10. Collegebrief inzake Managementletter 2024

GEMEENTE HILVERSUM POSTBUS 9900 1201 GM HILVERSUM BEZOEKADRES: RAADHUIS

Aan de gemeenteraad cc commissieleden cc pers

DUDOKPARK 1 TELEFOONNUMMER: 14 035 WWW.HILVERSUM.NL

28 februari 2025 ZAAKNUMM ER 1723864 BEHA NDELD DOOR Michiel van Oosterom TELEFOON (035) 629 2945 DATUM

UW KENMERK

2 BETREFT Managementletter 2024

BIJLAGEN

Geachte raadsleden, Op 18 december 2024 ontvingen wij de definitieve Managementletter 2024 (bijlage 1) van onze accountant PSA. In de Audit- en Rekeningcommissie van 4 maart 2025 wordt in aanwezigheid van de wethouder Financiën de Managementletter 2024 besproken. De raad heeft de accountant (PSA) opdracht gegeven om de jaarrekening 2024 te controleren. In november 2024 heeft PSA de zgn. interim-controle uitgevoerd. Het laten uitvoeren van een interimcontrole is onderdeel van het continue proces van het verbeteren van de beheersing van de bedrijfsvoering. Doel van de interim-controle is ook om specifieke aandachtspunten te signaleren voor (de totstandkoming van) de eerstvolgende jaarrekening (2024). De accountant heeft zijn bevindingen en adviezen opgenomen in bijgaande managementletter. Het doel van de behandeling van de managementletter vanuit de externe accountant alsmede de interne managementletter vanuit de interne audit functie is om vraagstukken op sturing en beheersing helder in beeld te brengen en om gestructureerd te gaan werken aan de oplossing van deze issues en om te leren van eventuele fouten. De managementletter heeft bovendien tot doel om eventuele tekortkomingen bij de voorbereiding van de jaarrekening aan het licht te brengen en om het proces van het opstellen van de jaarrekening te kunnen versnellen.

Door kennis te nemen van de bevindingen, het overnemen van de relevante aanbevelingen en adviezen maar bovenal te sturen op de concrete acties geven wij als college samen met directie en management blijk van de ambitie dat de beleidsdoelstellingen op doelmatige wijze worden gerealiseerd, de externe verantwoording op orde is en dat processen rechtmatig worden uitgevoerd. De accountant benoemt in de samenvatting een zestal duidelijke adviezen (pagina 2 Managementletter 2024) waar wij als college, naast een separate ambtelijke reactie per procesonderdeel (bijlage 2) een reactie op geven: 1. Ga na of uw planning om de volgende stap in het volwassenheidsniveau van de verbijzonderde interne controle (niveau 3 in 2025) haalbaar is en of het uiteindelijke doel (in 2026 niveau 4)

realistisch is gelet op de druk op de personele capaciteit in de 1e en 2e lijn en de voorbereidende werkzaamheden die door uw organisatie worden uitgevoerd in aanloop naar de fusie met de gemeente Wijdemeren; We nemen dit advies over. Onze ambitie vraagt in 2025 een herijking in realisme. We zijn ons er terdege van bewust dat binnen onze organisatie een verschil kan ontstaan tussen moeten, willen en kunnen. De turbulentie van de afgelopen jaren en actualiteit om ons heen zoals bijvoorbeeld de diverse crises, het hoge verloop binnen kritische functies en krappe arbeidsmarkt alsmede de ambtelijke en bestuurlijke fusie met Wijdemeren vragen om bewuste strategische keuzes. Dit brengt de nodige veranderingen met zich mee. Niet alleen voor wat betreft de manier van werken, maar ook voor, bijvoorbeeld, de inrichting van de relevante processen en systemen. Bij al deze veranderingen is het van belang te blijven werken in overeenstemming met de geldende wet- en regelgeving (lees: rechtmatigheid). In de afgelopen jaren lag de eerste prioriteit bij het juist en volledig uitvoeren van de rechtmatigheidscontrole en de verantwoording daarover in de rechtmatigheidsverantwoording. Nu is het van belang om vervolgstappen te zetten om de bewustwording en betrokkenheid van de rest van de organisatie met betrekking tot de doorontwikkeling interne beheersing te vergroten.

Hierbij wordt, zoveel als mogelijk, aansluiting gezocht bij de ontwikkeling van de organisatie en de aanstaande fusie met de gemeente Wijdemeren. 2. Denk na over de inrichting van processen voor de periode vanaf de fusie met gemeente Wijdemeren. Waarbij de inkadering van de taak- en rolverdeling tussen de 1e, 2e en 3e lijn voldoende aandacht krijgt, de verbijzonderde interne controle nog meer risicogericht is en optimaal gebruik wordt gemaakt van de IT-omgeving; We nemen dit advies over. Ons huidige Controleplan gaan we begin 2025 (Q1) evalueren en herijken. Ons risicomanagement en vooral de benodigde risicodialoog gaat in 2025 extra aandacht krijgen. De volwassenheid en met name taak- en rolverdeling binnen ons 3LM wordt daarin actief meegenomen. De beantwoording van deze vraagstukken krijgen hiermee specifieke aandacht in de interne controles 2025 die worden uitgevoerd. Ontwikkelingen die in 2025 een rol gaan spelen zijn digitalisering en zogenaamde soft-controls. In de uit te voeren interne controles wordt, naast aandacht voor de hardcontrols, ook aandacht besteed aan de verschillende soft-controls. Hard-controls hebben betrekking op richtlijnen, procedures, processen en systemen. Soft-controls gaan over houding, gedrag en de cultuur van de organisatie. Beide controls zijn onafscheidelijk met elkaar verbonden als de twee zijden van één medaille.

Daarnaast kan digitalisering in de vorm van de inzet van een audittool naast kwaliteit en uniformiteit ook efficiëntievoordelen opleveren bij het vastleggen van alle uitgevoerde interne controles. Daarnaast komen steeds meer digitale middelen beschikbaar om de (interne) controles op een meer efficiënte manier uit te voeren, zoals data-analyse, processmining en artificial intelligence (AI). 3. Recent is de Kadernota Rechtmatigheid van de commissie BBV geactualiseerd. U heeft deze vertaald naar actuele spelregels binnen de gemeente, waarmee uw kaderstelling voor de rechtmatigheidsverantwoording 2024 voldoet en uitvoerbaar is bij het opstellen van de rechtmatigheidsverantwoording 2024. Wij hebben nog een aantal adviezen naar de toekomst meegegeven welke betrekking hebben op de verantwoordingsgrens en spelregels met betrekking tot begrotingsrechtmatigheid; In december 2024 heeft de raad het raadsvoorstel normen -en toetsingskader 2024 ontvangen en vastgesteld. Daarnaast is de bijgestelde financiële verordening (212) vastgesteld, waarin de belangrijkste andere wijzigingen ten aanzien van de rechtmatigheid zijn verwerkt. De bijstellingen uit de kadernota rechtmatigheid van eind oktober 2024 met de recentste vraag en antwoorden zijn daarin verwerkt.

Het advies met betrekking tot de vast te stellen ruimere verantwoordingsgrens (maximaal 3%) nemen we bij de eerstvolgende actualisatie van ons Controleprotocol mee. Vooralsnog zijn we van mening dat de huidige 1%-norm passend is bij onze volwassenheid en manier

van werken. De nog op te stellen rechtmatigheidsverantwoording 2024 (jaarrekening 2024) gebruiken we hierbij als referentiekader. 4. Binnen uw organisatie is voldoende aandacht voor het inventariseren van frauderisico’s en het treffen van bijhorende beheersmaatregelen. Door goed onderscheid te maken tussen frauderisicofactoren en frauderisico’s en de kans en impact te bepalen, kunnen onderkende risico’s meer op hoofdlijnen worden gepresenteerd waardoor uw analyse bestuurlijk relevanter wordt. Wij hebben met uw medewerkers afgesproken om hier in 2025 samen naar te kijken; We nemen dit advies over. Op dit moment nemen we de geïnventariseerde frauderisico's integraal op binnen onze reguliere controlewerkzaamheden vanuit onze processen. We proberen voor 2025 deze meer op hoofdlijnen te presenteren zodat deze ook in het bestuurlijke domein onderdeel kunnen worden van de zogenaamde risicodialoog tussen college en raad. De organisatieontwikkeling die is ingezet heeft de afgelopen jaren grotendeels zichtbaar effect op de structuur (organisatie en interne controle), maar is ook vooral ingegeven om beter sturing te kunnen geven op het individu en de normen en waarden. De belangrijkste frauderisico’s zijn de afgelopen jaren op verschillende onderdelen uitgewerkt. In het M&O-beleid dat is vastgesteld en daarnaast specifiek voor het sociaal domein.

Begin 2025 actualiseren we onze frauderisicoanalyse en nemen we dit advies mee. 5. Intern rapporteert het team van CCA haar bevindingen en aanbevelingen naar aanleiding van de beoordeling van de financiële processen en overige relevante werkzaamheden door CCA. Uit onze controlewerkzaamheden blijkt dat wij tot vergelijkbare bevindingen als CCA komen, waarmee de rapportage derhalve een goede basis vormt om verbeteringen door te voeren. Voor een meer inhoudelijke toelichting verwijzen wij naar hoofdstuk 3; Onze interne auditfunctie (team CCA) helpt ons te waarborgen dat wordt voldaan aan wet- en regelgeving, interne richtlijnen en beleidsnormen. Dit doet team CCA vooral door de interne toetsing van de getrouwheid van informatieverstrekking en door te toetsen of beheershandelingen rechtmatig plaatsvinden. Daarnaast beoordeelt onze interne auditfunctie de besturing, het risicomanagement en de beheersing binnen de gemeentelijke processen. Al enige jaren doet onze auditfunctie actief verbetervoorstellen om onder andere de effectiviteit van de interne beheersing en de doelmatigheid verder te verbeteren. De procesbevindingen en meer specifieke adviezen nemen onze proceseigenaren zoveel als mogelijk mee in de verdere doorontwikkeling. 6.

In hoofdstuk 4 van deze managementletter hebben wij een aantal aandachtspunten opgenomen, die van belang zijn voor het opstellen van de jaarrekening 2024. Wij vragen daarbij specifiek aandacht voor het beoordelen van de waardering van de onderhoudsvoorzieningen, de actualisatie van de grondexploitaties, met name Stationsplein en de waardering van personeel gerelateerde voorzieningen. We nemen deze aandachtspunten, die inmiddels een vast onderdeel uitmaken van het jaarrekeningproces (Onderhoudsvoorzieningen en de aandachtpunten genoemd in hfst 4) mee bij het opstellen van de jaarrekening 2024. Wij herkennen deze aandachtspunten en erkennen het belang voor een efficiënt proces. Werkafspraken zijn gemaakt om hier tijdig aan te kunnen voldoen en zullen tijdens het jaarrekeningtraject worden gemonitord. Het college van burgemeester en wethouders is in het algemeen tevreden met de uitkomst van de zogenaamde interim controle en dankt de accountant voor de ontvangen managementletter. Wij spreken daarnaast onze waardering uit voor de inzet en betrokkenheid van onze interne organisatie in goede onderlinge samenwerking met onze accountant in dit traject. De aandacht en de bewustwording voor het ‘in control’ zijn van de organisatie groeit al enige jaren en is ook in 2024 onverminderd aanwezig en van een bovengemiddeld niveau.

Het belang van het verkrijgen van inzicht in de risico’s en de aanwezige en/of te implementeren beheersmaatregelen om de interne

beheersing van processen te verbeteren, wordt steeds breder gedragen. Steeds vaker worden controlehandelingen belegd in de zogenaamde 1e en 2e lijn en komt het team van Concern Control & Concern Audit (CCA, de 3e lijn) steeds meer in een rol die is gericht op het vaststellen van de goede werking van het samenspel tussen de 1e en 2e lijn en het adviseren daarover. De praktijk is echter weerbarstig. Onder meer door druk op de personele capaciteit in de 1e en 2e lijn is de progressie ook in 2024 op onderdelen minder dan gepland. De 3e lijn (CCA) voert nog steeds werkzaamheden uit, die volgens de door Hilversum omarmde filosofie van het three lines model (3LM) bij de 1e lijn (procesuitvoering/management) of de 2e lijn (business control) liggen. Aandachtspunt blijft op onderdelen het verkrijgen van duidelijkheid en overeenstemming over de uit te voeren interne controlewerkzaamheden per proces en het samenspel hierbij tussen de hiervoor genoemde actoren. Zoals uit de bevindingen van het interne auditteam (CCA) en de externe accountant (PSA) blijkt, verschilt dit nog wel per proces. De komende jaren zal blijvend capaciteit ingezet dienen te worden voor het implementeren van het principe van 3LM om de interne beheersing van processen op het huidige niveau te behouden dan wel verder te verbeteren.

Het verkrijgen en behouden van een breed draagvlak, ook vanuit het bestuur en de top van het management blijft met het oog op de aanstaande fusie essentieel. Tijdens behandeling in ons college op 25 februari 2025 is op basis van een meer gedetailleerd overzicht (bijlage 2) aangegeven hoe en wanneer ambtelijke opvolging wordt gegeven aan de gestelde procesbevindingen en/of adviezen uit met name hoofdstuk 3 van de managementletter. Hierin reageert de ambtelijke proceseigenaar op met name de meer specifieke adviezen per proces en/of onderdeel van onze interne auditfunctie, welke de externe accountant integraal heeft overgenomen en op onderdelen heeft aangevuld. De directie ziet er namens het college op toe dat de adviezen voor zover overgenomen daadwerkelijk tijdig en adequaat worden geïmplementeerd en de concerncontroller toetst de vorderingen in de tijd. Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd. Hoogachtend, Burgemeester en wethouders van Hilversum, de gemeentesecretaris,

de burgemeester,

drs. T.J. Meester, ls.

dr. ir. G.M. van den Top

Managementletter 2024 Gemeente Hilversum

Publieke Sector Accountants B.V. Arcadialaan 20 E 1813 KN Alkmaar www.publiekesectoraccountants.nl info@psa-ra.nl

Aan het college van burgemeester en wethouders van de gemeente Hilversum Postbus 9900 1201 GM HILVERSUM

Geacht college,

Onderwerp Managementletter 2024

Wij hebben, als onderdeel van de controle van de jaarrekening 2024, de interim-controle voor uw gemeente uitgevoerd. Deze controle is primair gericht op de analyse en evaluatie van de interne beheersingsomgeving en de daarin opgenomen maatregelen van interne controle. In onze managementletter zijn onze bevindingen en aanbevelingen opgenomen. Tevens heeft deze controle als doelstelling om de aandachtspunten voor de jaarrekening 2024 te signaleren en onder uw aandacht te brengen.

Datum 18 december 2024

Wij merken op dat deze brief is opgesteld ten behoeve van het college van burgemeester en wethouders van de gemeente Hilversum en niet zonder onze toestemming aan derden mag worden verstrekt.

Kenmerk 312018008.24.742

De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college als onderdeel van het continue proces van het veranderen en verbeteren van de beheersing van de bedrijfsvoering en de kwaliteit van de jaarrekening. Graag willen wij deze rapportage en de daarin opgenomen bevindingen en aanbevelingen nader met u bespreken. Met vriendelijke groet, Publieke Sector Accountants B.V. Was getekend: A. Booij RA ValidSigned door A. Booij RA op 18-12-2024

Publieke Sector Accountants B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te Utrecht onder nummer 69411409.

Inhoudsopgave

Contact De volgende personen kunnen benaderd worden bij vragen met betrekking tot deze managementletter: Arie Booij Tel: 06 1509 2689 Jan Scholten Tel: 06 2832 1383

Overzicht van adviezen...................................................... 2 1. Inleiding ....................................................................... 4 2. Onze evaluatie van uw interne beheersomgeving ......... 8 3. Procesbevindingen ......................................................17 4. Overige onderwerpen en aandachtspunten voor de jaarrekening .....................................................................30

Overzicht van adviezen

312018008.24.742 - 1

Overzicht van adviezen Ga na of uw planning om de volgende stap in het volwassenheidsniveau van de verbijzonderde interne controle (niveau 3 in 2025) haalbaar is en of het uiteindelijke doel (in 2026 niveau 4) realistisch is gelet op de druk op de personele capaciteit in de 1e en 2e lijn en de voorbereidende werkzaamheden die door uw organisatie worden uitgevoerd in aanloop naar de fusie met de gemeente Wijdemeren Denk na over de inrichting van processen voor de periode vanaf de fusie met gemeente Wijdemeren. Waarbij de inkadering van de taak- en rolverdeling tussen de 1e, 2e en 3e lijn voldoende aandacht krijgt, de verbijzonderde interne controle nog meer risicogericht is en optimaal gebruik wordt gemaakt van de IT-omgeving Recent is de Kadernota Rechtmatigheid van de commissie BBV geactualiseerd. U heeft deze vertaald naar actuele spelregels binnen de gemeente, waarmee uw kaderstelling voor de rechtmatigheidsverantwoording 2024 voldoet en uitvoerbaar is bij het opstellen van de rechtmatigheidsverantwoording 2024. Wij hebben nog een aantal adviezen naar de toekomst meegegeven welke betrekking hebben op de verantwoordingsgrens en spelregels met betrekking tot begrotingsrechtmatigheid Binnen uw organisatie is voldoende aandacht voor het inventariseren van frauderisico’s en het treffen van bijhorende beheersmaatregelen.

Door goed onderscheid te maken tussen frauderisicofactoren en frauderisico’s en de kans en impact te bepalen, kunnen onderkende risico’s meer op hoofdlijnen worden gepresenteerd waardoor uw analyse bestuurlijk relevanter wordt. Wij hebben met uw medewerkers afgesproken om hier in 2025 samen naar te kijken Intern rapporteert het team van CCA haar bevindingen en aanbevelingen naar aanleiding van de beoordeling van de financiële processen en overige relevante werkzaamheden door CCA. Uit onze controlewerkzaamheden blijkt dat wij tot vergelijkbare bevindingen als CCA komen, waarmee de rapportage derhalve een goede basis vormt om verbeteringen door te voeren. Voor een meer inhoudelijke toelichting verwijzen wij naar hoofdstuk 3 In hoofdstuk 4 van deze managementletter hebben wij een aantal aandachtspunten opgenomen, die van belang zijn voor het opstellen van de jaarrekening 2024. Wij vragen daarbij specifiek aandacht voor het beoordelen van de waardering van de onderhoudsvoorzieningen, de actualisatie van de grondexploitaties, met name Stationsplein en de waardering van personeel gerelateerde voorzieningen

312018008.24.742 - 2

1.

Inleiding

312018008.24.742 - 3

1. Inleiding Onze controleaanpak is risicogericht

In het kader van onze interim-controle hebben wij de interne beheersingsomgeving onderzocht voor zover dit relevant is voor de bijdrage daarvan aan de getrouwheid van de jaarrekening. De geselecteerde werkzaamheden zijn afhankelijk van de door de accountant toegepaste oordeelsvorming, met inbegrip van het inschatten van de risico's dat de jaarrekening een afwijking van materieel belang bevat als gevolg van fraude of fouten. Bij het maken van deze risico-inschattingen neemt de accountant de interne beheersing in aanmerking, die relevant is voor het opmaken van de jaarrekening en voor het getrouwe beeld daarvan. Deze risicoinschattingen hebben echter niet tot doel een oordeel tot uitdrukking te brengen over de effectiviteit van de interne beheersing. Hierdoor is onze analyse en evaluatie beperkter dan dat deze zou zijn geweest in het kader van een opdracht tot het geven van een oordeel omtrent de opzet, het bestaan, de effectiviteit en de efficiency van de interne beheersing als geheel en bestrijkt daarom niet noodzakelijkerwijze alle in de interne organisatie vervatte tekortkomingen. Daarnaast hebben wij een aantal aandachtspunten benoemd waarvan wij het zinvol achten daar bij de controle aandacht aan te besteden. Wij hebben bij de interim-controle vooral aandacht besteed aan de inrichting van uw interne beheersomgeving en de financiële processen.

Hierna geven wij aan welke belangrijkste risicogebieden en aandachtspunten voor de jaarrekeningcontrole 2024 van uw gemeente zijn geïdentificeerd.

Aandachtspunten voor controle en rapportage

Voor de jaarrekeningcontrole 2024 onderkennen wij een aantal aandachtspunten, die een verhoogd risico met zich mee (kunnen) brengen op een materiële fout in uw jaarrekening en die een mogelijke impact op de bedrijfsvoering kunnen hebben. De risicogebieden zijn hieronder weergegeven en hebben wij op 14 oktober 2024 ook afgestemd met de audit- en rekeningcommissie. ▪ De voortgang van de investeringsplanning en beheersing van investeringskredieten en (grote) projecten vanwege het financieel belang. ▪ De waardering van de financiële vaste activa, in het bijzonder de vordering op de GEM Crailo B.V. (vanwege de uitgestelde betaling) en het kapitaalbelang in de Regionale Ontwikkelingsmaatschappij Utrecht. ▪ De voortgang en status van de lopende grondexploitaties: Waardering Stationsgebied (in relatie tot de reeds getroffen verliesvoorziening en de bijdrage aan het Mobiliteitsfonds). Financiële ontwikkeling en afwikkeling van Anna’s Hoeve. ▪ Het beheer van vorderingen, specifiek de belastingvorderingen en vorderingen op cliënten sociale zaken (uitvoering invorderingsbeleid en bepaling voorziening oninbaarheid). ▪ De dekking van investeringen in de riolering in relatie tot het saldo van de spaarvoorziening, mede in verband tot de onderbesteding in 2023.

▪ De verantwoording en waardering van voorzieningen voor onderhoud aan uw kapitaalgoederen in relatie tot de aanwezigheid van actuele beheerplannen (vanwege schattingselementen en oplopende prijzen). ▪ De vraag of het noodzakelijk is om een voorziening de Regeling voor Vervroegde Uittreding (RVU) noodzakelijk te treffen. 312018008.24.742 - 4

▪ ▪

▪ ▪

▪ ▪ ▪ ▪ ▪ ▪ ▪

De besteding van ontvangen subsidievoorschotten en het realiseren van overeengekomen voorwaarden. Risico’s en onzekerheden in het sociaal domein, waaronder de afwikkeling van de over boekjaar 2023 gerapporteerde onzekerheden (€ 416.000) rondom de prestatielevering Wmo en Jeugd en de uitkomsten van uw onderzoek naar de levering van zorg in 2024. Naleving van de (Europese) aanbestedingsregels, mede in relatie tot fouten in voorgaande jaren (2023 € 3.316.000). “ Veronderstelde risico’s” vanuit de voorschriften voor de accountantscontrole. Dit betreft de mogelijkheid die het management heeft om specifieke controlemaatregelen te omzeilen, bijvoorbeeld door memoriaalboekingen of het schattingsproces en de opbrengstverantwoording. De specifieke aandacht voor deze risico’s is voorgeschreven vanuit de controlerichtlijnen en is niet uniek voor de gemeente Hilversum. Voortgang en uitkomsten verbijzonderde interne controle 2024. Uw ambities en ontwikkelperspectief van de verbijzonderde interne controle richting een Interne Audit Functie. De follow-up ten aanzien van eerder gerapporteerde aandachtspunten vanuit de interne (VIC) en externe controle (managementletter en accountantsverslag). Ontwikkelingen en actualiteiten op IT-gebied, continuïteit en betrouwbaarheid IT-omgeving. Fraude- en corruptierisico’s en de actualisatie van de interne (fraude-)risicoanalyse.

De actualisatie van de (fraude-)risicoanalyse. De ontwikkeling en invoering van de duurzaamheidsrapportage bij de gemeente Hilversum.

Opname van een risicogebied of aandachtspunt in deze opsomming betekent niet dat daadwerkelijk sprake is van risico’s die zich daadwerkelijk voordoen, maar is enkel bedoeld om aan te geven dat wij hier tijdens onze controle (extra) aandacht aan zullen besteden. Ter voorkoming van een materiële fout in de jaarrekening heeft u voor bovenstaande risicogebieden interne beheersmaatregelen getroffen. Wij hebben ons tijdens de interim-controle gericht op de opzet en het bestaan van de door u ingerichte beheersingsomgeving, die deze risico’s in het primaire proces moeten verkleinen.

Aandachtspunten Audit- en Op 14 oktober 2024 hebben wij, in een pre-auditmeeting, de focus van de controle 2024 met de Audit- en rekeningcommissie afgestemd. Op basis van de uitkomsten van deze bespreking, de aandachtspunten uit voorgaande controles en de actuele rekeningcommissie ontwikkelingen zijn de speerpunten voor de uitvoering van onze controle over het jaar 2024 bepaald. Voor het jaar 2024 is, in aanvulling op de hiervoor opgenomen onderwerpen, ons verzocht om ook specifiek aandacht te besteden aan de volgende onderwerpen: ▪ ▪ ▪

De kwaliteit van de interne beheersing in relatie tot de ambities van de gemeente Hilversum en de voorgenomen fusie met gemeente Wijdemeren. De voortgang en risico inschatting met betrekking tot het IHP. De interne beheersing en project control bij een aantal projecten, welke door gemeente Hilversum zullen worden aangewezen. 312018008.24.742 - 5

Op een aantal onderwerpen komen wij reeds in deze managementletter terug. In ons accountantsverslag bij de jaarrekening zullen wij u informeren over onze aanvullende bevindingen over deze onderwerpen en de voortgang van de realisatie van de grote projecten.

Materialiteit

De materialiteitsbepaling bij de gemeente Hilversum is gebaseerd op het Besluit Accountantscontrole Decentrale Overheden (BADO) en het door de raad op 15 november 2023 vastgestelde Controleprotocol 2023 – 2026. Voor fouten is deze gebaseerd op 1% van de lasten inclusief toevoegingen aan de reserves en voor onzekerheden op 3% van de lasten inclusief toevoegingen aan de reserves. Bij onze controleplanning zijn wij vooralsnog uitgegaan van de cijfers volgens de (primaire) begroting 2024. Wanneer de jaarrekening 2024 beschikbaar is, zullen wij onze materialiteitbepaling op basis van de werkelijke cijfers over 2024 herzien. Bij de interim-controle is derhalve uitgegaan van:

Bron: Programmabegroting 2024

Fouten

Materialiteit

€ 3.600.000

Onzekerheden € 10.800.000

Voor de controle op naleving van de Wet Normering Topinkomens (WNT) hanteren wij een lagere materialiteit. Deze specifieke materialiteitsberekening is verplicht gesteld vanuit het controleprotocol WNT.

Kernboodschappen

De kernboodschappen uit onze interim-controle 2024 hebben wij steeds in de linker kantlijn weergegeven.

312018008.24.742 - 6

2.

Onze evaluatie van uw interne beheersomgeving

312018008.24.742 - 7

2. Onze evaluatie van uw interne beheersomgeving Stem uw visie en ambitie om de interne beheersing op een hoger niveau te krijgen af op de situatie waarin u zich bevindt

Uw gemeente heeft een uitgesproken visie en ambitie om de interne beheersing en de daarbij horende verantwoordelijkheden naar een steeds hoger niveau te brengen. In onze managementletter van vorig jaar zijn wij uitgebreid ingegaan op de vraag hoe de verbijzonderde interne controle (VIC) kwalificeert als auditfunctie. Daarbij is als kader de notitie van commissie BADO “De verbijzonderde interne controle bij decentrale overheden” gehanteerd. In deze notitie zijn vier niveaus voor de verbijzonderde interne controle (VIC) beschreven. Dit zijn: 1. 2. 3. 4.

instrument om de aanlevering van stukken aan de accountant te verbeteren; onderdeel van het interne beheersingskader om toezicht te houden op de uitvoering van interne beheersingsmaatregelen; interne beheersingsmaatregel, waarop de accountant kan steunen bij zijn organisatiegerichte werkzaamheden; interne auditfunctie (IAF, zoals bedoeld in Standaard 610).

In uw intern controleplan 2023-2026 heeft u uw ambitie als volgt beschreven: De ambitie van de gemeente Hilversum is om de interne auditfunctie bij de gemeente Hilversum in te richten op fase 4 zoals beschreven in de BADO notitie “De verbijzonderde interne controle bij decentrale overheden”. In deze situatie voldoet de VIC aan de eisen die Standaard 610 bevat voor de interne auditfunctie. Dit veronderstelt: ▪ dat de organisatorische positie en relevante beleidslijnen alsmede procedures van de interne auditfunctie, op adequate wijze de objectiviteit van de interne auditors ondersteunen; ▪ het competentieniveau van de interne auditfunctie gewaarborgd is; ▪ dat binnen de interne auditfunctie een systematische en gedisciplineerde benadering gehanteerd wordt, inclusief de kwaliteitsbeheersing. Uw ambitie om tot een in control statement te komen is, ten opzichte van voorgaande jaren, ongewijzigd. Om stappen te zetten in 2024 was het de bedoeling dat in het kader van de verbijzonderde interne controle (VIC) door de afdeling Concern Control en Audit (CCA) naast de min of meer traditionele verbijzonderde interne controles en procescontroles, ook de werkzaamheden te gaan vastleggen met behulp van een audittool.

Ook was het de bedoeling om meer gebruik gaan maken van data-analyse en continuous monitoring om enerzijds een risicogerichte controle aanpak uit te blijven voeren en anderzijds efficiënter en vaker gedurende het jaar de processen te kunnen controleren. Onderdeel van uw ambitie is ook het tijdspad om deze te realiseren. Hieruit blijkt dat het uw doel is om in 2025 niveau 3 bereikt te hebben en vervolgens uiterlijk in 2026 niveau 4. De “tussenmeting” die wij in 2023 hebben gedaan, was belangrijk om vast te stellen op welke onderdelen nog stappen gezet moeten worden om uw ambitie te kunnen realiseren. Op basis van de inrichting en uitvoering van de verbijzonderde interne controle (VIC) op dit moment concludeerden wij vorig jaar dat uw VIC op niveau 2 (onderdeel van het interne beheersingskader om toezicht te 312018008.24.742 - 8

houden op de uitvoering van interne beheersingsmaatregelen) zat. In 2024 zijn weliswaar weer stappen gezet, maar is er uiteindelijk minder progressie in de ontwikkeling van de organisatie gemaakt, dan u had gepland. Belangrijke oorzaken van deze vertraging zijn de druk op de personele capaciteit in de 1e en 2e lijn en de voorbereidende werkzaamheden die door uw organisatie worden uitgevoerd in aanloop naar de fusie met de gemeente Wijdemeren. Wij adviseren u om na te gaan of uw planning om de volgende stap in het volwassenheidsniveau van de verbijzonderde interne controle (niveau 3 in 2025) haalbaar is. De (verbijzonderde) interne controle is er nog steeds vooral op gericht om toereikende controle informatie aan de accountant aan te leveren en op basis van “gegevensgerichte controles” achteraf te komen tot zekerheid. Er worden vanuit uw (verbijzonderde) interne controle wel interne beheersingsmaatregelen betrokken bij de uitgevoerde detailcontroles en de werking van deze interne beheersingsmaatregelen wordt getoetst. Vanuit deze werkzaamheden volgen nog bevindingen en is uw conclusie dat deze relevante interne beheersingsmaatregelen nog niet voldoende robuust zijn en in de praktijk niet volledig werken.

Daarmee zijn deze nog niet toereikend om als effectieve interne beheersingsmaatregelen te classificeren, waardoor er dan ook nog niet op gesteund kan worden en blijven de gegevensgerichte controles noodzakelijk. Onderdeel van uw visie op verantwoordelijkheden in de (verbijzonderde) interne controle is uw streven om de rollen van de 1 e (proceseigenaar), 2e (business control) en 3e lijn (CCA) te veranderen. Daarbij is uw streven om steeds meer de controlehandelingen te beleggen in de 1e en 2e lijn en komt het team van Concern Control & Concern Audit (CCA, de 3 e lijn) steeds meer in een rol die is gericht op het vaststellen van de goede werking van de 1e en 2e lijn en het adviseren daarover. In de loop van de tijd worden stappen gezet, waarbij het natuurlijk zo is dat veranderingen tijd kosten. Het komt nog steeds regelmatig voor dat de 3e lijn (CCA) werkzaamheden overneemt van de 2e lijn (business control) of werkzaamheden oppakt die de 2e lijn heeft laten liggen. De transitie is dan ook nog zeker niet voltooid en om deze door te zetten zal dit van het management de komende jaren blijvende aandacht, inspanning en ondersteuning vragen. Wat hierin belangrijk is, is dat u nadenkt of het huidige tijdspad dat u heeft gedefinieerd (in 2026 niveau 4 behalen) nog passend is.

Met name de fusie met gemeente Wijdemeren en de mogelijk gevolgen daarvan voor de inrichting van de ambtelijke organisatie met bijhorende rollen, taken en verantwoordelijkheden, is belangrijk om daarbij te betrekken. Wij adviseren u om uw ambitie te heroverwegen, waarbij wij met name het tijdspad bedoelen. Uw ambitie om de interne beheersing en de daarbij horende verantwoordelijkheden naar een steeds hoger niveau te brengen blijven wij onderschrijven. Wij verwijzen u verder naar de adviezen die wij ook in onze managementletter 2023 hebben gegeven. De belangrijkste herhalen wij hieronder in het kort nogmaals, waarbij het nu ook vooral van belang is om de adviezen in het perspectief van de “gewenste situatie” na de fusie met gemeente Wijdemeren te plaatsen: nadenken en investeren in de toekomst, waarbij het mogelijk is dat op onderdelen nu even een pas op de plaats gemaakt moet worden. Bij de adviezen uit onze managementletter 2023 hebben wij, waar mogelijk, een update voor 2024 en verder gegeven. De belangrijkste adviezen in de managementletter 2023 waren: ▪

Maak helder wat uw ambitie is en zorg ervoor dat daar een passend tijdspad bij gekozen wordt. Hierbij is het van belang dat, op elk niveau, hier hetzelfde over wordt gedacht. Naar onze mening zou het CMT hier een belangrijke voortrekkersrol in kunnen (en moeten) spelen en een visie moeten uitspreken over de invulling van de 3 lijnen (wie is procesverantwoordelijk (1 e of 2e lijn), wie controleert wat en adviseert (2e lijn of 3e lijn). 312018008.24.742 - 9

=> herijking van het tijdspad om een volgende stap te maken is noodzakelijk en moet in het perspectief van de fusie met Wijdemeren worden geplaatst. ▪

Haal meer waarde, oftewel meerwaarde, uit uw interne beheersing door het vergroten van de rol in de 1e en 2e lijn op het gebied van interne beheersing en zorg ervoor dat binnen elk domein, op elke afdeling en in elk proces sprake is van gedragen eigenaarschap en dit periodiek in het CMT te bespreken. Daarbij hoort in ieder geval dat elke verantwoordelijke medewerker tijdig zorgt voor geactualiseerde en uniforme procesbeschrijvingen, waarbij interne beheersingsmaatregelen concreet beschreven zijn (volgens het 6-W-principe, zie daarvoor onze rapportages uit eerdere jaren) en een adequate opgezette ITomgeving (General IT-controls en application controls) welke ook aantoonbaar werkt. => laat dit mee lopen bij de inrichting van de “nieuwe” organisatie na de fusie en zet in op verdere implementatie van het 3lijnen model in uw gemeente. Daarbij is het van groot belang dat er bij alle betrokkenen duidelijkheid bestaat met betrekking tot de taken, rollen en verantwoordelijkheden ten aanzien van (operationeel) risicomanagement. Wanneer dit niet het geval is, dan bestaat het risico dat betrokken medewerkers in de uitvoerende, controlerende en toetsende functie niet rolzuiver kunnen optreden en dit ten koste kan gaan van de effectiviteit van de risicobeheersing en de invulling van het 3-lijnen model.

Wij adviseren u daarom het beleidskader ten aanzien van taken, rollen en verantwoordelijkheden voor (operationeel) risicomanagement op basis van het 3-lijnen model te evalueren.

▪

Maak uw interne beheersing “integraal” en stuur deze top down aan. Een brede risicoanalyse, waarbij aandacht is voor procesrisico’s, fraude risico’s en IT-risico’s draagt bij aan een efficiënte en effectieve aanpak. De basis voor de uit te voeren interne controlewerkzaamheden is een grondige analyse van risico’s die zich binnen processen of activiteiten kunnen voordoen. Daarbij maakt u onderscheid tussen (financiële) rechtmatigheidsrisico’s, fraude risico’s en getrouwheidsrisico’s. Uw insteek, om onderscheid te maken naar (financiële) rechtmatigheidsrisico’s, fraude risico’s en getrouwheidsrisico’s is wat ons betreft een goede basis om sturing te geven aan de interne controle. Door de onderkende risico’s te verbinden en verder te “pinpointen” kan de geplande controleaanpak specifieker gemaakt worden. Hiermee borgt u dat u de juiste dingen doet en geen overbodige. Wij zien bijvoorbeeld ook dat er per proces een frauderisicoanalyse is opgesteld, maar dat daarbij risico’s niet altijd voldoende duidelijk en concreet beschreven zijn. Ook zien wij dat er relatief veel risico’s als frauderisico worden geïdentificeerd. Wanneer er een teveel aan frauderisico’s is geïdentificeerd, maakt dat het lastig om goede keuzes qua beheersing te maken op de meest relevante frauderisico’s. De zichtbare verbinding met de VIC zien wij niet altijd terug. => dit advies blijft bestaan.

Een scherpe risicoanalyse en inzet van data-analyse en continuous monitoring draagt bij aan de effectiviteit van de VIC en geeft inzicht op de verbetermogelijkheden die u in de komende periode kunt of moet treffen. Voor wat betreft een verdere uitwerking van frauderisico’s verwijzen wij naar het onderdeel “U heeft aandacht voor fraudepreventie en -beheersing” verderop in deze managementletter.

312018008.24.742 - 10

▪

De betrouwbaarheid van IT, informatieveiligheid en privacy vormt nog geen vast (en jaarlijks) onderdeel van de VIC. In de procescontroles wordt IT als een apart proces en een afzonderlijke audit gezien. Om de opzet van processen en risico’s in die processen goed te beoordelen is het van belang om jaarlijks onderdelen van de IT, zoals toegangsbeveiliging en rechten en rollen mee te nemen in de audits op de reguliere processen. Wanneer u (jaarlijks) een IT-audit uitvoert of laat uit voeren op de IT General Controls (ITGC’s) en de voor de jaarrekening relevante automatiseringsapplicaties, verkrijgt u (integraal) inzicht in de vraag of u voldoet aan de noodzakelijke eisen die in het kader van de betrouwbaarheid aam het systeem van geautomatiseerde (financiële) gegevensverwerking gesteld worden. Dit kan de organisatie verder helpen bij het professionaliseren en inrichten van controles gericht op de effectiviteit van de ITGC’s. => Gelet op het belang van IT in uw bedrijfsvoering vinden wij het van groot belang dat u jaarlijks vaststelt op de ITGC’s adequaat zijn ingericht. Dit kan door in eerste instantie na te gaan of sprake is van wijzigen ten opzichte van een eerdere periode en bij wijzigingen na te gaan of nader onderzoek uitgevoerd moet worden.

Voor wat betreft het testen van Application Controls (in ieder geval in de belangrijkste financiële applicaties) op de effectieve werking getoetst worden, hebben wij begrepen dat u hiervoor de planning (IT-kalender) tot en met 2026 heeft geactualiseerd en de voortgang daarvan maandelijks bespreekt met uw IT-auditor. Een haalbare planning en het geven van opvolging aan de bevindingen en verbetermogelijkheden uit eerder uitgevoerde onderzoeken kunnen bijdragen aan het veranderproces wat u wilt realiseren om uiteindelijk tot niveau 4 te komen. U zult dan immers meer uit (kunnen) gaan van de kracht van uw processen en systemen en in mindere mate controles achteraf hoeven uit te voeren.

Actualisatie Kadernota Rechtmatigheid commissie BBV is vertaald naar actuele spelregels binnen de gemeente

In oktober 2024 is een aangepaste versie van de Kadernota rechtmatigheid gepubliceerd door de Commissie BBV. In deze kadernota is een aantal aanpassingen doorgevoerd. Deze aanpassingen zien toe op het volgende: ▪

Van oordelen naar beschouwen. De tekst van de rechtmatigheidsverantwoording bij het onderdeel “Bevinding” zal worden aangepast. In 2023 diende het college aan te geven dat “Het college van mening is dat de in de jaarrekening verantwoorde baten en lasten en de balansmutaties wel of niet rechtmatig tot stand zijn gekomen binnen de daarvoor gestelde grens”. Vanaf 2024 stelt het college vast, dat “de omvang van de in de jaarrekening verantwoorde baten en lasten en de balansmutaties die niet rechtmatig tot stand zijn gekomen € xxx bedraagt en dat dit lager of hoger is dan de daarvoor gestelde grens”. Daarnaast geeft het college aan welk deel van dit bedrag als acceptabel kwalificeert, op basis van de door de raad vastgestelde afspraken.

▪

Stellige uitspraak ten aanzien van het M&O-beleid. In de Kadernota is een stellige uitspraak opgenomen ten aanzien van het M&O-beleid: “Geconstateerd misbruik, waarbij het M&O-beleid juist is uitgevoerd en op een getrouwe wijze is verwerkt in de jaarrekening, wordt niet betrokken bij het opstellen van de rechtmatigheids-verantwoording. Wel dient via de paragraaf bedrijfsvoering inzicht te worden gegeven in de aard en de (financiële) impact van het bij de gemeente geconstateerde misbruik”. In de Kadernota is hiervoor ook een beslisboom opgenomen.

312018008.24.742 - 11

▪

Verduidelijking begrotingsonrechtmatigheid. In de Kadernota is de volgende aangepaste definitie van begrotingsonrechtmatigheid opgenomen: “Hiervan is sprake als het college van B&W bij de realisatie van doelen en het realiseren van activiteiten de door de gemeenteraad vastgestelde budgetten voor wat betreft de lasten of investeringsbudgetten overschrijdt (1), toevoegingen en onttrekkingen aan de reserves die niet door de gemeenteraad zijn vastgesteld (2) en als bij onderschrijdingen van lasten of investeringsbudgetten en/of lagere of hogere baten dan begroot de begroting niet tijdig met begrotingswijzigingen is aangepast danwel deze afwijkingen te laat aan de raad zijn gemeld (3). Wat niet tijdig concreet betekent wordt bepaald door de ‘spelregels’ tussen de Gemeenteraad en het college van B&W over het informeren en vaststellen van begrotingswijzigingen bij onderschrijdingen van lasten of investeringsbudgetten en/of lagere of hogere baten dan begroot. Deze spelregels zijn veelal in de financiële verordening art. 212 Gemeentewet opgenomen.” De herziene kadernota geeft een voorbeeld voor het inzichtelijk maken van begrotingsonrechtmatigheden. Daarnaast zijn de criteria voor het beoordelen en kwalificeren van begrotingsafwijkingen (wel of niet acceptabel) verduidelijkt.

▪

Technische aanpassing hoofdstuk 2. Hoofdstuk 2 van de Kadernota is herschreven. Met het inkorten van dit hoofdstuk beoogt de commissie BBV een duidelijkere toelichting op het bestuurlijk belang van rechtmatigheid voor bestuursleden te geven.

Daarnaast was eerder aangekondigd dat de grondslag voor de verantwoordingsgrens mogelijk wordt aangepast naar totale lasten exclusief reservetoevoegingen. Deze aanpassing wordt echter uitgesteld tot na besluitvorming over wijzigingen in het BBV en het BADO. Naar aanleiding van het verslagjaar 2023 heeft u de toe te passen kaderstelling voor de rechtmatigheidsverantwoording geëvalueerd en wordt de raad voorgesteld om in de vergadering van 14 december 2024 in te stemmen met een aantal aanpassingen. Op uw verzoek hebben wij het “Normen- en toetsingskader 2024 gemeente Hilversum” met bijbehorende raadsvoorstel en de “Financiële verordening gemeente Hilversum met bijbehorende raadsvoorstel beoordeeld en u met ons memo van 26 november 2024 geïnformeerd over onze bevindingen. De voorgestelde wijzigingen in de kaderstelling voor de rechtmatigheidsverantwoording 2024 voldoen en zijn uitvoerbaar bij het opstellen van de rechtmatigheidsverantwoording 2024. Wij hebben daarbij nog een aantal adviezen meegegeven, welke wij hier herhalen: ▪

▪

Gemeente Hilversum kiest, net als in 2023 het geval was, voor een verantwoordingsgrens van 1%. Ten opzichte van veel andere gemeenten is deze laag. De meeste gemeente hanteren een verantwoordingsgrens van 3%. Wij adviseren u de toe te passen verantwoordingsgrens in de komende jaren te blijven overwegen en wanneer gewenst ook bij te stellen. In het “Normen- en toetsingskader 2024 gemeente Hilversum” heeft u de spelregels opgenomen hoe omgegaan moet worden met begrotingsafwijkingen. Wij hebben geadviseerd om te overwegen of het wenselijk is dat u ook expliciete kaders opneemt, waaruit blijkt dat begrotingsafwijkingen die het gevolg zijn van interpretatie van wet- en regelgeving, waaronder het BBV of andere wettelijke verplichtingen zoals bijvoorbeeld voortvloeiend uit artikel 193 van de Gemeentewet, als acceptabele

312018008.24.742 - 12

▪

U heeft aandacht voor fraudepreventie en beheersing

afwijkingen kwalificeren. Denk hierbij bijvoorbeeld aan het moeten treffen van voorzieningen of extra doteren daaraan vanuit een wettelijk kader. Voor wat betreft de invulling die gegeven wordt aan het begrip “tijdig melden”, wordt dit aan de jaarrekening gekoppeld. De jaarrekening is daarmee het laatste moment van tijdig informeren van de laatste afwijkingen van de begroting. Informeren met de jaarrekening kan voldoende en dus tijdig zijn. Dit kan overigens niet meer tot een wijziging van de begroting leiden, want die moet uiterlijk 31 december door de gemeenteraad zijn vastgesteld. Dit betekent dat een overschrijding die pas bij de jaarrekening wordt gemeld op zich nog wel een begrotingsonrechtmatigheid is, waarbij geldt dat deze, gelet op gemaakte afspraken, wel als acceptabel wordt beschouwd.

Fraude kan een groot effect hebben op de reputatie van organisaties en kan tot grote financiële schade leiden. Het is daarom zowel in uw belang als dat van al uw belanghebbenden, dat in het jaarverslag (de paragraaf bedrijfsvoering) expliciet aandacht wordt besteed aan het beheersen van frauderisico’s. Van u, zowel de gemeenteraad als het college en de directie, wordt verwacht dat u frauderisico’s in kaart brengt en adequate maatregelen neemt om deze te beheersen. Omdat bij fraude sprake is van bewust handelen van personeel of management, is een goede frauderisicoanalyse ook in uw belang, ter voorkoming van daadwerkelijke fraude. Wanneer u vervolgens informatie geeft over de wijze van beheersing (bijvoorbeeld in het jaarverslag) en indien van toepassing over vermoedens van fraude, over onderzoek dat is verricht en over maatregelen om herhaling te voorkomen – voor zover deze informatie openbaar is –, draagt dit bij aan het vertrouwen van belanghebbenden in uw gemeente. De door u zelf uitgevoerde frauderisicoanalyse vormt voor controlerend accountants het startpunt van hun werkzaamheden ten aanzien van frauderisco’s. In dit kader zijn wij de afgelopen jaren nog nadrukkelijker het gesprek met u aangegaan over dit onderwerp en hebben wij uitgebreid aan u gerapporteerd over het nut en noodzaak van een actuele frauderisicoanalyse.

Uw organisatie beschikt inmiddels over een frauderisicoanalyse welke dateert van 2023. In aanvulling daarop wordt jaarlijks bij het actualiseren van de procesmodellen, onderzocht in welke mate sprake is van mogelijke frauderisico’s. In het “Verbijzonderd Interne Controleplan 2023-2026 gemeente Hilversum” heeft u in paragraaf 4.3 opgenomen dat één van de jaarlijks proces overstijgende activiteiten het jaarlijks actualiseren van de frauderisicoanalyse is. Dat is voor 2024 nog niet gerealiseerd. Wij adviseren u om op korte termijn de “overkoepelende” frauderisicoanalyse te actualiseren en willen u daarbij de volgende aandachtspunten meegeven: ▪ ▪ ▪

Gebruik de risico-inventarisatie die u heeft gedaan bij het actualiseren van de procesmodellen om de belangrijkste risico’s op te nemen in een overkoepelende frauderisicoanalyse. De risico’s kwantificeren, om inzichtelijk te maken hoeveel risico u loopt. Hiermee kunt u weloverwogen keuzes maken ten aanzien van de beheersing van de risico's. Zichtbare beheersing van de onderkende risico's. In de frauderisicoanalyse is een aantal aandachtsgebieden naar voren gekomen, waarbij het relevant is dat u hier opvolging aan geeft. Formuleer bij de onderkende risico’s acties, bepaal een tijdspad voor opvolging en koppel hier personen aan. Voornamelijk bij risico’s waar de gehele organisatie bij betrokken is, bestaat er een risico dat er anders geen eigenaar is voor de geformuleerde acties. 312018008.24.742 - 13

▪

▪ ▪ ▪

In de NBA-handreiking 1137 – Corruptie, werkzaamheden van de accountant” wordt aandacht gevraagd voor corruptierisico’s als onderdeel van de frauderisicoanalyse. Wij adviseren u om dit (fraude)risico bij komende actualisaties ook nader te betrekken en op te nemen in uw analyse en, waar noodzakelijk, maatregelen te treffen om het risico te beheersen. Afgelopen jaren is het fenomeen “CEO-fraude”, met verschillende voorbeelden hiervan bij diverse decentrale overheden, nadrukkelijk in het nieuws gekomen. Wij adviseren u om dit (fraude)risico explicieter op te nemen in uw analyse. Stuur op het jaarlijks integraal uitvoeren van de frauderisicoanalyse, zoals is opgenomen in het “Verbijzonderd Interne Controleplan 2023-2026 gemeente Hilversum”. Rapporteer periodiek aan de raad, via de audit- en rekeningcommissie, over het proces, de uitkomsten en bevindingen ten aanzien van de frauderisicoanalyse op hoofdlijnen. Wij vinden het een goede zaak dat de frauderisicoanalyse bij het toezichthoudend orgaan geagendeerd is. Om de toezichthoudende rol verder te versterken zouden wij het krachtig vinden als hierbij de audit- en rekeningcommissie vooraf om input wordt gevraagd en dat de opgestelde analyse ook nadrukkelijk(er) bediscussieerd wordt in het college en de auditcommissie en zij ook expliciet instemmen met de opgestelde analyse.

Wat hierbij kan helpen is dat u bij het uitwerken van frauderisico’s onderscheid maakt tussen frauderisicofactoren en de uiteindelijke frauderisico’s. Frauderisicofactoren zijn de oorzaken of omstandigheden die de kans op fraude verhogen. Het zijn vaak onderliggende indicatoren of kenmerken van een organisatie, situatie of omgeving. Frauderisicofactoren zijn niet noodzakelijkerwijs fraude zelf, maar signalen die aangeven dat fraude meer waarschijnlijk kan zijn. U kunt hierbij denken aan een zwakke interne controleomgeving, druk om (financiële) doelen te behalen of een cultuur waarin ethisch gedrag wordt genegeerd. Frauderisico's zijn de concrete risico's op daadwerkelijke frauduleuze handelingen die kunnen plaatsvinden en verwijzen naar specifieke situaties of mogelijkheden waarin fraude kan optreden. Frauderisico’s worden vaak gekwantificeerd door de kans en impact te bepalen (hoe groot is de kans op fraude en wat zijn de mogelijke gevolgen?). Voorbeelden van frauderisico’s zijn bijvoorbeeld het risico dat een medewerker financiële gegevens manipuleert om resultaten (bijvoorbeeld bonussen) te behalen of het risico dat leveranciers facturen indienen voor niet-geleverde goederen. Frauderisicofactoren zijn dus de signalen of triggers die wijzen op een verhoogde kans op fraude en frauderisico's zijn de specifieke frauduleuze situaties of handelingen die kunnen plaatsvinden.

Het analyseren van risicofactoren helpt bij het identificeren en beoordelen van de frauderisico's binnen de organisatie. Wij hebben met CCA afgesproken om hier samen in 2025 naar te kijken.

Overweeg om een totaaloverzicht voor interne en externe verbeterpunten op te stellen

In de managementletters en accountantsverslagen van voorgaande jaren, maar ook in interne controleverslagen, zijn aanbevelingen opgenomen om de bedrijfsvoering te versterken en de risico’s te verminderen. Bij de actualisatie van de processen over 2024 is per proces inzicht gegeven in de follow up van deze aanbevelingen. Dit maakt dat de “eigenaar” van de aanbeveling snel inzicht heeft in de aanbevelingen die voor dat proces gelden. Voor zover wij konden nagaan wordt er geen totaaloverzicht meer bijgehouden en besproken, waardoor de centrale sturing minder is. Een belangrijke reden die u hiervoor aangeeft is dat het totaaloverzicht te omvangrijk werd en daardoor niet meer overzichtelijk was of er te ver in de tijd werd teruggekeken. Wij adviseren u de aanbevelingen uit interne en externe controles te bundelen in één totaaloverzicht. Dit totaaloverzicht kan u helpen bij de doorontwikkeling van de financiële bedrijfsvoering en het maken van keuzes. De realisatie van actiepunten kan immers 312018008.24.742 - 14

impact hebben op het ingeschatte risicoprofiel en daarmee op de aard en omvang van eventuele verdere controlewerkzaamheden. Zorg er daarbij voor dat het totaaloverzicht ook wordt opgeschoond wanneer dat mogelijk of noodzakelijk is. Ook adviseren wij hier meer centrale sturing aan te geven en de follow-up van de controlebevindingen regelmatiger te monitoren (bijvoorbeeld periodiek in het CMT) en de voortgang regelmatig te bespreken in het college en in de audit- en rekeningencommissie. Wij vinden dit van belang in het kader van de doorontwikkeling van uw financiële bedrijfsvoering, de ambities die u hierin heeft en de verder te plannen en uit te voeren interne controlewerkzaamheden.

312018008.24.742 - 15

3.

Procesbevindingen

312018008.24.742 - 16

3. Procesbevindingen Bevindingen uit de interne procesbeoordeling en interne controle 2024

Intern rapporteert het team van CCA haar bevindingen en aanbevelingen naar aanleiding van de beoordeling van de financiële processen en overige relevante werkzaamheden door CCA. Voor het jaar 2024 is wederom de keuze door CCA gemaakt om per proces te rapporteren over de geconstateerde bevindingen en daarbij ook de ontwikkeling ten opzichte van 2023 te schetsen. In de rapportage over 2024 is ook ingegaan op de invulling van de “Three Lines” en zijn eventuele aanbevelingen gedaan. Uit onze controlewerkzaamheden blijkt dat wij tot vergelijkbare bevindingen als CCA komen. Deze rapportage vormt naar onze mening dan ook een goede basis om verdere verbetermaatregelen te identificeren en uit te voeren. Hierna hebben wij de resultaten van de uitgevoerde interne controlewerkzaamheden geciteerd uit de interne rapportage, waarbij wij tevens onze bevindingen en adviezen hebben opgenomen en de actiepunten voor de jaarrekening 2024 hebben benoemd. De bevindingen en conclusies liggen nog veelal in lijn met voorgaande jaren. Daarvoor blijft de controleaanpak volledig gegevensgericht om tot oordeelsvorming te komen. De actiepunten zijn opgenomen in de voorbereidingen van het jaarrekeningdossier of worden tussentijds vanuit CCA met gegevensgerichte steekproeven verder afgewikkeld.

De legenda die bij de door CCA gehanteerde stoplichten hoort, is – op basis van de interne rapportage – als volgt: Rood: Relatief veel verbeterpunten urgent of hoog, proces in de basis onvoldoende Oranje: Enkele verbeterpunten urgent of hoog, relatief veel overige verbeterpunten Groen: Hooguit enkele verbeterpunten hoog, proces in de basis voldoende op orde dan wel geen verbeterpunten urgent of hoog, beperkt overige verbeterpunten.

Proces / onderwerp

Algemene uitkering

Dashboard CCA: Oordeel over mate “in control” 2023 2024

Toelichting op bevindingen (intern en/of PSA) en actiepunten voor de jaarrekening 2024 (vanuit CCA en/of PSA)

Stand invoering ‘’Three lines’’: ▪ Lijn 2 (BC) nog geen rol bij voorbereiding interim dossier; onduidelijkheid over de precieze invulling. Conclusie procesbeoordeling CCA: ▪ Proces loopt soepeler dan vorig jaar, maar vergt nog wel aandacht. ▪ De verificatie van de aangeleverde gegevens van de 3 parameters t.b.v. berekening algemene uitkering vindt inmiddels plaats. Aanbevelingen CCA: ▪ Opstellen van de procedure voor de verificatie van de gegevens van de 3 belangrijke parameters in afstemming met de eigenaren van deze parameters en implementeren. ▪ Nadere invulling geven aan de ‘’three lines” door de rol van lijn 2 (1e review) te duiden.

312018008.24.742 - 17

Bevindingen en/of aanvullingen PSA: ▪ Geen aanvullende bevindingen. Advies en/of actie voor de jaarrekening: ▪ Bepaal de impact van de verschillen in de parameters op de te verantwoorden algemene uitkering en communiceer hierover (indien nodig) met het Ministerie van BZK. Belastingen en heffingen

Stand invoering ‘’Three lines’’: ▪ Lijn 1 (proces eigenaar) en 2 (BC/FC) wat meer betrokken bij voorbereiding interim dossier (maar dit kan nog duidelijker). Conclusie procesbeoordeling CCA: ▪ Voor een goed oordeel volledigheid van de belastingobjecten missen we een aansluiting BAG/WOZ/kadaster. ▪ Er zijn fouten geconstateerd bij de detailcontrole. De oorzaken en de te nemen acties moeten nog worden besproken met team gegevenshuis. ▪ In ieder geval kan worden geconcludeerd dat er fouten bij aanslagen van afvalstoffenheffing zijn geconstateerd, wat zal leiden tot een uitbreiding van de steekproef op basis van een analyse. Aanbevelingen CCA: ▪ Toepassing “Three lines model” en met name verstrekking rol vanuit de 2e lijn. ▪ Ter voorbereiding interim-controle de intern uitgevoerde data/cijferanalyses en interne controles beschikbaar te hebben zodat de tussentijdse controle c.q. review analytisch en efficiënt uitgevoerd kan worden. ▪ De door CCA uitgevoerde data-analyse zelf periodiek uit te voeren. ▪ Wij adviseren u de controle werkzaamheden voor het jaarrekeningdossier tijdig af te ronden. Bevindingen en/of aanvullingen PSA: ▪ Beoordeel of een uitbreiding van de steekproef als gevolg van de geconstateerde fouten zinvol is. U heeft inmiddels inzichtelijk gemaakt wat de maximale fout kan zijn. Deze is circa € 80.000 en daarmee niet materieel.

▪ U maakt gebruik van VYZYR als nieuwe rapportagetool. De betrouwbaarheid van de data, welke gebruikt wordt bij diverse interne controlewerkzaamheden, dient zichtbaar te worden geborgd in de 1e lijn en onderdeel te worden van uitwerkingen in opzet (procesmodel) en vaststellen van bestaan. Dit komt nog onvoldoende terug momenteel. ▪ Er worden veel controles uitgevoerd binnen dit proces welke vanuit de opzet in het document ‘Interne controle Gegevenshuis – Belastingen’’ recent beschreven en uitgewerkt zijn. Het aantonen van het bestaan heeft niet volledig plaatsgevonden en er is het voor 2024 nog niet gekomen tot een volledig beeld van het proces en het mogelijk willen steunen op onderdelen in het primaire proces. Daardoor kan er niet optimaal gebruik worden gemaakt van de uitgevoerde controlewerkzaamheden in de 1e en 2e lijn en worden aanvullende werkzaamheden uitgevoerd vanuit de 3e lijn om tot oordeelsvorming te kunnen komen. Wij adviseren u de uitgevoerde interne controlewerkzaamheden zichtbaar te maken, zodat hier gebruik gemaakt van kan worden bij de interne (en externe) controlewerkzaamheden en hier voor 2025 al vroegtijdig mee te starten (veel van de materiële procesrisico’s worden tot het uitsturen van het eerste kohier al ondervangen). Advies en/of actie voor de jaarrekening: ▪ Afwikkelen van de detailcontroles zoals uitgezet door CCA.

312018008.24.742 - 18

Specifieke uitkeringen / inkomende subsidies

Stand invoering ‘’Three lines’’: ▪ Lijn1 (PE) en Lijn2 (BC/FC) zijn voldoende betrokken bij de voorbereiding interim dossier. Conclusie procesbeoordeling CCA: ▪ Het proces van inkomende subsidies/ specifieke uitkeringen heeft sinds vorig jaar een eigenaar gekregen. ▪ Vanuit dat team zijn de processtappen, de risico’s en de beheersmaatregelen in het afgelopen jaar goed in beeld gebracht. ▪ De subsidieaanvragen en -toekenningen zijn op een deugdelijke wijze opgenomen in het zaaksysteem CASE en het procesverloop kan vanuit het zaaksysteem worden bewaakt. Een overzicht van alle aanvragen en toekenningen is nu eenvoudig op elk gewenst moment op te vragen. ▪ Er is een duidelijke instructie voorbereid over hoe inkomende subsidies (en de bestedingen tlv deze subsidiegelden) in het financieel systeem vastgelegd dienen te worden. Deze instructie is gedeeld met de Business- en Financialcontrollers (team F&C). Aanbevelingen CCA: We adviseren u om nog aandacht te besteden aan enkele risico’s, namelijk ▪ Ook de tussentijdse voortgangsbewaking en de controle en verantwoording is thans erg versnipperd en daarmee minder effectief. ▪ Om de controle op ontvangen subsidiegelden en daaraan gekoppelde bestedingen te vereenvoudigen en te verbeteren, adviseren wij om de selectie te baseren op een cijferanalyse en een bestandsvergelijking.

Deze aandachtpunten vereisen naar ons idee een meer gecoördineerde aanpak vanuit een centraal punt (bv een subsidiebureau). Bevindingen en/of aanvullingen PSA: ▪ Ons is in 2024 een aantal keer verzocht om een controle uit te voeren op losse subsidieverantwoordingen. Deze verzoeken zijn laat binnengekomen en is er tevens sprake geweest om uitstel te vragen door de gemeente aan de subsidieverlener om de aanvraag tot vaststelling uit te stellen. Dit impliceert dat het proces nog geen afdoende signalering heeft om tijdig tot afronding en vaststelling van ontvangen subsidie over te gaan en hier tijdig voorbereidingen voor te treffen.

Exploitatie gemeentelijk vastgoed

Advies en/of actie voor de jaarrekening: ▪ Stel vast en toon aan dat de bestedingen subsidiabel zijn in het kader van de betreffende regeling. ▪ Leg zichtbaar, voor zover van toepassing, relaties met het overzicht van baten en lasten, de SiSa-bijlage en eventuele overlopende posten in de jaarrekening 2024. Stand invoering ‘’Three lines’’: ▪ Lijn 1 (PE) en Lijn2 (BC/FC) zijn voldoende betrokken bij de voorbereiding interim dossier. Conclusie procesbeoordeling CCA: ▪ De getroffen beheersmaatregelen binnen de verwerkingsstromen van het proces ondervangen in opzet de geïdentificeerde risico’s, inclusief de frauderisico’s, ▪ Bij de beoordeling op het bestaan en werking van de in opzet getroffen beheersmaatregelen is gebleken dat een belangrijk deel van de tussentijdse analyse en aansluitingen medio oktober nog niet hebben plaatsgevonden. Deze worden opgepakt in het laatste kwartaal als voorbereiding op de jaarafsluiting. ▪ De leegstandcontrole leverde geen bijzonderheden op. Aangezien de tussentijdse analyse en aansluitingen van wezenlijk belang zijn voor de procesbeoordeling, is ons eindoordeel qua procesbeheersing