Raadsbrief 2020 Deloitte

Gemeente Heerenveen Raadsbrief 2020

Deloitte Accountants B.V. Sophialaan 24-26 8911 AE Leeuwarden Postbus 826 8901 BP Leeuwarden Nederland Tel: 088 288 2888 Fax: 088 288 9877 www.deloitte.nl

Aan de gemeenteraad van de gemeente Heerenveen T.a.v. mevrouw L. Roest-Jonkers, raadsgriffier Postbus 15000 9440 GA HEERENVEEN Datum 10 maart 2021 Onderwerp Raadsbrief 2020 Kenmerk 21035C1812/MVO

Geachte leden van de gemeenteraad, Wij hebben conform onze opdrachtbevestiging d.d. 9 oktober 2020, als onderdeel van de controle van de jaarrekening 2020, de interim-controle voor de gemeente Heerenveen uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. In deze rapportage wordt u geïnformeerd over de hoofdlijnen van onze bevindingen, waarbij wij, waar nodig, aanbevelingen hebben opgenomen om u te ondersteunen. Deze raadsbrief is bedoeld om u, vanuit onze rol, tussentijds te informeren over zaken die van belang zijn voor uw toezichthoudende en controlerende taak. Graag lichten wij deze rapportage en onze bevindingen en aanbevelingen nader aan u toe. Hoogachtend, Deloitte Accountants B.V.

drs. H. Kuperus RA

Op alle opdrachten verricht door Deloitte, behoudens M&A Diensten, zijn de ‘Algemene Voorwaarden Dienstverlening Deloitte Nederland, januari 2020’ gedeponeerd bij de Kamer van Koophandel onder nummer 24362837 van toepassing. Deloitte Accountants B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te Rotterdam onder nummer 24362853. Deloitte Accountants B.V. is a Netherlands affiliate of Deloitte NSE LLP, a member firm of Deloitte Touche Tohmatsu Limited.

Inhoudsopgave Contact De volgende personen beantwoorden graag uw vragen over deze rapportage: De heer drs. H. Kuperus RA Director 088 288 0212 DKuperus@deloitte.nl

1. Onze boodschap

4

Bijlagen Bijlage A: Reikwijdte van onze werkzaamheden

9

Bijlage B: Bevindingen

10

De heer A.M.O. van Bolhuis MSc Manager 088 288 3766 Avanbolhuis@deloitte.nl

21035C1812/MVO/3

1. Onze boodschap Algemeen beeld van de gemeente Heerenveen U heeft ons als raad de opdracht gegeven om de jaarrekeningcontrole van uw gemeente uit te voeren. Een onderdeel van onze controle betreft de interimcontrole, waarbij wij op basis van gesprekken met sleutelfunctionarissen en onderbouwende documentatie de interne beheersing en risicobeheersing van gemeente Heerenveen beoordelen. Voor een nadere duiding van de reikwijdte van onze werkzaamheden verwijzen wij naar bijlage A. In overeenstemming met onze risico-inschatting, hebben wij de implementatie en/of de effectieve werking van de naar onze mening belangrijkste beheersingsmaatregelen beoordeeld voor de periode die loopt van januari 2020 tot en met september 2020 met betrekking tot de volgende processen: • Grondexploitatie • Inkopen en betalingen • Europees aanbesteden • Plaatselijke belastingen en heffingen (PLBH) • Uitkeringen • Wmo • Jeugdzorg • Subsidieverstrekkingen • Personeel/salaris • Het proces van financiële verslaggeving inclusief memoriaalboekingen Wij zijn van mening dat de interne beheersing van uw organisatie van voldoende niveau is, voor zover we dat beoordelen in het licht van onze opdracht om de jaarrekening te controleren.

Onze hoofdboodschap aan de gemeente De basis voor onze controle is het auditplan 2020 dat met de auditcommissie is besproken. In deze raadsbrief geven wij u inzicht in de (ontwikkeling van de) interne beheersing van de gemeente Heerenveen. Wij hebben tijdens onze interimcontrole de procesrisico’s onderzocht, en ons primair gericht op de opzet, het bestaan en (waar mogelijk) de werking van de interne beheersingsmaatregelen, voor zover relevant voor de controle van de jaarrekening 2020. Samenwerking met de gemeente Wij kijken met een goed gevoel terug op de samenwerking met de ambtelijke organisatie. Dit jaar hebben wij gezamenlijk weer stappen gezet in de communicatie en is een verdere focus aangebracht op de relevante (risico)gebieden. Er zijn duidelijke afspraken gemaakt en heldere communicatielijnen afgesproken. Bij de start van de interim-controle zijn wij (wederom) geconfronteerd met de gevolgen van COVID-19, wat invloed heeft gehad op de manier van werken en samenwerken. Dit betekent dat wij gedurende de interim-controle volledig digitaal en op afstand werkten, met dagelijkse digitale teammeetings en met het digitaal aanleveren en uitwisselen van controle- informatie. Wij zijn tevreden met hoe de (digitale) samenwerking is verlopen.

Impact COVID-19 De coronacrisis en de onzekerheden die daarbij horen zorgen ervoor dat 2020 een wezenlijk ander jaar is geweest en zal zijn dan andere jaren. Het heeft veel impact op de inwoners, bedrijven, instellingen en verenigingen van de gemeente Heerenveen, maar ook op de financiële positie van uw gemeente. Er zijn minder inkomsten en veel meer uitgaven. Daarnaast is er onzekerheid over de bijdragen van het Rijk.

21035C1812/MVO/4

Dat geldt zowel voor de uiteindelijke compensatie van gemeenten als de structurele wijzigingen die - los van de coronamaatregelen - nodig zijn om lokale overheden op een goede manier hun werk te laten doen. De coronacrisis vraagt hierdoor extra aandacht van uw medewerkers voor de financiële sturing en verantwoording van de (nieuwe) geldstromen en de gevolgen ervan voor het verwachte resultaat en de benodigde financiering van de gemeente. Uw gemeente houdt de situatie rondom het coronavirus nauwlettend in de gaten. Ten tijde van de interim-controle hebben we geconstateerd dat de gemeente in september een geactualiseerde impactanalyse heeft opgesteld welke in oktober met de raad is gedeeld. De impactanalyse is opgedeeld in zogenoemde ‘opgaven’ en per opgave is de impact weergegeven en de genomen maatregelen. Naast voorgaande heeft de gemeente tevens in oktober een side letter met de raad gedeeld waarin de belangrijkste risico’s (corona-risico’s en reguliere risico’s) zijn beschreven en de impact hiervan op het weerstandsvermogen. De gemeente gaat in maart/april de risico-inventarisatie updaten naar de huidige stand van zaken en door middel van een side letter delen met de raad. Naar onze mening is deze werkwijze passend om tussentijds de gevolgen van de coronacrisis te kunnen blijven monitoren en te rapporteren richting de raad.

Wij blijven met de gemeente in gesprek om de gevolgen te kunnen blijven monitoren en de inhoud van de impact - en risicoanalyse ten behoeve van de jaarrekening af te stemmen. Naast de nieuwe Tozo - regeling (zoals toegelicht op de volgende pagina) onderkennen wij voor de jaarrekeningcontrole aandachtspunten voor de inbaarheid van leningen, verstrekte garantstellingen, de gemaakte prestatieafspraken bij de subsidies en de verstrekte continuïteitsbijdrage aan zorgaanbieders bij de WMO en Jeugdzorg. Tozo-Regeling Vanwege COVID-19 en de bijbehorende maatregelen is er financiële druk ontstaan op zelfstandigen. In dit kader heeft de regering de Tozo-regeling in het leven geroepen. De uitvoering van deze regeling is door de gemeente Heerenveen belegd bij de gemeente Leeuwarden. Wij adviseren u om specifieke afspraken te maken met de gemeente Leeuwarden ten behoeve van het verantwoorden van deze middelen, zodat de gemeente Heerenveen kan voldoen aan haar rapporteringsverplichtingen.

De nieuwe Tozo-regeling als gevolg van COVID-19 dient de gemeente in de SiSa-bijlage te verantwoorden. Wij zullen als controlerend accountant van uw gemeente hiervoor ook in contact treden met de controlerend accountant van de gemeente Leeuwarden en auditinstructies versturen, met als doel het ontvangen van voldoende controlebewijs in het kader van het controleren van de rechtmatige besteding van deze middelen. Sociaal domein - interne controle in de lijn Voorgaande jaren hebben wij u gewezen op het ontbreken van een zichtbare inhoudelijke toetsing op de toewijzing van uitkeringen en de toekenning van zorg en/of voorzieningen bij de WMO en Jeugdzorg. De gemeente heeft in eerdere jaren aangegeven bezig te zijn met het ontwikkelen van controles in de lijn om daarmee tijdig fouten te ontdekken en tijdig bij te sturen. Ten tijde van de interim-controle hebben wij geconstateerd dat de controles in het proces nog niet zijn geïmplementeerd. Wij blijven van mening dat het van belang is om deze controles in het proces te implementeren, zodat fouten en onrechtmatigheden in het proces tijdig worden ontdekt en daarmee worden voorkomen. Omdat wij dit aandachtspunt al enige jaren rapporteren, en het implementeren geen kwestie zou moeten zijn van jaren, vragen wij deze aanbeveling zo snel mogelijk op te volgen.

De gemeente heeft aangegeven de opvolging van deze bevindingen als prioriteit te bestempelen voor 2021. Grondexploitatie De gemeente heeft tijdens de interim-controle aangegeven dat op dit moment een extern behoefteonderzoek wordt uitgevoerd in opdracht van de provincie Fryslân specifiek voor bedrijventerreinen. De verwachting is dat het concept-rapport eind november 2020 beschikbaar is en eind 2020/begin 2021 het definitieve rapport. Wij willen opmerken dat de gemeente Heerenveen zelf voldoende grip op en inzicht moet hebben in de marktontwikkelingen en op de behoefte. Juist in deze onzekere tijden vanwege COVID-19 is het van belang dat de verwachte programmering en planning onderbouwd zijn met een gedegen onderzoek. De gemeente onderschrijft dit standpunt en heeft aangegeven de volgende stappen te doorlopen.

21035C1812/MVO/5

Bij ontvangst van het rapport vanuit provincie gaat de gemeente beoordelen of de resultaten van het onderzoek voldoende onderbouwing leveren voor de programmering van de bedrijventerreinen, hoofdzakelijk voor de exploitatie IBF. Daarnaast wordt op dit moment aan de accountmanagers van de gemeente gevraagd wat de status is van de gereserveerde kavels voor de exploitatie IBF en of dit gaat leiden tot een toekomstige verkoop. Als het voorgaande te weinig onderbouwing geeft voor de planning en programmering van de bedrijventerreinen gaat de gemeente een extern bureau de opdracht geven een aanvullend onderzoek uit voeren naar de programmering van de bedrijventerreinen, de (mogelijke) impact door COVID-19 is hier onderdeel van. De gemeente gaat op korte termijn informeren bij het externe bureau wat de mogelijkheden zijn voor dit onderzoek en wat de gemeente als resultaat van het (mogelijke) onderzoek kan verwachten. Wij blijven met de gemeente de komende maanden in gesprek over de uitkomsten van het behoefteonderzoek van de provincie en de vervolgstappen. IT-omgeving Het primaire doel van een controle van de jaarrekening is om een verklaring af te geven bij die jaarrekening. Voor deze doeleinden inventariseren wij de IT-omgeving, risico’s en (significante) tekortkomingen op de volgende drie gebieden: •

• •

Toegangsbeveiliging: beheersingsmaatregelen die ervoor zorgen dat alleen bevoegde personen toegang hebben tot de IT-systemen en alleen voor zover deze toegang nodig is voor het uitvoeren van de werkzaamheden uit hun taakomschrijving. Systeemverandering: beheersingsmaatregelen die ervoor zorgen dat alle veranderingen in het IT-systeem moeten worden geautoriseerd en die ervoor zorgen dat de veranderingen effectief getest zijn voor de implementatie. Datacentrum en netwerkactiviteiten: beheersingsmaatregelen die ervoor zorgen dat centrale IT-activiteiten ingepland en gemonitord worden, dat de data kunnen worden hersteld in het geval van falen van het systeem en dat de fysieke toegang tot de IT-systemen effectief beveiligd is.

Als onderdeel van onze jaarrekeningcontrole verkrijgen wij inzicht in de IT-omgeving, risico’s en (significante) tekortkomingen.

De lange termijndoelstelling van zowel de gemeente als van ons is om te steunen op de IT-omgeving en op de relevante application controls van de gemeente zodat een effectievere controle (zowel intern als extern) uitgevoerd kan worden. In 2019 hebben wij de opzet en het bestaan van de GITC’s voor de applicaties Key2Financiën (financiële administratie) en Suite voor Sociaal Domein (zorgadministratie sociaal domein) beoordeeld. De bevindingen en aanbevelingen hebben wij gerapporteerd in het accountantsverslag 2019. In 2020 gaan wij, naast het beoordelen van de (mogelijke) opvolging van de bevindingen van voorgaand jaar, samen met de gemeente een volgende stap zetten. Om met elkaar inzicht te krijgen of het mogelijk is om te groeien naar een volledige IT realiance gaan wij dit jaar voor één proces/applicatie binnen Key2Financiën de opzet, het bestaan en de werking testen voor één kwartaal. Het proces betreft de indiensttreding, doorstroom en uitdiensttreding van personeel in de betreffende applicatie. De resultaten delen wij tijdig met de ambtelijke organisatie en rapporteren wij in het accountantsverslag 2020. Onze werkzaamheden met betrekking tot fraude Van de accountant wordt op grond van de regels van de beroepsorganisatie NBA een professioneel-kritische houding verwacht ten aanzien van afwijkingen van materieel belang als gevolg van fraude.

Ter invulling van deze professioneelkritische houding zal de accountant een inschatting moeten maken van de frauderisico’s, zich een beeld moeten vormen van de maatregelen van interne beheersing die de organisatie heeft getroffen om mogelijke fraudes van materieel belang te voorkomen en moeten bezien of deze maatregelen effectief zijn. Wanneer sprake is van een aanwijzing voor fraude, zal de accountant dit moeten communiceren met, afhankelijk van de aard van de fraude, de direct leidinggevende, het college en, in sommige gevallen (fraude in de top van de organisatie) en wanneer onvoldoende herstelwerkzaamheden worden ondernomen, de gemeenteraad. Om invulling te geven aan de eerdergenoemde verplichting hebben wij een fraudediscussie gevoerd binnen het controleteam en met vertegenwoordigers van uw gemeente, waarbij wij de nadruk hebben gelegd op de eventuele mogelijkheden van materiële onjuistheden als gevolg van fraude in relatie tot de jaarstukken en op preventieve maatregelen daarbij. 21035C1812/MVO/6

Daarnaast gaan wij bij de jaarrekeningcontrole zelfstandig werkzaamheden uitvoeren die erop gericht zijn om de eventuele gevolgen van het risico van het ‘omzeilen’ van de interne beheersingsmaatregelen door het management te detecteren. Hoewel wij, zoals hiervoor beschreven, een kritische houding hebben ten opzichte van risico’s van fraude, merken wij op dat onze controle niet specifiek gericht is op het ontdekken van fraude. Frauderisico’s bij de jaarrekeningcontrole De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude berust bij de gemeenteraad en het college. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Ten tijde van de interim-controle hebben wij geconstateerd dat de gemeente de frauderisicoanalyse voor 2020 heeft geactualiseerd. In de frauderisicoanalyse zijn de frauderisico’s beschreven, de bestaande beheersmaatregel en (indien van toepassing) het mogelijke restrisico. De frauderisicoanalyse is onderdeel van een groter geheel bij gemeente Heerenveen, namelijk Fraudebeheersing en - Bestrijding (FBB).

De gemeente is op dit moment bezig om de FBB verder op te zetten en heeft als doel te kunnen beoordelen in hoeverre de organisatie en haar medewerkers, procedures en (digitale) processen fraudebestendig zijn. Onze controle is opgezet om een redelijke mate van zekerheid te verkrijgen dat de jaarrekening als geheel geen afwijkingen van materieel belang bevat als gevolg van fraude of fouten, maar richt zich niet specifiek op het ontdekken van fraude. Op basis van onze uitgevoerde interim-werkzaamheden hebben wij geen aanpassingen aangebracht in onze initiële frauderisicoanalyse die is opgenomen in onze controleaanpak.

21035C1812/MVO/7

Bijlagen

21035C1812/MVO/8

Bijlage A - Reikwijdte van onze werkzaamheden Opdracht en reikwijdte controle Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van een controleopdracht dat wij daarmee voldoende en geschikte controle-informatie verkrijgen voor het door ons af te geven oordeel over de jaarrekening van 2020, teneinde vast te stellen dat deze een getrouw beeld geeft van de financiële positie van gemeente Heerenveen, met inachtneming van de voorschriften uit het Besluit begroting en verantwoording provincies en gemeenten. Een jaarrekeningcontrole heeft niet als doel om enige zekerheid te geven over de kwaliteit van de interne organisatie. De jaarrekeningcontrole bestaat uit een combinatie van controlewerkzaamheden, waaronder een risicoanalyse, analytische procedures, detailcontroles en het testen van de interne controle die is gerelateerd aan en relevant is voor de controle. Wij richten ons hierbij alleen op de interne controleomgeving die relevant is voor ons oordeel over de jaarrekening. Dit rapport is gebaseerd op onze interim werkzaamheden in het kader van de jaarrekeningcontrole 2020. Onze controlewerkzaamheden strekken niet verder dan noodzakelijk om een oordeel af te geven over de jaarrekening van 2020. De controle is daarom primair gericht op de aandachtsgebieden die door de accountant als relevant zijn beoordeeld voor de jaarrekeningcontrole.

Daarnaast is onze controle niet specifiek gericht op het ontdekken van fraude. Indien wij aangesteld zouden zijn om fraudeonderzoek uit te voeren, zouden wij wellicht additionele bevindingen en observaties hebben gerapporteerd dan nu zijn opgenomen in deze raadsbrief.

21035C1812/MVO/9

Bijlage B - Bevindingen Onderstaande tabel geeft een overzicht van onze controle bevindingen. Van elke bevinding hebben wij geëvalueerd of deze bevinding significant is voor onze controle. Een significante bevinding houdt in dat dit ofwel leidt tot een frauderisico ofwel tot een verhoogde kans op een materiële fout in de jaarrekening.

21035C1812/MVO/10

De naam ‘Deloitte’ verwijst naar één of meer van de volgende rechtspersonen: Deloitte Touche Tohmatsu Limited, een in Groot-Brittannië gevestigde ‘private company limited by guarantee’, en ieder van de memberfirms die deel uitmaken van haar netwerk. Elk van deze rechtspersonen vormt een juridisch afzonderlijke en onafhankelijke entiteit. Zie www.deloitte.com/about voor een gedetailleerde beschrijving van de rechtsvorm van Deloitte Touche Tohmatsu Limited en haar memberfirms. Deloitte is met ongeveer 5.000 medewerkers en kantoren in heel Nederland de grootste organisatie op het gebied van accountancy, belastingadvies, consultancy en financiële advisering. Deloitte Nederland is een onafhankelijke memberfirm van Deloitte Touche Tohmatsu, met 225.000 medewerkers en vestigingen in meer dan 150 landen. © Deloitte 2021. All rights reserved.

21035C1812/MVO/11