D07 College, raadsbrief Managementletter HLTsamen 2020.pdf

Reactie management: In 2021 start de 2e fase inzake risicomanagement. Dit is een traject met als doel het risicobewustzijn in de organisatie te vergroten. Binnenkort wordt hiervoor een opdrachtformulier aangeboden aan het Managementteam.

Prioriteit: Midden

In het huidige risicomanagement is nog geen inventarisatie van interne controle en frauderisico’s. Risico: Het risico bestaat dat (fraude)risico’s en maatregelen onvoldoende worden onderkend en gemitigeerd.

32

Detailbevindingen interim-controle Status en prioriteit

Onderwerp

Bevinding, risico

Aanbeveling

2017.14

Overige:

Status: 

Treasury - Er worden geen Liquiditeitsprognoses opgesteld

Bevinding: Wij constateren dat er in beperkte mate (zichtbare) liquiditeitsprognoses worden opgesteld. Op basis van het treasurystatuut/nota financiering van de gemeenten moet voor de korte termijn (1 jaar) en/of de lange termijn (4 jaar) een liquiditeitsprognose worden opgesteld.

Aanbeveling: Wij adviseren aan de hand van het treasurystatuut en de Wet Fido vast te stellen of er wordt voldaan aan de interne en externe regelgeving.

Prioriteit: Midden

Daarnaast heeft de provincie Zuid-Holland geconstateerd dat de gemeente Lisse niet voldoet aan de kasgeldlimiet. Hiermee wijkt de gemeente af van de Wet Fido. Hierdoor is sprake van een formele onrechtmatigheid. Status 2020: Wij hebben begrepen dat de actualisatie en harmonisatie van het treasurystatuut onderdeel is van het jaarplan 2021. Voor de liquiditeitsbegroting is er een werkgroep opgericht, deze werkgroep komt periodiek samen, sinds oktober. De verwachting is dat er medio december een eerste liquiditeitsbegroting is opgesteld, waarna deze versie in 2021 wordt geprofessionaliseerd.

Daarnaast adviseren wij om minimaal jaarlijks een liquiditeitsprognose op te stellen en hieruit voortvloeiende overwegingen op te nemen voor het beleid omtrent liquiditeit en financiering. Reactie management: In 2020 is de check gedaan. De bevoegdheden zijn op orde gebracht in het mandaatregister. Dit gaan we in 2021 verder uitwerken naar de functies binnen het team Financiën. Indien haalbaar inclusief het actualiseren van de treasurystatuten van de gemeenten. Daarnaast is een nota garantstellingen gemaakt en vastgesteld. De liquiditeitsprognose wordt ambtelijk voorbereid in december en in 2021 vervolmaakt tot een sturingsinstrument.

Risico: Er wordt niet voldaan aan het interne beleidsregels en externe wetgeving. Het risico bestaat dat het renterisico ontoereikend wordt beheerst. 2019.1

Personeel:

Status: 

Geen controle op standenregisters

Prioriteit: Midden

Bevinding: Wij hebben geconstateerd dat in het boekjaar een aantal maanden de controle op de standenregisters in het personeelsproces niet zijn uitgevoerd. Wel wordt er een individuele controle op de loonstroken verricht, welke niet zichtbaar wordt vastgelegd.

Afhandeling Voor 2019 zijn de standenregisters met terugwerkende kracht opgesteld. Door de overgang naar een nieuwe salarisapplicatie, zijn de standenregisters in 2020, niet (tijdig) opgesteld. In de nieuwe salarisapplicatie zijn er echter wel andere controles ingericht, waardoor alle mutaties in de salarisadministratie in functiescheiding tot stand komen.

Wij hebben begrepen dat er meerdere controles plaatsvinden in het personeelsproces. Deels worden de controles zichtbaar vastgelegd en deels worden de controles niet zichtbaar vastgelegd. Risico: Salarismutaties worden niet volledig verwerkt in de salarisadministraties.

33

Detailbevindingen interim-controle Status en prioriteit

Onderwerp

Bevinding, risico

Aanbeveling

2020.4

Subsidie:

Status: 

Ontoereikende functiescheiding subsidieproces

Bevinding: We hebben geconstateerd dat er geen (zichtbare) controle wordt uitgevoerd op de nauwkeurigheid van de subsidievaststelling. Wel wordt er tijdens het proces contact opgenomen met andere collega’s, waarmee sprake is van functiescheiding, dit is echter geen formele procedure. Hierdoor is er geen toereikende functiescheiding in het subsidieproces.

Aanbeveling: Wij adviseren om het subsidieproces zodanig aan te passen dat er voldoende interne beheersingsmaatregelen aanwezig zijn.

Prioriteit: Laag

Risico: Subsidies worden niet nauwkeurig vastgesteld.

2017.11

Overige:

Status: 

Volledigheid verhuur-/ pachtregister

Prioriteit: Laag

Bevinding: Uit de bespreking van het verhuurproces is gebleken dat verhuurbare eigendommen worden geregistreerd in een verhuurregister. De volledigheid hiervan is voor de gemeenten Hillegom en Lisse niet (recent) vastgesteld. Status 2020: Wij hebben begrepen dat de servicekosten bij een de huurcontract ten onrechte niet volledig zijn gefactureerd. Om dit in de toekomst te voorkomen, hebben wij begrepen dat er momenteel een selectie plaats vindt voor een vastgoedinformatiesysteem, waarin al het gemeentelijk vastgoed in is geregistreerd. Nadat de selectie is afgerond kan het systeem worden gevuld. Risico: Het risico bestaat dat huurobjecten niet volledig zijn geregistreerd, waardoor de hiermee samenhangende pacht en huur niet volledig wordt gefactureerd.

Reactie management: We zetten in op versterking van het accounthouderschap. De acties zijn: • Zorgen dat subsidie en inkoop afspraken aansluiten op de maatschappelijke opgaven. • Maken van eenduidige en heldere resultaatafspraken en het geven van financiële kaders en monitoring hiervan. • Het formuleren van heldere opdrachten op basis van de opgaven en actief sturen op de uitvoering binnen de gestelde kaders. • Gesprekspartner in het opstellen van prestatieafspraken waarbij outcome (op basis van KPI’s) en maatschappelijke effecten een belangrijk onderdeel vormen. • Monitoren van de KPI’s en de verantwoording en waar nodig bijsturen. Aanbeveling: Wij adviseren om de volledigheid van het verhuur- en pachtregister vast te stellen door een relatie te leggen met de eigendommen van de gemeenten. Aan de hand van een volledig register, met daarin de factuurtermijnen en bedragen, kan de organisatie de SOLL (verhuurregister) met de IST (financiële administratie) vergelijken, om zo de volledigheid van de huurfacturatie vast te stellen. Reactie management: Het vastgoedinformatiesysteem wordt op dit moment geïmplementeerd. Hierin zijn alle gemeentelijke vastgoedobjecten geregistreerd. De volledigheid van deze registratie is geborgd. Naast de analyse van de financiële administratie heeft inmiddels ook een kadastraal onderzoek plaatsgevonden naar gemeentelijke eigendommen.

In het vastgoedinformatiesysteem worden in Q1 en Q2 2021 de bijbehorende huurovereenkomsten en huurvoorwaarden geregistreerd, zodat in de loop van 2021 de huurinning geautomatiseerd kan worden. Ter controle worden bij de registratie van de huurovereenkomsten de voorwaarden nogmaals vergeleken met de financiële administratie.

34

Bijlage 2 IT Beheersing

35

Bijlage 2: Logische toegangsbeveiliging Wij onderscheiden vijf bouwstenen ten aanzien van toegangsbeveiliging, waarbij bouwstenen gestapeld, naast een sterke IT beheersing, ook de meeste controlezekerheid oplevert. Beperkingen in de onderliggende steen, zorgt voor een verzwakking van de bovenliggende stenen. In het onderstaande figuur zijn de bouwstenen schematisch weergegeven, op de volgende slides geven wij per applicatie weer welke bevindingen wij per applicatie hebben:

Authenticatie

Databases: Basis voor toegangsbeveiliging van een applicatie is dat de applicatie de enige toegangspoort is en dat niet rechtstreeks op de database gemuteerd kan worden.

Wachtwoorden: Sterke, regelmatig wijzigende wachtwoorden voor applicaties en databaseszijn de basis voor toegangsbeveiliging, samenhangend met bewustzijn bij medewerkers.

Autorisatie

Hoge rechten: Voor het beheersen van autorisaties is het cruciaal dat de rechten tot het aanpassen van rechten zijn beperkt tot medewerkers die geen belang hebben bij aanpassingen.

Gewenste situatie: Iedere organisatie zal moeten bepalen wat de “SOLLpositie” is ten aanzien van rechten, met name gericht op kritische functiescheidingen

Beheersen mutaties: Wanneer de gewenste situatie is ingericht, verwachten wij een beheerst proces ten aanzien van het toekennen, ontnemen en wijzigen van rechten inclusief monitoring en controle.

36

Bijlage 2: Wijzigingsbeheer Bij het doorvoeren van wijzigingen in softwareomgevingen ontstaan risico’s voor de bedrijfsvoering van uw organisatie. Wij verwachten daarom dat het proces voor wijzigingen een proces doorloopt, waarmee de risico’s die gelopen worden, zijn ingeschat, worden geadresseerd en dat hierop maatregelen genomen worden. Wij hebben onderstaand aangegeven wat wij verwachten per fase. Onder wijzigingen verstaan wij niet alleen nieuwe versie updates, maar ook aanpassingen in (kritieke) systeemconfiguraties.

Proces

Onze verwachting

Risico inschatting

Voor iedere software wijziging is het relevant om te beoordelen wat de risico’s zijn die de wijziging met zich mee brengt voor de hoofdprocessen. Daarnaast moet beoordeeld worden welke geïdentificeerde technische en organisatorische wijzigingsrisico’s er spelen bij het uitvoeren van de change, in het bijzonder wanneer er sprake is van maatwerk. Hiermee beoordeelt u per wijziging welke nieuwe of gewijzigde functionaliteit een risico vormt voor een goede werking van uw bedrijfsvoering.

Opstellen testplan en aanpak

Vanuit de geïdentificeerde risico’s kan een testplan worden gemaakt waarin de te testen elementen van de software benoemd zijn evenals de inhoudelijk uit te voeren testwerkzaamheden op deze elementen. Belangrijke elementen hierin zijn go/no-go momenten, het maken van een back up voor implementatie, een fall-back scenario in het geval een implementatie mislukt en het definiëren van de impact op de organisatie (denk bijvoorbeeld aan het opleiden van medewerkers)

Testen en documenteren

Softwarewijzigingen kunnen gestructureerd worden getest, na het correct uitvoeren van de voorgaande twee stappen. Het maken van een gedegen vastlegging van testwerkzaamheden is van belang voor de aantoonbaarheid en controleerbaarheid van de uitgevoerde stappen. Daarnaast kan de vastlegging van testwerkzaamheden een belangrijke bron van informatie zijn als er onverhoopt na het doorvoeren van de wijziging toch verstoringen van uw bedrijfsvoering optreden.

Gebruikers acceptatie

Een wijziging is pas effectief als deze niet alleen is geaccepteerd vanuit een technisch oogpunt, maar ook vanuit de gebruikersorganisatie. Wij verwachten daarom een formele goedkeuring vanuit de gebruikersorganisatie, zowel voor implementatie als na de implementatie. Het kan natuurlijk ook voorkomen dat het nodig is om gebruikers te informeren over bijzonderheden als gevolg van de wijziging, zoals veranderingen in de werkwijze of aandachtspunten bij het gebruik van de applicatie.

1. Risicoinschatting

2. Opstellen testplan en -aanpak

3. Testen en documenteren

4. Gebruikersacceptatie

37

Contactgegevens drs. J.M.A. Drost RA Partner Audit 020 – 644 28 40 j.drost@bakertilly.nl drs. S.M. Turenhout RA Director Audit 06 – 52 75 98 79 s.turenhout@bakertilly.nl

Kantoorgegevens: Baker Tilly (Netherlands) N.V. Entrada 303 Postbus 94124 1090 GC Amsterdam

38