t. de onderbouwing en beheer van de autorisaties en worden zo nodig verbeterpunten geformuleerd.

Hoog

Deels gereed:

De Europese aanbesteding is in maart 2019 in een afrondende fase beland. Op 4 maart zijn er drie rechtsgeldige inschrijvingen ontvangen. Deze worden o.b.v. vooraf gedefinieerde gunningscriteria beoordeeld door een beoordelingsteam van 4 personen. Op 20 maart worden de vier beoordelingen afgestemd in een concensusmeeting. Vervolgens wordt het gunningsbesluit op 2 april vastgesteld door het college van Heemstede (centrumgemeente) en voor akkoord vastgesteld

Midden

4.3.2. Outsourcing (2018)

•

Personeelsmutaties (functiewijzigingen, in- en uitdienst) -> hebben bijvoorbeeld de juiste personen, met de juiste rechten toegang tot applicaties;

•

Nieuwe releases in de applicatie -> zijn bijvoorbeeld alle nieuwe releases geïmplementeerd;

•

Back-up resultaten -> zijn back-ups gemaakt overeenkomstig de geldende voorwaarden binnen de gemeente.

Stel ten behoeve van de interne beheersing van de outsourcing van systeembeheer voorafgaand een plan van aanpak op, waarin aandacht onder andere aandacht is voor onderstaande punten: •

Informatielandschap van de gemeente, waarin een volledig overzicht is opgenomen van welke systemen, netwerken en databases gebruik wordt gemaakt.

Toekennen van verantwoordelijkheden binnen de gemeente inzake het toezicht houden op de

De aanbeveling is meegenomen in het intern controleplan 2020. Er zal een controleprogramma IT ontwikkeld worden in het najaar 2020, waarna vanaf 2021 gestart zal worden met het uitvoeren van steekproeven.

Gereed Er is samen met de outsourcepartner een Service Level Agreement (SLA) samengesteld waarin alle afspraken op hoofdlijnen zijn afgesproken. Tevens is er een Dossier Afspraken en Procedures (DAP) samengesteld. Het DAP beschrijft alle operationele afspraken. Elke maand krijgen wij een Service Level Rapportage (SLR) waarin wij kunnen controleren af alle afspraken worden nagekomen en kan er op basis van SLR worden gestuurd door de regie

36

Verwijzing managementletter 2019 (bijlage)

4.4 Contractmanagement (2018)

Advies

Reactie college

activiteiten van de serviceorganisatie aan wie het systeembeheer is uitbesteed.

in het college van Bloemendaal. Daarna gaat deze besluiten ook ter kennisname aan de Raad of ter besluitvorming als blijkt dat sprake is van structurele budgetverhoging. Dit kan pas worden bepaald als begin maart de offertemodellen van de drie partijen zijn beoordeeld.

Organiseer het contractbeheer centraal en voer het uiteindelijke contractmanagement (proces afsluiten contracten etc.) uit in de lijn, waarmee uiteindelijk een totaaloverzicht gerealiseerd kan worden.

Het contractbeheer wordt geïmplementeerd in het zaaksysteem Mozard. Het proces is ontworpen zodat contracten vanuit de lijn kunnen worden bewaakt. De lijn wordt tijdig actief gesignaleerd indien een contract gaat verlopen. Dit proces is klaar voor gebruik. Vanaf 1 april 2019 wordt Mozard door de hele organisatie in gebruik genomen. Vanaf dat moment worden ook alle nieuwe contracten in Mozard vastgelegd. Er is formatie beschikbaar in de vorm van een contractbeheerder die de lijn kan signaleren, ondersteunen en adviseren. Tegelijkertijd vindt een update plaats van de inventarisatie van de huidige contracten. Deze worden ook in Mozard vastgelegd indien ze doen aan een aantal criteria met betrekking tot omvang en duur.

Prioriteit

Status

organisatie. Kopie van het DAP, SLA en de SLR zijn beschikbaar

Hoog

Gereed Het contractenregister in Mozard is in productie en gebruik. Informatisering is verantwoordelijk voor het correcte gebruik in de organisatie door functionele trainingen en verbeterende ontwikkelingen te organiseren op basis van de informatiebehoefte in de organisatie. Beiden kennen geen start of stop en is een continue ontwikkeling. De technische kant van het instrument “contractenregister” is ingeregeld. Het contractenregister is ook al deels gevuld. De processen en verantwoordelijkheden t.a.v. het gebruik van het “contractenregister” worden op papier gezet en de informatievoorziening (juistheid en volledigheid) uit het contractenregister structureel zichtbaar toetsen. Inmiddels is een projectgroep gestart. Er loopt op dit moment ook een actie waarin we een overzicht creëren waarin alle bestaande aanbestedingen in kaart worden gebracht. Tevens wordt er geïnventariseerd welke

37

Verwijzing managementletter 2019 (bijlage)

Advies

Reactie college

Prioriteit

Status

aanbestedingen moeten gaan plaatsvinden. Op basis van bovengenoemde inventarisatie wordt er een opzet gemaakt voor een aanbestedingskalender.

4.5 Memoriaalboekingen (correctieboekingen) (2018)

Wij adviseren om voor memoriaalboeking autorisaties in te richten in Key2 Financiën, opdat wordt afgedwongen dat bevoegde functionarissen de memoriaalboekingen autoriseren.

In eerste instantie zijn er alleen bevoegden binnen het team Financieel beheer. De overige gebruikers hebben geen mutatierechten op memoriaalboekingen. Correctieboekingen vinden plaats binnen het financiële pakket. De opdracht voor de boeking kan wel afkomstig zijn van een andere afdeling. In verband met de overgang van een aantal processen van Financieel beleid naar Financieel beheer is een aantal memoriaalboekingen nog door een financieel beleidsmedewerker gedaan. Vanaf 1 januari 2019 worden die rechten bij de financieel beleidsmedewerkers weggehaald.

Midden

Deels gereed Administratieve organisatie is ingericht dat alleen bevoegd functionarissen memoriaalboeking kunnen verwerken. De inrichting van processen dwingt nog geen dubbele autorisatie af op memoriaalboekingen.

Op 1 financieel beleidsmedewerker na zijn de rechten weggehaald. Een medewerker heeft deze rechten voor dit jaarrekeningtraject nog behouden onder andere in verband met het verwerken van btwposten. Deze medewerker heeft daarnaast incidenteel nog enkele memorialen geboekt. 4.7 Jaarrekening

Wij adviseren om jaarlijks te evalueren of de voordelen van het opstellen van de jaarrekening in Excel nog

De jaarrekening wordt opgesteld in het financieel systeem. De jaarstukken ten behoeve van de raad

Laag

In ontwikkeling De gemeente inventariseert op welke wijze het proces op

38

Verwijzing managementletter 2019 (bijlage)

Audit commissie Vraag 1: Bij de controle 2017 zijn er fouten geconstateerd ten aanzien van de Europese aanbestedingen. Is het inkoopproces en de daarbij behorende procedures voldoende ingericht ter voorkoming van onrechtmatighede n?

Advies

Reactie college

opwegen het opstellen van de jaarrekening in een jaarverslaggevingspakket.

worden opgesteld in Excel. De cijfers hiervoor komen uit het financieel systeem. Het alternatief is dat een nieuw softwarepakket wordt aangeschaft om de jaarstukken op te stellen. Dit brengt kosten met zich mee. We onderzoeken op welke wijze het proces op beste wijze kan worden ondersteund.

Wij adviseren u om de workshop periodiek te organiseren en om de te onderzoeken of in Key2 Financiën de ontwikkelde toolkit opgenomen en verplicht afgedwongen kan worden.”

Periodiek zullen, in navolging van de geslaagde workshop van 3 oktober 2018., samen met het regionaal inkoopbureau stichting Rijk workshops inkopen & aanbesteden worden georganiseerd. De toolkit inkopen & aanbesteden is voor iedere medewerker beschikbaar op het intranet en op het gebruik hiervan zal door het lijnmanagement actief worden gestuurd.

Prioriteit

Status

beste wijze kan worden ondersteund.

Hoog

Deels gereed De gemeente heeft preventieve beheersingsmaatregelen getroffen door een voorafgaand aan het begrotingsjaar een inkoopplan te maken voor aanbestedingstrajecten. De gemeente heeft met presentaties over het aanbestedingsbeleid aan budgethouders bewustwording bij hen gecreëerd. Gedurende het begrotingsjaar kunnen inkopen worden gedaan die niet zijn opgenomen in het inkoopplan. Middels het bijhouden van een contractenregister heeft Stichting Rijk preventief inzichtelijk welke aanbestedingstrajecten in de toekomst gaan lopen.

39