D07 College, raadsbrief Managementletter HLTsamen 2020.pdf

Raadsbrief Managementletter HLTsamen 2020 aan: de auditcommissie van de gemeente Hillegom datum: 18 maart 2021 zaaknummer: Z-21-168374 / Ter informatie Managementletter 2020 datum collegevergadering: portefeuillehouder: Dhr. A. de Jong behandelend ambtenaar: T. Poppe embargo: ☐ Inhoud mededeling Ter voorbereiding op de jaarrekening controle voert de accountant (Baker Tilly) jaarlijks een interim controle uit. Doel van deze controle is het verkrijgen van inzicht in de belangrijkste processen met financieel belang. Hierbij wordt met name gelet op de opzet en het bestaan van interne maatregelen die mogelijke risico’s binnen die processen beheersen. De mate waarin de organisatie de risico’s binnen de processen beheerst, vormt een belangrijk uitgangspunt bij het uitvoeren van de jaarrekening controle. De bevindingen en aanbevelingen vanuit de interim controle zijn gerapporteerd in de managementletter HLTsamen 2020. Hierin wordt zichtbaar dat we afgelopen periode hebben ingezet op grip op geld. De basis komt steeds meer op orde. Ook de accountant geeft aan dat zij daardoor kritischer heeft gekeken naar onze organisatie. We waarderen deze kritische blik. Dit past bij de professionele organisatie die we willen zijn.

Kijkend naar 2021 willen we onze organisatie verder verbeteren op gebied van urenverantwoording, verplichtingenadministratie, budgetbeheer, risicomanagement, liquiditeitsprognoses en een vastgoedinformatiesysteem. In de Managementletter is beschreven dat het aantal bevindingen ten opzichte van 2019 is toegenomen. De nieuwe bevindingen in 2020 betreffen alle bevindingen welke naar voren zijn gekomen in 2020, maar welke feitelijk al langer aanwezig zijn binnen de organisatie. Doordat er verbeteringen zijn gemaakt in de processen, zijn dit jaar de processen kritischer gecontroleerd waardoor deze bevindingen aan het licht zijn gekomen. Het college stelt hierbij de managementletter HLTsamen 2020 voor kennisgeving beschikbaar aan de auditcommissie en geeft daarbij de suggestie mee om de managementletter in een gezamenlijke vergadering van auditcommissies Hillegom, Lisse en Teylingen te behandelen. Het bestuur van HLTsamen heeft de accountant toestemming verleend om een toelichting te geven op de managementletter HLTsamen 2020 in de (gezamenlijke auditcommissie(s).

Burgemeester,

Gemeentesecretaris,

A. van Erk

C.B. Baauw

Bijlage: Managementletter HLTsamen 2020

Management letter HLTsamen Boekjaar 2020

05/02/2021

© Baker Tilly

1

Vertrouwelijk Aan het bestuur van HLTsamen Hoofdstraat 114 2181 EC HILLEGOM Den Haag, 5 februari 2020

Geacht bestuur, Als onderdeel van de controle van de jaarrekening 2020 van HLTsamen en de deelnemende gemeenten Hillegom, Lisse en Teylingen die hiervan gebruik maken, hebben wij de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing beoordeeld, teneinde onze controlewerkzaamheden in overeenstemming met Nederlands recht waaronder de controlestandaarden te kunnen bepalen. De opzet en het bestaan van de interne beheersingsmaatregelen van de belangrijkste processen, inclusief de geautomatiseerde gegevensverwerking, zijn beoordeeld, zodat we een terugkoppeling kunnen geven over de betrouwbaarheid van de interne informatievoorziening en de jaarrekening. Onze bevindingen zijn gebaseerd op de normale werkzaamheden in het kader van de jaarrekeningcontrole. Deze brief bevat daardoor niet alle onvolkomenheden in HLTsamen en de deelnemende gemeenten, die bij een eventueel uitgebreid en hierop specifiek gericht onderzoek naar voren zouden kunnen komen. Zoals u zult begrijpen, is de managementletter van nature kritisch. Wij rapporteren over de eventuele leemtes of mogelijkheden ter verbetering van de financiële processen, de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing.

Wij geven in deze managementletter aan op welke wijze verbeteringen van de administratieve organisatie en de daarin opgenomen maatregelen van interne beheersing kunnen worden gerealiseerd. De aanbevelingen en oplossingsrichtingen zoals beschreven in deze managementletter bieden u handvatten voor deze uitwerking. Deze managementletter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken u en uw medewerkers voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting. Hoogachtend, Baker Tilly (Netherlands) N.V.

drs. J.M.A. Drost RA Partner Audit

2

1. Management samenvatting

4

2. Aandachtspunten 2020

10

3. Bevindingen IT-beheersing

13

4. Voorbereiding rechtmatigheids-

Inhoudsopgave

verantwoording

19

Bijlage 1 Detailbevindingen

24

Bijlage 2 Toelichting IT-beheersing

35

3

1. Management samenvatting

4

1. Management samenvatting Inleiding Inleiding Het kalenderjaar 2020 zal de geschiedenisboeken ingaan als een bewogen jaar waarin de COVID-19 pandemie de dagelijkse gang van zaken domineert. Het feit dat we een crisis van deze omvang in de recente historie nog niet eerder hebben meegemaakt als ook de onbekende duur, leidt tot onzekerheden en onduidelijkheden. De crisis heeft niet alleen een financiële impact – COVID-19 heeft geleid tot het grootste landelijke begrotingstekort ooit - maar ook een belangrijke operationele impact. Ambtenaren zijn lange tijd niet op het gemeentehuis aanwezig geweest, overleggen zijn uitgesteld, crisismaatregelen hebben er toe geleid dat uw reguliere beleid wellicht op taken op het tweede plan is gekomen. Ook financieel gezien voelt u in 2020 en vermoedelijk ook verder, de impact van COVID-19. Daarbij valt te denken aan hogere lasten, lagere baten, onzekerheden in de omvang van steunmaatregelen en vraagstukken omtrent de rechtmatigheid van al deze componenten. Deze zaken hebben hun weerslag op uw planning & controlcyclus en daarmee ook het proces van de jaarrekeningcontrole en de daarvoor afgesproken deadlines. Partijen waar u van afhankelijk bent voor de informatievoorziening ten behoeve van het opstellen en onderbouwen van de jaarstukken leveren mogelijk later aan.

Wij hebben geconstateerd dat HLTsamen in haar monitoringrapportage hier al op inspeelt. Wij adviseren u tijdig een inventarisatie te maken welke gevolgen Corona op uw interne planningsproces aangaande de jaarrekening heeft en in welke mate u daarin afhankelijk bent van informatie vanuit derden, zoals zorgaanbieders (via ISD en TWO Holland Rijnland). Op basis van deze analyse is het zorg om vast te stellen of de bestuurlijke planning van het jaarrekeningproces haalbaar is.

Algemene indruk De bevindingen in deze management letter zijn gebaseerd op basis van de bevindingen van de interne controle en onze eigen waarnemingen en lijncontroles. Wij constateren dat HLTsamen actief aan de slag is gegaan met eerder door ons gerapporteerde bevindingen. Een belangrijke verbetering hierbij is het toereikend inrichten van het betaalproces. Vanaf 2020 zijn de hierin opgenomen beheersmaatregelen toereikend ingericht zodat op het proces gesteund kan worden. Door de verbeteringen in de processen, hebben wij dit jaar de mogelijkheid gehad om de processen diepgaander te controleren. Hierdoor zijn nieuwe bevindingen aan het licht gekomen. Verder merken wij op dat de medewerkers van HLTsamen actief de communicatie met ons als accountant zoeken, zodat er vooraf afstemming is over de interpretatie van regelgeving, effecten van belangrijke gebeurtenissen. Deze afstemming past volledig in onze visie waarbij overleg vooraf er voor zorgt dat verassingen achteraf in het jaarwerkproces worden voorkomen. Wij zijn echter ook van mening dat de kwaliteit van de interne beheersmaatregelen binnen HLTsamen (en ten behoeve van de deelnemende gemeenten) nog ruimte is voor verbetering.

Het is voor ons nog niet mogelijk om volledig te steunen op de interne beheersingsmaatregelen, omdat de interne beheersmaatregelen onvoldoende in opzet en/of niet zichtbaar vastgelegd of uitgevoerd worden.

Aandachtspunten controle 2020 Wij identificeren een aantal aandachtspunten voor de jaarrekeningcontrole 2020. Naast de aandachtspunten die voortvloeien uit onze reguliere risicoanalyse en interim-controle, zien deze ook toe op de gevolgen van COVID-19 op de interne beheersing, Tozo (Tijdelijke overbruggingsregeling zelfstandig ondernemers), recht op zorg, prestatielevering inkopen, vaststelling subsidies en de voorbereiding op de rechtmatigheidsverantwoording. Deze belangrijkste aandachtspunten lichten we verderop in dit verslag uitgebreid toe. Over de specifieke aandachtspunten van de auditcommissie rapporteren wij in het accountantsverslag van de gemeente. 5

1. Management samenvatting Inleiding Risicoanalyse Onze risicoanalyse richt zich op een betrouwbare totstandkoming van de jaarrekening van HLTsamen en de deelnemende gemeenten. Dit betekent dat wij niet alle risico’s die voor u relevant zijn in onze controle meenemen. De risicoanalyse is een continue proces en stellen wij gedurende de controle indien nodig bij. De belangrijkste bij HLTsamen en de deelnemende gemeenten onderkende risico’s / kernpunten in de controle zijn: − De impact van Covid-19 op de beheersmaatregelen op de bedrijfsvoering worden niet toereikend beheerst. − Risico op onjuiste waardering van actieve en facilitaire grondexploitatieprojecten. − Risico op ten onrechte niet uitvoeren van EU-aanbestedingen. − Verantwoording in het kader van de Wet Normering Topinkomens (WNT). − Risico dat het management van de organisatie de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij uw organisatie met name toe op de schattingsposten in de grondexploitatie en voorzieningen. In ons verslag van bevindingen rapporteren wij naar aanleiding van de jaarrekeningcontrole over bovenstaande punten.

Administratieve Organisatie en Interne Beheersing Voorgaand jaren hebben wij tijdens onze besprekingen met u diverse aanbevelingen benoemd ter verdere optimalisering van de bestaande administratieve organisatie. In deze management letter geven wij u een schriftelijke update van onze bevindingen omtrent de interne beheersing. Deze rapportage bevat de (significante) bevindingen en opmerkingen met betrekking tot de administratieve organisatie en interne beheersing. Tijdens de interim-controle is aandacht besteed aan de volgende processen: − Inkopen en aanbestedingen − Betalingen − Lonen en salarissen − Subsidieverstrekkingen − Grondexploitatie − Begrotingswijzigingen − Financieel beheer Van deze processen is de opzet beoordeeld en het bestaan vastgesteld en waar mogelijk en efficiënt is de werking van de interne beheersingsmaatregelen getest.

6

1. Management samenvatting Bevindingen interne beheersing Bevindingen In de hiernaast weergegeven tabel is een totaal overzicht opgenomen van het totaal aantal bevindingen. De nieuwe bevindingen in 2020 betreffen allen bevindingen welke naar voren zijn gekomen in 2020, maar welke feitelijk al langer aanwezig zijn binnen de organisatie. Doordat er verbeteringen zijn gemaakt in de processen, hebben wij dit jaar de mogelijkheid gehad om de processen diepgaander te controleren. Hierdoor zijn nieuwe bevindingen aan het licht gekomen. De ontwikkeling ten opzichte van 2019 is op te delen in gerealiseerde verbeteringen in het betaal- en personeelsproces en nieuwe bevindingen. In het betaal- en personeelsproces is het vanaf 2020 mogelijk om op de werking van de interne beheersing te steunen. In de processen inkoop, subsidieverstrekkingen en sociaal domein zijn er nieuwe bevindingen. Een overzicht van de nieuwe, openstaande en opgeloste bevindingen is op de volgende pagina opgenomen. De bevindingen en onze aanbevelingen worden in de bijlage bij deze managementletter in detail toegelicht. Uit het voorgaande komt naar voren dat HLTsamen op het gebied van de kwaliteit en inrichting van de administratieve organisatie en interne beheersing (AO/IB) nog belangrijke stappen wil zetten. In de bijlage rapporteren wij onze bevindingen in meer detailvorm.

De conclusie is dat HLTsamen en de deelnemende gemeenten als gevolg van de verbeterpunten op het gebied van de AO/IB minder risico’s loopt, maar dat er nog steeds risico’s aanwezig zijn. Deze risico’s worden in belangrijke mate achteraf beheerst door het uitvoeren van uitgebreide steekproeven.

Bevindingen 2020

2019

Algemeen

2

2

Inkopen & aanbestedingen

5

4

Betalingsverkeer

-

1

Salarissen/personeel

-

1

Grondexploitatie

1

1

Subsidieverstrekkingen

1

-

Sociaal domein

1

-

Verbonden partijen

1

-

Financieel beheer

2

2

IT/Automatisering

-

1

Overige

2

2

Aantal openstaande aanbevelingen

15

14

Onze observaties ten aanzien van uw IT-beheersing zijn nader toegelicht in hoofdstuk 3, wij constateren dat de automatiseringsomgeving binnen de organisatie nog niet volledig voldoet aan de daaraan te stellen eisen, waardoor ten behoeve van de jaarrekeningcontrole niet gesteund kan worden op uitgevoerde controles in het systeem. Ten opzichte van 2019 is het realiseren van een toereikende inrichting van het wachtwoordbeleid in de financiële applicatie een belangrijke verbetering. Op het gebied van het toekennen van autorisaties binnen de applicaties constateren wij hier nog verbeterpunten.

7

1. Management samenvatting Bevindingen interne beheersing In onderstaand overzicht hebben wij onze bevindingen ten aanzien van de interne beheersing van de bedrijfsprocessen uiteengezet met daarbij de prioriteitstelling.

Nr.

Proces

Bevinding

Status

Boekjaar

Prioriteit

2020.1

Inkoop

Onjuiste afgrenzing inkoopfacturen



2020

Midden

2020.2

Inkoop

Ontbreken inkoop- en aanbestedingsbeleid



2020

Midden

2020.3

Verbonden partijen

Niet naleven nota verbonden partijen



2020

Midden

2020.4

Subsidie

Ontbreken toereikende functiescheiding subsidieproces



2020

Laag

2020.5

Sociaal domein

Onvoldoende diepgang en tijdigheid monitoring sociaal domein



2020

Midden

2019.1

Personeel

Ontbreken controle standenregisters in het personeelsproces



2019

Midden

2019.2

Grondexploitatie

Ontbreken interne controle of scenarioanalyse grondexploitaties



2019

Midden

2018.2

Betalingen

Onjuiste betaling uitgevoerd doordat er geen controle heeft plaatsgevonden



2018

Hoog

2018.6

Financieel beheer

Ontoereikend proces voor het opstellen van de jaarrekening(en)



2018

Midden

2017.1

Algemeen

Ontbreken procesbeschrijvingen



< 2017

Midden

2017.3

Inkoop

Ontoereikende functiescheiding inkoopproces



2017

Hoog

2017.9

Overige

Procedure/vastlegging ontvangen subsidies



2017

Midden

Legenda status:

Toelichting prioriteit

 = opgelost

Prioriteit hoog: Bevinding op te lossen voor de jaarrekeningcontrole 2020

 = actie ondernomen, maar nog niet afgerond

Prioriteit gemiddeld: Bevinding op te lossen voor de jaarrekeningcontrole 2021

 = geen actie ondernomen

Prioriteit laag: Bevinding op te lossen op lange termijn

 = nieuwe bevinding

8

1. Management samenvatting Bevindingen interne beheersing Nr.

Proces

Bevinding

Status

Boekjaar

Prioriteit

2017.11 Overige

Volledigheid verhuur-/pachtregister



< 2017

Laag

2017.12 Inkoop

Ontbreken verplichtingenadministratie



< 2017

Midden

2017.13 Inkoop

Contractenregister



< 2017

Midden

2017.14 Financieel beheer

Liquiditeitsprognose



2017

Midden

2017.15 Algemeen

Risicomanagement



< 2017

Midden

2017.21 IT

Logische toegangsbeveiliging Key2Financiën is niet effectief



< 2017

Hoog

In de bijlage zijn de bevindingen in detail uitgewerkt. De bevindingen zijn op basis van de prioriteit gerangschikt in de bijlage.

Legenda status:

Toelichting prioriteit

 = opgelost

Prioriteit hoog: Bevinding heeft impact op de jaarrekeningwerkzaamheden 2020

 = actie ondernomen, maar nog niet afgerond

Prioriteit gemiddeld: Bevinding op te lossen op de middellange termijn

 = geen actie ondernomen

Prioriteit laag: Bevinding op te lossen op lange termijn

 = nieuwe bevinding

9

RH28

2. Aandachtspunten voor 2020

10

Dia 10 RH28

Ook punten van AC's uit controleplan opnemen Ruben Heemskerk; 04-02-2021

2. Aandachtspunten 2020 Impact van Covid-19 COVID-19 Zoals reeds aangegeven in de inleiding heeft COVID-19 impact op veel beleidsvelden, denk hier bijvoorbeeld aan: Sociaal domein (Tozo, continuïteitsbijdrage zorgaanbieders) Lokale infrastructuur (steun lokale instellingen) Uitvoeringslasten (handhaving, GGD, Veiligheidsregio, thuiswerkfaciliteiten) Bedrijfseconomisch (waardering verstrekte leningen / vorderingen, aanspraak garanties/borgstellingen) Inkomstenderving (belastingen, leges, dividend, huren, verkopen grondexploitaties) Wij hebben vastgesteld dat de organisatie een financiële monitoring heeft opgesteld ten aanzien van de impact die COVID-19 heeft op de gemeente. Tijdens de interim controle hebben wij specifiek aandacht verricht aan de volgende posten ten aanzien van de impact van COVID-19: − Subsidies − Prestatieleveringen − Kortingen − Bijdragen Vaststelling subsidies Eind 2020 is gestart met het analyseren van de impact van COVID-19 op de verstrekte subsidies. Door COVID-19 kan het voorkomen dat niet voldaan kan worden aan de subsidievoorwaarden voor de subsidieontvanger. Wij hebben hierover met medewerkers van HLTsamen gesproken om de impact in het kader van de rechtmatigheid te beoordelen.

Vanuit dit overleg is geadviseerd om de subsidieverordening aan te passen en vanuit risicoanalyse een overzicht te maken en specifieke maatregelen te treffen om er voor te zorgen dat in het kader van de vaststelling van de subsidies de juiste besluiten worden genomen. Lager vastgestelde subsidies moeten in de jaarrekening als vordering worden opgenomen. In het kader van de jaarrekeningcontrole zullen wij vaststellen dat de besluiten rechtmatig en verantwoording van deze subsidies getrouw heeft plaatsgevonden.

Prestatielevering In het kader van de rechtmatigheid van de kosten is het belangrijk dat de organisatie in kaart brengt in welke gevallen crediteuren niet kunnen voldoen aan de prestatielevering, maar waarvoor de gemeente wel de facturen uitbetaald. Hierover is in 2020 ook een specifieke BADO-notitie uitgebracht. Op basis van de, door de organisatie opgestelde, financiële monitor hebben wij geconstateerd dat er aandacht is besteed aan de prestatielevering van diverse contracten. Bijvoorbeeld voor het leerlingenvervoer zijn bij alle deelnemende gemeenten hierover collegebesluiten genomen. In het kader van de jaarrekeningcontrole zullen wij vaststellen dat de prestatielevering op contracten toereikend is verwerkt. Tozo Als onderdeel van de Participatiewet is in maart 2020 de Tijdelijke Overbruggingsregeling Zelfstandig Ondernemers (Tozo) ingevoerd. De verantwoording van de baten, lasten en aantal aanvragen inzake Tozo 1, 2 en mogelijk 3 zal op afzonderlijke regels in de Sisabijlage worden opgenomen. De uitvoering van deze regeling is door uw gemeente uitbesteed aan ISD Bollenstreek. Wij verzoeken u om concrete afspraken te maken over de (tijdige) aanlevering van verantwoordingsinformatie.

Parallel hieraan hebben wij controle-instructies aan de accountant van ISD Bollenstreek zodat wij in onze ongedeelde verantwoordelijkheid aangaande de controle op deze lasten gebruik kunnen maken van de werkzaamheden van de accountant van ISD Bollenstreek. Op 10 december 2020 hebben wij met een afvaardiging van de ISD Bollenstreek gesproken over de opzet en inrichting van het Tozo-proces. Uit deze bespreking hebben wij een positieve indruk over de manier waarop de Tozo beheersmatig door de ISD Bollenstreek is aangepakt.

11

2. Aandachtspunten 2020 Impact van wijziging wet-en-regelgeving en nadere toelichting hierop Recht op zorg Op 3 juli 2020 is de SDO-notitie ‘Jeugdzorg en Wmo Controle van het recht op zorg’ verschenen. Een belangrijk aandachtspunt in deze notitie is het toetsen op een rechtmatige verwijzing. De deelnemende gemeenten, hebben het Jeugdzorg en Wmo uitbesteed aan respectievelijk Holland Rijnland TWO en ISD Bollenstreek. Wij vragen u om na te gaan of de gemeenschappelijke regelingen deze controle zelf gaat uitvoeren of dat zij dit via de zorgaanbieder gaat toetsen. Eventuele fouten of het ontbreken van informatie werkt door in het accountantsoordeel. Prestatielevering inkopen Op 24 juli 2020 is de BADO-notitie ‘Vastlegging en onderbouwing prestatielevering bij inkopen door decentrale overheidsorganisaties’ verschenen. Wij vragen u kennis te nemen van deze notitie en de vereisten inzake functiescheiding, de controle en documentatie van de prestatielevering. Wij willen u wijzen op het belang van deze notitie mede in relatie tot fraudegevallen zoals geconstateerd bij diverse gemeenten. Wij voeren graag tijdig overleg met u over de (interne) controle van prestatielevering. Afhankelijk van de uitkomsten (aard van de fouten en onzekerheden) kan dit leiden tot een verdere uitbreiding van de deelwaarneming en extra werk.

12

3. Bevindingen IT-beheersing

© Baker Tilly 13

05/02/2021

Algemeen Voor u ligt het onderdeel van de managementletter dat gebaseerd is op de IT-auditwerkzaamheden die in het kader van de jaarrekeningcontrole over het boekjaar 2020 zijn uitgevoerd. In dit onderdeel van de Management Letter staat welke IT-audit activiteiten door ons zijn uitgevoerd en wat onze bevindingen zijn voor de controle. De IT audit activiteiten zijn in scope beperkt tot de applicaties Key2Financiën (financiële administratie) en AFAS (personeelsadministratie), en daarmee samenhangende (netwerk)infrastructuur.

IT General Controls Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de algemene onderwerpen rondom de beheersing van uw IT omgeving en rapporteren daarover in de navolgende pagina’s.

05/02/2021

Werkzaamheden Op basis van de door ons uitgevoerde werkzaamheden hebben wij onze inschatting van de kwaliteit van uw IT systeem en/of applicatie opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven: Op dit moment voldoende Verbetering gewenst Verbetering benodigd Let op: de onderwerpen die niet gerelateerd zijn aan toegangsbeveiliging en wijzigingsbeheer volgen uit interviews en hierop zijn door ons over het algemeen geen testwerkzaamheden uitgevoerd om vast te stellen dat de IT-omgeving is ingericht zoals ons voorgesteld is. Dit beperkt de zekerheid die u kunt ontlenen aan de door ons beschreven aandachtspunten. De mate van risico die u als organisatie loopt bij constateringen verschilt per aandachtsgebied. Een grafische inschatting van de impact op de controle en op uw organisatie vindt u in onderstaande afbeelding.

© Baker Tilly

Logische toegangsbeveiliging Bij het toetsen van ‘logische toegangsbeveiliging’ wordt onderzocht of de inrichting van de IT-omgeving de authenticiteit van de gebruiker van een gebruikersaccount borgt. Ook onderzoeken wij de mogelijkheden voor het ‘steunen’ op autorisaties en de processen rondom het verstrekken, muteren en ontnemen van autorisaties binnen de omgeving en de applicaties. Wanneer de randvoorwaarden hiervoor voldoende aanwezig zijn, kunnen wij gebruik maken van eventuele functiescheiding dat in de omgeving of de applicatie is geïmplementeerd. Wijzigingsbeheer (Change management) Het doel van ‘wijzigingsbeheer’ is borgen dat wijzigingen aan de applicatie op een gestructureerde en gecontroleerde wijze worden doorgevoerd. Voor uw organisatie heeft wijzigingsbeheer ten doel om te voorkomen dat applicaties zich niet gedragen zoals u na een wijziging in de software, resulterend in, wellicht niet opgemerkte, (financiële) gevolgen. Overige punten zonder directe impact Het is van ons van belang om inzicht te krijgen in de verantwoordelijkheden die binnen de organisatie zijn ingericht – of met andere organisaties overeen zijn gekomen (uitbesteding) – ten aanzien van de beheersing van de IT omgeving. Hierbij kijken wij naar beleidsstukken ten aanzien van IT strategie, beveiliging en functiescheiding.

Ook de interne beheersingsmaatregelen die al dan niet zijn ingericht binnen de IT omgevingen zijn onderdeel van onze scope. Indien maatregelen periodiek worden uitgevoerd kunnen wij hier gebruik van maken in de jaarrekeningcontrole. Deze adviespunten hebben niet een directe impact op onze controlewerkzaamheden, maar zijn wel wenselijk. 14

‘General IT’ Key2Financiën De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre we gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle.

Identificatie & Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatie-structuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk. Wijzigingsbeheer Gedurende een (boek)jaar worden wijzigingen doorgevoerd in de IT-omgeving van uw organisatie. Wanneer deze wijzigingen een impact hebben op de functionaliteiten of rapportages die een rol spelen in de jaarrekening (en uw organisatie deze niet signaleert), heeft dit gevolgen voor de controlewerkzaamheden. Wij beoordelen dit onderdeel door te steunen op uw procedure of werkzaamheden uit te voeren op documentatie vanuit de leverancier.

05/02/2021

© Baker Tilly

15

‘General IT’ AFAS De conclusies die wij op basis van onze werkzaamheden trekken over de algemene inrichting van IT bij uw organisatie, delen wij op deze pagina met u. Uit de stoplichten valt op te maken in hoeverre we gebruik kunnen maken van de randvoorwaarden die binnen uw organisatie aanwezig zijn voor de controle.

Identificatie & Authenticatie Door middel van authenticatie wordt geborgd dat de gebruiker zichzelf kan identificeren binnen een geautomatiseerde omgeving. Kort gezegd: de gebruiker toont aan dat hij/zij inlogt met een eigen persoonsgebonden account en daarmee is wie hij/zij claimt te zijn. Wij scharen onder dit onderwerp met name wachtwoordvereisten en herleidbaarheid van accounts. Autorisatie Op het gebied van autorisatie zijn verschillende vormen van diepgang te definiëren. Wat wij onderzoeken als het gaat om de randvoorwaarden rondom autorisatie, zijn de rechten die de mogelijkheid bieden om autorisatie-structuren te wijzigen en of deze rechten belegd zijn bij functionarissen met een onafhankelijke positie ten opzichte van de jaarrekening. Daarnaast is een effectieve procedure voor het wijzigen van rechten noodzakelijk. Wijzigingsbeheer Gedurende een (boek)jaar worden wijzigingen doorgevoerd in de IT-omgeving van uw organisatie. Wanneer deze wijzigingen een impact hebben op de functionaliteiten of rapportages die een rol spelen in de jaarrekening (en uw organisatie deze niet signaleert), heeft dit gevolgen voor de controlewerkzaamheden. Wij beoordelen dit onderdeel door te steunen op uw procedure of werkzaamheden uit te voeren op documentatie vanuit de leverancier.

05/02/2021

© Baker Tilly

16

IT adviespunten zonder directe impact op de controle Beleid en plannen Beleid Binnen uw organisatie is een uitgewerkt IT beleidsplan aanwezig, waarin de uitgangspunten voor IT beheer en ontwikkelingen zijn beschreven. Het is daardoor mogelijk om monitoring op basis van een plan-do-check-act cyclus toe te passen binnen uw organisatie.

Uitvoering Beheersing van incidenten Om de performance van uw IT systemen en eventueel de performance van uw IT dienstverlener te monitoren, is registratie van de incidenten en problemen van belang. Binnen uw organisatie worden incidenten geregistreerd in het ticketsysteem, waarin ook de opvolging en afhandeling wordt geregistreerd en gemonitord.

Verantwoordelijkheden en functiescheiding Wij verwachten dat binnen uw organisatie duidelijke afspraken zijn gemaakt ten aanzien van verantwoordelijkheden over uitvoering en strategie op het gebied van IT. We hebben vernomen dat dit het geval is. Echter zijn deze afspraken niet altijd gevangen in procedures en richtlijnen. U heeft een deel van de interne beheersing uitbesteed aan leveranciers IJK en AFAS. Er zijn echter nog geen procedures ingericht voor het periodiek, op basis van assurance rapportages, verkrijgen van inzicht in de interne beheersing bij deze leveranciers om zo de regie te voeren over de uitbesteding.

Uitvoering beheersingsmaatregelen IT Op verschillende vlakken worden (nog) geen toetsbare beheersingsmaatregelen uitgevoerd binnen uw organisatie. Denk aan: - Periodieke controle op actieve gebruikers - Periodieke controle op inrichting van wachtwoordbeleid - Periodieke controle op inrichting van rechten in het systeem conform beleid Deze procedures en daaruit volgende controlemaatregelen zorgen ervoor dat uw organisatie grip houdt op de IT-omgeving en faciliteren dat de randvoorwaarden, die de effectiviteit van ingerichte beheersingsmaatregelen beïnvloeden, van voldoende niveau zijn.

IT adviespunten zonder directe impact op de controle Continuïteitsmaatregelen

Beveiliging

Recovery Point objective (RPO): De RPO is het punt in de tijd tot waar men minimaal de gegevens moet kunnen herstellen. Het is dus de acceptabele hoeveelheid aan dataverlies uitgedrukt in tijd.

Beveiliging De beveiliging van de IT-omgeving delen wij op in verschillende aspecten, welke wij hieronder hebben weergegeven.

Back-ups: Er worden periodieke en incrementele back-ups gemaakt. Deze back-ups worden extern opgeslagen.

Fysieke beveiliging: De serverruimte is voorzien van diverse beveiligingsmaatregelen ten aanzien van temperatuur, klimaat en brandrisico’s. Aandachtspunt is wel de plaatsing van de apparatuur in de kelder van het pand.

Recovery Time Objective (RTO): Een RTO is de tijd waarna een proces/middel na een onderbreking moet teruggebracht zijn op een aanvaardbaar niveau, om een onacceptabele impact op de organisatie te vermijden

Remote access: Voor het extern inloggen wordt gebruik gemaakt van extra beveiligingsmaatregelen in de vorm van two-factor authenticatie. Preventie: Een firewall en virusscanner is aanwezig en wordt actief beheerd.

Recovery: Er is een plan is voor het uitvoeren van een uitwijk en recovery test. De meest recent uitgevoerde test is uitgevoerd aan het einde van 2019. De uitwijktest voor 2020 is gepland voor het einde van het jaar.

Monitoring: Wij hebben vernomen dat er binnen de organisatie op wekelijkse basis een geautomatiseerde vulnerability-scan wordt uitgevoerd.

Uitwijk: Er is een uitwijkmogelijkheid ingericht. Het functioneren van deze uitwijkmogelijkheid wordt, gezamenlijk met de recovery test, jaarlijks getest.

U heeft daarnaast recent een diepgaande penetration-test laten uitvoeren door een externe partijen. De opvolging op de bevindingen uit deze test is belegd bij de CISO.

4. Voorbereiding rechtmatigheidsverantwoording

19

3. Voorbereiding rechtmatigheidsverantwoording Three lines model Rechtmatigheidsverantwoording Met ingang van het boekjaar 2021 moet het College een rechtmatigheidsverantwoording opnemen in de jaarrekening. De accountant dient vervolgens de getrouwheid van deze verantwoording te toetsen. De bewijslast inzake de rechtmatigheid wordt hiermee verplaatst van de accountant naar het College. De belangrijkste aandachtspunten ter voorbereiding zijn: Afstemming reikwijdte met de raad; Juiste opzet normenkader en toetsingskader; Adequaat vastleggen van procesbeschrijvingen; Opzetten controleplan inclusief uitwerking risicoanalyse; Adequaat werkprogramma ter uitvoering VIC. Wij hebben begrepen dat HLTsamen en de gemeenten momenteel bezig zijn met het verder op orde brengen van deze punten. Wel willen wij benadrukken dat ten aanzien van rechtmatigheidsverantwoording nog belangrijke stappen moeten worden gezet. In dit hoofdstuk geven wij u een eerste indruk van de status van uw VIC werkzaamheden in relatie tot de interne beheersing binnen uw primaire en secundaire processen.

20

3. Voorbereiding rechtmatigheidsverantwoording Three lines model In het kader van de inrichting en communicatie hebben wij een model ontwikkeld dat weergeeft hoe invulling gegeven kan worden aan de fasen in het proces van verantwoorden over rechtmatigheid. Deze fasen bestaan uit: 1. 2. 3. 4.

kaderstelling en voorbereiding; uitvoering; evalueren en rapporteren; en verantwoorden.

21

4. Voorbereiding rechtmatigheidsverantwoording Three lines model Wij rapporteren via de 3 lines model. Dat willen zeggen dat wij binnen de processen nagaan op welk niveau in de organisatie de interne beheersmaatregelen worden ondervangen. De volgende niveaus worden hierbij onderkend: 1e lijn: in het primaire proces, onder verantwoordelijkheid van de proceseigenaar. 2e lijn: in de ondersteunende processen zoals financiën en control, waar checks and balances ingericht zijn om fouten te signaleren. 3e lijn: in uw verbijzonderde interne controle achteraf. Indien de beheersmaatregelen in de 1e en/of 2e lijn adequaat zijn ingericht dan is de organisatie optimaal in control en is een voornamelijk systeemgerichte controleaanpak mogelijk. Indien dit niet het geval is kan dit gecompenseerd worden door de gegevensgerichte werkzaamheden van de VIC. In het kader van de rechtmatigheidsverantwoording dient in ieder geval de 3e lijn (VIC) toereikend te zijn. Onderstaand overzicht geeft zodoende een beeld over de mate van beheersing en controle van uw gemeente. Nr.

Proces

1e lijn

2e lijn

3e lijn

1

Inkopen







2

Betalingen







3

Sociaal Domein







Opmerking / toelichting Er zijn onvoldoende interne beheersmaatregelen in het primaire proces, zie ook bevinding 2017.3. Het budgethoudersoverleg ondervangt tevens de risico’s in het inkoopproces in beperkte mate. De 2e lijn is aanwezig, dit betreft de gegevensgerichte werkzaamheden van de (ingehuurde) VIC. Hierdoor is er geen sprake van een ingerichte 3e lijnscontrole. Er is toereikende functiescheiding in het primaire proces, echter ontbreekt er een (geformaliseerd) ondersteunend proces waarmee fouten worden gesignaleerd. De 3e lijn wordt verricht door de (ingehuurde) VIC. Het sociaal domein is primair uitbesteed aan gemeenschappelijke regelingen, ISD Bollenstreek en TWO Holland Rijnland. Het dagelijks bestuur van de GR heeft zelfstandig een verantwoordingsplicht over haar rechtmatigheid. In het kader van de controle zijn afspraken gemaakt, waarbij de accountant van de gemeenschappelijke regeling een assurance-rapport afgeeft bij de verantwoording van de gemeenschappelijke regeling.

Legenda status:  = geen bevindingen, enkel aanbeveling ter verdere optimalisatie  = één of enkele bevindingen met geringe impact resteren  = meerdere bevindingen en aanbevelingen met mogelijk grote impact

22

4. Voorbereiding rechtmatigheidsverantwoording Three lines model Nr.

Proces

1e lijn

2e lijn

3e lijn

4

Subsidies







De interne beheersing in de 1e lijn is nog niet toereikend, zie hiervoor bevinding 2020.4. De 2e lijn wordt gegevensgericht uitgevoerd door de (ingehuurde) VIC, net als bij het inkoopproces. Er is geen sprake van een ingerichte 3e lijn.

5

Belastingen







De belastingen zijn voor alle deelnemende gemeenten uitbesteed aan gemeenschappelijke regelingen, namelijk BS Noordwijk en Cocensus. De accountant van de gemeenschappelijke regeling geeft een assurance-rapport af bij de verantwoording.

6

Personeel







In het primaire proces zijn er toereikende interne beheersingsmaatregelen ingericht. Daarnaast wordt door de (ingehuurde) VIC een controle uitgevoerd op het personeelsproces. De 3e lijn wordt ontbreekt echter nog.

Opmerking / toelichting

Op basis van de bovenstaande uiteenzetting blijkt een beeld waarin de interne beheersing en de controle hierop nog niet voor alle processen op een toereikende manier is ingericht. Om beter in control te komen op de processen adviseren wij om de inrichting van de interne beheersing in de 1e lijn te verbeteren. Op basis van een toereikend inrichten van de 1e lijn kan de 2e lijn in stelling worden gebracht door uitzonderingen, bijzonderheden en ontwikkelingen te signaleren. Wij bespreken uiteraard graag met u de mate van beheersing en uw gewenste ambitieniveau.

Legenda status:  = geen bevindingen, enkel aanbeveling ter verdere optimalisatie  = één of enkele bevindingen met geringe impact resteren  = meerdere bevindingen en aanbevelingen met mogelijk grote impact

23

Bijlage 1 Detailbevindingen

24

Detailbevindingen interim-controle Status en prioriteit

Onderwerp

Bevinding, risico

Aanbeveling

2017.3

Inkoop:

Status: 

Ontoereikende functiescheiding inkoopproces

Bevinding: Voor 2018 heeft HLTsamen een nieuwe budgethoudersregeling ingevoerd. Deze procedure bestaat uit de volgende onderdelen: - Er is functiescheiding aangebracht tussen het aangaan van de verplichting en de controle van de prestatielevering aan de hand van het contract; - Er is periodiek overleg over de juistheid van verantwoorde kosten op budgetten tussen budgethouder, budgetbeheerder en financieel beleidsmedewerker.

Aanbeveling: Wij adviseren om een systeem in te richten waarbij naast de beoordeling van de budgetten, zoals in het budgethoudersoverleg plaatsvindt, ook een specifiek oordeel wordt gegeven over de prijs en prestatie van de inkopen. Mogelijk kan dit door middel van eigen standaard dossiervorming op inkopen, waarbij voor alle inkoopfacturen stukken verzameld dienen te worden ter onderbouwing van de prijs en prestatie.

Prioriteit: Hoog

Uit onze analyse van het inkoopproces blijkt dat de functiescheiding, die in opzet aanwezig is, niet het volledige jaar heeft gefunctioneerd. De functiescheiding op inkopen voor controle op prijs en prestatie heeft niet gewerkt.

Reactie management: Deze bevinding wordt betrokken bij de evaluatie van de budgethoudersregeling die in het eerste halfjaar van 2021 vorm krijgt. We onderzoeken de uitrol van de verplichtingenadministrate voor de gehele organisatie. Hiermee wordt de functiescheiding verbeterd.

Status 2020: Wij hebben vastgesteld dat in 2020 het budgethoudersoverleg is uitgevoerd. In dit overleg wordt met name aandacht besteed aan de begrotingsrechtmatigheid, hierdoor ontbreekt de controle van de inkopen op prijs en prestatie. Daarom is de bevinding in 2020 nog steeds actueel. Risico: Door het ontbreken van toereikende functiescheiding is het risico aanwezig dat inkoopfacturen onterecht worden geautoriseerd en betaald. 2018.2

Betalingen:

Status: 

Onjuiste betaling uitgevoerd doordat er geen controle heeft plaatsgevonden.

Prioriteit: Hoog

Onzekerheid op het gebied van rechtmatigheid betalingen.

Bevinding: Bij de controle van de betalingen van één van de gemeenten hebben we geconstateerd dat een betaling onjuist is uitgevoerd, waardoor er circa EUR 10.000 te weinig is betaald aan een gemeenschappelijke regeling. Uit nadere analyse blijkt dat er geen controle heeft plaatsgevonden op de betaalopdracht.

Afhandeling: Wij hebben geen foutieve betalingen geconstateerd in de controle van de betalingen. Daarnaast zijn er voldoende controlemaatregelen aanwezig waarmee wordt gewaarborgd dat de controle op de betalingen wordt uitgevoerd. Zo wordt de controle van het betaalvoorstel in de nieuwe financiële administratie, middels een module in de applicatie verricht, waarmee het systeem de controle afdwingt.

De geconstateerde afwijking zorgde voor een onzekerheid op het gebied van getrouwheid in de controle van de jaarrekening van de gemeente. Risico: Betalingen zijn mogelijk onrechtmatig en/of onjuist doordat deze niet toereikend zijn gecontroleerd.

25

Detailbevindingen interim-controle Status en prioriteit

Onderwerp

Bevinding, risico

Aanbeveling

2017.21

IT:

Status: 

Logische toegangsbeveiliging Key2Financiën is niet effectief

Bevinding: Op de toegangsbeveiliging van Key 2 Financiën (financiële administratie) is geen wachtwoordbeleid actief, hierdoor zijn er geen eisen aan (het wijzigen van) wachtwoorden gesteld. Daarnaast is de applicatiebeheerder tevens gebruiker van de applicatie.

Afhandeling: Voor het nieuwe pakket K2F (vanaf 2019) is het wachtwoordbeleid gekoppeld aan de inlog van de windows-omgeving (single sign-on). Dit wachtwoordbeleid is toereikend ingericht. De functie van functioneel applicatiebeheerder ligt, vanaf 2020 niet meer bij de gebruiker van de applicatie, maar bij de functioneel beheerder van afdeling I&A.

Prioriteit: Hoog

Risico: Ongeautoriseerd toegang tot de financiële administratie en de digitale factuurverwerking.

2020.1

Inkoop:

Status: 

Afgrenzing inkopen

Prioriteit: Midden

Bevinding: Tijdens de jaarrekeningcontrole 2019 hebben wij geconstateerd dat de afgrenzing van de inkopen niet juist wordt verwerkt in de administratie. Bij de jaarrekening zijn daarvoor diverse correcties doorgevoerd. Bij de controle op de inkopen in 2020 is gebleken dat er nog meer inkopen onjuist geboekt zijn. De geconstateerde fouten hebben betrekking op facturen (>€5.000) , welke in 2020 geboekt zijn, maar betrekking hebben op 2019. Uit de omschrijving van de boeking bleek echter niet dat deze betrekking hadden op 2019. Hierdoor zijn kosten en investeringen in het verkeerde boekjaar verantwoord.

Aanbeveling: Wij adviseren om bij het autoriseren van facturen, te controleren of de factuur op het juiste budget in de juiste periode wordt geboekt. Daarnaast adviseren wij om het proces van afsluiten van een periode, waaronder het verwerken van inkoopfacturen, te verbeteren door bijvoorbeeld analyses te verrichten op de volledigheid van de inkopen aan het eind van het. Een verplichtingenadministratie kan hier tevens bij helpen, hiervoor verwijzen wij ook naar bevindingnummer 2017.12.

Risico: Lasten en investeringen worden niet volledig verantwoord in het boekjaar. Hierdoor ontstaat het risico dat in het eerste jaar een budgetonderschrijding ontstaat en in het tweede jaar een budgetoverschrijding.

Reactie management: Binnen het cluster beheer zijn er aanvullende afspraken gemaakt n.a.v. de bevindingen tijdens de jaarrekeningcontrole 2019 met betrekking tot het inboeken van facturen. In 2020 hebben wij een aantal beheersmaatregelen getroffen. De administratie (beheer) voert een aantal afloopcontroles uit. Dat doen zijn d.m.v. query’s. Daarnaast wordt door de domeinadviseur in overleg met de budgethouders door de budgetten heen gelopen en beoordeeld of de kosten (in het juiste jaar) verantwoord zijn en volledig. Ook heeft er dit jaar een pilot gedraaid met de afdeling buitenruimte voor het gebruik van verplichtingen. Begin 2021 gaat dit organisatie breed ingevoerd worden. Hierbij wordt nadrukkelijk vanuit financiën het voorbeeld meegegeven ook voor de jaarrekening en de toerekening aan de juiste jaren.

26

Detailbevindingen interim-controle Status en prioriteit

Onderwerp

Bevinding, risico

Aanbeveling

2020.2

Inkoop:

Status: 

Ontbreken vastgesteld inkoop- en aanbestedingsbeleid

Bevinding: Wij hebben geconstateerd dat er geen vastgesteld inkoop- en aanbestedingsbeleid aanwezig is voor HLTsamen en gemeente Hillegom. Voor de aanbestedingen wordt de gids proportionaliteit gehanteerd. Bij de gemeenten Lisse en Teylingen is het inkoop- en aanbestedingsbeleid wel aanwezig, maar verouderd. Daarnaast hebben wij begrepen dat niet bij iedereen het inkoop- en aanbestedingsbeleid bekend is.

Aanbeveling: Wij adviseren om een (nieuw) inkoop- en aanbestedingsbeleid op te stellen. Daarnaast adviseren wij om het belang van het volgen van het interne inkoop- en aanbestedingsbeleid intern te benadrukken en beheersingsmaatregelen op deze nalevering in te richten.

Prioriteit: Midden

Risico: Inkopen worden niet in overeenstemming met interne richtlijnen verricht.

2017.12

Inkopen:

Status: 

Ontbreken verplichtingenadministratie

Prioriteit: Midden

Bevinding: De gemeenten en HLTsamen maken geen gebruik van een verplichtingenadministratie. Status 2020: Wij hebben begrepen dat er een succesvolle pilot is geweest met een inkoopmodule bij het domein Buitenruimte. Naar aanleiding van deze pilot is een implementatieleidraad opgesteld om de verplichtingenadministratie breed in te zetten in de verschillende domeinen.

Reactie management: Op dit moment vindt er een waarderen onderzoek inkoop plaats. Vastlegging van resultaten zijn in een afrondende fase. In 2021 zal er gewerkt worden aan inkoopbeleid voor de gemeenten Hillegom, Lisse en Teylingen en HLTsamen. Dit gebeurd mede op basis van de resultaten van het genoemde waarderend onderzoek. Er worden systemen geïmplementeerd zoals WIZZR en MVI-zelfevaluatietool waarmee het beleid op onderdelen kan worden gemonitord. Daarnaast zal 2021 ook in het teken staan van aandacht voor inkoop. Op intranet zal er meer over inkoopregels en mogelijkheden gepubliceerd worden. Ook zal de inkooptoolkit in intrana moeten worden geactualiseerd meer zichtbaar/vindbaar moeten worden gemaakt. Daarnaast worden er in 2021 ook nieuwe inkoopvoorwaarden voorgesteld. Voor zowel het inkoopbeleid als de inkoopvoorwaarden is voor een praktische correcte uitvoering belangrijk dat deze eensluidend c.q. geharmoniseerd worden vastgesteld. Aanbeveling: Wij adviseren om de ingezette implementatie voor de verplichtingenadministratie te blijven monitoren en hier concrete beheersingsmaatregelen aan te koppelen zodat de volledigheid van de verplichtingen in dit proces wordt geborgd. Reactie management: De verplichtingen module is gereed en wordt in december 2020 / januari 2021 beschikbaar gesteld voor de gehele organisatie.

We onderzoeken de uitrol van de verplichtingenadministrate voor de gehele organisatie.

Risico: Door het ontbreken van een verplichtingenadministratie bestaat het risico dat financiële verplichtingen van de gemeente niet in beeld zijn waardoor analyses van budgetten en bestedingen een verkeerd beeld geven.

27

Detailbevindingen interim-controle Status en prioriteit

Onderwerp

Bevinding, risico

Aanbeveling

2017.13

Inkopen:

Status: 

Contractenregister

Bevinding: Afgesloten contracten worden geregistreerd in JOIN. Bij de controle van het inkoopproces hebben wij begrepen dat de opdrachten/contracten welke ten grondslag liggen aan de inkoopfacturen niet altijd (eenvoudig) vindbaar waren.

Aanbeveling: Wij adviseren u het contractenregister zodanig in te richten zodat contracten eenvoudig vindbaar zijn.

Prioriteit: Midden

Status 2020: Aan de hand van een intern uitgevoerde spendanalyse heeft HLTsamen gecontroleerd of het contractenregister in JOIN volledig is. Hieruit is gebleken dat het register nog niet volledig is. Risico: Facturen zijn mogelijk onjuist omdat de controle met het contract niet kan plaatsvinden.

2020.3

Verbonden partijen:

Status: 

Niet naleven nota verbonden partijen

Prioriteit: Midden

Bevinding: In 2018 is door de gemeenten Hillegom, Lisse en Teylingen de Nota verbonden partijen vastgesteld. Wij hebben geconstateerd dat er nog geen (zichtbare) invulling is gegeven aan deze nota. Een voorbeeld hiervan is het ontbreken van de bepaling van het governanceregime en het (periodiek) invullen van de governance checklist. Onderzoek naar accounthouderschap is niet nader onderzocht, daarom is de prioriteit als midden aangegeven. Risico: De gemeente wijkt af van het vastgestelde beleid en loopt daardoor het risico dat doelstellingen die belegd zijn bij verbonden partijen niet of tegen te hoge kosten worden gerealiseerd.

Reactie management: Het contractenboek in JOIN geeft een overzichtelijk beeld van de geregistreerde contracten. Echter niet alle contracten worden in JOIN vastgelegd. In 2020 is er wel een grote slag gemaakt, maar het register is nog niet compleet. In 2021 zal nogmaals aandacht worden gevraagd voor het belang van de centrale registratie in JOIN. Daarnaast worden de medewerkers meer bekend gemaakt met de toegevoegde waarde van het gezamenlijke contractenregister. Spendanalyse is in gebruik genomen en er kunnen ruwe analyses worden gemaakt. Echter de applicatie heeft beperkingen. Bij Vendorlink is verbetering van de applicatie aangevraagd. Aanbeveling: Wij adviseren om de Nota verbonden partijen en het hierin opgenomen beleid (zichtbaar) in uitvoering te brengen en de hierin opgenomen maatregelen / activiteiten op te nemen in de planning & control-cyclus van de gemeente. Reactie management: Op basis van de door de drie gemeenteraden (identiek) vastgestelde Nota Verbonden Partijen zijn de gemeenteraden en/of raadswerkgroepen aan de slag gegaan om de grip op verbonden partijen te versterken. Het in de nota verbonden partijen aangeboden instrumentarium is daarvoor voor de raden een hulpmiddel. Daarnaast sturen wij in regionale afstemming via de werkgroep financiële kaderstelling op de financiën van gemeenschappelijke regelingen.

Op basis van de aanbeveling in de managementletter zullen we in de paragrafen verbonden partijen vanuit het college actief invulling geven aan de checklist, zodat de achtergrond informatie voor de gemeenteraden meer aan de voorkant beschikbaar komt en daarmee een transparant kader ontstaat op basis waarvan door de colleges en gemeenteraden actief kan worden gestuurd op de governance op verbonden partijen.

28

Detailbevindingen interim-controle Status en prioriteit

Onderwerp

Bevinding, risico

Aanbeveling

2020.5

Sociaal domein:

Status: 

Monitoring sociaal domein

Bevinding: Uit onze beoordeling van het proces omtrent de monitoring van het sociaal domein bij TWO Holland Rijnland (hierna: TWO) en ISD Bollenstreek (hierna: ISD) blijkt de volgende bevinding.

Aanbeveling: Wij adviseren om, in relatie tot de nota verbonden partijen (zie bevinding 2020.3), invulling te geven in de manier hoe de gemeente de rol van sparringpartner vervult en weke eisen aan de verbonden partij wordt gesteld. Daarnaast adviseren wij om een gestructureerd proces in te richten, waarin afspraken worden gemaakt rondom te verrichten analyses.

Prioriteit: Midden

•

De rapportages, van zowel de TWO als ISD, zijn voornamelijk op hoofdlijnen, waardoor een meer gedetailleerde analyse door de gemeente maar beperkt mogelijk is. Wij hebben begrepen dat er recent bij de TWO enkele stappen zijn gezet, zo is er een dashboard ontwikkeld. Dit moet echter nog verder worden doorontwikkeld.

Op basis van bovenstaande kan de rol van sparringpartner niet altijd worden ingevuld. Risico: De gemeenten hebben geen tijdig inzicht in de lasten van het sociaal domein.

2019.2

Grondexploitatie:

Status: 

Controle of scenarioanalyses grondexploitaties

Prioriteit: Midden

Bevinding: Wij hebben begrepen dat er geen interne controle of scenarioanalyses worden uitgevoerd op de door de externe planeconoom opgestelde grondexploitaties. Hierdoor heeft de organisatie geen beeld van de kwaliteit van de door de planeconoom opgestelde grondexploitatie. Status 2020: Uit de bespreking over het proces rondom de grondexploitaties is gebleken dat er geen vastgestelde procedure is voor de controle van de grondexploitaties. Er is wel sprake van een co-making proces, waarbij bijzonderheden in de grondexploitaties door de planeconoom worden besproken met de projectleiders. Echter wordt er geen interne controle en scenarioanalyse uitgevoerd. Risico: De kwaliteit van de grondexploitatie voldoet niet aan de verwachting, waardoor de grondexploitatie niet juist wordt gewaardeerd.

Reactie management: De bedrijfsvoering van het TWO heeft ambtelijk de aandacht. Op dit moment wordt hierover in regionaal verband ook ambtelijke gesprekken gevoerd met als doel op korte termijn met behulp van een externe de bedrijfsvoering van het TWO te verbeteren. Verder willen we versneld de afspraak maken dat we een maandelijkse update krijgen zodat knelpunten eerder zichtbaar worden en hier dan ook op geacteerd kan worden. Ook wordt gewerkt aan een voorstel om het accounthouderschap onder te brengen bij de gemeenten zodat gerichter gestuurd kan worden en waar nodig sneller beleidsmatig aanpassingen worden doorgevoerd. Met de ISD gaan we op korte termijn ambtelijk in gesprek over de aanbevelingen van de accountant. Binnen het domein werken wij aan versterking van het accounthouderschap. De implementatie hiervan is in het eerste kwartaal gereed. Aanbeveling: Wij adviseren om (zichtbare) interne controles en scenarioanalyses uit te voeren op de door de externe planeconoom opgestelde grondexploitaties. Reactie management: Het klopt dat er in HLT geen vastgestelde procedure is voor het opstellen en actualiseren van de grondexploitaties en de interne controle daarop. Er zijn wel controlerende beheermaatregelen door onafhankelijk van elkaar opererende functionarissen in het proces waarbij de grondexploitaties binnen de interne projectgroepen worden besproken.

Onze aandacht heeft het om dit het komend jaar nog meer te formaliseren en gestructureerd vast te leggen. Nu is het zo dat de externe planeconoom, de financieel expert, en de afdeling FIN controleert in het proces van opstellen en vaststellen van de grondexploitatie. Alsook de aansluiting van de grondexploitatie op de administratie (boekwaarde) en jaarrekening (boekwaarde, winstneming en eindwaarde). De externe planeconoom werkt bij de actualisatie van de grondexploitaties met een transparante verschilanalyse waardoor de grondexploitatie in zichzelf al een belangrijk controlemechanisme bevat.

29

Detailbevindingen interim-controle Status en prioriteit

Onderwerp

Bevinding, risico

Aanbeveling

2018.6

Financiën:

Status: 

Proces jaarrekening

Bevinding: Bij de controle van de jaarrekeningen 2017 en 2018 is geconstateerd dat het traject van totstandkoming van de jaarrekeningen moeizaam is verlopen.

Aanbeveling: Wij adviseren om een oorzaakanalyse uit te voeren naar het proces van opstellen van de jaarrekening. Daarnaast adviseren wij om te overwegen om de administratie financieel af te sluiten zodat analyses van balansposities en ontwikkelingen tijdig hierin tussentijds verklaard worden.

Status 2020: Het jaarrekeningcontrole traject van 2019 is beter verlopen dan de voorgaande 2 jaar, desondanks is het traject nog voor verbetering vatbaar. Zowel de kwaliteit van de aanlevering als de kwaliteit van de jaarrekening zijn voor verbetering vatbaar. Wij constateren dat er in 2020 in lijn met ons advies bent gaan handelen door knelpunten te analyseren en maatregelen te treffen om het jaarwerktraject voor 2020 te verbeteren. Wij kunnen pas bij de jaarrekeningcontrole in 2021 beoordelen of het proces beter is verlopen. Daarom hebben wij dit punt nog niet afgehandeld.

Prioriteit: Midden

Risico: Het risico is dat financiële rapportages niet tijdig en/of betrouwbaar wordt opgesteld. 2017.9

Subsidies:

Status: 

Procedure / vastlegging ontvangen subsidies

Prioriteit: Midden

Bevinding: De behandeling van ontvangen subsidies ligt bij individuele medewerkers. Er is intern geen richtlijn of register van ontvangen subsidies en hieruit voortvloeiende verplichtingen. Status 2020: In 2020 is begonnen met het opstellen van een register van ontvangen subsidies. Het register staat echter nog in de kinderschoenen, en is hierdoor nog niet volledig.

Reactie management: In 2020 is gewerkt aan een afspraken kader waarbij voor alle vier de organisaties op een gelijke wijze het balans dossier tot stand komt. Hierover is afstemming geweest met Baker Tilly en zijn de bevindingen uit het proces 2019 verwerkt. Daarnaast is in 2020 een verdeling gemaakt en zijn medewerkers verantwoordelijk voor balansposten en tussenrekeningen. Deze worden periodiek bijgewerkt en opgeschoond. Een volledige tussentijdse afsluiting vraagt meer dan nu wordt gedaan. Dat betekent extra inzet op de administratie en in de lijn. Op dit moment past dit niet bij de fase waarin HLT zich bevindt. Weinig gemeenten hebben een periodieke afsluiting. Aanbeveling: Wij adviseren om nadere richtlijnen en een register voor ontvangen subsidies op te stellen en daarbij te monitoren of wordt voldaan aan de eisen en verplichtingen van de subsidieverstrekker. Zodra het register is gevuld, kan de volgende stap worden gezet met betrekking tot dossiervorming van de ontvangen subsidies. Reactie management: Het register is gevuld aan het einde van 2020. De vervolgstappen krijgen hun beslag in 2021.

Risico: Het risico bestaat dat gemaakte kosten in het kader van de subsidie als niet subsidiabel worden aangemerkt doordat niet wordt voldaan aan de subsidieverplichtingen.

30

Detailbevindingen interim-controle Status en prioriteit

Onderwerp

Bevinding, risico

Aanbeveling

2017.1

Algemeen:

Status: 

Ontbreken procesbeschrijvingen

Bevinding: Uit de besprekingen van de diverse processen blijkt dat procesbeschrijvingen van onder andere de processen betalingen, personeel, bouwleges en subsidies (deels) beschikbaar zijn, maar voor verbetering vatbaar. Voor inkoop is geen procesbeschrijving beschikbaar. Er zijn daarbij geen procesbeschrijvingen waarbij de interne beheersingsmaatregelen voldoen aan de eisen van het 5W-principe (wie doet wat, waarmee, waarom en wanneer).

Aanbeveling: Wij adviseren om de reeds ingezette weg met betrekking tot het verbeteren van procesbeschrijvingen voort te zetten. Hierbij benadrukken we het belang van de kwaliteitsborging die samenhangt met het up-to-date houden van deze procesbeschrijvingen. Hiermee fungeren de procesbeschrijvingen als hulpmiddel om risico’s te beheersen. Het is daarom van belang dat de procesbeschrijvingen gekoppeld zijn aan de risico’s in het risicomanagement, en de hierin opgenomen interne beheersingsmaatregelen. Het is daarnaast van belang om de procesbeschrijvingen op een centrale plek in de organisatie op te slaan.

Prioriteit: Midden

Status 2020: In 2020 heeft HLTsamen stappen gemaakt met het opstellen van de procesbeschrijvingen voor de belangrijkste processen. Beschrijvingen van alle materiële processen, met uitzondering van het uitgaande subsidieproces, zijn opgesteld. Met betrekking tot deze procesbeschrijvingen merken wij op dat de relatie met de belangrijkste risico’s en interne beheersingsmaatregelen nog ontbreekt. Hierdoor zijn de procesbeschrijvingen in het kader van risicomanagement en beheersing van risico’s nog niet goed bruikbaar. Daarnaast hebben wij begrepen dat er geen centrale plek in de organisatie is waar de kwaliteit en actualiteit van de beschrijvingen wordt geborgd. Risico: Interne beheersing is niet zichtbaar gemaakt in processen, waardoor maatregelen niet (toereikend) worden nageleefd.

Reactie management: In 2020 zijn een aantal financiële processen aan de hand van de LEANmethodiek verbeterd en beschreven. Door de klanten centraal te stellen en te werken aan het in 1x goed opleveren van een product met een zo kort mogelijke doorlooptijd worden verspillingen uit het proces gehaald. Interne beheersingsmaatregelen zijn hierbij noodzakelijk om 1. Te kunnen vaststellen dat het in 1x goed is en 2. Verantwoording te kunnen afleggen. Waar mogelijk wordt onderzocht of interne beheersingsmaatregelen kunnen worden geïntegreerd in de geautomatiseerde systemen.

31

Detailbevindingen interim-controle Status en prioriteit

Onderwerp

Bevinding, risico

Aanbeveling

2017.15

Algemeen:

Status: 

Risicomanagement

Bevinding: De structuur van risico identificatie, -analyse en beheersing is voor verbetering vatbaar. Zichtbaarheid van de getroffen maatregelen en rapportage zijn hierin belangrijke aspecten. Onderdeel hierin is bijvoorbeeld de aansluiting tussen risicomanagement en de werkzaamheden in het kader van de verbijzonderde interne controlewerkzaamheden.

Aanbeveling: Wij adviseren om een nadere invulling aan risicomanagement te geven, waarin geïdentificeerde risico’s en hierop genomen maatregelen zichtbaar worden gemaakt. Hierdoor wordt het mogelijk om in rapportages over de beheersing van risico’s te rapporteren. Wij verwijzen in dit kader ook naar de opmerking op pagina 17 met betrekking tot de rechtmatigheidsmededeling.

Status 2020: Er is in 2019 een nieuwe risico-inventarisatie opgesteld ten behoeve van de paragraaf weerstandsvermogen. Hierin zijn bedrijfsrisico’s beschreven aan de hand van de programma’s. Tevens is per risico beschreven wat de beheersmaatregel is en het netto risicobedrag (kans x impact) per gemeente. Op deze manier wordt invulling gegeven aan het risicomanagement zoals dat ook in de begroting en programmarekening tot uitdrukking komt. In 2020 zijn de operationele financiële risico’s en risico’s ten aanzien van corporate governance hieraan toegevoegd.